قضيت بعض الوقت أفكر فيما تكون المُشغّلات مسؤولة عنه فعليًا بمجرد انتقال مهمة السياسة عبر الشبكة.
في البداية، بدا الجواب بسيطًا.
تقوم المُشغّلات بتقييم السياسة.
يتحققون من الشروط المطلوبة.
يساهمون بتوقيعات نحو البرهان النهائي.
بسيط.
لكن كلما نظرت أكثر إلى تدفق تنفيذ نيوتن، أصبح من الصعب معالجة اعتماد الموافقة على السياسة والمسؤولية التشغيلية على أنهما الشيء نفسه.
لأن بنية نيوتن تبدو وكأنها تفصل بينهما بعناية شديدة.
يمكن لمهمة السياسة أن تجتاز التقييم.
قد لا يزال الإجراء اللاحق يفشل.
تلك الفَرْقية أهم بكثير مما أدركته أولًا.
يفصل تدفّق نيوتن الموثّق تقييم السياسة عن تنفيذ المعاملة عبر مكوّنات متعددة. يسترجع المشغّلون البيانات المطلوبة، ويقيّمون سياسة Rego، ويساهمون بتواقيع BLS نحو برهان مُجمّع يؤكد أن الشروط التي تم تقييمها كانت مستوفاة.
يمكن لـ PolicyClient بعد ذلك التحقق من البرهان المُجمّع قبل السماح بالمعاملة أو العملية المحمية بالمضي قدمًا.
للوهلة الأولى، من السهل ضغط تدفّق العمل هذا كاملًا ذهنيًا في فكرة واحدة:
“الشبكة اعتمدت الإجراء.”
لكن هذا التأطير يُخفي بهدوء حدًا مهمًا.
يقيّم شبك المشغّلين ما إذا كانت شروط السياسة المحددة قد استوفَت في وقت التقييم.
لا يفترض تلقائيًا المسؤولية عن كل ما يحدث لاحقًا.
يبدو ذلك بديهيًا حتى تتبع دورة حياة التنفيذ عن كثب أكثر.
قد لا يزال العقد اللاحق يتراجع.
قد لا تزال تبعية خارجية تفشل.
قد لا تزال المعاملة تنفد منها الغاز.
قد تصبح خدمة مطلوبة غير متاحة مؤقتًا.
قد تظل تقييم السياسة صالحًا بينما لا يزال الناتج التشغيلي يُعطّل في مكان ما لاحقًا ضمن مسار التنفيذ.
ما برز لم يكن وجود حد للفشل.
تحتوي الأنظمة الموزعة دائمًا على حدود للفشل.
ما برز هو أن نيوتن يبدو أنه يضع مسؤولية تلك الإخفاقات في مكان معيّن.
تثبت شبكة السياسة أن المشغّلين قيّموا مجموعة القواعد المحددة واتفقوا جماعيًا على نتيجة التقييم.
لكن المسؤولية التشغيلية لا تزال جزئيًا قائمة مع بيئة التطبيق المحيطة، وتنفيذ PolicyClient، والعقود اللاحقة، وتعتمدات البنية التحتية، وافتراضات التنفيذ، والمنطق الذي يربط كل ذلك معًا.
يجعل ذلك الفصل أنظف مما كنت أتوقع في البداية.
لا يؤدي التقييم الجماعي تلقائيًا إلى مركزية المسؤولية التشغيلية عن الالتزامات.
أعود باستمرار إلى تلك الفَرْقية.
لأن أنظمة البنية التحتية الحديثة غالبًا ما تُمزج تلك الحدود معًا.
يرى المستخدمون إجراءً مُعتمدًا ويفترضون أن سير العمل كاملًا أصبح موثوقًا من البداية إلى النهاية.
لكن معمارية نيوتن تبدو أكثر حذرًا من ذلك.
يُثبت طبقة التقييم أن شروط السياسة المحددة كانت مستوفاة أثناء التقييم.
لا يضمن استمرار تصرف كل تبعية لاحقة أو بيئة تنفيذ أو نظام خارجي بشكل صحيح بعد ذلك.
هذه أسئلة أمنية مختلفة.
وبصراحة، قد يكون فصلها أكثر صحة لأنظمة البنية التحتية على المدى الطويل.
لأنّه بمجرد أن يبدأ تقييم السياسة وبيئات التنفيذ والتبعيات الخارجية ومنطق التطبيق في التفاعل بشكل مستمر، فإن الافتراض بأن لديهم حدود مسؤولية متطابقة قد يخلق حتى المزيد من الالتباس.
خصوصًا عندما تبدأ الأنظمة التكيفية في تنسيق الإجراءات بسرعة أكبر من قدرة البشر على فحص كل خطوة تشغيلية يدويًا في الوقت الفعلي.
قد لا يزال مآل سياسة صالح يدخل بيئة تنفيذ غير صحية.
قد تعتمد مهمة تم تقييمها بشكل صحيح على بنية تحتية لاحقة غير موثوقة.
قد يفشل الإجراء المعتمد ما يزال بسبب تغيّر الظروف المحيطة بعد حدوث التقييم.
يمكن للشبكة التحقق من الشروط.
لا يمكنه تجميد الواقع حولهم.
يبدو ذلك كواحدة من أهم الفَرْقيات التي تُخفيها معمارية نيوتن داخلها.
كما يغيّر ذلك طريقة ضرورة توصيل المسؤولية للمستخدمين الذين يبنون فوق هذه الأنظمة.
قد يَثبت إجماع المشغّلين أن السياسة تم تقييمها بشكل صحيح.
ولا يشرح تلقائيًا إلى أين تنتقل المسؤولية التشغيلية عندما يغادر التنفيذ حدود التقييم ويدخل دورة حياة التطبيق الأوسع.
هذا ليس بالضرورة خللًا.
من نواحٍ كثيرة، قد يكون نموذج بنية تحتية أكثر صدقًا.
يمكن لتقييم السياسة الموزّع أن يقلّل افتراضات الثقة حول قرارات التفويض دون الادّعاء بأن الاتفاق التشفيري يُزيل بطريقة سحرية المخاطر التشغيلية من باقي النظام.
ومع ذلك، يطرح هذا الفصل أسئلة بنية تحتية مهمة.
إذا فشلت إحدى التبعيات اللاحقة بعد اعتماد السياسة، فكيف ينبغي للتطبيقات أن تُبلّغ تلك الفَرْقية للمستخدمين؟
أين ينبغي أن تعيش مسؤولية إعادة المحاولة؟
كم قدر الثقة التشغيلية ما زال قائمًا خارج حدود السياسة التي تم تقييمها؟
وبمجرد أن تبدأ الأنظمة المالية الذاتية في تنسيق الإجراءات بشكل مستمر عبر بيئات متعددة، هل سيفهم المستخدمون بوضوح أي طبقة هي التي فشلت بالفعل؟
يبدو أن معمارية نيوتن تُجيب عن سؤال واحد بعناية كبيرة:
ما إذا تم تقييم شروط السياسة والتحقق منها بشكل جماعي.
قد تبدأ بعد ذلك الأسئلة الأصعب.
إلى أين تنتقل فعليًا المسؤولية التشغيلية بعد أن يدخل التنفيذ الموثَّق إلى العالم الحقيقي؟