Résumé

  • Un programme COIN, son artefact compilé et une instance effectivement chargée sont trois objets distincts. Le fait qu’un équipement exécute du code ne prouve ni l’identité du code ni le mandat qui permettait son placement.
  • Le calcul en réseau déplace aussi des pouvoirs : lire ou modifier un flux, conserver un état, choisir une ressource, arbitrer entre locataires et émettre une action de contrôle. Chaque pouvoir exige une portée explicite et une preuve indépendante.
  • La bonne unité de gouvernance est un reçu d’exécution reliant le principal, la décision de placement, l’enveloppe de permissions, l’état, les ressources, la sortie, l’éventuel ordre de surclassement, l’effet observé et le nettoyage après révocation.

Le service est resté, l’instance a changé

Une application peut conserver le même nom pendant que son exécution se déplace. C’est une propriété utile : un casque de réalité étendue, un atelier ou un service de traitement massif peut trouver une ressource plus proche et réduire un délai. Mais la continuité du nom masque facilement une rupture de preuve.

Quelle instance a reçu la requête ? Quel binaire était chargé ? L’état venait-il de l’ancienne instance ou avait-il été reconstruit ? L’équipement pouvait-il appliquer la restriction de lecture prévue ? La nouvelle ressource appartenait-elle au même opérateur, au même locataire et à la même juridiction ? Si deux instances ont agi pendant la transition, l’opération supportait-elle la duplication ?

La RFC 9817, publiée en août 2025, rassemble des cas d’usage du Computing in the Network. Les équipements programmables peuvent être des commutateurs ou des cartes réseau. Les exemples vont du déport d’application mobile à la réalité étendue, au contrôle industriel, au prétraitement de données, au CDN, au Compute-Fabric-as-a-Service, à la programmation de réseaux virtuels et à l’entraînement distribué de systèmes d’IA.

Son statut borne toute conclusion. La fiche du RFC Editor la classe Informational dans le flux IRTF. Elle exprime le consensus du groupe de recherche COINRG, non celui de l’IETF ; elle n’est pas une norme Internet et ses résultats peuvent ne pas convenir au déploiement. La RFC 7841 explique cette séparation des flux. La page officielle de l’IRTF indique aujourd’hui que COINRG est clos. Cette clôture n’est ni une certification ni un rejet d’une mise en œuvre particulière.

La valeur du texte tient à ses questions ouvertes. Il ne transforme pas une possibilité architecturale en promesse commerciale.

Trois identités là où les tableaux n’en montrent qu’une

Le programme COIN est une fonctionnalité spécifiée. L’instance est une occurrence en cours d’exécution. Entre les deux se trouve l’artefact réellement accepté par la cible.

Un registre peut nommer la version logique. Un système de construction produit un binaire spécifique à une architecture. Un orchestrateur demande un placement. Un appareil accepte ou réduit certaines fonctions. Un ordonnanceur dirige un flux. L’instance traite enfin des données. Dire ensuite « le programme X a fonctionné » fusionne six événements.

La RFC demande comment identifier programmes et instances, comment choisir une instance précise, comment l’épingler à une ressource et comment préserver l’affinité d’une transaction avec un état éphémère. Le dossier Datatracker et son historique prouvent la filiation du document, pas l’identité d’un processus d’exécution. Le projet de terminologie COIN, expiré, reste un vocabulaire daté et non une norme.

Le reçu minimal associe la spécification, le paquet source, le compilateur et ses options, l’artefact cible, le profil de capacités, la transaction de chargement, l’identité d’instance, la génération d’état et l’invocation. Lors d’une mise à jour progressive, les anciennes et nouvelles versions doivent rester distinguables. Lors d’un repli, la réduction fonctionnelle doit être visible. Après un redémarrage à chaud, un nouveau processus ne doit pas hériter silencieusement de l’autorité de l’ancien.

La primauté du code exécuté n’accorde pas au code une souveraineté. Elle oblige l’institution à regarder ce qui a réellement été chargé et exécuté.

Lire et réécrire sont des pouvoirs, pas des caractéristiques techniques

Un dispositif programmable peut examiner des en-têtes, accéder à une charge utile, agréger des valeurs, supprimer des éléments, modifier un champ, répliquer des données ou produire une commande. Le placement d’un programme crée donc une décision d’accès.

La section sécurité de RFC 9817 rappelle que les premières générations d’équipements programmables ont parfois peu de fonctions cryptographiques et travaillent souvent sur des données non chiffrées. Donner à un intermédiaire la possibilité de déchiffrer change encore le modèle. Le texte propose le moindre privilège : uniquement les droits de lecture et de modification nécessaires.

Il faut alors comparer droit demandé et droit effectif. Un compilateur peut élargir le parseur. Une cible peut ne pas isoler deux champs voisins. Une encapsulation change la position d’une donnée. Un mode de diagnostic révèle ce que le chemin normal cache. Un repli logiciel dispose parfois de plus de privilèges que le pipeline matériel.

L’autorisation devrait identifier le principal, le but, les classes de données, les opérations, les destinations d’export, la durée et la règle de destruction. L’attestation de la cible devrait montrer ce qu’elle a réellement pu imposer. Le résultat devrait être contrôlé par un observateur qui n’est pas le seul orchestrateur du programme.

La RFC 3234 avait déjà montré qu’un intermédiaire ajoute configuration, état, modes de panne et difficulté de diagnostic. Une amélioration dans le réseau ne remplace pas la correction de bout en bout. La RFC 7663 décrit des effets analogues des fonctions réseau sur la transparence et l’évolution d’IPv6. La programmabilité accélère le changement ; elle ne supprime pas le pouvoir de l’intermédiaire.

Le placement répond à plusieurs autorités

La question la plus importante de RFC 9817 se trouve dans le cas du contrôle industriel : qui décide quelle instance de contrôle est exécutée et quelles informations peuvent servir à cette décision ?

Le premier « qui » désigne l’autorité de placement. Le second délimite l’autorité d’utiliser des données. Les deux ne coïncident pas nécessairement.

L’application exprime un besoin de délai. Le locataire impose une frontière de données. L’opérateur protège la stabilité du dispositif partagé. Le responsable de sûreté limite les actions locales. Un régulateur peut interdire une localisation ou imposer une interception. Un fournisseur cherche l’utilisation de ses ressources. Aucun de ces objectifs ne gagne automatiquement.

Le journal doit conserver le demandeur, le décideur, l’instantané des contraintes, les candidats envisagés, les exclusions, la cible retenue et la règle ayant départagé des exigences opposées. « Meilleure instance » ne signifie rien sans fonction d’objectif et sans principal.

Une ressource techniquement disponible peut être juridiquement interdite. La cible la plus proche peut avoir une précision insuffisante. Un équipement local peut être privé du canal de surclassement global. Une ressource fournie temporairement par un utilisateur peut se trouver hors du domaine de confiance.

Automatiser ce choix ne dissout pas le mandat. Cela rend son enregistrement plus urgent.

L’état rend le déplacement irréductible à une copie

L’affinité lie une requête durable à une instance qui détient un état : position dans une séquence, agrégat partiel, compteur de débit, contexte cryptographique, paramètres de modèle ou fenêtre de contrôle. Déplacer le code sans l’état peut répéter ou omettre une opération. Déplacer l’état sans ses droits peut exposer des données.

Une remise d’état vérifiable contient instance source et cible, schéma, génération, contenu borné, contexte de protection, règle de pause ou de chevauchement, empreinte du transfert, point d’activation, première invocation acceptée, retrait de la source et sort des résidus.

La programmation de réseau virtuel évoquée par RFC 9817 pose aussi la sémantique « exactement une fois » ou « au moins une fois » pour les opérations idempotentes. Une mesure répétée peut être tolérée. Une incrémentation, une modification de paquet ou une commande d’actionneur peut ne pas l’être.

La disponibilité ne suffit donc pas. Deux instances actives avec des générations différentes peuvent répondre vite et produire deux présents incompatibles. Un retour à l’ancien binaire tout en conservant l’état nouveau ne restaure pas l’ancien système.

Une réponse plus rapide peut être moins exacte

Pour le contrôle industriel, la RFC envisage un contrôleur local simplifié, très rapide, et un contrôleur éloigné, plus complet mais plus lent. Elle pose explicitement le compromis entre précision et possibilité d’implémentation. Elle recommande que l’action locale puisse être surclassée par un contrôleur global et que la précision prévue soit exposée.

La précision prévue est une déclaration. L’erreur mesurée dans une enveloppe définie est une preuve. L’effet physique est un résultat. Un voyant unique ne doit pas les confondre.

Les cibles peuvent limiter la précision numérique, la mémoire, les instructions ou le temps de calcul. Un algorithme fonctionne au centre d’une plage puis échoue près d’une saturation. Une migration lui donne un état périmé. Le surclassement arrive après une action irréversible. Deux niveaux de contrôle oscillent parce que leurs horloges et modèles d’erreur divergent.

Le reçu relie horodatage et validité des entrées, artefact, représentation numérique, génération d’état, sortie locale, erreur annoncée, observation distante, décision de surclassement, réception par l’actionneur et réponse mesurée. Un graphe de délai sans ce lien ne prouve que la vitesse.

La ressource partagée possède son propre contrat

Une instance utilise des étages de parseur, des tables, de la mémoire, des unités arithmétiques, des files, de la bande passante et de l’énergie. Même si les données de deux locataires restent séparées, l’un peut réduire la marge de l’autre.

Les questions CFaaS de RFC 9817 portent sur l’arrivée et le retrait dynamiques des ressources, leur disponibilité, leur comptabilisation, la confiance et l’isolation. La partie réseau virtuel demande comment empêcher surconsommation, injection de trafic et accès non autorisé, et comment partager équitablement.

Il faut distinguer réservation, admission, installation, disponibilité, consommation et résultat. Une capacité réservée peut ne pas être exposée par la cible. Un programme tient au chargement puis épuise une table sous une rafale de nouveaux flux. Une garantie de file perd devant une fonction prioritaire non divulguée. Un compteur d’instructions oublie la pression mémoire et les copies supplémentaires.

Le locataire doit recevoir l’enveloppe promise, le profil mesuré de la cible, les ressources admises, la distribution consommée, les conflits et évictions, puis la transformation en facture. « Équitable » n’est pas une propriété tant que l’unité et la règle de perte ne sont pas définies.

La RFC 8300 illustre l’utilité d’un chemin de service et de métadonnées explicites. Mais un identifiant de chemin ne prouve pas quel binaire a traité un paquet, ni combien de fois, ni avec quel état. Il reste une clé de jointure.

Un essai qui cherche les divergences

Un pilote sérieux emploie au moins deux cibles aux capacités différentes, une ressource partagée et une fonction avec état. Le programme autorisé peut lire deux champs, en modifier un dans une limite et émettre un agrégat. Le paquet source, la construction, l’artefact cible et l’enveloppe de permission sont identifiés avant le premier paquet.

La base associe des entrées connues à un observateur indépendant de bout en bout. L’essai injecte ensuite une ancienne version sous le nom actuel, une cible incapable de faire respecter le droit étroit, un transfert d’état avec chevauchement, une double invocation non idempotente, un épuisement après admission, une contention entre locataires, un surclassement local, une partition du canal global, un retour arrière laissant un résidu et une métadonnée annonçant un service qui n’a pas été exécuté.

Chaque cas produit le même ensemble : principal, décision, contraintes, empreintes du programme et de l’artefact, compilateur, capacités, appareil et lieu, permissions effectives, génération d’état, ressources réservées et consommées, entrée, sortie ou modification, surclassement, observation finale, alarme, décision humaine, retour arrière et nettoyage.

Le projet d’analyse des cas d’usage, expiré, regroupe composition, placement, fonctionnement dynamique, intégration, sécurité et propriétés du système. Il montre la décomposition du problème, pas sa résolution.

Ce qui n’est pas établi

RFC 9817 ne publie ni déploiement opérateur nommé, ni matrice d’implémentation, ni format universel d’identité, ni compilateur vérifié, ni langage de permissions, ni protocole de migration d’état, ni unité commune de comptabilité, ni méthode de retour arrière.

Elle ne prouve aucun gain de délai, d’énergie ou de coût en production. Elle ne prouve ni accélération de l’IA distribuée, ni amélioration de sûreté industrielle, ni respect de la vie privée, ni isolation correcte, ni facturation équitable.

Les références Datatracker décrivent le contexte ; les documents qui citent RFC 9817 ne mesurent pas l’adoption. La recherche d’errata est un état éditorial, non une télémétrie de terrain.

« Dans le réseau » n’est pas une propriété de sécurité. La RFC 8799 rappelle qu’un domaine limité a besoin de membres, de rôles et de frontières vérifiables. Un atelier sous une seule autorité et un tissu multi-fournisseurs n’ont pas les mêmes principaux ni les mêmes conséquences.

Sources

  1. Datatracker : RFC 9817
  2. Historique de RFC 9817
  3. Documents citant RFC 9817
  4. Références de RFC 9817
  5. Fiche RFC Editor de RFC 9817
  6. RFC 9817
  7. Recherche d’errata de RFC 9817
  8. RFC 7841
  9. RFC 3234
  10. RFC 7663
  11. RFC 8300
  12. RFC 8799
  13. Projet COIN d’analyse des cas d’usage
  14. Projet de terminologie COIN
  15. Page IRTF du COINRG clos
  16. Heng Lu : primauté du code exécuté
  17. Heng Lu : spécification initiale minimale
  18. Heng Lu : couches de réalité