核心概念：服务雪崩效应、资源隔离、熔断器模式、降级策略
在分布式系统中，单个接口的故障可能通过调用链逐级放大，最终拖垮整个系统。理解并掌握以下四个核心概念，是设计可靠降级熔断方案的基础。
1. 服务雪崩效应
服务雪崩是指因某个服务提供者的不可用，导致调用方资源被耗尽（如线程池、连接池），进而引发调用方不可用，并将故障沿着调用链向上传播，最终导致整个系统瘫痪的现象。
典型触发路径： 服务A调用服务B → 服务B响应变慢/超时 → 服务A的调用线程被阻塞 → 服务A线程池耗尽 → 服务A无法响应上游请求 → 故障扩散至服务C、D...
雪崩效应的三个关键阶段：
- 故障源形成： 单个节点因硬件故障、慢SQL、流量突增等原因出现延迟或错误。
- 资源耗尽： 调用方未设置超时或超时过长，大量线程等待响应，导致线程池/连接池枯竭。
- 级联传播： 上游服务因下游超时而堆积请求，自身也变为不可用，故障沿调用链向上蔓延。
2. 资源隔离
资源隔离的核心思想是将系统资源（线程、连接、内存等）按服务、用户或优先级进行物理或逻辑上的划分，避免单一故障点耗尽全局资源。
| 隔离方式 | 实现机制 | 优势 | 劣势 |
|---|---|---|---|
| 线程池隔离 | 每个下游服务分配独立的线程池 | 隔离彻底，故障影响范围小 | 线程数增加，上下文切换开销大 |
| 信号量隔离 | 通过信号量限制并发请求数 | 轻量级，无线程切换开销 | 无法处理超时，需配合其他机制 |
| 连接池隔离 | 为不同服务分配独立连接池 | 防止连接被恶意或异常服务耗尽 | 配置管理复杂，资源利用率低 |
实践建议： 对于核心业务链路，优先使用线程池隔离；对于非核心或低延迟要求的调用，可使用信号量隔离以降低资源开销。Hystrix 和 Sentinel 均支持这两种模式。
3. 熔断器模式
熔断器模式借鉴了电路断路器的原理，当对下游服务的调用失败率达到预设阈值时，熔断器打开，后续请求直接快速失败（返回错误或执行降级逻辑），不再发起实际调用。经过一段时间后，熔断器进入半开状态，允许少量请求试探服务是否恢复。
熔断器的三个状态：
- CLOSED（关闭）： 正常状态，请求直接通过。当失败次数或失败率超过阈值时，进入 OPEN 状态。
- OPEN（打开）： 请求直接失败，不发起调用。经过设定的休眠时间后，进入 HALF_OPEN 状态。
- HALF_OPEN（半开）： 允许有限数量的请求通过。如果请求成功，熔断器关闭；如果请求失败，熔断器重新打开。
4. 降级策略
降级是指在系统面临压力或下游服务不可用时，主动放弃部分非核心功能或提供有损服务，以保障核心业务的可用性。降级策略通常与熔断器配合使用，当熔断器打开时，触发预设的降级逻辑。
| 降级策略 | 适用场景 | 实现方式 |
|---|---|---|
| 返回默认值 | 非关键数据，如推荐列表、广告 | 直接返回空列表、缓存数据或固定值 |
| 返回静态错误页 | 用户请求无法处理时 | 返回友好的错误提示页面或JSON |
| 调用本地缓存 | 读多写少的数据，如配置信息 | 从本地内存或本地文件读取数据 |
| 异步化/排队 | 写操作或非实时请求 | 将请求放入消息队列，异步处理 |
| 限流降级 | 系统整体负载过高 | 拒绝部分请求，返回“系统繁忙” |
关键原则： 降级策略必须是无副作用的（幂等），且降级后的响应时间应远低于正常调用。降级逻辑本身不能依赖已故障的下游服务，否则会形成二次故障。
概念关系总结
四个核心概念在降级熔断方案中协同工作：
- 资源隔离 是防御的第一层，防止故障横向扩散。
- 熔断器模式 是自动化的故障检测与隔离机制，基于调用数据做出决策。
- 降级策略 是熔断器打开后的执行动作，提供有损但可用的服务。
- 服务雪崩效应 是上述机制要解决的核心问题，通过隔离、熔断、降级的组合拳来避免。