요약

  • draft-ietf-nmop-network-incident-yang-14는 네트워크 인시던트 수명 주기—raised,updated,cleared—와 운영자 수명 주기—acknowledged,diagnosed,resolved—를 분리하고, 하나의 resolve RPC가 여러 인시던트를 대상으로 할 수 있게 한다.
  • 성공적인 해제는 나중에 별도의 비동기 알림을 통해 보고된다. 공식 YANG Doctors 검토는 결과 알림을 그 결과를 낸 RPC와 연관 짓는 방법이 없다고 지적했다.
  • 명령-해제 접수증(command-to-clear receipt)은 승인된 요청, 정확한 인시던트 집합, 작업, RPC 결과, 연관된 알림, 티켓 매핑, 서비스 검증을 하나로 묶어야 한다. 이는 편집 통제 제안이며 IETF 요구사항이 아니다.

부모 없이 도착하는 녹색 상태

네트워크 자동화는 종종 초기 대화가 끝난 뒤에야 결과를 보여준다. 클라이언트가 서버에 인시던트 진단 또는 해제를 요청하면, 서버는 RPC를 접수하고, 나중에 알림이 최신 상태를 보고한다. 시간이 걸릴 수 있는 작업에는 합리적인 설계다. 하지만 이는 증거의 이음새를 만든다.

네트워크 인시던트 관리를 위한 YANG 데이터 모델의 개정판 14는 이 이음새를 유난히 선명하게 드러낸다.incident-resolveRPC는incident-no값 목록을 받는다. 인시던트가 성공적으로 해제되면, 초안은 별도의 알림이 발동되고 인시던트 상태가cleared로 바뀐다고 명시한다. 서버가 인시던트를 해제하는 방식은 문서의 범위 밖이다.

알림은 인시던트 번호를 식별한다. 어느 인시던트 레코드가 바뀌었는지 말하기에는 충분하다. 하지만 어떤 호출이 변화를 일으켰는지 밝히는 요청 식별자와는 다르다. 여러 클라이언트가 동시에 작업할 때, 하나의 요청이 여러 인시던트를 대상으로 할 때, 서버가 자가 치유를 수행할 때, 혹은 근본 조건이 다른 이유로 사라질 때 이 차이가 중요해진다.

8월 31일 YANG Doctors 검토는 문제를 직접 서술한다. RPC 결과는 알림으로 전송되지만, 모델은 알림을 그 결과를 낸 RPC와 연관 짓는 방법을 제공하지 않는다는 것이다. 검토는 “Almost Ready”로 표시되었고, 공개되지 않은 다음 개정판을 검토해야 한다는 점도 언급했다. 이는 살아 있는 검토 지적이며, 초안이 망가졌거나 이후 작업이 답할 수 없다는 판정이 아니다.

두 개의 수명 주기가 하나의 범주 오류를 막는다

이 간극이 나타나기 전에 초안이 중요한 일을 한다. 기계 상태와 운영자 행위를 분리한다. 네트워크 인시던트 인스턴스는raised,updated또는cleared일 수 있다. 운영자는 인지, 진단, 해제를 수행할 수 있다. 일상 대화에서는 이 어휘가 겹치지만, 서로 교환할 수는 없다.

관찰된 장애는 운영자가 티켓을 닫기 전에 해제될 수 있다. 운영자는 모니터링 조건이 활성 상태로 남아 있는 동안 작업을 해제 완료로 표시할 수 있다. 우회 조치는 근본 원인을 제거하지 않고 트래픽을 복구할 수 있다. 자가 치유 기능은 감사자가 나중에 전제하는 인간의 행위 없이 인시던트를 해제할 수 있다. 초안의 두 수명 주기는 이런 가능성들을 개념적으로 남겨둔다.

초안의 운영 고려 사항은 이 구분을 또 다른 시스템으로 확장한다. 운영자는 YANG 인시던트 상태와 Open, Assigned, In-Progress, Resolved 같은 외부 티켓 상태 사이에 결정론적 번역을 구현해야 한다. 그렇지 않으면 네트워크 계층은 닫혔다고 말하는데 티켓은 활성 상태로 남거나, 티켓은 해제되었다고 말하는데 네트워크는 여전히 인시던트를 보고할 수 있다.

결정론적 매핑은 필요하지만, 인과적 증거는 아니다. 어떤 규칙은cleared를Resolved로 안정적으로 번역하면서도 어느 요청, 어떤 행위자, 어떤 복구 조치가 원본 상태를 낳았는지는 말할 수 없다. 증명을 더하지 않고 신뢰만 전파할 수 있다.

인증은 누가 연결했는지는 답하지만 무엇이 결과를 낳았는지는 답하지 않는다

초안은 모델을 보안 YANG 관리 프로토콜 뒤에 배치한다. NETCONF 또는 RESTCONF는 보안 전송과 상호 인증을 사용하는 것으로 기대된다. NACM은 특정 사용자를 작업과 콘텐츠의 하위 집합으로 제한할 수 있다. 보안 절은 인시던트 기록이 네트워크의 장애 상태를 노출할 수 있고, 악의적이거나 버그가 있는 클라이언트가 다수의 진단 또는 해제 작업으로 자원을 소모할 수 있다고도 경고한다.

이것들은 실제 통제 수단이다. 연관 필드가 없다는 이유만으로 폐기할 필요는 없다. 상호 인증은 관리 피어를 확립할 수 있다. NACM은 그 주체가incident-resolve를 호출할 수 있는지 결정한다. 오류 identity는 권한 거부, 시간 초과, 자원 부족, 미해결 근본 원인을 구분할 수 있다.

그러나 그 어느 것도 이후의cleared알림이 특정 승인된 호출의 결과였다고 말하지 않는다. 신원, 권한, 요청 접수, 실행, 관찰된 상태는 별개의 주장이다. 이것들을 “시스템이 인시던트를 해제했다”로 묶으면 상태 필드에 실제보다 더 많은 제도적 권위를 부여하게 된다.

대량 해제는 모호성의 비용을 키운다

하나의 RPC가 여러 인시던트 번호를 담을 수 있다. 공유 원인이 많은 레코드에 영향을 주거나 컨트롤러가 하나의 통합 대응을 적용할 때 운영적으로 타당하다. 동시에 부분적 결과에는 하나 이상의 타임스탬프가 필요하다는 뜻이다.

요청이 인시던트 41, 42, 43을 지목한다고 하자. 서버는 RPC를 접수한다. 인시던트 41은 나중에cleared가 되고, 42는updated로 남고, 43은 토폴로지 발견이 입력을 갱신한 뒤 사라진다. 평면적 성공 레이블은 같은 작업이 세 가지 모두에 영향을 주었는지, 하나의 인시던트가 이미 해제 중이었는지, 세 번째 레코드가 재식별되었는지, 재시도가 두 번째 인과 경로를 만들었는지 설명할 수 없다.

개정판 14는 실패에 대한 오류 사유를 정의하지만, 오류는 RPC 경계에서 완료되지 않은 것을 기술한다. 성공 경로에는 여전히 이후 알림과의 결합이 필요하다. 초안은 해제가 운영 중인 서비스에 영향을 줄 수 있다고 명시하고, 영향이 사소하지 않을 때 클라이언트가 작업을 거절할 수 있게 한다. 그렇기에 승인 결정과 선택된 대안은 행정적 장식이 아니라 증거의 일부다.

검증은 구문을 증명하지 운영 체인을 증명하지 않는다

Datatracker 기록은 2026년 8월 18일에 공개된 개정판 14를 Standards Track을 목표로 하는 NMOP 워킹 그룹 활성 초안으로 식별한다. 워킹 그룹 라스트 콜은 9월 3일에 끝났고, 9월 9일 증거 기준 시점에 고정된 기록은 여전히 In WG Last Call 상태였으며, 책임 AD나 telechat 날짜를 나열하지 않았고 IESG 승인을 보여주지 않았다. Datatracker는 9월 7일 YANG 검증 오류 0건과 경고 0건을 기록했다.

유용한 절차 증거다. 컴파일되지 않는 스키마는 상호 운용 가능한 작업을 지원할 수 없다. 하지만 성공적인 검증은 배포를 증명하지도, 명령, 비동기 알림, 외부 티켓에 걸친 정확한 연관을 증명하지도 않는다.IETF 126 NMOP 회의록은 incident-list 키, 인시던트 번호, 인시던트 ID 사이의 관계에 대한 논의도 기록한다. 식별자들이 검토되고 있었고, 회의록은 운영적 판정을 제공하지 않는다.

실행되는 코드가 질문을 더 선명하게 만든다. 설득력 있는 테스트는 겹치는 인시던트 집합을 가진 서로 다른 권한의 두 동시 resolve 요청을 발행하고, 자가 해제 조건을 유발하고, 하나의 알림을 지연시킨 뒤, 모든 결과 상태를 추측 없이 귀속할 수 있음을 보여야 한다. 구현이 증거를 보존한다면, 실패한 귀속도 깨끗한 통과만큼 정보가 된다.

프로토콜 바깥에서 결합을 만들어라

결여된 거버넌스 항목은 작아도 된다.명령-해제 접수증은 YANG 모듈을 수정하거나 민감한 토폴로지를 노출할 필요가 없다. 운영자의 통제 및 증거 평면에 놓일 수 있다.

요청 시점에 접수증은 고유한 호출 식별자, 정확한 인시던트 번호와 그 현재 개정판, 인증된 주체와 역할, 적용되는 승인 및 변경 정책 버전, 의도된 작업 클래스, 예상 서비스 영향, 결정 시각, 필요 시 승인자, 직접 복구가 위험할 때 선택된 대안을 기록한다.

실행 시점에 RPC가 접수되었는지 실패했는지, 인시던트별 오류 사유, 서버와 모델 개정판, 재시도 또는 분할 요청 여부를 기록한다. 알림이 도착하면 각각을 호출에 결합하고, 인시던트 개정판과 이벤트 시각을 보존하며, 인과적 결과, 독립적 상태 변화, 미확인 연관을 구분한다.

종결 시점에 외부 티켓으로의 결정론적 매핑, 티켓 자체의 행위자와 시각, 서비스 수준 검증 결과, 잔존 원인 또는 우회 조치, 롤백 상태와 정정 이력을 추가한다. 공개 보고는 클래스, 타임스탬프, 결과 상태만 밝히고, 상세 토폴로지, 고객 식별자, 복구 명령은 보호될 수 있다.

이 기록은 쉬운 허구를 거부한다. 모든 해제 상태가 명령에 의해 초래되었음을 요구하지 않는다. “독립적으로 해제됨”과 “원인 미상”은 정당한 결과다. 목적은 확실성을 만들어내는 것이 아니라 비동기 인터페이스가 우연히 확실성을 만들어내는 것을 막는 것이다.

The Policy Mirror는 작동 중인 결정이 어디에 기록되는지 묻는다. 여기서 권한은 NACM에, 요청된 의도는 RPC에, 관찰된 조건은 인시던트 데이터스토어에, 운영적 종결은 티켓에, 고객 현실은 서비스 테스트에 있을 수 있다.Running-Code Primacy는 이 기록들이 실행에서 만나도록 요구한다.Reality, Not Advocacy는 주장을 한계 안에 유지한다. 초안은 인시던트 자동화에 유용한 어휘를 준다. 운영자는 여전히 어떤 승인된 행위가 자신이 의존하는 녹색 상태를 낳았는지 증명해야 한다.

출처