摘要

  • 2010 年 5 月 12 日 17 时 18 分，Douglas Onyango 在 AFRINIC RPD 邮件列表重发了他所称的最新版 Soft Landing 文本，供 AFRINIC-12 会前讨论。AFRINIC 后来的官方历史称，这次更新获得了新编号 AFPUB-2010-v4-001；然而当日邮件本身没有显示该编号，正文内部日期仍是 27-11-09，也没有附上与前稿的修订对照。
  • 与可检索到的 2009 年 9 月 28 日文本相比，5 月 12 日版本把耗尽阶段的最小分配单位从 /23 改成 /24，最大单位仍为 /23，每个 LIR 最多获得四次分配；/12 储备及由 Board 按需求与相关利益决定释放的安排也仍在。更关键的是，当日文本重复了资源一律不得在区域外使用的条款，次日才更正为最多百分之十可在区域外使用，且仅可用于连接区域内资源。
  • 新编号有合理用途：两次会议未形成共识且文本经历实质修改后，它可以减少同名稿件混淆，为下一次会议提供较稳定的讨论对象。但编号只是元数据。没有不可变快照、父子编号对应表、内容哈希、逐行差异、问题处置表和明确的程序状态，读者仍须自行重建哪一份文字在何时有效，下一日的更正正好证明这种做法脆弱。
  • 这次重发并非批准或实施。后来记录所称的 2010 年 6 月 3 日“经修改形成共识”，以及随后又因异议回到讨论的过程，都不能倒推为 5 月 12 日已经产生授权。作为私人记账者和协调者，AFRINIC 可以依据有效私人文书管理尚未分配资源的唯一性与分配流程，但一个政策编号不会授予主权、立法、监管、警务、检控、惩罚、没收、所有权或裁判权。

先看文档矛盾，而不是先讲地址耗尽史

这件事的起点非常具体。2010 年 5 月 12 日 17 时 18 分 23 秒，Douglas Onyango 向 AFRINIC 的 RPD 邮件列表发出一封完整文本，称其为即将提交 AFRINIC-12 的最新版 Soft Landing 提案。AFRINIC 后来整理的历史把这一天记为提案采用新编号 AFPUB-2010-v4-001 的节点。这个后来的说法确立了编号事件，却不能改变当日原始邮件的可见内容：邮件里找不到 AFPUB-2010-v4-001，提案头部的内部日期仍写作 27-11-09。

于是，读者面对三种彼此没有被明确连起来的时间或身份信号：邮件服务器给出的 2010 年 5 月 12 日时间戳，正文保留的 2009 年 11 月 27 日日期，以及后来历史附加的 AFPUB-2010-v4-001 编号。三者未必互相冲突，完全可能分别指发布时刻、草拟日期和档案身份；问题在于，发布记录没有告诉读者它们之间的关系。若没有签署的对应表，读者只能推测，而档案制度本应消除这种推测成本。

这不是吹毛求疵。所谓“最新版”至少应回答：它的直接上一版是什么，哪些段落继承，哪些句子修改，谁在何时作出修改，为什么修改，修改响应了哪项异议，准备在哪个会议或讨论阶段使用。5 月 12 日的邮件提供了全文，因而并非没有材料；但全文并不等于版本关系。一个人可以读到全部文字，仍然不知道自己应当把它与哪一份父版本逐行比较。

这也是为什么本次事件不能被写成一般性的 IPv4 稀缺故事。稀缺解释了为什么分配单位、重复分配次数、储备释放和地理使用限制具有经济分量，却不能替代对一个确切发布动作的审查。真正的问题是：当一个私人协调机构改变提案的文档身份时，这个身份究竟帮助读者看见了什么，又遮蔽了哪些仍需人工重建的差异。

有限但关键的修订对照

可检索到的最近一份完整比较文本发布于 2009 年 9 月 28 日。把它作为基线，并不意味着它一定是 5 月 12 日的正式直接父版本；现有材料没有证明这一点。它的价值只是让我们在不虚构缺失链条的前提下，看清重发文本中几个可核验字段的变化与保留。

第一项变化是耗尽阶段的分配范围。9 月 28 日文本把 /23 同时设为最小和最大分配单位。5 月 12 日文本则把最小单位降为 /24，最大单位仍是 /23。用最少的技术说明来说，/24 所包含的地址少于 /23，因此这一改动让申请者能够获得更小的一块资源，而不是只能取得 /23。对剩余池的使用节奏、较小需求者的可达性以及申请行为而言，这不是排版修改，而是具有技术和经济影响的规则变化。

第二项是重复分配上限。两份文本都保留了耗尽阶段每个本地互联网注册机构最多四次分配的限制。一个严谨红线不仅要标出新增和删除，也要标出重要字段保持不变。否则读者容易把“新版本”误解成所有关键参数都被改写，或者相反，把大段相同文字误解成没有实质变化。版本控制的目的不是制造变化感，而是精确划定变化边界。

第三项是储备。9 月 28 日和 5 月 12 日可检索文本都写有 /12 储备，并为 Board 依据需求及相关利益决定补充或释放储备保留了裁量空间。然而，2009 年 12 月 4 日发布的会议结果记录又说，应把储备从 /16 改为 /12。这与可检索的 9 月 28 日全文已经写明 /12 形成尚未解决的文档不一致。现有记录不足以判断结果帖引用了另一份会议稿、沿用了过时的问题表，还是发生了别的记录差错。因此，可靠写法不是替 AFRINIC 消除矛盾，而是把两条记录并列，明确其无法由现有材料解释。

第四项是地理使用条款，它把缺少红线的风险从抽象问题变成了第二天早上的实际更正。9 月 28 日文本规定，所分配资源不得在 AFRINIC 区域之外使用。5 月 12 日重发的“最新版”仍重复了这一全面禁止。第二天 6 时 48 分，署名 SM 的参与者指出，正是这一段使提案此前回到邮件列表，并提到 Mark Elkins 在 2009 年 11 月 27 日提出的修改。几分钟后，7 时 04 分，Onyango 道歉并再次贴出全文，把条款改为最多百分之十可在区域外使用，而且用途只限于连接回区域内的资源。

现有证据证明的是遗漏、提醒、道歉和更正的顺序，不证明遗漏的动机。没有依据把它称为欺骗、掩盖、舞弊、腐败或故意行为。恰恰因为动机未知，制度分析更应集中在不依赖动机的控制办法上：若 5 月 12 日随新身份一起发布了一份可验证红线，地理条款未纳入既有修改意见会立即显现；即使作者只是无意沿用了旧段落，发布程序也能在读者承担风险之前发现它。

编号的最佳辩护，也限定了编号的价值

为新稿分配新编号并非没有道理。提案此前经历两次未形成共识的会议，期间又出现分配单位和地域条款等实质编辑。继续用模糊的“Soft Landing 最新稿”称呼不同文本，可能令邮件、会议材料和后来档案互相碰撞。AFPUB-2010-v4-001 这样的身份标签，理论上可以让下一次会议围绕一个稳定对象讨论，也可帮助档案管理员与参与者检索。

邮件列表还公布了全文，这是对该安排最有力的另一层辩护。勤勉的参与者并非被迫接受一份看不见的草案，他们可以下载不同邮件、手工比对并提出纠正。5 月 13 日确实有人发现地理条款问题，说明公开讨论具有纠错能力。相比只公布编号而不公开文字，全文重发显然更可取。

但这一辩护只能证明编号和全文有用，不能证明它们已经足够。手工重建要求每位参与者自行确定比较对象、保存邮件、排除格式差异、辨识关键字段，再判断哪次更正覆盖哪份全文。这里的重发邮件没有显示后来宣称的新编号，内部日期又停留在旧年份，而且关键地理条款在几个小时后被再次改写。公开可比较不等于低成本、可重复、可权威复核。

更准确的结论不是取消参考编号，而是要求编号兑现其功能。新编号应指向不可变的子快照，同时明确父快照；两者都应提供内容哈希，变化应有逐行和字段级对照，发布者、精确时刻、修改理由与目标会议应被绑定。这样，编号才是进入证据链的入口，而不是要求读者相信某个名称天然代表连续性的标签。

5 月 12 日没有批准任何东西

程序边界同样重要。重发发生在 AFRINIC-10 与 AFRINIC-11 两次未形成共识之后，目的在于把文本带到 AFRINIC-12 之前继续讨论。这里提及此前结果，只是为了确定 5 月 12 日动作的程序位置，而不是重述两次会议的争议。一次发布可以使某份提案更易辨识，却不会仅凭发布动作把讨论稿变成获批政策。

AFRINIC 后来的历史称，提案在 2010 年 6 月 3 日以修改后形式形成共识。6 月 25 日的一份最后征求意见记录也把 6 月 3 日描述为形成共识的会议，并显示有关实质分配条件的讨论仍在继续。后来历史又记载，7 月的异议令提案返回讨论。无论如何理解这些机构用语，它们至少证明程序在 5 月 12 日之后继续演进。重发不可能预先等同于后续会议记录、最后征求意见、采纳或实施。

“共识”一词也必须保持证据上的克制。官方资料能证明 AFRINIC 如何记录程序和参与者如何表达意见，却不能凭一个词自动证明投票、全体一致、代表性、区域内所有运营者同意、主权或公共授权。若没有参与者范围、异议处置和适用文书，档案标签只说明机构作了何种记载，不自行回答谁有权约束谁。

当前官方档案的标题是 AFPUB-2010-v4-005，其历史又说 2011 年 1 月 25 日的一个版本成为 AFPUB-2010-v4-005-draft-01。这足以确定 5 月 12 日的 -001 身份不是最终档案身份，却不足以填出从 -001 到 -005 的完整对应关系。没有可检索资料说明为何改号、采用何种编号规则、哪些中间文本存在，或每次身份变化对应哪些实质修改。把这些空白写出来，是档案诚实，不是对缺失内容作负面推断。

文档身份应成为可复核的基础设施

一套可信版本记录至少由四层组成。第一层是不可变内容：每次发布都保存原样快照，并用公开哈希让第三方验证下载内容没有变化。第二层是谱系：父编号、子编号、发布时间、修改作者和修改原因组成可追踪链条。第三层是差异：逐行红线之外，还应把分配大小、重复次数、储备、地理范围、过渡义务等字段结构化标注，并说明它们属于技术、经济、权利影响还是纯编辑变化。第四层是程序与权限：每项异议的接受、拒绝、延期或未决状态，目标会议、当前处置、批准或执行所依据的准确文书，都应与该版本绑定。

这四层解决的是不同问题。哈希回答“这是不是当时那份文本”；谱系回答“它从哪一份稿演变而来”；红线回答“具体改了什么”；处置与权限记录回答“谁依据什么把哪项修改带入下一步”。单独一个 AFPUB 编号最多回答“档案给它叫什么”。如果把这个有限答案外推成“内容连续”“程序有效”或“机构有权”，就越过了元数据能够证明的范围。

5 月 12 日事件还说明，全文档案必须允许更正而不抹去错误。5 月 12 日版本与 5 月 13 日更正版都应永久可取，各有独立哈希，后者明确以前者为父版本，并把地理条款标为权利与经济影响较高的变动。错误不必从历史中消失；恰当做法是保存它、解释它、链接更正，并让任何审阅者重现从旧状态到新状态的路径。

处置表尤其重要。2009 年 12 月的结果记录列出了 /24 最小值、/23 最大值、百分之十地域例外以及储备描述等事项。到了 5 月 12 日，有的事项进入文本，有的仍以旧表述出现，有的记录本身与可检索基线不一致。若每项意见都有编号并标记“已接受”“已拒绝”“暂缓”“仍有争议”，参与者无需从整封邮件猜测作者是否忘记、否决或尚未处理某个问题。

一份理想发布清单因此应同时展示：精确父稿、精确子稿、两份内容的哈希、改变者身份、发布时刻、改变理由、逐行差异、字段级影响类别、问题处置、目标会议、当前程序状态以及下一步行动的授权文书。签名的对应表不必意味着复杂的密码学治理；它首先意味着机构对“这两份材料之间是什么关系”作出可验证、不可悄然改写的声明。

小字段为什么会产生真实经济影响

/23 与 /24 的差别、四次分配上限、/12 储备的释放和百分之十的地域例外，看上去只是政策文字中的几个字段。可是在剩余资源有限时，这些字段会改变申请者可取得的最小规模、再次申请的空间、储备何时进入可用池，以及跨区域网络如何安排连接。它们进而影响地址规划、设备和路由配置、合同承诺、客户迁移时点与应急容量。

BTW 对剩余池的研究可用来说明这种经济机制，但不需要在这里重讲后来耗尽阶段、转移政策或完整池量历史。本文只取一个有限结论：越接近稀缺边界，小幅文字改动越可能重排谁能申请、何时申请、以多大单位申请以及如何使用。正因如此，修订对照不是档案装饰，而是让受影响运营者及时评估成本的基础设施。

LARUS 对运营连续性的分析提供另一条有限链路。注册机构的含混决定和记录可能传导到路由、合同、转移安排和运行中的基础设施。LARUS 不是 2010 年重发事件的直接见证者，也没有证明当时发生了某项具体网络故障；它说明的是机制：当文档身份、适用版本或权限范围不清时，企业会在技术与法律接口上承担查证、延迟和锁定成本。

这些成本往往不平均分布。拥有专门政策团队的大型运营者可以保存档案、运行差异工具、参加会议并追踪更正；资源较少的申请者可能只看到后来汇总页或会议材料。若制度默认每个参与者自行比对所有全文，所谓公开实际上会把可理解性变成一种需要购买的能力。提供正式红线和对应表，因而也是降低参与门槛，而不是替参与者作价值判断。

三个反事实揭示控制点

第一个反事实是，若 5 月 12 日同时公布了带签名或至少带哈希的逐行红线，审阅者可以立刻看到最小分配单位从 /23 改为 /24，也能发现百分之十地域例外没有进入当日文本。讨论就会集中在实质选择和遗漏上，而不是先花时间重建版本。第二天的纠正仍可能需要，但发现速度、责任边界和最终会议稿都会更清楚。

第二个反事实是，若经过实质修改的文本完全没有新身份，它可能继续与 9 月文本或其他中间稿混为一谈。会议参与者引用“最新版”时，彼此或许指向不同内容。因此，新编号本身不是问题，它确实能够切断不兼容版本的混同。问题是一个没有父链与差异的新编号只完成了身份分离，没有完成内容解释。

第三个反事实是，有了标签却没有对应表，后来读者仍可能把档案身份误当成实质连续性。当前页面叫 -005，历史称 5 月 12 日为 -001，中间关系不透明。一个办公室若只援引最终编号，就可能把不同阶段的讨论、修改和程序状态压缩成看似顺畅的一条线。可复核谱系会保留断点，阻止后来的机构叙事把档案整洁度替换成历史证据。

还可以加入第四个反事实：若 5 月 13 日没有人指出地理段落，AFRINIC-12 可能面对一份未纳入此前记录修改的文本。现有材料不能证明会议最终看到哪一精确快照，因此不能断言这个风险已经实现；但它足以说明，依赖参与者偶然发现遗漏不是稳定控制。制度应让差异自动显眼，而不是让错误能否被看到取决于谁在何时读了邮件。

元数据不能把记账者变成地主

Heng Lu 原则给出这里的权力边界：注册记录描述一个工件，也应尽量反映运营现实，但记录本身不创造合法性、所有权或权威。互联网号码资源协调的正当功能是维持唯一性、准确性与连续性。AFRINIC 作为私人记账者和协调者，可以在有效私人文书范围内，对其尚未分配池执行有边界的分配管理；它不是非洲的主权者，也不会因地址稀缺而成为地主。

因此，AFPUB-2010-v4-001 不可能单凭编号产生立法权、国家监管权、警务权、检控权、惩罚权、没收权、所有权或裁判权。它不等于投票、同意、批准、法律或授权。即使某一政策后来依据适用合同或组织文书生效，约束力也必须来自那份具体文书及其对具体主体的适用关系，而不是来自档案员给文本贴了什么标签。

这种区分并不否认协调的技术价值。唯一性管理需要稳定记录，参与者也可能通过合同接受具体流程。恰当问题不是“注册机构能否做任何事”，而是“它正在做的这个动作由哪一主体授予，针对哪一资源状态，约束哪些当事人，可否复核和撤回”。编号可以帮助定位待审文本，却不能替代这组权限问题。

官方来源在此仍然重要。它们是证明 AFRINIC 发布了什么、如何描述历史、何时记录程序状态的首要材料。可是“官方”只提高了对机构自身行为与陈述的证明力，不使“共识”“社区”“托管”“区域资源”或“授权”等标签自动成为合法性结论。对机构记录给予应有证据权重，与拒绝其自证公共权力，可以同时成立。

一组任何读者都能执行的判断测试

面对当前或未来政策记录，第一项测试是可取性：读者能否取得完整父文本和子文本，而不是只看到一页会变化的摘要。第二项是完整性：下载内容的哈希是否与发布记录匹配。第三项是差异性：是否有逐行和字段级红线，且把技术、经济、权利影响与编辑变化分别标记。第四项是状态：页面是否清楚显示该稿处于讨论、会议审议、最后征求意见、已采纳、已实施或已退回的哪一步。

第五项测试是主体：谁会因这项文字变化承担义务、成本或风险，该主体是否被明确识别。第六项是权限：批准、实施或采取不利行动所依赖的合同、章程、法院命令或其他文书是否可以直接查验。第七项是可重现性：一个没有参加当年会议的独立审阅者，能否仅凭档案重建每项意见如何被接受、拒绝、延期或留作未决。第八项是可逆性：若文本、记录或权限判断出错，机构能否在不破坏运行中网络的前提下撤回并留下完整更正链。

对 5 月 12 日事件应用这些测试，结论应保持精确。全文可以取得，关键字段可从相邻资料人工对比，次日纠正也留在邮件档案中，这些都是实质优点。与此同时，新编号没有出现在事件邮件中，内部日期陈旧，正式父稿未被指明，哈希与官方逐行红线未见，地理修改首先遗漏，完整编号对应关系至今不清。这不是证明恶意或规则违规，而是证明档案控制没有把编号的潜在价值完整兑现。

最稳健的判断因此分成两句。应当肯定新编号在实质修改后帮助区分文档的价值，也应拒绝从编号推出任何更大结论。2010 年 5 月 12 日的标签没有批准提案，没有证明共识，没有补上红线，没有授权对地域使用进行主权式资本管制，更没有把私人协调者变成监管者或裁判者。可信度来自可复核的文本谱系和有效文书，不来自编号的庄严感。

为什么旧日期是控制信号，而不是定罪证据

正文保留 27-11-09，首先是一个身份控制信号。它可能表示某轮编辑的日期，也可能只是作者重发时没有更新页头；现有资料无法在两者之间作出选择。因此，旧日期不能被拿来证明误导意图，更不能证明某项正式规则遭到违反。它能证明的只是，读者无法仅凭文档表面判断“最新版”的形成时刻。

这个区别很重要。若分析者把所有含混都解释成恶意，就会跳过真正可修复的流程问题，也会让发布者用“没有恶意”来回避控制缺陷。反过来，只要承认动机未知，就可以提出一套无论善意还是失误都适用的办法：把草拟时间、批准进入讨论的时间、公开发布时间和更正时间分别记录，并说明每一个时间戳指向什么动作。这样既不冤枉作者，也不让读者承担猜测责任。

一份文件可以合法地保留较早草拟日期，但必须同时展示发布身份。例如，页头可列“文本形成于某日”“作为某编号发布于某日”“由某人于某日更正”，并把各时刻写入机器可读元数据。若只保留一个旧日期，新编号又只在后来的历史页出现，档案便无法单独回答这份文本是旧稿重发、新稿沿用旧页头，还是不同阶段文字的混合。

在 5 月 12 日事件中，这种含混与地理条款遗漏发生在同一份文本上，使日期问题的实际意义更加突出。读者看到 27-11-09，可能合理地期待 11 月 27 日讨论的地域修改已经纳入；但重发文本仍是全面禁止。次日参与者恰恰以 11 月 27 日修改为参照提出纠正。旧日期没有证明错误来自哪里，却提高了错误难以被普通读者识别的可能性。

一份真正的红线应如何呈现这四个字段

若把 9 月 28 日比较文本和 5 月 12 日重发文本放入标准化红线，分配范围一栏会显示“最小 /23”删除并替换为“最小 /24”，“最大 /23”保持。影响分类应至少包括技术与经济，因为地址块粒度变化会影响可满足的申请规模和剩余资源消耗方式。处置栏还应指向 12 月结果记录中的对应建议，使读者知道这项变化不是孤立改字。

重复分配栏则应显示“每个 LIR 最多四次”未改变。保留项之所以值得列出，是因为审阅者需要确定关键约束没有在重发过程中意外漂移。若红线只展示被改动的句子，参与者仍要回到全文确认其他参数；一张关键字段矩阵可以同时给出旧值、新值、变化状态、证据位置与影响分类，减少遗漏。

储备栏必须容纳矛盾，而不能选择一个看起来最顺的故事。基线全文写 /12，重发全文仍写 /12，所以从这两份文本看是“保留”。但 12 月结果记录把问题描述为从 /16 调到 /12。字段矩阵应增加“外部处置记录不一致”的醒目标记，链接两份原文并把解释状态设为未决。任何人在没有新证据时都不应把它自动改写成“12 月决定已纳入”，因为基线本来已经是 /12。

地域使用栏则需要三个状态，而不是两个：9 月 28 日的全面禁止，5 月 12 日的同样全面禁止，5 月 13 日的百分之十例外。第三状态必须标明，区域外使用只被允许用于连接回区域内资源，并非一般性的跨区域使用许可。若只比较基线与最终更正版，人们会看见规则改变，却看不见 5 月 12 日重发曾遗漏该变化；若只保存 5 月 12 日版本，又会误以为此前意见从未提出。

这张红线还应把文档身份自身作为一个字段。基线邮件没有在现有材料中确立一条正式前身对应关系；5 月 12 日事件的 -001 身份来自后来历史，而邮件表面不显示该编号；5 月 13 日更正版应有自己的子版本身份和父链。将“文档身份”纳入红线，能够提醒审阅者，版本信息不是包在内容外面的无关标签，而是决定内容能否被正确解释的一部分。

更正速度值得肯定，但不等于控制充分

从时间上看，SM 在次日上午提出问题，Onyango 约十六分钟后道歉并重发，反应很快。这个事实应得到公允评价：公开邮件列表允许参与者指出遗漏，作者也没有让问题长期悬置。一个批判性分析如果忽略这种纠错能力，就会把材料读成单向失败，而不是观察制度哪里有效、哪里仍需加强。

然而，快速纠正不能反向证明原始发布控制充分。它依赖某位参与者记得先前修改、及时阅读邮件并愿意指出问题。若这位参与者当天没有上线，或者会议材料在更正前已经打包，遗漏可能停留更久。控制设计应把发现错误从偶然的人类记忆转成发布时的必经检查，例如自动比较高影响字段，并要求作者对每项既有处置逐一确认。

更正还需要传播控制。新全文发出后，档案首页、会议包、引用链接和参与者保存的副本是否都指向更正版，现有材料没有完整回答。一个理想系统应保留旧版但显著标注“已被更正”，在所有入口指向子版本，同时让旧链接继续可取，以便审计。删除旧版会抹去发生过的错误，只覆盖旧版则会让哈希和引用失去稳定性。

更正记录的语言也应足够精确。它需要说明改动哪一段、恢复哪项先前意见、为什么当前文本与预期不符，以及该更正是否改变提交会议的目标版本。道歉表达责任态度，但不能代替这些机器和人都能读取的结构字段。治理系统需要善意，也需要在善意缺席或记忆失误时仍可运行的控制。

参考编号的三种失败模式

第一种失败是“孤儿编号”：新编号存在，却没有直接父编号与父文本。读者知道它不同，却不知道它从何而来。5 月 12 日的后来编号说法就面临这类局限，因为现有资料没有给出正式直接前身，也没有签署的对应表。用 9 月 28 日文本作比较只能获得有限红线，不能把分析方便误写成正式谱系。

第二种失败是“漂移编号”：同一标签在不同入口指向不同内容或不同状态。现有材料没有证明 AFPUB-2010-v4-001 实际发生了内容覆盖，因此不能断言这里已经出现漂移；但当事件邮件不显示编号、次日全文又更正时，档案至少应明确两个快照各自身份，防止后来汇总时把它们合并成一个无差别对象。哈希是识别漂移最简单的工具。

第三种失败是“权威编号”：组织或后来叙事把文档标签当作程序正当性与实体权限的证明。编号越整齐、存续越久，越容易给人一种它已经穿过全部合法程序的印象。可是在本案中，5 月 12 日后还有会议、最后征求意见和返回讨论，当前档案身份也变成 -005。编号能够标识某一步，不能把各步压缩成一次授权。

这三种失败分别需要不同补救。孤儿编号靠父子对应表解决，漂移编号靠不可变快照与哈希解决，权威编号靠程序状态和权限文书解决。只增加更多编号可能缓解第一眼的混淆，却可能让谱系更长、更难读；只有把每个编号放进可验证关系中，编号数量增加才不会变成新的不透明度。

手工比较为何既可行又脆弱

最强反方意见值得进一步展开。2010 年的参与者拥有邮件列表全文，可以把 9 月、12 月、5 月的帖子存到本地，用文本工具或肉眼比较。开放全文也允许任何人公开质疑。事实上，地理条款在第二天被发现，说明系统不是封闭的，参与者也不是只能接受发布者给出的结论。

但手工比较有四个脆弱点。首先是选择脆弱：若没有正式父稿，比较者可能选择不同基线，产生不同“红线”。其次是格式脆弱：邮件引用、换行、标题和日期差异会产生噪声，真正的参数变化可能埋在长文本中。再次是时间脆弱：更正在数小时后出现，不同参与者可能下载了不同快照。最后是权威脆弱：个人制作的差异可以提示问题，却不能代表发布机构确认了版本关系和问题处置。

因此，“参与者可以自己比较”只能证明最低透明度，不足以证明制度完成了版本控制责任。类似地，公众可以逐条查询公司文件，不代表公司可以不出具一份准确的交易授权表；运营者可以自己抓取路由变化，也不代表协调机构可以不保持记录一致。信息理论上的可获得，与治理上的可复核，是两个门槛。

正式红线也不会消灭参与者的独立判断。相反，它提供一个可挑战的机构主张。第三方可以重新计算哈希和差异，指出官方红线遗漏，然后让更正也进入档案。没有官方红线，所有人都在各自重建；有了官方红线，争论可以围绕一份明确、可证伪的记录展开。

从讨论稿到行动之间必须有权限桥梁

版本谱系只解决“哪份文本”的问题，不能单独解决“谁能据此做什么”。在讨论阶段，编号帮助参与者引用。进入批准阶段，记录必须链接程序结果及其适用规则。进入实施阶段，还要指出实际约束申请者或成员的合同、章程条款及其他有效私人文书。若涉及法院任命的角色，就必须链接法院命令及其事项和期限边界。

这个权限桥梁尤其能防止历史编号被后来办公室借用。一个现任管理者可能说某政策长期存在、档案编号稳定、合作伙伴也承认机构；这些事实即使成立，也仍然没有回答本次具体行动的委托来源、对象和救济。时间积累可以增加惯例证据，却不能把缺少的权限凭空补上。每个不利行动都必须回到交易或行为本身所需的文书。

对私人协调者而言，最强的正当位置并不是模仿国家，而是把有限职能做得可信：保持号码唯一，维护记录准确，减少运行中断，并在合同范围内管理尚未分配池。越能公开版本、限制裁量、说明文书和提供复核，它越不需要用“社区”“托管”或“区域资源”等宽泛词语支撑权威。清楚边界不会削弱协调，反而使依赖它的人知道哪些承诺可以信赖。

地理条款也必须放在这座桥梁上理解。提案可以讨论怎样分配私人协调者尚未分配的池，也可以把某种地域使用条件写入申请安排；但政策文字本身不产生对整个区域网络的主权式管辖，更不产生对已运行资产的持续所有权。适用对象、合同连接和可执行范围都需要单独证明。编号只定位条款，不扩大条款的法源。

档案的读者不只是在场者

2010 年参与邮件讨论的人或许记得哪份稿在何时出现，但档案还服务三类后来读者。第一类是没有参加会议的运营者，需要确定自身规划所依据的历史参数。第二类是研究者和审计者，需要重建程序而不依靠参与者记忆。第三类是后来办公室与司法或合同审查者，需要分清机构当时说了什么、后来如何描述，以及具体权力来自何处。

如果档案只能被当年熟悉语境的人正确解释，它就不是完整的制度记忆。人员会离开，邮件客户端会变化，网页会失效，后来历史页也可能只保留摘要。父子链、哈希、红线和处置表把个人记忆转化为公共可验证记录，使机构不必依赖某位老参与者解释一个旧日期或缺失编号。

当前官方档案页在证据截止时无法直接取回完整页面，而可索引的官方历史仍留下编号叙述。这一检索状态本身不允许我们猜测缺页内容，却进一步说明，不应让任何单一可变页面承担全部谱系。每个版本应有可下载快照和多个稳定入口，历史索引可以导航，但不能成为唯一证据载体。

一个真正面向未来的档案还应允许机器读取，同时保留人类可读解释。机器字段确保哈希、时间、父链和状态可以自动检查；自然语言说明则解释修改理由、争议与不确定性。只有机器字段会把治理压成代码，只有叙述会让复核依赖人工。两者结合，才能让几十年后的读者既能验证，也能理解。

结论必须保留的三个“不知道”

第一，我们不知道 5 月 12 日正式取代的直接前一编号是什么。9 月 28 日文本是有用比较对象，不是已证明的正式父版本。第二，我们不知道为何后来历史采用 -001，又为何当前档案成为 -005；不能据此推断编号标准，更不能宣称某人违反了一个未见规则。第三，我们不知道首份重发为何漏掉百分之十地域例外，不能把遗漏解释成故意或不诚实。

保留这些未知，并不削弱核心判断。恰恰相反，判断之所以稳固，是因为它不依赖动机、隐藏规则或缺失文件。可见记录已经足以证明：新身份由后来历史归于 5 月 12 日；事件邮件没有显示该身份且保留旧日期；关键分配单位发生变化；地理条款次日被纠正；程序随后继续；完整编号链未被现有材料解释。

在这个坚实范围内，制度答案也无需等待更多历史发现。以后每次重发都应自动产生不可变子快照、哈希、父链、差异、处置、状态和权限链接。若将来找到更多中间稿，它们可以作为新节点加入，而不必重写已有证据。好的版本系统能够容纳新证据，坏的版本系统则迫使机构每次发现旧材料都重新讲一遍历史。