Reliability & Graceful Degradation: 解释熔断与限流的作用与差异。

Core Concept: 限流控制进入系统的速率以保护下游；熔断在下游错误率超阈时快速失败、不再调用，冷却后半开探测，避免级联故障与资源耗尽。

数学机理：<strong>限流（rate limiting）</strong>——(1) <strong>算法</strong>——(a) <strong>固定窗口</strong>——每窗口计数（简单但有边界突发）；(b) <strong>滑动窗口</strong>——平滑计数；(c) <strong>令牌桶（token bucket）</strong>——以速率 r 补充令牌、桶容量 b，允许突发 b（最常用）；(d) <strong>漏桶（leaky bucket）</strong>——恒定流出速率，平滑流量。(2) <strong>维度</strong>——(a) 按用户/IP/租户/接口；(b) 全局 vs 分布式（需共享计数，如 Redis）。(3) <strong>目的</strong>——(a) <strong>防过载</strong>——保护自身与下游；(b) <strong>公平</strong>——防止单个租户占满；(c) <strong>成本控制</strong>——限制昂贵调用。(4) <strong>行为</strong>——拒绝（429）、排队、降级。<strong>熔断（circuit breaker）</strong>——(1) <strong>状态机</strong>——(a) <strong>closed</strong>——正常调用，统计失败率；(b) <strong>open</strong>——失败率 > θ（或连续失败 N 次）则打开，<strong>直接快速失败</strong>（不再调用下游）；(c) <strong>half-open</strong>——冷却 t_cool 后放少量探测请求；成功则回 closed，失败则回 open。(2) <strong>目的</strong>——(a) <strong>防级联</strong>——下游慢/挂时，上游不再堆积请求（否则线程/连接池耗尽，故障扩散）；(b) <strong>快速失败</strong>——让上游及时降级；(c) <strong>给下游恢复空间</strong>——不再持续冲击。(3) <strong>阈值</strong>——(a) 错误率、超时率、慢调用比例；(b) 需窗口与最小请求数（避免小样本误触发）。(4) <strong>打开期间的处理</strong>——(a) 走降级路径（缓存/兜底）；(b) 或返回友好错误。<strong>两者差异</strong>——(a) <strong>限流</strong>——控制<strong>进入</strong>的速率（入口，主动预防过载）；(b) <strong>熔断</strong>——响应<strong>下游</strong>的健康（出口，被动响应故障）；(c) <strong>互补</strong>——限流防自己被打爆，熔断防被下游拖死。<strong>相关模式</strong>——(a) <strong>舱壁（bulkhead）</strong>——按资源池隔离（不同租户/接口独立线程池），一个故障不拖垮全局；(b) <strong>隔离舱</strong>——GPU/模型分池；(c) <strong>降级</strong>——熔断后走兜底。<strong>配置要点</strong>——(a) 阈值需按实测（压测）设定；(b) 避免阈值过敏感（频繁熔断）或过钝（形同虚设）；(c) 熔断需与重试协调（重试会加剧下游压力，需配合退避与上限）。<strong>与其他问题的关系</strong>——(a) 与超时重试；(b) 与优雅降级；(c) 与容量规划；(d) 与事故复盘。<strong>度量</strong>——(a) 限流拒绝率；(b) 熔断触发次数与时长；(c) 级联故障次数；(d) 恢复时间。

深度剖析与工程权衡：① <strong>限流在入口、熔断在出口</strong>——面试中能说清二者位置与目标差异是深度理解的标志。② <strong>熔断的核心价值是防级联</strong>——下游慢时上游不再堆积。③ <strong>令牌桶允许可控突发</strong>——比固定窗口更实用。④ <strong>阈值需压测标定</strong>——过敏感或过钝都失效。⑤ <strong>重试会放大下游压力</strong>——需与熔断、退避协同。⑥ <strong>舱壁隔离限制爆炸半径</strong>——不同租户/接口独立资源池。⑦ <strong>面试要点</strong>——被问怎么防雪崩，应给出'<strong>入口限流 + 出口熔断 + 舱壁隔离 + 超时退避 + 降级兜底</strong>'；能指出限流与熔断的位置差异及熔断防级联是深度理解的标志。