OOM_pardon và bài học đúc kết từ "cơ chế ném hành khách khỏi máy bay" trong Linux Kernel

Trong thế giới của hệ điều hành Linux, OOM Killer (Out of Memory Killer) là một cơ chế gây tranh cãi nhưng cần thiết. Khi bộ nhớ vật lý (RAM) và bộ nhớ ảo (swap) bị đầy, kernel buộc phải "giết" một hoặc nhiều tiến trình để giải phóng bộ nhớ và giữ cho hệ thống không bị treo hoàn toàn.

Tuy nhiên, việc quyết định tiến trình nào phải "hy sinh" luôn là một bài toán khó đối với các nhà phát triển.

Đề xuất OOM_pardon

Vào năm 2004, trên danh sách gửi thư của Linux Kernel, nhà phát triển Thomas Habets đã đề xuất một bản vá mang tên oom_pardon. Ý tưởng rất đơn giản: ông muốn một cơ chế (thông qua sysctl) để bảo vệ các tiến trình quan trọng—ví dụ như xlock (màn hình khóa)—không bao giờ bị OOM Killer kết liễu. Habets thậm chí nói đùa rằng nếu không còn tiến trình nào khác để giết, ông thà để kernel hoảng loạn (panic) còn hơn là để tiến trình quan trọng bị tiêu diệt.

Ví von về máy bay và nhiên liệu

Đáp lại đề xuất này, Andries Brouwer đã đưa ra một câu chuyện châm biếm nổi tiếng, so sánh cơ chế OOM Killer với một hãng hàng không kỳ lạ.

Brouwer kể rằng một hãng hàng không nhận ra việc bay với ít nhiên liệu hơn sẽ giúp máy bay nhẹ hơn, từ đó tiết kiệm nhiên liệu và tiền bạc. Tuy nhiên, thỉnh thoảng nhiên liệu lại không đủ và máy bay rơi. Để giải quyết vấn đề, các kỹ sư của hãng đã phát triển một cơ chế đặc biệt gọi là OOF (Out-of-Fuel).

Khi gặp tình huống khẩn cấp, cơ chế OOF sẽ chọn một hành khách và ném họ khỏi máy bay. (Khi cần thiết, quy trình này sẽ lặp lại).

Lý thuyết chọn "nạn nhân"

Câu chuyện đi sâu vào việc làm thế nào để chọn hành khách bị ném:

• Chọn ngẫu nhiên?
• Chọn người nặng nhất để giảm tải tối đa?
• Chọn người già nhất?
• Hay chọn người nghèo nhất (vì họ không trả tiền để được miễn trừ)?

Và quan trọng hơn, có nên có ngoại lệ không? Nếu người nặng nhất là phi công, liệu có nên ném phi công? Hành khách hạng nhất có được miễn trừ không?

Bài học ẩn dụ ở đây là: Khi bạn tạo ra một cơ chế để tiêu diệt các tiến trình (hoặc ném hành khách) để cứu hệ thống, bạn sẽ phải đối mặt với vô số logic phức tạp để xác định ai là nạn nhân.

Khi cơ chế bị lỗi

Điểm mấu chốt trong câu chuyện của Brouwer nằm ở đoạn cuối: "Bây giờ mà cơ chế OOF đã tồn tại, nó sẽ được kích hoạt thỉnh thoảng và ném hành khách xuống ngay cả khi không thiếu nhiên liệu. Các kỹ sư vẫn đang nghiên cứu chính xác nguyên nhân gây ra sự cố này."

Đây là lời cảnh báo về các lỗi phần mềm (bugs). OOM Killer đôi khi hoạt động sai, giết chết các tiến trình quan trọng ngay cả khi hệ thống vẫn còn đủ bộ nhớ, hoặc giết nhầm tiến trình hệ thống. Việc cố gắng tạo ra các ngoại lệ (như oom_pardon) có thể làm cho logic này trở nên phức tạp hơn và dễ gây lỗi hơn.

Câu chuyện này, dù đã hơn hai thập kỷ tuổi, vẫn còn nguyên giá trị, nhắc nhở các nhà phát triển kernel về sự nguy hiểm khi cố gắng "thông minh hóa" quá mức các cơ chế xử lý lỗi nghiêm trọng.