從百度、亞馬遜AWS宕機(jī)，看越來越“失控”的科技

百度亞馬遜AWS 科技云計算

溫德爾·瓦拉赫 | 2017-03-02 11:31

【數(shù)據(jù)猿導(dǎo)讀】有網(wǎng)友反饋百度搜索移動端手機(jī)瀏覽器及手機(jī)百度APP出現(xiàn)宕機(jī)，用戶無法使用搜索功能，無獨有偶，北京時間 3 月 1 日凌晨，亞馬遜 AWS S3 服務(wù)突然出現(xiàn)故障，波及一大批流行網(wǎng)站和服務(wù)。為什么科技在人們的手里會越來越“失控”

2010年5月6日下午2：42至2：47，道瓊斯工業(yè)指數(shù)暴跌600點，當(dāng)天已經(jīng)下跌了300點了。市場縮水9%，上萬億美元蒸發(fā)。在最低點的時候，CNBC評論員伊林•博納（Erin Burnet）報道說寶潔公司股份已經(jīng)下跌24%至每股47美元。坐在她旁邊的市場專家吉姆•克萊默（Jim Cramer）立馬說：“這肯定不是真實的價格，趕緊去買寶潔公司股票吧。”就在他解釋為什么購買寶潔公司股票是明智之舉的時候，市場已經(jīng)止跌回彈，上升了300點。顯然很多人，包括自動買入賣出的計算機(jī)，也認(rèn)為是什么出了問題，重新買入股票。克萊默一分鐘后又說：“肯定是機(jī)器出了問題，系統(tǒng)出現(xiàn)大故障了。”

我們可能永遠(yuǎn)無法知道到底發(fā)生了什么問題。目前有一些理論解釋造成“閃電崩潰”的原因，但是沒有一個普遍認(rèn)可的解釋。最好的猜測就是一宗大型的交易因為計算機(jī)交易的不正常情況而放大了影響。

復(fù)雜意味著越來越不可預(yù)測和不可控制

對智能系統(tǒng)的行為做出預(yù)測對于人類操作者來說越來越困難，因為智能系統(tǒng)以及它所運行的環(huán)境日益復(fù)雜。要讓操作人員了解復(fù)雜的計算機(jī)在想什么，以及預(yù)測計算機(jī)的行為以協(xié)調(diào)人機(jī)團(tuán)隊的行動，實際上是增加了操作人員的責(zé)任。設(shè)計出具有高度適應(yīng)性，獨立于人控制的計算機(jī)和機(jī)械零件是工程師的長遠(yuǎn)目標(biāo)。但是，這個目標(biāo)是否能完全實現(xiàn)仍是個問題，因此也不清楚人類是否會被大型復(fù)雜系統(tǒng)運行排除在外。同時，當(dāng)意外情況出現(xiàn)時，仍需要人類幫助機(jī)器做出響應(yīng)。

復(fù)雜系統(tǒng)本質(zhì)上說是不可預(yù)測的，一旦碰到意外情況容易出現(xiàn)各種問題。即使是設(shè)計精妙的復(fù)雜系統(tǒng)也會出現(xiàn)未曾預(yù)料到的問題。概率很低的事件一般為人所忽視，且沒有做過計劃，但是這種事件的確會發(fā)生。

從更廣泛的角度出發(fā)，世界經(jīng)濟(jì)體也是一個復(fù)雜的適應(yīng)性系統(tǒng)，其行為受到多種因素的影響，比如天氣、政治事件、單個市場及公司的表現(xiàn)、單個行為者包括計算機(jī)的決策等。換句話說，系統(tǒng)之內(nèi)包含另一個系統(tǒng)，另一個系統(tǒng)內(nèi)還有一個系統(tǒng)。反饋回路會影響每一個系統(tǒng)及組成部分的行為。

系統(tǒng)理論學(xué)者認(rèn)為偶然的、不可預(yù)測的不穩(wěn)定活動對于復(fù)雜系統(tǒng)而言是正常的。換句話說，“閃電崩潰”發(fā)生時，機(jī)器并沒有壞，只是做了應(yīng)該做的事，正如“全球鷹”無人機(jī)的軟件只是按照編程程序要求做事。

現(xiàn)在想象一下一臺計算機(jī)模擬硬幣投擲，每毫秒進(jìn)行一次（千分之一秒）。對于計算機(jī)而言，得到連續(xù)10次反面朝上的概率與人類是一樣的，但是人每投擲一次硬幣需要5秒鐘。所以說，這個簡單的事實就是計算機(jī)投擲硬幣的速度要比人快得多，這意味著計算機(jī)每過幾秒鐘就可能得到連續(xù)10次反面朝上。人類則需要一個半小時才能實現(xiàn)。交易速度加快即能加快異常值的出現(xiàn)。

計算機(jī)的行動與輸入信息的耦合加劇了復(fù)雜性，如信息輸入的數(shù)量，以及軟件如何根據(jù)這些輸入信息做出交易的決定。增加系統(tǒng)的復(fù)雜性會影響所有可能事件的分布，從而出現(xiàn)更多的異常值。簡單地說，由于復(fù)雜性增加，分布曲線會拉很長或是尾部增厚，計算機(jī)行動越不可預(yù)測，它們造成的影響也復(fù)雜。

當(dāng)系統(tǒng)的各個元素緊密耦合或是復(fù)雜系統(tǒng)之間產(chǎn)生重要的影響，一些小的不可預(yù)料的事件會在整個大系統(tǒng)中產(chǎn)生反響并帶來影響深遠(yuǎn)的后果。全球金融服務(wù)公司雷曼兄弟（建于1850年）與其他主要的金融機(jī)構(gòu)有千絲萬縷的聯(lián)系，2008年該公司破產(chǎn)之時，威脅到全球整體金融系統(tǒng)。幸運的是，全球金融大系統(tǒng)十分強(qiáng)健，它吸納了這些損失并在沒有雷曼的情況下進(jìn)行了結(jié)構(gòu)調(diào)整。這種強(qiáng)健部分原因是在預(yù)料到雷曼兄弟破產(chǎn)的有限幾天里，其他的金融機(jī)構(gòu)做了大量的準(zhǔn)備工作。如果沒有那段時間，眾多公司同時倒閉將造成國際銀行系統(tǒng)崩潰。

從所有的可能性分析，“閃電崩潰”是由于某一系統(tǒng)的低概率事件引起的，又因其他系統(tǒng)的低概率響應(yīng)變得復(fù)雜化。剛開始的不正常交易引發(fā)了鏈?zhǔn)椒磻?yīng)，因此造成了劇烈的且短時間的影響。

可以肯定的是，這并非一個很精確的診斷。我們沒有辦法證明這個理論，或是這個問題的其他解釋是對還是不對。但是，計算機(jī)交易導(dǎo)致的低概率事件的預(yù)防和管理問題的確值得注意以防止未來出現(xiàn)類似的危機(jī)。

計算機(jī)模擬是提前確定復(fù)雜系統(tǒng)可能遇到的各種情況的最好辦法。好的模擬將影響系統(tǒng)行為的信息輸入和影響建立模型。通過運行成千上萬的不同場景，工程師或商業(yè)分析人員能夠了解不同的情況導(dǎo)致較低或較高發(fā)生可能性的情況。好的模型能為提前規(guī)劃提供信息并得出應(yīng)在復(fù)雜系統(tǒng)中加入哪些安全機(jī)制。他們能幫助減少某些災(zāi)難發(fā)生的可能性，當(dāng)然并非所有的災(zāi)難都能防止發(fā)生。

復(fù)雜系統(tǒng)科技失控的四個原因

復(fù)雜系統(tǒng)釀成災(zāi)難主要有四個原因（或四個原因的綜合體），如果我們無法避免這幾個原因同時發(fā)生，預(yù)防其中某一個原因也不容易。

管理人員或?qū)嶋H操作人員的無能或錯誤操作是第一個原因。切爾諾貝利核電站事故發(fā)生之前及過程中出現(xiàn)了一連串的錯誤決策。管理層和操作人員都沒有受過良好的訓(xùn)練，為防止電站停堆采取了不當(dāng)?shù)难a(bǔ)救措施。切爾諾貝利核事故發(fā)生只是遲早的問題。

一些追逐利潤的管理層不愿意采取昂貴的安全系統(tǒng)，也是系統(tǒng)出現(xiàn)故障，導(dǎo)致危害發(fā)生的其中一個原因。2010年4月至7月，位于墨西哥灣的“深水地平線”離岸油井爆炸，導(dǎo)致11名工人死亡，490萬桶原油泄露。如果英國石油公司和越洋公司（負(fù)主要責(zé)任的企業(yè)）的高管不急于完工，并不在安全措施方面大打折扣，這場事故本可以避免或者說后果不會如此嚴(yán)重。

設(shè)計缺陷或薄弱環(huán)節(jié)是復(fù)雜系統(tǒng)發(fā)生故障的第二個原因。反應(yīng)堆設(shè)計缺陷是切爾諾貝利核泄漏事故發(fā)生的原因之一，程序錯誤或故障十分常見。通常情況下，用戶并不會注意到軟件的薄弱環(huán)節(jié)，除非各種事件同時發(fā)生。比如，像Windows操作系統(tǒng)的新版本有幾百萬條代碼行，在對外開放使用的時候，就有成千個已知的故障，還有些故障直到終端用戶報告才為人所知。

消除復(fù)雜系統(tǒng)的故障是一個持續(xù)不斷的過程，因為每次故障維修都會遺留新的薄弱環(huán)節(jié)。正如第二章中提到的騎士貿(mào)易公司不到一個小時就在華爾街損失了4.4億美元，主要原因是用了一個尚未成熟的新軟件。關(guān)鍵軟件在投入使用之前一定要進(jìn)行嚴(yán)格的測試。很多情況下，軟件沒有得到充分測試，并且再嚴(yán)密的檢測也會遺漏一些薄弱環(huán)節(jié)。

此外，每一個薄弱環(huán)節(jié)都可能遭到不當(dāng)利用，比如黑客制造計算機(jī)病毒，或是出于非法目的侵入系統(tǒng)。在網(wǎng)絡(luò)犯罪和網(wǎng)絡(luò)情報等蓬勃興起的領(lǐng)域，帶有非法目的的黑客已發(fā)展成一門高端藝術(shù)。我們對于阻擋破壞性病毒和阻止利用計算機(jī)薄弱點從事犯罪活動的各種反計算機(jī)病毒程序、防火墻、密碼等都已非常熟悉。但不幸的是，這些安全措施增加了復(fù)雜性，導(dǎo)致諸多不便，更重要的是，增加了復(fù)雜系統(tǒng)的不可預(yù)測性。

第三，對社會技術(shù)系統(tǒng)的關(guān)鍵特征缺乏關(guān)注往往導(dǎo)致災(zāi)難發(fā)生。1984年12月2日，印度博帕爾聯(lián)合碳化物公司農(nóng)藥廠異氰酸甲酯毒氣泄漏導(dǎo)致3700人死亡，事故發(fā)生前該化工廠已經(jīng)發(fā)生了很多小事故。但沒有發(fā)出警示提醒周邊居民，當(dāng)天晚上泄漏發(fā)生后，風(fēng)速緩慢以及毒氣擴(kuò)散的方向都是造成嚴(yán)重事故的原因。上述因素如有任何變化都會減少死亡的人數(shù)，當(dāng)然悲劇還是發(fā)生了，并造成那么多人死亡。

博帕爾事件發(fā)生后30年里，再沒有發(fā)生如此嚴(yán)重的化工廠事故。耶魯大學(xué)退休的社會學(xué)家查爾斯•佩羅（Charles Perrow）認(rèn)為：“這并非因為我們采取了更多的安全措施；實際上，自博帕爾事件后，嚴(yán)重的化學(xué)事故發(fā)生概率是上升的，但是我們已沒有如此規(guī)模的大廠和環(huán)境條件可供釀成一起災(zāi)難性事故。”

佩羅認(rèn)為1979年賓夕法尼亞州三里島核事故就是常態(tài)化事故的典型范例。該事故是因為三個方面同時出現(xiàn)問題造成的。反應(yīng)堆設(shè)計者為每一種部件失靈制定了后備措施，但是他們并沒有或許是無法解決多方面問題同時出現(xiàn)的情況。要為此類緊急情況做出預(yù)案，需要設(shè)計人員分析各個方面都出現(xiàn)問題時可能造成的影響?？紤]到復(fù)雜的核反應(yīng)堆中零部件如此之多，各種組合情況浩如繁沙。也許設(shè)計者可以對關(guān)鍵部件同時失靈的情況進(jìn)行認(rèn)真研究，但是這需要花費大量的時間和金錢。

工程師不會把全部精力都放在考量各種可能性的存在。1996年暢銷書作家麥肯姆•格拉德維爾（Malcolm Gladwell）發(fā)表了一篇分析三里島核事故以及1986年挑戰(zhàn)者號航天飛機(jī)爆炸的文章。挑戰(zhàn)者號上的所有機(jī)組人員和乘客都殉難了，包括首次受邀參與飛行的來自新罕布什爾的教師克里斯塔•麥考利夫（Christa McAuliffe）。

挑戰(zhàn)者號失事原因最終追溯到一個環(huán)形密封套墊——O形環(huán)，因為一向陽光普照的佛羅里達(dá)有一段時間寒冷天氣增多，導(dǎo)致O形環(huán)脆化。格拉德維爾得出結(jié)論，一般的理解是這些事故是因為各色人等沒有很好地履職才導(dǎo)致這些不正常的事故發(fā)生，像三里島核電站事故，有些處理程序抓住了多種因素產(chǎn)生的故障問題，但還是會忽視某些可能性。格拉德維爾寫道：“我們所構(gòu)建的世界發(fā)生高科技災(zāi)難的潛在可能性已經(jīng)深植于日常生活之中。”

考慮到重大事故并非經(jīng)常發(fā)生，管理不善、糟糕設(shè)計以及一般性的事故都可以看成是低概率事件。問題在于，認(rèn)為此類事件不太可能發(fā)生正是問題所在，這也是復(fù)雜系統(tǒng)出現(xiàn)故障的第四個原因。

通常，一些不幸事故發(fā)生的可能性被低估了，因此沒有提前采取預(yù)防措施。這些事件被稱為“黑天鵝”，因為人們看到黑天鵝通常會感到驚訝。黎巴嫩裔美國人納西姆•塔勒布（Nsaasim Taleb）是一位統(tǒng)計學(xué)家和暢銷書作家，他支持黑天鵝理論，強(qiáng)調(diào)為什么人們對低概率事故發(fā)生的不可避免性視而不見，以及為什么這種事件一旦發(fā)生會產(chǎn)生大范圍的影響。

塔來指出對于很多情況，鐘形曲線（ bell curve）并不能充分反映可能性分布概率。有些情況下，異常值發(fā)生的概率更高，標(biāo)準(zhǔn)的鐘形曲線無法表現(xiàn)這一點。異常值發(fā)生的高概率性可以在分布曲線的末端加上一個“厚尾”或“長尾”進(jìn)行視覺化表現(xiàn)。

更糟糕的是，在許多真實情況下，我們并不清楚實際可能性究竟是怎樣的，而是不合理地消除了異常值，直至真的發(fā)生了異常事故。個人以及機(jī)構(gòu)的行為比我們所理解的要危險得多。一家投資公司的戰(zhàn)略可能多年來十分有效，但是突然某一天股票狂跌，這一戰(zhàn)略導(dǎo)致公司倒閉。從多年來公司持續(xù)盈利的角度來看，該公司的戰(zhàn)略看起來是成功的，但是從公司最終不可避免倒閉的角度看，該戰(zhàn)略是失敗的。

復(fù)雜技術(shù)系統(tǒng)，特別是計算機(jī)系統(tǒng)的行為大多被看成是低概率事件。就像賭場里的老虎機(jī)，所有標(biāo)志排成一條線才能中頭獎，但是這種情況并不常發(fā)生。低概率的事件并非完全無法預(yù)測，但是什么時候、在哪發(fā)生很難預(yù)測。此外，我們對于計算機(jī)系統(tǒng)可能的行動方案以及采取某些行動的可能性了解甚少。這是因為我們往計算機(jī)的計算程序中添加了數(shù)不清的信息節(jié)，而這些計算程序決定計算機(jī)采取何種行動。在某一既定時刻，輸入的信息是具有獨特性的。我們再看看第二章中所提及的閃電崩潰，也許能夠更清楚地理解這個問題了。

來源：科技失控

收藏分享

聲明：數(shù)據(jù)猿尊重媒體行業(yè)規(guī)范，相關(guān)內(nèi)容都會注明來源與作者；轉(zhuǎn)載我們原創(chuàng)內(nèi)容時，也請務(wù)必注明“來源：數(shù)據(jù)猿”與作者名稱，否則將會受到數(shù)據(jù)猿追責(zé)。