2. API限流熔断基础概念

在金融低延迟系统中，API限流（Rate Limiting）与熔断（Circuit Breaker）是保障服务稳定性的两大核心手段。两者虽常被并列提及，但其定义、触发机制与治理目标存在本质差异。本章从概念层、区别层与金融核心作用层展开，为后续优化实践奠定理论基础。

2.1 限流（Rate Limiting）定义

限流是一种主动预防策略，通过控制单位时间内允许通过的请求数量，防止系统被超出承载能力的流量冲垮。限流作用于请求入口，在流量到达业务逻辑之前即进行判定与拦截。

维度	说明	金融场景示例
控制粒度	单机 / 集群 / 用户 / API Key	每个交易员每秒最多提交5笔订单
时间窗口	固定窗口 / 滑动窗口 / 令牌桶 / 漏桶	1秒窗口内最多接受1000笔行情推送
响应行为	直接拒绝 / 排队等待 / 降级返回	返回HTTP 429 + Retry-After头
统计方式	计数器 / 令牌桶 / 漏桶 / 滑动日志	Redis + Lua原子计数

2.2 熔断（Circuit Breaker）定义

熔断是一种被动恢复策略，通过监控下游服务或资源的调用失败率，当失败率达到阈值时自动切断调用链路，防止故障级联扩散。熔断作用于调用出口，在检测到异常后快速失败，为下游系统提供恢复喘息期。

// 熔断器状态转换伪代码
if (failureCount >= threshold && timeWindowElapsed) {
    state = OPEN;           // 熔断打开，快速失败
    startRecoveryTimer();   // 启动恢复计时器
}
if (state == OPEN && recoveryTimerExpired) {
    state = HALF_OPEN;      // 半开，允许探测请求通过
}
if (probeRequestSucceeded) {
    state = CLOSED;         // 恢复正常，关闭熔断
    resetFailureCount();
} else {
    state = OPEN;           // 探测失败，重新打开
    resetRecoveryTimer();
}

2.3 限流与熔断的区别与联系

对比维度	限流（Rate Limiting）	熔断（Circuit Breaker）
触发条件	请求速率超过预设阈值	错误率/延迟超过预设阈值
作用位置	请求入口（前置拦截）	调用出口（后置保护）
保护目标	自身系统不被压垮	下游系统不被拖垮
状态模型	连续计数，无状态跃迁	三态跃迁（Closed/Open/Half-Open）
恢复方式	窗口重置后自动恢复	需探测确认后恢复
典型响应码	429 Too Many Requests	503 Service Unavailable
金融场景	行情推送限流、下单频率控制	数据库熔断、清算服务熔断

联系：两者常组合使用形成双层防护——限流在前端挡住突发流量，熔断在后端隔离故障下游。在金融低延迟链路中，限流与熔断的配置参数需联动调优，避免限流阈值过低导致熔断误触发，或熔断恢复过快导致限流反复击穿。

2.4 在金融系统中的核心作用

金融系统对可用性与数据一致性的要求远高于普通互联网系统。限流与熔断在金融场景中承担以下核心职责：

• 防止交易系统雪崩：行情剧烈波动时，限流阻止过量订单涌入撮合引擎；熔断在数据库响应变慢时快速切断调用，避免线程池耗尽。
• 保障清算结算稳定性：日终清算批次处理时，限流控制并发写入量；熔断在依赖的会计系统异常时自动降级，防止资金账目错乱。
• 风控规则引擎保护：限流确保风控规则计算不超时；熔断在规则引擎崩溃时快速返回预设风控结果，保证交易链路不断。
• 合规审计链路保障：限流控制审计日志写入速率；熔断在审计存储故障时切换至本地缓存，确保监管数据不丢失。

2.5 限流与熔断的协同策略

在金融低延迟架构中，限流与熔断并非独立配置，而是通过以下协同策略形成整体防护：

协同策略	实现方式	金融场景收益
限流前置 + 熔断后置	API网关层限流，服务调用层熔断	减少无效请求对下游熔断器的冲击
熔断状态反馈限流阈值	熔断打开时自动降低限流阈值	加速故障隔离，减少重试风暴
限流降级与熔断降级联动	限流触发时返回降级数据，熔断触发时使用缓存数据	保证行情展示不中断，交易决策有依据
统一监控与动态调整	集中式限流熔断配置中心，支持运行时调整	应对市场突发波动，无需重启服务