1. 降级熔断概述
1.1 降级与熔断的定义
在微服务架构中，降级（Degradation）与熔断（Circuit Breaker）是保障系统稳定性的核心容错手段。两者均用于应对服务依赖异常或资源过载，但作用机制与目标不同。
| 概念 | 定义 | 触发条件 | 典型动作 |
|---|---|---|---|
| 降级 | 主动放弃非核心功能或返回降级结果，以释放资源保障核心链路可用 | 资源不足、超时、依赖服务响应慢 | 返回缓存数据、默认值、空结果；关闭非关键功能 |
| 熔断 | 当依赖服务错误率达到阈值时，快速切断调用链路，避免级联故障 | 连续失败次数、错误率、超时比例超过阈值 | 直接拒绝请求、快速失败、进入半开状态探测恢复 |
关键区别：降级是主动的容量管理策略，熔断是被动的故障隔离机制。降级通常由运维或配置触发，熔断由运行时状态自动触发。
1.2 区别与联系
降级与熔断并非互斥，而是互补的容错策略。下表从多个维度对比两者的差异：
| 对比维度 | 降级 | 熔断 |
|---|---|---|
| 触发方式 | 人工配置 / 自动策略（如限流后降级） | 自动：错误率 / 超时 / 失败计数达到阈值 |
| 执行粒度 | 接口、功能模块、服务实例 | 调用链路、远程依赖 |
| 恢复机制 | 手动恢复 / 定时恢复 / 资源充足后自动恢复 | 半开状态探测 → 成功则关闭熔断器 |
| 目标 | 保障核心业务可用性 | 防止故障扩散，保护调用方与被调用方 |
| 常见实现 | Hystrix 降级回退、Sentinel 降级规则 | Hystrix 熔断器、Resilience4j CircuitBreaker |
联系：在实际工程中，熔断触发后通常伴随降级动作——当熔断器打开，调用方执行降级回退逻辑（Fallback），返回默认值或缓存数据。两者共同构成“熔断 + 降级”的防御组合。
最佳实践：熔断是降级的前置触发条件之一。配置熔断规则时，必须同时配置对应的降级回退方法，否则熔断后请求仍会抛出异常，无法达到容错效果。
1.3 在微服务架构中的重要性
微服务架构中，服务间依赖复杂，单个服务故障可能通过调用链扩散，引发雪崩效应。降级与熔断是防止雪崩的关键防线。
- 防止级联故障：熔断器快速切断故障链路，避免调用方线程阻塞堆积，耗尽自身资源。
- 保障核心业务：降级策略优先保证支付、登录等核心功能，牺牲非核心功能（如推荐、日志）以维持系统基本运转。
- 提升容错韧性：系统在部分依赖失效时仍能提供有损服务，而非完全不可用。
- 降低运维压力：自动熔断与降级减少人工介入，缩短故障恢复时间。
1.4 典型应用场景
| 场景 | 降级策略 | 熔断策略 |
|---|---|---|
| 数据库连接池耗尽 | 非核心查询降级为缓存读取 | 熔断数据库访问，快速失败 |
| 第三方支付接口超时 | 返回“支付处理中”状态，异步重试 | 连续 5 次超时后熔断 30 秒 |
| 推荐服务响应缓慢 | 关闭个性化推荐，返回默认推荐列表 | 错误率 > 50% 时熔断，降级为静态推荐 |
| 用户登录高峰期 | 非核心功能（如历史记录）降级 | 登录服务自身限流 + 熔断保护 |
注意：降级与熔断配置需结合业务优先级。核心链路（如交易、登录）的降级阈值应更保守，非核心链路（如日志、推荐）可更激进。错误配置可能导致核心功能被误降级，造成更大损失。