网络流量行为特性是网络行为学的重要研究内容，它为网络规划、设计和管理提供基本依据，为网络性能、网络运行的服务质量保证和网络安全提供重要的手段。对网络流量行为的研究已经成为热点，本文借用蠕虫流量的显式特性对网络流量行为特性作了系统的研究，分别在大时间尺度(几百毫秒到秒级)和小时间尺度(小于几百毫秒)下讨论了其行为特性，并刻画了流量多尺度行为的统一框架，研究了流量的多尺度行为特性与蠕虫流量类型、网络负载、数据流的同质程度、底层网络协议以及环路时间等之间的关系。 在大时间尺度方面，利用小波包变换在低频域和高频域都进行变换的优点，提出了基于离散小波包变换的Hurst参数估计法(DWPT法)，并与其他方法一起对合成数据和实际网络流量进行估计来验证方法的正确性。运用该方法计算含蠕虫的网络流量的自相似参数并加以分析，得到一些结论。指出蠕虫流量的协议类型(例如TCP或ICMP)对总网络流量的自相似度和突发性有不同程度的影响。同时还得到结论在一定网络负载范围内(在链路还未饱和或少量拥塞下)，参数H与网络负载之间不存在必然的联系，但受到蠕虫流量一定的影响。 在多重分形分析法中运用WTMM技术并结合扩展自相似性分析技术研究小时间尺度下含蠕虫的网络流量的多重分形特性。结论表明蠕虫网络流量的协议类型(例如TCP或ICMP)对总流量的多重分形特性有不同的影响。而且在小样本量及链路还未饱和或少量拥塞条件下，推断出TCP数据流的叠加具有多重分形谱叠加不变性。 从多重分形谱的角度分析网络流量抽样测量的可行性，认为简单的数据抽样测量可能导致信号的局部分形特性发生改变，并因此推论TCP协议规则是信号在小尺度上表现为多重分形特性的内在机制。 从多重分形分析的角度研究三类同质TCP数据流：不同时间下的Web数据流，同质的Web、RPC(端口TCP/135)与RTSP数据流以及同一TCP数据流内各个主要成分的组合。不同时间下的Web流在小时间尺度上的多重分形谱比较一致，而在大时间尺度下都接近于各自的理论自相似性；不同协议类型的同质流的多重分形特性可能与所受的拥塞控制机制以及各自所占的百分比有关；从流量的聚合中总量与分量在多重分形谱上的关系，推论在百分比相同情况下，数据流的同质程度高则更趋向于单重分形。 运用湍流多尺度分析中的对数无限可分级串方法研究各类网络流量，发现TCP数据流的双尺度特征，且在每个尺度范围内都满足各自的幂律关系；并从含W32/Blaster蠕虫的总流量在尺度全范围内满足单一的幂律关系，推断数据包的协议类型对流量尺度特性有很大的影响，验证了自相似与多重分形分析中的结论，而且在相近时间段内的正常TCP流可用同样的幂律关系进行尺度行为分析。双尺度的分界点在实际分析中发现具有不确定性，推断可能与数据流的同质程度以及环路时间有关。 结合扩展自相似分析和LIDC方法对Web数据流作多尺度分析表明，TCP数据流的叠加导致扩展自相似指数增加，但占TCP主要成份的Web流不一定能近似地表示总TCP流的扩展自相似指数和尺度特性。 从Internet传输中实际使用的环路时间上考虑多尺度分界点与环路时间的关系，结合实际应用提出环路时间的计算模型，并总结环路时间在时间和物理位置上分布特点。由这些结论讨论了分段点不确定的合理性。