摘要
- 号码注册链条并非缺乏权威。RIR 成员可以行使公司权利，董事会可指导其组织，法院可适用所在国法律，ICANN 可在认可安排内行事，五个 RIR 可集体替换 IANA 号码服务运营者，网络可选择接受哪些路由。
- 这些权力指向不同方向。目前所引用的已通过文件中，没有任何一份提供了一条完整的系统级路径，用于撤销现有 RIR 的角色、移交权威记录和安全材料、保护持有者、为连续运营提供资金以及指定继任者。
- 2001 年通过的 ICP-2 确立了拟议新 RIR 的准入标准。截至 2025 年 8 月的官方审查记录讨论了一份涵盖运营和除名事项的治理文件草案，但所引用的记录并未证明最终通过或经过测试的准备工作。
- 可靠的继任制度需要的不仅仅是一份取消认可的决定。它需要监管权、授权、数据、密钥、合同、人员、资金、申诉机制、服务区域迁移以及可逆的技术割接。
- 多中心治理可能比单一的全球上司更安全。它在压力下的合法性取决于事先公布决策规则，这样连续运营就不会变成现有参与方、债权人和法院之间的即兴谈判。
缺乏明确上级的层级结构
号码注册系统看似垂直。IANA 维护顶级号码注册表并将可用池分配给五个区域互联网注册机构（RIR）。每个 RIR 管理一个服务区域并与本地注册机构、网络运营商和其他持有者保持关系。RIR 通过号码资源组织（NRO）进行协调，并在 ICANN 内履行地址支持组织（ASO）的角色。该图示似乎有顶层、中层和底层。
但服务层级不一定包含一个对每一层都拥有撤销权力的法律上级。IANA 履行一个确定的角色。ICANN 依据与五个 RIR 的协议运营 IANA 号码服务。RIR 是独立的私法机构。其成员和董事会依据区域章程和所在国法律行事。运营商通过自己的系统和合同做出路由决策。
每种关系都回答一个真实的问题。谁分配顶级池？谁维护区域记录？谁选举董事会？谁可以执行成员协议？谁认可一个拟议的同行？谁可以替换 IANA 服务提供商？谁决定是否接受一条路由？然而，这些答案并不自动汇聚到一个人或机构上，由其移除现有 RIR 并安装另一个。
这种汇聚缺失只在偶尔才重要。在正常时期，相互认可和运营连续性使系统看起来自我验证。一个 RIR 之所以是 RIR，是因为其他机构如此对待它，其成员与它签约，IANA 为其服务，网络依赖其记录。当所有部分都正常履行时，这种循环性是可以容忍的。
危机改变了这个问题。如果一个现有的 RIR 变得无法或不愿运营，必须有人决定该故障是暂时的、可补救的还是应取消资格的。必须有人保存记录、密钥和服务。必须有人保护持有者免受重复声明和不一致指令的影响。必须有人选择继任者，并说服每一个依赖方认可它。当前的公开文件揭示了这种回应的部分片段，但并非一个被采纳的端到端授权。
区域化最初是作为一种扩展解决方案
1992 年 IP 地址空间管理指南提议随着互联网的扩展，建立分布式的区域注册机构。集中式管理无法无限扩展。区域机构将把知识和服务带到更靠近本地社区的地方，同时保持在一个协调层级的一部分。
这一历史起源在很大程度上解释了该系统的特征。区域化是对增长的一种实用回应，而不是通过条约建立五个主权管辖区。行政管理责任向外转移，因为一个中央注册机构无法有效地处理全世界的需求。技术社区围绕工作建立了机构。
该提案的成功可能掩盖了其有限的宪法内容。它描述了一种结构并提供了指导。它没有建立立法机构、界定全球选民、转让地址空间的所有权或编写一套完整的移除和替换代码。后来出现的机构通过额外的步骤获得了法律人格、合同、政策和认可。
这种增量发展有其好处。它让区域安排能够适应当地条件，避免等待各国谈判一项单一的全球公约。它支持技术专业知识，并使日常号码管理相对隔绝于地缘政治讨价还价。
但增量增长也留下了边界。该系统在形成成熟的机构退出理论之前，就已经发展了进入、运营和相互依赖。这在成功的基础设施中很常见。创始人专注于让有能力的参与者进来并保持服务可靠。移除看起来遥不可及，直到治理失败、破产、禁令或内部僵局使其变得具体。
因此，1992 年的文本应该被解读为一个行政谱系的起点，而不是对后来占据某个区域角色的任何公司的永久授予。它解释了为什么选择了去中心化。它没有决定谁可以在几十年后转移这个角色。
ICP-2 对进入的定义比对继任的定义更清晰
ICP-2 标准，于 2001 年 6 月 4 日通过，提供了最清晰的已采纳进入标准。一个拟议的 RIR 必须服务于一个具有足够规模的区域，展示广泛的支持，承诺自下而上的政策，保持中立和公正，证明技术专长，提交活动计划，确保资金，保持可靠的记录并保护机密性。
这些条件反映了健全的机构判断力。一个注册机构不能仅仅因为发起人注册了一家公司并宣布了一块领地就被认可。它需要运营能力、社区合法性和提供持久服务的计划。认可还必须保持全球唯一性以及与现有注册机构的协调。
进入标准可以为现有 RIR 提供实质性的基准。如果中立性、资金和记录保存在认可时是必不可少的，那么它们后来的崩溃不可能是无关紧要的。这些标准有助于解释为什么危机可能需要审查。
然而，基准并不是移除程序。2001 年的文本没有完全确定谁开启除名案件，谁进行调查，适用什么临时措施，采用什么门槛来决定，如何管理冲突，有什么上诉途径，谁负责数据的监管，如何选择继任者，以及何时技术割接成为最终决定。
取消认可也不等同于公司解散。ICANN 可能改变它对一个机构的认可方式，而该法律公司依据所在国法律继续存在。成员可能在认可保持不变的情况下更换董事。法院可能任命一位管理人不选择一个新的区域注册机构。债权人可能控制资产而不具备运营该服务区域的技术合法性。
因此，ICP-2 对于危机治理是必要的，但也是不完整的。它告诉候选者必须展示什么才能进入。在其 2001 年通过的形式中，它尚未作为一个针对运营数十年后失败的现有 RIR 的、经过测试的继任章程发挥作用。
2019 年 ASO 备忘录协调同行而非指定上级
2019 年 ASO 备忘录将 NRO 置于 ICANN 的地址政策架构内。它定义了全球政策程序、任命、认可建议、服务区域概念、其各参与方之间的审查和争议处理。
这种安排赋予了 ICANN 一个有意义的角色。对拟议新 RIR 的认可不是现有注册机构单方面的声明。建议和董事会行动至关重要。这可能对面向 IANA 的行政管理和同行协调产生实质性的实际影响。
然而，同一份文书拒绝在其各方之间创设一种委托人关系。一方不能在未事先书面同意的情况下为另一方做出有约束力的承诺。该条款符合一个由不同机构作为同行进行协调的系统。它没有将 ICANN 认定为 RIR 的所有者，也没有将 NRO 认定为它们的全球母公司。
这种设计具有保护价值。一个单一的中心不能随意接管一个区域公司、重写其合同或处置其资产。每个 RIR 保留其治理机构和法律义务。区域社区保留一定程度的自主权。该系统避免了一个政治阻塞点。
这种保护在出现故障时显现出其代价。如果没有一方是另一方的委托人，那么撤销系统认可的决定并不会自动转移公司资产或合同。ICANN 可能有一项机构决定。成员可能有另一项。所在国法院可能控制记录或服务器。其他 RIR 可能需要协调连续性。持有者可能挑战变更的服务关系。
该备忘录可以为认可问题设定框架，但所引用的已通过文本并未披露完整的继任路径。它更清晰地协调有能力的同行，而不是治理一个无能力的同行的替换。
IANA 是一个角色，而非该链条的所有者
RFC 7020将 IANA 描述为号码注册体系根基处的一个角色。它依据全球政策向 RIR 分配资源。RIR 服务本地注册机构和其他机构。准确的注册支持唯一性和运营协调。
这个角色看起来可能像所有权，因为它位于图示的顶端。但顶级行政审批和所有权是不同的主张。IANA 维护注册表并依据确定的安排执行分配。公开描述并未说 IANA 拥有每个区域数据库、雇用每个 RIR 员工或可以将每个持有者协议转让给一个继任者。
RFC 7020 还记载了以前从 RIR 决策到 IANA 的最终上诉不再被认为合适。这一历史性的变化具有揭示意义。它背离了将 IANA 作为区域决策的一般上诉上级的观念。注册层级保留了技术协调，同时减少了一种简单的指挥链解释。
该文件进一步将注册管理与路由选择分离开来。一个网络可以选择宣告或接受哪些路由。注册记录可以影响这种选择，尤其是通过路由安全系统，但没有任何顶级注册条目机械地控制每一台路由器。
这些区分防止了两种夸大其词。一种是 IANA 可以仅仅因为它位于顶级分配点就能解决区域继任问题。另一种是 IANA 没有影响力，因为运营商保持自主。实际上，顶级认可和注册状态可以使一个继任者可行或不可行，即使不转移区域资产。
一次成功的割接将需要机构性和运营性的双重协调。面向 IANA 的记录必须认可继任者。区域数据库和服务必须迁移。运营商和对手方必须信任新的状态。第一步是强大的，但它不是整个链条。
当前的 IANA 运营保留了该层级狭窄的用途
IANA 号码资源页面描述了当前的运营模型。IANA 依据全球政策将未分配池分配给五个 RIR，而不是直接向最终用户或服务提供商分配普通资源。RIR 是该行政级别的区域对手方。
此说明显示了为什么区域认可很重要。一个不在被接受集合内的机构不能简单地要求顶级池并成为同行。它也显示了为什么 IANA 很难在一夜之间替代一个 RIR。其通常职能不是零售或区域注册服务。
这种区分保护了辅助性原则。区域组织维护本地关系、语言、政策和记录。一个中央操作员无需管理每个账户。它减少了集中度，并将专业知识保留在靠近受影响社区的地方。
然而，在危机中，通常的划分造成了一个连续性难题。如果一个现有机构无法运营，IANA 可以保存顶级信息并在其职能内进行协调。它不一定拥有全面服务所需的区域账户数据、机密文件、支付历史、成员记录、反向 DNS 系统或私钥材料。
运营性网络描述也不创造强制权力。它记录了 IANA 做什么以及与谁合作。它是当前依赖的证据，而不是一项将资产从失败的 RIR 转移出去或推翻所在国命令的法律文书。
实际的结论不是 IANA 无关紧要。顶级认可是一个继任者必须通过的多道关卡之一。但守门人不总是委托人。接受或拒绝一个新的区域对手方的能力，本身并不赋予获取新对手方所需一切事项的权力。
2016 年的协议证明了运营者替换是可以设计的
于 2016 年 6 月 29 日签署的IANA 号码服务服务水平协议，在 ICANN 作为运营方与五个 RIR 之间建立了一种明确的关系。它包括服务标准、审查、故障处理、不续约、终止、连续性和继任者条款。
五个 RIR 必须集体地并一致地行使特定权利。该规则使得突然的或派系性的替换变得困难。它承认 IANA 号码功能服务所有区域，而一个分裂的过渡可能损害唯一性和信任。
这项协议值得注意，因为它排斥了机构性的永久存在。ICANN 可能是现有运营方，但该合同提供了一条通往另一提供商的路径。连续性义务和继任者规划降低了依赖变成对问责制的否决的风险。
其方向同样值得注意。RIR 集体监督此项服务的运营方。运营方未获得移除其五个对手方之一的对称权力。该合同管辖顶级服务交付，而非区域公司继任。
这种不对称揭示了缺失的委托人。对于“谁可以替换 IANA 号码服务运营方？”，该系统有一个明确的答案。对于“谁可以替换一个 RIR，以及每个区域资产和关系如何随之转移？”，它欠缺一个同样完整的已通过答案。
该协议提供了一个起草范例。定义绩效。衡量故障。要求通知和补救。确定决策门槛。保护连续性。确立数据和合作义务。为继任者提供条件。一个区域继任制度将需要类似的纪律，并针对 RIR 所持有的更广泛的记录、合同、人员和当地法律约束进行扩展。
协议参数展示了一个更清晰的委托人关系是什么样子
作为RFC 2860 发布的 IETF-ICANN 备忘录提供了另一个比较。对于 IETF 协议参数工作，IAB 可以指定 IANA 职能，IESG 提供技术指导，且任何一方可以在提前六个月通知的情况下取消。
这是一种可辨识的指导和退出安排。相关的社区机构、运营方和范围是确定了的。读者可以看到谁提供技术指导，以及该关系如何结束。
该文本还明确排除了涉及互联网协议地址块分配的政策问题。该排除比任何类比都更重要。它防止清晰的协议参数关系被当作对区域号码注册机构的缺失权威。
这一比较证明了两点。第一，互联网协调能够书写明确的指定和取消权力。模糊性在技术上并非不可避免。第二，各项职能保持分离。IANA 某一部分中明确界定的权力不会因机构关联而迁移到另一部分。
一个未来的区域继任安排应模仿这种清晰度，而非借用其权威。它应确定有权启动审查的机构、证据标准、临时运营方、决策门槛、继任者指定和终止条件。它应说明哪些合同和资产不自动转移，然后提供合法机制来处理它们。
这不如宣布一个互联网守护者那么光彩。但它更有用。清晰的权力可以受到审查。在危机期间才发现的隐含权力，往往恰在最需要快速协调时引发争议。
成员控制一个公司，而非自动控制该系统角色
RIR 拥有成员、董事会和公司规则。取决于具体机构，成员可以选举董事、批准章程变更、接收报告、召集会议或挑战决定。这些都是真实的问责机制，并且可能是纠正管理失误的最快途径。
公司控制不应被低估。替换董事会或高管层可以恢复运营，而不会动摇注册机构的角色。成员理解区域需求，并在连续性中有直接利害关系。所在国法律在内部规则失灵时提供法院和救济。
但对法律人的控制并不自动就是将该区域系统角色转移给另一个法律人的权力。成员可以在同一公司仍然是受认可的 RIR 时修改章程。他们可能罢免董事，但缺乏权力去转让每一份合同。破产法可能限制资产转移。机密数据在没有合法依据的情况下可能无法移动。债权人可能拥有债权。
成员制还有一个分母问题。成员是一个确定的公司选民群体，不一定是该服务区域内每一个持有者、下游客户、路由运营方、政府或互联网用户。一次有效的成员投票可以治理公司，却不能证明所有受影响的各方都授权了区域继任。
反过来，ICANN 的认可不能消除成员权利。如果 ICANN 停止认可一个机构，其成员和公司依据所在国法律仍然存在。服务器、雇佣合同和银行账户不会消失。一个技术继承者不能仅仅因为更广泛的协调偏好连续性就简单地接管它们。
因此，继任需要在公司行动和系统行动之间架设桥梁。理想情况下，RIR 的治理文件、成员协议和连续性安排将预见到经认可的决策路径，并允许在确定的保障措施下进行转移。没有这些连接，机构性行动者可能做出互相冲突的决定，而每个决定在其自身领域内都是有效的。
法院可以挽救资产，但不能选择互联网的继任者
所在国法院拥有全球技术机构所没有的权力。它们可以执行合同、保全资产、任命管理人、监督破产、限制董事、强制披露和裁决公司争议。在危机中，这些权力可能决定注册运营能否存续。
然而，法院的管辖权与其所面对的法律和当事方相捆绑。一名法官可以决定谁控制一个公司或资产如何处理。但法院可能没有一个被采纳的全球角色，来选择每个 RIR、ICANN、IANA 和网络都应当认可为区域继任者的机构。
这种分离可能造成一个棘手的案例。一个技术社区可能偏好一个新的运营方。法院可能要求现有公司的资产保持在行政管理之下。成员合同可能限制转让。数据规则可能限制向国外转移。员工可能对现有公司负有义务。债权人可能抵制有价值系统的无补偿转移。
将技术决定称为“除名”并不解决那些法律主张。将法院的命令称为“控制”并不确保 IANA 或同行注册机构接受法院任命的运营方。双方都可以掌握有意义的权力，而无需任何一方完成过渡。
一个成熟的连续性制度应当预见到这种交叉点。它应确定管辖法律、托管或复制安排、获取关键记录的权利、紧急服务许可、资金、保密保障和合作义务。它应避免依赖法院从本地公司救济中发明出全球协调。
法院仍然是不可或缺的。目标不是要绕开合法的命令。而是通过在危机前创建有效的安排，来减少留给紧急诉讼的关键技术问题的数量。
路由选择既非注册继任，也非微不足道的后话
自治网络可以决定发起、传播和接受哪些路由。这种自由意味着没有任何注册机构能够仅仅通过更改数据库条目来保证全球可达性。运营方应用其自身的商业、技术和安全政策。
路由选择提供了一种退出形式。网络可以不顾一场机构争议而继续交换流量，也可以拒绝其认为不安全的宣告。这种分布式的判断是对完全行政控制的一种保障。
它不是注册继任的替代品。运营方需要用于转让、反向 DNS、路由安全凭证、联系记录和未来分配的稳定基础。双边的路由选择无法重建丢失的区域数据库，也无法决定哪个主张者可以签发有效凭证。
路由选择还具有协调效应。如果主要转接提供商和验证系统遵循现有机构的记录，一个继任者可能名义上被认可，但运营上虚弱。如果运营方在相互竞争的来源之间分裂，唯一性和安全性将受损。因此，实际接受是割接规划的一部分。
该系统应说明运营方选择从何处开始。继任者指定可以确立被接受的注册对手方。不应将其描述为对每台路由器的命令。运营方应知道哪些数据发生了变化、为什么、何时变化，以及该状态是最终的还是存在争议的。他们需要回滚和密钥迁移信息。
路由自主性使得合法性在实践中可衡量。一次许多运营方拒绝的过渡，可能揭示出咨询不足、技术执行缺陷或法律主张冲突。它不一定赋予每个运营方否决权。但它确实要求规划者将运营接受视为一个独立的条件，而不是假设认可会自动在网络中传播。
连续性问题比一份数据库副本更大
一个 RIR 持有多个类别的机构记忆。注册数据库记录了组织、资源、历史和联系信息。反向 DNS 委派将号码空间连接到命名系统。路由安全服务依赖于证书、密钥、仓库和依赖方的期望。内部文件可能包含身份证据、欺诈查询、转让记录和机密通信。
该机构还持有合同。成员和持有者与一个特定的法律人、依据特定的法律达成了协议。供应商提供数据中心、云系统、银行、保险和安全服务。员工掌握着任何文件导出都无法完全捕获的运营知识。办公室和硬件可能受制于租约、留置权或当地命令。
一个继任者既需要权力，也需要占有。一份复制的数据库仅仅因为完整并不具有权威性。同行机构、IANA、持有者和运营方必须知道哪个版本具有控制力，以及从何时开始。过渡期间的相互竞争的更新可能导致记录分叉。
安全材料尤其敏感。马虎地移动私钥可能损害信任。过于突然地重新签发凭证可能使依赖系统失效。将旧密钥保留太久可能让一个失败的机构能够实施冲突行为。一次过渡需要仪式、审计、撤销、重叠和恢复规划。
不能因为连续性紧迫而中止保密性。个人和公司记录可能受合同和数据法的管辖。继任者需要一个合法依据、访问控制和目的限制。公开的注册数据和受保护的案件档案不应被视为一个不加区分的资产。
最后，继任者需要资金。紧急运营、员工保留、基础设施和法律合规都有成本。如果现有机构破产，成员费可能被冻结或存在争议。一项连续性基金或保险机制应在失败前被确定，而不是在失败期间筹集。
这些要素将除名从一项政治声明变成一个工程和法律计划。没有它们，撤销认可可能加剧其本应治愈的不稳定性。
一项决策规则需要一个选民群体和一个分母
谁应决定一个现有机构已经失败？ICANN 董事会、其他四个 RIR、NRO 执行委员会、地址委员会、现有机构的成员、区域政府、网络运营商或一个独立小组都是可能的参与者。没有一个是不言自明的全球委托人。
每种选择都有优势和冲突。ICANN 可以将认可与更广泛的协调联系起来，但可能缺乏区域公司权力。同行 RIR 拥有专业知识，但可能是竞争者或对维护现有模式感兴趣。成员具有本地合法性，但可能分裂或被俘获。政府可以保护公共利益，但可能引入地缘政治控制。法院拥有合法的强制权力，但全球影响力有限。
一个组合机制更具可辩护性。一项独立的事实评估可以确定是否符合既定标准。区域成员和受影响的持有者可以被听取意见。同行注册机构可以评估技术连续性。ICANN 可以依据一项被通过的文书做出认可决定。法院将保留其对资产和公司权利的合法角色。
投票分母必须是明确的。其余 RIR 的一致同意、一个 ICANN 机构的绝对多数、一次区域成员投票以及一次跨社区批准，会产生不同的合法性。弃权、利益冲突和机构空缺需要规则。一场危机是最糟糕的时机，去发现决策机构无法达到法定人数。
参与数据很重要。咨询总数应区分提交意见、组织、区域、成员、资源持有者和路由运营方。来自一个集中群体的支持不应被描述为普遍同意。同样地，低参与度不应允许一个小的反对群体无限期地阻止紧急连续性。
目标不是针对每个技术步骤的完美民主。而是一个在危机的身份和利益明朗之前就已确定的决策规则。
官方的 ICP-2 审查承认该缺口，但尚未填补它
官方的ASO ICP-2 审查页面记录了一项 2023 年 10 月的请求，要求更新 2001 年的标准。该页面最后修改于 2025 年 8 月 28 日，并于 2026 年 7 月 12 日本分析审查，确定了一份第二稿的治理文件，涵盖认可、运营和除名，并计划进行咨询至 2025 年 11 月 7 日。
一份除名草案的存在是重要的。它表明号码社区认识到仅凭进入标准是不够的。持续性义务和退出程序需要明示处理。
证据必须被限定。所引用的页面将该材料标记为草案，并仍将 2001 年的 ICP-2 文本认定为现行文本。它本身并不能证明一份后续的最终文书已被通过、纳入所有必需协议或通过一次运营演习进行了测试。
咨询是一个阶段。最终批准、版本发布、法律审查、纳入、实施规划、资金和演练是另一些阶段。一份精雕细琢的治理文件，如果数据权利、密钥监管或法院互动仍未解决，依旧可能失败。
审查应通过它是否将决策权威与执行相连接来判断。谁可以宣布不合规？谁决定除名？哪些临时服务继续？谁选择继任者？哪些义务约束现有机构和同行？持有者如何被保护？哪些上诉暂停或延迟行动？割接如何被测试？
在一份被通过的公开文书回答这些问题，且必要的依赖方接受它之前，该审查是机构学习的证据，而非证明继任问题已解决。
一个最低可行继任章程
第一个组件是一个触发条件。财务崩溃、持续服务失败、丧失中立性、不法行为、治理瘫痪和拒绝履职，不应被坍缩为一个模糊的标准。每一种情形都需要证据、严重性和补救标准。
第二个是一位足够独立的调查员，以评估现有机构，且在技术上足够胜任，以理解注册运营。该机构应收到通知、获取证据的途径和回应的机会。紧急措施应范围狭窄且可受审查。
第三个是一个决策机构和门槛。存在利益冲突的参与者应回避。该规则应在空缺和诉讼下继续存在。理由应公开，除非保密是必要的。
第四个是一个临时运营方。临时连续性可能比立即永久替换更安全。该临时机构需要有限的权力、资金、安全控制和一个终止日期。
第五个是监管。数据库、历史、反向 DNS、路由安全系统、密钥、档案、合同和受保护记录需要分别的转移规则。复制和托管可以减少对不情愿交接的依赖。
第六个是持有者保护。注册不应因为机构失败而消失。费用、待处理请求、争议和转让案件需要连续性。持有者应知道哪些条款继续有效，以及何时任何新的协议被提供。
第七个是继任者选择。ICP-2 式的胜任能力、区域支持、中立性、资金和记录保存测试仍然相关。竞争和利益冲突应被管理。继任者不应仅仅因为它已经控制了紧急访问权限就被选中。
第八个是技术割接。密钥仪式、并行服务、验证、回滚、监测和运营方沟通应被演练。一项法律决定而不安全的割接是不完整的。
第九个是审查。现有机构、成员和重大受影响的持有者需要挑战事实和程序错误的途径。审查不应让策略性延迟破坏连续性，但紧急行动也不应免于纠正。
第十个是过渡后问责。独立审计应报告迁移了什么、什么失败了、什么仍存在争议，以及临时权力何时终止。
反对单一全球委托人的最强理由
缺失委托人的诊断听起来可能像是对一个全球监管者的呼吁。那项结论并不成立。一个单一的上级可能被俘获、政治化或被施压，因与技术表现无关的原因而移除一个注册机构。中央权力可能使区域自主权变得有名无实，并创造出一个更危险的阻塞点。
多中心治理分散风险。成员控制公司。法院适用本地法律。ICANN 协调认可。RIR 分享技术专长。IANA 履行有界限的服务。网络保留路由选择。没有一个单一机构能轻易夺取整个系统。
数十年的连续性显示这种安排是奏效的。大多数问题通过区域治理、合同、谈判和技术合作得以解决。一个常设的全球上级可能干预得过于轻率，而在本地修复更佳的情况下。
该系统还跨越了具有不同法律传统和政治利益的司法管辖区。一个条约级别的委托人可能无法实现，或产生削弱技术社区的国家间讨价还价。私人协调在地缘政治分裂下，保持了一定程度的全球互操作性。
这些都是保留分布式权威的有力理由。弱点不是缺少一个统治者。而是缺少一个对于罕见但可预见的失败场景足够明确的组合规则。多中心系统需要有那些有限的权力如何组合的协议。
一项继任章程可以保留下放权力。它可以要求若干独立的结论和批准，保持公司权利和司法权利完整，限制临时权力并保护运营方选择。其结果将是一个紧急状态下的联邦，而非一个全球主权者。
因此，对缺失委托人的最佳答案可能根本没有单一委托人，而是一个被通过的序列，告诉每个行动者其部分何时开始和结束。
连续性变为自我授权的危险
在位状态创造依赖。其他注册机构认可该现有机构。IANA 为其服务。成员向它付费。法院知道其法律身份。运营方查阅其数据。员工持有机构知识。这些依赖使替换成本高昂。
成本可能变成一个合法性论点：该机构必须拥有权威，因为系统离开它就无法运行。那种推理混淆了功能的必要性与运营方的永久性。它奖励了差的可移植性和薄弱的继任规划。
IANA 号码协议指向了一个更好的原则。一个关键的运营方可以被深度依赖，同时在确定条件下依然是可以替换的。连续性义务在变更期间保护该功能。
区域注册机构需要同样的分离。它们的专业知识和历史值得尊重。它们的记录需要保护。它们的成员拥有合法权利。这些事实中没有一条应使该区域角色在该机构持续不能履职时不可能转移。
可替换性不是敌意。它可以增强一个现有机构的合法性，通过证明继续认可依赖于表现，而非机构锁定。经过测试的连续性计划也保护现有机构免受胁迫威胁，因为利益相关者能够区分真正的治理失败与试图夺取资产的机会主义企图。
挑战在于避免轻率替换。高门槛、证据、补救期和独立审查可以保护稳定性。托管、复制和演练可以在不使移除变得容易的前提下保护连续性。该系统应既难以被扰乱，又可以修复。
机构不朽和突然的政治干预不是仅有的选项。设计好的继任是中间道路。
一项端到端的准备状态审计应测试什么
一项严肃的审计应从权威开始。它应确定用于调查、临时措施、除名、继任者选择和认可的已通过文本。草案和意向声明应与具有约束力的决定分开列出。
然后应测试公司兼容性。每个 RIR 的章程、成员条款、持有者协议、供应商合同、员工义务和所在国法律，都应针对连续性和转移条款进行审查。一项与每个本地文书都冲突的全球规则将在执行时失败。
数据审计应清点数据库、备份、历史、日志、机密文件和数据位置限制。副本应测试其完整性和新鲜度。访问应受控制，以使韧性不会创造出一个未经授权的监视池。
安全审计应涵盖密钥监管、证书层级、仓库、硬件安全、撤销和依赖方过渡。演练应包括一个不合作的现有机构和被破坏的凭证。
服务审计应测试分配、转让、反向 DNS、注册查询、路由安全颁发、滥用联系人、计费和成员沟通。它应定义哪些服务可以暂停，哪些需要近乎连续运行。
财务审计应确定紧急资金、员工保留、保险、供应商付款和继任者成本。它应模拟破产和资产限制。
法律审计应测试法院命令、债权人主张、隐私规则、合同转让、劳动法和继任者责任。它应包含的管辖权不止该中央协调机构所在的。
参与审计应披露谁被咨询，以及哪些群体仍处于该过程之外。它应测试语言可及性和利益冲突。
最后，该系统应使用合成记录运行一次公开演练。一份从未在一次定时割接中存活下来的计划，仅仅因为其治理文字完整，并不具备准备状态。
什么仍然未知
可获得的公开记录支持一个清晰的架构性发现。RFC 1366 提议区域分布作为一种扩展策略。ICP-2 于 2001 年确立了认可标准。RFC 7020 描述了已演进的层级并远离了 IANA 最终上诉。2016 年的服务协议赋予了五个 RIR 一条替换 IANA 号码运营方的路径。2019 年的 ASO 备忘录保留了独立的机构能力。官方的审查后来转向了除名。
所引用的记录没有确定一项最终被通过、完全合并并经过测试的区域继任制度。它没有确定完整的投票分母、临时运营方、资金来源、记录转移权、密钥过渡计划、持有者保护或割接测试。
此处未评估任何活跃的危机案卷。公司法可能在一个特定区域赋予成员、法院、清算人或监管者强大的救济。合同可能包含在此横向系统分析中未评估的连续性条款。那些权力可以解决一个真实案例的部分问题。
咨询的分母同样是缺失的。公开提交意见不一定显示有多少持有者和运营方理解、支持或拒绝了每个提案。沉默可以反映同意、漠不关心、缺乏能力或缺乏意识。
证据也没有证明一个单一委托人是可取的。一个分布式的序列可能提供更好的保护。主张是，当前所引用的已通过文书尚未揭示那个完整的序列。
这些局限提示应做好准备，而非报警。该系统通过合作运行了数十年。该缺口仅在现有机构无法或不愿履职，且通常的公司纠正失败时才变得决定性。这种低频条件恰恰是为什么规则必须在危机的身份、资产和政治利害关系已知前被确定的原因。
压力下的权威必须在需要之前被设计出来
号码注册链条并非无法无天。它包含许多有效的权威中心。成员治理公司。董事会管理机构。法院执行所在国法律。ICANN 在认可结构内行事。IANA 维护顶级服务。RIR 集体监督其号码服务提供商。网络选择路由。
尚未解决的问题是组合。如果一个 RIR 失败，这些权力中没有单独一个，能够自行调查该失败、撤销该系统角色、控制区域资产、保全每项服务、保护持有者、任命一个继任者并确保全球运营接受。
那一事实不应被层级的形状所掩盖。IANA 的顶级位置不是所有权。ICANN 的认可不是公司控制。成员控制不是同行认可。一项法院命令不是全球技术接受。路由选择不是注册连续性。
该系统需要一个被通过的序列，将这些权力联合起来，同时保持它们的限度。这样一个序列可以是多中心的：独立评估、区域听证、同行技术审查、ICANN 认可行动、合法的资产监管、临时服务、继任者选择和经过测试的割接。它不需要创造一个永久的上级。
成功将不是通过一份治理文件的优雅性来衡量，而是通过记录是否保持权威、密钥是否保持安全、持有者是否保持服务、法院是否能认可合法的安排、运营方是否能验证过渡以及紧急权力是否到期来衡量。
更深层的合法性原则是，有不轻率的可替换性。一个履行关键工作的机构不应因随意投票或政治压力而被移除。它也不应仅仅因为没有人准备好退出而变得永久。
因此，缺失的委托人不是一个等待一位全球统治者的空椅子。而是一个缺失的、被通过的权威组合。直到该组合完整并经过测试，连续性将过度依赖于相互认可、谈判以及希望每一个有界限的行动者在链条承受最大压力时，都能即兴地给出同一个答案。