Системи C2

Кореляція є операцією — і вона ніколи не є певною

Три терміни роблять решту цієї сторінки читною, і їх варто розділити, бо системи, що їх змішують, дають картину, про яку неможливо міркувати. ДОПОВІДЬ — це те, що одне джерело сказало в один момент: сира, з авторством, ніколи не змінювана. СУТНІСТЬ — це справжня річ у світі, про яку доповідь може бути, а може й ні. ТРЕК — це поточне найкраще переконання системи про сутність, зібране з доповідей і завжди переглядуване. Доповіді є фактами про джерела; треки є гіпотезами про світ.

Кореляція — це крок, що приписує доповідь до треку, і щоразу вона є судженням у непевності. Два сенсори, що дають позиції за вісімдесят метрів одна від одної, можуть бачити один обʼєкт із похибкою позиції або два обʼєкти, що просто поруч. Система мусить обрати, і обидві помилки дорогі в різні боки: злиття двох сутностей ховає одну з них, а розділення однієї дає картину, у якій є річ, якої не існує. Жодна з помилок не є виправною, якщо доповіді після злиття викинули.

Два поля, що мають існувати з першого дня

Додати будь-яке з них згодом означає міграцію через усіх споживачів даних, тож їм місце в першій схемі, а не в другій версії. Обидва виглядають деталями і обидва вирішують, чи можна довіряти картині.

• Час події й час отримання

  Коли це сталося і коли ви про це дізналися — різні числа, і розрив може бути хвилинами. Доповідь віком сорок секунд не є доповіддю про зараз, а відображення, що не показує різниці, подасть застаріле як поточне.

• Певність як значення

  Кожна доповідь і кожен трек несуть, наскільки вони певні й на якій підставі. Округлити непевність на межі системи — найчастіший спосіб зробити картину впевнено хибною.

• Походження

  Яке джерело, який сенсор, який оператор, яка версія якого класифікатора. Саме це робить розбіжність придатною до розслідування, а не питанням думки.

• Дисципліна годинника

  Вузли, що не дістають до джерела часу, дрейфують. Записуйте джерело годинника та його якість разом із міткою часу — інакше впорядкування між вузлами стає здогадкою в одязі факту.

Певність заслуговує на окрему примітку, бо саме там гинуть добрі наміри. Число від нуля до одиниці має сенс, лише якщо всі, хто його виробляє, розуміють під ним те саме, — а вони не розуміють: 0,9 у сенсора є каліброваною ймовірністю, 0,9 у класифікатора є виходом softmax, що означає дуже мало, а 0,9 у людини є знизуванням плечима, поданим як число. Або домовтеся, що означає шкала, і калібруйте під неї, або несіть сирий доказ і дайте споживачеві вирішувати. Що не працює — усереднити три несумісні 0,9 в одну 0,9, яка не описує нічого.

Коли два вузли втрачають контакт

Саме тут обмеження з огляду стає конкретним. Два вузли годину без звʼязку, обидва далі отримують доповіді, обидва оновлюють свої треки, і обидва мають рацію щодо побаченого. Коли звʼязок повертається, вони не згодні — не тому, що якийсь зламаний, а тому, що вони бачили різне. Загальний матеріал з розподілених систем про це живе на інших сторінках; специфічне тут те, що правильним розвʼязанням майже ніколи не є обрати переможця.

Один практичний наслідок: оскільки узгодження відбувається над доповідями, а не над треками, протокол синхронізації обмінюється журналом незмінних фактів лише на дозапис, а не диффом змінюваного стану. Це помітно простіше зробити правильно, воно є ідемпотентним за побудовою і переживає обрив посередині — а це важить, коли вікно контакту міряють секундами.

Інженерія зрештою опиняється в інтерфейсі

Усе вищеописане існує, щоб людина могла ухвалити рішення, а отже, відображення не є шаром презентації над справжньою системою: воно є її останньою стадією і місцем, де ретельне моделювання даних найлегше викинути. Трек, що несе вік, певність і походження, намальований іконкою, тотожною до всіх інших, утратив усі три на останньому кроці.

• Вік має бути видимим без запиту. Трек за доповіддю чотирихвилинної давнини не має виглядати так само, як оновлений дві секунди тому, і оператор не має клікати, щоб це зʼясувати.
• Непевність слід малювати як непевність: області, а не точки; порожній маркер, а не суцільний. Точний символ є твердженням, і намалювати його поверх здогадки — це брехня, яку інтерфейс каже від імені системи.
• Кожен елемент має вміти відповісти «чому ти так вважаєш» за одну взаємодію, показавши доповіді за ним та їхні джерела.
• Деградовані режими потребують дизайну, а не порожньої панелі. Коли стрічка застаріла чи вузол ізольований, відображення мусить сказати про це прямо: мовчання читається так само, як «нічого не відбувається».
• Алерти підпорядковані тому самому правилу, що й усюди на цьому сайті: переривання, на яке людина не може зреагувати, привчає її ігнорувати ті, на які може.

Антипатерни, які варто назвати

• Згортати доповіді в трек і викидати їх: кожна помилка кореляції стає постійною й неперевірною.
• Одна мітка часу на запис: ніхто не скаже, чи трек поточний, чи йому сорок хвилин.
• Узгодження «перемагає останній запис»: справжні розбіжності розвʼязує порівняння двох годинників, які ніколи не синхронізували.
• Усереднювати певність джерел, які розуміють це число по-різному: виходить величина, що не описує нічого.
• Відображення, що малює всі треки однаково, видаляючи вік, певність і походження на останньому можливому кроці.

Коли це застосовувати

Пов’язані сторінки

• DeftechОглядПЗ оборонних технологій — це звичайна інженерія за чотирьох обмежень, які решта цього сайту вважає неіснуючими: немає надійної мережі, супротивник фінансований і терплячий, хибний вихід коштує значно більше за поганий квартал, а користувач не сидить за столом і не має часу вчитися. Майже все інше на цьому сайті припускає протилежне всім чотирьом. Приберіть їх — і інженерія не стане екзотичною, вона стане суворою. Ця сторінка називає чотири обмеження, показує, що кожне з них заміщає, і описує ті частини робочого середовища, які дивують людей із продуктової розробки.
• DeftechДата-платформиДата-платформа — це стек, який збирає, зберігає й переміщує записи організації, а та, що збудована під надійну мережу, спершу надсилає, а зберігає як побічний ефект. Переверніть це припущення — і разом із ним перевернеться архітектура: вузол пише локально й завжди, надсилання стає фоновою справою за нагоди, якої сьогодні може не бути, а цікавим проєктним рішенням стає те, які записи підуть першими, коли вікно контакту триває сорок секунд. Тут — про цю чергу, про приймальний бік, що очікує обриву, і про три властивості, які мусить нести кожен запис.
• DeftechПЗ для дронівПЗ для дронів — це польотний код на борту безекіпажного апарата разом із наземною частиною, яка ним командує; а сам апарат — це розподілена система, у якій один із вузлів падає з неба, якщо пропустить дедлайн. Цей єдиний факт організує все: який код де працює, чому можна блокуватися, чому дозволено падати і чому цікава частина специфікації — не місія, а те, що станеться, коли зникне звʼязок, позиція чи заряд. Тут — про стек, драбину відмовостійкості, автономність як набір конкретних рішень і про те, чому симуляція є головним тестовим середовищем, а не приємним доповненням.