Kernelupdates: waarom de gevaarlijkste update de stilste is

Een kernelupdate wordt geïnstalleerd, de installatie eindigt zonder gedoe, en er lijkt niets veranderd. Het systeem draait nog op de oude kernel, want een nieuwe kernel gaat pas bij een herstart in.

En daar zit het gevaar verstopt.

Tussen oorzaak en gevolg liggen weken

De meeste pakketstoringen laten zich zien terwijl je kijkt. Een dienst valt om, meldt een fout, je merkt het diezelfde dag.

De kernel is niet zo. Het probleem verschijnt bij de volgende start, en die start is misschien geen geplande onderhoudsnacht. De stroom valt uit, de machine herstart zichzelf, en hij komt niet terug.

Op dat moment legt niemand het verband met "de update van vorige maand". Wat je hebt is een onverklaarde storing die er helemaal niet uitziet als een updateprobleem.

Het algemene beginsel: het nieuwe hoort geen standaard te zijn tot het zich bewezen heeft

Dit is de overdraagbare les van dit artikel, en ze geldt niet alleen voor kernels.

Een nieuwe kernel mag geïnstalleerd worden, maar de blijvende standaard hoort de oude kernel te blijven. Het nieuwe hoort alleen geprobeerd te worden als "probeer dit één keer bij de volgende start".

Zo opgezet verandert de vorm van de storing: loopt de machine vast, dan keert hij bij de volgende start vanzelf terug naar de oude. Want een eenmalige keuze geldt per definitie één keer.

Wat je wint is dit: de naam van de mislukking wordt "er is niets gebeurd", niet "de machine is weg".

De tweede laag: wat geïnstalleerd is hoort niet stilletjes de standaard te worden

Op het moment dat een kernel geïnstalleerd is, zeggen de meeste systemen "vanaf nu start ik met de nieuwste". Wil je dat niet, dan moet je vóór de update de draaiende kernel vastzetten.

Vastzetten blokkeert de nieuwe kernel niet, het belet hem alleen vanzelf de standaard te worden. Wanneer je hem wilt proberen, kies jij.

De derde laag: wie merkt het vastlopen op

Wil een terugvalmechanisme werken, dan moet iets zeggen "deze machine is niet omhoog gekomen". Is er een waker op hardwareniveau, dan doet die dat en herstart de machine.

Is die er niet, dan vraagt de terugval een handmatige herstelactie. Dat maakt het mechanisme niet nutteloos, maar het hoort bekend te zijn: de zin "hij valt vanzelf terug" is zonder waker maar half waar.

De regel die ook zonder product geldt

Herstart na een kernelupdate bewust en snel. Terwijl je kijkt.

Een herstart die je zelf plande is een test. Een herstart die drie weken later door een stroomstoring wordt afgedwongen is een incident. Het enige verschil is of je er op dat moment bij was.

Wat Atlas doet

Wanneer Atlas een update uitvoert, zet het standaard de draaiende kernel vast, zodat de pas geïnstalleerde kernel niet vanzelf de startstandaard wordt. Dit gedrag is niet verplicht: het wordt aangeboden als een optie die je in de schil kunt uitzetten. Het product beslist hier niet, het maakt de veilige kant de standaard.

Ook het mechanisme van de gecontroleerde overgang is op bovenstaand beginsel gebouwd: de blijvende standaard is altijd de oude kernel, de nieuwe wordt alleen met een eenmalige volgende start geprobeerd, en loopt hij vast, dan valt het systeem vanzelf terug. Het soort startbeheerder wordt tijdens de uitvoering vastgesteld, want dat verschilt per machine.

En twee eerlijke grenzen:

Dit mechanisme draait standaard in kijkstand. Het zegt dus wat het zou doen maar raakt de startinstellingen niet aan. Werkelijk ingrijpen is een aparte keuze.

Is er geen hardwarewaker, dan gaat het mechanisme daar niet stilzwijgend aan voorbij: het schakelt zichzelf netjes uit en zegt dat er mogelijk een handmatige herstelactie nodig is. Een zekerheid voorwenden die er niet is, is erger dan helemaal geen zekerheid geven.