摘要

  • AFPUB-2016-GEN-001-DRAFT01由四名署名作者于2016年5月18日发布，正式标题是“Internet Number Resources Audit by AFRINIC”，状态为“Under Discussion”。这里所讨论的是首份草案提出的制度设计，不是一项已经通过、实施或产生实际后果的规则。委托题目把它称为首份资源审查草案；草案自身使用的词是“Audit”，这一称谓差异不改变其文本内容。
  • 草案从有限资源、准确记录和防止囤积等关切出发，把全部已分配或指派的号码资源纳入范围，并设计随机、选定和报告三类审计。核验记录、询问证据、指出差异、送达通知并接受纠正，都可能属于私人注册机构的正当簿记职能。
  • 真正的制度断裂发生在核验之后：草案把未纠正事项推进至三个月的公开收回期、删除原持有人数据库记录、收回和可能重新分配资源，再交由AFRINIC定义的志愿者仲裁作出被描述为明确且不得上诉的结果。私人协调机构不能靠一份政策草案为自己制造主权、监管、警察、惩罚、没收或司法权力。
  • 更可靠的方案不是取消审查，而是让审查止于有证据、有理由、可纠正的记录结论：公开稳定触发条件，限定取证范围，保护材料，区分确定事实与争议主张，由独立复核者检查原决定，并在真实争议中维持最后可验证的运营状态，把惩罚性或权利归属问题交给有管辖权的外部法律或合同裁判机制。

一份仍在讨论中的权力设计

2016年5月18日，Amelina Arnaud、Ilunga Kabwika Serge、Jean-Baptiste Millongo和Wafa Dahmani四名作者发布了编号为AFPUB-2016-GEN-001-DRAFT01的文本。修订记录显示，首稿被投递至RPD邮件列表。仅凭“发布”和“投递”，不能推出社群已经授权、共识已经形成、规则已经生效，更不能推出任何成员已经被审计或任何资源已经被收回。它的证明力很窄，却很重要：它让人们看见，一种怎样的制度结构曾被正式提出。

这份草案先陈述了一个容易获得支持的起点。互联网号码资源有限，资源分配应当服务实际运营需要，记录不能长期失真，资源也不应被无正当用途地积压。文本还援引RSA第4节，并把自身放在号码注册与分配原则的语境中。这些内容能够证明提案者怎样陈述问题，却不能单独证明现实中存在囤积、违规或滥用，也不能证明AFRINIC因管理账本便拥有处罚持有人的公权力。

区分这两层，决定了整篇分析的方向。第一层是事实性的：谁是记录中的资源持有人，联系人是否仍获授权，某项材料能否支持既有记录，记录与可验证事实是否矛盾。第二层是权力性的：当机构认为差异没有得到纠正，它能否公开给持有人贴上不合规标签，删除其记录，收回并重新分配仍具有运营意义的号码资源，并由自己安排的程序终结争议。前一层可以是簿记；后一层已经不是更严格的簿记，而是对权利、运营与声誉施加后果。

AFRINIC的正当角色是一家私人技术簿记者和协调者。这个角色并不微不足道：它维护号码资源记录的唯一性、准确性和可用性，处理与记录有关的材料，联系成员，保存可审计的变更历史。正因为网络运营者依赖这些服务，机构的事实影响可能很大。但依赖不会自动转化为管辖权，技术影响也不会生成主权。AFRINIC不是国家、政府、监管机关、警察、检察机关、惩罚机关、没收机关或法院。

草案最值得审视的不是“是否可以查”，而是“查到哪里必须停”。一项边界清楚的审查可以核对具体账本事实，说明材料来源，向记录主体出示矛盾，允许其纠正或解释，并在结论中记录不确定性。它不能因为程序被命名为审计，就把未经外部裁断的争议变成罪责，把数据库保管变成资源所有权，把删除记录包装成中性维护，或把机构自设仲裁包装成具有终局效力的司法。

审计对象与优先次序

草案把所有已经分配或指派的资源列入审计范围，同时提出优先关注IPv4资源和可映射到二字节ASN的自治系统号。这里需要同时看到范围和优先次序的不同含义。范围决定谁原则上可能被要求说明记录；优先次序决定有限审查能力先落到何处。二者都需要制度约束，因为一个覆盖全部持有人的宽范围，并不会自动说明每次审查应该索取什么，也不会证明某类资源的持有人更可疑。

文本没有给出总体审计数量、频率或抽样规模。因而，读者不能从“全部资源在范围内”进一步推断定期普查，也不能从“优先”推断某类持有人实际遭遇了更密集的审查。能够确认的只有设计意图：审计权限被写得很宽，执行注意力被建议先放到特定资源类别。制度评价必须停留在这套提议本身，而不是虚构一个从未被证明存在的执行档案。

范围宽并非必然错误。记录质量问题可能散布于不同资源和成员类别，完全排除某一类别也可能留下盲区。困难在于，宽范围若没有逐案必要性测试，容易让“原则上可查”滑向“任何时候、任何材料都可要求”。一项合理审查应当先指出待核验的账本命题，例如联系人授权是否有效、某项记录是否与提交材料一致，再把请求限定在能够证明或反驳该命题的材料。审计对象是事实，不应是对整个组织的无边界搜查。

三类入口并不等于三套证据标准

草案设计了随机审计、选定审计和报告触发审计。三类入口可以服务不同的完整性目标，但“如何进入审计”与“进入后怎样认定事实”必须分开。随机抽样可能用来观察账本的总体质量；内部报告或失联可能提示特定记录需要确认；自我请求或外部投诉可能带来机构原本不知道的材料。入口只解释为什么启动核验，不能预先证明存在违规。

随机审计被限定于三个原文类别：Medium and above、IPv6-only Large和EU-AS。这些标签应按草案原样理解，不能以今天的分类替换，也不能凭空补充定义。草案没有说明各层怎样抽样、样本量如何决定、是否公开抽样方法、同层成员是否具有相同被选中概率。随机机制的善意价值在于减少点名执法和私人偏好的空间，但只有在分层、样本和程序可被核验时，“随机”才不仅是一个难以验证的标签。

选定审计可以由内部报告或联系不上成员触发。这两项触发器都可能对应真实的簿记风险，也都可能产生误差。内部报告可能指向材料矛盾，但草案没有说明报告需要包含哪些事实、由谁筛查、举报人与审查者有无利益冲突、何时必须回避。失联可能说明联系人记录过时，也可能只是联络渠道失效、人员更替或送达方法不足。联系不上首先证明的是沟通失败，不等同于资源使用不当，更不等同于应受惩罚。

报告触发审计则包括成员主动请求，以及被认为需要调查的社群投诉。自我请求尤其说明审计未必天然是对抗性的：一个成员可能希望澄清记录、修复历史信息或获得有理由的确认。投诉也可能揭示真实差异，却必须经过入口筛查。草案没有公布投诉证据门槛、投诉人的资格要求、保密规则、举证责任、证明标准、审查者独立性或回避规则。“有人投诉”与“投诉可信”不同，“投诉可信”与“事实成立”也不同。

这三类入口若被混在一起，会产生一个危险的认知捷径：被抽到、被内部点名、失联或遭投诉，都可能在程序开始时被公众读成负面信号。实际上，随机入选没有任何指控含义；失联只是一种待解释状态；投诉只是未经查证的主张；自我请求甚至可能体现主动维护记录的意愿。制度必须在每个入口处明确这种无罪责含义，否则程序本身就会提前制造声誉后果。

“不合规”示例需要逐项拆解

草案列出一组非穷尽示例：无正当理由未出现在全球路由表；违反政策；违反RSA或与AFRINIC签订的其他法律协议；有证据表明某组织已不再运营而其地址块尚未转移；以及违反政策的未经授权转移。列表非穷尽这一点扩大了判断空间，也让事实认定和制度后果之间的界线更加重要。

这些例子都只是提案列举的可能情形，不是本事件中已经成立的事实。没有任何具体成员、投诉、地址块、路由或转移事件被识别，也没有任何个案结论。文章若把示例写成现实违规，便会把制度文本错误地转化为指控；若把提案中的“违规”标签当成法律结论，又会把私人机构的语言错误地转化为公权判断。

其中，全球路由表可见性尤其需要谨慎。一个前缀没有出现在全球可见的路由表中，可能有多种正常解释：资源可能处于部署准备、备用、内部使用、分阶段迁移或暂时撤告等状态。这里的关键不是为任何具体情形下结论，而是承认“不可见”本身只是一项观测。草案使用了“无正当理由”这一限定，说明它并未把所有不可见都直接视为问题；然而它又没有公布怎样判断理由是否正当、需要什么证据、由谁评估、如何处理暂时状态。

路由观测与注册记录也属于不同证据层。路由表呈现某个时点网络对前缀的传播状态，注册账本呈现资源与登记主体的行政对应。二者可以互相提示，却不能自动相互取代。一次路由不可见可以触发问题，但不能独自证明登记错误、合同违反、组织不存在或转移未经授权。合理程序应当先说明所核验的是路由事实、登记事实还是合同事实，并根据命题选择证据。

政策违反与协议违反同样不能只凭标签完成认定。需要先指出具体条款、相关事实、材料来源以及两者之间的推理。组织停止运营而资源未转移的例子，则要求证明组织状态、资源记录和转移要求，而不是从一个孤立信号推导整条结论。所谓未经授权转移也至少涉及谁有权行动、提交了什么材料、记录发生了什么变化。把这些不同问题压缩进“不合规”一个词，会遮蔽每项结论所需的不同证据和不同裁判权限。