4. 错误恢复与重试：重试策略、幂等性设计与断路器模式

在分布式系统中，瞬时故障（网络抖动、服务重启、资源争用）是常态而非异常。错误恢复与重试机制是构建高可用系统的核心防线。本章聚焦三种经典模式：重试策略（指数退避与固定间隔）、幂等性设计（确保重复请求不产生副作用）以及断路器模式（防止级联故障）。三者协同工作，形成从“尝试恢复”到“安全重放”再到“主动熔断”的完整闭环。

4.1 重试策略：指数退避与固定间隔

重试策略决定了在请求失败后，客户端等待多久再次发起请求。选择不当的重试策略可能导致“重试风暴”，使下游服务雪上加霜。

4.1.1 固定间隔重试

每次重试前等待相同的时间间隔。实现简单，但缺乏弹性，不适合高并发或长耗时故障场景。

4.1.2 指数退避重试

每次重试的等待时间呈指数增长，并通常引入随机抖动（Jitter）防止惊群效应。这是生产环境中最推荐的重试策略。

// 指数退避 + 随机抖动（Java 伪代码）
public long computeBackoff(int attempt, long baseDelayMs, long maxDelayMs) {
    long exponentialDelay = baseDelayMs * (long) Math.pow(2, attempt);
    long jitter = ThreadLocalRandom.current().nextLong(0, exponentialDelay / 2);
    long finalDelay = Math.min(exponentialDelay + jitter, maxDelayMs);
    return finalDelay;
}

4.2 幂等性设计：安全重放的核心

幂等性（Idempotency）是指无论请求被执行一次还是多次，系统状态始终保持一致。在重试机制中，幂等性是防止重复扣款、重复下单、重复创建资源等严重数据错误的唯一保障。

4.2.1 幂等性实现策略

4.2.2 唯一请求 ID 模式详解

这是最通用的幂等性实现方式。客户端在首次请求时生成一个 Idempotency-Key，服务端在处理成功后缓存该 Key。后续相同 Key 的请求直接返回第一次的结果，不再执行实际逻辑。

// 幂等性中间件伪代码（服务端）
public Response handleRequest(Request request, String idempotencyKey) {
    // 1. 检查缓存中是否已存在该 Key 的处理结果
    Response cached = cache.get(idempotencyKey);
    if (cached != null) {
        return cached; // 直接返回，不执行业务逻辑
    }

    // 2. 执行实际业务逻辑（加锁防止并发）
    lock.lock(idempotencyKey);
    try {
        cached = cache.get(idempotencyKey);
        if (cached != null) {
            return cached;
        }
        Response result = doBusinessLogic(request);
        cache.set(idempotencyKey, result, ttl);
        return result;
    } finally {
        lock.unlock(idempotencyKey);
    }
}

4.3 断路器模式：防止级联故障

当下游服务持续故障时，无休止的重试只会浪费资源并加剧系统负载。断路器模式通过监控失败率，在达到阈值时“断开”电路，快速失败后续请求，并定期探测服务是否恢复。

4.3.1 断路器状态机

断路器包含三个核心状态：关闭（Closed）、打开（Open）、半开（Half-Open）。

• 关闭（Closed）：正常状态，请求直接通过。当失败次数超过阈值（如 5 秒内失败 10 次）时，切换到打开状态。
• 打开（Open）：所有请求立即失败（快速失败），不发起实际调用。经过超时时间（如 30 秒）后，切换到半开状态。
• 半开（Half-Open）：允许少量请求通过，探测服务是否恢复。如果请求成功，则切换回关闭状态；如果失败，则回到打开状态并重置超时计时器。

4.3.2 断路器配置参数