2.20 معالجة الأخطاء وأنماط المرونة

نظرة عامة والدافع

كل برنامج تكتبه سيفشل. يمتلئ قرص، تنقطع شبكة، تنتهي مهلة خدمة، يمرر مستدعٍ بيانات غير صالحة، تعيد تبعية شيئًا لم تذكره الوثائق أبدًا. السؤال ليس أبدًا هل يحدث الفشل؛ إنه هل تقابل شيفرتك ذلك الفشل بخطة أم بمفاجأة. معالجة الأخطاء هي حرفة القرار، سطرًا بسطر ودالة بدالة، بشأن ماذا تفعل شيفرتك عندما لا يتعاون العالم. إنها الجزء الأقل بريقًا من البناء والجزء الذي يحدد، أكثر من أي ميزة، هل يثق الناس بنظامك.

هذا الفصل عن المرونة على مستوى الشيفرة والمكون: الخيارات داخل دالة أو وحدة أو واجهة برمجة تطبيقات. إنه يكمّل الفصل 3.5، الذي يغطي المرونة على المستوى النظامي (موازنة الحمل، التكرار، التعافي من الفشل عبر الخدمات). يبقي الفصل 3.5 المنصة بأكملها واقفة عندما تظلم منطقة؛ يبقي هذا الفصل طلبًا واحدًا من إفساد بياناتك أو الاختفاء دون أثر. يعزز كل منهما الآخر. قاطع دائرة في عمارتك يعني القليل إن ابتلعت الشيفرة خلفه الاستثناءات، ولا تستطيع دالة دفاعية إنقاذك إن كان النظام المحيط بلا تكرار. يبني هذا الفصل أيضًا على الفصل 2.9 (بناء البرمجيات)، حيث كانت معالجة الأخطاء انضباطًا واحدًا بين كثيرين؛ هنا تصبح الموضوع بأكمله.

بالنسبة للفرق الكبيرة، الاتساق هو الجائزة. عندما يعالج مئات المهندسين الأخطاء بمئات الطرق المختلفة، تصبح كل خدمة أحجية وكل حادثة تنقيبًا. في بيئات المؤسسات، يرفع ذلك عدم الاتساق تكلفة كل تدقيق وكل تكامل. في الحكومة والأنظمة الأخرى عالية المخاطر، المخاطر أحد: الصحة، والفشل الآمن، ومسار تدقيق واضح ليست ميزات تضيفها لاحقًا بل خصائص يجب أن يمتلكها النظام منذ الالتزام الأول. نظام إعانات يخطئ الحساب بصمت، أو نظام سجلات يفقد فشلًا دون تسجيله، ليس مجرد معيب. إنه غير جدير بالثقة بطريقة تآكل المؤسسة وراءه.

المبادئ الأساسية

• ميّز بين الأخطاء والعيوب والإخفاقات، وعالج كل واحد في الطبقة الصحيحة.
• اختر الفشل السريع أو الفشل الآمن عمدًا، وفق السياق، أبدًا بالصدفة.
• اجعل عقد معالجة الأخطاء لكل دالة وواجهة برمجة تطبيقات صريحًا وصادقًا.
• تحقق عند الحدود؛ ثق داخلها؛ دافع بلا جنون ارتياب.
• لا تبتلع خطأً بصمت أبدًا؛ أظهره، أو غلّفه، أو عالجه عمدًا.
• اجعل إعادة المحاولة آمنة بالاتّسام بعدم التأثر بالتكرار، والمهلات، والتراجع، والاهتزاز.
• امنح مسار الخطأ اهتمام التصميم نفسه لمسار النجاح.

التوصيات

ميّز الأخطاء والعيوب والإخفاقات

المفردات الرديئة تنتج معالجة رديئة، لذا ابدأ بمصطلحات واضحة. العيب خلل في النظام: خطأ برمجي، أو تهيئة سيئة، أو تبعية متعطلة. الخطأ هو الحالة الداخلية غير الصحيحة التي ينتجها عيب: قيمة فارغة حيث ينبغي أن تكون قيمة، رصيد لم يعد يتطابق. الإخفاق هو ما يراه المراقب الخارجي: يعيد الطلب الإجابة الخاطئة، أو لا إجابة. يمكن لعيب واحد أن يسبب أخطاء كثيرة، ويمكن التقاط أخطاء كثيرة قبل أن يصبح أي منها إخفاقًا مرئيًا. الهدف الكامل لمعالجة الأخطاء هو كسر تلك السلسلة، التقاط الخطأ قبل أن يصبح إخفاقًا يعيشه المستخدم أو المدقق.

تخبرك هذه المفردات أيضًا أين تتصرف. تُعالَج العيوب في المراجعة والاختبار والتهيئة. تُعالَج الأخطاء وقت التشغيل بالأنماط في هذا الفصل. تُعالَج الإخفاقات بالمراقبة (الفصل 9.2) وبمرونة المستوى النظامي في الفصل 3.5. عندما يتشارك فريقك هذه الكلمات، تصبح مراجعات الحوادث أدق: تستطيع القول بدقة أين كان ينبغي كسر السلسلة ولم يُكسَر، بدل الجدال حول ما كان “الخطأ.”

اختر الفشل السريع أو الفشل الآمن وفق السياق

الفشل السريع يعني التوقف لحظة وجود خطأ ما، رافضًا المضي قدمًا على حالة سيئة بحيث تظهر المشكلة بصوت عالٍ وقريبًا من سببها. الفشل الآمن يعني التدهور إلى حالة معروفة وغير ضارة والاستمرار في خدمة ما تستطيع بأمان. لا أحدهما صحيح عالميًا، والمهارة هي الاختيار وفق السياق. أثناء التطوير وعند الحدود الداخلية، الفشل السريع صديقك: برنامج يتوقف عند ثابت منتَهك يمنحك تتبع مكدس قصيرًا بدل لغز طويل. في الإنتاج، عند أطراف نظام يواجه المستخدم، يفوز الفشل الآمن غالبًا: لوحة توصيات لا تعيد شيئًا أفضل من صفحة دفع لن تُحمَّل.

قرر هذا عمدًا لكل حد ودوّن القرار. مكوّن تحكم طيران أو جهاز طبي يفشل بأمان إلى حالة محددة لأن الاستمرار في بيانات فاسدة قد يؤذي أحدهم. تسجيل دفتر أستاذ يفشل بسرعة لأن تسجيل قيد خاطئ أسوأ من عدم تسجيل أي شيء. الاقتران الخاطئ خطر في كلا الاتجاهين: الفشل الآمن حيث احتجت الفشل السريع يخفي الفساد، والفشل السريع حيث احتجت الفشل الآمن يحوّل عطلًا تجميليًا إلى انقطاع.

اختر آلية إشارة الخطأ الخاصة بك واستخدمها باتساق

تمنحك اللغات طريقتين واسعتين للإشارة إلى أن شيئًا خاطئًا حدث. معالجة الاستثناء ترمي كائنًا أعلى مكدس النداء حتى يلتقطه معالج ما، فاصلة مسار الخطأ عن المنطق الرئيسي. البديل قيم خطأ صريحة: تعيد الدالة نتيجة وخطأً معًا، ويجب على المستدعي فحص كليهما. تضفي لغات حديثة كثيرة صيغة رسمية على الأخير بـنوع Result، غالبًا يسمى Result أو Either، يجبر المستدعي على فك إما نجاح أو فشل قبل استخدام القيمة. لكل نهج تكلفة. تبقي الاستثناءات المسار السعيد نظيفًا لكنها يمكن أن تخفي تدفق التحكم وتغري المطورين بكتل التقاط شاملة تمحو المعلومات. تجعل النتائج الصريحة كل فشل مرئيًا في توقيع النوع لكنها تضيف مراسم ويمكن تجاهلها إن لم تفرض اللغة الفحص.

الإجابة الصحيحة أقل تعلقًا بأي آلية وأكثر بالاتساق والصدق. اختر الاصطلاح الذي تفضله لغتك ونظامك البيئي، وطبّقه بشكل موحد عبر خدماتك بحيث يعرف القارئ دائمًا كيف يسافر الفشل. احجز الاستثناءات لحالات استثنائية حقيقيًا، لا تدفق تحكم عادي مثل “المستخدم غير موجود،” الذي يُنمذَج بشكل أفضل كنتيجة عادية. أيًا كان ما تختاره، لا تدع فشلًا يصبح غير مرئي أبدًا: قيمة خطأ غير مفحوصة خطرة بقدر كتلة التقاط فارغة. في قاعدة شيفرة كبيرة، اصطلاح مكتوب زائد أداة تدقيق لغوي تسم الأخطاء المتجاهَلة يتفوق على تفضيل أي فرد.

اجعل عقد معالجة الأخطاء صريحًا

لكل دالة وكل واجهة برمجة تطبيقات عقد معالجة أخطاء، سواء كتبه أحدهم أم لا. يجيب: ماذا يمكن أن يخطئ هنا، وكيف ستعرف عنه، وماذا يُضمَن بشأن الحالة عندما يحدث؟ اجعل ذلك العقد صريحًا. وثّق أي الأخطاء تستطيع دالة إعادتها أو رميها، ميّز الأخطاء القابلة للتعافي (يستطيع المستدعي إعادة المحاولة أو التراجع بمعقولية) عن غير القابلة للتعافي (لا يستطيع المستدعي إصلاح هذا وينبغي أن ينشره أو يجهض)، واذكر هل تترك الدالة الحالة دون تغيير عند الفشل. هذه الخاصية الأخيرة، تُسمى أحيانًا ضمان الاستثناء القوي، تعني أن نداءً فاشلًا وكأنه لم يحدث أبدًا، وهذا تحديدًا ما يتيح لمستدعٍ إعادة المحاولة بأمان.

لواجهة برمجة تطبيقات عامة أو مشتركة بين الفرق، هذا العقد جزء من الواجهة، حقيقي بقدر أنواع المعاملات. صمم تصنيف أخطاء صغيرًا ومستقرًا: مجموعة محدودة من الفئات مثل خطأ تحقق، غير موجود، تعارض، غير مُصرَّح، تبعية غير متاحة، وخطأ داخلي. يستطيع المستدعون بعدها التفرع وفق الفئة دون تحليل السلاسل النصية. تصنيف واضح يجعل معالجة الأخطاء قابلة للتركيب عبر خدمات كثيرة، ويجعل الإخفاقات قابلة للتدقيق، لأن كل إخفاق يُخطَّط إلى نوع معروف ومسمى.

تحقق عند الحدود ودافع بلا جنون ارتياب

عامل البيانات العابرة لحد ثقة (طلب شبكي، ملف، إدخال مستخدم، رسالة من خدمة أخرى) كمعادية حتى تُتحقَّق منها، وتحقق منها عند الحد، مرة واحدة، كاملًا. هذه برمجة دفاعية مطبقة بحكمة. داخل وحدة تحققت من مدخلاتها بالفعل، فحوصات زائدة على كل سطر تخفي المنطق وتكبت الإخفاقات نفسها التي تريد رؤيتها. الانضباط هو: دافع بقوة عند الأطراف، وثق داخلها. تحقق من البنية والنطاقات والثوابت حيث تدخل البيانات، حوّلها إلى أنواع تجعل الحالات غير الجائزة غير قابلة للتمثيل، ودع الشيفرة الداخلية تفترض أنها تعمل مع بيانات نظيفة.

للارتياب تكلفة حقيقية. الشيفرة المخنوقة بفحوصات فارغة وفروع دفاعية أصعب في القراءة، والأسوأ، غالبًا ما تحوّل فشلًا واضحًا إلى هزة كتف صامتة، مُعيدة افتراضيًا حيث كان ينبغي إطلاق إنذار. الدفاعية التي تخفي أخطاءً ليست أمانًا؛ إنها تأجيل.

اجعل إعادة المحاولة آمنة ومحدودة ومهذبة

كثير من العيوب عابرة: عطل شبكي لحظي، خدمة تعيد التشغيل، تنافس قفل موجز. في أي نظام موزع (الفصل 3.3)، هذه الإخفاقات الجزئية هي الحالة الطبيعية لا الاستثناء. إعادة المحاولة هي الاستجابة الطبيعية، لكن حلقة إعادة محاولة ساذجة سلاح مُحمَّل. أولًا، اجعل العملية التي تعيد محاولتها مُتّسِمة بعدم التأثر بالتكرار، مما يعني أن أداءها مرتين له التأثير نفسه لأدائها مرة. بدون الاتّسام بعدم التأثر بالتكرار، إعادة محاولة بعد مهلة قد تحصّل بطاقة مرتين أو تنشئ سجلين، لأنك لا تستطيع القول هل فشلت المحاولة الأولى أم فُقِد إقرارها فقط. استخدم مفاتيح اتّسام بعدم التأثر بالتكرار للكتابات بحيث يستطيع المستقبل التعرف على تكرار وإزالته.

ثانيًا، ضع مهلة على كل نداء بعيد بحيث لا تستطيع تبعية معلقة تعليقك. ثالثًا، باعد بين إعادات المحاولة بـالتراجع الأسّي، مضاعفًا الانتظار بعد كل محاولة، وأضف اهتزازًا (تأخيرًا عشوائيًا صغيرًا) بحيث لا يتزامن ألف عميل يتعافون في آن في اندفاع يضرب الخدمة المتعافية إلى أسفل مجددًا. رابعًا، احصر عدد إعادات المحاولة والوقت الإجمالي، ثم استسلم بسلاسة. إعادة المحاولة بلا حدود، ولا تراجع، ولا اهتزاز، ولا اتّسام بعدم التأثر بالتكرار أحد أكثر الطرق شيوعًا التي يصبح بها عطل صغير انقطاعًا ذاتي التسبب.

أضف قواطع دائرة، وحواجز مانعة للتسرب، وتدهورًا سلسًا في الشيفرة

عندما تكون تبعية متعطلة فعليًا، إعادة محاولتها تهدر الجهد وتعمّق الحفرة. يراقب قاطع الدائرة معدل فشل النداءات إلى تبعية، وبمجرد أن تتجاوز الإخفاقات عتبة، “يفتح” ليفشل فورًا لفترة تبريد بدل الانتظار على نداءات محكوم عليها بالفشل. بعد التبريد يسمح لنداء تجريبي بالمرور ويغلق مجددًا إن تعافت التبعية. هذا يحمي مستدعيك (إخفاقات سريعة وقابلة للتنبؤ بدل مهلات متراكمة) والتبعية المتعثرة (متنفس للتعافي). نمط الحاجز المانع للتسرب، المسمى تيمنًا بمقصورات السفينة المضادة للماء، يعزل الموارد بحيث لا تستطيع تبعية مشبَعة واحدة استهلاك كل خيط أو اتصال وإغراق العملية بأكملها؛ تمنح كل تبعية تجمّعها المحدود الخاص.

تقترن هذه الأنماط بالتدهور السلس على مستوى الشيفرة: عندما تكون تبعية غير أساسية غير متاحة، أعِد نتيجة مخفضة لكن مفيدة بدل خطأ. أظهر بيانات مخبأة بملاحظة تقادم، أخفِ لوحة التخصيص، ضع الكتابة في طابور لاحقًا. هذا هو المكمّل المحلي لمرونة المستوى النظامي في الفصل 3.5: توفر العمارة تكرارًا عبر الآلات، وتوفر شيفرتك سلوكًا معقولًا عندما تكون قطعة مفقودة.

غلّف الأخطاء بسياق ولا تبتلعها أبدًا

خطأ يقول “رفض الاتصال” على بُعد عشر طبقات من حيث حدث تقريبًا عديم الفائدة. مع انتشار خطأ، غلّفه بسياق: ماذا كنت تحاول فعله، أي كيان أو طلب، أي تبعية، مع الحفاظ على السبب الأصلي بحيث لا يُفقَد الجذر. تدعم اللغات والمكتبات الجيدة تسلسل الأخطاء هذا مباشرة. الهدف أن يخبر سطر سجل واحد مهندس المناوبة ماذا فشل، أثناء أي عملية، لأي مدخل. هذه المادة الخام لمراقبة الفصل 9.2 وتصحيح أخطاء الفصل 2.15.

الخطيئة الكبرى هي ابتلاع خطأ: كتلة التقاط فارغة، قيمة إرجاع متجاهَلة، catch يسجّل بمستوى تصحيح ويستمر وكأن شيئًا لم يحدث. الخطأ المُبتلَع لا يختفي؛ يعاود الظهور لاحقًا كبيانات فاسدة أو عيب غير قابل للتفسير، منفصلًا الآن عن سببه. يجب أن يواجه كل خطأ أحد مصائر ثلاثة: عالجه (تعافَ أو تدهور)، غلّفه وانشره، أو، في أعلى المكدس، سجّله بسياق كامل وافشل. إن التقطت خطأ ولم تفعل أيًا من هذه، فقد اخترت إخفاء حادثة مستقبلية عن نفسك المستقبلية.

المفاضلات: الإيجابيات والسلبيات

النهج	الإيجابيات	السلبيات
الاستثناءات	مسار سعيد نظيف؛ صعب التجاهل إن كانت غير مفحوصة	تدفق تحكم مخفي؛ تغري بمحو التقاط شامل
قيم خطأ صريحة / أنواع Result	الفشل مرئي في التوقيع؛ يفرض المعالجة	مراسم أكثر؛ يمكن تجاهلها بلا فرض
الفشل السريع	يُظهر الأخطاء بصوت عالٍ، قريبًا من السبب	تجربة مستخدم سيئة إن استُخدِم عند الطرف
الفشل الآمن	يستمر في الخدمة؛ يحمي المستخدمين والبيانات	يمكن أن يخفي فسادًا إن استُخدِم حيث احتجت الفشل السريع
إعادة المحاولة بتراجع	يجتاز العيوب العابرة آليًا	يضخم الحمل ويكرر الكتابات بلا اتّسام بعدم التأثر بالتكرار
قاطع الدائرة	إخفاقات سريعة؛ يتيح للتبعيات التعافي	حالة وضبط إضافيان؛ يمكن أن يخفي مشكلة مستمرة
تحقق دفاعي عند الحدود	يلتقط بيانات سيئة مبكرًا، مرة واحدة، بصوت عالٍ	إن بولغ فيه، يشوّش المنطق ويخفي إخفاقات حقيقية

التوتر المركزي هو بين الرؤية والضوضاء. عالج الأخطاء بهدوء زائد وستخفي المشكلات حتى تصبح مكلفة؛ عالجها بصوت عالٍ زائد وفي كل مكان، وستغرق الإشارة في المراسم وتخفي الإخفاقات المهمة. حلها بالموقع والقصد. كن صاخبًا وصارمًا عند الحدود، حيث تدخل البيانات السيئة وإخفاقات التبعية. كن هادئًا وواثقًا في الداخل، حيث المدخلات نظيفة بالفعل. قرر الفشل السريع مقابل الآمن لكل حد ودوّنه. الهدف شيفرة حيث لكل إخفاق مالك واضح واحد ومصير واضح واحد، ولا شيء يسقط بصمت بين الشقوق.

أسئلة للنقاش مع فريقك

1. هل لدينا تصنيف خطأ واحد مشترك واصطلاح معالجة أخطاء عبر خدماتنا، أم يرتجل كل فريق؟ في فريق كبير هذا الفرق بين إخفاقات تتركب وإخفاقات تربك. عندما تعيد خدمة HTTP 500 لمشكلة تحقق، وترمي أخرى استثناء منمطًا، وتعيد ثالثة قيمة فارغة، يصبح كل تكامل تفاوضًا وكل حادثة تمرينًا ترجميًا. أحضر أمثلة على الإخفاق المنطقي نفسه، لنقل “سجل غير موجود،” كما يظهر عبر ثلاث من خدماتك، وانظر كم يختلف الإشارة إليه. ينبغي أن تصبح الإجابة معيارًا مكتوبًا: مجموعة محدودة من فئات الأخطاء، وطريقة متسقة للإشارة إليها، وأداة تدقيق لغوي أو قائمة مرجعية مراجعة تفرضها. الاتساق هنا يؤتي ثماره في كل تكامل وتدقيق ومناوبة مستقبلية.

2. لكل حد حرج، هل اخترنا الفشل السريع أو الآمن عمدًا، وهل تطابق الشيفرة ذلك الاختيار؟ لم تتخذ معظم الفرق هذا القرار صراحة أبدًا، مما يعني أن من كتب الشيفرة أولًا اتخذه لها، وبتفاوت. الاعتبارات المنافسة حقيقية: الفشل الآمن يبقي المستخدمين مخدومين لكن يمكن أن يدع الفساد ينتشر، بينما الفشل السريع يحمي البيانات لكن يمكن أن يحوّل انقطاع تبعية طفيفًا إلى فشل مرئي. أحضر تاريخ حوادثك واسأل، للأسوأ منها، هل فشلت الشيفرة بالطريقة التي كنت ستختارها لو سُئِلت مسبقًا. الدليل الذي تريده خريطة لحدودك بملصق متعمد على كل واحد، خصوصًا أينما تدخل المال أو السلامة أو سجلات المواطن. حيث يختلف الملصق والشيفرة، وجدت إصلاحك التالي.

3. متى مارسنا مسار خطأ آخر مرة عمدًا، وهل تصرف كما صُمِّم؟ مسار الخطأ عادة أقل شيفرة تختبرها، ومع ذلك هو حيث تُكسَب الثقة أو تُفقَد، و”نفشل بأمان” ادعاء لا تستطيع دعمه إن لم تشاهده يحدث أبدًا. حلقة إعادة محاولة بلا اتّسام بعدم التأثر بالتكرار، قاطع دائرة عتبته خاطئة، استثناء مُبتلَع في فرع نادر الإصابة: هذه تختبئ حتى تجدها حادثة حقيقية لك. أحضر نتائج حقن فشل عمدًا (تبعية مقتولة، مهلة مستحثة، حمولة مشوَّهة) في بيئة واقعية. الإجراء التالي هو جعل حقن الفشل روتينيًا، بحيث يُتحقَّق باستمرار من التعافي والتدهور وسلوك الفشل الآمن بدل الأمل. أي مسار خطأ لم تطلقه أبدًا وعد لم تختبره.

4. أي عمليات كتابتنا متّسمة بعدم التأثر بالتكرار، وأين ستكرر إعادة محاولة بعد إقرار مفقود تأثيرًا واقعيًا مثل دفعة أو سجل؟ إعادة المحاولة أشهر رد فعل مرونة، وإن نُفِّذت بإهمال، الطريقة الأشهر التي يتحول بها عطل عابر إلى مال أو بيانات مكررة. في فريق كبير، غالبًا ما يعيش منطق إعادة المحاولة في عملاء مشتركين، ووسيطيات، وخدمات فردية في آن، بحيث يمكن إعادة محاولة كتابة واحدة عند طبقات عدة بلا أحد يملك السلوك الإجمالي. الشد المنافس هو أن مفاتيح الاتّسام بعدم التأثر بالتكرار، وإزالة التكرار، ونتائج الطلب المخزَّنة تضيف تخزينًا وشيفرة، وتتخطاها الفرق تحت ضغط تسليم لكتابات تفترض خطأً أنها آمنة. أحضر جردًا لكتاباتك المرئية خارجيًا، مُعلَّمًا كل واحد بما إذا كان يحمل مفتاح اتّسام بعدم التأثر بالتكرار وكيف يتعرف المستقبل على تكرار ويزيله. في بيئات المؤسسات والحكومة، سمِّ أولًا تلك التي تحرّك المال أو تغيّر سجل مواطن، لأن دفعًا مضاعفًا أو إعانة مكررة ملاحظة تدقيق وأحيانًا تعرضًا قانونيًا، لا مجرد عيب.

5. هل تأتي مهلاتنا وقواطع دائرتنا وحواجزنا المانعة للتسرب من مكتبة مشتركة واحدة مختبَرة، أم يصنعها كل فريق يدويًا؟ هذه الأنماط سهلة الوصف وسهلة الخطأ فيها بدقة: مهلة مفقودة، عتبة قاطع لا تُطلَق أبدًا، تجمّع اتصال محجّم بحيث تجوّع تبعية بطيئة واحدة العملية بأكملها. عندما يعيد كل فريق تنفيذها، تتراكم نسخ كثيرة معطلة قليلًا ولا مكان واحد لإصلاح خلل بمجرد إيجاده. الاعتبار المنافس هو أن مكتبة مشتركة تفرض واجهة موحدة ووتيرة ترقية، وقد تنزعج فرق ذات أزمنة تشغيل غير عادية أو احتياجات زمن استجابة أو تلتف حولها. أحضر مسحًا لكم تنفيذ إعادة محاولة-وقاطع مميز يعمل فعليًا في الإنتاج، وأي الخدمات ما زالت بلا مهلة على نداءاتها الصادرة إطلاقًا. لمؤسسة كبيرة أو وكالة، تمنح مكتبة مشتركة مفحوصة مراجعي الأمان والمدققين أيضًا مكونًا واحدًا لاعتماده بدل عشرات، مما يخفض تكلفة كل مراجعة.

6. لو حدثت حادثة الليلة الماضية، هل يستطيع أي مهندس مناوبة تتبعها من سطر سجل واحد، وهل يستطيع مدقق لاحقًا رؤية كل إخفاق سجله النظام؟ خطأ مغلَّف ومصنَّف ومسجَّل جيدًا هو الفرق بين تشخيص عشر دقائق وتنقيب منتصف الليل، وخطأ مُبتلَع حادثة مستقبلية أخفيتها عن نفسك. في فريق كبير، تعبر الإخفاقات قفزات خدمة كثيرة، لذا تأتي القيمة من سياق متسق ومعرّفات ارتباط تنجو من تلك القفزات، لا من اجتهاد أي فريق واحد. التوتر المنافس هو التكلفة والضوضاء: سجّل كل شيء وستغرق الإشارة وتدفع لتخزينها؛ سجّل قليلًا جدًا ولن تستطيع إعادة بناء ما حدث. أحضر فشلًا حقيقيًا حديثًا واستعرض مساره من طرف إلى طرف، ملاحظًا كل قفزة أُسقِط فيها السياق أو التُقِط خطأ وأُهمِل. في الأنظمة المنظمة والحكومية، عامل هذا كخاصية امتثال، لأن فشلًا غير قابل للتدقيق، أو قرارًا لا تستطيع شرحه بعد سنوات، تعرض قانوني لا مجرد فجوة تشغيلية.

المنظور القطاعي

الشركة الناشئة. بحفنة من المهندسين وبلا مدرج زمني للتبذير، أنفق ميزانية معالجة أخطائك حيث يكلفك فشل عميلًا أو بياناتك: ضع مهلة على كل نداء صادر، اجعل كتابات تحريك المال متّسمة بعدم التأثر بالتكرار، وأضف قاعدة تدقيق لغوي ضد الأخطاء المتجاهَلة. تخطَّ الإطار المتقن؛ نوع Result للدوال الأساسية وتدهور سلس على تبعيات غير حرجة يشتريان معظم الأمان مقابل بضعة أيام من العمل. افشل بسرعة في التطوير بحيث تظهر الأخطاء بصوت عالٍ، وقاوم صنع قاطع دائرة يدويًا قبل أن تملك فعليًا تبعية تبرره.

الشركة الصغيرة. بدون أخصائي مرونة موظف وميزانية محدودة، اتكئ على ما تمنحك إياه لغتك وإطارك ومزود سحابتك بالفعل بدل بناء أنماط من الصفر: طوابير مُدارة، إعادات محاولة من طرف المزود، ومهلات مكتبة تغطي أكثر مما تتوقعه معظم الفرق. أطّر القرار كشراء مقابل بناء، واشترِ حيثما تعالج تبعية ناضجة إعادة المحاولة والتراجع والاتّسام بعدم التأثر بالتكرار عنك. ركّز انتباهك النادر على الحد أو الحدين حيث معاملة خاطئة أو مفقودة ستؤذي فعليًا، وتأكد أنهما يفشلان بأمان ويتركان أثرًا.

المؤسسة الكبرى. عبر فرق كثيرة، الجائزة هي الاتساق: تصنيف خطأ مشترك واحد، مكتبة مشتركة للمهلات وإعادات المحاولة وقواطع الدائرة والحواجز، وأداة تدقيق لغوي وقائمة مرجعية مراجعة تفرضها في خط الأنابيب. أطعم كل خطأ منصة مراقبة موحدة بمعرّفات ارتباط بحيث يكون الفشل قابلًا للتتبع عبر قفزات الخدمة، ووحّد قرارات الفشل السريع مقابل الآمن لكل حد بحيث تجد التدقيقات نمطًا موثقًا ومدافَعًا عنه بدل تشتت عادات محلية. احكم المكتبة المشتركة كمنتج حقيقي، لأن خللًا أُصلِح مرة هناك خلل أُصلِح في كل مكان.

الحكومة. الصحة، والفشل الآمن، ومسار تدقيق دائم التزامات، لا تفضيلات. افشل بسرعة على أي ثابت منتَهك يمس المال أو الأهلية، تحقق من كل مدخل يواجه المواطن عند الحد، واكتب كل إخفاق إلى سجل ثابت بسياق كافٍ بحيث يمكن شرح قرار ومراجعته بعد سنوات. يعني الشراء وأعمار النظام الطويلة أن عقود الخطأ يجب أن تكون موثقة بحيث يستطيع موظفون مدنيون صيانة الشيفرة بعد وقت طويل من رحيل المؤلفين الأصليين، ويجب أن يكشف أي مكون مورّد سلوك فشله بدل إخفائه خلف واجهة معتمة.

أمثلة

الشركة الناشئة. تشحن شركة ناشئة من أربعة أشخاص تطبيقًا يستدعي مزود دفع طرف ثالث وخدمة بريد. مبكرًا يضيفون حلقة إعادة محاولة ساذجة ويحصّلون عميلًا مرتين فورًا عندما تخفي مهلة تحصيلًا ناجحًا. يعلّم الإصلاح الدرس: يضيفون مفاتيح اتّسام بعدم التأثر بالتكرار لكل كتابة، يضعون مهلة على كل نداء صادر، ويتحولون إلى تراجع أسّي بالاهتزاز. يتبنون نوع Result لدوال الخدمة الأساسية بحيث يظهر الفشل في التوقيع، وتسم قاعدة تدقيق لغوي أي خطأ متجاهَل. عندما يفشل إرسال البريد، يتدهور الدفع بسلاسة بوضع الرسالة في طابور بدل حجب البيع. يكلف الانضباط بضعة أيام ويوفر لهم فئة من الحوادث كانت ستكلف أكثر بكثير في المبالغ المستردة والثقة.

المؤسسة الكبرى. تشغّل شركة لوجستيات عالمية مئات الخدمات وتوحّد معالجة الأخطاء عبرها كلها. تخطّط كل خدمة الإخفاقات إلى تصنيف مشترك (تحقق، غير موجود، تعارض، تبعية غير متاحة، داخلي)، بحيث يتفرع المستدعون وفق الفئة بدل تحليل الرسائل. توفر مكتبة مشتركة قواطع دائرة، وإعادات محاولة محدودة بتراجع واهتزاز، وتجمعات اتصال محاجزة، بحيث لا يصنع أحد هذه الأنماط يدويًا بشكل خاطئ. يُسجَّل كل خطأ بسياق ارتباط يغذي منصة مراقبة الفصل 9.2، بحيث يستطيع مهندس مناوبة تتبع فشل عبر قفزات الخدمة من سطر واحد. لأن المعيار موحد ومفروض في خط الأنابيب، ينتقل المهندسون بثقة عبر خدمات غير مألوفة ويستطيع المدققون رؤية أن كل إخفاق مُسجَّل ومصنَّف وقابل للتتبع.

الحكومة. تبني وكالة إعانات وطنية نظام أهلية ودفع حيث إجابة خاطئة يمكن أن تحرم أحدهم مال إيجار أو تدفع زيادة من خزينة عامة. الصحة والفشل الآمن غير قابلين للتفاوض، لذا تفشل الشيفرة بسرعة على أي ثابت مالي منتَهك: حساب لا يمكن مطابقته يرفض التسجيل بدل تسجيل رقم خاطئ. يُتحقَّق من كل مدخل يواجه المواطن عند الحد، وتُجعَل الحالات غير الجائزة غير قابلة للتمثيل في أنواع المجال. يُكتَب كل إخفاق إلى سجل تدقيق ثابت بسياق كامل، مُرضيًا المتطلب القانوني بأن تكون القرارات قابلة للشرح والمراجعة بعد سنوات. حيث تكون تبعية غير حرجة مثل معاينة المستند معطلة، يتدهور النظام بسلاسة بحيث يستطيع موظف حالة معالجة المطالبة على أي حال. يرث الموظفون المدنيون الجدد شيفرة موثقة عقود أخطائها، بحيث يستطيعون صيانتها بأمان بعد وقت طويل من انتقال المؤلفين الأصليين.

حالة العمل: الدوافع والعائد على الاستثمار وتكلفة الملكية الإجمالية

يظهر عائد معالجة الأخطاء المنضبطة كحوادث أقل، وأقصر، وأرخص. معظم انقطاعات الإنتاج ليست غريبة؛ تعود إلى استثناء مُبتلَع، أو مهلة مفقودة، أو عاصفة إعادة محاولة، أو حد وثق ببيانات كان ينبغي التحقق منها. كل واحدة قابلة للمنع بالأنماط هنا، وكل حادثة مُنعَت توفر ليس فقط التكلفة المباشرة لوقت التعطل بل التكاليف المتراكمة للاستجابة الطارئة، وفقدان العملاء، والتحقيق. لأنه يمكن تشخيص خطأ مغلَّف ومسجَّل جيدًا في دقائق لا ساعات، ينخفض الوقت المتوسط للتعافي، وينخفض معدل فشل التغيير معه مع توقف المهندسين عن خشية مسار الخطأ.

تكلفة التبني متواضعة ولمرة واحدة في معظمها. تدوّن تصنيف خطأ، وتوفر مكتبة مشتركة لإعادات المحاولة وقواطع الدائرة بحيث لا تعيد الفرق اختراعها بشكل خاطئ، وتضيف قواعد تدقيق لغوي ضد الأخطاء المتجاهَلة، وتبني عادة حقن الفشل. تكلفة الإهمال تتراكم بصمت: تتراكم الأخطاء المُبتلَعة إلى بيانات فاسدة مكلفة الفك، وتضاعف المعالجة غير المتسقة تكلفة كل تكامل وكل تدقيق. في الإعدادات المنظمة والحكومية، فشل غير قابل للتدقيق تعرض امتثالي وقانوني، لا مجرد مشكلة هندسية. لعرض الحالة على القيادة، اربط انضباط معالجة الأخطاء بالمقاييس التي تراقبها بالفعل: تواتر الحوادث، والوقت المتوسط للتعافي، ومعدل فشل التغيير، ونتائج التدقيق.

الأنماط المضادة والمزالق

• الابتلاع الصامت: كتل التقاط فارغة وقيم إرجاع متجاهَلة تحوّل فشلًا إلى لغز مؤجَّل ومنفصل.
• المحو بالتقاط شامل: catch واسع يسجّل رسالة عامة ويتجاهل الخطأ الأصلي وسياقه.
• إعادة المحاولة بلا اتّسام بعدم التأثر بالتكرار: إعادة تشغيل كتابات غير متّسمة بعد مهلة، مضاعفة التحصيل أو مكررة السجلات.
• عواصف إعادة المحاولة: لا تراجع، لا اهتزاز، لا حد، بحيث يتزامن العملاء ويضربون تبعية متعافية إلى أسفل مجددًا.
• بلا مهلات: نداءات بعيدة غير محدودة تدع تبعية معلقة واحدة تستنفد الخيوط وتجمّد العملية بأكملها.
• الاستثناءات كتدفق تحكم: رمي والتقاط لنتائج عادية مثل “غير موجود،” مخفيًا المنطق ومبطئًا الشيفرة.
• الارتياب الدفاعي: فحوصات على كل سطر تدفن المنطق وتحوّل إخفاقات حقيقية إلى افتراضات صامتة.
• أخطاء نصية الطابع: مستدعون يحللون نص رسالة الخطأ لأنه لا يوجد تصنيف مستقر ومُصنَّف للتفرع عليه.
• الفشل الآمن حيث احتجت الفشل السريع: الاستمرار في حالة فاسدة في نظام حيث إجابة خاطئة أسوأ من عدم وجود إجابة.

نموذج النضج

• المستوى 1، الشروع: معالجة الأخطاء عشوائية وتفاعلية، تُقرَّر لكل مطور. كتل التقاط فارغة وإرجاعات متجاهَلة شائعة، إعادات المحاولة ساذجة، المهلات مفقودة، وتظهر الإخفاقات كبيانات فاسدة أو عيوب غامضة بلا تسجيل متسق.
• المستوى 2، التطوير: تتبنى الفرق ممارسات أساسية، لكن بتفاوت. تُسجَّل الأخطاء بسياق ما، يُثبَّط الابتلاع الواضح في المراجعة، وتوجد مهلات وإعادات محاولة بسيطة، لكن الاصطلاحات تتفاوت بين الخدمات، الاتّسام بعدم التأثر بالتكرار متقطع، ونادرًا ما يُختبَر مسار الخطأ.
• المستوى 3، التوحيد القياسي: يُوثَّق تصنيف خطأ مشترك واصطلاح معالجة ويُفرَضان عبر المؤسسة. التحقق عند الحدود، وإعادات المحاولة المتّسمة بعدم التأثر بالتكرار بتراجع واهتزاز، وقواطع الدائرة، والحواجز، وتغليف الأخطاء معيارية، مُوفَّرة بمكتبات مشتركة، ويغذي كل خطأ خط أنابيب مراقبة موحد.
• المستوى 4، الإدارة: يُقاس سلوك معالجة الأخطاء مقابل خطوط أساس ويُضبط بالبيانات. تُتبَّع معدلات إعادة المحاولة، وإطلاقات قاطع الدائرة، وأعداد المهلات، ونتائج الأخطاء المُبتلَعة من التحليل الساكن، والوقت المتوسط للتعافي، ومعدل فشل التغيير لكل خدمة؛ تُضبَط عتبات قاطع الدائرة والمهلات من بيانات زمن استجابة وفشل مرصودة لا تُخمَّن؛ يعمل حقن الفشل على جدول؛ وتراجع الفرق هذه المقاييس لالتقاط الانتكاسات ومحاسبة كل اختيار فشل سريع أو آمن بالأدلة.
• المستوى 5، التنسيق الشامل: تُدمَج المرونة مع التسليم وتخطيط المخاطر وتُحسَّن باستمرار. يتطور التصنيف والمكتبات المشتركة والمعايير من كل حادثة، تجارب الفوضى وحقن الفشل روتينية، وتتكيف المؤسسة مع المهلات وعتبات القاطع واستراتيجيات التدهور وقرارات الحدود مع تحول حركة المرور والتبعيات وصورة المخاطر.

أفكار للنقاش

1. أين في قاعدة شيفرتك يُبتلَع خطأ حاليًا، وكيف ستعرف لو كنت مخطئًا بأنه لا يحدث؟
2. أي عمليات كتابتك متّسمة بعدم التأثر بالتكرار، وأيها ستُنفَّذ مرتين لو أُطلِقت إعادة محاولة بعد إقرار مفقود؟
3. هل ينبغي أن يكون “المستخدم غير موجود” استثناءً، أم قيمة خطأ، أم نتيجة عادية، وهل يجيب فريقك عن ذلك باتساق؟
4. ما قاعدتك الفعلية لأين يحدث التحقق، وهل تستطيع الإشارة إلى حد يثق ببيانات ينبغي ألا يثق بها؟
5. كيف تقرر عتبة قاطع الدائرة وفترة تبريده، وكيف ستعرف أن الإعدادات الحالية خاطئة؟
6. لو طلب مدقق رؤية كل فشل عاشه نظامك الشهر الماضي، هل تستطيع إنتاجه، مصنَّفًا وبسياق؟

النقاط الرئيسية

• ميّز العيوب والأخطاء والإخفاقات، واكسر السلسلة قبل أن يصبح خطأ داخلي فشلًا مرئيًا.
• اختر الفشل السريع أو الآمن عمدًا لكل حد، واجعل عقد معالجة الأخطاء لكل دالة صريحًا.
• تحقق بقوة عند حدود الثقة وثق داخلها؛ الدفاعية التي تخفي الإخفاقات تأجيل، لا أمان.
• اجعل إعادة المحاولة آمنة بالاتّسام بعدم التأثر بالتكرار، والمهلات، والتراجع الأسّي، والاهتزاز، وأضف قواطع دائرة وتدهورًا سلسًا في الشيفرة.
• غلّف الأخطاء بسياق، أطعمها للمراقبة، ولا تبتلعها أبدًا؛ يجب معالجة كل خطأ، أو نشره، أو تسجيله وإظهاره.

المراجع والقراءات الإضافية

• Michael T. Nygard, Release It! Design and Deploy Production-Ready Software
• Andrew Hunt and David Thomas, The Pragmatic Programmer
• Steve McConnell, Code Complete: A Practical Handbook of Software Construction
• Betsy Beyer, Chris Jones, Jennifer Petoff, and Niall Richard Murphy (eds.), Site Reliability Engineering: How Google Runs Production Systems
• Marc Brooker, “Timeouts, Retries, and Backoff with Jitter,” Amazon Builders’ Library
• Martin Fowler, “CircuitBreaker,” martinfowler.com
• Nassim Nicholas Taleb, Antifragile: Things That Gain from Disorder