Esecuzione parallela dove è sicura, seriale dove serve.

È il problema più semplice e quello che si risolve con l'architettura: i componenti sono containerizzati e privi di stato locale significativo, quindi aumentare la capacità significa aggiungere istanze dietro un bilanciatore. La base dati relazionale resta il punto da dimensionare con attenzione, come in qualsiasi applicazione.

La cosa utile da sapere in fase di valutazione è che i permessi dichiarati non introducono un costo di filtraggio successivo: le condizioni di appartenenza e visibilità si traducono in filtri applicati alla fonte, non in scarti effettuati in memoria dopo aver letto più del necessario. È una differenza che si vede sui volumi.

È il problema che più spesso viene sottovalutato in fase di progetto e che si manifesta appena il sistema entra in esercizio: un'elaborazione massiva, una chiamata a un servizio esterno lento, la generazione di un documento complesso.

Due meccanismi lo affrontano. Il primo è la continuazione asincrona: una pipeline può rispondere subito a chi ha chiesto e proseguire in background, segnalando il completamento. Serve esattamente quando un servizio esterno impiega secondi o minuti e non ha senso tenere una persona in attesa.

Il secondo è l'interruttore di protezione per ogni servizio esterno: quando un servizio inizia a fallire o a rallentare oltre una soglia, le chiamate verso di lui vengono interrotte invece di accumularsi. È ciò che impedisce che un fornitore lento trascini giù l'intero sistema, che è la modalità di guasto più comune nelle architetture integrate.

È il problema specifico dei sistemi che eseguono piani generati dinamicamente, e va affrontato per costruzione perché non è realistico prevenirlo con la sola attenzione.

Ogni piano compilato gira sotto limiti espliciti: numero massimo di passi, profondità di annidamento, iterazioni nei cicli, dimensione delle interrogazioni. I limiti sono configurabili per classificazione, il che significa che un'automazione interna di manutenzione può avere margini diversi da una esposta agli utenti.

La ricorsione è negata per default: una pipeline può rientrare in sé stessa solo se lo dichiara esplicitamente, e in quel caso il rientro è tracciato end-to-end. È la protezione contro il caso in cui un'automazione, per un errore di progettazione o per un dato inatteso, inneschi un ciclo che consuma tutto.