服务熔断和降级区别，最容易从故障现场看清：当下游服务持续超时或报错时，熔断负责暂时切断对异常依赖的调用；当系统资源紧张或部分能力不可用时，降级负责保住核心流程，让非核心能力以简化方式运行或暂时关闭。
二者都属于微服务容错机制，但处理目标不同。熔断更像“阻止故障继续扩散”，降级更像“在能力受限时保留关键服务”。
熔断处理的是异常依赖
服务熔断通常发生在调用下游依赖时。当某个依赖的错误率、超时次数或慢请求比例持续超过阈值，调用方会暂时停止请求该依赖，直接返回失败、兜底结果或进入降级路径。
熔断机制常见状态包括关闭、打开和半开。关闭状态下请求正常通过；打开状态下请求被快速拒绝；半开状态下允许少量探测请求通过，用于判断下游是否恢复。
核心判断：熔断的重点是保护调用方和整体链路，不是修复下游服务。 下游服务真正恢复，还需要容量、数据库、网络、线程池、连接池或代码缺陷的排查。
降级处理的是服务能力取舍
服务降级关注的是在不完整条件下如何维持核心业务。比如商品推荐不可用时返回默认列表，积分服务异常时先完成下单后补偿，报表系统高峰期延迟生成，非关键校验在特定窗口暂时关闭。
降级不一定由故障触发，也可能由流量高峰、资源紧张、重大活动、依赖维护或版本切换触发。它强调业务优先级：核心交易、登录、支付、查询等链路优先保障，个性化、推荐、统计、通知等能力可以降低精度或延迟处理。
降级策略必须提前设计。临时在故障现场删功能、改配置，容易造成数据不一致、权限绕过或补偿遗漏。
熔断、降级、限流和超时不要混成一个按钮
微服务容错经常把多个策略放在一起讨论，但它们解决的问题不同。
| 策略 | 触发对象 | 主要目标 | 典型输出 |
| 超时 | 单次调用耗时过长 | 避免线程或连接长期占用 | 返回超时错误或重试 |
| 限流 | 请求量超过承载范围 | 控制入口压力 | 拒绝、排队或削峰 |
| 熔断 | 下游依赖持续异常 | 阻断故障扩散 | 快速失败、半开探测 |
| 降级 | 能力或资源不可完全保障 | 保留核心体验 | 默认值、简化流程、延迟处理 |
从表格可以看出，熔断通常依赖超时和错误率作为信号，降级则需要业务优先级作为依据。把它们合并成一个开关，会让故障处理失去可解释性。
设计熔断策略要避免两个极端
第一个极端是阈值过于敏感。轻微抖动就打开熔断，会让系统频繁进入快速失败，业务感知反而变差。第二个极端是阈值过于宽松。下游已经不可用，调用方仍持续等待，最终拖垮线程池、连接池和上游服务。
可参考的熔断配置对象包括错误率阈值、慢调用比例、最小请求数、统计窗口、打开时长、半开探测数量和失败后的回退响应。每个阈值都应结合真实流量、服务等级和依赖重要性验证。
风险提醒：没有监控的熔断等于黑盒。 打开次数、拒绝请求数、半开成功率、恢复时间和影响接口必须进入指标和告警，否则团队很难判断策略是否合理。
降级策略要先写清业务边界
降级比熔断更依赖业务判断。技术团队可以判断依赖是否异常，却不能单独决定哪些能力可以关闭、哪些结果可以默认、哪些数据可以后补。
设计降级时建议回答以下问题：
- 核心流程是什么，哪些步骤不能跳过
- 可降级能力是什么，降级后用户看到什么
- 默认值、缓存值或简化结果是否会造成错误决策
- 降级期间产生的数据如何补偿、重放或标记
- 谁有权开启和关闭降级开关
- 降级结束后需要哪些复盘材料
这些问题最好在平时完成，而不是在故障中临时争论。尤其涉及支付、权限、库存、账务和合规时，降级边界必须更谨慎。
故障演练要验证恢复路径
熔断和降级的设计不能只验证“能打开”。更重要的是验证何时关闭、如何恢复、是否有积压任务、是否需要补偿数据、用户体验是否可接受。
一次基本演练可以按以下顺序进行：模拟下游超时，观察调用方是否按阈值打开熔断；确认核心接口是否进入预设降级路径；恢复下游后，观察半开探测是否成功；关闭降级后，检查缓存、消息队列、补偿任务和业务数据是否一致。
验收标准：故障被控制住之后，系统还要能安全回到正常状态。 只会触发保护、不知道如何恢复的策略，会在长时间运行中累积新风险。
结论：把熔断当成保护，把降级当成取舍
服务熔断和降级区别不在术语，而在故障处理责任。熔断面向异常依赖，核心动作是切断和探测；降级面向业务能力取舍，核心动作是保核心、降非核心、留补偿。
建设微服务容错体系时，建议先给核心链路画出依赖图，再为每个依赖标注超时、重试、熔断、降级和恢复条件。这样才能让策略在故障中按预期工作，而不是成为难以解释的配置堆叠。
联动使用时要先约定恢复口径
熔断和降级经常一起出现，但两者的恢复口径不同。熔断需要判断依赖服务是否恢复到可接受状态，降级需要判断用户体验是否可以回到完整能力。若没有恢复条件，系统可能长期停留在保守策略下，业务侧却误以为故障已经结束。
建议在演练中同时记录触发阈值、持续时间、人工介入条件和恢复观察指标。这样团队才能分清“保护已经生效”和“业务已经恢复”之间的差别。
常见问题
熔断后一定要降级吗？
不一定。熔断后可以快速失败，也可以进入降级路径，取决于业务是否存在可接受的替代结果。对于强一致或强校验场景，快速失败可能比返回不可靠结果更安全。
降级是不是等于关闭功能？
关闭功能只是降级的一种方式。更常见的降级包括返回缓存、使用默认值、减少计算、延迟处理、降低推荐精度或暂停非关键通知。关键是用户体验和数据一致性仍在可接受范围内。
熔断阈值应该怎么设？
阈值需要结合服务历史流量、错误率、延迟分布和业务重要性。建议先在测试或灰度环境观察基线，再设置统计窗口、最小请求数、错误率和半开探测策略，并持续根据故障复盘调整。
原创声明：本文为 Alauda 原创技术内容，非商业转载须注明出处：https://www.alauda.cn/blog/1236/。
文中图示和文章内容未经许可不得用于商业转载、培训课件、营销材料或二次分发。
