播面 服务降级、服务熔断和服务限流的区别是什么？
服务降级（Degradation）、服务熔断（Circuit Breaking）和服务限流（Rate Limiting）是微服务和分布式系统中保障系统高可用性（High Availability）的三大核心机制。
虽然它们的目的都是为了“保护系统免受拖垮”，但它们的触发条件、作用目标和处理逻辑有显著的区别。
下面用最通俗易懂的方式为你拆解它们的作用与区别：
1. 服务限流（Rate Limiting）—— “限制流量，保护自己”
- 核心思想：超出系统承受能力的流量，直接拒绝或排队，防止系统被瞬间的高并发冲垮。
- 保护对象：保护自己（被调用方），避免自己被大量的外部请求压死。
- 触发条件：请求量（QPS/并发数）达到了系统设置的阈值。
- 处理方式：排队等待、直接拒绝服务（返回 "HTTP 429 Too Many Requests"）、或者引导至降级页面。
- 生活场景：景区限流。故宫每天只卖3万张票，买不到票的游客只能明天再来，以保证进入景区的游客有良好的体验，同时防止发生踩踏事故。
2. 服务熔断（Circuit Breaking）—— “及时止损，防止雪崩”
- 核心思想：当下游服务出现故障（如响应超时、错误率飙升）时，调用方立刻停止调用该服务，直接返回错误或默认值，而不是一直等待导致耗尽自己的线程池。
- 保护对象：保护自己（调用方），防止因为下游服务的故障，导致自己被拖死（防止雪崩效应）。
- 触发条件：下游服务的错误率或慢请求比例达到设定的阈值。
- 处理方式：熔断器打开（Open）。在一段时间内，所有对该下游的请求直接拦截，不发送到网络。经过一段时间后，进入“半开状态（Half-Open）”放行少量请求测试下游是否恢复，如果恢复则关闭熔断器（正常调用）。
- 生活场景：家庭电路的保险丝/空气开关。当某个电器短路（下游故障），为了防止引发火灾（雪崩拖垮整个系统），保险丝会瞬间“跳闸”（熔断），切断电流。
3. 服务降级（Degradation）—— “弃车保帅，保证核心”
- 核心思想：当系统资源不足或出现故障时，主动关闭一些非核心的功能，或者返回缓存的、默认的数据，以保证核心业务的正常运行。
- 保护对象：保护全局（整个大系统），牺牲局部非核心体验，保全核心业务。
- 触发条件：可以由熔断触发（被动降级），也可以由限流触发（被动降级），也可以在大促前人工手动开启（主动降级）。
- 处理方式：返回兜底数据（Fallback）、关闭非核心接口、延迟写入等。
- 生活场景：双十一大促。淘宝在双十一零点时，可能会暂时关闭“历史订单查询”、“商品推荐”等非核心功能，甚至不显示商品评价，把所有的服务器资源都留给“购物车”和“支付”这两个核心功能（弃车保帅）。
核心区别对比表
| 维度 | 服务限流 (Rate Limiting) | 服务熔断 (Circuit Breaking) | 服务降级 (Degradation) |
|---|---|---|---|
| 解决的问题 | 请求量太大，系统处理不过来 | 下游服务挂了或慢了，怕被它拖死 | 资源不够了，保核心弃边缘 |
| 触发条件 | 并发量/请求数达到阈值 | 下游错误率/响应时间达到阈值 | 系统整体压力大 / 熔断限流后的兜底 |
| 保护目标 | 保护自己不被外部流量冲垮 | 保护自己不被下游服务拖垮 | 保护全局核心业务正常运转 |
| 动作主导方 | 服务提供方（被调用方） | 服务消费方（调用方） | 全局架构或具体业务逻辑中 |
| 最终表现 | 拒绝请求，提示“系统繁忙请稍后” | 快速失败，不再发起真正的远程调用 | 提供有损服务，返回默认值/缓存/提示 |
它们之间的联系（协同作战）
在真实的微服务架构中，这三者往往是配合使用的：
- 当外部流量暴增时，系统首先会触发服务限流，把多余的请求挡在门外。
- 对于被限流的请求，系统往往会配合服务降级，给用户返回一个友好的页面（如“当前排队人数较多，请稍后再试”），而不是直接报错。
- 如果流量没有被完全挡住，或者某个下游服务本身因为Bug变慢了，调用方检测到大量超时，就会触发服务熔断，切断对该下游的调用。
- 熔断之后，往往也会紧接着执行服务降级逻辑，比如下游的“个性化推荐服务”被熔断了，前端不应该展示空白，而是降级为展示“热销商品榜单（本地缓存数据）”。
总结一句话：
限流是防备外部攻击的“盾牌”，熔断是斩断内部坏死组织的“断臂求生”，而降级是这两种动作发生后为了让用户体验不至于太差的“兜底安抚”。