ماذا يحدث عندما يتعطّل مدقِّق Rexfin (وكيف يتعافى)

يقع محرّك التحقق في Rexfin في قلب كل إجابة مستشهَد بمصادرها وكل قرار تصدير. وهذا ليس اعتمادًا عرضيًا، بل هو صميم الفكرة. فحجب تصدير غير مُتحقَّق منه لا يعني شيئًا إلا إذا كانت الجهة التي تحجبه فعّالة فعلاً، وسريعة، وقابلة للمراقبة حين يهم ذلك. لذا فالسؤال الصادق ليس «هل لدى Rexfin زمن تشغيل جيد»، بل «ماذا يحدث في اللحظة التي يتوقف فيها».

ميزانية، لا أمنية

يحمل مسار التحقق ومسار الإجابة كلاهما هدف مستوى خدمة مقيسًا، لا طموحًا. فتحقق نموذج مُقدَّم مسبقًا يستهدف زمن استجابة عند المئوي 95 (p95) أقل من نحو 8 ثوانٍ؛ أما إجابة مستشهَد بمصادرها حديثة، التي تتضمن استرجاعًا وتوليدًا قبل تشغيل التحقق، فتستهدف p95 ضمن ميزانيتها الكاملة وسقف p99 صارم. وتُتابَع الإتاحة مقابل هدف 99.5% على مدى نافذة متحركة من 30 يومًا، مع ميزانية خطأ مرتبطة بها.

والسبب في أن الميزانية أهم من رقم زمن تشغيل واحد: أنها تأتي مع تنبيه بمعدل الاستنزاف. فانقطاع كلي مفاجئ يُطلِق تنبيهًا فوريًا خلال الساعة التي يقع فيها، لا في نهاية الشهر بعد أن تكون الميزانية قد نفدت أصلاً. وتدهور بطيء وزاحف يفتح تذكرة قبل أن تنفد الميزانية بوقت كافٍ. أما الرفض المشروع (أي أن يحجب المدقِّق بشكل صحيح مجموعة بيانات تفشل في اختبار الهوية) فيُحتسَب كدليل على أن النظام يعمل، لا كانقطاع. وهذا التمييز مهم: مقياس إتاحة لا يستطيع التفريق بين «البوابة أدّت عملها» و«البوابة تعطّلت» يقيس الشيء الخاطئ.

أثر تتبّع واحد عبر الإجابة كلها

عندما يكون الحكم بطيئًا أو خاطئًا، عادة ما يعبر الخلل حدودًا متعددة: الاسترجاع، ثم حلقة تحرٍّ تجمع أرقامًا داعمة، ثم كاتب يُنتج نصًا، ثم المدقِّق الذي يفحصه، ثم الكتابة إلى سجل التدقيق. وتربط Rexfin كل ذلك تحت أثر تتبّع واحد بحيث تكون الإجابة البطيئة قابلة للتشخيص من البداية إلى النهاية، بدلاً من «إنها بطيئة في مكان ما»، وهي أقل الجمل فائدة في مراجعة حادثة. وأي أثر تتبّع ينتهي بفشل أو برفض مشروع يُحتفَظ به كاملاً دائمًا، بصرف النظر عن أخذ العينات المعتاد، حتى لا تكون الحالات المثيرة للاهتمام هي التي أُسقِطت.

المزوّدون يتعطّلون. لكن الإجابة لا ينبغي أن تتوقف فحسب

مزوّدو النماذج يفرضون حدودًا للمعدل ويتعطّلون، وهذا أمر عادي، لا استثنائي. وتُغلِّف Rexfin كل نداء صادر بمهلة زمنية، وإعادة محاولات محدودة مع تراجع تدريجي (backoff)، وقاطع دارة (circuit breaker) لكل مزوّد. وبمجرد أن ينفتح القاطع، يتحوّل الطلب إلى مسار مخبَّأ أو غير متصل بدلاً من التعليق، وتُوسَم الاستجابة بصراحة كمتدهورة، ولا تُعاد أبدًا بصمت وكأن شيئًا لم يحدث. وهذا ما يجعل توجيه المهام المختلفة إلى مزوّدي نماذج مختلفين آمنًا تشغيليًا: فعثرة مزوّد واحد تُضعِف إجابات دور واحد فقط، لا النظام كله.

وتحمل إعادة المحاولات ضمانًا ثانيًا يسهل إغفاله: أنها تكافؤية (idempotent). فإذا أعاد عميل طلب تحقق واحدًا مرتين، تُعيد Rexfin الحكم المخزَّن نفسه وسجل التدقيق نفسه بدلاً من إضافة إدخال ثانٍ إلى سجل التدقيق. فسجل لا يُحذَف منه شيء ومحصَّن ضد العبث قد يتراكم فيه إدخالات مكررة من إعادة محاولات شبكية عادية لن يكون جديرًا بالثقة طويلاً.

وتحت كل هذا تكمن قاعدة واحدة لا تنثني أبدًا: أي اعتمادية متعطّلة تتراجع إلى تنبيه استشاري، أو خطأ مُصنَّف، أو رفض، ولا تُصدِر أبدًا حكمًا ناجحًا مُصطنَعًا لفحص لم تستطع تشغيله فعلاً. فقدان قاعدة البيانات يعني أن البوابة تقول «غير متاح»، لا «نظيف».

النسخة الاحتياطية التي تهم فعلاً

أهم ضمان في هذا المجال كله ليس زمن التشغيل، بل ما ينجو من عملية استعادة. فكل حزمة مجلس إدارة تحقّقت منها Rexfin على الإطلاق لا تساوي إلا بقدر ما يساويه السجل المحصَّن ضد العبث خلفها. فلو أدّى عطل قرص أو نشر سيئ إلى تعذّر استعادة ذلك السجل إلى حالة لا يزال إثباتها صحيحًا فيها، فإن كل حكم صدر سابقًا سيتوقف بصمت عن كونه قابلاً للتحقق، بأثر رجعي.

لذا لا تُعتبَر إجراءات الاستعادة مكتملة عندما تعود قاعدة البيانات إلى العمل. بل تكتمل عندما يُعاد فحص إثبات حكم صدر سابقًا مقابل البيانات المستعادة ويظل صحيحًا: الإثبات نفسه الذي يستطيع مدقّق العميل الخاص تشغيله بشكل مستقل. والنسخ الاحتياطية مستمرة لا لقطات ليلية، وتستهدف نافذة فقدان بيانات تُقاس بالدقائق، وتُختبَر وفق جدول زمني بحيث يكون التعافي قدرة مُختبَرة، لا وثيقة لم يُشغِّلها أحد فعلاً. وهنا أيضًا يتقاطع الاحتفاظ بالبيانات وحذفها مع الموثوقية: فبيانات صفقة محذوفة يجب أن تكون غائبة فعلاً عن النسخ الاحتياطية أيضًا، لا أن تُبعَث بصمت في المرة التالية التي تُستعاد فيها.

لا شيء من هذا يجعل Rexfin محصّنة ضد الانقطاعات: فالمزوّدون لا يزالون يتعطّلون، والأقراص لا تزال تفشل. ما يتغيّر هو ما يحدث بعد ذلك: تعافٍ مقيس، منبَّه عليه، وقابل للإثبات في النهاية، بدلاً من أمل صامت بألا يكون قد ضاع شيء مهم. للاطلاع على بقية كيفية بناء المنصة لتكون قابلة للدفاع عنها، طالِع مركز داخل منصة Rexfin.