12.1 Глоссарий

Этот глоссарий определяет термины и аббревиатуры, используемые по всему руководству. Статьи сгруппированы в алфавитном порядке латиницы. Термины даны в исходном (английском) написании, как они встречаются в отрасли и в тексте книги. Где у статьи есть распространённая аббревиатура, она показана в скобках. Определения намеренно кратки; за более полным рассмотрением обращайтесь к соответствующей главе.

A

ABAC (Attribute-Based Access Control): Модель авторизации, предоставляющая доступ на основе оцениваемых атрибутов пользователя, ресурса, действия и среды (например, подразделение, допуск, время суток), а не фиксированных ролей. Она даёт тонко настраиваемый контроль на основе политик ценой большей сложности, чем у RBAC.

Accessibility (a11y): Практика проектирования и построения программного обеспечения так, чтобы люди с ограниченными возможностями могли воспринимать, понимать, ориентироваться в нём и взаимодействовать с ним. Нумероним «a11y» сокращает 11 букв между «a» и «y».

ADR (Architecture Decision Record): Короткий версионируемый документ, фиксирующий единственное значимое архитектурное или техническое решение, его контекст, рассмотренные варианты и последствия. ADR создают долговечную, доступную для рецензии историю того, почему система такова, какова она есть.

Aggregate: В предметно-ориентированном проектировании кластер объектов предметной области, рассматриваемый как единое целое для изменений данных, где одна сущность выступает корнем агрегата, обеспечивающим инварианты. Агрегаты определяют границы согласованности и транзакций.

API (Application Programming Interface): Определённый контракт, через который одна часть программного обеспечения запрашивает услуги или данные у другой. Хорошо спроектированные API скрывают детали реализации и дают стабильные версионируемые интерфейсы.

API-first: Подход к разработке, при котором контракт API проектируется и согласовывается до реализации, так что потребители и поставщики могут работать параллельно по общей спецификации.

arc42: Открытая шаблонная структура для документирования архитектуры программного обеспечения, организованная в двенадцать разделов, охватывающих контекст, ограничения, строительные блоки, исполнение, развёртывание и решения.

ARIA (Accessible Rich Internet Applications): Спецификация W3C, определяющая роли, состояния и свойства, делающие динамические и нестандартные веб-компоненты понятными вспомогательным технологиям, таким как программы чтения с экрана.

ASR (Architecturally Significant Requirement): Требование, оказывающее измеримое, широкое влияние на архитектуру, например ограничение по производительности, доступности, безопасности или регулированию. ASR определяют наиболее значимые проектные решения.

ASVS (Application Security Verification Standard): Стандарт OWASP, дающий градуированный контрольный список требований безопасности и тестов для проектирования, построения и проверки защищённых приложений.

Autoscaling: Автоматическая настройка числа работающих вычислительных экземпляров (или их размера) в ответ на нагрузку, так что мощность следует за спросом без ручного вмешательства. Она дополняет, но не заменяет намеренное планирование мощности.

Availability: Доля времени, в течение которого система работоспособна и способна обслуживать запросы, нередко выражаемая в «девятках» (например, 99,9%). Это основная цель надёжности, закрепляемая в SLO и SLA.

B

Backpressure: Механизм управления потоком, при котором компонент под нагрузкой сигнализирует вышестоящим производителям замедлиться, предотвращая неограниченные очереди и каскадные сбои. Он занимает центральное место в надёжных потоковых и управляемых сообщениями системах.

BDD (Behaviour-Driven Development): Совместная практика, выражающая требования как конкретные, читаемые человеком примеры поведения (нередко в форме Given/When/Then), которые одновременно служат автоматизированными приёмочными тестами.

BFF (Backend for Frontend): Архитектурный шаблон, в котором выделенный серверный сервис строится для конкретного фронтенда или типа клиента, приспосабливая формирование и агрегацию данных к нуждам этого клиента.

BI (Business Intelligence): Инструменты, процессы и практики сбора, интеграции и анализа бизнес-данных для поддержки отчётности, панелей и принятия решений.

Blameless postmortem: Рецензия инцидента, сосредоточенная на системных причинах и обучении, а не на личной вине, исходя из того, что люди действуют разумно с учётом имевшейся у них информации и стимулов.

Blue-green deployment: Стратегия выпуска, запускающая два идентичных производственных окружения («синее» и «зелёное»), направляя трафик на одно, пока другое обновляется, что позволяет почти мгновенное переключение и откат.

BM25: Широко используемая функция ранжирования для полнотекстового поиска, оценивающая, насколько хорошо документ соответствует запросу, по частоте термина, обратной частоте документа и длине документа. Это лексическое ранжирование по умолчанию во многих поисковых системах.

Bounded context: В предметно-ориентированном проектировании явная граница, внутри которой последовательно применяются конкретная модель предметной области и её единый язык. Он не даёт смешивать понятия между разными частями большой системы.

Build cache: Хранилище ранее вычисленных результатов сборки, адресуемых входами, которые их произвели, так что неизменившаяся работа используется повторно, а не пересобирается. Общий удалённый кэш сборки позволяет всей команде и её CI использовать результаты друг друга.

Bus factor: Число людей, которых пришлось бы потерять (метафорически «сбитых автобусом»), прежде чем проект остановится из-за нехватки необходимых знаний. Низкий коэффициент автобуса сигнализирует о сконцентрированной недокументированной экспертизе и организационном риске.

C

Cache eviction policy: Правило, по которому кэш решает, какую запись удалить, когда заполнен, например наименее недавно использованную (LRU) или наименее часто используемую (LFU). Политика формирует долю попаданий, а с ней и ценность кэша.

Cache invalidation: Проблема удаления или обновления кэшированных данных после изменения исходного источника, чтобы читатели не видели устаревших значений. Это, как известно, одна из труднейших проблем в вычислениях.

Cache stampede: Режим отказа, при котором много клиентов одновременно промахиваются мимо кэша по одному ключу и все разом обращаются к источнику, перегружая его. Предотвращается объединением запросов и разнесённым истечением срока. Также называется thundering herd.

Canary release: Техника развёртывания, сначала открывающая новую версию малому подмножеству пользователей или трафика, мониторящая проблемы и затем постепенно расширяющая выкатку, если метрики остаются здоровыми.

CAP theorem: Принцип, утверждающий, что распределённое хранилище данных может одновременно гарантировать не более двух из трёх: согласованность (Consistency), доступность (Availability) и устойчивость к разделению (Partition tolerance); поскольку разделения неизбежны, проектировщики фактически обменивают согласованность на доступность во время них.

C4 model: Лёгкий подход к визуализации архитектуры программного обеспечения на четырёх уровнях абстракции: контекст системы, контейнеры, компоненты и код.

CD (Continuous Delivery / Continuous Deployment): Непрерывная поставка (Continuous Delivery) держит программное обеспечение в состоянии, пригодном к выпуску, так что его можно развернуть в любое время с ручным одобрением; непрерывное развёртывание (Continuous Deployment) автоматически выпускает каждое изменение, прошедшее конвейер.

CDN (Content Delivery Network): Географически распределённая сеть периферийных серверов, кэширующих и отдающих содержимое близко к пользователям, сокращая задержку и разгружая исходную инфраструктуру.

Chain-of-thought prompting: Техника подсказок, просящая языковую модель пройти промежуточные шаги рассуждения перед окончательным ответом, улучшая результат на многошаговых задачах ценой более длинного, медленного вывода.

CI (Continuous Integration): Практика частого слияния изменений разработчиков в общую основную линию, где каждое слияние проверяется автоматизированной сборкой и набором тестов для раннего обнаружения проблем интеграции.

CI/CD: Объединённый конвейер непрерывной интеграции и непрерывной поставки/развёртывания, автоматизирующий сборку, тестирование и выпуск программного обеспечения.

CMMC (Cybersecurity Maturity Model Certification): Программа Министерства обороны США, сертифицирующая зрелость кибербезопасности подрядчиков, работающих с информацией федеральных контрактов и контролируемой несекретной информацией.

Cohesion: Степень, в которой элементы внутри модуля принадлежат друг другу и служат единой, чётко определённой цели. Высокая связность в сочетании с низким зацеплением признак сопровождаемого проекта.

Context window: Максимальный объём текста, измеряемый в токенах, который языковая модель может учитывать одновременно, охватывая её вход и выход. Это дефицитный бюджет, которым проектирование подсказок и контекста должно управлять намеренно.

Conway’s Law: Наблюдение, что структура системы стремится отражать коммуникационную структуру организации, которая её строит. «Обратный манёвр Конвея» намеренно формирует команды, чтобы получить желаемую архитектуру.

Core Web Vitals: Набор ориентированных на пользователя метрик веб-производительности, определённых Google (таких как Largest Contentful Paint, Interaction to Next Paint и Cumulative Layout Shift), измеряющих загрузку, интерактивность и визуальную стабильность.

Cost of delay: Экономическая цена того, что нечто ещё не закончено, выраженная как потерянная ценность за единицу времени. Её явное указание превращает приоритизацию из мнения в арифметику и лежит в основе правил последовательности, таких как взвешенная кратчайшая работа первой.

Coupling: Степень взаимозависимости между модулями или сервисами. Слабое зацепление ограничивает волновой эффект изменений и является центральной целью хорошей архитектуры.

CQRS (Command Query Responsibility Segregation): Шаблон, разделяющий модель, используемую для изменения состояния (команды), и модель, используемую для чтения состояния (запросы), позволяя оптимизировать и масштабировать каждую независимо.

CVE (Common Vulnerabilities and Exposures): Публичный каталог раскрытых уязвимостей безопасности, каждой из которых присвоен уникальный идентификатор, чтобы инструменты и команды могли однозначно ссылаться на один и тот же изъян.

CWV: См. Core Web Vitals.

D

DAST (Dynamic Application Security Testing): Тестирование безопасности, зондирующее работающее приложение снаружи, без доступа к исходному коду, чтобы найти уязвимости, проявляющиеся во время исполнения.

Data-ink ratio: Принцип Эдварда Тафти, согласно которому диаграмма должна тратить большую часть чернил на сами данные и мало на украшения, убирая сетки, рамки и «мусор диаграмм», которые ничего не сообщают.

Data mesh: Децентрализованная архитектура данных и операционная модель, воспринимающая данные как продукт, которым владеют предметные команды, поддерживаемые платформенной инфраструктурой самообслуживания и федеративным управлением.

Data visualisation: Практика кодирования данных в визуальной форме (положение, длина, цвет и тому подобное), так что закономерности, сравнения и тенденции становятся воспринимаемыми, а решения лучше информированными.

DDD (Domain-Driven Design): Подход к проектированию программного обеспечения, ставящий в центр модель бизнес-предметной области и использующий общий единый язык, ограниченные контексты и строительные блоки, такие как сущности, объекты-значения и агрегаты.

Design tokens: Именованные, не зависящие от платформы значения (цвета, отступы, типографика и тому подобное), кодирующие проектные решения, чтобы их можно было последовательно разделять между системой дизайна и несколькими продуктами.

DevEx / DevX (Developer Experience): Общее качество повседневного взаимодействия разработчика с инструментами, платформами и процессами, охватывающее трение, скорость обратной связи и когнитивную нагрузку.

DevOps: Культура и набор практик, объединяющих разработку и эксплуатацию программного обеспечения для сокращения циклов поставки, повышения частоты развёртываний и улучшения надёжности через автоматизацию и общее владение.

DORA (DevOps Research and Assessment): Исследовательская программа и её четыре широко используемые метрики поставки (частота развёртываний, время выполнения изменений, доля неудачных изменений и время восстановления сервиса), применяемые для сопоставительной оценки эффективности поставки программного обеспечения.

DPIA (Data Protection Impact Assessment): Структурированная оценка, требуемая по GDPR для обработки с высоким риском, выявляющая и смягчающая риски приватности до продолжения проекта.

Drift (configuration): Постепенное расхождение фактического состояния системы с декларированным или намеренным, обычно вызываемое ручными изменениями; инфраструктура как код и GitOps призваны обнаруживать и исправлять его.

Drift (model): В машинном обучении деградация производительности модели со временем по мере изменения статистических свойств входных данных (дрейф данных) или моделируемой зависимости (дрейф концепции).

DR (Disaster Recovery): Стратегия, процедуры и инфраструктура для восстановления сервиса и данных после крупного разрушительного события, обычно регулируемые целями RTO и RPO.

DRY (Don’t Repeat Yourself): Принцип проектирования, утверждающий, что каждая часть знания должна иметь единственное авторитетное представление, сокращая дублирование и риск несогласованных обновлений.

E

East-west traffic: Сетевой трафик между сервисами внутри системы или центра обработки данных, в отличие от трафика «север-юг» между системой и внешними клиентами. Сервисная сетка обычно управляет трафиком «восток-запад».

Edge computing: Выполнение вычислений и хранения близко к тому, где данные производятся или потребляются, а не в центральном месте, для сокращения задержки и пропускной способности. Сети доставки содержимого ранняя и широко распространённая форма.

Elasticity: Способность системы автоматически получать и освобождать ресурсы в ответ на меняющийся спрос, так что мощность близко следует за нагрузкой.

ELT (Extract, Load, Transform): Шаблон интеграции данных, сначала загружающий сырые данные в целевое хранилище и преобразующий их там, используя масштаб современных хранилищ и lakehouse.

Embedding: Представление текста, изображений или других данных как плотного числового вектора, расположенного так, что похожие элементы лежат близко. Эмбеддинги питают семантический и векторный поиск и генерацию с дополнением извлечением.

EN 301 549: Европейский стандарт, определяющий требования доступности для продуктов и услуг ИКТ, на который ссылаются государственные закупки по всему ЕС, согласованный с WCAG.

Error budget: Допустимый объём ненадёжности, разрешённый SLO за период; когда он исчерпан, команды приоритизируют работу над надёжностью, а не новые функции. Он примиряет напряжение между скоростью и стабильностью.

ETL (Extract, Transform, Load): Шаблон интеграции данных, извлекающий данные из источников, преобразующий их в целевую форму и загружающий в приёмник, например хранилище.

EU AI Act: Регламент Европейского союза, классифицирующий системы ИИ по риску и накладывающий соответствующие обязательства, запрещающий некоторые применения и жёстко регулирующий системы высокого риска.

Eventual consistency: Модель согласованности в распределённых системах, в которой реплики могут временно расходиться, но сходятся к одному состоянию, как только обновления перестают распространяться.

F

Feature flag / feature toggle: Механизм включения или отключения функциональности во время исполнения без повторного развёртывания, используемый для постепенных выкаток, экспериментов и операционного контроля.

Feature store: Централизованная система для определения, хранения и выдачи курируемых признаков машинного обучения последовательно как для обучения, так и для вывода, сокращающая дублирование и перекос между обучением и обслуживанием.

FedRAMP (Federal Risk and Authorisation Management Program): Программа правительства США, стандартизирующая оценку безопасности, авторизацию и непрерывный мониторинг облачных сервисов, используемых федеральными агентствами.

Few-shot prompting: Предоставление языковой модели в подсказке горстки проработанных примеров, демонстрирующих желаемую задачу и формат вывода, в отличие от zero-shot prompting, дающего инструкции без примеров.

FinOps: Дисциплина и культурная практика, вносящая финансовую подотчётность в переменные облачные расходы и дающая инженерным, финансовым и бизнес-командам общее владение стоимостью и ценностью.

FISMA (Federal Information Security Modernisation Act): Законодательство США, требующее от федеральных агентств внедрять, документировать и мониторить программы информационной безопасности, в основном операционализируемые через руководства NIST.

Flow efficiency: Доля общего времени выполнения, которую рабочий элемент проводит в активной работе, а не в ожидании, вычисляемая как время добавления ценности, делённое на общее время выполнения. Большинство систем удивительно низки, нередко менее 15 процентов.

Four-eyes principle: Контроль, требующий, чтобы значимое действие было рассмотрено или одобрено как минимум двумя людьми, снижая вероятность ошибки или злоупотребления.

Fuzz testing (fuzzing): Автоматизированная техника тестирования, подающая программе искажённые, случайные или неожиданные входы для выявления сбоев, изъянов безопасности и дефектов крайних случаев.

G

GDPR (General Data Protection Regulation): Регламент Европейского союза, регулирующий обработку персональных данных, наделяющий физических лиц правами и накладывающий обязательства на операторов и обработчиков, со значительными штрафами за несоблюдение.

GitOps: Операционная модель, использующая Git как единый источник истины для декларативной инфраструктуры и приложений, где автоматизация непрерывно приводит живую систему в соответствие с зафиксированным состоянием.

Golden path / paved road: Хорошо поддерживаемый, строгий путь по умолчанию для построения и отгрузки программного обеспечения внутри организации, призванный сделать безопасный, соответствующий и надёжный выбор самым лёгким.

Golden record: В управлении мастер-данными единая согласованная авторитетная версия бизнес-сущности (например, клиента), собранная из нескольких исходных систем через правила сопоставления и выживания.

Gradual typing: Подход системы типов, позволяющий статической и динамической типизации сосуществовать в одной кодовой базе, так что типы можно добавлять инкрементально в динамически типизированную программу. Подсказки типов и необязательные проверяющие типы типичные примеры.

GraphQL: Язык запросов и среда исполнения для API, позволяющие клиентам запрашивать ровно те данные, что им нужны, одним вызовом, используя строго типизированную схему.

gRPC: Высокопроизводительный фреймворк удалённого вызова процедур с контрактом вперёд, использующий HTTP/2 и, как правило, Protocol Buffers для эффективной связи между сервисами.

H

Hermetic build: Сборка, зависящая только от явно объявленных входов и изолированная от окружения хоста, так что она производит один и тот же результат где угодно. Герметичность основа воспроизводимых сборок и надёжного кэширования.

HSM (Hardware Security Module): Защищённое от вскрытия аппаратное устройство, генерирующее, хранящее и использующее криптографические ключи, обеспечивающее более сильную защиту ключей, чем чисто программные подходы.

HIPAA (Health Insurance Portability and Accountability Act): Законодательство США, среди прочего устанавливающее требования к защите охраняемой медицинской информации (PHI) и регулирующее её использование и раскрытие.

Horizontal scaling: Увеличение мощности добавлением большего числа экземпляров или узлов («масштабирование вширь»), а не усилением одного узла. Оно лежит в основе большинства крупномасштабных устойчивых архитектур.

I

IaC (Infrastructure as Code): Практика определения и предоставления инфраструктуры через машиночитаемую версионируемую конфигурацию, а не ручные процессы, обеспечивающая повторяемость и рецензию.

IAM (Identity and Access Management): Рамка политик и технологий, обеспечивающая, что нужные идентичности имеют нужный доступ к нужным ресурсам в нужное время.

IDP / IdP: «IDP» обычно обозначает внутреннюю платформу разработчика (Internal Developer Platform), слой инструментов самообслуживания, абстрагирующий инфраструктуру для продуктовых команд; «IdP» обозначает поставщика идентичности (Identity Provider), сервис, аутентифицирующий пользователей и выдающий утверждения. Контекст устраняет неоднозначность.

Idempotency: Свойство, при котором многократное выполнение операции имеет тот же эффект, что и однократное, необходимое для безопасных повторов в распределённых системах и API.

i18n (Internationalisation): Проектирование и построение программного обеспечения так, чтобы его можно было адаптировать к разным языкам, регионам и культурным конвенциям без инженерных изменений. Нумероним сокращает 18 букв между «i» и «n».

Immutable artefact: Результат сборки, который после создания и версионирования никогда не изменяется; любое изменение даёт новую версию. Неизменяемость делает выпуски воспроизводимыми и позволяет собрать один раз и продвигать тот же артефакт по окружениям.

InnerSource: Применение практик разработки открытого исходного кода (прозрачность, общие репозитории и вклад между командами) внутри одной организации.

IaC drift: См. Drift (configuration).

Inverted index: Основная структура данных поисковой системы, отображающая каждый термин на список документов, его содержащих, так что запросы можно обслуживать без сканирования каждого документа.

ISO/IEC 27001: Международный стандарт, определяющий требования к системе менеджмента информационной безопасности (ISMS), дающий сертифицируемую рамку для управления рисками информационной безопасности.

ISO/IEC 42001: Международный стандарт, определяющий требования к системе менеджмента ИИ, дающий организациям сертифицируемую рамку для ответственного управления разработкой и использованием ИИ.

J

JWT (JSON Web Token): Компактный подписанный (и необязательно зашифрованный) формат токена для передачи утверждений между сторонами, обычно для аутентификации и авторизации в веб-системах и системах API.

K

Kanban: Бережливый метод организации работы, визуализирующий работу на доске, ограничивающий незавершённую работу и управляющий потоком для улучшения пропускной способности и предсказуемости.

KISS (Keep It Simple, Stupid): Принцип проектирования, предпочитающий простейшее решение, удовлетворяющее потребности, на том основании, что ненужная сложность повышает цену и риск.

KMS (Key Management Service): Система создания, хранения, ротации и контроля доступа к криптографическим ключам, нередко опирающаяся на аппаратные модули безопасности.

KPI (Key Performance Indicator): Количественная мера, используемая для отслеживания прогресса к конкретной бизнес- или операционной цели.

L

Lakehouse: Архитектура данных, сочетающая дешёвое гибкое хранение озера данных с управлением, транзакциями и возможностями производительности хранилища данных.

Lead time: Прошедшее время от запроса (или коммита) изменения до его доставки в производство; основная метрика поставки DORA.

Least privilege: Принцип безопасности, предоставляющий каждому пользователю, процессу или системе только минимальный доступ, необходимый для выполнения функции, ограничивая ущерб от компрометации или ошибки.

Little’s Law: Результат теории массового обслуживания, утверждающий, что среднее число элементов в устойчивой системе равно средней интенсивности поступления, умноженной на среднее время, которое каждый элемент проводит в системе. Он связывает незавершённую работу, пропускную способность и время выполнения.

LLM (Large Language Model): Модель машинного обучения, обученная на очень больших текстовых корпусах предсказывать и порождать язык, способная на такие задачи, как резюмирование, перевод и генерация кода.

l10n (Localisation): Адаптация интернационализированного программного обеспечения к конкретной локали, включая перевод, форматирование и культурные конвенции. Нумероним сокращает 10 букв между «l» и «n».

M

MDM (Master Data Management): Дисциплина и инструменты для создания и поддержания единого авторитетного согласованного представления основных бизнес-сущностей (таких как клиенты или продукты) по системам.

MITRE ATT&CK: Курируемая публичная база знаний о реальных тактиках и техниках противников, широко используемая для планирования учений красной команды, руководства инженерией обнаружения и описания угроз общим словарём.

Mean Time to Recovery (MTTR): Среднее время, необходимое для восстановления сервиса после сбоя; распространённая метрика надёжности и управления инцидентами.

Mob programming: Практика, при которой вся команда работает вместе над одной задачей за одним компьютером, меняясь тем, кто печатает, чтобы делиться знаниями и принимать решения сообща.

MLOps (Machine Learning Operations): Набор практик, надёжно и эффективно развёртывающих, мониторящих и сопровождающих модели машинного обучения в производстве и распространяющих принципы DevOps на жизненный цикл ML.

Monorepo: Единый репозиторий системы контроля версий, содержащий код многих проектов или всей организации, обеспечивающий общие инструменты и атомарные межпроектные изменения ценой специализированных инструментов масштабирования.

mTLS (mutual TLS): Конфигурация Transport Layer Security, в которой обе стороны предъявляют и проверяют сертификаты, так что каждая аутентифицирует другую. Это умолчание для трафика между сервисами в сервисной сетке и сетях нулевого доверия. См. также взаимную аутентификацию.

Mutation testing: Техника, намеренно вносящая малые дефекты («мутанты») в код, чтобы проверить, обнаруживает ли их набор тестов, измеряя реальную эффективность набора.

N

NDCG (Normalised Discounted Cumulative Gain): Метрика качества ранжирования, вознаграждающая размещение высокорелевантных результатов вблизи верха списка результатов, нормализованная так, что оценки сопоставимы между запросами. Основа оценки релевантности поиска.

NIST (National Institute of Standards and Technology): Федеральное агентство США, чьи специальные публикации и рамки широко используемые стандарты кибербезопасности, приватности и ИИ.

NIST AI RMF (AI Risk Management Framework): Добровольная рамка NIST для выявления, оценки и управления рисками, связанными с системами ИИ на протяжении их жизненного цикла, организованная вокруг функций Govern, Map, Measure и Manage.

NIST SP 800-53: Каталог NIST средств контроля безопасности и приватности для федеральных информационных систем, широко используемый как базис далеко за пределами государства.

NIST SP 800-171: Публикация NIST, определяющая требования к защите контролируемой несекретной информации (CUI) в нефедеральных системах, центральная для соответствия оборонных подрядчиков.

NFR (Non-Functional Requirement): Требование, описывающее, как система должна себя вести (её качества, такие как производительность, безопасность, надёжность или удобство использования), а не какие функции она выполняет.

North-south traffic: Сетевой трафик между системой и её внешними клиентами (входящий в центр обработки данных или кластер и исходящий из него), в отличие от трафика «восток-запад» между внутренними сервисами. API-шлюз обычно управляет трафиком «север-юг».

O

Observability: Степень, в которой внутреннее состояние системы можно вывести из её внешних выходов, обычно достигаемая телеметрией: метриками, журналами и трассами.

OKR (Objectives and Key Results): Рамка постановки целей, сочетающая качественную цель с несколькими измеримыми ключевыми результатами для согласования и фокусировки организации.

OpenTelemetry (OTel): Не зависящий от поставщика открытый стандарт и набор инструментов для генерации, сбора и экспорта данных телеметрии (трасс, метрик и журналов) из программного обеспечения.

OPA (Open Policy Agent): Открытый универсальный движок политик, вычисляющий политики (написанные на языке Rego) для принуждения правил авторизации и конфигурации по всему стеку, обеспечивающий политику как код.

OSPO (Open Source Program Office): Организационная функция, координирующая стратегию открытого исходного кода, управление, соответствие и взаимодействие с сообществом и управляющая и потреблением, и вкладом.

OWASP (Open Worldwide Application Security Project): Некоммерческое сообщество, производящее широко используемые свободно доступные ресурсы по безопасности приложений, включая OWASP Top Ten и ASVS.

P

PACELC: Расширение теоремы CAP, утверждающее, что при наличии разделения (Partition) система обменивает доступность (Availability) на согласованность (Consistency), иначе (Else, в нормальной работе) обменивает задержку (Latency) на согласованность.

PCI DSS (Payment Card Industry Data Security Standard): Стандарт безопасности, поддерживаемый индустрией платёжных карт и определяющий требования к организациям, хранящим, обрабатывающим или передающим данные держателей карт.

Penetration testing: Санкционированная имитируемая атака на систему квалифицированными тестировщиками, чтобы найти и продемонстрировать эксплуатируемые уязвимости раньше настоящих атакующих, поставляемая как приоритизированные применимые находки.

PII (Personally Identifiable Information): Информация, способная идентифицировать конкретное лицо, самостоятельно или в сочетании с другими данными; её обработка регулируется законами о приватности и внутренней политикой.

Platform engineering: Дисциплина построения и эксплуатации внутренних платформ самообслуживания и проторённых путей, снижающих когнитивную нагрузку и ускоряющих продуктовые команды.

POUR: Четыре руководящих принципа Web Content Accessibility Guidelines: содержимое должно быть воспринимаемым (Perceivable), управляемым (Operable), понятным (Understandable) и надёжным (Robust).

Production readiness review: Структурированная проверка, проводимая до запуска сервиса или принятия им дежурного владения, подтверждающая, что он соответствует стандартам наблюдаемости, надёжности, безопасности, руководств по эксплуатации и операционной поддержки.

Prompt engineering: Практика проектирования и уточнения инструкций, контекста и примеров, подаваемых языковой модели, чтобы получить надёжный качественный вывод, воспринимаемая как версионируемая тестируемая инженерная дисциплина, а не проба и ошибка.

Prompt injection: Атака, при которой специально составленный вход заставляет языковую модель игнорировать её намеренные инструкции и следовать инструкциям атакующего, аналог изъянов инъекций в эпоху ИИ. Это центральный риск безопасности приложений на LLM.

Property-based testing: Техника тестирования, проверяющая, что заявленные свойства выполняются на множестве автоматически сгенерированных входов, а не полагающаяся только на выбранные вручную примеры.

Pull request (PR) / merge request (MR): Предлагаемый набор изменений, представленный на рецензию и обсуждение перед слиянием в общую ветку, основная единица рецензии кода в большинстве рабочих процессов.

Purple team: Совместное учение, в котором наступательная (красная) и оборонительная (синяя) команды безопасности работают вместе в реальном времени, так что атаки и обнаружения, призванные их поймать, настраиваются друг относительно друга.

Q

Quality gate: Автоматизированная контрольная точка в конвейере, которую нужно пройти (например, достичь порогов покрытия, безопасности или производительности), прежде чем изменение сможет продвинуться.

Quorum: В распределённых системах минимальное число узлов, которые должны согласиться, чтобы операция (например, чтение или запись) считалась успешной, используемое для сохранения согласованности вопреки сбоям.

R

RACI: Модель распределения ответственности, помечающая каждого участника задачи или решения как исполняющего (Responsible), отвечающего (Accountable), консультируемого (Consulted) или информируемого (Informed).

RAG (Retrieval-Augmented Generation): Техника, привязывающая вывод языковой модели к данным: сначала извлекаются релевантные документы или данные и подаются как контекст, повышая точность и снижая галлюцинации.

RBAC (Role-Based Access Control): Модель авторизации, назначающая разрешения ролям, а роли пользователям, упрощающая администрирование управлением доступом на уровне ролей.

Red team: Группа, имитирующая реалистичного противника, нередко против всей организации и без предупреждения защитников, чтобы проверить обнаружение и реагирование, а не просто перечислить уязвимости. Противопоставляется синей (оборонительной) команде.

Reference data: Контролируемые, медленно меняющиеся списки кодов и классификации, используемые для категоризации других данных, такие как коды стран, валюты и значения статусов. Управление ими как общим версионируемым словарём удерживает системы согласованными.

Rego: Декларативный язык политик, используемый Open Policy Agent для выражения правил решений авторизации и конфигурации.

REST (Representational State Transfer): Архитектурный стиль сетевых приложений, использующий операции без состояния по HTTP над адресуемыми ресурсами, ценимый за простоту и широкие инструменты.

Reverse proxy: Сервер, стоящий перед одним или несколькими серверными сервисами и перенаправляющий им запросы клиентов, обычно обеспечивающий терминацию TLS, балансировку нагрузки, кэширование и единую точку входа.

RFC (Request for Comments): Письменное предложение, распространяемое для обратной связи перед значимым техническим решением или изменением, способствующее прозрачности и общему владению. (Термин также называет серию документов интернет-стандартов.)

ROI (Return on Investment): Мера ценности, полученной от вложения относительно его цены, используемая для обоснования и приоритизации инженерных и технологических решений.

RPA (Robotic Process Automation): Программные «роботы», автоматизирующие повторяющиеся основанные на правилах задачи, взаимодействуя с существующими пользовательскими интерфейсами и системами так, как это делал бы человек.

RPO (Recovery Point Objective): Максимально допустимый объём потери данных, измеряемый во времени (например, «до пяти минут»), определяющий, как часто данные должны защищаться.

RTO (Recovery Time Objective): Максимально допустимая длительность восстановления сервиса после сбоя, направляющая проектирование аварийного восстановления и вложения.

S

Saga: Шаблон управления согласованностью данных между сервисами в распределённой транзакции последовательностью локальных транзакций и выдачей компенсирующих действий при сбое шага.

SAFe (Scaled Agile Framework): Рамка применения гибких и бережливых практик по большим корпорациям, координирующая многие команды; ценится за структуру и критикуется за возможную тяжеловесность.

SAST (Static Application Security Testing): Тестирование безопасности, анализирующее исходный код, байт-код или двоичные файлы без их исполнения, чтобы найти уязвимости рано в разработке.

SBOM (Software Bill of Materials): Формальный машиночитаемый перечень компонентов и зависимостей в программном обеспечении, используемый для управления рисками цепочки поставок и уязвимостей.

SCA (Software Composition Analysis): Инструменты, выявляющие компоненты открытого исходного кода и сторонние компоненты в кодовой базе и помечающие известные уязвимости и лицензионные риски.

Scrum: Гибкая рамка, организующая работу в итерации фиксированной длины (спринты) с определёнными ролями, событиями и артефактами для поставки приращений ценности.

Section 508: Закон США, требующий от федеральных агентств делать их электронные и информационные технологии доступными для людей с ограниченными возможностями, на практике согласованный с WCAG.

Semantic search: Поиск, сопоставляющий по смыслу, а не по точным ключевым словам, обычно сравнением эмбеддингов запроса и документов. Нередко сочетается с лексическим поиском в гибридном подходе.

Service mesh: Выделенный слой инфраструктуры, обычно реализуемый прокси-«колясками», занимающийся вопросами связи между сервисами, такими как взаимный TLS, повторы, тайм-ауты, перенаправление трафика и наблюдаемость, держа их вне кода приложения.

Sidecar: Вспомогательный процесс или контейнер, развёртываемый рядом с основным экземпляром приложения для предоставления вспомогательных возможностей (например, прокси сервисной сетки) без изменения самого приложения.

SIEM (Security Information and Event Management): Система, агрегирующая и коррелирующая журналы и события безопасности по окружению для обнаружения, оповещения и расследования.

SLA (Service Level Agreement): Формальное обязательство между поставщиком услуги и её клиентами, определяющее ожидаемые уровни обслуживания и последствия их невыполнения.

SLI (Service Level Indicator): Количественная мера некоторого аспекта качества услуги, например задержки запроса или доли ошибок, питающая SLO.

SLO (Service Level Objective): Целевое значение или диапазон для SLI, определяющий желаемый уровень надёжности и формирующий основу бюджетов ошибок.

SLSA (Supply-chain Levels for Software Artifacts): Рамка градуированных требований безопасности для улучшения целостности и происхождения артефактов программного обеспечения через процесс сборки и выпуска.

SOAR (Security Orchestration, Automation, and Response): Инструменты и практики, автоматизирующие и координирующие операции безопасности, такие как сортировка и сценарии реагирования, для повышения скорости и согласованности.

SOC 2 (System and Organisation Controls 2): Рамка аудита и отчёт, основанные на критериях доверительных услуг AICPA, оценивающие контроли организации-поставщика услуг по безопасности, доступности, целостности обработки, конфиденциальности и приватности.

SOLID: Пять объектно-ориентированных принципов проектирования (единственная ответственность, открытость/закрытость, подстановка Лисков, разделение интерфейсов и инверсия зависимостей), способствующих сопровождаемому гибкому коду.

SOX (Sarbanes-Oxley Act): Законодательство США, устанавливающее требования к финансовой отчётности и внутреннему контролю в публичных компаниях, с последствиями для ИТ-систем, поддерживающих финансовые данные.

SPACE: Рамка измерения продуктивности разработчиков по пяти измерениям: удовлетворённость и благополучие (Satisfaction and well-being), эффективность (Performance), активность (Activity), коммуникация и сотрудничество (Communication and collaboration) и эффективность и поток (Efficiency and flow), предостерегающая от мер по единственной метрике.

SRE (Site Reliability Engineering): Дисциплина, применяющая подходы программной инженерии к эксплуатации, используя SLO, бюджеты ошибок и автоматизацию для ведения надёжных систем в масштабе.

SSDF (Secure Software Development Framework): Рамка NIST (SP 800-218) высокоуровневых практик безопасной разработки, охватывающая подготовку организации, защиту программного обеспечения, производство хорошо защищённого программного обеспечения и реагирование на уязвимости.

Static analysis: Исследование исходного кода, байт-кода или двоичных файлов без их исполнения для поиска дефектов, нарушений стиля и изъянов безопасности, обычно через линтеры, проверяющие типы и специальные анализаторы, подключённые к редактору и конвейеру.

STRIDE: Таксономия моделирования угроз, категоризирующая угрозы как подмена (Spoofing), искажение (Tampering), отказ от авторства (Repudiation), раскрытие информации (Information disclosure), отказ в обслуживании (Denial of service) и повышение привилегий (Elevation of privilege).

T

TCO (Total Cost of Ownership): Полная цена системы или решения за весь срок, включая приобретение, эксплуатацию, сопровождение и окончательный вывод, а не только начальную цену.

TDD (Test-Driven Development): Практика написания падающего автоматизированного теста до кода, который заставляет его проходить, затем рефакторинга, в коротких повторяющихся циклах для управления дизайном и обеспечения покрытия.

Technical debt: Подразумеваемая будущая цена выбора удобного решения сейчас вместо лучшего, которое заняло бы больше времени, которой нужно управлять намеренно, а не копить бессознательно.

TF-IDF (Term Frequency-Inverse Document Frequency): Классическая схема взвешивания, оценивающая важность термина для документа по тому, как часто он там встречается, со сдвигом на то, насколько он обычен по всему корпусу. Лежит в основе значительной части лексического ранжирования поиска.

Theory of constraints: Управленческий подход, утверждающий, что пропускная способность системы в любой момент ограничена единственным узким местом, поэтому усилия по улучшению следует сосредоточить на этом ограничении, пока оно не сместится.

Threat modelling: Структурированная практика выявления, перечисления и приоритизации потенциальных угроз системе, чтобы защиты можно было спроектировать заранее.

Toil: В SRE ручная, повторяющаяся, автоматизируемая операционная работа, масштабирующаяся линейно с сервисом и не дающая долговременной ценности; её сокращение освобождает мощность для инженерии.

Trunk-based development: Практика контроля исходного кода, при которой разработчики часто интегрируют малые изменения в единую общую ветку, минимизируя долгоживущие ветки и боль слияния.

Type inference: Возможность языка, автоматически выводящая типы выражений и дающая значительную часть безопасности статической типизации без необходимости выписывать каждый тип вручную.

Type system: Набор правил, по которым язык назначает и проверяет типы, ловящий целые классы ошибок до запуска программы и документирующий намерение. Системы типов варьируются от динамических до статических и от слабых до сильных.

U

Ubiquitous language: В предметно-ориентированном проектировании общий точный словарь, последовательно используемый разработчиками и экспертами предметной области и прямо отражаемый в коде и моделях.

UAT (User Acceptance Testing): Тестирование, выполняемое конечными пользователями или их представителями для подтверждения, что система удовлетворяет бизнес-потребностям, прежде чем будет принята к выпуску.

UX / UI (User Experience / User Interface): Пользовательский опыт (User Experience) это общее качество взаимодействия человека с продуктом; пользовательский интерфейс (User Interface) это конкретная визуальная и интерактивная поверхность, через которую это взаимодействие происходит.

V

Value object: В предметно-ориентированном проектировании неизменяемый объект, целиком определяемый своими атрибутами, а не отдельной идентичностью, например денежная сумма или диапазон дат.

Value stream mapping: Техника рисования каждого шага от идеи до доставленной ценности, отличающая время добавления ценности от времени ожидания, так что узкие места, передачи и петли переделки становятся видимыми и улучшаемыми.

Vector database: Хранилище данных, оптимизированное для индексирования и поиска по сходству многомерных векторов эмбеддингов, общая основа семантического поиска и генерации с дополнением извлечением.

Vertical scaling: Увеличение мощности усилением одного узла («масштабирование вверх»), что просто, но в конечном счёте ограничено самой большой доступной машиной.

VCS (Version Control System): Инструмент, такой как Git, записывающий изменения файлов во времени, так что историю можно рецензировать, ветки поддерживать, а работу координировать.

Vulnerability scanning: Автоматизированная проверка систем, контейнеров или кода по базам известных слабостей и ошибок конфигурации. Он широк и дёшев и дополняет глубину ручного тестирования на проникновение.

W

WCAG (Web Content Accessibility Guidelines): Набор международно признанных руководящих принципов W3C, организованных вокруг принципов POUR и уровней соответствия A, AA и AAA, для обеспечения доступности веб-содержимого.

Wardley map: Визуальная техника стратегии, размещающая возможности по их ценности для пользователей и эволюционной зрелости, чтобы информировать решения «строить или покупать» и вложения.

Work in progress (WIP) limit: Ограничение числа элементов, которые могут одновременно находиться на данной стадии рабочего процесса, основная практика канбан, улучшающая поток через выявление узких мест и обуздание накладных расходов слишком большой параллельной работы.

WSJF (Weighted Shortest Job First): Метод приоритизации, упорядочивающий работу делением её стоимости задержки на оценённую длительность, так что самые короткие, наиболее чувствительные ко времени, наиболее ценные элементы делаются первыми.

X

XSS (Cross-Site Scripting): Веб-уязвимость, при которой атакующий внедряет вредоносные скрипты, исполняемые в браузерах других пользователей, потенциально похищая данные или перехватывая сеансы.

Y

YAGNI (You Aren’t Gonna Need It): Принцип, советующий не строить функциональность на догадках, на том основании, что ожидаемые потребности нередко не материализуются и добавляют цену и сложность.

Z

Zero trust: Модель безопасности, предполагающая отсутствие неявного доверия по сетевому положению и непрерывно проверяющая каждый запрос доступа по идентичности, устройству и контексту, следуя максиме «никогда не доверяй, всегда проверяй».