1. 熔断器模式概述
1.1 熔断器模式的定义
熔断器模式（Circuit Breaker Pattern）是一种用于分布式系统的稳定性设计模式，其核心思想是在远程调用或服务访问失败率达到阈值时，主动切断调用链路，防止故障级联扩散，并为系统提供自我恢复的机制。该模式借鉴了电力系统中物理熔断器的工作原理：当电流过载时熔断器自动断开，保护后端电路；在软件系统中，熔断器同样充当“保护开关”的角色，避免对已故障或过载的服务持续发起无效请求。
核心目标：快速失败、防止雪崩、提供优雅降级与自动恢复能力。
1.2 熔断器的三种状态与生命周期
熔断器模式定义了三种基本状态：关闭（Closed）、打开（Open） 和 半开（Half-Open）。这三种状态按照预设的规则进行流转，构成熔断器的完整生命周期。下表对三种状态的核心特征进行了对比：
| 状态 | 含义 | 请求处理行为 | 触发条件 | 典型后果 |
|---|---|---|---|---|
| 关闭（Closed） | 熔断器处于正常状态，服务调用链路畅通 | 正常转发请求，同时统计失败次数 | 系统初始化或故障恢复后 | 请求正常通过，失败计数器递增 |
| 打开（Open） | 熔断器已触发，服务调用被阻断 | 直接拒绝请求，快速返回降级响应 | 失败次数/比率超过预设阈值 | 保护后端服务，避免资源耗尽 |
| 半开（Half-Open） | 熔断器尝试探测服务是否已恢复 | 允许有限数量的探测请求通过 | 打开状态持续超过超时时间 | 根据探测结果决定状态迁移方向 |
1.3 状态转换流程
熔断器的生命周期是一个闭环状态机，其转换逻辑决定了系统的容错与恢复能力。下图展示了三种状态之间的完整转换关系：
1.4 状态转换的触发条件详解
熔断器状态转换并非随机发生，而是由明确的指标和策略驱动。以下是各状态转换的详细触发条件：
- 关闭 → 打开：
- 连续失败次数达到阈值（如 5 次）
- 最近时间窗口内失败率超过阈值（如 60 秒内失败率 > 50%）
- 超时异常、网络异常、服务端返回 5xx 状态码等均计入失败计数
- 打开 → 半开：
- 熔断器打开后经过固定的休眠时间（sleep window，如 30 秒）
- 休眠时间结束后，熔断器自动进入半开状态，允许有限探测
- 半开 → 关闭：
- 探测请求成功返回（如 200 OK）
- 连续多个探测请求均成功（可配置，如 3 次）
- 失败计数器清零，熔断器完全恢复
- 半开 → 打开：
- 探测请求失败（超时、异常、非预期响应）
- 熔断器立即重新打开，并重置休眠计时器
最佳实践：在实际平台工程部署中，建议将半开状态的探测请求数量设置为 1~3 次，避免探测流量过大导致后端服务再次过载。同时，休眠时间应结合业务平均恢复时间（MTTR）进行动态调整。
1.5 熔断器模式在平台工程中的价值
在平台工程场景下，熔断器模式不仅是微服务间的容错手段，更是平台自愈能力的基础组件。通过标准化的熔断器模板部署，平台团队可以实现：
- 故障隔离：单个服务故障不会扩散到整个调用链
- 资源保护：避免线程池、连接池被无效请求耗尽
- 自动恢复：半开状态提供无人工介入的恢复验证机制
- 可观测性：熔断器状态变化可作为关键监控指标