阅读感悟

暂略

阅读摘录

《凤凰架构：构建可靠的大型分布式系统》

 周志明

 41个笔记

 自序

• 软件工程小说《凤凰项目》（见图1）讲述了徘徊在死亡边缘的凤凰项目在精益方法下浴火重生的故事

 5.2.2 OAuth 2

• [插图]

 第10章 可观测性

• 日志收集和分析大多被统一到Elastic Stack(ELK)技术栈上，如果说未来还能出现什么变化的话，也就是其中的Logstash有被Fluentd取代的趋势，让ELK变成EFK，但整套Elastic Stack技术栈的地位已是相当稳固
• 度量方面，跟随Kubernetes统一容器编排的步伐，Prometheus也击败了度量领域里以Zabbix为代表的众多前辈，即将成为云原生时代度量监控的事实标准，虽然从市场角度来说Prometheus还没有达到Kubernetes那种“拔剑四顾，举世无敌”的程度，但是从社区活跃度上看，Prometheus已占有绝对的优势，在Google和CNCF的推动下，未来可期。
• Kubernetes是CNCF第一个孵化成功的项目，Prometheus是CNCF第二个孵化成功的项目。Kubernetes起源于Google的编排系统Borg，Prometheus起源于Google为Borg做的度量监控系统BorgMon。

 11.1.4 封装系统：LXC

• LXC的出现肯定受到了OpenVZ和Linux-VServer的启发，站在巨人的肩膀上过河并没有什么不对。可惜的是，LXC在设定自己的发展目标时，也被前辈们的影响所局限住了。LXC眼中的容器与OpenVZ和Linux-VServer定义的并无差别，是一种封装系统的轻量级虚拟机，而Docker眼中的容器则是一种封装应用的技术手段。这两种封装理念在技术层面并没有什么本质区别，但应用效果差异巨大
• 以封装系统为出发点，仍是按照先装系统再装软件的思路，就永远无法在一两分钟甚至十几秒钟就构造出一个合乎要求的软件运行环境，也决定了LXC不可能形成今天的容器生态，所以，接下来舞台的聚光灯落到了Docker身上

 11.1.5 封装应用：Docker

• 至少对早期的Docker而言，确实没有什么能构成壁垒的技术，它的容器化能力直接来源于LXC，它的镜像分层组合的文件系统直接来源于AUFS。在Docker开源后不久，有人仅用一百多行Shell脚本便实现了Docker的核心功能（名为Bocker[插图]，提供了docker build/pull/images/ps/run/exec/logs/commit/rm/rmi等功能）。
• 那为何历史选择了Docker，而不是LXC或者其他容器技术呢？对于这个问题，笔者将引用（转述非直译，有所精简）DotCloud公司（当年创造Docker的公司，已于2016年倒闭）创始人Solomon Hykes在Stackoverflow上的一段问答来回应。
• 为了符合OCI标准，Docker推动自身的架构继续向前演进，首先将libcontainer独立出来，封装重构成runC项目，并捐献给Linux基金会管理。runC是OCI运行时的首个参考实现，提出了“让标准容器无所不在”的口号。
• 为了能够兼容所有符合标准的OCI运行时实现，Docker进一步重构了Docker Daemon子系统，将其中与运行时交互的部分抽象为containerd项目，这是一个负责管理容器执行、分发、监控、网络、构建、日志等功能的核心模块，内部会为每个容器运行时创建一个containerd-shim适配进程，默认与runC搭配工作，但也可以切换到其他OCI运行时实现上（然而实际并没做到
• 2016年，Docker把containerd项目捐献给CNCF管理。runC与containerd两个项目的捐赠托管，既是Docker对开源信念执着的追求，也是Docker在众多云计算大厂夹击下无奈的自救，这两个项目将成为未来Docker消亡和存续的伏笔。（看到本节末尾你就能理解这句矛盾的话了。）

 11.1.6 封装集群：Kubernetes

• Kubernetes Master→kubelet→DockerManager→Docker Engine→containerd→runC
• ，现在连LXC都还没有被淘汰，反倒发展出了更加专注于与OpenVZ等系统级虚拟化竞争的LXD，相信Docker本身也很难彻底消亡，如已经习惯使用的CLI界面，已经形成成熟生态的镜像仓库等都应该会长期存在，只是在容器编排领域，未来的Docker很可能只会以runC和containerd的形式存续下去，毕竟它们最初都源于Docker

 11.2.1 隔离与协作

• Docker设计的Dockerfile只允许有一个ENTRYPOINT，这并非无故添加的人为限制，而是因为Docker只能通过监视PID为1的进程（即由ENTRYPOINT启动的进程）的运行状态来判断容器的工作状态是否正常，然后根据状态决定是否执行清理自动重启等操作。

 11.2.2 韧性与弹性

• 故障恢复、滚动更新、自动扩缩这些特性，在云原生时代里常被概括成服务的韧性(Resilience)与弹性(Elasticity)，ReplicaSet、Deployment、Autoscaling的用法，也属于所有Kubernetes教材资料都会讲到的“基础必修课”
• 如果你准备学习Kubernetes或者其他与云原生相关的技术，建议最好不要死记硬背地学习每个资源的元数据文件如何编写、有哪些指令、有哪些功能，而是站在解决问题的角度去理解为什么Kubernetes要设计这些资源和控制器，为什么这些资源和控制器会被设计成现在这种样子

 11.3.1 Kustomize

• 最初，由Kubernetes官方给出的“如何封装应用”的解决方案是“用配置文件来配置配置文件”，这不是绕口令，你可以理解为一种针对YAML的模板引擎的变体
• Kubernetes官方认为应用就是一组具有相同目标的Kubernetes资源的集合
• 如果逐一管理、部署每项资源元数据过于烦琐的话，那就提供一种便捷的方式，把应用中不变的信息与易变的信息分离开以解决管理问题，把应用所有涉及的资源自动生成一个多合一(All-in-One)的整合包以解决部署问题

 11.3.3 Operator与CRD

• 有状态应用(Stateful Application)与无状态应用(Stateless Application)是指应用程序是否要自己持有运行所需的数据，如果程序每次运行都跟首次运行一样，不会依赖之前任何操作遗留下来的痕迹，那它就是无状态的；反之，如果程序推倒重来之后，用户能察觉到该应用已经发生变化，那它就是有状态的
• Operator提供了一种kind:Elasticsearch的自定义资源，在它的帮助下，仅需十行代码，将用户的意图是“部署三个版本为7.9.1的ES集群

 12.1.1 网络通信模型

• 从整体上看，Linux系统的通信过程无论按理论上的OSI七层模型，还是以实际上的TCP/IP四层模型来解构，都明显呈现出“逐层调用，逐层封装”的特点，这种逐层处理的方式与栈结构，譬如程序执行时的方法栈很类似，因此它通常被称为“Linux网络协议栈”，简称“网络栈”，有时也称“协议栈”
• [插图]图12-1 Linux系统下的网络通信模型

 12.1.2 干预网络通信

• 这套名为Netfilter的框架是Linux防火墙和网络的主要维护者Rusty Russell提出并主导设计的，它围绕网络层（IP协议）的周围，埋下了五个钩子(Hook)，每当有数据包流到网络层，经过这些钩子时，就会自动触发由内核模块注册在这里的回调函数，这样程序代码就能够通过回调函数来干预Linux的网络通信
• [插图]

 12.1.3 虚拟化网络设备

• 普通交换机只会单纯地做二层转发，Linux Bridge却还支持把发给它自身的数据包接入主机的三层协议栈中
• 对于通过brctl命令显式接入网桥的设备，Linux Bridge与物理交换机的转发行为是完全一致的，都不允许给接入的设备设置IP地址，因为网桥是根据MAC地址做二层转发的，就算设置了三层的IP地址也毫无意义。然而Linux Bridge与普通交换机的区别是除了显式接入的设备外，它自己也无可分割地连接着一台有着完整网络协议栈的Linux主机，因为Linux Bridge本身肯定是在某台Linux主机上创建的，可以看作Linux Bridge有一个与自己名字相同的隐藏端口，隐式地连接了创建它的那台Linux主机
• Linux Bridge允许给自己设置IP地址，比普通交换机多出一种特殊的转发情况：如果数据包的目的MAC地址为网桥本身，并且网桥设置了IP地址的话，那该数据包即被认为是收到发往创建网桥那台主机的数据包，此数据包将不会转发到任何设备，而是直接交给上层（三层）协议栈去处理
• 此时，网桥就取代了eth0设备来对接协议栈，进行三层协议的处理。设置这条特殊转发规则的好处是：只要通过简单的NAT转换，就可以实现一个最原始的单IP容器网络。这种组网是最基本的容器间通信形式，
• 单臂路由不属于任何VLAN，它与交换机之间的链路允许任何VLAN ID的数据包通过，而这个通信的接口也被称为TRUNK。这样，A1要和B2通信，就要将数据包先发送给路由（只需把路由设置为网关即可），然后路由会根据数据包上的IP地址得知B2的位置，去掉VLAN-A的VLAN Tag，改用VLAN-B的VLAN Tag重新封装数据包后再发回给交换机，交换机收到后就可以顺利转发给B2了

 14.2 服务质量与优先级

• Kubernetes选择哪个节点运行Pod，只会根据requests的值来进行决策；limits才是供cgroups使用的，Kubernetes在向cgroups传递资源配额时，会按照limits的值来进行设置。
• 用户提交工作负载时设置的资源配额，并不是容器调度必须严格遵守的值，因为根据实际经验，大多数的工作负载在运行过程中真正使用到的资源，其实都远小于它所请求的资源配额。
• 要进行驱逐，首先Kubernetes就必须制定资源不足时该先牺牲哪些Pod、保留哪些Pod的明确准则，由此就形成了Kubernetes的服务质量等级(Quality of Service Level，QoS Level)和优先级(Priority)的概念
• Kubernetes目前提供的服务质量等级一共分为三级，由高到低分别为Guaranteed、Burstable和BestEffort
• 如果Pod中所有的容器都设置了limits和requests，且两者的值相等，那此Pod的服务质量等级便为最高的Guaranteed；如果Pod中有部分容器的requests值小于limits值，或者只设置了requests而未设置limits，那此Pod的服务质量等级为第二级Burstable；如果是上文说的那种情况，limits和requests两个都没设置则属于最低的BestEffort

 14.3 驱逐机制

• Pod的驱逐机制是通过kubelet来执行的，kubelet是部署在每个节点的集群管理程序，由于本身就运行在节点中，所以最容易感知到节点的资源实时消耗情况。kubelet一旦发现某种不可压缩资源将要耗尽时，就会主动终止节点上较低服务质量等级的Pod，以保证其他更重要的Pod的安全。被驱逐的Pod中的所有容器都会被终止，Pod的状态也会被更改为Failed
• ·软驱逐：通常配置一个较低的警戒线（譬如可用内存仅剩20%），触及此线时，系统将进入一段观察期。如果只是暂时的资源抖动，在观察期内能够恢复到正常水平的话，那就不会真正启动驱逐操作。否则，若资源持续超过警戒线一段时间，就会触发Pod的优雅退出(Grace Shutdown)，系统会通知Pod进行必要的清理工作（譬如将缓存的数据落盘），然后自行结束。在优雅退出期结束后，系统会强制杀掉还未曾自行了断的Pod
• 硬驱逐：通常配置一个较高的终止线（譬如可用内存仅剩10%），一旦触及此红线，立即强制杀掉Pod，而不会优雅退出
• 软驱逐是为了减少资源抖动对服务的影响，硬驱逐是为了保障核心系统的稳定
• 总而言之，在Kubernetes还没有成熟到变为“傻瓜式”容器编排系统之前，因地制宜地配置和运维是非常必要的

 来自微信读书

阅读感悟

暂略

阅读笔记

《芯片战争：世界最关键技术的争夺战（财之道丛书）》

 克里斯·米勒

 17个笔记

 推荐序 国运升级点

• 客观地说，当今中国的经济和科技发展水平，不但比不了美国，而且连20世纪80年代正在崛起中的日本都比不了。当时日本已经有索尼、夏普、丰田、本田、东芝、佳能、尼康等一系列拥有自己的核心技术、自己的设计、自己的品牌，且受到全世界消费者追捧的公司。日本曾经在芯片上把美国打到近乎绝望。就连韩国，早在一二十年前，也已经有了三星、LG、现代这样的全球知名企业。而当今中国除了华为和字节跳动，全球品牌还很少，独家技术也很少
• 中国排在前列的大公司都是像石油、银行、电网和电信这些国有企业，一些国产品牌只在中国能做到家喻户晓。中国经济体量大、数字好看，而我们的真实经济实力，特别是创新能力，距离发达国家还很远
• 中国被“卡脖子”的绝不仅仅是芯片。我们在工业母机、医疗仪器、农牧业育种等很多领域都受制于人。我们的产业升级远远没有完成。芯片只是一个聚焦点，但是透过芯片，我们也许可以反思一下一些人过去那种比较幼稚的世界观
• 简单说，米勒这本书能纠正我们三个错误认知。
• 第一个错误认知是任何高科技都可以用“堆积”的方法获得。
• 不可堆积的东西往往要求高水平人才的奇思妙想，要求复杂的环境，要求可遇不可求的机遇。
• 而要造芯片，从芯片设计软件到光刻机，再到硅材料，每一个步骤都需要很多个聪明人的奇思妙想，这里没有“大力出奇迹”。你需要成千上万个“邓稼先”和“于敏”，而且他们必须都在自己的行业里做得树大根深。
• 芯片的科学原理没有秘密，都是公开的。但是要做到技术上的可行性，尤其是商业上的可盈利性，那可就太难了。花一亿元人民币造出一颗芯片是没有意义的，我们必须保证大规模制造、保证良品率、保证更新速度，还得保证做出来很便宜才行
• 现实是中国制造从未离开过全世界的技术支持
• 是，我们现在有一些像量子信息、碳纳米管芯片之类的领先研究，但是这些都还处于探索科学可能性的阶段——全世界有无数个类似的研究在赌，它们距离技术可行性、商业可盈利性还差十万八千里，根本谈不上“第四次工业革命”。
• 第二个错误认知是创新应该由政府来主导。
• 第三个错误认知是我们应该独立自主。
• 现实是就芯片技术而言，连美国都不能独立自主。美国必须依赖荷兰的光刻机、日本的硅片和中国台湾的制造
• 所谓的芯片战，美国卡中国脖子，恰恰就是逼着中国去独立自主。这叫作“把互相依赖武器化”：为了打击你，我不让你依赖我
• 互相依赖是一种生存条件，被孤立是一种打压。现代化已经形成了一个全球“圈子”，只有圈里人得到这个圈的各种好处和帮助，互相依赖，才能把事情做成，独立于圈外没有任何前途。
• 不被卡脖子的正确做法不是独立自主，而是让自己变得更值得依赖，让包括美国在内的全世界不得不依赖我们，以此跟美国讨价还价，若你要再敢卡我脖子我就卡你脖子
• 然而进入21世纪，中国经济就到了下一个阶段。允许引进的技术已经引进完毕，剩下的得自己研发，创新走到了无人区。人口步入老龄化，劳动力越来越贵。全球化在退潮，美国等国家已经不拿中国当发展中国家，开始对抗

 来自微信读书

解密

《解密（陈思诚导演，刘昊然主演电影同步上映中）》

麦家 66个笔记

02

◆ 牛顿数学桥是剑桥大学城里的一大景观，全桥由7177根大小不一的木头衔接而成，有10299个接口，如果以一个接口用一枚铁钉来计算，那么至少需要10299枚铁钉。但牛顿把所有铁钉都倒进了河里，整座桥没用一枚铁钉，这就是数学的奇妙。

◆ 由著名数学家佩德罗·爱默博士担任主席的牛顿数学桥评审委员会为此作出承诺，谁只要在此基数上再减少铁钉数量，哪怕只少一枚，就能直接荣获剑桥大学数学博士学位。表妹后来就是这样得到剑桥数学博士学位的，因为她设计的数学桥只用了388枚铁钉

◆ 容算盘·黎黎即为表妹的洋名字，在容家族谱上，她的名字叫容幼英，系容家第八代后人。而那两位把她从剑桥大学请走的人，就是人类飞机史上的第一人：莱特兄弟。

◆ 一九四三年十月的一天，日本鬼子把战火烧进N大学校园，佩德罗·爱默博士赠送的稀世之宝——牛顿数学桥250∶1模型，毁于一场野蛮又愚蠢的大火中，而桥的设计主人早在二十九年前，也就是佩德罗·爱默博士访问N大学的次年，便已辞别人世，终年不到四十岁

01

◆ 在面临弃与不弃的重要关头，是小东西和他祖母的那点宿命的挂相保救了他，把他留在了容家深宅里。

02

◆ 小黎黎合起书看了看封面，居然是一册英文版的《大不列颠百科全书》。

◆ 你老是不开口，难道真是哑巴？”小黎黎说，声音里带点儿指责的意思，“如果是的就跟我再点个头，如果不是就对我开口说话。”为了怕他听不懂国语，小黎黎还用英语重复了这段话。

04

◆ 马是把世界变小的，船是把世界变大的，汽车则把世界变成了魔术

◆ 男人女相，连鬼都怕。意思是男人生女相，既阳又阴，阴阳相济，刚中带柔，极易造就一个男人变龙成虎，做人上人。因此，民间派生出各式各样指望阴阳相济的方式方法，包括取名字，有些望子成龙的父亲刻意给儿子取女人名，以期造就一个大男人。

◆ 因为只有一只手，程在当老师期间就被人叫做一把手，如今当了校长，可谓是名副其实的一把手了

05

◆ 小黎黎说：“据我所知，精确地计算，地球围绕太阳转一圈的时间应该是365天零5小时48分46秒，为什么要有闰年？就因为这个原因

◆ 一般上几万的数字，计算允许的误差标准是千分之一，超过了千分之一，可以确定你是算错了，否则就该属于合理的误差

◆ 在此基础上，他又无师自通地摸索出等差数列求和的演算公式，即：X=［（第1项数值+最后一项数值）×项数］/2[1]换句话说，等于是他发明了这个公

◆ 小黎黎认为，像他这样对未知世界有强烈探索精神的人，更需要一步步深入地学，通晓知识，免得日后把才华荒唐地浪费在已知领域里。

06

◆ N大学的数学系一向是好名在外的，曾经有数学家摇篮之称。据说，十五年前，C市文艺界的一位大红人在沿海受到某些地域上的奚落时，曾语出惊人，说：“我们C市再落魄嘛，起码还有一所了不起的N大学，即使N大学也落魄了，起码还有一个数学系，那是世界顶尖级的，难道你们也奚落得了？”

◆ 突然，希伊斯惊叫道：“嗬——！我看出来了，你是大楼前那尊塑像的后代，那个女黎黎的后代，容算盘·黎黎的后代！告诉我，你是她的后代吗？是儿子还是孙子？”

07

◆ 原来希伊斯这次回欧洲，为自己这些年学术上的碌碌无为深感失落，受了刺激，也受了启发，带回来了一个宏大的科研计划，决定要研究人的大脑内部结构。现在我们讲人工智能似乎一点也不新奇，都知道，但当时人类第一台计算机才诞生不久[插图]，他就敏感这一点，应该说意识是相当超前的。与他宏大的科研计划相比，他带的书又似乎是少了，恕不外借也就不难理解了

◆ 不解实情的人就说洋教授是想利用珍弟的才智为自己搞研究。你知道，这种说法是最容易在校园里盛传开来的，因为是揭人的短嘛，说的人痛快，听的人过瘾，就是这样的。我听了，还曾为此专门问过珍弟，他矢口否认。后来我父亲又问他，他也说是没有的事。

08

◆ 有原子弹之父之称的美国科学家兼实业家罗伯特·奥本海默曾说过：在所有科学中，时间是真正的难题；在一个无限的时间内，所有的人将发现世上所有的秘密

09

◆ 我尚有的半辈子来赌一赌解破人脑奥秘科学，殊不知，赌局刚摆开就不得不放弃。为什么放弃这是我的秘密，总的说我不是由于困难和害怕放弃的，而是出于族人（犹太人）的殷切愿望

◆ 不用说，这些年我一直在为我的同胞干着一件非常紧要又秘密的事情，他们的困难和愿望感动了我，让我放弃了理想。如果您对此有尝试的兴趣，这就是我说这么多的目的了

10

◆ 原来珍弟确定的论文选题内容是建立在世界著名数学家格·伟纳科的数字双向理论基础上的，从选题学术性上讲，可以说是对数字双向理论的模拟证明。而伟纳科当时是科学界出名的反共分子，据说他门前贴有一张纸条，上面写着：亲随共产主义者不得入内

◆ 较好地阐述了关于研制人造大脑的症结——人大脑拥有的模糊意识。模糊就是不清晰，就是无法全知，也就是无法再造。所以，他提出，在现有程式下，人脑难有彻底再造的乐观前程，只能是尽量接近而已。

◆ 对付魔鬼的最好办法，是让我们挑战魔鬼，让魔鬼看到我们的力量。伟纳科是科学圣殿中的魔鬼，长期以来作威作福，贻害甚深，亟待我们来清算他。这是一篇清算伟纳科谬论的檄文，声音虽然模糊了些，但可抛砖引玉。

◆ 这在当时可以说是给论文画了一个化险的符，也等于给它签发了一本问世的通行证。

◆ 三项决定是：一　同意父亲辞去校长职务；二　国家将拨专项资金，在N大学数学系设立电子计算机研究课题组；三　课题组筹建工作由父亲负责。

◆ 从学术开始，以仕途结束，这是中国知识分子的毛病之一，现在老人突然想治治自己的毛病呢，是悲是喜，看来只有让时间回答

◆ 毕竟搞人造电脑不像生个人脑，人类似乎只要让某个男人和某个女人恰到好处地睡上一觉，某个人脑就会像树一样长出来

03

◆ 在老夫人心里，送行饭起码要达到如下四项特殊要求：1.主食必须是一碗面食，取的是长寿平安的意思。2.面又必须是荞麦面；荞麦面比一般面要柔韧，意思是一个人在外要能屈能伸。3.调味时必须要加酸醋、辣椒和桃仁；桃仁是苦的，意思是酸甜苦辣味，其中酸、苦、辣三味都留在了家里，出去就只有甜了。4.数量上宁少毋多，因为到时必须金珍吃得滴水不剩的，以象征圆圆满满。

◆ 这是一九五六年六月十一日凌晨五点多钟，就是从这一刻起，几乎像一棵树又像一个传说一样在N大学校园里既沉静又喧嚣地度过十余年的数学天才金珍，即将踏上神秘的不归路

◆ 以后，人们只知道他待在某一个地方，这地方的通信地址是——本市三十六号信箱。仿佛很近，就在身边。可实际上无人知晓这究竟是个什么地方——

◆ 曾问过几个在邮局工作的学生，本市三十六号信箱是个什么单位、在哪里，得到的答复都是不知道，好像这是地球以外的一个地址。开始我们都以为这地方就在本市，但当我们收到珍弟第一封来信时，信在路上走的时间告诉我们，这不过是个掩人耳目的东西。他去的地方可能很远，甚至可能在很远的地方的地底下

◆ 他第一封信是走后第三天写的，我们是在第十二天收到的

◆ 是珍弟走的当年冬天，十二月份，有天晚上，外面刮着大风，天气骤然降温，吃饭的时候，父亲突然觉得有点头痛，都以为是着凉引起的，所以他吃了几片阿司匹林后，便早早上楼去休息了。没几个小时，等母亲上床去休息时，发现父亲身上还是热乎的，但人已没了气息。父亲就这样去世了，好像睡前吃的几片药是毒药，好像父亲知道没有珍弟他的课题研究注定要流产，所以就干净利索地结束了自己。当然，事实不是这样的，是脑溢血夺走了父亲的生命。

◆ 珍弟走后第三天，一个曾多次代表珍弟单位来我家表示节日慰问的人，给我们送来一份由当时省军区和省革委会联合下发的大红头文件，内容是说：容金珍是受党中央、国务院、中央军委表彰的革命英雄，其家庭是革命之家、光荣之家，任何单位、组织和个人不得擅自入内，更不能以任何名义对英雄亲人采取错误的革命行为等。上面还有一手批示——违者一律以反革命处置！是当时省军区司令员亲笔签署的。这不啻是一把尚方宝剑，正是靠着它，我们家后来再没有遇到任何麻烦，包括我哥，先是靠它调回到N大学，后来他决定出国，也是靠它才出去成的。我哥是搞超导研究的，当时在国内哪有条件？只好出去，可你想想，那个时候要出国有多难。从某种意义上说，在那个特殊的年代，是珍弟给我们提供并创造了正常甚至是理想的生活和工作环境

04

◆ 跟容先生一样，郑瘸子是我完成这个故事的一个重要人物，我在采访容先生之前就曾采访过他，并与他建立了十分友好的关系。那时候，他已经六十多岁，皮肉上的疏松已经不可避免地渗透到骨头里，所以跛足也不可避免地变得更跛，再不可能凭借一两个鞋后跟来解决问题，只好拄起了拐杖。正如有人说的，他拄拐杖的样子显得很威严，不过我想，威严也许不是来自拐杖，而是来自他的头衔。我结识他时，他是特别单位701的头号人物，一局之长。人到这份上，瘸子自然是没人敢喊了，即使他要你喊你都不敢，再说人到这份上，有官衔，又有年纪，可以称呼的称呼也多了。

◆ 我看不见得！难道你觉得靠一颗原子弹可以打赢一场战争吗？而靠容金珍我们几乎可以打赢每一场战争。原子弹是象征我们国力的，是插上鲜花给人看的，而容金珍干的事是看别人，是从风中听人的心跳声，看人家深藏的秘密。只有知彼知己，方能百战不殆，所以，依我看，从军事的角度说，容金珍干的事比造原子弹还要有实际意义。”容金珍干的事是破译密码——

◆ 破译事业是一位天才努力揣摩另一位天才的心的事业，是男子汉的最最高级的厮杀和搏斗。这桩神秘又阴暗的勾当，把人类众多的精英纠集在一起，为的不是什么，而只是为了猜想由几个简单的阿拉伯数字演绎的秘密。这听来似乎很好玩，像出游戏，然而人类众多精英却被这场游戏折磨得死去活来。

◆ 破密家的悲哀也在于此！在人类历史上，葬送于破译界的天才无疑是最多的。换句话说，能够把一个个甚至一代代天才埋葬掉的，世上大概也只有该死的密码了，它把人类大批精英圈在一起似乎不是要使用他们的天才，而只是想叫他们活活憋死，悄悄埋葬。所以，难怪人们都说破译事业是人类最残酷的事业

07

◆ 密码的本质是反科学、反文明的，是人类毒杀科学和科学家的阴谋和陷阱。这里面需要智慧，但却是魔鬼的智慧，只会使人类变得更加奸诈、邪恶；这里面充满挑战，但却是无聊的挑战，对人类进步一无是处。

◆ 如果实在无法回头，那么金珍，我亲爱的金珍，请无论如何记着我说的，在你们试图破译的多部密码中，你可以选择任何一部，但决不能选择X国的紫密

◆ 紫密是当时701面临的一种最为高级的密码，有种未经证实的说法，说紫密是某宗教团体用重金加上黑社会的手段，引诱加威胁地强迫一位科学家研制的，但研制成功后，由于它设置的机关太多，难度太大，密中有密，错综复杂，深不见底，以致主人根本无力使用，最后才转卖给X国，成了X国军方目前使用的顶级密码，也是701当前最渴望破译的一部密码。

◆ 事实上，棋疯子正是因为破译紫密而被逼疯的，换句话说，棋疯子就是被制造紫密的那位未名科学家逼疯的。而没逼疯的也不是因为他们的精神有多强大，而是因为胆怯、聪明，连碰都不去碰它——紫密！聪明让他们预先知道碰它的结果，所以不碰它显然再次证明他们是聪明的。这是一个陷阱、黑洞，聪明的人躲开了它，勇敢的人疯了，疯了的人让人们更加敬畏它，回避它，躲开它。这就是701破译紫密的现状，令人心急如焚，却又百般无奈。

◆ 现在——事实证明，这只大头大脑的癞蛤蟆不但具有天才的才能，还有天才的运气。星辰之外的运气。祖坟青烟直冒的运气。

08

◆ 通过每张图表简洁的中文注解，我马上明白，这些图表其实是《世界密码史》的重写，然而要没有这些注解，我是怎么也看不出究竟的。《世界密码史》是一套洋洋三百万字的巨书，他能够如此简洁地提拎出来，而且是采用这种特殊的数列方式，这首先强烈地震惊了我。好像一具人体，能够剔除皮肉以其骨架的形式传真已是一个天才的作为，而他根本不要骨架，只掰了一截手指骨。你想想，以一截手指骨就将一个人体活脱脱地展现出来，这是一种什么样的能力！

◆ 说真的，容金珍确实是个天才，他身上有很多我们不能想象的东西，他可以几个月甚至一年时间不跟任何人说一句话，把沉默当做饭一样吃，而当他开口时，一句话又很可能把你一辈子的话都说尽了

◆ 他说，我相信世上密码与一具生命是一样的，活着的，一代密码与另一代密码丝丝相联，同一时代的各部密码又幽幽呼应，我们要解破今天的哪本密码，谜底很可能就藏在前人的某本密码中。

◆ 听了他的两条线之理论后，我没有理所应当地去驳斥他，而是默默地生出了几分敬佩，且隐隐嫉恨，因为他显然站到我前面去了

◆ 完全可以这么说，在众多史林中密码史无疑是最沉默、最冷清的，那里面无人问津，那里面无人敢问津！破译家的悲哀正是因此而生，他们失去了历史这面镜子，失去了从同仁成果中吸取养料的天律。他们的事业是那么艰难深奥，而他们的心灵又是那么孤独无伴，前辈之身躯难以成为他们高站的台阶，却常常变成一道紧闭的门，吃人的陷阱，迫使他们绕道而行，另辟蹊径。依我看，世上没有哪项事业需要像密码一样割裂历史，反叛历史。历史成了后来者的包袱和困难，这是多么残酷，多么无情。所以，葬送于密码界的天才往往是科学界最多的，葬送率之高令人扼腕悲号啊！

01

◆ 荣誉和职业已使他变得如玻璃似的透明、易碎，这是没有办法的，而他自己又把这种感觉无限地扩大、细致，那就更没法了

02

◆ 什么叫不虚此行？有了这些东西就叫不虚此行

04

◆ 直接投入破案人员有3700多人，其中包括容金珍和瓦西里。直接被查询人员有2141位乘客、43名列车工作人员和B市600多名着军便装的小伙子。火车因此延误时间5小时30分钟。B市秘密管制时间484小时，即20天零4小时。人们说，这是G省历史上从未有过的一个巨大而神秘的案子，几万人为之惊动，几个城市为之颤抖，其规模和深度实为前所未有！

03

◆ 前面说过，密码界不允许出现两个相似的心灵，相似的心灵是一堆垃圾。因此，密码界还有一条不成文的规定，简直是铁律：一个人只能制造或破译一本密码！因为制造或破译了一本密码的人，他的心灵已被他自己的过去吸住，那么这心灵也等于被抛弃了。由此，从原则上说，容金珍后来是不应该再去承担破译黑密的任务的，因为他的心灵已属于紫密，若要再破黑密，除非他将心灵粉碎了重新再铸。

04

◆ 4.这问题[插图]你自己去想，我回答不了。总的说，希（伊斯）是个科学家，政治上很幼稚，所以很容易被伤害，也很容易被利用。而你刚才说的有些东西（指希伊斯激烈的反共行为）是子虚乌有的，我敢说没这样的事！

05

◆ “所有从事破译工作的人，命运中和棋类游戏都有着一种天然的联系，尤其是那些平庸之辈，最后无一例外地都会迷恋于棋术，就好比有些海盗、毒枭，晚年会亲近于慈善事业一样。”

06

◆ 还有一个怪异，我不知你能否理解，就是：黑密作为一本高级密码，当时启用三年我们却逮不到它一丝差错，就像一个正常人模仿一个疯人讲疯话，三年滴水不漏，不显真迹，这种现象在密码史上极为少见。对此容金珍很早就曾同我们探讨过，认为这很不正常，再三提出质疑，甚至怀疑黑密就是过去某部密码的抄袭。因为只有经过使用，也就是经过修改的密码，才可能如此完美，否则除非造密者是个天神，是个我们不能想象的大天才。

◆ 你可以想象，这样下去，我顶多成为一个走出九十九步的容金珍，那最后一步将永远埋在黑暗里。时间也许可以让容金珍走出最后一步，而我却不能，因为我刚才说过，我只是趴在他身上的一个孩童，现在他倒下了，我自然也跟着倒下了。这时候，我才发现，容金珍留给我笔记本，其实是给了我一个悲哀，它让我站到胜利的前沿，胜利的光辉依稀可见，却永远无法触摸、抓到。这是多么可悲可怜！我对自己当时的处境充满恐慌和无奈。

◆ 说真的，谁想得到，就是这样一位天才人物，一个如此强大而可怕的人（笔记本使我深感容金珍的强大和可怕），一个有着如此高度和深度的人，人类的精英，破译界的英雄，最后竟然被一个街头小偷无意间地轻轻一击，就击得粉碎。这使我感到神秘的荒唐，而且这种荒唐非常震惊我

◆ 最后，老人还告诉我：对方所以制造黑密这部没有密锁的密码，是因为他们从紫密被破译的悲惨命运中已看到了自己所处的绝境。他们知道，一次交锋已使他们深悉容金珍的天才和神奇，若是一味追求正面交锋，肯定必死无疑，于是便冒天下之大不韪，疯狂地使出了这生僻、怪诞的毒招。

◆ ：容金珍通过自己的灾难——这种神奇又神奇的方式，向他的同仁显示黑密怪诞的奥秘，这是人类破译史上绝无仅有的一笔！

03

◆ 洋先生的死亡是从喉咙开始的，也许是对他一生热衷于圆梦事业的报复吧，总的说，他的一生得益于巧舌如簧的嘴巴，也祸害于这张游说于阴阳间的乌鸦嘴。在给小黎黎酝酿遗书之前，他基本上已经失声无语，这也使他预感到死期的来临，所以才张罗起大头虫的前程后事

◆ 因为只有一只眼，腿脚又不灵便，每天在枯坐静坐中度过，渐渐地他不可避免地有了便秘的忧患，严重时令他徒有生不如死的感觉。那年入冬，便秘的毛病又发作了，他沿用往常的办法，早晨醒来后猛灌一大碗生冷的凉开水，然后又接连地灌，企盼迎来一场必要的肠绞腹痛。但这次便秘似乎有些顽固，几天过去，凉开水下去一杯又一杯，肚子里却迟迟不见反应，静若止水的，令他深感痛苦和绝望。这天晚上，他从镇上拣草药回来，趁着黑就把出门前备好的一碗凉水一饮而尽。因为喝得快，到最后他才觉出这水的味道有些异怪，同时还有一大把烂东西随水一道冲入胃肚里，叫他顿生蹊跷。点了油灯看，才发现碗里堆满被水泡活的干梨花，不知是风吹落进去的，还是耗子捣的乱。之前，他还没听说这干梨花是可以饮用的，他忐忑不安地等待着由此可能引发的种种下场，甚至连死的准备也作好了。但是不等他把第一道草药水熬出来，他就感到小腹隐隐地生痛，继而是一种他梦寐以求的绞痛。他知道，好事情来了，在一阵激烈的连环响屁后，他去了茅房，出来时人已备感轻松。

◆ 以往，轻松之时也是肠炎的开始之刻，便秘通畅后，往往要闹上一两天的腹泻，有点物极必反的意思。而这次却神秘地走出了怪圈，通了就通了，没有派生任何不适或不正常的症状，神秘之余，梨花水的形象在他心中亲热地凸现出

◆ 不用说，他表明的神秘的·法演算式实际就是乘法，只不过他不知道而

◆ 然后还有一页草稿纸，上面的演算很乱，但老爷一看就明白他这是在推敲、总结乘法规律。规律最后被清清楚楚地列在这页纸的下端，老爷看着，嘴里不禁跟着念出声来——一一得一

第四篇 再转

◆ 从某种意义上说，一个人的智力范围越是局限，那么他在某一方面的智力就越容易接近无限。换言之，天才之所以成为天才，是因为他们一方面将自己无限地拉长，拉得细长细长，游丝一般，呈透明之状，经不起磕碰。所以，大凡天才都是娇气的，如世上所有珍宝一样。

— 来自微信读书

阅读感悟

暂略

阅读摘录

《Helm学习指南：Kubernetes上的应用程序管理》

马特·布彻 马特·法里纳 乔什·多利茨基 32个笔记

1.1 云原生生态系统

◆ 有一项关键的技术提供了移动容器镜像的能力，即镜像登记站（image registry），这是一种专门的块存储技术，它容纳容器，使其可供主机使用。主机可以将容器镜像推送（push）到登记站，该动作会将各层传输到登记站。然后另一台主机可以将镜像从登记站拉取（pull）到该主机的环境中，如此一来该主机就可以执行此容器了。

◆ 。组合这些的标准格式是name:tag@digest，其中只有name是必需的。

◆ 2015年，时机已经成熟：Docker容器正在向企业进军。显然，此时需要一种工具来管理跨主机的容器调度和资源管理。多种技术相继登场：Mesos引入了Marathon；Docker创建了Swarm；Hashicorp发布了Nomad；Google创建了其内部Borg平台的开源兄弟，并将这项技术命名为Kubernetes（希腊语中的船长一词）。

◆ 每一个调度器都有其优点和缺点。但是Kubernetes引入了两个概念，使它与众不同：声明性基础设施（declarative infrastructure）和协调循环（reconciliation loop）。

◆ 在Kubernetes上安装一个容器更像是在说，“我希望这个容器在这个端口上运行，使用一定量的CPU并在文件系统的这个位置上安装一些存储”。Kubernetes在后台工作，根据我们对所需内容的声明来连接所有内容。

◆ 在协调循环中，调度程序说：“这是用户所需的状态。以下是当前状态。它们不一样，所以我将采取步骤来协调它们。”用户希望为容器提供存储空间。当前没有附加存储。因此Kubernetes创建了一个存储单元并将其附加到容器中。容器需要公共网络地址。现在也不存在。所以一个新的地址被附加到容器上。Kubernetes中的不同子系统开展工作以实现用户对所需状态的整体声明的各个部分。最终，Kubernetes要么成功地创建了用户想要的环境，要么得出了无法实现用户需求的结论。同时，用户只能被动地观察Kubernetes集群并等待它成功完成或将安装标记为失败。

◆ 一般一个pod只有一个容器。但有时有一些用于为主容器做预配置并在主容器联机之前退出的容器，这些被称为初始化容器（init container）。另外有一些与主容器同时运行并提供辅助服务的容器，这些被称为边车容器（sidecar container）。这些都被认为是同一个pod的一部分。

◆ 在前面的代码中，我们编写了Kubernetes Pod资源的定义。当用YAML或JSON表示时，这些定义称为清单（manifest）

◆ Secret在结构上类似于ConfigMap，只是data部分中的值必须是Base64编码的。

◆ Deployment由一些顶级配置数据以及构建副本pod的模板组成。

◆ Service是一种持久的网络资源（有点像静态IP），即使连接到它的一个或多个pod消失，它也会持久存在。这样，Kubernetes Pod可以来去自如，而网络层可以继续将流量路由到同一Service端点。

◆ 虽然Service是一个抽象的Kubernetes概念，但在幕后它可以实现为从路由规则到外部负载均衡器的任何东西

1.2 Helm的目标

◆ YAML。Helm的核心思想是，所有这些对象都可以打包在一起进行安装、更新和删除

◆ Kubernetes就像一个操作系统。在它的基础上，操作系统提供了执行程序的环境。它提供了存储、执行和监视程序生命周期所需的工具

◆ 它不执行程序，而是执行容器。但与操作系统类似，它提供了存储、执行和监视这些容器所需的工具

◆ 当我们将Kubernetes设想为一个操作系统时，很快就看到了对Kubernetes软件包管理器的需求

◆ 我们最初借鉴Homebrew（macOS的软件包管理器）和Apt（Debian的软件包管理器）对Helm进行设计。但随着Helm的成熟，我们已经尽可能多地借鉴不同的软件包管理器。

◆ 典型的操作系统和Kubernetes之间有一些区别。其中之一是Kubernetes支持运行同一应用程序的多个实例。

◆ 另一个在典型操作系统中很少见的概念是命名空间（namespace），但它是Kubernetes的核心。

◆ 这些只是Kubernetes与传统操作系统不同的几个方面。这些差异和其他差异对Helm的设计提出了挑战。我们不得不构建Helm来充分利用这些差异，但同时又不放弃关于我们的软件包管理比喻。

◆ 例如，Helm安装命令不仅需要软件包的名称，还需要用户提供的名称，通过用户提供的该名称可以引用该软件包的已安装版本

3.1 模板和试运行

◆ 换句话说，–set值覆盖传入的值文件中的设置，而传入的值文件又覆盖chart的默认values.yaml文件中的任何内容。

◆ helm install和helm upgrade等命令提供了一个名为–dry-run的标志。当在命令行中添加此标志时，将导致Helm逐步完成前四个阶段（加载chart、确定值、渲染模板、格式化为YAML）。但是当第四阶段结束时，Helm会将大量信息转储到标准输出，包括所有渲染的模板。然后它将退出，而不将对象发送给Kubernetes，也不创建任何发布记录。

◆ –dry-run标志的主要目的是让人们有机会在将输出发送到Kubernetes之前检查和调试输出

◆ 但在它被引入后不久，Helm维护人员就注意到了用户中的一种趋势：人们希望使用–dry-run将Helm用作模板引擎，然后使用其他工具（如kubectl）将渲染的输出发送到Kubernetes。但是编写–dry-run时没有考虑到这个用例，这导致了一些问题：1.–dry-run将非YAML信息与渲染的模板混合。这意味着在将数据发送到kubectl等工具之前，必须对其进行清理。2.–dry-run在升级时可能会产生与其安装时不同的YAML输出，这可能会让人困惑。3.它会联系Kubernetes API服务器进行验证，这意味着Helm必须拥有Kubernetes凭据，即使它只是用来试运行一个发行版本。4.它还将特定于集群的信息插入模板引擎。因此，某些渲染过程的输出可能是特定于集群的。为了解决这些问题，Helm维护人员引入了一个完全独立的命令：helm template。

◆ 虽然–dry-run是为调试而设计的，但helm template是为了将Helm的模板渲染过程与安装或升级逻辑隔离开来。

◆ 之前，我们研究了Helm安装或升级的5个阶段。template命令执行前4个阶段（加载chart、解析值、渲染模板、格式化为YAML）。

◆ ·在helm template执行期间，Helm从不联系远程Kubernetes服务器。·template命令的作用始终类似于安装。·通常需要联系Kubernetes服务器的模板函数和指令将只返回默认数据。·chart只能访问默认的Kubernetes类型。

3.2 了解发布版本信息

◆ 的5个Helm安装阶段：1.加载chart。2.解析值。3.执行模板。4.渲染YAML。5.把它发送到Kubernetes。

◆ 在最后一个阶段，Helm将数据发送给Kubernetes。然后二者“来回沟通”，直到发布版本被接受或拒绝。

3.3 历史记录和回滚

◆ 看到helm uninstall命令有一个名为–keep history的标志。通常，删除事件将销毁与该安装相关联的所有发布记录。但是当指定–keep history时，即使删除了安装，你也可以看到它的历史记录

3.4 深入了解安装和升级

◆ 使用–generate name标志，我们不再需要提供名称作为helm install的第一个参数。Helm根据chart名称和时间戳的组合生成名称

— 来自微信读书