摘要

  • RFC 9959 定义 Careful Resume：发送方可保存前一条连接实际使用过的拥塞窗口、最低 RTT、远端端点标识与有效期，并在后一条连接中谨慎复用。
  • 这些数据只是带时间戳的历史观测；新连接仍须从普通初始窗口开始，独占一次缓存，侦察当前路径，并把跳升限制在旧窗口的一半以内且按当前 RTT 发包。
  • 若丢包、ECN 或路径变化否定假设，Safe Retreat 必须删除旧状态、排空未验证数据、压低窗口，把错误试验占用的空间还给其他流。

一家内容服务把同一个 anycast 地址部署在多个站点。上海午后，一个客户端完成大文件下载，服务端记录了较大的 saved_cwnd 和较低的 saved_rtt。稍后同一地址又发起连接，缓存命中，算法似乎有理由立刻提速。

但这一次 BGP 选择可能把请求送到另一座机房；ECMP 可能换了一条内部路径；用户也可能从有线网络切到移动热点。更隐蔽的风险来自服务自身：五个工作进程同时读到同一条历史记录，各自都认为自己有权使用一半旧窗口。

如果每个局部判断都“合规”，总量仍可能把共享瓶颈塞满。

RFC 9959 于 2026 年 5 月作为 IETF Standards Track RFC 发布。它定义 Careful Resume，目标是在高带宽时延积路径上减少每条新连接从初始窗口重新学习的时间。标准没有把缓存命中写成发送许可，而是把它设计成一条可撤销的证据链：观测、保存、过期、单次领取、路径侦察、节奏化跳升、实时验证，以及失败后的安全退让。

窗口记忆记录的是过去，不是容量余额

前一条连接可以保存四类信息：实际在一个 RTT 内使用过的 saved_cwnd、当时最低的 saved_rtt、实现自行定义的 saved_remote_endpoint，以及过期时间 Lifetime。若观测到的窗口还不到初始窗口的四倍，实现甚至可以不保存，因为复用的收益不足以抵偿控制复杂度。

saved_cwnd 的证据含义很窄：某条流在某一时段、某一路由和某一竞争环境中，确实把这些字节送入网络并得到确认。它不是端口速率，不是客户购买的带宽，不是此刻空闲容量，也不是新流应得的公平份额。

RFC 2914 说明了为何这一区分属于公共稳定责任，而不只是性能调优。端到端拥塞控制的价值在于避免一个发送方把自己的速率偏好强加给所有共享队列的流。缓存让本地应用更快，却可能让无从参与配置的其他发送方承担延迟、丢包和饥饿。

RFC 9959 因而规定：一个 Remote Endpoint 最多保存一组参数，新的观测应更新或替换旧记录。这里没有“越积越多”的信用。历史状态必须可替换、可过期、可删除。

Remote Endpoint 只是一种路径假设

Remote Endpoint 至少包含发送接口标识和目的标识，目的可以是单播或 anycast 地址；实现还可以加入 DSCP 等信息。字段越多，区分路径的能力越强，但可复用范围也越小。

无论键有多细，它都不是物理路径证书。相同地址可能落到不同服务器集群，NAT、隧道、ECMP、接入切换和策略路由都能让瓶颈发生变化。队列中的竞争者变化更不需要地址改变。

所以，Careful Resume 同时检查键和现实信号。本地栈报告路径变化，立即放弃复用；记录过期，也必须删除。RTT 还提供两条边界：当前最低 RTT 小于等于旧值一半时，以当前更短 RTT 发送半个旧窗口可能超过过去的实际速率；当前 RTT 大于旧值十倍时，也视为路径已经不同。

这些阈值只能排除明显不相似。两条容量不同的路径可以有相近 RTT，同一路径也可能在晚高峰拥有完全不同的可用队列。侦察降低不确定性，并不证明同一性。

四个阶段把提速变成可撤销试验

新连接首先使用正常拥塞控制与普通初始窗口。RFC 5681 给出经典 TCP 慢启动和拥塞响应，RFC 6928 给出现代初始窗口背景。Careful Resume 不允许连接一建立就把昨日窗口装进去。

在 Reconnaissance 阶段，初始数据若出现丢包或 ECN-CE，缓存已被另一连接领取，端点/路径信号改变，Lifetime 已过，或 RTT 超出边界，复用就在跳升前结束。只有初始数据全部获确认且没有拥塞报告，发送方才可以进入 Unvalidated 阶段。

跳升上限是：

jump_cwnd ≤ Min(max_jump, saved_cwnd / 2)

“一半”不是安全承诺，只是上界；运营者可以把 max_jump 设得更低。所有未验证数据必须按当前 RTT 节奏化发送，避免窗口变化化为一次线速突发。进入阶段时，已经在途的真实数据量成为 PipeSize；只有新的 ACK 才逐步扩大这份已验证容量。

未验证阶段被刻意压短：发完跳升窗口、收到第一份未验证数据的 ACK，或停留超过一个 RTT，都会推进到验证。如果应用没有足够数据真正使用窗口，未用部分不会作为免费许可留下，窗口回到实际使用量。

在 Validating 阶段，正常控制器可以随 ACK 继续运行，但所有未验证数据没有在无拥塞条件下确认之前，结论仍可撤销。进入一个状态机节点不等于通过验证。

同一条缓存不能被集群重复消费

单次使用规则是分布式部署的核心。假设旧流留下 200 个包的窗口，半窗上限允许一个新流试探 100 个包。若五台后端从复制缓存中同时读到它，瓶颈面对的是 500 个包，而不是任何一台机器日志里的 100 个包。

RFC 9959 明确禁止一组保存参数同时被多条连接使用。单进程可以用哈希表和本地锁解决；连接按四元组散列到不同进程或主机时，就需要原子租约、分布式所有权，或者直接回退到普通拥塞控制。

缓存高可用不能顺便复制速率权限。重试、故障转移和分区状态都必须遵守同一独占规则。RFC 9040 提供跨连接共享 TCP 控制块信息的更广框架，说明时间共享为何有价值，也说明范围为什么重要；它没有替 RFC 9959 选择 Lifetime，更没有替一个服务设计分布式锁。

Safe Retreat 不只是“减一点速”

跳升后出现丢包、ECN-CE 或路径变化，意味着系统刚刚花掉的历史信用可能是错的。此时若沿用普通的渐进减速，错误流可能继续压住已经被挤出的竞争者。

Safe Retreat 首先删除这条保存状态，防止下一条连接重复同一假设；然后把 CWND 降到不高于 PipeSize / 2，用较小窗口恢复丢失数据，并在排空未验证数据期间禁止窗口增长。退出时，ssthresh 不高于 PipeSize × Beta，默认 Beta 为 0.5。

RFC 9937 定义 PRR，让普通拥塞响应逐步接近控制器选定的目标。RFC 9959 特别说明：若历史窗口跳升可能造成显著过冲，PRR 的渐进假设不适合 Safe Retreat。RFC 9438 描述 CUBIC 的通常行为与 0.7 beta；这不会取消 Careful Resume 失败时更保守的退让义务。BBR 等速率型控制器可以保存等价的瓶颈带宽观测，但仍须在失败后释放它所占用的共享空间。

持续拥塞或 TCP RTO/到期会终止 Careful Resume。稍后才到的 ACK 不能追认之前的跳升。

有效期其实是一项流量治理政策

RFC 9959 没有规定统一 Lifetime。动态路径适合以分钟计；稳定且预计不会被大量发送者共享的路径，可以考虑小时。共享瓶颈越拥挤，重复复用造成长期过载和饥饿的风险越高，记录就应越短命。配置变化还必须能主动清空缓存。

更长有效期能提高命中率，却也扩大路由、站点、接入和竞争者变化的窗口；更宽的端点键能增加复用，却提高路径混叠；更小的 max_jump 降低一次错误的代价，却可能抹掉性能收益。损失的一部分由别人的流承担，因此不存在只看本服务吞吐就能求出的最优值。

RFC 7661 管理的是同一条连接在应用限速时的未验证拥塞窗口，并建议 non-validated period 不超过五分钟。RFC 9959 处理后一条连接主动读取前一条连接的历史。两个机制都反对把未使用的窗口当事实，但时钟、风险和退出路径不同。

RFC 4782 的 Quick-Start 是有用对照：它曾要求沿途路由器参与批准请求速率。Careful Resume 没有得到网络逐跳授权；它根据端点记忆提出假设，再用当前反馈验证。任何“预留容量”或“网络已同意”的表述都越过了证据边界。

接收方与应用仍有否决权

接收方可能知道接口已变、硬件受限、传输很短，或者另一条流稍后更需要容量。RFC 9959 允许具体传输机制表达启用或禁止偏好，但没有定义通用信令。

CWND 也不是唯一速率阀门。RFC 9293 中的 TCP 接收窗口可能更小；RFC 9000 的 QUIC 连接/流级流控与地址验证前的抗放大规则也会先起作用。QUIC 连接身份可以在迁移后继续存在，拥塞状态却需要按新路径重新建立。

RFC 9002 给出 QUIC 初始窗口、节奏化、丢包与持续拥塞背景。RFC 8085 则把责任扩展到 UDP 应用和传输：没有 TCP 字节流，不代表可以无视共享瓶颈。历史观测绝不是应用任意发速的通行证。

真正的证据是执行过的状态链

Heng Lu 的运行代码原则要求审计真实执行路径，而不是开关名称。应保留缓存键、观测时间、旧/新 RTT、Lifetime、独占领取、初始 flight、跳升值、发包节奏、PipeSize、ACK/丢包/ECN 输入、阶段迁移、缓存删除、退让窗口与外部效果。

他的最小共同规范与本地未来决策解释了标准与运营者的分工：RFC 固定安全不变量，本地决定 Remote Endpoint、Lifetime、max_jump、缓存架构、接收方信令和部署范围。自由选择只有在责任主体明确且结果可验证时才成立。

现实层级进一步区分：缓存里有记录、当前路径看起来相似、控制器进入未验证状态、数据得到 ACK、服务变快且没有伤害他人。这五句话不能互相替代。