要約

  • 証券取引は決済と同じイベントではない。合意から最終記帳までの間には、割り当て、照合、検証、リソースの利用可能性、決済指示、および取消不能の定義されたポイントが存在する。
  • 欧州決済最終性指令は、指定されたシステムのルールに従ってシステムに入力された転送命令およびネッティングを、その後の倒産の影響から保護し、システムの定める時点以降の参加者による取消しを防止する。
  • 引渡対支払いは、すべての技術的行為が同時であることを必要としない。リンクされた一方の義務の最終決済が、他方が最終的になった場合にのみ発生することを要求し、どちらの側も完全な元本リスクを負わないようにする。
  • 決済失敗と最終決済は異なる扱いを必要とする。コミット前は、不完全な取引は保留中、二国間でキャンセル、または以前のクリーンな状態に戻ることができる。コミット後は、修正は削除や一方的な取消しではなく、新しい帰責可能なイベントによって行われるべきである。
  • IPv4 最終性ルールは、認証された売り手の権限、買い手の受諾、レジストリの承認、クロスレジストリの調整、および支払いの解放を一つの宣言された決済条件に結び付け、ルーティングの展開や私的な法的請求は適切な機関に委ねるべきである。
  • NRS は、参加者の義務、失敗状態、デフォルトルール、訂正権限、監査証拠に関する研究を公開することで、最終性をアドボカシーの規律として使用できる。RIR、認可された移転サービス、仲裁機関、裁判所は、最終性の実行または強制の責任を負う。

取引は約束であり、決済は権威ある状態を変更する

金融市場では、実行と決済を区別する。合意だけでは資産と現金が最終的な口座に移動しないからである。取引後、当事者は取引を割り当て、条件を確認し、指示を照合し、証券と流動性を手配し、関連インフラに提出し、決済日を待つ。取引が有効であっても決済が失敗することはあり得る。決済が遅延しても、基礎となる契約上の義務がキャンセルされるわけではない。

この区別は、米国が2024年5月28日にほとんどのブローカーディーラー取引を T+2 から T+1 に移行したことで、より明確になった。米国証券取引委員会（Securities and Exchange Commission）は、取引が突然一日後に発生するようになったとは述べていない。取引日と決済日の間の標準的な間隔を短縮し、同日の割り当て、確認、承認、およびストレートスルー処理を改善するための要件を追加した。この変更は、合意から完了までの時間に信用、市場、流動性、および運用リスクが含まれることを認識したものである。

IPv4 取引には同じ語彙が必要である。署名された売買契約は私的な義務を生み出す。エスクローされた資金は対価が利用可能であることを示す。売り手のリクエストは指示を示す。レジストリの承認は機関の決定を示す。新しいレコードの公開は状態変更を示す。買い手からのルートは運用上の使用を示す。これらのイベントは異なる順序で発生する可能性があり、どれも他のすべてを偽装することを許されるべきではない。

決済設計のポイントは、どの組み合わせがレジストリの目的で移転を完了するかを定義することである。その時点までは、当事者は取引が保留中であり、どの義務が残っているかを知っている。その時点で、認識された登録が一度変更される。その時点以降は、ある参加者が気を変えたり、機関が非公式にファイルを再開したりしても、以前の状態は戻らない。

これは、アドレスを資産と言うよりも、証券アナロジーのより狭く有用な使用方法である。それは曖昧な管理シーケンスを、契約と運営者が信頼できる状態遷移に変える。

1998年の指令は巻き戻しの危険性に対抗して書かれた

欧州連合の決済最終性指令（Settlement Finality Directive）は、特定のシステム上の問題に対処した。倒産法が支払いまたは証券決済システムで既に処理された転送命令やネッティングを遡及的に巻き戻すことができる場合、ある参加者の失敗がシステム全体の義務を再開させる可能性がある。他の参加者は、最終的と扱った残高が結局は条件付きであったことを発見する。

第3条は、適格な転送命令とネッティングを、参加者に対する倒産手続きが開始された場合でも、法的に強制力があり、第三者に対して拘束力があるものとする。ただし、命令が法的に定義された時点より前にシステムに入力された場合に限る。これは、以前の取引を取り消す通常の規則が保護されたネッティングを巻き戻すことを防ぐ。第5条は、転送命令はシステムのルールで定義された時点から、参加者または第三者によって取り消されてはならないと規定する。

この指令は、すべてのシステムに一つの技術的タイムスタンプを課していない。エントリーの時点は、各指定システムのルールによって定義され、準拠法に従う。これは重要な設計上の選択である。最終性には共通の法的効果が必要だが、インフラは自らの状態が保護されたポイントに達する正確な時点を指定しなければならない。

前文は同様に重要な境界を維持している。基礎となる取引における詐欺、技術的エラー、またはその他の欠陥は、回復または返還の法的請求を依然として支持できる。ただし、救済がシステム内のネッティングを取り消したり、転送命令を撤回したりしない場合に限る。最終性は決済された状態を保護する。それは、その状態の背後にあるあらゆる原因、表明、または契約が合法であると宣言するものではない。

IPv4 移転にとっての教訓は、詐欺を免責することではない。共通記録の整合性と当事者間の救済を分離することである。もし最終記録が後の請求が現れるたびに黙示的に削除されるなら、誰も状態が最終的かどうかを知らない。もし最終記録が決して訂正されなければ、詐欺が定着する。答えは、公表された権限の下での新しい訂正イベントであり、遡及的な消失ではない。

最終性はリスクが移転する時点である

CPMI-IOSCO の金融市場インフラのための原則（Principles for Financial Market Infrastructures）は、決済最終性を法的に定義された時点としている。原則8は、バリューデートの終了までに、必要であれば日中またはリアルタイムで、明確かつ確実な最終決済を要求する。ルールは、決済が最終的になる時点と、参加者が受け入れられたが未決済の指示を取り消せなくなる時点の両方を定義すべきである。

この明確さは帳簿整理以上の役割を果たす。最終性の前は、参加者はカウンターパーティリスク、代替コストリスク、流動性や引き渡しに関する不確実性に直面する可能性がある。最終性の後は、口座残高とエクスポージャーを決済された状態に基づいて計算できる。整理または倒産において、管理者はどの取引が完了し、どれが請求権として残るかを特定できる。

IPv4 移転も定義可能な時点でリスクを再分配する。最終性の前は、売り手は認識された保持者であり続けるべきであり、買い手は予想される移転に基づく展開は時期尚早であることを知るべきである。エスクローは、あるレビュー担当者がイエスと言っただけでは解放されるべきではない。レジストリが管理するセキュリティおよびリバース DNS サービスは、移転がまだ失敗する可能性があるうちに不可逆的に引き渡されるべきではない。

最終性の後は、買い手は売り手が指示を取り消すことを恐れずに認識に依存できる。売り手は将来の保持者責任から外されることに依存できる。エスクロープロバイダーは客観的条件の下で解放できる。貸し手はどの当事者の利益が資金調達されているかを知ることができる。第二の登録サービスは、売り手を現在の保持者として表示し続けるべきではない。

したがって、最終性はすべてのリスクが消えるという主張ではない。市場価値は変動し得る。裁判所は命令を出すことができる。ルートは失敗し得る。重要なのは、登録リスクが「この指示は完了するのか？」から「どの新しいイベントが、もしあれば、完了した状態を合法的に変更するのか？」に変化することである。この変化が信頼を可能にする。

CSD は境界のある役割を持つ記帳機関である

証券との比較は、機関が正確に説明される場合にのみ有用である。中央証券預託機関（CSD）は、証券の整合性、保管、移転を支援し、通常は不動化または非物質化された形態で行う。それは口座を維持し、証券決済システムを運営または支援する。すべての投資決定を下すわけでも、すべての市場価格を設定するわけでも、受益者間のすべての紛争を決定するわけでもない。

CPMI-IOSCO 基準の原則11は、CSD が記帳移転のために証券を不動化または非物質化された形態で維持し、保管および移転に関連するリスクを最小化することを要求する。欧州連合では、中央証券預託機関規則（CSDR）第39条は、各 CSD が運営する決済システムがエントリーおよび取消不能の時点を定義し、最終性ルールを開示し、リアルタイムまたは日中に最終移転を追求し、実際の決済日の終了までに行い、直接参加者間の現金取引を引渡対支払いベースで決済することを要求する。

これは強力なインフラの役割だが、その強さは境界のあるルールに由来する。参加者は口座エントリーの意味を知っている。どのシステムルールが適用されるかを知っている。監督当局は法的確実性、決済効率、運用上の回復力、参加者のデフォルトを検査できる。CSD は評判だけで最終性を信頼できるものにすることはできない。

IPv4 レジストリは CSD ではない。規制された証券を決済せず、中央銀行マネーを保持せず、同じ法定保護を継承しない。しかし、希少なリソースが記帳エントリーによって認識された保持者を変更する場合、同様の狭い機能を果たす。有用な質問は、そのルールがエントリー、取消不能、失敗、訂正を同様の精度で述べているかどうかである。

答えがノーなら、レジストリを信頼できる管理者と呼んでもギャップは埋まらない。信頼は最終性ルールの結果であり、その代替ではない。

引渡対支払いは条件性であり、瞬間的な同時性ではない

DvP はしばしば同時交換と説明される。証券はお金と同時に移動する。機能的な原則はもう少し広く、より有用である。原則12は、リンクされた一方の義務の最終決済は、他方の最終決済が発生した場合にのみ発生すべきであると述べている。システムは、売り手が完全な資産を不可逆的に引き渡したが代金を受け取らないリスク、または買い手が支払ったが資産を受け取らないリスクを排除しなければならない。

技術的なステップは同じマイクロ秒で発生する必要はない。CPMI-IOSCO の説明では、証券がブロックされ、支払いが別のシステムで決済され、確認後に引き渡しが行われる設計を認めている。重要なのは、法的、契約的、技術的な設計が最終的なレッグを条件付きに保ち、ブロックされたリソースが露出する間隔を最小化することである。

欧州中央銀行の TARGET2-Securities プラットフォームは具体的な実装を提供する。参加者は、接続された CSD の証券口座と中央銀行の専用現金口座を使用する。T2S は決済指示を照合し、DvP ベースで中央銀行マネーで決済する。また、部分決済、自動担保化、最適化を使用して失敗を減らす。

IPv4 取引は、条件付きのレジストリ引き渡しとエスクロー解放を通じて原則を適用できる。レジストリは商業的な支払い自体を処理する必要はない。認証された移転は、指名されたエスクロー条件が資金を確認したときに最終的になるという署名されたコミットメントを公開でき、エスクロー契約はレジストリが最終イベントを発行したときに解放する。中立的なコーディネーターは、どちらの条件も単独で取消不能にならないように保証できる。

システムは、機関が保護されたコミットプロトコルなしにメールや手動ポータルを介して通信する場合、完全な原子性を主張すべきではない。実際のシーケンスを述べ、安全な保留状態を予約し、あるサービスが利用できない場合の回復を定義すべきである。正直な条件性は、同時性のマーケティングクレームよりも安全である。

決済失敗は最終性の前に属する

「ロールバック」という言葉は、ロールバックされる状態が特定されない限り危険である。最終性の前、決済試行の失敗は最後の最終状態に戻ることができる。マッチングされた指示は、買い手に資金がない、売り手に引き渡し可能な証券がない、参加者が利用できない、または必要な検証に失敗したために保留中であり得る。システムは再試行、定義されたルールの下での部分決済、または二国間キャンセルができる。新しい最終状態がコミットされていないため、以前の状態を復元することは最終決済の取り消しではない。

最終性の後、ロールバックは異なる意味を持つ。それは他の参加者が依存している状態を消去することになる。1992年の BIS の引渡対支払いに関する報告書は、失敗した参加者の移転が取り消され、義務が再計算されるネット決済モデルを検討した。それは、そのような取り消しが他の参加者に substantial な流動性圧力を課す可能性があると警告した。後の最終性基準は、完了した決済を暫定的として扱うことを避けようとしている。

IPv4 移転設計は、この時間的境界を明確にすべきである。権限の証拠がコミット前に失敗した場合、リクエストは現在の保持者を変更せずに拒否または不完全として戻される。買い手の受諾または資金確認が期限切れになった場合、保留中の予約は解放される。ある RIR が地域間移転の自分の側を完了できない場合、どちらのレジストリも最終的な矛盾した保持者状態を公開すべきではない。

最終移転イベントが発行され調整された後、申し立ては「ロールバック」という未定義の緊急権限を呼び出すべきではない。システムは訂正ケースを開き、完了したイベントを保存し、一時的な拘束を記録し、権限のある決定を要求する。訂正が正当化される場合、新しいイベントが認識を移転または復元し、独自の有効時間と理由を持つ。

この区別により、システムは不確実な間は可逆的であり、最終的になったときは耐久性を持つことができる。これなしでは、成功した移転はすべて無期限に取り消し可能な草案のままである。

照合は過小評価されている管理手段である

証券システムは、一方の当事者の取引の説明に依存しない。決済指示は、商品、数量、当事者、口座、価格、日付などのフィールドで照合される。不一致が発生した場合、インフラはどちらの側が正しいかを推測しない。それは当事者が解決すべき例外として残る。

IPv4 移転も同様に厳密な照合を必要とする。売り手の指示と買い手の受諾は、正確なプレフィックス、移転タイプ、ソースおよび受取人の法的エンティティ、現在および受取登録サービス、対価条件、意図された有効時間、および親または子の範囲の扱いを特定すべきである。企業識別子は、法的名称のバリエーションと異なるエンティティを区別するのに十分安定しているべきである。

クロスレジストリ移転は別の照合を追加する。ソースサービスは認証された解放と現在のリソース状態を確認する。受取サービスは受取人、該当する受諾条件、およびレコードを引き受ける準備を確認する。両者は同じ正規条件から共通の取引識別子を導き出すべきである。どちらかのサービスが異なるプレフィックスや当事者を提示した場合、取引は進行しない。

照合は、曖昧さを可視の状態に変えるため、裁量を減らす。「詳細情報が必要」は、不一致のフィールドを特定すべきである。買い手は支払い後にソースレジストリがより小さな範囲を処理したことを発見すべきではない。売り手は受取サービスが異なる法的エンティティを添付したことを発見すべきではない。エスクローエージェントは2通の承認レターにわたって散文を解釈すべきではない。

レコードは、提出されたすべてのバージョンと最終的なマッチングされた条件を保存すべきである。取消不能の前の修正は、以前の指示を消費し、両側によって受け入れられた新しいバージョンを作成する。正確な数値範囲を扱うインフラが、数量と口座を扱う証券システムよりも精度を許容する理由はない。

取消不能は当事者が遅延を武器化できる前に開始されなければならない

最終決済と指示の取消不能は関連しているが同一ではない。システムは指示を最終決済の前に受け入れることができる。参加者がその間隔中にいつでも取り消すことができる場合、他の者は流動性や引き渡しを計画できない。したがって、原則8は、受け入れられたが未決済の指示に対しても、一方的な取り消しが禁止される定義された時点を要求する。

IPv4 移転の場合、買い手が受け入れていない、最終的な対価条件がロックされていない、他の当事者が依存していない限り、売り手は初期レビュー期間中に撤退できる。移転がマッチングされ、承認され、スケジュールされた決済ウィンドウにコミットされた後は、一方的な撤退は終了すべきである。二国間キャンセルは、両当事者によって認証され、法的拘束や第三者の権利を妨げない場合に限り、最終性の前に利用可能であり得る。

レジストリにも制限が必要である。すべての公開された条件が満たされた後にスタッフメンバーが解釈を変更したからといって、自らの受け入れたコミットメントを取り消すべきではない。狭く定義された整合性緊急事態は、完了前に最終性を一時停止できるが、証拠、範囲、決定者、期限、迅速なレビューを特定しなければならない。「レジストリの裁量」は緊急カテゴリーではない。

最終性の後は、売り手、買い手、レジストリのいずれもイベントをキャンセルできない。新しい移転、訂正、裁判所命令による処分、または合意による取り消しを開始できる。この区別は形式的に見えるかもしれないが、履歴を保護する。新しいイベントは最初の移転が発生し、その後変更されたことを示す。キャンセルはそれが決して起こらなかったと偽って述べる。

これが最終性と説明責任が共存する方法である。決済された状態は安定したままである一方、後の法律と証拠は依然として可視の後続状態を生み出すことができる。

失敗は責任を生み出すべきであり、曖昧さを生み出すべきではない

現代の証券規制は、決済失敗を監視し帰属させるものとして扱う。CSDR 第7条は、CSD に失敗を監視し報告することを要求する。現在のペナルティメカニズムは、意図された決済日以降、決済または二国間キャンセルまで、帰属可能な失敗を引き起こした参加者に毎日の現金ペナルティを課す。参加者に帰属できない原因および特定の状況は例外とする。持続的かつ体系的な失敗は、意見を述べる機会の後に停止手続きにつながる可能性がある。

重要なのは、すべての失敗に罰が与えられるべきだということではない。重要なのは、システムが市場参加者が引き渡さなかったことと、インフラの停止、倒産、その他の原因を区別することである。責任は分類され、一般的な遅延に溶かされるのではなく、明確にされる。

IPv4 移転はしばしばその明確さを欠く。リクエストは、売り手が不完全な権限を提供した、買い手が明記された条件を満たさなかった、RIR が応答しなかった、2つのポリシーが互換性がない、ポータルが失敗した、法的レビューが期限なしに拡大した、または隣接サービスが引き継ぎを準備できなかったなどの理由で停滞する可能性がある。これらの原因は異なる義務を課し、異なるメトリクスを生み出すべきである。

最終性レジームは、各状態に時計と責任のあるアクターを割り当てるべきである。回避可能な失敗を引き起こした当事者は、移転契約の下で文書化された増分コストを負担できる。コミットメントを逃した登録サービスは、料金を払い戻し、補償された損失をカバーし、または代替完了に資金を提供できる。外部の法的拘束は、商業当事者のせいにされることなく、影響を受ける行為を一時停止する。システム停止は、道徳的判断ではなく継続手続きをトリガーする。

帰属は、機関をユーザーと同じくらい規律する。遅延が常に申請者の不完全さとして説明される場合、レジストリのパフォーマンスは測定できない。すべての拒否が市場リスクとして説明される場合、ポリシーの非互換性は隠されたままになる。決済統計は、プロセスが実際にどこで壊れているかを明らかにすべきである。

参加者デフォルトルールはストレス下で最終性を信頼できるものにする

最終性は、両当事者が履行し、すべてのシステムが利用可能な場合に最も容易である。その価値はデフォルトによって明らかになる。原則13は、金融市場インフラが迅速に行動し、損失と流動性圧力を封じ込め、義務を継続して果たすことを可能にする、効果的で明確に定義された参加者デフォルトルールを要求する。主要な手順は公開され、参加者とテストされるべきである。CSDR 第41条も CSD に同様の義務を課している。

IPv4 決済ルールは、独自のより小さなデフォルトマップを必要とする。指示の後だが最終性の前に売り手が倒産した場合はどうなるか？買い手が資金確保後に倒産した場合は？エスクロー銀行が支払いを凍結した場合は？レジストリがシステムにアクセスできなくなった場合は？認可された従業員が退職した場合は？取消不能と完了の間に裁判所の命令が届いた場合は？

答えは、その日最も強力な機関によって即興で決められるべきではない。ルールは、どの保留中の状態が終了し、どれが存続し、どれが倒産管財人を必要とし、資金と記録がどのように保護されるかを特定すべきである。倒産前に行われたコミットメントは、該当する管轄権に固有の法的助言を必要とする可能性がある。いかなる技術標準もその法律を無効にすることはできない。しかし、システムは証拠を保存し、問題が決定されている間の矛盾した一方的な行動を防ぐことができる。

登録サービス自体は、運用上のデフォルトが可能であるとして扱われなければならない。継続メカニズムは、保留中および最終的なイベント、認証された証拠参照、紛争状態、および署名権限を適格な後継者にエクスポートすべきである。最終性は、たまたま現在の口座を維持している一つの法人の継続的な健全性に依存することはできない。

テストは重要である。利用できないレジストリ、失敗した支払いサービス、異議のある署名者をまたいで一度も実行されたことのないルールは、希望の表明である。定期的なシミュレーションは、最後の最終状態が生き残るかどうか、およびクリーンな保留中の取引が複製なしに完了またはキャンセルできるかどうかを示すべきである。

IPv4 決済単位は最終的になる前に定義されなければならない

証券システムは、決済が適用される商品、数量、口座、現金額を知っている。IPv4 移転は時々不正確な単位を使用する。「ブロック」、「リソース」、「アカウント」など。これは、より大きなプレフィックスが分割可能であり、隣接サービスが異なる境界に従う場合に不十分である。

決済単位には、正確なプレフィックスセットと、親または子レコードの必要な扱いを含めるべきである。現在の登録組織、受取組織、ソースおよび受取サービス、移転カテゴリ、有効時間、共通イベント識別子を指定すべきである。単位が分割不可能か、宣言された部分決済を許可するかを記載すべきである。

部分決済は有用である。買い手がいくつかの独立したプレフィックスを取得し、そのうちの一つに法的拘束がある場合、クリーンなプレフィックスは失敗する必要はない。ただし、部分決済は事後的に発明されるべきではない。契約と指示は、どのコンポーネントが別々に決済できるか、価格がどのように割り当てられるか、エスクローがどのように解放されるか、分割が運用上有害なルートや RPKI 構造を作成するかどうかを記載すべきである。

単位には隣接サービスのスケジュールも必要である。どの RPKI オブジェクトが変更されることが期待されるか？どのリバース DNS 委任が移動しなければならないか？IRR 更新は当事者によって実行されるか？これらはすべて登録最終性の一部ではないが、それらを指定しないと、買い手は最終記録を持ちながら運用準備が整っていない状態になる可能性がある。

最終イベントは、何がコミットされ、何が残っているかを区別すべきである。「登録決済完了」は最終的であり得るが、買い手がルートをアナウンスしていない場合もある。「運用上の引き継ぎ保留中」は正直な別個の状態であり得る。精度は、虚偽の完了と無制限の条件の両方を避ける。

クロス RIR 決済には一つのコミット条件が必要である

レジストリ内移転は一つの権威あるサービスを更新できる。RIR 間移転はソースと受取機関の調整を必要とする。それぞれが異なる時点で自らの更新を最終的と扱う場合、それらの間の失敗はギャップまたは2つの競合する真実を生み出す可能性がある。

ソース RIR は、保持者を認証しポリシー制限をチェックした後にのみ解放を確認する可能性がある。受取 RIR は、買い手と自らの条件をレビューした後にのみ受諾を確認する可能性がある。その後、レコードは共有コミットポイントを必要とする。つまり、受取ステータスが最新になった場合にのみソースステータスが移転済みになる。両者は同じ有効時間と取引識別子を保持する。

技術的な実装はプリペアド状態を使用できる。各サービスはまだ公開最終性ではない準備完了メッセージに署名する。コーディネーターが両方を検証し、マッチングされた取引をロックし、コミットメッセージを発行する。各レジストリは状態変更を適用し、領収書を返す。一方が準備できない場合、どちらもコミットしない。一方が適用したが領収書の前に接続を失った場合、冪等なリプレイと調整により、イベントが既にコミットされたかどうかを判断し、第二の移転を作成しない。

この設計は単一のグローバルレジストリを必要としない。狭い決済イベントのための共通プロトコルを必要とする。各機関は法的形態とサービス責任を保持しながら、一つのアドレス範囲が2つの現在の移転状態を持つことはできないことに同意する。

現在の RIR がその調整を提供できない場合、権限のある機関は認識された契約を通じて適格な調整サービスを認可できる。NRS は設計を提唱し、影響を受けるメンバーを招集し、そのパフォーマンスに関する証拠を公開できるが、調整レイヤーを運用または認可すべきではない。コーディネーターの権限は、参加者の同意と関連するレジストリフレームワークから来なければならない。

ここでの原子性は、記録全体での一つの論理コミットを意味し、一つの機関の独占ではない。

支払いはレジストリを銀行にせずにリンクされるべきである

証券 DvP は、規制された決済取り決めの中で中央銀行マネーまたは商業銀行マネーをしばしば使用する。番号レジストリは支払機関ではなく、単に CSD を模倣するために取引資金の管理人になるべきではない。

機能的なリンクは、エスクローまたは別の規制された支払いプロバイダーを使用して達成できる。決済の前に、プロバイダーは合意されたレジストリイベントに従って資金が不可逆的に利用可能であることを確認する。レジストリサービスは、マッチングされた移転が準備完了であることを確認する。その後、共通の決済指示が相互に依存するルールの下で最終登録イベントと支払い解放をトリガーする。

依然としてラストマイル問題が残る。通常のインターネットメッセージは、法的に別個のシステムでの行為を数学的に同時にすることはできない。契約は残余リスクを割り当てなければならない。エスクロープロバイダーは、検証可能な署名されたレジストリ領収書に基づいて解放することをコミットできる。レジストリは、領収書が新しいレコードが耐久性を持った後にのみ発行されることをコミットできる。領収書が発行されたが支払いプロバイダーが失敗した場合、買い手は登録されたまま、売り手はエスクローに対する請求権を持つ可能性がある。支払いが偽造された領収書に基づいて解放された場合、支払いプロバイダーはその検証義務の下で責任を負う。

これらの結果は完全な DvP ではない。それぞれの失敗に責任のある機関と救済があるため、曖昧なシーケンスよりはましである。高価値の移転は、事前資金保証、保険、または元本リスクを引き受ける決済エージェントを正当化する可能性がある。通常の移転は、透明な制限を持つより単純なエスクローを使用できる。

本質的な禁止は、設計による一方的な露出である。売り手は、支払いが自由に取り消し可能である間は最終登録を失うべきではない。買い手は、レジストリの完了が無制限の裁量に従う間は無条件の支払いを解放すべきではない。

最終性はルート活性化と混同されてはならない

決済をルーティングまで待たせたいという誘惑は、正当な懸念から来る。買い手は装飾エントリーではなく使用可能なアドレスを望む。しかし、ルーティングは独立したネットワークによって制御されるため、最終性の条件としては貧弱である。

RFC 7020は、アドレスがアナウンスされるかどうか、どのようにアドバタイズされるかは、インターネット番号レジストリシステムの外にある運用事項であると述べている。BGP ルートは、通常のエンジニアリング理由で決済後に変更される可能性がある。買い手は将来の展開のためにスペースを取得し、それを未アナウンスのままにし、緩和プロバイダーを使用し、複数のサイトからアナウンスし、または発信元を変更する可能性がある。

最終性は、グローバルルート観測を必要とせずに運用準備の証拠を要求できる。買い手は意図された発信元を特定し、必要なアカウントの管理を確認できる。売り手は調整された時間に古い ROA を削除できる。レジストリが管理する RPKI アクセスとリバース DNS 委任は引き継ぎ計画に含めることができる。アップストリームレターと IRR 変更は、当事者が選択すれば条件にできる。

しかし、ルートコレクターが買い手を見ることは、支払いが決済されたり、企業の権限が有効であったことの証明ではない。逆に、ルートがないことが最終移転を欠陥とするわけではない。レジストリは、買い手がまだアナウンスしていないという理由だけで完了した変更を取り消すべきではない。

決済イベントは、登録システムで誰が認識されるかを変更する。運用上の展開は、運営者の決定と隣接サービスを通じて続く。境界を明確に保つことは、当事者に残りを実行するための安定したポイントを与える。

詐欺回復は訂正移転を作成すべきであり、歴史的健忘症ではない

最終性に対する最も難しい異議は、盗まれた資格情報である。偽造された売り手の指示が最終移転を生み出した場合、なぜレジストリはそれをロールバックすることを拒否すべきなのか？「ロールバック」は2つの異なることを意味し得るからである。

システムは、権限のあるプロセスが詐欺を立証した場合、絶対に正当な状態を復元すべきである。さらなる処分を迅速に凍結し、可能な場合は既存の安全なサービスを保持し、詐欺的な受取人が害を複合するのを防ぐべきである。しかし、復元は詐欺イベントにリンクされた新しい訂正イベントとして現れるべきである。レコードは、どの権限が訂正を命令したか、いつ発効したか、どの利害関係または補償請求が残っているかを記載すべきである。

詐欺的な移転を削除することは虚偽の履歴を生み出す。監査人が誤った当事者が登録されていた期間を説明できなくなる。RPKI やリバース DNS を誰が管理していたかが不明瞭になる。エスクロープロバイダーまたは後の買い手が偽造された継続性に依存する原因となる。また、レジストリが自らの管理が失敗したことを示すことを避ける。

証券指令の境界は示唆に富む。詐欺または技術的エラーに基づく基礎的な請求は、システム内の保護された転送命令を取り消すことなく存続できる。救済は、返還、損害賠償、または新しい処分を通じて機能できる。IPv4 の正確な法的ツールは管轄権によって異なるが、記録保持の原則は普遍的である。訂正はエラーに続く。それはエラーが共有状態に入ったことがなかったふりをするものではない。

これはまた、補償が属する場所でもある。偽造された連鎖の後に認識を失った無実の買い手は、責任に応じて売り手、保険会社、エスクロープロバイダー、またはレジストリに対して請求権を持つ可能性がある。最終性は共通の履歴を保持し、法律が損失を割り当てる。

NRS は規律を提唱すべきであり、制度の衣を着るべきではない

番号資源社会（Number Resource Society）は、正確な登録、運営者の管理、集中型レジストリ権限の減少を公に主張している。決済最終性は、これらの原則を RIR および認可された移転サービスの具体的な基準に変えることができる。NRS が新しい中央証券預託機関、決済運営者、または排他的なグローバル権限の源として自らを提示するならば、それらを裏切ることになる。

建設的なモデルは、相互運用可能な登録決済のためのルールブックである。参加者、証拠、指示形式、照合、準備状態、取消不能、コミット、失敗、キャンセル、訂正、およびデフォルトを定義する。どの部分が自動化され、どの部分に人間の判断が残るかを公開する。各サービスの準拠法を特定し、倒産保護を主張する前にクロスサービスの法的分析を要求する。

NRS は適合性研究を委託し、交換可能なコーディネーターを提唱し、公開イベント証明設計を比較し、紛争および継続サービスに関する議論でメンバーを代表できる。認証、調整、権威あるイベントコミットメント、および救済は、RIR、認可された技術運営者、仲裁機関、または裁判所に留まらなければならない。NRS は取引資金を保持したり、会員資格を普遍的な権限に変換したりすべきではない。

参加者の責任には、すべての認可されたコーディネーターが含まれなければならない。虚偽のコミットに署名したり、保留中の状態を失ったり、重複完了を許可したりした場合、訂正および責任ルールが適用されるべきである。NRS の責任は異なる。研究を正確にソースし、メンバーの利益を開示し、証拠が変わったときにアドボカシークレームを訂正することである。

証券市場から得られる最も強い制度的教訓は中央集権ではない。それは、すべての状態における権限とリスクの明確な割り当てである。薄い共通レイヤーがその規律を提供できる一方で、登録サービスは複数かつポータブルのままである。

実用的な状態モデルは9つのステップを持つ

第一、提案: 一方の当事者が、正確なリソースとカウンターパーティを指定して取引を開始する。公開登録変更は発生しない。

第二、認証: ソースサービスが、公開された基準の下で現在の保持者の指示と企業権限を検証する。

第三、照合: 売り手、買い手、影響を受けるサービスが同一の正規条件を受け入れる。修正は以前のバージョンを消費する。

第四、条件付け: 支払い保証、法的拘束、受取人の適格性、宣言された技術的前提条件が満たされるか、保留中として識別される。

第五、準備: 権威ある登録に必要なすべてのサービスが準備完了に署名する。取引は決済識別子とスケジュールされたウィンドウを取得する。

第六、取消不能: 一方的なキャンセルが終了する。定義された整合性緊急事態は一時停止できるが、時間制限付きでレビュー可能な行為を通じてのみである。

第七、コミット: すべての権威あるレコードが一つの有効な保持者変更を適用し、支払いプロバイダーが共通の決済条件の下でマッチングされた解放を取消不能にする。ペアのイベントは耐久性があり、リプレイセーフで、調整される。

第八、完了: 登録および支払いサービスが最終領収書を発行し、取消不能のペアコミット後に残った機械的な転記を完了する。別個の支払い機関がコミットされた解放をデフォルトした場合、その保証および責任ルールが適用され、黙示的に売り手を復元することはない。

第九、隣接アクションで完了: RPKI、リバース DNS、IRR、運用上の連絡先が宣言されたスケジュールに従って移動する。それらのステータスは可視であるが、決済条件が明示的にレジストリ管理アクションをコミットの一部としない限り、登録最終性を再開しない。

拒否または期限切れの取引は、最初の4つの状態から最後の最終記録を変更せずに離脱できる。コミットできない準備された取引は、定義された回復状態に入る。コミットされた取引は、別の最終イベントを通じてのみ変更できる。この単純な状態文法は、現在裁量として現れる不確実性の多くを取り除く。

アナロジーには厳格な限界がある

証券決済は、番号登録が共有しない法的および制度的基盤に依存している。CSD は認可され監督されている。指定されたシステムは法定の倒産保護を受けることができる。参加者は通常、規制された金融機関である。決済資産は通常、代替可能であり、口座は法的に特徴づけられ、支払いは確立されたマネーシステムを通じて行われ、プルーデンシャルルールがデフォルト管理をサポートする。

IPv4 プレフィックスは、希少で移転されるという理由だけで有価証券ではない。それらの法的性質は異なる。RIR は異なる契約と管轄権を持つ私的機関である。買い手と売り手は、グローバルキャリアから小規模企業まで多岐にわたる。アドレス決済のための中央銀行レッグは存在しない。ルーティングは分散型の運用活動のままである。一方の当事者に影響する裁判所命令が、関与するすべてのサービスを拘束するとは限らない。

これらの違いは、機械的な移植を排除する。NRS は決済最終性指令を引用して、その倒産保護を得ることはできない。RIR は任意の時点をすべての国で第三者に対して法的に拘束力があると宣言することはできない。共通プロトコルが競合する財産法、制裁法、倒産法を解決することはできない。金融インフラ向けに設計された資本要件は、薄い登録サービスには不釣り合いである可能性がある。

アナロジーは設計上の質問と精度の基準を提供する。指示はどこに入力されるか？いつ取り消すことができるか？どの条件がリンクされているか？一方の参加者が失敗した場合はどうなるか？コミット後に権威ある状態はどれか？誰がそれを訂正できるか？それを取り消さずにどの請求が存続するか？誰が損失を負担するか？

番号リソースの観点からこれらの質問に答えることは大きな進歩となるだろう。証券法がすでに IPv4 に対してそれらに答えているふりをすることは、別のカテゴリエラーになる。

最終性は再現可能な信頼によって測定されるべきである

決済レジームは、各状態に達する完全な指示の割合、そこで費やされた時間、および失敗の帰属可能な理由を公開すべきである。中央完了時間だけでは不十分である。ロングテールケース、反復的な証拠サイクル、期限切れの条件、インフラ停止は、最終性の約束がストレス下で機能するかどうかを明らかにする。

システムは、サービス全体でコミットされたイベントを調整し、ギャップ、重複、リプレイ試行、遅延確認を報告すべきである。最終イベントが後で訂正される頻度、理由、誰の権限で、どのくらいの時間後に訂正されるかをカウントすべきである。高い訂正率は弱い認証を明らかにする可能性がある。ゼロの訂正率は隠れた削除またはアクセス不可能な救済を明らかにする可能性がある。

支払いリンクは例外を通じてテストされるべきである。レジストリはコミットしたが支払いは解放されなかった、支払いは有効なコミットなしに解放された、エスクローが取消不能後にタイムアウトした、偽造された領収書が拒否された。各シナリオには事前定義された損失負担者がいるべきである。

運用継続性は別途測定されるべきである。レジストリが管理する RPKI およびリバース DNS サービスはスケジュール通りに移動したか？ルート観測は混乱を示したか？データは、レジストリが世界的な到達可能性を保証することを決して示唆すべきではないが、自らの移行行為が停止に寄与したかどうかを明らかにすべきである。

デフォルト演習は、参加者の倒産、サービス障害、資格情報の侵害、競合する法的命令をテストすべきである。結果は取引詳細を公開せずに集約できる。ルール変更は、それらを促した証拠を示し、保留中のケースの移行期間を保持すべきである。

究極の尺度は、無関係な第三者がイベントを検査して一つの質問に答えられるかどうかである。指定された時間にどの組織が認識されていたか、そしてどの有効なイベントがその状態を変更したか？答えが私的なメールや機関の記憶に依存する場合、最終性は達成されていない。

結論: コミット後は不可逆的、新しいイベントを通じて可逆的

証券決済は、番号リソースガバナンスに不可逆性について考える正確な方法を提供する。合意は決済ではない。承認は決済ではない。支払いだけでは決済ではない。状態は、定義された条件が満たされ、権威ある記帳エントリーがコミットされ、リンクされた義務が一方を露出させたままにせず、システムのルールが一方的な取り消しを禁止したときに最終的になる。

その時点の前では、失敗はクリーンであるべきである。照合されていない、資金不足の、認可されていない、または法的に拘束された指示は、保留中、期限切れ、二国間でキャンセル、または最後の最終状態に戻る。それは、登録がないのに支払いが解放され、買い手があるレジストリに記録され売り手が別のレジストリに記録され、またはセキュリティ管理が当事者間に取り残されるべきではない。

その時点の後では、逆の原則が適用される。移転は耐久性がある。売り手の倒産は自動的に古い記録を復活させない。スタッフの再考はそれを消去しない。後の詐欺の発見、裁判所命令、または合意による取り消しは、新しい帰責可能なイベントを通じて状態を変更できる。履歴は無傷のままであり、補償または返還が結果として生じる損失を割り当てる。

この設計は要求が厳しい。IPv4 移転は、単一の法律や技術プラットフォームを共有しない機関を結合するからである。答えは、単一の RIR がすでにグローバルな最終性を提供しているふりをすることではない。それは、正確な決済単位を定義し、両当事者をマッチングし、ソースと受取サービスを調整し、レジストリのコミットメントを支払い保証とリンクし、失敗状態を公開し、すべての例外的な権限をレビュー可能にすることである。

NRS は、相互運用可能でポータブルなルールを提唱し、それらを運用する機関からの同等の証拠を公開することによって支援できる。その成功は、管理する取引数によって測定されるべきではない（NRS は何も管理すべきではない）。むしろ、そのアドボカシーが無期限の暫定移転、安全でない取り消し、曖昧なロールバックを防ぐのに役立つかどうかによって測定される。

決済最終性は制度的設計ツールである。なぜなら、それは各アクターに裁量が終わる時点を伝えるからである。買い手は耐久性のある記録を得る。売り手は解放を得る。レジストリは境界のある役割を得る。支払いプロバイダーは客観的な解放条件を得る。裁判所は、共有台帳にその履歴を忘れさせることなく、法的請求に対する権限を保持する。

ルールは一文で述べることができる。IPv4 登録変更は、認証され、マッチングされ、条件付けられた指示が一つの調整されたレコードにコミットしたときに不可逆的になるべきである。その後は、別の有効なイベントによってのみ変更できる。

これはインターネットのための証券法ではない。それは、あまりにも長い間誰もが依存することが期待される時点を命名せずに運用されてきたグローバル番号システムに適応された最終性の規律である。

出典