Кратко

  • RFC 9959 позволяет сохранить использованное прежним соединением окно перегрузки, минимальный RTT, Remote Endpoint и Lifetime, а затем осторожно применить эти наблюдения при запуске следующего соединения.
  • saved_cwnd — историческое свидетельство, а не сегодняшняя пропускная способность: сначала отправляется обычное начальное окно, одну запись может занять только одно соединение, а скачок ограничен половиной сохранённого окна и передаётся с pacing по нынешнему RTT.
  • Потеря, ECN или признак смены пути запускают Safe Retreat: ошибочная запись удаляется, окно сокращается до половины подтверждённого PipeSize, а непроверенные пакеты уходят без дальнейшего роста.

Распределённая служба сохранила после успешной передачи saved_cwnd в 200 пакетов. Новое соединение, пройдя начальную разведку, могло бы проверить не более половины этой величины. Но запись реплицировалась вместе с остальным кэшем в пять узлов. Если каждый узел одновременно решит, что ему разрешены 100 пакетов, узкое место увидит 500.

Каждый отдельный расчёт соблюдает численный предел. Система в целом нарушает его в пять раз. Репликация наблюдения незаметно превратилась в репликацию полномочия отправлять.

RFC 9959, опубликованный IETF на Standards Track в мае 2026 года, определяет Careful Resume именно для этой границы. Повторное обучение на длинном пути дорого: обычный slow start тратит несколько RTT, хотя недавнее соединение уже показало значительную доступную ёмкость. Но слепое продолжение с прежнего окна может создать очередь на маршруте, который изменился, или отнять долю у потоков, которых раньше не было.

Поэтому Careful Resume — не увеличенное начальное окно и не сертификат пути. Это конечный эксперимент: сохранить наблюдение, ограничить срок, однократно занять запись, провести разведку, сделать неполный paced-скачок, проверить его текущими ACK и немедленно отступить, если сеть не согласилась.

Сохранённое окно — датированное наблюдение

После установленного соединения отправитель может записать saved_cwnd, saved_rtt, saved_remote_endpoint и Lifetime. Окно выводится из объёма, который соединение действительно использовало, например из байтов, подтверждённых за один RTT. RTT — минимальное наблюдавшееся значение. Remote Endpoint — выбранное реализацией описание направления. Lifetime определяет, до какого момента запись вообще вправе участвовать в следующем решении.

Эти поля доказывают только прошлое: один поток при прежней маршрутизации, нагрузке и конкуренции доставил определённый объём. Они не измеряют физическую скорость линии, договорную полосу, нынешний свободный остаток или справедливую долю нового потока.

RFC 2914 объясняет, почему это различие является не только техническим. Контроль перегрузки защищает общий ресурс. Пользу от ускорения получает отправитель, а лишнюю задержку, потери и вытеснение при ошибке могут получить чужие потоки. Локальная запись о производительности не создаёт права распоряжаться общей очередью.

RFC 9959 допускает лишь один набор сохранённых параметров для одного Remote Endpoint. Более новое наблюдение обновляет или заменяет прежнее. Если использованная величина меньше четырёх начальных окон, реализация может вовсе её не сохранять: небольшой выигрыш не оправдывает дополнительное состояние и риск. Кэш здесь не банковский счёт, который накапливает кредит. Это заменяемое и истекающее свидетельство.

Remote Endpoint остаётся гипотезой о пути

В Remote Endpoint входит идентификатор исходящего интерфейса и назначения — например, unicast- или anycast-адрес. Можно добавить DSCP и другие признаки. Чем точнее ключ, тем меньше ложных совпадений и тем реже повторное использование. Чем шире ключ, тем выше hit rate и вероятность объединить разные узкие места.

Ни одна форма ключа не становится физическим паспортом маршрута. Тот же anycast-адрес способен привести в другой дата-центр. ECMP может выбрать другую ветвь. NAT, туннель, мобильное переключение или изменение политики могут передвинуть минимальное узкое место. Даже неизменный маршрут сегодня делит очередь с иным набором потоков.

Поэтому локальный сигнал смены пути отменяет Careful Resume, а истёкшая запись удаляется. Текущий RTT даёт ещё две проверки. Если новый минимум не больше половины saved_rtt, отправка половины старого окна за более короткий RTT создала бы скорость выше доказанной. Если новый минимум превышает старый более чем в десять раз, различие также считается признаком другого пути.

Сходный RTT всё равно не доказывает одинаковую ёмкость. Разные маршруты могут иметь близкую задержку; один маршрут может сохранить задержку распространения и приобрести очередь. Проверка RTT отсеивает явные противоречия, но не заменяет живой эксперимент.

Разведка начинается с обычного начального окна

Новое соединение стартует под обычным контроллером. RFC 5681 задаёт классическую дисциплину TCP, а RFC 6928 — контекст современного увеличенного initial window. Вчерашнее окно не устанавливается при создании соединения.

В Reconnaissance Phase отправитель передаёт не больше обычного нового потока. Потеря или ECN-CE в начальных данных, несовпадение пути, срока или RTT, а также занятость сохранённой записи другим соединением завершают Careful Resume до скачка. Только подтверждение всей начальной передачи без сообщения о перегрузке допускает Unvalidated Phase.

Её предел выражен прямо:

jump_cwnd ≤ Min(max_jump, saved_cwnd / 2)

Половина старого наблюдения — потолок, а не обещание. Оператор может установить меньший max_jump. Все непроверенные пакеты передаются с pacing, рассчитанным по текущему RTT, чтобы изменение окна не превратилось в линейный burst. Уже находящийся в сети flight фиксируется как PipeSize; дальше эту величину увеличивают только новые подтверждения доставки.

Непроверенная фаза коротка. Отправка её объёма, ACK первого непроверенного пакета или пребывание дольше одного RTT ведут к проверке. Если приложению нечего отправлять, неиспользованная часть скачка не сохраняется как бесплатное окно: CWND возвращается к фактически применённой величине.

В Validating Phase обычный алгоритм может реагировать на ACK, но опыт остаётся отменяемым, пока все непроверенные данные не подтверждены без перегрузки. Название состояния в трассировке не является результатом. Результат создаёт нынешняя доставка.

Одну память нельзя потратить параллельно

Правило одного пользователя сохранённой записи является системным инвариантом. В одном процессе его можно реализовать блокировкой таблицы. Сервис, распределяющий соединения по процессам и машинам, нуждается в атомарной аренде или в отказе от Careful Resume.

Риск проходит через обычные механизмы надёжности: репликацию кэша, retry, failover и восстановление после разделения сети. Два владельца, каждый считающий себя единственным, создают двойной скачок. Если координатор недоступен, безопасное поведение — нормальный slow start, а не оптимистическое чтение копии.

RFC 9040 описывает более широкое совместное использование сведений TCP Control Block между соединениями. Оно показывает ценность временного обмена и важность области кэша. Но этот документ не выбирает за оператора Lifetime Careful Resume, границы endpoint-ключа или протокол распределённого владения. Эти решения определяют, кто может потратить одно историческое наблюдение.

Safe Retreat возвращает занятую по ошибке долю

Потеря, ECN-CE или релевантный сигнал смены пути после скачка — это не обычная перегрузка при обычном CWND. Поток мог мгновенно внести объём, до которого slow start ещё не дошёл, и вытеснить конкурентов. Поэтому простого постепенного снижения недостаточно.

Safe Retreat удаляет сохранённые параметры, чтобы следующее соединение не повторило опровергнутую гипотезу. CWND становится не больше половины проверенного PipeSize. Восстановление проходит с этим окном, а пока непроверенные пакеты покидают сеть, окно не растёт. При выходе ssthresh не превышает PipeSize × Beta; значение Beta по умолчанию равно 0,5.

RFC 9937 определяет Proportional Rate Reduction для постепенного приближения к цели, выбранной контроллером после обычной перегрузки. RFC 9959 указывает, что PRR не подходит к Safe Retreat: скачок из сохранённого состояния может дать значительный overshoot, и постепенное уменьшение продлит преимущество ошибочного потока.

RFC 9438 задаёт обычное поведение CUBIC и его контекст beta 0,7. Контроллеры скорости, такие как BBR, могут сохранять эквивалентную оценку bottleneck bandwidth вместо окна. Представление меняется, обязанность — нет: провалившийся опыт должен быстро освободить общий ресурс. Persistent congestion завершает метод; поздний ACK не делает прежний скачок задним числом правильным.

Lifetime является политикой трафика

RFC 9959 не предписывает единый Lifetime. Для изменчивого пути разумны минуты. Для стабильного направления, которое не разделяет множество отправителей, могут рассматриваться часы. Чем больше участников делят узкое место, тем опаснее повторяющиеся попытки по старой памяти и тем короче должен быть срок.

Настройка переводит неопределённость в ответственность оператора. Длинный Lifetime повышает hit rate и может уменьшить время передачи, но расширяет период, за который успевают измениться маршрут, размещение сервера, доступ или конкуренция. Малый max_jump ограничивает одну ошибку и одновременно съедает пользу. Универсального оптимума нет, потому что часть цены платят потоки вне сервиса.

RFC 7661 рассматривает non-validated CWND внутри текущего соединения с ограниченной приложением скоростью и рекомендует период не дольше пяти минут. Careful Resume использует память другого соединения и добавляет разведку, pacing, проверку и отступление. Нельзя переносить одну временную границу на другую без анализа: часы управляют разными неопределённостями.

RFC 4782 даёт важный контраст. Quick-Start просил маршрутизаторы на пути одобрить желаемую скорость. Careful Resume такого одобрения не получает и ничего не резервирует. Конечная система выдвигает предположение, затем слушает текущую сеть. В отчётах нельзя называть cache hit разрешением сети.

Получатель и приложение сохраняют право отказа

Получатель может знать о смене интерфейса, ограничении оборудования, короткой передаче или важном соседнем потоке. RFC 9959 оставляет транспорту возможность передать желание разрешить или запретить Careful Resume, не навязывая одного универсального сигнала.

Кроме того, CWND не является единственным пределом. Receive window из RFC 9293 может быть меньше. Flow control соединения и stream в RFC 9000 может связать QUIC. До проверки адреса действует anti-amplification. Приложение без готовых байтов не подтверждает большое окно намерением.

RFC 9002 задаёт для QUIC начальное окно, pacing, обнаружение потерь и persistent congestion. Миграция может сохранить идентичность соединения, но не полномочие старого пути. RFC 8085 распространяет обязанность учитывать перегрузку и pacing на приложения и транспорты поверх UDP. Careful Resume не превращает прошлое измерение в свободный прикладной rate limit.

Доказательством служит выполненная цепочка состояний

Принцип Heng Lu о приоритете running code требует смотреть не на флаг «Careful Resume включён», а на исполнение. Нужны endpoint-ключ, время наблюдения, старый и новый RTT, Lifetime, однократное приобретение, initial flight, размер скачка, pacing, PipeSize, ACK, loss и ECN, переходы, удаление записи, окно отступления и влияние на соседние потоки.

Его аргумент о минимальной спецификации и локальном будущем решении точно описывает разделение труда. RFC стандартизирует защитные инварианты. Конструкция Remote Endpoint, Lifetime, max_jump, устройство кэша, сигнал получателя и область внедрения остаются локальными. Свобода конфигурации оправданна, если есть названный владелец внешнего риска и проверенный результат.

Различие слоёв реальности не позволяет слить пять разных утверждений: запись существует; текущий путь похож; контроллер вошёл в непроверенную фазу; пакеты получили ACK; сервис ускорился без вытеснения других. Для каждого нужен свой след.