Pakistan Telecom 展示本地网络封锁如何转嫁全球成本

摘要

• 2008 年 2 月 24 日，Pakistan Telecom AS17557 发布了 208.65.153.0/24，这是 YouTube 地址空间内的一个更具体路由，随后 PCCW AS3491 传播了该路由，导致 YouTube 流量被全球重定向。
• 公开证据将这一路由公告与国内对 YouTube 的封锁联系起来，但问责教训不仅仅是审查制度。它关乎成本转嫁：一项本地控制选择把故障响应、流量损失和修复工作强加给了 YouTube、上游提供商、用户以及更广泛的路由社区。
• Pakistan Telecom 控制了本地封锁实施和路由始发；PCCW 控制了高杠杆的上游接受和传播点；YouTube 控制了紧急反发布和恢复协调；用户对路径故障没有实质性的控制。
• 2008 年时，RPKI 源验证尚未以成熟部署形式存在，但这次事件说明了为什么现代 ROA、上游过滤和路由监测很重要。当资源持有者发布准确的授权信息且提供商进行验证时，可以使错误源公告变得可拒绝。
• 一份公平的事件后记录本该解释为什么使用 BGP 进行封锁、出口预防措施如何失败、PCCW 缺少或绕过了哪些过滤器，以及哪些证据证明类似的国内控制无法再次逃脱。

证据记录及其使用方式

本文将公开记录视为分层证据。事故报告、标准、浏览器或路由测量、监管或政策材料以及当前的运营商指南被用于不同结论。公司编写的来源被视为公司立场。标准和后来的指南用于解释控制措施并提出问责期望，而非在公开记录不支持的情况下捏造私人事实或追溯性地施加后来的义务。

危害在路由被撤回前已输出

Pakistan Telecom YouTube 事件通常被铭记为一个经典的 BGP 劫持。这是准确的，但从成本转嫁的视角来看更有用。该路由显然是为了满足国内封锁目标而创建的。全球成本由该国内政策决策之外的多方承担：YouTube 用户、YouTube 网络工程师、PCCW 和其他提供商、试图诊断中断的网络运营商、依赖 YouTube 可访问性的创作者和企业，以及更广泛的路由社区，其信任模型再次被证明是脆弱的。

RIPE NCC 的案例研究是技术主干。Pakistan Telecom AS17557 发布了 208.65.153.0/24，这是 YouTube 更大范围 208.65.152.0/22 内的一个更具体前缀。由于路由器偏好最长匹配前缀，/24 可能在该范围内的地址上胜过合法的/22。PCCW Global AS3491 将该路由转发到互联网的其他部分。YouTube 随后通过发布一个匹配的 /24 和后来的两个 /25 作为回应，试图通过在使用其地址的网络接受这些路由的地方变得更具体来恢复可访问性。

成本转嫁问题始于控制方法的选择。国内封锁可以通过多种机制实施，每种机制都有不同的故障模式。DNS 过滤、HTTP 代理封锁、IP 过滤和 BGP 黑洞路由都带有风险。基于路由的黑洞在单个网络内部可能操作上很诱人，因为路由器已经理解前缀和转发概念。但当这样的路由泄露时，互联网的其余部分不会将其解释为“巴基斯坦想要本地封锁”，而是将其解释为“AS17557 是到达 YouTube 地址的一条路径”。路由系统不知道政治边界，除非运营商对其进行编码。

那个边界失效了。全球中断并非政策分歧的自然副作用；它是一个可预防的控制平面出口。如果国内运营商使用 BGP 来实施本地封锁，运营商必须确保该路由不被出口到上游或对等点。它应该被限定范围、打上标签、过滤并作为仅限本地的路由进行监控。上游也应该拒绝客户未经授权始发的路由。两个预防层在同一个方向上失败了。

因此，该事件将问责从事后道歉转向激励设计。如果本地网络可以将粗糙封锁方法的成本外部化，它们可能对遏制措施投资不足。如果上游提供商不因传播错误授权而受到衡量或惩罚，它们可能接受比全球系统所能容忍的更多的风险。预防激励应该使拥有路由控制权的一方在全球用户之前承担弱过滤器的成本。

PCCW 不是始发者，但它是放大器

Pakistan Telecom 产生了错误路由，但 PCCW 的角色是决定性的，因为一个具有更广泛覆盖的上游传播了它。这是路由事件中反复出现的模式。第一个错误公告可能来自一个客户或对等点。爆炸半径取决于哪些更大的网络相信它。保持本地的路由是本地中断或策略失败。一个全球提供商出口的路由变成全球事件。

上游提供商不需要知道客户路由背后的政治原因就可以过滤它。相关的问题更简单：该客户是否被授权始发或转接此前缀？YouTube 地址空间不属于 Pakistan Telecom。提供商特定的客户过滤器本应拒绝该公告。如果该路由旨在作为本地黑洞，那么这个意图应该使出口更加不可接受。

PCCW 的内部公开记录在此审查的来源中并不存在，因此本文不宣称确切的过滤器故障。可观察的路由路径足以作出运营问责发现：上游接受并传播了客户始发的 YouTube 空间的授权，该授权本不应被全球接受。缺失过滤器、过时过滤器、紧急例外或运营旁路之间的区别对于补救措施很重要，但对于过滤证据的基本需求则不是。

这就是现代 MANRS 式预期的相关性所在。它们是自愿性规范，在 2008 年时并不以相同形式存在，但它们表达了该事件所教导的：过滤客户路由、协调联系人、维护可全局验证的路由信息，并防止不正确的路由信息传播。上游过滤不是对受害者网络的礼貌。它是作为一个相互依赖的系统对互联网所欠的安全和可用性责任。

成本转嫁的视角也澄清了为什么上游可能投资不足。拒绝不良路由需要维护、客户沟通和偶尔的摩擦。传播路由是容易的，直到它公开失败。一个成熟的市场应该奖励那些能够展示过滤覆盖、路由对象卫生、RPKI 验证、最大前缀控制和事件响应指标的提供商。没有这些激励，弱过滤的成本在路由已经泄露后由下游用户承担。

YouTube 不得不从他人的授权声明中恢复

YouTube 并未产生错误的 AS17557 路由。它仍然不得不恢复。这是每个大型内容平台令人不舒服的弹性教训：地址所有权和运营能力并不能阻止另一个自治系统对可访问性做出错误声明。平台必须监控全球控制平面，并准备在外部网络相信错误方时做出响应。

正如 RIPE NCC 和其他来源所记录的，YouTube 的响应是紧急拆解。它发布了相同的 /24，然后发布了两个 /25。目标是使通往 YouTube 的路由至少与错误路由一样具体或更具体，从而使接受这些公告的路由器偏好返回到 YouTube 的路径。这在部分上是有效的，但并不干净。更具体的紧急路由可以恢复可访问性，但它们取决于网络是否接受它们，并且可能导致全球路由表压力。

平台的弹性职责包括准确的路由注册记录、可用的 ROA、路由源监控、与转接提供商的关系、升级联系人、路由泄露警报和预演的紧急行动。这些职责不是责备受害者。它们认识到主要平台面临外部控制平面故障的风险。一个平台无法阻止每一个错误路由，但它可以减少检测和恢复时间。

RPKI 改变了现代事件的激励结构。如果 YouTube 的地址空间有准确的 ROA 仅授权合法起源和适当的最大长度，那么一个错误源的 AS17557 路由对于执行路由源验证并拒绝无效路由的网络来说可能变为无效。这在 2008 年作为一个部署成熟的控制手段不会有所帮助，但它解释了现代问责的方向。资源持有者发布可验证的授权；提供商通过验证和拒绝使其有效。

ROA 设计也必须考虑紧急行为。如果一个平台在危机期间可能需要发布 /24 或更具体路由，最大长度设置必须谨慎选择。过于宽泛的 maxLength 值可能使未经授权的更具体路由更容易验证。过于严格的设置可能使合法的紧急拆解变为无效。因此，2008 年事件为现代 RPKI 治理提供了信息：路由安全是一个变更管理纪律，而不是一个复选框。

国内控制需要防出口设计

该事件不仅仅是一个路由故事。它是关于通过具有全球意义的基础设施实施政策控制的警告。一个国家的当局可以发布国内封锁命令。一个电信运营商可能在法律上或政治上被要求实施它。但实施方法仍然是一个具有全球后果的工程选择。一个本地审查措施不应该能够意外地绑架全球互联网。

防出口设计意味着封锁路由在构造上就是仅限本地的。它应该被保持在一个不对外通告的路由上下文中，打上在每个边界都得到遵守的社区标记，被出站过滤器拒绝，并通过外部收集器进行检查。运营商应该进行监控以确认该路由在预期边界之外不可见。它应该有一个文档化的回滚路径和当路由在其他地方出现时立即撤回的授权。

对于监管机构和公共当局，这意味着技术可行性应该是任何网络控制命令的一部分。一个封锁服务的命令如果不要求证明该方法不会损害无关网络，则是不完整的。法院、电信监管机构和部委不需要成为 BGP 专家，但它们可以要求运营商在部署涉及全球路由的控制措施之前，证明遏制、测试和紧急联系人的存在。

这一原则超出了审查制度。DDoS 黑洞、制裁执行、恶意软件汇点、法院命令的移除和紧急滥用响应都可能创建具有全球意义的路由或 DNS 更改。每个控制措施必须限定在使其合理的授权范围内。控制力越强，就越需要证明它无法逃逸的证据。

Pakistan Telecom 的记录缺乏将使学习变得完整的公开事后分析。它显示了路由路径和公开背景，但没有内部决策链、测试证据、出口控制或补救措施。这种缺失本身就是问责记录的一部分。无法检查的修复变成了承诺而不是控制。

预防激励应遵循可避免的爆炸半径

该事件的持久政策价值在于它揭示了谁能以最低成本避免危害。Pakistan Telecom 可以通过不使用可出口的 BGP 进行国内封锁或通过遏制路由来避免全球传播。PCCW 可以通过过滤客户路由来避免放大。YouTube 可以通过监控和路由授权来减少暴露，但它不能廉价地阻止另一个网络做出最初的错误声明。用户根本没有控制权。

因此，问责机制应根据控制杠杆分配预防期望。本地封锁的发起者必须证明遏制。上游必须证明客户路由授权。地址持有者必须发布并监控授权。大型网络必须拒绝无效或不可信的路由。行业机构和监管机构必须使这些期望足够可见，以便客户可以选择有证据的提供商，而不是口号。

一个好的事件后证据包应该回答基本问题。创建了什么路由，为什么？它是否仅用于本地黑洞？哪些出站过滤器本应阻止它？它们为什么会失败？哪个上游接受了它？上游相信客户被授权发布哪些路由集？路由何时被撤回？哪些警报触发了？之后发生了什么变化？没有这些答案，同样的失败模式可能会在另一个政策标签下重新出现。

公开记录支持强有力的结论，而不过度声张。它支持未经授权的 AS17557 源、PCCW 传播、YouTube 反公告、国内封锁背景以及非故意的全球中断。它不支持捏造恶意意图、确切的内部命令或法律责任判定。问责分析是运营性的：实际控制和外部化成本。

底线简单但要求高。能够逃逸到全球 BGP 的本地网络控制不是本地的。它是一种共享基础设施风险。选择它的当事人和传播它的上游必须承担与其可能产生的爆炸半径成比例的预防责任。

路由劫持将外部性转变为中断

外部性是指强加给决策之外某人的成本。2008 年 YouTube 劫持是一个教科书式的路由外部性。一个国内封锁决策及其技术实施是在巴基斯坦的政策和电信环境内做出的。中断成本出现在全球互联网上。YouTube、其用户、广告商、创作者、转接提供商和网络运营商承担了并非他们创造的成本。这就是为什么该事件不仅仅是一个著名的 BGP 故事。它是一个关于激励机制的案例。

如果一个本地运营商可以通过注入一个路由来廉价地实施封锁，但在该路由泄露时不承担全部成本，运营商可能会选择一种脆弱的方法。如果一个上游可以广泛接受客户路由，并且只在公开事件发生后才关注，上游可能会对过滤器投资不足。如果一个内容平台被期望在每次别人发布其空间时承担恢复工作，平台承担的弹性成本本应部分由创建或传播错误授权的网络承担。市场失灵并不抽象。它表现为数据包沿着错误的路径传递。

激励设计意味着使预防性控制比失败更便宜。对于一个电信运营商，这可能意味着内部变更控制，将任何针对非自有空间的黑洞路由视为高风险，自动检查外部路由收集器，以及对于任何涉及 BGP 的政策强制网络控制要求行政签署。对于一个上游，这意味着客户特定的前缀过滤器、RPKI 验证、最大前缀限制、AS 路径健全性检查，以及拒绝或关闭异常通告的合同权利。对于一个平台，这意味着路由监控和已发布的路由授权。每一方都应该发现做安全的事情比在全球损害后修复不安全的事情更容易。

缺少公开的 PTCL 事后分析之所以重要，是因为激励机制是由证据塑造的。一个路由消失了，用户回来了，公众可能继续前进。但如果没有发生变化的记录，外部人员无法知道成本转嫁机制是否被移除。Pakistan Telecom 是否停止使用可出口的 BGP 进行封锁？PCCW 是否改变了客户过滤器？YouTube 是否改变了路由监控？监管机构是否改变了国内封锁的技术要求？一些答案可能私下存在。公开问责需要足够多的答案可见。

成本转嫁也影响较小的目标。YouTube 拥有工程资源和知名度来进行反击。一个小型人权网站、地方报纸、银行、医院门户或软件更新服务器可能不行。如果一个国内封锁或错误路由针对一个不太可见的目标泄露，由于更少的观察者注意到，相同的外部性可能持续更长时间。因此，YouTube 案例不仅仅是关于一个著名平台。它是对路由外部性如何损害恢复选项较少的弱势方的警告。

最长前缀匹配使本地路由具有全球说服力

从路由器的角度来看，该事件背后的技术力量并不复杂。通往 208.65.153.0/24 的路由比通往 208.65.152.0/22 的路由更具体。当两者都存在时，针对 /24 内地址的流量会遵循 /24。路由器不会询问较窄的路由是为了审查、维护、DDoS 缓解、错误还是盗窃而创建的。它们应用转发规则。一旦路由被接受，人类意图就消失了。

这就是为什么更具体的路由控制如此重要。拆解可能是合法的。网络使用更具体的路由进行流量工程、DDoS 缓解、紧急恢复和部分故障转移。但更具体的路由也可以覆盖更广泛的合法公告并吸引流量。一个为其不控制的地址空间发布更具体前缀的网络正在提出一个强有力的声明。上游应该对此类声明持怀疑态度，尤其是当该前缀属于全球知名服务时。

YouTube 的紧急 /24 和 /25 公告既显示了更具体修复的有用性，也显示了其混乱性。发布一个匹配的 /24 可以与错误的 /24 竞争，但路由器会根据其他 BGP 属性选择等长路由。发布 /25 创建了更具体的路由，但并非每个网络都接受 /25 全球公告，因为许多提供商会过滤长于 /24 的 IPv4 前缀。这种修复在技术上是巧妙的，但在运营上受到约束。它说明了为什么源端和上游的预防优于受害者的紧急拆解。

RPKI 改变了这一局面，但并未消除对谨慎前缀策略的需求。一个 ROA 可以授权一个合法的起源并设置一个最大长度。如果一个错误源的 /24 出现，在存在覆盖 ROA 的情况下，验证网络可以将其分类为无效并拒绝它。但如果合法持有者需要紧急 /25 而 ROA 不允许它们，那么这些紧急路由也可能是无效的。如果 ROA 允许过多的特异性，它可能削弱保护。因此，YouTube 事件对于 maxLength 治理来说是一个实际例子，尽管它早于成熟的 RPKI 部署。

一个路由安全程序应该将正常的聚合、计划的流量工程更具体路由、紧急拆解限制和 ROA maxLength 值一起映射。将它们视为单独的电子表格会招致失败。在一个紧急情况下拯救可用性的路由可能在另一个紧急情况下造成无效性。如果授权过于宽泛，应该被拒绝的错误路由可能会看起来合理。最长前缀匹配是简单的；管理其后果则不简单。

政府命令不应绕过技术问责

YouTube 封锁的政治背景是相关的，因为它创造了运营压力。但政府命令不会消除技术问责。如果一个国家要求电信运营商封锁一项服务，该运营商仍然有关于方法、范围、测试和遏制的职责。国家也有责任不要求那些可预见地损害其管辖范围之外网络的控制措施。一个国内政策目标不能为意外地向世界输出错误路由提供正当理由。

这一原则应该在电信监管中明确。封锁命令、法院命令和紧急网络控制应该要求一份技术遏制声明。将使用什么机制？哪些系统会受到影响？出口是如何被阻止的？哪些测试验证了控制是局部的？谁监控全球可见性？如果控制泄露，谁能撤回它？哪些上游已被告知？如果答案是“我们将发布别人的前缀到 BGP 中，并希望它保持本地”，那么该方法还不够成熟，无法部署。

这同样适用于私人滥用响应。一个网络可能需要在 DDoS 攻击期间黑洞化流量，或者汇汇恶意基础设施。这些行动可能是合法的，但它们必须被限定范围。一个提供商内部的远程触发黑洞在使用正确的团体和过滤时可以是安全的。一个泄露到全球转接的路由可能造成附带损害。共同的原则是遏制：控制的运营边界必须与控制背后的授权相匹配。

Pakistan Telecom 的记录是有价值的，因为它展示了当该边界缺失时会发生什么。全球互联网没有将该路由解释为国内法律指令。它将其解释为可访问性。其他网络据此做出转发决策。路由的法律或政治原因对 BGP 来说是不可见的。这种不可见性不是一个可以消除的缺陷。它是运营商必须尊重的设计约束。

为了公开问责，监管机构应该要求在控制泄露时提交事后报告。这些报告不应仅关注原始政策目标是否合法或受欢迎。它们应该询问方法是否相称，是否存在遏制，是否发生了外部危害，以及未来的控制是否在技术上受到约束。关于审查制度的政策辩论和关于路由遏制的工程辩论是分开的，但 2008 年事件表明它们可能相撞。

上游过滤是一项共同的安全义务

上游提供商销售可达性。这种可达性是它们的价值和风险所在。当一个提供商接受客户的路由时，它可以使该路由对互联网的更大部分可见。因此，提供商有一项共同的安全义务，即了解客户可以发布哪些前缀。这项义务并非完美或微不足道，但它是核心的。没有它，每个客户会话都可能成为错误授权的路径。

在 2008 年，路由注册表、手动过滤器和运营联系人可用但不均衡。如今，RPKI、更好的工具、MANRS 规范、路由收集器和验证服务使期望更加强烈。一个现代的上游应该结合多种信号：客户路由对象、ROA、合同记录、先前的公告、最大前缀阈值、AS 路径过滤器和针对突然出现的著名前缀变化的警报。目标不是官僚式的纯粹。它是为了防止客户意外或恶意地成为互联网通往其不拥有网络的路径。

过滤也是一个公平问题。不过滤的提供商可能将成本强加给过滤的提供商。如果一个主要转接网络传播一个错误路由，远程网络必须争相拒绝它，受害者必须响应，用户遭受痛苦。不过滤的提供商从低运营摩擦中获益，直到发生公开失败。这就是为什么像 MANRS 这样的集体规范很重要。它们将路由过滤从一个私人的质量选择转变为社区责任。

客户应该就此询问其提供商。企业通常根据价格、容量和正常运行时间购买互联网转接。他们还应该询问提供商是否过滤客户公告、验证 RPKI、保持 24 小时 NOC 联系人，并参与路由安全倡议。一个不能回答这些问题的提供商在正常日子里可能仍然传递数据包，但在糟糕的日子里它也可能是一个放大器。

YouTube 劫持使上游放大可见。PCCW 的传播将 Pakistan Telecom 的本地路由变成了全球问题。修复需要撤回和反公告。一个更好的预防系统将在客户边缘拒绝该路由，并让国内错误保持在国内。这是未来事件的基准。

有用的比较不是指责，而是控制杠杆

一个公平的问责地图不应该假装每一方都有相同的权力。Pakistan Telecom 对本地实施和路由始发有直接控制权。PCCW 对客户路由接受和出口有直接控制权。YouTube 对其自身的路由公告、监控和紧急响应有控制权。其他网络对是否接受传播的路由有控制权。用户几乎没有。监管机构拥有政策权力，但不一定有路由器访问权限。控制的分布是不均匀的，因此责任的分布也应该是不均匀的。

这种控制杠杆地图比泛泛的指责更有用，因为它确定了最便宜的预防点。最便宜的点是阻止错误路由离开 Pakistan Telecom。下一个最便宜的点是在 PCCW 拒绝它。之后的路由点变得更加昂贵，因为路由已经进入全球收敛。YouTube 的紧急拆解是重要的，但它是在前两个关口失败后的修复。拒绝该路由的远程网络也是有用的，但要求每个网络在主要上游传播后抓住一个路由，不如在入口处阻止它高效。

同样的地图可以指导现代事件演练。假设一项政府命令、客户错误或 DDoS 响应创建了一个针对非自有空间的路由。发起者应该只有本地控制。上游应该拒绝未经授权的前缀。地址持有者应该收到路由监控警报。大型网络应该拒绝无效起源。公共路由收集器应该使事件可见。联系人应该在几分钟内可达。每一层都减少持续时间和爆炸半径。

一个有用的董事会演练会问：我们的网络可能意外出口哪个路由来危害他人？我们可能意外传播哪个客户路由来危害互联网？哪个外部错误路由可能危害我们自己的服务？这三个问题涵盖了发起者、放大器和受害者角色。许多组织在不同时间占据所有三个角色。

Pakistan Telecom 事件之所以持久，是因为它符合所有三个问题。它始于一个发起者失败，变成了一个上游放大器失败，并迫使受害者进行修复。问责的教训是设计激励和证据，以便前两个角色在第三个角色不得不仓促恢复之前防止危害。

读者关于预防激励的决策

读者应将 Pakistan Telecom 记录视为一个测试，即路由控制是否将成本放在具有预防能力的各方身上。如果一个网络创建了本地封锁路由，它应该承担证明这些路由无法逃逸的责任。如果一个上游销售全球转接，它应该承担证明客户路由得到授权的责任。如果一个平台拥有关键的地址空间，它应该承担发布和监控路由授权的责任。如果用户没有控制权，他们不应是第一个通过中断和混乱支付代价的群体。

对于电信运营商，决定是将任何不代表普通拥有或客户可达性的路由的出口遏制正式化。一个国内封锁、DDoS 黑洞、恶意软件汇点或紧急过滤器应该有一个本地唯一的证明。它应该从网络外部进行测试，而不是仅仅根据内部配置假设。一份变更记录应该解释为什么选择该方法，以及什么阻止它离开预期边界。

对于上游，决定是停止将客户过滤视为可选卫生。它是核心产品品质。客户购买转接是因为提供商可以达到世界。世界也依赖提供商不从客户那里接受错误的可达性。这项义务应该体现在合同、审计、路由安全计划和公开事件报告中。

对于平台和内容提供商，决定是在不接受不公平指责的情况下做好准备。类似 YouTube 的服务需要路由监控、RPKI、紧急拆解计划和提供商联系人，因为外部故障将会发生。但它们的准备不应成为发起者和上游投资不足的借口。受害者的弹性是一个后备，而不是可由在源端阻止错误路由的一方替代的预防。

对于政策制定者，决定是要求每当政策命令触及网络基础设施时提供技术遏制。一个国内法律命令如果通过可出口的控制措施实施，可能成为全球技术事件。YouTube 劫持应该成为每一个考虑基于路由的封锁或紧急网络干预的政策过程中的警示例子。

预防激励也应该在事件后可见。一份有用的记录将显示发起者是否改变了本地封锁方法，上游是否改变了客户过滤器，路由监控警报是否得到调整，紧急联系人是否以事件所需的速度工作。没有这些证据，成本转嫁仍然主要是外部的：用户失去访问权限，平台承受公开中断，研究人员记录教训，路由系统等待下一个运营商重复它。一个更好的激励系统使廉价的预防点负起责任。能够在错误路由离开之前阻止它的网络应该能够证明它现在能做到这一点。能够防止放大的上游应该能够展示过滤覆盖和例外治理。这就是一个著名的错误如何变成持久的预防，而不是民间传说。

这对较小的运营商也很重要。并非每个路由泄露都会危害一个全球平台，但每个泄露都测试了相同的经济学。如果发起者和上游能够避免大部分成本，而受害者和用户承受中断，投资不足仍然是合理的。如果合同、审计、公开事件审查和社区规范使路由遏制可见，激励就会改变。预防成为服务品质的一部分。Pakistan Telecom 案例之所以著名，是因为受害者是 YouTube；当某个网络的本地行动可能被出口为另一网络的公共危害时，潜在的问责教训是适用的。

排版

底线

问责标准是与公共证据结合的实践控制。最强有力的记录并不假装每个行动者都控制了所有结果。它确定了谁可以预防失败，谁可以检测到失败，谁可以限制爆炸半径，谁可以通知受影响的方，谁可以修复信任关系，以及哪些证据证明了修复到达了依赖它的系统和人员。