登記連續性謬誤——保護賬本，而非守門人
機構失效時，必須延續的是賬本，還是守門人？
手記69提出了一個簡單的問題：
究竟是什麼的穩定？
在這個問題之下，還藏着另一個問題。
究竟是什麼的連續性？
區域互聯網註冊管理機構（RIR）常常以登記連續性爲理由，主張保全當前運營登記系統的機構。在AFRINIC爭議中，這就成了一種耳熟能詳的說法：
必須保護AFRINIC，因爲非洲承受不起其號碼登記系統崩潰的後果。
前半句可以爭論。
後半句是事實。
非洲承受不起號碼登記連續性喪失的後果。任何地區都承受不起。唯一性必須維持。登記記錄必須保持準確。RDAP、WHOIS、反向DNS和RPKI服務必須持續。不能破壞運行中網絡的穩定。不能讓下游客戶遭受連帶損害。資源爭議必須有獨立的裁決場所。
但這一切都不能證明：AFRINIC現任董事會、目前對《註冊服務協議》的解釋、目前的區域外敘事、目前對自身的機構定位，或者目前的守門權力，也都必須保全。
這種偷換，就是登記連續性謬誤。
登記連續性本身並不是謬誤。
謬誤在於聲稱：要讓這項職能持續，就必須讓當前履行該職能的機構所主張的一切權力也持續下去。
並非如此。
手記69區分了機構自身的穩定與路由網絡運行與客戶連續性的穩定。手記70將這一區分再深入一層：登記服務的連續性，必須與登記公司權力的延續分開。
這項職能確實存在
登記職能很重要。
互聯網號碼必須保持唯一。不能讓兩個互不相關的運營者，同時對同一地址塊取得相互排斥的專屬登記權利。歷史記錄必須保存。控制關係的變更必須記載。欺詐性改動必須防範。公共目錄服務必須保持可用。安全聲明必須能夠驗證。
這不是政治表演。
這是實實在在的協調。
AFRINIC目前提供或支持登記數據、RDAP、WHOIS、反向DNS、RPKI以及相關路由服務。這些服務具有運營價值。AFRINIC自己的文檔也把RPKI、反向DNS和路由登記庫列爲核心服務，與其對IP地址和ASN的管理並列。
錯誤始於把這些職能與性質完全不同的一組主張捆綁起來：
- AFRINIC代表非洲。
- 它的服務區域賦予了它政治地位。
- 在資源已經嵌入實際運營之後，其董事會仍可擴張《註冊服務協議》（RSA）的含義。
- 它可以規管租賃、商業使用或客戶的地理分佈。
- 挑戰它的自由裁量權，就是威脅互聯網。
- 要維持技術服務，就必須保護這家機構，使其免受通常的法律問責。
維持一個登記系統的需要，推導不出上述任何一個命題。
數據庫需要連續性。
主權主張不需要。
登記連續性究竟需要什麼
連續性的要求有五個部分。
號碼唯一性
同一號碼資源，不得同時登記給權利主張互不相容的主體。
這是登記層最初的技術依據。它範圍有限，標準客觀，而且可以審計。
維護唯一性，不需要登記機構判斷自己是否贊同運營者的商業模式。不需要一套要求商業活動效忠本區域的理論。也不需要登記機構佔有號碼使用所創造的價值。
它只需要準確回答一個有限的問題：
目前，誰持有這項資源獲承認的登記權？
登記準確性
登記機構必須保存關於號碼資源、登記持有人、獲授權變更、轉移、安全狀態以及相關爭議元數據的準確信息。
準確性需要證據、審計軌跡和受控更新。
它不需要自由裁量的道德判斷。
登記機構可以糾正僞造的轉移。
可以防止重複登記。
可以記載某項權利主張存在爭議。
但它不應僅僅因爲董事們對舊合同採納了新的政治解釋，就改寫實際運營的現實。
賬本必須免遭篡改和污染。
也必須防範運營它的機構本身。
信息發佈與安全服務的連續性
在機構失靈、訴訟、資不抵債、治理爭議或過渡期間，RDAP、WHOIS、反向DNS、RPKI存儲庫及相關信息發佈服務必須保持可用。
RPKI尤其需要謹慎對待。它不只是一個可以複製到另一臺服務器上的文件。證書、存儲庫、清單、吊銷信息、路由源授權（ROA）、簽名安排以及依賴方的信任，都必須保持協調一致。AFRINIC自己的文檔指出，驗證器通過AFRINIC的信任錨定位器，從其RPKI存儲庫獲取對象。
這說明有計劃的接續是必要的。
卻不意味着AFRINIC必須永生。
關鍵服務遷移的複雜性，恰恰說明應在故障發生之前建立過渡機制。它不是賦予當前運營者永久權力的理由。
運行中網絡與客戶服務的連續性
登記爭議不能被轉化爲路由中斷、安全信息污染、強制重新編號，或客戶系統故障。
連續性的首要保障對象，不是登記機構的辦公室。
而是使用這些號碼的網絡。
運營者圍繞這些資源建設了基礎設施。客戶又圍繞這些基礎設施建設了系統。安全規則、允許列表、API、支付關係、雲部署、合同及合規系統，都可能依賴穩定的網絡標識符。
登記機構若以威脅這些系統的方式維護自身權威，就沒有保護連續性。
它把連續性的保障次序顛倒了。
獨立裁決的連續性
爭議總會發生。
所有權主張會衝突。轉移會受到質疑。欺詐指控會出現。合同會有不同解釋。公司的控制權可能變化。債權人、法院、運營者和登記機構之間可能意見不一。
解決辦法不能是讓登記機構同時充當記錄保管者、權利主張者、法官和行刑者。
真正的連續性體系，需要一個能夠裁決爭議、又不摧毀爭議資產的獨立裁決機制。
裁決期間，默認做法應是維持最近一次經覈實的運行狀態。系統可以阻止相互衝突的改動。但不應僅僅因爲登記機構站到了爭議的一邊，就撤銷、污染或重新分配運行中的資源。
隔離爭議影響，是連續性的一部分。
登記機構自行採取強制處置，不是。
連續性不需要什麼
沒有哪個數據包需要攜帶AFRINIC董事的名字。
沒有哪個RDAP響應需要AFRINIC的機構自尊。
沒有哪項反向DNS委派依賴於區域外政治敘事。
沒有哪個ROA需要一套理論，聲稱非洲是由一家毛里求斯公司代表的單一行政政治實體。
沒有哪項唯一性不變量要求對RSA作擴張解釋。
必須持續的是：
- 記錄。
- 服務。
- 安全鏈。
- 進行合法更新的能力。
- 現有網絡的運行。
- 對下游客戶的保護。
- 獨立裁決的可獲得性。
可以更換的則包括：
- 董事會。
- 公司實體。
- 服務運營者。
- 政策機制。
- 收費結構。
- 合同框架。
- 強制執行理論。
- 該機構聲稱對區域正當性擁有的壟斷地位。
這種區分並不激進。
它是韌性基礎設施的基本邏輯。
一項職能越關鍵，就越不應依賴某一家組織能否存續、是否心存善意，或秉持什麼法律理論。
RIR體系其實已經承認了這一點
RIR體系自身在連續性方面的工作，已經說明登記職能可以與當前履行它的機構分離。
2020年，號碼資源組織（NRO）一次關於應急後端的討論，將WHOIS/RDAP、反向DNS、RPKI和互聯網路由登記庫（IRR）列爲需要備份的服務。討論考慮了最近一次確認正常的狀態快照，以及一家RIR進入應急狀態時，由另一家RIR啓動相應服務實例的可能性。
後來提出的ICP-2原則規定，RIR應維持冗餘，並參與充分的記錄共享，使另一家RIR能夠代爲履行其服務。同一份文件也考慮到，在一家RIR被撤銷認可後，將運營移交給繼任或臨時實體。
這些方案依然過於圍繞現有RIR圈子展開。它們假定，連續性仍應由同一類機構掌控，而受到質疑的恰恰就是這類機構的權力。
但這些方案承認了一個根本事實。
公司實體可以替換。
服務可以移交。
記錄可以共享。
繼任者可以履行這項職能。
一旦承認這些，“因爲登記系統必須存續，所以AFRINIC必須存續”就不再是一項技術判斷。
它只是一種機構偏好。
從連續性到豁免權
當登記連續性謬誤被用來獲取政治或法律上的保護屏障時，它就變得危險了。
這套過程並不難預料。
首先，機構宣稱自己的服務不可或缺。
然後，它把自身與這些服務視爲不可分割的同一物。
對董事會的挑戰，變成了對登記系統的挑戰。
對某種RSA解釋的挑戰，變成了對唯一性的威脅。
法院命令，變成了對互聯網穩定的威脅。
對可遷移性的要求，變成了對區域體系的攻擊。
對獨立裁決的請求，變成了對社羣治理的干涉。
最後，保護連續性，變成了保護機構免於問責。
這是借連續性之名洗白權力。
一個真實的技術要求，被拿來保護與之無關的權力主張。
機構把職能舉在身前，當作盾牌。
它暗示的信息很簡單：
不要約束我們，因爲有重要的東西依賴我們。
但關鍵依賴關係應當導向恰好相反的結論。
登記職能越重要，其運營者就越必須做到可審計，所承載的職能就越必須能夠複製、遷移、分離和替代。
不可或缺的基礎設施，需要可以替換的管理者。
除此以外，都是挾持架構。
一套連續性架構
機構保護主義的替代方案，不是任由登記系統崩潰。
而是一套明確的連續性架構。
第一，權威登記狀態應實行版本管理、接受獨立審計，並持續複製到不受單一公司實體排他控制的環境中。獲授權變更的歷史鏈條，必須在董事會爭議、資不抵債、訴訟和技術故障中保留下來。
第二，RDAP、WHOIS、反向DNS及相關目錄服務，應當具備經過驗證的故障切換安排。連續性計劃應明確遷移每項服務所需的數據、憑據、委派變更和運營權限。
第三，RPKI接續必須作爲一項核心安全流程來設計。它需要明確的密鑰保管安排、存儲庫連續性、應急發佈程序，以及可靠的證書與授權遷移路徑。靜態備份遠遠不夠。
第四，登記管理必須與強制執行分離。負責維護記錄的運營者，不應擁有因商業或政治分歧而單方面摧毀底層實際運營狀態的權力。
第五，應當記錄爭議，但不能讓爭議波及無關運營。有爭議的資源可以附帶爭議元數據。相互衝突的轉移可以暫停。除非獨立裁決明確要求，否則不應摧毀現有路由和有效的安全對象。
第六，可遷移性必須成爲一項不可任意剝奪的連續性權利。資源持有人應能將登記服務遷移至合格的繼任者，無須爲網絡重新編號，也無須由其正在離開的機構酌情批准。
第七，連續性機制的觸發條件必須客觀、透明。故障切換不應只取決於另一家RIR董事會的政治判斷。法院、獨立技術保管者、資源持有人代表以及預先確定的運行標準，都可以發揮作用。
目標不是在AFRINIC之上再造一個主權者。
目標是確保根本不需要任何類似主權者的守門人。
AFRINIC可以繼續存在
將AFRINIC與登記連續性分開，並不要求摧毀AFRINIC。
AFRINIC可以繼續運營技術服務。
它的員工可以保留寶貴的運營知識。
它的系統可以繼續成爲過渡架構的一部分。
如果它能履行範圍有限、可問責、可替代的職能，它作爲公司的存在也可以延續。
但不能把這些可能性，混同爲AFRINIC有權保留自己提出過的一切權力主張。
技術上有用，不能證明機構越權正當。
運營經驗，不會賦予政治權位。
繼續運營一個登記系統，不會讓運營者成爲這個區域、這些資源或未來的所有者。
AFRINIC可以是非洲號碼登記職能的運營者之一。
但它不能成爲非洲互聯網連續性的形而上化身。
正確的拯救敘事
“需要拯救AFRINIC”這句話，有一種合理的表述。
那就是：
必須保護面向非洲網絡的互聯網號碼登記連續性。
這意味着保護唯一性。
保護準確的記錄。
保護RDAP和WHOIS的訪問。
保護反向DNS。
保護RPKI的發佈與遷移。
保護運行中的網絡。
保護下游客戶。
保護中立的爭議解決機制。
它並不意味着：
- 保護現任董事會免受挑戰。
- 保護對RSA的擴張解釋。
- 保護區域外政治敘事。
- 保護機構聲望。
- 保護責任很輕、自由裁量權卻很大的守門機制。
- 僅僅因爲某項權力主張出自現任登記機構，就保護它。
這些是不同的目標。
RIR陣營靠把它們當成同一件事來維持自己的論證。
保護賬本
最後的檢驗很簡單。
當有人說，爲了登記連續性必須保護AFRINIC時，就問清楚：究竟什麼必須延續？
記錄？
把它們保存好。
目錄服務？
爲它們建立副本。
反向解析區？
提供故障切換。
RPKI系統？
建立安全的接續路徑。
運行中的網絡？
禁止破壞性的單方面行動。
爭議？
交給獨立機制裁決。
但如果答案是，AFRINIC的董事會、政策權威、地域敘事和自由裁量執行權，都必須繼續不受挑戰，那麼這套論證就已經與連續性無關了。
它談的是控制。
保護賬本，而非守門人。
保護保管鏈，而非指揮鏈。
保護非洲網絡的連續性，而非對整片大陸的監護權。
登記系統必須有能力在機構消亡後繼續存在。
不能再有人對互聯網說：爲了保住一個數據庫，就必須保住一項私人主權主張。
登記連續性是必要的。
機構永生不是。
你支持哪一種連續性？
RIR體系說，它在捍衛連續性。
但它最一貫捍衛的，並不是運行中網絡的連續性。
而是它對運行中基礎設施和網絡運營者的權力延續：批准、暫停、註銷登記、重新解釋，並最終終止網絡得以繼續運行所依賴條件的權力。
這不是網絡連續性。
這是控制權的延續。
我的立場恰好相反。
我保護的是運行中網絡的連續性：它的路由、客戶、服務、安全對象、基於合同形成的信賴，以及作爲運行實體的存在。
登記機構只有在服務於這種連續性的限度內，纔可繼續存在。它們不會僅僅因爲掌握數據庫，就獲得一項應當優先於網絡的存續利益。
所以，真正尖銳的問題，不是問AFRINIC、NRO或各家RIR董事會的。
而是問每一位網絡運營者的：
你支持哪一種連續性？
是你正在運行的網絡的連續性？
還是一家機構那種可以終止你網絡連續性的權力，得以持續？
這個問題沒有中立答案。
如果你支持前者，那麼可遷移性、獨立裁決、不具破壞性的爭議處理、登記與執行分離，以及以運營者爲先的故障切換，都不是可有可無的改革。
它們是保障連續性所需的最低限度架構。
如果你支持後者，那就請直說，你究竟在保護什麼：
不是登記系統。
不是互聯網。
不是非洲。
而是守門人持續支配運行中基礎設施的權力。
他們保護的是對運行中基礎設施和網絡運營者的權力延續。
我保護的是運行中網絡的連續性。