Сервис вызывает зависимость, которая отвечает с таймаутом; зачем размыкатель цепи временно прекращает новые вызовы?
Размыкатель цепи временно прекращает вызовы к зависимому компоненту, чтобы не расходовать потоки, соединения и время ожидания на заведомо проблемные операции. Это ограничивает распространение отказа и позволяет вызывающему сервису быстро выбрать запасной сценарий или вернуть контролируемую ошибку.
Подход появился как средство защиты распределённых систем от каскадных отказов. До его применения сервисы часто продолжали синхронно вызывать недоступную зависимость, из-за чего накапливались ожидающие запросы и отказ постепенно распространялся на другие компоненты.
Идея заимствует принцип автоматического электрического предохранителя: при признаках аварии цепь размыкается, а после паузы выполняется ограниченная проверка возможности восстановления.
Если зависимость отвечает таймаутом, каждый запрос занимает ресурс вызывающего сервиса дольше обычного. При достаточном потоке запросов исчерпываются рабочие потоки, соединения, память или лимиты очередей, поэтому начинает ухудшаться уже сам вызывающий сервис.
Без размыкателя цепи даже восстановившаяся зависимость может оказаться перегруженной внезапным потоком накопленных вызовов. Неверно настроенный размыкатель, напротив, способен скрыть временные сбои, создать лишние задержки или отправить слишком много проверочных запросов.
Обычно выделяют три состояния. В замкнутом состоянии вызовы проходят нормально, а компонент собирает признаки ошибок, таймаутов и иногда медленных ответов. При превышении заданного порога цепь переходит в разомкнутое состояние: новые вызовы отклоняются немедленно, без обращения к зависимости.
Через заданный интервал наступает состояние полуоткрытое. Разрешается небольшое число пробных вызовов. При успешном результате цепь замыкается, а при повторной ошибке снова размыкается на период ожидания.
Главный эффект — изоляция отказа. Быстрый отказ обычно занимает существенно меньше ресурсов, чем ожидание сетевого таймаута, поэтому сохраняется способность обслуживать другие операции и возвращать резервный результат.
Порог срабатывания должен учитывать не только процент ошибок, но и их количество, длительность окна наблюдения, тип ошибки и минимальный объём выборки. Нельзя размыкать цепь из-за единичной ошибки или считать бизнес-ошибки клиента признаком неисправности зависимости.
Размыкатель не заменяет таймауты, ограничение параллелизма и управление нагрузкой. Он также не исправляет саму зависимость: его задача — ограничить последствия отказа. Слишком короткий интервал восстановления вызывает постоянные переходы состояний, а слишком длинный ухудшает доступность функций, которые могли бы работать после быстрого восстановления.
Важно согласовать поведение с идемпотентностью операций. Для чтения можно безопасно применять запасной источник или кэш, а для записи автоматический повтор пробного вызова может привести к дублированию операции, если первый запрос фактически завершился, но ответ потерялся.
Сервис оформления заказа обращается к необязательному сервису рекомендаций. Из-за сетевой проблемы рекомендации начинают отвечать по таймауту, и вскоре запросы оформления заказа начинают занимать рабочие потоки.
Рассматривались три варианта. Увеличение таймаута было отклонено: оно повышало долю занятых ресурсов. Полный отказ от вызова ухудшал персонализацию даже при кратковременных сбоях, но был безопаснее постоянного ожидания. Размыкатель цепи с коротким таймаутом, ограничением параллелизма и пустым результатом для рекомендаций позволил быстро отключать проблемную зависимость.
Выбрали третий вариант: после серии таймаутов вызовы прекращались, пользователю возвращался заказ без рекомендаций, а через интервал разрешался небольшой пакет проверочных запросов. Это сохранило основной сценарий оформления и предотвратило каскадное исчерпание потоков; компромиссом стала временная потеря рекомендаций.
Ответ: Единичные ошибки могут быть случайными и не означать системную неисправность. Немедленное размыкание создаёт флаппинг: цепь будет часто переходить между состояниями, снижая доступность даже при в целом здоровой зависимости. Поэтому применяют окно наблюдения, минимальное число запросов, порог ошибок и иногда отдельные пороги для таймаутов и отказов соединения.
Ответ: После восстановления зависимости все экземпляры могут одновременно отправить пробные запросы. Это создаёт резкий всплеск нагрузки и способно снова перегрузить зависимость. Обычно используют ограниченное число проб, распределённую случайную задержку, экспоненциальное увеличение паузы после повторных отказов и независимое принятие решения на экземплярах с учётом общего лимита нагрузки.
Ответ: Быстрый отказ сам по себе не является успешным обслуживанием. Если при разомкнутой цепи сервис всегда возвращает ошибку, то доступность функции может стать хуже, чем при контролируемой деградации. Запасной сценарий должен соответствовать требованиям операции: использовать кэш или значение по умолчанию для чтения, отложить необязательную обработку либо явно сообщить о невозможности критической записи. При этом важно не выдавать устаревшие или неподтверждённые данные как достоверный результат.