摘要

  • 注册局沙盒应仅接纳通过模拟无法安全回答的明确命题。接纳并非批准、认证或永久状态的预测。申请人必须明确声称的持有者利益、被检验的规则或技术假设、受影响的资源集、最大风险敞口、需收集的证据以及确切的停止条件。
  • 唯一性必须保持在实验之外。每个参与的前缀和自治系统号应有一个当前持有者记录、一个当前注册服务提供商指针和一个有序历史。沙盒可以测试谁提供服务或持有者如何行使权利；但不得允许同一资源存在相互冲突的权威记录。
  • 范围必须在四个维度上设限：持有者数量、资源的数量与类型、暴露的功能以及持续时间。IPv4、IPv6 和自治系统号产生不同后果，因此单一总量上限是不够的。稀缺的可转移 IPv4 空间需要特别保守的限制和增强的冲突检查。
  • 可逆性是一种工程能力，而非应急文件中的一句话。在第一位实时参与者进入前，试验必须展示导出、独立验证、恢复到合格提供商、历史保存、RDAP 和 RPKI 服务的连续性，以及不需要失败参与方合作即可进行的通信。
  • 路由安全必须与注册服务选择分离。提供商变更不得暗中创建、撤销或重新解释路由起源授权（ROA）。RPKI 密钥保管、证书颁发、发布和依赖方观测需要各自的限制、双人控制、演练和应急恢复。
  • 公共指标应涵盖正确性、及时性、退出、投诉、安全、可移植性、成本和不平等影响。评估者应公布失败与成功，解释被排除的观察，并为参与者提供直接的纠正和赔偿途径。没有持有者利益的商业创新不是成功。
  • 沙盒应减少现有特权，而非创建新的自由裁量门槛。准入标准、费用、技术接口、证据要求和毕业标准必须平等适用于现有服务和新提供商。成功的试验支持更广泛授权的决策；它不授予地域专营权或对共享协调的永久控制。

沙盒是有限许可，而非仪式性认可

术语沙盒已变得危险地弹性。它可以描述监管机构监督的实时试验、隔离的技术环境、营销计划或与官员的非正式对话。注册局治理需要最狭义的含义：在限制条件下，允许对真实且同意的持有者进行特定活动的时限许可，而这些限制通常不适用于普通完全合格的提供商。

金融行为监管局（FCA）当前的沙盒描述很有用，因为它说明了交易双方的条件。企业可以在受控环境中测试实时方案，通常规模小、期限短、消费者数量有限。参与并不能免除适当授权的需要，FCA 的资格标准涉及真正的创新、利益、准备、保障和补救。教训不是金融监管可以复制到互联网协调中，而是当许可的范围和限制可见时，许可才变得可信。

NRS 应说明由合格机构进行的沙盒接纳不意味着什么。它不是证明进入者在区域范围内安全。它不认定其法律理论正确。它不允许使用协会名称作为商业保证。它不是毕业的承诺。它不是对保护持有者身份、安全或唯一性的义务的豁免。

这种清晰度保护了双方。进入者获得公平的机会来提供证据，而不必假装拥有成熟的权威。持有者可以参与，而不被告知机构批准消除了风险。公众可以区分受控调查和悄悄的权力转移。

实时试验的理由始于模拟结束之处

并非每个提案都需要沙盒。新的用户界面、报告格式或监控工具通常可以通过合成记录和公开数据来判断。只有当争议事实依赖于真实机构行为时，才有理由进行实时暴露：持有者能否无中断地切换提供商？不熟悉的认证方法能否抵御组织复杂性？接收方能否在负载下保持准确的 RDAP 服务？独立审查员能否在承诺期限内解决实际异议？

这种必要性要求防止沙盒成为普通产品开发的声望渠道。它也保护持有者免受不产生独特知识的风险。申请人应以可证伪的术语解释命题。“我们将现代化注册局治理”是不可测试的。“接收提供商可以在两个工作日内为有界资源集完成持有者保留的服务转移，且无冲突当前状态，所有异议均在已公布的理由下解决”是可测试的。

沙盒当局应进一步提问：证据将支持什么决策？如果没有授权规则、互操作性要求、补救措施、服务标准或公共选择可能改变，那么试验可能是表演。证据之所以重要，是因为它可以改变既定决策。

因此，实时试验是最后的证据步骤，而非第一步。进入者应已通过一致性检查、对抗性安全审查、恢复演练、员工审查和非实时性能演练。沙盒的存在是为了在有限条件下暴露剩余的人类和机构不确定性。它绝不应被用于发现基本服务能否启动。

受保护核心是一个权威资源状态

IANA 将其数字资源角色描述为 IP 地址和自治系统号的全球协调，未分配资源池根据全球政策供应给区域互联网注册局（RIR）。这种层级历史创建了依赖关系，即使未来的模式 NRS 倡导的引入注册服务选择。沙盒不得将权威状态视为游乐场。

对于每个参与资源，受保护核心应包含一个验证的持有者、一个资源范围、一个当前服务提供商、一个状态、一个有序的授权更改记录和一个适用约束的引用。竞争提供商可能持有为参与者服务所需的副本，但没有任何一个可以在其权威结束后呈现替代的当前答案。每个接受的更改应针对已知先前版本序列化，以便同时指令不会产生两个有效结果。

这一规则将多元服务与多元真相分开。进入者可以测试客户支持、验证、转移准备、证据保留、RDAP 发布或委托安全管理，而无需创建另一个分配宇宙。共享协调功能仅接受试验工具允许的更改，并拒绝基于过时状态的指令。

受保护核心必须在技术和机构上独立于进入者。如果实验提供商可以重写权威历史、压制竞争指令或阻止恢复，那么沙盒已经委托了它本应包含的权力。共同权威应暴露窄接口、不可变收据和独立观察。创新可以围绕核心改变服务；任何改变核心本身的提案都需要单独且要求更高的审查。

四个维度定义爆炸半径

可信的限制不能表示为“小型试点”。在一个维度上小可能在另一个维度上巨大。NRS 应倡导至少在四个维度上设立独立上限：参与持有者、资源数量和类型、暴露的功能以及经过的时间。

持有者上限防止单个进入者在能力被知晓前积累政治意义上的大量支持者。它还应防止相关组织的集中。由单一企业集团控制的十个名义参与者不提供十个独立观察。

资源上限应区分 IPv4、IPv6 和自治系统号。注册记录计数隐藏了后果。一个 IPv4 持有量可能具有高稀缺价值和广泛的转移历史；一个 IPv6 分配可能覆盖巨大的数字范围但具有不同的市场特征；一个自治系统号可能对网络的选路身份至关重要。因此，上限应使用资源特定措施，并包括最大运营依赖。

功能上限定义进入者可以做什么。提供商可移植性试验不需要包括新分配、持有者变更、RPKI 证书颁发机构操作或政策裁决。限制功能通常比减少参与者数量更具保护性。

时间上限防止临时裁断硬化成事实。试验应有开始、正常结束、审查点和绝对最终期限。延期需要新的理由和参与者同意。因为无人想做最终决定而持续的沙盒已成为未承认的永久体制。

资源选择不得隐藏困难案例

选择创造证据，有偏见的选择创造奉承的证据。只选择友好、技术成熟的持有者并搭配简单组合的进入者可能展示理想条件下的能力，却很少揭示普通服务。只接受低后果资源的试验可能证明安全性，但不能证明向有意义用途的可转移性。

解决方案是分层，而非立即暴露于最危险的案例。NRS 应为负责任机构在招募前提出类别：单一资源和多资源持有者；小型和大型组织；活跃使用 RPKI 和未使用的持有者；相关情况下的提供商独立和委托安排；跨司法管辖区运营的组织；以及具有简单或争议历史记录的资源。早期阶段可以排除争议案例，而后期阶段在基本控制有效后接纳小规模、单独上限的样本。

IPv4 稀缺性需要特殊纪律。由于地址可能具有实质性转移价值，提供商试验可能被利用来通过看似服务切换的方式洗白有争议的控制变更。沙盒应禁止持有者变更，除非这是单独试验的明确主题。它应在每次服务移动前后比较持有者身份和授权，并对最近转移的空间施加增强审查。

选择规则应在申请开放前公布。否则，管理员可以通过简单案例保护偏爱的进入者，或通过异常案例负担不偏爱的进入者。公平比较需要稳定的案例组合、透明的排除以及识别样本代表性的报告。

同意必须知情、可撤销且在组织上是真实的

注册局参与者通常是公司、公共机构、大学、网络和协会，而非个人消费者。来自联系地址的复选框不证明知情的组织同意。沙盒必须验证注册资源的人是否有权将其暴露于试验，以及技术、法律和执行联系人理解后果。

同意应指明正在测试的功能、已知风险、数据使用、投诉途径、预期期限、退出权利、恢复提供商、可能的服务限制和补偿条款。应明确说明接纳不是保证。当持有者依赖客户或公共服务时，持有者应在加入前识别内部依赖关系。

撤销同样重要。参与者应能离开而无需证明进入者失败。退出可能安排以避免不安全的中断变更，但不得依赖实验提供商的商业批准。恢复途径应由持有者或独立当局根据已公布条件触发。

同意不能放弃唯一性、公共安全或第三方权利。持有者可以接受有限的服务风险；但不能授权影响路由运营商或依赖方的冲突注册声明。小型参与者也不应被要求放弃疏忽、保密或诉诸外部法院作为创新的代价。

最后，同意记录必须能在提供商失败后幸存。如果证明仅存在于进入者的系统内，提供商可以决定在争议后谁的授权可见。独立保管人应保留签名的注册、范围、修正案和退出指令。

影子操作应优先于每一次权威变更

最安全的第一个实时阶段是观察而非控制。进入者可以接收参与者批准的当前记录副本，计算提议的决策，在真实时间下回答模拟请求，并在非权威端点上产生 RDAP 响应。现有机构或共同协调员继续提供官方答案。差异被测量而非暴露给互联网。

影子操作揭示的比实验室练习更多，因为它遇到真实的组合复杂性、联系缺口、历史异常和定时峰值。但它不会让错误决策改变权利或公共服务。进入者应被要求解释与权威结果的每一个差异。一些差异可能显示进入者错误；其他可能揭示现有机构不一致或不明确的共同规则。

从影子模式的毕业应取决于至少一个观察期和定义事件类型的表现，而非仅仅经过的天数。如果没有服务转移、异议或联系变更发生，一个安静的月份几乎不能证明什么。当局可以在真实流量旁注入签名、明确标记的练习来评估罕见事件，而不会与实际指令混淆。

影子成功并不立即证明全面权柄。下一阶段可以在共同层保留预批准的同时，允许狭窄类别的低后果实时变更。之后，进入者可以获得指定行为的有限自由裁量权。每一步应一次增加一项权力。当多项权力同时添加时，证据无法显示哪个变更导致了失败。

准入应测试准备、利益和需求

FCA 公布的资格标准提供了有用的纪律：范围、真正的创新、消费者利益、准备和支持需求。NRS 可以将这些想法转化为倡导要求，而无需将网络运营商视为零售金融消费者。

范围询问提案是否涉及数字注册服务，且是否属于协会可以合法限制的权限。真正的创新询问它是否改变了成本、接入、问责制、可移植性、安全或证据，而非仅仅应用新品牌。持有者利益询问谁获益以及哪种可衡量的负担下降。准备要求运行中的服务、合格员工、独立安全调查结果、足够资金、恢复能力和参与合作伙伴。需求询问为什么非实时证据无法回答该问题。

一个额外的注册局标准是协调兼容性。进入者必须保持一个当前资源状态、标准交换格式、标识符完整性和全球可理解的公共服务。一个商业有吸引力但创建不兼容权威岛屿的服务尚未准备好用于实时数字资源。

另一个标准是补救能力。申请人必须能够更正记录、资助恢复、在适当情况下补偿直接损失并服从独立命令。没有补救的创新将实验成本转移给持有者。

这些标准应根据已公布的证据进行评分。接受和拒绝的理由应在删除保密细节后发布。上诉应能到达独立审查员，后者可以纠正标准应用的不一致，但不能放弃受保护核心。

某些活动应保持在任何早期沙盒之外

沙盒并非仅仅因为每个活动都发生在其中而安全。某些权力造成的后果过于广泛或不可逆，不适合早期试验。NRS 应倡导一个禁止列表，并解释某项活动日后如何可能成为合格。

在初始提供商可移植性试验期间，任何进入者不得分配先前未分配的数字资源。分配改变了全球稀缺账户，并可创建持久的依赖。进入者也不得决定有争议的持有者转移、承认新颖的市场所有权、更改现有的法院限制或创建供通用 RPKI 使用的竞争信任锚。

试验不得允许追溯性历史编辑。更正可以附加理由和权限追加，但先前记录应保持可理解。不得允许删除持有者、审查员或法院需要的证据。不得授权非同意持有者的大规模迁移或通过会员条款自动注册。

决策制定权限也必须保持在外部。进入者可以应用已公布规则并报告歧义。但不能使用客户合同创建约束路由运营商或其他提供商的策略。沙盒当局本身也不应通过保密附函重写共同义务。

这些排除并非宣称这些活动永不改变。它们认识到当错误可以被遏制时，实验最合法。影响分配、承认或全球信任的提案需要更广泛的授权、更深入的演练和与其范围相称的过渡设计。

可逆性必须在第一位参与者进入前演示

机构通常称变更是可逆的，因为合同说记录将被返还。那不是可逆性。安全的沙盒需要一个工作恢复能力，在实时权威开始前针对进入者的实际服务进行演示。

演示应导出每个参与资源记录、持有者权限记录、联系角色、服务状态、限制、待处理指令、历史收据、投诉、RDAP 元素和相关 RPKI 引用。独立验证者应将导出与共同权威进行比较，并确认合格恢复提供商可以在无需手动重建的情况下摄取。

恢复应保留顺序。如果指令在截止前被接受但未完成，后继者必须知道是完成、取消还是寻求新权限。重复执行与丢失执行同等危险。因此每个事件需要唯一标识符、先前版本、状态和签名收据。

试验然后应演练三种条件：合作退出、突然的进入者不可用和怀疑的入侵。合作退出测试普通可移植性。不可用测试托管和替代访问。入侵测试当局能否冻结新变更、保存证据、替换凭证并恢复到已知良好状态，而不信任可能受损的提供商。

回滚不应意味着擦除试验期间执行的每个行为。持有者授权的有效变更可能需要存活，即使提供商不存。可逆性恢复服务和权限到安全安排，同时保存真实历史。它不重写过去以使实验看起来从未发生。

一个当前提供商指针使服务竞争可理解

NRS 倡导的可移植性模型依赖于一个简单的公共事实：哪个合格提供商当前负责资源的注册服务？共同权威应维护一个当前指针和经过签名的变更历史。提供商可以竞争持有者，而无需每个声称有权单独定义当前状态。

在沙盒转移期间，指针应经过明确阶段：请求、独立验证、计划、激活或拒绝。公众消费者无需看到保密细节，但参与提供商和持有者应收到一致的收据。旧提供商更改当前状态的权威在激活时终止，除非在狭窄定义的紧急挑战中。

指针不是所有权。它标识当前被允许提交有界变更的服务机构。持有者仍然是持有者。选路仍然是运营商决策。法院仍然可以决定权利。共同权威仍然负责防止两个同时的服务声明。

这一区别在失败后很重要。如果进入者消失，共同协调员可以将服务责任重定向到预设的恢复提供商，而不假装持有者已变更。如果指针与所有权融合，恢复将需要为每个参与者进行新的所有权确定。

公共文档还应标识哪些跟随提供商，哪些跟随资源。服务费、支持安排和可选工具可能跟随提供商。持有者身份、资源历史、法院限制和共同义务跟随资源。沙盒应检测进入者将可移植公共事实转化为专有锁定的任何尝试。

RDAP 既是服务也是问责面

注册数据访问协议（RDAP）服务以标准化方式使公共和授权注册信息可发现。在沙盒中，RDAP 不仅仅是技术端点。它是外部用户可以观察到提供商选择是否保留一致答案的地方。

进入者应首先服务非权威影子响应，并与当前公共结果进行比较。差异应分类：过期更新、字段解释、编辑规则、引用失败、可用性失败或底层记录冲突。只有在可接受性能后，有界资源集才会发生实时委托变更。

IANA 的 RDAP 材料展示了指导查询到正确服务的引导信息的重要性。公认的注册局框架需要实验提供商的等效引用清晰度，正如 NRS 可以倡导的那样。用户不应需要知道资源在沙盒中。共同引导答案应正确指导查询，试验结束应移除或替换该方向，而不会因过期缓存造成长期歧义。

隐私和问责必须一起测试。进入者不应仅仅为了证明开放性而发布个人联系信息，也不应通过广泛的隐私声明隐藏组织权限。每个字段需要声明目的、受众和更正途径。速率限制应保护服务而不使独立观察不可能。

公共指标应包括可用性、响应有效性、更新延迟、引用准确性、投诉更正时间以及与权威持有者状态的一致性。如果网络、研究人员或受影响组织无法获得可靠答案，漂亮界面无关紧要。

RPKI 需要单独的权限边界

资源公钥基础设施（RPKI）遵循数字资源分配层次结构。RFC 6480 解释资源证书证明持有量，路由起源授权（ROA）表达哪个自治系统被授权为指定前缀发起路由。这使得 RPKI 与提供商选择高度相关，且后果过于重大，不能视为附带功能。

注册服务转移不应自动创建、撤销或更改 ROA。提供商指针、资源证书状态、密钥保管和路由授权是分开的。持有者可以选择转移注册服务而保留现有 RPKI 安排，或稍后根据单独指令移动安全服务。

如果允许进入者管理有限群组的 RPKI，沙盒需要额外的上限和控制。密钥生成和保管必须定义。不应仅为方便而复制私钥。证书和清单同步必须监控。发布应遵循如 RFC 8181 等标准，该标准将发布引擎与存储库分离，定义发布和撤销消息。

试验应观测依赖方后果，而不仅仅是命令接受成功。技术上有效的变更仍可能导致一段时间内路由无效或从验证视图消失。测量应来自多个独立验证器和网络视点。

应急恢复必须用预先创建的权限排练，而非妥协后即兴。计划应区分恢复注册服务、恢复 RPKI 发布以及更改信任关系。将三者视为一个开关会创建不必要的爆炸半径。

选路自治保持在提供商试验之外

注册证据和选路行为相关但不相同。前缀可以准确注册但不宣告。路由可以在没有有效 ROA 的情况下宣告。有效 ROA 不强迫任何网络接受路由。沙盒必须在权限和报告中都保留这些区别。

实验提供商无权代表参与者发起路由，除非提供商根据普通商业安排单独作为网络运营商参与。即使如此，选路关系也不是注册权限的一部分。注册服务合同不得暗示允许更改 BGP 公告。

因此，成功指标应避免声称普通可达性证明注册正确性。可达性可能持续，因为选路容忍过期或冲突信息。相反，可达性问题可能源于参与者的网络变更，而非进入者的注册服务。评估者应在保持因果不确定性的同时关联事件。

如果包含 RPKI，相关结果是持有者的预期授权是否准确且持续地对依赖方可用。路由观测可以识别后果，但它们不取代检查证书、清单、存储库和签名对象。

这种分离限制了政治越权。负责评估注册提供商的沙盒当局不应获得对选路的普遍权力。互联网的分布式运营决策保持在临时机构许可之外。

转移试验需要狭窄异议和严格时钟

提供商可移植性可能是模式 NRS 倡导下最有价值的早期实验。它直接测试唯一性能否与客户选择共存。它也为现有机构制造拖延的明显动机，为接收者制造接受弱权限证据的动机。

转移工具应标识持有者、资源、当前提供商、接收提供商、预期激活和未变更事实。应通过绑定到该确切行为和当前记录版本的凭证授权。接收提供商可以主导请求，而现有机构收到通知和有界异议机会。

异议理由应穷尽：已知的权限缺陷、适用的法院限制、冲突的持有者变更指令、影响请求的当前安全事件或其他特别定义条件。与服务期无关的商业债务、对现有机构的批评、公共标准未要求的缺失文件或对进入者的一般不适不应阻止退出。

每个阶段需要时钟。确认、证据响应、异议、独立审查、激活和最终收据应有各自截止日期。沉默不应创建无限否决。现有机构错过截止日期可在无高风险指标时导致批准；进入者错过截止日期可取消请求而不影响新申请。

沙盒应公布聚合时序和每个延期类别。平均完成时间可能隐藏少数持有者被困数周。分布、最大延迟和未解决案例比完美均值更重要。

独立观察防止自我认证的成功

进入者不应给自己的试验打分，NRS 也不应是任何沙盒或 NRS 品牌服务的法官。观察者需要技术能力、对相关证据的访问、独立于提供商以及发布令人不安调查结果的权限。

独立性是结构性的。评估者应披露资金、先前工作、财务利益以及与现有机构、进入者和共同协调员的关系。其任命不得仅因初步结果不利而被撤销。参与者应能质疑事实错误而不压制结论。

观察应持续进行。从提供商选择的记录重建的最终报告将错过短暂中断、放弃的请求和非正式干预。评估者应在事件发生时接收签名的事件收据、可用性测量、投诉记录、安全警报和版本变更。敏感材料可以保护，而聚合调查结果和决定性事实保持公开。

可能需要多个观察者。技术监控员可以评估状态一致性和 RDAP 行为。安全评估员可以审查密钥保管和事件处理。治理审查员可以检查理由、补救和不平等待遇。持有者小组可以报告正式权利在实践中是否可用。

没有观察者应仅因测量性能而拥有运营权限。将测量与控制分开使调查结果更可信，并避免创建另一个隐藏协调员。

公共指标必须展示利益，而非活动

沙盒公关通常计算申请、会议和接受公司。这些数字描述管理量，而非持有者是否得到更好服务。NRS 应在接纳前倡导结果指标，并要求负责机构保留失败观察。

正确性指标包括冲突当前状态、未授权变更、过期公共答案、不完整历史和恢复差异。及时性指标包括请求确认、普通变更完成、异议解决、RDAP 更新和事件通知。退出指标包括成功自愿离开、进入者失败后恢复时间以及转移证据的完整性。

安全指标应涵盖凭证入侵、特权滥用、密钥事件、完整性检查失败、RPKI 有效性影响和遏制时间。持有者指标应包括投诉率、更正时间、自付损失、支持可及性以及小型组织是否经历更差结果。竞争指标应包括总切换成本、技术集成负担和对专有工具的依赖。

报告应包括分母。“无成功攻击”在仅发生少量低风险事件时说明不了什么。“所有转移完成”可能掩盖困难申请被排除。结果应识别队列组成、资源类型、所用功能、观察期和缺失证据。

成功标准必须包括不可行阈值。一个冲突分配声明可能比数百个快速支持响应更重要。当局应声明哪些事件自动暂停新接纳、冻结功能或终止试验。不能改变决策的指标是装饰性的。

停止条件应在延迟造成危险时自动触发

某些失败允许调查继续进行。其他需要立即遏制。沙盒工具应事先区分它们，以便商业或政治压力不能在事件后重新定义严重性。

自动停止条件应包括冲突的当前持有者或提供商状态；未授权资源或持有者变更；丧失恢复完整记录的能力；可影响实时 RPKI 对象的密钥入侵；关键证据的隐藏或销毁；重复不服从独立更正命令；无资金连续性的破产；以及服务退化超出既定临界阈值。

停止不一定要终止每个功能。如果 RDAP 发布失败而权威状态保持完整，新变更可以暂停，同时公共服务移动到替代端点。如果 RPKI 管理受损，该功能可以隔离而不强迫持有者更改注册服务提供商。模块化遏制奖励早期设计的权限边界。

进入者应收到及时理由和挑战事实错误的途径，但上诉不应自动暂停紧急保护。独立审查员可以在证据支持时授权在更窄条件下继续。

重新启动需要比承诺更多东西。必须识别原因，受影响状态调和对账，持有者知情，恢复重新测试，评估者满意控制已更改。重复重启不应成为常态化慢性弱点的方式。

救济将参与者从主体转变为权利持有者

当纠正和补偿真实时，人们更理性地接受实验风险。沙盒应建立直接投诉途径，不要求参与者说服进入者投诉自己。

第一个补救是快速纠正。独立官员应能冻结争议变更、恢复最后验证的服务指针、更正不准确公共记录或命令释放证据。持有者必须收到理由和变更的签名说明。

财务救济应覆盖因违反沙盒义务导致的直接、可预见损失。预资助工具或保险安排优于来自失败请求创建索赔的进入者的无担保承诺。自愿参与的上限可以合理，但不应包括欺诈、故意隐藏或未授权使用资源。

第三方也需要在有限情况下的地位。被错误显示为持有者的网络、受不准确滥用联系影响的组织或因未授权指令而流离的提供商应能寻求更正。他们不需要接收保密参与者材料即可建立公共记录错误。

外部法院仍然可用。沙盒可以定义快速专家救济而不要求参与者放弃法律权利。当内部救济补充而非取代独立法律时，机构合法性增长。

保密不得变成关于公共权力的秘密

进入者在保护安全细节、客户信息和专有方法方面有合法利益。持有者有隐私和商业利益。然而，对共享数字资源行使权威的试验不能完全通过保密交换来评判。

公众应知道进入者、允许功能、队列大小、资源类别、持续时间、条件、评估者、关键指标、影响权威完整性的事件、停止决策、毕业或拒绝的理由以及任何利益冲突。个人联系细节、凭证、会促成攻击的安全调查结果和真正专有的实施细节可以保持保护。

理由应足够具体以允许比较。“运营考虑”不是扩展或终止试验的充分解释。当局可以描述相关标准和事实类别，而不暴露漏洞。

参与者应知道谁可以访问其信息以及出于何种目的。为安全评估提供的证据不应悄悄成为现有机构的商业情报。数据保留应有界，而证明权限、决策和更正所需的记录在适用法律期限内保持可用。

推定应为对权力行使的透明度和对个人或可利用细节的克制。反转该推定产生保护机构免受审查而非保护持有者免受伤害的沙盒。

现有机构和进入者必须面对相同证据标准

如果只有新进入者被要求暴露性能，而现有机构在没有可比测量的情况下保留权威，沙盒可能强化垄断。NRS 应倡导试验创建最终适用于每个合格提供商的证据标准。

进入者可能正当地面对更紧的上限，因为其能力较不成熟。但正确性、可移植性、安全、理由说明和救济义务不应在毕业后消失。提供实质新服务的现有机构应进入相同沙盒。熟悉的企业名称不会使未经测试的权威安全。

技术接入也必须是中立的。通用接口、一致性工具、文档和费用表应在平等条件下可用。如果现有机构控制通过所需的集成知识，它可以将技术协调转化为排斥。

当局应公布参与成本并识别哪些要求保护持有者。过度的定制报告、会议或法律费用可以排除较小但有能力的提供商而不提高安全性。标准证据和自动化一致性检查可以降低进入成本同时保持严谨。

中立性也限制有利毕业。提供商不应因为首先完成试点而获得永久区域专营权。成功证据支持根据共同规则为愿意的持有者服务的授权。其他提供商应能通过相同途径获得资格。

会员输入不能替代受影响持有者的权威

NRS 可能基于会员制，但会员投票不会自动授权对特定持有者资源的风险。会员资格和参与回答不同问题。NRS 成员可以批准 NRS 倡导任务，但只有合格机构可以批准沙盒任务、预算、监督设计和公共标准。每个受影响持有者必须单独授权注册。

会员机构应接收定期聚合结果，并有权修订未来试验规则。它不应干预个体决策以偏袒支持者。裁决需要独立于选举压力和提供商集团。

代表性应根据实际暴露进行测试。大型提供商、小型网络、公共机构、民间社会用户和技术专家可能经历不同风险。由有能力出席会议人员组成的组织主导的咨询可能忽视错误转移对其生存至关重要的持有者。

冲突规则至关重要。寻求进入的提供商不应投票支持自己的接纳或毕业。现有机构不应决定竞争对手的提案是否必要。评估者和上诉成员应披露财务和专业关系。

会员问责在成员可以检查聚合证据、因不当行为罢免管理者以及前瞻性修改标准，同时个体权利受保护免受多数便利时最强。沙盒应展示负责机构可以结合集体监督与有界权限；NRS 可以在不获取该权威的情况下监控，而非使用参与言论模糊主体。

法律权威和责任必须在实验前解决

技术设计不能回答谁可以授权实时试验、哪些合同约束提供商、法院命令如何被承认或谁承担损失。这些问题必须在参与者进入前在相关司法管辖区解决。

沙盒工具应命名授权机构、法律基础、进入者义务、参与者权利、适用法律、争议论坛、证据规则、保密限制、财务安全和终止权力。应解释共同协调员如何在进入者破产或法院指定管理员时行动。

跨境参与需要特别关注。持有者可能在一个国家注册，在多个其他国家运营网络，从其他地方提供商接收服务，并持有历史上通过区域机构注册的资源。沙盒不应声称一份合同消除强制性法律或合格法院的权限。

法院命令应验证并严格应用。限制转移一个资源的命令不应冻结整个队列。冲突命令需要明确的升级路径，而非由进入者私下选择。应急连续性权限应保留服务，而不决定有争议所有权，除非合格机构另有指示。

责任应跟随控制。进入者对其授权范围内的未授权行为负责；共同协调员对其本应拒绝的无效状态变更负责；评估者对其角色内的专业不当行为负责。分散的责任不是韧性。它是一种确保每个机构可以指责另一个的设计。

分阶段阶梯比一次大启动产生更强证据

试验应通过明确阶段推进。第零阶段涵盖一致性、安全审查和恢复演练，无需实时参与者状态。第一阶段使用影子观察。第二阶段允许低后果实时变更，需共同权威预批准。第三阶段允许在持续观察下的有界普通提供商行动。第四阶段在证明必要后，为单独上限队列添加一个高后果功能。

每个阶段有进入证据、最小事件覆盖、成功指标、停止条件和结束决策。时间单独不打开下一阶段。在一个功能上的成功也不授权另一个。快速 RDAP 更新不证明安全的 RPKI 密钥管理；准确联系变更不证明公平转移裁决。

阶梯应允许后退。提供商在重大缺陷后可以返回影子模式而不失去每个未来机会。这创造了披露弱点的激励，而非隐藏以避免驱逐。然而，故意隐藏应触发比诚实报告错误更严重的后果。

多个进入者可以参与，如果共同权威可以包含和比较他们。并行队列可能揭示要求是否真正可互操作或定制于一个实施。所有队列的总暴露必须保持上限；十个单独的小实验可以创造一个大的系统性风险。

最后，当局在以下选项中选择：定义功能的毕业、带新问题的扩展、返回早期阶段、终止或修订共同标准。可用决策绝不应减少为批准与失败。

毕业是授权，而非宪法和解

成功的沙盒表明提供商在指定条件下对指定队列执行了指定功能。它不证明普遍安全，不为无关权力建立政治合法性，也不创造永久领土权利。

毕业应精确识别提供商可以提供的功能、容量限制（如有）、持续审计义务、财务要求、互操作性义务、更新期限和暂停理由。扩展可以随着证据积累而进行。权限应保持可分割，以便一个可选服务的失败不一定结束每个注册关系。

毕业决策应解释不利调查结果以及为什么剩余风险可接受。压制小失败将剥夺后续提供商和持有者的有用知识。成熟机构可以在承认限制的同时授权服务。

定期更新防止早期成功变成永恒推定。更新不需要重建沙盒，但应审查当前能力、事件、可移植性、财务韧性、投诉和重大技术变更。彻底改变密钥保管、所有权或关键供应商的提供商可能需要聚焦的新试验。

最重要地，毕业必须保留退出。如果成功进入者成为持有者无法离开的另一机构，则创新已改变了看门人的身份而非权力结构。

三个示例试验展示遏制如何因功能而异

首先考虑提供商可移植性试验。二十个同意组织在一组有界的不复杂 IPv6 和自治系统号记录在两个合格提供商之间移动。持有者身份不变。新分配和 RPKI 管理被排除。指标是完成时间、异议有效性、公共答案一致性、证据可移植性和成功自愿返回。关键停止是任何冲突的当前提供商状态。

第二，考虑RDAP 服务试验。进入者在扩展影子期后为定义资源队列服务响应。共同引导方向仅对该队列更改，替代端点预设。指标包括可用性、一致性、更新延迟、隐私处理、引用准确性和更正。权威持有者状态保留在共同协调员处，限制端点失败的后果。

第三，考虑委托 RPKI 管理试验。非常小的熟练持有者队列选择进入者管理指定证书和 ROA。注册服务权限不移动。密钥安排、对象更改和发布被单独观察。依赖方视图从多个位置测量。试验在实时权威开始前排练立即返回到已知合格服务。

这些示例不应一开始就组合。它们的风险、证据和恢复方法不同。模块化让 NRS 和受影响成员从公共证据中学习哪些服务层可以支持竞争，而不假装一个成功接口验证整个注册局机构。

失败仍可产生公共价值

提前结束的试验不一定浪费。它可能显示假设接口模糊、救济太慢、密钥安排过于集中或持有者认证规则排除合法组织。这些发现可以改进共同标准并防止更大失败。

公共价值取决于诚实报告。最终报告应区分进入者弱点、共同权威弱点、不清晰规则、参与者错误和外部事件。将每个缺陷归咎于新人保护现有机构；将每个缺陷归咎于共同框架原谅差劲执行。

参与者应收到个体结案：当前提供商、当前持有者、资源集、未解决事项、恢复凭证、投诉途径和保留期限。公众应收到聚合结果和经验教训，而不暴露私人安全细节。

当局也应审查自身行为。是否一致回答问题？非正式例外是否偏袒某些参与者？监控是否识别事件？停止权限是否工作？恢复是否依赖于未来进入者不可用的个人关系？机构学习必须包括授予许可的机构。

能够承认失败而不将其转化为耻辱的沙盒更可能获得及时披露。标准应是保护和证据，而非通过压制困难事件制造的完美记录。

更深层目的是使权威可争议而不使真理多元

注册局垄断通常通过援引唯一性来辩护。辩护包含有效技术前提和无效机构跳跃。互联网数字资源需要连贯的权威记录。但并不意味着每个面向客户的服务、验证功能、公共端点、安全服务和救济必须保留在一个永久机构手中。

设计良好的沙盒测试在保护核心保持单一的同时，何处可以引入服务竞争。它使进入成为可能，而不要求整个互联网立即信任新提供商。它使现有机构对证据而非历史地位负责。它让持有者行使选择，而不将地址和自治系统号变成冲突主张。

设计要求高，因为弱沙盒社会化风险并私有化赞誉。NRS 必须倡导这些保障；授权沙盒操作者必须限制暴露、验证同意、隔离功能、持续观察、资助恢复、公布指标并保存外部法律。回滚必须演示。RPKI 必须有自己的权限边界。毕业必须保持有限和可更新。

如果这些条件满足，实验就成为宪法纪律。协会可以从真实服务中学习，同时拒绝用唯一性赌博。它可以接纳竞争对手而不制造竞争真相。它可以展示对机构谨慎的最强回答不是永久排斥，而是受控、可逆且公开判断的证据。

证据和进一步阅读