Hvilke resilience-mønstre beskytter mikrotjenester (circuit breaker, retry, timeout, bulkhead)?

Question

Accepted Answer

I et distribuert system **mislykkes alt til slutt**. Resilience-mønstre forhindrer at en enkel feil kaskaderer til et totalt brudd.

## Kjernmønstrene

- **Timeout** — vent aldri for alltid på et svar.
- **Retry** — gjør om forbigående feil, med backoff + jitter.
- **Circuit breaker** — slutt å kalle en mislykket tjeneste for å la den gjenopprette seg.
- **Bulkhead** — isoler ressurser slik at én treg avhengighet ikke kan drukne resten.

## Circuit breaker-eksempel

```js
const breaker = new CircuitBreaker(callPaymentService, {
  timeout: 3000,                 // fail the call after 3s
  errorThresholdPercentage: 50,  // open if >50% of calls fail
  resetTimeout: 10000            // after 10s, try one request (half-open)
});
breaker.fallback(() => ({ status: 'queued' })); // graceful degradation
```

## Circuit breaker-tilstander

```text
CLOSED ──(failures exceed threshold)──▶ OPEN
  ▲                                       │ (after resetTimeout)
  │ (trial succeeds)                       ▼
  └────────────── HALF-OPEN ◀──────────────┘
                (one trial request)
```

## Bulkhead

```text
[ pool A: 10 threads ]  → payment calls
[ pool B: 10 threads ]  → search calls
If search hangs, it drains pool B only — payments keep working.
```

## Fallgruve

**Retries uten backoff** forsterker belastningen på en allerede slitende tjeneste (en retry-storm). Legg alltid til backoff, jitter og en retry-grense.

## Hvorfor det betyr noe

Disse mønstrene er det som gjør en uunngåelig feil i én tjeneste til en forverret funksjon i stedet for et nettstedbredt avbrudd.

De fungerer sammen: timeouts begrenser ventetiden, circuit breakers stopper hammering av døde tjenester, bulkheads begrenser skadenes omfang, og retries gjenoppretter seg fra glipp — utelat noen og feil kaskaderer fortsatt.