Bagaimana pemutus sirkuit dan percobaan ulang dengan backoff bekerja dalam sistem terdistribusi?

Question

Accepted Answer

Dalam sistem terdistribusi, panggilan gagal. **Percobaan ulang dengan backoff** pulih dari kesalahan *sementara*; **pemutus sirkuit** menghentikan Anda dari menghancurkan dependensi yang benar-benar *down*. Mereka saling melengkapi: coba lagi pada gangguan, putus pada pemadaman.

## Percobaan ulang dengan backoff eksponensial + jitter

Untuk kegagalan sementara (timeout, gangguan jaringan singkat, 503s), coba lagi — tetapi **mundur secara eksponensial dan tambahkan jitter** sehingga percobaan ulang tersebar alih-alih tersinkronisasi menjadi kawanan yang menggelegar.

```text
attempt 1 → wait ~1s   (+ random jitter)
attempt 2 → wait ~2s   (+ random jitter)
attempt 3 → wait ~4s   (+ random jitter)
→ cap at maxRetries (e.g. 3) and a max delay → don't retry forever
```

Peringatan kunci:

- **Batasi percobaan ulang** — percobaan ulang tak terbatas menciptakan **badai percobaan ulang** yang membanjiri layanan yang sedang pulih.
- **Idempotency** — hanya coba lagi operasi yang aman diulang (pembayaran yang dicoba ulang tidak boleh menagih dua kali).
- **Jitter** — tanpanya, semua klien mencoba lagi pada waktu yang sama dan menaikkan beban lagi.

## Pemutus sirkuit

Pemutus sirkuit melacak kegagalan ke dependensi dan, setelah ambang batas, **terbuka** — gagal dengan cepat (atau mengembalikan fallback) alih-alih memanggil layanan yang mati. Setelah waktu tunggu, ia menjadi **setengah terbuka** untuk menyelidiki pemulihan.

```text
CLOSED   → calls pass through; count failures
  too many failures → trip → OPEN
OPEN     → fail fast immediately (no call); start cooldown timer
  cooldown elapsed → HALF-OPEN
HALF-OPEN → allow a few probe calls
  success → CLOSED (recovered) ; failure → back to OPEN
```

## Kapan masing-masing berlaku

```text
Retry           → transient, likely-to-succeed-soon errors (1 slow call)
Circuit breaker → repeated/sustained failures (the dependency is down)
→ use together: breaker prevents retries from piling onto a dead service
```

## Mengapa ini penting

Tanpa ini, satu dependensi yang gagal membawa pemanggil turun bersama: permintaan menumpuk pada timeout, percobaan ulang memperkuat beban, dan kegagalan membanjiri layanan. Backoff eksponensial dengan jitter pulih dari gangguan tanpa badai percobaan ulang; batasan dan idempotency membuat percobaan ulang aman; dan pemutus sirkuit menghentikan pemborosan sumber daya pada dependensi yang mati dan memberinya ruang untuk pulih. Bersama-sama, mereka mengubah kegagalan dependensi menjadi peristiwa yang terisolasi dan penyembuhan diri.