熔断、限流与降级：稳定性三板斧

本文基于模型知识整理（生成时未联网核对），关键结论建议对照经典文献复核。

一句话定义

限流控制进入系统的流量上限（令牌桶/漏桶），熔断在下游持续失败时快速拒绝以阻断级联故障（断路器三态），降级则按预案牺牲非核心功能保住主链路——三者共同把"故障"限制在局部，防止雪崩扩散。

为什么重要

分布式系统的级联失败（cascading failure）是比单点故障更致命的形态：一个慢依赖拖垮线程池、拖垮上游、层层放大直至全站。三板斧是经过大型站点验证的标准防御体系，也是大促稳定性保障的核心内容。

前置知识

kp-002（延迟与容量）、kp-029（重试与预算）。

核心概念

• 限流算法：

- 令牌桶：恒速补充令牌，桶有容量——允许突发流量消耗存量令牌，最常用； - 漏桶：恒速流出，整形流量无突发； - 滑动窗口计数：实现简单，适合粗粒度保护； - 自适应限流：按系统负载（CPU/队列长度/BBR 带宽估计）动态调整阈值，无需预设 QPS。

• 断路器三态：closed（正常放行并统计）→ 失败率超阈值 → open（直接拒绝，快速失败）→ 冷却期后 half-open（放少量试探请求）→ 成功则回 closed。
• 降级：预案化地关闭/简化非核心功能（关推荐、简化页面、读缓存替代读库），保住核心链路容量。
• 隔离：线程池/信号量隔离（不同依赖不共享资源池），防止单一慢依赖耗尽全部容器资源。

原理与机制

为什么"快速失败"优于"慢慢等死"：级联故障的传播介质是资源占用时间——慢依赖让上游线程/连接被占满，上游自身的健康请求也得不到服务。熔断把对坏依赖的等待从"超时时长"压缩为"本地拒绝"，资源立即释放；配合 kp-029 的重试预算，系统从正反馈放大转为负反馈收敛。

限流的位置哲学：限流要放在故障域边界（对外入口、对每个下游依赖、对每类资源），且阈值依据压测实测容量而非拍脑袋。多层限流要各司其职：入口限总量、依赖级限互保、资源级（连接池/线程池）限最后防线。

降级是预案不是临场发挥：降级开关必须提前开发、演练（混沌工程验证开关真实生效）、并明确"谁有权在什么指标下打开"。临场手写降级代码等于在火灾现场装修。

图示

断路器:  closed --失败率>50%(10s窗口)--> open --冷却30s--> half-open
         half-open --试探成功--> closed   --失败--> open

令牌桶:  rate=1000/s, burst=2000 → 平时限1000, 允许瞬时突发2000
降级预案: 大促 → 关闭"猜你喜欢" → 释放 30% 下游容量给主链路

直观类比

小区水电：限流=每户电闸额定功率（超载跳闸）；熔断=家里短路时总闸跳开保护全楼（不再送电直到检修）；降级=用电高峰关掉景观灯保电梯空调。三者都是"用可控的小损失阻止不可控的大损失"。

实例或案例

• Sentinel / Resilience4j / Hystrix（已停更但理念延续）：断路器+限流+隔离的一站式实现；Sentinel 的自适应限流（基于系统 load/入口 QPS）是 BBR 思想落地。
• 2010s 级联故障经典：某慢依赖（如日志存储）把调用线程占满 → 上游全站 503。治理手段即三板斧+超时收紧。
• 大促保障：全链路压测定容量 → 入口限流闸门 → 非核心降级预案 → 实时大盘监控演练。

常见误区

• 误区一："限流阈值设高一点保险"。阈值超过真实容量等于没设；正确流程是压测 → 定阈值 → 定期复测（容量随代码变化漂移）。
• 误区二："熔断一开就没事了"。熔断只是止损，open 期间业务必须有兜底（降级响应/缓存/默认值），否则快速失败=快速报错，用户侧仍是故障。
• 误区三："降级开关加上了就可靠"。未演练的开关等于没有；必须定期演练验证其生效路径（含依赖它的缓存被击穿等次生效应）。

与其他知识点的关系

• kp-002：限流阈值的依据（容量与尾延迟）。
• kp-028：负载均衡是流量入口的第一层，三板斧是第二层。
• kp-029：重试预算与熔断互为配合（熔断 open 时重试应完全停止）。
• kp-031：三板斧的触发依据全部来自可观测性指标。

自测题

1. 断路器 half-open 状态的作用？

答：冷却期后放少量试探请求探测下游恢复情况，避免全量放行把刚恢复的下游再次压垮，成功才完全闭合。

1. 令牌桶与漏桶的核心区别？

答：令牌桶允许突发（消耗存量令牌），漏桶恒速整形无突发；前者适合"平均限速+容忍脉冲"，后者适合严格平滑。

1. 为什么降级必须提前演练？

答：未验证的开关可能因代码路径腐化、依赖缺失而失效，且可能引入次生问题（如关掉服务后缓存击穿）；演练保证预案在真实故障时可用。

延伸阅读

• Michael Nygard《Release It!》第 5 章（Circuit Breaker 模式原著）。
• Google SRE Book 第 22 章（级联失败）。
• Sentinel 官方文档（自适应限流与熔断降级规则）。