从 AFRINIC 失败到 NRS 持续运营倡导

摘要

• 任何 AFRINIC 紧急过渡都必须为每个号码资源保持一个权威状态。NRS 可以倡导运营商选择和可携带的证据，但合法继任者或紧急服务提供者必须得到相关公司、司法、IANA 和注册协调流程的认可。
• 迁移的单位不是 WHOIS 或 RDAP 中的一行。而是一个签名的连续性信封，包含持有者权限、资源状态、联系人、转移历史、待处理请求、争议、法院限制、反向 DNS 状态、路由安全状态、凭证、变更历史以及重现每个结论所需的证据。
• 迁移应通过准备、受保护复制、独立核对、自愿双运行、有限服务切换、审计扩展，然后才进行任何认可的长期继任。现有活动状态在发布的激活事件另有说明之前保持权威。
• 号码资源协会（Number Resource Society）有着有用的以运营商为中心的倡导方向，但其公开章程并未使其成为生产注册机构、号码资源组织（Number Resource Organization）、认可继任者、RPKI 运营商或独立补救系统。其积极作用是发布成员权利案例、测试公开证据并推动授权机构建立这些约束。
• 成功的衡量标准是持续性和可逆性：无重复权威、无丢失争议、无无法解释的记录变更、无可避免的 RPKI 或反向 DNS 中断、无要求运营商重建历史，并有清晰的返回或再次迁移路径。

注册失败不是分叉真相的许可

AFRINIC 的危机让一个复杂的制度命题变得更加清晰。地区注册机构可以在其公司治理受损、领导层受质疑、财务承压或权威在法庭受到挑战的情况下继续维护记录。技术连续性与机构合法性可能长期分离。

这一观察会诱人产生一种想法：如果机构是问题所在，那就另建一个注册机构，复制记录并邀请运营商离开。这种提议听起来像普通的供应商竞争。但并非如此。两个客户数据库可以共存，但两个服务无法在没有任何规则告诉依赖方应该相信哪一个的情况下，安全地声称对同一资源状态拥有最终权威。

一个 IPv4 前缀、IPv6 分配或 ASN 可以出现在许多系统中，但公共注册层不得产生不兼容的持有者、联系人、转移或委派答案。反向 DNS 需要一致的委派。路由安全证书和路由源授权依赖于可识别的信任链。RIR 间转移需要一个完成状态。IANA 的顶级注册机构标识由 RIR 管理的地址块。一个创造出两个貌似真实版本的过渡将把制度改革变成技术不确定性。

因此，NRS 的正面案例始于克制。号码资源协会（Number Resource Society）不应声称一条记录因为运营商加入、因为现有机构在政治上失败或因为新数据库看起来更准确而变得权威。它可以定义并倡导证据、服务和认可必须同步移动的要求，而实际切换仍由 AFRINIC、合法指定的紧急运营商或继任者、法院和全球协调机构负责。

这是一种连续性架构，而非独立宣言。它将 AFRINIC 的失败视为使注册功能可移植的理由，同时拒绝让唯一性成为可选项。

服务必须与公司分离

概念性的举措是将注册功能与公司提供者区分开来。AFRINIC Ltd 是一家毛里求斯公司，拥有成员、董事、员工、合同、资产、负债和法律诉讼。注册功能是一套服务和义务：维护准确的号码资源记录、认证授权变更、发布注册数据、支持反向 DNS、运营路由安全服务、记录转移、处理有效请求以及保存证据。

该公司目前在非洲服务区提供该功能。这段历史和认可是重要的，但并不使得该功能在物理上与该法人不可分离。其他注册局的迁移曾要求数据、责任和服务一同移动。2005 年 IANA 对 AFRINIC 的认可材料本身描述了从前身 RIR 安排到 AFRINIC 的过渡，并考察了 AFRINIC 维护记录、员工和服务的能力。存在一个被认可的过渡到 AFRINIC 的事实，证明了当条件明确时，注册行政管理是可以迁移的。

分离并不意味着在 AFRINIC 仍然有能力和被认可的情况下剥夺其权力。它意味着为三种不同状态做准备。在第一种状态下，AFRINIC 正常运营，而 NRS 记录成员对连续性的关切，但不发布竞争对手的权威。在第二种状态下，AFRINIC 仍然是法定注册机构，而由 AFRINIC、法院或其他主管机构指定的合格技术保管人提供特定服务。在第三种状态下，正式认可的继任将持久责任转移到另一个注册安排。NRS 可以倡导和观察每种状态；保管和继任职能仍然属于被认可的注册机构以及正式授权的技术和法律行为者，而非 NRS。

这些状态需要不同的触发因素和工具。运营商的主动准备不是紧急启动。技术援助不是合同转移。认可继任者不同于复制数据。有序的设计明确命名状态，而不是让政治语言模糊它。

结果是一个更小但更强的诉求：注册服务应比注册公司更持久，且每次服务转移应比主权转移的范围更窄。

NRS 是一个倡导方向，而非生产注册机构

公开的 NRS 章程主张，号码资源机构应作为准确的簿记员行事，尊重私法机构的限制，避免不必要的运营商干预，并支持透明度、问责制和不受限制的互联网。这是一个有用的连续性倡导方向，因为它将记录和运营商置于机构声望之上。

该章程本身并未建立一个运转的继任注册机构。它没有显示与 AFRINIC 的权威数据协议、IANA 认可、生产 RPKI 密钥仪式、反向 DNS 委派、经过测试的转移协议、认证保管人、数据保护角色、独立仲裁庭或在危机期间足以运营的资金。对可移植性的倡导并不证明可移植性已经得到工程实现。

这一限制应被正面陈述。NRS 是一个全球性的非营利成员制和倡导组织。它不同于协调公认 RIR 体系的号码资源组织（Number Resource Organization），也不同于仍然是被认可的非洲注册机构的 AFRINIC。NRS 可以通过一个包含来源的连续性提案来建立合法性，该提案可供运营商、现任注册机构、法院、审计人员和依赖方检查；它并不发布或维护权威的注册记录。

这一标准应适用于 NRS 的倡导，如同它严格适用于 AFRINIC 的运营一样。NRS 不能将对成员的同情视为更改持有者的权力，不能因现任机构不受欢迎而隐藏争议，也不能将倡导成员资格与注册机构权力混为一谈。任何技术保管人都必须根据管理注册机构或法律框架单独任命、审计和可替换。

这样，连续性改革才能避免成为一场用另一个看门人替代现有看门人的运动。NRS 通过公开倡导可移植、有边界且可逆的保管制度，同时拒绝声称保管权本身，从而赢得其角色。

连续性信封是迁移的单位

数据库转储是不够的。公共注册数据可以显示资源、组织和联系人，但会遗漏使这些字段具有权威性的证据。仅收到可见行的继任者可能知道当前答案，但不知道为什么是答案、是否存在争议或哪个待处理行为可能改变它。

迁移单元应为每个资源关系提供一个连续性信封。至少应包含：

1. 资源范围或 ASN 及其注册状态；
2. 法定或运营持有者的稳定标识符；
3. 确立当前权威的证据和决定；
4. 当前的管理、技术和滥用联系人及验证日期；
5. 相关的协议、成员资格和服务状态；
6. 分配、指定、转移、合并和名称变更历史；
7. 待处理请求、暂停、调查和审查截止日期；
8. 法院命令、合同限制和争议元数据；
9. 反向 DNS 委派状态和变更权限；
10. RPKI 账户、证书、发布和路由授权状态；
11. 受保护形式的凭证、恢复方法和特权访问历史；
12. 影响当前访问的发票、信用和服务付款事实；
13. 已验证快照后的每次实质性变更；以及
14. 标识来源、验证者和时间的签名或证明。

并非每个接收者都应看到每一份文件。身份文件、合同和法律材料可能需要受限访问。可移植性意味着接收保管人可以验证证据的存在、检查者、支持的结论以及如何在受到质疑时获得有针对性的披露。这并不意味着公开成员的机密文件。

信封使迁移成为一种证据行为。如果一个字段无法重现，则将其标记为不确定，而不是默默接受。如果两个来源冲突，两者都随争议移动。如果公共行有误，更正将通过记录的决定进行，而不是通过导出前未经解释的清理。

过渡需要一个状态机

每个信封应处于明确的迁移状态。简单的标签，如“已复制”或“已移动”，过于模糊。以下状态序列更具防御性：

状态属于资源关系，而不仅仅属于机构。不同的功能可能在不同时间迁移。在有争议的转移决定迁移之前，公共查询可以从经过验证的副本提供服务。在接受新委派之前，可以维护现有的反向 DNS 数据。在资源持有者争议之前，常规联系更正可以迁移。

状态机防止政治声明超越技术权威。新闻稿不能移动信封。选举不能将其还原。法院命令仅影响其范围内的状态和功能。依赖方可以确定在给定时间哪个服务具有权威性。

最重要的是，永远不会有未定义的二元权威阶段。允许双运行以进行比较和弹性，但最终性仍然是单一的。

准备先于激活

第一阶段应在 AFRINIC 服务可用时进行。等待崩溃将迫使从公共记录和私人运营商档案中进行仓促重建。准备应是一项普通义务，而非敌对行为。

AFRINIC 和独立指定的保管人可以定义信封模式、生成受保护的导出并测试恢复，而不改变公共权威。NRS 可以带来成员要求、发布模型并观察同意下的演练。运营商将收到来自权威注册机构或指定保管人的签名声明，以及报告差异的途径。

准备还需要机构性材料：权限时间表、供应商依赖关系、域控制、证书清单、银行和付款连续性、员工角色、联系人树、事件程序以及临时服务所需的法律文书。如果没有人有权激活它或支付操作人员，技术完整的副本仍然无法使用。

ICANN 2025 年关于 AFRINIC 的信函强调了公共和非公共注册记录的保存和备份。这一关切指出了最低要求，而非完整设计。备份必须是最新的、可恢复、可解释且与权威关联。一个可以恢复但不能支持合法持有者更新的文件是存储，而非连续性。

准备测试应公布日期、范围、恢复目标、未解决的差距和独立结论。安全细节和个人数据仍受保护。公开证据应足以证明能力存在，而不暴露如何攻击它。

即使没有发生过渡，这一阶段也使 AFRINIC 受益。更好的导出、更清晰的权威记录和经过测试的恢复降低了当前风险。连续性选项应在与现有机构竞争之前先改进它。

核对必须保留令人不安的事实

迁移程序通常奖励一个干净的目标。团队倾向于在切换前解决重复名称、缺失文档和过时联系人，以便接收系统看起来有序。这可能会销毁证据。

AFRINIC 的历史记录包括从前身安排继承的资源、后来的分配、转移、成员变更、公司继承和争议事项。一些文件可能是完整的；其他可能依赖于较旧的格式、员工知识或外部文档。核对应对这些差异进行分类，而不是强制一个置信水平。

一个有用的分类至少包含五种状态。已验证表示证据和当前状态一致。有历史差距的已验证表示当前权威很强，但早期链条的一部分不完整。有争议表示另一方有记录的竞争主张或活跃的审查。受限表示合法命令阻止了指定变更。待证据表示当前结论尚不能独立重现。

每个类别都有连续性处理。已验证记录可以通过普通迁移进行。历史差距随附说明但不必停止服务。有争议记录保留最后验证的状态并移至独立审查。受限记录将确切的限制带到接收保管人。待处理文件可以接收日常非破坏性服务，而改变权利的变更则等待。

核对审查人员不应是做出源决定的人，也不应是试图扩大客户群的接收提供者。运营商必须收到其结果和更正窗口。汇总报告应显示分母、异常类别、更正率和未解决案例。

成功的迁移不会产生一个魔法般干净的过去。它产生一个目标，其中不确定性是明确的，不能被悄悄利用。

运营商选择需要协调，而非单方面逃离

NRS 倡导的连续性模型应为运营商提供有意义且合法认可的注册服务选择。选择约束了现有机构，因为糟糕的服务不再具有相同的俘获溢价，但只有认可的注册框架、IANA 协调和主管法律权威才能防止重复权威并赋予最终性。

运营商应能通过验证其权限、选择合格保管人并接受通用连续性条款来请求服务移植。源保管人收到通知并可以提出明确的反对理由：身份不确定性、竞争主张、法院限制、证据不完全或安全受损。它不能仅因为不喜欢竞争或运营商的商业模式而拒绝移植。

如果不存在实质性反对，保管人商定切换时间、短暂冻结相关变更通道、核对信封、轮换凭证、发布权威提供者状态并重新开放服务。源对于该关系变为只读状态或转发请求。目标确认完整状态和每一项说明。

如果存在反对，运营商不应失去所有服务。记录进入中立保管或保持在最后验证状态，同时独立审查人员决定争议点。未受影响的功能继续。例如，关于付款的争议不应自动成为关于持有者身份或路由授权的争议。

这一权利是协调移植的权利，而非自我宣告新真理的权利。运营商接受通用认证、证据保存、争议携带和法律限制。提供者接受导出、审计、不报复以及在被替换时离开的义务。

这种互惠将可移植性从口号变为基础设施。

双运行应比较决策，而非发布两个答案

在任何紧急运营商或继任者对生产功能变得权威之前，应有一段双运行期来比较两个环境如何解释相同的案例。源保持最终。目标处理受保护的副本并记录它会产出的结果。NRS 可以报告测试设计和结果，但不会通过参与而变得权威。

常规案例测试语义兼容性：联系人更新、公司名称变更、新认证因素、反向 DNS 请求、RPKI 变更和转移状态。历史案例测试目标能否重建当前状态存在的原因。不利案例测试争议权威、紧急安全保护、模糊的法院语言和不完整记录。

差异应被分类。软件差异可能需要映射。政策差异可能需要目标在临时服务期间应用 AFRINIC 的现有规则。证据差异可能揭示源结论无法重现。法律差异可能需要特定文书。都不应通过默默让目标按偏好行事来解决。

双运行还衡量运营性能：事件排序、更新延迟、认证成功、日志完整性、通知交付和故障后恢复。复制最终数据库但丢失待处理请求或通知历史的目标是不兼容的。

比较期应有结束条件。没有任何倡导组织或镜像运营者仅通过运行足够长时间的副本而获得权威。独立审计人员评估定义的能力；AFRINIC、法院、IANA 和其他授权方决定指定功能是否可以迁移。

双运行成本高昂，但它在运营商承担风险之前买来了证据。这与一夜分叉相反。

RDAP 和 WHOIS 是可见表面，而非整个注册机构

公共查询服务是最容易复制的功能。RIR 数据已经通过 WHOIS 和 RDAP 查询，公共记录可以镜像以实现弹性。这使得只读连续性镜像成为授权技术运营商的合理早期服务，前提是每个响应都清楚标识权威性和时效性。NRS 可以倡导披露标准，而不将其网站呈现为权威 RDAP。

副本应发布源序列号、快照时间、权威保管人和任何延迟。它不得暗示 NRS 已验证注册字段：只有认可的注册机构或其正式指定的操作员才能验证和发布权威状态。在后续授权阶段，响应应显示活跃提供者和有边界的争议状态，而不暴露机密主张。

挑战在于更新权限。公共查询可以从任一端点读取，但只有一个通道接受最终变更。如果指定服务接受更正请求，信封必须显示谁认证了请求、检查了哪些证据、AFRINIC 或合法继任者是否批准或委托了该功能，以及公共状态何时成为最终。NRS 可以帮助成员记录请求，但不运营注册更正通道。

可用性还需要独立衡量。应来自多个网络测试 DNS 解析、HTTPS、RDAP 响应、WHOIS 响应、数据新鲜度和一致性。提供者不能仅因为自己的监视器看到服务就声称连续性。

公共查询很有价值，因为它为过渡提供了可观察的边缘。运营商和依赖方可以比较响应并识别陈旧或分裂状态。但它是不足够的，因为硬实力在于答案背后：决定谁可以更改它。

NRS 应使用公开研究和监控的查询证据来倡导透明度，同时拒绝将可见性与权威混淆。

反向 DNS 需要委派仪式

反向 DNS 通常被视为次要注册服务，但运营商依赖它进行邮件、日志记录、安全控制、故障排除和客户系统。其连续性不能从复制的数据库推断出来。

过渡必须识别父委派、权威名称服务器、适用的 DNSSEC 状态、区域生成系统、账户权限、待处理变更和紧急回滚。接收提供者应首先在影子中提供相同的区域并证明一致的答案。委派变更应使用计划的重叠，以便缓存和解析器不会遇到可避免的缺口。

在有限紧急服务期间，授权的 DNS 操作员可以维护现有委派，而高影响变更仍由 AFRINIC 或独立权威掌握。随后，常规更新可以在双重批准下迁移。NRS 可以倡导这一连续性规则，但不能自行制作或认证委派。

每次切换应记录变更前和变更后的区域状态、签名、父更新、传播观察和回滚权限。运营商应收到通知和测试窗口。外部监视器应验证整个地区及以外的连续性。

仪式之所以重要，是因为反向 DNS 展示了法律权威如何到达运行系统。一项保存资源的命令可能要求或不要求冻结其委派。转移可能需要协调移动。注册服务变更不应仅仅因为提供者改变而改变运营商选择的 DNS 安排。

当名称保持解析而技术保管人变得可替换时，认可的注册系统证明了其簿记纪律；NRS 的角色是记录该承诺是否得到履行。

RPKI 是最难安全移动的服务

路由安全基础设施使过渡特别敏感。NRO 的比较服务概览显示 AFRINIC 提供托管 RPKI，而委派服务与几个同行注册机构不同。这意味着许多受影响的运营商直接依赖于注册机构运营的证书和发布功能，而不是控制一个可以更独立移动的委派认证机构。

过渡必须保持证书有效性、路由源授权、发布可用性、账户权限和依赖方接受。它必须避免两个不兼容的证书链，并避免先断后建事件导致的此前有效路由变为无效。密钥保管、激活权限和撤销能力需要有多名独立参与者参与的正式仪式。

第一阶段应复制存储库和验证状态，而不发布新对象。第二阶段应证明目标可以在隔离环境中从签名源状态重新创建发布。第三阶段应建立依赖方认可的先建后断路径，并具有精确的切换时间和回滚。现有路由授权应持续存在，除非持有者请求变更或存在单独、经证明的安全原因需要行动。

NRS 应倡导委派或可移植 RPKI 作为长期设计目标，因为当运营商控制更多自身签名功能时，提供者替换更容易。认可的 RIR 父机构、证书颁发机构、存储库运营商和依赖网络必须实施它。NRS 不是信任锚、证书颁发机构或 RPKI 存储库。

RPKI 还需要补救隔离。成员资格、计费或政策争议不应自动撤销路由安全状态。安全受损可能证明立即采取保护行动是合理的，但应保存证据、通知运营商并接受快速独立审查。

任何无法解释其证书和撤销链的过渡都不算准备就绪，无论其公共数据库看起来多么完整。

转移和新分配应稍后移动

现有状态的连续性比创建新权利或认可永久变更更安全。因此，任何授权的紧急运营商都应从查询、认证支持和非破坏性维护开始，然后再进行转移、有争议的继任或新分配。NRS 应倡导这一顺序，而非执行它。

转移改变了注册机构必须承认的关系。它需要验证卖家权限、买家权限、资源以及任何适用条件；待处理争议和法院限制必须随之移动；两个保管人必须就旧状态结束和新状态开始的时间达成一致。RIR 间转移增加了另一个注册机构和政策接口。

在双运行期间，AFRINIC 对转移应保持最终性，而指定的技术继任候选人在影子中处理相同的证据。差异揭示目标能否应用现有规则并保持链条。任何有限的转移权限必须来自对合格注册操作员发出的明确、合法且认可的授权；NRS 不接收或行使转移权限。

从可用的 IPv6 或 ASN 池进行新分配会创建额外的 IANA 关系。IANA 根据全球政策将地址池分配给认可的 RIR；无论是 NRS 还是未被认可的保管人，都不能仅因为能操作数据库就从 AFRINIC 的库存中提取。池权限、分配记录和认可需要一个正式的桥梁。单独指定的技术操作员可能会执行 AFRINIC 授权的决定，但该操作员功能不得从 NRS 的倡导中推断出来。

这一顺序保护连续性改革免受使命膨胀。NRS 可以坚持准确的现有关系保持可用，而分配政策和永久重新分配则由 IANA、认可的 RIR 及其合法继任者负责。

合同、费用和赔偿责任必须明确转移

运营商不仅仅通过公共记录与注册机构关联。他们有协议、成员资格状态、发票、服务期望、数据保护权利和潜在索赔。一个使这些关系模糊不清的技术移植将在第一个不利事件时引发争议。

在临时服务期间，文书应标识实际运营者，并说明其是代表 AFRINIC、作为分包商、作为独立紧急提供者还是根据法院指示行事。NRS 可以评论、发布研究并代表经 PoA 授权的成员。它不是注册运营者、继任者或技术保管人；这些职能属于在主管法律和注册框架下单独指定并获得独立保证的技术机构。

最安全的有限服务模式是针对特定功能的。运营商的底层 AFRINIC 关系保持不变，除非被合法转让或更替。被指定的技术提供者仅接收命名服务所需的权限，保持资金和数据隔离，且不能通过无关条款扩展关系。NRS 成员资格绝不应被视为注册同意或技术权限来源。

长期继任可能需要合同转移或新协议。同意应是有意义的，而不是通过威胁丢失记录来制造。运营商应能审查条款、保留现有权利并在移植成为最终之前质疑不正确的信封。

责任应随控制权转移。认证并执行变更的保管人应对未能满足定义的控制承担后果。提供不完整或虚假状态的现有机构应为其提供的内容负责。提交伪造证据的运营商应承担相应责任。独立审查可以分配责任，而不以服务中断作为杠杆。

NRS 不能在夸大首选提供者运营能力的同时倡导运营商自由。实际运营者必须承担与其技术权限相称的责任；NRS 仍对其倡导主张的准确性和冲突负责。

法院和法律限制应变得可移植

AFRINIC 的危机在普通的毛里求斯法律下发展。接管、公司成员、董事会权限、银行账户和诉讼并不会因为公司运营互联网基础设施而消失。NRS 倡导的任何过渡都必须通过法律权威进行，而不是声称技术例外主义。

同时，法院命令应被精确理解。它是否限制资源处置、持有者变更、资金支付、指定董事的行动或系统访问？它是否要求保存、披露或临时管理？宽泛的机构响应即使命令有效也可能损害不相关的运营商。

连续性信封应携带有效限制、发布机构、生效日期、到期或审查状态、当事方以及受影响的精确功能。机密材料可以保持密封，同时授权保管人收到遵守所需的指示。接收技术提供者接受该限制作为移植的一部分。NRS 可以倡导这一数据纪律，但不应仅仅因为代表成员而接收密封材料。

冲突或模糊的命令需要中立保存。目标不应选择扩大自身权力的法律解释。它应保存最后验证的状态，通过适当方寻求指示，并保护未受影响的服务。独立法律顾问可以提供建议，但最终的技术行动及其来源应被记录。

法院受益于该架构，因为他们获得了一张地图。他们可以区分注册查询、持有者变更、RPKI、反向 DNS、计费和企业控制，而不是命令一个定义模糊的互联网注册机构做所有事或什么都不做。

当授权机构使干预更窄、更有效且更不可能将运行中的网络卷入公司案例时，NRS 倡导的连续性框架支持法治。

数据保护不应成为机构俘获的借口

信封包含敏感材料：身份文件、公司权限、联系人、合同、安全状态、付款和争议。如果每个提供者都收到完整文件，可移植系统可能造成新的集中风险。

AFRINIC、任何合法继任者和指定保管人应区分公共协调数据、受限运营数据和机密证据。NRS 应依赖公共或经同意的材料进行研究和成员代表，而不是成为受保护注册证据的存储库。

加密承诺和签名证明可以显示文件存在且已验证，而无需将完整文件复制到每个节点。当变更需要时，接收提供者可以请求定向访问。访问日志应对运营商和独立审计人员可见。保留应遵循目的和合法持有，而不是无限期的机构胃口。

数据控制者和处理者的角色在每个状态都必须明确。仅用于恢复的镜像与权威服务的目的不同。运营商应知道数据存储在哪里、适用何种法律、如何更正以及返回后会发生什么。失去授权的保管人应根据约定的保留规则删除或归档材料，并提供完成证据。

隐私不能成为不透明过渡的借口。汇总核对结果、服务性能、决策原因和提供者失败可以发布而不暴露个人记录。可移植性也不能成为不受控复制的理由。设计应收集重现权威所需的最低限度证据，并披露决定案例所需的最低限度信息。

这种平衡使记录可移动，而不必让每个机构都了解运营商的透明度。

独立审计是切换条件，而非年度仪式

审计应伴随紧急运营商或继任者权威的每次扩展。NRS 可以审查并发布由此产生的保证报告，但其自身的认可并非审计或认可决定。

在受保护复制之前，审计员测试完整性、签名、访问和恢复。在双运行之前，他们测试语义映射和事件顺序。在有限切换之前，他们测试授权、通知、凭证、回滚和单源最终性。在完全继任之前，他们测试合同处理、外部认可、财务能力、安全、未解决异常和提供者退出。

审计员应抽取困难记录，而不仅仅是干净的记录。历史差距、合并、传统资源、法院限制、暂停账户、有争议的联系人和待处理转移揭示了系统是否保留了不确定性。运营商应能提名案例，而不给审计员政治授权。

保证报告应说明测试了什么、没测试什么、错误率、未解决的严重性、纠正措施和有效期。通过不应是永久的。重大的软件、政策、密钥或提供者变更需要重新测试。

审计员独立性包括经济独立性。接收提供者不应选择和控制唯一的评估者。报告应在适当级别提供给 AFRINIC、运营商、相关认可机构和主管法院；NRS 可以将公共或成员同意的调查结果用于倡导，但不会通过该角色接收特权的注册材料。

当审计能够停止切换时，它才会变得有用。如果它仅在权威转移后描述失败，那么它就是历史而非控制。

激活必须分层且可逆

连续性计划需要客观的触发因素。机构批评、声誉不佳、政治分歧或 NRS 运动不应足以启动紧急权限。计划也不应等待完全中断。

触发因素可以是分层的。公共端点丢失启动只读副本。员工能力丧失启动授权支持。记录受损的证据冻结破坏性变更并开始核对。无法认证常规更新启动有限验证维护。缺乏合法决策者保存有争议状态并调用独立权威。持续无法提供功能可能证明有时限的替代是合理的。永久性失败需要认可的继任。

每个触发因素应标识证据、决策者、范围、通知、审查和到期。决定启动的行为者不应是从中获得收入或影响的提供者，NRS 应披露与候选提供者的任何关系。紧急行动可能先于全面听证，但审查会迅速跟进。

可逆性需要回滚状态，而不仅仅是备份。授权紧急运营者所做的每次变更都应以签名增量形式导出。AFRINIC 或其他认可的继任者应能重现当前的完整状态。NRS 可以研究和报告关于可逆性的公开证据，但签署权威增量仍然是注册机构或正式指定技术操作者的职能，不属于 NRS 的倡导角色。

临时状态应有硬性决策点。在到期前，授权方选择返回、合理延期或正式继任。重复延期不能通过耗尽而成为永久权限。

当指定的技术操作员能够快速进入并完全离开，而 NRS 仍可自由代表成员而不控制服务时，激活设计才是可信的。

一个实用的六阶段 AFRINIC 连续性路径

过渡可以陈述为具体序列。

第一阶段是证据准备。定义信封、映射 AFRINIC 系统、生成签名的运营商声明、验证备份、分类法律权威并建立独立审计。没有公共权力移动。

第二阶段是受保护复制。独立指定的保管人接收目的受限的副本，在隔离环境中恢复它们并比较公共和私有状态。运营商通过 AFRINIC 的权威通道纠正差异。NRS 可以贡献成员要求并观察约定的测试，但不作为其倡导角色接收受保护的注册副本；其处理的任何成员证据必须经过同意且目的受限。

第三阶段是决策影子化。两个系统处理选定的请求，但 AFRINIC 仍然是最终的。证据、规则、时间和结果的差异被报告和解决。RPKI 和反向 DNS 预演在没有生产权威的情况下进行。

第四阶段是自愿有限服务。已验证的运营商可以在约定和认可授权下，在合格提供者之间选择指定功能。常规联系和支持功能首先移动。有争议的权利、新分配和不可逆行为仍由 AFRINIC 或独立权威掌控。NRS 可以倡导提供者选择，而不充当注册提供者。

第五阶段是经审计的功能可移植性。合格提供者可以接收完整关系；反向 DNS、RPKI 和转移仅在服务特定保证后移动。运营商可以返回或选择其他保管人。争议和法律限制随记录移动。

第六阶段是认可的长期架构。如果 AFRINIC 仍然有能力，它继续在通用可移植性职责下运营。如果无法继续，正式的认可和继任决定移动剩余功能。开放标准和独立保证治理服务层；NRS 可以参与倡导和咨询，但不治理认可的注册系统。

该序列允许改进，而无需将互联网押注于一个不可逆事件。每个阶段都有证据和一个停止点。NRS 通过提高成员证据质量和公共倡导质量来赢得信誉，而不是通过宣布运营胜利。

成功应在运营商边界衡量

机构里程碑是不够的。签署协议、启动门户、任命董事会或完成数据副本，这些都无法说明运营商是否仍受保护。

主要衡量指标应包括信封完整性；独立重现的记录百分比；未解决的异常类别；切换后认证时间；公共数据一致性；反向 DNS 错误和传播率；RPKI 对象连续性；失效事件的数量和持续时间；保留的待处理请求；送达的通知；解决的挑战；完成的移植；回滚；未经授权的变更；影响客户的中断；以及再次导出的时间。

分母很重要。十次移植中五次失败与一万次中五次失败不同。较低的投诉数量可能表示成功或恐惧。运营商规模带可以揭示小网络是否面临不成比例的证据或延迟负担。有争议案例应与清洁移植分开报告。

NRS 可以从经过审计和同意的证据中研究提供者纪律：错过的导出截止日期、不完整的日志、过度的暂停、冲突、安全事件、逆转率以及未能删除过时访问。主管认证或缔约机构（而非 NRS）决定保管人是否失去其地位。

财务措施应显示最低连续性成本、每移植成本、集中储备、紧急提取、审计成本以及针对提供者错误的补偿。系统不应通过无限期暂停或不透明的强制性费用来自我融资。

主要结果很简单：网络是否在机构变更的背景下保持了可靠、单一且正确的注册关系？其他一切都是支持证据。

NRS 的正面案例是倡导可替代的行政管理

NRS 最强有力的论点不是它会比每个 RIR 做出更好的注册决定。它没有这样的授权。其更强的倡导主张是：没有技术提供者应该是不可替代的，也不应利用紧急情况来抹杀成员权利。

可替代性在移植发生前就改变了激励机制。AFRINIC 会知道记录质量、服务和补救措施影响信心。候选保管人会知道他们必须导出收到的相同完整信封。运营商会知道异议不必威胁他们的网络身份。NRS 可以保持这些期望可见，而不控制移植。

这并不会废除通用规则。唯一性、认证、注册准确性、安全断言、争议元数据和权威提供者状态仍然通用。它移除了主要效果是机构俘获的规则。公共层变得更薄，因为提供者可以在服务上竞争，同时共享一个互联网所需的不变量。

NRS 可以倡导分离 RIR 通常捆绑的角色。开放标准流程定义信封。由主管机构认证或指定的保管人提供服务。独立审计员测试他们。仲裁员或法院决定有争议的移植。IANA 和认可的注册机构维护全球一致性所需的顶层协调。NRS 召集成员并发布证据；它不执行那些功能。

分离不是为复杂性而复杂性。它使冲突显性化。服务提供者不评判自己拒绝导出的行为。倡导者不成为隐藏的操作者。审计员不依赖于单个保管人。运营者不获得分叉记录的自由。

这就是作为机构工程的连续性：记录得以幸存，因为每个管理员都可以根据其自身无法单独控制的规则被替换。

过渡应使 AFRINIC 的失败不那么具有存在性

AFRINIC 可能会恢复并在多年内提供有能力的服务。NRS 的连续性倡导仍然有价值，因为弹性规划在紧急情况之前最为可信，并且即使运营商留下，成员压力也能改善现有机构的纪律。

因此，设计应避免胜利主义语言。它不应要求判定 AFRINIC 的每项行为都是不合法的。它不应使用历史争议来预先决定当前的持有者主张。它不应夺取区域身份。它应问一个更窄的问题：如果提供者不能或不愿根据可审查的规则提供服务，运营商能否保持准确的注册、安全和委派状态？

如果答案是肯定的，AFRINIC 的治理争议就会失去一些全有或全无的特性。董事会选举不再决定每个运营商是否保持被俘获状态。法院可以隔离公司索赔。接管人可以通过经过测试的路径保存并交还服务。成员可以在不威胁客户的情况下提出质疑。外部机构可以支持记录，而不是捍卫机构的不朽。

过渡还赋予 AFRINIC 建设性角色。它可以帮助定义信封、提供证据、参与双运行、通过绩效保留服务并证明其记录足够强大以进行移植。合作不是投降。它将证明对机构存在所提供的功能的信心。

当连续性不再依赖于假装失败不可能时，注册失败就变得可管理。NRS 应成为使这种诚实安全化的架构的来源支持的倡导者，而不是该架构的假定操作者。

来源与分析局限

公开的 NRS 章程用于说明 NRS 声称的簿记员、运营商自由、透明度和问责原则。这是关于机构方向的倡导证据。NRS 不是权威注册机构、迁移服务、RPKI 信任链、反向 DNS 委派、独立仲裁庭或认可的继任安排；这些职能仍由认可的注册系统和正式授权的技术或法律机构负责。

IANA 的号码资源概览、分配数据和 2005 年 AFRINIC 认可报告，连同 RFC 7020 和 RFC 7249，支持分层注册上下文、全球协调职能以及进入 AFRINIC 的历史过渡。它们并未定义 NRS 倡导的服务移植模型。

ICANN 2025 年 3 月 7 日的信函和 2025 年 7 月 16 日的信函用于表达关于保存、备份、非公共记录和注册数据托管的关切。这些信函是竞争环境下的机构立场，而非认定每项备份或托管义务都被违反的裁决。

NRO 备忘录、联合 RIR 稳定基金、2022 年致 AFRINIC 社区的信息、2024 年 ICP-2 评估程序以及 RIR 治理文件草案第 2 版支持了现有的互助、评估和拟议的连续性背景。草案文本不被视为已通过的权威。

NRO 的比较 RPKI 服务概览支持了 AFRINIC 的托管服务与其他 RIR 报告的委派或过渡特性之间的差异。它并未证明所提议的先建后断安排目前可用于 AFRINIC 持有者。

在审查的公共记录中，没有完整的 AFRINIC 注册导出、私有客户文件、RPKI 密钥清单、反向 DNS 变更历史、托管协议、运营商移植合同、独立符合性报告或认可决定。连续性信封、状态机、六阶段路径和指标是供 AFRINIC、法院、IANA、认可的注册机构以及正式指定的技术保管人评估的前瞻性设计。NRS 并非被提议作为注册权限、数据保管或生产服务的接收者。其在此设计中的角色仅限于倡导、公共利益研究、成员磋商和 PoA 授权的代表。