ТСПУ разбирает каждый пакет как минимум дважды. У него два (или больше?) независимых движка с индивидуальными настройками. Сейчас один работает с реестром, другие с внереестровыми записями. Любой из них может заморозить или вмешаться в сессию пользователя. Обновление движков идет постоянно, зонд движется вглубь.
Откуда у вас это информация и насколько она достоверна? Не путаете ли прохождение пакета через несколько систем DPI на линии с разными режимами работы ТСПУ? У Ростелекома в Санкт-Петербурге DPI’ев на собственной линии три штуки: ТСПУ + их собственный + странный, еще могут быть дополнительные системы на транзитных каналах по пути следования пакета.