摘要

  • draft-ietf-ivy-passive-network-inventory-01 为光缆、子缆段、两端连接、被动设备、端口、标签和位置提供共同的 YANG 表达方式。草案同时承认，这类资产往往没有管理接口，而信息如何得来不在其范围内。
  • 因此，一条格式正确的记录只能证明管理系统持有一项结构化主张，不能单独证明实物存在、接续关系正确或资源可供使用。影响越大的决定，越需要在记录旁保存观察与保管凭证。

网络里不会回答的那一半

网络管理习惯于询问有源设备。路由器报告接口，光模块发送告警，控制器能够比较期望状态与运行状态。真正承载信号的物理路径却包含大量沉默对象：管道、机柜、配线架、连接器、分光器、天线、光缆、单根纤芯和接续点。它们对连续性至关重要，却没有自己的管理会话。

IVY 工作组的新草案试图让这一层进入统一库存。2026 年 9 月 9 日，00 版获准成为工作组文件；一天后，01 版发布。文件标明拟走 Standards Track，但现在仍是 Internet-Draft，不是 RFC，更不代表已有任何部署。

这项工作很有价值。共同词汇可以减少规划、GIS、现场维护、业务保障和上层控制系统之间的反复转换，也能让原本埋在各自表格中的关系被机器读取。然而，句法统一并不会让观察方法也自动统一。对被动资产而言，记录与实物之间的距离正是治理的核心。

模型能够精确描述什么

草案可以描述一条光缆，以及按顺序拼接成更长路径的子缆段；可以登记 A 端和 Z 端、线缆类型与用途、长度、纤芯数量、光纤类型和衰减；还可以描述被动设备、端口、自定义标签以及关联位置。自定义标签的示例包括 RFID 和二维码。

这些字段能回答重要问题：某条路径理论上由哪些段组成？柜内应该出现哪个分光器？另一端应接到哪个有源组件？系统记录了多少芯？这条线缆被视为接入、汇聚还是骨干资源？规划人员由此获得共同底图，现场人员得到起点，审计人员也能比较设计与资产账。

问题藏在“理论上”和“记录了”之中。草案把被动基础设施定义为通常不供电、不通信、不能主动探测或管理的对象，并明确说，了解这些设备的方法取决于具体实现，不属于文件范围。一条记录可以把端点写得很精确，却完全不告诉读者它来自现场查看、施工图还是控制器推断。

这并不说明模型无用。恰恰相反，模型越容易被更多系统消费，就越需要把它没有证明的内容明确留下来。

控制器往往只是最后一名见证者

IVY 的基础库存草案把库存描述为控制器所知的实际安装状态的只读视图。该文件也承认，区分暂时不可达与已经拆除，要依赖文件范围之外的发现机制。到了光缆、分光器和管道上，问题更难：它们不会丢失心跳，也不会发出“我已被迁移”的状态。

信息可能来自现场勘察、竣工图、承包商交付包、GIS 数据、条码扫描、工单关闭，或者根据两台有源设备之间的关系作出的推断。这些证据不能互换。

现场检查可能看到机柜和标签，却看不到完整地下路由。竣工资料能说明某日交付并被接受的设计，却不能覆盖后来的应急改线。扫码只能证明读到了某个标签值，不能证明标签仍贴在正确资产上。光学测试可以支持两端连续，却不一定识别沿途每个接续盒。业务有流量说明某条介质路径可用，却不等于所有中间被动件的身份、产权和维护责任都已确认。

如果各种来源最终只填进同一组字段，下游系统就会继承一份无法检查的信心。整洁的控制器响应让它看起来像信息源，实际上它可能只是漫长证据链的最后保管人。

UUID 不能替实物建立保管链

稳定标识符不可缺少。基础模型有 UUID，被动扩展又提供光缆、设备和端口标识，还能记录标签。它们让不同系统谈论同一项记录，而不必靠模糊描述猜测。

但标识符也容易制造永久性的错觉。扫描到 RFID，只能说明一个值被读取过；它不能说明标签仍属于这根光缆。网络并购后，同一资产可能保留两套编号。替换后的线缆可能沿用旧标签。承包商按整条护套编号，运营商却按每段编号。这些是长期资产和多套系统自然产生的对账问题，并不需要先假定有人失职。

可靠做法是分开保存“身份”和“观察”。身份说明当前讨论哪一项主张；观察说明谁以什么方法、在什么时间、依据哪套命名权威看到了什么。发生合并、拆分或替换时，旧的对应关系应继续可查，而不是被最新字段覆盖。

有权写入，不等于有权宣告现实

草案援引 NETCONF、RESTCONF 与 NACM 访问控制，也提醒某些可读或可修改数据在特定网络中十分敏感。这些要求完全必要。光缆路由、机柜位置和连接图可能暴露脆弱点，读写权限必须受限并留下审计记录。

然而，访问控制回答的是“哪个获准账户提交了变更”，而不是“变更是否符合现场”。合法用户也可能忠实录入一份已经过时的施工资料。受保护的接口能证明提交路径，不能证明录入者亲眼看到了实物，更不能替代抢修后的复核。

组织特别容易高估可量化的控制。传输加密、权限表和修改日志都能形成清晰指标；三年前一次局部巡检的证明力却难以压缩为一个绿灯。治理的任务，就是不让通道的安全性冒充事实的真实性。

给库存主张加一只“证据封套”

当被动库存要支持高成本或高风险决定时，每项关键主张或一组相互依赖的主张都应带有简洁的观察与保管凭证。这是 Daniel Kade 的编辑建议，不是 IVY 草案提出的标准要求。

第一步是说明证据支持哪些字段。位置证据不能自动证明纤芯数量、衰减或两端接续。随后标明观察类别：直接现场检查、标签扫描、获接受的竣工资料、光学测试、已关闭工单、控制器推断，或运营方定义的其他类别。

第二步记录时间与保管链。观察团队或系统只需精确到能够问责的程度；同时保存观察时间、受保护的原始材料引用或摘要、所用命名体系，以及结果进入共享库存的时间。如果承包商提供资料、运营方随后接受，两个动作都应保留。接受是一项治理决定，不能把外部申报倒推成独立观察。

第三步写明范围和信心：是否打开了机柜？两端是否都被观察？地下路由是否仅来自图纸？测试确认的是连续性还是实物身份？这一类资产的证据多久后不再适合支持某种决定？受控机房里的跳纤与经常受道路施工影响的路边机柜，不必采用同一复核周期。

最后是差异处理。新观察可能确认、缩小或否定旧主张。库存应显示差异状态、责任人、解决期限，以及不确定期间哪些决定使用过旧值。修正当前记录不能抹去此前决策赖以发生的历史。

存在、可用与可分配是三件事

实物存在，不代表可供某项业务使用。暗纤可能已预留给其他客户；分光器可能不在本方维护责任内；光缆连接了正确建筑，具体纤芯却落在不同端口。反过来，规划中的资产可以合法出现在建设库存里，但不能被当作已经安装。

“规划”“安装”“观察”“验收”“在用”“预留”“损坏”“退役”“拆除”描述的是不同事件，也由不同角色作出判断。若系统把它们简化为自然向前的一个状态机，工单关闭可能被误当成独立验收，商业预留也可能变成物理就绪。

每一次状态提升都应保留执行者与依据。规划部门批准设计，施工方报告完工，业主进行验收，技术人员观察实物，业务控制系统确认流量。任何一步都不能默默完成其他步骤。

一行记录如何开始支配网络

库存一旦进入标准接口，就会吸引自动化。容量工具统计可用纤芯，恢复系统选择替代路径，采购系统把发票与已安装资产对账，开挖协调识别易受影响的走廊，保险或监管审查则可能用它评估韧性。

第一层损失可能只是白跑一次或做错计划。第二层风险出现在多个系统复制同一来源后，它们开始彼此看似“交叉验证”。第三层风险更深：商业、安全或监管决定已经发生，却再也无法追溯最初的观察。

复制不等于独立佐证。五个数据库若都继承同一份竣工图，证据源仍然只有一个。良好库存应让使用者计算独立观察的数量，而不是计算副本数量。

可审计，不必过度暴露

证据保管不要求公开精确路由、机柜照片、访问凭据或员工姓名。共享视图可以只显示证据类别、年龄、信心等级、责任角色和受保护摘要；详细材料留在受控空间，仅在确有决策需要时开放。

这种最小披露不是事后隐私补丁。被动库存恰好会显示哪些物理位置一旦受损将造成较大影响。一个系统若提高了内部真实性，却无必要地扩大外部攻击面，只完成了一半工作。

知识边界也应被建模

01 版仍公开保留未完成部分：它尚未写完与基础库存及拓扑的关系，也没有完成运行考虑。新工作组草案处于这种状态很正常。也正是在此时，最适合讨论使用者如何看到来源、观察时间和不确定性。

共同标准不必规定所有运营商采用同一巡检办法。Heng Lu 的“最小初始规范”原则更适合这里：共同层只需让主张及其知识边界能够交换，把巡检频率、接受角色和风险阈值留给实际承担后果的机构。

《The Policy Mirror》则要求认真区分动词。“库存里有这根光缆”“承包商报告了这根光缆”“技术人员扫到了标签”“测试发现两端连续”“运营商可以分配这根纤芯”不是同一句话。可靠接口不应因为它们引用同一标识符，就把它们显示成同一种事实。

被动设施永远会比能自报状态的设备更依赖人工保管。答案不是给每条管道都装传感器，而是让观察随记录同行，让未知保持可见，并在后果扩大时要求更新证据。库存记录让网络变得可读；只有来源和时效，才能让它成为证明。

来源