Системи C2

Чеклист спільної картини

Спершу весь чеклист — бо саме його має пройти дизайн-рев’ю системи C2 і бо майже кожен рядок дешевий у першій схемі й перетворюється на міграцію в другій. Він пронумерований, щоб на рядок можна було послатися: «ми не проходимо 2.2» — це задача, тоді як «модель треків якась крихка» — це настрій. Групи йдуть за даними від моменту, коли доповідь створено, до моменту, коли людина за нею діє.

1. 1.Кожна доповідь

   1. 1.1Доповідь незмінна й має власний ідентифікатор, присвоєний там, де її створили. Виправлення — це нова доповідь, що посилається на стару.
   2. 1.2Вона несе своє походження: джерело, сенсор, оператора, якщо він є, і версію будь-якого ПЗ, що її створило.
   3. 1.3Вона несе два часи — коли це сталося і коли надійшло, — а також те, який годинник поставив мітку і наскільки він був точним.
   4. 1.4Вона каже, справжня вона, навчальна чи тестова, — у полі, яке не може загубити жодне відображення й жоден адаптер.

2. 2.Кожен трек

   1. 2.1Трек посилається на свої доповіді й ніколи їх не заміщає: злиття додає звʼязок, розділення його прибирає.
   2. 2.2Номер треку ніколи не використовують повторно, тож питання про номер завжди стосується того самого обʼєкта.
   3. 2.3Позиція несе свою непевність, а ідентичність — це гіпотеза з альтернативами, а не ярлик.
   4. 2.4Певність каже, на чому вона ґрунтується, і за шкалою, яку всі, хто її виробляє, розуміють однаково.

3. 3.Кожен розрив і кожен довгий прогін

   1. 3.1Вузли обмінюються журналом доповідей лише на дозапис, а не диффом треків.
   2. 3.2При конфлікті обидві версії лишаються, а кореляція перезапускається на обʼєднанні; нічого не вирішують порівнянням двох годинників.
   3. 3.3Кожну синхронізацію рахують: скільки доповідей обмінялося, скільки з них нових, скільки в конфлікті і як розвʼязано кожен.
   4. 3.4Довгий аптайм — перевірена умова: час, лічильники й кеші після ста годин поводяться так само, як після однієї.

4. 4.Кожен інтерфейс з іншою системою

   1. 4.1Стандарт повідомлень і його версію названо у вимозі, а не обрано командою.
   2. 4.2Одиниці, геодезична система й шкала часу — UTCUTCCoordinated Universal Time — світовий еталонний часСтандарт часу, у якому зазвичай ведуть годинники й логи, — без часових поясів і переходу на літній час. Він додає високосні секунди, щоб не відставати від обертання Землі, тому час GPS, який цього не робить, нині випереджає його на 18 секунд.Усі терміни чи час GPS — або їдуть у даних, або зафіксовані контрактом, і контракт тестують, а не приймають на віру.
   3. 4.3Усе, що партнер надсилає поза допустимим діапазоном, ізолюють і позначають, а не тихо виправляють.
   4. 4.4Кожен переклад між схемами логують, щоб хибне значення можна було простежити до адаптера, який його створив.

5. 5.Кожен елемент відображення

   1. 5.1Вік видно без кліку.
   2. 5.2Непевність намальовано як непевність — областю, порожнім маркером, — а не точним символом.
   3. 5.3Будь-який елемент відповідає на «чому ти так вважаєш» за одну взаємодію — доповідями й джерелами за ним.
   4. 5.4Застарілу стрічку чи ізольований вузол так і показано; мовчання ніколи не виглядає як «нічого не відбувається».

6. 6.Кожне рішення людини

   1. 6.1Людина має достатньо часу, щоб вирішити, і час, що справді є, виміряно, а не припущено.
   2. 6.2Людина бачить доказ за рекомендацією — яке джерело, якого віку, з чим збіглося, — а не лише число.
   3. 6.3Відмовитися так само легко, як погодитися, бойова дія ніколи не ділить екран підтвердження з навчальною, а скасування підготовлено заздалегідь.
   4. 6.4Коли людина й автоматика можуть дати суперечливі команди, яка з них перемагає, вирішено заздалегідь і відомо обом.
   5. 6.5Що показали, що обрали, хто й коли — записано.

Кореляція є операцією — і вона ніколи не є певною

Три терміни роблять решту цієї сторінки читною, і їх варто розділити, бо системи, що їх змішують, дають картину, про яку неможливо міркувати. ДОПОВІДЬ — це те, що одне джерело сказало в один момент: сира, з авторством, ніколи не змінювана. СУТНІСТЬ — це справжня річ у світі, про яку доповідь може бути, а може й ні. ТРЕК — це поточне найкраще переконання системи про сутність, зібране з доповідей і завжди переглядуване. Доповіді є фактами про джерела; треки є гіпотезами про світ.

Кореляція — це крок, що приписує доповідь до треку, і щоразу вона є судженням у непевності. Два сенсори, що дають позиції за вісімдесят метрів одна від одної, можуть бачити один обʼєкт із похибкою позиції або два обʼєкти, що просто поруч. Система мусить обрати, і обидві помилки дорогі в різні боки: злиття двох сутностей ховає одну з них, а розділення однієї дає картину, у якій є річ, якої не існує. Жодна з помилок не є виправною, якщо доповіді після злиття викинули.

Рядок 2.2 — те саме правило, застосоване до імен. Номер треку — це те, як люди говорять про обʼєкт у радіоефірі чи через кімнату, і номер, який можна перепризначити або який змінюється, коли два треки зливаються, перетворює питання про один обʼєкт на відповідь про інший. Дайте кожному треку ідентичність, що ніколи не рухається, а коли треки зливаються, зберігайте старі номери як псевдоніми, що ведуть до треку, який лишився, замість звільняти їх для повторного використання.

Два часи й годинник на кожному записі

Додати будь-яке з них згодом означає міграцію через усіх споживачів даних, тож їм місце в першій схемі, а не в другій версії. Усі чотири виглядають деталями, і всі чотири вирішують, чи можна довіряти картині, — тому вони і є рядками 1.2 і 1.3.

• Час події й час отримання

  Коли це сталося і коли ви про це дізналися — різні числа, і розрив може бути хвилинами. Доповідь віком сорок секунд не є доповіддю про зараз, а відображення, що не показує різниці, подасть застаріле як поточне.

• Певність як значення

  Кожна доповідь і кожен трек несуть, наскільки вони певні й на якій підставі. Округлити непевність на межі системи — найчастіший спосіб зробити картину впевнено хибною.

• Походження

  Яке джерело, який сенсор, який оператор, яка версія якого класифікатора. Саме це робить розбіжність придатною до розслідування, а не питанням думки.

• Дисципліна годинника

  Вузли, що не дістають до джерела часу, дрейфують. Записуйте джерело годинника та його якість разом із міткою часу — інакше впорядкування між вузлами стає здогадкою в одязі факту.

Годинник заслуговує на більше, ніж картку, бо годинник помиляється повільно. Мала похибка за годину невидима на годинному тесті й вирішальна на сотій годині, а для всього, що рухається, похибка часу — це похибка позиції. Найвідоміший випадок у програмній інженерії — саме такий, і діаграму нижче побудовано за таблицею самих слідчих.

Це рядок 3.4, і він стосується далеко не лише годинників. Лічильники, що переповнюються, кеші, що ростуть, порядкові номери, що вичерпують поле, накопичувачі з рухомою комою, що втрачають точність, — кожен проходить будь-який тест, який спершу перезапускає систему. Якщо система працюватиме в полі днями, один тест теж мусить іти днями, а аптайм, на якому кожен компонент перевіряли востаннє, належить у примітки до релізу.

Певність заслуговує на окрему примітку, бо саме там гинуть добрі наміри, — рядок 2.4. Число від нуля до одиниці має сенс, лише якщо всі, хто його виробляє, розуміють під ним те саме, — а вони не розуміють: 0,9 у сенсора є каліброваною ймовірністю, 0,9 у класифікатора є виходом softmaxsoftmaxоцінки, стиснуті в 0–1Функція, яку останній шар класифікатора зазвичай застосовує, щоб перетворити сирі оцінки на числа від нуля до одиниці, що в сумі дають одиницю. Вони схожі на ймовірності, але не є каліброваними, тож softmax 0,9 не означає, що модель має рацію девʼять разів із десяти.Усі терміни, що означає дуже мало, а 0,9 у людини є знизуванням плечима, поданим як число. Або домовтеся, що означає шкала, і калібруйте під неї, або несіть сирий доказ і дайте споживачеві вирішувати. Що не працює — усереднити три несумісні 0,9 в одну 0,9, яка не описує нічого.

Коли два вузли втрачають контакт

Саме тут відсутня мережа перестає бути абстракцією. Два вузли годину без звʼязку, обидва далі отримують доповіді, обидва оновлюють свої треки, і обидва мають рацію щодо побаченого. Коли звʼязок повертається, вони не згодні — не тому, що якийсь зламаний, а тому, що вони бачили різне. Загальний матеріал з розподілених систем про це живе в інших розділах сайту; специфічне тут те, що правильним розвʼязанням майже ніколи не є обрати переможця.

Один практичний наслідок — рядок 3.1: оскільки узгодження відбувається над доповідями, а не над треками, протокол синхронізації обмінюється журналом незмінних фактів лише на дозапис, а не диффом змінюваного стану. Це помітно простіше зробити правильно, воно є ідемпотентним за побудовою і переживає обрив посередині — а це важить, коли вікно контакту міряють секундами.

Сумісність — це вимога, а не вподобання

Продуктова команда обирає свої формати. Команда C2 здебільшого ні. Вимоги приходять документами, написаними кимось, хто ніколи вас не зустріне, і одне речення в них зазвичай вирішує архітектуру: система має обмінюватися даними ось із цими системами, ось у цьому стандарті повідомлень, ось цієї версії. Ці партнери часто старші за вашу систему й незмінні, тож стандарт — це обмеження, яке ви успадковуєте, а не дизайн, який можна покращити. Це рядок 4.1 — і причина, чому значна частина майстерності тут полягає в уважному читанні специфікації.

Людина в контурі — і екран, через який вона вирішує

Усе вищеописане існує, щоб людина могла ухвалити рішення, а «людина в контурі» вживають так вільно, що фраза нічого не означає. Як інженерна вимога вона конкретна. Людина В контурі, коли нічого з наслідками не стається, доки вона не діє. Людина НАД контуром, коли система діє, якщо людина не спинить її в межах вікна. І людина ПОЗА контуром, коли їй повідомляють після дії. Третій устрій — найчастіший, і зазвичай він виникає випадково, а не за рішенням.

Група 6 чеклиста — те, що перетворює фразу на властивості, які можна перевірити. Людині потрібно достатньо часу, щоб вирішити, — виміряного, а не припущеного: підтвердження на дві секунди — не нагляд, а печатка з додатковою затримкою. Їй потрібен доказ за рекомендацією, а не лише число. Відмовитися має бути так само легко, як погодитися, і відмова не має виглядати помилкою; якщо «ні» важче за «так», контур декоративний. Коли людина й автоматика можуть не погодитися, хто перемагає, має бути вирішено заздалегідь. І рішення має бути записане — що показали, що обрали, коли й хто, — інакше поганий результат неможливо розібрати.

Тож відображення — не шар презентації над справжньою системою. Воно є її останньою стадією і місцем, де ретельне моделювання даних найлегше викинути: трек, що несе вік, певність і походження, намальований іконкою, тотожною до всіх інших, утратив усі три на останньому кроці. Група 5 чеклиста — це мінімум.

• Вік видно без запиту (5.1). Трек за доповіддю чотирихвилинної давнини не має виглядати як оновлений дві секунди тому.
• Непевність намальовано як непевність (5.2). Точний символ — це твердження, і намалювати його поверх здогадки — брехня, яку інтерфейс каже від імені системи.
• Кожен елемент відповідає на «чому ти так вважаєш» за одну взаємодію (5.3), показуючи доповіді за ним та їхні джерела.
• Деградовані режими мають дизайн, а не порожню панель (5.4): мовчання читається так само, як «нічого не відбувається».
• Переривання, на яке людина не може зреагувати, привчає її ігнорувати ті, на які може, — те саме правило алертів, що й усюди на цьому сайті.

Сім збоїв — і рядок, що покриває кожен

Кожен із них має публічне розслідування, і кілька коштували життів. Вони тут заради того, чого вчать про побудову спільної картини, а не як вирок людям, які там були: майже в кожному слідчі знайшли причину в полі, екрані чи процедурі, які проєктувальники системи зробили або пропустили.

Де це вироджується

Чесне обмеження всього на цій сторінці в тому, що спільна картина може корелювати лише те, про що доповіли. Сенсор, якого там ніколи не було, заглушене джерело, обʼєкт, що виглядав як тло, — усі вони відсутні без сліду, а картина, що виглядає повною, спонукає вірити, що відсутність треку — це відсутність обʼєкта. Інтерфейс може показати, що стрічка застаріла; він не може показати стрічку, якої ніколи не було. Єдиний захист — малювати не лише треки, а й покриття, щоб «ми тут нічого не бачимо» і «ми тут не бачимо» ніколи не виглядали однаково.

• Картина, що виглядає повною, бо прогалини в покритті намальовано порожньою мапою, а не невідомим.
• Діалог підтвердження на дві секунди, зарахований як «людина в контурі».
• Дашборд узгодження, зелений тому, що довгий розрив дав нуль конфліктів.
• Певність, усереднена між джерелами, які розуміють це число по-різному.
• Позначка «навчання», що є в базі й губиться в адаптері до партнерської системи.
• Специфікація інтерфейсу, що існує як документ і ніколи не запускається як тест.
• Система, яку тестували годину, а розгорнули на місяць.
• Кожен конфлікт ескальовано до людини — тож не читають жодного.
• Відображення, що малює всі треки однаково, видаляючи вік, певність і походження на останньому можливому кроці.

Коли це застосовувати

Пов’язані сторінки

• DeftechКомпʼютерний зірКомпʼютерний зір — це практика перетворювати зображення з камери на детекції, за якими може діяти машина чи людина, і модель тут рідко є складною частиною. Складно тут тому, що він працює на пристрої з бюджетом живлення й без мережі, на зображеннях, не схожих на ті, на яких його навчали, і живить рішення, у якому за два типи помилок платять різні люди. Сторінка починається з дванадцяти польових збоїв — причини кожного й перевірки, що його ловить; далі — бюджет на пристрої, проблема даних, поріг як політика, що треба записувати, і сім задокументованих збоїв.
• DeftechДата-платформиДата-платформа — це стек, який збирає, зберігає й переміщує записи організації, а та, що збудована під надійну мережу, спершу надсилає, а зберігає як побічний ефект. Переверніть це припущення — і разом із ним перевернеться архітектура: вузол пише локально й завжди, а надсилання стає фоновою справою за нагоди, якої сьогодні може не бути. Сторінка починається з дванадцяти способів, якими відʼєднана платформа губить чи псує дані, — кожен із рішенням, що його відвертає; далі — черга за пріоритетом, приймальний бік, що очікує обриву, що несе кожен запис, доказ як результат роботи, двадцять років форматів і сім задокументованих випадків.
• DeftechПЗ для дронівПЗ для дронів — це польотний код безекіпажного апарата й наземне ПЗ, що ним командує, створені, щоб лишатися безпечними, коли зникне звʼязок, позиція чи заряд. Безекіпажний апарат — це розподілена система, у якій один вузол падає з неба, якщо пропустить дедлайн, і цей єдиний факт вирішує, який код де працює, що може блокуватися і чому дозволено падати. Сторінка починається з чеклиста готовності до польоту на двадцять пʼять рядків; далі — стек як ієрархія дедлайнів, драбина фейлсейфів як справжня специфікація, рішення про повернення як розрахунок енергії, автономність як список рішень, симуляція як тестове середовище і сім задокументованих аварій.