アーカイブ

livenessProbe失敗はkubeletによるコンテナ再起動、readinessProbe失敗はEndpointSliceからの除外(トラフィック遮断のみ)という違いと、startupProbeがliveness誤爆を防ぐ仕組み、minReadySecondsとローリングアップデートの関係を解説。

分散トレーシングは1つのリクエストが複数サービスをまたぐ間の処理単位spanをtraceとしてつなげる仕組み。W3C Trace Contextのtraceparentヘッダーによるtrace-id/parent-id伝播の流れと、head-based/tail-basedサンプリングのトレードオフを解説。

kubectl applyはkube-apiserver経由でetcdに望ましい状態を書き込むだけで、Pod作成はcontroller-manager、ノード選定はkube-scheduler、実際の起動はkubeletが担う。watchによるコントロールループの仕組みを解説。

configMapKeyRefで注入した環境変数はPod起動時に一度だけ解決され更新は反映されず、ボリュームマウントも即座ではなくsubPathは対象外。SecretはBase64エンコードにすぎず既定では暗号化されないことも解説。

hash(key)%台数では台数が1つ変わるだけで大半のキーの担当が入れ替わるが、コンシステントハッシングはリング上でキーとサーバーを同じ空間に置き移動するキーを一部に抑える。仮想ノードによる偏りの解消と、Redis Clusterのハッシュスロット方式との違いを解説。

関連レコードをループの中で参照すると1件ごとに別のSELECTが飛ぶN+1問題は、Active Recordの遅延ロード設計に起因する。includes/preload/eager_loadの挙動差、strict_loadingによる検知、GraphQLのDataLoaderバッチ化まで解説。

PostgreSQLのUPDATE/DELETEは行を上書きせず新しい行バージョンを追加しxmaxで旧版を無効化するだけのMVCC設計。dead tupleはautovacuumが回収するが通常のVACUUMはOSにディスクを返さず、bloatや放置時のトランザクションID周回リスクも解説。

Ruby(MRI)のGVLはCPUバウンドな処理を1スレッドずつしか進めずI/O待ち中だけ解放される一方、GoのgoroutineはランタイムのM:Nスケジューラが少数のOSスレッドに多数を割り当てるためCPUバウンドでも複数コアを使い切れる違いを解説。

jobs は既定で並列実行され順序を決めるのは needs のみ。各 job は毎回使い捨ての VM で動くため前段の成果物は自動で引き継がれず、actions/cache の key/restore-keys の一致順序とブランチスコープの制約を解説。

HTTPはステートレスでサーバーは前回のリクエストを覚えていないが、Set-Cookie/Cookieヘッダーの往復がログイン状態を運ぶ。HttpOnly/Secure/SameSiteが既定でオフな理由と、RailsのCookieStoreがセッションデータ自体を暗号化してCookieに格納する仕組みを解説。

SQLインジェクションは文字列結合で入力中の引用符が構文の一部として解釈されて起きる。プレースホルダはPREPAREで構文木を確定しBINDで値を束縛するため入力が構造を変えられない仕組みと、識別子はバインド対象外な点を解説。

平均は分布の中心しか表さず、テールに隠れた遅いリクエストがファンアウト構成では大多数のユーザー体験になる。Little's Law で待ち行列が非線形に膨らむ理由と、p99 を使ったタイムアウト・SLO 設計を解説。

HTTP/2 はアプリ層の HOL ブロッキングは解決したが、1 本の TCP に多重化する限りパケットロス時は無関係なストリームまで足止めされる。QUIC がストリームごとに独立した信頼性配送を実装し、コネクション ID で接続を IP・ポートから切り離した設計を解説。

XSS は攻撃者の JS を被害者の権限でブラウザに実行させる攻撃で、防御の要は HTML 本文・属性・JS 文字列・URL という文脈ごとに異なる出力エスケープと、それが漏れた時の最後の壁となる CSP の script-src 許可リストだ。

プランナーはインデックスの有無ではなく候補プランごとの見積りコストで実行計画を選ぶ。ANALYZEが集める統計情報pg_statsから選択率を推定する仕組みと、統計が古いと見積りが実態とズレる理由を解説。

IngressはHost/パスの振り分けルールを宣言するAPIオブジェクトにすぎず、Ingress Controllerが別途動いていないと何も起きない。ServiceがL4止まりな理由、TLS終端後は平文になる挙動、後継Gateway APIへの移行方針を解説。

過負荷になった依存先へ大量のクライアントが同時にリトライするとリトライ嵐が起き、依存先の回復を妨げる。AWSのjitter付きバックオフとAzureのCircuit Breakerパターンを組み合わせて防ぐ設計を解説。

CSRFはログイン済みブラウザが自動送信するクッキーを悪用し、別サイトから本人になりすましたリクエストを送らせる攻撃。CORSがレスポンスの読み取り制限にすぎず防げない理由と、RailsのauthenticityToken（synchronizer token pattern）・double submit cookie・SameSite属性の役割分担を解説。

embeddingは文章の意味を固定長の数値ベクトルに変換したもので、コサイン類似度という角度の近さの計算で「意味の近さ」を数値化できる。大規模検索ではHNSWのような近似最近傍探索で候補を絞り込み、RAGの検索ステップの土台になっている仕組みを解説。

テストピラミッドは単体テストを多数・高速に、E2Eを少数・低速に配分する考え方。E2Eが遅くflakyになりやすく原因特定も難しい理由と、Google発の70/20/10という目安、崩れた「アイスクリームコーン」状態の危険性を解説。

TCP接続はSYNキューとAcceptキューの2段の待ち行列を経て確立し、backlogとnet.core.somaxconnで決まる上限を超えると多くの場合RSTも返さず黙って破棄される。CPU/メモリに余裕があっても一部だけtimeoutする現象の仕組みを解説。

パスワードは暗号化ではなく一方向ハッシュ関数で保存し、ログイン時は復号せず再ハッシュして比較する。bcrypt/Argon2 が同じパスワードでも毎回違う結果を返しつつ検証できる、ソルトとコスト係数の仕組みを解説。

ES Modulesのimport/exportは静的な構文制約を持つためバンドラは実行せず依存グラフを組み立てられるが、CommonJSのrequire()は動的評価のため静的解析ができない。webpackのusedExports→sideEffects→minifyという3段階の仕組みと、sideEffectsの誤設定でアプリが壊れる罠を解説。

Raftは書き込みが過半数(クォーラム)に複製されるまで確定させない。奇数台構成が推奨される理由と、過半数を割ったetcdが読み取りも書き込みも止める仕組みを解説。

SLIは良いイベント/全イベントの比率、SLOは意図的に100%未満で設定する目標、エラーバジェットはその残高。バーンレートとマルチウィンドウ・マルチバーンレートアラートが緊急招集とチケットを切り分ける仕組みを解説。

TypeScriptの型注釈はコンパイル時に消去され、実行時には一切残らない。asが実行時チェックを伴わない申告にすぎない理由と、構造的型付けが名前ではなく形で互換性を判断する設計、外部境界の値を守れない限界を解説。

ClusterIPは実在しない仮想IPで、実体は各ノードのkube-proxyが書き込むiptablesのDNATルールにすぎない。EndpointSliceとreadiness probeの関係、TCPは通りICMP(ping)だけが失敗する理由を解説。

固定ウィンドウカウンタはウィンドウ境界をまたぐと定義の最大2倍のリクエストを通してしまう。トークンバケット・リーキーバケット・スライディングウィンドウカウンタの違いと、分散環境でのレースコンディション対策を解説。

HTTP/1.1はアプリ層のHead-of-Line Blockingをブラウザが複数TCP接続で回避してきたが、HTTP/2はストリーム多重化で1本の接続に集約した。その代償として生まれたTCP層のHead-of-Line BlockingとHTTP/3による解決を解説。

COPY/ADDはファイル内容のチェックサム、RUNはコマンド文字列でキャッシュを判定し、一度ミスすると以降の全レイヤーが連鎖的に無効化される。CIランナーは前回ビルドを保持しないため常にフルビルドになる理由とレジストリキャッシュでの対処を解説。

DBはWALを先にディスクへ確定させてからデータファイルへ反映し、レプリケーションはこのWALを転送・再生している。ストリーミングレプリケーションは既定で非同期なためレプリケーションラグが生じ、read-your-writesが崩れる理由とsynchronous_commitでの対処を解説。

JWTのSignatureはbase64urlエンコードにすぎず暗号化ではなく、Payloadは誰でも読める。algをトークン任せにする検証はアルゴリズム混同攻撃を許し、ステートレス検証ゆえにexpまで失効できない理由と短命化+refresh tokenでの対処を解説。

CORSはブラウザだけが強制する同一オリジンポリシーの例外許可であり、シンプルリクエストはサーバーで処理済みのままレスポンスだけが隠される。プリフライトのキャッシュとCredentials・ワイルドカードの非互換も解説。

Rolling Updateのロールバックは逆方向のロールアウトで進むのと同じだけ時間がかかるが、Blue-Greenは経路の切り戻し、Canaryは重みを0に戻すだけで済む。DBスキーマ変更はexpand/contractパターンが無いと戻せない理由も解説。

PostgreSQLのデフォルトRead Committedは文ごとに新しいスナップショットを取るだけで、読んでから書くまでの割り込みは防がない。Repeatable Readでも防げないwrite skewと、Serializableがリトライ前提になる理由を解説。

Terraformは設定ファイルと実クラウドを直接比べず、stateという記録を介して動く。コンソールでの直接変更が起こすドリフトの検知の仕組みと、S3+DynamoDBからS3単体のuse_lockfileへ進化したステートロックの実装を解説。

HTMLパーサーはscriptタグでdefer/asyncが無い限り止まり、CSSOMはスタイルシート全体を読むまで完成しないためレンダーブロッキングになる。transform・opacityの変更だけがレイアウトとペイントを飛ばしコンポジットで完結する理由を解説。

OAuth 2.0の認可コードフローはURLに乗る認可コードとTLS内でしか動かないアクセストークンを分離し、コード横取りをstateとredirect_uriの検証で防ぐ。PKCEとOpenID ConnectのID Tokenの役割も解説。

GCがアプリを一時停止させるのは生死判定中の参照書き換えを防ぐためで、並行化しても区間自体はゼロにならない。世代別GCは「大半のオブジェクトは若くして死ぬ」という経験則に賭け、新しい世代だけを頻繁に軽く掃除する仕組みを解説。

gitのオブジェクトは内容から計算したハッシュで住所が決まる内容アドレス型ストレージで、commitはtreeへの参照。branchは41バイトのポインタにすぎず、rebaseは新しいコミットを作って参照を貼り替えているだけと解説。

JSのコールスタックは1本で並行に見えるのはI/Oの実体がOSやスレッドプールで進むからだ。マイクロタスクとマクロタスクの優先順位、Node.jsのlibuvがネットワークI/Oとファイル/DNSを別々に処理する仕組みを解説。

Pod削除は「エンドポイント除去」と「SIGTERM送信」が同時並行で進む設計上の競合状態であり、伝播ラグの間に着弾したリクエストがデプロイ後の数件の502を生む。preStopフックによる時間稼ぎと、それでも防げないケースを解説。

メトリクスは個々のリクエストを捨てて集計するから安く常時収集できるが「誰が遅いか」は分からない。ログはtrace-idで結びつけて初めてトレースという1本の経路につながる仕組みを解説。

SQSやRabbitMQは失うより重複させるat-least-once配信を採用しており、重複はブローカーがack有無しか見ていないために起きる仕様である。冪等性キーによる無害化と、FIFOキューでも消費側の冪等性が必要な理由を解説。

TTL は新鮮さとオリジン負荷のトレードオフであり、Vary によるキャッシュキー設計を誤ると誤配信が起きる。TTL失効直後の同時アクセスが招くキャッシュスタンピードを、stale-while-revalidateがどう防ぐかを解説。

TLS ハンドシェイクは証明書チェーンによる本人確認とECDHEによる使い捨て鍵の合意を行う。TLS 1.3で静的RSA鍵交換が廃止され前方秘匿性が標準になった理由を、1-RTTのメッセージフローとあわせて解説。

名前解決はブラウザ・OS・再帰的リゾルバの3段キャッシュをまず確認し、無ければルート→TLD→権威DNSサーバーへの委任の連鎖をたどる。「DNSの浸透」の正体はTTLによる各リゾルバの個別キャッシュであることを解説。

DB 接続の確立コストを省くのがコネクションプールだが、枯渇時はアプリ側プールが待ち行列とタイムアウト例外を起こすのに対し、DB サーバー自体の max_connections 超過は待たせず即座に接続拒否になる。検知にはプールのメトリクス監視が必要。

B+Tree は 1 ノードに数百キーを詰めて木を横に広く浅く保つことで検索を O(log N) に抑える一方、インデックスが増えるほど書き込みのたびに複数の木を更新し、ページ分割が連鎖するコストを払うことになる。

ALB は L7 で HTTP の中身を読んでルーティングし、NLB は L4 で TCP/UDP の接続だけを見て振り分ける。idle timeout・deregistration delay・cross-zone load balancing のデフォルト値の違いと使い分けの判断基準を解説。

自律実行する LLM エージェントは OAuth スコープで権限を最小化し、破壊的操作の手前にガードレールと監査ログを置く必要がある。プロンプトキャッシュの料金倍率でコストを抑える設計も解説。

OCR の「精度」はデータセット平均の指標であり、1 件ごとの信頼度を示す confidence score とは別物。confidence に基づくレビューキュー設計としきい値の考え方、マルチモーダル LLM への移行で変わる前提を解説。

freee の経理自動化はルールベースの自動登録 → AI-OCR → LLM エージェント（freee-mcp）と裁量を段階的に広げてきた。裁量が広がるほど権限制御・監査ログの設計が必須になる理由を解説。

LLM は文章を BPE でトークン化し、次の 1 トークンの確率を逐次予測する自己回帰生成で文章を作る。Attention の計算量と KV キャッシュのメモリがコンテキストウィンドウに上限がある理由を解説。

VM はカーネルごとゲスト OS を積むがコンテナはホストカーネルを共有し名前空間と cgroup で区切るだけ。軽さの理由と、カーネル共有ゆえの隔離の弱さ、Mac の Docker Desktop が裏で VM を使う理由を解説。

maxSurge/maxUnavailable のデフォルト 25% がロールアウト中の可用性とキャパシティを両側から縛り、readinessProbe と livenessProbe は失敗時の挙動が別物であることを、実際の YAML 断片で解説。

Cloudflare の土台は権威 DNS とリバースプロキシ。anycast による最寄り拠点への自動振り分け、Workers の V8 isolate モデル、Cloudflare Pages と GitHub Pages の構造的な違いを解説。

スループットだけでは限界は分からない。リトルの法則で同時実行数・スループット・レイテンシがつながっており、p95/p99 が急上昇するノック点と USE メソッドでの飽和リソース特定を解説。

CPU limit 超過は CFS スロットリングで待たされるだけだが、メモリ limit 超過は OOM Killer に強制終了される。requests/limits の役割の違いと QoS クラスによる eviction 優先順位を解説。

Pod は使い捨ての最小実行単位、Deployment は ReplicaSet 経由で数と更新を管理し、Service は入れ替わる Pod 群を固定 IP の裏に隠す — 3 層に分かれているのは責務が違うからだ。