摘要

  • 2003 年 6 月 15 日形成、随后由 AFRINIC 董事会一致追认的安排，把法律设立与行政放在毛里求斯，把培训协调与实施放在加纳，把技术运行及基础设施放在南非，把技术运行的备份与灾难恢复放在埃及。它确实拆开了地点、交付职能、部分人员配置和孵化支持来源。
  • 同一批记录也显示，AFRINIC 仍是一家在毛里求斯设立的单一私人法人，由一套成员—董事会—首席执行官层级管理，并计划在孵化期后以会员费接管四地的行政与财务。地点分散没有自动分散公司、预算、用工、政策或登记记录的最终决定权。
  • 南非承载核心应用和数据库，南非另有一个已被描述的复制站点，毛里求斯的额外副本仍属计划，埃及的复制则被表述为用于灾难恢复和异地备份。公开记录没有给出独立凭证、切换权限、恢复目标、演练结果、资产产权或退出条款，因此不能把“有副本”写成“能够独立恢复”。

一项关于功能而非疆域的决定

这项安排最容易被一张四色地图讲错。地图会诱使读者把四个国家想成四个对等节点，仿佛行政、培训、生产和恢复各有一套自治机构，彼此能够在另外三个节点失灵时接管全部服务。现存记录支持的结论要窄得多，也更有分析价值：AFRINIC 把原本可能由一个承办方整体承接的机构建设任务拆成四个功能包，再把这些功能包放到四个国家。被拆开的首先是工作地点和交付角色，而不是法人资格、成员关系、董事会权力或公共权威。

时间起点应固定在 2003 年 6 月 15 日。当天，在坎帕拉与 AfNOG 同期举行的 AFRINIC 会议上，承办建议被介绍；随后一次会议在董事会、工作组与竞标方代表之间寻求共识。本文只把这一背景用来界定功能分配发生的场合，不延伸讨论征集条件、提案资格、程序开放程度或投标评价。同期董事会公告记录了结果：行政中心包括法律设立、业务经理与秘书处；培训中心负责协调和实施 AFRINIC 培训；技术运行中心包括硬件和基础设施；备份与灾难恢复设施服务于技术运行。四项职能依次落在毛里求斯、加纳、南非和埃及。

董事会后来以一致表决追认了这项共识。这里的“一致”只证明一个公司项目的追认结果。现有材料没有独立编号的决议、签署文本、逐名表决或完整会议记录，因而不应为它补写形式细节，更不能把公司董事会的一致决定扩大成非洲各国、所有网络运营者或某个所谓大陆共同体的授权。董事会能够决定的是 AFRINIC 自身如何组织私人协调服务，不能由此取得立法、监管、警察、检控、惩罚、没收或领土权力。

更关键的是，分配地点时，功能的最终边界和资金安排尚未完成。2003 年 6 月 23 日发布的董事会公告说，接下来还要为各项职能修订职责范围，让获选承办方据此制订详细实施计划并完成资金安排；修订后的范围还要与竞标方讨论。也就是说，地图先于完整的义务文本。它是架构决定，却不是一份足以回答资产、权限、服务水平、责任、终止和替代问题的完整运行契约。

反集中设计真正拆开的部分

这项决定首先降低了对一栋建筑的依赖。总部与法律行政不必和生产硬件处于同一设施；培训组织不必与核心数据库共享一支现场人员队伍；用于恢复的副本也不必留在生产中心所在国家。从机构初创的角度看，这不是抽象姿态。不同地点可以使用不同的设施条件、当地支持网络和专业资源。一地的楼宇、供电或现场支持发生问题时，至少不会在物理意义上同时吞没全部四项功能。

它也拆开了部分专业交付。毛里求斯承担法律设立和行政中心，后来成为总部所在；南非承担技术运行，后续材料把核心应用与数据库放在 CSIR 的计算中心；加纳承担培训协调和实施，使能力建设不必只是总部办公室的附属任务；埃及承担面向技术运行的备份与灾难恢复。四地并非一个标签换四种颜色，而是对应不同的工作对象。行政要处理法人和秘书处事务，技术运行要维持应用与登记数据库，培训要把知识送到运营者一侧，恢复要在主系统受损时保存可用的重建可能。

孵化支持也被分散给不同关系方。2005 年的最终认可申请把毛里求斯的行政和管理支持与当地互联网服务提供商协会及政府部门支持联系起来，把南非的技术支持与通信部门和 CSIR 联系起来，把埃及的数据复制和灾难恢复支持与通信主管部门联系起来，把加纳的培训协调与 GH-NIC 联系起来。这些表述证明 AFRINIC 当时如何描述支持版图，不证明每一方已经签下同样完备的合同，也不证明政府部门因此获得了对登记决定或非洲网络的公权力。

人员配置至少在两个地点出现了可辨识的分布。2004 年 6 月的一份过渡情况介绍称，AFRINIC 员工已于当年 1 月迁往南非，并同时提到毛里求斯办公室和位于 CSIR 的南非技术运行中心。到 2005 年申请所描述的阶段，总部配置为首席执行官、行政助理和财务经理，南非技术过渡则有一名工程师和一名 hostmaster。记录没有给出加纳或埃及相应的永久员工数量、雇佣关系或值守能力，所以人员分布只能确认到这个程度。

这些安排合在一起，构成了有意义但有限的反集中：地点不止一个，现场关系方不止一个，部分岗位不在同一办公室，技术数据也不只被设想为一份。若把反集中理解为减少对单一楼宇、单一设施供应方和单一当地支持池的依赖，2003 年的决定确实朝这个方向迈出了一步。若把它理解为四套可以各自决定、付款、雇人、持钥匙和恢复服务的自治体系，证据则完全不够。

四国之上仍是一条公司脊柱

地理分布与公司集中并不矛盾。最终认可申请一方面详述四地安排，另一方面明确把 AFRINIC 描述为从毛里求斯一个地点进行管理。其组织模型把成员置于一套董事会之上，董事会任命一名负责日常管理的执行负责人；技术与登记服务、财务与行政及人力资源、通信与会员联络及培训等部门都在同一组织内。不同部门可以在不同地点工作，却没有因地点不同而成为不同法人或拥有不同的最终治理来源。

法律人格集中得最清楚。AFRINIC 于 2004 年 2 月在毛里求斯设立为一个非营利法人。本文引用这一事实，只为了识别四地架构之上的单一公司中心，不讨论毛里求斯为何被选中，也不把后来的法律争议倒推回 2003 年。南非的服务器、加纳的培训角色和埃及的恢复安排都没有另外创造一个能够替代该法人的董事会、雇主、国库或成员体系。

财务同样呈现“初期分散支持、随后趋于集中”的形态。申请称，支持机构将在两年孵化期内承担部分或全部相关成本，AFRINIC 此后预计依靠会员收入，接管四个地点全部行政和财务管理。这个计划有很强的制度逻辑：初创机构借用现成设施与专业能力，待收入稳定后把责任收回同一主体。但它也说明四地不是长期独立的财务中心。公开材料没有列出各地补贴金额、银行账户、审批限额、成本分摊、担保、违约资金或交接条件，也没有证明两年后按计划完成了接管。

用工的分布也没有变成用工权的分裂。总部与技术人员身处不同国家是事实；他们处在同一首席执行官和组织架构之下也是事实。谁是每个岗位的名义雇主、当地支持方能否指挥人员、紧急状态下谁能越过总部作出决定、关键人员缺席时谁有替代权限，均没有在现有记录中得到回答。员工在哪里，和员工有权决定什么，是两张不同的图。

登记政策和号码资源决定更没有因这次分配而下放。四项功能的定义中，没有一项授予承办国独立的政策、分配、选举或申诉权。后续组织图仍把登记服务置于 AFRINIC 内部的董事会—执行层级之下。加纳协调培训，不等于加纳决定资源登记；埃及保存恢复副本，不等于埃及能够修改政策；南非托管核心系统，不等于南非拥有数据库所描述的号码资源；毛里求斯承载法人，也不等于毛里求斯成为非洲号码资源的主权来源。

因此，四国安排的准确表述不是“权力被均分”，而是“执行面被拆分，公司面保持统一”。前者涉及建筑、硬件、培训交付、部分员工与支持方，后者涉及单一法人、单一董事会、单一执行链、统一部门结构、长期会员收入和预期的财务行政接管。两种结构可以同时存在。真正的问题不是哪一种标签更好听，而是共同公司脊柱一旦失灵，分布在四地的执行能力能否获得合法、技术和财务上的替代路径。

数据副本与控制权不是同一回事

技术拓扑提供了观察这一区别的最佳窗口。2005 年申请称，核心应用和数据库位于南非 CSIR 的运行中心；约翰内斯堡的 UUNET South Africa 有一个复制站点。申请还把另一处南非互联网服务提供商和毛里求斯的负载均衡副本写为计划，并称所有基础设施将在埃及复制，用于灾难恢复与异地备份。毛里求斯路易港办公室与南非核心网络之间另有一条被报告的虚拟专用网络连接。申请还描述了备份轮换和多地点复制，把埃及称为主要灾难恢复地点。

这段记录必须按动词时态拆开。位于 CSIR 的核心应用和数据库是被明确描述的现状；UUNET 南非站点也是被识别的已有复制点。另一个南非站点和毛里求斯副本属于计划表达，语句本身对具体完成状态也不够清楚。埃及复制被写成将用于灾难恢复和异地备份的安排，不能据此宣告系统已经完成、随时可切换或通过演练。虚拟专用网络的存在被报告，但其上线精确日期、端点、密钥保管、运营商多样性与冗余路径均未披露。

副本解决的是“是否还有数据”的一部分问题，独立恢复解决的是“谁能用哪份数据，在什么权限和时限内重新提供可信服务”的完整问题。如果多个副本使用相同软件、相同管理员、相同高权限凭证和同一写入来源，它们可能一起复制错误。一个错误的登记写入、被入侵的管理员账户或逻辑损坏，可以比物理灾害更快地越过国界。没有隔离副本、不可变备份、验证机制、回滚规则与恢复授权，四国数据位置仍可能共享同一逻辑故障域。

申请说，数据库和基础设施仅限获授权人员访问，并称 UUNET 与 CSIR 计算中心的安全和访问程序协议已经签署。这证明当时存在授权概念，也证明至少有两类南非场地访问文件被描述为已经存在。但这些文件不在公开记录中。谁持有根级或管理级凭证、是否采用职责分离、紧急账户由谁启用、离职后如何撤销、访问是否记录、远端恢复是否使用不同密钥、场地方能否接触硬件而不能接触数据，仍然未知。

写权限也决定副本是否只是镜像，还是一个真正的连续性节点。公开材料没有交代数据库主节点、读写能力、选主机制、复制延迟、一致性处理、故障切换批准者或陈旧数据处置办法。若南非核心不可用，埃及是否能在没有南非管理员的情况下接管？若毛里求斯管理层不可用，现场人员能否合法启动恢复？若错误已经复制，哪一份记录被认定为可信基线？如果没有这些答案，“跨国复制”只能证明设计方向，不能证明独立的控制平面。

恢复时间目标与恢复点目标也没有被披露。因而无法判断可接受的数据损失窗口是多少，服务应在多久内恢复，备份保留多久，介质是否离线或不可变，恢复演练是否进行，以及演练是否覆盖一国级中断、凭证丢失或逻辑损坏。没有事故、停机、演练和恢复结果，既不能声称设计在真实灾害中成功，也不能反过来断言它从未具备恢复能力。证据边界要求我们停在“已描述的分布设计，未证实的独立恢复”这一层。

故障域账本：哪些缩短，哪些仍然贯通

单一楼宇故障域被部分缩短。总部、核心运行、复制与计划中的灾难恢复分处多个设施，物理损毁不再天然覆盖全部功能。但当时明确存在的核心和复制站点都在南非，毛里求斯额外副本的完成状态未被证明，埃及恢复能力也没有完成与测试证据。多栋建筑是事实，能够跨国接管则仍是问题。

单一国家的物理中断，在设计意图上被削弱，却没有被测试记录证实。四项功能跨越四国，埃及被赋予异地恢复角色；这足以说明架构师并不希望所有能力被一个国家的停电、设施事故或本地支持中断同时击中。然而，没有一份时间线展示南非核心失效后服务如何转移，也没有证据说明埃及能够脱离南非技术控制与毛里求斯公司授权持续工作。

法人和公司治理故障域没有被拆开。AFRINIC 是一个毛里求斯法人，只有一套成员、董事会和执行链。分布式服务器不会自动生成替代法人，培训中心也不会自动生成应急董事会。如果董事会无法行动、首席执行官职位失灵或公司的签署权限陷入停顿，现有记录没有给出四地中任何一地可绕过公司瘫痪的紧急授权、继任安排或独立托管机制。

资金故障域在孵化期可能得到短暂分散，但其真实结构不透明。多家支持方有可能分别承担设施、人员或其他成本，从而避免初创阶段完全依赖一笔收入。与此同时，多份支持关系也可能共享同一最终预算批准，或者在 AFRINIC 接管后重新汇入会员费这一收入基础。没有金额、支付承诺、应急准备金和违约分配，不能判断多源支持究竟提供了多强的财务缓冲。

供应方故障域既被分散，也被增加。不同机构支持行政、技术、培训和恢复，某一家供应方退出不必同时终止所有职能；但每增加一个关系方，就增加一个合同接口、续约点、责任边界和交接风险。分散供应方可以减少单点依赖，也可以制造更多无人负责的缝隙。合同是否可转移、资产能否带走、终止后是否提供迁移协助，决定了这种分散是韧性还是锁定。

硬件故障得到了一定缓解。冗余服务器、复制站点和备份轮换至少表明架构没有把一台机器当作唯一载体。但缺少组件清单、热备状态、备件能力与恢复结果，无法量化这种缓解。更重要的是，硬件冗余不等于逻辑冗余：一台备用服务器若运行相同错误状态，只是更可靠地保存了同一个问题。

凭证失窃的故障域完全未知。不同设施可能有不同门禁，却不意味着应用管理员、数据库管理员、网络设备和备份系统使用不同信任根。一个共享高权限账户足以让四国拓扑在控制层重新坍缩成一个点。反之，如果存在独立密钥、双人批准、离线恢复凭证和可审计撤销，地理分布才可能转化成控制分布。公开材料没有让我们在这两种情形之间作出选择。

网络连接故障域同样未知。路易港到南非核心的虚拟专用网络说明总部与核心之间存在一条管理或业务联系，但没有运营商、替代路径、带外访问和断链时工作模式的信息。若所有远端管理依赖同一个端点或相同密钥，即使数据副本在另一国，控制仍可能卡在一条逻辑通道上。若各站点有多运营商和本地应急操作，则又会显著不同；记录没有证明任何一边。

关键人员故障值得单独计算。申请所列总部和技术团队规模很小，且只确认毛里求斯和南非的若干岗位。小团队在初创阶段很合理，却容易把架构知识、签署权限和恢复能力集中在极少数人身上。没有轮岗、交叉培训、值班、继任和替代授权资料，无法知道四地是否真正拥有相互独立的人力能力。加纳的培训角色可以扩展知识供给，但不能被当成生产技术团队的自动替补。

培训中断属于不同类型的故障。把培训协调和实施放到加纳，有利于扩大能力建设的地域基础，减少所有知识传播都从总部发出的依赖，也可能让培训更贴近运营者。可是培训不会在核心数据库停机时接管登记服务，也不会在董事会失灵时接管公司。它是机构能力的反集中，而不是生产系统的故障切换。公开材料又没有设施、课程、人员、预算、交付数量或效果指标，因此连这一能力是否形成持久中心也不能被断言。

合同空白决定了可审计性的上限

2003 年公告承诺的四项修订职责范围没有出现在现有材料中。缺少这些文件，就无法准确知道行政、技术、培训和恢复的边界在选址后怎样被重新定义。一个“恢复地点”究竟负责存储介质、运行可接管系统，还是只提供设施？一个“培训中心”是拥有预算和排期权，还是接收总部安排？名称不能替代职责条款。

详细实施计划和最终资金计划也不在记录中。设施何时准备、人员何时到位、每项职能的完成标准是什么、哪方负担哪些费用、某方迟延时由谁补位，这些都是判断架构能否落地的基础。后来的概述可以证明若干状态，却不能反向填满当时计划的每一项内容。

总括性承办与孵化协议的状态尤其含混。最终申请一处说已经与三个支持机构达成孵化协议，接着又列出四个支持领域和四组国家关系方，并说很快会与各方签署正式协议。与此同时，它又说 UUNET 和 CSIR 计算中心的安全及访问程序协议已经签署。最谨慎也最准确的处理，是把这些文字视为不同层次、可能不同当事方的文件描述：南非场地访问文件的存在，不能用来补足四地总括协议；“三个”与“四个”的差异也不能由读者猜成笔误或自动分组。

合同缺失不证明合同从未存在，更不证明任何人违约或有意隐瞒。它证明的是公共审计能力有限。没有原文，就不能确认义务、对价、期限、责任限制、适用法、审计权、终止权、续约、赔偿、介入权、设备和数据产权、移交与救济。对一个跨四地运行的私人协调机构而言，恰恰是这些普通而具体的合同条款，决定地图上的节点能否在关系破裂时继续服务。

资产产权与可携性记录同样缺失。硬件放在 CSIR，并不说明硬件归 CSIR、AFRINIC 或其他支持方所有；数据存于南非，也不说明南非拥有登记记录所描述的号码资源。若承办关系终止，谁能移动设备、复制数据、取得配置、继续使用软件或要求迁移协助，必须由产权、许可和退出条款回答。物理保管与法律所有权不能互换，登记记录与资源所有权更不能互换。

雇佣合同、地方经理授权、紧急决定权和继任计划也没有公开。它们决定远端站点在总部不可用时是“有设备但无人有权行动”，还是“有边界清楚的应急权限”。同样缺失的还有两年孵化交接证据。申请表达了接管四地行政与财务的预期，却没有在这里证明交接按期完成、满足哪些条件或遗留哪些支持依赖。

最后，事故、停机、恢复演练和切换记录均未出现。架构图能说明意图，演练才能说明行为。没有演练，不应说埃及恢复点失败；没有演练，也不应说它成功。缺失证据所产生的结论不是负面事实，而是一个审计上限：我们可以评价设计分配了什么，不能评价它在真实压力下做到了什么。

官方叙述中的张力必须原样保留

第一处张力是“分布式运行”与“单一地点管理”并存。它们不必被消解成自相矛盾。前者描述设施和职能，后者描述公司管理中心。恰恰因为二者同时成立，才需要区分执行面与控制面。若把所有分布都说成自治，就忽略单一公司脊柱；若把单一管理说成所有工作都在毛里求斯，又会抹掉南非、加纳和埃及承担的真实角色。

第二处张力是支持协议的“三”与“四”。申请称与三个支持机构达成孵化协议，却列出四组支持关系并称正式协议将与各方签署。没有文本就不能判断是起草误差、若干机构被视为一组，还是“孵化协议”与“正式协议”指不同文件。把模糊处保留下来，比替机构写出一个整齐但未经证明的合同史更可靠。

第三处张力是尚待签署的承办协议与已签署的南非访问协议并列。这提示我们，物理门禁和安全程序可以先于或独立于更广的孵化、资金和服务合同。一个场地文件即使确实有效，也未必处理设备产权、数据库控制、服务连续性和关系终止。文件名称相近不等于法律功能相同。

第四处张力涉及日期。2004 年过渡介绍把坎帕拉承办选择写成“May 2203”，显然存在年份排字问题，也与同期公告和最终申请所支持的 2003 年 6 月不一致。本文以 2003 年 6 月 15 日的同期董事会公告为准；现行机构历史页把相关发展压缩进 2004 年叙事，只用于确认后来仍沿用四地职能描述，不用来推翻同期日期。

这些张力不是挑错游戏。它们提醒读者，机构自述可以证明该机构曾怎样描述自己的组织、计划和状态，却不能自动证明合同已经履行、系统已经测试或权力正当性已经成立。官方材料在其范围内是重要证据；一旦越过范围，它也不能代替缺失的合同、控制矩阵和独立验证。

最强的反方论证：集中指挥也可能是合理控制

对四国设计最有力的辩护，不是说地理分散天然等于彻底去中心化，而是承认 AFRINIC 当时是一家要在辽阔区域内建立服务的小型机构，资金与专业人才都可能稀缺。若在四国设立四个法人、四套董事会、四个财库、四条指挥链和四个可独立写入的数据库，协调成本会急剧上升，记录一致性也更难维持。多个相互竞争的权威中心，还可能诱发国家归属或地区代表权之争，反而损害一项依赖唯一性和一致性的登记服务。

在这种条件下，一家法人、一套董事会、一名执行负责人和一个核心数据系统，可以提供清楚的问责线。毛里求斯提供公司与总部环境，南非提供技术中心和人员条件，加纳提供培训协调，埃及提供恢复地点；现成机构在两年孵化期内补贴 AFRINIC 尚无力单独购买的能力，之后由会员费支持的公司统一接管。董事会公告还明确把控制成本和运行效率视为约束。集中公司问责、分布专业执行，是一种能够自洽的初创机构设计。

这套辩护应被完整接受到证据所能承载的程度。四国安排不应被轻率贬为象征动作，因为它确实拆分了工作和设施；公司集中也不应被自动写成不当行为，因为一致的数据记录和明确负责人本来就是协调服务的合理需求。真正的设计基准不是“越分散越好”，而是以最少必要权力维持一致服务，同时让设施、合同、人员、凭证和恢复路径免于共同失灵。

然而，这一反方论证仍不能替代控制证据。一个清楚的负责人也可能成为共同故障域；一个统一数据库也可能把错误复制到所有节点；一个会员费支持的法人也可能让四地同时暴露于同一资金或签署障碍。要证明“集中问责、分布执行”在压力下成立，需要可携合同、分离凭证、应急授权、隔离备份和真实演练。地图证明了设计选择，效率逻辑证明了选择可能合理，却都没有证明每一条连续性路径已经具备。

私人记账者的边界不随地图扩张

AFRINIC 的正当任务是作为私人记账者和协调者，维护准确记录、保护号码使用的唯一性，并为运营者之间的协作提供可预期的行政服务。数据库记录描述运行现实，不创造财产权；服务区域界定工作范围，不构成一个政治共同体；成员参与和内部规则维持公司协作，不等于法律授权。四国安排改变了服务从何处交付，没有改变这种权力性质。

因此，没有一个承办国因为接纳某项职能而取得对非洲网络或号码资源的领土所有权。南非的核心数据库不是国家资产权证明，埃及的恢复副本不是政策否决权，加纳的培训角色不是资源分配权，毛里求斯的公司登记也不是大陆主权。政府部门或公共机构可以作为设施、资金或专业支持方进入私人合同关系，但这种关系不会制造跨国立法、监管、执法、检控、惩罚或没收权。

同样，AFRINIC 也不能因其跨国服务覆盖而把行政记录变成对运营者施加经济强制的工具。记录准确、流程稳定与连续服务是必要目标；超出这些目标的惩罚性裁量必须受到明确拒绝。董事会追认是一项公司决定，不是法律；承办协议是私人安排，不是主权委托；物理保管形成现实依赖，却不是对运营者的合法统治。

这一边界也决定了外部组织在分析中的角色。NRS 可以倡议、研究、召集并在获得明确授权时代表成员，推动去集中、退出与问责；它不运行 AFRINIC 的登记、WHOIS/RDAP、RPKI、选举、申诉、托管、结算或连续性服务，也不是 2003 年架构的参与者。LARUS 的运营者侧分析有助于说明治理控制路径如何落到基础设施风险上，但不意味着其经营任何四地站点。BTW.Media 既有研究有助于区分承办选择、公司设立和后续认可，却不替代本文对跨地点架构本身的判断。

这些来源的价值，在于把权力问题重新放回具体机制：谁可以写记录，谁可以撤销凭证，谁可以在核心失效时启动副本，谁能够付款，谁能够签署替代合同，谁承担运营者的连续性损失。它们不能替缺失文件提供答案，也不需要把私人协调服务抬升成准政府才能说明其重要性。越是关键的基础设施记账服务，越需要窄而清楚的权限、可替代的控制路径和可验证的恢复，而不是更宏大的权威叙事。

对运营者而言，地图的价值取决于可行动性

运营者依赖准确、稳定、可追溯的登记记录，但这种依赖不意味着一台 AFRINIC 服务器停机就会机械地让互联网数据包停止传输。影响机制更细：持续的登记服务关系到资源持有信息、协调流程和依赖这些记录的业务判断；长期不确定或错误可能增加运营、合规和对手方风险。因而连续性重要，却必须避免把登记系统与实时路由本身混为一谈。

从运营者视角看，一个恢复站点是否“存在”不如五个问题重要：它持有什么状态，状态有多新；它能否在主站之外验证数据；谁持有启动和写入权限；公司管理层不可用时现场人员能否合法行动；恢复后如何避免两个相互冲突的真实版本。四国地图若不能回答这些问题，就仍是一张资产位置图，而不是一张可执行连续性图。

从董事会视角看，集中问责与连续性授权必须同时存在。日常状态下，应只有清楚而受约束的批准链；紧急状态下，又要有人能在严格条件、完整日志和事后复核下启动替代路径。若所有权限都锁在一名负责人或一个地点，分布设施会因等待授权而失去意义；若远端站点可随意接管，又会破坏记录一致性和问责。合理答案不是无限中央集权或无限地方自治，而是预先定义的有限应急权。

从法律与审计视角看，合同的可携性和证据保存是连续性的一部分。设备放在哪里、由谁保管、关系终止后能否取回、数据能否迁出、人员能否继续工作、服务方是否有移交义务，都应在协议中明确。若这些文件在多年后无法用于审计，机构便容易让地理起源故事代替控制证明。记录保存不足本身不证明设计失败，却会使未来董事会、成员和运营者无法区分韧性与依赖。

从支持方视角看，孵化关系应当既有进入条件，也有退出条件。初创机构利用当地设施和专业能力是务实选择；支持无限期持续，则可能让捐助、场地或人员形成谈判杠杆。两年后接管的计划正体现了对依赖的认识。问题不在于接受支持，而在于支持能否被替换、交接是否完成、资产和知识是否留在 AFRINIC 可控制的范围内。

一项有意义、但证据不允许神化的设计

2003 年的四国安排值得被当作一项真实的制度工程决定。它没有把所有能力押在同一建筑、同一现场支持方和同一专业群体上；它让总部、生产、培训和恢复在地理上各有位置，也把初创期支持扩展到多个机构。对一个正在建立中的区域协调服务，这些都是实质选择，而不是空洞口号。

它的限度同样清楚。一个毛里求斯法人、一套董事会和执行链、一个长期收入模型以及预期统一接管，使法律、治理、财务和最终公司决定保持集中。核心系统位于南非，复制与恢复分布到其他地点，但密钥、写权限、合同、人员授权和恢复演练没有被公开材料证明为独立。地理距离可以隔开火灾，却未必隔开同一错误、同一凭证、同一预算或同一失灵的决策链。

最准确的结论因此既不是“彻底去中心化”，也不是“纯属象征”。四国模型完成了地点、职能、部分人员和支持关系的有意义分散；它没有建立四个主权或自治机构，也没有证明完整的技术与合同连续性。评价它，应逐项标记已经分开、部分分开、仍然集中和无法判断的控制面，而不是让四个国名替代证据。

这也是私人协调机构应当接受的尺度：只主张记录与协调所必需的有限权限，以可验证的冗余、退出、移交和恢复保护运营者，不把服务区域说成疆域，不把数据库说成所有权，不把公司程序说成公共授权。四国地图最重要的遗产，不是它看起来多么分散，而是它迫使后来者追问：当一个点失灵时，另一个点是否真的有数据、有钥匙、有钱、有人员，也有边界清楚的合法行动权。