Graceful degradation là gì khi một dependency bị lỗi?

Question

Accepted Answer

**Graceful degradation** (suy giảm nhẹ nhàng) nghĩa là khi một dependency bị lỗi, hệ thống **vẫn giữ luồng chính hoạt động** bằng cách phục vụ một trải nghiệm rút gọn hoặc một phần thay vì trả về lỗi. Mục tiêu là **fail soft** (hỏng mềm), không fail hard (hỏng cứng): một trang suy giảm vẫn hơn một lỗi 500.

## Kỹ thuật

- **Fail soft** — khi một dependency ngừng hoạt động, phục vụ dữ liệu **cached, một phần, hoặc mặc định** thay vì báo lỗi. Một kết quả stale-nhưng-có-mặt thường tốt hơn là không có gì.
- **Feature-flag tắt các path không trọng yếu** — tắt recommendation, analytics, hay các widget hoa mỹ để một lỗi ở đó không thể làm hỏng trang chính.
- **Timeout + fallback** — đừng bao giờ chờ vô hạn một dependency chậm; time out và chuyển sang giá trị hoặc path fallback.
- **Cô lập lỗi (bulkhead)** — phân vùng tài nguyên (thread pool, connection pool) theo từng dependency để một service lỗi không thể vét cạn mọi thứ và kéo phần còn lại sập theo.
- **Bảo vệ luồng chính** — xác định path bắt-buộc-chạy (duyệt, checkout) và đảm bảo các tính năng không thiết yếu không bao giờ làm sập nó.

## Ví dụ: backend tìm kiếm ngừng hoạt động

```text
TỆ  (fail hard):
  search() → backend timeout → throw → user thấy HTTP 500 (cả trang chết)

TỐT (fail soft):
  result = search()
         catch timeout → trả về cached_results HOẶC rỗng + thông báo
  trang render:
    [ "Đang hiển thị kết quả gần đây — tìm kiếm trực tiếp tạm thời không khả dụng." ]
    + listing đã cache, nav hoạt động, checkout hoạt động
  → user vẫn duyệt được; luồng chính nguyên vẹn
```

Thay vì một trang chết, user nhận được kết quả đã cache và một thông báo nhỏ, trong khi navigation và checkout vẫn hoạt động. Lỗi được giới hạn trong một tính năng.

## Tại sao điều này quan trọng

Dependency *sẽ* lỗi — API bên thứ ba, cụm tìm kiếm, service recommendation. Không có graceful degradation, bất kỳ một lỗi nào cũng lan thành sự cố ngừng dịch vụ toàn diện. Thiết kế để fail soft (dữ liệu cached/một phần/mặc định), flag tắt các path không trọng yếu, timeout kèm fallback, và cô lập lỗi bằng bulkhead giúp sản phẩm vẫn dùng được trong các lỗi cục bộ — đó chính là sự khác biệt giữa một trục trặc nhỏ và một sự cố lớn.