Truy tìm lý thuyết thành phần cho khả năng tự ổn định của hệ phân tán

Khi các kỹ sư phần mềm ghép nhiều thành phần ổn định lại với nhau, kết quả không phải lúc nào cũng ổn định. Một bài viết chuyên sâu trên blog Murat Buffalo phân tích nỗ lực tìm kiếm lý thuyết thành phần cho khả năng tự ổn định, qua đó lý giải vì sao hiện tượng bão retry và trạng thái siêu bền vẫn là bài toán nan giải trong thiết kế hệ phân tán hiện đại.

Khi các thành phần tốt ghép lại thành một hệ thống tồi

Tác giả bắt đầu bằng một nhận xét đáng thất vọng: việc tìm kiếm tài liệu về tổng hợp các hệ tự ổn định gần như không mang lại kết quả hữu ích. Ý tưởng ổn định theo tầng đã có từ đầu những năm 2000, và gần như không có bổ sung nền tảng nào kể từ đó.

Điều đáng lo ngại là một hệ thống có thể hoạt động tốt từ trạng thái ban đầu, nhưng sụp đổ khi một cú sốc lớn phá vỡ điều kiện cơ sở.

Để minh họa, tác giả xây dựng một mô hình TLA+ theo phương pháp rely-guarantee cho hiện tượng bão retry, gồm hai thành phần với các hợp đồng ràng buộc lẫn nhau. Mô hình này tái hiện được thất bại siêu bền (metastable failure): tổ hợp vốn hoạt động tốt lại ngừng hoạt động khi một cú sốc lớn loại bỏ điều kiện nền tảng.

Hợp đồng giả định - bảo đảm tham số là gì?

Bài báo năm 2017 của Kim, Arcak và Seshia với tiêu đề A Small Gain Theorem for Parametric Assume-Guarantee Contracts đã gợi ý một hướng tiếp cận: giải quyết lập luận vòng tròn giữa hai thành phần mà không cần phân tầng hay chặn.

Ý tưởng cốt lõi là thay vì viết một lời hứa kèm điều kiện tiên quyết, ta viết cả một họ hợp đồng bao phủ mọi tình huống. Ví dụ với bộ đếm retry:

• Cách cũ: "Nếu hàng đợi dưới 6, tôi không gửi retry nào" — lời hứa có điều kiện, vô nghĩa khi hàng đợi ở mức 18.
• Cách mới: "Dù hàng đợi dài bao nhiêu, tôi gửi tối đa λ(L) retry" — bao phủ mọi mức độ.

Với các hằng số cụ thể (S = 3 đơn vị năng lực máy chủ mỗi vòng, A_max = 2 yêu cầu mới mỗi vòng, timeout T = 2 vòng), ta có λ(L) = ⌊(L−6)/2⌋. Khi đó mỗi mức độ xấu của môi trường đều nhận một cam kết riêng, và không còn "vùng ngoài" nào để hệ thống rơi ra khỏi hợp đồng.

Định lý khuếch đại nhỏ và trực giác đằng sau

Quy tắc xác định khi nào một vòng lặp ổn định được gọi là định lý khuếch đại nhỏ (small gain theorem). Trực giác rất quen thuộc: khi micro đặt gần loa, âm thanh bị khuếch đại qua mỗi vòng lặp và tạo ra tiếng rít chói tai.

Nếu mỗi thành phần có một "độ dốc" nhất định — tỷ lệ giữa mức độ xấu đầu ra và mức độ xấu đầu vào — thì tích các độ dốc quyết định số phận vòng lặp:

• Tích nhỏ hơn 1: các vòng lặp thu nhỏ dần và hệ ổn định.
• Tích lớn hơn 1: hệ phân kỳ.

Tuy nhiên, mô hình này có hai hạn chế nghiêm trọng với hệ thống thực tế. Thứ nhất, nó giả định quan hệ tuyến tính, trong khi máy chủ có tỷ lệ chia sẻ dạng f/(f+d) phi tuyến. Thứ hai, nó giả định "độ xấu" chỉ là một con số, trong khi hệ thống thực có hai hàng đợi hành xử khác nhau: việc mới (q_f) và bản sao trùng lặp (q_d).

Bốn độ dốc và cái bẫy của mô hình phi ký ức

Khi theo dõi cả hai hàng đợi, ta thu được một bảng bốn độ dốc mô tả cách một thay đổi nhỏ lan truyền:

• Đường chéo (11/12 và 5/6): phần hàng đợi còn lại ở vòng sau, chỉ liên quan đến máy chủ. Đây là "ký ức" của hệ thống.
• Ngoài đường chéo (7/12 và 1/6): tương tác chéo giữa hai hàng đợi. Đây là "khớp nối" (coupling).

Điểm mấu chốt gây bất ngờ: nếu chỉ nhân hai số ngoài đường chéo như định lý khuếch đại nhỏ gợi ý, ta được 7/72 ≈ 0,1 — tưởng như hệ rất ổn định. Nhưng kết quả này sai vì nó chỉ đọc hai trong bốn con số.

Khi tính đến cả ký ức, hệ số nhân thực mỗi vòng là 1,19, lớn hơn 1, nghĩa là gần như mọi nhiễu loạn đều lan rộng thay vì tắt dần. Phân tích ổn định tuyến tính tiêu chuẩn cho thấy vết (trace) là 1,75 còn định thức (determinant) là 0,67, tách thành hai giá trị riêng 1,19 và 0,56.

Vì sao ngân sách retry và ưu tiên việc mới lại hiệu quả

Số học này giải thích chính xác hai giải pháp đã biết:

• Ngân sách retry bằng 0 triệt tiêu số hạng 7/12.
• Ưu tiên phục vụ việc mới triệt tiêu số hạng 1/6.

Trong cả hai trường hợp, định thức không bị trừ đi và các hệ số quay về 0,92 và 0,83 — đều nhỏ hơn 1. Mỗi hàng đợi vẫn giữ lại hơn 80% khối lượng mỗi vòng, nhưng không còn khớp nối tiếp sức, nên tồn đọng giảm 8% mỗi vòng thay vì tăng 19%.

Việc giới hạn hàng đợi cũng là một biến thể của cùng thao tác đó. Đáng chú ý, mô phỏng cho thấy trên ngưỡng M = 8, giới hạn chỉ kìm hãm đà phân kỳ chứ không ngăn được thất bại. Ở M = 40, hệ thống "đậu" tại (39, 38): trong ba đơn vị được phục vụ mỗi vòng, chỉ một đơn vị là công việc hữu ích, hai đơn vị còn lại phục vụ bản sao của những yêu cầu đã nằm trong hệ. Đó chính là định nghĩa của trạng thái siêu bền.

Kết luận và bài học cho kỹ sư hệ phân tán

Bài báo về hợp đồng giả định - bảo đảm tham số mang lại cách viết cam kết của thành phần tốt hơn, dưới dạng một họ hợp đồng được đánh chỉ số theo mức độ xấu của môi trường. Nhưng nó không đưa ra công thức tổng hợp cho các hệ thống thực tế, vì mô hình phi ký ức và đơn trị không áp dụng được cho ví dụ hai hàng đợi.

Điểm sáng hiếm hoi: mọi số hạng trong bảng vẫn đến từ những thành phần riêng lẻ, và 7/12 chỉ là 1/2 của bộ retry cộng với 1/12 của máy chủ. Điều đó gợi ý rằng một lý thuyết thành phần đầy đủ cho khả năng tự ổn định vẫn có thể tồn tại — chỉ là chưa ai tìm ra.

Với các kỹ sư Việt Nam đang vận hành hệ thống microservices quy mô lớn, bài học rất thực tiễn: đừng tin rằng ghép các thành phần ổn định lại sẽ tạo ra hệ thống ổn định. Cần kiểm tra cả ký ức (tồn đọng tích lũy) lẫn khớp nối (tương tác chéo) trước khi triển khai.