Catview

Когда я впервые начал оценивать инфраструктуру, я обратил внимание на то, сколько вариантов система предоставляет строителям и операторам. Чем больше конфигураций, тем больше контроля, тем больше способов адаптировать поведение во время выполнения — все это звучало как сильные стороны. Мне потребовались годы наблюдений за работой реальных систем в стрессовых условиях, чтобы увидеть другую сторону. Каждая дополнительная точка принятия решения также является дополнительной рисковой поверхностью. Каждое место, где людям нужно выбирать, как система должна себя вести, — это место, где поведение может отклоняться.
То, что изменило мое мышление, не была единичная ошибка, а шаблон. Инфраструктуры, которые старели плохо, не всегда были теми, у кого была слабая производительность. Это часто были те, которые требовали слишком много решений, чтобы сохранять правильное поведение. Настройка параметров, обработка исключений, специальные исключения управления, ручная координация между уровнями. Ничто не выглядело сломанным в изоляции, но система все больше зависела от оценок. Со временем правильность стала чем-то, что обсуждается, а не навязывается дизайном.

Я не изменил способ оценки инфраструктуры из-за одной неудачи, это произошло постепенно, после того как я наблюдал, как достаточно систем технически выживают, но становятся все труднее и труднее для понимания. Есть этап, который многие архитектуры достигают, когда ничего явно не сломано, блоки производятся, транзакции завершаются, панели управления остаются зелеными, но количество объяснений, необходимых для оправдания поведения системы, продолжает расти. Каждое обновление требует больше оговорок, каждый крайний случай требует больше контекста, каждая аномалия требует более длинной нити для уточнения. Это тот этап, на котором я начинаю уделять больше внимания, потому что именно там обычно накапливается скрытый риск.

Раньше я оценивал инфраструктуру в основном по видимым сигналам, времени безотказной работы, пропускной способности, тому, проходят ли транзакции гладко, жаловались ли пользователи. Если ничего не ломалось, я предполагал, что система здорова. Мне потребовалось несколько циклов, чтобы понять, что стабильность на поверхности может скрывать совсем другую форму затрат под ней, ту, которая не отображается на панелях управления, но проявляется в умах людей, которым приходится следить за системой каждый день.
Некоторые системы не выходят из строя, но они медленно становятся труднее для понимания. Поведение слегка меняется с обновлениями, крайние случаи множатся, предположения требуют постоянной переоценки. Ничто не настолько драматично, чтобы назвать это инцидентом, но умственная нагрузка продолжает расти. Вы начинаете проверять больше метрик, добавлять больше оповещений, читать больше заметок об исключениях, не потому что система не работает, а потому что она больше не предсказуема. Со временем эта когнитивная нагрузка становится своей собственной формой риска.

Я помню время, когда я судил инфраструктуру почти исключительно по тому, сколько она могла сделать. Чем более гибкой выглядела система, тем более устойчива к будущему она казалась. Такой способ мышления имел смысл в начале, когда все еще было маленьким, экспериментальным и легким для сброса. Но чем дольше я оставался на этом рынке, тем больше я замечал, как часто эта гибкость становилась источником проблем, которые никто не хотел брать на себя, когда система начала нести реальную ценность.
Я видел архитектуры, которые выглядели блестяще в первый год, медленно превращались в переговоры между компонентами, которые никогда не должны были говорить друг с другом таким образом. Логика выполнения проникает в места, где ей не место, правила валидации изгибаются, чтобы учесть крайние случаи, предположения о конфиденциальности тихо ослабляются, потому что их изменение сломало бы слишком много вещей вниз по потоку. Ничего из этого не произошло за одну ночь. Это произошло потому, что система никогда не решила, достаточно рано, за что она откажется быть ответственной.

Я достаточно долго нахожусь на этом рынке, чтобы знать, когда что-то кажется знакомым в плохом смысле и когда что-то кажется тихим по какой-то причине, Plasma попадает во вторую категорию для меня, не потому что он идеален или потому что обещает что-то радикально новое, а потому что он ведёт себя как система, сформированная людьми, которые уже видели, как вещи терпят неудачу, когда никто не смотрит.
С течением лет я наблюдал, как инфраструктурные проекты стремятся к гибкости, как будто это было моральным благом, всё должно было быть адаптируемым, составным, бесконечно настраиваемым, и на бумаге это всегда выглядело как прогресс, но на практике это обычно означало, что границы размывались, логика выполнения просачивалась в места, к которым она никогда не должна была касаться, предположения о конфиденциальности становились условными, и когда реальное использование появлялось, система начинала накапливать исключения, которые было трудно осмыслить и ещё труднее распутать. Эти неудачи редко были драматичными, они происходили медленно, тихо, и к тому времени, когда они становились очевидными, уже было слишком много зависимостей, построенных на этом.