摘要

  • draft-ietf-ivy-network-inventory-topology-11 可用 ne-ref 与 port-ref 将逻辑对象指向物理网元和端口；只读的 port-breakout 则列出硬件能够提供的独立通道。两类记录都没有证明端口当前已拆分，更没有证明某一通道正在运行或仍有可售容量。
  • 映射可以来自发现、人工填写、外部导入，也可以描述尚未落地的规划资源。可靠的自动化必须分别保存映射来源、配置意图、设备回读、运行状态、容量、编排决策、激活与真实流量结果。

四个通道，零个现成接口

设想编排器收到一个 100G 服务请求。资源界面显示一个 400G 物理端口，下面有四条 breakout channel。若把界面当成库存货架，最自然的动作就是取走其中一条。

但 port-breakout 的语义不是货架。它是 config false 的只读能力数据，草案明确说，无论该端口此刻以 trunk 还是 breakout 方式配置，这份列表描述的都是硬件固有能力。它回答“这个部件能支持什么形态”，没有回答“设备当前生成了哪些子接口”。

因此，四条记录可能与一个仍作为 400G 整体运行的父端口并存。光模块可能不适配拆分方式，配置可能从未提交，子接口可能没有出现，某个 lane 可能告警，容量也可能已被另一项服务占用。任何一种情况都不使能力记录变成假数据；它只说明能力不能替运行层作证。

真正的错误，是自动化把一个层次的肯定句提升成了另一个层次的许可。

映射先要说明是谁说的

第 11 版草案在 RFC 8345 的网络拓扑模型上定义 inventory-topology。节点通过 ne-ref 关联物理网元，终止点通过 port-ref 关联物理端口组件。映射属性的存在，在这个模型内用来区分物理对象与抽象或逻辑对象。

标准化这条关联非常有价值。不同控制器不必再靠私有命名规则猜测同一端口。但引用仍然是一项模型断言，而不是一次独立的现场核查。字段指向哪里，取决于发现系统、数据导入者或获授权的操作者如何建立它。

草案把 ne-ref、port-ref、link-type 与存在容器设为可写，正是因为现实并不总能被自动发现。用户侧设备可能不在管理域内；租用线路的内部资源属于第三方；规划系统需要先放入未来资源；发现结果也可能被人工修正。

这些做法都可以正当。风险来自来源消失。一条人工声明若流入数据湖后被重新标成“库存事实”，便获得了原作者从未赋予它的确定性。一个规划中的端口若没有保留 hypothetical 标签，也会在容量报表里冒充在役资产。

所以映射凭据至少需要：声明者或控制器、生成方法、观察时间、适用范围、目标状态、可覆盖它的权限，以及它究竟是 discovered、manual、imported 还是 hypothetical。值相同，不代表认识论地位相同。

只读能力的强度与边界

port-breakout 不能通过这一模型人工配置，因而比可写映射更接近设备自身报告的能力。它可以支持兼容性检查、采购核验和变更设计，也能排除某些根本不支持的组合。

但“硬件报告可拆分”仍有适用条件。它必须绑定具体设备、具体组件、软件或固件版本、采集方法与时间。板卡更换后，逻辑端口名可以不变；版本升级后，能力呈现也可能变化。缓存里的旧响应依然语法正确，却已不再描述眼前的组件。

更重要的是，能力记录不包含配置事务。要证明端口已拆分，需要审批后的目标模式、写入结果以及提交后的独立回读。要证明通道可用，还需要子接口存在、管理与运行状态、光层读数、错误计数以及准确到该通道的容量数据。

把这些凭据分开并非繁文缛节。分开之后，团队才能区分“设备从未支持”“设备支持但未配置”“配置未生效”“接口存在但不健康”和“接口健康但容量已分配”。一个笼统的 available 无法支持这种诊断。

租用光纤揭示了模型最诚实的地方

link-type 是轻量级判别器。fiber、copper、coax、microwave、WLAN 与 leased fiber 等身份，帮助使用者找到更专门的库存模型，却不等于完整的物理资源记录。

租用光纤尤其重要。承租方可以准确知道某条拓扑边依赖第三方光纤，同时看不到对方的路由、纤芯、中继设施、维护状态或详细容量。这不是模型失败，而是权力和可见性的真实边界。

若系统看到 leased-fiber 就自行补齐“物理多样性”或“可用容量”，便把类型标签升级成了第三方资产证明。若因为细节不可见而把这条依赖从图中删掉，又会隐去真实风险。正确表达应同时保留两件事：链路性质已知；底层细节不在本观察者的权限和证据范围内。

模块通过校验，不代表网络通过验收

研究冻结时，Datatracker 将第 11 版列为活跃的 Standards Track Internet-Draft，已提交 IESG，等待 Area Director 放行；IANA 审查尚未显示 OK。页面同时显示 YANG 校验为零错误、零警告。

零错误证明的是模块结构与工具检查结果。它不证明某厂商已经实现、不证明某控制器读到了新鲜数据，也不证明网络按模型运行。传输加密可以保护旧数据不被篡改，却不能让旧数据变新。NACM 可以限制访问，却不能保证获授权的人做了正确关联。

把“schema validated”显示成服务绿色，会把文档质量偷换成运行事实。标准状态、实现能力、部署配置与现场结果，分别需要自己的验收。

从 SAP 到服务，中间不能省略的层

草案的服务配置示例很有分寸：先把 SAP 映射到物理端口，再查询其他拓扑模型验证容量。如果资源不足，可以选择另一个 SAP 或交给人工处理。示例没有把 port-ref 当作容量判决。

一个可审计流程先记录配置意图：目标设备、父端口、breakout 模式、预期子接口、光学前提、维护窗口和批准者。配置提交后，再从设备回读父端口模式与实际出现的子接口。随后检查每条 lane 的状态、告警、计数器与未占用容量。

编排器本身也要留下决策凭据：使用哪个策略版本、读取哪一时刻的拓扑与容量、候选有哪些、为何选中该 SAP、是否有人为干预。最后才是激活与结果：路径是否如预期，流量是否真的通过，客户是否获得了承诺的服务。

“配置成功”不能替“服务交付”作证；“接口 up”也不能自动等于业务结果。每个转换点都需要观察者和时间。

一份能还原决策的十段凭据

一项服务订单至少应保存：

  1. 工具采用的草案或 RFC 版本、YANG 模块版本与注册表状态；
  2. 拓扑快照对应的控制器、设备、采集方法和时间；
  3. ne-ref、port-ref、link-type 的精确值与来源类型；
  4. 引用完整性检查及创建、覆盖映射的权限主体；
  5. 绑定硬件组件与固件版本的 port-breakout 能力响应；
  6. 经批准的配置目标与变更单；
  7. 提交后的设备回读和实际子接口清单；
  8. 选定通道的状态、光层、计数器与容量；
  9. 编排策略、候选集合、SAP 或路径选择和人工例外；
  10. 服务激活、实际流量路径与客户侧结果。

草案警告，陈旧或错误的映射会导致错误配置、意外路径、激活失败与不准确的容量规划。这四类后果指向不同的证据缺口。保存分层凭据，才能在事故后知道修复的是发现、数据治理、设备配置、策略还是交付流程。

敏感信息与正确决策不是同一个控制目标

库存拓扑本身具有敏感性。设备集合、内部端口和组件名称、介质类型、第三方所有权以及 breakout 能力，都可能帮助攻击者理解网络结构。安全传输、双向认证与 RFC 8341 的 NACM 访问控制，因而是这个系统必需的上下文。

但安全上下文不能被写成正确性证明。一个主体可以经过双向认证、拥有合法读取权限，并从控制器得到未被篡改的响应；如果响应来自旧缓存，或者人工映射早已失效，他仍可能作出错误决策。同样，限制 port-ref 的写权限可以减少随意修改，却不能自动判定一次获授权的 override 是否对应真实换卡。

应分别记录“谁有权看”“谁有权改”“数据由谁生成”“决策由谁作出”。四项都可审计，才能在泄露风险与操作真实性之间保持边界。为保密而删除来源会削弱可审计性；为了方便审计而无限暴露物理细节又会增加攻击面。合适的设计是最小必要披露，同时对内部决策保存完整来源链。

变更窗口里的反例检查

在真正执行拆分前，团队可以主动证明那些容易被界面遮蔽的反例。若父端口仍以 400G 整体工作，系统应明确显示“支持但未配置”，而不是只显示 breakout capable。若子接口出现却没有光信号，应把配置成功与物理失败并列。若通道 up 但容量已被占用，分配器应拒绝新服务，同时保留接口健康这一事实。

这样的反例不是边缘异常，而是状态模型是否诚实的测试。只要任意两个场景在操作台上呈现成同一个绿色状态，就说明某个证据层被折叠了。部署前用反例验证界面和 API，往往比事故后追查“为什么库存明明说有四个口”更便宜。

这也要求告警保留对象身份，而不只保留显示名称。若变更前后的端口标签相同、硬件序列和组件引用不同，系统应主动让旧能力、旧容量与旧策略输入失效。否则，新设备会继承旧设备的可信外观。对账任务需要把逻辑对象、物理组件、能力采样和配置回读放在同一时间线上，并明确标出没有重新采集的部分。

运营报表也不应把“具备能力”算入已开通率或空闲端口数。能力适合回答设计覆盖率，配置适合回答变更完成度，运行数据适合回答健康度，服务凭据适合回答交付。用四个指标而不是一个综合分数，管理层才能看见真正卡住的是采购、实施、故障还是容量治理。

一旦这些指标分别计算，同一端口同时出现“支持拆分”“尚未拆分”“运行正常”“没有可分配子通道”就不再矛盾。它只是把不同观察层的事实完整地放回原位。

这比一个含义模糊的绿色状态更适合值班、变更评审、容量承诺与事后复盘，也更接近模型本来愿意承担的有限责任。

来源