视图戳复制

操作号回答“这一请求排在哪里”，视图号回答“谁有权为当前日志续写”。原始 VR 以二元组 (view-number,op-number) 称为 viewstamp，比较时先看视图号，同视图再看操作号。超时只使副本开始换届，不能证明旧 primary 已死亡；安全来自新视图继承旧证据，而不是来自超时准确。

多数交点也不是自动证明。新 primary 若只采用自己喜欢的一份日志，仍可能丢掉交点报告的已提交请求；按最近正常视图、再按长度选择日志，才把集合相交变成前缀继承。恢复节点暂时不能投票，正是为了避免一个忘记旧证据的节点被误算成可靠交点。

设 $f=1$，副本为 A、B、C。A 是 primary，把操作 10 发送给 B，B 记入日志并确认，A 执行后回复客户端；C 尚未收到操作 10。A 随后崩溃，新视图 quorum 为 B、C。B 的报告携带操作 10，视图变更必须把它带入新日志，不能因为 C 的日志更短就回退已完成请求。

再看恢复窗口：B 断电重启并丢失内存日志后，若立即同 C 组成新 quorum，二者可能都不知道操作 10。故 B 必须先恢复状态再重新参与；若存有唯一剩余证据的节点也在恢复完成前丢失状态，便超出这套无磁盘容错保证。全机房同时断电而无任何持久副本不在该保证之内。

客户端若没有收到操作 10 的回复，会重发同一请求。client-id/request-number 及保存的结果用于识别同一次调用，让新 primary 返回旧结果而不再次执行。新请求应使用新编号；仅凭相同参数不能判断是否重试。拜占庭副本能伪造或选择性隐瞒日志，不能使用上述崩溃模型的继承论证。

VR 用 view 编号、operation 编号、正常复制与 view change 具体维护复制日志，再由状态机复制理路状态机复制State machine replication · SMR让多个副本按同一确定顺序执行命令，从而实现容错服务。应用 committed 操作。它与 Paxos、Raft理路Raft 共识协议Raft consensus algorithm以任期、选主和复制日志实现崩溃容错共识的协议。共享 quorum 相交这一安全骨架；VR 的语义中心是 primary 更替时怎样继承证据，而不是再次定义复制日志接口。

安全依赖日志证据跨视图保留，活性则依赖最终稳定的时序理路部分同步模型Partial synchrony · Partially synchronous system时间界存在但其数值或开始生效时刻不为算法预先掌握的分布式系统模型。与正确 primary。工程实现还需 checkpoint、日志截断、客户端去重和成员配置变更，才能把论文级安全前缀变成持久服务。

对固定配置的 $n=2f+1$ 个副本，正常视图中、备份已追平且无重试时，一次请求的复制、确认和提交通知使用 $O(n)$ 条消息。基本视图变更的 STARTVIEWCHANGE 全体通知可用 $O(n^2)$ 条消息；若各方发送完整的、长度至多为 $L$ 的保留日志，则 DOVIEWCHANGE 与 STARTVIEW 合计传送 $O(nL)$ 个日志条目。每个副本的存储还包括保留日志、成员配置和客户端请求／结果表；实际 payload、应用状态与记录的字节数另计，恢复和重试也有额外代价。