播面

服务降级（Degradation）、服务熔断（Circuit Breaking）和服务限流（Rate Limiting）是微服务和分布式系统中保障系统高可用性（High Availability）的三大核心机制。

虽然它们的目的都是为了“保护系统免受拖垮”，但它们的触发条件、作用目标和处理逻辑有显著的区别。

下面用最通俗易懂的方式为你拆解它们的作用与区别：

---

1. 服务限流（Rate Limiting）—— “限制流量，保护自己”

• 核心思想：超出系统承受能力的流量，直接拒绝或排队，防止系统被瞬间的高并发冲垮。
• 保护对象：保护自己（被调用方），避免自己被大量的外部请求压死。
• 触发条件：请求量（QPS/并发数）达到了系统设置的阈值。
• 处理方式：排队等待、直接拒绝服务（返回 "HTTP 429 Too Many Requests"）、或者引导至降级页面。
• 生活场景：景区限流。故宫每天只卖3万张票，买不到票的游客只能明天再来，以保证进入景区的游客有良好的体验，同时防止发生踩踏事故。

2. 服务熔断（Circuit Breaking）—— “及时止损，防止雪崩”

• 核心思想：当下游服务出现故障（如响应超时、错误率飙升）时，调用方立刻停止调用该服务，直接返回错误或默认值，而不是一直等待导致耗尽自己的线程池。
• 保护对象：保护自己（调用方），防止因为下游服务的故障，导致自己被拖死（防止雪崩效应）。
• 触发条件：下游服务的错误率或慢请求比例达到设定的阈值。
• 处理方式：熔断器打开（Open）。在一段时间内，所有对该下游的请求直接拦截，不发送到网络。经过一段时间后，进入“半开状态（Half-Open）”放行少量请求测试下游是否恢复，如果恢复则关闭熔断器（正常调用）。
• 生活场景：家庭电路的保险丝/空气开关。当某个电器短路（下游故障），为了防止引发火灾（雪崩拖垮整个系统），保险丝会瞬间“跳闸”（熔断），切断电流。

3. 服务降级（Degradation）—— “弃车保帅，保证核心”

• 核心思想：当系统资源不足或出现故障时，主动关闭一些非核心的功能，或者返回缓存的、默认的数据，以保证核心业务的正常运行。
• 保护对象：保护全局（整个大系统），牺牲局部非核心体验，保全核心业务。
• 触发条件：可以由熔断触发（被动降级），也可以由限流触发（被动降级），也可以在大促前人工手动开启（主动降级）。
• 处理方式：返回兜底数据（Fallback）、关闭非核心接口、延迟写入等。
• 生活场景：双十一大促。淘宝在双十一零点时，可能会暂时关闭“历史订单查询”、“商品推荐”等非核心功能，甚至不显示商品评价，把所有的服务器资源都留给“购物车”和“支付”这两个核心功能（弃车保帅）。

---

核心区别对比表

它们之间的联系（协同作战）

在真实的微服务架构中，这三者往往是配合使用的：

1. 当外部流量暴增时，系统首先会触发服务限流，把多余的请求挡在门外。
2. 对于被限流的请求，系统往往会配合服务降级，给用户返回一个友好的页面（如“当前排队人数较多，请稍后再试”），而不是直接报错。
3. 如果流量没有被完全挡住，或者某个下游服务本身因为Bug变慢了，调用方检测到大量超时，就会触发服务熔断，切断对该下游的调用。
4. 熔断之后，往往也会紧接着执行服务降级逻辑，比如下游的“个性化推荐服务”被熔断了，前端不应该展示空白，而是降级为展示“热销商品榜单（本地缓存数据）”。

总结一句话：
限流是防备外部攻击的“盾牌”，熔断是斩断内部坏死组织的“断臂求生”，而降级是这两种动作发生后为了让用户体验不至于太差的“兜底安抚”。