2. 核心概念：服务雪崩、熔断器三态、降级策略与资源隔离
在微服务与分布式系统中，单个接口的故障可能通过调用链逐级放大，最终拖垮整个系统。本章围绕四个核心概念展开：服务雪崩的成因与传导路径、熔断器三态的状态机模型、降级策略的典型实现、以及资源隔离的两种主流模式。理解这些概念是后续驱动开发与接口调用的理论基础。
2.1 服务雪崩：故障的级联放大效应
服务雪崩是指因单个服务实例故障，导致上游调用方线程阻塞、资源耗尽，进而引发更大范围服务不可用的连锁反应。其典型传导路径如下：
- 单点故障：服务 B 响应超时或返回错误。
- 线程阻塞：服务 A 调用 B 的线程等待超时，线程池被占满。
- 资源耗尽：服务 A 无法处理新请求，请求队列积压。
- 级联扩散：调用 A 的上游服务 C 也开始阻塞，雪崩向下游蔓延。
关键指标：雪崩的临界点通常出现在 线程池使用率 > 80% 或 请求队列长度超过最大容量 60% 时。此时故障扩散速度呈指数级增长。
2.2 熔断器三态：Closed / Open / Half-Open
熔断器（Circuit Breaker）是防止雪崩的核心机制，其状态机包含三个明确的状态：
| 状态 | 含义 | 行为 | 触发条件 |
|---|---|---|---|
| Closed | 闭合状态（正常） | 请求正常通过，计数器记录失败次数 | 失败率 < 阈值（如 50%） |
| Open | 断开状态（熔断） | 直接拒绝请求，快速失败返回降级结果 | 失败率 ≥ 阈值，持续超过时间窗口 |
| Half-Open | 半开状态（试探） | 允许少量探测请求通过，检查服务是否恢复 | 熔断时间窗口到期（如 30 秒） |
实践要点：Half-Open 状态下探测请求的数量通常设置为 1~3 个。若全部成功则切回 Closed，若任一失败则回到 Open 并重置熔断计时器。
2.3 降级策略：熔断后的保底方案
当熔断器进入 Open 状态时，系统必须提供降级策略（Fallback）以保证基本可用。常见的降级策略包括：
- 静态降级：返回预设的默认值或缓存数据，如“服务繁忙，请稍后重试”。
- 动态降级：根据实时负载动态调整降级粒度，如降低图片质量、减少返回字段。
- 调用链降级：跳过非关键下游服务，只保证核心链路可用。
- 流量降级：对特定用户或请求来源进行限流，丢弃低优先级请求。
避坑提示：降级逻辑本身必须轻量且无外部依赖。不要在降级方法中再次调用远程服务或执行复杂计算，否则可能引发二次雪崩。
2.4 资源隔离：舱壁模式与线程池隔离
资源隔离是防止故障扩散的物理屏障，主流实现方式有两种：
| 隔离模式 | 原理 | 优点 | 缺点 |
|---|---|---|---|
| 线程池隔离 | 每个下游服务分配独立线程池 | 隔离彻底，线程上下文独立 | 线程切换开销大，资源占用高 |
| 信号量隔离 | 通过计数器限制并发请求数 | 轻量无锁，性能高 | 无法处理超时场景，需配合熔断 |
选型建议：高并发低延迟场景优先使用信号量隔离（如网关层）；需要超时控制和线程上下文传递的场景使用线程池隔离（如业务服务层）。