RFC 9551：DetNet OAM 探针不是 SLO 证明

摘要

确定性网络不是把普通网络的平均值做得更漂亮。应用往往要求延迟有上界、抖动受控、丢包极低，而且顺序可预测。越是具体的承诺，越容易诱使仪表盘给出一个过大的绿色结论。

RFC 9551 先定义观察空间。DetNet OAM 域是被监测流所使用的那段网络；维护端点 MEP 位于选择的边界；维护中间点 MIP 位于域内；OAM 实例又工作在特定子层。于是，一次通过只能说明：在这一方向、这些端点、这个子层和这段时间内，所选方法观察到了相应结果。

如果 MEP 放在中继节点而不是应用边缘，测试可能完全符合规范，却仍漏掉另一段转发、一个服务功能或应用处理。双向业务也不能用单向成功代替。RFC 要求用于监测双向流的主动测试包在两个方向都必须带内，但并未把两个方向压成同一份证据。

带内主动 OAM 的力量来自命运共享：测试包经过相同链路和接口，接受相同 QoS，以及相同的分组复制、消除与排序功能。它比普通 ping 更接近真实数据流。

但“带内”不能只是一枚标签。流分类是否一致？测量时使用的是不是同一条路径代际？排队和发送日历是否相同？保护功能有没有把测试包当成特殊流量？如果其中一项变化，探针仍可能成功，命运共享却已经变弱。

带外 OAM 的边界更窄。它可能走不同路径，接受不同 QoS，或绕过 PREOF。带外成功可以证明测量平面和所选端点可达，却不能证明数据流得到了相同待遇。

在途遥测还分成两个阶段。真实数据包触发观察，因此产生证据的地点是带内的；证据送往收集器时则可能带内或带外。若系统只保存“何时到达收集器”，出口积压就可能被误读成数据面延迟。观察时间、导出时间和收集时间必须分开。

DetNet 把功能分成转发子层和服务子层。转发子层负责在底层路径上配置资源；服务子层通过 PREOF 完成复制、消除和排序。

RFC 9551 明确指出，连续性检查监测的是转发子层从一个 MEP 到另一个 MEP 的单向可送达性，不受服务子层 PREOF 影响。连通性验证再增加“没有误接”的要求，但仍不检查 PREOF。

所以，一个干净的连续性结果无法回答这些问题：是否在正确节点复制？两条保护路径是否都可用？重复包是否被正确消除？乱序是否恢复？业务最终看到的流是否完整？这些结论需要服务子层 OAM 去发现中继和 PREOF 位置、读取配置与状态、实际触发功能，并把多段会话按同一流、方向、代际与窗口连接起来。

一排绿色链路也未必构成端到端证明。如果每段来自不同配置代际或不同时间窗，拼接出来的是一张漂亮截图，而不是同一运行事件的收据。

RFC 要求测量吞吐、丢包、乱序、延迟和延迟变化，并特别指出只有端到端平均数是不够的。控制器需要及时的逐流、逐跳信息，足以判断最坏情形。

平均一毫秒，可能掩盖少量超过十毫秒上界的包；“零丢包”若没有分母、计数器重置时间和未抵达观察点的数据处理规则，也可能毫无意义；没有时钟来源的延迟，可能测到的主要是时钟偏差。

混合测量可以很接近被动测量。对真实流进行交替标记时，结果确实直接适用于被标记的数据包，但采样规则、导出丢失、时钟误差和计数器重置仍存在。应保存完整分布、人口范围、时间窗、方向、时钟与排除条件，而不是只保留一个数字。

主动探针是新增流量，带内遥测也消耗链路、队列与处理能力。RFC 因此要求分析测量信息量，并为需要的开销预留资源。

这不是小题。探针可能加重它正在测量的队列；故障排查时的突发流量可能与确定性业务竞争；事后降低探测速率，又可能让曲线“自行恢复”。探针类别、速率、预留、丢弃策略和开销必须成为独立指标。

OAM 还能暴露拓扑、维护点、资源状态和故障位置。RFC 继承了 DetNet 与通用 OAM 的安全风险，包括侦察。能到达 OAM 端点，不等于有权获取所有细节，更不等于有权触发高成本测试或重配置。

控制器会读取状态、评估趋势，并比较路径次优成本与重配置成本。重配置可能短期双重预留资源，也会产生控制流量；服务保护甚至可能在控制器之前已经改变转发状态。

因此，完整链条至少包括：观察、SLO 评估、建议、授权决定、配置事务、设备接受、转发表落地、流量迁移、新分布和应用结果。建议不是变更，配置成功不是转发证明，指标恢复也不自动等于应用恢复。

公开披露的 Heng Lu 理论在这里提供一条有用纪律：OAM 域是协调框架，遥测是投影，真实分组处理是运行事件，应用后果又是下一层现实。保留这些层次不是削弱 RFC 9551，而是让它能被审计、复盘和负责。