摘要
- AFRINIC 重组后的董事会是必要的修复，但并不证明集中的机构风险已经消失。关键问题是，当 AFRINIC 在法律、技术或运营上受损时，成员是否能维护可识别的记录和关键依赖关系。
- 注册服务可迁移性不是地址空间的出售、持有者的变更或双重权威的许可。而是同一认可持有者在保持唯一授权状态和完整历史的情况下，在合格提供商之间转移定义注册服务的能力。
- 可迁移性需要四种不同的安排：普通的自愿提供商替换、严重服务故障期间的受监督迁移、临时紧急连续性以及如果认可变更时的最终机构继承。每种都有不同的触发条件、授权和返回条件。
- 数据托管是必要但不足的。连续性设计还需要测试过的恢复、当前身份和授权证据、有序的交易历史、争议限制、RDAP 和 WHOIS 发布、反向 DNS、路由注册数据以及谨慎边界的 RPKI 密钥和证书处理。
- AFRINIC 2025-2026 年复苏计划涉及领导力、审计、技术、人员配置、社区机构和法律稳定。这些措施改善了现有机构，但尚未建立常规的持有者控制退出或经验证的提供商替换路径。
- 正在修订的全球 RIR 治理框架承认了紧急连续性和临时运营商。NRS 风格的方法将通过合格选择将弹性原则扩展到常规时期，而无需等待区域注册表失败的极端阈值。
- 复苏应通过独立的压力测试来评判：成员门户丢失、数据损坏、法院限制、密钥泄露、资不抵债、员工不可用以及自愿提供商迁移。通过意味着唯一的当前状态、持有者控制不丧失，以及有证据支持的清洁返回或切换。
董事会修复的是授权，而非集中度
NRO 对 2025 年 9 月董事会选举表示欢迎，认为这是 AFRINIC 治理和活动全面恢复的一步。这种措辞是恰当的。恢复的一步并不是所有机构弱点都已结束的声明。
重组后的董事会可以做一些接收者或没有董事运营的员工无法持续做的事情。它可以制定战略、招聘首席执行官、批准预算、监督风险、召集成员和恢复委员会。AFRINIC 2025 年 10 月董事会和接收者的联合声明描述了在领导力、审计、诉讼、社区代表、政策讨论和宪法改革方面的持续工作。其 2026 年 3 月的成员更新描述了优先事项，包括稳定运营、一位实质性的首席执行官、技术和人力资源评估以及治理修复。
这些是真正的复苏任务。它们主要旨在使 AFRINIC 再次良好运行。它们并没有给资源持有者提供一个替代方案，如果 AFRINIC 后来无法执行关键的注册行为。持有者仍然依赖同一个法律实体、运营团队、服务接口和认可安排。
好的董事可以降低机构风险。可迁移性改变了在良好治理不够时谁承担剩余风险。一个有弹性的设计需要两者。
危机比缺少董事更广泛
AFRINIC 的困难不能简化为八个空着的董事会席位。诉讼影响了治理并消耗了注意力。接管将非常规权力置于法院监督的办公室中。经审计的财务报表被延迟。政策社区多年没有举行常规会议。该组织缺乏实质性的首席执行官。关于记录、备份和选举诚信的问题也随之产生。
员工在这些条件下保持了核心服务的运行，这证明了承诺和一定的运营弹性。但这并不是证明每一项服务都能在更严重或不同时间的故障中幸存。通过特殊员工努力实现的连续性可能掩盖了未文档化的依赖关系和集中知识。
公共后果也超出了 AFRINIC 的公司地位。网络运营商在维护联系、反向 DNS、路由对象和路由安全材料时依赖可识别的资源记录。公共机构、大学、银行、移动运营商、数据中心和接入提供商都可能依赖及时的变更。今天不中断数据包转发的争议仍然可能阻止持有者明天更正授权或响应事件。
因此，相关风险是复合的。法律权威、公司治理、员工能力、成员身份、技术发布和全球认可相互交互。更换董事解决了一层。招募首席执行官解决了另一层。当多层同时失效时，没有哪一层创建了替代路径。
注册表故障不等同于互联网中断
在描述后果时需要小心。如果 RIR 门户不可用，现有路由不会自动消失。路由器根据配置和路由协议进行转发，而不是通过为每个数据包查询成员办公室。在注册表争议期间，现有地址使用可能继续。
但这并不意味着注册表连续性可有可无。持有者可能需要更新公共联系人、创建或更改路由授权、更改反向 DNS、注册转移、更正路由对象、响应滥用或安全问题，或向对手证明授权。这些行为的延迟会增加运营风险，即使流量仍在流动。
RPKI 使依赖性更加明显。资源持有者在使用证书和路由来源授权时，处于 RFC 6480 中 RPKI 架构描述的信任结构内。影响证书颁发、密钥控制、发布或撤销的故障会影响依赖网络对路由的分类。影响程度取决于具体的故障和网络策略；不应夸大成立即的普遍断开。
因此，弹性分析应分别衡量功能。公共注册、账户控制、RDAP、WHOIS、反向 DNS、互联网路由注册数据、RPKI、新分配和转移服务具有不同的容忍度和恢复路径。互联网保持运行这样的模糊保证不能替代持有者保留行动能力的证据。
人员更替改变概率，而非爆炸半径
一个称职的董事会可以改善控制、确定优先事项并降低另一次治理崩溃的可能性。它还可以招募领导者、资助备份并明确授权。这些措施很重要，因为预防通常比紧急替换更便宜。
但如果一个机构是某个区域的强制性服务点，故障的爆炸半径仍然很大。法院限制、严重的网络事件、内部控制失败、资不抵债事件或关键员工流失可能同时影响许多持有者。更好的人员降低了这些事件的可能性；但它们并没有给受影响的成员提供经过验证的退出路径，如果其中一个事件发生。
这是其他关键服务中所做的同样区分。一个运营良好的提供商仍然维护故障转移、导出和恢复演练。对管理层的信心不被用作使客户数据不可移植或使恢复未经测试的理由。公共后果越高，仅依赖机构美德的理由就越弱。
可迁移性也规范了日常表现。一个知道持有者可以移动服务的提供商有更强的理由保持记录准确、解决投诉和发布可衡量的服务水平。退出不是惩罚。这是限制持续失败后果的控制，而无需替换整个机构。
可迁移性必须严格定义
注册表可迁移性应意味着一个认可的资源持有者可以更改执行定义注册服务的合格提供商，而持有者、资源身份、分配历史和授权当前状态保持不变。提供商对指令进行身份验证、维护约定的服务记录并提交或执行允许的更改。它不会创建竞争性分配。
该定义排除了三种误导性解释。首先，可迁移性不是声称地址是不受限制的私有财产。号码资源的法律性质以及它们持有的条款仍受适用协议、政策和法律管辖。其次，它不是转移到新的持有者。控制资源的组织不会仅仅因为其注册服务发生变化而改变。第三，它不是授权多个提供商发布相互冲突的当前持有者。
RFC 7020 中描述的互联网号码注册系统依赖于协调注册和唯一性。可迁移模型必须保留这些属性。一个资源有一个接受的当前持有者状态、一个有序的历史以及每个服务角色的定义当前授权。
这个狭义定义使可迁移性与全球协调兼容。竞争或替代发生在服务层面。唯一性仍然是一个共享约束。离开一个提供商的权不会成为选择最方便事实版本的权。
四种移动不得混淆
第一种移动是资源转移。它根据适用的转移政策更改某些号码资源的认可持有者。AFRINIC 2026 年 2 月批准的政策概览涉及 IPv4 和自治系统号码的转移，包括特定的区域间条件。这是一个涉及来源和接收者的市场和注册事件。
第二种移动是注册服务可迁移性。持有者保持不变，但合格提供商接管定义的管理服务。不暗示销售或重新分配。该事件类似于更改记录的保管人，而不是更改被记录认可的人。
第三种移动是紧急连续性。临时运营商执行受影响的服务器，因为认可的区域机构无法充分履行。授权受紧急情况限制，当能力恢复时服务应返回。持有者不需要在危机期间进行个别市场选择。
第四种移动是机构继承。如果 RIR 最终被替换或其认可发生变化，授权的继任者根据全球治理决策承担区域责任。这是一个宪法事件，而不是普通的客户切换。
政策、记录和技术控制应分别命名这些移动。混淆会导致越权或瘫痪。正常的提供商变更不应需要替换 RIR 的阈值。紧急运营商不应获得重写持有者历史的权力。资源转移不应伪装成服务切换。
NRS 提供了方向，而非完成系统的证明
号码资源协会将退出、可迁移性、冗余和更少地理束缚的管理作为其公共倡导的核心主题。其关于权力下放和可迁移性的治理声明提供了一个有用的方向：关键号码资源管理不应仅依赖于一个守门人的耐久性。
这一方向不应被视为每个运营细节已经解决的证据。身份保证、提供商资质、权威排序、RPKI 连续性、法律限制、责任和全球认可都需要精确的安排。倡导只有在这些安排经受不利测试后才成为基础设施。
NRS 反事实的价值在于它提出了区域垄断设计倾向于压制的问题。为什么保存一个权威号码记录需要每个与大陆相关的持有者都有一个永久服务提供商？全球唯一性和服务排他性是不同的属性。
AFRINIC 复苏是一个测试这种区别的机会，而不会削弱该机构。AFRINIC 可以继续作为认可的权威和强大的提供商，同时参与共同的可迁移性规则。目标不是让 AFRINIC 失败。而是使成员连续性更少依赖于 AFRINIC 永不失败。
一个授权状态是不可谈判的边界
如果两个提供商各自可以断言不同的当前持有者或发布不兼容的资源凭证，可迁移性就变得危险。因此，系统必须根据已知的当前版本对每个接受的更改进行排序。服务切换引用资源、持有者、传出提供商、传入提供商、受影响角色和当前状态。接受创建一个继任状态。
竞争性提交不能同时成功。过时的指令失败或进入审查。更正创建另一个可见事件，而不是擦除历史。每个合格提供商和公共服务都收敛于接受的结果。观察者可以复制记录，但复制并不授予原始权威。
NRO 的互联网号码注册系统协议使 RIR 致力于唯一性、准确性、公共条目和在一致的全球注册服务中的合作。可迁移性必须通过减少对单一服务办公室的依赖，同时保留一个一致答案来加强这些承诺。
这个边界也限制了提供商营销。没有提供商应承诺免于有效限制、匿名控制或替代认可。持有者可以在共同规则内选择服务质量和司法条件。它不能购买第二个版本的所有权，也不能通过移动记录争议的接口来逃避活跃的争议。
最小可迁移记录必须充分且克制
接收提供商需要足够的信息来继续服务，但不应接收传出机构持有的每一条注释、发票或身份文件。共同最低限度应包括资源身份、认可持有者、权威联系人、分配或指派依据、当前服务提供商、有序事件历史、活跃限制、待处理请求、依赖服务选择以及约定保证级别的验证证据。
每个字段都需要版本、来源权威、有效时间和敏感性类别。公众事实可以通过 RDAP 或相关服务出现。受保护的身份和争议材料通过安全渠道移动。高度敏感的證據可能留在托管保管人处，仅在有效触发时披露。
克制限制了集中化和泄露影响。一个集中每个客户文档的可迁移性系统创建了新的目标，并可能违反数据保护职责。充分意味着接收提供商可以验证持有者、重构当前授权、继续选定服务并解释为什么接受更改。并不意味着收集与这些功能无关的信息。
持有者应能随时检查其可迁移记录、挑战错误并接收签名的导出。定期导出使离开变得平常，而不是紧急恩惠。独立测试应确认另一个合格提供商可以在没有现任高级员工手动重建的情况下导入记录。
托管保存证据但不提供服务
ICANN 2025 年 7 月的信函询问了 AFRINIC 备份，并提议讨论与可信提供商的定期 RIR 注册数据托管。这是一个重要的干预。如果唯一的完整记录随失败机构消失，没有连续性模型能自信地恢复权威。
托管回答的问题比可迁移性窄。它可以保存文件和交易历史。它不能自动验证当前持有者、激活接收提供商、发布 RDAP、维护反向 DNS、颁发 RPKI 材料或解决法院限制。存入的数据可能过时、不完整、在不可用密钥下加密或难以在运营商需要的时间内恢复。
因此，一个可信的安排测试存入频率、完整性、完整性、解密、文档、发布触发器和恢复时间。托管保管人必须足够独立，以便在机构无法或不愿时发布材料，但无法将数据用于普通商业服务。对于最关键的元素，可能需要多个地理和法律上分离的保管人。
托管应支持机构紧急情况和持有者可迁移性。接收提供商通常通过传出提供商获取当前导出。如果该路径失败，监督发布可以提供最低记录。每次发布都有范围、记录和审查。数据生存成为运营连续性设计中的一层，而不是全部承诺。
身份和授权必须在机构之外存活
最难的连续性问题不是复制表。而是证明谁可以在维护联系记录的机构不可用或不受信任时指令更改。一个可迁移模型需要几个独立维护的权威因素：当前公司官员、受保护的恢复联系人、强凭证、验证的公司证据以及授权更改的历史。
没有一个单一的过时电子邮件地址应控制有价值的资源组合。持有者应注册多个具有不同角色和渠道的代表。高影响行为可能需要两个授权人或一个人加上外部机构证明。应定期测试恢复联系人而不公开它们。
接收提供商必须验证持有者身份的连续性，而不是因为通常账户不可访问而创建新持有者。如果证据冲突，资源进入一个有边界的保护状态。现有的公共记录和服务在安全的地方继续，而高风险更改等待审查。争议应仅影响有争议的行为和资源集。
权威证据在危机之前也需要可迁移性。等到门户不可访问才发现唯一联系人离开了公司的持有者已经失败。AFRINIC 复苏应包括一个成员运动，以验证多渠道授权并发布可移植的、可独立验证的收据。
RDAP 和 WHOIS 需要连续性而无矛盾答案
公共注册服务允许网络、安全团队和对手识别认可的组织和联系人。在提供商替换期间，这些服务应继续返回一个一致的当前状态。可能存在不同的服务端点，但发现必须引导用户到相同的接受记录。
提供商切换应更新服务提供商参考和任何授权联系人更改，而不改变资源的历史。缓存和副本需要定义的收敛时间。过时的响应应携带版本或最后更新时间，让用户识别它们。临时紧急响应应标识其有界状态，而不意味着资源更改了持有者。
RDAP 的结构化响应对于表达角色、链接和事件很有用，但技术格式本身不能解决权威。共同规则必须定义哪个服务签署当前结果，如何解决冲突，以及副本何时停止提供过时数据。WHOIS 兼容性对于尚未迁移到 RDAP 的用户可能仍然必要，但它应来自相同的接受状态。
连续性测试应在模拟提供商移动之前、期间和之后从多个区域查询公共服务。成功意味着可用性、一致的持有者身份、正确的角色更改和可解释的版本顺序。如果两个端点对控制意见不一致，返回 HTTP 响应是不够的。
RPKI 连续性需要比公共注册更严格的边界
RPKI 将资源权威连接到依赖网络使用的加密对象。移动注册服务不得随意移动私钥、创建重叠证书或让两个提供商都能授权路由。持有者选择的 RPKI 模型很重要：托管服务、委托认证或其他批准安排可以将密钥和发布职责放在不同位置。
可迁移记录应说明当前证书颁发机构关系、发布位置、授权前缀和自治系统号码、密钥保管模型、活跃路由来源授权、撤销状态和计划的切换。传出和传入提供商需要有序移交，并明确终止授权。
在密钥不能或不应移动的情况下，接收方在受控条件下发布继任者，并在适当时间撤销旧授权。重叠可能在必要时严格限制以避免验证失败，但双重不受控制的发行绝不能成为非正式的便利。从两个提供商外部观察应确认预期结果。
紧急连续性更难。临时运营商可能需要权威来保持发布可用，同时缺乏进行任意路由更改的权威。紧急宪章应区分服务现有对象、续签有时间限制的材料、接受持有者更改和撤销受损授权。每个权力都需要触发和独立批准。
反向 DNS 和路由注册数据需要明确选择
注册服务通常与反向 DNS 委派和互联网路由注册数据并列。持有者可能假设这些依赖关系会自动移动，而提供商可能将它们视为单独的产品。可迁移性请求应列出每个服务，让持有者选择移动、临时继续、委派到别处或终止。
反向 DNS 连续性要求保留资源到区域的关系，并对委派更改进行安全控制。提供商切换不应静默更改名称服务器。如果旧提供商临时继续服务，该安排需要到期和紧急联系。测试应从独立网络验证解析，并确认过时委派仅在新服务准备就绪后移除。
路由对象和集合成员资格可能影响网络运营商构建的过滤器。交接应标识维护的对象、认证方法、维护者、引用和下游集合关系。重复或放弃的维护者即使在资源记录本身正确时也可能造成安全和运营混乱。
分离依赖关系避免了全有或全无的移动。持有者可以更改账户和 RDAP 服务，同时保留委托 RPKI，或移动 RPKI 而暂时保留反向 DNS。权威记录必须显示所选划分，以便没有提供商声称比它实际拥有的更多权威。
法院命令和争议必须作为限制而非监禁移动
可迁移性不能成为逃避有效法院命令、活跃所有权争议或安全冻结的方法。同样，一个争议的存在不应让现任者无限期冻结每个不相关的服务和资源。可迁移状态必须携带限制，包括确切范围、发布机关、有效时间、审查状态和到期条件。
接收提供商接受限制作为当前权威状态的一部分。它不会仅仅因为服务移动而重新审理此事。如果提供商认为命令不约束它或与另一义务冲突，则适用定义的承认和审查路径。持有者收到法律允许程度的通知。
这种方法将机构退出与事实擦除分开。持有者可以在受争议转移仍被阻止时离开差劲的服务。同一组合中的干净资源在限制可分时移动。现有的路由安全对象在等待高风险更改决策时可以继续。
法律受益于精确记录。他们可以看到提议的行为、控制它的提供商、之前的状态以及限制对连续性的影响。可迁移性应使合法命令更精确，而不是更无效。最强的设计既保护可审查的法律权威，也保护运营商连续性。
管辖权应可见而非隐藏在地理中
更改服务提供商可能改变合同法、数据位置、执行路径和对政府需求的暴露。可迁移性不废除管辖权。它要求管辖后果被披露并分配给正确的关系。
每个提供商应发布其法律实体、控制人、服务地点、管辖合同、数据处理承诺、分包商、投诉论坛以及应对冲突法律需求的方法。持有者然后可以选择适合其运营和公共职责的服务。共同权威规则仍然约束每个提供商。
一些行为仍然与 AFRINIC 的注册、区域认可或持有者自身的管辖权相关联。提供商不能承诺选择它就能移除这些联系。AFRINIC 也不应仅因其法律住所是毛里求斯而声称永久服务排他性。相关问题是哪个法律适用于哪个行为、证据和当事方。
冲突需求需要一个窄协议：验证权威、标识受影响的资源和服务器、保护当前状态、通知许可方、寻求审查并避免在管辖权未解决时采取不可逆行动。这比将地址块视为位于一个法院领土内更可信。
合格提供商必须能够提供故障安全服务
可迁移性仅与接收提供商一样强大。资格应测试身份保证、记录保护、事件响应、导出质量、服务连续性、法律能力、财务安全、冲突控制以及干净退出权威的能力。准入应基于证明的功能，而非政治赞助或地理血统。
每个提供商应在服务实时持有者之前通过迁移测试。它必须导入现实记录、标识过时或冲突证据、保存历史、继续选定依赖关系、拒绝过时指令并生成完整的签名退出包。测试应包括其自身员工或主要基础设施的损失。
资格不得创建卡特尔。要求应成比例、公开且可上诉。较小的专业提供商如果控制、责任和分包透明，可以使用共享基础设施。监督准入层可以在能力证明过程中限制组合规模。
性能在准入后应保持可见。指标包括更正时间、导出完整性、切换成功、安全事件、投诉结果、服务可用性和集中度。重复失败应限制新业务并最终触发有序移除。现有持有者即使在提供商被制裁时也必须保留退出。
AFRINIC 可以在此模型中作为提供商资格，并仍然可能是大多数区域成员的首选。可迁移性测试其服务主张而不否认其积累的专业知识。
紧急连续性应有界且可逆
提议的 RIR 治理文件第二稿包括一个紧急连续性概念，其他 RIR 和 ICANN 可以在 RIR 无法充分提供受影响服务时授权临时运营商。它呼吁发布范围和理由、社区参与和最终审查。截至 2026 年中，该更广泛修订仍在开发中，而不是 ICP-2 的最终替换。
这是一个重要的认可，RIR 连续性不能仅依赖内部恢复。设计仍需要运营细节：哪些服务获得优先、如何激活权威、哪些数据和密钥可用、临时运营商如何监督、扩展如何运作以及服务如何返回。
紧急授权应比普通 RIR 治理更窄。临时运营商维护受影响服务并保护当前状态。它不重写区域政策、重新分配争议资源或巩固自身。实质性行为接受额外审查，每次扩展都携带证据。
可逆性与激活同样重要。当 AFRINIC 恢复能力时，紧急运营商必须根据有序交接交付当前记录、撤销凭证并停止发布。独立的后期报告应协调每个行为。不能干净返回权威的连续性措施是接管机制，而非保障。
普通可迁移性填补紧急之前的空间
紧急连续性旨在应对严重的机构无能力。许多损害性服务故障低于该阈值。成员可能面临数月延迟、不可访问的账户恢复、未解决的记录错误或差劲支持，而 AFRINIC 仍基本运营。其他 RIR 和 ICANN 不太可能为一个持有者激活区域紧急安排。
普通可迁移性给持有者相称的补救措施。它可以在认证、通知和有边界异议期后，将定义的服务移动到合格提供商。权威状态保持不变。AFRINIC 可以在不无限期扣留成员的情况下更正合理关切。
这条正常路径也准备了紧急路径。通用导出、提供商接口、版本事件、合格接收者和常规切换定期演练。在危机中，连续性使用已与同意持有者证明的能力，而不是在机构失败期间首次打开的文档。
这种关系类似于消防安全。紧急服务仍然是必要的，但建筑也维护在正常条件下使用和检查的出口。一个法律上承诺但从未打开的门是薄弱的保护。注册表可迁移性使退出在区域依赖它之前成为运营能力。
公共部门持有者需要在危机之前就有连续性选择
政府网络、医院、大学、研究网络和公共事业可能依赖不能等待长期机构争议的号码资源。采购规则、公共记录法、国家安全职责和连续性义务也可能约束哪个提供商可以持有身份证据或运营关键服务。
可迁移模型让公共机构选择具有合适法律和运营安排的合格提供商，同时保持在单一权威号码系统内。它可以指定待命提供商、维护测试过的导出并预先批准紧急联系人。这些安排应向监督机构可见，而不暴露敏感网络细节。
公共部门连续性还需要优先规则。优先级应反映服务后果，而非政治影响或组合规模。医院网络可能需要比休眠控股公司更快地恢复反向 DNS 或 RPKI 控制，但两者都保留准确记录和正当审查的相同权利。
年度演习应包括公共部门情景：办公室关闭、领导层更替、受限采购、国家灾难、冲突的政府需求以及主要联系人丢失。测试询问是否可以在不绕过法律的情况下恢复权威。等待紧急情况才协商管辖权、证据和付款不是弹性。
小型运营商不得仅获得理论上的退出
大型网络可以保留法律顾问、维护多个联系人并构建定制连续性。小型接入提供商和社区网络更可能依赖默认门户、一名员工和标准支持。它们最需要可迁移性，并且可能最难以使用复杂版本。
因此，基本服务应包括简单的导出、清晰的依赖清单、可预测的费用、协助的身份恢复以及至少一个合格接收提供商的访问。没有现任者应收取惩罚性离开费或要求定制协商。债务可以遵循普通合同救济，除非窄规则使其与特定行为相关。
提供商资格成本不应通过强制性高级套餐转嫁给小持有者。共同最低限度可以通过普通注册费或共享连续性税资资助。更高的保证和定制服务可能成本更高，但实际退出必须对每个认可持有者可用。
成功指标应按持有者规模分段。仅对跨国运营商有效的系统并未减少区域集中风险。测试案例应包括过时联系人、有限的英语能力、低带宽访问、混合资源组合以及在提供商当地业务时间之外提交的请求。
在宣称弹性之前应先进行可迁移性压力测试
AFRINIC 和任何合格提供商应完成独立观察的年度演习。测试组合应包含现实的资源记录和依赖关系，而不危及生产网络。普通员工应通过正常服务渠道处理。高级干预应记录，而不是不可见地用来拯救结果。
演习从持有者认证的导出和提供商切换请求开始。它测试证据完整性、异议处理、接收提供商准备、权威版本控制、公共服务收敛、依赖选择和切换后访问。第二个场景在模拟主要机构损失后激活临时紧急服务。
时间限制应遵循后果。公共 RDAP 和 WHOIS 连续性可能只容忍短暂中断。高风险更改可能安全暂停，同时解决身份问题。现有的 RPKI 发布可能需要连续可用性，即使新授权受到限制。测试应发布目标和观察结果。
演习仅在独立证据显示每个阶段一个当前权威、没有持有者身份更改、没有历史丢失、没有无界双控制和干净关闭时通过。备份文件的交付不是通过。接收方必须使用它来提供定义的服务。
七个故障案例揭示复苏是否为结构性的
第一个案例是成员门户丢失数天，而公共注册仍然可用。授权持有者能否通过经过验证的替代渠道提交紧急更正？第二个是近期交易集损坏。副本和收据能否标识最后良好状态而不擦除接受的更改？
第三个是法院命令限制定义的 AFRINIC 行为。限制能否窄应用，同时不相关的持有者服务继续？第四个是可疑的 RPKI 服务密钥泄露。发布和撤销能否管理，而不给临时运营商不受限制的路由授权权力？
第五个是资不抵债或突然无法支付关键供应商。数据、域名、证书和服务合同是否充分隔离以激活连续性？第六个是丢失几名关键员工。另一个团队能否从记录而非私人记忆中重构权威？
第七个是 dissatisfied but undisputed holder 的普通自愿切换。移动能否在承诺时间内完成，而 AFRINIC 保持完全运营？最后一个案例特别有揭示性。一个只能支持紧急替换而不能正常退出的机构仍然将连续性控制为恩惠。
结果应说明哪些行为成功、失败或需要非常干预。情景变化防止排练戏剧。重复失败应改变资格、资金和修复优先事项。
指标应衡量持有者控制和一致的公共状态
主要指标是从有效切换或连续性触发到独立验证服务的端到端时间。阶段度量包括身份验证、导出、异议、接收准备、权威提交、公共收敛和依赖完成。长尾情况应可见而非被平均值隐藏。
质量度量包括记录完整性、版本一致性、活跃限制准确性、持有者访问、无冲突当前权威以及传出凭证的正确退休。应从不同网络查询公共服务。RPKI 结果应由依赖系统观察，而非从内部成功消息推断。
连续性度量包括恢复点、恢复时间、关键服务恢复百分比、临时权威持续时间以及交接完整性。持有者体验度量包括通知清晰度、稳定要求、投诉时间和意外手动步骤。
市场度量也很重要：合格提供商数量、服务资源集中度、切换率、失效率和小持有者的实际成本。高切换率并不自动好，低切换率也不是满意的证明。关键是安全切换是否可用和经过测试。
每个度量都需要分母和独立证据源。像“所有关键服务已恢复”这样的主张是无意义的，除非服务列表和排除的功能被命名。弹性应是观察到的属性，而非现任者选择的描述。
责任应遵循失败的角色
可迁移性在共同权威层、服务提供商、托管保管人、身份验证者、紧急运营商和持有者之间划分功能。问责制必须遵循这种划分。丢失导出的提供商不应责怪共同记录。提交冲突状态的权威不应将责任转移给提交有效指令的提供商。
合同应定义更正义务、赔偿、保险或储备、证据保管以及错过服务水平的补偿。基线补救措施可以自动处理可测量延迟或数据故障，而更大的证明损失则经过审查。责任上限不应使故意不当行为或严重保管失败在经济上无害。
持有者也有义务：维护当前联系人、保护凭证、披露控制变更和响应验证。失败可以证明有界暂停。它不应让提供商永久没收实际控制。
独立审查解决角色争议并在确定责任时维护连续性。审查员可以命令临时访问、记录更正或有限服务，而无需决定每个损害赔偿请求。公共汇总结果揭示一个角色是否反复失败。
清晰的责任使可迁移性更可信且更少政治化。提供商在服务上竞争，同时知道不良保管的成本。共同权威仍对一致性负责。持有者知道当某物损坏时哪个承诺适用。
共同层治理必须抵制提供商俘获
可迁移服务市场仍然依赖于共同规则和权威排序。提供商不应按其服务的资源比例或收取的费用比例控制那些规则。否则，最大的公司可以排除竞争对手、削弱退出或围绕自身编写资格标准。
治理应分离提供商利益、持有者代表、技术专业知识、公共利益监督和独立审查。冲突被披露。影响切换、费用或资格的决策需要理由和影响分析。共同权威的操作者不应秘密出售特权服务。
AFRINIC 成员应保留对影响分配和使用的政策的有意义的区域影响。可迁移性不需要机构合并或地方知识损失。它要求服务俘获不被用作保留区域声音的机制。
共同层应足够窄以进行审计：资源身份、当前持有者、当前提供者角色、有序事件、活跃限制和可验证收据。将其扩展到每个客户服务功能会在新层面重建相同的集中度。将其减少为松散目录则允许冲突主张。宪法约束是技术弹性控制。
过渡可以加强 AFRINIC 而非绕过它
第一阶段是证据准备。AFRINIC 标识关键服务、发布恢复目标、验证备份、开始受保护的托管、记录关键保管并给每个持有者可移植账户导出。尚未需要提供商选择。独立恢复测试建立基线。
第二阶段是互操作性。少数合格组织在测试环境中实施共同记录和签名事件规则。它们演示导入、公共服务收敛、依赖选择和权威退休。AFRINIC 作为认可机构和服务提供商参与。
第三阶段是与低风险、无争议持有者的自愿试点。组合移动注册服务，而持有者身份和公共权威保持不变。发布指标、投诉和安全发现。如果出现冲突权威或无界密钥重叠，试点暂停。
第四阶段增加紧急连续性和公共部门待命安排。独立演习激活有限临时服务然后返回。只有在干净重复后，模型才应扩展。
这个顺序保留了积累的信任并避免了突然碎片化。它还给了 AFRINIC 一个具体的复苏成就：不仅是再次成为唯一看门人，而且帮助建立了一个能够在任何一个提供商（包括自身）临时故障时生存的区域系统。
最强反对意见可以被测试而非断言
碎片化反对意见是严重的。如果可迁移性产生竞争性持有者记录，它失败。答案是一个有序的权威状态、版本绑定的更改和独立一致性测试。没有提供商获得创建并行分配历史的权力。
安全反对意见也是严重的。更多提供商创建更多攻击面。资格、有界角色、多方批准、可撤销凭证和可见事件历史解决了这种风险。相关比较不是完美的垄断和有风险的多方；而是集中妥协和受控可替代性。
法律反对意见询问现有协议和全球认可是否允许服务分离。一些更改可能需要合同、政策和更广泛的协调。这是故意设计的理由，而非假设永久排他性在技术上不可避免的理由。试点范围可以从不改变认可的支出和保管功能开始。
成本反对意见询问谁资助重复能力。备用系统确实花费金钱。多年的诉讼、紧急重建和延迟服务也花费钱。共享基础设施和基于风险的服务水平可以限制费用。公共报告应将成本与观察到的恢复效益进行比较。
区域主权反对意见担心外部控制。一个有界模型可以保留非洲政策权威，同时允许持有者选择合格服务和紧急支持。被囚禁在一个法律实体不是保留区域自治的唯一方式。
2025-2027 测试是改革是否改变反事实
AFRINIC 董事会可以指向审计、任命、恢复的政策会议、改进的技术和已解决的程序。这些成就很重要。弹性问题询问如果在改革后发生可比的机构冲击会发生什么。
运营商是否会再次等待法院、接收者、外国协调机构和特殊员工努力来保持服务？或者预先授权的连续性安排是否会从当前托管、有界凭证和合格提供商激活？个别持有者能否在机构失败之前移动普通服务？公共记录是否会毫无不确定性收敛？
关于 RIR 审计、紧急连续性和取消认可的全球讨论表明，旧的永久机构健康假设不再足够。然而，区域紧急机制仍然是高阈值最后手段。NRS 方向增加了缺失的中间地带：在单一权威真理下的常规退出和提供商选择。
到 2027 年，AFRINIC 不应仅根据是否避免了另一场危机来判断，还应根据是否减少了危机可能造成的损害来判断。没有可替代性的预防使成员暴露于罕见但严重的事件。没有预防的可替代性浪费机构能力。成熟的复苏计划结合两者。
当失败可生存时，复苏变得可信
AFRINIC 应获得对其恢复的董事会和在特殊条件下保持服务运行的员工的公平评估。机构批评不应抹杀成功的连续性或假设再次崩溃是不可避免的。可迁移性的目的正是为了避免使弹性依赖于对下一届领导团队的预测。
持有者应能说：这是同一资源、同一认可组织和同一有序历史；只有合格服务提供商变了。在紧急情况下，临时运营商应能保持定义的功能而不接管政策。当 AFRINIC 恢复时，授权应通过经过测试的交接返回。在每个阶段，依赖网络应看到一个一致的当前状态。
这是一个比恢复旧常态更高的标准。它将接管、诉讼和治理中断的岁月视为机构集中化的证据，而非仅由特定人造成的一次性偏差。它还给 AFRINIC 在下一个解决方案中建设性的角色。
没有可迁移性，成员被要求相信治理修复将防止每一个未来的复合失败。有了可迁移性，信任仍然有价值，但不再是唯一的连续性控制。前者是对持久管理的赌注。后者是生存失望的架构。