تصور کنید برنامه‌ای در زبان Rust را اجرا می‌کنید که با قطعیت ریاضی تضمین می‌کند هیچ مرحله‌ای از یک پروتکل پیچیده چندجانبه، نه نادیده گرفته شود و نه تکرار گردد. این سطح از اطمینان اکنون با Hibana ممکن شده است؛ هستهٔ اجرایی جدیدی که یک کورئوگرافی (Choreography) یا رقص پروتکل را به برنامه‌های فشرده و نقش‌محور تبدیل می‌کند تا اجرای آن در زمان اجرا (Runtime) تضمین شود.
بسیاری از سامانه‌های توزیع‌شده به این صورت عمل می‌کنند که هر گره به‌طور مستقل بخش خود از گفتگو را پیاده‌سازی می‌کند. این رویکرد اغلب منجر به عدم تطابق در ماشین‌های حالت (State-machine mismatches) و ایجاد شرایط مسابقه (Race Conditions) می‌شود که عیب‌یابی آن‌ها کابوسی برای برنامه‌نویسان است. در این ساختارهای سنتی، اگر تنها یک گره از توالی مورد انتظار خارج شود، کل سیستم ممکن است دچار بن‌بست (Deadlock) شود یا به وضعیتی تعریف‌نشده سقوط کند.
برای درک بهتر، یک تراکنش مالی حساس را تصور کنید که شامل خریدار، فروشنده و یک دفترخانه است. اگر دفترخانه پیش از پرداخت خریدار، تاییدیه ارسال کند، پروتکل شکسته شده است. Hibana — شبیه به یک کارگردان تئاتر که برای هر بازیگر دقیقاً می‌گوید چه زمانی وارد صحنه شود و چه بگوید — کل این تعامل را به عنوان یک «کورئوگرافی» واحد می‌بیند و سپس آن را به قوانین سخت‌گیرانه برای هر شرکت تبدیل می‌کند تا از بروز چنین خطاهایی جلوگیری کند.
همان‌طور که در تحلیل‌های پیشین ما درباره‌ی امنیت سیستم‌های توزیع‌شده اشاره کردیم، جابجایی منبع حقیقت از پیاده‌سازی‌های پراکنده به یک تعریف متمرکز، کلید حذف خطاهای سیستمی است.
مکانیزم تصویرسازی (Projection)
در قلب Hibana مفهومی به نام تصویرسازی یا Projection قرار دارد. توسعه‌دهنده ابتدا یک کورئوگرافی جهانی را با استفاده از یک زبان تخصصی (DSL) در Rust می‌نویسد. سپس تابع project(&choreography) برای هر شرکت در پروتکل، یک RoleProgram فشرده تولید می‌کند.
این برنامه‌های تصویرشده مانند یک فیلتر سخت‌گیرانه برای هر عملیات عمل می‌کنند. هر مرحلهٔ ارسال (send)، دریافت (receive) یا مسیریابی (route) باید پیش از تایید توسط زمان‌اجرا، با برنامهٔ تصویرشده مطابقت داشته باشد. طبق مستندات این پروژه، اگر یک نقطه‌پایان (Endpoint) سعی کند عملیاتی را خارج از ترتیب اجرا کند، نشست (Session) بلافاصله بسته می‌شود (Fail closed).
فرآیند تصویرسازی، DSL عمومی را در یک گذر داخلی (Internal pass) پایین می‌آورد. این فرآیند از ردیف‌های رویداد تخت (Flat event rows)، نشانگرهای محدوده (Scope markers) و نشانگرهای حل‌کننده (Resolver markers) استفاده می‌کند. این ساختارهای داخلی وارد نقطه‌پایان، هدر توصیف‌گر یا وضعیت زمان‌اجرای Pico نمی‌شوند. این طراحی تضمین می‌کند که استفاده مجدد از یک آرتیفکت تصویرشده برای نشست‌های ایزوله متعدد، باعث افزایش تعداد انواع نقطه‌پایان نشود.
معماری بهینه‌شده برای منابع محدود
Hibana به‌طور خاص برای محیط‌هایی طراحی شده که حافظه در آن‌ها یک کالای لوکس است. این هسته به‌طور کامل no_std است و به هیچ تخصیص‌دهنده حافظه (Heap Allocator) نیاز ندارد، که آن را برای کوچک‌ترین سخت‌افزارهای جاسازی‌شده (Embedded) ایده‌آل می‌کند. این رویکرد بهینه‌سازی حداکثری در Rust، مشابه استراتژی‌هایی است که در پروژه Deltafin برای حذف لایه‌های پایتون و دستیابی به استنتاج بومی به کار گرفته شد تا کارایی سیستم به بالاترین سطح ممکن برسد.
- ذخیره‌سازی: زمان‌اجرا به‌جای بافرهای داخلی، از حافظه‌ای که توسط فراخواننده تامین شده استفاده می‌کند. تنها مسیر ساخت،
SessionKitStorage::uninit().init()است. تصویرسازی، مشارکت در مسیر و حسابداری پیوست‌ها، حافظه خود را از رویدادهای واقعی و شرکت‌کنندگان محلی می‌گیرند؛ زمان‌اجرا یک جدول نقش ۲۵۶ ورودی را رزرو نمی‌کند. - توصیف‌گرهای فشرده: وضعیت پروتکل به‌جای انواع Continuation متمایز در Rust، در توصیف‌گرها (Descriptors) نگه داشته می‌شود تا از رشد حجم انواع نقطه‌پایان با مقیاس‌پذیری پروتکل‌ها جلوگیری شود.
- دامنه نقش‌ها: این سیستم از حداکثر ۲۵۶ نقش با استفاده از یک دامنه تک‌بایتی (۰ تا ۲۵۵) پشتیبانی می‌کند.
- ردپای حافظه: بر اساس گزارش‌های فنی، در هدف
thumbv6m-none-eabiمقدار مصرف SRAM برای زمان‌اجرا ۵,۲۷۴ بایت و بیشینه پشتهٔ عملیاتی (High-water mark) ۲,۵۹۱ بایت اندازه‌گیری شده است. بخش‌های rlib بدون پیش‌فرض ۹۷,۳۴۴ بایت بودند که زیر سقف ۱۶۹,۹۶۵ بایت باقی ماندند.
زبان پروتکل و عملیات
این DSL اجازه می‌دهد الگوهای تعاملی پیچیده‌تر از توالی‌های خطی ساده ایجاد شوند. توسعه‌دهندگان می‌توانند از g::seq برای مراحل متوالی و g::par برای جریان‌های مستقلی که می‌توانند به‌طور هم‌زمان پیش بروند، استفاده کنند.
ابزارهای بنیادی زبان:
g::send::<FROM, TO, g::Msg<LABEL, PAYLOAD>>(): ارسال پیام‌های ناهمگام. یک ارسال موفق، فریم را بدون انتظار برای دریافت طرف مقابل، به حامل (Carrier) منتقل می‌کند.g::seq(left, right): تضمین می‌کند بازوی چپ پیش از راست اجرا شود.g::par(left, right): بازوهای مستقلی که می‌توانند هم‌زمان پیش بروند. تصویرسازی، مسیرهای منطقی (Lanes) را تخصیص می‌دهد و عملیات محلی هم‌زمانی را که به‌طور دقیق قابل انتخاب نیستند، رد می‌کند.g::route(left, right): یک انتخاب دوتایی بین دو بازوی پروتکل..roll(): یک ناحیه ساختاری محافظت‌شده که امکان ورود مجدد را فراهم می‌کند. برای حل‌کننده‌های صریح مسیر، ابتدا مسیر باید حل شود و سپس ناحیه اطراف آن Roll شود. ترتیب فراخوانی معکوس در دسترس نیست زیراresolve::<ID>()متعلق به مقدار مسیر است، نه نتیجهٔ Rolled شده.
برای تصمیم‌گیری، Hibana از مسیرهای باینری استفاده می‌کند. یک مسیر می‌تواند از طریق یک پیام (In-band) یا به‌صورت خارجی توسط یک ResolverRef تایپ‌شده انتخاب شود. اگر سیگنالی غیر از پیام (مانند تایمر یا بودجه) تصمیم‌گیرنده باشد، مسیر با .resolve::<ID>() علامت‌گذاری شده و یک ResolverRef::<ID>::decision_state(...) نصب می‌شود.
پیام‌ها و محموله‌ها (Payloads)
پیام‌ها به صورت g::Msg<L, P> تعریف می‌شوند که L برچسب منطقی و P محمولهٔ انتقال (Wire payload) است. Hibana کدک‌های داخلی برای انواع داده‌ای پایه مانند ()، bool، اعداد صحیح، اسلایس‌های بایت و آرایه‌های بایت با اندازه ثابت فراهم کرده است. رمزگشایان با عرض ثابت، بایت‌های اضافی در انتها را رد می‌کنند.
محموله‌های سفارشی باید برای نوشتن بایت‌های قطعی، WireEncode و برای اعتبارسنجی، WirePayload را پیاده‌سازی کنند. متد WireEncode::encode_into طول داده را گزارش می‌دهد، در حالی که WirePayload::validate_payload شکل بایت‌های استاندارد را پیش از ثبت پیشرفت تایید می‌کند. در نهایت، WirePayload::decode_validated_payload بایت‌ها را رمزگشایی می‌کند.
هر محموله سفارشی به یک SCHEMA_ID (یک عدد u32) نیاز دارد تا قرارداد انتقال استاندارد آن در توصیف‌گر نام‌گذاری شود. طرح (Schema) شماره ۰ برای طرح واحد صفر-بایتی رزرو شده است. Hibana تضمین می‌کند که رمزگشا بایت‌های دریافتی را پیش از ثبت پیشرفت پروتکل بپذیرد.
بی‌طرفی در لایه انتقال (Transport Neutrality)
Hibana پشتهٔ شبکه مخصوص به خود را ندارد. در عوض، یک Trait به نام Transport تعریف می‌کند که یکپارچه‌ساز باید آن را پیاده‌سازی کند. این Trait جابجایی فیزیکی بایت‌ها را از طریق پنج عملیات اصلی مدیریت می‌کند:
open(PortOpen): ایجاد دستگیره‌های Tx/Rx متصل به نقش محلی، شناسه نشست (SessionId) و مسیر (Lane).poll_send(tx, Outgoing, cx): پیشبرد یک فریم به مالکیت حامل. اگر مقدارPendingبرگرداند، حامل نباید اشاره‌گر محموله قبلی را نگه دارد.cancel_send(tx): حذف وضعیت‌های متعلق به حامل برای ارسال‌های لغو شده.poll_recv(rx, cx): بازگرداندن یکReceivedFrameقرض‌گرفته‌شده و ذخیره waker فعلی.requeue(rx): قابل مشاهده کردن مجدد فریم‌های رد شده روی همان دستگیره پس از یک رد بدون ثبت (Zero-commit rejection).
برای تبدیل اجرای محلی به یک تضمین جهانی، حامل باید تحویل FIFO و عدم تکرار (Replay exclusion) را تضمین کند. زمان‌اجرا از یک هدر ۸ بایتی شامل شناسه نشست (۴ بایت، Big endian)، مسیر، نقش منبع، نقش هدف و برچسب فریم برای اعتبارسنجی هر پیام ورودی استفاده می‌کند.
پشته تایید رسمی (Formal Verification)
Hibana برای تضمین صحت هسته خود از استراتژی تایید چندگانه استفاده می‌کند:
- Lean: اثبات معناشناسی جهانی و محلی، آرتیفکت‌های تصویرسازی و پیشرفت پروتکل. این ابزار اثبات می‌کند که اگر تمام نقش‌ها از تصاویر تصویرشده خود پیروی کنند، پروتکل بدون بن‌بست است (به شرط انطباق حامل). همچنین حقایق «باید» (Must facts) را برای هر اجرای بازوی انتخاب‌شده اثبات می‌کند.
- Kani/CBMC: بررسی جامع و محدود (Bounded exhaustive checks) هسته‌های Prepare/Commit و وضعیت مالکیت.
- Miri: اعتبارسنجی منشأ سخت‌گیرانه (Strict provenance)، Borrowing، رفتار Drop و ورود مجدد Callbackها.
- Rust Tests: مثال‌های قابل اجرا و گیت‌های انتشار برای بررسی انطباق حامل و رگرسیون‌های منابع.
تحلیل: جابجایی مرز اعتماد
برای اکوسیستم Rust، Hibana بارِ صحت را از دوش پیاده‌سازی هر نقش به دوش تعریف کورئوگرافی منتقل می‌کند. با تبدیل «منبع حقیقت» به یک آرتیفکت جهانی واحد، دسته‌ای از باگ‌ها که ناشی از اختلاف نظر دو توسعه‌دهنده درباره ترتیب پیام‌ها در یک سیستم توزیع‌شده است، به‌طور کلی حذف می‌شوند.
این موضوع به‌ویژه برای بخش‌های صنعتی و هوافضا حیاتی است. در این حوزه‌ها، هزینه یک خطای پروتکل فاجعه‌بار است. ارائه یک اثبات ماشین‌خوان از اینکه سیستم نمی‌تواند وارد وضعیتی نامعتبر شود — بدون نیاز به زمان‌اجرای سنگین یا Garbage Collector — مانع بزرگی را برای استفاده از Rust در کنترل‌های توزیع‌شده حساس به ایمنی برمی‌دارد.
جزئیات پیاده‌سازی
مرز زمان‌اجرا:
مالکان یکپارچه‌سازی مسئول توزیع تصاویر نقش پذیرفته‌شده، مدیریت عادلانه عملیات و پیاده‌سازی حامل هستند. Hibana مالک معنای کورئوگرافی و مرجع تصمیم‌گیری مسیرهاست. تابع RendezvousKit::enter یک نقش تصویرشده را به نشست متصل می‌کند و SessionKit::rendezvous ناحیه ذخیره‌سازی را به یک Transport متصل می‌سازد.
محدودیت‌های توصیف‌گر:
برای حفظ ردپای فشرده، Hibana محدودیت‌های دامنه صریحی را اعمال می‌کند:
- نقش‌ها: ۰ تا ۲۵۵ (دامنه u8).
- شناسه رویدادها: حداکثر ۶۵,۵۳۵ (دامنه u16).
- تصویر برنامه: حداکثر ۶۵,۵۳۵ بایت.
- برنامه‌های فقط-اتم: سقف ۷,۲۸۱ رویداد (۶۵,۵۳۵ تقسیم بر ۹).
- رنگ‌های فریم ورودی: حداکثر ۲۵۶ کاندید دریافت هم‌زمان برای یک کلید منبع/گیرنده/مسیر. این‌ها شماره پیام‌های تجمعی نیستند؛ بیش از ۲۵۶ پیام ترتیبی می‌توانند از یک رنگ مجدداً استفاده کنند.
- دامنه داخلی Scope-ID: شامل ۸,۱۹۲ شناسه، هرچند معمولاً سقف بایت‌ها زودتر محدودیت ایجاد می‌کند.
معناشناسی شکست
Hibana از انواع خطای مشخص برای مرزهای مختلف استفاده می‌کند:
AttachError: برای شکست در ذخیره‌سازی، تصویر توصیف‌گر، اجاره نقش یا پذیرش اتصال. تصویری با تفاوت بایتی یا اتصال زنده دوم برای یک (rendezvous, SessionId, role) یکسان رد می‌شود.ResolverError: زمانی که ثبت شکست بخورد یا مالک تصمیم، گام مسیر را رد کند. شکست حل‌کننده، گام را رد می‌کند اما بازوی دیگری را انتخاب نمی‌کند.TransportError: برای خطاهای I/O در سطح حامل، ضرب‌الاجل (Deadline)، ظرفیت یا شواهد مرگبار.EndpointError: یک تشخیص نهایی که نشان می‌دهد نسل فعلی نشست نمی‌تواند ادامه یابد. این خطا توسط عدم تطابق کدک یا توصیف‌گر تحریک می‌شود. هیچ عملیات بازتلاش (Retry) یا Timeout عمومی برای همان نسل وجود ندارد.
گام بعدی شما
- برای شروع، مثال
ping_pongدر مخزن Hibana را بررسی کنید تا ببینید یک پروتکل دو-نقشی چگونه تصویر و اجرا می‌شود. این مثال ازg::seqبرای تعریف یک تبادل ساده وproject()برای ایجادRoleProgramبرای هر دو نقش استفاده می‌کند. - نحوه تعریف توالی‌ها با
g::seqو ایجادRoleProgramرا در محیط محلی خود آزمایش کنید. - منتظر یکپارچگی‌های آتی با ابزارهای تایید رسمی باشید که تولید این کورئوگرافی‌ها را از مشخصات سطح بالا خودکار می‌کنند.
اما داستان سخت‌افزاری این تحول حتی شگفت‌انگیزتر است — به تحلیل ما درباره تراشه‌های بهینه‌شده برای سیستم‌های توزیع‌شده مراجعه کنید.
گفتگو