Zusammenfassung

  • Vor Commit-Final lassen sich Ursprungssperre oder vorläufiges Minting am Ziel noch aufheben. Nach dem Burn erklärt Revision 17 einen Abbruch für wirkungslos.
  • Der aktuelle Core unterstützt weder Recovery noch Session Resumption. Die Architektur verlangt Logs und Checkpoints, lässt deren gemeinsame Semantik und den Wiederanlaufpunkt aber offen.
  • Nötig ist ein Point-of-no-Return-Ledger, das lokale Absicht, Versand, Empfang, Gateway-Behauptung und beobachteten Zustand in beiden undurchsichtigen Netzen auseinanderhält.

Der kritische Fehlerfall beginnt nach einem gültigen Schritt. Das Sender-Gateway verschickt Commit-Final und behauptet damit, das Asset im Ursprungsnetz vernichtet zu haben. Bevor die abschließende Bestätigung zurückkommt, bricht die Verbindung ab. Ein Operator sendet Abort. Die Nachricht kann authentisch sein und trotzdem zu spät kommen.

SATP Core Revision 17 bezeichnet einen Abbruch nach Commit-Final ausdrücklich als wirkungslos. Vorher kann der Sender entsperren oder der Empfänger sein vorläufiges Minting zurücknehmen. Danach ist das Ursprungs-Asset verbrannt, während das Ziel bereits ein Gegenstück erzeugt und dessen Zuweisung zugesagt hat.

Seit dem 25. September 2026 befindet sich der Entwurf im IETF Last Call, der am 9. Oktober endet. Die Datatracker-Historie belegt einen Internet-Draft auf dem Weg zur möglichen Proposed Standard-Veröffentlichung, keinen RFC und keinen realen Transfer.

SATP verbindet Gateways vor zwei Netzen, deren Innenzustand dem jeweils anderen verborgen bleibt. Die SAT-Architektur fordert Atomicity, Consistency, Isolation und Durability, stellt aber klar, dass Nachrichten-Interoperabilität allein diese Eigenschaften nicht erzeugt. Die darunterliegenden Systeme müssen Zustand tatsächlich gemeinsam ändern.

Stage 1 fixiert Proposal, Receipt, Commence und ACK. Signaturen und Hashverkettung beweisen die akzeptierte Nachrichtenfolge, nicht die Bewegung des Assets. Stage 2 übermittelt die signierte Behauptung, das Asset sei im Ursprungsnetz gesperrt oder hinterlegt. Das netzspezifische Behauptungsformat liegt außerhalb von Core. Ein Receipt bestätigt die Annahme der Aussage, nicht die unmittelbare Beobachtung des fremden Ledgers.

Stage 3 läuft gegen lockAssertionExpiration. Commit-Ready behauptet, das Ziel habe das Gegenstück erzeugt, zunächst sich selbst zugewiesen und sei bereit. Commit-Final behauptet den Burn im Ursprung. ACK-Final behauptet die Zuweisung an den Begünstigten. Transfer-Complete schließt die Sitzung. Wer diese vier Belege zu „committed“ zusammenzieht, verliert die genaue Bruchstelle.

Auch Abort besteht aus getrennten Tatsachen: lokal beschlossen, gesendet, vom Peer empfangen und im Netz wirksam zurückgesetzt. Der Entwurf weist auf Nachrichtenverlust und Crash vor Empfang hin. Ein Versandprotokoll ist deshalb kein Rollback-Beweis.

Core Abschnitt 10.8 sagt, dass die aktuelle Version Recovery und Resumption nicht unterstützt. Die Architektur verlangt Ereignisprotokolle und Checkpoints und stellt sich eine Fortsetzung durch ein Ersatz-Gateway vor. Gemeinsames Format, Semantik und Neustartpunkt bleiben jedoch künftiger Arbeit und lokaler Strategie überlassen. RFC 5424 standardisiert Syslog, nicht die sichere Wiederholung eines SATP-Burn.

TLS 1.3, JWS und Problem Details schützen Transport, Urheberschaft und Fehlerstruktur. Sie beobachten nicht automatisch Lock, Burn, Mint und Assignment in beiden Blackboxes. Die SAT Use Cases nennen Frachtbriefe und Akkreditive als Designkontext, nicht als Adoptionsnachweis.

Ein brauchbares Ledger bindet sessionId, transferContextId, jede Signatur und jeden Vorgänger-Hash an Lock- und Burn-Belege, Mint- und Assignment-Belege, Ablaufzeit, Sende- und Empfangszeiten, Gateway-Identitäten, Netzfinalität, Neustartgeneration, Abort-Sende- und Empfangsstatus sowie die letzte von beiden Seiten belegte Stufe.

Heng Lus Running-Code Primacy ordnet ausgeführten Zustand vor Nachrichtenetikett. Minimum Initial Specification hält den gemeinsamen Vertrag schmal; Reality Layers verhindern, dass das signierte Symbol die materielle Wirkung ersetzt.

Quellen