怎么把慢样本捞出来
长尾问题的难点往往不是分析，而是从海量帧里把慢样本挑出来。用阈值过滤（响应时间超限、确认往返过大等）配合分组抽样，从大文件里抽出一批典型样本再逐条拆解找共性，比从头翻包高效得多。目标不是看遍每个包，而是找到慢的共性。
基本信息
| 方法 | 显示过滤加排序再加抽样 |
|---|---|
| 常用字段 | http.time、tcp.analysis.ack_rtt、frame.time_delta |
| 分组维度 | URI、客户端、时段、后端实例 |
| 输出形式 | 典型样本清单加共性结论 |
典型使用场景
- 从几 GB 抓包里定位慢请求样本
- 判断长尾是否集中在特定 URI 或特定客户端
- 区分偶发尖峰与系统性退化
- 为优化工作的优先级提供样本支撑
- 复现用户投诉中的具体请求
抽样命令
抽样命令
tshark -r big.pcap -Y "http.time > 2" -T fields -e frame.number -e http.request.uri -e http.time | head -50
# 先按阈值捞出慢请求，帧号留给后续逐帧复核
tshark -r big.pcap -Y "tcp.analysis.ack_rtt > 0.2" -T fields -e tcp.stream -e tcp.analysis.ack_rtt | head -30
# 再看确认往返异常的流，区分网络段与应用段
tshark -r big.pcap -Y "http.time > 2" -T fields -e http.request.uri | sort | uniq -c | sort -rn | head
# 把慢请求按 URI 聚合，找共性而不是逐个阅读抽样口径对照
| 口径 | 适用场景 | 注意 |
|---|---|---|
| 阈值抽样 | 有明显慢请求时 | 阈值要按业务基线设定 |
| 随机抽样 | 评估整体分布 | 样本量与时间跨度要足够 |
| 分层抽样 | 按客户端或地域比较 | 每层样本量要均衡 |
| 按实例抽样 | 多后端横向对比 | 需带实例标识才能归因 |
抽出的样本按 URI、客户端、时段分组找共性，效率远高于逐个阅读。先形成假设，再用抓包验证，比漫无目的地翻包快很多，也更容易写成可交接的结论。
只取排名靠前的几条会偏向极端样本，无法代表整体。随机抽样与阈值抽样结合使用，结论才既覆盖典型情况又不会漏掉极端个例。
排查顺序
- 先确定慢的判定口径：响应时间、确认往返还是首字节时间
- 按阈值抽取样本，同时留一份随机样本作对照
- 对样本分组聚合，找出集中出现的 URI、客户端或时段
- 回到抓包对典型样本逐帧拆解，确认慢在哪一段
- 把结论与样本量一起写进报告，注明抽样方法