摘要

  • NTP 不把单次应答当成真相。客户端用四个时间戳估算钟差与往返延迟，再从连续样本中过滤噪声、排除不一致的信源，并调节自己的本地时钟。
  • stratum 表示到参考时钟的同步距离，并帮助阻止时间环路；它不是精度证书、所有权记录或机构等级。多台服务器也可能依赖同一个故障源。
  • NTS 可以认证客户端与服务器之间的交换，却不能证明服务器上游的时间正确。信源多样性、使用许可、持续监测和最终校时策略仍由运营者负责。

会联网，不等于会守时

RFC 1129 记录了一次很有分量的反例。研究向 94,260 台主机和网关发送三种时间协议的请求，20,758 台作出应答。应答者中，约一半与测量基准相差两分钟以上，约一成相差四小时以上，还有一些错了两周多。

这不是全体互联网主机的普查；它只描述那次方法能够触达且愿意回答的系统。但它足以说明：网络可达性与时钟可信度是两回事。错误的时钟可以稳定地回答，漂移的振荡器也可以输出很多小数位。精确的格式并不会自动产生准确的时间。

NTP 的历史价值正在这里。它没有寻找一台永远正确的机器，而是把不同机器的陈述变成可以比较、可以拒绝、也可以暂时宣布无法判断的证据。

四个时刻，夹住一段不确定的路程

1981 年的 DCNET Internet Clock Service 已经展示了问题的轮廓。RFC 778 描述了质量不等的时钟：COMSAT 有接收 WWV 的无线电时钟，另一些机器依赖会产生偏移和漂移的电力线时钟。ICMP 时间戳让两台合作主机记录请求发出、到达、返回和收回的时刻。

今天常用的 NTP 表记是：客户端在 t1 发出请求，服务器在 t2 收到，在 t3 发回，客户端在 t4 收到。客户端把 [(t2 - t1) + (t3 - t4)] / 2 作为钟差估计，把 (t4 - t1) - (t3 - t2) 作为往返网络延迟估计。

这组算式没有看见两个方向各自真实的单程延迟。它利用往返观测作近似；如果去程和回程明显不对称，差异就会混入钟差。因而，一个带着纳秒位数的结果仍可能包含路径造成的系统性误差。

丢掉一包，重新测量

RFC 958 在 1985 年 9 月给出第一版 NTP 规范。1988 年的 RFC 1059 描述 Version 1：多个一级参考源通过一个自组织、分层的服务器子网向外提供时间，不需要全互联网先选举出唯一主时钟。

它也不要求可靠交付。一个时间报文丢失，不必像账本缺页那样追回；下一次测量可以补上新的证据。这种设计适合当时经过多个网关、会排队、改路和丢包的互联网。协议相信的不是一笔交易，而是一系列可以更新的观察。

早期 NTP 已经包含样本过滤、突变抑制、振荡器漂移补偿和渐进调钟。RFC 1059 报告其原型在特定环境中达到几十毫秒量级，但那是经过约两年运行得到的条件性结果，不是对后来所有网络和设备的承诺。

换言之，网络的不可靠不是 NTP 完成以后才遇到的例外，而是它最初的设计材料。

“错误时钟”不是由票数自动决定

每个信源都会产生一串钟差、延迟和不确定性。过滤器倾向保留较低延迟的有效样本，因为排队可以把观测变慢，却不能把物理路径变得比最佳状态更快。瞬间尖峰可以被视为噪声，而不是立即把系统时钟拉走的命令。

当多个信源彼此矛盾时，选择算法把各自估计表示为带误差边界的区间，寻找可以成立的交集。落在可接受交集之外的候选者被标为 falseticker。RFC 1305 的 Version 3 完善了误差边界、过滤与选择；RFC 5905 的 Version 4 进一步描述了从选择、聚类到组合幸存信源的过程。

这不是“少数服从多数”的万能公式。特拉华大学的 Clock Select Algorithm 说明，如果没有足够的区间重合，选择会失败。宣布未同步，有时比从冲突证词中制造一个漂亮数字更诚实。

数量也可能伪装多样性。五个域名可能共用同一个 GPS 接收器、虚拟化宿主、运营团队或 leap smear 策略。算法可以看见报文里的差异，却未必看见背后的共同依赖。相关性故障能让多数一起错。

stratum 是距离，不是王座

在 NTPv4 中，stratum 1 服务器直接关联一级参考时钟；stratum 2 至 15 表示沿同步链继续向外的层次；stratum 16 表示未同步。这个字段的重要功能之一是防止时间环路：服务器不应从自己的下游取时，再把同一个错误循环回来。

层次越深通常会累积更多不确定性，但数字越小并不保证服务越好。一台拥塞、失管或参考源损坏的 stratum 1，可能不如路径稳定、监测充分的 stratum 2 或 3。stratum 更不说明哪个公司拥有设备、哪个机构拥有公共授权，或者谁有权改变别人的系统时钟。

NTP 确实保留了一级参考源和分层传播，所以把它写成“完全没有层级”同样错误。它同时支持客户端/服务器、广播和对称对等模式；对等节点可以双向交换时间。它不是一棵只有一个根的纯树，也不是一个没有信任关系的平面网络。

设计的关键不是消灭层次，而是不让同步距离自动变成不可质疑的权威。

算法之外，还有运营责任

RFC 8633 把成熟部署中无法由协议代办的工作写得很清楚。客户端应选择足够且真正多样的信源；在独立性成立时，四个或更多信源可以提高容错能力。运营者还必须持续监测：一个今天可靠的服务，明天可能更换上游、所有者、软件或闰秒处理方式。

多样性不仅是 IP 地址不同。不同自治系统里的服务器仍可能共用一个参考钟；多个名字可能指向同一 anycast 服务。把 leap smear 与不做 smear 的 UTC 信源混在一起，闰秒附近就可能让健康的时钟互相判为异常。专业判断必须追溯时间尺度和依赖链，而不只是数应答包。

许可也是正确性的一部分。公开可达不等于允许产品无限使用。RFC 8633 特别警告设备厂商，不要未经同意把第三方公共 NTP 服务器硬编码进海量终端。一次默认配置可能制造多年流量与防护成本，而承担成本的运营者从未同意这项依赖。NTP 使用 UDP，其服务与控制面也曾被用于放大攻击，因此暴露范围、速率限制和监测都是现实责任。

认证一条消息，不等于认证宇宙时间

2020 年的 RFC 8915 定义 Network Time Security，范围是 NTP 客户端/服务器模式。客户端先通过基于 TLS 的 NTS-KE 建立密钥材料和受保护 cookie，之后用认证扩展字段保护 NTP 报文。密钥交换完成后，服务器可保持无状态，因为 cookie 由客户端带回。

NTS 可以回答：回复是否来自预期服务器，途中是否被篡改。它不能回答：服务器上游的参考钟是否正确，多个上游是否真正独立，或它的 smear 政策是否适合客户端。经过认证的错误，仍然是完整无损地送达的错误。

范围也不能抹掉。RFC 8915 不覆盖 NTP 的对称模式与控制模式。把“NTS 已启用”当成整个时间系统的通行安全章，会把规范明确留下的风险重新藏起来。

共同时间，是可修订的证据

时间给日志排序，决定证书是否过期，影响数据库写入、金融交易和工业控制。大幅钟差能把正确凭据变成“失效”，也能颠倒事故的因果顺序。这种重要性很容易诱使组织把某个知名服务的品牌当成确定性本身。

NTP 给出的制度安排更克制。客户端收集会犯错的证词，折扣拥塞路径，比较多个信源，拒绝一部分，组合一部分，然后持续调节自己的不完美振荡器。证据无法相交时，它可以承认“不知道”，而不是给冲突套上精密外观。

它没有让信任消失。它让信任变得多元、可测量、可撤回。参考钟运营者维护与民用时间的关系；服务器运营者负责上游与访问；网络塑造延迟；客户端决定信谁以及本机时钟如何移动。共同协议帮助各方趋同，却没有把全网时钟永久交给一台服务器。

来源与证据边界

NTP 之前的时间戳交换见 RFC 778。第一版 NTP 规范是 RFC 958，Version 1 的架构与原型结果见 RFC 1059，1989 年测量见 RFC 1129。

Version 3 的过滤与选择依据 RFC 1305。四时间戳模型、stratum、运行模式与后续选择流程依据 RFC 5905 和特拉华大学的 Clock Select Algorithm。运营最佳实践见 RFC 8633，NTS 的客户端/服务器安全范围见 RFC 8915。

RFC 1129 的数字只代表该调查中作出应答的系统。各 RFC 对应不同协议时期；本文用后期规范说明成熟控制面，不把它们倒推成 1985 年实现已经具备的功能。