1. 课程导论：服务降级、熔断、告警、自愈与补偿机制的核心概念与关系图谱
在分布式系统与事件驱动架构（EDA）的实践中，单个服务或组件的故障可能通过异步消息链路迅速扩散，导致“雪崩效应”。为了构建高可用、有韧性的系统，必须引入一套体系化的自我保护与恢复机制。本章将定义五大核心概念，并揭示它们之间的协同关系。
1.1 五大核心概念定义
| 概念 | 定义 | 触发条件 | 典型动作 |
|---|---|---|---|
| 服务降级 | 主动牺牲非核心功能或数据精度，以保障核心业务流程的可用性。 | 资源紧张、依赖超时、流量峰值 | 返回默认值、关闭非关键特性、延迟非实时处理 |
| 熔断 | 当依赖方持续故障时，快速切断调用链路，防止级联失败。 | 错误率达到阈值、连续超时 | 直接拒绝请求、快速失败、定期探测恢复 |
| 告警 | 将系统异常状态或指标阈值突破事件，通过通道通知到运维或自动流程。 | 指标越界、事件发生、状态变更 | 发送通知、触发 Webhook、写入事件总线 |
| 自愈 | 系统在检测到故障后，无需人工介入，自动执行恢复策略。 | 告警确认、健康检查失败 | 重启实例、切换流量、回滚版本、扩容 |
| 补偿机制 | 在事件驱动架构中，对已发生的部分失败事务执行逆向操作或状态修正。 | Saga 步骤失败、最终一致性冲突 | 发送补偿事件、执行撤销动作、记录对账日志 |
1.2 核心关系图谱
下图展示了从故障发生到系统恢复的完整闭环，以及各机制在事件驱动架构中的位置。
1.3 机制协同流程
在事件驱动架构中，上述机制通过事件总线串联，形成自动化闭环：
- 检测阶段：消费者处理事件时发生异常（如数据库超时），触发熔断器打开。
- 降级阶段：熔断器通知上游生产者执行服务降级策略（如返回缓存数据或默认响应）。
- 告警阶段：降级执行器向事件总线发送
DegradationExecuted事件，告警服务消费后生成告警通知。 - 自愈阶段：自愈编排器监听告警事件，执行预定义恢复剧本（如重启容器或切换机房）。
- 补偿阶段：若故障涉及部分成功的事务（如 Saga 模式），补偿协调器根据失败事件发送补偿事件，回滚已提交的操作。
关键设计原则：补偿机制不应与熔断/降级耦合在同一代码路径中。熔断和降级是“快速失败”策略，而补偿是“最终一致”策略，两者通过事件总线异步衔接，避免阻塞主流程。
1.4 事件驱动架构中的补偿定位
补偿机制在事件驱动系统中具有特殊地位。与传统的 ACID 事务不同，EDA 中的事务通常是长活且跨服务的。补偿通过发送“逆向事件”来撤销之前已发布事件的影响。
实践建议：在设计补偿事件时，应遵循“幂等性”原则。同一个补偿事件被多次消费，其结果应与消费一次相同。这可以通过在事件负载中包含版本号或状态机来实现。
1.5 本章小结
- 服务降级是“舍车保帅”的主动策略；熔断是“快速切断”的保护屏障。
- 告警是连接故障检测与自动化响应的桥梁。
- 自愈是减少人工介入的终极目标。
- 补偿机制是事件驱动架构中保证最终一致性的关键手段，与 Saga 模式深度绑定。
- 五大机制通过事件总线形成“检测 → 降级 → 告警 → 自愈 → 补偿”的完整闭环。