远程调用治理：超时、重试与熔断如何配合

远程请求可能在等连接、解析地址、建连接、服务排队、执行业务和读响应时花时间。超时规定最多等多久，重试决定是否再来一次，熔断在近期失败较多时暂时拒绝部分调用，隔离限制一个依赖能占多少线程或连接。它们用途不同；只把超时调大，可能只是让更多请求占着资源等待。

超时只说明调用方没及时拿到结果，不证明服务端没做事。支付超时后可能已经扣款，若换新业务单号重试，就可能再扣一次。重试前应有固定业务标识、结果查询或明确的可重试规则，保证同一操作不会重复产生效果。写操作是否可重试，要按具体业务判断，不能因为网络失败就直接再做一遍。

熔断器像一个有记忆的门卫：健康时收集结果，达到条件后暂时关门，等待后只允许少量探测，再根据探测恢复或继续关闭。它不负责修好数据库，也不会自动减少所有并发。只有将总时间预算、请求并发、重试次数和服务容量一起设计，故障才不容易沿调用链放大。

先确定用户最多能等多久，再把这段时间分给连接、读取响应、重试前的等待和失败后的补救。连接超时与读取超时通常各管一段，不能直接当成“整个操作到点就结束”的保证。每次重试前都要检查还剩多少时间；即使次数还没用完，剩余时间不够也应停止，并明确告诉调用方结果是成功、失败，还是尚不确定。

熔断器需要观察一段历史。按次数的滑动窗口保留最近 N 次结果，按时间的窗口保留最近一段时间：前者在低流量时可能跨很久，后者则可能样本很少。设置最小调用数，可以避免只有一次失败就达到比例阈值；统计慢调用还能发现尚未报错、却已明显拖慢的依赖。阈值应结合真实流量和恢复成本调整。

三个状态可以直接记成：Closed 正常放行并记录结果，Open 暂时拒绝调用，HalfOpen 只放少量请求试探是否恢复。若多台应用各有本地熔断器，一台进入 Open，不代表其他机器也进入了同一状态。恢复试探必须限量，否则刚恢复的服务可能又被请求压垮。暂时无法调用时，可以按业务约定返回缓存或“暂不可用”等替代结果；不能把支付或扣库存失败改写成成功。

measurements 保存每次测量，totalAggregation 保存已经算好的总计。查询统计时直接读取总计，就不用每次重新遍历整个窗口，窗口变长也不会让这一步按比例变慢。代价是每次增加或移除测量时，都必须同步维护总计，始终保证它等于当前窗口内各项之和。

record 在锁内更新总计、移动窗口、记录新测量并创建快照。窗口移动会移除旧桶贡献，再重置桶供新结果使用。不能只覆盖数组而忘记从总计减去旧值，否则失败数会随历史不断累加，所谓滑窗就退化成了不正确的终身统计。

这把锁让统计桶、下标、失败数和样本数一起保持正确。只把 failures 换成原子变量，虽然能保护这一个数，也不能保证其他字段与它属于同一份统计结果。锁里只做短暂的统计维护，实际网络调用在外面执行；如果把网络等待也放进这把锁，所有请求就会被迫排队。

OpenFeign 4.3 的默认 Retryer.NEVER_RETRY 与原生 Feign 的默认行为有区别。阅读框架源码时必须沿自动配置确认实际注入的策略，而不能凭另一层库的文档推断运行结果。重试和熔断装饰顺序也会改变一次业务请求被统计为一次还是多次尝试，应通过故障测试核对。

保留最近 capacity 次调用结果；达到 minSamples 后，失败百分比大于等于 threshold 才报警。空窗不能报警，阈值比较避免浮点误差，旧结果必须及时淘汰。

用布尔环形数组表示每次是否失败，head 始终指向下一次要覆盖的槽位。数组未满时增加有效样本数，数组已满时先减去被覆盖结果的失败贡献。再写入新结果并更新总计，最后移动下标。这种先移除再加入的顺序使总计始终只包含当前窗口。

失败率比较不必用 double 除法。失败数乘以 100 与有效样本数乘以阈值比较，即可精确判断是否达到阈值。先将操作数提升到 long，避免 int 乘法先溢出再转型。阈值限定 1 到 100，最小样本在 1 到容量之间，非法配置应在构造时拒绝。

证明可以用归纳：空窗口总计为零；若旧不变量成立，删除被淘汰项后得到仍保留的历史结果，再加入新结果恰好得到新窗口。因此失败数与数组有效区间一致。该模型按方法同步提供单对象并发安全，但报警布尔值仍不是一个完整熔断器，不包含等待时钟、半开探测或请求许可。

每轮只覆盖一个槽位并进行常数次整数运算；构造数组需要 O(capacity) 初始化空间与时间。

先做故障分类：连接尚未建立的失败、请求可能已送达的读取超时、明确业务拒绝和限流提示，不能统一处理。对可安全重试的请求，使用稳定业务键并遵守服务端提供的重试节奏；对不确定写结果，优先查询原请求状态或交给补偿流程。

上线前模拟慢响应、连接耗尽、全部实例失效与恢复抖动，观察真正的尝试数和端到端延迟。只看最终成功率会掩盖大量额外流量；只看平均延迟会隐藏尾延迟。还应检查线程池排队、连接池等待、熔断拒绝与半开探测的数量。

降级后仍要让用户知道业务处于什么状态。查询功能可以按事先约定返回标有数据时间的缓存；写入功能可以返回“处理中”或“暂不可用”，但不能让客户端误以为已经提交成功。日志中分别记录本地等待超时、远端业务失败，以及熔断器主动拒绝调用，才能分清是依赖出了问题，还是保护措施正在生效。