崩溃故障

Crash-stop 允许协议相信故障进程已经发送的合法证据，却不能期待它把协议完成。一次广播、投票或磁盘更新可能只做了一半，其他节点必须从部分可见前缀继续保持安全。

困难来自沉默的歧义。在异步系统公理库异步系统Asynchronous distributed system消息延迟和进程相对速度没有已知有限上界的系统模型。中，等待者看不出对方已永久停止，还是进程与消息暂时很慢。崩溃模型约束故障进程会做什么，时间模型决定其他人何时能知道，两者是正交参数。

进程 $p$ 要把提案 $x$ 发给 $q,r$。它先完成 send(q,x)，随后在执行 send(r,x) 前崩溃。若信道可靠，给 $q$ 的在途消息仍可最终交付；$r$ 却没有任何必须收到 $x$ 的依据。于是 $q$ 与 $r$ 合法地拥有不同知识。可靠广播协议会让已收到的正确进程转发，从而修补这种部分传播；单次点对点发送不会自动完成广播。

服务器永久掉电且不恢复符合 crash-stop。若同一服务器重启后忘记曾在 ballot $7$ 投票，再次投票就属于 crash-recovery 状态设计问题，而非 crash-stop 执行。若它仍运行却故意给 $q,r$ 发送不同票，则已进入拜占庭故障公理库拜占庭故障Byzantine failure故障进程可任意偏离协议并向不同接收者发送矛盾信息。。

遗漏故障允许进程继续运行却漏掉部分收发，也不属于 crash-stop。使用“容忍 $f$ 个故障”的阈值前，要核对故障类型、恢复能力与信道语义；多数派在 crash 模型中的交点节点诚实保存证据，拜占庭模型则必须保证交点中仍有正确见证者。

FLP 不可能性公理库FLP 不可能性定理FLP impossibility · Fischer–Lynch–Paterson theorem完全异步系统中即使只允许一个进程崩溃，也不存在保证所有可容许执行终止的确定性共识协议。在允许至多一次 crash-stop 的完全异步模型中否定确定性共识的无条件终止；故障检测器则把关于崩溃的额外信息做成明确接口。Paxos、Raft 等多数派协议通常用 $2f+1$ 个投票者容忍 $f$ 个 crash，因为任意可用多数仍与早先多数相交；这个阈值来自具体协议，不是 crash 定义本身。

安全性通常量化含故障进程崩溃前动作的所有执行，活性只承诺正确进程，并附加消息交付、可达多数与时序稳定条件。将两类量词写在一起，才能避免把“协议在故障下不分叉”误读成“协议在任何网络下都继续服务”。