W systemach rozproszonych wywołania się nie powiodą. Ponowne próby z backoff odzyskują się z błędów przejściowych; circuit breaker uniemożliwia ci bombardowanie zależności, która naprawdę nie działa. Są komplementarne: ponów próbę przy błędzie przejściowym, przerwij przy awarii.
W przypadku błędów przejściowych (timeout'y, krótkie awarie sieci, 503s), ponów próbę — ale cofaj się wykładniczo i dodaj jitter, aby ponowne próby się rozprzestrzeniały zamiast synchronizować się w "thundering herd".
attempt 1 → wait ~1s (+ random jitter)
attempt 2 → wait ~2s (+ random jitter)
attempt 3 → wait ~4s (+ random jitter)
→ cap at maxRetries (e.g. 3) and a max delay → don't retry forever
Zastrzeżenia:
Circuit breaker śledzi niepowodzenia zależności i po przekroczeniu progu otwiera się — szybko się nie powodzie (lub zwraca fallback) zamiast wywoływać niedziałającą usługę. Po cooldown'ie przechodzi w stan half-open, aby sprawdzić odzyskanie.
CLOSED → calls pass through; count failures
too many failures → trip → OPEN
OPEN → fail fast immediately (no call); start cooldown timer
cooldown elapsed → HALF-OPEN
HALF-OPEN → allow a few probe calls
success → CLOSED (recovered) ; failure → back to OPEN
Retry → transient, likely-to-succeed-soon errors (1 slow call)
Circuit breaker → repeated/sustained failures (the dependency is down)
→ use together: breaker prevents retries from piling onto a dead service
Bez nich nieudana zależność zabiera ze sobą tego, który ją wywołuje: żądania gromadzą się na timeout'ach, ponowne próby zwiększają obciążenie, a niepowodzenie rozprzestrzenia się na wszystkie usługi. Wykładniczy backoff z jitter odzyskuje się z błędów przejściowych bez retry storms; ograniczenie i idempotency utrzymują ponowne próby bezpieczne; a circuit breaker uniemożliwia marnowanie zasobów na niedziałającą zależność i daje jej miejsce na odzyskanie. Razem zamieniają niepowodzenie zależności w zdarzenie zamknięte i samonaprawiane.