降级与熔断的区别与联系
在分布式系统韧性设计中，降级与熔断是两种最核心的自我保护机制，但二者常被混淆。理解它们的本质差异与协同关系，是构建高效自助服务体系和优化 MTTR 的关键前提。
核心定义：主动让步 vs 被动保护
| 维度 | 降级（Degradation） | 熔断（Circuit Breaker） |
|---|---|---|
| 触发方式 | 主动、预设、由运维或策略触发 | 被动、自动、由故障指标触发 |
| 核心目标 | 牺牲非核心功能，保障核心链路可用 | 快速失败，防止故障级联扩散 |
| 动作性质 | 服务内部“让步”，返回降级结果 | 服务外部“断流”，直接拒绝请求 |
| 恢复方式 | 手动恢复或定时恢复 | 自动探测恢复（半开状态） |
| 典型场景 | 大促时关闭商品评论、关闭推荐算法 | 数据库连接池耗尽、下游服务超时率 > 50% |
关键区分口诀：降级是“我主动砍掉非核心功能，让核心功能活下来”；熔断是“我被动切断对下游的调用，让自己活下来”。
适用场景对比
两种机制并非互斥，而是针对不同故障阶段的防御手段。以下从故障生命周期角度进行对比：
- 降级适用场景：
- 已知容量瓶颈：如秒杀、大促、流量洪峰前，提前关闭非关键功能。
- 依赖服务不可用但可容忍：如推荐服务挂了，降级为默认推荐列表。
- 资源预算不足：CPU/内存紧张时，主动关闭日志采样、数据同步等后台任务。
- 业务灰度策略：针对特定用户群体或地域，主动降低服务等级。
- 熔断适用场景：
- 下游服务持续故障：如数据库、缓存、第三方 API 连续超时或报错。
- 防止级联雪崩：当调用链中某个节点出现故障，熔断器快速切断调用，避免线程池耗尽。
- 资源耗尽保护：连接池、线程池、内存池达到阈值时，熔断器自动拒绝新请求。
- 慢调用防护：响应时间超过 SLA 阈值（如 5s）且达到一定比例时触发熔断。
实战建议：降级通常用于“已知风险”的主动防御，熔断用于“未知风险”的被动兜底。在自助服务体系中，降级策略应配置为可动态调整的开关，熔断策略应配置为自动化的阈值规则。
协同工作模式
降级与熔断在真实系统中往往协同工作，形成“熔断兜底 + 降级兜底”的双层防护。以下是三种典型的协同模式：
- 熔断触发降级：当熔断器打开后，调用方不再等待下游响应，而是直接执行降级逻辑（如返回缓存数据、默认值或空结果）。这是最常见的协同模式。
- 降级前置熔断：在流量高峰来临前，主动降级非核心功能，降低系统负载，从而减少熔断触发的概率。这是一种预防性协同。
- 分级熔断 + 分级降级：根据故障严重程度，将熔断和降级分为多个等级。例如：一级熔断（切断写请求） + 一级降级（返回只读缓存）；二级熔断（切断所有请求） + 二级降级（返回静态错误页）。
避坑提示：不要将降级和熔断配置为完全独立的策略。如果熔断后没有降级逻辑，客户端将直接收到错误响应，用户体验极差。熔断必须搭配降级使用，否则熔断只是“把故障从下游转移到了上游”。
协同工作架构图
下图展示了降级与熔断在典型微服务调用链中的协同工作模式：
协同决策矩阵
在实际工程中，降级与熔断的协同决策可参考以下矩阵：
| 下游状态 | 熔断器状态 | 降级策略 | 最终行为 |
|---|---|---|---|
| 健康 | 关闭 | 不降级 | 正常调用下游，返回真实结果 |
| 偶发超时 | 关闭 | 不降级 | 重试或超时返回，熔断器计数 |
| 持续故障 | 打开 | 执行降级 | 快速返回缓存/默认值，不等待下游 |
| 半开探测 | 半开 | 部分降级 | 放行少量请求探测下游，其余走降级 |
| 已知容量不足 | 关闭 | 主动降级 | 提前关闭非核心功能，降低负载 |
最佳实践：在自助服务体系中，降级策略应配置为可动态调整的开关（如通过配置中心实时下发），熔断策略应配置为自动化阈值规则（如错误率 > 50% 时自动熔断）。二者结合，既能应对已知风险，又能兜底未知故障，是降低 MTTR 的核心手段。