工程哲學：Radia Perlman

重點摘要

• 她發明了生成樹協定，讓交換式乙太網路得以大規模運作。 任職於 Digital Equipment Corporation 期間，Radia Perlman 設計出生成樹演算法——於 1985 年發表，並標準化為 IEEE 802.1D——讓任意拓撲網路中的橋接器能各自運算出通往每個目的地的單一無迴圈路徑，同時在故障發生時悄悄地繞道修復。少了它，冗餘鏈路會形成迴圈，單一個廣播封包便會無止境地繞圈，最終把整個網路癱瘓。¹²³
• 她最鮮明的信念是穩健性：即便面對故障，甚至是惡意故障，網路依然保持正確。 她 1988 年的 MIT 博士論文題為〈具拜占庭穩健性的網路層協定〉（Network Layer Protocols with Byzantine Robustness）——這種路由設計的目標，不只是在鏈路死去時繼續運作，更是在節點主動說謊時依然運作。為故障情境而設計，包含對抗性的情境，貫穿了她打造的一切。¹
• 她寫下了經典教科書，也在一項專利裡寫了一首詩。 Perlman 著有《Interconnections: Bridges, Routers, Switches, and Internetworking Protocols》，整整一個世代的網路工程師都從這本書入門；她也與人合著《Network Security: Private Communication in a Public World》。她還寫了〈Algorhyme〉——「我想我此生都不會見到 / 比一棵樹更動人的圖」——來描述生成樹，這大概是有記錄以來唯一一項含有詩作的軟體專利。³⁴⁷
• 她擁有逾 100 項專利，並入選國家發明家名人堂——卻不喜歡「網際網路之母」這個稱號。 Perlman 入選網際網路名人堂（2014 年）與國家發明家名人堂（2016 年），持有超過 100 項已核准專利，數十年來卻一直反駁「網際網路之母」這個標籤，堅持沒有任何單一個人發明了網際網路。¹⁵

核心原則

「我想我此生都不會見到 / 比一棵樹更動人的圖。 / 一棵樹，其關鍵特性 / 是無迴圈的連通性。」——Radia Perlman，〈Algorhyme〉，描述生成樹協定的詩作⁴

多數工程都是針對「一切正常」的情境去最佳化。設計好順利路徑，處理幾個想像得到的錯誤，然後出貨。網路卻不給人這種安逸。網路是一張活生生的機器網格：機器隨機故障、鏈路在封包傳到一半時陷入黑暗，而且——運氣不好的話——某些節點已被接管，正餵給你謊言。Perlman 的整套作品，起點正好與多數程式碼相反：故障情境不是邊角案例，它就是設計的核心。 一個協定值不值得存在，不在於線路乾淨時能不能運作，而在於線路不乾淨時是否依然正確——在無人介入的情況下，自我穩定回到良好狀態。¹³

生成樹協定是這條原則最純粹的形態。它要解決的問題既殘酷又結構性：如果你用冗餘鏈路把交換器接在一起——為了可靠性你非這麼做不可——就會製造出實體迴圈，而單一個廣播訊框會在迴圈裡無止境地繞行，在每個分支處倍增，直到塞滿每一條鏈路、整個網路死去。天真的解法是禁止迴圈，但那等於禁止了冗餘，於是一條斷掉的纜線就能讓半棟大樓癱瘓。Perlman 的洞見是：兩者可以兼得——讓操作人員隨意佈設任何網格，再讓交換器本身運算出一棵單一、無迴圈、卻仍能觸及所有人的樹，把冗餘鏈路留作備援。²³ 沒有中央控制器，沒有人徒手畫樹——這是一套完全分散式的演算法，會自行收斂，並在某處故障時重新收斂。

這條原則還有後半部，而正是這後半部讓前半部變得深刻：穩健性必須延伸到惡意，而不只是意外。 故障的節點只是停止運作；被入侵的節點則繼續說話，而它所說的話，目的就是傷害你。Perlman 的博士研究提出了更難的問題——當某些路由器正積極破壞時，路由協定能否依然正確地遞送封包？——並以具拜占庭穩健性的協定回答了它。¹ 這份紀律與從生成樹一路延伸到她安全研究的精神是同一個：對協定所處的世界做最壞的假設，並設計成它無論如何都能修復。而貫穿始終的美學，是簡潔。一個簡潔的協定，是你能推理、能證明、能信任它會收斂的協定——這也正是為什麼生成樹能裝進一首詩裡。

背景脈絡

Radia Perlman 於 1951 年 12 月 18 日生於維吉尼亞州的樸茨茅斯（Portsmouth）。¹ 她就讀 MIT，取得數學學士（SB）與碩士（SM），後於 1988 年取得電腦科學博士學位；她的論文題為〈具拜占庭穩健性的網路層協定〉——這種路由設計的目的，是要在路由器變得惡意時依然存活。¹ 這個論文題目不是她職涯的註腳；它就是她職涯本身的論點陳述，早早便寫了下來。

在那些讓她成名的協定之前，她在 MIT 人工智慧實驗室做了一件靜默而激進的事：1970 年代初，她開發了 TORTIS——「幼兒專屬的遞迴海龜直譯系統」（Toddler’s Own Recursive Turtle Interpreter System）——一個簡化版的 LOGO 海龜環境，簡單到連三歲半的孩子都能為機器人編寫程式。¹ 這與她日後工作的脈絡是真實相連的。教幼兒寫程式，是一場激進簡化的練習：把一個概念剝到極致，直到它在毫無先備知識的人面前仍能存活。她接下來的整個職涯，都在把網路協定剝向同一種本質的、可理解的核心。

她的職業路徑穿越了那些建構現代網路的機構。MIT 之後她在 BBN 工作，接著於 1980 年前後加入 Digital Equipment Corporation；正是在 DEC——不是在研究象牙塔裡，而是在解決真實的產品問題時——她發明了生成樹演算法，設計了 DECnet 路由，並完成了把路由從距離向量推向鏈路狀態（link-state）取向的奠基工作，其中包括 IS-IS。¹³ 離開 DEC 後，她待過 Novell，再到 Sun Microsystems（她在此擔任 Sun Fellow，並取得其 40 多項專利），後來又去了 Intel 與 Dell EMC。¹ 一路走來，她累積了超過 100 項已核准專利，入選網際網路名人堂（2014 年）與國家發明家名人堂（2016 年），以及一個她花了多年拒絕的標籤——「網際網路之母」——理由是沒有任何單一個人發明了網際網路，而這個帶性別色彩的稱號，遮蔽的多過它所彰顯的。¹⁵

主要工作

生成樹協定：一棵由網路自己長出來的樹

從這裡開始，因為它就是化為機制的那條原則。場景是一個延伸的區域網路（LAN）——許多網段由橋接器（也就是我們現在所稱的交換器）縫合在一起——並以冗餘鏈路佈設，好讓任何單一故障都無法切斷網路。冗餘對可靠性而言不容妥協。但冗餘意味著迴圈，而迴圈是致命的：乙太網路訊框不帶存活時間（time-to-live）欄位，所以一個進入迴圈的廣播訊框會被無止境地複製繞行，又因為交換器會把廣播從每個埠口氾濫送出，複本不斷倍增，直到耗盡所有可用頻寬。網路不會變慢；它會死去。這就是廣播風暴（broadcast storm），而「STP 的基本功能，就是防止橋接迴圈以及由此產生的廣播輻射。」²

Perlman 1985 年的演算法用一套不需中央權威的分散式運算解決了它。³ 首先，橋接器選出一個根——識別碼最小者勝出，透過交換小型訊息決定，無人插手挑選。² 接著每個橋接器運算出自己通往根的最低成本路徑，只保留那一條鏈路用於轉送，並封鎖冗餘鏈路。² 剩下的就是一棵生成樹：從每個網段通往根、因而也連通任兩點之間的單一無迴圈路徑，卻依然觸及每一個 LAN——正是那首詩所命名的「無迴圈連通性」。⁴ 被封鎖的鏈路並未浪費；它們待命備援。當一條作用中的鏈路故障，橋接器會偵測到變化，演算法便運算出一棵新的最低成本樹，把一條備援鏈路升為作用狀態以恢復連通。² 這就是自我修復——自動、分散式，沒有操作人員碰任何東西。

它作為工程之所以重要：生成樹是一套操作人員可以無視的自我穩定分散式演算法。你插上纜線，為了安全加上冗餘，網路就會自行整理妥當——並在某處故障時重新整理。IEEE 於 1990 年將該演算法標準化為 802.1D，此後數十年間，它幾乎運行在每一台出貨的受管乙太網路交換器之內。² 它也是可理解性的典範：整套東西能裝進一首十二行的詩裡，因為底層的構想確實簡單，而簡單正是讓你能信任它會收斂的關鍵。⁴

鏈路狀態路由、IS-IS，以及《Interconnections》

生成樹治理的是延伸 LAN 內部的橋接；網路之間的路由則是更大的問題，而 Perlman 同樣形塑了它。在 DEC，她協助把路由從距離向量（distance-vector）協定——每台路由器只知道鄰居回報的、到各目的地的成本，這種設計容易收斂緩慢並陷入「無窮計數」（counting to infinity）——推向鏈路狀態路由，讓每台路由器都學到完整拓撲，並運算出自己的最短路徑。¹ 她在 IS-IS（Intermediate System to Intermediate System，中介系統對中介系統）上的工作——這套鏈路狀態協定後來成為 OSI 中與 OSPF 對應的協定——正是鏈路狀態路由之所以穩健且收斂快速的部分原因；它被打造成能可靠地氾濫散布拓撲變化並重新運算路徑，而這正是與生成樹同一種自我修復的本能，只是往上挪了一層。¹

她也親手寫下了那本書——名副其實。《Interconnections: Bridges, Routers, Switches, and Internetworking Protocols》是整整一個世代的網路工程師藉以入門這個領域的教材；而《Network Security: Private Communication in a Public World》（與 Charlie Kaufman 及 Mike Speciner 合著）則成了標準參考書。⁷ 讓她的寫作與眾不同的，正是讓她的協定與眾不同的同一件事：堅持解釋一個設計為什麼是這個樣子，而不僅僅是它做了什麼——教讀者去推理正確性與故障，而非死背規格。

為對抗惡意而設計：具拜占庭穩健性的路由，以及會過期的資料

這是最能揭示她的工作。能繞著故障節點修復的網路，已經夠難了；她的博士研究，〈具拜占庭穩健性的網路層協定〉，問的是：當某些路由器已被接管、並竭盡全力擾亂時——丟棄封包、謊報拓撲、偽造路由訊息——路由能否依然正確地遞送封包？¹ 故障的節點是靜默且可預測的；拜占庭節點則是喧鬧且對抗性的，而協定無論如何都得完成遞送。把惡意故障當成需要去設計的一等公民——而不是事後加裝上去的安全附件——這比多數系統的建構方式領先了數十年，而它直接源自與生成樹同一種本能：假設世界充滿敵意，並不論如何都收斂到正確。¹

那種本能延續進了她日後的安全工作。她對公開金鑰基礎建設（PKI）的信任模型有所貢獻，也對一個極具她風格、乾淨俐落的構想——會過期的資料——有所貢獻：一種臨時性的金鑰管理機制，經設計後能讓資訊在選定時間之後可靠地無法復原，從而確保被刪除的資料真的消失了。這是把故障情境的思維，轉向了隱私。多數系統都是為了記住而打造；她問的卻是：你要如何打造一個能被信任去遺忘的系統——這是更難、也更具對抗性的問題。¹

TRILL，與簡潔的紀律

Perlman 同時也是自己最犀利的批評者，這正是她設計了生成樹的後繼者的原因。STP 最大的侷限，正是它優點的反面：為了消滅迴圈，它封鎖冗餘鏈路，這意味著頻寬閒置，而兩台相鄰交換器之間的流量，可能被迫繞行一段穿過根的長途彎路。⁶ TRILL——「眾多鏈路的透明互連」（Transparent Interconnection of Lots of Links）——便是她的答案，而它是她整個職涯的綜合體：它是「把鏈路狀態路由套用到具 VLAN 感知的客戶橋接問題之上」。⁶ TRILL 交換器，稱為 RBridge，彼此之間運行 IS-IS 鏈路狀態協定，以學得完整拓撲並運算最短路徑，因此 TRILL「在所有作用中的鏈路上建立路徑」，而不是封鎖它們——兼得隨插即用橋接的韌性與簡潔，以及路由的路徑效率。⁶ 它把鏈路狀態的工作與生成樹的工作，折疊進了同一個設計。

貫穿這一切的，是一份容易被低估的、對簡潔的信念。生成樹之所以著名，有一部分正因為它小到能裝進一首詩；她的教科書之所以被人喜愛，因為它們解釋而非羅列；她對網路領域長久以來的抱怨，正是它比所需要的更複雜。對 Perlman 而言，簡潔不是美學偏好——它是讓一個協定可被證明正確、可被可靠地自我穩定的關鍵。如果你無法對一個機制推理，你就無法信任它會自我修復；而你無法推理你腦中容不下的東西。⁴⁶

方法論

橫跨生成樹、IS-IS、那篇拜占庭穩健性論文、安全工作，以及 TRILL 一路讀下來，同樣的幾項信念反覆出現。Perlman 的方法與其說是一句口號，不如說是一組常駐的習慣。

先為故障情境而設計。 生成樹不是一套加上故障處理的轉送演算法；故障就是它存在所要解決的問題——必須與無迴圈性共存的冗餘鏈路，以及會死去、必須被繞道修復的作用中鏈路。²³ 這個教訓遠遠超出了網路：不要先設計順利路徑、再補上錯誤處理，而要先設計故障模式，讓順利路徑從一個本就能存活其中的系統裡自然落出。這就是把證據門檻套用在穩健性上——「沒東西壞掉時它能運作」不是證據；「鏈路故障時它會收斂到正確」才是。

假設惡意，而非只是意外。 最難對付的故障不是靜默的那種；而是已被入侵、正在說謊的節點。Perlman 的拜占庭穩健性論文把對手當成設計的輸入，而非事後才想到的東西。¹ 這正是 Adi Shamir 用以建立整個密碼學職涯的同一種本能——除非你問過「一個控制了系統部分的攻擊者能做什麼」，否則你並不真正理解這個系統——這也正是為什麼一道權限邊界或一個路由協定，都必須針對那個正積極試圖破壞它的參與者來設計。

讓它能自我穩定——無人介入。 生成樹最深刻的美德，是操作人員可以無視它：它自行收斂，並在故障後重新收斂，無需任何人畫樹。² 這份紀律在於把復原推進系統裡，而非推進一本操作手冊，因為一個需要人來修復的網路，在凌晨三點是不會自我修復的。這正是 Leslie Lamport 帶進共識領域的同一種分散式正確性衝動：精確地定義良好狀態，再打造一個能從任何起點回到該狀態的協定。

讓它簡單到可以推理——也可以教。 一個能裝進詩裡的協定，是一個你能證明會收斂的協定；一本解釋為什麼的教科書，讓下一個世代能推理而非死背。⁴⁷ 這裡的簡潔不是為了極簡而極簡——它是信任的前提條件，是那種讓最強的機制同時也最易理解的、相同的手段經濟學，正合最小值得產品的精神。

當自己最嚴苛的審查者。 STP 是有效的，而 Perlman 仍然設計了 TRILL，用她耗費一整個職涯的鏈路狀態構想，去修補 STP 封鎖鏈路的浪費。⁶ 這份常駐的習慣，在於持續攻擊自己最好的作品——點名你最著名那項東西的侷限，並打造它的後繼者——這正是把品質是唯一的變數化為一種實踐：該問的從來不是「這夠好到可以出貨了嗎？」，而是「這仍然是正確的設計嗎？」。

影響鏈

是誰形塑了她

MIT 的數學與人工智慧傳統。 兩個數學學位、一個 MIT 博士學位，加上早年在 AI 實驗室對 LOGO 海龜系統的工作，讓她同時扎根於兩件事：證明一個協定正確的嚴謹，以及把構想做得激進地簡單的本能。¹ 教一個三歲孩子寫程式，與讓生成樹裝進一首詩，是同一種技藝。（形塑性影響）

早期的網際互連社群。 她在 BBN 與 DEC 的歲月，把她置於 1970、80 年代實際建構廣域與區域網路的那些機構之內，在那裡問題不是學術性的——迴圈確實會把真實網路癱瘓——而她在 DECnet、IS-IS 與橋接上的工作，正是從解決這些問題中誕生的。¹（直接影響）

拜占庭故障的傳統。 她博士研究聚焦於對抗惡意故障的穩健協定，這把她接上了分散式系統思想的那條脈絡——由 Leslie Lamport 等人形式化——那條脈絡所問的是：當某些參與者行為任意、甚至充滿敵意時，系統如何保持正確。¹（形塑性影響）

她形塑了誰

每一個交換式乙太網路。 標準化為 IEEE 802.1D 的生成樹協定，數十年間運行在幾乎每一台受管交換器之內——正是它，默默地讓你把冗餘纜線插進企業網路時不會把它弄垮。²³

現代資料中心網路骨幹。 TRILL 及其鏈路狀態橋接的構想，把這個領域推向那種透過最短路徑路由使用所有鏈路、而非封鎖冗餘的骨幹，形塑了大型資料中心網路的建構方式。⁶

整整一個世代的網路工程師。 透過《Interconnections》與《Network Security》，Perlman 教會了這個領域如何推理橋接器、路由器與協定——她那種善於解釋的風格，正是為什麼如此多的從業者會以他們現在的方式來思考網路。⁷

貫穿的主線

Perlman 是本系列中網路自身韌性的拱心石——那位讓底層一切之下的線路能自我修復的人物。Leslie Lamport 建立了分散式系統在故障下保持正確的理論，包括節點行為任意的拜占庭故障；Perlman 則打造了在真實網路中正好做到這件事的協定，而她的拜占庭穩健性論文，就是 Lamport 的問題在路由層上得到的回答。¹ Adi Shamir 透過針對那個控制了系統部分的攻擊者來設計，讓系統變得可信賴——這與 Perlman 帶進路由的對抗性本能是同一種，只是各自往不同方向走了十年。而 Tim Berners-Lee 打造了一個給所有人的網，但網之所以能觸及所有人，正因為它底下那個交換與路由的網路在故障中保持連通——也就是說，正因為 Perlman 所形塑的生成樹與鏈路狀態路由。當 Lamport 說定義正確性並證明它能在故障中存活、Shamir 說針對對手而設計時，Perlman 說的是：把網路打造成能自我修復——無人介入，即便其中某些節點正在說謊。（系列橋接）

我從中學到什麼

我從 Perlman 身上一直留著的教訓，是先為故障情境而設計。我的本能，和多數打造者一樣，是先寫順利路徑——那個成功的請求、那條保持暢通的鏈路、那個乖乖運作的節點——然後在它能跑之後，再灑上一點錯誤處理。生成樹是對此的當頭棒喝：故障不是一件發生在設計身上的事，它是設計存在所為的那件事。冗餘鏈路與死去的纜線不是有待修補的邊角案例；它們就是這個協定之所以是這個形狀的全部理由，而順利路徑只是從一個本就能存活其中的系統裡自然落出。所以現在我打造東西時——一個同步迴圈、一條重試路徑、一道權限邊界——我試著從「什麼會壞，以及這東西要如何在沒有我的情況下自我修復？」開始，而不是最後才走到那裡。一個需要我在凌晨三點醒著才能復原的系統，是一個我還沒設計完成的系統。

第二個教訓是，簡潔正是讓穩健性值得信任的東西。人很容易把生成樹的優雅——小到能裝進一首詩——當成一則迷人的傳記細節。它不是；它就是重點。如果你無法推理一個機制究竟會不會收斂，你就無法信任它會自我修復；而你無法推理你腦中容不下的東西。Perlman 的協定之所以穩健，正因為它們簡潔；她的教科書之所以歷久不衰，因為它們教的是為什麼而非規格。這讓簡潔在我心中，從一項「有也不錯」的特性，重新定位成正確性的一項承重屬性。當一個設計複雜到我再也無法說服自己它能從每一種故障中復原時，那份複雜不是精巧——它是我還沒找到的那個 bug。

常見問題

什麼是生成樹協定？

生成樹協定（STP）是一種網路協定，由 Radia Perlman 於 1985 年在 Digital Equipment Corporation 發明，並標準化為 IEEE 802.1D，用於防止帶有冗餘鏈路的橋接式或交換式乙太網路出現迴圈。²³ 少了它，冗餘連線會形成迴圈，又因為乙太網路訊框沒有存活時間欄位，廣播便會無止境地繞圈，並倍增成一場塞滿網路的廣播風暴。STP 會自動修正這點：交換器選出一個根，每台交換器只保留通往根的最佳路徑用於轉送，並封鎖冗餘鏈路，留下一棵仍能觸及每個網段的單一無迴圈樹。當一條作用中的鏈路故障，演算法會重新運算出一棵新樹，並升起一條被封鎖的備援鏈路，無需任何人介入便修復連通。²

為什麼 Radia Perlman 被稱為「網際網路之母」，她又為何不喜歡這個稱號？

Perlman 常被稱為「網際網路之母」，因為生成樹協定及她在鏈路狀態路由上的工作，是現代網路得以保持連通的根基。¹ 多年來她一直拒絕這個標籤，主張沒有任何單一個人發明了網際網路——它是許多人與許多技術的成果——而獨獨點出一位發明者既不準確，也是一種誤導。⁵ 她也反對這種帶性別色彩的框架，認為一個人的性別不該成為審視其畢生志業的鏡頭。⁵

什麼是具拜占庭穩健性的路由？

具拜占庭穩健性的路由，是一種即便某些路由器並非僅僅故障、而是正積極作惡——丟棄流量、謊報網路拓撲，或偽造路由訊息——時，依然能正確遞送封包的路由設計。這是 Perlman 1988 年 MIT 博士論文〈具拜占庭穩健性的網路層協定〉的主題。¹ 這個區分很重要：故障的節點是靜默且可預測的，而拜占庭（被入侵的）節點行為任意且充滿敵意，因此即便有參與者試圖破壞，協定仍必須完成正確的遞送。把惡意故障當成核心的設計情境，而非事後的安全修補，正是 Perlman 工作貫穿始終的主線。¹

什麼是 TRILL，它又如何改進生成樹協定？

TRILL（「眾多鏈路的透明互連」，Transparent Interconnection of Lots of Links）是 Perlman 設計、作為 STP 後繼者的一種協定。⁶ STP 透過封鎖冗餘鏈路來防止迴圈，這既浪費頻寬，又可能把流量逼上穿過根的長途彎路。TRILL 則改為把鏈路狀態路由套用到橋接上：它的交換器，稱為 RBridge，彼此之間運行 IS-IS 協定以學得完整拓撲並運算最短路徑，因此它「在所有作用中的鏈路上建立路徑」，而非停用它們——既保有橋接隨插即用的簡潔，又獲得路由的路徑效率與韌性。⁶

資料來源