utun2/PLAN_etcp_router_reset_id.md

План: эпоха (reset_id) для ETCP Router

Аналог фикса reset_id из ETCP (см. 61c572c), применённый к сервисному слою маршрутизации etcp_router (src/routing_layer/etcp_router.c).

1. Контекст

etcp_router — «упрощённый TCP поверх ETCP»: своя seq-нумерация (tx_seq/rx_seq), reorder (recv_q), inflight-контроль (inflight_q), ретрансмиты, START/RST handshake.

Текущий механизм детекции рестарта пира:

• SVC_ROUTE_HDR.flags & ROUTER_FLAG_START — флаг на первом data-пакете сеанса (seq==0 && !start_sent && pl_len>0, etcp_router.c:207).
• router_check_peer_restart (etcp_router.c:1055) — если пришёл START на уже синхронизированное соединение (peer_sync_done==1), то это рестарт пира; дедуп ретрансмитов — побайтовое сравнение с last_start_dgram (etcp_router.c:1063). Совпало → это ретрансмит (не рестарт). Не совпало → etcp_router_conn_restart (полный сброс + sess_id++).
• ROUTER_FLAG_RST + router_restart_send (etcp_router.c:285) — сброс только TX-стороны; повторные RST гасятся через send_restart_pending.
• sess_id (etcp_router.h:121) — локальный счётчик переустановок, на wire не пишется. Используется только в DEBUG_INFO.

2. Проблема (аналог ETCP seq-коллизии)

Дедуп рестарта строится на побайтовой идентичности last_start_dgram. Это тот же класс хрупкости, что убрали в ETCP:

1. Байт-идентичный START может быть и ретрансмитом, и (теоретически) новым сеансом — если у нового START совпали seq==0, svc_id, timestamp (16-битные часы 0.1ms заворачиваются каждые ~6.5 сек) и payload. Тогда рестарт не детектится.
2. Если рестарт не распознан: у пира tx_seq ушёл в 0, а у нас rx_seq остался «высоким». В router_handle_data_packet (etcp_router.c:1104) ветка (rx_seq - seq) > 0 / queue_find_data_by_index считает пакеты новой сессии дубликатами → молчаливый c_dup_dropped + пере-ACK (как RX dup в ETCP) → потеря сервисных пакетов.
3. sess_id не на wire → пир вообще не может отличить «мы перезапустились» от «продолжаем сеанс» иначе как по байтам START.

То есть нужен надёжный маркер эпохи сеанса на wire — аналог reset_id.

3. Решение (аналог reset_id)

Семантика та же, что в ETCP:

• эпоха генерится один раз при создании ETCP_ROUTER_CONN;
• меняется только при (фатальном) рестарте соединения;
• при приёме START/RST с другой эпохой → рестарт (adopt);
• первая увиденная эпоха принимается без рестарта (свежие при создании);
• дедуп ретрансмитов START — по эпохе, а не по байтам.

Два варианта источника эпохи:

• (A) Перенести sess_id на wire — он уже есть как uint32 счётчик (0 при создании, ++ при рестарте). Минимально инвазивно.
• (B) Новый reset_id (uint64, случайный) — симметрично ETCP; случайный надёжнее счётчика (нет wrap-around и предсказуемости), но чуть больше поле.

Рекомендация — (A) как минимальный шаг (поле уже есть), при желании апгрейд до (B).

Разрыв цикла (master/slave)

Как и в ETCP, симметричное «увидел другую эпоху → рестарт» зацикливается при одновременном рестарте обеих сторон (A++ → B++ → A видит B → A++ → …).

Ти-брейкер по node_id (как в ETCP):

• на приёме START/RST с чужой эпохой:
  • master (меньший node_id) — держит свою эпоху, шлёт RST пиру;
  • slave (больший node_id) — принимает эпоху пира и рестартится.

Существующие предохранители (send_restart_pending, router_check_peer_restart на стороне master) сохраняются.

4. Wire-формат

SVC_ROUTE_HDR (etcp_router.h:26) сейчас 33 байта:

cmd(1) group_id(8) dst(8) src(8) seq(4) svc_id(1) flags(1) timestamp(2)

Добавить поле эпохи (только START/RST, в обычных data/ACK — 0):

• вариант (A): uint32_t sess_id → заголовок 33→37 байт (упакован);
• вариант (B): uint8_t reset_id[8] → 33→41 байт.

Заполняется в router_build_packet (START) и router_send_rst; читается в router_check_peer_restart / обработчике RST.

5. Шаги реализации

Файлы: src/routing_layer/etcp_router.h, src/routing_layer/etcp_router.c, (опц.) tests/.

1. Поле в заголовке: добавить sess_id/reset_id в struct SVC_ROUTE_HDR; обновить SVC_ROUTE_HDR_SIZE.
2. Локальное состояние (struct ETCP_ROUTER_CONN):
   • uint32_t sess_id (уже есть) — оставить как «моя эпоха»;
   • добавить uint32_t peer_sess_id — последняя увиденная эпоха пира.
   • router_conn_reset (etcp_router.c:380) НЕ сбрасывает sess_id (комментарий на :379 уже это гарантирует).
3. Запись эпохи:
   • router_build_packet (:193) — при ROUTER_FLAG_START писать sess_id;
   • router_send_rst (:251) — писать sess_id.
4. Детект рестарта по эпохе — переписать router_check_peer_restart (:1055):
   • если peer_sess_id==0 → первая эпоха, принять без рестарта (сохранить);
   • если hdr->sess_id == peer_sess_id → ретрансмит (не рестарт);
   • если отличается → master/slave: slave → etcp_router_conn_restart + adopt; master → держать свою, при необходимости RST.
   • last_start_dgram-байт-дедуп заменить на это сравнение (поле можно удалить).
5. RST-обработчик (:1151) — при RST также сверять sess_id (дедуп RST по эпохе вместо/в дополнение к send_restart_pending).
6. Инициализация — peer_sess_id = 0 в router_conn_reset/etcp_router_conn_get.

6. Тест

tests/test_etcp_router_* (существующие test_etcp_router, test_etcp_router_reconnect, test_etcp_router_unit) — прогнать после правки заголовка (37/41 байт).

Добавить (по возможности) регрессию, аналогичную test_etcp_seq_collision:

• два инстанса, роутер-коннект, отправка N пакетов;
• принудительный рестарт одной стороны (смена эпохи);
• assert: пакеты новой эпохи доставлены (не c_dup_dropped), обе стороны сходятся к одной эпохе.

7. Решения (зафиксировано)

1. Вариант (B) — uint64_t reset_id, случайный (random_bytes). Причина: вариант (A) sess_id стартует с 0 и конфликтует с сентинелом «эпоха не задана». На wire — native order (как остальные uint64-поля заголовка, SVC_ROUTE не использует htobe*).
2. master/slave по node_id — нужен: etcp_router_conn_restart делает полный двунаправленный сброс, без ти-брейкера симметричный рестарт зациклится. master (меньший node_id) держит эпоху и шлёт RST; slave принимает и ресетится.
3. route_crypto — совместим: заголовок не шифруется (только payload), подписывается только в SIGN-режиме; SVC_ROUTE_HDR_SIZE = sizeof(...) авто-адаптируется. START идёт через route_crypto_encode, RST/ACK/CLOSE — plain header-only.

8. Статус

Реализовано и проверено: etcp_router.h/.c + tests/test_etcp_router_unit.c. Сборка make clean && make без ошибок; ./check.sh → 74 passed / 0 failed / 1 skipped; test_etcp_router_unit 34/34, test_etcp_router и test_etcp_router_reconnect — PASS.