要約

  • 2021年11月16日の公式討議では、公に経路広告されていないIPv6割り当てを自動処理が検知しても、会員が自らのネットワーク内部で正当に使っている場合があると説明された。機械が見つけるのは差異であって、違反そのものではない。
  • Draft 2は、問題が3か月未解決ならAFRINIC職員へ通知し、12か月に確認済み違反が3件を超えれば継続的不遵守として扱う構想を示した。しかし、誰が何をもって「確認」するのか、異議が時計と件数を止めるのかを定義しなかった。
  • 会員限定のダッシュボード、明確な根拠の提示、早い通知、容易な訂正は、登録情報の精度と運用の予見可能性を高め得る。この便益は、処罰機能を付けなければ失われない。
  • 公開回収ページ、NSレコードの削除、サービス留保、番号資源の回収、失効、会員資格の終了は、通知とは種類の異なる行為である。異議中の表示や時間切れを、それらへ自動接続してはならない。
  • AFRINICはモーリシャスで設立された会員制の民間技術レジストリ兼調整機関であり、主権者、立法者、規制当局、警察、検察、処罰者、没収機関、公法上の裁判所ではない。会合のコンセンサスもデータベースの状態も、その権限を新たに生まない。
  • 安全な設計では、観測、通知、会員の応答、異議、人的確認、訂正、反復、結果を別々の状態として扱う。適時の異議はすべての時計と集計を止め、誤検知の訂正は不利益な履歴から遡って除き、重大な紛争は独立した適格な手続へ移す。

機械には見えないIPv6の使われ方

2021年11月16日、AFRINICのRPDメーリングリストで、提案者の一人が自動照合の限界を端的に示す例を挙げた。ある会員にIPv6アドレス空間が割り当てられているのに、インターネット上ではその経路が広告されていない。外から取得できる情報だけを突き合わせれば、「割り当てが使われていない」あるいは「方針上の期待と合わない」と見えるかもしれない。ところが会員は、その空間を自社ネットワーク内部で正当に利用している可能性がある。未広告は観測できる事実でも、未使用や違反はそこから直ちに導ける事実ではない。

この場面で最初に役立つ行為は通知である。「AFRINICが保有する情報と外部から観測できる状態には、この差がある。理由を説明するか、登録情報に誤りがあれば直してほしい」と会員だけに知らせる。会員にとっては、担当者が気づかなかった登録のずれを見つける契機になる。AFRINICにとっても、憶測ではなく当事者の説明を受け、記録をより正確にする機会になる。提案者は、画面がAFRINICの既存データを使い、他の会員には見えず、各会員にだけ見えるものだと説明していた。この限定性は重要である。

危険が始まるのは、その機械表示を長く放置された「違反」と同じものとして扱う瞬間だ。通知が届かなかったのかもしれない。担当者が交代していたのかもしれない。会員は期限内に異議を出し、証拠を提出したのに、審査が終わっていないのかもしれない。あるいはIPv6の例のように、表示の前提そのものが実際の利用形態に合っていないのかもしれない。それでも画面のフラグが三か月たったというだけで次の状態へ移るなら、時間は証拠の代わりに使われる。

Draft 2は、この危うさを抽象論ではなく具体的な閾値によって生じさせた。2021年11月9日に公表された「Policy Compliance Dashboard」Draft 2、文書番号AFPUB-2021-GEN-003-DRAFT02、version 2.0は、Jordi Palet Martinez、Frank Habicht、Mark Elkins、Haitham El Nakhalの名で提出され、CPMに新しい節を加えることを提案した。RSAと適用される番号資源方針への適合状況を定期的に確認し、可能な限り自動化して会員の画面に示す。非適合を検知すれば自動通知し、督促し、三か月未解決なら職員へ知らせる。さらに、十二か月の間に「確認済み違反」が三件を超えれば継続的不遵守として扱い、方針違反のない十二か月を経ればその条件をリセットするという構想だった。

ここで読者が見届けるべきなのは、三か月や四件目という数字の妥当性だけではない。観測された差異が、誰のどの判断を経て「確認済み違反」になるのか、その橋がないまま、時計と回数だけが精密になっていることである。精密な時計は、不明確な判断を正確にはしない。むしろ曖昧な入口から入った案件を、予定どおり次の段階へ運ぶ。

Draft 2が結び付けた二つの世界

ダッシュボードの世界では、仕事は比較的穏やかである。登録済みの連絡先が古い、支払いに確認が要る、データの形式が方針の記載と合わない、観測可能な経路と届出内容に差がある、といった項目を一か所に並べる。規則の変更に応じて表示を見直し、会員が自分の状態を早く把握できるようにする。問い合わせの往復が減り、訂正の履歴も残る。これは情報コストを下げる会員サービスとして説明できる。

もう一方には、契約や資源の存続にかかわる世界がある。Draft 2の文面は、継続的不遵守を示す証拠が、より徹底した調査とRSAに基づく追加措置につながり得るとした。無断移転、未払い、文書詐欺などの確認済み契約違反については、サービス失効と会員資格の終了を述べ、RSAまたは方針への反復的・継続的な不遵守は、サービス留保や資源失効につながり得るとした。連絡と是正の試みの後、未解決の資源を最長三か月にわたり公開の回収ページに載せ、公開後二か月たっても解決しなければ関係するNSレコードをバックアップしたうえで削除し、三か月後には資源を回収して保有者記録をAFRINICのデータベースから除くという順序も記した。

これらは同じ画面上の次のボタンではない。非公開の通知は、当事者に情報を返して訂正を促す。公開回収ページは、第三者にも不利益な評価を伝える。NSレコードの削除は、名前解決を支える技術的な記録に手を加える。サービス留保、資源回収、失効、会員資格の終了は、当事者の事業継続とネットワーク運用に触れる。通知の誤りは訂正文で戻せることがあるが、公開や技術的変更の影響は、後でフラグを消せば完全に巻き戻るとは限らない。

提案は、重要な戦略インフラや自然災害、政治的不安定といった例外的事情について、職員の評価後にAFRINIC Boardが失効期間を延ばせるともした。この裁量は、硬直した期限が現実を傷つけ得ることを認める発想ではある。しかし、延長できる人を置くことと、最初の判定が正しいことは別問題だ。救済的な裁量は、観測から確認へ移るための証拠基準にも、異議を判断する独立性にも代わらない。

Draft 2が制度的に変えたのは、表示項目を増やしたことではなく、通知側の状態と結果側の手順を一つの文章の中で近づけたことだった。三か月の未解決状態、十二か月内の確認済み違反の反復、徹底調査、RSA上の追加措置、公開、NSレコード削除、回収という語が同じ流れに置かれる。ところが、各語の間を渡る条件は同じ密度では書かれていない。入口の自動化と出口の期限は見えるのに、中央の判断工程が透けている。

「表示できる」と「同じ意味である」の間

ソフトウェアは異質な情報を同じ一覧に置ける。だが、一覧に置けることは、それらが同じ種類の証拠だという意味ではない。登録フォームの必須欄が空白であることは、比較的客観的に確かめやすい。連絡先メールが不達であることも、送信記録と応答を示せる。一方、番号資源の利用がある方針の趣旨にかなうか、契約文言が特定の運用形態にどう適用されるか、外から見えない内部利用をどう評価するかは、文脈と解釈を要する。

支払いの記録、登録データの欠落、経路の観測、文書の真正性、契約解釈を、一つの「適合状況」に圧縮すると、画面は利用者に総合点のような印象を与え得る。しかしDraft 2が数値の合成スコアを定義したわけではない。正確に言えば、そこにあるのは状態、フラグ、件数、閾値であり、それらがスコアに似た働きをし得るという問題である。数値スコアがないから安全なのではない。異なる根拠のフラグが同じ反復件数に入り、同じ結果経路へ影響すれば、制度上の圧縮は起きる。

この圧縮を避けるには、少なくとも五つの状態を分けなければならない。第一は「観測」であり、機械または職員が差異を見つけたという記録だ。第二は「異議」であり、当事者が事実、データ源、規則の版、解釈のいずれかを争っている状態だ。第三は「確認」であり、開示された証拠基準に従い、理由を示して差異の意味を判断した状態である。第四は「反復」であり、確認が終わり、訂正で取り消されておらず、同種または所定の違反として集計資格を持つ案件だけを数える工程だ。第五は「結果」であり、通知を超える法的・契約的・運用的な行為を、権限ある別の手続が決める段階である。

これらの状態は、順番に名前を付ければ足りるものではない。各状態の所有者、入口条件、出口条件、停止条件、証拠、当事者への通知、訂正方法を定める必要がある。観測者が自分の観測を最終確認し、異議を処理し、反復を数え、結果まで実行できるなら、ラベルが分かれていても権限は分かれていない。とりわけ、機械の観測を確認済みへ自動昇格させる規則や、応答期限の経過を事実認定と同視する規則は置いてはならない。

三か月の時計が答えないこと

三か月という期間は、一見すると会員に十分な是正機会を与えるように見える。通知を受けた後に担当部署を確認し、必要な資料を集め、登録を直し、AFRINICとやり取りするには時間が要る。職員への自動エスカレーションも、案件を永遠に忘れないための管理上の仕掛けとしては理解できる。問題は、Draft 2が「三か月たっても未解決」という状態の内訳を示していないことだ。

未解決には少なくとも異なる原因がある。会員が何も返していない。通知が有効な宛先に届いていない。会員が誤りを認めて訂正作業中である。会員が根拠資料を提出したがAFRINIC側の審査が滞っている。双方が規則の意味を争っている。データ源が更新されず、訂正済みなのに表示だけ残っている。同じ「未解決」の一語であっても、当事者の責任と次に必要な行為はまるで違う。

適時に異議が出された案件で時計を進め続ければ、審査する側の遅れが会員の不利益へ転嫁される。提出資料が多いほど審査が長引き、その長さが「継続」の印象を強めるという逆転さえ起こり得る。三か月は、応答がなかった案件を職員が確認する内部予定日には使えても、異議中の観測を違反へ変える熟成期間には使えない。職員へ知らせることと、違反を確認することを同じイベントにしてはならない。

時計には、開始時刻だけでなく、送達の証拠、停止事由、再開条件、責任を負う側を記録する必要がある。通知が実際に届いたか。会員がどの時点で応答したか。追加資料を誰が求め、いつ受け取ったか。AFRINIC内部の待ち時間はどれだけか。規則やデータが途中で更新されたか。こうした記録なしに「90日経過」という表示だけを残すと、時間が中立的な物差しに見えながら、実際には制度運営者の遅延を隠す。

十二か月の件数が誤りを増幅する仕組み

Draft 2のもう一つの節目は、十二か月に確認済み違反が三件を超えた場合、すなわち四件目以降を伴う場合に、継続的不遵守として扱う構想である。そして方針違反のない十二か月でリセットするとした。反復を見るという考え自体には理由がある。一度きりの入力ミスと、同じ問題を繰り返し放置する行動を区別したいからだ。しかし、反復判定は一件ごとの確認が堅牢であるときにしか意味を持たない。

曖昧なフラグを集計すると、件数は真実を強めるのではなく、最初の誤りを増幅する。同じデータ源の欠陥が四つの資源に現れた場合、それは四件の独立した違反なのか、一つの収集障害なのか。規則の一度の変更が複数項目を同時に不適合表示へ変えた場合、何件と数えるのか。訂正後にデータが遅れて更新され、翌月も同じフラグが立った場合、新しい違反なのか。同じ事実について形式を変えた通知が届けば重複ではないのか。Draft 2は、こうした数え方を完全な状態モデルとして示していない。

さらに、「確認済み」という語の担い手が不明である。自動チェックが一定の閾値を満たしたときか。担当職員が画面を承認したときか。会員が認めたときか。別の審査者が理由付きの判断を出したときか。契約上の紛争について適格な独立手続が結論を出したときか。確認の意味が案件ごとに動けば、十二か月という窓だけを固定しても比較可能な件数にはならない。

訂正の遡及効果も欠かせない。三件のうち一件が誤検知だと後に分かったなら、その一件は単に「解決済み」と表示されるだけでは不十分である。最初から不利益な集計資格がなかったものとして、反復件数、継続状態、それに依拠した後続判断から除かれなければならない。さもなければ、誤りを認めても制度上の影だけが残る。十二か月後のリセットを待つことは救済ではない。正しくなかった記録を一年間効かせ続けることだからだ。

したがって、反復集計へ入れる条件は厳しく限定する必要がある。根拠となる規則の版が明示され、証拠が会員に開示され、応答機会が実質的に与えられ、異議が理由付きで判断され、訂正期間が終わり、独立した確認が確定し、重複が除かれていること。どれか一つでも欠ける案件は、調査一覧には残せても、不利益な件数には入れてはならない。

通知と結果の間に必要な防火壁

公開回収ページへの掲載を、単なる追加通知と見ることはできない。非公開画面での照会は、当事者とレジストリの間で事実を確かめる行為である。公開は、未確定の評価を第三者の判断材料に変える。取引先、接続事業者、顧客、金融機関などがその表示をどう読むかを、AFRINICは完全には制御できない。後で訂正しても、複製や二次的な判断まで消えるとは限らない。

NSレコードの削除は、さらに別のカテゴリーに属する。Draft 2は、公開後二か月たっても未解決なら関連レコードをバックアップして削除し、連絡と解決後には復元し得るとした。復元可能性は重要だが、「戻せる」ことは「影響がなかった」ことを意味しない。名前解決や運用計画に不確実性を持ち込み、会員側に調査、説明、切替、監視の仕事を発生させ得るからである。LARUSが示す運用上の伝達経路――書類負担、遅延、レジストリの不確実性、継続性への露出――は、この種の統治判断が画面の内側にとどまらない理由を説明する。ただし、Draft 2が特定の停止、費用、損害を実際に生じさせたという証拠はここにはない。その点は明確に区切るべきである。

資源の回収、保有者記録の削除、サービス留保、失効、会員資格終了も、データ整備の自然な延長ではない。アドレス台帳を正確に保つ仕事と、当事者に不利益を科す仕事は、目的、権限、証拠、手続、誤りの費用が異なる。前者に必要なのは、正確な記録、連絡、調整、監査可能な訂正である。後者には、実体的な根拠、独立した判断、公平な聴聞、理由、比例性、救済、継続性の保護が必要になる。

このため、ダッシュボードには結果系への書き込み権限を持たせてはならない。表示が赤か緑かという色の問題ではない。フラグが自動的に公開候補を生成できるか、NS変更の作業票を起票できるか、サービス留保を指示できるか、資源回収の期限を開始できるかという権限設計の問題である。安全な防火壁は、画面上の警告文ではなく、技術的にも制度的にも越えられない接続禁止でなければならない。

民間の技術調整機関にできること、できないこと

NRSの説明によれば、AFRINICはモーリシャスの会員制非営利組織であり、中心的な役割はインターネット番号資源の管理にある。この性格から導かれる正当な仕事は狭いが、軽いものではない。重複のない正確で監査可能な記録を保ち、必要な変更を調整し、連絡可能性を維持し、相互運用性と継続性を支え、訂正可能な差異について具体的な通知を出す。インターネットの運用には、こうした民間の技術的簿記が不可欠である。

しかしAFRINICは主権者でも、立法者でも、規制当局でも、警察でも、検察でも、処罰者でも、没収機関でも、公法上の裁判所でもない。会員で構成されること、方針会合が開かれること、コンセンサスが記録されることは、その組織を国家機関へ変えない。Boardの裁量も、行政的なデータ記録を司法的な事実認定へ変えない。データベースにある状態は観測を記述できるが、有責性を創設することはできない。

Lu Hengが示すレジストリ管理と処罰の分離は、ここで実務的な線を引く。レジストリは、記録を保ち、差異を知らせ、狭い調整手順を実行できる。しかし番号資源の台帳を、行為を裁き罰する装置として使ってはならない。任意の協力と民間契約によって成り立つ調整空間では、参加の繰り返しや多数の賛同から、公権力に似た権能を合成することはできない。

これは契約を無意味にする議論ではない。RSAの条項、支払義務、真正な文書、承認された移転手続には意味があり、違反を主張する当事者は契約上利用できる適格な手続に進める。だが、契約があることと、片方の当事者が作った自動表示が契約違反を最終確定できることは別である。AFRINICの保有データが重要であることと、そのデータから導いた推論が反証不能であることも別である。

深刻な結果を必要とする紛争があるなら、ダッシュボードの外に出さなければならない。証拠を開示し、当事者を聴き、元のチェックから分離され、利害関係を明らかにし、理由を示し、救済可能性を備えた適格な独立手続へ送る。その間は、最後に検証されたレジストリ状態と運用継続性を保つ。重大さが増すほど、画面から結果までの距離は短くするのではなく、長くしなければならない。

強い賛成論を退けずに答える

Draft 2を支持する最も強い理由は、会員がいつでも完璧に規則と記録を管理できるわけではないという現実にある。方針は変わる。連絡先は古くなる。担当者は交代する。支払いの確認や登録更新が別部署に分かれ、問題が長く見落とされることもある。AFRINIC側でも、同じ説明を個別メールで何度も繰り返すより、根拠と状態を一つの私的画面にまとめた方が、対応の一貫性を高められる。会員自身が早く気づけば、大きな紛争になる前に小さな誤りを直せる。

しかも、ダッシュボードは会員にとってAFRINIC内部の見方を知る窓になる。どの規則のどの版が参照され、いつ、どのデータを照合し、何が違うと観測されたかが分かれば、漠然とした「不遵守」の通知よりはるかに答えやすい。共通の記録があれば、「連絡した」「届いていない」「直した」「まだ反映されていない」というやり取りも検証しやすくなる。通知と訂正に徹する限り、この仕組みは会員の防御力をむしろ高め得る。

この賛成論への真剣な答えは、ダッシュボードを捨てることではない。その最良の機能だけを守ることである。正確な私的通知、根拠の可視化、簡単な訂正、応答履歴、担当者間の引継ぎ、規則変更の追跡は残す。一方で、表示を評決へ変える権限、異議中も進む時計、未確定項目を数える機能、結果系を自動起動する接続を取り除く。サービス改善は、処罰機能を持たなければ成立しないものではない。

AFRINIC-34の公式会合資料に載った職員側の勧告は、この分離に近い。提案をAFRINICと資源会員の可視性向上に限定し、契約管理はダッシュボード提案の外に置くよう勧めた。これは、可視化が有用であることと、可視化の装置が契約上の結果を担うことを分ける発想である。ただし、この勧告が採用された、あるいは実装されたという証明ではない。分離案が公式評価の中に存在したという範囲で読むべきだ。

公表後の手続記録を過大評価しない

公式提案ページは、2021年11月18日のAFRINIC-34で「おおむねコンセンサス」があったと後に記録し、2021年12月8日から2022年1月5日までのラストコール、2022年1月14日のコンセンサス発表とBoardへの批准報告送付を記している。同じ2022年1月14日に異議申立てが始まり、同年8月9日に取り下げられたという記録もある。

この時系列から言えることは限られる。後のコンセンサス判断をめぐって手続上の争いが存在したことは示せるが、異議申立ての理由、当事者適格、主張の当否をここで分析することはできない。取り下げも、提案の内容が正しかったという実体判断を意味しない。さらに、Boardが批准したこと、Draft 2が効力を得たこと、実装されたこと、個別会員に表示が出たこと、違反が確認されたこと、公開やNS削除、回収、失効、会員資格終了が実行されたことは、この記録からは証明されない。

制度を論じるとき、提案された危険と実際に起きた被害を混同してはならない。ここで検討しているのは、特定の会員が処罰されたという告発ではなく、Draft 2の文章が作ることを許した接続構造である。実装の証拠がないことは、設計上の問いを消さない。同時に、設計上の懸念は、発生していない事件を発生したかのように語る許可にもならない。

コンセンサスという記録も、制度上の空白を埋めない。多数が提案に賛同したとしても、誰が違反を確認するか、どの証拠基準を使うか、異議が時計を止めるか、誤検知を遡って除くかという問いには、それぞれ明文の答えが要る。手続の通過を、欠けている手続の代用品にすることはできない。

異議に耐える状態モデル

Draft 2が可視化層で止まっていたなら、より強い仕組みを作れたはずだ。第一の状態は「差異を観測」である。各行には、照合の識別子、RSAまたはCPMの正確な条項と版、データ源、観測時刻、生の観測内容、そのチェックが客観的な登録欠陥なのか解釈を要する事項なのか、確信度と不確実性を表示する。この時点で使う語は「違反」ではなく「確認を要する差異」である。

第二の状態は「通知送達」である。誰に、どの経路で、いつ届いたかを記録し、会員が根拠資料を取得できるようにする。表示だけを更新して通知済みとみなしてはならない。宛先が無効なら、それ自体を別の連絡先更新課題として扱う。送達が確認できない間、会員側の応答時計は始めない。

第三は「会員応答待ち」、そして応答があれば「訂正中」または「異議により時計停止」へ分岐する。単純な入力ミスなら、会員が直し、機械が再確認し、人が訂正完了を承認できる。解釈に争いがあるなら、元の三か月時計も十二か月の集計資格も即時停止する。異議の提出には高度な法律文書を要求せず、争う事実または解釈と理由を示せば足りるようにする。

第四は「人的審査待ち」である。審査者は元の自動チェックの設計者や最初の担当者から実質的に分離され、利益相反を申告し、会員の資料とAFRINICの資料の双方を検討し、理由付きの判断を出す。客観的欠陥と契約解釈を同じ手順で処理しない。客観的な登録欠陥なら、何を直せば完了かを具体的に示す。契約・方針の解釈に争いが残るなら、ダッシュボードで最終判断せず、適格な独立手続へ送る。

第五は、判断結果に応じた「訂正済み・不利益集計なし」「検証済み登録欠陥・是正中」「解決済み」である。誤検知や誤った解釈は、単に緑色へ変えるのではなく、以前の不利益件数から遡って消す。何が訂正され、どの表示が置き換えられたかという版履歴は監査用に残せるが、無効になったフラグを反復判定へ効かせてはならない。

最後に、契約上または法的に重大な争いが残る場合だけ、「外部または独立手続待ち・継続性維持」とする。この状態から公開回収ページ、NSレコード、サービス、資源、会員資格へ直接書き込めないようにする。独立手続の結論が出るまで、最後に検証された登録状態を維持し、不可逆または波及性の高い変更を避ける。これはDraft 2に書かれていた仕組みの説明ではなく、同じ通知目的を安全に実現するための反実仮想である。

確認という仕事を具体化する

「人が見る」という一文だけでは確認手続にならない。人は自動化の誤りを直せる一方、同じ仮定、同じ組織目標、同じ画面表示に引きずられることもある。確認に必要なのは、担当者の存在ではなく、再現可能な判断方法である。

まず、主張を一つに絞る。「会員は不適合である」では広すぎる。「2021年11月16日何時の観測で、指定されたIPv6プレフィックスが公開経路表に現れなかった」のように、生の観測を特定する。次に、その観測からどの規則上の結論が導かれると主張するのかを分ける。規則の文言と版、適用理由、例外、反対証拠を示す。内部利用という説明があり得るなら、何を提出すれば確かめられるかを会員へ伝える。

そして、確認者は「観測が正しい」と「違反の結論が正しい」を別々に判断する。未広告という観測は正しくても、外部広告の義務がない利用なら違反の結論は成り立たない。逆に、登録データの欠落が客観的で、会員も認めているなら、訂正の完了条件は明確にできる。この区別によって、機械の得意な検知を活かしながら、機械が扱えない意味判断を誤って委ねずに済む。

理由付き判断は会員に開示し、訂正と再審査の窓口を設ける必要がある。単なる結論コードでは、次の案件で同じ誤りを防げない。理由が残れば、チェックの設計自体に偏りがあったのか、データ源が古かったのか、規則の文言が曖昧なのかを検証できる。ダッシュボードは、その意味でAFRINIC自身の誤りを学習し訂正する画面でもあるべきだ。

「未解決」を一つの箱にしない

運用上の設計では、未解決案件を少なくとも三つに分けるべきである。第一は、送達済みで応答がなく、会員側の行動を待っている案件。第二は、会員が応答済みで、AFRINIC側の確認やデータ反映を待っている案件。第三は、事実または解釈が争われ、独立した判断を待っている案件である。この区分があれば、三か月を超えた案件がなぜ残っているのかを一目で把握できる。

第一の案件でも、沈黙は自動的な自白ではない。連絡先の問題、災害、政治的不安定など、提案自身が例外的事情として意識した状況を確認する必要がある。第二では、AFRINIC側の処理時間を会員の違反継続期間として数えてはならない。第三では、時計を完全に止め、反復件数への登録を禁止する。こうして初めて、期限は事務管理の助けになり、証拠の代用品ではなくなる。

また、件数の監査表には、元になった一件一件の識別、重複判定、確認日、確定性、訂正状況を載せる必要がある。「過去十二か月に4件」という総数だけでは、会員は何を争えばよいか分からない。四件が一つの原因から派生したのか、異なる義務なのか、すでに一件取り消されたのかが見えなければ、総数は説明ではなく圧力として働く。

誤りの費用を誰が負うのか

ダッシュボード設計で見落とされやすいのは、誤りの費用が対称ではないことだ。誤検知によってAFRINICが追加確認を行う費用は、主に職員時間である。会員側は、技術者、法務、経理、経営、取引先への説明を動員し、運用変更を検討しなければならないことがある。公開や技術的措置の可能性が示されれば、不確実性そのものが計画を歪める。AFRINICが会員の全損失を負担するわけではない以上、誤りを結果側へ流さない予防設計が必要になる。

反対に、見逃しの費用もある。登録の重大な誤りを放置すれば、連絡不能や資源管理の混乱を招くかもしれない。だから「一切チェックしない」という選択も適切ではない。必要なのは、誤検知を恐れて観測をやめることではなく、観測を低コストで訂正可能な状態に留めることだ。警告の感度を高くするなら、その分だけ不利益な決定の特異度を高くする。つまり、機械は広く候補を拾ってよいが、候補は独立した確認を経るまで結果に使えない。

この非対称性は、継続性保護の必要性も示す。番号資源や関連する登録情報は、単なる会員特典ではなく、他のネットワークや利用者が依存する運用関係の一部である。紛争の最中に記録やNSを変更すると、当事者間の争いに関係のない第三者へ影響が伝わり得る。重大な結果ほど、緊急性を唱える側に具体的な必要性と比例性を説明させ、代替策がないかを検討しなければならない。

透明性は公開範囲ではなく判断可能性で測る

透明な制度というと、情報を広く公開することが想起されがちだ。しかし、このダッシュボードでまず必要なのは、会員が自分に関する判断の根拠を理解し、訂正できる透明性である。生データ、規則の版、照合時刻、観測と推論の区別、確信度、担当者、応答、訂正履歴が当事者に見えること。公開範囲を広げる前に、判断の中身を細かくする必要がある。

公開回収ページは透明性の強化ではなく、別の目的を持つ措置として扱うべきだ。公衆への告知が本当に必要なら、その必要性、確定した根拠、公開する項目、期間、訂正方法、二次利用の危険を個別に検討する。未確定のフラグが三か月残ったというだけで、自動的に公開適格になることはない。私的な説明の場を公開圧力へ切り替えるには、時計とは異なる根拠が要る。

同様に、監査可能性と権限拡大を混同してはならない。すべての判断履歴を残すことは、後から誤りを検証し、制度を改善するために役立つ。だが、記録が詳細だからといって、その記録を作った主体に処罰権限が生じるわけではない。よくできた台帳は、裁判所にはならない。

Draft 2から引き出すべき狭く重要な教訓

Draft 2の評価を、「ダッシュボードに賛成か反対か」という二択へ縮める必要はない。会員限定の通知画面には明確な便益がある。自動化にも役割がある。期限も、未処理案件を見つける内部管理には使える。反復履歴も、確認済みの同種問題を理解する助けにはなる。問題は、それぞれ有用な部品が、未定義の接続部によって結果経路へ連結されることだ。

2021年11月16日のIPv6の例は、その接続部を試す最良の小さなテストである。機械は未広告を正しく見つけた。会員は正当な内部利用を説明した。ここで表示が訂正または解消され、時計も件数も残らないなら、制度は知識を増やした。ところが、説明が審査待ちのまま三か月を超え、フラグが「確認済み」へ近づき、同様の観測が四件として集計されるなら、制度は知識ではなく手続上の圧力を増やしたことになる。

したがって設計の問いは簡潔である。差異を見つけた後、誰が何を知ることができ、誰が何を決めることができるのか。会員は根拠を見られるか。異議で時計は止まるか。確認者は元の観測から独立しているか。誤りは遡って件数から消えるか。ダッシュボードは結果系に書き込めないか。重大な紛争中も最後の検証済み状態が保たれるか。この六つに肯定で答えられないなら、可視性はまだ安全なサービスになっていない。

レジストリは鏡であって、槌ではない

番号資源レジストリの強みは、複雑な運用世界を、共有できる正確な記録に映すことにある。鏡は曇ることがあり、角度によって見えないものもある。だからこそ、当事者の説明、訂正、版管理、監査が必要になる。鏡に映らなかったIPv6の内部利用を、存在しないと断定してはならない。

Draft 2は、鏡の横に時計と件数計を置き、その先に重い結果の手順を書いた。そこで欠けていたのは、鏡像が現実と争われたときに時計を止める仕組みであり、像を「確認済み違反」に変える独立した判断であり、誤った像を履歴上の不利益から消す規則だった。三か月と十二か月は、これらの欠落を補えない。

AFRINICが民間の技術的簿記係兼調整機関として最もよく役割を果たすのは、会員が自分に関する正確な情報を早く得て、誤りを直せるようにするときである。通知は具体的に、根拠は検証可能に、訂正は容易に、履歴は監査可能にする。そのうえで、異議のある状態を違反件数と結果経路から隔離する。これが「通知はするが、処罰には使わない」という境界である。

可視性と抑制は対立しない。むしろ抑制があるから、会員は画面を早期警告として信頼し、説明をためらわず、誤りを直せる。表示が自動的な不利益の入口なら、会員は一つの説明が将来どう使われるかを警戒し、協力のための画面が争いの記録へ変わる。良いダッシュボードは、レジストリの知識を増やす。悪い接続は、レジストリの権限だけを増やす。