エンジニアリング哲学: Radia Perlman

要点

• 彼女はSpanning Tree Protocolを発明し、スイッチドイーサネットを大規模に機能させました。 Digital Equipment Corporation在籍中、Radia Perlmanはスパニングツリーアルゴリズムを設計しました。1985年に発表され、IEEE 802.1Dとして標準化されたこのアルゴリズムにより、任意のトポロジーを持つネットワーク内のブリッジは、あらゆる宛先へのループのない単一経路を自律的に計算し、障害が起きても静かに迂回して回復できるようになります。これがなければ、冗長なリンクはループを生み、たった1つのブロードキャストが永遠に回り続けてネットワークを溶かしてしまうのです。¹²³
• 彼女を定義づける信念は堅牢性です。障害時、それも悪意ある障害時でさえ正しく動き続けるネットワーク。 1988年のMIT博士論文の題は「Network Layer Protocols with Byzantine Robustness（ビザンチン堅牢性を備えたネットワーク層プロトコル）」でした。リンクが死んだときだけでなく、ノードが能動的に嘘をつくときにも動き続けるよう設計されたルーティングです。障害のケース、しかも敵対的なケースを前提に設計するという姿勢が、彼女の築いたすべてに貫かれています。¹
• 彼女は定番の教科書を書き、そして特許の中に詩を書きました。 Perlmanは『Interconnections: Bridges, Routers, Switches, and Internetworking Protocols』の著者です。一世代のネットワークエンジニアがこの本で学びました。また『Network Security: Private Communication in a Public World』の共著者でもあります。さらに彼女はスパニングツリーを描写する「Algorhyme」も書きました。「I think that I shall never see / A graph more lovely than a tree（木ほど美しいグラフを私は決して見ることはないだろう）」というこの詩は、おそらく記録に残る唯一の、詩を含むソフトウェア特許でしょう。³⁴⁷
• 彼女は100以上の特許を保有し、National Inventors Hall of Fameに名を連ねています。そして「インターネットの母」という呼び名を嫌っています。 Internet Hall of Fame（2014年）とNational Inventors Hall of Fame（2016年）に殿堂入りし、100を超える成立特許を持つPerlmanは、何十年にもわたって「インターネットの母」というラベルに抗ってきました。インターネットを一人で発明した人物などいない、というのがその理由です。¹⁵

原理

「I think that I shall never see / A graph more lovely than a tree. / A tree whose crucial property / Is loop-free connectivity.（木ほど美しいグラフを私は決して見ることはないだろう。その木の決定的な性質は、ループのない接続性にある）」– Radia Perlman、「Algorhyme」、Spanning Tree Protocolを描写した詩⁴

たいていのエンジニアリングは、すべてがうまくいく場合に向けて最適化されます。ハッピーパスを設計し、想像できるいくつかのエラーを処理して、出荷する。ネットワークはそんな安らぎを許しません。ネットワークとは、ランダムに故障するマシン、パケットの途中で暗転するリンク、そして–運が悪ければ–乗っ取られ、いまや嘘を流し込んでくるノードからなる、生きたメッシュです。Perlmanの仕事のすべては、ほとんどのコードとは正反対の前提から出発します。すなわち、障害のケースはエッジケースではなく、設計の中心なのです。 プロトコルが価値を証明するのは、配線がきれいなときに動くことによってではなく、そうでないときにも正しく動き続けることによってです。人手を介さず、自律的に良い状態へと安定して戻っていくのです。¹³

Spanning Tree Protocolは、この原理を最も純粋な形で体現しています。それが解く問題は容赦なく、構造的です。信頼性のために避けられない冗長リンクでスイッチ同士を配線すると、物理的なループが生まれます。すると、たった1つのブロードキャストフレームがループを永遠に回り続け、分岐ごとに増殖し、ついにはあらゆるリンクを飽和させてネットワークを死なせてしまうのです。素朴な対処はループを禁じることですが、それでは冗長性を禁じることになり、ケーブルが1本切れただけで建物の半分がダウンしてしまいます。Perlmanの洞察は、両方を手に入れられる、というものでした。運用者には好きなメッシュを配線させておき、スイッチ自身に、全員に届きつつループのない単一の木を計算させ、冗長リンクは予備として温存させるのです。²³ 中央のコントローラーもなく、人が手で木を描くこともなく–完全に分散したアルゴリズムが自律的に収束し、何かが壊れれば再収束します。

この原理にはもう半分があり、それこそが前半を深いものにしています。すなわち、堅牢性は事故だけでなく悪意にまで及ばなければならないのです。故障したノードはただ停止します。しかし侵害されたノードは話し続け、その語る内容はあなたを害するよう仕組まれています。Perlmanの博士研究は、より難しい問いを立てました–ルーターの一部が能動的に妨害工作をしていても、ルーティングプロトコルは正しくパケットを届け続けられるのか?–そしてビザンチン堅牢性を備えたプロトコルでそれに答えました。¹ その規律は、スパニングツリーからセキュリティの仕事まで一貫するものと同じです。プロトコルが生きる世界について最悪を想定し、それでも回復するように設計する。そして全体を通じて、その美学はシンプルさにあります。シンプルなプロトコルとは、推論でき、証明でき、収束を信頼できるプロトコルです–だからこそスパニングツリーは詩に収まるのです。

背景

Radia Perlmanは1951年12月18日、バージニア州ポーツマスで生まれました。¹ MITに進み、数学のSB（学士）とSM（修士）を取得し、後に1988年に計算機科学の博士号を取りました。その論文の題は「Network Layer Protocols with Byzantine Robustness」–悪意に転じたルーターのもとでも生き延びるよう設計されたルーティングです。¹ この論文テーマは彼女のキャリアの脚注ではありません。それは彼女のキャリアそのものの主題であり、早くから書き留められていたのです。

彼女が有名になったプロトコルの前に、MITの人工知能研究所で、彼女は静かに過激なことを成し遂げていました。1970年代初頭、彼女はTORTIS–「Toddler’s Own Recursive Turtle Interpreter System（幼児のための再帰的タートルインタープリターシステム）」–を開発しました。LOGOのタートル環境を、3歳半の子どもでもロボットをプログラムできるほどシンプルにしたものです。¹ 後の仕事への筋道は確かなものです。幼児にプログラミングを教えることは、過激な単純化の鍛錬です。前提知識ゼロの相手と接触しても生き残るまで、アイデアをそぎ落とす。彼女はその後のキャリアを通じて、ネットワークプロトコルを同じ種類の本質的で理解可能な核まで削り込んでいくことになります。

彼女のキャリアの道筋は、現代のネットワークを築いた組織を貫いています。MITの後BBNで働き、1980年ごろにDigital Equipment Corporationに加わりました。そしてDECで–研究の閉じた部屋の中ではなく、実際の製品の問題を解きながら–彼女はスパニングツリーアルゴリズムを発明し、DECnetのルーティングを設計し、ルーティングを距離ベクトル方式からリンクステート方式へと移す基礎的な仕事、IS-ISを含む仕事を成しました。¹³ DECの後はNovell、続いてSun Microsystems（ここではSun Fellowとなり、特許の40以上を取得しました）、その後IntelとDell EMCで働きました。¹ その道のりで彼女は100を超える成立特許を積み重ね、Internet Hall of Fame（2014年）とNational Inventors Hall of Fame（2016年）への殿堂入りを果たし、そして何年も拒み続けてきたラベル–「インターネットの母」–を手にしました。インターネットを一人で発明した者などおらず、性別を冠した称号は称えるよりも覆い隠すものが多い、というのが拒絶の理由です。¹⁵

仕事

Spanning Tree Protocol: ネットワークが自分で育てる木

ここから始めましょう。これは原理が仕組みになったものだからです。舞台は拡張LAN–多数のセグメントをブリッジ（いまで言うスイッチ）でつなぎ合わせたもの–で、単一の障害ではネットワークが分断されないよう冗長リンクで配線されています。信頼性のために冗長性は譲れません。しかし冗長性はループを意味し、ループは致命的です。イーサネットフレームには生存時間（time-to-live）フィールドがないため、ループに入ったブロードキャストフレームは無限に複製されながら回り続けます。さらにスイッチはブロードキャストをすべてのポートにフラッディングするので、複製は利用可能な帯域を食い尽くすまで増殖します。ネットワークは遅くなるのではなく、死ぬのです。これがブロードキャストストームであり、「STPの基本的な機能は、ブリッジループと、そこから生じるブロードキャストの放射を防ぐことにある」のです。²

Perlmanの1985年のアルゴリズムは、中央の権威を必要としない分散計算でこれを解きます。³ まず、ブリッジ同士がルートを選出します–最も小さい識別子を持つものが勝ち、小さなメッセージを交換することで決まり、人が選ぶことはありません。² 次に各ブリッジはルートへの最小コスト経路を計算し、その1本のリンクだけを転送用にアクティブに保ち、冗長リンクをブロックします。² 残るのはスパニングツリーです。あらゆるセグメントからルートへ、したがって任意の2点間に、ループのない単一経路がありながら、すべてのLANに届く–まさに詩が名づけた「ループのない接続性」です。⁴ ブロックされたリンクは無駄ではなく、予備として控えています。アクティブなリンクが故障すると、ブリッジは変化を検知し、アルゴリズムは新しい最小コストの木を計算し、待機リンクを昇格させて接続を回復します。² これが自己修復です–自動で、分散していて、運用者は何も触りません。

これがエンジニアリングとして重要な理由はこうです。スパニングツリーは、運用者が無視できる自己安定化の分散アルゴリズムです。ケーブルを挿し、安全のために冗長性を加えれば、ネットワークが自分で片付ける–そして何かが壊れれば自分で片付け直す。IEEEは1990年にこのアルゴリズムを802.1Dとして標準化し、何十年もの間、出荷されるほぼすべての管理型イーサネットスイッチの内部で動きました。² それはまた、理解可能性のお手本でもあります。全体が12行の詩に収まるのは、その下にあるアイデアが本当にシンプルだからであり、シンプルさこそが収束を信頼させてくれるのです。⁴

リンクステートルーティング、IS-IS、そして『Interconnections』

スパニングツリーは拡張LAN内のブリッジングを司ります。ネットワーク間のルーティングはより大きな問題であり、Perlmanはそこも形づくりました。DECで彼女は、ルーティングを距離ベクトルプロトコル–各ルーターは隣接ノードが報告する各宛先までのコストしか知らず、収束が遅く「無限へのカウント」に陥りやすい設計–から、リンクステートルーティング–すべてのルーターが完全なトポロジーを学び、自分自身の最短経路を計算する–へと移す手助けをしました。¹ 彼女のIS-IS（Intermediate System to Intermediate System）への仕事、すなわちOSPFのOSI版となったリンクステートプロトコルは、リンクステートルーティングが堅牢で収束が速い理由の一部です。トポロジーの変化を確実にフラッディングして経路を再計算するよう作られており、これはスパニングツリーと同じ自己修復の本能を、ひとつ上のレイヤーで体現したものです。¹

彼女はその本も書きました–文字どおりに。『Interconnections: Bridges, Routers, Switches, and Internetworking Protocols』は、一世代のネットワークエンジニアがこの分野を学んだテキストであり、『Network Security: Private Communication in a Public World』（Charlie Kaufman、Mike Specinerとの共著）は定番の参考書になりました。⁷ 彼女の文章を際立たせるものは、彼女のプロトコルを際立たせるものと同じです。設計が単に何をするかではなく、なぜそうなっているのかを説明することへのこだわりです–読者に、仕様を暗記させるのではなく、正しさと障害について推論させるのです。

悪意に抗う設計: ビザンチン堅牢なルーティングと、消えるデータ

これこそ、彼女を最もよく映し出す仕事です。壊れたノードを迂回して回復するネットワークだけでも十分に難しい。彼女の博士研究「Network Layer Protocols with Byzantine Robustness」は、一部のルーターが乗っ取られ、それを妨害するためにあらゆる手を尽くしているとき–パケットを捨て、トポロジーについて嘘をつき、ルーティングメッセージを偽造しているとき–でも、ルーティングは正しくパケットを届け続けられるのかを問いました。¹ 故障したノードは沈黙し、予測可能です。ビザンチンノードは騒がしく、敵対的であり、それでもプロトコルは届けなければなりません。悪意ある障害を、後から取り付けるセキュリティの付け足しではなく、設計の第一級の対象として扱うこと–これは、ほとんどのシステムが作られてきたやり方より何十年も先を行っており、スパニングツリーと同じ本能から直接に派生しています。世界は敵対的だと想定し、それでも正しさへと収束する。¹

その本能は後のセキュリティの仕事へと受け継がれました。彼女は公開鍵基盤（PKI）の信頼モデルに貢献し–そして、いかにも彼女らしい澄んだアイデアとして–消えるデータの仕組みにも貢献しました。情報を、選んだ時刻の後に確実に復元不能にできるよう設計された一時鍵管理であり、削除されたデータが本当に消えているという保証です。¹ それは障害のケースを前提とする思考をプライバシーへ向けたものです。ほとんどのシステムは覚えておくために作られています。彼女は、忘れることを信頼できるシステムをどう作るかを問いました。これはより難しく、より敵対的な問題です。

TRILLと、シンプルさの規律

Perlmanはまた、自分自身の最も鋭い批判者でもありました。だからこそ彼女はスパニングツリーの後継を設計したのです。STPの大きな限界は、その美徳の裏返しです。ループを殺すために冗長リンクをブロックする–つまり帯域が遊んでしまい、近くにある2つのスイッチ間のトラフィックが、ルートを経由する長い迂回を強いられかねないのです。⁶ TRILL–「Transparent Interconnection of Lots of Links（多数のリンクの透過的相互接続）」–が彼女の答えであり、それは彼女のキャリア全体の総合です。すなわち「VLAN対応のカスタマーブリッジング問題へのリンクステートルーティングの適用」なのです。⁶ RBridgeと呼ばれるTRILLスイッチは、互いの間でIS-ISリンクステートプロトコルを走らせて完全なトポロジーを学び、最短経路を計算します。そのためTRILLはリンクをブロックする代わりに「すべてのアクティブなリンクの上に経路を確立」します–プラグアンドプレイなブリッジングの強靭さとシンプルさに、ルーティングの経路効率を備えたものです。⁶ それはリンクステートの仕事とスパニングツリーの仕事を、ひとつの設計に折りたたんだものです。

そのすべてを貫くのは、過小評価されやすいシンプルさへの信念です。スパニングツリーが有名なのは、ひとつには詩に収まるほど小さいからです。彼女の教科書が愛されるのは、列挙するのではなく説明するからです。ネットワーキングの多くに対する彼女の根強い不満は、それが必要以上に複雑だということです。Perlmanにとってシンプルさは美的な好みではありません–それこそが、プロトコルを証明可能に正しく、信頼できる形で自己安定化させるものなのです。推論できなければ、仕組みが自分を修復することを信頼できません。そして頭の中に収められないものについては、推論できないのです。⁴⁶

方法

スパニングツリー、IS-IS、ビザンチン堅牢性の論文、セキュリティの仕事、TRILLを横断して読むと、同じ信念が繰り返し現れます。Perlmanの方法はスローガンというより、一連の根づいた習慣です。

まず障害のケースのために設計する。 スパニングツリーは、障害処理を後付けした転送アルゴリズムではありません。障害こそが、それが存在する理由たる問題なのです–ループのなさと共存しなければならない冗長リンク、そして死ぬからこそ迂回して回復しなければならないアクティブリンク。²³ この教訓はネットワーキングをはるかに超えて移し替えられます。ハッピーパスを設計してエラー処理を継ぎ足すのではなく、まず障害のモードを設計し、ハッピーパスは、それらをすでに生き延びるシステムから自ずと落ちてくるようにする。これは堅牢性に適用した証拠の関門です–「何も壊れていなければ動く」は証拠ではありません。「リンクが故障しても正しさへ収束する」が証拠なのです。

事故だけでなく悪意を想定する。 最も難しい障害は沈黙するものではありません。侵害され、いまや嘘をついているノードです。Perlmanのビザンチン堅牢性の論文は、敵を後知恵ではなく設計の入力として扱います。¹ これはAdi Shamirが暗号のキャリアを築いた本能と同じです–システムの一部を支配する攻撃者に何ができるかを問うまで、そのシステムを理解したことにはならない–だからこそ、権限境界やルーティングプロトコルは、能動的にそれを破ろうとする参加者を前提に設計されなければならないのです。

自己安定化させる–人手を介さない。 スパニングツリーの最も深い美徳は、運用者がそれを無視できることです。自律的に収束し、障害の後も誰かが木を描くことなく再収束します。² その規律は、回復を手順書ではなくシステムの中へと押し込むことです。なぜなら、修復に人を要するネットワークは、午前3時には修復してくれないからです。これはLeslie Lamportが合意形成に持ち込んだのと同じ、分散的な正しさへの衝動です。良い状態を正確に定義し、どんな初期状態からでもそこへ戻るプロトコルを築くのです。

推論できる–そして教えられる–ほどシンプルに保つ。 詩に収まるプロトコルは、収束を証明できるプロトコルです。なぜかを説明する教科書は、次の世代を暗記ではなく推論できる者にします。⁴⁷ ここでのシンプルさは、それ自体を目的としたミニマリズムではありません–信頼の前提条件であり、最も強い仕組みを最も理解可能なものにもする、あの手段の節約です。最小限の価値ある成果物の精神そのものです。

自分自身の最も厳しい批判者であれ。 STPは動きます。それでもPerlmanは、キャリアをかけて磨いてきたリンクステートのアイデアで、STPのブロックされたリンクの無駄を直すTRILLを設計しました。⁶ その根づいた習慣は、自分の最高の仕事を攻撃し続けることです–有名になったものの限界に名を与え、その後継を築くこと–これは実践に変えた品質こそが唯一の変数です。問いは決して「これは出荷できるほど良いか?」ではなく、「これはいまでも正しい設計か?」なのです。

影響の連鎖

彼女を形づくった人々

MITの数学とAIの伝統。 MITで取得した2つの数学の学位と博士号、そしてAI研究所でのLOGOタートルシステムの初期の仕事は、彼女に、プロトコルの正しさを証明する厳密さと、アイデアを過激にシンプルにする本能の両方を根づかせました。¹ 3歳児にプログラミングを教えることは、スパニングツリーを詩に収めることと同じ技能です。（形成的影響）

初期の相互ネットワーキングのコミュニティ。 BBNとDECで過ごした年月は、1970年代と1980年代に広域・ローカルネットワーキングを実際に築いていた組織の内側に彼女を置きました。そこでは問題は学術的なものではなく–ループは実際に現実のネットワークを溶かしたのです–DECnet、IS-IS、ブリッジングの仕事はそれらを解くことから生まれました。¹（直接的影響）

ビザンチン障害の伝統。 悪意ある障害に堅牢なプロトコルという彼女の博士研究の焦点は、分散システム思考の系譜–Leslie Lamportらによって形式化された–に彼女をつなげます。それは、一部の参加者が任意に、敵対的にすら振る舞うときに、システムがどう正しさを保つかを問うものです。¹（形成的影響）

彼女が形づくった人々

あらゆるスイッチドイーサネット。 IEEE 802.1Dとして標準化されたSpanning Tree Protocolは、何十年もの間、ほぼすべての管理型スイッチの内部で動きました–企業ネットワークに冗長なケーブルを挿してもダウンしない、その静かな理由です。²³

現代のデータセンターファブリック。 TRILLとそのリンクステートブリッジングのアイデアは、冗長性をブロックするのではなく最短経路ルーティングですべてのリンクを使うファブリックへとこの分野を押し進め、大規模なデータセンターネットワークの作り方を形づくりました。⁶

一世代のネットワークエンジニア。 『Interconnections』と『Network Security』を通じて、Perlmanはこの分野に、ブリッジ、ルーター、プロトコルについて推論する方法を教えました–彼女の説明のスタイルは、これほど多くの実務家がネットワークをそのように考える理由の一部なのです。⁷

貫く筋

Perlmanは、このシリーズにおけるネットワーク自身の強靭さの要石です–他のすべての下にある配線を、自分で修復させた人物です。Leslie Lamportは、ノードが任意に振る舞うビザンチン障害を含め、障害のもとでも正しさを保つ分散システムの理論を築きました。Perlmanは、現実のネットワークでまさにそれを行うプロトコルを築き、彼女のビザンチン堅牢性の論文は、Lamportの問いをルーティング層で答えたものです。¹ Adi Shamirは、システムの一部を支配する攻撃者を前提に設計することでシステムを信頼できるものにしました–Perlmanがルーティングに、独自の方向で10年早く持ち込んだのと同じ敵対的な本能です。そしてTim Berners-Leeは万人のためのウェブを築きましたが、ウェブが万人に届くのは、その下にあるスイッチされ、ルーティングされたネットワークが障害を越えて接続を保つからにほかなりません–つまり、Perlmanが形づくったスパニングツリーとリンクステートルーティングのおかげなのです。Lamportが正しさを定義し、障害を生き延びることを証明せよと言い、Shamirが敵を前提に設計せよと言うところで、Perlmanはこう言います–ネットワークを、自分で修復するように築け–人手を介さず、たとえノードの一部が嘘をついていても。（シリーズの架け橋）

ここから私が受け取るもの

Perlmanから私が手放さずにいる教訓は、まず障害のケースのために設計するということです。私の本能は、たいていの作り手と同じく、ハッピーパスを書くことです–成功するリクエスト、つながり続けるリンク、行儀よく振る舞うノード–そして動いてからエラー処理を振りかける。スパニングツリーはその叱責です。障害は設計に降りかかる何かではなく、設計がそのために存在する当の対象なのです。冗長リンクと死にゆくケーブルは、継ぎを当てるべきエッジケースではありません。それらこそ、プロトコルがその形をしている理由のすべてであり、ハッピーパスは、それらをすでに生き延びるシステムから自ずと落ちてくるのです。だからいま私が何かを作るとき–同期ループ、リトライ経路、権限境界–「何が壊れ、これは私なしでどう自分を修復するのか?」から始めようとします。最後にそこへたどり着くのではなく。私が午前3時に起きていないと回復できないシステムは、私が設計し終えていないシステムなのです。

第二の教訓は、シンプルさこそが堅牢性を信頼できるものにするということです。スパニングツリーの優雅さ–詩に収まるほど小さいこと–を、ほほえましい伝記的な細部として扱いたくなります。そうではありません。それが要点なのです。仕組みが収束するかどうかを推論できなければ、それが自分を修復することを信頼できません。そして頭の中に収められないものについては、推論できないのです。Perlmanのプロトコルが堅牢なのは、シンプルだからこそであり、彼女の教科書が長く読まれるのは、仕様ではなくなぜかを教えるからです。これは私にとって、シンプルさを、あれば嬉しいものから、正しさを支える荷重を担う性質へと作り変えました。設計が複雑になり、あらゆる障害から回復すると自分を納得させられなくなったとき、その複雑さは洗練ではありません–まだ見つけていないバグなのです。

FAQ

Spanning Tree Protocolとは何ですか?

Spanning Tree Protocol（STP）は、1985年にRadia PerlmanがDigital Equipment Corporationで発明し、IEEE 802.1Dとして標準化されたネットワークプロトコルで、冗長リンクを持つブリッジドまたはスイッチドイーサネットネットワークでのループを防ぎます。²³ これがなければ、冗長な接続はループを生み、イーサネットフレームには生存時間がないため、ブロードキャストがループを永遠に回り続け、ネットワークを飽和させるブロードキャストストームへと増殖します。STPはこれを自動で解決します。スイッチがルートを選出し、各スイッチはルートへの最良の経路だけを転送用に保って冗長リンクをブロックし、すべてのセグメントに届くループのない単一の木を残します。アクティブなリンクが故障すると、アルゴリズムは新しい木を再計算し、ブロックされていたバックアップリンクを昇格させ、人の介入なしに接続を修復します。²

なぜRadia Perlmanは「インターネットの母」と呼ばれ、なぜ彼女はそれを嫌うのですか?

Perlmanがしばしば「インターネットの母」と呼ばれるのは、Spanning Tree Protocolと彼女のリンクステートルーティングの仕事が、現代のネットワークが接続を保つ仕組みの基盤だからです。¹ 彼女は何年もこのラベルを拒んできました。インターネットを一人で発明した人物などいない–それは多くの人々と多くの技術の仕事だった–と論じ、一人の発明者を取り上げることは不正確であると同時に気を散らすものだ、というのがその理由です。⁵ 彼女はまた、性別を冠した枠づけにも異を唱え、その人の人生の仕事を見るレンズが性別であるべきではないとしています。⁵

ビザンチン堅牢なルーティングとは何ですか?

ビザンチン堅牢なルーティングとは、一部のルーターが単に故障したのではなく能動的に悪意ある–トラフィックを捨て、ネットワークトポロジーについて嘘をつき、ルーティングメッセージを偽造する–状態であっても、正しくパケットを届け続けるよう設計されたルーティングです。これはPerlmanの1988年のMIT博士論文「Network Layer Protocols with Byzantine Robustness」の主題でした。¹ この区別は重要です。故障したノードは沈黙し、予測可能ですが、ビザンチン（侵害された）ノードは任意に、敵対的に振る舞うため、プロトコルは破ろうとする参加者がいてもなお正しい配送に到達しなければなりません。悪意ある障害を、後付けのセキュリティパッチではなく中核の設計対象として扱うこと–これがPerlmanの仕事を貫く筋です。¹

TRILLとは何で、Spanning Tree Protocolをどのように改善するのですか?

TRILL（「Transparent Interconnection of Lots of Links」）は、PerlmanがSTPの後継として設計したプロトコルです。⁶ STPは冗長リンクをブロックすることでループを防ぎますが、これは帯域を無駄にし、トラフィックをルート経由の長い迂回に強いることがあります。TRILLは代わりにリンクステートルーティングをブリッジングに適用します。RBridgeと呼ばれるそのスイッチは、互いの間でIS-ISプロトコルを走らせて完全なトポロジーを学び、最短経路を計算します。そのためリンクを無効化するのではなく「すべてのアクティブなリンクの上に経路を確立」します–ブリッジングのプラグアンドプレイなシンプルさを保ちながら、ルーティングの経路効率と強靭さを得るのです。⁶

出典