核心概念：熔断、降级、限流、自愈的定义与区别
在微服务架构中，熔断、降级、限流与自愈是保障系统稳定性的四大核心手段。它们常被混淆，但各自解决的问题域、触发条件与执行效果截然不同。本节从定义、区别与角色三个维度进行拆解。
1. 四概念定义速览
| 概念 | 核心定义 | 触发条件 | 执行效果 |
|---|---|---|---|
| 熔断 | 当下游服务错误率达到阈值时，快速切断调用链路，避免级联故障。 | 错误率/超时率 > 阈值（如 50%） | 直接拒绝请求，快速失败，定期探测恢复 |
| 降级 | 主动牺牲非核心功能，释放资源保障核心业务可用。 | 人工决策 / 熔断触发 / 资源紧张 | 返回兜底数据、关闭非关键功能 |
| 限流 | 控制单位时间内请求量，防止系统过载。 | QPS / 并发数 > 预设阈值 | 排队、拒绝、限速 |
| 自愈 | 系统自动检测故障并执行恢复动作，无需人工介入。 | 健康检查失败 / 指标异常 | 重启、摘除节点、切换主备 |
关键区分：熔断是被动防御，降级是主动策略，限流是前置控制，自愈是后置恢复。四者构成“预防 → 控制 → 兜底 → 恢复”的完整闭环。
2. 四概念关系与区别
下图展示了四者在一次典型故障生命周期中的位置与联动关系：
3. 在微服务中的角色定位
每个概念在微服务架构中承担不同的角色，下表从职责、部署位置与典型实现三个维度进行对比：
| 概念 | 架构角色 | 典型部署位置 | 常见实现 |
|---|---|---|---|
| 限流 | 流量守门员 | API 网关 / 服务入口 | 令牌桶、漏桶、滑动窗口 |
| 熔断 | 故障隔离器 | 服务调用方（客户端侧） | Hystrix、Resilience4j、Sentinel |
| 降级 | 业务兜底者 | 服务提供方 / 业务逻辑层 | Fallback 方法、Mock 数据 |
| 自愈 | 健康恢复者 | 基础设施层 / 容器编排 | K8s Liveness Probe、健康检查、自动重启 |
4. 四者协作的典型场景
以一个真实的电商下单链路为例，展示四者如何协同工作：
- 限流：网关层对 /order/create 接口设置 1000 QPS 阈值，超出部分直接返回 429。
- 熔断：订单服务调用库存服务时，连续 10 次超时，熔断器打开，后续请求直接走降级逻辑。
- 降级：库存服务不可用时，订单服务返回“库存暂缓查询，稍后重试”的兜底文案，而非直接报错。
- 自愈：K8s 检测到库存服务 Pod 健康检查失败，自动重启容器，恢复后熔断器半开探测，逐步恢复正常流量。
实践要点：限流阈值应基于压测结果设定；熔断阈值需考虑业务容忍度；降级策略必须提前定义并测试；自愈动作应记录事件日志，便于事后复盘。
5. 常见误区澄清
- 误区一：熔断 = 降级 —— 熔断是触发条件，降级是执行动作。熔断后可以触发降级，但降级也可以独立发生（如人工降级）。
- 误区二：限流可以替代熔断 —— 限流控制入口流量，熔断处理下游故障。限流无法阻止已进入系统的请求引发级联故障。
- 误区三：自愈 = 自动重启 —— 自愈包含重启、摘除节点、切换主备、动态扩缩容等多种手段，重启只是其中一种。
- 误区四：降级只用于故障时 —— 降级也可用于大促削峰，主动关闭非核心功能（如评论、推荐）保障下单链路。