摘要

  • NRS 在此主题中的角色是倡导、研究、游说、召集和经授权的会员代表。操作行为属于 RIR、其合同运营商、受影响的持有者、网络运营商和独立审计师；引用 NRS 的立场既不是 NRS 执行它们的证据，也不是 BTW 的认可。
  • 注册局服务水平应描述持有者可以验证的条件，而不是机构可以计数的活动。工单确认、平台可用性和平均响应时间仍然是有用的诊断指标，但没有一个能证明公共注册记录的准确性或控制权已恢复。
  • 五项客户旅程需要不同的承诺：保持记录准确性、纠正声称的错误、完成许可的转让、安全移交 RPKI 及相关权限，以及从泄露或提供商故障中恢复。一个通用支持目标无法代表它们不同的风险。
  • 每个时钟需要一个可观察的起点、一个狭窄的允许暂停列表、一个最大暂停持续时间和一个基于结果的停止点。注册局运营商应防止提供商通过反复声明提交不完整而延迟启动，而不指明缺少的事实及其必要性。
  • 准确性必须在依赖面进行衡量。如果权威 RDAP、委托文件、反向 DNS 权威或 RPKI 服务状态仍显示过时或矛盾的结果，则一个私有系统中的正确值不满足承诺。
  • 转让和证书移交是耦合的但不相同。持有者必须收到一个有序的注册变更、基本安全权限的连续性、前提供商控制的退役以及足以证明每个转换的证据，同时不允许两个不兼容的当前状态。
  • 绩效报告应披露百分位数、积压案例、严重性、队列、排除项、重新开启以及到客户确认结果的时间。平均数和可用性百分比会隐藏小尾部，其中号码资源依赖将延迟转化为运营损害。
  • 未履行的承诺需要后果：对规定延迟的自动费用减免、纠正成本补偿、独立审查、重复失败补救以及针对可证明损失的单独补偿机制。没有补救措施的服务水平仍然是一种管理愿望。

角色边界是证据的一部分

NRS 自身声明的定位为本次分析提供了第一道边界。它是一个会员制和倡导组织，推动去中心化、退出、可移植性、冗余和更少自由裁量的断点。卢恒关于 NRS 为何存在的说明直接指出 NRS 不出售产品或实施商业解决方案；其角色是改变治理方向。因此，NRS 可以发布研究、组织运动、召集受影响的运营商、支持成员并代表已授予其权限的组织。它不能将该代表权转变为对任何其他人的注册局权威。

实施层是独立的。RIR、其合同运营商、受影响的持有者、网络运营商和独立审计师仍然对本文相关的任何权威注册局记录、分配、转让确认、RPKI 或 RDAP 操作、技术故障转移、有约束力的审查、破产行为或法律强制补救负责。NRO 协调五个 RIR；它不是 NRS 的另一个名称。IANA 编号服务执行其定义的协调角色；它不是 NRS 的一个部门。法院和合法的公共机构保留其法律体系实际赋予的权力。

BTW 的角色又是独立的。BTW 报告可观察的结构，检查主要来源，并将提案标记为提案。它不将 NRS 的倡导转化为事实，不代表 NRS 进行游说，也不从一致中推断权威。这种‘现实而非倡导’的纪律正是本文中机构名词重要的原因：NRS 的建议、RIR 的行为和法院的命令是三个不同的东西。

客户不使用仪表板

运营团队需要仪表板。他们需要知道数据库是否复制、认证是否响应、收到了多少请求、哪些队列在增长以及哪个依赖不可用。这些措施可以在持有者注意到问题之前发现故障。错误始于机构将相同的措施视为客户已收到承诺服务的证明。

考虑一个持有者，其法定名称在合并后已更新。提交被接受，案例管理屏幕记录完成。私有账户视图显示新名称。但权威 RDAP 继续显示旧公司四天，因为发布组件失败。从员工的角度看，案例已关闭，几乎所有系统都健康。从客户的角度看，对手方使用的记录仍然是错误的。

这种差异并非语义上的。互联网号码记录影响尽职调查、滥用联系人、转让检查、路由安全管理以及运营信任。RFC 7020将注册准确性和唯一性视为互联网号码注册系统的核心目标。因此，准确性不仅仅是机构在某个地方存储了预期值。它是在权威服务向有权依赖它的人呈现正确的当前状态，并带有一致的支持权威。

注册服务运营商承诺应以“持有者将能够……”开头。持有者将能够在权威 RDAP 中看到接受的更正。持有者将能够证明转让已达到一个当前的提供商。持有者将能够在证书移交后发布和管理有效的路由授权。持有者将能够在普通凭证不可用时通过测试的路径恢复权威。这些句子揭示了某个指标描述的是服务还是仅仅是管理。

可用性是必要且极不完整的

可用性衡量服务是否响应。它不一定衡量答案是否正确、当前、授权或有用。RDAP 端点可以在整个事件中返回 HTTP 响应，同时提供过时的持有者、过时的状态或不完整的事件历史。门户可以接受请求，同时将其放入没有完成标准的队列。证书存储库可以保持可访问，而持有者实际上失去了对其更新 ROA 所需凭证的控制。

这种区别在其他基础设施领域是熟悉的。支付服务可以在线，而特定客户的资金不可用。铁路可以运营大多数列车，而一位乘客的旅程失败。云控制台可以加载，而受保护账户的恢复仍然不可能。可用性描述了交付的一个条件，而不是整个结果。

注册局运营商应保留对权威 RDAP、注册变更提交、验证、RPKI 发布和紧急联系渠道的技术可用性承诺。它应发布可用性的衡量方式、从哪些独立观察点以及有哪些维护排除。但每个技术指标应位于客户结果承诺之下。中断可以解释为何未达到结果；它不应将结果重新定义为成功。

相同层级适用于支持措施。首次响应时间有用，因为沉默会增加不确定性。然而，快速的自动确认不会纠正错误记录。处理的案例数可能显示工作量，但可以奖励不必要的交流。客户满意度可以揭示沟通失败，但无法验证唯一性或安全性。注册局运营商需要所有这些工具。它应拒绝让其中任何一个替代完成、准确和安全的服务。

服务水平需要五个语法部分

一个可辩护的承诺有五个部分：范围、开始、结果、截止时间和后果。范围标识客户旅程和覆盖的条件。开始是双方都能证明的事件，例如通过可用渠道收到签名请求。结果描述可观察的最终状态。截止时间指定经过的时间或明确定义的服务日历。后果说明如果承诺未满足会发生什么。

模糊的语言通常省略至少一个部分。“我们旨在及时回复”没有结果或截止时间。“大多数变更在两天内处理”没有说明何时开始计数、处理意味着什么、哪些变更被排除或其余部分如何处理。“平台实现了 99.99% 的可用性”没有说明修正。“复杂案例可能需要更长时间”在提供商控制的标签下提供了无限的暂停。

注册局运营商应以通俗语言和机器可读的事件定义发布服务水平目录。目录应区分标准请求、有争议的持有者变更、制裁限制、有效法院命令和涉嫌欺诈。标准案例不应继承诉讼的时间表。有争议的案例不应伪装成普通延迟。分类决定应记录、通知和可审查，因为分类决定时钟。

目录还应说明衡量谁的表现。零售注册商可能收到请求；通用验证器可能提交状态；RPKI 运营商可能执行证书过渡；RDAP 发布者可能公开结果。持有者应收到一个端到端承诺，即使几个机构参与。提供商之间的责任分配属于该承诺之后，不应成为客户诊断链的理由。

记录准确性是维持的状态，而非工单类别

第一个服务水平涉及持续准确性。它比更新请求的速度更广泛。注册局运营商应定义必须保持正确的权威字段和状态转换：认可的持有者身份、允许披露的公共联系人或角色数据、资源范围、当前状态、注册日期、服务提供商参考、转让状态以及相关注册事件的链接。它应识别哪些值是公共的、受限的或派生的，而不暴露受保护的证据。

RFC 9083定义了 RDAP 用于互联网号码和其他注册数据的 JSON 响应。其事件结构、实体、通知和链接能够比简单的联系行提供更丰富的当前状态描述。该技术词汇不决定机构权利，但它为注册局运营商提供了一个可以测试准确性的表面。同一当前事实不应在不同权威视图之间出现差异，除非有明确的理由和时间戳。

准确性承诺需要主动控制。接受的更改应在发布后对照公共依赖面进行检查。副本应比较是否存在分歧。高风险更改应通过预定渠道向持有者发送独立确认。过时状态应有最大年龄。冲突的当前状态应触发严重性分类，即使没有客户投诉。

注册局运营商不应承诺每个历史陈述都无争议。遗留分配、合并、破产和旧的赞助关系可能包含不完整的证据。承诺应精确：注册局运营商将保留已知历史、标记真正的不确定性、避免将未解决的索赔呈现为既定事实，并提供有限的纠正路径。准确性包括诚实的限定。它不要求注册局制造证据无法支持的确定性。

可衡量的结果因此是多部分的。接受的当前值必须出现在每个权威依赖面上。没有不兼容的当前值可以保持活跃。事件历史必须标识更改何时生效。依赖的权限必须与当前持有者或其授权提供商对应。持有者必须收到确认，标识更改了什么、在哪里可见以及如何挑战错误。只有这样，准确性时钟才应停止。

纠正需要在最终判断之前进行控制

报告的错误产生两个不同的义务。第一个是控制对潜在错误状态的合理依赖。第二个是确定并发布正确的状态。第一个通常可以快速完成；第二个可能需要来自多个方的证据。一个单一的最终解决目标鼓励机构要么让危险声明未标记太长时间，要么仅仅为了停止时钟而做出过早的决定。

注册局运营商应使用分阶段的纠正承诺。它应承认指控并保护受挑战的状态。它应执行初始权限和严重性评估。当指控可信且潜在危害重大时，它应添加中性状态注释或限制高风险变更，同时审查继续进行。它应识别每个方所需的证据，以理由决定问题，发布更正或限定的状态，并验证传播。

控制步骤必须仔细限制。投诉人不应当能仅通过做出断言就冻结不相关的持有者。初始行动应取决于认证的立场、特定的矛盾证据、受损迹象或注册局运营商自身造成的差异。注释应只说必要的部分。它不应在发现之前暗示不当行为，并应在定义的时间过期或接受审查。

纠正时钟不应在工作人员发送决定邮件时停止。它应在权威状态得到更正或适当限定、矛盾依赖权限得到解决、客户收到完成证据时停止。如果指控被拒绝，结果仍应包括有理由的通知和任何临时限制的移除。重新开启的案例应报告，因为频繁重新开启是名义关闭不可靠的证据。

举证责任应遵循保管权。持有者可以被合理要求提供公司权限、交易文件或其拥有的身份证明。注册局运营商不应要求持有者重建注册局或其前任负责保存的记录。缺失的机构证据不自动成为不利于客户的证据。服务水平报告应分别标识由提供商持有、客户持有和第三方证据导致的延迟，而不是将每个暂停归因于申请人。

转让仅在权限已移动一次时完成

可移植的注册制度依赖于转让承诺。没有最大时间和客观完成状态，现任者可以通过延迟来维持垄断，同时正式接受离开的权利。注册局运营商应区分服务提供商的变更与资源出售、合并、持有者变更或有争议的继承。每个事件有不同的证据。提供商切换不应被强制通过一个与持有者指令无关的所有权式审查。

转让开始于获得提供商提交包含定义的最小数据的认证持有者指令。通用验证器应迅速确认充分性。失去的提供商可以识别一个狭窄的异议：凭证泄露的证据、有效的法律限制、冲突的持有者变更请求或指定的未付费用（如果允许，直接与转让服务相关）。普遍不满意、无关债务和沉默不应是否决权。

完成需要一个有序的提交。通用状态必须将获得提供商命名为当前，结束失去的提供商的当前权限，保留事件历史，并通过权威 RDAP 公开新状态。应通过已建立渠道向持有者和两个提供商发送通知。任何无法原子移动的依赖服务应进入一个定义的小过渡，具有一个权威方向和没有矛盾的当前指令。

注册局运营商应报告从持有者指令到客户可验证完成的转让持续时间，而不仅仅是验证器中花费的时间。它应显示在目标内完成的比例、中位数、上百分位数、最旧的未结案例、原因编码暂停、现任异议、被拒绝的异议和转让后更正。报告应区分普通提供商切换与持有者变更和法律纠纷。否则，少量困难案例可以被用来为缓慢的常规服务辩护，而常规量可以掩盖严重的尾部失败。

失败的转让不应只产生道歉。持有者应获得可避免延迟的费用减免、由失误引起的合理重复服务费用报销，以及前提供商似乎阻碍退出时的快速独立审查。重复阻碍应影响提供商资格。当现任承担使退出无法使用的后果时，可移植性才变得真实。

证书移交是安全结果，而非附件

RPKI 增加了一个独立的权限表面。号码持有者可能依赖托管服务来管理证书权威功能并发布路由来源授权。移动注册关系不会自动移动这些控制。如果旧提供商在转让后仍然可以操作，或者新提供商在旧链结束之前无法建立有效权限，客户可能面临矛盾的授权或可避免的缺口。

RFC 6480描述了资源公钥基础设施及其支持关于互联网号码资源持有的认证的目的。RFC 6492规定了父级和子级证书权威之间的供应协议。这些标准建立了技术机制；它们本身不分配提供商变更的商业责任。注册局运营商必须添加服务承诺。

客户结果应在不假设一个运营模型的情况下陈述。移交后，当前持有者或其授权服务必须能够在新权限安排下管理有效的路由授权。预期的 ROA 必须保持连续可用，除非持有者明确选择撤回。前提供商必须失去进行新的客户导向更改的能力。发布点、清单和撤销状态必须按设计收敛。独立依赖方观察应验证没有创建意外的无效或冲突状态。

移交计划应在注册提交之前生成并与持有者确认。它应列出当前授权、预期的转让后集合、证书和存储库依赖关系、新发行和旧退出的顺序、监控观察点、回滚边界和紧急联系人。秘密密钥材料不应为了便利而随意味转移；可以使用适用的标准机制建立新的权威关系。服务水平衡量的是授权效果的连续性，而不是特定文件的移动。

一些过渡将需要重叠。重叠应谨慎设计，以便两个服务提供商不拥有发布不兼容指令的无约束权力。注册局运营商应定义每个阶段哪个提供商可以行动，哪些变更被冻结，紧急退出如何工作以及最大重叠期。移交时钟仅在持有者可以行使新权限、预期公共状态从独立观察点验证以及前提供商的更改权限已退役后才停止。

恢复通过恢复控制来衡量

恢复涵盖受损凭证、丢失认证器、提供商中断、注册商破产、验证器故障和错误的锁定。每个事件威胁链条的不同部分，但客户询问相同的实际问题：合法代表如何在依赖变为中断之前安全地重新获得控制？

注册局运营商应要求在故障之前建立恢复路线。持有者应注册多个授权人员、一个安全的带外信道和一个紧急公司证明集。设计应支持人员变更而不使离职员工成为永久恢复门。高风险恢复应使用多个独立检查和延迟通知（如果延迟减少接管风险），同时紧急控制路径保护免受主动泄露。

服务承诺应区分控制、临时连续性和完全恢复。控制可以冻结未授权更改并保持当前路由安全状态。临时连续性可以在严格限制的权限下保持基本发布和联系功能运行。完全恢复将普通控制返回给经过验证的代表，替换受损凭证，审查事件期间所做的更改，并确认产生的注册和 RPKI 状态。

提供商自身的故障不应暂停承诺。合格的注册商和通用服务应维护可导出的、加密的连续性材料和经过测试的继任安排。持有者不应需要访问失败提供商的普通门户来调用恢复。注册局运营商应使用现实的练习测试恢复，包括提供商的丢失、高级签字人的不可用以及副本之间的分歧。从未执行过的文件不是客户可以恢复的证据。

恢复时间应按严重性和起始条件报告。遗忘密码无法与授权代表的泄露或提供商的崩溃相比。然而，分类不能成为无限延迟的借口。每个类别需要最大控制时间、最大恢复计划理由时间以及自动触发高级独立审查的最大年龄。

时钟不应仅属于提供商

通过操纵时钟，很容易在纸上改善服务承诺。提供商可以说时间仅在案例“完成”时开始，一次问一个问题，在每次回答后重置时钟，将周末归类为不可见，或关闭并在新参考下重新打开案例。注册局运营商应定义时钟，以便任何一方都不能制造绩效。

接收应由独立可审计的服务加盖时间戳。在较短充分期内，负责提供商必须接受提交或发布一个合并通知，标识每个缺失项目、要求它的规则以及为什么它是重要的。如果未发出通知，实质性时钟在接收时开始。后续的证据请求只能暂停真正依赖该证据的部分，不能擦除已过时间。

暂停应使用受控原因代码：等待客户证据、等待指定的第三方、有效法律限制、已验证的安全控制或计划的客户行动。每个暂停需要一个开始通知、将结束它的特定条件以及最大审查间隔。提供商应继续处理不受影响的任务。达到期限而无决定的暂停应自动升级，而不是静默续订。

经过的小时适用于受损控制、矛盾当前权限和严重发布失败，因为风险在一夜之间持续。发布的服务日历对于常规身份检查可能是合理的，但必须指定假日和时区。全球客户不应面临未定义的本地工作日规则。最终报告应显示总经过时间和排除时间，以便客户和审查者可以看到暂停是否主导绩效。

停止事件也必须是外部的。“分析师完成审查”不够。“从三个独立观察点观察到更正的 RDAP 响应并送达完成通知”是可衡量的。“转让记录已提交，旧权限已退役，获得提供商控制已确认”是可衡量的。应寻求客户确认，但客户沉默不应允许一个经过客观验证的结果永远保持开放。注册局运营商可以在客观验证后关闭，同时保留简单的重新开放权。

目标应遵循严重性和依赖

每个请求一个目标既不现实又弱。注册局运营商应根据延迟的后果对服务进行分类。严重事件包括未授权的持有者变更、矛盾的当前分配状态、对活动路由授权控制的丧失、广泛的权威发布失败或具有可信有害更改威胁的泄露。这些要求持续响应和快速控制。

高优先级案例包括影响交易的经证实的记录错误、接近合同截止日期的受阻提供商转移或普通权限不可用但当前状态安全的恢复。标准案例包括计划的联系变更、常规提供商切换和非紧急历史更正。复杂裁决包括无法通过行政证据单独解决的冲突索赔。

确切时间应在测量试验后采用，但承诺的构成应首先设定。例如，注册局运营商可要求严重控制在数小时内，高优先级初始保护在一天内，标准提交充分性在一个服务日内，常规提供商转移在少量经过日内，以及对于超过其类别的案例的理由升级。这些是设计示例，不是关于当前通用基准的声明。

目标应包括尾部义务。满足 95% 案例的截止时间不说明其余 5%，除非其余部分收到最大年龄和强制审查。在号码资源管理中，尾部可能包含最依赖的客户和最严重的伤害。注册局运营商应将百分位目标与绝对底线配对，例如在正常期间的特定倍数后独立审查。

严重性分类本身应被审计。提供商有动机降级事件以保持绩效。客户可能有动机夸大紧急性。注册局运营商应发布客观触发因素，允许快速分类挑战，并采样升级和降级案例。问题不在于谁的描述听起来更戏剧化。而在于哪个权威表面处于风险中，依赖多快可能导致伤害，以及是否存在安全的控制措施。

衡量必须使尾部可见

对于具有长尾的服务，平均值尤其误导。九天完成九次转让和一次延迟九十一天产生平均十天。该数字不代表任何人的体验，并掩盖了退出失败的案例。中位数有用但同样不足。注册局运营商应报告分布和积压清单。

对于每个客户旅程，报告应包括总案例、已完成案例、目标内案例、中位数、第 75、90、95 和 99 百分位（如果量允许）、最大年龄、开放年龄段和重新开启案例。小样本应以计数而非不稳定百分比显示。机构应区分客户时间、提供商时间、验证器时间、第三方时间和法律限制时间，而不隐藏总持续时间。

队列很重要。一个标题指标可以掩盖小持有者、使用较少通用语言的客户、遗留资源持有者、提供商本国时区以外的客户或正在更换提供商的组织的较慢服务。注册局运营商应检查按提供商、客户运营区域、请求类别和服务模型的结果，同时保护个人和商业敏感信息。即使总体绩效看起来健康，持续差异也是一个服务事实。

准确性措施需要分母。注册局运营商应报告每个活跃记录的检测到的矛盾、客户报告的错误、提供商检测到的错误、控制时间、验证更正时间以及更正后复发次数。上升的报告计数可以意味着质量恶化或检测改进；周围的分母和来源区分它们。为了改善率而压制投诉比公开它们更差。

证据应可独立复现。事件时间戳应来自签名或见证的日志。公共依赖面可以从独立网络观察。客户通知可以携带加密收据而不暴露其内容。审查者应能够将发布的聚合与受保护的样本协调。对报告的信任不应要求信任同一家其延迟正在被衡量的提供商。

一个承诺必须绑定整个服务链

如果每个提供商达到其本地目标但端到端旅程失败，客户结果承诺就会失败。注册商可以说它按时转发了请求。验证器可以说它在收到后迅速提交。RDAP 发布者可以说其服务可用。RPKI 运营商可以说它从未收到授权移交。每个本地仪表板都是绿色的，但持有者仍然卡在机构之间。

注册局运营商应为每个案例指定一个负责的服务所有者。该所有者与持有者沟通，观察端到端时钟，并协调贡献者。这并不使所有者对每个外部事件负法律责任，但它防止责任成为寻宝游戏。合格提供商之间的合同应在客户面对承诺背后分配延迟成本和证据义务。

每个交接需要收据和最大接受时间。接收服务应快速拒绝格式错误的材料并说明原因，而不是让它消失。共享事件标识符应连接转让、记录发布和证书过渡，而不暴露机密证据。当依赖未达到其目标时，案例所有者应继续通知持有者并调用升级；它不应将案例关闭为“已发送”。

提供商资格应包括端到端绩效。一个支持优秀但经常被验证器拒绝的注册商可能需要更好的证据控制。一个高可用性但频繁过时状态的发布者需要一致性修复。一个满足本地定时但造成证书差距的验证器在更大服务上失败了。注册局运营商可以使用服务链归因来改进正确的组件，同时保持对客户的单一承诺。

该架构还允许竞争。客户可以比较注册商的端到端结果，即使一些通用服务是共享的。提供商可以用证据挑战不准确的归因。通用验证器不能利用其中心位置擦除自己的贡献。共享层应使责任清晰，而不是集体性以至于没有人负责任。

补救措施将衡量转化为问责

一个没有后果的目标可以改善注意力，但它不重新平衡权力。客户仍然承担延误成本，而提供商保留费用和控制。注册局运营商应将循序渐进的补救措施附加到未履行的承诺上。

第一个补救措施是自动服务信用。它不应要求客户证明金钱损失或花费更多时间提交索赔。如果标准转让超过提供商控制的截止时间，相关费用的定义部分被记入。如果纠正错过了其控制目标，信用随着严重性和持续时间增加。自动信用使衡量变得财务真实，同时保持低价值索赔相称。

第二个补救措施是直接纠正成本的报销，由失误造成：可避免的转让延迟期间的重复提供商费用、注册服务运营商作者错误后的合理验证费用，或恢复预期路由安全状态所需的紧急技术援助。证据和上限可以使这条路线可管理。它与更广泛的可证明损失的赔偿不同，后者需要因果关系审查和专用基金。

第三个补救措施是机构性的。重复失误应触发加强监控、纠正计划、限制接受新客户、额外的连续性安全或资格丧失。提供商不应能够将信用视为系统性劣质服务的价格。模式很重要：许多小失误可能揭示薄弱服务，一个严重的未授权更改可能揭示百分比掩盖的控制失败。

补救措施应保留客户的实质性权利。小的自动信用不应静默释放更大的索赔。接受紧急纠正不应放弃对错误发生原因的审查。相反，每个延迟不应产生无限责任。注册局运营商可以区分自动服务补救、直接成本报销和裁决赔偿，同时在依赖开始之前使每条路线清晰。

发布必须暴露服务真相而不暴露客户

透明度不要求发布身份证据、有争议的公司文件或安全细节。注册局运营商可以通过受保护的案例审查披露绩效。公共报告应显示服务目录、目标、定义、提供商结果、通用服务结果、排除项、严重事件、积压案例、补救总数以及分类实践的变更。

提供商级别的报告是必要的。跨多个注册商的聚合允许劣质提供商隐藏在更强的同行后面。通用服务报告同样必要，因为每个注册商可能遭受相同的验证器或发布者。报告应谨慎标识小样本，并仅抑制会创建真正再识别风险的内容。在结果已知之前应固定抑制规则。

严重事件在控制后需要叙述说明。说明应解释客户可见的失败、受影响的权威表面、持续时间、检测路径、控制、恢复和预防行动。它不应暴露会危及客户的利用细节。核心问题是机构是否理解本地绿色指标如何与失败的客户结果共存。

注册局运营商应发布修订。如果报告后来被证明错误，原始和更正的数字、原因和日期应保持可见。绩效数据不应成为可以静默改进的公共关系产品。服务水平的可信度部分取决于机构纠正自身纠正记录的意愿。

独立审查者应测试成功、失败和排除案例的样本。仅抽样失败可能错过虚假成功；仅抽样随机案例可能错过严重尾部。审查者应跟踪每个选定案例从接收到权威观察和补救。发现应标识控制弱点，而不将客户变成其未同意的示例。

服务水平需要自身的变更控制

机构可以不公开废除承诺而削弱它。它可以重新定义完成、扩大排除项、将案例移入新类别、更改服务日历或停止发布百分位数。注册局运营商应将定义视为客户协议的一部分，而非可编辑的仪表板设置。

实质变更应收到通知、红线、陈述的证据和独立影响分析。变更记录应显示谁受益、哪些现有案例受影响以及绩效在新定义下是否看起来更好而无服务改进。历史报告应保持可比性或提供定义之间的桥梁。

在重大安全事件期间，紧急变更是必要的。它们应狭窄、有时限并在事件后接受审查。紧急不应成为纠正或转让权的永久暂停。如果目标无法安全满足，注册局运营商应说明修订后的客户保护、理由和紧急例外路径。

客户和提供商应有资格挑战产生异常行为的定义。奖励过早关闭、阻止困难纠正或使提供商避免小客户的目标即使合规性高也被设计不良。治理应检查围绕指标的行为，而不仅仅是数字。

五个案例显示结果改变了什么

合并更新后过时的 RDAP 名称。注册商周一接受证据并标记案例完成。私有账户立即更改，但权威 RDAP 继续显示旧公司直到周五。根据基于活动的度量，注册商达到了目标。根据注册局记录准确性承诺，时钟继续直到公共依赖面显示接受状态且持有者收到确认。发布失败归因于负责服务，如果错过截止时间，则自动信用随之而来。

由旧分配信支持的纠正指控。网络运营商发现公共记录标识了一家多年前解散的公司。运营商提供继任文件；注册局运营商持有不同的历史证据。最终答案不能立即给出。纠正承诺仍然要求快速保存、立场检查、如果依赖风险可信则进行中性状态、一次合并证据请求和在最大年龄前的有理由决定。不确定性变成一种管理状态，而不是沉默的借口。

由无关债务阻碍的提供商切换。当前持有者指示获得注册商。失去的提供商反对，因为持有者质疑与注册服务无关的咨询发票。在模糊的转让承诺下，反对可能无限暂停案例。在注册局运营商的规则下，验证器拒绝不在允许类别内的反对，提交提供商变更，退役旧权限，并将商业争议留给适当的论坛。退出不能成为每个私人索赔的抵押品。

带有活动 ROA 的托管 RPKI 移动。持有者在几条路由授权正在使用时更换提供商。将注册变更视为在新权威工作之前完成可能产生无效状态；留下旧凭证可能产生安全风险。移交承诺清点预期授权，建立新关系，验证依赖方状态，限制任何短重叠期间的更改，并退役旧权限。完成意味着连续授权效果和客户控制，而不是一封说文件已发送的电子邮件。

账户泄露期间注册商失败。持有者报告可疑更改，但普通提供商不可达。门户可用性目标不提供保护。注册局恢复承诺允许持有者调用独立紧急渠道，冻结进一步的高风险更改，保护安全 RPKI 状态，通过预先建立的证据验证代表，并激活继任提供商。客户结果是恢复控制权，随后审查每个事件期间的更改。

这些案例也显示为什么单个速度数字不够。一些结果需要发布，一些需要不确定性的有理由处理，一些需要有序提交，一些需要密码连续性，一些需要替代服务。共同原则是时钟在客户和独立审查者可以验证的条件结束。

最强的反对可以在不虚构承诺的情况下得到回答

第一个反对是注册局不能控制每个依赖。法院、公司注册处、制裁机构、客户和网络运营商都可能影响案例。这是真的。服务水平不应假装否则。它应识别外部约束，要求对可控部分采取及时行动，披露总时间和排除时间，并维护升级。有限的控制证明仔细归因是合理的，而不是端到端承诺的消失。

第二个反对是硬性截止时间鼓励不安全的批准。以任何代价奖励接受的目标将是鲁莽的。运营商的承诺应衡量安全结果并允许狭窄的证据暂停。它们应将普通截止时间与控制与有理由升级配对。对安全的答案不是无限的提供商自由裁量权；而是一个既认识到现在可以完成什么又认识到什么需要裁决的时钟。

第三个反对是公共绩效表格邀请游戏。任何指标都可以被游戏。这就是为什么注册局运营商应发布定义、尾部、排除项、重新开启、队列和独立样本。隐藏的指标不免疫游戏；它只是更难被客户挑战。多个相关措施使操纵成本更高。如果快速关闭导致重复重新开启，重新开启率揭示了它。

第四个反对是成本。独立观察、连续性安排和客户补救需要资金。然而，延迟已经具有成本，目前转嫁给持有者和网络。注册局运营商应公开定价可靠服务的成本，并将其与重复收费、失败交易、紧急工程和长期争议进行比较。一个将纠正和恢复外部化的廉价注册局不一定是高效的。

最后的反对是客户只关心路由。注册局不指导所有路由，正确的注册记录不能保证可达性。但注册、RDAP、反向权威和 RPKI 影响路由的证据和安全性。注册局运营商不应做出其控制之外的承诺。它应对其确实控制的权威表面和它选择提供的交接做出强有力的承诺。

务实的注册局运营商服务章程

注册局运营商可以按顺序采用设计，以保留雄心。首先，定义五个客户旅程及其可观察的最终状态。映射每个贡献服务并识别证明完成的证据。发布使用历史案例的临时基线，暂时不附加处罚，以便定义可以针对现实进行测试。

第二，设置严重性类别、接收规则、允许暂停和独立观察。要求提供商发布合并充分性通知并保留总时间。针对涉及常规更新、遗留证据、提供商退出、活动 ROA 和提供商可用性丧失的案例测试措施。修订任何可以在客户无法使用服务时满足的规则。

第三，附加自动信用和直接成本报销。发布提供商级别和通用服务结果。给独立审查者访问受保护样本和权限以要求更正的报告。将重复失败与资格挂钩，而不是允许提供商通过小额信用购买永久的不履约。

第四，将服务目录连接到更广泛的补救系统。错过的时钟应为存在可证明损失的赔偿创建证据，但索赔人不应需要重新审理基本时间戳或承诺是否被错过。共享事实减少争议成本，同时保留对因果关系和金额的单独审查。

最后，使承诺持久。定义、历史序列和变更记录应保持公开。连续性练习应测试技术和客户访问。客户应能够导出其服务历史和当前权威证据。当预定义条件满足时，继任提供商应能够在失败现任不合作的情况下承担服务。

管理测试很简单：如果工作人员停止看自己的屏幕并站在持有者的立场，他们能证明承诺的条件存在吗？如果不能，该指标是诊断性的而非合同性的。诊断帮助运行服务。客户结果承诺使服务可问责。

服务质量是权威的一部分

互联网号码管理通常被讨论为合法性来自历史、认可、社区参与或技术能力。每个都可能重要。在机构控制客户无法轻易在其他地方获得的更改时，没有一个足够。权威也体现在纠正错误、允许退出、恢复控制以及使依赖安全状态所需的时间上。

一个可以对持有者实施即时后果但只为其自身更正提供愿望式定时的提供商拥有不对称权力。一个计数咨询但不计数未解决错误状态的机构衡量声音不衡量补救。一个序列化每个提供商变更但接受无端到端承诺的通用验证器在协调层重新创造了垄断。

注册局运营商可以选择不同的标准。它可以使用技术措施维护可靠性，同时在可靠性对客户变得有意义的点判断服务。它可以分离真正的外部限制与提供商延迟。它可以使安全复杂性可见，而不允许复杂性成为无限扩展。它可以将未履行的承诺与金钱、审查和资格联系起来。

结果不会是每个争议快速结束或每个网络保持可达的保证。它将是对机构行为的保证：可观察的起点、诚实的分类、有界限的暂停、可验证的结果、透明的尾部以及失败的后果。这是对其记录和安全交接可以塑造实际运营依赖的系统而言适当的雄心。

来源

NRS 和 BTW 角色来源