Kein Messwert ohne Beleg
Wie das Messnetz seinen eigenen Zahlen traut – Signatur, Plausibilität, Übereinstimmung.
Ein Messnetz, in dem jeder mitmachen darf, hat ein Problem, das ein geschlossenes nicht hat: Wer garantiert, dass die Zahlen stimmen?
Ein Knoten könnte melden, was er will. 0,1 ms nach Australien, kein Verlust, jedes Mal. Damit wären Grundlinien verfälscht und jede Aussage wertlos, die auf dem Netz aufbaut.
NODE64 prüft deshalb in drei Schichten. Keine davon vertraut der vorigen.
1. Signatur: Wer hat geliefert? #
Beim Anmelden würfelt jeder Knoten ein Ed25519-Schlüsselpaar aus. Der private Teil verlässt die Maschine nie; der öffentliche geht einmal mit der Anmeldung an den Server.
Danach unterschreibt der Knoten jede Einlieferung. Der Server prüft, bevor er etwas einträgt.
Unterschrieben wird genau der Text, der übertragen wird – nicht eine aus Feldern neu zusammengesetzte Nachricht. Der Unterschied klingt technisch und ist entscheidend: Müssten beide Seiten die Nachricht byteweise gleich zusammensetzen, zerbräche die Prüfung früher oder später an einer Kleinigkeit. Und eine zerbrochene Prüfung wird abgeschaltet.
Passt die Unterschrift nicht, fällt die ganze Lieferung. Nicht einzelne Zeilen daraus: Die Unterschrift gilt für den übertragenen Text; passt sie nicht, ist kein Teil davon belegt. Sich die plausibel aussehenden Zeilen herauszusuchen hiesse, genau das zu tun, wogegen die Unterschrift steht.
Der Schlüssel wird nur bei der Anmeldung entgegengenommen. Ein Schlüssel, den man nachreichen kann, lässt sich von jedem nachreichen, der die Gerätemarke hat – und dann prüft die Unterschrift nichts mehr.
Knoten, die vor Einführung dieser Prüfung angemeldet wurden, haben keinen Schlüssel. Sie liefern weiter ein und stehen unter Prüfung als unsigniert da – das ist eine Auskunft, kein Fehler. Wer signieren will, meldet seinen Knoten neu an; der Fingerabdruck führt ihn auf dasselbe Gerät zurück, mit Kennung, Ruf und Geschichte.
2. Plausibilität: War das überhaupt möglich? #
Vier Prüfungen, alle rechnerisch. Sie sagen nicht, ob eine Messung gut war – sie sagen, ob sie möglich war.
| Prüfung | Wogegen |
|---|---|
| Wertebereich | Keine negative Laufzeit, kein Verlust über 100 %, min ≤ mittel ≤ max. Und keine Laufzeit bei vollem Verlust: Woher käme sie, wenn nichts ankam? |
| Zeitfenster | Ein Ergebnis kann nicht vor seinem Auftrag begonnen haben – und nicht lange danach. Fünf Minuten Toleranz, weil Uhren auseinanderlaufen. |
| Physik | Die Entfernung gegen die Laufzeit, mit 150 km/ms. Das ist grosszügig gegenüber Licht im Glas (rund 100 km/ms hin und zurück), damit Umwege nicht als Betrug gelten. Greift nur, wenn beide Enden einen Ort haben. |
| Sprünge | Ein Traceroute mit mehr Sprüngen als die gesetzte TTL hat nicht stattgefunden. |
Auch die Schwankung (Jitter) wird geprüft, und zwar rechnerisch: Der Mittelwert der Abstände zweier aufeinanderfolgender Pakete kann die Spanne zwischen kleinstem und grösstem Wert nicht überschreiten. Wer 0,0 ms Schwankung meldet, behauptet eine Leitung ohne jede Unruhe – wer mehr meldet, als die Spanne zulässt, hat nicht gerechnet, sondern geschrieben.
3. Übereinstimmung: Sehen die anderen dasselbe? #
Die ersten beiden Schichten prüfen ein Ergebnis gegen sich selbst. Beides übersteht, wer plausible Zahlen erfindet: 12 ms, 0 % Verlust, jedes Mal, sauber unterschrieben. Es ist möglich, es ist echt signiert – und es ist trotzdem gelogen.
Solche Zahlen fallen erst auf, wenn man sie neben die der anderen legt.
Verglichen wird der Verlust und die Erreichbarkeit zum selben Ziel, in derselben Adressfamilie, im selben Zeitfenster. Beides ist eine Eigenschaft des Ziels und des Weges dorthin: Wenn ein Ziel steht, sehen es alle stehen.
Die Laufzeit wird ausdrücklich nicht verglichen. Ein Knoten in Sydney misst zu einem Ziel in Frankfurt legitim das Zehnfache dessen, was ein Knoten in Düsseldorf misst. Wer daraus eine Abweichung machte, bestrafte Knoten für ihren Standort – und der Standort ist der Grund, warum es sie gibt.
Gerechnet wird mit Median und mittlerer absoluter Abweichung, also demselben Verfahren wie bei Timbre: Ein einzelner Ausreisser verschiebt den Median nicht. Die Schwelle stammt aus Iglewicz/Hoaglin und ist nicht von uns gesetzt.
Ein Vergleich braucht mindestens fünf Knoten auf demselben Ziel. Bei dreien ist „die Mehrheit" zwei, und wer einmal danebenliegt, ist die Minderheit.
Diese Schicht verwirft nichts. Eine Abweichung ist kein Beweis: Ein Knoten hinter einer überlasteten Leitung weicht ab, ohne zu lügen. Ein einzelner Ausreisser bedeutet nichts; ein Muster über Wochen kostet Ruf.
Was verworfen wurde, steht da #
Unter Messnetz → Prüfung siehst du, was abgewiesen wurde – mit Grund, mit dem gemeldeten Wert und mit dem, was möglich gewesen wäre.
Ein abgewiesenes Ergebnis ist ein Fund und keine Störung. Es still wegzuwerfen hiesse, dass niemand je erfährt, dass jemand es versucht hat.
Und die Zahl der angenommenen steht daneben. Zwölf abgewiesene Ergebnisse sind bei zwölf Einlieferungen etwas anderes als bei zwölftausend.