故障检测器

纯异步系统无法在有限观察内区分“节点已死”和“节点只是极慢”：消息可能只是迟到，进程也可能已经崩溃。故障检测器把这种无法可靠实现的判断封装成一个可能犯错、但受性质约束的预言接口。对怀疑集合类接口，完整性描述是否最终发现崩溃者，准确性限制何时、对哪些进程允许误判；领导者型接口则用最终共同输出等其他条件刻画。关键不在于检测器是否绝不出错，而在于它容许哪些暂时错误、从何时起必须稳定。

超时器是典型实现：进程在截止时间前未收到心跳便被怀疑。网络拥塞或偶发长延迟会使正确节点暂时遭到误判，因此这种实现不满足始终准确；在部分同步理路部分同步模型Partial synchrony · Partially synchronous system时间界存在但其数值或开始生效时刻不为算法预先掌握的分布式系统模型。条件下，延迟最终受界后可逐步调大超时，使正确进程最终不再被怀疑。完全异步且消息延迟无上界时，仅靠通信无法实现同时具备强完整性和强准确性的完美检测器；最终完美检测器则允许有限时期的误判。

φ累积怀疑理路φ累积故障怀疑Phi accrual failure detector · φ accrual failure detector按心跳间隔滑窗计算正态尾部评分，分清训练不足、不同阈值、旧心跳与统计误判，并用迟到心跳复算分布更新。把滑窗心跳间隔变成正态尾部评分，让两个消费者使用不同门槛；四份样本的尾0.01并不能推出真实停机后验为99%。SWIM探测与成员怀疑理路SWIM探测与成员怀疑SWIM membership protocol · SWIM failure detection用轮次身份执行直接与间接探测，按原版SWIM的incarnation和Confirm优先级合并成员观察，并复算反驳丢失与有限传播边界。进一步复算间接回复、本人incarnation反驳和迟到确认：一个仍在运行的成员也可能被原版Confirm移除。两种具体机制都保留本页关于误判、量词与外部授权的区别，不能只由有限成功轨迹声称满足最终准确性。

设进程 $q$ 在时刻 $10$ 才崩溃，仍活着的 $p$ 却在时刻 $1$ 就怀疑它。因为 $q$ 不属于整条执行的 $\mathrm{correct}(F)$，只禁止怀疑“始终正确者”的条件会放过这次预判；强准确性却明确禁止它。最终强准确性可以允许这段有限时期的误判，只须在某个稳定时刻之后满足自己的条件。

检测器输出的是怀疑，而非不可撤销的事实，除非规格明确要求永久性。因此，“未怀疑”不等于进程健康，“被怀疑”也不等于进程已经崩溃，协议必须相应地容忍提示被撤回或修正。

异步系统理路异步系统Asynchronous distributed system消息延迟和进程相对速度没有已知有限上界的系统模型。与崩溃故障理路崩溃故障Crash failure进程停止执行且此后不再采取步骤的故障。造成的不可区分性解释了为何需要该抽象。Chandra–Toueg 框架用不同检测器类别刻画异步共识、原子广播等问题的可解性；适当的检测器能越过FLP 不可能性理路FLP 不可能性定理FLP impossibility · Fischer–Lynch–Paterson theorem完全异步系统中即使只允许一个进程崩溃，也不存在保证所有可容许执行终止的确定性共识协议。的活性障碍。检测器允许的输出历史会扩展系统的轨迹集合理路轨迹与路径语义Trace semantics · Path semantics · Execution traces以状态路径和可观察动作轨迹描述有限、无限与最大行为，并说明投影和隐藏会遗忘什么。，完整性、准确性或最终领导者是对这些历史的规格；若用模型检查验证使用它的协议，必须把这一环境约束显式编码，而不能把暂时正确的超时样本当作检测器定理。Ω 类把所需信息压缩为最终共同 leader，但“最弱”只在指定崩溃、通信与归约模型中成立。

工程中的心跳可以在部分同步假设下近似怀疑集合或 Ω；租约和 fencing 还要求时钟及外部写入规则，不是故障检测器输出的自动结果。