Quali modelli di resilienza proteggono i microservizi (circuit breaker, retry, timeout, bulkhead)?

Question

Accepted Answer

In un sistema distribuito, **tutto fallisce prima o poi**. I modelli di resilienza impediscono a un singolo guasto di propagarsi a cascata fino a un'interruzione completa.

## I modelli fondamentali

- **Timeout** — non aspettare mai indefinitamente una risposta.
- **Retry** — riprovare i guasti transitori, con backoff + jitter.
- **Circuit breaker** — smettere di chiamare un servizio che fallisce per permettergli di recuperare.
- **Bulkhead** — isolare le risorse in modo che una dipendenza lenta non sommerga le altre.

## Esempio di circuit breaker

```js
const breaker = new CircuitBreaker(callPaymentService, {
  timeout: 3000,                 // fail the call after 3s
  errorThresholdPercentage: 50,  // open if >50% of calls fail
  resetTimeout: 10000            // after 10s, try one request (half-open)
});
breaker.fallback(() => ({ status: 'queued' })); // graceful degradation
```

## Stati del circuit breaker

```text
CLOSED ──(failures exceed threshold)──▶ OPEN
  ▲                                       │ (after resetTimeout)
  │ (trial succeeds)                       ▼
  └────────────── HALF-OPEN ◀──────────────┘
                (one trial request)
```

## Bulkhead

```text
[ pool A: 10 threads ]  → payment calls
[ pool B: 10 threads ]  → search calls
If search hangs, it drains pool B only — payments keep working.
```

## Trabocchetto

**Retry senza backoff** amplificano il carico su un servizio già in difficoltà (una retry storm). Aggiungi sempre backoff, jitter e un limite al numero di tentativi.

## Perché è importante

Questi modelli trasformano un inevitabile guasto di un singolo servizio in una funzionalità degradata anziché un'interruzione a livello di sito.

Funzionano insieme: i timeout limitano l'attesa, i circuit breaker smettono di bombardare servizi morti, i bulkhead contenono il raggio di esplosione, e i retry si recuperano da piccoli errori — omettere uno qualsiasi e i guasti continueranno a propagarsi.