摘要

  • RFC 9717 允许管理平面分发预期的拓扑变化，但预测新增的链路必须等通常的 IS-IS 存活机制确认全部相关邻接后才能投入使用。
  • 计划断开则不同：轨道物理使这类损失高度确定，运营者应提前调高 metric、完成收敛，并在链路消失前安装替代路径。
  • 领导层必须分别保留计划授权、分发接收、实时邻接、拓扑收敛、路径计算、硬件安装与客户流量回执；前一层不能替后一层作证。

轨道图上的绿线

14:00:00，星座控制台在两颗卫星之间画出一条绿线。轨道计划显示，它们进入了可能建立光链路的几何窗口。PCE 已经计算出经过这条边的段路由路径，入口设备也准备好了 label stack。

此刻真正成立的事实很有限。计划可能来源可靠，计算也可能对预测图完全正确，但这并不说明两个光学终端已经互相捕获，不说明链路层可用，不说明 IS-IS 邻接已经形成，更不说明任何数据包穿过了这条链路。预测的价值就在于它早于现实；风险则来自把这种时间优势误当成支配现实的权威。

RFC 9717 对这条边界写得很清楚。卫星链路可以像地面链路一样无预警失效，而轨道动力学又能提前算出某些潜在连接和断开时间。两种预测并不对称：预计“可以接通”不保证真正接通，预计因轨道几何“必须断开”则几乎确定。物理能关闭窗口，却不能保证终端、指向系统和控制流程一定成功打开窗口。

文档自身的权威也有明确上限。RFC 9717 于 2025 年 1 月以 Independent Stream 的 Informational RFC 发布，明确表示这是作者观点，不是 IETF 产品或社区共识，也不提出任何协议变更。它提供的是一套建立在现有机制上的架构建议。进入 RFC Series 证明提案被公开记录，不证明它已获验证、部署或采用。

一张计划表，多个事实所有者

RFC 把计划拓扑信息交给管理平面。信息必须送到所有会据此作出路由决定的节点：相关的 IS-IS L1 或 L2 节点，以及持有相应拓扑的 gateway 和 PCE。具体分发方式不在文档范围内，YANG 模型只是可能方案。

因此，运营记录至少需要发布者、计划版本、生成时间、有效期、目标接收者、接收确认与替代历史。否则两个控制器都可能声称“遵循计划”，实际却在使用不同版本的未来。

收到计划也只证明收到。卫星可能拿到正确版本，但终端异常；gateway 可能漏掉修订；PCE 可能在更新到达前刷新了 TED。证据必须同时保存预测内容，以及每个决策者真正采用它的时点。

新增必须等待现实确认

RFC 对拓扑新增很保守。链路接通或节点加入，在通常的 IS-IS liveness 证明全部相关邻接完全可运行前，不应引起功能变化。节点可以预先计算路由表，gateway 或 PCE 也可计算候选路径，但不应提前安装依赖新拓扑的路径。

预计算因此只是一个假设。它可以证明某个算法在某个时间，针对某个输入图与约束算出某条 SID 路径；它不能拥有“路径已经存在”的结论。邻接形成后，还要核对当前 LSDB、BGP-LS 和 PCE 数据库是否反映同一张可用图，因为等待期间可能又发生容量变化或故障。

如果运营者选择预安装，RFC 要求为拓扑未能形成做好替代或回滚。安装回执必须与失败分支成对：什么触发撤销、谁负责、截止何时、影响哪些 label，以及陈旧转发状态是否确实移除。“安装成功”无法描述一个仍以未来物理事件为条件的状态。

删除要在观测前行动

计划删除的逻辑正好相反。若等到 liveness 宣告链路已经消失，预测就失去价值。RFC 建议在预计断开前把相关链路 metric 调高，让变化有时间传播并完成 IGP 收敛；gateway 与 PCE 也要提前更新并安装绕行路径。

提前量没有统一常数。它取决于规模、配置、分发延迟、IGP 收敛、PCE 计算和设备编程。运营者应保存预计断开时刻、metric 变化时刻、LSDB 传播范围、路径更新、硬件确认，以及退役链路上最后一个数据包的观测时刻。

一条路径其实是一串主张

RFC 提出 IS-IS、Area Proxy、由相邻轨道组成的 stripe、SR-MPLS，以及 gateway/PCE 流量工程。Area Proxy 可把 L1 stripe 内部变化隐藏在 L2 之外，area SID 与 node SID 则可紧凑表达跨 stripe 路径。

这条链应逐层验证：管理平面授权了哪个未来图；各节点是否及时收到同一版本；终端与 IS-IS 是否观测到当前邻接；LSDB、BGP-LS 与 TED 是否收敛；PCE 用什么输入计算了哪个 SID 列表；设备实际安装了什么；流量是否走了预期路径；最后，特定地区、方向和业务类别是否达到约定的丢包、时延与连续性范围。

低层回执不能替高层作证。硬件确认不能证明远端光学邻接，IS-IS 邻接不能证明容量充足，干净的 LSDB 不能证明选择了正确 label stack，单次客户探测也无法独自定位陈旧 PCE 输入。审计价值来自用同一变更标识和时间线连接所有层。

仍待验证的架构

RFC 假设网络几乎始终连通，工作链路与总带宽足以满足需求，计划通常准确；若根本无路可达，它允许丢包而不要求缓存转发。这些是设计前提，不是任何具名星座的实测事实。

未来工作部分更直白：架构仍需卫星运营商通过仿真与真实部署验证；有意义的仿真需要精确 ISL 连接统计，而这些数据尚未公开。机械跟踪所能承受的角度、距离和变化率也未知。stripe 可能只需几个轨道，也可能扩大到几十个轨道、数千颗卫星，超过某些 IGP 实现的规模边界。

最稳妥的结论既不是否定也不是背书。计划信息尤其能帮助网络提前避开确定损失，现有协议也提供了可用积木；但预测不会自证，路由不会自行安装，服务结果更不会凭控制面变绿而自动成立。

来源

一手记录：RFC 9717、RFC Editor 条目、草案历史与 IETF conflict review。机制背景：RFC 9666、RFC 8402、RFC 8660、RFC 4655与 RFC 9552。