要約

  • RFC 9675では、Managerが遠隔の方針を表現し、装置のそばにいるAgentがローカルな観測と権限に基づいてControlを実行する。
  • Controlに同期RPC型の戻り値はなく、報告は接続とは独立に生成され、待機、失効、置換、順序逆転、複数Controlの集約が起こり得る。
  • 信頼できる判断には、目的、符号化、保管、受信、認可、鮮度、実行、回復、報告生成、キュー履歴、照合、後続観測を分けた証跡が要る。

沈黙だけでは、どの世界にいるのか分からない

遠隔装置から予定時刻を過ぎても報告が来ない。管理画面は緑のままにするか、赤に変えるか。どちらも根拠が足りない。

何も発生しなかったのかもしれない。ローカルルールは発火したが報告を抑制したのかもしれない。報告は生成済みでキューに残っている、容量制約で失効した、より新しい要約に置き換えられた、送信権限がない、経路がない、Agent自体が停止している、あるいはManagerが乱順序の集合をまだ照合できていないのかもしれない。

同じ空白に、これだけ異なる運用状態が重なる。RFC 9675が解くのは「応答を速くする」問題ではない。応答を前提にできない環境で、装置を動かし続けながら、分からないことを分からないまま記録する問題である。

この区別を失うと、可用性のために導入した自律性が、説明責任を消す仕組みに変わる。

規格の地位も証拠の一部である

RFC 9675「Delay-Tolerant Networking Management Architecture」は2024年11月に公開された。IETFストリームに属し、IESGの承認とIETFコミュニティのコンセンサスを得たInformational文書である。Internet Standards Trackの仕様ではない。

記述対象は論理・情報アーキテクチャであり、完全な機能設計ではない。役割、可能な振る舞い、利用場面を示すが、すべてのインターフェースや実装方法を定めない。BPv7を必須にせず、特定のIPやトランスポートも選ばない。名前付け、アドレス、経路制御、通信セキュリティーは運用ネットワーク側の責任である。

したがって、RFCへの準拠を名乗るだけで導入実績にはならない。特定装置への到達、Controlの認可、動作結果も証明しない。観測可能な採用とは、実際のManagerとAgent、ルール、Control定義、報告スキーマ、キュー方針、権限記録、実行履歴が存在することである。

一方、前提とする困難は明確だ。接続断が秒から日単位で続き、リンクが片方向または非対称で、装置が休眠し、DNSや認証基盤に継続アクセスできない場合がある。接触時間が一往復より短いことさえある。問い合わせて結果を待つ方式は、管理の基礎にならない。

遠隔のManagerはローカルの操作者を構成する

DTNMA Managerは遠隔操作者の役割を担う。管理アプリケーションの目的を受け、標準的な表現に符号化し、メッセージを集約して対象Agentへ送る。DTNMA Agentは管理対象の近くにいるローカル操作者であり、データの収集と融合、検証、認可、Control実行、エラー処理を担う。

ここには二つの管理階層がある。遠隔側はローカル操作者の構成を管理し、ローカル操作者が装置を運用する。遠隔の目的は装置状態へ直接書き込まれない。現地のルール、資源制約、観測値、競合更新、権限判断を通過して初めて動作になる。

接続が偶然速い場合でも、Controlはローカルに評価される。受信はAgentの自律エンジンへの刺激であり、Managerのセッションが装置を直接支配するわけではない。

遠隔権限が消えるのではない。その形式が正確になる。Managerは目的と許容範囲を記録し、Agentは当時のローカル事実と判断を記録する。後から必要なのは、どちらか一方ではなく両方である。

Controlは長時間待つRPCではない

ControlはAgentが実行するパラメーター付き手続きで、Managerから届く場合もローカルルールが選ぶ場合もある。macroは複数のControlを順序付けたものだ。

RFC 9675はControlに戻りコードという概念を置かない。戻りコードは呼び出し側と手続きの同期関係を前提にするからである。タイムアウトを数日に延ばしても、その前提は戻らない。

実行時には目的が期限切れになり、入力が古くなり、別の更新が同じ資源を変更しているかもしれない。macroの途中で失敗すれば、前半だけが装置を変えている。失敗はAgentの状態となり、別のルール、rollback、安全状態への移行を起動できる。

必要なのは一個の成否ではない。方針バージョン、受信時刻、認可判断、入力と鮮度、前提条件、各ステップ、競合、回復、後続観測を保存した実行の系譜である。「完了」は、その系譜を削った表示にすぎない。

一つの報告が複数の操作を包む

管理アプリケーションは応答を待つ閉ループにも、待たずに次の方針を送る開ループにもなれる。DTNMAの閉ループは、数ミリ秒で閉じる場合も数年かかる場合もある。

Controlと報告は一対一ではない。一つの報告が複数Control後の終状態を示し、一つのControlが複数報告へ影響することがある。因果の関連付けがない場合もある。生成済み報告が送信前にキューから消えることもある。

メッセージIDは保管された物を識別するが、その物が作った状態までは示さない。方針IDは意図を名付けるが、到着時の妥当性を示さない。Control IDは手続きを名付けるが、使った入力や後の回復を示さない。

照合台帳は、目的、符号化、保管、Agent認可、実行、観測、報告、後続状態を結び付けつつ混同しない必要がある。三つのControlをまとめた報告を、画面上で最後に見えた一命令への返答へ変換してはならない。

到着時刻で並べると因果が逆転する

報告はManagerへの接続とは独立に、ローカル状態に応じて生成される。保存され、異なる経路を通り、再送されれば、古い報告が新しい報告の後に届く。RFC 9675は受信順から意味を推定しないよう明示している。

各報告には生成時刻、Agent、スキーマ、方針、状態コンテキストが要る。API受信時刻は輸送運用には役立つが、観測時刻の代わりではない。時計に不確かさがあるなら、その幅を証跡に残すべきで、見栄えのよい一本の時間軸を捏造すべきではない。

キューは有限である。報告は失効し、新しいものに置換され、未送信のまま除去され得る。したがって沈黙は単一の値ではなく、証拠が欠けた状態である。別のAgent生存信号やキュー記録なしに「正常」と読むことはできない。

データ融合は帯域を救い、文脈を落とす

Agentはサンプルやカウンターから最小、最大、平均、異常値、終状態などを作れる。短い接触時間では不可欠だが、融合結果は特定のルールとバージョンが作った新しい情報であり、入力の無損失コピーではない。

融合定義が変われば、同じ名前の二つの報告が比較不能になる。正しい終状態が、途中の失敗を隠すこともある。RFC 9675は生データ保持を禁じず、複雑な相互作用の分析に役立つとする。残すべき原観測は、容量不足になる前に決めなければならない。

鮮度も局所的である。ルール評価時に新しかった値が、報告生成時には履歴となり、Manager到着時には無効かもしれない。署名は出所と完全性を守るが、測定を若返らせない。

複数Managerでは権限も履歴になる

RFC 9675は多対多の関係を許し、「どのManagerからControlを受けるか」と「どこへ報告するか」を別にできる。分断ごとに異なるManagerへ接続する環境には必要な柔軟性である。

同時に、範囲、優先順位、期限、競合解決を実装側で明示する必要がある。再接続時には、当時のManager対応、比較された方針、ローカル認可、勝ったルールを残さなければならない。報告が先に届いたという理由で、そのManagerに過去の最高権限を与えることはできない。

セキュリティーも段階を飛び越えない。認証された保管はControl権限の証明ではない。認可は前提条件の証明ではない。実行は目的達成の証明ではない。署名報告は真正でも古い場合がある。

非同期制御のための証跡階段

最初に目的の状態、範囲、権限、判断時刻、期限を記録する。次にManagerの正確な符号化、対象Agent、集約文脈、保管転送履歴を残す。Agentでは受信バイト、認可、鮮度付き入力、資源制約、競合確認を保存する。

実行段階では各Control、macroステップ、状態差分、失敗、rollback、安全化を残す。観測には型、出所、鮮度を付ける。報告にはスキーマ、生成時刻、寄与したControl、キュー投入、置換、失効、削除、送信を付ける。Managerは到着順ではなくイベント文脈で照合する。

最後に、現在性が必要な判断には独立した新しい観測を得る。この最終段を、メッセージ送信や報告受信で代用してはならない。

論理アーキテクチャから観測可能な採用へ

RFC 9675は遠隔の全知を約束しない。遠隔が全知でなくても運用できる役割分担を示す。共通文書、ローカル実行、報告画面、物理的結果は異なる現実層である。

Heng Luの最小初期仕様とrunning codeの視点は、その違いを保つ助けになる。共通仕様は相互運用の境界を示し、実装は輸送、安全、権限を地域化する。採用は文言ではなく、稼働するコードと残された証跡によって確認される。

難しいネットワークだから証明基準を下げるのではない。観測が遅れるほど、時刻、権限、因果、欠落の記録を厳密にする。それがこのアーキテクチャを責任ある運用へ変える条件である。

出典