TIC Timor 双 AS 政府网络控制面：RDAP 身份与路由连续性

摘要

APNIC 记录将两个处于活动状态的 ASN 注册与 TIC TIMOR I.P. 绑定，但抽样时 RIPEstat 视图仅观察到 AS139688 通告；这只是注册与路由控制面的边界差异，不是双活设计的证明。
政府网络、数据中心、网络安全和市政整合职责会带来持续的监督、运维和例外处理成本，而公开的能力说明未能对这些成本进行完整量化。

政府数字服务依赖的不只是应用，它依赖的是一条从唯一网络身份开始、并延伸到路由、连通性、数据中心运维、安全、支持与恢复的一整套运营控制链。每一环节单独看似正确，也可能使整体服务依旧脆弱。自治系统记录可能标识出正确组织，却可能对应一个不再受监控的角色。某个路由可能可见，但连续性方案未经过测试。某个市政机构可能获得了连接，但应用归属、事故处置权限或容量管理仍不明确。公共部门数字化因此应按“持续运行系统”来评估，而不是按技术项目清单来评估。

TIC TIMOR I.P. 提供了一个有价值的公开案例。BTW 的目录对象名称是“TIC TIMOR IP administrator”。该表述并非独立公司。APNIC 的注册数据访问协议（RDAP）记录显示，在 AS139687 和 AS139688 中，它是分配了管理与技术职责的功能组。相同记录也将 TIC TIMOR I.P. 标识为注册组织，并列出单独的事件响应角色。这个区分很关键。注册数据是身份与职责台账，而非完整组织架构，也不能证明每项运营流程都正常运行。目录对象可作为文章主体锚点，但正文应称为实际持有注册的公共机构。

检查时，两条 APNIC 记录均显示为活动状态，但网络名不同：AS139687 对应 TICTIMORIP-AS-AP，AS139688 对应 TICTIMORIP-AS。一次同步的 RIPEstat 观测报告显示 AS139688 已通告，AS139687 未通告。这个结果并非故障证据，而是显示注册状态与观测路由状态分别回答了不同问题。某个已注册编号可被保留用于规划用途、仅在公共收集器看不到的场景使用、暂时停用，或不再被通告。本文所审阅的公共来源并未说明 AS139687 的具体原因。它们也未证明两个编号构成 active-active、故障切换对、不同服务提供商，或两套独立设施。

TIC Timor 的公共授权范围比路由更广。2019 年政府部门记录显示，该机构负责管理政府 IT 网络和其他公共实体的基础设施与信息系统。TIC Timor 2025 年的自身说明提到其负责政府网络基础设施、政府数据集中化、电子政务应用、分发点、网络接入、业务连续性方案，以及数据中心战略。其他一手报告提到网络与数据中心服务、网络安全单元、与市政宣传和技术支持，以及与另一家公共机构协作铺设互联网线路。这些记录建立了运营范围和项目意图，但未证明私有架构、测得可用性、安全有效性、由网络设计带来的成本节约，或某机构的具体生产结果。

因此，最强的解读是该案例属于“运营”层面。TIC Timor 跨越多个控制面，这些面必须保持一致。APNIC 记录应与经授权可执行操作的人与角色匹配。预期的路由状态应与独立观测者可见状态一致。政府网络文档应与实际拓扑一致。市政整合应与支持和升级机制一致。数据中心、网络安全、应用与网络团队应共享变更与恢复假设。业务连续性语言应转化为可验证的依赖关系，而非单凭其本身作为证明。

本文围绕这一现实层展开。它把能力、可靠性与客户/公民结果区分开来。它检视通常被压缩为“网络”“数据中心”“连通性”“数字化转型”等用词的监督、集成、运维和例外处理成本。本文记录失败模式，但不声称这些模式已经在 TIC Timor 发生。它也指出领导者在不要求披露敏感基础设施的前提下可核实的事项。

身份边界：目录对象是一个运行角色

第一道工程控制是语义准确。APNIC 对两个自治系统号的 RDAP 响应包含多条关联记录。TIC TIMOR I.P. 是注册组织；“TIC TIMOR IP administrator”是承担管理与技术职责的功能组；另有独立的事件响应组担任 abuse 角色。自治系统对象各有自己的句柄与网络名。这些是关联记录，但并非可互换的身份。

这很重要，因为运营系统常会扁平化身份。目录可能把联系人组名称当作组织名称展示。工单可能把任务路由到某电子邮箱，却未确认谁有权审批注册变更。资产清单可能记录 ASN，但未记录负责的业务单元。公开文章可能把角色标签误写成虚构公司。每个错误都会削弱问责。

正确模型至少有四层。组织层识别公共机构。资源层识别 AS139687 与 AS139688。角色层识别管理、技术和事件响应职责。运行层由路由器、链路、服务、流程和使用这些标识的人员组成。APNIC 记录连接前三层，却未完全揭示第四层。

因此，注册准确性有两个维度。语法准确性关注记录是否含有有效名称、地址和联系方式。运营准确性关注被命名角色是否被持续监控、是否具备授权、是否可在所需系统完成身份认证，并能在规定时间内执行操作。共享邮箱可能通过投递测试，但在应急路由变更时无人值守授权，导致运营测试失败。已离任人员的凭证仍可能在技术层有效，但其组织授权已终止。

运维应定期复核注册人和全部功能角色。复核应校验所有权、响应预期、认证能力、升级路径和职责分离。也应将注册记录与机构公开联系方式及内部资产归属对比。不一致不自动构成事故，但它是一个需要明确责任人和截止日期的例外。

角色区分在恢复阶段至关重要。路由异常可能需要网络运营人员。疑似滥用事件可能需要事件响应团队。注册永久变更可能需要管理权限。公共服务中断可能需要应用或市政服务负责人。把这四类问题都发给同一联系人，只会增加处理延误，并使事故后问责更困难。

公开分析也应保持同样纪律。RDAP 记录支持“现有目录对象是 TIC TIMOR I.P. 的管理与技术角色附着体”这一结论。它们未能证明人员规模、汇报链、班次覆盖或每个授权操作员的身份。以上未知应留在尽职调查中，而非凭空构建叙述。

两个已注册 ASN 并不等于冗余设计成立

自治系统号是唯一路由策略标识。其在注册局中的存在说明资源已分配，并提供持有者与联系方式。但它不说明有多少台路由器在用、不在何处、哪些提供商连接、当前是否在起源路由、或承载何种流量。

APNIC 记录将 AS139687 标识为 TICTIMORIP-AS-AP，将 AS139688 标识为 TICTIMORIP-AS。两条记录都返回 active 状态。组织与功能角色在两条记录中的绑定在观测时一致。这形成了一个有用的基线：TIC TIMOR I.P. 持有两个不同的注册自治系统身份，目录角色同时与两者关联。

该基线重要，因为不同 ASN 可支持多种合法设计。它们可能代表不同网络、策略域、运行环境、组织单元、迁移阶段或未来容量规划；也可能已分配但未对公网路由起源。单凭记录无法识别设计意图。把“两个”与“冗余”直接等同是严重的分析误差。

真正的冗余取决于故障域。由同一团队运行的两个 ASN 仍可能共享路由器、电力、光纤、上联提供商、配置系统、凭证或变更窗口；反过来，一个 ASN 也可能跨多个独立设施和供应商运行。资源数量本身不是韧性指标。

两份资源身份的运营价值取决于用途文档。资产清单应说明每个 ASN 的预期角色、预期前缀、允许起源、上联或对等关系级别、监控范围、变更权限及退役条件。该记录不必公开，但必须供运营团队持有。

用途还决定告警逻辑。如果 AS139687 不应对外通告，那么其缺席告警属于噪音；若其仅在计划迁移窗口出现，则持续通告反而是异常。若 AS139688 是预期的公开起源，那么失去可见性可能有意义。缺少期望模型，监控就无法正确解读状态。

生命周期控制应覆盖获取、激活、变更、停用与退役。激活前应备齐注册角色、路由策略、过滤器、路由安全元数据、监控和联系人。运行中应将观测路由与批准基线对账。迁移期间，旧与新状态可在有限时期并存。退役时应按受控顺序清理或更新路由、凭证、过滤器、监控规则和公开记录。

这也是软件生命周期与供应商锁定相关的重要点，尽管主资产是网络标识。运营策略分布在路由配置、监控规则、资产数据库、供应商门户、注册接口和 runbook 中。如果只有单一厂商工具或单一工程师能重建两条 ASN 的预期关系，则机构存在连续性依赖。可移植性要求的是当前记录和可复现流程，而不只是数字本身的所有权。

注册状态与观测路由状态在回答不同问题

RIPEstat 的自治系统概览在观察时显示两个编号的通告状态不同：AS139688 已通告，AS139687 未通告。该结果是带时间戳的外部观测，而非永久性结论。公共路由采集器并不一定覆盖每个私有或受限场景，且查询后状态可能变化。

这一差异说明网络保障不能只看单一数据源。RDAP 回答的是“谁与该资源关联、记录了哪些职责”；路由观测回答“采集器当前是否看到该资源参与公共 BGP”。单一来源都不足以作完整判断。

未观测到路由但有注册记录并不一定错误。该资源可能未使用、仅限私有环境、或临时停用。若有观测路由但注册不准确，则形成另一类风险：流量可通行，但应急响应者缺少可靠责任记录。可信状态应是在组织意图、注册数据、路由策略与观测结果之间保持一致。

运营基线应定义每个 ASN 的期望状态。应明确哪些前缀（如有）应由谁起源；哪些变更已计划；应何时可见于多个采集点；以及谁能裁定方差是否可接受。基线应版本化，以便调查时区分旧基线与未授权变更。

监控应比较多个维度。起源监控检查预期前缀是否在目标 ASN 下出现。可见性监控检查多个观测点是否同步可见。路径监控检查上下游或对等变更是否需要解释。注册监控检查组织与角色记录是否保持一致。配置监控检查运行设备是否符合批准策略。没有长期维护输入，单一看板无法可靠推断全部维度。

例外处理至关重要，因为路由观测有歧义。路由缺失可能是维护、上游问题、局部配置错误、采集缺口，或有意撤销通告。意外路由可能是计划内测试、迁移、泄露，或未授权操作。自动化应先识别偏差并留证；负责人员应按变更记录和服务背景进行分类。

公共证据仅支持有限结论：存在两条活动 APNIC 注册，并且在抽样 RIPEstat 概览中一条被公开通告，另一条未通告。它并不支持关于可用性、路由量、邻居多样性、流量工程或故障发生情况的主张。保留边界才能避免将有用观察误用为夸张化叙事。

政府网络授权造成多所有者控制面

2019 年内阁记录将 TIC Timor 描述为负责实施 ICT 政策和战略并管理政府及其他公共实体 IT 网络、ICT 基础设施和信息系统的公共机构；该记录还提到国家与国际连接、设备和软件兼容性、互操作性及数据安全等目标。

TIC Timor 的 2025 年专题资料也描述了类似的广泛范围：该机构受托实施 ICT 与电子政务项目，管理政府网络基础设施、集中政府数据，并开发应用。它同时提到稳健的数字基础设施、政府数字数据中心、分发点、网络接入、业务连续性以及与全国 ICT 基础设施的整合。

这种广度带来协调成本。网络基础设施、数据中心设施、云平台、安全、应用、身份系统、市政连接和政策是不同专业领域，可能各自有不同预算、供应商、发布周期和事故阈值。局部看似正确的变更，也可能在跨系统层面触发连锁故障。

以一个市政服务为例：应用团队可上线可运行系统，但网络路径可能缺乏容量或稳定域名解析。网络团队可提供连通性，但身份与访问控制仍不完整。数据中心团队可托管服务，但备份归属不清。网络安全团队可施加控制但误阻合法流程。地方机构可接入服务但无经过训练的支持联系人。以上失败不一定意味着过失，而常在所有权边界自然出现。

因此运行模型需要服务地图，而非分离资产清单。服务地图将公共职责连接到应用、数据、身份、DNS、网络路径、托管、监控、供应商、支持角色和恢复目标。它区分权威记录与实际观测状态，记录谁可批准变更、谁可接受残余风险。

互操作性又增加一层。内阁描述提到设备和软件兼容性标准。标准只有在转化为可测试接口时才能减少歧义。书面的协议要求并不自动保证生产环境中的版本、证书链、数据格式、时间同步和错误处理一致。集成测试与变更控制仍然必需。

集中化可简化治理并可能提升一致性，但也会集中依赖。集中化的数据、身份、网络或支持服务可能成为共享单点。正确结论不是“集中化好”或“集中化坏”，而是共享服务必须拥有与其承载公共职能数量相匹配的容量、冗余、访问、运维与恢复控制。

TIC Timor 的公开授权解释了为何将该机构作为本研究中的网络控制面对象，但并不证明所有组件都集中化，或所有部门采用同一架构，也不表明所有政府服务都依赖这两条 ASN。相关关系未披露，不应被推断。

分发点、地方政府与边缘集成成本

TIC Timor 的公开材料提到分发点、增强网络接入、市政活动以及地方政府服务。来自 Oé-Cusse、Manatuto 和 Díli 的报告提及电子政务宣传、地方网络接入、网络基础设施、数据中心与网络安全议题，以及技术支持。INDMO 报道了与该机构协同安装互联网线路以支持其数字系统。

这些记录表明组织覆盖范围与集成活动，但不证明每个市镇已完成生产接入，不证明每项服务达标，也不证明特定用户结果达成。宣传活动是参与度和培训证据，不是性能基准。规划会议是协调证据，不是完成交付的证明。

边缘集成有多个技术阶段。各方首先定义服务边界，选择接入方式，识别所需地址和名称，配置安全策略，测试应用，建立监控，记录支持，并确认验收证据。每一阶段可能涉及 TIC Timor、接收机构、运营商、设施、应用负责人和安全团队。

国家与地方系统之间的交接尤其关键。中央团队可监控骨干可达性，但市镇可能负责本地交换、供电、设备或终端支持。主链路健康并不代表公共服务可用，反之本地应用问题也可能被误判为网络故障。共享诊断应明确服务边界以及各团队可采集的证据。

地理条件会改变运维假设。出行时间、设备可得性、供电质量、运营商修复流程与本地运维力量会影响恢复。远程管理可减少出差，但增加对安全访问和带外通道的依赖。备用设备可缩短修复时间，但会带来库存和生命周期成本。标准化配置可降低支持复杂度，但不一定适用于所有站点。

容量规划也是端到端的。上行高容量并不自动提升某一市政服务的实际效果，若本地接入、应用、服务器或终端仍是瓶颈。使用增长可先出现在某一层。监控应区分物理故障、拥塞、丢包、DNS 故障、身份认证延迟、应用响应和用户反馈。

验收应面向服务而非单项网络。连通性测试可确认可达性，但不能证明应用工作流可用、备份是否完整，或支持团队能处理事故。更强的验收包应包含链路状态、路径与 DNS 检查、应用事务、监控接入、支持归属、回滚条件与下次评审日期。

公开关于市政拓展的描述是政策目标。真正影响交付的是反复进行的集成和支持实践质量。所谓“扩展连接”或“地方网络”背后，是大量持续性运维工作。

数据中心集中化与云化规划需要边界纪律

TIC Timor 的公开资料描述了政府数据中心、政府数据集中化、数据中心服务、网络安全责任以及未来的混合云治理。这些是能力与计划，不应转化为对具体架构、云厂商、认证等级或工作负载部署位置的结论。

数据中心集中化会改变依赖图谱。应用可能依赖共享的计算、存储、身份、DNS、网络、日志、备份和物理设施。共享服务可减少重复并提高控制一致性，也可能扩大公共故障或维护误差的影响面。

边界纪律从所有权开始。设施团队负责机房电力、散热、物理访问和硬件环境；平台团队负责虚拟化、存储、操作系统或云控制平面；网络团队负责连接和路由；应用团队负责业务逻辑与数据使用；安全团队定义并监控控制；服务负责人决定恢复优先级。可靠运营模型使这些边界可见，并将其纳入单一问责服务结果。

混合云治理进一步带来可移植性和生命周期问题。工作负载可能依赖供应商专有身份、网络、存储、监控或部署接口。可移植性不是叫一声“混合云”就能实现。它要求可测试的数据导出、配置重建、凭证恢复、网络重挂载和应用验证。机构必须知道哪些组件可迁移、迁移多久、以及过渡期间会丢失哪些功能。

备份也是常见盲区。成功的备份任务只证明数据被写入某处，不证明数据完整、可读、安全或能在服务目标内可恢复。恢复演练应包含应用一致性、身份、网络配置、依赖关系和操作员接入。数据中心可持续可用，但关键服务未必能被重建。

随着共享平台使用增加，变更协同更复杂。证书更新、DNS 调整、防火墙规则、存储升级或身份策略改动都可能影响多套应用。变更流程应识别下游服务、维护重叠、回滚上限和验收责任人。高风险变更可需分阶段发布和独立恢复访问。

公共透明度也要与安全平衡。公民与机构受益于明确职责、服务范围与事故渠道。但机柜布局、具体地址、凭证或防御配置仍应受保护。可通过控制性证据和演练证明保障能力，而无需披露敏感拓扑。

公共来源支持的结论是：数据中心与云治理属于 TIC Timor 的已声明运行范围。它未证明某一具体架构具备韧性，也未证明某项服务已达到恢复目标；这些问题需要有时间戳的、按工作负载级别证据。

网络安全是运营依赖，不是宣传标签

TIC Timor 网站和报告将网络安全列为机构职责之一。一份 2024 年资料提到与电子政务数据中心相关的重要数据保护工作组；另一份公开资料将安全威胁、隐私、技能和预算等作为数字化转型挑战之一。

这有价值，因为它承认了约束条件，而非把技术描绘为无摩擦。安全控制会消耗人力、集成工作、维护窗口和例外处理能力；它们可降低风险，也可能在协调不当时成为服务故障来源。

网络安全依赖于当前身份与路由记录。事件团队需要准确的 ASN 资源联系人；监控需要预期路由与服务基线；访问控制依赖及时的入职、离职、变更信息；日志需要时间同步与留存；漏洞管理需要明确资产所有权；恢复需要在主身份系统受损时仍可用的凭证。

安全工具本身也有生命周期成本。传感器、防火墙、终端控制、证书服务与日志平台都需要更新、调优、存储和受训人员解读。产生过多误报的传感器会被忽视；长期未复核的规则可能阻断合法变更。没有响应责任人的监控大屏只记录风险，而不减少风险。

例外处理应先行设计。公共机构可能需要在注册信息陈旧、证书临近过期或安全控制阻断紧急流程时恢复服务。响应应基于范围化、限时例外，由审批人、补充监控和事后修复要求共同约束。未经边界控制直接关闭广泛控制，会把可用性问题升级为安全问题。

安全与连续性可能冲突，若两组团队分开优化。严格网络过滤可保护日常状态，但可能阻断故障切换路径；备份账户可支持恢复，但增加权限风险；集中身份可提升治理，却可能成为恢复依赖。设计评审应同时评估正常与降级模式。

在此处，事实边界同样关键。网络安全单元的存在是能力证据；公开的威胁讨论是风险认知。它们都不能证明是否发生过事故、控制是否有效，或系统是否安全。关键问题应聚焦资产覆盖、检测归属、响应授权、恢复演练和证据时效。

监督、集成、运维与例外成本

TIC Timor 的公共授权运行成本并非由硬件或带宽决定。还包含让记录、系统、团队和机构保持一致所需的人力。

监督从预期状态开始。对两个自治系统资源而言，预期应明确是否应公开路由、每个策略域归属哪些前缀，以及哪些变更被批准。对政府服务而言，预期应定义所需依赖、监控、恢复目标与支持边界。缺乏这些上下文的告警只产生工单数量，而不产生可用性保证。

集成工作是连接各层。注册联系人要与网络权限对齐，路由策略要与地址规划和安全元数据对齐，DNS 与身份要与应用对齐，市政链路要与本地设备和支持对齐，数据中心容量要与工作负载需求对齐，网络安全控制要与变更和恢复流程对齐。

运维使这种对齐随时间保持有效。联系人变更、证书到期、软件停止支持、运营商服务变动、设备老化与应用新增依赖都会使文档失效。即便原始陈述都正确，文档也可能失真。运维程序应按风险为不同记录设定复核间隔，而不是一刀切。

例外处理用于吸收不确定性。路由观测可能与基线不符，市政链路可能在计划内中央变更期间不稳定，安全控制可能阻断合法服务，数据中心依赖可能退化但未完全失效。响应需要证据采集、分类、授权、沟通与后续处理。

成本模型至少应覆盖六类：第一是人力：值班覆盖、培训、同行评审与演练。第二是工具：监控、配置管理、日志、工单与安全访问。第三是集成：跨网络、身份、应用与机构边界的测试。第四是运维：升级、续订、记录更新、备件与退役。第五是例外：事故响应、临时控制、问题根因修复。第六是验证：审计、恢复演练、路由审查与服务验收。

这些成本不意味着失败。它们是负责运营共享控制面的“代价”。能力范围更大，就有更多接口需要持续维护。中心化公共机构也会承担集中协调成本，这类成本在其他机构中可能被分摊。

因此效率不应只以减少控制活动为目标，而应以结果和风险为度量。自动化比较注册记录可节省复核时间，但仍需有人解读差异。标准化市政配置可降低差异，但例外仍要治理。集中监控可提升可见性，但地方团队仍需可用的升级路径。

最有效的控制会形成可复用的证据：服务地图支持变更评审、事故响应与审计；版本化的期望路由清单支持监控和恢复；经过测试的恢复程序支撑连续性和运维演练；当前的权限矩阵支持安全与运营。可复用证据可降低保证工作边际成本。

可作为可检验假设的失败模式

公共证据支持以下失败假设。它并未显示这些情形已在 TIC Timor 发生。

1. 注册角色漂移

管理、技术、注册人或事件响应角色在人员或组织变动后可能陈旧。测试应核验权限与响应能力，而不仅是邮件投递。

2. 注册状态与预期状态混淆

活跃注册可能被误读为必须公开通告的要求。应建立每个资源的版本化用途与路由基线。

3. 意外路由出现

未在公共路由中预期出现的 ASN 可能被看到。运营者需要先有计划变更上下文、起源与前缀证据和指定升级人，再对事件分类。

4. 预期路由消失

预期中的公共路由可能消失，原因可能是维护、配置问题、上游故障或观测缺口。多来源证据与服务影响测试可减少误判。

5. 错误的冗余推断

两个 ASN 可被描述为高可用，即使它们共享关键依赖，或未构成真正的故障切换方案。连续性审查应映射真实故障域。

6. 配置与注册漂移

路由器、监控和过滤器可能沿用旧组织、联系人或策略记录。应定期将权威记录与所有下游消费者进行对账。

7. 市政交接缺口

中央链路可安装到位，但地方侧电力、交换、应用或用户支持归属不明。验收应记录边界划分与升级路径。

8. 容量瓶颈迁移

提高主干或互联网容量后，瓶颈可能转移到本地接入、应用、身份或存储。端到端度量应区分这些层级。

9. 中心依赖集中

集中化的 DNS、身份、网络或数据中心服务可放大单次变更或故障影响。服务地图与分阶段变更应识别共享依赖。

10. 有备份但不可恢复

备份任务成功，并不代表可按服务目标恢复，因为可能缺身份、网络、配置或凭证。必须进行按工作负载的恢复测试。

11. 安全控制与恢复冲突

在正常运行有效的控制，可能在故障切换或紧急流程中阻断。降级测试应同时包含安全与连续性责任人。

12. 运维窗口重叠

运营商、设施、平台和应用团队各自安全的维护时间可能叠加，形成复合性停机。共享日历与风险接受授权可减少此类损失。

13. 文档与运行状态漂移

公开或内部对分发点、服务、联系人或架构的说明可能落后于实际变化。命名负责人和复核时间戳可让漂移可见。

14. 有支持但无处置权限

地方或中央支持联系人可接单，但无访问和授权权限，无法真正解决问题。升级演练应同时验证可达性和决策权。

15. 将能力当作公民结果

数据中心服务、政府网络、网络安全单元、市政项目与两条已注册 ASN 属于能力或活动，而非自动证明更快服务、更低成本、更高可用性或更佳公民体验。

能力、可靠性与生产结果是独立证据类别

能力证据回答组织被赋能、具备或设计做什么。TIC TIMOR I.P. 的公共授权覆盖政府 ICT 网络、基础设施、信息系统、电子政务、数据中心服务及相关支持。APNIC 记录证明两条已注册自治系统身份。一手资料描述了市政参与、网络整合和网络安全职责。

可靠性证据回答某项能力是否长期按预期运行。抽样 RIPEstat 概览提供较窄的外部路由观测。公共报告提供时间点与活动命名。这些是有价值的信号，但未证明服务水平、事故率、恢复表现或内部测试结果。

生产结果证据回答某一公共机构、服务、用户群或公民流程实际发生了什么。协调报告可显示团队会面，但不能证明最终连接达成容量目标。宣传活动可证明参与，但不能证明应用更稳定。公开的效率表述可描述目标或报告节约，却不能单独隔离网络的因果作用。

区分这三类可改善决策。领导层可用能力证据界定运行范围；可用可靠性证据要求当前控制与演练；可用生产结果证据评估某项服务是否真正创造公共价值。混用这三类只会导致过度乐观或不公正否定。

同样的边界也应用于公共表述。应将 APNIC 身份定位为注册身份。将 RIPEstat 结果定位为带时间戳的观测。将机构报告定位为一方声明。将政府记录定位为授权证据。将绩效结论留给有明确方法和范围的时间化测量。

公共证据能确立与未能确立之处

证据确认 TIC TIMOR I.P. 是一家拥有政府 ICT 与电子政务授权的公共机构；确认 APNIC 将该机构与现有管理员角色关联到 AS139687 与 AS139688；确认两条注册在审阅时均为 active；确认 RIPEstat 报告 AS139688 通告、AS139687 未通告（抽样时）；确认 TIC Timor 公开讨论了政府网络基础设施、数据中心服务、分发点、网络安全、业务连续性、市政活动和与其他公共机构协作。

证据未披露私有拓扑、地址清单、供应商、对等策略、设施、配置、路由过滤器、网络安全设计、人员、值班覆盖、维护记录、事故历史、可用性、时延、吞吐或恢复结果。它未显示两个 ASN 具有冗余、独立或均在生产环境运行。也未证明某一市政接入或数字服务达成了具体结果。

这些未知不代表证据缺陷。部分信息有必要保持私密。实际工作是按决策需要请求与控制强度相匹配的证据：当前角色复核、预期路由基线、服务地图、变更记录、恢复演练、验收证据与带时间戳的结果测量。该路径在保障安全的同时，也可持续检验运营连续性。

TIC Timor 的双 AS 政府网络控制面：RDAP 身份、路由连续性与公共服务整合成本

为何重要

摘要