摘要
- 把计算放进交换机或网卡，也把读取、筛选、改写、分配资源和发出控制动作的能力放进转发路径。实际执行只证明动作发生，不自动证明谁有权让它发生。
- 程序说明、编译产物、已加载实例、携带的状态与可观测结果是不同现实层。服务名称不变，不能代替它们之间的逐项对应。
- 可治理的最小单位是一条执行收据：请求主体、准入与放置决定、有效权限、状态代次、资源占用、输出、全局覆盖、现场结果、撤销与残留清理。
回滚成功，系统却没有回来
许多控制平台把回滚理解成“加载上一版代码”。这只恢复了一个对象。旧系统还包含当时的状态、表项、队列位置、亲和关系、权限、目标设备和外部控制器的判断。只回退二进制而保留后来的状态，得到的是第三种系统，不是原来的系统。
《RFC 9817》于 2025 年 8 月发布，讨论 Computing in the Network，也就是 COIN 的用例。可编程网络设备包括交换机与网卡。文档从移动应用卸载、沉浸媒体一路讨论到工业控制、大数据预处理、内容分发、计算织网服务、虚拟网络编程和分布式 AI 训练。
它没有把这些用例写成部署承诺。RFC Editor 信息页明确说明：这是 IRTF 流中的 Informational RFC，代表 COINRG 研究组共识，不是 IETF 产品，也不是互联网标准；IRTF 的研究结果未必适合部署。RFC 7841界定了研究流与标准流的区别。IRTF 官方页面目前把 COINRG 标为已结束。研究组结束既不是对具体实现的认证，也不是对技术的否定。
本文不判断 COIN 必然成功或失败。它追问的是：程序一旦进入路径，谁获得了哪些权力，又留下了什么证据。
名称、产物与实例必须分开
RFC 9817 区分 COIN program 与 program instance。前者是被说明的功能，后者是正在某处运行的一次具体实例。在两者之间，还有编译器针对某一目标产生并被设备接纳的产物。
目录说要运行 A 版本；构建系统生成目标文件；编排器选择设备；设备可能因能力不足而采用降级路径；调度器把请求指向一个实例；实例最后处理了数据。把这六步统称为“程序 A 已执行”，会丢掉故障复盘最需要的差异。
文档分别提出程序与实例如何识别、某个实例如何被选择和固定、长事务如何保持对短暂状态的亲和、执行位置改变时状态如何同步。Datatracker 的 RFC 记录及其历史页能证明出版物的身份，却不能证明运行进程。已经过期的 COIN 术语草案只能作为特定时点的研究词汇，不能冒充运行时标准。
一条可复核身份应同时包含程序说明或包的哈希、编译器与选项、目标产物、设备能力、加载事务、实例 ID、状态代次和调用。滚动升级时，新旧实例并存；热重启时，新进程可能接续旧状态；回退目标可能缺少原有能力。每一次变化都应说明是新权力对象，还是同一对象的复制。
“运行代码优先”意味着用实际加载和执行纠正制度表述，不意味着代码因运行而取得授权。
数据路径中的动词都是权限
可编程设备可以解析、读取、聚合、过滤、复制、改写、注入或发出控制信号。每一个动词都需要边界。
RFC 9817 的安全部分指出，早期可编程设备可能缺少密码能力，往往接触未加密数据，甚至改动负载。若中间设备获得解密能力，信任模型会进一步变化。文档提出最小权限：只拥有完成目的所需的读取与修改能力。
问题在于“请求的权限”不等于“目标实际执行的权限”。策略只允许两个字段，编译后的解析器可能覆盖相邻字段；封装可能把敏感信息挪到另一个位置；调试模式会输出样本；硬件不支持时的软件回退反而拥有完整内存访问；共享设备可能无法按声明的粒度隔离租户。
收据必须写清主体、目的、数据类别、可执行动作、出口、期限和销毁规则，再记录目标实际能够约束的范围与独立观察。平台说“已准入”只证明它接受过策略，不证明硅片按同样边界运行。
RFC 3234早已指出，中间设备会增加配置、状态、失败与诊断面；网络内增强不能替代端到端正确性。RFC 7663也展示了网络功能对 IPv6 透明性与演进的影响。可编程性提高变化速度，却没有消除中间设备的权力。
“谁来决定”是架构核心
RFC 9817 在工业控制部分提出一个极少被营销材料直说的问题：谁决定执行哪个控制实例，又允许用哪些信息作出这个决定？
这是两项授权。放置权决定程序在哪里运行；数据使用权决定选择器可以看什么。低时延、设备负载、能耗、租户身份、数据等级、地理位置、法律管辖、安全模式和价格都可能参与选择，但并非每项数据都可被每个决策者使用。
应用提出时延目标，租户限定数据边界，运营者保护共享转发面，安全负责人限定动作，监管规则约束位置或拦截，供应方追求利用率。它们不是同一个主体。
可审计的放置决定需要请求者、决策授权、约束快照、候选集、排除理由、最终目标和冲突规则。“自动选出最优实例”无法接受复核：为谁最优，凭什么证据，哪些限制拥有否决权？
最快目标可能位于错误辖区；最近设备可能精度不足；临时接入的用户资源可能不在信任域；本地控制器可能没有可靠覆盖通道。自动化只是缩短决定时间，不能创造决定权。
状态迁移是一场保管权转移
状态可能是序号位置、部分聚合、速率计数、密钥上下文、流分类、模型参数或安全窗口。搬走代码但漏掉状态，会重复或遗漏；搬走状态但漏掉权限，会暴露数据；没有代次地复制，会产生两个都看似当前的版本。
完整交接包含源实例、目标实例、状态模式、代次、受限内容、保护方式、暂停或重叠规则、传输哈希、激活点、第一条有效调用、源实例退役和残留处理。
RFC 9817 的虚拟网络编程问题还区分“恰好一次”与幂等操作可接受的“至少一次”。重复读取可能无害，重复计数、改写或执行器命令却会产生真实后果。
高可用不证明状态正确。两个不同代次的实例可以都在线、都很快，却输出两个不相容的现在。所谓回滚必须同时回答代码、状态、权限、表项与残留是否回到可识别边界。
更快的控制可能更不准确
工业控制用例把近端简化控制与远端复杂控制并列。近端响应更快，却可能精度较低；文档因此要求明确控制层级，本地动作可被全局控制器覆盖，并暴露预测精度。
预测精度是一项声明；给定工作范围内的实测误差是一份证据；物理过程变化才是结果。三者不能共用一个“正常”状态。
可编程设备可能只支持整数、有限内存、较少指令或紧张的执行时间。简化函数在正常区间有效，在饱和边界失真。迁移期间拿到旧状态。全局覆盖到达时，本地动作已经不可逆。两级控制还可能因时钟与误差模型不同而振荡。
控制收据需要输入时间与有效性、产物、数值表示、状态代次、本地输出、预测误差、远端观察、覆盖决定、执行器回执和实测过程响应。只有微秒数的图表，证明的是速度，不是“足够正确”。
资源也是一份独立契约
程序消耗解析阶段、表项、内存、算术单元、队列、带宽、计算时间和能量。在共享设备上，即使租户数据没有互相泄露，一个程序仍可能夺走另一个程序的余量。
RFC 9817 的 CFaaS 研究问题涉及动态资源加入与退出、可用性、计量、信任和隔离；虚拟网络部分继续追问公平分配、滥用、流量注入和未授权访问。
应当分开记录预留、准入、安装、可用、消耗和结果。预留不等于目标能够兑现；加载成功不等于突发时表项够用；设备在线不等于实例可用；账单平衡不等于共享损失公平。
RFC 8300说明显式服务路径与上下文元数据的价值。不过，路径标识不证明哪个二进制处理了包，也不证明只处理一次、使用正确状态或产生预期结果。元数据是连接证据的键，不是执行证明。
“公平”需要单位和损失规则。平均带宽公平、表项公平、支出公平与服务影响公平会得出不同结果。
最小可信试验
使用两个能力不同的目标、一项共享资源和一个有状态函数。允许它读取两个字段、在明确范围内修改一个字段并输出聚合。冻结源包、构建记录、目标产物和权限信封，并设置独立端到端观察者。
依次测试：当前名称加载旧产物；目标无法执行窄权限；迁移带有重叠窗口；非幂等动作重复；准入后资源耗尽；租户竞争和驱逐；本地动作被全局覆盖；覆盖通道分区；回滚留下状态；元数据声称经过功能而实际跳过；位置规则排除最快目标。
每个案例都输出主体、决定、约束、程序与产物哈希、编译器、能力、设备与物理位置、有效权限、状态代次、预留与消耗、输入、输出或改写、覆盖、终端观察、报警、人工决定、回滚和清理。
已经过期的 COIN 用例分析草案把组合、放置、动态运行、集成、安全与系统性质分组。它能帮助拆题，不能证明题目已经解决。
证据不支持哪些结论
RFC 9817 没有给出具名运营者部署、产品矩阵、通用身份格式、验证编译器、权限语言、状态迁移协议、统一计量单位或回滚机制。
它没有证明生产时延、能耗或成本下降，也没有证明分布式 AI 加速、工业安全改善、隐私增强、租户隔离或公平计费。
Datatracker 引用清单说明文献环境，被引用清单说明文档关系，都不是采用率。RFC Editor 勘误查询也不是部署遥测。
RFC 8799提醒，受限域成员、角色和边界需要可验证定义。“在网络里面”不是安全属性，更不是共同授权。
来源
会员简报
阅读完整趋势简报
会员可阅读完整简报，以及每项发现背后的来源注释。
战略圈层
每天用你选择的语言，送上一份基于我们已核实变化的简报。
以 USD 20/月加入可随时取消。
会员还能使用完整的研究文库、关于所关注网络的每日简报，以及私密论坛。
