summary
1980 年，ARPANET 一个 IMP（接口消息处理器）发生故障，损坏了路由数据；网络软件在重算校验和时把坏数据也一并扩散，导致缓冲区被填满、部分节点离线。
timeline
故障 IMP 先损坏了路由表条目；邻近节点收到被污染的数据后，软件自动重算并转发校验和，使错误继续扩散；随后多处缓冲区溢出，节点陆续离线，网络出现大范围连通性问题。
root_cause
路由软件在收到损坏数据时仍按正常流程重算并传播校验和，缺乏对数据源可信度的校验，错误数据被当作有效更新在全网扩散。
amplifiers
当时网络虽小但高度互联，单点坏数据经自动重算机制被放大为全局污染；路由层没有对数据源完整性做验证。
mitigation
事后在路由协议与主机软件中加强对路由数据来源与完整性的校验，避免自动重算扩散未经验证的数据。
lessons
任何自动重算并全网广播的修复机制都必须先验证数据源可信；校验和只能防传输损坏，不能防逻辑层坏数据。
checklist
路由与控制面更新需带数据源签名或可信标记；自动修复路径必须有坏数据隔离与熔断；核心网络变更需灰度与回滚预案。