Zusammenfassung

  • CAN hasht einen Schlüssel auf einen Punkt in einem mehrdimensionalen logischen kartesischen Raum. Das Originalpapier betont, dass dieser Raum keinerlei Beziehung zu einem physischen Koordinatensystem besitzt.
  • Der Knoten, dem die umgebende Zone „gehört“, trägt die gegenwärtige betriebliche Speicher- und Routingzuständigkeit. Beitritt, Austritt und Ausfall können sie verlagern.
  • Das Erreichen des aktuellen Zonenhalters belegt einen Vorgang im gegenwärtigen Overlay. Es belegt weder realen Ort noch Aktualität, Urheberschaft, Befugnis, Sicherheit oder dauerhaftes Eigentum.

Ein Punkt, der keinen Ort bezeichnete

In A Scalable Content-Addressable Network steht ein unscheinbarer Satz, der die Bedeutung des Entwurfs festlegt. CAN verwendet einen logischen kartesischen Raum mit d Dimensionen, der als Torus organisiert ist. Dieser Raum hat keinen Bezug zu einem physischen Koordinatensystem.

Eine gleichmäßige Hashfunktion bildet einen Schlüssel auf den Punkt P ab. Der gesamte Raum wird dynamisch in Zonen geteilt. Das Schlüssel-Wert-Paar liegt bei dem Knoten, dessen Zone P enthält. Eine Suche berechnet denselben Punkt erneut und wird auf ihn zu geroutet.

Die Koordinate sagt nicht, wo Daten in der Welt liegen. Sie enthält kein Land, kein ASN, keine IP-Adresse, kein Rack und keine Latenz. Sie entscheidet nur, wer unter der aktuellen Mitgliedschaft und Teilung für diesen Punkt zuständig ist.

Das SIGCOMM-Papier von 2001 stammt von Sylvia Ratnasamy, Paul Francis, Mark Handley, Richard Karp und Scott Shenker. Ratnasamy ist die biografische Hauptperson dieses Beitrags, nicht CANs alleinige Erfinderin. Gemeinsam schlugen die Autoren eine verteilte, hash-tabellenähnliche Infrastruktur ohne zentralen Koordinator für gewöhnliche Suche und Raumaufteilung vor.

„Besitz“ war eine laufende Zuständigkeit

Im Papier „owns“ jeder Knoten eine eigene Zone. Im Protokoll heißt das: Er hält die zugeordneten Paare, kennt angrenzende Zonen und beantwortet oder leitet Anfragen weiter. Er erwirbt dadurch weder das Datum noch den physischen Rechner. Ebenso wenig bestätigt die Zuweisung, wer den Wert erzeugt hat, ob er richtig ist oder wer ihn verwenden darf.

Für das Routing genügt lokales Wissen. Knoten sind Nachbarn, wenn ihre Zonen aneinandergrenzen. Eine Nachricht geht jeweils an den Nachbarn, der dem Ziel im logischen Raum am nächsten liegt. Bei gleichmäßiger Teilung nennt die Analyse 2d Nachbarn pro Knoten und eine mittlere Weglänge von (d/4)(n^(1/d)).

Der geringe Zustand ermöglicht Wachstum. Er erweitert aber nicht die Beweiskraft. Ein CAN-Hop ist ein Fortschritt im Koordinatenraum und kein IP-Hop. Koordinatennachbarn können im zugrunde liegenden Internet weit auseinanderliegen. Nähe im Overlay misst weder Laufzeit noch Jurisdiktion.

Ein Beitritt teilte eine nahe Zuständigkeit

Ein neuer Knoten findet zunächst einen Bootstrap-Knoten, wählt einen zufälligen Punkt und schickt einen JOIN zum aktuellen Verantwortlichen dieses Punkts. Der Empfänger halbiert seine Zone, behält einen Teil und überträgt den anderen samt zugehöriger Schlüssel-Wert-Paare an den Neuzugang. Die umliegenden Knoten passen ihre Nachbarschaft an.

Nicht die ganze Karte wird neu ausgegeben. Es ändert sich die kleinste Region, die den Teilnehmer aufnehmen kann. Die nächste Grenze bleibt der nächsten beobachtbaren Veränderung vorbehalten. So wird lokalisierte Zukunftsentscheidung zu einem laufenden Verfahren.

Nach der Teilung kann eine Koordinate von A zu B wechseln. Weder ist das Datum in ein anderes geografisches Gebiet gereist, noch hat sich sein Autor verändert. Verlegt wurde die Pflicht, es zu speichern und dafür zu antworten.

Bei einem geplanten Austritt können Zone und Datenbank übergeben werden. Passende Zonen verschmelzen; andernfalls verwaltet ein Nachbar vorübergehend mehrere Zonen. Die Aussage „B besitzt Punkt P“ benötigt daher Zeitpunkt, Mitgliedschaftsstand und einen Teilungs- oder Übergabebeleg.

Vollständige Abdeckung war noch keine vollständige Datenbasis

Ein ungeplanter Ausfall trennt zwei Reparaturen. Ein Nachbar übernimmt die verwaiste Zone, sodass der Koordinatenraum wieder vollständig abgedeckt ist. Die auf dem ausgefallenen Knoten gespeicherten Paare gehen laut Papier jedoch verloren, bis ihre Datenhalter sie erneut einstellen.

Der Weg kann wieder funktionieren, obwohl der Inhalt fehlt. Eine Überwachung, die nur die Abdeckung der Zonen prüft, macht aus einer Topologiereparatur eine falsche Zusage zur Datenkontinuität.

Nachbarinformationen waren Soft State und wurden unmittelbar sowie periodisch aktualisiert. Gleichzeitige Ausfälle benachbarter Knoten konnten widersprüchliche Ansichten erzeugen. Eine Suche in wachsenden Ringen sollte ausreichend Nachbarschaft rekonstruieren. Nicht eine allwissende Leitkarte, sondern beobachtbare lokale Schritte stellten den Betrieb wieder her.

Die Autoren untersuchten außerdem mehrere „realities“, also unabhängige Koordinatenräume für Replikate. Mehrere Kopien mindern das Risiko eines einzelnen Verlusts. Sie bestimmen aber nicht, welche Kopie das Original, richtig oder autorisiert ist. Platzierung, Version und Refresh benötigen pro Realität eigene Belege.

Ein Locator ist kein Attest

CANs saubere Schnittstelle verleitet dazu, Rollen übereinanderzulegen. Herausgeber des Schlüssels, aktueller Speicherer, weiterleitende Knoten, physischer Betreiber und entscheidungsbefugte Stelle können völlig verschiedene Principals sein.

Das Overlay beantwortet nur: Welche Zone ist mit diesem Hash, dieser Teilung und diesen Nachbartabellen zuständig, und welchen Wert gibt sie zurück? Urheberschaft erfordert eine Signatur oder einen anderen Nachweis. Aktualität braucht Version, Zeit oder Ablauf. Aus einem Wert wird erst durch eine gesonderte Policy eine Erlaubnis.

Die Autoren benannten die Sicherheitsgrenze offen. Ihr Beitrag behandelte skalierbares Routing und Indexieren; ein sicheres, gegen Denial-of-Service resistentes CAN blieb Zukunftsarbeit. Ein bösartiger Knoten konnte als Client, Server oder Router handeln. Das dezentrale Verzeichnis entfernte eine zentrale Abhängigkeit, nicht die Notwendigkeit von Vertrauensentscheidungen.

Hier zeigt sich der Wert einer minimalen Anfangsspezifikation. Hash, Zonen, Nachbarschaft und gierige Weiterleitung bilden den gemeinsamen Mechanismus. Signaturen, Zugriffsrechte, Konfliktlösung, Aufbewahrung und Abhilfe gehören in Schichten mit benennbarer Verantwortung. Alles stillschweigend in „Suche erfolgreich“ zu packen, würde die Prüfbarkeit zerstören.

Die bleibende Leistung ist eine saubere Grenze

Berkeley führt Sylvia Ratnasamy heute als Professorin, deren Arbeit sich auf Entwurf und Implementierung vernetzter Systeme richtet. Im Januar 2026 meldete die Universität ihre Aufnahme in die ACM Fellows des Jahrgangs 2025 für Beiträge zu Netzen und vernetzten Systemen und würdigte CAN als wegweisende dezentrale Datensuche ohne zentrales Register.

Die Auszeichnung vergrößert nicht den historischen Nachweis. Das Papier von 2001 zeigte Eigenschaften vor allem durch Simulation, ließ Einsatzentscheidungen offen und löste die Angriffsresistenz nicht. Es bewies auch nicht, dass jedes spätere Peer-to-Peer- oder Cloud-System von CAN abstammt.

Die genauere Lehre ist belastbarer. Ein verteiltes System kann mit einer logischen Karte koordinieren, ohne sie als Geografie auszugeben. Es kann einen gegenwärtigen Verwahrer benennen, ohne ihn zum Eigentümer zu machen. Es kann einen Weg reparieren, ohne die Rückkehr des Inhalts vorzutäuschen. Glaubwürdig bleibt die Karte, wenn nachvollziehbar ist, wann welche Teilung galt und wer welche Pflicht tatsächlich übernahm.

Quellen