Resumo

  • Um programa COIN, o artefato compilado para um alvo e a instância que realmente tratou um fluxo são fatos diferentes. O nome do serviço não prova qual código foi carregado nem quem autorizou sua presença.
  • Leitura, alteração, retenção de estado, escolha de local, consumo de recurso e emissão de uma ação são poderes separáveis. Cada um precisa de escopo, prazo, responsável e observação que não dependa apenas do componente avaliado.
  • A unidade durável de governança é um recibo de execução que una principal, artefato admitido, local escolhido, permissões efetivas, geração de estado, recurso consumido, saída, comando superior, efeito observado e resíduo após a reversão.

O recurso saiu; o estado não necessariamente saiu com ele

A ideia de agregar capacidade ociosa é atraente. Um provedor, uma empresa ou até um usuário final pode oferecer processamento próximo do tráfego. O trabalho encontra um alvo disponível, usa menos caminho e termina mais depressa. Esse desenho só parece simples quando o recurso é tratado como uma caixa sem memória e sem direitos.

Considere a saída inesperada. A instância pode ter recebido chaves temporárias, tabelas, amostras de dados, parâmetros de modelo ou estado de uma transação longa. Pode ter emitido uma saída que ainda não foi conciliada. Pode ter dividido a tarefa com outra instância. A revogação pode estar numa fila controlada pelo mesmo sistema que perdeu contato com o alvo. Dizer que o nó “saiu da malha” descreve uma mudança de cadastro, não a realidade dos dados e efeitos.

A RFC 9817, publicada em agosto de 2025, reúne casos de uso de Computing in the Network, ou COIN. Os dispositivos programáveis incluem switches e placas de interface de rede. Os cenários passam por descarregamento móvel, mídia imersiva, controle industrial, pré-processamento de grandes volumes, entrega de conteúdo, Compute-Fabric-as-a-Service, programação de redes virtuais e treinamento distribuído de IA.

O status do documento limita a conclusão. O registro do RFC Editor o classifica como Informational no fluxo IRTF. Ele expressa consenso do COINRG, não do IETF, não é um Padrão da Internet e resultados de pesquisa podem não ser adequados para implantação. A RFC 7841 explica essa separação. A página oficial do IRTF registra o COINRG como concluído. O encerramento do grupo não reprova a tecnologia; a publicação também não certifica uma implementação.

O valor da RFC está em tornar visíveis perguntas que uma demonstração de desempenho não responde.

O catálogo, o binário e a instância não são a mesma coisa

A RFC distingue programa COIN de instância de programa COIN. O programa é uma funcionalidade especificada. A instância é uma ocorrência em execução. Entre ambos está o artefato que um compilador produziu e que um alvo aceitou.

Um catálogo aponta uma versão lógica. O sistema de construção escolhe compilador, opções e arquitetura. O orquestrador seleciona um local. O dispositivo pode não suportar uma instrução e aceitar uma variante reduzida. O encaminhamento leva a chamada a uma instância. A instância consulta seu estado e age. São transições diferentes, embora todas possam aparecer sob o mesmo nome comercial.

A RFC pergunta como identificar programas e instâncias, como fixar uma transação numa instância específica e como preservar afinidade quando o estado é efêmero. O registro no Datatracker e o histórico editorial comprovam a linhagem do texto, não a identidade de um processo em produção. O rascunho de terminologia do COINRG é uma fotografia histórica útil, não uma norma vigente.

Um identificador auditável deve unir especificação ou pacote, hash da fonte, compilador e opções, artefato de destino, perfil de capacidade, transação de carga, instância, geração de estado e invocação. Uma atualização progressiva, um reinício quente e uma migração não podem apagar essas diferenças.

Dar primazia ao código em execução significa comparar a instituição com o que realmente rodou. Não significa que o código adquiriu mandato porque conseguiu rodar.

Cada verbo no caminho de dados é uma permissão

Um programa pode analisar cabeçalhos, ler carga útil, agregar valores, filtrar registros, replicar pacotes, reescrever conteúdo ou emitir sinais locais. Cada verbo representa um poder distinto.

A seção de segurança da RFC 9817 observa que dispositivos programáveis iniciais podem ter capacidade criptográfica limitada, operar sobre dados não cifrados ou modificar cargas úteis. Se um intermediário recebe capacidade de decifração, o modelo de confiança muda outra vez. O princípio desejável é privilégio mínimo: apenas a leitura e a alteração necessárias ao propósito.

Mas permissão pedida e permissão efetiva não são iguais. Um compilador pode ampliar o analisador. Um alvo talvez não consiga separar campos. Um encapsulamento muda onde a informação aparece. O modo de depuração exporta amostras. Um fallback em software enxerga memória que o caminho em hardware não veria. Um recurso contribuído por terceiro pode estar sob outra operação física.

O recibo precisa registrar o principal, o propósito, as classes de dados, as ações permitidas, os destinos de saída, a validade e a regra de destruição. Também deve registrar o que o alvo efetivamente conseguiu impor. A aprovação da política prova que um controlador recebeu uma intenção; não prova que o dispositivo respeitou a fronteira.

A RFC 3234 já descrevia como middleboxes acrescentam configuração, estado, falhas e problemas de diagnóstico. A melhoria dentro da rede não substitui correção ponta a ponta. A RFC 7663 mostra as tensões entre funções de rede e propriedades de evolução do IPv6. Programabilidade acelera a mudança, mas não elimina a responsabilidade do intermediário.

Colocação é uma decisão sobre quem pode saber o quê

O alvo mais rápido não é necessariamente o alvo autorizado. A decisão de colocação pode usar latência, carga, energia, custo, localização, classificação de dados, identidade do locatário, modo de segurança e restrições jurídicas. O próprio ato de escolher, portanto, pode exigir acesso a informações sensíveis.

Quem escolhe? A aplicação conhece sua finalidade. O locatário define limites de dados. O operador protege o plano de encaminhamento compartilhado. A equipe de segurança limita ações. Uma obrigação pública pode restringir localização ou interceptação. O fornecedor quer aproveitar capacidade. Essas partes não possuem o mesmo mandato.

Uma escolha reconstruível preserva o solicitante, o decisor, uma cópia temporal das restrições, os candidatos, os motivos de exclusão, o alvo escolhido e a regra de desempate. “O melhor alvo” não é uma explicação sem dizer melhor para quem e segundo qual objetivo.

Quando um recurso de usuário entra e sai de CFaaS, o recibo deve acrescentar cadeia de custódia, operador físico, atestado de capacidade, prazo de participação, procedimento de revogação e comprovação de limpeza. Sem isso, elasticidade transforma terceiros transitórios em guardiões invisíveis.

Estado é autoridade acumulada

Uma instância pode manter contadores, janelas de agregação, afinidade, cache, parâmetros, histórico de controle ou fragmentos de uma transação. Estado não é apenas desempenho. Ele influencia a próxima decisão.

Migração exige distinguir cópia, transferência e reconstrução. Qual geração estava estável? A origem deixou de escrever antes da captura? O destino começou depois de receber tudo? Houve intervalo com duas instâncias ativas? Uma operação repetida é idempotente? Um pacote atrasado pode reabrir a geração antiga?

Uma sequência segura registra pedido de migração, instante de quiescência, hash ou compromisso do estado, confirmação do destino, ativação, desativação da origem, janela de duplicação e limpeza. Se o controlador que realizou a migração é a única testemunha, o sistema ainda carece de observação independente.

O rascunho de análise de casos de uso tratou dimensões como estado e distribuição durante a formação da agenda de pesquisa. Seu valor é analítico e datado. Não autoriza supor que sincronização esteja resolvida.

Capacidade compartilhada produz deveres de contabilidade

Switches e NICs oferecem recursos finitos: estágios de processamento, memória, tabelas, filas, largura de banda interna, energia e tempo do controlador. Um programa admitido pode reduzir a margem que preserva a função básica de rede.

Reserva não é consumo; consumo agregado não mostra quem pressionou o gargalo. O recibo deve unir unidade, cota, prioridade, duração, medida, erro de medida, preempção e efeito sobre vizinhos. Cobrar por bytes enquanto a restrição real é uma tabela compartilhada cria uma contabilidade elegante e falsa.

A RFC 9817 levanta questões de gerenciamento e orquestração, atribuição de recursos e interferência entre funções. Ela não oferece uma unidade universal nem garante isolamento. A governança deve resistir à tentação de converter perguntas de pesquisa em capacidades de produto.

Em domínios limitados, algumas suposições locais são razoáveis. A RFC 8799 explica, porém, que fronteiras, condições de entrada, saída e falha precisam ser explícitas, e que protocolos locais podem vazar. “Dentro da nossa malha” é uma declaração de escopo, não uma prova de isolamento.

O caminho declarado não comprova a função executada

Metadados podem indicar por quais funções um pacote deveria passar. A RFC 8300, sobre Network Service Header, mostra como representar caminhos e contexto de serviço. Essa representação é valiosa, mas não prova sozinha qual artefato estava no alvo, qual estado foi usado nem qual transformação ocorreu.

Uma evidência completa correlaciona a invocação com entrada, instância, artefato, política efetiva, estado, consumo, saída e observação posterior. Quando privacidade impede guardar conteúdo, podem-se conservar compromissos, contadores vinculados e amostras governadas. O objetivo não é registrar tudo; é manter prova suficiente para testar uma alegação específica.

A página de referências feitas pela RFC 9817 e a de documentos que a citam ajudam a situar relações documentais. Elas não demonstram que um caso operacional funcionou. O sistema de erratas deve ser consultado para o estado oficial de correções, sem transformar ausência ou presença de errata em validação de produto.

Controle local precisa de um superior que consiga discordar

O controle industrial ilustra o benefício e o risco. Uma ação perto do processo reduz atraso e dependência do caminho remoto. Ao mesmo tempo, aproxima do tráfego uma decisão capaz de alterar o mundo físico.

O controlador local precisa de envelope: variáveis que pode ler, ações possíveis, magnitude, duração, taxa, condições de segurança e expiração. O controlador global precisa poder observar, limitar, substituir e revogar. Durante uma partição, a política deve dizer se o local mantém, degrada, entra em modo seguro ou para.

Saída não é resultado. “Abrir válvula em dois por cento” é uma saída. A mudança observada no processo é o resultado. A mesma fonte não deve emitir o comando, afirmar que ele ocorreu e certificar que foi correto. Sensores independentes, logs de atuador ou reconciliação externa fecham a cadeia.

Reversão também é um processo. Remover a entrada do catálogo não descarrega necessariamente o binário, revoga chaves, apaga tabelas, cancela pacotes em voo nem desfaz um efeito físico. O recibo final deve listar o que foi removido, o que permaneceu e por quanto tempo.

O recibo de execução

Uma organização que queira adotar COIN sem converter velocidade em autoridade implícita pode exigir um registro mínimo:

  1. principal solicitante e fundamento do mandato;
  2. especificação, pacote e finalidade;
  3. artefato admitido, compilador, opções e perfil do alvo;
  4. decisão de colocação, restrições, candidatos e responsável;
  5. permissões solicitadas e efetivamente impostas;
  6. instância, geração de estado e afinidade;
  7. recurso reservado, medido e preemptado;
  8. invocação, entrada comprometida e saída correlacionada;
  9. comando superior, override e observação independente;
  10. revogação, rollback, limpeza e estado residual.

O recibo não precisa ser um formato central que controle algoritmos. Precisa ser portátil o bastante para que partes diferentes comparem afirmações. Identidade, tempo, unidade e causalidade são a camada mínima; a política de colocação pode continuar local.

Esse desenho segue a tese de Heng Lu sobre a primazia do código em execução: observar a realidade operacional antes de aceitar a representação. Também segue o princípio de especificação inicial mínima e decisões futuras localizadas: padronizar a prova necessária para coexistência sem centralizar toda decisão. E preserva a distinção entre camadas de realidade: catálogo, orquestração, artefato, execução e efeito são mapas relacionados, não substitutos.

Fontes

  1. Datatracker: rascunho de terminologia COIN
  2. Datatracker: análise de casos de uso COIN
  3. Datatracker: RFC 9817
  4. Histórico da RFC 9817
  5. Documentos que referenciam a RFC 9817
  6. Referências da RFC 9817
  7. Heng Lu: especificação inicial mínima
  8. Heng Lu: camadas de realidade
  9. Heng Lu: primazia do código em execução
  10. IRTF: COINRG concluído
  11. Erratas da RFC 9817
  12. Informações da RFC 9817
  13. RFC 3234
  14. RFC 7663
  15. RFC 7841
  16. RFC 8300
  17. RFC 8799
  18. RFC 9817