要約

  • 2026年の査読済み研究は、再構成したRPKIイベントに関連するUPDATEが観測総量の1％未満と報告する。
  • 選んだ収束時間内のUPDATEをすべて関連量に含めるため、分子を大きく見積もる可能性がある。
  • この比率はメッセージ量を示すが、各ピアの処理負荷、経路変化、Route Refresh、利用者の到達性は測らない。

まず、何を数えた結果なのか

この研究結果はきちんと評価したい。Samuele Quinzi、Cristel Pelsser、Giuseppe Di Battistaは、ROA変更イベントの前後に観測されたBGP UPDATE量を査読済み論文で推定した。Proceedings of the ACM on Networkingに掲載された論文の要旨によれば、RPKIと経路表が拡大するなかでも、関連UPDATEは観測総量の1％未満だった。ここで答えているのは、RPKIイベントが観測された経路メッセージの大半を占めるかという問いだ。研究対象の系列では、そうではない。

QuinziはAPNIC Blogへの寄稿で手順を説明している。歴史的なRPKIデータからイベントを再構成し、選んだ収束時間内のUPDATEをすべて関連づける。別の理由で発生したメッセージも含まれうるため、この方法は分子を小さくするのでなく大きくする方向に働く。したがって1％未満という値は時間的に関連づけた量であり、個々のUPDATEがRPKIによって起きたという因果の証明ではない。

安定性には複数の尺度がある

この比率は、イベントに関連づけたUPDATEと観測された全UPDATEを比較する。影響を受けたルータ、検証状態が変わったプレフィックス、選択経路が変化したルート、通信が途切れた利用者の割合を表すものではない。UPDATEは経路情報を運ぶメッセージであって、アプリケーションの到達性そのものではない。

RIPE RISはBGPピアリングから経路データを収集する。RRC00はアムステルダムにあるマルチホップ型で、文書上はグローバルな範囲とされる。「グローバル」はコレクタの範囲であり、すべての転送経路や各ルータのCPU負荷、各利用者の通信を測ったという意味ではない。集計値だけでは、負荷が一部のピアに集中したかもわからない。

反対方向の推論も成り立たない。UPDATEが多いからといって、利用者がサービスを失ったとは限らない。メッセージ量、ピアごとの処理負荷、経路選択の変化、収束時間、到達性は関係するが、別の観測値である。

Route Refreshは別の負荷として見る

RFC 9324は別のRPKI関連機構を記録する。新しい検証データを受け取った後、一部の実装が経路を再評価するためにピアへRoute Refreshを要求したというものだ。RFCは相手側に大きな資源負荷を移す可能性を指摘し、該当経路を保持して不要なRefreshを避ける方法を推奨する。ROVを止めた事例やピアリング解消にも触れている。

これは具体的な運用リスクと対処法であり、すべての実装の挙動でも、研究のUPDATE比率への反論でもない。Route Refresh要求と経路の再広告は、イベント窓内のUPDATE数とは別の現象として数える必要がある。

広い結論には、分けた測定が要る

次に必要なのは見出しの数字を別の数字に置き換えることではない。イベント別・ピア別のUPDATE、Route Refresh要求と再広告された経路数、経路状態が安定するまでの時間、経路変更の頻度と長さ、可能なら独立した到達性の観測を並べたい。それぞれ観測点、期間、分母、欠測の扱いを明記する。

RIPEの歴史的RPKIアーカイブは日次スナップショットを使う。APNICの解説は短い変化がその間に起きて見えない場合を指摘する。より高頻度のRPKI-Flutterは最近の期間を対象とし、記事によれば両者のUPDATE推定は重なる期間に似ていた。この照合は比べたメッセージ量の再構成を支えるが、ピア負荷や利用者体験まで自動的に測るものではない。

妥当な結論は「RPKIにリスクはない」でも「RPKIがBGPを不安定にする」でもない。研究は、観測系列の中でRPKIイベントがUPDATE総量の大部分を占めないという狭い懸念に答えた。それは有益な安心材料だ。より広い安定性を論じるには、どの資源、経路、サービスの安定性なのかを先に定めたい。

出典

一次資料とプロトコル文書：