反馈与非线性 · 系统怎么自己放大和稳定自己

0. 先从一个你可能踩过的坑说起

设想你在维护一个跑得好好的线上系统。某天你为了让它更快响应,把一个请求超时从 30 秒压到 10 秒,或者把某个连接池的上限调低了一点。改完当时一切正常,压测也过了,你就上线了。然后过了几天,在一个流量并不算特别离谱的高峰,整个系统毫无预兆地雪崩了 —— 而且当你慌忙把那个配置改回 30 秒,它居然没有立刻恢复,你得把流量整个掐掉、让它喘过气来,它才慢慢爬回正常。

这件事用线性直觉是讲不通的。线性直觉说:小改动带来小影响,把改动撤掉,影响也就撤掉了。可你这里是一个微小的参数变化,先是什么都没发生、然后突然引发了系统级的崩溃,撤掉它又不能复原。这一整套违反直觉的行为,恰恰是这一章两个主角的杰作:反馈回路决定了系统怎么自我放大或自我稳定,非线性决定了为什么因果可以彻底脱钩。把这两样东西想透,你不仅能解释开篇这个坑,还能在它发生之前就认出它在酝酿。

1. 反馈回路 —— 系统怎么自己放大、又怎么自己稳住

Setup · 「反馈」这个词,先被日常用法带偏了

在进入正题前,得先洗掉一个几乎人人都有的语义污染。日常里我们说「给我点反馈」,反馈约等于评价、约等于批评、还隐隐带点负面色彩。但在系统科学里,反馈是一个纯结构性的概念,跟好坏褒贬毫无关系:反馈回路指的是,系统的输出会绕一圈回来,变成影响它自己下一步的输入。就这么个回路结构。一个系统一旦有了这种「输出反过来喂给输入」的环,它就不再是一条从因到果的直线,而是一个会自己跟自己较劲的循环。

而真正要紧的是,这种回路只有两种基本类型,认清这两种,你就拿到了拆解一大半复杂系统动态的钥匙。系统学家 Donella Meadows 在《Thinking in Systems》里把它们讲得最透:一种把变化越滚越大,另一种把变化往回拉。这两种回路看起来简单到不像能解释什么大现象,可一旦你学会在系统里把它们认出来,从蚁群觅食到银行挤兑、从你身体的体温到线上服务的雪崩,背后那套看不见的动力学,忽然就都有了名字、有了结构,也就有了能被你拿来诊断和干预的把手。下面我们一种一种看,而且每一种都会从自然界的例子,一路落到你自己写的代码里。

Build-up · 一种把变化滚大,一种把变化拉回

先看第一种,增强回路,也叫正反馈。它的结构是:输出反过来放大自己的输入,于是越多导致更多。复利是最干净的例子,本金生利息、利息又变成本金接着生更多利息,曲线指数般翘起来;病毒传播也是,感染的人越多、接触并传染的人就越多;银行挤兑更是教科书级的,人们担心银行不稳就去取钱,取的人越多银行越虚弱,越虚弱就吓得更多人去取。注意一件容易被忽略的事:正反馈这个名字里的「正」,说的是方向是放大,而不是结果是好的 —— 挤兑是正反馈,却是灾难。

把增强回路搬进你的系统里,它有个特别熟悉的化身,叫重试风暴。某个依赖变慢了,请求开始失败;失败了客户端就重试,可重试本身又给那个已经吃力的依赖压上了更多负载;负载更高就失败更多,失败更多就重试更多。重试,本来是为了对抗失败,这时却变成了喂养失败的燃料。这是一个纯粹的增强回路,而它最可怕的地方在于,它能把一次本来会自愈的小抖动,放大成一场拖垮整片服务的级联故障。

再看第二种,平衡回路,也叫负反馈。它的结构正好相反:输出反过来抑制自己的输入,于是系统被往一个目标值上拉、趋于稳定。恒温器是原型,温度高于设定值就制冷、把温度压回去;你的体温调节也是,太热就出汗散热、太冷就发抖产热,死死咬住三十七度上下。这类回路是稳定的来源,某种意义上,你之所以还活着,靠的就是身体里无数个把各种指标拉回正常区间的平衡回路。同样,这个名字里的「负」也只说方向是抑制,不是说它不好 —— 多数时候,负反馈正是那个救命的东西。

平衡回路在工程里同样无处不在,而且常常是专门造出来掐断增强回路的。限流和背压就是:负载一旦超过容量,就开始拒绝或者排队,把负载硬拉回承受范围。而最干净利落的一个例子是熔断器:当对某个依赖的失败率突破阈值,熔断器直接「跳闸」,停止再去重试,给那个依赖喘息恢复的机会,过一阵再尝试合闸。请仔细体会这件事的本质 —— 熔断器干的,正是用一个平衡回路,去一刀切断前面那个要命的重试增强回路。软件里那些弹性 pattern,骨子里几乎都是这个套路:装一个负反馈,去掐死一个失控的正反馈。

Reveal · 反馈不分好坏,只分方向;系统的脾气看哪个回路在主导

把这一节收口成一句话。反馈回路只有两种方向:增强回路放大变化,把微小的初始优势滚成压倒性的趋势;平衡回路抑制变化,把系统拉回某个目标、使它稳定。两者都不天然是好或坏 —— 增强回路既能驱动复利增长、也能驱动挤兑崩溃,平衡回路既能救你命、也能让一个该变的系统顽固地拒绝改变。Meadows 由此点破了一个更深的结构:任何会增长的系统,背后至少有一个增强回路在驱动增长,同时迟早会有一个平衡回路冒出来限制它,因为没有什么能在有限的环境里永远增长下去。

反馈不分褒贬,只分方向:增强回路放大、平衡回路稳定。一个复杂系统的脾气,取决于这两类回路谁在主导,以及主导权什么时候易手。

还有一个微妙却重要的补充:当平衡回路里带了延迟,它就不会安安静静把系统拉到目标,而是会让系统反复过冲、变成震荡。捕食者和猎物的经典关系就是这样 —— 猎物多了,捕食者吃得饱、于是繁殖变多,但这需要时间;等捕食者真的多起来,猎物已经被吃到锐减,捕食者随后跟着挨饿减少,猎物又得以恢复。这是一个平衡回路,可那个时间延迟让它永远在过冲和回调之间打转,于是两个种群的数量一圈一圈地循环,而不是静静地停在某个平衡点上。

Implication · 你看系统的眼光,从此换了一套

把反馈这套装进脑子,你诊断系统的方式会彻底变样。以后遇到指数式的暴涨或者崩塌,你的第一反应不再是找「那个原因」,而是去找驱动它的增强回路在哪;遇到一个系统顽固地卡在某个状态、怎么推都不动,你会去找是哪个平衡回路在死死把它拉回去;遇到反复震荡、忽高忽低,你会去找那个带延迟的平衡回路。而当你要设计一个不容易失控的系统,你也不再幻想能从外面精确操控它的整体行为,你会去给它装合适的回路 —— 用限流、熔断、退避这些负反馈,去先发制人地掐断那些可能失控的正反馈。但反馈只讲了系统怎么自我放大或稳定,它还没回答开篇那个坑里最怪的部分:为什么一个小到几乎可以忽略的改动,能在某一刻突然掀翻整个系统?这要靠第二个主角,非线性。

2. 非线性与临界 —— 小因怎么酿大果,系统怎么突然翻盘还回不去

Setup · 第二个被直觉带偏的东西:因果成比例

我们脑子里有一个根深蒂固的默认假设,叫线性:因和果是成比例的,投入多一倍、产出就多一倍,扰动小一点、后果就小一点。这个假设在很多日常场景里都够用,多踩一点油门车就快一点,多放一勺盐汤就咸一点,所以我们几乎意识不到自己一直在用它,甚至把它当成了世界本来的样子。但复杂系统的因果关系恰恰常常不是线性的,而一旦不是,你那套「小改动只会有小后果」的直觉,就会在最关键的时刻把你坑了:开篇那个把超时调小一点、几天后系统却整个雪崩的故事,根上就是非线性在作祟。这一节要做的,就是把这个被你当成理所当然的线性假设拆掉,换上一副能看见小因大果、也能看见突变的眼睛。

Build-up · 输出不与输入成比例,以及临界点这道坎

非线性,说白了就是输出不与输入成比例。它有两副面孔。一副是小因大果:一个微不足道的扰动,能触发一场雪崩 —— 你改的那一个配置,平时毫无影响,却在某个负载下成了压垮系统的最后一根稻草。另一副是大因小果:你拼命加大投入,系统却几乎纹丝不动,直到某一刻突然松动。这两副面孔背后,藏着复杂系统里一个极其重要的结构:临界点。政府间气候变化专门委员会给临界点下过一个很精确的定义 —— 系统性质的变化越过某个水平之后,系统会发生重组,常常是非线性地跳到另一个状态,而且即使把当初推动变化的因素撤回,它也不回到原来的状态。

请把这个定义里的两层意思分开品。第一层是突变:系统不是平滑地渐变,而是越过某个阈值后,猛地从一个稳定状态跳到另一个稳定状态。一个干净的例子是浅水湖泊:它可以处在清澈状态,水草占优、水是清的;也可以处在浑浊状态,藻类和悬浮物占优、水是浊的。这两个状态各自被一套增强回路撑着,所以都很稳。你往湖里持续排营养,起初水看着还清,直到营养越过一个临界水平,湖会在很短时间内整个翻成浑浊 —— 这就是突变。

第二层意思更反直觉,叫滞后。系统翻过去之后,你把当初的推动因素撤掉,它并不会原路退回来。还是那个湖:它翻浊之后,你就算把营养排放降回到当初那个还清澈的水平,湖也不会变清;真实的湖泊治理发现,你必须把营养压到远低于触发翻转的那个值,湖才肯回到清澈。一个好用的画面是山谷里的球:你使劲把球推过山脊、让它滚进旁边那个山谷,这时你松手,球并不会自己滚回原来那个谷里 —— 它已经待在新的谷底了,要弄回去,你得费更大的劲反向再推一次。

Reveal · 非线性让因果脱钩,临界点让系统翻面且回不去原路

把这一节收口。非线性意味着因和果脱了钩:小推动可能长时间什么都不发生,你因此误以为系统对它免疫,直到某一下越过了临界点,系统整个翻到另一个稳定状态;而滞后意味着,这一翻往往是单向的,撤掉触发因并不等于退回原状。这就是为什么开篇那个故事里,把配置改回去系统没有立刻好 —— 它不是被你「按住」在坏状态,而是已经实实在在地翻进了另一个稳定状态,而退回那个好状态需要的,远不止撤销当初那个小改动。

非线性让小推动可以毫无反应,直到越过临界点把系统整个翻面;而滞后让这一翻常常回不去原路 —— 撤掉触发因,不等于退回原状。

Implication · 你现在能在系统翻面之前闻到味道

理解了临界点和滞后,你对系统的态度会多出一份敬畏,也多出一种预警能力。你会开始意识到,一个看起来一直很稳的系统,稳,并不代表它离危险很远 —— 它可能正悄悄逼近某个你看不见的临界点,而越过它之前,表面几乎没有征兆。于是你做改动时会多问一句:我这个看似无害的小调整,会不会正在把系统往某个阈值上推?你也会对「撤销就能复原」这种想当然多一份警惕,因为一旦系统翻了面,复原往往要付出比当初大得多的代价。而最有意思的是,反馈和非线性这两件事,在你最熟悉的领域里,会合体成一个有名有姓的现象。

综合 · 当反馈撞上非线性:你栈里的亚稳态失效

把这一章的两个主角合在一起,你就能看懂分布式系统里一类最阴险的故障,它有个学名叫亚稳态失效。几位工程师在 2021 年的一篇论文 Metastable Failures in Distributed Systems 里把它讲清楚了,而它的结构,正好是这一章两节的合体。故事是这样的:一个触发因 —— 一次流量尖峰、一回短暂的依赖抖动 —— 把系统踢进了一个坏状态;然后,一个增强回路,典型的就是前面讲过的重试风暴,把系统死死锁在这个坏状态里,以至于即便那个最初的触发因早已消失,系统也自己出不来了。

请认出这里面的每一个零件。那个把系统锁住的增强回路,就是第一节的正反馈;而「触发因消失了系统也回不去」,正是第二节那个滞后 —— 这是发生在你自己服务器上的、活生生的 hysteresis。这篇论文最点睛的一句是:这类故障的根因,不是那个触发因,而是那个把状态维持下去的回路;你盯着触发因去复盘,往往找错了对象。更让人脊背发凉的是,这些要命的增强回路,常常正是被那些追求效率和可靠性的优化亲手造出来的 —— 当你把系统调到贴着满负载跑、榨干每一分余量,你也顺手抽走了那个本来能吸收冲击的缓冲,于是一个小扰动就能把整台机器推过临界点。

到这里,这一章想交给你的东西就齐了。反馈回路决定了系统怎么自我放大或稳定,非线性和临界点决定了它怎么突然翻面、又为什么回不去原路,而亚稳态失效让你看见这两者怎么在你最熟悉的系统里合体成灾。下次再遇到一个系统莫名其妙地卡在坏状态、撤掉诱因也不见好,你不会再笼统地骂它「玄学」,你会冷静地去找:那个把它锁住的增强回路在哪,我该用哪个平衡回路 —— 熔断、加抖动的退避、预留余量 —— 去把它掐断。会问这串问题,你就已经握住了复杂系统最实用的一副工具。

本章术语速查

• 反馈回路:系统的输出绕回成为自己的输入。增强回路(正反馈)放大变化、趋于指数;平衡回路(负反馈)抑制变化、趋于稳定;带延迟的平衡回路会震荡。
• 非线性:输出不与输入成比例 —— 小因可酿大果、大因也可能几乎无果。复杂系统的因果不再是直线。
• 临界点:系统越过某个阈值后重组、突跳到另一个稳定状态(IPCC 定义)。
• 滞后:系统翻面后,撤掉触发因也不原路退回 —— 复原要付出远大于触发的代价(山谷里的球)。
• 亚稳态失效:触发因把系统踢进坏状态,一个增强回路把它锁死,即使触发因消失也出不来 —— 反馈与滞后在分布式系统里的合体。

参考文献

入门必读

• Thinking in Systems: A Primer(Donella H. Meadows 著 · Diana Wright 编 · Chelsea Green · 2008)· 反馈、存量与回路的最佳入门,本章的反馈框架即出自此(书 · 无 DOI)。

引用出处

• Metastable Failures in Distributed Systems(Bronson、Aghayev、Charapko、Zhu · HotOS '21 · ACM · 2021)· 亚稳态失效:触发因 + 维持回路 + 滞后,本章综合节的来源。
• Industrial Dynamics(Jay W. Forrester · MIT Press · 1961)· 系统动力学的奠基,反馈结构建模的源头(书 · 无 DOI)。
• 捕食者-猎物模型 · Lotka(1925)与 Volterra(1926)各自独立提出 · 带延迟的平衡回路产生持续震荡的经典案例(早期著作 · 无 DOI · 闸门核不到)。
• IPCC《海洋与冰冻圈特别报告》(2019)· 临界点(tipping point)的精确定义出处。

深 dive 资源(可选)

• Catastrophic shifts in ecosystems(Scheffer 等 · Nature · 2001)· 多稳态、临界点与滞后的「山谷里的球」框架与浅湖案例。

下一章

反馈和非线性给了你系统怎么「动」的语言;但系统怎么动,还取决于它的部件是怎么「连」的。下一章我们换一个视角,去看连接的形状 —— 为什么少数枢纽、大量小节点的网络结构,会决定一个系统传得多快、又有多脆弱。