要約

  • TTL 失効パケットを CPU に送る経路にはポリサーが置かれることがあり、装置が処理した件数だけでは全体を捉えられない。入口の TTL=1 を数える方法は有用な代理になり得る。
  • 代理値は「この地点で TTL=1 を観測した」という事実であり、すべてが同じ理由で破棄されたことや、ループが存在すること、設定変更が必要なことを単独では証明しない。

運用チームは不可解な差を見つけた。フローログでは TTL 失効が大量に疑われるのに、装置の CPU 側カウンターは低いままだった。原因は CPU 保護のポリサーだった。TTL が尽きたパケットの一部は、ICMP Time Exceeded を生成する処理へ到達する前に制限されていた。

そこで入口の TTL=1 を数える方法が採用された。数字は急に現実らしくなった。しかし次のダッシュボード改修で、ラベルから「代理」が消えた。表示は「TTL 失効による破棄」に変わり、制御系はその値をルーティングループの証拠として扱い始めた。

最初の修正は観測範囲を改善した。二つ目の改修は証拠の意味を書き換えた。

この境界は、OPSAWG の Information and Data Models for Packet Discard Reporting に明記されている。第16版は2026年7月30日付で、2027年1月31日に失効する。10月2日の調査時点では、Proposed Standard を意図する有効な Internet-Draft で、IESG に提出済み、RFC Editor のキューで編集者割り当て待ちだった。RFC 番号はまだない。

文書は既存の粗いカウンターを改良する。方向、装置内の位置、エラー・輻輳・ポリシーなどのクラスを整理し、装置、インターフェース、制御プレーン、フローの観測を整合させる。自動運用に必要な言語を揃える重要な作業である。

同時に、文書は測定が意図を決めないことも繰り返す。破棄クラスだけでは、その損失が意図的か非意図的かを判断できない。ローカルポリシー、設定意図、基準値、継続時間、範囲、サービス文脈、その他の証拠が必要だ。

代理値は何を観測したのか

TTL=1 の入口計数が直接述べるのは、その観測点に TTL=1 のパケットが到着したということだ。通常の転送なら次のホップで TTL が尽きる可能性が高い。しかし、装置内部の処理、トンネル、例外経路、実装差、サンプリング位置によって、最終的な処置の説明は変わり得る。

それでも代理値は価値がある。CPU ポリサー後の数字より全体を捉えやすい場合があるからだ。問題は使うことではなく、由来を消すことにある。直接カウンターと代理推定が同じ系列名、同じ品質表示、同じ自動化権限を持てば、利用者は比較できない。

最低限、観測方法、測定点、時間窓、欠損、サンプリング、カウンターの不連続、モデル版、対応する分類深度を保持すべきである。値に「推定」「直接」「相関済み」といった証拠型を与えるだけでも、機械は判断の上限を知ることができる。

TTL 失効は原因名ではない

TTL 失効の低い基準値は traceroute などの診断活動で普通に生じる。短い増加は収束に伴うことがある。持続する増加はループを示す可能性がある。同じクラスでも、率、期間、範囲、トポロジーが異なれば意味は変わる。

したがって、ttl-expired から「直前の変更を戻す」までを一本の規則で結ぶことはできない。変更と時刻が近いことは手掛かりであり、原因の署名ではない。別の障害が同時に始まることも、診断トラフィックが増えることもある。

文書の例示表も、非意図的かどうかをクラスの規範的属性とはしていない。収束による短い損失なら、非意図的でも「何もしない」が正しい場合がある。持続ループならロールバックが候補になる。観測が同じでも、時系列が権限を変える。

センサーを統治主体にしない

Heng Lu の現実層の考え方で整理すると、TTL=1 は入口で観測した記号、破棄は転送面の実行、ttl-expired は分類、ループは因果仮説、ロールバックは新しい実行、顧客回復は結果である。代理値がこれら全てを代表し始めると、センサーが運用主体へ昇格してしまう。

最小初期仕様は複雑である必要はない。観測の型と場所、期間、基準値、影響範囲、関連する設定、仮説の確度、行動権限、停止条件を保存すればよい。足りない証拠を空欄のまま保つことも仕様の一部である。

Running-Code Primacy は代理値を実験に戻す。traceroute、収束、持続ループ、CPU ポリサー、トンネル、カウンター再起動を個別に発生させ、直接値と TTL=1 の差を測る。代理がどの条件で過大・過小になるかを確認して初めて、自動化の権限を限定できる。

良い代理値は盲点を減らす。悪い権限設計は、その代理値に見ていない現実まで証言させる。

出典