Quels modèles de résilience protègent les microservices (circuit breaker, retry, timeout, bulkhead) ?

Question

Accepted Answer

Dans un système distribué, **tout finit par échouer**. Les modèles de résilience empêchent une défaillance isolée de se propager en une panne générale.

## Les modèles essentiels

- **Timeout** — ne jamais attendre indéfiniment une réponse.
- **Retry** — réessayer les défaillances transitoires, avec backoff + jitter.
- **Circuit breaker** — cesser d'appeler un service défaillant pour lui permettre de récupérer.
- **Bulkhead** — isoler les ressources pour qu'une dépendance lente ne submerge pas le reste.

## Exemple de circuit breaker

```js
const breaker = new CircuitBreaker(callPaymentService, {
  timeout: 3000,                 // fail the call after 3s
  errorThresholdPercentage: 50,  // open if >50% of calls fail
  resetTimeout: 10000            // after 10s, try one request (half-open)
});
breaker.fallback(() => ({ status: 'queued' })); // graceful degradation
```

## États du circuit breaker

```text
CLOSED ──(failures exceed threshold)──▶ OPEN
  ▲                                       │ (after resetTimeout)
  │ (trial succeeds)                       ▼
  └────────────── HALF-OPEN ◀──────────────┘
                (one trial request)
```

## Bulkhead

```text
[ pool A: 10 threads ]  → payment calls
[ pool B: 10 threads ]  → search calls
If search hangs, it drains pool B only — payments keep working.
```

## Piège

**Les retries sans backoff** amplifient la charge sur un service déjà en difficulté (une tempête de retries). Toujours ajouter backoff, jitter et une limite de retries.

## Pourquoi c'est important

Ces modèles sont ce qui transforme une défaillance inévitable d'un seul service en une dégradation de fonctionnalité plutôt qu'en une panne globale du site.

Ils fonctionnent ensemble : les timeouts limitent l'attente, les circuit breakers arrêtent de marteler les services morts, les bulkheads contiennent le rayon d'explosion, et les retries récupèrent des accrocs — en omettre un et les défaillances se propagent toujours.