按时间过滤是什么
frame.time 支持按时间条件筛选报文，同时提供多个相对时间字段：frame.time_relative 是从抓包首个报文起算的秒数，frame.time_delta 是与上一个报文的间隔。复现某个时段的故障、测量两个事件相隔多久时，用时间条件切片是最直接的办法。
基本信息
| 适用工具 | Wireshark 3.x / 4.x |
|---|---|
| 绝对时间字段 | frame.time |
| 相对时间字段 | frame.time_relative（距首包）、frame.time_delta（距上一包） |
| 格式设置 | View → Time Display Format |
| 前提 | 时间戳来自抓包机时钟与抓包选项 |
典型使用场景
- 只看故障发生那几分钟的报文，排除前后噪音
- 测量请求与响应之间隔了多久
- 找出与上一包间隔异常大的报文，定位卡顿时刻
- 按相对时间切片，兼容不同抓包起点的文件
- 把时间条件与主机条件组合，缩小到具体交互
常用示例
常用示例
frame.time >= "2026-10-12 13:00:00" # 绝对时间之后
frame.time_delta > 1 # 与上一包间隔超过 1 秒
frame.time_relative > 30 && frame.time_relative < 35 # 相对时间窗
frame.time_delta > 0.5 && ip.addr == 10.0.0.9 # 结合主机过滤找停顿时间字段对照
| 字段 | 含义 | 典型用途 |
|---|---|---|
| frame.time | 绝对时间戳 | 定位故障发生时刻 |
| frame.time_relative | 距首个报文的秒数 | 按相对时间窗切片 |
| frame.time_delta | 与上一报文的间隔 | 快速找出停顿 |
| frame.time_delta_displayed | 与上一显示报文的间隔 | 过滤后再看间隔 |
绝对时间字符串按本机显示格式解析，跨机对比前先确认时区与时钟是否同步。
显示精度调到微秒不会增加真实精度，实际精度取决于抓包时的时钟与选项。
补充要点
- 先用绝对时间定位到故障区间，再切相对时间看事件间隔
- 把时间条件与地址条件组合，可快速缩小到具体交互
- 不同抓包文件的相对时间起点不同，跨文件比较要用绝对时间
- 时间字符串格式跟随本机设置，脚本化使用时先固定格式
分析停顿问题时，把与上一包的间隔和吞吐曲线放在一起看，能快速锁定异常发生在哪两个报文之间。
组合用法
- 先用绝对时间圈出故障时段，再用相对时间看时段内的事件间隔
- 把时间条件与主机条件组合，样本量能下降一个数量级
- 排查周期性故障时按固定时间窗切片，便于对比不同周期
- 与日志对齐时固定时间格式，减少人工换算误差