没崩溃≠在干活：逼系统自证活性的测试思路

你有没有想过，系统"没崩"不等于它在干活？死锁、饥饿、无限等待——这些不触发任何异常，却让服务陷入假死。TigerBeetle 的做法是用"模拟测试"专门验证活锁性质：不检查"会不会出错"，而是反复问"能不能做完"。他们跑上万次随机化场景，把每个可能卡住的边界都撞一遍，逼 bug 无处藏身。传统的安全属性验证只关心"不会出事"，活锁验证关心的是"事情会完成"。我的判断：这比前者更狠，也更像系统工程师的直觉——不假设代码是对的，直接假设它是错的，然后逼它证明自己。

原文：Simulation Testing for Liveness · 来源：Hacker News