Kjerneoppdateringer: hvorfor den farligste oppdateringen er den stilleste

En kjerneoppdatering installeres, installasjonen slutter uten besvær, og ingenting ser endret ut. Systemet kjører fortsatt på den gamle kjernen, for en ny kjerne trer først i kraft ved en omstart.

Og nettopp der gjemmer faren seg.

Mellom årsak og virkning legger det seg uker

De fleste pakkefeil viser seg mens du ser på. En tjeneste faller, den gir feil, du merker det samme dag.

Kjernen er ikke slik. Problemet dukker opp ved neste oppstart, og den oppstarten er kanskje ingen planlagt vedlikeholdsnatt. Strømmen går, maskinen starter seg selv på nytt, og den kommer ikke tilbake.

I det øyeblikket kobler ingen det til "oppdateringen jeg gjorde forrige måned". Det du har, er en uforklart feil som slett ikke ser ut som et oppdateringsproblem.

Det allmenne prinsippet: det nye bør ikke være standardvalget før det har bevist seg

Dette er den overførbare lærdommen i artikkelen, og den gjelder ikke bare kjerner.

En ny kjerne kan installeres, men det varige standardvalget bør forbli den gamle kjernen. Det nye bør bare prøves som "prøv dette én gang ved neste oppstart".

Satt opp slik endres feilens form: henger maskinen, går den av seg selv tilbake til den gamle ved neste oppstart. For et engangsvalg gjelder per definisjon én gang.

Det du vinner, er dette: feilens navn blir "ingenting skjedde", ikke "maskinen er borte".

Det andre laget: det installerte bør ikke stille bli standard

I det øyeblikket en kjerne er installert, sier de fleste systemer "fra nå av starter jeg med den nyeste". Vil du ikke det, må du låse den kjørende kjernen før oppdateringen.

Låsingen hindrer ikke den nye kjernen, den hindrer den bare i å bli standard av seg selv. Når du vil prøve den, velger du.

Det tredje laget: hvem merker hengningen

For at en tilbakefallsmekanisme skal virke, må noe si "denne maskinen kom ikke opp". Finnes det en vakt på maskinvarenivå, gjør den det og starter maskinen på nytt.

Finnes den ikke, krever tilbakefallet en manuell tilbakestilling. Det gjør ikke mekanismen ubrukelig, men det bør være kjent: setningen "den faller tilbake automatisk" er uten vakt bare halvveis sann.

Regelen som gjelder også uten produkt

Start på nytt bevisst og snart etter en kjerneoppdatering. Mens du ser på.

En omstart du har planlagt selv, er en prøve. En omstart som tvinges fram av et strømbrudd tre uker senere, er en hendelse. Den eneste forskjellen er om du var til stede i øyeblikket.

Hva Atlas gjør

Når Atlas gjennomfører en oppdatering, låser det som standard den kjørende kjernen, slik at den nyinstallerte kjernen ikke av seg selv blir oppstartens standardvalg. Denne oppførselen er ikke påbudt: den tilbys som et valg som kan slås av i grensesnittet. Produktet bestemmer ikke her, det gjør den trygge siden til standard.

Også mekanismen for bekreftet overgang er bygd på prinsippet over: det varige standardvalget er alltid den gamle kjernen, den nye prøves bare med én engangsoppstart, og henger den, faller systemet tilbake av seg selv. Typen oppstartsforvalter oppdages ved kjøring, for den er ulik fra maskin til maskin.

Og to ærlige grenser:

Denne mekanismen kjører som standard i ren observasjonsmodus. Den sier altså hva den ville gjort, men rører ikke oppstartsoppsettet. Å gripe inn på ekte er et eget valg.

Finnes det ingen maskinvarevakt, går ikke mekanismen forbi det i stillhet: den slår seg pent av og sier at en manuell tilbakestilling kan bli nødvendig. Å late som om det finnes en garanti som ikke finnes, er verre enn å ikke gi noen.