4. 半开状态转换机制：从打开到半开的超时触发、从半开到关闭的成功阈值、从半开到打开的失败阈值
熔断器的半开状态是整个故障恢复流程中的核心决策节点。它既不是简单的“尝试恢复”，也不是盲目的“全量放行”，而是通过一套严谨的阈值与超时机制，在系统稳定性与可用性之间寻找平衡。本节将拆解三个关键转换动作：打开→半开、半开→关闭、半开→打开，并给出标准参数配置参考。
4.1 打开→半开：超时触发机制
当熔断器处于打开状态时，所有请求被快速失败，系统进入“冷却期”。冷却期的结束由超时计时器控制，计时器到期后，熔断器自动转入半开状态，允许有限数量的探测请求通过。
核心参数：
sleepWindowInMilliseconds（或 timeoutDuration）—— 从打开到半开的等待时间，单位毫秒。
| 参数 | 推荐范围 | 说明 |
|---|---|---|
| sleepWindowInMilliseconds | 5000 ~ 30000 ms | 冷却期长度，取决于下游服务平均恢复时间 |
| halfOpenInitialDelay | 0 ~ 2000 ms | 进入半开后，首次探测请求的延迟等待 |
| maxHalfOpenRetryAttempts | 1 ~ 3 | 超时后最多重试进入半开的次数（防止抖动） |
实践建议：超时时间不宜过短（< 3s），否则在下游尚未恢复时频繁进入半开，造成“假性恢复”与反复熔断；也不宜过长（> 60s），否则会延长系统不可用窗口。建议根据下游 P99 恢复时间 + 安全余量设定。
4.2 半开→关闭：成功阈值
进入半开状态后，熔断器会放行有限数量的探测请求（通常为 1~10 个）。如果这些请求连续成功，且达到预设的成功阈值，则判定下游服务已恢复，熔断器关闭，恢复正常流量。
核心参数：
halfOpenSuccessThreshold —— 半开状态下连续成功次数阈值，达到后关闭熔断器。
| 参数 | 推荐范围 | 说明 |
|---|---|---|
| halfOpenSuccessThreshold | 2 ~ 5 | 连续成功次数，过低易误判，过高延迟恢复 |
| halfOpenMaxRequests | 3 ~ 10 | 半开状态下允许的最大并发探测请求数 |
| halfOpenSuccessRatio | 0.8 ~ 1.0 | 可选：成功比例阈值（与次数阈值二选一） |
避坑提示：成功阈值不宜设为 1。单次成功可能由网络抖动或缓存命中导致，无法真实反映下游健康状态。建议至少连续 2~3 次成功再关闭。同时注意探测请求应使用真实业务流量或模拟真实负载，避免使用“ping”类轻量探测。
4.3 半开→打开：失败阈值
在半开状态下，如果探测请求中任意一个请求失败，或者失败次数达到预设的失败阈值，熔断器会立即回到打开状态，重新开始冷却期计时。这是防止“假性恢复”扩散为系统性故障的关键防线。
核心参数：
halfOpenFailureThreshold —— 半开状态下允许的失败次数阈值，达到后重新打开。
| 参数 | 推荐范围 | 说明 |
|---|---|---|
| halfOpenFailureThreshold | 1 ~ 3 | 失败次数阈值，通常设为 1（一票否决） |
| halfOpenFailureRatio | 0.3 ~ 0.5 | 可选：失败比例阈值（与次数阈值二选一） |
| halfOpenFailureWindow | 1000 ~ 5000 ms | 失败计数的时间窗口，防止历史残留 |
设计哲学：半开状态下的失败阈值通常采用“一票否决”策略（threshold = 1）。因为半开状态本身已经处于试探阶段，任何一次失败都表明下游尚未完全恢复，立即回到打开状态可以避免对下游造成额外压力。如果业务容忍度较高，可适当放宽到 2~3 次。
4.4 三种转换对比总结
| 转换路径 | 触发条件 | 关键参数 | 典型值 | 风险 |
|---|---|---|---|---|
| 打开 → 半开 | 超时计时器到期 | sleepWindowInMilliseconds | 10s ~ 30s | 超时过短导致频繁探测 |
| 半开 → 关闭 | 连续成功达到阈值 | halfOpenSuccessThreshold | 3 ~ 5 | 阈值过低导致误判恢复 |
| 半开 → 打开 | 失败达到阈值 | halfOpenFailureThreshold | 1 ~ 2 | 阈值过高导致故障扩散 |
4.5 标准故障排查思路
当熔断器在半开状态出现异常转换时，按以下步骤排查：
- 检查超时配置：确认
sleepWindowInMilliseconds是否与下游恢复时间匹配。如果下游恢复需要 20s，但超时设为 5s，会导致反复进入半开。 - 检查成功阈值：确认
halfOpenSuccessThreshold是否过低（如设为 1）。建议至少 3 次连续成功再关闭。 - 检查失败阈值：确认
halfOpenFailureThreshold是否过高（如设为 5）。半开状态下建议一票否决。 - 检查探测请求质量：确认探测请求是否模拟了真实负载。轻量 ping 可能通过，但真实请求仍会失败。
- 检查并发控制：确认
halfOpenMaxRequests是否过大，导致半开状态下瞬间涌入大量请求压垮下游。
常见陷阱：半开状态下的“成功”可能来自缓存或降级响应。如果探测请求被缓存拦截，即使下游已宕机，熔断器也可能误判为恢复。建议探测请求携带
Cache-Control: no-cache 或使用独立的健康检查端点。