3. 熔断机制原理：熔断器状态机与熔断恢复策略
熔断机制是分布式系统中防止级联故障的关键防御层。其核心思想借鉴了电路工程中的断路器：当对下游服务的调用持续失败或超时时，熔断器主动切断调用链路，让系统有时间恢复，避免资源被无效请求耗尽。本节深入剖析熔断器的三态状态机模型及主流的熔断恢复策略。
3.1 熔断器三态状态机
熔断器在运行过程中维护三个核心状态：Closed（关闭）、Open（打开） 和 Half-Open（半开）。状态之间的转换由预设的阈值和计时器驱动，形成一个闭环的自我保护循环。
核心概念：熔断器不是二态（开/关）设备，而是三态机。Half-Open 状态是系统从故障中恢复的试探性窗口，是熔断器区别于简单限流器的关键设计。
设计原则：熔断器状态机必须保证在 Open 状态下不发起真实调用，在 Half-Open 状态下只允许少量探测请求通过，避免恢复瞬间压垮下游。
3.2 状态转换详细说明
| 当前状态 | 触发条件 | 目标状态 | 系统行为 |
|---|---|---|---|
| Closed | 失败率 ≥ 阈值（如 50%）且请求量 ≥ 最小样本数（如 10） | Open | 立即切断所有调用，抛出熔断异常，开始计时熔断窗口 |
| Open | 熔断超时时间到期（如 30s） | Half-Open | 允许有限数量的探测请求通过，其余请求继续快速失败 |
| Half-Open | 所有探测请求成功 | Closed | 重置失败计数器，恢复正常调用，熔断器完全关闭 |
| Half-Open | 任一探测请求失败 | Open | 重新进入熔断状态，重置熔断超时计时器 |
常见误区：不要将熔断器与限流器混用。限流器控制请求速率，熔断器控制调用链路通断。熔断器 Open 状态下，即使请求速率很低，也不会放行任何请求（除探测请求外）。
3.3 熔断恢复策略
熔断恢复策略决定了系统从 Open 状态恢复到 Closed 状态的方式和速度。不同的策略在恢复速度、系统稳定性和资源消耗之间做出权衡。以下是三种主流的恢复策略：
3.3.1 基于超时窗口的自动恢复
这是最基础的策略。熔断器进入 Open 状态后，启动一个固定时长的计时器（如 30s）。计时器到期后，自动转入 Half-Open 状态进行探测。该策略实现简单，但无法感知下游服务的实际恢复进度，可能导致过早或过晚恢复。
3.3.2 基于探测请求的渐进恢复
在 Half-Open 状态下，熔断器逐步增加探测请求的并发量或频率。例如：
- 阶段一：放行 1 个探测请求，成功则进入阶段二。
- 阶段二：放行 3 个并发探测请求，成功则进入阶段三。
- 阶段三：放行 10 个并发探测请求，全部成功则关闭熔断器。
这种策略可以平滑地试探下游的承载能力，避免恢复瞬间流量洪峰冲垮刚刚恢复的服务。
3.3.3 基于成功率的自适应恢复
结合滑动窗口统计，在 Half-Open 状态下持续监测探测请求的成功率。只有当成功率持续高于某个阈值（如 90%）且持续一定时间（如 10s），才关闭熔断器。该策略对下游恢复状态感知更精确，但实现复杂度较高。
3.4 熔断器配置参数清单
| 参数名称 | 默认值 | 说明 |
|---|---|---|
failureThreshold |
50% | 触发熔断的失败率阈值 |
minRequestCount |
10 | 触发熔断的最小请求样本数 |
openTimeout |
30s | 熔断器 Open 状态持续时长 |
halfOpenMaxRequests |
3 | Half-Open 状态下允许的最大探测请求数 |
successThreshold |
90% | 自适应策略中关闭熔断器所需的最低成功率 |
生产建议：熔断器参数不应静态配置。建议结合历史监控数据动态调整：例如根据业务低峰期和高峰期的不同特征，使用不同的
failureThreshold 和 openTimeout。同时，熔断器状态变更应记录详细日志，便于事后排查。