We are concerned with two majorclas

We are concerned with two major
classes of problems with large distributed systems: bugs and operator errors that cause a departure from the
system’s logical intent; and surprising “sustained emergent performance
degradation” of complex systems that
inevitably contain feedback loops.
We know how to use formal specification to find problems in the first class.
However, problems in the second class
can cripple a system even though no
logic bug is involved. A common ex-
ample is when a momentary slowdown
in a server (due, perhaps, to Java garbage collection) causes timeouts to be
breached on clients, causing the clients to retry requests, thus adding load
to the server, and further slowdown. In
such scenarios the system eventually
makes progress; it is not stuck in a logical deadlock, livelock, or other cycle.
But from the customer’s perspective
it is effectively unavailable due to sustained unacceptable response times.
TLA+ can be used to specify an upper
bound on response time, as a real-time
safety property. However, AWS systems
are built on infrastructure—disks, operating systems, network—that does
not support hard real-time scheduling
or guarantees, so real-time safety properties would not be realistic. We build
soft real-time systems in which very
short periods of slow responses are not
considered errors. However, prolonged severe slowdowns are considered errors. We do not yet know of a feasible
way to model a real system that would
enable tools to predict such emergent
behavior. We use other techniques to
mitigate these risks.

ผลลัพธ์ (ไทย) 1:

We are concerned with two majorclasses of problems with large distributed systems: bugs and operator errors that cause a departure from thesystem’s logical intent; and surprising “sustained emergent performancedegradation” of complex systems thatinevitably contain feedback loops.We know how to use formal specification to find problems in the first class.However, problems in the second classcan cripple a system even though nologic bug is involved. A common ex-ample is when a momentary slowdownin a server (due, perhaps, to Java garbage collection) causes timeouts to bebreached on clients, causing the clients to retry requests, thus adding loadto the server, and further slowdown. Insuch scenarios the system eventuallymakes progress; it is not stuck in a logical deadlock, livelock, or other cycle.But from the customer’s perspectiveit is effectively unavailable due to sustained unacceptable response times.TLA+ can be used to specify an upperbound on response time, as a real-timesafety property. However, AWS systemsare built on infrastructure—disks, operating systems, network—that doesnot support hard real-time schedulingor guarantees, so real-time safety properties would not be realistic. We buildsoft real-time systems in which veryshort periods of slow responses are notconsidered errors. However, prolonged severe slowdowns are considered errors. We do not yet know of a feasibleวิธีการแบบระบบจริงที่จะเปิดใช้งานเครื่องมือในการทำนายดังกล่าวโผล่ออกมาลักษณะการทำงาน เราใช้เทคนิคการลดความเสี่ยงเหล่านี้

ผลลัพธ์ (ไทย) 2:

เรามีความกังวลที่สำคัญมีสองชั้นของปัญหาเกี่ยวกับระบบการกระจายขนาดใหญ่: ข้อบกพร่องและข้อผิดพลาดที่ก่อให้เกิดผู้ประกอบการเดินทางออกจากที่เจตนาของระบบลอจิคัล; และที่น่าแปลกใจ "อย่างยั่งยืนประสิทธิภาพโผล่ออกมาย่อยสลาย" ของระบบที่ซับซ้อนที่หลีกเลี่ยงไม่ได้มีห่วงข้อเสนอแนะ. เรารู้วิธีการใช้สเปคอย่างเป็นทางการในการค้นหาปัญหาในชั้นแรก. อย่างไรก็ตามปัญหาในชั้นที่สองสามารถทำลายระบบแม้ว่าจะไม่มีข้อผิดพลาดตรรกะที่มีส่วนเกี่ยวข้อง. อดีตร่วมกันกว้างขวางคือเมื่อการชะลอตัวชั่วขณะในเซิร์ฟเวอร์(เนื่องจากอาจจะไปเก็บขยะ Java) ทำให้เกิดการหมดเวลาที่จะละเมิดเกี่ยวกับลูกค้าทำให้ลูกค้าที่จะลองใหม่อีกครั้งร้องขอจึงเพิ่มความเร็วในการโหลดไปยังเซิร์ฟเวอร์และการชะลอตัวต่อไป ในสถานการณ์เช่นระบบในที่สุดก็ทำให้ความคืบหน้า; มันไม่ได้ติดอยู่ในการหยุดชะงักตรรกะ livelock หรือวงจรอื่น ๆ . แต่จากมุมมองของลูกค้าก็ไม่สามารถใช้งานได้อย่างมีประสิทธิภาพเนื่องจากมีการตอบสนองที่ยอมรับไม่ได้อย่างยั่งยืน. TLA + สามารถใช้ในการระบุบนผูกพันกับเวลาการตอบสนองเป็นแบบreal-time เพื่อความปลอดภัย สถานที่ให้บริการ แต่ระบบ AWS ที่สร้างขึ้นบนโครงสร้างพื้นฐานดิสก์ระบบปฏิบัติการเครือข่ายที่ไม่ได้รับการสนับสนุนการจัดตารางเวลาจริงยากหรือค้ำประกันดังนั้นเวลาจริงคุณสมบัติด้านความปลอดภัยจะไม่เป็นจริง เราสร้างระบบเวลาจริงที่นุ่มมากระยะเวลาสั้นๆ ของการตอบสนองช้าจะไม่ถือว่าเป็นข้อผิดพลาด อย่างไรก็ตามการชะลอตัวรุนแรงเป็นเวลานานจะมีข้อผิดพลาดในการพิจารณา เรายังไม่ทราบความเป็นไปได้ของวิธีการแบบระบบจริงที่จะช่วยให้เครื่องมือในการคาดการณ์ฉุกเฉินเช่นพฤติกรรม เราใช้เทคนิคอื่น ๆ เพื่อลดความเสี่ยงเหล่านี้

ผลลัพธ์ (ไทย) 3:

เรามีความกังวลกับสองชนชั้นหลัก
ปัญหาขนาดใหญ่ระบบกระจาย : ข้อบกพร่องและข้อผิดพลาดที่ทำให้ผู้ประกอบการจาก
เป็นระบบตรรกะเจตนา และน่าแปลกใจ " อย่างยั่งยืนซึ่งประสิทธิภาพการย่อยสลาย

" ของระบบที่ซับซ้อนซึ่งประกอบด้วยห่วงความคิดเห็น
เราว่าใช้สเปคอย่างเป็นทางการเพื่อหาปัญหาในชั้นเรียน 1 .
อย่างไรก็ตามปัญหาในระดับที่สองสามารถทำลายระบบ

ถึงแม้จะไม่มีตรรกะ ข้อผิดพลาดที่เกี่ยวข้อง ทั่วไปกว้างขวาง เมื่ออดีต

ลงชั่วขณะในเซิร์ฟเวอร์ ( เนื่องจากบางที Java เก็บขยะ ) ทำให้หมดเวลาที่จะ
ละเมิดในลูกค้า ทำให้ลูกค้าที่จะลองขอ จึงเพิ่มโหลด
ไปยังเซิร์ฟเวอร์ และการชะลอตัวเพิ่มเติม ในสถานการณ์เช่นระบบในที่สุด

ทำให้ความคืบหน้ามันไม่ได้ติดอยู่ในตรรกะการหยุดชะงัก , livelock หรือวงจรอื่น ๆ

แต่จากมุมมองของลูกค้า มันไม่สามารถใช้งานได้อย่างมีประสิทธิภาพเนื่องจากยั่งยืนรับไม่ได้เวลาตอบสนอง .
TLA สามารถใช้ในการระบุไว้ในด้านบน

เวลาตอบสนองที่เป็นคุณสมบัติความปลอดภัยแบบเรียลไทม์ อย่างไรก็ตาม , AWS ระบบ
ถูกสร้างขึ้นในดิสก์สาธารณูปโภคระบบปฏิบัติการเครือข่ายที่ไม่
ไม่สนับสนุนฮาร์ดเรียลไทม์ตาราง
หรือรับประกัน คุณสมบัติด้านความปลอดภัยแบบเรียลไทม์จะไม่สมจริง เราสร้างระบบเรียลไทม์ ซึ่งนุ่มมาก

สั้นระยะเวลาของการตอบสนองช้าไม่ได้
ถือว่าผิด อย่างไรก็ตาม ยืดเยื้อรุนแรงลดลงถือว่าเป็นข้อผิดพลาด เรายังไม่รู้ว่า มีทางเป็นไปได้
โมเดลจริง ระบบจะเปิดใช้งานเครื่องมือคาดเดาพฤติกรรมได้อารมณ์

เช่นเราใช้เทคนิคอื่น ๆ

ลดความเสี่ยงเหล่านี้