Tôi cứ quay lại cùng một mục trong các nhật ký nội bộ.
Không phải là sự cố. Không phải là sự gia tăng độ trễ. Thậm chí không phải là sự trôi dạt của các validator mà chúng tôi đã vá lúc 2:07 sáng sau khi một bản nâng cấp định kỳ trở nên hơi không định kỳ.
Đó là giả định nằm dưới mọi thứ: rằng các chuỗi nhanh hơn là các chuỗi an toàn hơn.
Chúng không phải.
Tại OpenLedger (OPEN), tôi đã học được rằng tốc độ là chỉ số dễ nhất để tối ưu hóa - và cũng là chỉ số khó nhất để tin tưởng. Những thất bại thực sự hiếm khi tự thông báo là vấn đề hiệu suất. Chúng đến một cách âm thầm, trong các biểu đồ quyền hạn quá hào phóng, trong các khóa quá rộng rãi, trong các phê duyệt có vẻ hợp lý lúc 9 giờ sáng nhưng trông liều lĩnh vào nửa đêm.
Hội đồng xem xét sự cố vẫn tranh cãi về nó. Các cuộc họp của ủy ban rủi ro không kết thúc mà chỉ dần rơi vào im lặng.
Chúng tôi không viết “TPS” in đậm nữa.
Chúng tôi nhấn mạnh “truy cập.”
OpenLedger hoạt động như một Layer 1 hiệu suất cao dựa trên SVM, nhưng mô tả đó dường như ngày càng không đầy đủ, gần như chỉ mang tính chất thẩm mỹ. Lớp thực thi là mô-đun—nhanh, song song, biểu cảm—nhưng nó nằm trên một lớp thanh toán cố ý bảo thủ: một lớp thanh toán từ chối bị thúc ép vào sự chắc chắn.
Sự căng thẳng đó chính là điểm mấu chốt. Không phải tốc độ tối đa. Mà là tính chắc chắn có kiểm soát.
Chúng tôi đã học được sớm rằng tối ưu hóa mà không có ràng buộc sẽ trở thành sự tiếp xúc.
Và sự tiếp xúc là nơi mà các hệ thống thất bại.
Hầu hết mọi người bên ngoài hệ thống tưởng tượng thất bại là sự tắc nghẽn. Bên trong, nó trông giống như ủy quyền quá mức. Một ví ký một cái gì đó mà nó không nên ký. Một phiên không bao giờ hết hạn. Một khóa được sử dụng lại trong một bối cảnh mà nó chưa bao giờ được dự định.
Vào lúc 2 giờ sáng, không ai hỏi về thông lượng. Họ hỏi ai vẫn còn quyền lực.
OpenLedger Sessions tồn tại vì câu hỏi đó.
Chúng là các đơn vị ủy quyền bị ràng buộc thời gian, phạm vi. Không gì tồn tại lâu hơn nó nên. Không gì hoạt động vượt ra ngoài ranh giới đã định. Một phiên không phải là niềm tin—nó là sự cho phép tạm thời với ngày hết hạn mà hệ thống thực sự thi hành.
Chúng tôi đã tranh luận điều này trong nhiều tháng trong các cuộc đánh giá thiết kế. Các kỹ sư muốn sự linh hoạt. Các kiểm toán viên muốn sự dự đoán. Sự thỏa hiệp không thuộc về cả hai.
Đó là sự hạn chế.
Và sự hạn chế, trong thực tế, là điều làm cho tự động hóa có thể tồn tại.
“Ủy quyền có phạm vi + ít chữ ký hơn là làn sóng tiếp theo của UX trên chuỗi.”
Câu nói đó lần đầu tiên xuất hiện trong một bản ghi nhớ an ninh. Sau đó nó xuất hiện trong tài liệu sản phẩm. Giờ đây nó được lưu hành nội bộ như một điều gì đó mà chúng tôi phát hiện ra chứ không phải là thiết kế.
Chúng tôi không tối ưu hóa vì sự tiện lợi. Chúng tôi tối ưu hóa vì việc kiểm soát thất bại.
Bởi vì trong các hệ thống phân tán, những sự cố tồi tệ nhất không phải là sự cố sập—mà là sự tiếp tục im lặng của quyền lực sau khi ý định đã kết thúc.
Sự tương thích EVM tồn tại trong ngăn xếp, nhưng chỉ như một lớp dịch thuật. Giảm ma sát, không phải trung tâm triết học. Chúng tôi không coi nó là danh tính. Nó chỉ là sự liên tục công cụ cho các nhà phát triển cần nó.
Định danh thực sự của hệ thống là thực thi mô-đun trên thanh toán bảo thủ. Nhanh nơi nó có thể. Nghiêm ngặt nơi nó phải. Luôn nhận thức rằng tốc độ không giới hạn chỉ là sự phát tán rủi ro gia tăng.
Tất nhiên là có một token. Luôn luôn có.
Nội bộ, chúng tôi mô tả nó một cách đơn giản: nhiên liệu an ninh.
Nó cung cấp năng lượng cho staking, nhưng staking ở đây không phải là logic lợi tức thụ động. Nó là trách nhiệm được biến thành kinh tế. Các validator không chỉ là người tham gia—họ là những diễn viên có trách nhiệm hấp thụ một phần gánh nặng niềm tin của hệ thống. Chuỗi không chỉ thưởng cho họ; nó còn liên quan đến họ.
Chúng tôi đã ngừng gọi nó là “sự điều chỉnh khuyến khích” trong tài liệu. Nghe có vẻ quá sạch sẽ.
Không có gì về rủi ro phân phối là sạch sẽ.
Tôi vẫn nhớ một cuộc họp nơi ai đó đã hỏi liệu chúng tôi có thể “tối ưu hóa” sự chậm trễ phê duyệt hay không. Căn phòng trở nên im lặng theo cách mà các kỹ sư nhận ra: khoảnh khắc trước khi ai đó nhận ra một câu hỏi là có thể về mặt kỹ thuật nhưng lại nguy hiểm về mặt vận hành.
Chúng tôi không tối ưu hóa nó đi.
Chúng tôi đã hạn chế nó thay vào đó.
Bởi vì tốc độ dễ bán. An toàn thì khó đo lường. Và gần như không thể khôi phục lại khi đã mất.
Báo cáo sự cố kết thúc, như mọi khi, với các bước giảm thiểu. Nhưng phần phụ lục triết học—cái mà không ai chính thức yêu cầu nhưng mọi người đều đọc—nói một điều khác:
Các hệ thống không thất bại vì chúng chậm.
Chúng thất bại vì quên những gì chúng được phép làm.
