Envio parcial de failover sem dupla cobrança

Um failover em voo ainda é uma intenção de cliente. O trilho primário pode aceitar, expirar ou rejeitar após uma retenção; o backup pode então transportar a mesma unidade. Essa troca não deve abrir uma segunda liquidação, inventar "Entregue" que o backup nunca ganhou, ou se confundir com uma nova tentativa do usuário. IOSOR é pré-pago de marca branca. USD 20 é o mínimo de recarga pública (piso piloto). A revisão suave perto de USD 1,000/month é quando os bugs de envio parcial multiplicam o consumo. Caminho ordenado: caminho de backup ordenado sem débito duplo.

A troca em voo ainda é uma intenção

Failover parcial significa que a unidade saiu da API do comprador uma vez, então as operações moveram os trilhos porque o primário não conseguiu finalizar. O cliente ainda vê uma linha de mensagem, uma chave de idempotência, uma história de dinheiro. Não trate o salto do backup como um novo envio ou crie uma segunda retenção.

O que "envio parcial" significa em termos monetários

Nunca inventar "Entregue" no backup

Trocar de trilhos não prova a caixa de entrada. O backup pode aceitar e ainda retornar DLR falho, timeout ou silêncio. O status do cliente segue a evidência: aceito, pendente, entregue, falho, precisa de atenção — apenas marca branca. As operações podem registrar o trilho de cumprimento; os compradores não devem ver strings de marca. Inventar "Entregue" "porque o failover disparou" quebra a confiança e as finanças.

Distinto da política de retry e do caminho ordenado

Isso é dinheiro em voo em uma troca já iniciada — não quando tentar novamente um DLR falho (política de retry DLR falho sob prepaid) e não a sequência primária → backup pré-escrita (irmão de caminho ordenado). Uma política de retry limpa não corrige uma liquidação dupla; um caminho ordenado sem regras de envio parcial ainda inventa "Entregue".

Lista de verificação do comprador para failover parcial

1. Uma chave de idempotência cobre o dinheiro primário e de backup para a mesma intenção?
2. O backup pode aceitar sem uma segunda liquidação?
3. Os status do cliente são de marca branca sem "Entregue" inventado apenas pela troca?
4. Os caminhos de falha de retenção são liberados automaticamente sem liquidações fantasmas em nenhum dos trilhos?

Comece com IOSOR

Force uma falha do primário a meio do envio num corredor fora de produção. O reserva ordenado deve tomar a mesma chave de intenção. Exporte um débito, o resto e um estado terminal honesto. Se o primário já enviou parte de um corpo concatenado, não invente Delivered no reserva nem abra uma segunda liquidação por essas partes.

Conclusão IOSOR

Um failover parcial continua uma intenção do cliente.

Faça: guarde uma chave e um débito no hop a meio do envio.

Não faça: inventar Delivered num reserva que nunca possuiu as partes, nem cobrar o resto duas vezes.