What TLA+ can and can't check

Hillel Wayne 的文章把 TLA+ 的强项放在状态机、不变量和并发/分布式行为探索，同时划出模型检查的边界：有限状态抽象不能替代实现测试、性能测量或对开放世界性质的证明。对工程实践而言，关键不是“形式化方法能否证明一切”，而是先把需要验证的协议性质和实现层问题分开；页面受限，未加入未核验案例。