CN104348638A - 识别会话流量的业务类型的方法、系统及设备 - Google Patents

Abstract

本发明提出识别会话流量的业务类型的方法、系统及设备，其中方法包括：当初始深度包检测（DPI）设备无法识别会话流量的业务类型时，协同平台接收来自初始DPI设备的报文，所述报文为该会话流量中的全部或部分报文副本；将接收的报文发送至辅助DPI设备；协同平台接收辅助DPI设备反馈的所述会话流量的业务类型，将所述会话流量的业务类型发送至初始DPI设备。本发明能够提高会话流量的识别率，降低网络中无法被分析和管控的会话流量比例。

Description

识别会话流量的业务类型的方法、系统及设备

技术领域

本发明涉及业务识别技术领域，尤其涉及识别会话流量的业务类型的方法、系统及设备。

背景技术

在互联网业务高速发展和宽带接入逐步普及的大环境中，内容识别和管理成为运营商实现智能管道的基础，内容安全也是网络安全的重要组成部分。通过识别和区分网络流量，运营商可以对网络进行流量控制、内容计费、内容过滤、流量管理等细分操作。

深度包检测（DPI，Deep Packet Inspection）技术是实现流量管理最基本也是最重要的手段，已大量部署在运营商网络中。DPI技术在分析包头的基础上，增加了对应用层的分析，是一种基于应用层的流量检测技术。当IP数据包、TCP或UDP数据流经过基于DPI系统时，DPI引擎通过深入读取IP包载荷的内容来对7层协议中的应用层信息进行重组，从识别出流量的协议类型。

DPI软件应用系统通常采用B/S（浏览器/服务器）架构设计，管理员使用网络终端通过浏览器访问软件系统。数据流从网络接口进入系统后，由网络引擎直接将流量信息导入系统中。业务驱动模块将包交付给业务分析模块，业务分析模块通过DPI（深层包挖掘）技术将数据包解析、打开，并且根据包内数据识别出相应的协议后转发给策略引擎。策略引擎根据用户设置的不同网络应用的控制方案进行实时控制，最后通过业务转发模块将网络流从端口输出，同时将分析数据分发给数据统计模块，生成图表信息，存储进数据库。

不同的应用通常会采用不同的协议，而各种协议都有其特殊的指纹，这些指纹可能是特定的端口、特定的字符串或者特定的比特序列。基于特征字的识别技术，正是通过识别数据报文中的指纹信息来确定数据流的业务类型。与指纹信息匹配成功的会话会被打上相应的标签标识业务类型，未匹配成功的会话则被打上其他标签。通过对指纹信息的升级，基于特征字的识别技术可以方便的扩展到对新协议的检测。

DPI系统对于会话流量的识别、分析和控制基于识别规则库进行，识别规则库中包含各种关键的指纹信息，如IP地址、端口、URL、特定字符串或比特序列等，以及根据这些指纹信息所确定的业务类型。业界对于DPI系统的功能实现和识别规则库没有统一标准，各DPI厂商各自构建识别规则库且一般不公开，导致不同厂家设备的识别能力并不相同。

目前DPI设备通常将无法确定业务类型的会话流量单独归为一类，如标记为“未识别”或“其他”，对这部分未能识别业务类型的会话流量无法进行精确的分析和管控，导致网络中无法被分析和管控的会话流量比例偏高。

发明内容

本发明提供了一种识别会话流量的业务类型的方法，能够提高会话流量的识别率，从而降低网络中无法被分析和管控的会话流量比例。

本发明还提供了一种识别会话流量的业务类型的系统、DPI设备及协同平台，能够提高会话流量的识别率，从而降低网络中无法被分析和管控的会话流量比例。

本发明的技术方案是这样实现的：

一种识别会话流量的业务类型的方法，包括：

当初始DPI设备无法识别会话流量的业务类型时，协同平台接收来自初始DPI设备的报文，所述报文为该会话流量中的全部或部分报文副本；将接收的报文发送至辅助DPI设备；

协同平台接收辅助DPI设备反馈的所述会话流量的业务类型，将所述会话流量的业务类型发送至初始DPI设备。

一种识别会话流量的业务类型的系统，包括：

初始DPI设备，当无法识别会话流量的业务类型时，将该会话流量中的全部或部分报文副本发送至协同平台；并接收协同平台反馈的该会话流量的业务类型；

协同平台，接收来自初始DPI设备的报文，将所述报文发送至辅助DPI设备；接收辅助DPI设备反馈的该报文所属会话流量的业务类型，并将会话流量的业务类型发送至初始DPI设备；

辅助DPI设备，接收来自协同平台的报文，将该报文所属会话流量的业务类型反馈至协同平台。

一种用于识别会话流量的业务类型的DPI设备，包括：

二次识别请求模块，用于当所述DPI设备无法识别会话流量的业务类型时，发送报文，所述报文为该会话流量中的全部或部分报文副本；还用于接收其他DPI设备反馈的所述会话流量的业务类型；

二次识别接受模块，用于接收报文，并反馈所述报文所属会话流量的业务类型。

一种用于识别会话流量的业务类型的协同平台，包括：

二次识别指派模块，用于接收来自初始DPI设备的报文，所述报文为初始DPI设备无法识别的会话流量中的全部或部分报文副本，将接收的报文发送至辅助DPI设备；

二次识别反馈模块，用于接收辅助DPI设备反馈的所述会话流量的业务类型，将所述会话流量的业务类型发送至初始DPI设备。

可见，本发明提出的识别会话流量的业务类型的方法、系统、DPI设备和协同平台，能够在初始DPI设备无法识别会话流量的业务类型时，由辅助DPI设备帮助其识别会话流量的业务类型，从而提高会话流量的识别率，降低网络中无法被分析和管控的会话流量比例。

附图说明

图1为本发明中协同平台与DPI设备逻辑拓扑图；

图2为本发明提出的识别会话流量的业务类型的方法实现流程图；

图3为本发明实施例二的实现流程图；

图4为本发明提出的识别会话流量的业务类型的系统结构示意图；

图5为本发明提出的用于识别会话流量的业务类型的DPI设备结构示意图；

图6为本发明提出的用于识别会话流量的业务类型的协同平台结构示意图。

具体实施方式

本发明提出一种识别会话流量的业务类型的方案，当DPI设备无法确定某一会话流量的业务类型时，通过协同平台的集中管控和调度，由其他DPI设备尝试对该会话流量进行二次识别，并将识别结果通过协同平台反馈给初始DPI设备，该识别结果同时可供初始DPI设备在下次收到这类会话流量时快速识别其业务类型。通过其他DPI设备协同配合进行二次识别，可以提高DPI设备流量识别成功率，降低因未能精确识别而无法精确分析和管控的流量比例。

本方案涉及一种用于DPI设备流量识别的协同平台，该平台负责实现DPI设备的协同识别控制和决策功能，并与各DPI设备进行交互。协同平台与DPI设备的交互信息至少包括：

1）控制相关信息：如接收和受理DPI设备发出的二次业务识别请求，指派辅助DPI设备进行二次业务识别和收集识别结果。

2）数据信息：如接收请求二次业务识别的DPI设备发出的数据流，将该数据流往辅助DPI设备。

本发明涉及的DPI设备需实现相关的功能模块和接口，用于与协同平台交互并完成协同识别功能。DPI设备应能根据二次业务识别结果和流量特征学习业务识别规则并记录该规则。

DPI设备与协同平台间路由可达即可，无需直接连接。如图1为本发明中协同平台与DPI设备逻辑拓扑图。其中，协同平台连接两个以上DPI设备，每个DPI设备均可以向协同平台请求二次识别，也可以根据协同平台的指派为其他DPI设备提供二次识别。

应用上述设置，本发明提出一种识别会话流量的业务类型的方法，如图2为该方法实现流程图，包括：

步骤201：当初始DPI设备无法识别会话流量的业务类型时，协同平台接收来自初始DPI设备的报文，所述报文为该会话流量中的全部或部分报文副本；将所述接收的报文发送至辅助DPI设备；

步骤202：协同平台接收辅助DPI设备反馈的所述会话流量的业务类型，将所述会话流量的业务类型发送至初始DPI设备。

上述步骤201中，协同平台接收来自初始DPI设备的报文之后，并在将接收的报文发送至辅助DPI设备之前，可以进一步包括：

协同平台选择网络中的一个以上DPI设备作为辅助DPI设备；选择的方式为：随机选择，或者根据DPI设备的业务识别准确性、DPI设备的版本号或版本发布时间、DPI设备的当前负载或DPI设备与初始DPI设备的距离进行选择。

上述步骤202中，当协同平台接收到两个以上辅助DPI设备反馈的会话流量的业务类型时，协同平台选择其中的一个作为最终识别结果，将最终识别结果发送至初始DPI设备；

或者，协同平台将接收到的所有会话流量的业务类型发送至初始DPI设备，由初始DPI设备选择其中的一个作为最终识别结果。

上述方法中，协同平台或初始DPI设备可以根据以下信息选择最终识别结果：

辅助DPI设备反馈内容的精确程度、辅助DPI设备的业务识别准确性、辅助DPI设备的版本号或版本发布时间、或者辅助DPI设备反馈内容的到达时间。

上述步骤202之后可以进一步包括：

步骤203：初始DPI设备分析所述会话流量的特征信息，记录所述会话流量的特征信息与业务类型的对应关系，后续采用该对应关系继续进行业务识别。

上述步骤203中，记录会话流量的特征信息与业务类型的对应关系时，可以进一步设定该对应关系的生存时间；后续在该对应关系的生存时间范围内，采用该对应关系继续进行业务识别。

以下举具体的实施例详细介绍。

实施例一：

步骤1：DPI设备监控链路中的数据流量，当接收到的会话流量无法识别时，DPI设备暂将该会话流量的业务类型标记为“待定”，继续识别收到的其他会话流量，同时向协同平台请求对无法识别的会话流量进行二次识别。请求消息中携带DPI设备的ID，并携带DPI设备生成的请求ID用于标识这一请求。

步骤2：协同平台收到DPI设备的二次识别请求，验证发出请求的DPI设备的身份、自身服务范围等信息，决定是否接受该二次识别请求，并向二次识别请求发出设备发送接受或拒绝消息。

步骤3：如果该DPI设备收到协同平台的拒绝消息，则该二次识别过程结束，该会话流量被标记为“其他”或“未识别”。如果该DPI设备收到协同平台的同意消息，则向协同平台传输待二次识别的会话流量中的全部或部分报文副本。

步骤4：协同平台收到报文后，选择一个以上其他DPI设备，向选择的DPI设备发送二次识别指派消息。选择其他DPI设备可以随机进行，也可根据DPI设备的属性基于一定策略进行，如DPI设备业务识别准确性（可通过既往运营数据或测试等手段获得）、DPI设备版本号和该版本发布时间、DPI设备当前负载、或者该DPI设备与发起二次识别请求的DPI设备之间的距离等。

步骤5：收到二次识别指派消息的DPI设备决定是否接受指派，并向协同平台发送接受或拒绝消息。

步骤6：如果协同平台无法收到任何一个DPI设备的接受指派消息，则通知二次识别请求设备，本次二次识别过程结束。如果协同平台收到接受指派消息，则向发出该消息的DPI设备传输待二次识别的报文。

步骤7：接受指派的DPI设备分析报文，并将该报文所属会话流量的业务类型发送给协同平台。

步骤8：协同平台将来自一个以上DPI设备的二次识别结果发送给发起二次识别请求的DPI设备，该DPI设备选择采纳；或者选择一个二次识别结果发送给发起二次识别请求的DPI设备。选择二次识别结果可以根据的信息可以为：二次识别结果的精确程度、DPI设备业务识别准确性、DPI设备版本号和该版本发布时间、或者二次识别结果到达时间等。

步骤9：发起二次识别请求的DPI设备收到二次识别结果后，修正之前标记为“待定”的会话流量的业务类型。分析该会话流量的特征信息（如IP地址、域名、URL等），将特征信息和业务类型的对应关系加入识别规则库，将该规则标识为自学习规则并设定生存时间。之后当DPI设备接收到满足该特征信息的会话流量时可依据该规则进行识别业务类型。

实施例二：

本实施例介绍一次成功的二次识别过程。在本实施例中，DPI设备1作为发起二次识别请求的初始DPI设备，DPI设备2、DPI设备3和DPI设备4作为提供二次识别帮助的辅助DPI设备。

如图3为本发明实施例二的实现流程图，包括：

步骤301：DPI设备1无法识别某会话流量的业务类型，暂将该会话流量的业务类型标记为“待定”。

步骤302：DPI设备1向协同平台请求进行二次识别。

步骤303：协同平台向DPI设备1反馈同意二次识别请求的消息。

步骤304：DPI设备1向协同平台发送待二次识别的会话流量中的全部或部分报文副本。

步骤305：协同平台选择承担二次识别的辅助DPI设备，在本步骤中，协同平台选出DPI设备2、DPI设备3和DPI设备4作为承担二次识别的辅助DPI设备。

步骤306：协同平台分别向DPI设备2、DPI设备3和DPI设备4发送二次识别指派消息。

步骤307：DPI设备2和DPI设备3反馈同意二次识别指派的消息，DPI设备4反馈拒绝二次识别指派的消息。

步骤308：协同平台分别向同意二次识别指派的DPI设备2和DPI设备3发送待二次识别的报文。

步骤309：DPI设备2和DPI设备3识别该报文所属会话流量的业务类型。

步骤310：DPI设备2和DPI设备3分别反馈二次识别结果。

步骤311：协同平台从DPI设备2和DPI设备3反馈的二次识别结果中选择一个作为最终识别结果。

步骤312：协同平台将选择出的最终识别结果告知DPI设备1。

步骤313：DPI设备1根据该结果修正该会话流量的业务类型，并结合该会话流量的特征信息学习识别规则。

本发明还提出一种识别会话流量的业务类型的系统，如图4为该系统结构示意图，包括：

初始DPI设备401，当无法识别会话流量的业务类型时，将该会话流量中的全部或部分报文副本发送至协同平台402；并接收协同平台402反馈的该会话流量的业务类型；

协同平台402，接收来自初始DPI设备401的报文，将所述报文发送至辅助DPI设备403；接收辅助DPI设备403反馈的该报文所属会话流量的业务类型，并将会话流量的业务类型发送至初始DPI设备401；

辅助DPI设备403，接收来自协同平台402的报文，将该报文所属会话流量的业务类型反馈至协同平台402。

上述系统中，协同平台402还可以用于选择网络中的一个以上DPI设备作为辅助DPI设备；选择的方式为：随机选择，或者根据DPI设备的业务识别准确性、DPI设备的版本号或版本发布时间、DPI设备的当前负载或DPI设备与初始DPI设备的距离进行选择。

上述系统中，协同平台402还可以用于，当接收到两个以上辅助DPI设备403反馈的会话流量的业务类型时，选择其中的一个作为最终识别结果，将最终识别结果发送至初始DPI设备401；

或者，初始DPI设备401还可以用于，当接收到来自两个以上辅助DPI设备403的会话流量的业务类型时，选择其中的一个作为最终识别结果。

上述系统中，协同平台402或初始DPI设备401可以根据以下信息选择最终识别结果：

辅助DPI设备反馈内容的精确程度、辅助DPI设备的业务识别准确性、辅助DPI设备的版本号或版本发布时间、或者辅助DPI设备反馈内容的到达时间。

上述系统中，初始DPI设备401还可以用于，分析所述会话流量的特征信息，记录所述会话流量的特征信息与业务类型的对应关系，后续采用该对应关系继续进行业务识别。

初始DPI设备还可以进一步设定所述对应关系的生存时间；在该对应关系的生存时间范围内，采用该对应关系继续进行业务识别。

本发明还提出一种用于识别会话流量的业务类型的DPI设备，如图5为该DPI设备的结构示意图，包括：

二次识别请求模块501，用于当所述DPI设备无法识别会话流量的业务类型时，发送报文，所述报文为该会话流量中的全部或部分报文副本；还用于接收其他DPI设备反馈的所述会话流量的业务类型；

二次识别接受模块502，用于接收报文，并反馈所述报文所属会话流量的业务类型。

上述DPI设备还可以包括：

选择模块503，用于当所述二次识别请求模块501接收到两个以上其他DPI设备反馈的会话流量的业务类型时，选择其中的一个作为最终识别结果。

选择模块503可以根据以下信息选择最终识别结果：

其他DPI设备反馈内容的精确程度、其他DPI设备的业务识别准确性、其他DPI设备的版本号或版本发布时间、或者其他DPI设备反馈内容的到达时间。

上述DPI设备还可以包括：

学习模块504，用于分析所述会话流量的特征信息，记录所述会话流量的特征信息与业务类型的对应关系，后续采用该对应关系继续进行业务识别。

上述学习模块504可以进一步设定该对应关系的生存时间；

在该对应关系的生存时间范围内，采用该对应关系继续进行业务识别。

本发明还提出一种用于识别会话流量的业务类型的协同平台，如图6为该协同平台的结构示意图，包括：

二次识别指派模块601，用于接收来自初始DPI设备的报文，所述报文为初始DPI设备无法识别的会话流量中的全部或部分报文副本，将接收的报文发送至辅助DPI设备；

二次识别反馈模块602，用于接收辅助DPI设备反馈的所述会话流量的业务类型，将所述会话流量的业务类型发送至初始DPI设备。

上述协同平台中，二次识别指派模块601还可以用于，选择网络中的一个以上DPI设备作为辅助DPI设备；选择的方式为：随机选择，或者根据DPI设备的业务识别准确性、DPI设备的版本号或版本发布时间、DPI设备的当前负载或DPI设备与初始DPI设备的距离进行选择。

上述协同平台中，二次识别反馈模块602还可以用于，当接收到两个以上辅助DPI设备反馈的会话流量的业务类型时，选择其中的一个作为最终识别结果，将最终识别结果发送至初始DPI设备。

上述二次识别反馈模块602可以根据以下信息选择最终识别结果：

辅助DPI设备反馈内容的精确程度、辅助DPI设备的业务识别准确性、辅助DPI设备的版本号或版本发布时间、或者辅助DPI设备反馈内容的到达时间。

综上可见，本发明通过其他DPI设备协同配合进行二次识别，可以提高DPI设备流量识别成功率，降低因未能精确识别而无法精确分析和管控的流量比例。本发明能够发挥其他DPI设备的识别能力，避免单台DPI设备识别能力有限造成的业务识别局限性。当DPI设备遇到无法识别的流量时，通过其他DPI设备进行辅助的二次识别可以增加该部分流量被成功识别的概率，为精确的流量识别提供保证。利用其他DPI设备提供的二次识别结果，结合会话特征，DPI设备可以学习并创建针对该类型会话的识别规则，用于后续相应的流量识别。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明保护的范围之内。

Claims (21)

1.一种识别会话流量的业务类型的方法，其特征在于，所述方法包括：

当初始深度包检测DPI设备无法识别会话流量的业务类型时，协同平台接收来自初始DPI设备的报文，所述报文为该会话流量中的全部或部分报文副本；将接收的报文发送至辅助DPI设备；

协同平台接收辅助DPI设备反馈的所述会话流量的业务类型，将所述会话流量的业务类型发送至初始DPI设备。

2.根据权利要求1所述的方法，其特征在于，所述协同平台接收来自初始DPI设备的报文之后，并在将接收的报文发送至辅助DPI设备之前，进一步包括：

协同平台选择网络中的一个以上DPI设备作为辅助DPI设备；选择的方式为：随机选择，或者根据DPI设备的业务识别准确性、DPI设备的版本号或版本发布时间、DPI设备的当前负载或DPI设备与初始DPI设备的距离进行选择。

3.根据权利要求1所述的方法，其特征在于，当协同平台接收到两个以上辅助DPI设备反馈的会话流量的业务类型时，协同平台选择其中的一个作为最终识别结果，将最终识别结果发送至初始DPI设备；

或者，协同平台将接收到的所有会话流量的业务类型发送至初始DPI设备，由初始DPI设备选择其中的一个作为最终识别结果。

4.根据权利要求3所述的方法，其特征在于，所述协同平台或初始DPI设备根据以下信息选择最终识别结果：

辅助DPI设备反馈内容的精确程度、辅助DPI设备的业务识别准确性、辅助DPI设备的版本号或版本发布时间、或者辅助DPI设备反馈内容的到达时间。

5.根据权利要求1至4任意一项所述的方法，其特征在于，所述方法进一步包括：

初始DPI设备分析所述会话流量的特征信息，记录所述会话流量的特征信息与业务类型的对应关系，后续采用该对应关系继续进行业务识别。

6.根据权利要求5所述的方法，其特征在于，记录会话流量的特征信息与业务类型的对应关系时，进一步设定该对应关系的生存时间；

在该对应关系的生存时间范围内，采用该对应关系继续进行业务识别。

7.一种识别会话流量的业务类型的系统，其特征在于，所述系统包括：

初始深度包检测DPI设备，当无法识别会话流量的业务类型时，将该会话流量中的全部或部分报文副本发送至协同平台；并接收协同平台反馈的该会话流量的业务类型；

协同平台，接收来自初始DPI设备的报文，将所述报文发送至辅助DPI设备；接收辅助DPI设备反馈的该报文所属会话流量的业务类型，并将会话流量的业务类型发送至初始DPI设备；

辅助DPI设备，接收来自协同平台的报文，将该报文所属会话流量的业务类型反馈至协同平台。

8.根据权利要求7所述的系统，其特征在于，所述协同平台还用于选择网络中的一个以上DPI设备作为辅助DPI设备；选择的方式为：随机选择，或者根据DPI设备的业务识别准确性、DPI设备的版本号或版本发布时间、DPI设备的当前负载或DPI设备与初始DPI设备的距离进行选择。

9.根据权利要求7所述的系统，其特征在于，所述协同平台还用于，当接收到两个以上辅助DPI设备反馈的会话流量的业务类型时，选择其中的一个作为最终识别结果，将最终识别结果发送至初始DPI设备；

或者，所述初始DPI设备还用于，当接收到来自两个以上辅助DPI设备的会话流量的业务类型时，选择其中的一个作为最终识别结果。

10.根据权利要求9所述的系统，其特征在于，所述协同平台或初始DPI设备根据以下信息选择最终识别结果：

辅助DPI设备反馈内容的精确程度、辅助DPI设备的业务识别准确性、辅助DPI设备的版本号或版本发布时间、或者辅助DPI设备反馈内容的到达时间。

11.根据权利要求7至10任意一项所述的系统，其特征在于，所述初始DPI设备还用于，分析所述会话流量的特征信息，记录所述会话流量的特征信息与业务类型的对应关系，后续采用该对应关系继续进行业务识别。

12.根据权利要求11所述的系统，其特征在于，所述初始DPI设备进一步设定所述对应关系的生存时间；在该对应关系的生存时间范围内，采用该对应关系继续进行业务识别。

13.一种用于识别会话流量的业务类型的深度包检测DPI设备，其特征在于，所述DPI设备包括：

二次识别请求模块，用于当所述DPI设备无法识别会话流量的业务类型时，发送报文，所述报文为该会话流量中的全部或部分报文副本；还用于接收其他DPI设备反馈的所述会话流量的业务类型；

二次识别接受模块，用于接收报文，并反馈所述报文所属会话流量的业务类型。

14.根据权利要求13所述的DPI设备，其特征在于，所述DPI设备还包括：

选择模块，用于当所述二次识别请求模块接收到两个以上其他DPI设备反馈的会话流量的业务类型时，选择其中的一个作为最终识别结果。

15.根据权利要求14所述的DPI设备，其特征在于，所述选择模块根据以下信息选择最终识别结果：

其他DPI设备反馈内容的精确程度、其他DPI设备的业务识别准确性、其他DPI设备的版本号或版本发布时间、或者其他DPI设备反馈内容的到达时间。

16.根据权利要求13、14或15所述的DPI设备，其特征在于，所述DPI设备还包括：

学习模块，用于分析所述会话流量的特征信息，记录所述会话流量的特征信息与业务类型的对应关系，后续采用该对应关系继续进行业务识别。

17.根据权利要求16所述的DPI设备，其特征在于，所述学习模块进一步设定该对应关系的生存时间；

在该对应关系的生存时间范围内，采用该对应关系继续进行业务识别。

18.一种用于识别会话流量的业务类型的协同平台，其特征在于，所述协同平台包括：

二次识别指派模块，用于接收来自初始深度包检测DPI设备的报文，所述报文为初始DPI设备无法识别的会话流量中的全部或部分报文副本，将接收的报文发送至辅助DPI设备；

二次识别反馈模块，用于接收辅助DPI设备反馈的所述会话流量的业务类型，将所述会话流量的业务类型发送至初始DPI设备。

19.根据权利要求18所述的协同平台，其特征在于，所述二次识别指派模块还用于，选择网络中的一个以上DPI设备作为辅助DPI设备；选择的方式为：随机选择，或者根据DPI设备的业务识别准确性、DPI设备的版本号或版本发布时间、DPI设备的当前负载或DPI设备与初始DPI设备的距离进行选择。

20.根据权利要求18所述的协同平台，其特征在于，二次识别反馈模块还用于，当接收到两个以上辅助DPI设备反馈的会话流量的业务类型时，选择其中的一个作为最终识别结果，将最终识别结果发送至初始DPI设备。

21.根据权利要求20所述的协同平台，其特征在于，所述二次识别反馈模块根据以下信息选择最终识别结果：

辅助DPI设备反馈内容的精确程度、辅助DPI设备的业务识别准确性、辅助DPI设备的版本号或版本发布时间、或者辅助DPI设备反馈内容的到达时间。