摘要
- 在明确的运营紧急状态下，五个区域互联网注册机构之间的互助是合理的，当它能保全权威记录、账户访问、反向 DNS、转移状态、公共目录服务和路由安全功能时。
- 如果现任董事会控制触发条件、同行批准替代独立事实调查、支持资金用于资助有争议的领导地位，或者紧急安排在没有公开范围、到期日、审查途径和交还测试的情况下持续进行，同样的协助就可能造成相互豁免。
- 一个合法的契约应当将快速服务救援决策与有关治理、过错、认可或领导地位的判断区分开来；任命独立审查员；保护资源持有者免受政治压力；披露非敏感原因和成本；并且只在有证据表明紧急状态在运营上仍然必要时才要求续期。
午夜来电与清晨之问
想象一下，一个区域互联网注册机构在周五晚上失去了对关键系统的访问权。原因可能是网络攻击、法院命令、员工突然离职、政治暴力、财务失败或使普通权威变得不确定的内部冲突。网络运营商仍然需要账户访问权。注册数据必须保持准确。反向 DNS 委派可能需要关注。已经在进行中的转移不能简单地消失。RPKI 发布和证书管理可能会带来路由后果。等待一个完美的机构解决方案将是鲁莽的。
其他 RIR 应当提供帮助。它们可以借调工程师、提供基础设施、保存数据、预付资金、提供安全专业知识或维持有限的服务，直到受影响的组织恢复。它们的共同经验使它们具有迅速行动的非凡能力。互助并不是去中心化治理的尴尬例外。它是负责任管理的组成部分，适用于区域组件相互依赖的系统。
更棘手的问题在第二天早上到来。是谁决定了该事件是运营紧急情况而非有争议的治理争端？协助机构可以触及哪些服务？它们可以接受谁的指令？援助是保持了中立运营还是加强了一方的控制？谁可以检查证据？安排何时结束？受影响的注册机构董事会能否为自身续期支持？如果董事会的作为是导致援助必要的部分原因，又当如何？
这些都不是延迟紧急技术帮助的理由。它们是分割决策的理由。服务救援应当快速、保守且可逆。机构判断应当较慢、独立且有理有据。将二者合并会产生一种风险，即最适于恢复系统的人成为认可现有机构的人，这或是出于必要，或是出于习惯。
《联合 RIR 稳定基金》使问题具体化。NRO 描述了 RIR 高管和员工之间长期的相互支持，随后正式确立了对严重威胁注册机构完整性或运营的事件提供董事会支持的援助。它列出了财务困境、关键员工流失、自然灾害、冲突、政治不稳定、犯罪活动和严重基础设施问题等可能的情景。支持可以是财务上的或实物上的。目的是持续运营。
这是一个良好的起点，但并非完整的问责架构。公开条款使受影响的 RIR 董事会成为正式请求方，并要求 NRO 执行委员会一致批准。它们要求有预算的行动计划和经审计的财务报告。这些控制措施保护了共同基金。但它们本身并不提供对董事会说辞的独立审查，不区分运营援助与机构支持，也不给资源持有者挑战越权的途径。
因此，清晨之问不可避免：同行是拯救了一项服务，还是保护了彼此免于后果？一个值得信赖的系统应当用证据回答，而非团结。
互助的目的
互助具有狭隘的公共利益目的。它使第三方免于承担注册机构中断的成本。小型接入提供商不应因为董事会无法开会而失去注册支持。大学不应因为法院冻结账户而面对无法解释的反向 DNS 故障。云运营商不应因为员工凭证消失而遇到矛盾的转移记录。医院网络不应成为机构争端的筹码。
受保护的对象是功能的连续性。IANA 号码资源概述描述了 IANA 将地址池分配给 RIR、RIR 根据政策服务于网络的层级结构。RFC 7020记录了分布式注册机构的结构以及准确、唯一注册的重要性。由于层级是分布式的，区域层的故障并非总能通过 IANA 执行普通的 RIR 任务来修复。同行专业知识具有实际价值。
合法的互助可以保全权威注册数据、安全备份、公共 RDAP 或 Whois 可用性、成员认证、工单历史、反向 DNS 管理、分配记录、转移状态以及精心定义的 RPKI 操作。它还可以资助必要员工、取证工作、临时托管或物理安全。确切清单应取决于经证明的需求。
互助不应决定谁赢得了选举、董事是否违反了职责、哪个成员派别代表区域、法院主张是否有理、注册机构是否应最终保留认可，或者相邻的 RIR 是否应继承该区域。这些是治理、法律和地位问题。技术事实可以为此提供信息，但运营援助不能回答这些问题。
这种区别可以表述为受益人测试。服务救援使资源持有者受益，而无论他们对冲突有何看法。机构保护首先使现任决策者受益，并要求用户将这种好处作为连续性的代价而接受。如果一项援助措施在中立的临时管理下是不必要的，但因为它维持了现有权威而被选择，那么审查就应加强。
第二个测试涉及中立性。假设工程师从备份中恢复数据库，并允许经认证的持有者进行日常更改。如果相同的规则适用于所有人，并且有争议的高风险更改被保存以供审查，那么这就是中立的。假设协助团队只承认由一个争议领导集团签发的凭据，取消另一集团持有的访问权限，并发表一份将争议视为已解决的声明。那么技术行动就变成了机构对齐。
第三个测试是可逆性。将数据复制到安全的托管环境、恢复公共服务并维护日志，保留了选择余地。变更公司控制权、转移资产、重新分配资源或永久移动权力可能会堵死这些选择。紧急援助应优先考虑那些后来合法的决策者能够审查或撤销的行动。
对速度的需求并不消除这些测试。它使预先协议至关重要。RIR 们应当在下一次危机之前知道哪些功能是推定安全的，哪些需要二次授权，哪些根本不能作为互助来执行。预先准备界限使工程师行动更快，因为他们不需要在中断期间发明宪法权威。
现有承诺在资金上强于独立性
稳定基金之所以有价值，是因为它将非正式的团结转变为公开承诺。每个 RIR 都承诺提供支持，请求必须有文件记录，通常超出注册机构或政策发展职能的活动不符合条件，批准的支出必须遵循具体计划。由 RIR 财务官员进行的联合核算创造了一种控制措施。这些特性使得援助比临时拼凑的私人安排更可靠。
然而，该模型是围绕内部人士组织的。受影响的董事会请求帮助。五位 RIR 执行官一致决定。RIR 财务官员管理分配。这些行动者可能完全负责，但仍缺乏对相关机构利益的独立性。互助要求同行支持同行。独立审查要求该互惠关系之外的人来检验支持是否被用于其所述目的。
互惠改变了激励。每个 RIR 都知道自己也许有一天需要帮助。这种认识鼓励了慷慨，这是可取的。它也可能会抑制尖锐的问题。一位执行官在决定是否质疑另一个注册机构的说法时，可能会想象同样的质疑在本家危机中会是何种感受。董事会或许不愿以治理披露作为援助条件，因为它不想要这些条件被施加到自己身上。相互保证可能会悄然变成相互克制。
一致同意并不能解决问题。它只证明五位执行官达成一致，并不证明独立审查员核实了触发条件。在某些情况下，一致同意可能使援助过于缓慢。在另一些情况下，它可能加大 RIR 家族已认可受影响机构的表象。一项一致的紧急拨款可以同时在技术上审慎，在证据上薄弱。
公开条款还允许受影响的 RIR 董事会提出正式请求。这对自然灾害或外部攻击来说是合理的。当董事会合法性、冲突、财务控制或拒绝行动构成危机的一部分时，就不那么令人满意了。董事会不能成为获得保护用户免于该董事会瘫痪所需援助的唯一通道。一个对手派别也不应仅凭指控就获得援助。一个替代触发条件需要独立核实。
财务审计是必要的，但不完整。审计可以显示资金购买了托管、薪水或事件响应。它可能不会显示这些购买是否巩固了有争议的控制权、服务范围是否过大、数据访问是否合法、是否有较少侵入性的援助可用，或者紧急状态是否持续了足够长的时间以证明续期的合理性。遵守预算与目的合法性不是一回事。
该基金自身的语言指向了一个解决方案。它将支持描述为一种额外的保险措施，用于注册机构的稳定性，并强调对治理、风险管理、社区支持、储备金和保险的公开保证。保险应对确定的损失。它通常不决定公司的宪法争议。将基金视为服务保险澄清了为什么一个类似独立的理算员职能是适当的。
该职能不应阻碍最初的救援时刻。它应从启动时开始，立即接收证据，并在几天内发布初步范围检查。它的存在将保护提供援助的 RIR 以及公众。它们可以表明，技术团结并不要求它们背书一个有争议的董事会或掩盖治理失败。
危险的话：“我们只是在协助运营”
运营语言听起来中立，但运营体现权威。有人决定哪个账户持有者是真实的，哪个员工获得特权访问，哪个转移是常规的，哪个证书操作是有效的，哪个发票应被支付，以及哪个公开声明描述了当前的控制权。在一个稳定的组织中，这些决定是平凡的。在危机中，它们可以决定谁在治理。
考虑身份问题。如果受影响的注册机构公司高管存在争议，协助的 RIR 仍须决定谁的凭证可以授权敏感更改。接受现任的凭证目录可能偏袒一方。从成员记录重建身份可能创建新的权威。冻结每一项特权操作可能保护中立性，但伤害用户。没有纯粹的技术答案；只有更好和更差的程序。
考虑数据保管。为连续性复制注册数据可能至关重要。数据可能包括非公开的联系方式、账户历史、支持文件、安全材料和争议记录。同行访问扩大了信任圈，并可能跨越司法管辖区。RIR 治理矩阵显示，这五个组织在不同的法律框架下运作，并记录了不同的治理和争议安排。互助需要明确的法律依据、访问限制、保留规则以及删除或归还程序。
考虑资金。支付必要的工程师可以保全服务。支付董事的诉讼费用或公关顾问费用可能是保护机构。支付安全运营中心的租金可能是必要的。在没有隔离措施的情况下预付一般公司资金，可以释放出其他资金用于有争议的目的。狭窄的预算仍可能产生更广泛的影响。
考虑 RPKI。RFC 6480描述了一个由证书和签名对象支持路由起源验证的基础设施。影响认证或发布的援助必须避免矛盾的权威和意外的依赖方后果。同行不能将这项工作视为普通的网站恢复。同时，RPKI 的敏感性不应成为背书当前持有凭证的任何一方的理由。保守的连续性可能需要有限的操作、明确的日志和独立的权责判定。
考虑沟通。同行声明“服务仍然可用”是一种运营保证。声明“合法领导层已请求并获得了支持”则提出了治理主张。甚至一个标志安排或具名签署人也可以传递认可的信号。援助计划应当区分状态报告和机构倡导。
因此，“我们只是在协助运营”这句话是一个需要检验的主张，而非一个安全的类别。审查员应将每项援助措施追溯到一个具体的服务，并询问它产生了什么样的机构效应。有些效应将是不可避免且相称的。其他效应可以通过中立保管、双重授权、交易分类、修订、临时冻结或独立管理员来减少。
这就是为什么透明度必须描述功能而非依赖标签。公众不需要漏洞细节或享有特权的法律建议。它需要知道援助覆盖了哪些方面，例如，公共注册可用性、现有持有者认证和开放转移请求的保全；有争议的控制权更改被排除；访问被记录；并且该安排在一个明确的日期到期。具体的范围使中立性变得可评估。
救援与判断需要分开的时钟
中断时钟以分钟和小时来衡量。治理审查时钟以天和周来衡量。认可或去认可时钟可能运行更久。试图将三者强行塞入一个时间表，要么导致危险的延迟，要么导致未受检验的权力。
第一个时钟应当授权一个最小的救援包。一个经过预先批准的事件团队可以保全系统、保护凭证、激活备份、维持公共目录访问并防止不可逆更改。该权限应只持续足够进行事实和法律控制评估的时间。每个行动都应从一开始就被记录。
第二个时钟应立即启动，但不需要在救援完成之前结束。独立审查员应核实触发条件、检查冲突、识别受影响的服务、听取受影响注册机构和资源持有者代表的意见，并建议适当的范围。审查员应发布一项简短的非敏感决定。如果最初的援助超出了合理范围，则应在不抛弃用户的情况下予以缩减。
第三个时钟涉及机构地位。合规恢复、董事会合法性、认可、去认可、继承和永久转移需要它们自身的程序。紧急援助可能提供证据，但绝不能预判结果。需要帮助的注册机构可以在恢复后仍有资格运营。通过援助维持服务的注册机构仍可能未能履行治理义务。服务成功与机构合规是不同的发现。
这种时间上的分离在新近的公开材料中得到了不完美的体现。ICANN 于 2024 年 12 月批准的《ICP-2 合规实施与评估程序》描述了调查、试图恢复合规以及在无法恢复运营且需要紧急提供者时与其他 RIR 的协调。该程序承认了补救与连续性。它并未将每个运营问题都转化为立即撤除。
2025 年 8 月的第二版 RIR 治理文件草案更进一步，描述了紧急连续性、持续义务和可能的移交。这是一份草案，并非既定权威。其重要性在于将援助、恢复和地位视为可区分的阶段。2026 年第一季度状态报告也记录了关于紧急触发条件、持续时间、续期和资源持有者保护的持续讨论。
最终设计应当使时钟变得明确。紧急启动应说明其时刻和范围。独立审查应有一个近期截止日期。任何延期都需要新的证据。机构程序应遵循其自身的通知和审查规则。公众永远不应推断，临时技术援助已悄然变成对永久控制权的认可。
独立性必须是设计出来的，而非宣称的
独立审查员并不因为排除了现任 RIR 员工就独立了。独立性具有财务、任命、信息和关系维度。一个完全由 NRO 执行委员会酌情付费的评审小组可能会犹豫是否反对它。一个在危机之后由协助机构选出的审查员，可能会显得是为预期结果而任命的。一位受人尊敬的社区资深人士仍可能与董事会、供应商或派系有深厚的联系。
审查职能应当是常设的而非临时拼凑的。成员可以通过多种渠道交错任期任命：由 RIR 社区任命有限数量，由 ICANN 的既定机制任命有限数量，并通过开放选拔任命有限数量以获取独立的技术、法律、审计和公共利益专业知识。任何任命团体都不应控制多数。现任 RIR 董事、高管、高级职员、重要供应商和活跃诉讼人应没有资格。
利益冲突披露需要具体化。应披露先前雇佣、咨询、资助、密切职业关系、公开倡导和当前区域角色。回避规则应防止审查员评估前雇主或审查员已采取实质性立场的争议。应已确定替补成员，以便回避不会中断紧急工作。
资金应预先评估，并与援助决定分开持有。审查员应有权访问其预算，而无需寻求其行动受其审查的执行官的许可。薪酬总额应公开。员工支持和安全的证据设施应在启动前可用。
信息访问同样重要。审查员需要事件报告、援助请求、预算、访问日志、相关董事会记录、连续性计划、数据共享的法律依据以及对被排除的替代方案的解释。特权和安全性可以通过保密程序得到保护，但它们不能成为隐瞒每一项关键事实的全面理由。公开决定可以总结证据，而无需暴露漏洞或个人数据。
提交证据的资格应超出受影响的董事会。高级运营人员、由成员选举的代表、经核实的资源持有者、审计员、提供援助的 RIR、ICANN 以及相关的合法当局可能拥有实质性事实。审查员应防范海量活动和缺乏支持的指控，然而董事会不应控制证据之门。
独立性还需要补救限制。审查员不应运营注册机构、分配号码或选择常任董事会。它应核实互助触发条件、批准或缩减范围、建议保障措施、监控到期条件，并将单独的问题转介给适当的程序。集中的授权使迅速审查成为可能，并避免了创建另一个不负责任的中心。
最后，必须对审查员有审查。受范围决定实质影响的当事方应能够就事实错误、利益冲突或偏离已公布程序寻求复议。该审查应加速进行，且不应自动中止必要的服务措施。当权力在每个层面都受到约束时，独立性才可信。
一份不会暴露网络的公共记录
注册机构紧急情况可能涉及可被利用的安全事实、个人数据、正在进行的调查和特许保密建议。在事件期间激进披露可能加剧损害。然而，保密不能成为每个问责问题的默认答案。解决方案是结构化的透明度。
一份启动通知应识别受影响的注册机构、一般触发类别、面临风险的服务、协助各方、法律或合同依据、启动时间、最初到期日、审查员以及受影响资源持有者的联系点。它应说明哪些未被授权。它无需透露攻击指标、管理员身份、安全架构或机密成员记录。
一份范围时间表应以运营术语列出功能。它可能授权保存注册数据、维护 RDAP 可用性、例行的经认证更新、反向 DNS 支持、指定的 RPKI 发布连续性和待处理请求的保全。它可能保留涉及有争议的控制权、批量转移、撤销、董事会凭证、资产处置或永久迁移的更改。实际的类别将取决于事件；公布它们能减少传言。
一份财务通知应说明承诺的金额或范围、支持是现金还是实物、成本类别、隔离控制措施以及下一次报告日期。它不应不必要地暴露薪资或供应商安全细节。如果援助来自稳定基金项下的承诺储备金，公众应能追踪授权和随后经审计的使用情况。
一份审查通知应总结所考虑的证据、实质性冲突、关于运营必要性的发现、所考虑的最小侵入措施以及未解决的不确定性。如果事实存在争议，通知应如实说明。审查员应区分经核实的服务影响与关于机构过错的指控。
续期永远不应自动进行。一份续期通知应显示哪些方面有所改善、哪些方面仍然受损、为何日常控制无法恢复、哪些措施正在被缩减、累积成本以及下一次交还测试。重复最初解释是不够的。时间应增加证明负担，因为临时安排可以通过实践重塑权威。
在结束时，一份报告应描述持续时间、得到维护的服务、重大事件、支出、数据处置、恢复的权威、未决争议以及面向未来就绪状态的经验教训。安全敏感细节可以继续受保护或稍后发布。存在一份结束记录至关重要：它证实了互助已结束，而非消融为未记录的新常态。
这种分层方法比发布笼统的保证更具信息性，比发布原始事件材料更安全。它给予运营商理解服务风险所需的信息，给予成员评估机构效应所需的信息，并给予未来的审查员一份审计追踪。
时限是宪法性控制措施
每项紧急措施都应当到期。这并不是行政管理上的整洁。到期防止为救援创建的例外权威在没有新决定的情况下成为日常治理。
初始期限应足够短以迫使尽早审查，并足够长以稳定即时服务。精确的持续时间可能因事件类别而异。董事会权力完整的自然灾害可能证明直接运营延期是合理的。有关公司控制权的冲突则应当要求更频繁的审查，因为每项援助行动都能影响争议。旷日持久的区域冲突可能需要重复支持，但也需要更强的中立保管安排。
续期应当要求四项发现。运营风险仍然重大。受援服务仍然必要。侵入性较小或常规的安排尚不充分。继续不会不当决定单独的治理或地位问题。每项发现都应基于当前证据。
援助应随时间推移而缩减。紧急托管可能继续，而特权身份支持回归注册机构。公共目录服务可能继续受到援助，而日常计费恢复。取证团队可能在成员支持功能恢复后完成其工作。将援助视为不可分割的一揽子计划会鼓励不必要的持续。
还应有一个累积阈值。一旦援助超过确定的时间或价值，更深入的机构审查就变得强制，即使每次短期续期都能被证明合理。长期依赖可能表明该组织缺乏运营能力、财务稳定性或合法控制权。结论可能是恢复而非移除，但问题不能继续被框定为一系列临时事件。
交还需要客观测试。系统可用。经授权的人员就位。凭证已协调。数据完整性经核实。服务积压可管理。对于正被归还的功能，运营的法律许可足够明确。安全风险在可接受范围内。资源持有者收到通知。日志和记录在控制的保管下转移。
交还不应要求政治和谐。组织通常在争议继续时恢复服务。检验标准是常规授权的运营能否安全运作，而非每个成员是否接受董事会。相反，一项恢复正常的公开声明不应在技术条件仍不成立时结束援助。独立核实保护双方。
到期也约束了提供援助的 RIR。一个已经建立系统、雇佣员工或获得了区域知识的同行可能偏向于继续参与。其能力并不产生权利。任何永久性服务或区域角色都应遵循一个单独的、竞争性的且在区域上合法的过程。
资源持有者绝不能成为选票
在机构危机期间，每一方都可能声称代表社区。于是，资源持有者可能被当作证据而非用户。持续访问可能被描绘为对现任者的背书。求助可能被描绘为对挑战者的支持。沉默可能被算作同意。这是不可接受的。
互助应当包括一条不归因规则。使用紧急服务、支付普通费用、认证账户、提交转移请求或与临时运营商沟通，绝不能被视为对任何董事会、候选人或地位结果的政治支持。服务是一种权利或合同预期，而非一次公民投票。
持有者需要稳定的通知。他们应当知道哪些服务可用、哪些延迟、如何认证、现有请求如何被处理、如何报告错误以及在哪里寻求审查。如果一项服务被冻结，应说明原因和预期的审查节点。当路由和商业交易取决于答案时，笼统的保证是不够的。
有争议的记录需要特殊处理。临时运营商应当保存当前的权威状态，除非有清楚授权和经核实的更正可用。它应记录争议、固定证据并避免不可逆的更改。这种保守性防止被任何一方控制。它不应变成对合法更正的无期限阻挠；需要一条中立的审查途径。
费用应当稳定，并在可能的情况下隔离。紧急运营商不应强加战略性价格变动，或将支付用作忠诚度测试。必要的成本回收可以被透明地批准。欠款和有争议的费用应保持其先前状态，而非被机会主义地强制执行或免除。
上诉权利必须在危机中存续。如果记录或决策者不可用，现有截止日期可能需要中止。持有者不应因为注册机构无法接收而丧失一项主张。新的紧急决定应有一个快速的挑战途径，尤其是对于认证、转移保全、撤销和 RPKI 操作。
隐私保护必须跟随数据。同行援助不会抹去受影响的注册机构的义务，或持有者提供信息所依据的期望。访问应基于角色、被记录并仅限于所协助的功能。为救援复制的数据应在不再需要时归还或安全处置，并受合法保存的约束。
这些保护措施使互助与其受益者保持一致。援助不是机构豁免的最清晰证明是：用户获得连续性，而无需放弃他们的中立性、证据或投诉权。
疑难案例揭示边界
一场自然灾害摧毁了运营场地，但留下了合法的治理。边界相对简单。同行可以在董事会的权威下托管服务、借调员工并恢复备份。独立审查可以较轻，但仍应核实范围、数据保管和结束。
一场网络攻击危及了特权凭证，没人知道哪些指令是真实的。援助必须更加保守。董事会可能是合法的，但无法认证自己。审查员应支持一个中立的身份恢复程序，防止高风险更改，并避免将持有尚存凭证视为权责证明。
一个注册机构在多年监管不力后面临财务困境。支付工程师和基础设施费用可能保护用户。向同一领导层提供不受限制的现金可能推迟问责。援助应当被隔离，里程碑应当公开，并应启动单独的治理评估。同行集体不应以赦免董事会作为服务救援的条件，也不应利用财务杠杆选择继任者。
一项法院命令限制了一个账户或挑战了公司控制权。RIR 们应在相关司法管辖区获取合格的法律分析，并保持全球注册机构的连贯性。它们不应仅仅因为法院命令给机构带来不便，就将法院描绘成威胁。如果一项狭窄的技术调整能够在保护唯一性的同时合规，就应予以考虑。如果一项命令会造成矛盾记录，应通过适当的法律渠道解释具体的冲突。
一场政治冲突阻止了员工到达设施。实物援助可能需要持续更久，并辅以加强的人身安全和数据转移保障。有政府介入的事实并不自动证实或否定注册机构的领导层。中立的服务连续性与机构判断保持分离。
一个董事会拒绝请求帮助，即使关键服务正在退化。董事会通道规则失效。来自高级运营人员、审计员、ICANN 或确定的一组资源持有者的经核实的请求，应当能够触发独立的紧急评估。在违背董事会意愿的情况下启动应要求有更高的证据门槛和一个狭窄的初始范围。
一个对手团体在服务仍然稳定时请求援助。互助不应变成外部干预的途径。审查员可以拒绝启动、保存证据并将治理指控转介到适当的论坛。投诉不是一次中断。
一个提供援助的 RIR 表现极好，以致一些成员希望它永久留下来。紧急能力是相关证据，但并非授权。永久认可或区域重组需要一个独特的流程，包含对替代方案的公平考量、区域支持和冲突控制。
这些案例表明为什么一个宽泛的“稳定性”概念是不足的。稳定性可能意味着正常运行时间、记录完整性、合法权威、财务耐力、成员合法性或区域和平。改善某一方面的措施可能损害另一方面。独立审查迫使决策者指明正在保护哪一种稳定性。
同行是关键证人，而非中立法官
提供援助的 RIR 通常拥有关于一个运营主张是否可信的最佳证据。它们知道一个正常运作的注册机构必须与它的同行交换什么。它们能够区分表面上的中断与基本能力的丧失。它们理解转移协调、反向 DNS、公共注册和路由安全服务在实践中如何运作。任何严肃的审查都应利用这种专业知识。
专业知识和中立是不同的属性。一个同行可以准确诊断出一项失败的服务，同时对附加于该诊断的法律解释持有机构利益。它可能偏好能够保留熟悉协调安排的补救措施。它可能担心对一个 RIR 的批评会为其他 RIR 带来期望。它可能与别的 RIR 有共享的供应商、联合项目、员工关系或先前的公开立场。这些都无损于证据的有效性。它改变的是对关于过错、范围和机构后果的结论所赋予的权重。
因此，审查设计应将同行提交视为专家证词。每个提供援助的 RIR 应识别观察到的事实、技术推断、建议措施、已知的不确定性以及机构利益。如果全部五方都同意，该协议是相关的。它不是自证的。审查员应能够询问，是否可以通过更狭窄的措施或一个不同的临时运营商达到同样的运营结果。
在安全允许的情况下，证据应是可复现的。关于注册完整性面临风险的主张，可以由调和失败、不可用系统、缺失日志或无法认证当前数据来支持。关于 RPKI 连续性需要干预的主张，可以由发布状态、证书时间线和受控测试来支持。关于当前员工无法恢复服务的主张，可以由访问、人员配备和权限记录来支持。“同行们感到担忧”不是替代品。
受影响的 RIR 应能够答辩。它可以表明一个同行误解了本地系统、夸大了依赖项或提出了与适用法律不一致的措施。运营人员可能与董事会意见不一。一个合法当局可能施加从另一司法管辖区不可见的限制。审查员需要一个能快速检验这些差异的流程，而不是将 RIR 的共识转化为事实推定。
可能的临时提供者也应被中立地评估。最近的 RIR 可能拥有成熟的系统和已建立的信任，使其成为最佳即时选择。一个商业承包商可能拥有有用的基础设施，但缺乏公共利益授权。一个区域技术联盟可能拥有本地知识，但缺乏足够的安全控制。一个独立的保管人可以在无法服务用户的情况下保存数据。选择记录应解释能力、冲突、速度、成本和可逆性。
当涉及合规时，同行证据变得尤为敏感。一个 RIR 可能报告另一个无法达到共同标准。该报告应识别标准、观察到的偏离、运营影响以及已尝试的补救措施。它不应从测试失败直接跳跃到关于认可的推荐，除非治理程序授权该结论，且有单独的证据支持它。
将同行视为证人保护了它们的恰当角色。它们可以坦率地谈论技术风险，而无需被迫决定一位同事的合法性。它们可以提供紧急帮助，而不声称具有司法中立性。它们可以在合作保全的同时，在范围上意见不一。独立审查员获得高质量的证据，同时保留对救援与保护之间边界的责任。
RIR 系统所需的互助契约
一份修订后的契约应始于一个服务优先声明：互助的目的是在确定的干扰期间保护资源持有者和互联网号码资源注册系统的完整性。援助并不意味着对受影响机构的治理、法律地位、认可状态或领导层的认可。
它随后应创建两条启动路径。普通路径始于来自受影响董事会的备有证明文件的请求。保护路径始于当董事会不能或不愿行动时，来自确定的替代行动者的可信证据。两条路径都允许一个最小的紧急包，并触发即时的独立审查。
契约应发布一份援助功能目录。绿色类别将覆盖推定可逆的保全和可用性措施。琥珀色类别将覆盖具有显著权利或权威效应的行动，并需要审查员批准。红色类别将排除永久地位决定、资产转移、政治背书和不可逆的资源变动，使其脱离互助权限。
每次启动都应有一个事件负责人、一位审查员、一份预算、一份数据保护时间表、一份行动日志、一份公开通知、一个到期日和一份交还计划。受影响的董事会、提供援助的 RIR 和审查员应签署不同的部分，因为它们的职责不同。不得允许任何签字意味着对超出其所述目的的、有争议的机构事实的同意。
续期应当要求当前的运营证据和审查员批准。董事会不应为自身续期支持。提供援助的 RIR 可以提议继续，但不应是其自身扩大的角色的唯一裁判。在一个累积阈值之后，外部合规评估应是强制性的。
契约应当保护异议。一个质疑范围的 RIR 应能够发表一份有理有据的观点，而不被指责放弃连续性。审查员应能够缩减援助，而不对受影响机构采取立场。资源持有者应能够投诉而不失去服务。技术人员应有一个受保护的渠道报告滥用。
它还应当要求演练。五个 RIR 可以在不模拟政治结论的情况下测试安全数据转移、身份恢复、公共目录连续性、交易日志、沟通和交还。演练应包括一位来自审查职能的观察员，并发布非敏感的教训。一个从未测试过的契约只是临时应对的承诺。
最后，该安排应当适合更广泛的认可框架，而不被其吸收。ICANN 合规程序、NRO 协调、区域公司法、成员权利和技术标准各有不同的角色。互助应将事实输入这些流程，而非取代它们。一个清晰的边界使每个机构都更具可信度。
能经受审查的团结
RIR 们相互承诺帮助是正确的。一个注册机构系统在遇到麻烦的第一迹象时就抛弃一个区域，将会辜负它存在所应服务的网络。共享的专业知识、资金和基础设施能够防止一场本地危机变成全球运营问题。
当团结接受审查时，它变得持久。受影响的 RIR 应当欢迎一份表明援助是必要且有界限的记录。提供援助的 RIR 应当欢迎保护，以免被指责选择了某一派系。ICANN 应当欢迎连续性未预先决定地位的证据。资源持有者应当看到，他们的服务，而非一个机构家族，才是受益者。
独立审查偶尔会延缓或缩减执行官们更愿意做的事。这正是重点所在。它不应阻止即时的保全措施。它应当要求更广泛的干预去赢取权威。当它们的时钟和授权被提前设计时，速度与问责可以共存。
透明度偶尔会揭示不确定性。这比人为制造的一致健康。一份通知可以说，服务风险经核实，而公司权威仍然有争议。它可以说，数据已被保存，而某类转移仍然冻结。它可以说，财政援助是必要的，而原因仍在审查中。精确建立信任。
时限偶尔会强制进行一次困难的续期。这也是健康的。如果援助仍然必要，当前证据应说明原因。如果它已变成一种日常运营安排，系统应指明该变化，并采用适当的机构流程。临时权威永远不应通过沉默而成熟。
核心纪律表述起来很简单：救援服务、保存证据、保护用户，并将判断留给单独的论坛。在实践中，它需要接口、人员、资金、冲突规则、日志、公开通知和演习过的交还。这项工作很庞大，因为依赖性很庞大。
互助与相互豁免在第一个小时可能看起来完全相同。两者都可能恢复一项服务并动员同行支持。它们随时间分化。互助缩减、解释自身、接受独立审查并结束。相互豁免扩展、援引团结、将同行共识视为确认，并使到期难以捉摸。
RIR 系统需要并非更少的合作。它需要带有外部棱角的合作：一个证据可被检验、冲突可被指明、援助可与豁免分离的地方。那个棱角将使技术团结更强，而非更弱。它将证明这五个注册机构能够保护彼此的关键服务，而无需承诺保护彼此免于问责。