マイクロサービスを保護するレジリエンスパターン(サーキットブレーカー、リトライ、タイムアウト、バルクヘッド)とは何か?

Question

Accepted Answer

分散システムでは、**すべてはやがて失敗します**。レジリエンスパターンは、単一の障害がシステム全体の停止に広がるのを防ぎます。

## コアパターン

- **Timeout** — レスポンスを永遠に待たないこと。
- **Retry** — 一時的な障害に対してリトライを行い、バックオフ + ジッターを使用する。
- **Circuit breaker** — 障害が発生しているサービスの呼び出しを停止して、回復させる。
- **Bulkhead** — リソースを分離して、1つの遅いサービスが他全体に影響しないようにする。

## サーキットブレーカーの例

```js
const breaker = new CircuitBreaker(callPaymentService, {
  timeout: 3000,                 // fail the call after 3s
  errorThresholdPercentage: 50,  // open if >50% of calls fail
  resetTimeout: 10000            // after 10s, try one request (half-open)
});
breaker.fallback(() => ({ status: 'queued' })); // graceful degradation
```

## サーキットブレーカーの状態

```text
CLOSED ──(failures exceed threshold)──▶ OPEN
  ▲                                       │ (after resetTimeout)
  │ (trial succeeds)                       ▼
  └────────────── HALF-OPEN ◀──────────────┘
                (one trial request)
```

## バルクヘッド

```text
[ pool A: 10 threads ]  → payment calls
[ pool B: 10 threads ]  → search calls
If search hangs, it drains pool B only — payments keep working.
```

## 落とし穴

**バックオフなしのリトライ**は、すでに負荷がかかっているサービスへの負荷を増幅させます(リトライストーム)。常にバックオフ、ジッター、リトライの上限を追加します。

## なぜ重要なのか

これらのパターンは、避けられない単一サービスの障害をサイト全体の停止ではなく、機能の低下に変えます。

これらは一緒に機能します。タイムアウトは待機時間を制限し、サーキットブレーカーは停止サービスへの呼び出しを停止し、バルクヘッドは影響範囲を限定し、リトライは一時的な問題から回復します — いずれかを省略すると、障害は継続して拡大します。