Comment fonctionnent les disjoncteurs et les retentatives avec backoff dans les systèmes distribués ?

Question

Accepted Answer

Dans les systèmes distribués, les appels échouent. **Les retentatives avec backoff** récupèrent des erreurs *transitoires* ; un **disjoncteur** vous empêche de surcharger une dépendance qui est vraiment *hors service*. Ils sont complémentaires : retenter le problème temporaire, interrompre en cas de panne.

## Retentative avec backoff exponentiel + jitter

Pour les défaillances transitoires (timeouts, brefs problèmes réseau, 503s), retentez — mais **augmentez le backoff exponentiellement et ajoutez du jitter** pour que les retentatives s'échelonnent au lieu de se synchroniser en un troupeau d'éléphants.

```text
attempt 1 → wait ~1s   (+ random jitter)
attempt 2 → wait ~2s   (+ random jitter)
attempt 3 → wait ~4s   (+ random jitter)
→ cap at maxRetries (e.g. 3) and a max delay → don't retry forever
```

Mise en garde clés :

- **Limitez les retentatives** — les retentatives illimitées créent des **tempêtes de retentatives** qui surchargent un service en récupération.
- **Idempotence** — ne retentez que les opérations qu'il est sûr de répéter (une retentative de paiement ne doit pas facturer deux fois).
- **Jitter** — sans cela, tous les clients retentent au même instant et ré-augmentent la charge.

## Disjoncteur

Un disjoncteur suit les défaillances d'une dépendance et, après un seuil, **s'ouvre** — échouant rapidement (ou renvoyant un plan B) au lieu d'appeler un service mort. Après un délai il devient **semi-ouvert** pour sonder la récupération.

```text
CLOSED   → calls pass through; count failures
  too many failures → trip → OPEN
OPEN     → fail fast immediately (no call); start cooldown timer
  cooldown elapsed → HALF-OPEN
HALF-OPEN → allow a few probe calls
  success → CLOSED (recovered) ; failure → back to OPEN
```

## Quand chacun s'applique

```text
Retry           → transient, likely-to-succeed-soon errors (1 slow call)
Circuit breaker → repeated/sustained failures (the dependency is down)
→ use together: breaker prevents retries from piling onto a dead service
```

## Pourquoi c'est important

Sans ceux-ci, une dépendance défaillante entraîne l'appelant avec elle : les demandes s'accumulent sur les timeouts, les retentatives amplifient la charge, et la défaillance en cascade à travers les services. Un backoff exponentiel avec jitter récupère des problèmes temporaires sans tempête de retentatives ; plafonner et idempotence rendent les retentatives sûres ; et le disjoncteur arrête le gaspillage de ressources sur une dépendance morte et lui donne de la place pour récupérer. Ensemble, ils transforment une défaillance de dépendance en un événement contenu et auto-cicatrisant.