摘要

  • APNIC《2026 年第二季度活动报告》称 Honeynet 可用率为 99.17%；目标是让“核心 Honeynet 基础设施”的停机时间低于 5%。
  • 同一段称基础设施和传感器软件升级已经完成，却没有给出统计区间、组件清单或计算方法。

一个百分数，两位小数，没有时钟

99.17% 很适合放进管理层简报：看起来精确，也让人放心。APNIC 执行理事会 9 月会议的纪要于 10 月 19 日通过，附件中的《2026 年第二季度活动报告》列出这个 Honeynet 可用率。报告同时设定目标：核心 Honeynet 基础设施停机少于 5%，并称基础设施及传感器软件升级已完成。

算术并不复杂。若目标和结果使用同一时段、同一分母，停机少于 5% 就相当于可用率高于 95%。99.17% 比这一隐含门槛高 4.17 个百分点；它的算术补数是 0.83%。成绩看上去宽裕，公开的方法却不足以让读者复算。

报告没有写测量的起止日期，也没说数字覆盖整个季度。它没有界定“核心”包括哪些组件，没有列出成功与失败的探测总数，也没定义一次失败。计划维护是否计入停机？这是按分钟、探测次数，还是多个组件的加权值计算？升级只标明已经完成，报告没有给出升级日期，也没有说明部署时段如何进入这项指标。

Honeynet 不是一台机器。APNIC 的安全网页称，该项目汇集全球 400 多个蜜罐的数据，并为 DASH 等工具提供可疑流量信息。核心平台在线、传感器覆盖范围、情报数据是否新鲜、仪表板是否可访问，是相互关联的服务面向，却不是同一个百分数。

“核心”这个词本身就是测量范围的一部分。如果可用率只计算中央服务，读者就不应把它当成全球传感器的在线率；如果把传感器、处理环节和 DASH 都纳入，则应列出组件和故障判定。没有边界，99.17% 既可能是一个窄而清晰的系统指标，也可能让人误以为覆盖了整条情报链。报告目前无法区分这两种读法。

分母也会改变故事。按时间计算，短时完全中断与长时间局部退化的权重不同；按探测次数计算，探测点的布置和频率便决定了结果。若组件加权，权重又意味着某些系统比其他系统更重要。报告没有说明采用哪种办法。这里不需要臆测 APNIC 实际使用了什么，而需要 APNIC 把定义写出来。

更新完成这一行同样值得与可用率分开呈现。升级是项目交付状态，可用率是运行结果；前者不能替代后者的测量方法。报告没有说升级造成中断，也没有说它提升或降低了这项服务的可用性。将两件事并列放在状态栏里，容易使读者自行补上因果关系。注明时间和测量窗口，就能避免这种无谓猜测。

第二季度报告还记载了在 Phoenix Summit、PKCERT Workshop 和 PacNOG 举办的威胁情报交流，以及在这些活动和 CyberQuest Honiara 的演讲。报告说，Honeynet 相关内容推迟到第三季度，因为还需要更多数据才能得出结论。这种克制有道理；但它也使同一报告中的服务可用率显得更需要解释：既然情报结论需要更多数据，读者至少应当知道这个服务指标用什么数据计算。

这不是故障证据。该状态栏没有报告传感器失灵、数据丢失或会员受损。99.17% 是 APNIC 报告的数字，却没有告诉读者哪些传感器可达，也没有说明信息进入 DASH 的延迟。一个指标承担不了所有这些问题。

给指标补上边界

APNIC 下一份报告只需增加一段简短方法说明，就能让这个数字有用得多：准确的起止日期；哪些系统属于“核心”；探测频率和失败阈值；成功与总探测数或可用与总分钟数；计划维护的处理方式；以及按时间还是按组件加权。另列 Honeynet 数据新鲜度和传感器覆盖率，便能避免把基础设施在线误当成情报质量。

这不是行政装饰。安全团队要判断是否依赖一条情报流时，面板安静可能是没有相关活动、数据过旧，也可能是服务中断。第二季度的 99.17% 即使完全准确，也没有回答这项判断所需的问题。

而且，安全情报的价值取决于它能否及时到达、能否解释来源，以及是否能让接收方判断信号的适用范围。可用率当然重要：一个经常不可达的入口没有多少用处。但它只是服务链上的一个环节。把可用率、数据新鲜度和传感器覆盖率分列，能让 APNIC 和使用者更快找到真正需要处理的环节，而不必争论一个综合分数到底代表什么。

来源