Private oder öffentliche Chain

Die eigentliche Frage: wer wem vertrauen muss

Lieferkettenprojekte beginnen meist mit einem Ziel, das technisch klingt: eine Charge vom Hof oder Werk bis ins Regal zurückverfolgen, die Echtheit eines Zertifikats belegen, einer Aufsicht oder einem Kunden zeigen, woher etwas stammt. Die Technikwahl folgt aus einer einfacheren Frage. Wer führt die Aufzeichnung, und müssen die anderen Beteiligten sich auf dessen Wort verlassen?

Führt ein Unternehmen die Aufzeichnung und sind seine Lieferanten und Kunden zufrieden, ihm zu vertrauen, genügt eine gemeinsame Datenbank mit guter Zugriffskontrolle und einem Prüfprotokoll. Müssen mehrere Unternehmen in die Aufzeichnung schreiben und soll keines die Geschichte umschreiben können, ohne dass die anderen es merken, ergibt ein gemeinsames Register Sinn. Muss die Aufzeichnung für jeden prüfbar sein, auch für Menschen ohne Konto und ohne Beziehung zu Ihnen, ist eine öffentliche Chain das Werkzeug.

Wann eine gemeinsame Datenbank die ehrliche Antwort ist

Wir bauen Blockchains und empfehlen trotzdem öfter eine Datenbank als eine Chain. Eine Datenbank ist schneller, günstiger im Betrieb, leichter zu ändern und jedem Entwickler vertraut, den Sie je einstellen werden. Zugriffskontrolle entscheidet, wer was sieht. Ein Prüfprotokoll, an das nur angehängt werden kann und das die Datenbank selbst schreibt, zeigt jede Änderung und wer sie gemacht hat. Tägliche Sicherungen bei einem Dritten fügen einen weiteren Zeugen hinzu.

• Wählen Sie eine Datenbank, wenn eine Organisation für die Aufzeichnung verantwortlich ist und die anderen das akzeptieren.
• Wählen Sie eine Datenbank, wenn das Schwierige ist, Lieferanten überhaupt zum Hochladen zu bringen. Ein Register behebt kein fehlendes Zertifikat.
• Wählen Sie eine Datenbank, wenn Ihre Partner keine eigene Software betreiben werden. Eine Chain, bei der Sie jeden Knoten betreiben, ist eine Datenbank mit Zusatzschritten.
• Wählen Sie eine Datenbank, wenn sich die Form der Daten oft ändert. Schemas einer Datenbank lassen sich leicht migrieren; Daten in einem Register sollen so bleiben, wie sie geschrieben wurden.

Was Sie auch wählen, nutzen Sie ein gemeinsames Vokabular. Der Standard EPCIS von GS1 existiert, damit verschiedene Anwendungen Ereignisdaten zur Sichtbarkeit innerhalb von und zwischen Unternehmen erzeugen und teilen können ^[5]. Ereignisse in dieser Form festzuhalten macht es später weit leichter, Partner, Prüfer und Händler anzubinden, ob auf einer Datenbank oder einer Chain.

Private Chains mit Zugangsberechtigung

Eine private Chain ist ein Register, das eine bekannte Gruppe betreibt. Jedes Mitglied betreibt einen Knoten; eine Transaktion wird erst festgehalten, wenn sich das Netz darauf einigt, und kein einzelnes Mitglied kann die Vergangenheit umschreiben, ohne dass die anderen es sehen. Hyperledger Fabric beschreibt dieses Modell als eines für bekannte, identifizierte Teilnehmer unter einem Governance-Modell und hält fest, dass sein Konsens keine eigene Kryptowährung braucht ^[1]. Fabric lässt Mitglieder außerdem Kanäle und private Datensammlungen bilden, sodass bestimmte Transaktionen nur für die beteiligten Parteien sichtbar sind ^[1].

Besu, ein Ethereum-Client für private Netze, bietet Zugangsberechtigungen für Knoten und Konten, sodass nur festgelegte Knoten und Konten auf das Netz zugreifen können ^[2]. Auf Ethereum-Werkzeugen aufzubauen hat einen praktischen Vorteil: Smart Contracts, Wallets und Entwickler sind dieselben, die das öffentliche Ökosystem nutzt.

• Richtig, wenn: mehrere Unternehmen in die Aufzeichnung schreiben, jedes eine Kopie unter eigener Kontrolle will und sie sich einig sind, wer beitreten darf.
• Achten Sie auf: Governance. Wer ein neues Mitglied aufnimmt, wer die Contracts aktualisiert und was passiert, wenn ein Mitglied geht, sind geschäftliche Fragen, die vor dem Start Antworten brauchen.
• Planen Sie: dass jede Partei einen Knoten betreibt oder jemanden dafür bezahlt. Ein Netz ist nur so unabhängig wie seine Betreiber.

Öffentliche Chains

Eine öffentliche Chain wie Ethereum kann jeder lesen und prüfen. Das ist ihre Stärke und für Lieferketten ihre größte Grenze. ethereum.org selbst beschreibt Ethereum als von Grund auf öffentliches und transparentes Register ^[4]. Preise, Mengen, Lieferantennamen und alles andere, was Sie dort schreiben, können Wettbewerber genauso leicht lesen wie Kunden.

Auf eine öffentliche Chain zu schreiben kostet außerdem eine Gebühr. Bei Ethereum zahlt der Absender einer Transaktion Gas, und ist die Nachfrage im Netz hoch, steigt die Gebühr, die nötig ist, damit eine Transaktion aufgenommen wird ^[3]. Damit hängen die Kosten einer öffentlichen Chain von der Aktivität anderer ab, was für ein Unternehmen, das Tausende Ereignisse am Tag festhält, unpraktisch ist.

Die übliche Antwort ist, die Daten von der öffentlichen Chain fernzuhalten und Nachweise darauf zu verankern. Das Portal speichert die Datensätze in seiner eigenen Datenbank oder einem privaten Register und schreibt in Abständen einen einzigen Fingerabdruck (einen Hash) eines Stapels davon auf eine öffentliche Chain. Wer einen Datensatz erhält, kann später prüfen, ob er zum Fingerabdruck passt und seitdem nicht verändert wurde, ohne dass jemand den Datensatz selbst veröffentlicht.

• Richtig, wenn: das Publikum die Öffentlichkeit oder Kunden ohne Vertrag mit Ihnen sind und die Aussage prüfbar sein muss, ohne Ihnen zu vertrauen.
• Achten Sie auf: Gebühren, die sich mit dem Netz bewegen, und alles Sensible, das für immer lesbar wäre.
• Planen Sie: Wallets und Schlüssel. Wer den Schlüssel hält, der die Verankerungen schreibt, hat die Befugnis, sie zu schreiben.

Was auf die Chain kommt und was nicht

Welche Art von Chain Sie auch nutzen, legen Sie so wenig wie möglich darauf ab. Dokumente, Bilder und Zertifikate gehören in gewöhnlichen Speicher; die Chain hält ihre Fingerabdrücke und die Ereignisse, die auf sie verweisen. Das hält das Register klein und schnell, und es hält sensible Dateien unter Zugriffskontrolle.

Personenbezogene Daten brauchen besondere Sorgfalt. Kanadas Datenschutzgesetz für die Privatwirtschaft, PIPEDA, beruht auf Grundsätzen fairer Informationspraxis, zu denen Richtigkeit und individueller Zugang gehören, wonach Menschen die Richtigkeit und Vollständigkeit ihrer Daten anfechten und sie gegebenenfalls berichtigen lassen können ^[6]. Eine Aufzeichnung, die sich nie ändern lässt, passt dazu schlecht. Halten Sie Namen, Adressen und alles andere über Einzelpersonen von der Chain fern, und beziehen Sie Ihre eigenen Berater früh dazu ein, was Ihre Aufzeichnungen zulassen müssen.

Mit der Wahl nach dem Start leben

Die Entwicklung ist der sichtbare Teil. In den Jahren danach unterscheiden sich die Wahlmöglichkeiten am stärksten, also denken Sie daran, bevor Sie sich festlegen.

• Eine gemeinsame Datenbank wird gepflegt wie jedes Geschäftssystem: Updates, Sicherungen, Zugriffsprüfungen und gelegentliche Schemaänderungen. Jedes fähige Team kann sie übernehmen.
• Eine private Chain ist ein kleines Netz unabhängiger Betreiber. Jeder Knoten braucht Updates im Gleichschritt mit den anderen, Mitglieder müssen aufgenommen und verabschiedet werden, und Contract-Upgrades brauchen die Zustimmung jeder Partei. Jemand muss das koordinieren, und es lohnt sich, in den Governance-Regeln zu benennen, wer.
• Die Verankerung auf einer öffentlichen Chain ist leicht zu betreiben, aber ihre Schlüssel sind kritisch. Bewahren Sie sie in einem Hardwaremodul oder einem verwalteten Schlüsseldienst auf, halten Sie einen schriftlichen Wiederherstellungsplan bereit und beobachten Sie die Gebühren, damit Sie eine volle Woche im Netz nicht überrascht.
• Auf jedem Weg brauchen die Anbindungen an die Systeme von Lieferanten und Kunden auf Dauer die meiste Sorgfalt, weil sich diese Systeme ändern, ohne Sie zu fragen.

Dasselbe Rückverfolgungsportal, auf drei Arten

Die drei durchgerechneten Beispiele unten sind ein Produkt: ein Portal, in dem Lieferanten Chargendaten und Zertifikate auf Englisch und Französisch hochladen, Mitarbeitende eine fertige Charge bis zu ihren Ausgangsstoffen zurückverfolgen und Warnungen hinausgehen, wenn ein Zertifikat fehlt. Nur die Aufzeichnung darunter ändert sich. Jedes zeigt die Spanne nach unserer heutigen Preisliste, mit Entwicklung und monatlichen Betriebskosten.

Der Unterschied zwischen dem ersten Beispiel und den anderen beiden ist der Preis der zusätzlichen Gewissheit, die jede Chain bringt. Braucht niemand in Ihrer Lieferkette diesen unabhängigen Nachweis, ist das erste Beispiel das, was Sie bauen sollten.

Fragen, die Sie vor der Wahl beantworten sollten

1. 01

   Wer schreibt in die Aufzeichnung?

   Eine Organisation, mehrere oder jeder. Das allein entscheidet die meisten Projekte.

2. 02

   Wer muss sie prüfen können, und vertraut man Ihnen?

   Partnern unter Vertrag kann man Zugang geben. Der Öffentlichkeit nicht, und dann verdient eine öffentliche Chain ihren Platz.

3. 03

   Werden Ihre Partner einen Knoten betreiben?

   Wenn nicht, betreiben Sie eine private Chain allein, und ihre Unabhängigkeit steht nur auf dem Papier.

4. 04

   Was ist sensibel?

   Preise, Mengen, Identitäten von Lieferanten und personenbezogene Daten gehören in kein Register, das andere lesen können.

5. 05

   Wie kommen die Daten hinein?

   Anbindungen an ERPs, Scanner und Sensoren kosten meist mehr Aufwand als das Register. Berechnen Sie sie zuerst.

6. 06

   Wer regiert das Netz?

   Beitritt, Austritt, Upgrades und Streitfälle brauchen schriftliche Regeln, denen jedes Mitglied vor dem Start zugestimmt hat.

Zeigen die Antworten auf eine Datenbank, sagen wir das und bauen eine. Zeigen sie auf eine Chain, bauen wir private Netze und Contracts für öffentliche Chains, und jeder Contract, der Werte hält, durchläuft ein Review und, wo angebracht, ein externes Audit.