要約

  • RFC 5134 は epc と epcglobal の二つの URN 名前空間を登録したが、万能の製品検証制度を作ったわけではない。
  • epc の下では物理的対象を指し得る一方、epcglobal はスキーマなど論理・ソフトウェア上の構成物を指す。
  • epcglobal には解決機構が要求も提供もされず、接続先がないことは名前の無効性を示さない。
  • 一部の epc サブ名前空間で使う ONS/DDDS も、サービスを選ぶ仕組みであって現物を検査する仕組みではない。
  • 永続性は名前の再割当てを防ぐ性質であり、現在の所在、保管、所有、実在を証明しない。
  • SGTIN 例では先頭ゼロが有意であり、数値化による整形は別の識別子を作り得る。
  • 検証済み errata は、大小文字を区別する範囲を名前空間固有部分へ訂正している。
  • 一般 URN 構文、EPC サブ名前空間の妥当性、正規の割当ては別々に確認する必要がある。
  • RFID 読取りは応答値の観測であり、タグの真正性や対象物の存在そのものではない。
  • 署名済みメタデータであっても、コピーされた値を運ぶ現物までは認証しない。
  • EPCIS は責任主体によるイベント主張を保持するが、イベント間の世界を自動的に補完しない。
  • 運用判断は名前、観測、解決、メタデータ、イベント、現物の各受領証を明示すべきである。

赤い警報は何を測っていたのか

監視装置は入力を URN と認識すると、機械的に接続先を探した。応答がなければ「解決不能」、続いて「識別子無効」と表示した。二つの状態の間には、本来なら契約確認が必要だった。対象の名前空間は、そもそも解決を仕様として持つのかという確認である。

RFC 5134 は epcglobal について、解決機構を要求せず、提供もしないと記す。スキーマや論理構造を指す永続名は、取得可能な文書を必ず伴う必要がない。名前を安定して参照できることと、ネットワーク上で何かを返すことは別の機能である。

この区別を失うと、実装者が登録制度より広い契約を勝手に作る。接続先が廃止されたという理由で論理名を失効させ、可用性監視に名前の正当性を決めさせる。障害対応は速く見えるが、実際には管理面とデータ面の境界を消している。

二つの名前空間は、二つの対象を守る

epc のサブ名前空間は、物理的な物体や有形の存在を命名し得る。epcglobal は、XML スキーマの名前空間など、論理的・ソフトウェア的な構成物を扱う。この分離は単なる整理ではない。どの証拠が必要かを変える。

物理的対象の名前が永続しても、対象は移動し、所有者を変え、破壊され、タグから分離されることがある。論理名は、対応するソフトウェアが更新されても参照上の意味を保ち得る。どちらも「識別」だが、現場観測や解決の期待は同じではない。

名前の型を無視して全件を一つのヘルスチェックに通すと、正常な epcglobal を障害とし、応答した epc を実物確認済みと誤認する。二つの誤りは逆向きに見えて、同じ原因を持つ。ネットワーク応答を名前の意味そのものと取り違えている。

ONS がある場合も、到達点はサービスである

RFC 5134 は、一部の epc サブ名前空間が Object Naming Service を通じて解決され得ると説明する。ONS は Dynamic Delegation Discovery System の実装として、規則と NAPTR レコードから利用可能なサービスを探索する。得られるのは「この入力と要求サービスに対して、この候補が選ばれた」という受領証である。

その受領証には、入力した名前の正確な形、等価比較、要求サービス、委任経路、候補、選択結果、DNSSEC 等の保護状態、キャッシュの鮮度、応答主体を残す必要がある。結果 URL だけを記録しても、後から経路や判断を再現できない。

ONS の成功は、製品の真正性を意味しない。コピーされたタグ値も同じ問い合わせを作れる。正しい委任先が古いデータを返すことも、誤った委任が精巧な画面を返すこともある。反対に、タイムアウトは製品が偽物だという意味ではない。発見、到達、権威、鮮度、現物は独立した問いである。

文字列の保存に失敗すれば、解決前に別名になる

RFC 5134 の SGTIN 例では、会社プレフィックス、製品参照、シリアル番号が構成要素として示される。パディングされた要素の先頭ゼロは有意である。データベースがそれらを整数へ変換してゼロを落とせば、見栄えを整えたのではなく、別の名前を問い合わせることになる。

受信時には原表現、可能なら原メッセージ、デコード規則、パーサー版、適用したサブ名前空間、出力表現を保存する。正規化は名前空間の同値規則に基づき、往復して同じ識別性を保つことを試験する。アプリケーションの「数字らしさ」を規則の代わりにしてはならない。

大小文字にも同じ注意が必要だ。公開 RFC の当初の表現は URN 全体を大小文字区別としたが、検証済み errata 1325 と 1328 は名前空間固有部分へ範囲を訂正した。urn スキームと NID は一般 URN 比較規則に従う。全体の小文字化も、全体の単純バイト比較も、それぞれ異なる誤同定を生む。

妥当性は三段階に分ける

一般 URI/URN パーサーは外形と文字を確認する。次に、対象となる EPC サブ名前空間の規則を適用する。RFC 5134 の SGTIN ABNF 例は非規範的であり、規範的な構造は GS1 Tag Data Standard に委ねられている。さらに、正しい権限経路で値が割り当てられたかを確認する。

構文に合う文字列でも、サブ名前空間では不正な組合せになり得る。形式が正しくても、割当てられていない番号かもしれない。正規に割り当てられていても、無権限の媒体へ複製され得る。「有効 EPC」という一つのフラグは、どの検査を通ったかを隠す。

規則の版も判定の一部である。GS1 の TDS アーカイブが示すように、標準は更新される。委任当時の規則に照らした妥当性と現在版への適合性を分ければ、過去を改変せずに移行を管理できる。どちらも現在の物理的位置を証明するものではない。

名前の永続性は現物の連続性ではない

登録制度は、一度割り当てた名前を別の資源へ再利用しないことで参照を安定させる。組織や仕様が変わっても識別子を追えるため、監査には大きな価値がある。ただし、その強い性質を現物へ拡張してはならない。

同じ名前を持つタグが二箇所で読まれたとき、登録表はどちらを本物とも言わない。名称は正しく一つでも、観測は競合し得る。タグの複製、読取り境界、遅延送信、誤エンコード、時計、実際の移動を追加証拠で調べる必要がある。

RFID 読取りの受領証には、読取り機、ファームウェア、アンテナ領域、フィルター、捕捉時刻、取込み時刻、重複除去判断を含める。これにより「その条件下でその値を観測した」と正確に言える。タグや中身の真正性には、暗号能力、保護された製造情報、管理されたコミッショニング、改ざん検知、実査など別の仕組みが要る。

メタデータにも発行者と期限がある

RFC 5134 のセキュリティ節は、価値ある物体に結びつく価格や寸法などのメタデータを偽装する動機を明示する。そのため、デジタル署名、安全な解決、信頼関係を基本と位置付ける。HTTP 応答が成功しただけでは足りない。

誰がどのフィールドを署名し、どの名前表現へ結び、いつまで有効で、利用者がどの信頼アンカーを採用したかを保持する。製品クラスについての正しい説明が、個体シリアルを証明するとは限らない。署名済みでも期限切れなら現在の判断に適さない。

さらに、真正な説明はコピーされた値からも参照できる。署名は説明と発行者の結合を保護するが、目の前のタグ、包装、中身の結合を自動的には作らない。暗号的完全性と物理的真正性を同じ緑色にしないことが重要である。

EPCIS は空白を勝手に埋めない

現在の GS1 アーキテクチャは、EPC による識別と EPCIS の可視化イベントを分離している。EPCIS は何が、いつ、どこで、なぜ、どのように観測・処理されたかを主体の主張として記録する。イベント間を常時観測しているわけではない。

イベント時刻と捕捉時刻、読取り点、業務地点、業務ステップ、状態、ソースシステム、責任主体を保存する。遅延、訂正、重複には履歴を残す。場所フィールドはプロセスが生成した主張であり、現物そのものではない。

保管の連続性は、こうした限定的イベントと組織間の引渡し証跡、必要な現物確認から組み立てる。観測のない区間は未知のまま残す。同じシリアルが空白の前後にあることを理由に、システムが移動経路を創作してはならない。

「名前の状態」と「世界の状態」を別々に表示する

運用画面は少なくとも、名前空間登録、構文、字句保存、割当て、観測、媒体認証、サービス発見、メタデータ完全性、イベント、現物結果を分けて表示できる。各状態には証拠、発行主体、時刻、適用範囲を伴わせる。

こうすれば、epcglobal に解決先がなくても名前は正常と表示できる。一方、epc の解決が成功しても、媒体未認証ならその不足を隠さない。サービス障害は発見機能だけを劣化させ、既に確立した割当てや観測を消さない。

解決の有無を万能判定にしない設計は、プロトコルへの忠実さだけではない。依存サービスの障害が全業務を停止するのを防ぎ、運用者が本当に補うべき証拠へ注意を向ける。

情報源