📚 课程目录第4章 Envoy回滚护栏（Circuit Breaker）机制

4. Envoy 回滚护栏（Circuit Breaker）机制：熔断器原理与核心配置项

Envoy 的回滚护栏（Circuit Breaker，熔断器）是保障分布式系统韧性的关键机制。当上游服务（Upstream Cluster）出现故障或过载时，熔断器会主动切断流量，防止故障级联扩散（即“雪崩效应”）。Envoy 的熔断器工作在连接池和请求级别，通过统计实时指标与预设阈值比较，决定是否熔断。

4.1 熔断器工作原理

Envoy 为每个上游集群维护一组熔断器状态，基于以下三态模型运作：

关闭（Closed）：正常转发请求，计数器递增。
打开（Open）：阈值被突破，立即拒绝请求（返回 503），并启动一个休眠计时器。
半开（Half-Open）：休眠结束后，允许少量探测请求通过。若成功，则重置为关闭；若失败，则重新打开。

  关键点：Envoy 的熔断器是统计型而非状态机型。它不维护显式的“打开/半开”状态切换，而是通过实时滑动窗口统计与静态阈值比较，一旦连续突破阈值，立即拒绝新请求。这比传统 Hystrix 三态模型更轻量，但需要精确配置。

4.2 核心配置项详解

Envoy 的熔断器配置位于 Clusters 的 circuit_breakers 字段中，支持按优先级（default 和 high）分别设置。以下为最关键的 5 个配置项：

配置项	字段名（Envoy API）	默认值	说明
最大连接数	`max_connections`	1024	上游集群允许的最大 HTTP/1.1 连接数。超过后新连接请求被熔断。
最大请求数	`max_requests`	1024	上游集群允许的最大并发请求数（HTTP/2 多路复用场景下有效）。
最大待处理请求数	`max_pending_requests`	1024	连接池中等待获取连接的最大请求数。队列满后新请求被熔断。
最大重试数	`max_retries`	3	允许的最大并发重试请求数。超过后 Envoy 不再执行重试。
最大并发连接池耗尽数	`max_connection_pools`	无限制	每个上游集群允许的最大连接池数量（通常用于多线程场景）。

实践建议：在微服务场景中，max_requests 和 max_pending_requests 是最常被触发的熔断项。建议根据上游服务的 TP99 延迟 和 QPS 容量 进行估算，初始值可设为容量上限的 80%。

4.3 熔断器触发流程

Envoy 在每个事件循环中，对每个上游集群执行以下检查流程：

连接池获取：尝试从连接池获取一个连接。
统计计数：原子递增当前连接数/请求数/待处理数。
阈值比较：将当前统计值与配置的 max_* 阈值比较。
熔断决策：若超过阈值，则立即拒绝请求（返回 503），并递增 upstream_rq_503 指标。
指标重置：请求完成后，递减对应计数器。

4.4 配置示例（Envoy YAML）

以下是一个典型的熔断器配置片段，展示如何为上游集群设置熔断阈值：

static_resources:
  clusters:
  - name: service_backend
    connect_timeout: 0.25s
    type: STRICT_DNS
    lb_policy: ROUND_ROBIN
    circuit_breakers:
      thresholds:
      - priority: DEFAULT
        max_connections: 1000        # 最大连接数
        max_pending_requests: 500    # 最大待处理请求数
        max_requests: 200            # 最大并发请求数
        max_retries: 3               # 最大重试数
      - priority: HIGH
        max_connections: 2000
        max_pending_requests: 1000
        max_requests: 400
        max_retries: 6
    hosts:
    - socket_address:
        address: backend.example.com
        port_value: 8080

常见陷阱：如果 max_retries 设置过小（如 1），而业务层配置了多次重试，Envoy 会直接拒绝重试请求，导致客户端收到 503。这往往被误认为是“回滚护栏失效”，实际是熔断器在正确工作。排查时请检查 upstream_rq_retry_overflow 指标。

4.5 熔断器与超时配置的交互

在《Envoy超时配置导致回滚护栏失效》的故障场景中，超时与熔断器的交互是核心：

超时导致连接池膨胀：当 request_timeout 设置过长（如 60s），慢请求会长时间占用连接池中的连接，导致 max_connections 或 max_pending_requests 迅速被填满。
熔断器提前触发：连接池耗尽后，新请求即使未超时，也会被熔断器拒绝（503），造成“回滚护栏误触发”的假象。
排查方法：检查 upstream_rq_pending_overflow 和 upstream_rq_503 指标，结合 upstream_rq_timeout 判断是超时导致还是真实过载。