Circuit breakers: fallar rápido cuando una dependencia está caída o lenta

Qué es

Según la descripción de Fowler (citada), un breaker envuelve las llamadas a una dependencia y está cerrado por defecto; tras superar un umbral de fallos pasa a abierto y las llamadas fallan de inmediato sin tocar la dependencia; transcurrido un timeout de reinicio pasa a semiabierto, y una llamada de prueba restablece el breaker si tiene éxito o reinicia el timeout si falla.

Resilience4j (citado) muestra los parámetros que ofrece una implementación madura: una ventana deslizante basada en recuento (las últimas N llamadas) o en tiempo (los últimos N segundos); failureRateThreshold y slowCallRateThreshold en porcentaje, donde slowCallDurationThreshold define qué se considera "lenta"; minimumNumberOfCalls, el número de llamadas necesarias antes de calcular cualquier tasa, de modo que nueve fallos de nueve no hagan saltar un breaker configurado para diez; waitDurationInOpenState; y permittedNumberOfCallsInHalfOpenState.

La detección de valores atípicos (outlier detection) de Envoy (citada) es la misma idea en la capa del proxy: una forma de comprobación de salud pasiva que expulsa un host upstream tras un número configurado de respuestas 5xx consecutivas, con un porcentaje máximo de expulsión para que no se pueda expulsar todo el pool.

Por qué importa

Sin un breaker, cada petición a una dependencia caída espera el timeout completo y retiene un hilo o una conexión; el pool del llamador se llena y fallan endpoints que no tienen relación. Un breaker convierte un fallo lento en uno rápido e impide que el llamador martillee una dependencia que intenta recuperarse.

Cómo aplicarlo

• Un breaker por dependencia, y por host cuando el proxy lo permita; un breaker compartido hace que una dependencia con fallos pueda bloquear a otra.
• Define el fallo de forma explícita: cuentan los timeouts, los errores de conexión y los 5xx; no cuentan los 4xx causados por el llamador.
• Pon un timeout bajo cada llamada; un breaker solo ve los fallos que se le notifican, y una llamada que nunca regresa no se notifica.
• Activa el umbral de llamadas lentas; "activo pero lento" es la forma más habitual de caída.
• Decide el fallback en cada punto de llamada: un valor en cache, un valor por defecto, una respuesta degradada o un error devuelto de inmediato. Nunca uses como fallback la misma dependencia.
• Exporta el estado del breaker y el número de transiciones como métricas, y configura alertas para cuando el estado abierto se prolongue.

Trampas

Si muchas instancias hacen pruebas a la vez en estado semiabierto, pueden volver a sobrecargar la dependencia; escalónalas con jitter. Una ventana minúscula salta por ruido; una ventana enorme reacciona tarde. Los breakers no sustituyen a los reintentos con backoff ni a la concurrencia acotada; los complementan.