知识卡片
心智模型在极端负载下会失效
内容
工程师依赖心智模型推理复杂系统，但心智模型往往是从正常运营条件的经验中抽象出来的，一旦系统进入异常状态就可能完全失效——安全性和可靠性工程关注的恰恰是系统被攻击、过载或组件故障这类异常场景。排障者如果没意识到”平滑增长”这类心智模型已不适用，就会被严重误导。应对思路不是消灭这种非线性，而是让系统在极端状态下的行为本身可预测，例如让生产服务在无法分配内存时直接快速返回错误，而不是在颠簸边缘挣扎。
参考来源
- 位置：《Google系统架构解密：构建安全可靠的系统》第6章《面向易理解性的设计》6.1.3节（源文件：`../OREILY动物书合辑 图灵新版/_epub-src/text/part0014_split_056.html`）
- 结论依据：原文指出根据正常运营条件构造的心智模型可能无法预测异常情况下的行为，安全可靠性工程主要关注异常状态，并给出"配置生产服务器在无法分配内存时快速返回错误、以保持心智模型仍然有用"的具体设计建议。
- 原始内容：如果你根据系统在通常的运营条件下运行的经验构造出一个心智模型，那么这个模型可能无法预测系统在异常情况下的行为……如果生产服务无法分配响应请求所需的内存，它能以可预测的方式快速返回错误。