摘要

  • RFC 9912 所说的恢复图，是一个流可以使用的有限 DetNet 可行路径集合及其使用元数据；它描述潜在选择，不等于某个数据包真正走过的路径。
  • PLR 在比控制器路由更短的时标上，为一个或少量数据包作本地选择。图一旦是宽松的，或者 PLR 决定分布在多个节点，端到端结果可见，也未必有任何单一节点能报告完整现行路径。

在一个明确属于说明性的控制室场景里，屏幕同时显示三个时间。第一个时间是恢复图安装完成；第二个时间是一段无线干扰开始；第三个时间是下一批数据包已经抵达。三者之间，本地 PLR 改过一次路径，下游 PLR 又按新的观察修订过一次。中央记录能证明哪些路径获准，却不能单独证明每个包最后走了哪条组合。

这不是生产事故，而是 RFC 9912 主动揭示的证据边界。该文档于 2026 年 4 月发布。RFC Editor 信息页将其列为 IETF 流的 Informational RFC：它代表 IETF 共识，但不是 Internet Standards Track 规范。它在 RFC 8655 的 DetNet 架构上加入对无线瞬态丢包、共享频谱和有限能量的处理。

恢复图并不是一条画粗的线路。它把某个流可行的 DetNet 路径合并成有限拓扑，并附带使用元数据。图可以分叉、交叉和重新汇合。数据包在通过网络时，只会体验其中一个可行路径；PLR 当时的选择决定这次体验，下一个包可能不同。图证明的是“选择空间曾经存在”，而不是“这次执行采用了哪条路”。

第一只时钟属于 Controller Plane。它计算和维护路由，安装恢复图及资源。RFC 9938描述 DetNet 控制器平面的集中式、分布式和混合架构。RFC 9912 假设这类路径建立相对本地转发较慢：统计窗口可以跨分钟或小时，计算加往返可能以毫秒到秒计。

第二只时钟属于 RAW 运行控制环。PLR 使用眼前信息，在微秒到毫秒级别为一个包或一小串包切换路径。第三只时钟才是查表和发送。快速并不意味着无限授权：PLR 只能在预先建立的恢复图和资源范围内行动，不能临时发明图外链路。中央负责边界，本地负责即时选择，两份权力必须留下两份记录。

RFC 9912 用“观察—研判—决定—行动”描述这个控制环。RAW OAM 观察链路、部分或全部跳以及端到端交付；研判功能把当前指标、历史统计、预测模型和控制器知识组合起来；PLR 决定未来数据包使用什么路径；PREOF 以及较低层的 ARQ、FEC 等能力执行复制、消除、排序或重传。

观察证据也有层级。RFC 9551区分与业务流经历相同链路、QoS 和 PREOF 处理的带内 OAM，以及可能走不同路径或处理的带外 OAM。RFC 7799区分主动、被动和混合测量。RFC 9378说明随真实流量携带信息的 in-situ OAM。主动探针可以考察闲置分段，却会占用稀缺容量；随包遥测能说明所观测数据包的经历，却不能替未用路径作证。

严格恢复图与宽松恢复图的差别，不是绘图风格。严格图让 RAW 端到端观察并控制相关转发行为。宽松图可以穿过不透明的非 RAW 子网。RFC 9912 的无线接入例子只观察第一跳和端到端结果，中间隧道内部不可见。此时交付率和时延仍是有效结果证据，但它们不足以指出内部哪一跳造成丢包。把模型中的“视为可靠”写成物理事实，会制造错误归因。

分布式决策进一步打破“中央知道当前路径”的直觉。RFC 9912 明确指出，可行路径可以在检测到变化后才决定；多个 PLR 的依赖组合可能大到没有任何节点能够报告恢复图内当前的端到端 DetNet 路径。这要求事后把图版本、PLR 身份、时间戳、包标签、观察范围和交付结果重新关联，而不能只调一张控制器快照。

目标值同样不能冒充成绩单。恢复图可配置 PDR、最大连续丢包数、时延上界、抖动、乱序数量、消除点收到的副本数和副本间时差。RFC 9450给出 RAW 使用场景，RFC 9913梳理可用的无线技术；它们说明需求和能力，不证明某个具名系统达成 SLO。达成证据必须说明数据包或时间区间、测量方法、观察范围和聚合口径。

保护与恢复术语可追溯到 RFC 4427，但 RAW 中的冗余仍要付出频谱、电量、时延和排序成本。两条画开的路径还可能共享干扰源、电源、硬件、位置或不透明底层。所谓空间、时间、编码和频率多样性，只有在失败域被验证后才是独立性证据。

选路还会改变下一次选路所看的指标。流量移走以后，负载、交付率和时延都会变化，局部正确的快速响应可能形成全局振荡，因此 RFC 9912 要求避免或抑制振荡。安全与激励也进入同一表面：干扰廉价 Wi-Fi 可能迫使系统启用付费接入，增加 ARQ/FEC、消耗电池，甚至把拥塞推到远端。

在证据冻结时，RFC 9912 勘误检索页显示没有匹配勘误。这只描述文档校正记录，不能替实现、部署或服务结果背书。

Heng Lu 的运行代码优先要求把真正执行的包和决定放在拓扑图之后核验；最小初始规范让共享边界保持狭窄，把未来选择明确留给本地；现实层则防止可行拓扑、已选路径、已观测数据包、推断原因与服务接受被压成一个符号。

因此，完整收据至少包括恢复图哈希和版本、可选路径和资源、严格/宽松边界、控制器统计窗口、每次 PLR 决定及触发观察、受影响包范围、旧新标签、PREOF 与低层动作、OAM 类型和端到端结果。控制器能证明它准备了什么；只有逐包和逐决定证据，才能说明什么真正发生。

来源