操作型 CRDT

操作型设计让每个副本重放同一份“编辑日志”。因果顺序保留用户已观察到的先后关系，并发操作则没有共同见证的顺序，数据类型必须让它们换位不影响结果。证明关注的不是消息在现实中恰好同序，而是所有允许顺序都落到同一语义。

Prepare/effect 分离防止远端重新解释源状态。例如 observed-remove set 的 remove 在 prepare 时冻结“我已经看见的 add dots”，effector 只删除这组 dots；远端不能在执行时顺手删掉后来才看到的并发 add。源端前置条件也在 prepare 时检查；effector 到达远端后应在其依赖满足时可执行，而不能重新询问一个可能已经变化的本地业务条件。

操作消息较小不意味着历史可以立即忘掉。去重 ID、因果依赖和未交付日志都占空间；在不知道操作已稳定送达全体成员前回收它们，可能把迟到副本永久留在不同状态。

考虑整数计数器，effector $\mathrm{inc}$ 执行 $s:=s+1$。A、B 从零并发各产生一次，二者可交换：

若两个副本都恰好执行这两个逻辑事件，终值为二。然而 A 的消息在 B 被重复执行一次时，B 得三；交换律完全没有阻止重复计数。给事件附 ID $(A,7)$，并让已执行集合拒绝第二次 $(A,7)$，才把 at-least-once 网络还原成逻辑恰一次。

再加入朴素 $\mathrm{reset}$，定义为 $s:=0$。它与并发 inc 不交换：先 reset 后 inc 得一，先 inc 后 reset 得零。若业务要“reset 只清除我已观察的 increments”，prepare 必须携带因果上下文并把状态改成可交换表示；若业务要求全局瞬时 reset，可能需要协调。

消息因果有序也不代表总序。A 的第二次 increment 必须在 A 的第一次之后执行，但 B 的并发 increment 可插在二者任意位置。把 causal broadcast 误写成 atomic broadcast 会不必要地引入全局排序成本。

CmRDT 适合高频小更新与可用可靠广播的部署。序列插入、带唯一 dot 的集合更新和增量计数都可只发 operation；接收端仍需验证依赖已到达、operation ID 未执行，并把 effect 持久化到崩溃恢复边界。

若 effectors 对所有顺序都交换，可放宽因果交付为任意顺序；若 effectors 幂等，可放宽恰一次为 at-least-once。每项放宽都要由具体代数证明，不能从“它是 CRDT”这一标签统一获得。去重表本身若在崩溃后丢失，逻辑恰一次也随之失效，因此 event 状态和 dedup frontier 应在同一恢复协议中持久化。