关于3G PDP激活的问题

如题。
请问各位专家：
我在Iu接口抓取了数据包，想过滤出一个用户从PDP激活请求到去PDP激活请求之间所做的行为（假设此用户激活后做了若干次的数据业务），在Wireshark中应该使用哪层消息的哪个字段作为过滤条件呢？

这个问题是我最终要解决的问题，但我想，第一步可以在海量数据中先找到一个3G用户PDP激活和其PDP去激活的信令数据，但是这个需要协议栈中哪一层的哪个数据作为关联条件呢？不知我这样的思路是否正确呢

等待高手回答，学习……

这个还真不太熟，不过可以baidu一下，应该有些介绍的文档，

可以查看协议，看看PDP从激活到去激活整个过程的信令流程，应该可以达到lz要求。

期待高手解释。

在TS 24.008中提到：

6.1.3.4.1              PDP context deactivation initiated by the MS

In order to deactivate a PDP context, the MS sends a DEACTIVATE PDP CONTEXT REQUEST message to the network, enters the state PDP-INACTIVE-PENDING and starts timer T3390. The message contains the transaction identifier (TI) in use for the PDP context to be deactivated and a cause code that typically indicates one of the following causes:
# 25:                LLC or SNDCP failure (A/Gb mode only);
# 26:                insufficient resources;
# 36:                regular deactivation; or
# 37:                QoS not accepted.
所以应该是Transaction Identifier这个字段可以标识，但我在消息中没有找到这个字段，它应该在哪一层呢，是SCCP还是SM层呢？