知识卡片
加速变更本身也是一种风险
内容
面对被频繁利用的漏洞，直觉反应是尽快把补丁推向全部系统，但加速和中断系统运行对安全性和可靠性不一定更好——它会牺牲金丝雀验证、逐步观察等本该用来发现意外副作用的缓冲时间，修复过程本身可能引发新停机。更稳妥的加速方式不是压缩每一步验证时间，而是调整部署顺序优先覆盖风险最高的系统，或通过频控措施让特别关键的系统临时下线以移除攻击者访问权限。
参考来源
- 位置：《Google系统架构解密：构建安全可靠的系统》第7章《适应变化的设计》7.5节（源文件：`../OREILY动物书合辑 图灵新版/_epub-src/text/part0014_split_066.html`）
- 结论依据：原文明确提醒"加速和中断系统运行对于系统的安全性和可靠性不一定会更好"，并给出"调整部署顺序以更快地覆盖某些风险较高的系统，或者通过频控措施让特别关键的系统临时下线"作为更稳妥的替代方案。
- 原始内容：请注意：加速和中断系统运行对于系统的安全性和可靠性不一定会更好。考虑是否可以调整部署顺序以更快地覆盖某些风险较高的系统，或者通过频控措施让特别关键的系统临时下线来移除攻击者的访问权限。