Come funzionano i circuit breaker e i retry con backoff nei sistemi distribuiti?

Question

Accepted Answer

Nei sistemi distribuiti, le chiamate falliscono. **I retry con backoff** si riprendono da errori *transitori*; un **circuit breaker** ti impedisce di martellare una dipendenza che è veramente *down*. Sono complementari: riprova il glitch, interrompi l'interruzione.

## Retry con exponential backoff + jitter

Per gli errori transitori (timeout, brevi problemi di rete, 503), riprova — ma **fai backoff esponenziale e aggiungi jitter** affinché i retry si distribuiscano invece di sincronizzarsi in un gregge in tempesta.

```text
attempt 1 → wait ~1s   (+ random jitter)
attempt 2 → wait ~2s   (+ random jitter)
attempt 3 → wait ~4s   (+ random jitter)
→ cap at maxRetries (e.g. 3) and a max delay → don't retry forever
```

Avvertenze chiave:

- **Limita i retry** — i retry illimitati creano **retry storm** che sovraccaricano un servizio in ripresa.
- **Idempotenza** — riprova solo operazioni che è sicuro ripetere (un pagamento riprovato non deve addebitare due volte).
- **Jitter** — senza di esso, tutti i client riprovano nello stesso istante e ri-picco il carico.

## Circuit breaker

Un circuit breaker tiene traccia dei fallimenti di una dipendenza e, dopo una soglia, **scatta aperto** — fallisce velocemente (o restituisce un fallback) invece di chiamare un servizio morto. Dopo un cooldown va **semi-aperto** per sondare il recupero.

```text
CLOSED   → calls pass through; count failures
  too many failures → trip → OPEN
OPEN     → fail fast immediately (no call); start cooldown timer
  cooldown elapsed → HALF-OPEN
HALF-OPEN → allow a few probe calls
  success → CLOSED (recovered) ; failure → back to OPEN
```

## Quando si applica ciascuno

```text
Retry           → transient, likely-to-succeed-soon errors (1 slow call)
Circuit breaker → repeated/sustained failures (the dependency is down)
→ use together: breaker prevents retries from piling onto a dead service
```

## Perché è importante

Senza questi, una dipendenza guasta porta giù il chiamante: le richieste si accumulano sui timeout, i retry amplificano il carico e il fallimento si propaga tra i servizi. Il backoff esponenziale con jitter si riprende dai glitch senza una retry storm; il capping e l'idempotenza mantengono i retry sicuri; e il circuit breaker smette di sprecare risorse su una dipendenza morta e le dà spazio per recuperare. Insieme trasformano un fallimento di dipendenza in un evento contenuto e auto-curativo.