분산 시스템에서 '폴백'이 오히려 장애를 키우는 이유

많은 엔지니어가 안정성을 위해 폴백(fallback) 로직을 넣지만, AWS는 오히려 이를 피하라고 조언합니다. 핵심은 폴백 경로가 '평소엔 거의 실행되지 않는다'는 점입니다. 테스트도 부족하고 실제로 작동하는지 검증되지 않은 코드가, 하필 장애가 터진 최악의 순간에 처음 실행되면서 상황을 더 악화시킵니다. 특히 부하가 몰릴 때 폴백이 동시다발적으로 트리거되면 연쇄 장애로 번지기 쉽습니다. 대안은 이렇습니다. 첫째, 평상시 경로와 장애 시 경로를 분리하지 말고 '항상 같은 코드 경로'를 쓰게 만들어 늘 검증된 상태를 유지하세요. 둘째, 리소스를 미리 확보(pre-provision)해 두고 폴백이 필요 없는 구조를 설계하세요. 셋째, 애매하게 다른 경로로 우회하기보다 차라리 빠르게 실패(fail fast)시키는 편이 예측 가능성이 높습니다. 폴백은 '안전장치'처럼 보이지만, 검증되지 않은 복잡성은 그 자체가 리스크입니다. 정적 폴백이 필요하다면 최소한 상시 실행 경로에 포함시켜 항상 살아있게 만드는 것이 핵심 교훈입니다.