Number Resource Society

ROA の普及と ROV の導入はなぜ違うのか：2026 年のデータを読む

認可の公開が増えても、経路検証が同じように広がるとは限りません。APNIC の観測とその限界を読み、自社の運用を点検します。

Ann Yong初回公開 2026年9月17日更新 2026年9月21日

このページの内容

ROA の公開と、ルートの検証は別の取り組み

ROA は、どの ASN がプレフィックスを広告できるかを示します。ROV はその情報と受信ルートを照合し、ルーティングポリシーにつなげる仕組みです。APNIC の 2026 年 2 月の観測では、Valid は IPv4 で 60.3%、IPv6 で 60.9%。一方、ROV の効果が測定された観測点は約 26.6% でした。分母が異なるため、差し引いて正確な「安全性の不足分」を算出することはできません。問われているのは、公開した認可を実際の経路制御に生かせているかです。

ROA カバレッジは何を表すのか

ROA は、資源の保有者が特定の AS にプレフィックスの広告を認める、署名付きの RPKI オブジェクトです。仕様は RFC 9582 が定めています。カバレッジは、見えているルートと認可情報の対応を表します。Valid、Invalid、Not Found は照合結果であり、各ネットワークがフィルタリングしている証拠ではありません。以下のアドレスと ASN は説明用です。

Prefix:     203.0.113.0/24
Origin ASN: AS64500

ROV がルート処理に関わる仕組み

BGP の起源 ASN とプレフィックス長を、検証済み RPKI データと照合します。例では AS64500 が認可と一致し、他に許可する認可がなければ AS64501 は一致しません。その結果を受け、Invalid を拒否する、優先度を下げる、まず監視するなどの方針を適用します。判定には、そのルートを包含するすべての有効な認可を調べる必要があります。

203.0.113.0/24 → AS64500

203.0.113.0/24 → AS64500

203.0.113.0/24 → AS64501

2026 年 2 月の世界の状況

次の表は APNIC の当時の観測値であり、現在のライブデータではありません。Valid の割合は前年 2 月から IPv4 で約 6 ポイント、IPv6 で約 7 ポイント増加しました。認可の公開が進んだことと、フィルタリングが広く導入されたことは区別する必要があります。

IPv4：Valid は 60.3%

同じ観測では Not Found が 37.7%、Invalid が 2.0% でした。依然として多くのルートに、それを包含する認可がありませんでした。

世界の IPv4：2026 年 2 月
RPKI 状態	観測ルートに占める割合
Valid	60.3%
Not Found	37.7%
Invalid	2.0%

IPv6：Valid は 60.9%

Not Found は 36.1%、Invalid は 3.0% でした。IPv6 でも起源の誤りは起こります。新しいプロトコルだから安全になるわけではなく、認可と検証方針の維持が必要です。

世界の IPv6：2026 年 2 月
RPKI 状態	観測ルートに占める割合
Valid	60.9%
Not Found	36.1%
Invalid	3.0%

ROV の数値は測定方法と合わせて読む

APNIC の世界推計は 2 月に 26.6%、インドを扱った分析が引用する 7 月下旬の値は 26.92% でした。これは、自ら ROV を設定した ASN の全数調査ではありません。上流のフィルタリングが下流の観測点を保護する場合もあります。表の地域別数値は 2 月のもので、7 月の値と一つの標本として扱えません。

ROV の測定：2026 年 2 月
地域 / RIR の測定範囲	ROV 測定値
ARIN	61.3%
RIPE	35.3%
世界	26.6%
APNIC	13.2%

公開と導入では必要な判断が違う

ROA の作成では、プレフィックス、起源 ASN、許可する長さを決めます。ROV の導入は、顧客、ピア、トランジット、ルートサーバーから受け取る経路に影響します。拒否、優先度変更、監視、期限付き例外のいずれにも、運用上の責任と手順が必要です。

運用担当者が慎重になる理由

正当な通信の遮断、古い開通システム、更新されない ROA、不十分な自動化、例外処理への不安は現実的な課題です。ROV を断念する理由ではなく、導入を準備する理由と考えるべきです。起源を AS64500 から AS64501 に変えても ROA を残したままなら、正当な業務ルートが Invalid になり得ます。

Original routing:
203.0.113.0/24 → AS64500

ROA:
203.0.113.0/24 → AS64500

203.0.113.0/24 → AS64501

登録・認可・実際の経路をそろえる

資源の管理者、認可された ASN、実際の BGP 起源、直近の構成変更は、互いに関連しながら別の事実を表します。ROA は BGP 広告そのものではなく、登録情報も現在の認可を証明しません。事業者、ASN、プレフィックス長の変更を、認可の見直しと結び付ける必要があります。

東南アジアの伸びから分かること

2 月の IPv4 Valid は東南アジアで 92.4%、東アジアで 31.0% でした。技術が利用可能でも、導入は一様には進みません。運用者コミュニティー、研修、インセンティブ、大規模ネットワークの参加が影響します。表は原資料の丸めを保っており、各行の合計が厳密に 100% にならない場合があります。

アジア太平洋の IPv4：2026 年 2 月
アジア太平洋の地域	Valid	Not Found	Invalid
東南アジア	92.4%	7.2%	0.4%
南アジア	89.9%	9.8%	0.3%
オセアニア	73.6%	26.3%	0.2%
東アジア	31.0%	68.4%	0.6%

IPv6 にも大きな地域差がある

オセアニアと南アジアでは IPv6 の認可がほぼ全体に及ぶ一方、東アジアには大きな余地がありました。IPv6 の普及だけで、起源を保護する運用が自動的に整うわけではありません。

アジア太平洋の IPv6：2026 年 2 月
アジア太平洋の地域	IPv6 Valid の割合
オセアニア	97.1%
南アジア	96.6%
東南アジア	78.7%
東アジア	21.9%

インドネシア：協調した導入の効果

APNIC によると、IPv4 の ROA カバレッジは 60% 強から 2025 年末には約 90.6% に上昇し、2026 年初めの ROV 測定値は約 22% でした。IIX がルートリフレクター環境で Invalid を拒否する方針を採ったことで、正しい ROA の維持が参加者の実務上の課題になりました。それでも公開と適用の進み方は異なります。

インド：高いカバレッジは検証の普及を保証しない

8 月公表の APNIC 分析が引用した 7 月下旬の値では、有効な ROA によるカバレッジは IPv4 が 88.04%、IPv6 が 97.91%。ROV は 0.99% で、同じ測定方法による南アジアは 3.14%、世界は 26.92% でした。インドの各ネットワークの安全性を断定する数値ではありませんが、認可の公開と利用の違いを示しています。

認可が経路判断に届くまで

保有者が ROA を公開し、データを取得・検証したうえで、ネットワークがルートを照合してポリシーを適用します。この連携がなければ、正しい認可も広告の処理に影響しない場合があります。図は概念的な流れであり、特定の構成を必須とするものではありません。

資源保有者
  ↓ ROA を公開
RPKI データの取得・検証
  ↓ 有効な認可
ネットワークが起源を照合
  ↓
ポリシーを適用

Valid が確認する範囲

ルートを包含する検証済み認可のうち、少なくとも一つが起源 ASN と長さの両方を許可すれば Valid です。最適経路、AS_PATH 全体の信頼性、経路リークの不在、アドレスの評判、ネットワーク全体の安全性までは証明しません。

ROA:
203.0.113.0/24 → AS64500

BGP:
203.0.113.0/24 → AS64500

Invalid は攻撃の断定ではない

ルートを包含する認可はあるものの、観測された起源と長さの組み合わせを許可するものがない状態です。無許可の広告だけでなく、移行後の更新漏れ、狭すぎる maxLength、設定ミスでも起こります。悪意を判断する前に原因を調べる必要があります。

Not Found が意味するもの

その広告を包含する検証済み認可がない状態であり、悪意があるという意味ではありません。2 月には IPv4 の 37.7%、IPv6 の 36.1% が該当しました。認可のないルートには、この起源検証に必要な照合先がありません。

古い ROA が正当な通信を妨げることもある

事業者や ASN の変更、アドレス移転、企業統合、プレフィックス分割、災害復旧で認可と経路がずれることがあります。登録上の移転完了だけでは不十分です。新しい起源、残る認可、その公開・撤回の順序まで調整する必要があります。

maxLength は実際の必要に合わせる

maxLength は認可する最大プレフィックス長を定め、省略時は指定されたプレフィックスそのものだけが許可されます。/24 に限定した例で /25 を広告すると、ASN が正しくても Invalid になり得ます。必要以上に広げると、意図しない詳細経路まで認可します。必要な範囲を明示し、構成変更に合わせて更新する方が適切です。

Prefix:    203.0.113.0/24
Origin:    AS64500
maxLength: /24

203.0.113.0/25

起源検証は経路全体の認証ではない

ROV が確認するのは、ある ASN がそのプレフィックスを起源として広告できるかです。AS_PATH の各関係を認証するわけではありません。経路リーク、パス操作、異常な属性、ポリシーの誤りには別の対策が必要で、Valid でもすべてのハイジャックを排除できません。

AS64510 → AS64520 → AS64530 → AS64500

RPKI と IRR の役割を分ける

RPKI は暗号学的に検証できる起源認可を提供し、IRR はより広い経路ポリシーや関係を記録します。両方がフィルター生成や監査に役立ちますが、どちらも稼働中のネットワーク全体を単独では表しません。BGP の観測や社内台帳と突き合わせて使います。

ROV は運用上の意思決定

検証する場所、ルーターへのデータ供給、Invalid の扱い、例外、検証器の障害、監視と担当者を決める必要があります。ルーティング、セキュリティー、資源管理の各担当が責任をつなぎ、ROA の公開だけで作業を終えないことが大切です。

ネットワークの位置も効果を左右する

大規模トランジット、主要 ISP、交換拠点は、多くの利用者が見る経路に影響します。検証する ASN の数だけでなく、トポロジー上の位置を見る必要があります。重要な接点でのフィルタリングは下流にも効果を及ぼします。

IXP が導入を後押しする仕組み

IXP のルートサーバーは検証とポリシー適用を共通化し、参加者の導入負担を下げられます。インドネシアの事例はその効果を示します。ただし各参加者にも、自らの広告、認可、例外を理解する責任が残ります。

まず自社の資源を点検する

世界の統計は背景情報です。事業継続に直結するのは、自社のプレフィックス、起源、認可、管理権限です。以下の八項目について、証拠と担当者を明確にします。

1. どのプレフィックスを広告しているか

重要な IPv4 と IPv6 を一覧化します。通常運用だけでなく、復旧時に使う経路も対象にします。

2. 起源となる ASN はどれか

各プレフィックスと想定する起源 ASN の対応を記録します。運用上の意図が、観測結果を判断する基準になります。

Prefix → Intended Origin ASN

3. 認可は一致しているか

プレフィックス、ASN、maxLength、検証の有効性を確認します。現在の広告を許可する別の認可を見落とさないよう、関連する全記録を調べます。

4. BGP では何が見えるか

内部設定や変更申請だけでなく、インターネット上で実際に見える広告を確認します。

5. IRR と整合しているか

古い起源を指す route・route6 オブジェクトや、期限切れ・矛盾する記録を探します。

6. RPKI の管理を誰が担うか

アクセス権、代理担当、復旧手順を確認します。一人の社員がログインできることだけに依存しない体制が必要です。

7. 変更時に認可を見直すか

事業者、ASN、長さ、構成の変更を、変更前後の ROA 確認と結び付けます。公開と撤回の順序も決めます。

8. Invalid を検知できるか

Invalid と想定外の起源を監視し、通知先、調査方法、例外の期限を定めます。

層ごとに証拠を残すチェックリスト

登録、台帳、ASN、認可、ポリシー、アクセス、継続性を一つの表で確認します。「RPKI 導入済み」という一言より、各項目の根拠が役に立ちます。

RPKI の運用チェックリスト
層	確認すること
登録	資源と組織の情報が正しい
IP プレフィックス	広告する資源を漏れなく一覧化
ASN	想定する起源を記録
ROA	プレフィックスと起源を正しく認可
maxLength	運用上必要な範囲を超えない
BGP	実際の広告が意図と一致
ROV	適切な場所で検証方針を適用
IRR	オブジェクトが運用意図と一致
監視	Invalid と想定外の起源を検知
アクセス	RPKI 管理権限を復旧できる
変更管理	経路変更時に ROA を見直す
継続性	担当者や事業者の変更後も文書を利用できる

2026 年のデータから得られる七つの示唆

進展と残る課題の両方が見えます。これらは層ごとの改善に役立つ一方、個々のネットワークの安全性を保証するものではありません。

1. 認可の普及は一つの節目を越えた

2 月の観測で IPv4、IPv6 とも Valid が 60% を超えました。検証可能な認可を公開する保有者が増えています。

2. 未カバーのルートはまだ多い

観測の三分の一以上は Not Found でした。認可情報がなければ、起源を照合する基準がありません。

3. 次は実際の適用を広げる段階

ROA があることと、それを使うことは別です。本番ポリシーに設定、監視、例外処理を組み合わせる必要があります。

4. 地域差を平均値で隠さない

東南アジアと東アジアの IPv4 の差は、世界平均だけでは状況が分からないことを示します。地域の運用条件に合った取り組みが必要です。

5. 高カバレッジはフィルタリングを保証しない

インドのデータがこの違いを示します。認可の状態と、測定されたフィルタリングを分けて報告すべきです。

6. 数と同じくらい正確さが重要

更新されない ROA は正当なルートを Invalid にし得ます。オブジェクトの追加だけで維持管理を代替することはできません。

7. 基本的な運用を省略できない

正確な台帳、BGP 設定、最新の ROA、適切なポリシー、監視、変更管理が一緒に機能する必要があります。

認可は稼働中のネットワークに沿うべき

強い署名も、誤った認可関係までは正せません。プレフィックス、起源、長さ、資源管理を運用の実態に合わせることが重要です。誰が記録を変更でき、運用者がその判断にどう参加するかという NRS のガバナンス上の問いにもつながります。技術上の状態、管理権限、代表への委任は別々に説明すべきものです。

正しい認可を実際の保護へつなげる

ROA を正確に作り、BGP と同期し、慎重に検証を導入し、Invalid を監視する。この作業は移転や移行の際にも続きます。資源に関するリスクへの支援は Shield で確認できます。POA による代表委任は別の判断として、範囲、期間、委ねる決定、撤回方法を理解して選ぶ必要があります。

よくある質問

ROA カバレッジと ROV 導入率の違いは？

前者はルートと認可情報の関係、後者は検証と経路処理への利用を測定から推定したものです。分母が違うため、差し引いて正確な保護の不足分を求めることはできません。

2026 年の IPv4 Valid はどのくらい？

APNIC の 2 月の世界観測では約 60.3% でした。Not Found は 37.7%、Invalid は 2.0% です。当時の標本に対する数値です。

IPv6 の割合は？

同じ分析では Valid が 60.9%、Not Found が 36.1%、Invalid が 3.0% でした。

ROV はどこまで広がっていた？

2 月の世界測定は約 26.6%、後の分析が引用する 7 月 29 日の値は約 26.92% です。上流のフィルタリングも影響するため、自ら設定した ASN の割合ではありません。

二つの数値を直接比較できる？

導入状況を考える材料にはなりますが、認可状態と推定されたフィルタリング動作という別の対象です。日時、標本、測定方法を明示する必要があります。

数値を読む際の前提

2026 年 10 月 13 日の編集注記。数値は APNIC の 2026 年 2 月および 7 月下旬の観測であり、ライブデータではありません。ルートのカバレッジと ROV の測定は分母が異なります。上流のフィルタリングが下流を保護することもあり、自ら ROV を設定した ASN の全数調査ではありません。地域別データの丸めと原文の公開・更新日時を保持しています。

出典と関連資料

リスクを理解したうえで支援を選ぶ

NRS Shield は資源に関するリスクに対してメンバーを支援します。POA による代表委任は別の明示的な判断です。範囲、期間、委ねる決定、撤回方法を確認してください。記事を読んだり支援を求めたりしただけで、代表権が付与されることはありません。

NRS Shield を知る · POA と代表委任 · 現在の取り組み