摘要
- 把计算放进交换机或网卡，也把读取、筛选、改写、分配资源和发出控制动作的能力放进转发路径。实际执行只证明动作发生，不自动证明谁有权让它发生。
- 程序说明、编译产物、已加载实例、携带的状态与可观测结果是不同现实层。服务名称不变，不能代替它们之间的逐项对应。
- 可治理的最小单位是一条执行收据：请求主体、准入与放置决定、有效权限、状态代次、资源占用、输出、全局覆盖、现场结果、撤销与残留清理。
回滚成功，系统却没有回来
许多控制平台把回滚理解成“加载上一版代码”。这只恢复了一个对象。旧系统还包含当时的状态、表项、队列位置、亲和关系、权限、目标设备和外部控制器的判断。只回退二进制而保留后来的状态，得到的是第三种系统，不是原来的系统。
《RFC 9817》于 2025 年 8 月发布，讨论 Computing in the Network，也就是 COIN 的用例。可编程网络设备包括交换机与网卡。文档从移动应用卸载、沉浸媒体一路讨论到工业控制、大数据预处理、内容分发、计算织网服务、虚拟网络编程和分布式 AI 训练。
它没有把这些用例写成部署承诺。RFC Editor 信息页明确说明：这是 IRTF 流中的 Informational RFC，代表 COINRG 研究组共识，不是 IETF 产品，也不是互联网标准；IRTF 的研究结果未必适合部署。RFC 7841界定了研究流与标准流的区别。IRTF 官方页面目前把 COINRG 标为已结束。研究组结束既不是对具体实现的认证，也不是对技术的否定。
本文不判断 COIN 必然成功或失败。它追问的是：程序一旦进入路径，谁获得了哪些权力，又留下了什么证据。
名称、产物与实例必须分开
RFC 9817 区分 COIN program 与 program instance。前者是被说明的功能，后者是正在某处运行的一次具体实例。在两者之间，还有编译器针对某一目标产生并被设备接纳的产物。
目录说要运行 A 版本；构建系统生成目标文件；编排器选择设备；设备可能因能力不足而采用降级路径；调度器把请求指向一个实例；实例最后处理了数据。把这六步统称为“程序 A 已执行”，会丢掉故障复盘最需要的差异。
文档分别提出程序与实例如何识别、某个实例如何被选择和固定、长事务如何保持对短暂状态的亲和、执行位置改变时状态如何同步。Datatracker 的 RFC 记录及其历史页能证明出版物的身份，却不能证明运行进程。已经过期的 COIN 术语草案只能作为特定时点的研究词汇，不能冒充运行时标准。
一条可复核身份应同时包含程序说明或包的哈希、编译器与选项、目标产物、设备能力、加载事务、实例 ID、状态代次和调用。滚动升级时，新旧实例并存；热重启时，新进程可能接续旧状态；回退目标可能缺少原有能力。每一次变化都应说明是新权力对象，还是同一对象的复制。
“运行代码优先”意味着用实际加载和执行纠正制度表述，不意味着代码因运行而取得授权。
数据路径中的动词都是权限
可编程设备可以解析、读取、聚合、过滤、复制、改写、注入或发出控制信号。每一个动词都需要边界。
RFC 9817 的安全部分指出，早期可编程设备可能缺少密码能力，往往接触未加密数据，甚至改动负载。若中间设备获得解密能力，信任模型会进一步变化。文档提出最小权限：只拥有完成目的所需的读取与修改能力。
问题在于“请求的权限”不等于“目标实际执行的权限”。策略只允许两个字段，编译后的解析器可能覆盖相邻字段；封装可能把敏感信息挪到另一个位置；调试模式会输出样本；硬件不支持时的软件回退反而拥有完整内存访问；共享设备可能无法按声明的粒度隔离租户。
收据必须写清主体、目的、数据类别、可执行动作、出口、期限和销毁规则，再记录目标实际能够约束的范围与独立观察。平台说“已准入”只证明它接受过策略，不证明硅片按同样边界运行。
RFC 3234早已指出，中间设备会增加配置、状态、失败与诊断面；网络内增强不能替代端到端正确性。RFC 7663也展示了网络功能对 IPv6 透明性与演进的影响。可编程性提高变化速度，却没有消除中间设备的权力。
“谁来决定”是架构核心
RFC 9817 在工业控制部分提出一个极少被营销材料直说的问题：谁决定执行哪个控制实例，又允许用哪些信息作出这个决定？
这是两项授权。放置权决定程序在哪里运行；数据使用权决定选择器可以看什么。低时延、设备负载、能耗、租户身份、数据等级、地理位置、法律管辖、安全模式和价格都可能参与选择，但并非每项数据都可被每个决策者使用。
应用提出时延目标，租户限定数据边界，运营者保护共享转发面，安全负责人限定动作，监管规则约束位置或拦截，供应方追求利用率。它们不是同一个主体。
可审计的放置决定需要请求者、决策授权、约束快照、候选集、排除理由、最终目标和冲突规则。“自动选出最优实例”无法接受复核：为谁最优，凭什么证据，哪些限制拥有否决权？
最快目标可能位于错误辖区；最近设备可能精度不足；临时接入的用户资源可能不在信任域；本地控制器可能没有可靠覆盖通道。自动化只是缩短决定时间，不能创造决定权。
状态迁移是一场保管权转移
状态可能是序号位置、部分聚合、速率计数、密钥上下文、流分类、模型参数或安全窗口。搬走代码但漏掉状态，会重复或遗漏；搬走状态但漏掉权限，会暴露数据；没有代次地复制，会产生两个都看似当前的版本。
完整交接包含源实例、目标实例、状态模式、代次、受限内容、保护方式、暂停或重叠规则、传输哈希、激活点、第一条有效调用、源实例退役和残留处理。
RFC 9817 的虚拟网络编程问题还区分“恰好一次”与幂等操作可接受的“至少一次”。重复读取可能无害，重复计数、改写或执行器命令却会产生真实后果。
高可用不证明状态正确。两个不同代次的实例可以都在线、都很快，却输出两个不相容的现在。所谓回滚必须同时回答代码、状态、权限、表项与残留是否回到可识别边界。
更快的控制可能更不准确
工业控制用例把近端简化控制与远端复杂控制并列。近端响应更快，却可能精度较低；文档因此要求明确控制层级，本地动作可被全局控制器覆盖，并暴露预测精度。
预测精度是一项声明；给定工作范围内的实测误差是一份证据；物理过程变化才是结果。三者不能共用一个“正常”状态。
可编程设备可能只支持整数、有限内存、较少指令或紧张的执行时间。简化函数在正常区间有效，在饱和边界失真。迁移期间拿到旧状态。全局覆盖到达时，本地动作已经不可逆。两级控制还可能因时钟与误差模型不同而振荡。
控制收据需要输入时间与有效性、产物、数值表示、状态代次、本地输出、预测误差、远端观察、覆盖决定、执行器回执和实测过程响应。只有微秒数的图表，证明的是速度，不是“足够正确”。
资源也是一份独立契约
程序消耗解析阶段、表项、内存、算术单元、队列、带宽、计算时间和能量。在共享设备上，即使租户数据没有互相泄露，一个程序仍可能夺走另一个程序的余量。
RFC 9817 的 CFaaS 研究问题涉及动态资源加入与退出、可用性、计量、信任和隔离；虚拟网络部分继续追问公平分配、滥用、流量注入和未授权访问。
应当分开记录预留、准入、安装、可用、消耗和结果。预留不等于目标能够兑现；加载成功不等于突发时表项够用；设备在线不等于实例可用；账单平衡不等于共享损失公平。
RFC 8300说明显式服务路径与上下文元数据的价值。不过，路径标识不证明哪个二进制处理了包，也不证明只处理一次、使用正确状态或产生预期结果。元数据是连接证据的键，不是执行证明。
“公平”需要单位和损失规则。平均带宽公平、表项公平、支出公平与服务影响公平会得出不同结果。
最小可信试验
使用两个能力不同的目标、一项共享资源和一个有状态函数。允许它读取两个字段、在明确范围内修改一个字段并输出聚合。冻结源包、构建记录、目标产物和权限信封，并设置独立端到端观察者。
依次测试：当前名称加载旧产物；目标无法执行窄权限；迁移带有重叠窗口；非幂等动作重复；准入后资源耗尽；租户竞争和驱逐；本地动作被全局覆盖；覆盖通道分区；回滚留下状态；元数据声称经过功能而实际跳过；位置规则排除最快目标。
每个案例都输出主体、决定、约束、程序与产物哈希、编译器、能力、设备与物理位置、有效权限、状态代次、预留与消耗、输入、输出或改写、覆盖、终端观察、报警、人工决定、回滚和清理。
已经过期的 COIN 用例分析草案把组合、放置、动态运行、集成、安全与系统性质分组。它能帮助拆题，不能证明题目已经解决。
证据不支持哪些结论
RFC 9817 没有给出具名运营者部署、产品矩阵、通用身份格式、验证编译器、权限语言、状态迁移协议、统一计量单位或回滚机制。
它没有证明生产时延、能耗或成本下降，也没有证明分布式 AI 加速、工业安全改善、隐私增强、租户隔离或公平计费。
Datatracker 引用清单说明文献环境，被引用清单说明文档关系，都不是采用率。RFC Editor 勘误查询也不是部署遥测。
RFC 8799提醒，受限域成员、角色和边界需要可验证定义。“在网络里面”不是安全属性，更不是共同授权。
来源
会员简报
档案背景详情
使用相应会员等级登录，即可解锁完整简报与来源注释。
仅限 Strategic Circle
Strategic Circle
所有读者均可浏览。加入并登录后可解锁档案简报。
加入 Strategic Circle仅限 Leadership Alliance
Leadership Alliance
符合条件的 IP 资产所有者和管理层可登录查看 Leadership Alliance 简报。
加入 Leadership Alliance