Zusammenfassung

  • RFC 9171 behandelt Empfang, Weiterleitung, lokale Zustellung, Löschung und Statusberichte als verschiedene Bundle-Protocol-Zustände; ein Bericht sagt aus, was der berichtende Knoten behauptet.
  • BPv7 gewährleistet nicht selbst die Ende-zu-Ende-Zustellung, und custody transfer ist kein Zustand des Basisprotokolls mehr. Ein Empfang beweist daher weder Verwahrung noch Anwendungsverarbeitung, Befugnis oder äußeres Ergebnis.

Verzögerungstolerante Netze funktionieren dort, wo die Annahme eines fortlaufenden Gesprächs nicht trägt. Verbindungen können aussetzen, Latenzen groß werden und der nächste Nachbar beim Senden nicht erreichbar sein. Bundle Protocol Version 7 transportiert Anwendungsdaten zusammen mit den Informationen, die sie bei späterer Zustellung nutzbar machen können. Unter diesen Bedingungen bilden „gesendet“ und „erledigt“ noch keine prüfbare Beweiskette.

RFC 9171 verwendet deshalb präzisere Verben. Eine Transmission ist der Versuch des Bundle Protocol Agent, kurz BPA, Kopien zu Mitgliedern eines Endpoint gelangen zu lassen. Forwarding ist die nachhaltige Inanspruchnahme eines oder mehrerer Convergence-Layer-Adapter, um den Empfang einer Kopie durch einen anderen Knoten zu bewirken. Delivery ist enger und lokal: Nutzlast und relevante Metadaten sind, gemäß einer lokalen Registration, dem Application Agent eines Knotens präsentiert worden. Löschen, Verwerfen und Retention Constraints sind weitere, eigenständige Zustände.

Das ist keine begriffliche Pedanterie, sondern der Umfang eines Nachweises. Ein weitergeleitetes Bundle muss nicht empfangen sein. Ein empfangenes Bundle muss nicht lokal zustellbar sein. Eine dem Application Agent präsentierte Nutzlast muss nicht verarbeitet worden sein. Und ein Bericht über eine dieser Phasen muss nicht bei der Stelle eingetroffen sein, die reagieren soll. Wer alles mit „zugestellt“ beschriftet, vereinfacht die Anzeige und verwischt, an welchem Punkt Verantwortung wechselte.

Schon das Empfangsverfahren zeigt die Grenze. Erhält ein BPA ein Bundle von einem anderen Knoten, fügt es die Retention Constraint „Dispatch pending“ hinzu. Wurde ein Empfangsbericht angefordert und ist Status Reporting aktiviert, soll der BPA einen Empfangsstatusbericht an den report-to Endpoint erzeugen. Daraus folgt eine begrenzte, belastbare Aussage: Dieser Knoten hat die vorgeschriebene Verarbeitung eines empfangenen Bundles begonnen.

Das bedeutet nicht, dass das Bundle danach erhalten bleibt. Der BPA prüft angehängte CRCs. Ist das Bundle fehlgebildet oder stimmt ein angehängter CRC nicht mit dem beim Empfang berechneten Wert überein, muss es gelöscht und der Rest des Empfangsverfahrens übersprungen werden. Ein nicht verarbeitbarer Extension Block kann ebenfalls einen Bericht auslösen und je nach seinen Steuerflags zur Löschung oder zur Entfernung des Blocks führen. Ein Empfangsbericht kann also nicht in den Nachweis verwandelt werden, dass ein konformes Objekt aufbewahrt, weitergeleitet oder einer Anwendung zugestellt wurde.

Die Weiterleitung hat einen anderen Gegenstand. Der BPA wählt Knoten und Adapter und stößt die Sendung an. Ob die beendeten Datensendevorgänge erfolgreiches Forwarding ergeben haben, ist eine implementierungsspezifische Feststellung; bleibt sie aus, kann der BPA nach lokaler Konfiguration erneut versuchen. Ein Forwarding-Bericht bezieht sich auf genau diesen Zustand. Er ist weder eine Quittung des nächsten Knotens noch eine Zusage über die Fortdauer eines Pfads noch ein Nachweis der Ankunft am Ziel-Endpoint.

Am Ziel wird die Grenze noch deutlicher. Lokale Zustellung hängt vom Zustand der Registration ab, die zum Ziel-Endpoint gehört. Fragmente können zunächst zusammengesetzt werden müssen; eine passive Registration oder ein implementierungsspezifischer Zustellfehler kann die Zustellung aufschieben oder aufgeben. Selbst ein erzeugter Zustellstatusbericht besagt nach ausdrücklichem Wortlaut der RFC nur, dass die Nutzlast dem Application Agent zugestellt wurde, nicht dass dieser Agent sie verarbeitet hat.

Das ist für automatisierte Steuerungen wesentlich. Eine Anwendung kann Daten nach ihren Regeln validieren, einreihen, zurückweisen, zurückstellen, umformen oder ignorieren. Der BP-Zustand verrät nicht, welcher Fall eingetreten ist. Er benennt keinen fachlichen Entscheider, belegt keine Prüfung durch eine befugte Person und zeigt nicht, dass eine irreversible Anweisung ausgeführt wurde. Wenn diese Tatsachen benötigt werden, müssen Anwendung und Entscheidungssystem eigene Nachweise führen.

Statusberichte sind nützlich, aber kein allwissendes Journal. Ihre Erzeugung muss standardmäßig deaktiviert sein, weil viele Anforderungen übermäßigen Verkehr auslösen können. Auch bei Aktivierung liegt die Entscheidung, einen angeforderten Bericht zu erzeugen, beim BPA. Eine enthaltene Zeit stammt von der lokalen Uhr des Knotens und ist Implementierungssache. Der Bericht ist damit eine begrenzte Behauptung eines Knotens, die als weiteres Bundle zum report-to Endpoint transportiert wird; er ist weder eine globale verlustfreie Chronologie noch der Beweis, dass der vorgesehene Leser ihn erhielt.

Der historische Kontrast zur custody ist ebenfalls wichtig. Die experimentelle RFC 5050 definierte custody acceptance und custody signals. Die Tabelle in RFC 9171 führt die entsprechenden Request-Flags als Werte der Version 6, und Anhang A sagt, dass custody transfer zu Bundle-in-Bundle Encapsulation migriert ist. Das Basis-BPv7 behält brauchbare Mechanismen für Retention, Weiterleitung, lokale Zustellung, Berichte und Erweiterungen. Es macht jedoch aus Empfang keine Übernahme einer Verwahrung.

Wer eine belastbare Aufbewahrungszusage braucht, muss Mechanismus, Bedingungen und Fehlerbehandlung benennen; sie lässt sich nicht aus einem Empfangsbit herauslesen.

Die weiteste Grenze formuliert RFC 9171 selbst: Bundle Protocol stellt die Zustellung an das Ziel nicht sicher. Verlässliche Convergence-Layer-Protokolle können Verluste zwischen Nachbarn mindern; Ende-zu-Ende-Zustellsicherheit verlangt BP-Erweiterungen und/oder Mechanismen der Anwendungsschicht. Das ist kein übersehener Mangel, sondern eine ehrliche Zuständigkeitsverteilung. Das Protokoll beschreibt, was ein BPA an einem bestimmten Punkt mit einem Bundle tat; es gibt nicht vor, spätere Entscheidungen von Anwendungen, Personen oder Institutionen zu beweisen.

Für Führungsteams lautet die Frage daher nicht, ob ein Empfangsbericht grundsätzlich zu misstrauen ist. Sie lautet, ob der Datensatz nur das sagt, was er weiß. Empfang, Weiterleitung, lokale Zustellung, Verarbeitung, Bestätigung, Genehmigung und externe Ausführung sollten getrennt bleiben. Jeder Datensatz muss seinen Behaupter, die zugrunde liegende Regel, seinen Empfänger, seine Zeitquelle und seine Fehlerbedingung nennen. Enge, wahre Tatsachen lassen sich verbinden. Ein einziges grünes Signal, das alles zu beweisen behauptet, wird durch spätere Prüfung nicht wahr.

Lu Hengs Trennung von Repräsentation, lokaler Entscheidung und laufender Realität ist hier eine hilfreiche redaktionelle Disziplin. Ein BP-Bericht repräsentiert einen abgegrenzten Protokollzustand. Für diesen Zustand darf man ihm vertrauen; man darf ihn nicht zu einer Erklärung von Befugnis oder Erfolg befördern. Laufende Systeme werden widerstandsfähiger, wenn sie ein beobachtetes Ereignis von einer Folge unterscheiden, die ein anderer Akteur noch wählen und vollziehen muss.

Quellen