Fallback

É o caminho alternativo acionado quando a capacidade principal falha, demora demais ou responde com baixa confiança. Pode ser um modelo secundário, uma resposta baseada em regras, uma resposta padrão honesta (“não consegui verificar agora”) ou o encaminhamento para uma pessoa. Degradação graciosa é o princípio por trás: entregar um serviço reduzido, mas útil e honesto, em vez de um erro ou de uma resposta ruim disfarçada de boa. É um dos elementos que diferenciam um produto de uma demonstração.

Em Produto, toda capacidade deveria nascer com o fallback desenhado. É um dos campos do contrato de capacidade: o que acontece quando não funciona. O pior fallback é o silencioso: o sistema responde com baixa confiança como se fosse alta, e o usuário não tem como saber. O melhor é o visível: “estou sem acesso ao contrato neste momento; um atendente vai confirmar a informação”. Por exemplo, se o modelo de análise de imagem está fora do ar, o sistema aceita a foto, avisa que a análise será feita por uma pessoa e abre a fila de revisão, em vez de exibir um erro.

Use fallback para qualquer falha de qualidade ou disponibilidade da capacidade principal. Use retry apenas para falhas transitórias de infraestrutura. Use kill switch quando o problema é sistêmico e a decisão de desligar é humana. Uma forma simples de diferenciar: fallback é o plano B de cada capacidade; kill switch é o botão de emergência do sistema inteiro.

Princípio de tolerância a falhas em engenharia; 'graceful degradation' é termo consagrado em sistemas web e SRE.

Google SRE Book, Cascading Failures; AWS Well-Architected Reliability Pillar