摘要

  • 两份活跃的 SPRING 工作组草案分别为 SRv6 和 SR-MPLS 定义 TSF 回环测量：反射端在转发快速路径中写入接收时间 T2，避免把探测报文上送进行常规 STAMP 处理，从而支持更多会话与更短测量间隔。
  • TSF 采用未认证的 STAMP 反射报文，不能仅凭时间戳证明写入者、路径、时钟或决策权限。运营者应为测量序列保留“模式与信任凭据”，明确准入控制、业务上下文、同步状态、校验结果以及该证据获准驱动的行动。

一张无可挑剔的图表，缺了一行说明

设想一场 SLA 争议。客户展示的时延图连续、平滑、采样密集；运营商的控制器也保存了同一批数字。双方的分歧似乎只剩阈值如何解释。直到工程师发现，这些样本来自 TSF 回环模式：反射端在硬件转发路径中写入 T2，原报文随即返回，没有执行完整的 STAMP 反射流程，而且使用的是未认证报文格式。

这不会自动推翻数据。真正缺失的是数据的资格说明。如果边界过滤、会话准入、路径配置、设备能力和时钟状态都受到可靠控制，这批样本完全可能对故障定位有价值。但若合同系统只留下数值，后来的人就无法判断当初接受这些样本所依赖的条件是否仍然成立。

时间戳回答“某个时刻被写入了什么”。它不会自行回答“谁有权让设备写”“报文是否来自获准发送端”“穿越的是否是合同所指业务”“写入时钟是否仍在误差预算内”，更不会决定“这组数能否触发赔付”。

快速路径真正解决的问题

普通 STAMP 反射处理需要让收到的测试报文离开数据平面的快速转发路径，进入协议处理，再生成返回报文。两份草案提出的 TSF 做法更直接：发送端预先写入发送时间 T1，反射端在快速路径把接收时间 T2 写入既定位置并转发回来，发送端在收到时本地记录 T4。

T2 减 T1 可以形成正向单程时延，T4 减 T1 可以形成回环时延。避免上送意味着系统有机会容纳更多会话，也能缩短测量间隔。对于转瞬即逝的拥塞、短周期抖动或大规模 SR 策略集合，这种能力具有实质价值。它还可能减少反射端软件调度造成的额外变化。

两种数据平面的落点并不相同。SRv6 草案提出分别写入 PTPv2 和 NTPv4 时间格式的 End.TSF 行为，并将其绑定到反射节点上的 SID；SR-MPLS 草案则借助 MPLS Network Action 子栈和两个拟议操作码。共同原理不能替代具体环境的证据。一条 SRv6 的边界规则无法证明 MPLS 动作也被限制，某台设备支持一个行为也不能推导出整个路径均具备同样能力。

“未认证”是设计边界，不是贬义标签

两份草案都明文指出：带 TSF 的回环模式只支持 RFC 8972 所定义的未认证反射报文，不支持认证格式。RFC 8762 的认证模式使用截断为 128 位的 HMAC-SHA-256 保护 STAMP 消息完整性；密钥管理另有其责，但成功验证 HMAC 与未认证报文表达的是不同事实。

不应把“未认证”简单翻译成“不可信”。这些程序面向单一管理域，假定运营者配置发送端、反射端以及正反向路径，并已核验路径完整性。TSF 处理必须限制在可信节点和可信会话中，携带相关行为或动作的报文必须在管理域边界过滤。实现还必须核验行为或操作码、时间格式、写入偏移与可用负载长度，畸形报文必须丢弃。

这些要求建立的是一组外部控制，而不是凭空给 STAMP 报文增加认证。控制存在时，应把它们连同测量序列一起保存。否则，当样本被复制到另一个系统后，“来自受控域”的前提会消失，只剩下看起来很权威的数字。

三种真实性不能混为一种

首先是消息完整性：报文是否被伪造或修改。认证 STAMP 能在密钥与验证正确运行时提供一类完整性保护，TSF 使用的报文格式没有这一层。SRv6 环境可能另行使用 SRH HMAC，但那是另一层控制，不能用含糊的“已认证”一笔带过。

其次是计时准确性：时钟是否足以支撑计算。T2 减 T1 涉及两个节点的时间，要求发送端与反射端通过 NTPv4 或 PTPv2 同步。报文字段选择了某种格式，不代表同步健康，更不代表误差小于业务阈值。时钟来源、最后同步时间、误差估计与守时时段都应进入证据。T4 减 T1 都在发送端取得，信任条件又有所不同；回环丢包也不要求两端时钟同步。

最后是代表性：探测路径是否能代表结论中的业务。STAMP 可以使用与待测流量相同的 SR 封装，也可以配置返回路径；但一次正确返回不能证明所有业务流选择了相同 ECMP 成员、队列或租户上下文。草案要求报文只能在收到它的传输路径或服务上下文内处理，却没有为跨服务使用结果赋予权限。

HMAC 不能让漂移的时钟准确，同步时钟不能证明报文发送者，获准进入的探测也不能证明全部客户体验。把这三层分别记录，比给整组数据贴一个笼统的“可信”标志更诚实。

给序列一份模式与信任凭据

治理对象不必塞进线上的探测报文。更合适的做法，是在测量系统中为每段可能影响重要决定的序列生成一份紧凑凭据。

它首先记录会话、发送端、反射端与责任人，注明 SRv6 或 SR-MPLS，以及双向、单向、回环或 TSF 模式；再明确 STAMP 报文是否认证，正反向路径、封装与段列表采用哪个配置版本，业务或租户上下文如何被隔离。

TSF 特有部分应保存 End.TSF 行为或 MPLS 操作码、时间格式、固定偏移和反射端能力检查。发送端准入、边界过滤、会话标识符策略，以及 STAMP 之外的保护也要逐项注明。T1、T2、T4 的用途必须与时钟源、同步状态、误差估计和健康检查时间相连。

运营部分记录报文速率、采样间隔、样本数、丢包、畸形输入、拒绝记录和写入失败；政策部分记录聚合窗口、异常值处理、阈值、不确定性、审批者和允许执行的具体动作。无需保存秘密密钥、完整拓扑或租户流量。有限字段与原始结果指纹足以支持复核。

凭据还应有期限。段列表改变、反射软件升级、过滤规则调整、时钟失步、业务迁移，或样本从告警用途升级为路由与合同用途时，都应重新签发。昨日只用于辅助诊断的数据，不能因被复制到商业系统就自动获得赔付裁决权。

测得更快，也可能更快地做错

TSF 最有吸引力的特征，正是治理不能缺席的原因。样本更密集，自动系统就更愿意立即行动。若证据资格没有随数据传播，错误决定也会缩短反应时间。

同一序列可以服务三种场景。运维面板把它作为早期告警，再由工程师对照其他遥测；流量工程控制器连续发现五个坏样本后切换候选路径；商业系统据此认定 SLA 违约并自动抵扣费用。第一种用途可以接受临时证据，第二种需要稳定性、影响范围与回滚规则，第三种还需要可复现的方法与争议链条。

协议不会替这些使用者分配权力。共享规范负责最小的互操作行为，本地机构负责规定哪些未来决定可以依赖结果。这与 Heng Lu 所强调的“最小初始规范、未来决策本地化”相呼应：共同结构不必变成共同裁决，但本地裁决必须能说明自己用了什么证据。

仍在推进的草案，不是部署证明

截至 2026 年 9 月 12 日，两份文件仍是活跃的 Internet-Draft，预期状态为 Informational，拟议的行为与操作码尚待分配。实现状态说明可以证明有人做过具体工作，不能证明普遍支持、生产规模或某个运营商已经把 TSF 纳入自动决策。

草案本身也没有越过信任边界。它们明确保留未认证属性，同时要求可信会话、域边界过滤、能力检查、越界防护、计数器与限速通知。真正的制度性误读发生在协议之后：图表只导出漂亮的时延线，生成条件却被丢弃。

快速路径时间戳可以是优质测量材料。只有模式、信任与决策上下文没有分离时，它才成为可问责的证据。

来源