تیمی از مهندسان، یک لایه شبکه‌ای با ویژگی fail-closed را رونمایی کردند که به عامل‌های هوش مصنوعی خودمختار اجازه می‌دهد بدون از دست دادن سازگاری، در مرزهای ابری فعالیت کنند. این نمونه اولیه، ۸۲ چرخه آشوب (chaos cycles) که به‌طور عمدی ایجاد شده بود را پشت سر گذاشت و نرخ موفقیت ۱۰۰ درصدی را برای رویدادهای تک‌اثر ارائه داد و حتی در صورت قطع برق، از به‌وجود آمدن به‌روزرسانی‌های تکراری جلوگیری کرد.

چرا یک مدل هماهنگی جدید اهمیت دارد

استقرار عامل‌های مبتنی بر مدل‌های زبانی در چندین ابر، یک نقطه ضعف را آشکار کرد: فراخوانی‌های استاندارد RPC زمانی که یک جدایی شبکه (network partition) رخ می‌دهد یا یک سرویس به سهمیه (quota) خود می‌رسد، از کار می‌افتند. در آن لحظات، یک عامل ممکن است بر اساس یک فرض تأییدنشده عمل کند و باعث فساد وضعیت مشترک شود. معماری جدید اجبار می‌کند که هر اقدام پیش از آنکه هر مؤلفه‌ای بتواند آن را بپذیرد، حامل یک اثبات رمزنگاری‌شده باشد؛ این کار «اعتماد پیش‌فرض» را به «اعتماد تنها در صورت اثبات» تبدیل می‌کند.

پنج قانون حکمرانی برای همگام‌سازی عامل‌ها

۱. دریافت تراکنشی (Transactional ingestion) – تمام تغییرات وضعیت را در یک تراکنش واحد PostgreSQL قرار دهید تا اصل اتمیسیته (atomicity) تضمین شود. ۲. پاکت استاندارد (Canonical envelope) – از یک قالب ثابت ۱۰-تایی (10-tuple) برای هر پیام استفاده کنید تا تجزیه و اعتبارسنجی آن قطعی (deterministic) باشد. ۳. جداسازی اختیارات (Authority separation) – کدهای برنامه را در Git نگه دارید و در عین حال مهاجرت‌های پایگاه داده (database migrations) را به‌طور جداگانه نسخه‌گذاری کنید تا از آلودگی تصادفی داده‌ها جلوگیری شود. ۴. قفل‌های زمان‌دار (Time-bound locks) – اجازه دهید ادعاهای مربوط به یک وظیفه به‌طور خودکار منقضی شوند تا یک عامل متوقف‌شده نتواند کل خط لوله (pipeline) را معطل نگه دارد. ۵. پیش‌فرض fail-closed – هر ادعایی که فاقد اثبات قابل تأیید است را با برچسب HOLD مشخص کنید تا عامل‌های پایین‌دستی به‌جای حدس زدن، منتظر بمانند.

این قوانین در کنار هم یک قرارداد اعتماد صفر (zero-trust) ایجاد می‌کنند: اگر نتوانید به‌صورت رمزنگاری‌شده ثابت کنید که اقدامی انجام شده است، سیستم از انجام آن خودداری می‌کند.

پاکت ۱۰-تایی که حامل اثبات است

هر انتقال در گذرگاه داخلی شامل موارد زیر است:

  • event_id – شناسه منحصربه‌فرد برای رویداد مبدأ
  • effect_id – شناسه تغییر وضعیتی که درخواست شده است
  • log_id – ارجاع به ورودی ردپای حسابرسی (audit trail)
  • producer_id – هویت عامل منبع
  • schema_version – نسخه طرحواره (schema) پیام در حال استفاده
  • session_epoch – ساعت منطقی برای ترتیب‌بندی در یک نشست (session)
  • destination – عامل یا سرویس مقصد
  • route_status – وضعیت فعلی مسیریابی (مثلاً pending، held)
  • issued_at – برچسب زمانی ایجاد
  • payload_digest – خلاصه‌ی محتوا (payload_digest) که با HMAC مهروموم شده است

این خلاصه (digest) از یک کلید مخفی استفاده می‌کند که خارج از هر پوشه فضای کاری ابری ذخیره شده است تا اطمینان حاصل شود که یک گره محاسباتیِ هک‌شده نمی‌تواند یک پیام معتبر جعل کند.

عملکرد سیستم تحت فشار

مهندسان ۸۲ چرخه آشوب را اجرا کردند. نتایج به شرح زیر بود:

  • موفقیت ۱۰۰ درصدی برای رویدادهایی که یک اثر ایجاد کردند؛ تراکنش یا به‌طور کامل ثبت (commit) می‌شد یا به‌طور تمیز بازگشت (rollback) می‌یافت.
  • صفر تغییر تکراری در طول قطع برق، که تأیید کرد مرز تراکنشی از نوشتن‌های ناقص جلوگیری کرده است.
  • بازیابی سریع قفل به لطف عامل‌های پاکسازی خودمختار که ادعاهای منقضی‌شده را جستجو کرده و بدون دخالت انسان آن‌ها را آزاد می‌کردند.

نکات کاربردی برای معماران

  • وب‌هوک‌های بدون احراز هویت را با گزارش‌هایی (logs) که توسط HMAC مهروموم شده‌اند جایگزین کنید؛ این مهروموم به عنوان اثبات رمزنگاری‌شده مورد نیاز در قانون fail-closed عمل می‌کند.
  • کلیدهای مخفی را در یک گاوصندوق (vault) ذخیره کنید که در داخل هیچ کانتینر یا ایمیج ماشین مجازی (VM) سوار (mount) نشده باشد.
  • عامل‌های سبک‌وزنی مستقر کنید که تنها هدفشان پاکسازی قفل‌های منقضی‌شده باشد؛ این کار از متوقف شدن سیستم در هنگام از کار افتادن یک عامل اصلی جلوگیری می‌کند.

آنچه باید در آینده زیر نظر داشت

این رویکرد به محرمانه بودن کلیدهای HMAC بستگی دارد؛ کلیدهای مخفی خود را خارج از پوشه‌های فضای کاری ابری نگه دارید.

اگر جامعه بتواند این دو جبهه را مدیریت کند، شبکه‌های خودمختار با ویژگی fail-closed می‌توانند به پیش‌فرض هر استقرار چندعاملی تبدیل شوند که نمی‌تواند حتی یک نقطه واحد از عدم سازگاری را تحمل کند.