摘要

  • 第 34 版规定：支持该机制的对等体收到站点物理可用性 0% 后，必须把与该 Site-ID 关联的全部路由视为不可用于转发；效果相当于逐条撤回，却不必逐条发送撤回消息。
  • 普通 BGP 里的路由仍可能有效。因此，一张路由表截图不能证明服务是否可用；还要核对更新来源、映射代次、各决策点的执行结果与真实业务流量。

09:14，一个边缘站点失去最后一台可服务的服务器。出口路由器只发送一条 BGP UPDATE：其中带有 Site-ID，并把 Site Physical Availability 设为零。入口路由器没有从 BGP 表删除几十条前缀，却停止把此前归属于这个站点的所有路由用于元数据感知的服务转发。会话上没有出现成批撤回。路由运维看到“路径还在”，业务调度看到的却是“站点已经消失”。

这正是 BGP Extension for 5G Edge Service Metadata 第 34 版最值得管理层注意的变化。该版于 2026 年 9 月 25 日上传并被接受，文档首页日期为 9 月 23 日。它仍是 IDR 工作组的一份 Internet-Draft，Datatracker 状态是 I-D Exists。首页写着 Standards Track，但 Datatracker 当前的预期 RFC 状态为空；没有文档牧者、负责的 Area Director，也没有 telechat。工作组里程碑把 WGLC 目标放在 2027 年 7 月。它不是 RFC，不是已分配的 IANA 码点，也不是实现、互通或部署结果。

一条消息控制一组既有映射

草案定义了可选、非传递的 Edge Metadata Path Attribute。路由可以把一个服务前缀与 16 位 Site-ID 建立关联；随后，独立更新可以公布动态站点属性，无须在每条业务路由上重复相同数据。独立 Site Availability UPDATE 使用出口路由器的环回地址作为 NLRI，RouteFlag-I 为零，并作用于此前已经映射到该 Site-ID 的路由。当 RouteFlag-I 为一时，消息用于建立路由关联，百分比字段不产生可用性作用。

第 34 版把零值的效果写得很直接。支持机制的 speaker 必须把所有关联路由视为不可用于转发。文本把这种结果称为“等同于逐条撤回”，但无需逐条发 withdrawal。不支持 Edge Metadata 的对等体若也要失去这些路径，仍然需要普通 BGP 撤回。

因此，“等同”只描述元数据机制中的转发效果，不代表普通 BGP 状态与业务选择状态合并成了同一个事实。草案其他段落允许一条被元数据调度排除的路由，继续作为普通 BGP 可达路由有效。相同前缀可以同时存在于 Adj-RIB-In 与本地 RIB，却不再适用于某类边缘业务。这样能够减少路由震荡，也能把服务健康和网络可达分开；代价是 BGP 会话正常、前缀存在，都不再足以证明业务可用。

零值的作用域来自过去

独立更新不携带受影响业务前缀清单。它的扇出范围取决于接收方此前保存的“路由—Site-ID”关联。如果一台入口路由器把 42 条路由映射到 Site-ID 711，而另一台因漏收旧更新只映射了 41 条，那么两者即使都正确解析同一个零值，也会关闭不同的目标集合。

所以，最低限度的审计记录不能只是“收到 Site-ID 711 = 0”。它应包含可版本化的映射代次：哪些路由键被关联、何时生效、由哪个 speaker 发起、哪些决策点确认接收。解析后的目标数量与摘要可以让运维比较“应影响的集合”和“实际应用的集合”，又不必把全部内部选择写入协议。

这里的代次、确认、数量和摘要是本文提出的运行建议，并非第 34 版的规范要求。草案定义协议行为，没有规定全网回执系统。实现可以使用本地遥测、控制器状态或签名日志；最小初始规范不必指定统一的可观测平台。但跨系统必须对“这个零值本来应该影响什么”形成可核对的共同含义。

来源授权阻止远程总开关

草案限制了独立可用性更新的发送者。接收方只应接受来自相应出口路由器的消息，或者接受来自已授权路由反射器、且 Originator-ID 指向该出口路由器的消息。这一条件至关重要：伪造的零值可能让所有关联路由都不可用，形成拒绝服务。

来源授权与 BGP 会话有效性不是同一张回执。路由反射器可以是合法邻居，却携带意外的 Originator-ID；出口环回可以可达，但会话角色可能不匹配。运维记录至少应区分：认证对等体、AFI/SAFI、双方是否协商 Edge Metadata Processing Capability、出口身份、存在时的 Originator-ID、Site-ID、属性原始值以及本地策略结果。

能力按 AFI/SAFI 双边协商。属性是可选且非传递的；草案还给出 NO_ADVERTISE、AS-Scope sub-TLV 与常规路由过滤等范围控制。未知或不支持的 sub-TLV 被忽略，字段缺失绝不能解释为零。这些规则降低误传播风险，却不能证明所有目标入口都支持机制，也不能证明不支持的对等体收到了它们仍然需要的普通撤回。

测量、发布、执行与流量各有时钟

Site Physical Availability 的范围是 0 到 100，越界值应被忽略。草案把测量间隔与通告间隔分开，并建议在没有其他配置时使用至少 30 秒的默认通告间隔，同时通过抑制或滞后来控制波动。流亲和策略则由实现决定：已经选择某个出口的既有流，可能一直留在那里，直到出口真正不可达。

于是，同一个“零事件”至少包含三只时钟：站点测量、出口通告、入口修改候选资格；已有流还有自己的生命周期。站点可在 09:14:00 测得零，在 09:14:12 发出更新，在 09:14:13 被部分入口应用，而一个粘连流到 09:15:00 才自然结束。把整分钟笼统标记为“零已生效”，会抹去解释用户体验所需的时间证据。

独立更新也不是下一跳解析信号。它调整的是关联站点的业务选择，不等于出口环回不可达，也不等于发生了 BGP 收敛。正确的证据阶梯应逐层保留：测量来源；授权身份；映射代次；能力协商；更新接收；目标集合解析；本地策略应用；RIB 与 FIB；已有与新建流；服务结果。跳过任何一级，都会把协议输入误写成已经发生的客户结果。

最小规范应保留本地选择

Heng Lu 关于最小初始规范的原则在这里很适用。跨域共同部分可以只规定站点身份、可用性语义、来源条件与传播范围，把测量算法、排序权重与回退策略留给运营者。运行代码优先的原则则进一步追问：实现是否暴露了从协议含义落到转发决定的执行边界。

部署时，可要求映射代次标识、受影响路由数量与摘要、每个决策点的应用回执，以及围绕零值切换的真实流量探针。这些是本文的运维建议，不是对草案文字的改写。它们让证据可验证，同时不把初始标准膨胀成一套中央控制器设计。

第 34 版让零值更有力量，因为它省掉了逐路由撤回。越紧凑的控制动作，越需要精确的执行回执。路由表可以在说真话，元数据引擎也可以在说另一种真话，用户还可能体验到第三种结果。只有三者能够对账，这套机制才具备可托付性。

来源