熔断器核心参数详解

熔断器的行为由一组可配置的核心参数精确控制。这些参数共同决定了熔断器何时触发、保持熔断多久、以及如何尝试恢复。理解每个参数的作用域与调优原则，是构建高可用分布式系统的关键。

参数全景与作用域

下表列出了熔断器的四个核心参数及其在状态机中的影响范围：

参数一：失败阈值

失败阈值定义了在闭合状态下，连续或滑动窗口内失败次数达到多少时，熔断器跳闸进入断开状态。

• 计数模式：基于连续失败次数（简单计数）或基于滑动窗口失败率（如 10s 内失败率 > 50%）。
• 调优原则：核心交易链路建议设置较低阈值（如 3~5 次），避免长时间等待；非关键批量任务可适当放宽（如 10~20 次）。
• 常见误区：仅统计超时异常，忽略业务异常码（如 HTTP 503）。应将业务定义的“不可用响应”也纳入失败计数。

参数二：超时时间

超时时间定义了单个请求等待响应的最大容忍时间。超时请求通常被计入失败计数，并直接触发熔断统计。

• 设置依据：基于下游服务的 P99 延迟 + 网络往返时间 + 合理的缓冲（通常 200ms~500ms）。
• 过短风险：正常慢请求被误判为失败，导致熔断器频繁跳闸。
• 过长风险：线程池或连接池被慢请求耗尽，引发级联阻塞。

参数三：熔断持续时间

熔断持续时间是熔断器保持在断开状态的时间长度。时间到期后，熔断器自动进入半开状态，允许探测请求通过。

• 作用：给下游服务提供“冷却窗口”，避免熔断器在故障未恢复时反复跳闸。
• 调优原则：对于快速恢复的服务（如缓存失效），可设置 5~10s；对于需要重启或扩容的服务，建议 30s 以上。
• 自适应变体：部分实现支持指数退避（如第一次 10s，第二次 20s，第三次 40s），防止频繁探测加重下游压力。

参数四：半开探测请求数

当熔断器进入半开状态后，会允许有限数量的请求通过，用于探测下游服务是否已恢复。

• 核心作用：控制探测阶段的并发压力，防止大量请求瞬间涌入尚未完全恢复的服务。
• 典型配置：1~5 个请求。对于高并发服务，建议设置为 1，逐次探测；对于低延迟服务，可适当放宽至 3~5。
• 判定逻辑：若探测请求全部成功，熔断器回到闭合状态；若任意一个失败，立即回到断开状态并重置熔断计时器。

参数协同与状态流转

下图展示了四个核心参数如何协同驱动熔断器的三态流转：

参数配置示例（Java + Resilience4j）

// Resilience4j 熔断器配置示例
CircuitBreakerConfig config = CircuitBreakerConfig.custom()
    // 失败阈值：10秒滑动窗口内失败率超过50%
    .failureRateThreshold(50)
    .slidingWindowType(SlidingWindowType.TIME_BASED)
    .slidingWindowSize(10)
    .minimumNumberOfCalls(5)
    // 超时时间：请求等待不超过2秒
    .waitDurationInOpenState(Duration.ofSeconds(30))
    // 熔断持续时间：30秒后进入半开
    .waitDurationInOpenState(Duration.ofSeconds(30))
    // 半开探测请求数：最多允许3个探测请求
    .permittedNumberOfCallsInHalfOpenState(3)
    .build();

CircuitBreaker circuitBreaker = CircuitBreaker.of("orderService", config);

参数调优检查清单

1. 失败阈值：是否区分了超时失败与业务异常失败？滑动窗口大小是否匹配业务流量特征？
2. 超时时间：是否基于下游 P99 延迟设置？是否设置了连接超时与读取超时两个维度？
3. 熔断持续时间：是否考虑了下游服务的平均恢复时间？是否启用了指数退避？
4. 半开探测请求数：探测请求是否与正常请求共享相同的超时和失败判定？并发数是否过高？