Resumen

  • La revisión 02 de draft-ietf-ccamp-fgotn-yang considera terminado un cambio bidireccional solo cuando concluyen ambos sentidos, aunque el controlador de origen sea el único que informa el resultado final al MDSC.
  • lsp-bandwidth-modified-ok es una conclusión de control; no certifica por sí misma los slots, la ruta de reserva, la ausencia de un ajuste forzado ni la continuidad del tráfico.
  • El cierre necesita un recibo por participante y por sentido, reconciliación de recursos y mediciones de servicio posteriores al cambio.

Imaginemos que el coordinador pide ampliar una línea privada de 20 a 30 slots. El controlador del primer dominio inicia el cambio. La configuración avanza hacia el destino. El último nodo dispara el retorno. Después llega el evento que todos esperaban: lsp-bandwidth-modified-ok.

El evento contesta quién declaró cerrado el proceso. No contesta todo lo que la palabra «terminado» invita a creer.

El propio borrador distribuye la realidad. Cada controlador debe comunicar cambios de topología y túnel. El sentido de ida y el de vuelta tienen pasos separados. Si existe protección 1+1, las rutas activa y de respaldo ejecutan señalización. Y si un sentido funciona y el otro falla, se puede forzar consistencia aun sabiendo que la operación puede afectar al tráfico.

La revisión 02 apareció el 30 de septiembre de 2026. Es un Internet-Draft activo del grupo CCAMP, sin nivel RFC previsto, AD responsable ni estado IESG registrado. Sus apartados de gestión, seguridad e IANA siguen pendientes de contenido. No hay base para presentarlo como estándar aprobado, implementación o garantía operacional.

El modelo puede nombrar los recursos sin observar el servicio

fgOTN busca transportar señales pequeñas, incluso inferiores a 1 Gbit/s, dentro de capacidad OTN mayor. El modelo define fgODUflex, un ancho entre 1 y 119 slots finos, y listas fgts-numbers para rutas primarias, inversas, secundarias y efectivas.

Eso mejora la coordinación. Una aplicación puede identificar la capacidad solicitada y los slots previstos. La topología puede mostrar que la capacidad disponible baja aunque la máxima permanezca estable. Sin embargo, el número configurado no prueba exclusividad física, aplicación simultánea ni entrega útil.

Una misma pantalla puede mostrar tres verdades incompletas: intención de 30 slots, estado operativo de 30 y tráfico degradado. O puede mostrar slots libres según una generación de topología que ya quedó antigua mientras otro dominio reserva los mismos recursos.

Por eso el recibo debe unir servicio, enlace servidor, generación, rango de slots, autoridad y lectura física. Un slot «7» sin enlace, capa y momento no es una coordenada suficiente.

La bidireccionalidad no cabe en un booleano

El cliente entrega el identificador fgODUflex y el objetivo al controlador fuente. Antes de actuar se reservan o marcan recursos. La ida se modifica nodo a nodo; el extremo remoto inicia automáticamente el regreso. El borrador solo permite considerar éxito cuando las dos direcciones terminan.

Queda una pregunta que el booleano no responde: ¿terminaron la misma operación?

Un evento atrasado puede pertenecer a un intento anterior. Un reinicio puede reutilizar el identificador local. Una reserva puede vencer antes de que empiece el retorno. Dos lecturas iguales pueden proceder de generaciones de topología incompatibles. Para excluir estas posibilidades, cada sentido necesita identidad transaccional, inicio, objetivo, conjunto reservado, participantes, resultado aplicado y lectura posterior.

El recibo de extremo a extremo debe vincular ambas historias, no sustituirlas. Si una dirección revierte, esa divergencia debe permanecer visible aunque el controlador central haya emitido éxito antes.

Agregar no significa observar

El apéndice asigna al Controller 1 la notificación inicial y final. Controller 3 anuncia el comienzo inverso. Todos los dominios comunican cambios de recursos al MDSC. La arquitectura tiene, por tanto, un relator final y varios testigos.

El error sería guardar solo el relato.

Un cierre defendible enumera los testigos necesarios y referencia sus recibos. Contiene la huella del conjunto de pruebas, la versión de política, la generación y las excepciones. El controlador fuente puede decidir que su flujo terminó, pero no debe fabricar observaciones del dominio intermedio ni borrar una corrección posterior.

Esta separación también permite reemplazar al controlador. Si la única historia vive en un registro propietario, la continuidad técnica se convierte en dependencia institucional. El principio de Heng Lu es el contrario: conservar el libro verificable aunque cambie quien lo administra.

Una reserva atrasada es una deuda invisible

Con protección 1+1, tanto la ruta de trabajo como la de protección participan. Además, cada una tiene ida y vuelta. El estado de un servicio protegido no es una sola línea; son cuatro superficies coordinadas.

La ruta activa puede alcanzar el nuevo ancho mientras la reserva conserva el antiguo. El cliente no ve el problema porque no hubo conmutación. Más tarde, una falla real obliga a usar la reserva y descubre el desfase en el peor momento.

La dirección debe decidir si esa condición bloquea el éxito, si crea un estado degradado con plazo o si admite una excepción. Lo que no debe hacer es presentarla como cierre completo. La protección es capacidad prometida para un fallo futuro; su evidencia pertenece al resultado presente.

La reparación forzada cambia el contrato

Cuando solo un sentido termina, el borrador permite forzar el ajuste para recuperar consistencia y advierte que puede causar impacto. Esa advertencia impide tratar la acción como un detalle interno.

¿Quién puede convertir asimetría en una interrupción deliberada? ¿Durante qué ventana? ¿Con qué estimación de clientes y con qué vuelta atrás? ¿Qué medición decide si el daño fue aceptable?

La política debe responder antes del incidente. Una reparación forzada requiere actor autorizado, motivo, alternativas consideradas, alcance, momento y poscondición. Si hubo pérdida, la etiqueta final puede ser «consistente tras reparación», pero no «sin corte».

La distinción evita que el sistema de control se otorgue poder semántico sobre el servicio. Puede restaurar estado; no puede declarar que el usuario no sufrió lo que las métricas observan.

Cero errores YANG no equivale a cero fallos operativos

La validación automática del Datatracker da cero errores y cero avisos a los módulos extraídos. Esa prueba cubre la estructura del esquema y sus dependencias. No simula mensajes duplicados, un controlador que cae, una ruta de protección lenta ni un equipo que acepta configuración sin aplicarla.

La revisión ofrece modelos y una secuencia, pero no un protocolo transaccional completo. No fija una identidad global obligatoria, quórum, orden, timeout, idempotencia, rollback, diario durable o medición del cliente. Dos implementaciones compatibles con las hojas pueden cerrar en momentos distintos.

Las pruebas deben ascender por capas: esquema, RPC, datastore, acto del dispositivo, convergencia multidominio, protección disponible y tráfico. Saltar una capa convierte conformidad en publicidad.

Qué debe contener el recibo

Antes del cambio: servicio, estado actual, objetivo, capacidad servidor, generación de topología, caminos, política, actor y contexto de mantenimiento.

Durante la reserva: slots por dominio, enlace y capa, conflicto, vencimiento y propietario. Durante la ejecución: timeline por sentido y rol, lectura aplicada, delta de recursos, errores y reintentos. Cada mensaje lleva transacción y generación.

Al cierre: conjunto de participantes, paridad de objetivos, conservación de capacidad, estado de protección y cualquier acción forzada. La notificación fuente referencia la huella de esas pruebas.

Después: pérdida, defectos, retardo, caudal, alarmas y posible reversión sobre una ventana definida. Solo esa última parte autoriza la expresión «sin corte».