YDT 6376-2025 基于電信邊緣云的虛擬化深度包檢測（DPI）組網(wǎng)技術(shù)要求標準立項發(fā)展報告

基于電信邊緣云的虛擬化深度包檢測（DPI）組網(wǎng)技術(shù)要求標準立項發(fā)展報告StandardizationDevelopmentReport:TechnicalRequirementsforVirtualizedDeepPacketInspection(DPI)NetworkingBasedonTelecomEdgeCloud摘要隨著5G、物聯(lián)網(wǎng)及算力網(wǎng)絡(luò)技術(shù)的迅猛發(fā)展，傳統(tǒng)深度包檢測（DeepPacketInspection，DPI）技術(shù)在部署靈活性、資源利用率及運維效率等方面面臨嚴峻挑戰(zhàn)。電信邊緣云以其低時延、分布式部署及資源彈性調(diào)度等優(yōu)勢，為DPI功能的虛擬化重構(gòu)提供了理想的承載環(huán)境。在此背景下，行業(yè)標準YD/T6376-2025《基于電信邊緣云的虛擬化深度包檢測（DPI）組網(wǎng)技術(shù)要求》正式發(fā)布實施。本標準由中華人民共和國工業(yè)和信息化部發(fā)布，歸屬于郵電通信行業(yè)標準體系，是在現(xiàn)行網(wǎng)絡(luò)安全與數(shù)據(jù)通信標準框架下的重要補充與創(chuàng)新。本標準系統(tǒng)規(guī)定了基于電信邊緣云的虛擬化DPI系統(tǒng)的組網(wǎng)架構(gòu)、功能要求、接口協(xié)議、性能指標及安全合規(guī)要求，旨在解決傳統(tǒng)DPI設(shè)備煙囪式部署與邊緣計算彈性架構(gòu)之間的適配問題，為電信運營商及設(shè)備制造商提供統(tǒng)一的技術(shù)依據(jù)。本報告圍繞該標準的立項背景、編制原則、核心技術(shù)內(nèi)容及其行業(yè)應(yīng)用價值展開深度解析，并展望了其未來演進方向，為相關(guān)技術(shù)研究與標準化工作提供參考。關(guān)鍵詞：電信邊緣云；深度包檢測；虛擬化網(wǎng)絡(luò)功能；組網(wǎng)技術(shù)；行業(yè)標準；網(wǎng)絡(luò)安全；邊緣計算Keywords:TelecomEdgeCloud;DeepPacketInspection;VirtualizedNetworkFunction;NetworkingTechnology;IndustryStandard;NetworkSecurity;EdgeComputing一、引言：從傳統(tǒng)DPI到虛擬化DPI的范式躍遷深度包檢測（DPI）技術(shù)作為網(wǎng)絡(luò)流量管控與安全分析的核心手段，長期以來在電信運營商網(wǎng)絡(luò)中得到廣泛應(yīng)用。傳統(tǒng)DPI設(shè)備通常以專用硬件形態(tài)部署于網(wǎng)絡(luò)關(guān)鍵節(jié)點，通過深度解析數(shù)據(jù)包中的應(yīng)用層內(nèi)容，實現(xiàn)對業(yè)務(wù)識別、用戶行為分析、流量管控及安全威脅檢測等功能。然而，隨著網(wǎng)絡(luò)規(guī)模持續(xù)擴大、業(yè)務(wù)類型日趨多元以及加密流量占比快速攀升，傳統(tǒng)DPI設(shè)備的局限性日益凸顯：其一，專用硬件架構(gòu)導致設(shè)備成本高昂且擴展性受限，難以應(yīng)對突發(fā)流量和動態(tài)業(yè)務(wù)需求；其二，設(shè)備功能固化，新業(yè)務(wù)識別規(guī)則的更新需人工介入，運維效率低下；其三，網(wǎng)絡(luò)功能虛擬化（NFV）和軟件定義網(wǎng)絡(luò)（SDN）技術(shù)的普及正深刻改變著電信網(wǎng)絡(luò)的架構(gòu)形態(tài)，傳統(tǒng)DPI的部署模式與新型云化網(wǎng)絡(luò)架構(gòu)之間存在明顯的適配性矛盾。與此同時，邊緣計算作為5G時代的關(guān)鍵技術(shù)方向，將云計算的能力延伸至網(wǎng)絡(luò)邊緣，形成了覆蓋“云—邊—端”協(xié)同的新型基礎(chǔ)設(shè)施體系。電信邊緣云依托分布式數(shù)據(jù)中心，提供就近計算、低時延轉(zhuǎn)發(fā)及資源彈性調(diào)度等能力，為網(wǎng)絡(luò)功能的虛擬化部署創(chuàng)造了理想條件。將DPI功能虛擬化并部署于電信邊緣云之上，不僅可有效解決傳統(tǒng)DPI面臨的部署靈活性與資源利用效率問題，更能夠在網(wǎng)絡(luò)邊緣側(cè)就近實施流量的精細化管控與安全分析，滿足超高帶寬、極低時延場景下的流量治理需求。然而，虛擬化DPI涉及網(wǎng)絡(luò)功能編排、流量調(diào)度、資源管理、性能保障及安全合規(guī)等多個層面的技術(shù)問題，若缺乏統(tǒng)一的技術(shù)規(guī)范，將導致不同廠商設(shè)備與平臺之間的互聯(lián)互通障礙，制約產(chǎn)業(yè)的規(guī)模化發(fā)展。因此，制定一項專門針對基于電信邊緣云的虛擬化DPI組網(wǎng)技術(shù)要求的行業(yè)標準，具有重要的現(xiàn)實緊迫性和長遠戰(zhàn)略意義。二、標準立項背景與編制依據(jù)本標準的制定順應(yīng)了多項國家政策與產(chǎn)業(yè)技術(shù)發(fā)展趨勢，具有明確的政策依據(jù)和產(chǎn)業(yè)需求基礎(chǔ)。從政策層面來看，2021年工業(yè)和信息化部發(fā)布的《“十四五”信息通信行業(yè)發(fā)展規(guī)劃》明確提出“加快邊緣計算、IPv6+、網(wǎng)絡(luò)人工智能等新技術(shù)推廣應(yīng)用”，并將“強化網(wǎng)絡(luò)安全能力建設(shè)”列為重點任務(wù)。2023年，中共中央、國務(wù)院印發(fā)的《數(shù)字中國建設(shè)整體布局規(guī)劃》進一步強調(diào)“筑牢可信可控的數(shù)字安全屏障”，對網(wǎng)絡(luò)流量安全分析技術(shù)的標準化提出了更高要求。此外，網(wǎng)絡(luò)安全等級保護2.0系列標準（GB/T22239-2019）對關(guān)鍵信息基礎(chǔ)設(shè)施的流量監(jiān)測能力提出了明確的安全擴展要求，而YD/T6376-2025正是在該框架下對DPI技術(shù)在邊緣云場景中的具體落地進行規(guī)范化。從產(chǎn)業(yè)技術(shù)演進來看，ETSI（歐洲電信標準化協(xié)會）發(fā)布的NFV標準框架為網(wǎng)絡(luò)功能的虛擬化提供了通用參考架構(gòu)，中國通信標準化協(xié)會（CCSA）先后制定了多項涉及DPI設(shè)備技術(shù)要求及檢測方法的行業(yè)標準，如YD/T3211-2016《深度包檢測設(shè)備技術(shù)要求》和YD/T3212-2016《深度包檢測設(shè)備測試方法》。然而，上述標準主要針對傳統(tǒng)硬件DPI設(shè)備，尚未涵蓋DPI功能虛擬化部署于邊緣云平臺時的組網(wǎng)架構(gòu)、接口規(guī)范和性能要求。在國際標準方面，3GPP在5G核心網(wǎng)架構(gòu)中引入了服務(wù)化架構(gòu)（SBA），定義了網(wǎng)絡(luò)數(shù)據(jù)分析功能（NWDAF）及策略控制功能（PCF），這些功能實體需要依賴底層的流量分析能力支撐。國際標準中尚未就虛擬化DPI在邊緣云場景下的組網(wǎng)技術(shù)要求形成專門規(guī)范，而本標準的制定在國內(nèi)外均具有填補空白的重要意義。三、標準編制原則與核心技術(shù)內(nèi)容（一）編制原則本標準在編制過程中遵循以下原則：兼容性原則。標準充分兼容現(xiàn)有電信網(wǎng)絡(luò)架構(gòu)和DPI技術(shù)體系，確保在引入虛擬化DPI新功能的同時，不破壞現(xiàn)有網(wǎng)絡(luò)的安全穩(wěn)定運行。標準中所規(guī)定的接口和協(xié)議設(shè)計均考慮了對既有設(shè)備的兼容支持。可擴展性原則。考慮到邊緣計算和網(wǎng)絡(luò)虛擬化技術(shù)的持續(xù)演進，標準在架構(gòu)設(shè)計上預(yù)留了必要的擴展空間，支持未來向算力網(wǎng)絡(luò)、云網(wǎng)融合等新架構(gòu)的平滑遷移。安全性原則。標準在研究過程中深度融合我國網(wǎng)絡(luò)安全法律法規(guī)體系，將《網(wǎng)絡(luò)安全法》《數(shù)據(jù)安全法》確立的網(wǎng)絡(luò)運營者安全保護義務(wù)落實為可操作的技術(shù)要求，將安全合規(guī)要求作為貫穿全局的設(shè)計約束。在組網(wǎng)架構(gòu)、數(shù)據(jù)采集、結(jié)果輸出等各環(huán)節(jié)明確了安全機制，確保虛擬化DPI系統(tǒng)在提供流量監(jiān)測能力的同時，自身具備完善的安全防護水平和數(shù)據(jù)合規(guī)處理能力。可實施性原則。標準條款力求清晰明確、易于操作，為設(shè)備廠商的研發(fā)設(shè)計、運營商的部署運維、檢測機構(gòu)的測試評估提供統(tǒng)一依據(jù)，避免條款歧義。（二）標準適用范圍本標準規(guī)定了基于電信邊緣云的虛擬化深度包檢測（DPI）系統(tǒng)的組網(wǎng)架構(gòu)、功能要求、接口要求、性能要求及安全要求。標準適用于電信運營商在邊緣云環(huán)境中部署虛擬化DPI系統(tǒng)的規(guī)劃、設(shè)計、建設(shè)和運維，同時為DPI設(shè)備制造商提供虛擬化DPI功能的研發(fā)依據(jù)，也可作為第三方檢測機構(gòu)對虛擬化DPI系統(tǒng)開展測試評估的技術(shù)依據(jù)，并可指導行業(yè)用戶在邊緣計算場景下的流量監(jiān)測與安全管理實踐。（三）組網(wǎng)架構(gòu)與部署模型標準所確立的組網(wǎng)架構(gòu)遵循ETSINFV參考框架，將虛擬化DPI功能解耦為軟件化的虛擬網(wǎng)絡(luò)功能（VNF），部署于電信邊緣云的NFVI（網(wǎng)絡(luò)功能虛擬化基礎(chǔ)設(shè)施）之上。在邏輯架構(gòu)層面，標準將系統(tǒng)劃分為四個層次：基礎(chǔ)設(shè)施層、虛擬資源層、功能層和管理編排層。基礎(chǔ)設(shè)施層涵蓋邊緣云平臺的計算、存儲及網(wǎng)絡(luò)資源；虛擬資源層實現(xiàn)資源的池化與抽象；功能層包含虛擬化DPI引擎、流量識別子模塊、策略執(zhí)行子模塊等核心功能組件；管理編排層對接NFV管理與編排（MANO）系統(tǒng)，實現(xiàn)VIDPI實例的生命周期管理和自動化編排。在部署場景方面，標準提出了三種典型部署模型：單邊緣節(jié)點獨立部署模式，適用于流量規(guī)模較小且對時延要求極高的本地化場景；多邊緣節(jié)點協(xié)同部署模式，通過控制面與轉(zhuǎn)發(fā)面的分離實現(xiàn)跨節(jié)點的分布式流量分析和統(tǒng)一策略管理；云邊協(xié)同部署模式，將輕量級虛化DPI功能下沉至邊緣節(jié)點，將控制與管理功能保留在中心云，實現(xiàn)全局視圖與局部執(zhí)行的協(xié)同。（四）流量采集與識別處理流程標準明確了虛擬化DPI的流量采集機制。在流量獲取層面，可采用端口鏡像、虛擬交換機流量分發(fā)、服務(wù)功能鏈（SFC）引流等多種方式。其中，基于SFC的引流機制被推薦為主流方式，通過將虛擬化DPI作為服務(wù)功能鏈中的VNF插入業(yè)務(wù)路徑，實現(xiàn)對特定業(yè)務(wù)數(shù)據(jù)流的精細化監(jiān)測。在識別層面，標準對特征識別、行為識別、關(guān)聯(lián)識別等多維度識別方法及其協(xié)同應(yīng)用作了規(guī)定，強調(diào)通過特征匹配、行為分析和關(guān)聯(lián)分析相結(jié)合的方式提升識別準確率。針對日益增長的加密流量，標準提出了基于TLS握手元數(shù)據(jù)分析和流量統(tǒng)計特征的加密流量識別方案，并規(guī)定了相應(yīng)接口以支持外部威脅情報的接入。在處理流程層面，標準定義了從報文解析、特征匹配、策略匹配到動作執(zhí)行和日志生成的完整處理管道，各功能模塊之間通過標準化接口交互，確保處理流程的透明性和可審計性。（五）關(guān)鍵性能與安全要求在性能方面，標準規(guī)定了虛擬化DPI系統(tǒng)在吞吐量、新建連接速率、并發(fā)連接數(shù)、識別準確率及轉(zhuǎn)發(fā)時延等核心指標上的要求，同時明確了對邊緣云平臺資源開銷（CPU占用率、內(nèi)存占用率）的控制范圍。針對虛擬化環(huán)境帶來的性能損耗問題，標準鼓勵采用數(shù)據(jù)面加速技術(shù)（如DPDK、SR-IOV等）以滿足高性能場景需求，并規(guī)定了相應(yīng)的性能測試評估方法。在安全合規(guī)方面，標準要求虛擬化DPI系統(tǒng)遵循《中華人民共和國網(wǎng)絡(luò)安全法》及網(wǎng)絡(luò)安全等級保護相關(guān)要求，具備身份認證、權(quán)限管理、日志審計、數(shù)據(jù)加密傳輸?shù)然A(chǔ)安全能力，并要求對用戶數(shù)據(jù)的采集、存儲、使用及共享等環(huán)節(jié)實行合規(guī)管理。同時，標準對虛擬化DPI與控制面、編排系統(tǒng)之間的安全通信協(xié)議作了明確規(guī)定，增強了系統(tǒng)自身在開放云化環(huán)境中的抗攻擊能力。四、修訂企事業(yè)單位與主要研究力量本標準由中國信息通信研究院牽頭起草制定。中國信息通信研究院（以下簡稱“中國信通院”）是工業(yè)和信息化部直屬科研事業(yè)單位，定位于“國家高端專業(yè)智庫、行業(yè)創(chuàng)新發(fā)展平臺”，長期以來深度參與信息通信領(lǐng)域國家和行業(yè)標準的制定工作。在網(wǎng)絡(luò)安全與流量管控領(lǐng)域，中國信通院承擔了多項DPI相關(guān)標準的研究與編制任務(wù)，積累了豐富的標準化經(jīng)驗和技術(shù)儲備。依托其在網(wǎng)絡(luò)流量分析、安全監(jiān)測、邊緣計算及算力網(wǎng)絡(luò)等領(lǐng)域的研究基礎(chǔ)，中國信通院聯(lián)合基礎(chǔ)電信運營商、主流設(shè)備制造商及科研院所，共同組成了標準編制組。編制組在標準起草過程中廣泛征集了產(chǎn)業(yè)各方意見，多次組織專題研討會和技術(shù)驗證試驗，保障了標準內(nèi)容的科學性、前瞻性和可操作性。五、標準實施意義與產(chǎn)業(yè)影響對企業(yè)而言，標準為DPI設(shè)備廠商提供了從專用硬件向虛擬化軟件形態(tài)轉(zhuǎn)型的統(tǒng)一技術(shù)規(guī)范，有助于降低研發(fā)成本和市場碎片化風險。對電信運營商而言，標準的實施將有效降低DPI系統(tǒng)的部署和運維成本，縮短新業(yè)務(wù)的上線周期，并通過解耦化的軟件架構(gòu)提升系統(tǒng)的靈活性和可擴展性。對行業(yè)而言，本標準的發(fā)布填補了虛擬化DPI組網(wǎng)技術(shù)領(lǐng)域標準缺失的空白，與已發(fā)布的NFV系列標準、邊緣計算標準及網(wǎng)絡(luò)安全標準形成有效銜接，完善了信息通信行業(yè)標準體系中針對虛擬化網(wǎng)絡(luò)功能的規(guī)范建設(shè)。對網(wǎng)絡(luò)安全能力而言，標準的技術(shù)規(guī)范化將促進“云—邊—端”一體化安全防護體系的有效落地，為5G和邊緣計算環(huán)境下的流量可視化及安全監(jiān)測提供有力支撐，為國家網(wǎng)絡(luò)空間安全治理提供基礎(chǔ)設(shè)施層面的技術(shù)保障。六、結(jié)論與展望YD/T6376-2025《基于電信邊緣云的虛擬化深度包檢測（DPI）組網(wǎng)技術(shù)要求》作為國內(nèi)外首項針對邊緣云場景下虛擬化DPI組網(wǎng)技術(shù)的行業(yè)標準，填補了該領(lǐng)域標準化工作的空白，解決了傳統(tǒng)DPI技術(shù)難以適配新型云化網(wǎng)絡(luò)架構(gòu)的突出問題，為電信運營商和相關(guān)企業(yè)在邊緣云環(huán)境中規(guī)范化部署虛擬化DPI系統(tǒng)提供了權(quán)威的技術(shù)依據(jù)。標準有效銜接了NFV框架體系、網(wǎng)絡(luò)安全等級保護要求及DPI既有標準序列，初步形成了較為完整的虛擬化DPI標準化閉環(huán)。展望未來，隨著算力網(wǎng)絡(luò)、6G通信及網(wǎng)絡(luò)人工智能技術(shù)的持續(xù)演進，虛擬化DPI技術(shù)亦將朝著智能化、服務(wù)化方向深度發(fā)展。標準后續(xù)修訂工作應(yīng)重點關(guān)注以下方向：一是人工智能驅(qū)動的智能流量識別與威脅檢測算法引入；二是與算力網(wǎng)絡(luò)架構(gòu)的深度融合與協(xié)同編排；三是針對更加多樣化的加密流量分析技術(shù)要求；四是面向6G新架構(gòu)下的安全監(jiān)測需求預(yù)研。同時，建議適時啟動配套測試評估標準的制定及國際標準輸出的可行性論證工作，推動中國標準走向國際舞臺，提升我國在網(wǎng)絡(luò)流量安全治理領(lǐng)域的標準話語權(quán)和國際影響力。參考文獻[1]工業(yè)和信息化部.“十四五”信息通信行業(yè)發(fā)展規(guī)劃[Z].2021.[2]中共中央、國務(wù)院.數(shù)字中國建設(shè)整體布局規(guī)劃[Z].2023.[3]全國信息安全標準化技術(shù)委員會.GB/T22239-2019信息安全技術(shù)網(wǎng)絡(luò)安全等級保護基本要求[S].北京:中國標準出版社,2019.[4]中國通信標準化協(xié)會.YD/T