Cum funcționează circuit breakers și reîncercările cu backoff în sistemele distribuite?

Question

Accepted Answer

În sistemele distribuite, apelurile eșuează. **Reîncercările cu backoff** se recuperează din erori *tranzitorii*; un **circuit breaker** te oprește din a bombardeza o dependență care este cu adevărat *inactivă*. Sunt complementare: reîncearcă din nou eroarea, întrerupe la cădere.

## Reîncercare cu backoff exponențial + jitter

Pentru eșecurile tranzitorii (timeout-uri, scurte întreruperi de rețea, 503s), reîncearcă — dar **retrage exponențial și adaugă jitter** pentru ca reîncercările să se răspândească în loc să se sincronizeze într-o "turmă zgomotoasă".

```text
attempt 1 → wait ~1s   (+ random jitter)
attempt 2 → wait ~2s   (+ random jitter)
attempt 3 → wait ~4s   (+ random jitter)
→ cap at maxRetries (e.g. 3) and a max delay → don't retry forever
```

Avertismente principale:

- **Limitează reîncercările** — reîncercările nelimitate creează **retry storms** care supraîncarcă un serviciu în recuperare.
- **Idempotență** — reîncearcă doar operațiile care sunt sigure pentru a repeta (o plată reîncercată nu trebuie să perceapă de două ori).
- **Jitter** — fără el, toți clienții reîncearcă în același moment și re-pică sarcina.

## Circuit breaker

Un circuit breaker urmărește eșecurile unei dependențe și, după un prag, **se deschide** — eșuând rapid (sau returnând un fallback) în loc să apeleze un serviciu mort. După o perioadă de răcire, merge **semi-deschis** pentru a sonda recuperarea.

```text
CLOSED   → calls pass through; count failures
  too many failures → trip → OPEN
OPEN     → fail fast immediately (no call); start cooldown timer
  cooldown elapsed → HALF-OPEN
HALF-OPEN → allow a few probe calls
  success → CLOSED (recovered) ; failure → back to OPEN
```

## Când se aplică fiecare

```text
Retry           → transient, likely-to-succeed-soon errors (1 slow call)
Circuit breaker → repeated/sustained failures (the dependency is down)
→ use together: breaker prevents retries from piling onto a dead service
```

## De ce este important

Fără acestea, o dependență eșuată îl ia pe apelant cu ea: cererile se acumulează la timeout-uri, reîncercările amplifiază sarcina, iar eșecul se propagă pe servicii. Backoff exponențial cu jitter se recuperează din erori fără o retry storm; limitarea și idempotența păstrează reîncercările sigure; și circuit breaker-ul oprește risipa resurselor pe o dependență moartă și îi dă spațiu pentru a se recupera. Împreună, transformă o eșec de dependență într-un eveniment conținut și auto-vindecător.