抓包工具记录的数据包时间戳，往往同时受两种误差影响。第一种是发送端与接收端系统时钟的固定差值，比如发送端比接收端快 50 毫秒；第二种是两端晶振频率不一致导致的漂移，时间越长，偏差越大。单纯减掉一个常量无法解决漂移，而线性回归可以同时估计出固定偏移和频率比。具体做法是把发送时间作为自变量 x，把接收时间作为因变量 y，用最小二乘法拟合 y = a x + b。拟合得到的斜率 a 表示两端时钟频率的比值，截距 b 表示基准时刻的相位差。这篇文章会介绍线性回归系数的计算过程，并给出 Ruby 代码实现和抓包场景下的校正流程。
时间戳误差模型与线性回归的对应关系
在单向传输场景中，设发送端记录的时间为 t_s，接收端记录的时间为 t_r。如果不考虑队列延迟和网络抖动，两者之间的理想关系可以写成 t_r = a * t_s + b。其中 a 是接收端时钟相对于发送端时钟的速率比，理想情况下等于 1；b 是两个时钟在零时刻的固定偏移。实际抓包时，每个数据包还会叠加处理延迟、中断延迟和网络排队延迟，因此观测到的 t_r 会围绕这条直线上下波动。
线性回归的任务就是根据一组观测样本 (t_s_i, t_r_i) 找到一条直线，使得所有样本点到直线的垂直距离平方和最小。这个模型很适合时间戳校正，因为固定偏移和频率漂移分别对应直线的截距和斜率，而网络延迟带来的短时抖动可以视为噪声。只要样本数量足够并且噪声大致对称，回归系数就能比较稳定地反映两端时钟的真实关系。
最小二乘法求解回归系数
最小二乘法的目标是最小化损失函数 L(a, b) = sum((t_r_i - a * t_s_i - b)^2)。对这个函数分别求关于 a 和 b 的偏导数，并令偏导数为零，可以得到两个正规方程。整理后，斜率 a 和截距 b 的显式解如下：
斜率 a = (n * sum(t_s_i * t_r_i) - sum(t_s_i) * sum(t_r_i)) / (n * sum(t_s_i^2) - (sum(t_s_i))^2)，截距 b = (sum(t_r_i) - a * sum(t_s_i)) / n。这里 n 是样本数量。分母代表自变量 t_s 的方差乘以 n，如果所有发送时间都相同，分母为零，回归没有意义，因此实现时需要检查。
从工程角度看，直接套用这个公式会引入数值稳定性问题。当时间戳数值很大时，平方和容易超出整数范围或损失浮点精度。因此在实际计算前，可以先将时间戳减去一个基准值，比如第一个样本的发送时间，把坐标原点移到样本附近，再计算回归系数。这样不会改变斜率，但会显著降低浮点误差。
Ruby实现回归系数计算
下面用纯 Ruby 实现一元线性回归。函数接收两个等长数组 xs 和 ys，返回斜率和截距。代码不依赖外部 gem，适合直接嵌入抓包脚本。
def linear_regression(xs, ys)
raise ArgumentError, "sample size mismatch" if xs.length != ys.length
n = xs.length
raise ArgumentError, "need at least 2 samples" if n < 2
base_x = xs.first
base_y = ys.first
dx = xs.map { |x| x - base_x }
dy = ys.map { |y| y - base_y }
sum_x = dx.sum
sum_y = dy.sum
sum_xy = dx.zip(dy).map { |x, y| x * y }.sum
sum_xx = dx.map { |x| x * x }.sum
denominator = n * sum_xx - sum_x * sum_x
raise "denominator is zero, x values need variance" if denominator.zero?
slope = (n * sum_xy - sum_x * sum_y).to_f / denominator
intercept = base_y - slope * base_x
[slope, intercept]
end
代码先记录第一个样本作为基准，再计算差值 dx 和 dy，这样即使原始时间戳是 Unix 秒级或纳秒级大整数，也不会在平方运算中溢出。分母为零时会抛出异常，提醒调用方检查样本。返回的 intercept 已经转换回原始坐标系，可以直接用于校正。
用一个模拟样本测试。假设发送时间从 0 到 4 秒，接收时间增加了少量噪声和固定偏移，计算回归系数：
samples = [
[0.0, 0.08],
[1.0, 1.15],
[2.0, 2.02],
[3.0, 3.21],
[4.0, 4.12]
]
xs = samples.map { |s| s[0] }
ys = samples.map { |s| s[1] }
slope, intercept = linear_regression(xs, ys)
puts "slope=#{slope.round(6)}"
puts "intercept=#{intercept.round(6)}"
def correct_timestamp(tx, slope, intercept)
tx * slope + intercept
end
puts correct_timestamp(2.5, slope, intercept).round(6)
这段代码输出斜率约 1.012，截距约 0.014，说明接收端时钟比发送端略快。对于发送时间 2.5 秒，校正后的接收时间约 2.544 秒。实际中，如果斜率偏离 1 越远，说明两端晶振偏差越大，越需要做时间戳校正。
校正流程、数据筛选与结果验证
抓包环境中的原始数据通常包含大量异常点，比如重传包、乱序包、网卡卸载时间戳以及中断延迟尖峰。直接把这些样本放入回归，会拉偏斜率。一个简单有效的筛选策略是利用往返时延 RTT 进行过滤。对于同一对端点，先按五元组粗分，再计算每个样本的 RTT，只保留 RTT 小于某一分位数比如 95 分位数的数据包。这样可以去掉排队延迟过大的点。
校正函数既可以正向使用，也可以反向使用。已知发送时间推接收时间用 t_r = slope * t_s + intercept；已知接收时间推发送时间则需要解出 t_s = (t_r - intercept) / slope。实际系统里通常根据哪一侧的时间戳更可靠来决定校正方向。
完成回归后还要检查残差。残差是每个样本观测值 y_i 与回归值 a * x_i + b 的差。可以计算残差的标准差，评估校正后的剩余抖动；如果残差随时间有明显趋势，说明时钟漂移并非恒定，可能需要分段回归或二次多项式拟合。对于短时间窗口抓包，一元线性回归通常足够；对于长时间采集，应把数据按固定时间片切开，分别计算每个时间片的系数。
网络数据包时间戳校正线性回归Ruby回归系数修改时间：2026-10-06 23:00:23