摘要

  • Draft 3 的关键贡献不是发明 AS0 机制，而是明确区分“正在回收”与“回收已经结束”：前者仍可能含有未决事实与冲突，后者才可能成为签署否定路由起源声明的账本依据。
  • AFRINIC 能做的是在自己的登记与认证服务中准确记录状态、签署并撤回有限的安全元数据；它不是国家、监管者、执法者或法院，也不能借 AS0 ROA 决定资源所有权或命令任何网络丢弃路由。
  • 正确的 AS0 声明可为自愿采用者提供经过认证的异常起源证据；过早的声明则可能把登记侧的不确定性转化为分散而不均匀的可达性成本。两者之间差的不是一句善意保证，而是一份可复核、可纠正、可独立观察的终局记录。
  • 现有公开文本证明了提案内容及其时序约束，却没有证明实际部署、具体前缀、误报、路由拒绝、事故、持有人损失或可量化收益。制度设计因此必须以风险机制而非想象中的个案为对象。

那句要求证明“结束”的话

政策文本里最有分量的词，有时不是“签名”“无效”或“安全”，而是一个不起眼的时间词。AFPUB-2019-GEN-006-DRAFT03 由 Haitham El-Nakhal 和 Yazid Akanho 于 2021 年 4 月 19 日提交。AFRINIC 的正式修订历史把这一版的变化概括为“对已回收资源的考虑”。新增的实质要求很窄：已回收资源只有在回收过程结束时，才应被 AFRINIC 加入其 AS0 覆盖。

这句话没有回答回收过程由哪些合同步骤构成，也没有列出通知期限、证据门槛、复核机构或法律救济。不能用想象补齐这些空白。它真正完成的是另一件事：为两个不能混同的状态划线。“正在回收”描述的是一个动作仍在进行的私人行政过程；“回收结束”描述的是一个已经足以写入资源账本、并准备承受外部技术依赖的状态。动作可以由一方提出、推进或记录，终局状态却必须能够被重复核验，否则自动化只是在给提出动作的一方加上密码学扩音器。

这个区别之所以重要，是因为 AS0 ROA 并非普通的内部备注。它表达一种否定意图：被覆盖的前缀不应以通常的自治系统作为公共路由起源。AS 0 不是一个普通可路由的 BGP 起源；在路由起源验证中，一个与相关 ROA 冲突的普通起源可能被验证器归为 Invalid。这里的 Invalid 是技术分类，不是法律上的无效，不是滥用裁定，也不是对任何人的有罪判断。然而，技术分类会进入真实网络的决策环境。运营商可能只观察，可能降低优先级，可能拒收，也可能不改变策略。于是，一项私人账本状态会沿着签名与验证的路径，影响许多彼此独立的网络怎样看待同一条路由。

正因为后果分散，“结束”不能只是登记机构内部系统里的一个布尔值。若一个尚未结束的回收主张被误写成已经结束，签名不会让这个主张变真；签名只会让它更容易被机器读取、更容易被复制、更容易在多个网络中触发不同的本地反应。提案加上的时序限制，至少拒绝了一个危险的等式：开始回收，不等于完成回收；提出资源不再由某方使用的主张，也不等于已经形成可供全球网络依赖的稳定事实。

这里必须给 Draft 3 最强的善意解释。AFRINIC 准确记录为未分配、未指派或已经最终回收的地址空间，通常不应出现普通公共起源。为这类空间发布经过认证、机器可读的 AS0 对象，可以帮助愿意采用的网络识别意外起源，并减少对各自维护、可能陈旧且缺乏认证的 bogon 清单的依赖。这个目的不是虚构出来的治理借口，而是真实的安全需求。Draft 3 要求等待回收结束，也不是装饰性文字；它承认资源恢复过程与已完成的资源状态不是同一件事，因而构成了有意义的克制。

承认这个善意用途，并不要求把 AFRINIC 抬高为公共权力机关。AFRINIC 在这里的角色只能是私人技术账簿管理者与协调者。它可以维护唯一号码资源记录，可以在自己经营的 RPKI 认证与发布服务内，对其账本中未分配或未指派给成员的资源制作技术对象；它也可以在后来分配资源前撤销覆盖对象，纠正自己服务中的错误，并把变化变得可观察。正式提案中“只有 AFRINIC”能够为这类空间创建对象的说法，只能解释为该私人服务内部的有限技术管理能力。它不意味着 AFRINIC 拥有前缀，对资源持有人具有主权管辖，能够裁判争议，或者有权命令依赖方网络执行某种路由动作。

这条界线也保护了 AS0 信号本身。若把签名理解为惩罚工具，任何账本争议都会迅速变成权力冲突；若把签名理解为对一个完成状态的可验证描述，问题就回到更朴素、也更可审计的层面：记录是否准确，状态转换是否有证据，冲突是否被隔离，错误是否能迅速撤回。安全信号的可信度不来自发布者声称拥有更高地位，而来自发布者把自己的工作范围压缩到它确实能够证明的事实。

公开材料也要求我们克制。它证明 Draft 3 的发布日期、作者、修订说明、未分配和未指派空间的 AS0 设想、持有人为其账户或管理下资源制作 AS0 ROA 的选项、分配前撤回规则、可能采用单独 TAL 的背景，以及“回收结束后再加入”的新增句子。工作人员评估把未分配和未指派库存理解为扩展委派统计文件中的可用及保留空间，并设想对现有和新增库存进行自动化处理。评估还谈到库存系统升级、发行时序、内部控制和监测。

这些材料没有给出一项公开的“结束”判定方法。它们没有说明怎样证明冲突已解决，没有定义争议隔离状态、紧急质疑入口、纠正期限或独立收敛证据。这里的准确表述是：公开文本未定义这些控制，而不是断言 AFRINIC 内部从来不存在任何笔记、程序或额外记录。公开记录的沉默形成的是知识边界，不是关于内部世界不存在某事物的证明。

同样，现有证据不能被写成一次已经发生的技术事故。本案没有提供实际签发的对象、完成部署、运营商采用、受影响前缀、错误 Invalid、路由拒绝、网络中断、持有人损失或可测量的安全收益。本文所讨论的“误报”是一条因果风险边界：如果未完成状态被当作完成状态，可能怎样向外传播；它不是对 Draft 3 已经制造某起事件的指控。把反事实机制写清楚，比借一个并不存在于记录中的受害者来增强戏剧性更重要。

可以用几类假设来测试这条界线，但不能把它们误写成事实。发送通知不等于回收结束；开始调查不等于回收结束；工作人员形成一项看法不等于回收结束；记载某项合同指控不等于回收结束；一项归还记录尚不完整时，也不能仅因系统希望关闭库存而视作回收结束；存在未解决冲突时，更不能让自动化替一方把争议先写进否定路由证据。共同原则只有一个：只要基础事实仍处于可争议的临时状态，系统就应隔离该冲突，而不是用签名提前决定它。

这不是要求 AFRINIC 成为法院，反而是防止它扮演法院。私人机构若试图建立一套具有公共法外观的裁判制度，会把技术协调膨胀成不属于它的权力。更合适的做法是设定狭窄的发布条件：只有当机构自身能够展示一个有版本、可复核的完成记录时，自动化才有资格把该状态转成 AS0 对象。如果无法展示，就保持不发布；不发布并非判定另一方拥有资源，只是承认发布者尚不能对“不应有普通起源”这一技术命题承担证据责任。

“结束”因此是一道状态闸门，而不是修辞。闸门之前，事实可能仍在移动，登记状态不能安全地承担否定信号的重量；闸门之后，发布者应能够说明在何时、基于何种可列举证据，把哪一段资源从什么先前状态转入已回收状态，并且没有把尚未解决的冲突藏在自动化背后。Draft 3 说出了必须有闸门，却没有公开说明闸门凭什么打开。本文的全部制度问题，正集中在这段尚未被定义的距离上。