部分失效的不确定性是分布式系统区别于单机的决定性特征

单机软件的失效模式相对可预测：硬件正常时同一操作总产生同一结果，硬件出问题时通常 是整个系统一起崩溃（内核恐慌、蓝屏）——计算机设计的哲学是”宁可完全崩溃，也不要 返回错误结果”，因为错误结果比彻底失败更难处理，这让单机软件呈现”要么完全正常、 要么完全失效”的确定性。分布式系统完全不同：系统的某些部分可能以不可预知的方式 损坏，而其他部分依然正常工作，这叫部分失效，其麻烦之处在于它是不确定性的——同样 一次涉及多节点和网络的操作，有时能成功，有时会以无法预知的方式失败，你甚至不知道 它到底成没成功，因为网络传递消息本身就带着不确定的延迟。应对这种不确定性有两种 截然不同的哲学：超级计算机走的是”部分失效升级为完全失效”的路线——一旦有节点出 问题，直接把整个集群的作业停掉，从上一个检查点重新开始计算，本质上是把分布式系统 硬当成单机来处理故障；互联网服务走的是完全相反的路线——因为在线服务要求随时以低 延迟响应，不能接受”停机等修复”，所以必须真正在软件层面构建能容忍部分失效、同时 整体继续工作的机制，比如靠这种容错能力才能做滚动升级、杀掉有问题的虚拟机重新申请 一台。这个根本差异解释了为什么”从不可靠组件构建可靠系统”是理解分布式系统设计的 出发点，而不是一句空话。