摘要

  • NRS 在此主题中的角色是倡导、研究、宣传、召集和授权会员代表。操作行为属于 RIR、合法任命机构、合格运营商、审计师和连续性提供商；引用 NRS 的立场既不是 NRS 执行这些操作的证据，也不是 BTW 的背书。
  • 每个注册服务运营商应每年至少完成一次独立观察的迁移演习。被测试的请求对服务人员来说应像一个普通的持有者退出，而评估者知道该持有者、凭证、资源和权限是受控且合法的。
  • 测试必须涵盖整个过程：请求接收、身份与权限验证、导出、异议处理、依赖项清查、接收注册商准备、切换、公开证明、迁移后访问和关闭。成功的文件交付并不等于成功的迁移。
  • 每个阶段需要一个从可验证事件开始计量的具有约束力的截止日期。计时器仅可因与受影响资源相关的已公布原因而暂停，并且注册商必须说明缺失哪些证据、谁可以纠正以及暂停何时到期。
  • 测试组合应每年变化，并包括困难但合理的情况，如过时联系信息、大型混合组合、托管 RPKI、反向 DNS、合法保留、部分迁移以及在当地工作时间外收到的请求。
  • 失败赔偿应是自动的、有资金支持的，并与持续时间和后果成比例。它应支付给测试持有者，补偿接收注册商浪费的工作，并为补救措施提供资金，同时保留对更大已证明损失的索赔权。
  • 结果应将可移植性故障与无关路由事件区分开，发布决定性指标但不暴露安全细节，并要求重新测试。反复失败应缩减新客户许可，并可能最终终止注册商资格。
  • 年度演习将退出从法律抽象转化为可观察的制度能力。它约束现有注册商，揭示隐藏依赖，为会员提供可比证据，并在不削弱当前单一权威保障的情况下使竞争性注册成为可能。

角色边界是证据的一部分

NRS 自身的定位为这项分析提供了第一个边界。它是一个会员制倡导组织，推动去中心化、退出、可移植性、冗余和更少的情决定阻塞点。卢恒关于 NRS 为何存在的说明直接指出，NRS 不出售产品或实施商业解决方案；其作用是改变治理方向。因此，NRS 可以发布研究、组织活动、召集受影响的运营商、支持会员并代表授权给它的组织。但它不能将这种代表转化为对任何其他人的注册管理权。

实施层是独立的。RIR、合法任命机构、合格运营商、审计师和连续性提供商仍对任何权威注册记录、分配、转让认可、RPKI 或 RDAP 操作、技术故障转移、约束性审查、破产行为或与本文相关的法律强制补救负责。NRO 协调五个 RIR；它不是 NRS 的别名。IANA 编号服务执行其定义的协调角色；它们不是 NRS 的一个部门。法院和合法公共当局保留其法律体系实际赋予的权力。

BTW 的角色又是独立的。BTW 报道可观察的结构，核查一手来源，并将提案标注为提案。它不会将 NRS 的倡导转化为事实，不代表 NRS 进行宣传，也不从一致性推断权威。这种事实而非倡导的原则是本文中机构名词重要的原因：NRS 的建议、RIR 的行为和法院的命令是三件不同的事。

退出是一项可能失败的服务

机构通常将退出描述为顾客持有的权利。这在法律上很重要，但在操作上不完整。要行使这一权利，持有者需要经过身份验证的访问、完整的资源列表、可携记录、接收提供商、有约束的异议规则、依赖服务选择以及一个公认的切换事件。即使没有人正式拒绝请求，每个环节都可能失败。

延迟是实践中最常见的拒绝形式。注册商可以要求提供另一份文件、将案件转交给专家、等待经理、发现计费问题或表示安全审查仍在进行中。单独看，这些步骤可能听起来合理。如果没有时钟和证据，它们的积累可能使持有者被囚禁数月。

隐藏耦合创造了第二个风险。注册服务可能已与管理型 RPKI、反向 DNS、滥用联系、监控或委托管理一并出售。持有者可以转移基础委托，然后发现关键依赖仍指向旧注册商。反之，旧注册商可能假设每个相关服务应立即终止，造成可避免的中断。

年度测试将迁移视为一项输出和容差可观察的服务。关键问题不在于注册商是否有政策页面，而是合法请求是否通过常规渠道、在规定时间内、在单一当前权威下进行，且没有悄悄丢失记录或依赖。注册运营商应在痛苦持有者、破产事件或法院截止日期使失败代价高昂之前测试该能力。

演习必须对普通服务人员匿名

预先宣布的测试会产生戏剧效果。高级管理者选择干净的组合，检查每个依赖，警告支持人员，并预留维护窗口。注册商证明当机构知道其资格取决于结果时，它可以移动一个特别准备的客户。这并不能说明普通退出。

年度演习应使用一个评估状态仅由小型独立团队知晓的受控持有者。它通过同一门户、联系地址或服务台提交请求。工作人员在正常控制下进行身份验证。它获得与真实迁移相同的队列位置和升级机会。注册商只在决定性事件完成或安全阈值需要披露时才知道该请求是一次评估。

这并非允许在权限上欺骗。测试持有者使用真实的身份证据、授权代表以及为评估保留或合法委托的资源。文件真实。联系渠道工作。接收注册商知道它正在参与一次合格的演习，但不向失去注册商的普通工作人员透露这一事实。

独立评估者维护一份封存的测试章程，确定范围、安全措施和停止条件。如果出现真实的安全事件、法律问题或对无关持有者的风险，评估者可以披露演习并中止。区别是精确的：客户是真实的，请求是授权的，资源受控；唯一被隐瞒的是这次迁移将决定年度评分。

测试组合必须足够现实以揭示依赖

一个单一未使用的前缀和一个当前联系太过简单。年度组合应类似于注册商实际服务的客户范围。小型注册商可能收到适中的测试集。服务于复杂网络的提供商应面对包含 IPv4 和 IPv6 资源、一个自治系统号、多个授权联系以及至少一项依赖服务的混合组合。

组合应包含普通的不完美。一个联系可能已过时但可通过次要渠道恢复。一个资源可能被排除在迁移之外。反向 DNS 委派可能随注册移动而留在旧提供商处。托管 RPKI 可能需要临时继续或转移到接收注册商。这些条件测试工作人员能否区分有效复杂情况和冻结一切的理由。

年度变化防止死记硬背。注册运营商可以维护场景家族，并在审查每个注册商的客户组合和过往弱点后选择一个组合。一年可能强调持有者身份验证。另一年可能测试部分组合、时区边界或仅影响一个资源的法律限制。注册商应知道能力类别，但不知道选定的案例或开始日期。

演习必须避免人为的不可能。它不应依赖无法合法提供的文件，或要求注册商无法控制的依赖服务变更。困难来自现实的协调，而不是刁钻问题。有效的测试给予注册商任何普通合格提供商所需的所有事实，然后观察它能否识别和使用这些事实。

年度节奏设定最低标准，而非上限

每年一次演习是资格下限。注册商还应在重大服务变更、收购、平台替换、密钥保管变更或支持团队合并后进行测试。快速成长或关键迁移失败的提供商可能需要更频繁的评估。当局可以在会员投诉表明恶化时选择额外演习。

年度时间应在公布的窗口内不可预测。注册商知道演习将发生在资格年内，但不知道月份、日期或组合。这支持正常的人员编制和预算准备，而无需临时绩效。测试可以始于常规营业期、晚间交接或区域假日边界，具体取决于注册商销售的服务承诺。

节奏应遵循注册商而非日历。资格从指定日期开始，续订前必须存在通过结果。失败测试不会重置年份。补救和重试发生在更短的截止日期内，而原始失败在适用报告期内保留在公开发布记录中。

重复演习应显示学习。评估者比较当前表现与先前发现：导出完整性、暂停频率、切换准确性、依赖连续性和补偿速度。通过恰好避免去年确切错误但出现新的系统性延迟的注册商并未展示出成熟的便携性。年度证据应揭示能力是稳定、改进还是恶化。

测试从独立时间戳的请求开始

每个截止日期都需要一个可信的起始事件。持有者通过常规渠道提交签名请求，并收到确认时间、资源范围和案件参考的收据。如果注册商未能发出发票，评估者的交付证据即启动时钟。提供商不能通过拒绝承认请求来逃避责任。

初始请求确定未改变的持有者、确切资源、提议的接收注册商和期望的转让窗口。它将基础注册与依赖服务区分开。它还识别授权代表和保护性通知渠道。注册商仅可在已发布规则使该证据与特定风险相关时要求额外证据。

在第一个截止日期内，失去注册商必须确认当前组合，识别有效限制，并说明哪些服务与每个资源耦合。它不应决定接收提供商的资格；这属于共同资格当局。它也不应要求持有者提供离开的商业理由。

收据不仅仅是客户支持礼仪。它创建一个版本绑定点，据此判断后续变更。如果联系发生变更、法院命令到达或资源变得有争议，记录显示该事件是发生在请求之前还是之后。评估者随后可以区分真正的环境变化和延迟开始后编造的借口。

身份验证必须证明权限而不造成囚禁

迁移风险很高，因为攻击者可能利用可移植性夺取控制权。因此，强身份验证是必要的。但安全可能成为囚禁的借口，当只有发证机关可以定义什么算作证明，且每次失败尝试都返回无法解释的拒绝时。

测试应要求与可比真实持有者相同的已发布保证水平。证据可包括经过身份验证的账户访问、通过保护性联系进行独立确认、公司权限文件以及资源特定的批准。对于高影响组合，不能将任何单一因素视为结论性。注册商说明每个检查支持哪个命题。

如果检查失败，响应必须是可操作的。“身份不匹配”是不够的。持有者需要知道是法定名称、代表权限、资源范围、签名还是联系确认失败，具体取决于安全限制。后续提供补救路径和截止日期。时钟仅对受影响的检查暂停，而不是对注册商可以继续的无关导出或依赖清单。

年度演习应偶尔使用合法恢复路径而非完美账户。这测试持有者是否可以在员工流失、凭证丢失或更名后离开。评估者确保证据充分。注册商通过安全及时地解决差异而通过，而不是削弱身份验证。目标是在安全与退出之间取得平衡，而不是不费吹灰之力地接受任何请求。

导出质量通过重建衡量，而非文件交付

注册商可以发送看起来完整的大档案，但遗漏继续服务所需的事实。因此，迁移测试应询问接收注册商能否从交付的记录加上常见的公开证据重建持有者的识别状态、历史和所选服务。

导出应包括资源列表、稳定持有者引用、允许的公开和保护联系、当前提供商委托、相关历史事件、限制、待处理请求、委托管理和依赖声明。每条记录需要版本、发行者和完整性证明。受保护证据可通过受控保管路径而非普通交付转移。

完整性通过独立参考计数和抽样事件进行测试。范围内每个资源应出现一次，排除的资源应保持明确排除，父子关系应保持完整。接收注册商确认它可以在不要求失去注册商解释未记录的本地字段的情况下解释记录。

及时性与格式同样重要。在切换窗口后交付的完美导出可能使退出不可能。标准应设定初始交付截止日期和针对已识别缺陷的较短修正期。如果失去注册商在导出后更改当前数据，它发送签名增量，以便接收方不针对过时状态做准备。

只有当接收方确认语义可用性时，交付才算完成。这并不给接收注册商战略否决权。它必须在自己的截止日期内识别客观缺陷。评估者解决分歧，防止任何提供商通过模糊的不兼容声称延长测试。

依赖发现是强制性阶段

注册与可能影响操作连续性的服务并列。测试必须盘点 RDAP 发布、反向 DNS、RPKI 认证或发布、滥用和紧急联系、委托用户访问、监控、计费相关的暂停规则和恢复渠道。持有者决定每个服务是移动、继续还是终止，具体取决于技术和法律约束。

不应允许强势注册商仅仅因为销售捆绑包而声称依赖不可分割。如果管理型 RPKI 可以根据单独协议继续，则该选项应可见。如果不可能，注册商必须解释技术边界并支持安全替换。反向 DNS 管理和委托联系适用相同规则。

RPKI 需要明确测试，因为发布和依赖方观察有自己的时间安排。RFC 8181定义了一个发布协议，支持带完整性检查的发布、撤销和存储库列表。注册商迁移不自动要求更改证书颁发机构或发布服务，但测试必须证明所选安排保持有效且可观察。

RDAP 也需要切换后检查。公开记录应识别相同的持有者和资源，同时显示新的注册商委托于接受版本。反向 DNS 应根据持有者选择的计划进行响应。路由可能受到监控以发现意外变化，但注册转让不应仅仅因为独立网络因无关原因更改路由而宣告失败。

截止日期需要时钟层次结构

一个端到端目标是必要的，但不够。注册商可以消耗几乎整个时期，然后暴露出本可以在第一天识别的缺陷。阶段时钟创造更早的问责制，并使延迟可诊断。

注册运营商应定义至少七个时钟：收据、初步验证响应、导出、异议、依赖计划、准备确认和切换证明。标准组合可能要求分钟级收据、一个工作日内初步验证、两个工作日内可用导出、固定短窗口内的异议以及准备就绪后少数日历日内的最终切换。高风险组合可以在不失去阶段纪律的情况下获得更长的公布限制。

日历时间和营业时间应区分。安全通知可能需要连续处理。公司证据审查可能取决于管辖权的营业日。适用时钟在请求收据时声明，包括时区和假日日历。提供商不能在截止日期临近后切换约定。

每次暂停必须识别其法律或证据基础、受影响资源、开始时间、责任方、所需补救措施和到期时间。无关资源继续。沉默不会暂停时钟。等待持有者但不说明需要什么信息的注册商仍对经过的时间负责。这些规则将“我们正在审查”从无限条件转变为可测试的主张。

异议必须狭窄、有证据且有时限

失去注册商有合法的反对理由：可信的未经授权指令、资源不匹配、约束性法律限制、待处理的持有者争议或欺诈证据。它没有因为客户欠普通发票、偏向竞争对手或拒绝购买捆绑服务而拥有的合法全面否决权。

测试应包括至少一个可能被误认为是有效反对的条件。例如，一个资源可能带有狭窄的保留，而组合的其余部分干净。有能力的注册商隔离该资源，说明证据，并允许其余部分继续进行。弱的注册商冻结整个账户。

除非确认，否则异议过期。注册商在异议截止日期前提交理由、证据类别、资源范围和请求的补救措施。独立审查员在短时期内决定有争议的理由。紧急保护可以维持高后果行动，但不应静默地成为永久。

年度评分应区分适当的安全干预和延迟。注册商可以在阻止未经授权的测试请求的同时通过，如果它正确识别了问题、保持了服务并支持了审查。演习并非旨在奖励自动批准。它奖励准确、有边界的决定，同时保护持有者控制和退出权利。

接收注册商也必须接受测试

迁移有两个活跃的服务提供商。接收注册商验证持有者、验证导出、准备依赖并接受未来职责。如果它表现不佳，指责现任会扭曲结果。因此，每次演习应产生单独的失去方、接收方和共享协调发现。

接收方必须在截止日期内确认请求、披露要求、测试记录可用性并识别缺陷。它不能要求持有者重新创建已在可验证公共表格中提供的历史记录。它也不能仅仅因为自己的呈现不同而更改持有者身份、资源范围或限制。

准备不仅仅意味着账户已开立。授权用户能访问拟议服务。联系和资源匹配。所选依赖已准备。紧急支持可用。接收方知道将开始其权力的确切切换事件，并且在该事件之前未作为当前提供商行事。

由于每个注册商有时都会是接收方，年度选择应轮换角色。一个提供商可能面临一次完整的传出测试，并参与几次传入测试。其资格记录应反映两者。竞争依赖于释放客户的能力和安全接收客户的能力。

切换必须保留一个当前提供商

决定性事件用接收注册商替换失去注册商，针对列出的资源于一个接受版本。在该事件之前，旧注册商保持当前。之后，新注册商担任。准备可以重叠；权威控制不能。

评估者观察前提条件：已验证的持有者、可用导出、已关闭的异议期、批准的依赖计划和接收方准备就绪。协调员随后针对当前版本提交提供商更改。过时或重复的指令安全失败。生成的收据识别前提供商和新提供商、资源、未改变的持有者和生效时间。

测试检查空白和重叠。不能有任一提供商无法处理紧急注册事宜的时期。不能有两者都可以提交权威变更的时期。旧提供商可能为了证据保留而继续只读访问，但其更改当前状态的能力终止。

对于大型组合，切换可以使用声明的批次。每个批次仍然有一个原子性提供商更改和明确结果。失败记录不应让一个资源的一半留在每个提供商下。评估者确认干净的批次继续，失败的批次保留其先前的当前状态直到纠正。

证明必须独立于提供商的成功消息

注册商不应给自己的迁移打分。完成证据必须结合协调收据、前后状态、公开观察、持有者访问和依赖检查。评估者记录确切时间，并区分接受的切换和之后通过缓存或存储库可见。

持有者应能够通过接收注册商登录，查看每个迁移的资源并使用授权联系。失去注册商应显示当前权威已结束，且除非单独服务继续，否则不收取未来经常性服务费用。公开注册服务应显示新委托并保留事件历史。

选定的依赖接受直接测试。通过公认发现查询 RDAP。根据声明计划检查反向 DNS。RPKI 发布和依赖方可见性在演习包含时被观察。紧急联系接受受控挑战。每个结果说明依赖是移动、继续未变还是按授权终止。

证明包应足够持久以供日后审查，但最小化私人数据。公开报告可以显示截止日期、通过标准和失败，而不公布身份验证证据或网络细节。评估者根据定义的保管期保留受保护证据。这种分离让会员信任结果，而不将安全演习变成客户数据披露。

失败赔偿必须自动

失败退出即使没有中断也会产生成本。持有者花费员工时间，接收注册商保留容量，不确定性可能延迟企业交易或网络变更。如果赔偿需要单独的投诉和酌情谈判，那么造成延迟的同一机构控制着补救措施。

注册运营商应建立与可观察失败挂钩的自动赔偿。缺失收据、延迟验证、不可用导出、无效广泛异议、错过切换、未经授权的重叠和依赖服务中断，每个都有基本金额。持续时间在适用截止日期后增加支付。高影响后果收取额外金额。

自动支付不需要证明每项损失。它是最低服务补救，类似于其他通信市场中使用的自动补偿安排。英国通信管理局的自动补偿框架展示了消费者保护逻辑：当指定服务失败发生时，支付不应取决于客户启动另一个索赔。注册金额和触发因素需要反映号码资源风险，而非家庭宽带。

支付给测试持有者，即使组合是受控的。这防止免费年度失败。第二笔金额补偿合理的接收注册商成本，第三笔资金用于独立重测。赔偿不能购买通过结果。失败仍被记录，补救仍为强制。

赔偿应反映持续时间、范围和后果

固定费用可能成为延迟的廉价选项。因此，时间表应结合固定触发点、每日金额和后果乘数。延迟确认收到适度的自动金额。无效保留延迟整个组合数周成本更高。服务中断、未经授权的变更或安全暴露吸引更高乘数。

范围重要。影响一个孤立的低风险资源的失败与广泛组合冻结不同。评估者计算受影响的资源和服务，而不将前缀中的每个地址视为单独事件。时间表应足够可预测以定价风险，同时抵制人为放大。

最低补救不应消除对更大已证明损害的索赔权。如果真实迁移失败导致中断、合同损失或紧急响应成本，持有者保留普通法律权利。自动金额及时支付，并仅在法律允许的情况下抵消。它不是责任豁免。

重复失败应增加赔偿和审慎要求。连续两次年度测试失败的注册商可能需要更大债券、更频繁的演习和受监督的迁移。升级成本改变激励：推迟便携性投资变得比修复能力更昂贵。会员在选择提供商之前可以看到弱退出服务的后果。

支付安全必须经受注册商困境

如果注册商在最无力支付时失败，赔偿就毫无意义。资格应要求与客户数量和服务复杂性相匹配的圈定储备金、债券、保险安排或注册运营商支持的担保。资源应能在测试失败的客观证明后调用。

融资机制必须避免道德风险。共同基金可以提供自动支付，但失败注册商仍有责任偿还并支付基于风险的贡献。强提供商不应永久补贴弱竞争对手的重复失败。必须公布贡献规则和独立财务监督。

破产是最困难的情况，也是预融资的最强理由。陷入困境的注册商可能正是在许多持有者想要离开时延迟退出。赔偿单独无法解决容量压力，但可用资金可以支持临时援助、接收提供商成本和独立协调，同时普通债权人索赔单独进行。

储备金不应赋予注册运营商对客户资源的控制权。其目的是补救和连续性支出，而非获取注册商或组合。释放条件、最大用途和审查权应在困境前设定。财务准备随后支持退出，而不将担保人转变为永久服务垄断。

公开结果应提供信息而不暴露攻击路径

会员需要的不仅仅是一个通过徽章。年度报告应在完成后披露测试日期范围、组合复杂性类别、总持续时间、阶段截止日期、暂停、异议、导出缺陷、依赖结果、赔偿和补救状态。它应显示注册商是首次通过还是重试后通过。

安全敏感细节保持受保护。身份验证因素、确切资源标识符、员工姓名、恢复渠道和关键材料不属于公开报告。独立评估者可以向授权审查员提供更完整的证据。编辑不应掩盖失败的性质或持续时间。

可比性重要。每个注册商报告相同核心指标。额外叙述可以解释异常法律事件或外部依赖，但不能取代评分。会员应能比较中位确认时间、导出缺陷率、端到端迁移时间、无效暂停频率和先前失败。

记录应跨所有权变更持续。注册商不能通过更改交易名称或公司母公司来抹去失败测试。如果服务运营真正转移到不同的合格机构，继任者接受自己的评估，而前任的历史仍附在会员依赖它的时期。

反游戏控制保护演习的价值

一旦年度测试变得有意义，注册商将尝试推断测试。一个拥有小型受控组合的新持有者、陌生的接收提供商或特定的请求月份可能引起特别关注。场景变化和多个合格测试持有者降低可预测性。

注册运营商还应比较待遇。评估者可以在许可和隐私保护下抽样同期真实迁移，以查看其队列时间和缺陷率是否与演习相似。通过隐藏测试但系统延迟普通持有者的注册商仍未能履行更广泛的义务。

工作人员不应因正常处理测试案例而受到惩罚。激励应奖励所有案例的可靠服务，而非探测审查员。高级领导层在完成后收到发现，并对补救负责。受控持有者的身份可以轮换，接收注册商应从合格池中选择。

合谋也需要控制。如果失去和接收注册商都知道组合，他们可以策划完美交换。评估者限制预先信息，监控通信，并保留时间戳。避免重复配对。未披露的重大协调使结果无效，并触发注册商自费的新测试。

比例应改变复杂性，而非退出权利

小型注册商不应面对与全球提供商相同的组合规模，但每个注册商必须证明安全发布、可用记录、有约束的异议和单一当前提供商切换。比例调整演习复杂性和财务金额。它不赦免囚禁。

测试类别可以反映客户数量、资源量、依赖服务和关键性。基本类别使用小型组合和普通联系。高级类别添加混合资源、委托管理和选定的安全服务。关键类别包括公共部门或基础设施依赖以及更严格的连续性观察。

共享技术服务如果责任保持明确，是可以接受的。小型注册商可能依赖合格的导出提供商或共同协调服务。演习测试持有者所体验的组合服务。注册商不能因错过截止日期而责备其承包商，尽管按合同追偿可能单独进行。

比例也支持进入。新提供商可以在接受许多持有者之前用受控组合证明能力。其限制在通过更高类别后扩大。这比要么排除小型竞争者，要么允许他们在任何人测试客户能否离开之前积累客户更站得住脚。

公共部门和关键网络需要不同的场景类别

一些持有者支持医院、紧急通信、公共管理、交易所或基本公用事业。其迁移必须考虑维护窗口、采购控制、多个授权官员和更高的连续性需求。通用的小型企业测试不会揭示注册商能否安全服务它们。

向这些持有者营销的注册商应通过关键服务场景。演习可以使用预留资源和模拟依赖，而非实时关键网络。它测试非工作时间升级、多方权限、分段切换、回滚准备和跨辖区通信。

在真正需要公共批准时，截止日期可能更长，但影响容差应更严格。英格兰银行的操作韧性方法提供了一个有用的跨行业原则：识别重要服务，设定可容忍的中断，并测试严重但合理的情况是否仍在该容差内。注册实施将该原则应用于注册连续性，而非金融监管。

关键类别还应测试部分隔离。对一个资源的法律限制不能冻结同一组织持有的每个公共服务。注册商必须保护受保护权限，同时使干净资源继续进行。成功表明不仅仅是速度，而是在约束下的纪律性连续性。

法院和争议条件属于演习库

法律限制是可预测的迁移风险。年度演习应有时包括根据演习章程发出的有效模拟暂停。注册商通过其正常法律渠道收到文件，并且必须识别范围、生效时间、持续时间和受影响的行动。

有能力的响应不会盲目服从文件或忽视它。法律工作人员验证来源，确定它是否约束注册商或持有者，保留证据，并应用最窄的正当保留。持有者和接收注册商收到解释操作影响的通知，而不暴露受保护材料。

场景可以包括挑战或到期。当暂停解除时，暂停的资源从已知状态恢复，而不重新启动干净迁移。如果审查发现保留无效，测试测量纠正时间和赔偿。这揭示法律处理是否与便携性集成，还是作为无限期侧队列存在。

没有虚构的法庭文件应类似于真实命令或命名真实争议。章程仅建立其在受控演习内的有效性。目标是测试识别、隔离和连续性，而不是注册商无视法律的意愿。公布的结果说明法律条件场景发生，但不需要披露精确事实模式。

托管是必要的，但不能证明迁移

定期托管可以保存注册信息以防注册商失败。ICANN 的注册商数据托管计划说明了定期托管和批准保管人如何支持连续性。托管是有价值的，但它回答的是比年度迁移演习更窄的问题。

托管可能完整，但对于接收注册商来说，快速使用仍然困难。它可能不包括当前依赖选择、近期事件或切换所需的权限。发布可能取决于不适用于普通自愿退出的正式触发器。持有者可能没有直接测试托管记录的方法。

演习应在允许的情况下比较普通导出与托管证据。计数、版本和选定记录应协调。即使实时迁移成功，差异也成为补救发现。评估者还检查托管保管不会创造在普通服务期间扣留便携记录的借口。

托管防止数据丢失。迁移测试防止实际退出丢失。两者都需要。一个在失败下保存信息；另一个证明机构可以在现任仍然存在时进行身份验证、转移、承担权威并继续服务。

补救必须有截止日期和独立关闭

失败测试应产生简短的决定性发现列表，每个与证据和后果相关。注册商迅速提交补救计划，但计划不能恢复资格。评估者验证修复，并在定义时期内进行新的隐蔽迁移。

一些失败需要立即限制。未经授权的双重权威、持有者证据丢失或危险的依赖终止可能证明暂停新客户获取直到纠正。较小的延迟可以在监督下允许继续服务。现有持有者保持受保护并能离开；限制不应困住他们。

重试应变化场景。重复相同案例奖励死记硬背。新演习针对失败的能力，同时检查完整路径。第一次失败的赔偿无论后来成功与否仍应支付。

独立关闭防止管理层宣布自己的修复完成。评估者通过证据确认行为改变。审查机构听取对发现和制裁的争议，但普通上诉不暂停紧急保障。公布状态显示失败、补救到期、重试已安排、重试通过或资格受限。

重复失败应改变市场准入

如果每个注册商在重复失败后仍完全合格，资格几乎毫无意义。注册运营商应使用升级阶梯。第一次失败触发赔偿、补救和重试。定义时期内的第二次重大失败增加财务安全、监督和测试频率。第三次可限制新客户获取或复杂服务提供。

持续无法安全释放持有者应通过合理决定结束注册商资格。有序过渡计划随后转移剩余客户、保存记录并避免突然的大规模中断。注册商有审查权，但会员连续性优先。

制裁应聚焦于能力和行为，而非规模或政治。报告自身缺陷、保护客户并迅速修复的提供商可能与隐瞒延迟、篡改证据或报复测试持有者的提供商受到不同对待。自动赔偿仍适用，因为服务失败。

市场后果是问责的一部分。公布的结果允许持有者选择具有明显退出表现的提供商。保险公司和担保人可以定价重复失败。接收注册商可以为弱对手方做好准备。年度测试因此创造了正式制裁成为必要之前的激励。

示例迁移展示通过的含义

第一天，受控持有者提交请求，移动两个前缀和一个自治系统号，同时将第三个前缀留在现任。它请求在短期内继续反向 DNS 服务，并在切换时移动托管 RPKI 发布。请求通过普通渠道收到带有版本边界的收据。

注册商验证两个代表，发现一个公开联系已过时，并通过受保护次要渠道确认权限。它导出完整的选定组合，识别一个已过期的历史限制，并说明活跃的计费争议不阻止转移。接收注册商发现一个缺失的事件引用；现任在缺陷窗口内纠正它。

在通知期间，测试引入一个仅影响一个前缀的狭窄法律保留。注册商隔离该前缀，并允许自治系统号和干净前缀继续。两个提供商准备选定的依赖。在切换时，一个有序事件将干净资源的当前提供商更改为新注册商。保留的前缀留在现任处。

评估者验证公开注册、接收方访问、反向 DNS 连续性和 RPKI 观察。当模拟保留到期时，最终前缀通过单独事件移动。所有阶段和端到端截止日期都得到满足。无需赔偿。通过意味着注册商正确处理了不完美，而非测试中没有摩擦。

衡量应聚焦于持有者成果

主要衡量是端到端时间，从验证的请求收據到完成证明。阶段衡量解释该结果：确认、验证、导出、缺陷纠正、异议、准备和切换。报告还统计手动干预、未解释暂停和高级升级。

质量衡量包括导出完整性、资源范围准确性、持有者连续性、依赖结果、无双重权威和公开记录一致性。安全衡量包括正确身份验证、对可疑变更的响应以及私人证据保护。补救衡量包括赔偿计算和支付时间。

注册运营商应记录迁移是否会在没有评估者干预的情况下成功。监测员可以要求证据，但不管理案例。如果评估者必须告诉工作人员哪个部门拥有导出或提醒他们截止日期已过，注册商则未通过普通服务能力。

会员体验也很重要。通知应易于理解，要求稳定，审查路径可见。技术成功的转让如果持有者收到矛盾指示或被迫撤回，仍可能是滥用。年度演习应评分清晰度和非报复性，与技术连续性并列。

测试加强而非削弱安全

注册商可能认为可预测的可移植性有助于攻击者。设计不良的可移植性确实如此。严格的迁移测试正相反：它在观察下测试代表权威、独立确认、版本绑定、通知、狭窄异议和单一当前提供商切换。

安全控制在从未用退出进行过演练时会变得危险。恢复渠道可能适用于登录，但未能授权提供商变更。欺诈团队可能知道如何冻结账户，但不知道如何隔离一个资源。法律团队可能施加无限期保留。演习在攻击者或危机之前揭示这些不匹配。

匿名也测试控制是否一致适用。工作人员不能在不知道评估案例时削弱对偏爱客户的检查，或加强以延迟批评者。独立证据使过早批准和滥用拒绝都可见。

正确的安全目标是授权、可观察和可逆的错误处理，而非不动性。永远不能离开的持有者并不安全；它受制于现任自己的妥协、破产和错误。经过测试的退出分散了机构风险，同时保留对谁可以请求更改的严格控制。

年度演习为会员提供可强制执行的证据

会员通常在选择注册商后才知道退出质量。投诉作为轶事到达，通常保密，提供商解释每个案例都是特殊的。通用年度测试在下一个持有者做出选择之前创建可比证据。

证据也改善治理。会员代表可以看到费用收入是否支持便携记录、训练有素的工作人员、依赖服务连续性和赔偿储备。他们可以质疑重复的手动干预或糟糕的非工作时间响应。审查机构可以区分一次性错误和慢性弱点。

法院和公共当局也获得更清晰的记录。当争议涉及延迟或服务连续性时，阶段收据和公布的限制缩小了事实问题。自动赔偿解决基线补救，无需完整诉讼。受保护的身份验证和法律证据在适当授权下仍然可用。

最重要的是，测试改变了举证责任。持有者不再需要证明退出在损害后不切实际。注册商必须每年证明普通服务可以安全地发布现实组合。资格成为有证据支持的权力，而非永久标签。

结论

只有当机构能在普通条件下执行时，退出权利才成为现实。条款、政策页面或数据托管不能证明持有者会收到及时的确认、可用记录、有约束的异议、安全依赖计划、单一当前提供商切换和独立证明。年度隐蔽迁移可以。

演习应是合法、受控和苛刻的。持有者和资源在评估安排下是真实的。权限证据是真实的。服务工作人员只是不知道这个普通请求将决定注册商的年度可移植性结果。场景变化防止演戏，安全措施防止对无关持有者的风险。

约束性时钟将延迟转化为可观察的失败。自动赔偿给失败带来成本，而不强迫另一起投诉。公开指标让会员比较提供商。重试验证补救。升级限制防止重复失败成为接受的商业模式。

更深层目的是制度平衡。号码资源唯一性要求一个接受的当前权威，但该要求不能变成现任囚禁。注册商通过保护持有者和在服务结束时安全释放持有者来赢得信任。迁移测试使两个职责都可见。每个注册服务运营商都应在要求会员相信退出存在之前通过它。

NRS 和 BTW 角色来源