Кратко

  • В On Distributed Communications живучесть означала долю станций, которые физически уцелели и оставались электрически связаны с крупнейшей единой группой уцелевших. Исправная, но изолированная станция не засчитывалась.
  • Кривые зависели от решётчатой топологии, распределения удара, избыточности и коммутации, способной использовать сохранившийся путь. «Идеальная коммутация» была верхней границей, а не свойством любой сети.
  • Message blocks и hot-potato-маршрутизация Baran повлияли на последующие пакетные сети, но не были современным BGP hot potato или готовым ARPANET. Donald Davies, Leonard Kleinrock, Larry Roberts, коллеги RAND, BBN и сообщество ARPA внесли отдельные вклады.

Метрика исключала часть уцелевших

Знаменитая схема центральной, децентрализованной и распределённой сети подталкивает к быстрому выводу. Уничтожение центра звезды разрывает края; в решётке остаются обходы. Но схема не определяет успех.

RM-3420 вводит два одновременных условия. Станция должна пережить физический удар и остаться в электрической связи с крупнейшей единой группой уцелевших станций. Малые изолированные группы признаются неэффективными, даже если внутри них связь сохранилась. Поэтому исправное оборудование могло выпасть из показателя.

«Наилучшая возможная линия» отделяла физическую гибель от дополнительной потери связи. При вероятности уничтожения узла 0,5 даже совершенная коммуникация оставляет в среднем лишь половину станций. Распределённая структура должна была сократить падение ниже этой границы — не дать фрагментации выключить тех, кто физически выжил.

Она не отменяла ущерб. Она ограничивала его распространение.

Способ нанесения ущерба входил в модель

Главные кривые строились на массиве 18 на 18, то есть на 324 моделируемых станциях. Менялись вероятность поражения и уровень избыточности. Baran сначала рассмотрел попытку рассечь параллельную структуру и отметил, что для неё нужны почти полные сведения о линиях, оружии и эффектах. Затем равномерный удар был принят как известный худший случай именно для этой модели.

В примере с 2 000 средствами поражения против 1 000 станций цели находились достаточно далеко друг от друга, чтобы одно средство редко уничтожало две станции. Первая волна меняла набор целей для второй. Это строгий сценарий, но не закон для землетрясений, общих источников питания или ошибок конфигурации.

В таких условиях избыточность примерно в три-четыре раза выше минимального остовного соединения долго удерживала дополнительную потерю связи на низком уровне. Однако у кривой был резкий перелом. До порога сеть сохранялась, после него быстро распадалась. Число «три» не стало универсальным рецептом; оно описывало конкретный эксперимент.

Линии на карте сами не переключаются

Baran сравнил гибкую коммутацию с «разнообразием назначения». Во втором случае между каждой парой заранее выбиралось несколько независимых путей. После атаки хотя бы один из них должен был сохраниться целиком.

При «идеальной коммутации» можно было после повреждения выбрать любой существующий путь. Это верхняя граница. Предварительные маршруты давали нижнюю. Реальные системы, ограниченные информацией и временем сходимости, лежат между ними. Лишний физический канал бесполезен, если управление его не обнаруживает.

Связность означает существование пути. Живучесть — сохранение определённой функции после определённого воздействия. Доступность отвечает, может ли конкретный пользователь пользоваться услугой сейчас. Надёжность описывает корректную работу во времени. Соединённая сеть может быть перегружена, а выжившая — гораздо медленнее.

Блок сообщений оставлял след пути

Baran использовал термин message block и предлагал стандартный блок примерно на 1 024 бита с данными, адресами, контролем ошибок и маршрутной информацией. При каждой передаче увеличивался handover number. По недавно пришедшим блокам узел оценивал, какой сосед давал короткий путь к соответствующему источнику.

Если предпочтительная линия была занята или разрушена, блок отдавали следующей свободной. Так работала «горячая картофелина». Правила обучения и забывания придавали новым наблюдениям больший вес, чтобы прежний хороший путь не оставался авторитетным после обрыва или ремонта.

Описанная в RM-3420 модель 7 на 7 начинала с пустых таблиц. Она быстро обучалась и показывала приемлемую длину пути примерно при половине загрузки линий. Но при перегрузке локальный ввод ограничивался. Около 1,5 Мбит/с при лёгкой нагрузке могли превратиться в 0,5 Мбит/с при общей тяжёлой нагрузке. Быстрая доставка обещалась трафику, который сеть приняла, а не всей предложенной нагрузке.

Сохранившийся путь не гарантировал прежнюю пропускную способность или задержку.

BGP использует ту же метафору иначе

Hot-potato у Baran выбирал следующую передачу отдельного блока в адаптивной сети хранения и пересылки. Современный BGP hot-potato обычно выбирает ближайший выход из автономной системы, если более приоритетная политика не назначила иной путь. RFC 9107 связывает это с внутренней стоимостью до BGP next hop среди допустимых выходов.

Первое — пересылка единицы данных, второе — выбор выхода под междоменной политикой. Совпадает образ, но не алгоритм и не гарантия.

ARPANET собрал несколько исследовательских линий

Исходной задачей Baran была командная связь после атаки. У ARPANET была также цель разделять дорогие вычислительные ресурсы университетов и лабораторий. В устной истории Baran упоминает Larry Roberts, Elmer Shapiro, Leonard Kleinrock и Keith Uncapher; конкурс на Interface Message Processors выиграла BBN.

Computer History Museum показывает параллельные работы. Donald Davies независимо развивал пакетную коммутацию в британской NPL и предложил слово packet. Roberts и команда ARPA объединили идеи, финансирование, подрядчиков и программное сообщество в действующую сеть.

Коллективная история не уменьшает Baran. Она точнее определяет его вклад: живучесть получила знаменатель, модель повреждения и требование к механизму поиска пути.

Чего кривая не могла подтвердить

Сохранившийся путь ничего не говорил о том, была ли полученная команда подлинной, санкционированной, актуальной или разумной. В серии RAND существовал отдельный том о безопасности, секретности и защите от вмешательства, поэтому граница не означает, что Baran не видел проблему. Просто эти свойства не были переменными кривой в RM-3420.

Малая группа, исключённая из крупнейшей компоненты, тоже не обязательно молчала. Она могла поддерживать локальную связь, но считалась неэффективной относительно выбранного целого. Для национального управления это консервативное решение понятно. Для районной аварийной сети именно автономный остров может быть требуемой функцией. Новый объект защиты меняет числитель.

Современная сеть добавляет зависимости, которых нет на схеме линий: питание, источники времени, имена, ключи, управляющее программное обеспечение и полномочия персонала. Два физических маршрута могут зависеть от одной системы управления. Испытание, которое удаляет кабели, но сохраняет все эти слои, не доказывает их живучесть.

Поэтому полезнее наследовать у Baran не форму сетки, а метод постановки вопроса. Сначала назвать функцию, затем удалить элементы по обоснованной модели, после чего измерить ровно тот остаток, который был обещан. Только так слово «живучесть» не превращается в свободный синоним надежды.

Источники