Reintentar sin ahogar al core

El punto de partida

Hasta ahora, el fallo se propagaba o se contenía. Pero la mayoría de los fallos de un sistema externo son breves: un reinicio, una red que parpadea. Para esos, lo natural es volver a intentarlo. Y como ya vimos en El dinero no se duplica, reintentar solo es seguro si la operación es idempotente: la misma clave que evitaba cobrar dos veces el Bizum permite repetir la petición al core.

La pregunta que queda es cuándo y cuántas veces.

Cinco segundos sin core

El core bancario que contrata el banco aguanta diez peticiones por segundo y, si le llegan más de treinta, se cae otra vez durante ocho segundos. Hay sesenta operaciones en curso cuando se cae cinco segundos. Cada cuadrado es una operación: ámbar, esperando para reintentar; azul, reintentando ahora; verde, completada; rojo, se ha rendido tras ocho intentos.

Pulsa «El core se cae 5 s». A la izquierda, elige entre reintentar cada segundo o con espera exponencial (1, 2, 4, 8 segundos…). A la derecha, la misma espera exponencial con jitter.

Qué ha pasado

• Reintentar cada segundo gasta los intentos mientras el core sigue caído, y cuando vuelve, sesenta peticiones llegan a la vez. No aguanta, se cae otra vez.
• Esperar cada vez más ayuda con el desgaste, pero no con la sincronización: las sesenta fallaron en el mismo instante y esperan lo mismo, así que vuelven en ondas. Cada onda es de sesenta peticiones, tumba al core y vuelve a empezar.
• El jitter es azar a propósito: cada operación espera un tiempo distinto entre cero y su máximo. Las peticiones dejan de coincidir y el core las atiende según puede.

Los tres ingredientes de un buen reintento son esperar más cada vez, repartir la espera con azar y poner un máximo de intentos. Pasado el último, el error sube a quien pidió, que decide.

Tres capas, tres intentos

Las transferencias internacionales añaden capas. Una transferencia cruza Operaciones, la conexión con otros bancos (heredada de la matriz) y el corresponsal. Cada capa la escribió un equipo distinto, y cada equipo, con buen criterio, puso tres reintentos.

Si el corresponsal de Tokio no responde, ¿cuántas llamadas recibe por cada pulsación de Laura? Marca qué capas reintentan y envía.

Los reintentos se multiplican

Tres capas con tres intentos cada una son 3 × 3 × 3 = 27 llamadas a un sistema que ya estaba mal. Ninguna capa hizo nada irrazonable; el problema es que ninguna sabe lo que hacen las demás. La regla es reintentar en un solo punto de la cadena, el que tenga contexto para decidir, y que las demás dejen pasar el error.

Para llevarse

• Reintentar necesita espera creciente, jitter y un máximo. Sin jitter, quienes fallaron juntos vuelven juntos.
• Los reintentos se multiplican entre capas: se reintenta en un solo sitio.
• Solo se reintenta lo que es idempotente.

Reintentar con cabeza ayuda con los fallos breves. Pero si el sistema lleva dos minutos caído, cada reintento es trabajo perdido. Hay un momento en que hay que dejar de llamar.