Aggiornamento del nucleo: perché l’aggiornamento più pericoloso è il più silenzioso

Un aggiornamento del nucleo si installa, l’installazione finisce senza intoppi e niente sembra cambiato. Il sistema gira ancora sul vecchio nucleo, perché un nucleo nuovo entra in gioco solo al riavvio.

Ed è proprio lì che si nasconde il pericolo.

Fra causa ed effetto passano settimane

La maggior parte dei guasti dei pacchetti si manifesta mentre stai guardando. Un servizio cade, dà errore, te ne accorgi lo stesso giorno.

Il nucleo non è così. Il problema compare al riavvio successivo, e quel riavvio potrebbe non essere una notte di manutenzione pianificata. Manca la corrente, la macchina si riavvia da sola, e non torna.

In quel momento nessuno lo collega a "l’aggiornamento che ho fatto il mese scorso". Quello che hai è un guasto inspiegabile che non sembra affatto un problema di aggiornamento.

Il principio generale: ciò che è nuovo non sia il valore predefinito finché non si è dimostrato

È la lezione trasferibile di questo articolo, e non vale solo per i nuclei.

Un nucleo nuovo si può installare, ma il valore predefinito persistente deve restare il vecchio nucleo. Il nuovo va provato solo come "prova questo una volta al prossimo avvio".

Impostato così, la forma del guasto cambia: se la macchina si blocca, all’avvio seguente torna da sola al vecchio. Perché una scelta una tantum vale, per definizione, una volta.

Quello che ci guadagni è questo: il nome del fallimento diventa "non è successo niente", non "la macchina è sparita".

Il secondo strato: ciò che è installato non diventi in silenzio il predefinito

Nel momento in cui un nucleo viene installato, la maggior parte dei sistemi dice "d’ora in poi mi avvio con il più nuovo". Se non lo vuoi, prima dell’aggiornamento devi bloccare il nucleo in esecuzione.

Il blocco non impedisce il nucleo nuovo, gli impedisce solo di diventare predefinito da solo. Quando vorrai provarlo, sceglierai tu.

Il terzo strato: chi si accorgerà del blocco

Perché un meccanismo di ripiego funzioni, qualcosa deve dire "questa macchina non è ripartita". Se c’è un sorvegliante a livello hardware, lo fa lui e riavvia la macchina.

Se non c’è, il ripiego richiede un ripristino manuale. Questo non rende il meccanismo inutile, ma va saputo: la frase "torna indietro da solo" è solo mezza vera senza sorvegliante.

La regola che vale anche senza prodotto

Dopo un aggiornamento del nucleo riavvia di proposito e presto. Mentre stai guardando.

Un riavvio che hai pianificato tu è una prova. Un riavvio imposto tre settimane dopo da un blackout è un incidente. L’unica differenza fra i due è se in quel momento c’eri.

Che cosa fa Atlas

Quando Atlas esegue un aggiornamento blocca per impostazione predefinita il nucleo in esecuzione, così il nucleo appena installato non diventa da solo il predefinito di avvio. Questo comportamento non è obbligatorio: viene offerto come opzione disattivabile nell’interfaccia. Il prodotto qui non decide, rende predefinito il lato sicuro.

Anche il meccanismo di transizione verificata è costruito sul principio di cui sopra: il predefinito persistente è sempre il vecchio nucleo, il nuovo si prova solo con un avvio una tantum, e se si blocca il sistema ripiega da solo. Il tipo di gestore di avvio viene rilevato a tempo di esecuzione, perché cambia da macchina a macchina.

E due limiti onesti:

Questo meccanismo gira per impostazione predefinita in modalità di sola osservazione. Dice cioè che cosa farebbe ma non tocca la configurazione di avvio. Intervenire davvero è una scelta a parte.

Se non c’è un sorvegliante hardware, il meccanismo non lo ignora in silenzio: si disattiva con garbo e dice che potrebbe servire un ripristino manuale. Far credere a una garanzia che non esiste è peggio che non darne alcuna.