Circuit Breaker: schnell scheitern, wenn eine Abhängigkeit ausgefallen oder langsam ist

Worum es geht

Fowlers Beschreibung (zitiert): Ein Breaker umschliesst Aufrufe an eine Abhängigkeit und ist standardmässig geschlossen; nach einer Schwellenzahl von Fehlschlägen klappt er in den Zustand offen um, und Aufrufe schlagen sofort fehl, ohne die Abhängigkeit zu berühren; nach einem Reset-Timeout wechselt er in den Zustand half-open, und ein Testaufruf setzt den Breaker bei Erfolg zurück oder startet das Timeout bei Fehlschlag neu.

Resilience4j (zitiert) zeigt die Stellschrauben, die eine ausgereifte Implementierung hat: ein gleitendes Fenster, das entweder zählbasiert (letzte N Aufrufe) oder zeitbasiert (letzte N Sekunden) ist; failureRateThreshold und slowCallRateThreshold in Prozent, wobei slowCallDurationThreshold festlegt, was «langsam» bedeutet; minimumNumberOfCalls, bevor überhaupt eine Rate berechnet wird, damit neun Fehlschläge von neun einen für zehn konfigurierten Breaker nicht auslösen; waitDurationInOpenState; und permittedNumberOfCallsInHalfOpenState.

Envoys Outlier Detection (zitiert) ist dieselbe Idee auf der Proxy-Ebene: eine Form passiver Health-Checks, die einen Upstream-Host nach einer konfigurierten Anzahl aufeinanderfolgender 5xx-Antworten ausschliesst, begrenzt durch einen maximalen Ausschlussanteil, damit nicht ein ganzer Pool ausgeschlossen werden kann.

Warum es wichtig ist

Ohne Breaker wartet jede Anfrage an eine tote Abhängigkeit das volle Timeout ab und blockiert dabei einen Thread oder eine Verbindung; der Pool der aufrufenden Seite füllt sich, und sachfremde Endpunkte fallen aus. Ein Breaker macht aus einem langsamen einen schnellen Fehlschlag und hindert die aufrufende Seite daran, auf eine Abhängigkeit einzuhämmern, die sich gerade zu erholen versucht.

So wird es angewendet

• Ein Breaker pro Abhängigkeit, und pro Host, wo der Proxy das unterstützt; ein geteilter Breaker lässt eine ausfallende Abhängigkeit eine andere blockieren.
• Fehlschlag explizit definieren: Timeouts, Verbindungsfehler und 5xx zählen; von der aufrufenden Seite verursachte 4xx nicht.
• Jedem Aufruf ein Timeout unterlegen; ein Breaker sieht nur Fehlschläge, die gemeldet werden, und ein Aufruf, der nie zurückkehrt, wird nicht gemeldet.
• Den Schwellenwert für langsame Aufrufe aktivieren; «erreichbar, aber langsam» ist die häufige Ausfallform.
• Den Fallback pro Aufrufstelle festlegen: zwischengespeicherter Wert, Standardwert, eingeschränkte Antwort oder ein sofort zurückgegebener Fehler. Nie auf dieselbe Abhängigkeit zurückfallen.
• Den Breaker-Zustand und die Anzahl der Zustandswechsel als Metriken exportieren und bei anhaltendem offenem Zustand alarmieren.

Stolpersteine

Viele Instanzen, die gleichzeitig im Zustand half-open testen, können die Abhängigkeit erneut überlasten; mit Jitter zeitlich staffeln. Ein zu kleines Fenster löst schon bei Rauschen aus; ein zu grosses Fenster reagiert zu spät. Breaker ersetzen weder Retries mit Backoff noch begrenzte Nebenläufigkeit; sie ergänzen sie.