Reliability & Graceful Degradation: 解释超时与重试的设计要点。

Core Concept: 超时应小于上游 SLO 且分层递减（下游超时 < 上游超时）；重试需指数退避+抖动+次数上限+幂等保证，并区分可重试错误，避免重试风暴。

数学机理：<strong>超时设计</strong>——(1) <strong>超时预算递减</strong>——(a) <strong>原则</strong>——下游超时 < 上游超时（如前端 3s → 服务 A 2s → 服务 B 1s → DB 500ms）；(b) <strong>理由</strong>——若下层超时大于上层，上层早已超时放弃，下层仍在消耗资源（浪费且可能产生副作用）；(c) <strong>总预算</strong>——端到端 SLO 是所有串行超时的上界。(2) <strong>超时值设定</strong>——(a) 基于实测延迟分位数（如 P99 × 1.5）；(b) 过长 → 资源占用久、级联慢；过短 → 误杀正常慢请求。(3) <strong>与熔断的关系</strong>——超时率是熔断的触发信号之一。<strong>重试设计</strong>——(1) <strong>指数退避</strong>——(a) t_n = t_0 · 2^n；(b) <strong>理由</strong>——下游瞬时故障需时间恢复，立即重试会加剧压力。(2) <strong>抖动（jitter）</strong>——(a) <strong>问题</strong>——大量客户端同时失败会<strong>同步重试</strong>，形成周期性尖峰（thundering herd）；(b) <strong>对策</strong>——加随机抖动：t_n = t_0·2^n + U(0, t_0·2^n)（full jitter）；(c) <strong>效果</strong>——打散重试时刻，平滑负载。(3) <strong>上限</strong>——(a) 最大重试次数 N（如 3）；(b) 总时间预算 ≤ T_budget；(c) 超预算则放弃并降级。(4) <strong>幂等性</strong>——(a) <strong>关键</strong>——只有<strong>幂等</strong>操作才能安全重试（重复执行结果相同）；(b) <strong>非幂等</strong>（扣款、下单）——需<strong>去重键</strong>（request_id）+ 服务端去重表，或状态机幂等；(c) <strong>否则</strong>——重试导致重复扣款/重复下单。(5) <strong>可重试错误分类</strong>——(a) <strong>可重试</strong>——网络超时、5xx、限流（429，需退避）、瞬时不可用；(b) <strong>不可重试</strong>——4xx（参数错）、认证失败、业务校验失败、确定性错误；盲目重试会浪费且可能有害。(6) <strong>重试的位置</strong>——(a) 客户端重试、网关重试、服务内重试——<strong>多层重试会放大</strong>（3 层 × 3 次 = 27 倍），需统一预算与去重；(b) <strong>建议</strong>——只在最合适的一层重试，或全局预算。(7) <strong>重试与熔断协同</strong>——(a) 熔断打开时不应重试（直接快速失败）；(b) 重试失败计入熔断统计。(8) <strong>重试与负载——</strong>重试会<strong>放大流量</strong>（尤其在下游已经过载时），是级联故障的常见放大器。<strong>与其他问题的关系</strong>——(a) 与熔断限流；(b) 与幂等与一致性；(c) 与优雅降级；(d) 与事故复盘（重试风暴是常见根因）。<strong>度量</strong>——(a) 重试率与重试成功率；(b) 重试放大倍数；(c) 超时率；(d) 重复副作用事件数。

深度剖析与工程权衡：① <strong>重试是级联故障的常见放大器</strong>——面试中能指出'重试会放大流量'是深度理解的标志。② <strong>抖动不可省</strong>——否则同步重试形成尖峰。③ <strong>幂等是安全重试的前提</strong>——非幂等需去重键。④ <strong>超时必须分层递减</strong>——否则上层放弃下层还在跑。⑤ <strong>多层重试会乘法放大</strong>——需统一预算。⑥ <strong>区分可重试与不可重试错误</strong>——盲目重试 4xx 无益。⑦ <strong>面试要点</strong>——被问怎么设计重试，应给出'<strong>指数退避 + 抖动 + 次数与时间上限 + 幂等/去重键 + 错误分类 + 与熔断协同</strong>'；能指出重试放大流量与超时分层递减是深度理解的标志。