文章目录一、开篇流控之后还需要熔断二、熔断规则核心参数解析2.1 DegradeRule的完整字段2.2 三种熔断策略对照三、慢调用比例熔断实战3.1 配置示例3.2 熔断触发条件3.3 熔断后的行为3.4 生产配置建议四、异常比例与异常数熔断实战4.1 异常比例熔断4.2 异常数熔断4.3 三种策略组合使用五、断路器状态机与DegradeSlot源码解析5.1 两种断路器实现5.2 DegradeSlot的entry与exit5.3 tryPass的核心逻辑5.4 状态转换的触发时机5.5 熔断器状态机图示六、系统自适应保护6.1 核心理念6.2 五种系统规则阈值类型6.3 配置示例6.4 Load保护的特殊逻辑七、集群限流7.1 为什么需要集群限流7.2 Token Server与Token Client7.3 集群流控规则配置7.4 Token Server部署方式7.5 Token Server高可用方案八、踩坑指南坑一熔断规则count配反了坑二熔断后没有降级响应坑三熔断恢复后立即再次熔断坑四系统自适应保护的Load阈值不生效坑五集群限流Token Server不可用导致全局限流失效坑六集群限流规则ID不唯一导致规则冲突九、课后作业十、下节预告《最新版 SpringCloud 2025 从入门到实战》系列课程导航适配版本Sentinel 1.8.9、Spring Cloud Alibaba 2025.1.0.0、Spring Cloud 2025.1.3Oakwood、Spring Boot 4.0.8、JDK 21课程定位熔断限流容错阶段进阶从熔断三种策略到系统自适应保护从状态机源码到集群限流部署构建完整的容错闭环一、开篇流控之后还需要熔断第22课我们完成了Sentinel流控的全方位实战直接/关联/链路三种模式、快速失败/Warm Up/排队等待三种效果、热点参数限流、规则持久化到Nacos。流控解决的是“流量太大”的问题——当请求量超过阈值时主动拒绝或排队保护系统不被过载压垮。但流控有一个前提假设被限流的资源本身是健康的。如果下游服务已经出现故障如响应时间从50ms飙升到5秒继续向它发送请求即使QPS在阈值以内也会导致线程被阻塞、调用链被拖垮。这时候需要的是熔断——检测到下游服务异常后主动切断调用让上游服务快速失败或返回降级响应。熔断降级作为保护自身的手段通常在客户端调用端进行配置。熔断器的工作模式是三个状态的循环关闭 → 打开 → 半开 → 关闭。关闭状态下正常放行打开状态下所有请求立即失败不发送到下游半开状态下放行少量请求探测下游是否恢复。本课将从熔断的三种策略讲起深入DegradeSlot的源码和断路器状态机实战慢调用比例、异常比例、异常数三种熔断规则的配置然后讲解系统自适应保护的五种阈值类型最后完成集群限流的Token Server部署。二、熔断规则核心参数解析2.1 DegradeRule的完整字段熔断降级规则由DegradeRule类定义包含以下核心字段publicclassDegradeRuleextendsAbstractRule{privateintgrade;// 熔断策略类型privatedoublecount;// 阈值含义取决于gradeprivateinttimeWindow;// 熔断后恢复时间秒privateintminRequestAmount;// 最小请求数防止统计噪声privatedoubleslowRatioThreshold;// 慢请求比例阈值仅RT模式privateintstatIntervalMs;// 统计窗口长度毫秒默认1000ms}2.2 三种熔断策略对照策略grade值count含义触发条件适用场景慢调用比例0DEGRADE_GRADE_RT慢调用临界RT毫秒统计窗口内请求数≥minRequestAmount且慢调用比例≥slowRatioThreshold下游服务响应变慢异常比例1DEGRADE_GRADE_EXCEPTION_RATIO异常比例阈值0.0~1.0统计窗口内请求数≥minRequestAmount且异常比例≥count下游服务异常率升高异常数2DEGRADE_GRADE_EXCEPTION_COUNT每秒异常数阈值统计窗口内异常数≥count快速失败对异常数敏感关键理解从Sentinel 1.8开始RT模式不再看“平均RT”而是看“慢请求比例”——统计窗口内响应时间超过count的请求占比超过slowRatioThreshold时才触发熔断。这比1.7之前的“连续N个请求都超时”更科学避免了因个别慢请求导致的误熔断。三、慢调用比例熔断实战3.1 配置示例ConfigurationpublicclassDegradeRuleConfig{PostConstructpublicvoidinitDegradeRules(){ListDegradeRulerulesnewArrayList();// 慢调用比例熔断DegradeRuleslowRulenewDegradeRule(callPaymentService).setGrade(RuleConstant.DEGRADE_GRADE_RT)// 慢调用比例模式.setCount(1000)// 慢调用RT阈值1000ms.setSlowRatioThreshold(0.5)// 慢调用比例阈值50%.setMinRequestAmount(5)// 最小请求数5.setTimeWindow(10)// 熔断时长10秒.setStatIntervalMs(10000);// 统计窗口10秒rules.add(slowRule);DegradeRuleManager.loadRules(rules);}}配置解析参数值含义count1000响应时间超过1000ms的请求记为“慢调用”slowRatioThreshold0.5慢调用比例超过50%触发熔断minRequestAmount5统计窗口内至少有5个请求才做判断timeWindow10熔断后10秒内请求快速失败statIntervalMs10000统计窗口为10秒3.2 熔断触发条件触发熔断的完整条件三个条件同时满足统计窗口statIntervalMs内总请求数 ≥minRequestAmount慢调用RT count的比例 ≥slowRatioThreshold当前断路器状态为CLOSED3.3 熔断后的行为熔断触发后断路器从CLOSED变为OPENOPEN状态timeWindow秒内所有请求被立即拒绝抛出DegradeExceptionHALF_OPEN状态timeWindow到期后断路器进入半开状态放行一个探测请求如果探测请求的RT count不是慢调用断路器恢复到CLOSED如果探测请求仍然是慢调用断路器重新回到OPEN重新计时3.4 生产配置建议场景countRT阈值slowRatioThresholdtimeWindow支付/订单等核心服务800ms0.330秒商品查询等一般服务500ms0.510秒日志上报等非核心服务2000ms0.85秒黄金法则count应设置为下游服务P99响应时间的1.5~2倍。如果下游P99是300mscount设为500-600ms。设置过低会导致正常的慢请求被误判设置过高则失去熔断的意义。四、异常比例与异常数熔断实战4.1 异常比例熔断DegradeRuleexceptionRatioRulenewDegradeRule(callUserService).setGrade(RuleConstant.DEGRADE_GRADE_EXCEPTION_RATIO)// 异常比例模式.setCount(0.5)// 异常比例阈值50%.setMinRequestAmount(10)// 最小请求数10.setTimeWindow(30)// 熔断时长30秒.setStatIntervalMs(10000);// 统计窗口10秒触发条件统计窗口内请求数 ≥ 10且异常比例 ≥ 50%。异常比例的统计范围异常降级仅针对业务异常对Sentinel限流降级本身的异常BlockException不生效。需要通过Tracer.trace(ex)记录业务异常或使用SentinelResource注解会自动统计。4.2 异常数熔断DegradeRuleexceptionCountRulenewDegradeRule(callInventoryService).setGrade(RuleConstant.DEGRADE_GRADE_EXCEPTION_COUNT)// 异常数模式.setCount(20)// 异常数阈值20.setTimeWindow(60)// 熔断时长60秒.setStatIntervalMs(60000);// 统计窗口60秒触发条件统计窗口内异常数 ≥ 20。异常比例 vs 异常数异常比例适用于请求量大且相对稳定的场景比例更有统计意义异常数适用于请求量小或波动大的场景比例容易被少数请求扭曲。4.3 三种策略组合使用同一个资源可以配置多条熔断规则任意一条触发即熔断ListDegradeRulerulesnewArrayList();rules.add(newDegradeRule(callUserService).setGrade(RuleConstant.DEGRADE_GRADE_RT).setCount(500).setSlowRatioThreshold(0.6).setMinRequestAmount(10).setTimeWindow(30));rules.add(newDegradeRule(callUserService).setGrade(RuleConstant.DEGRADE_GRADE_EXCEPTION_RATIO).setCount(0.5).setMinRequestAmount(10).setTimeWindow(30));rules.add(newDegradeRule(callUserService).setGrade(RuleConstant.DEGRADE_GRADE_EXCEPTION_COUNT).setCount(30).setTimeWindow(30));DegradeRuleManager.loadRules(rules);五、断路器状态机与DegradeSlot源码解析5.1 两种断路器实现Sentinel的断路器分为两类断路器类适用策略统计维度ResponseTimeCircuitBreaker慢调用比例慢调用数、总请求数ExceptionCircuitBreaker异常比例、异常数异常数、总请求数5.2 DegradeSlot的entry与exitDegradeSlot是ProcessorSlotChain的最后一环负责熔断规则的校验publicclassDegradeSlotextendsAbstractLinkedProcessorSlotDefaultNode{Overridepublicvoidentry(Contextcontext,ResourceWrapperresourceWrapper,DefaultNodenode,intcount,booleanprioritized,Object...args){// 执行熔断检查performChecking(context,resourceWrapper);// 继续执行实际上已无下一个SlotfireEntry(context,resourceWrapper,node,count,prioritized,args);}privatevoidperformChecking(Contextcontext,ResourceWrapperr)throwsBlockException{ListCircuitBreakercircuitBreakersDegradeRuleManager.getCircuitBreakers(r.getName());if(circuitBreakersnull||circuitBreakers.isEmpty())return;for(CircuitBreakercb:circuitBreakers){if(!cb.tryPass(context)){thrownewDegradeException(cb.getRule().getLimitApp(),cb.getRule());}}}}执行时机DegradeSlot.entry()在请求进入时执行检查断路器是否允许通过。DegradeSlot.exit()在请求完成时执行触发circuitBreaker.onRequestComplete()回调更新统计指标并判断是否触发状态转换。5.3 tryPass的核心逻辑publicbooleantryPass(Contextcontext){// 1. 当前状态为CLOSED → 允许通过if(currentState.get()State.CLOSED){returntrue;}// 2. 当前状态为OPEN → 检查是否已过熔断时长if(currentState.get()State.OPEN){// 熔断时长已到 → 尝试转换为HALF_OPENif(currentState.compareAndSet(State.OPEN,State.HALF_OPEN)){// 成功转换放行探测请求returntrue;}// 熔断时长未到 → 拒绝returnfalse;}// 3. 当前状态为HALF_OPEN// 只放行一个探测请求其他请求拒绝returncurrentState.compareAndSet(State.HALF_OPEN,State.HALF_OPEN);}5.4 状态转换的触发时机状态转换触发条件执行位置CLOSED → OPEN统计窗口内慢调用/异常比例超过阈值onRequestComplete()OPEN → HALF_OPENtimeWindow到期tryPass()HALF_OPEN → CLOSED探测请求成功onRequestComplete()HALF_OPEN → OPEN探测请求失败慢调用或异常onRequestComplete()5.5 熔断器状态机图示┌──────────┐ │ CLOSED │ 正常状态所有请求通过 │ (关闭) │ 统计慢调用/异常指标 └────┬─────┘ │ 触发熔断条件 │ (慢调用比例 ≥ slowRatioThreshold │ 或 异常比例 ≥ count │ 或 异常数 ≥ count) ▼ ┌──────────┐ │ OPEN │ 熔断状态所有请求被拒绝 │ (打开) │ 返回 DegradeException └────┬─────┘ │ timeWindow 到期 ▼ ┌──────────┐ │HALF_OPEN │ 半开状态放行一个探测请求 │ (半开) │ └────┬─────┘ │ ├─── 探测请求成功RT count 且无异常 │ → 恢复 CLOSED │ └─── 探测请求失败慢调用或异常 → 重新 OPEN重新计时六、系统自适应保护6.1 核心理念Sentinel系统自适应保护从整体维度对应用入口流量进行控制结合应用的Load、总体平均RT、入口QPS和线程数等几个维度的监控指标让系统的入口流量和系统的负载达到一个平衡。传统方案根据load1阈值来决定是否限流存在两个问题负载是“果”而非“因”调整通过率后需要等待一段时间才能看到效果下游恢复后负载仍然很高恢复缓慢。Sentinel借鉴了TCP BBR的思想用load1作为启动控制流量的值而允许通过的流量由处理请求的能力响应时间、当前QPS来决定。6.2 五种系统规则阈值类型类型触发条件说明Loadload1 阈值 且 并发线程数 系统容量仅对Linux/Unix生效系统容量 maxQps × minRtCPU使用率CPU使用率 阈值取值范围0.0~1.0平均RT所有入口流量的平均RT 阈值单位毫秒并发线程数所有入口流量的并发线程数 阈值全局维度入口QPS所有入口流量的QPS 阈值全局维度重要限制系统规则是应用整体维度的不是资源维度的且仅对入口流量EntryType.IN生效。6.3 配置示例ConfigurationpublicclassSystemRuleConfig{PostConstructpublicvoidinitSystemRules(){ListSystemRulerulesnewArrayList();// CPU使用率超过80%触发系统保护SystemRulecpuRulenewSystemRule();cpuRule.setHighestCpuUsage(0.8);rules.add(cpuRule);// 入口QPS超过10000触发系统保护SystemRuleqpsRulenewSystemRule();qpsRule.setQps(10000);rules.add(qpsRule);// 并发线程数超过500触发系统保护SystemRulethreadRulenewSystemRule();threadRule.setMaxThread(500);rules.add(threadRule);SystemRuleManager.loadRules(rules);}}6.4 Load保护的特殊逻辑Load保护的触发条件较为特殊需要同时满足两个条件当前系统load1 highestSystemLoad阈值当前并发请求数 系统容量系统容量 maxQps × minRt为什么需要两个条件仅凭load1判断会误伤——load1高可能是由于I/O等待而非CPU竞争。加上并发数的判断后只有在“系统确实处理不过来”时才触发保护避免了对正常高负载的误判。Load阈值设定参考值CPU cores × 2.5。例如4核机器Load阈值设为10。七、集群限流7.1 为什么需要集群限流单机限流存在一个根本问题流量分配不均匀。假设集群有10台机器每台限流10 QPS理论上集群总量100 QPS。但实际流量可能不均匀——某些机器收到15 QPS被限流而其他机器只收到5 QPS导致“总量没到但部分机器已经限流”。集群限流可以精确控制整个集群的调用总量确保不管流量如何分布总QPS始终不超过预设阈值。7.2 Token Server与Token Client集群流控中有两种身份身份职责Token Server集群流控服务端处理来自Token Client的请求根据规则判断是否发放令牌Token Client集群流控客户端向Token Server申请令牌根据返回结果决定是否限流通信机制Token Client向Token Server发送令牌申请请求Token Server根据当前集群的QPS统计和规则阈值判断是否发放令牌。如果发放Client放行请求如果不发放Client执行本地限流逻辑。7.3 集群流控规则配置FlowRule添加集群模式ClusterFlowConfigclusterConfignewClusterFlowConfig().setFlowId(1L)// 全局唯一的规则ID.setThresholdType(ClusterRuleConstant.FLOW_THRESHOLD_GLOBAL)// 全局阈值模式.setFallbackToLocalWhenFail(true);// Token Server不可用时回退到本地限流FlowRulerulenewFlowRule(cluster-resource).setGrade(RuleConstant.FLOW_GRADE_QPS).setCount(1000)// 集群总QPS阈值.setClusterMode(true).setClusterConfig(clusterConfig);FlowRuleManager.loadRules(Collections.singletonList(rule));关键字段说明字段含义说明flowId全局唯一规则ID由管控端分配保持全局唯一thresholdType阈值模式0单机均摊1全局阈值fallbackToLocalWhenFail回退策略Token Server不可用时是否回退到本地限流单机均摊 vs 全局阈值单机均摊模式下配置的阈值等同于单机承受限额Token Server根据连接数计算总阈值3个Client连接单机阈值10总阈值30全局模式下配置的阈值就是整个集群的总阈值。7.4 Token Server部署方式方式一独立模式。单独部署一个Token Server进程所有Token Client连接到它ClusterTokenServertokenServernewSentinelDefaultTokenServer();tokenServer.start();方式二嵌入模式。集群中选择一个节点同时作为Token Server和Token Client// 在应用启动时将当前节点嵌入为Token ServerClusterTokenServertokenServernewSentinelDefaultTokenServer();tokenServer.start();// 同时将当前节点作为Token ClientClusterStateManager.applyState(ClusterStateManager.CLUSTER_CLIENT);生产建议独立模式更稳定Token Server故障不影响业务节点但需要额外的部署资源嵌入模式节省资源但Token Server节点的故障会影响整个集群的限流功能。推荐使用独立模式并通过Nacos实现Token Server的自动选举和故障转移。7.5 Token Server高可用方案Token Server本身如果成为单点整个集群限流功能就会失效。高可用方案如下方案一Nacos自主选举。借助Nacos注册中心集群中所有节点注册到Nacos选取注册列表中第一个节点作为Token Server。如果Token Server不可用重新选举。方案二Sentinel Dashboard指定。通过Sentinel Dashboard手动指定某个节点为Token Server其他节点作为Token Client。Dashboard提供了集群流控的配置界面。方案三Fallback保护。配置fallbackToLocalWhenFailtrue当Token Client无法连接Token Server时自动回退到本地单机限流模式保证服务不会因Token Server故障而完全不可用。八、踩坑指南坑一熔断规则count配反了现象慢调用比例模式下count设为0.5但期望的是RT阈值500ms。原因混淆了count和slowRatioThreshold。慢调用比例模式下count是RT阈值毫秒slowRatioThreshold才是慢调用比例阈值0.0~1.0。解决setCount(500)设置RT阈值setSlowRatioThreshold(0.5)设置比例阈值。坑二熔断后没有降级响应现象熔断触发后返回的是Sentinel默认的DegradeException前端无法处理。原因未配置blockHandler或BlockExceptionHandler。解决使用SentinelResource的blockHandler指定降级方法或实现BlockExceptionHandler接口统一处理第22课6.2节。坑三熔断恢复后立即再次熔断现象熔断时长到期后第一个探测请求通过但随后立即再次熔断。原因下游服务的问题没有真正恢复探测请求仍然是慢调用或异常。解决这是正常行为——熔断器的半开状态本身就是“试探性恢复”。应检查下游服务是否真正恢复健康或适当增加timeWindow给下游更长的恢复时间。坑四系统自适应保护的Load阈值不生效现象配置了Load保护规则但系统load1已经很高仍然没有触发限流。原因Load保护需要同时满足“load1 阈值”和“并发线程数 系统容量”两个条件。如果并发数不够高即使load1很高也不会触发。解决检查并发线程数是否超过maxQps × minRt。如果并发数不足Load保护不会生效——这是设计行为避免对正常高负载的误判。坑五集群限流Token Server不可用导致全局限流失效现象Token Server宕机后所有Token Client的集群限流完全失效流量全部放行。原因未配置fallbackToLocalWhenFailtrue。解决始终设置fallbackToLocalWhenFailtrue确保Token Server不可用时自动回退到本地单机限流保证基本的保护能力。坑六集群限流规则ID不唯一导致规则冲突现象多个集群限流规则配置了相同的flowId导致限流行为异常。原因flowId是全局唯一的不能重复。解决由管控端统一分配flowId或使用数据库自增ID确保唯一性。九、课后作业作业一为callUserService资源配置慢调用比例熔断RT阈值800ms慢调用比例阈值50%最小请求数5熔断时长15秒。模拟下游服务响应缓慢Thread.sleep(1000)验证熔断触发和恢复。作业二为callPaymentService资源配置异常比例熔断异常比例阈值40%最小请求数10熔断时长30秒。通过人为抛出异常验证熔断触发观察异常比例从上升到达标再到熔断的完整过程。作业三配置系统自适应保护规则CPU使用率阈值0.8入口QPS阈值5000并发线程数阈值300。使用压测工具施加压力观察哪个维度的阈值最先触发。作业四部署Token Server独立模式配置集群限流规则全局阈值模式QPS1000。启动两个Token Client实例验证集群总QPS精确控制在1000以内。然后停止Token Server验证fallbackToLocalWhenFail回退机制。作业五进阶阅读DegradeSlot和ResponseTimeCircuitBreaker源码画出慢调用比例熔断的完整状态转换图标注每个状态转换的触发条件和执行方法。十、下节预告第24课将进入Sentinel网关限流、授权规则 生产级容错方案。内容包括Gateway网关专属限流Sentinel集成Gateway、黑白名单授权规则、IP限流、用户维度限流、规则Nacos持久化的完整实战以及生产环境的故障演练和容错体系搭建。本课完成了Sentinel的熔断降级和系统保护第24课将把Sentinel的能力扩展到网关层并构建完整的生产级容错体系。《最新版 SpringCloud 2025 从入门到实战》系列课程导航去订阅第一部分微服务前置基础 新版环境搭建第1-5课第二部分注册中心核心Nacos 最新版第6-9课第三部分配置中心核心Nacos配置中心第10-12课第四部分服务通信核心OpenFeign LoadBalancer第13-16课第五部分网关核心SpringCloud Gateway 新版第17-20课第六部分熔断、限流、降级Sentinel 新版第21-24课第七部分微服务监控、链路追踪、日志体系第25-28课第八部分微服务高阶特性 分布式核心能力第29-31课第九部分企业级完整项目实战 架构复盘第32-35课
文章目录一、开篇流控之后还需要熔断二、熔断规则核心参数解析2.1 DegradeRule的完整字段2.2 三种熔断策略对照三、慢调用比例熔断实战3.1 配置示例3.2 熔断触发条件3.3 熔断后的行为3.4 生产配置建议四、异常比例与异常数熔断实战4.1 异常比例熔断4.2 异常数熔断4.3 三种策略组合使用五、断路器状态机与DegradeSlot源码解析5.1 两种断路器实现5.2 DegradeSlot的entry与exit5.3 tryPass的核心逻辑5.4 状态转换的触发时机5.5 熔断器状态机图示六、系统自适应保护6.1 核心理念6.2 五种系统规则阈值类型6.3 配置示例6.4 Load保护的特殊逻辑七、集群限流7.1 为什么需要集群限流7.2 Token Server与Token Client7.3 集群流控规则配置7.4 Token Server部署方式7.5 Token Server高可用方案八、踩坑指南坑一熔断规则count配反了坑二熔断后没有降级响应坑三熔断恢复后立即再次熔断坑四系统自适应保护的Load阈值不生效坑五集群限流Token Server不可用导致全局限流失效坑六集群限流规则ID不唯一导致规则冲突九、课后作业十、下节预告《最新版 SpringCloud 2025 从入门到实战》系列课程导航适配版本Sentinel 1.8.9、Spring Cloud Alibaba 2025.1.0.0、Spring Cloud 2025.1.3Oakwood、Spring Boot 4.0.8、JDK 21课程定位熔断限流容错阶段进阶从熔断三种策略到系统自适应保护从状态机源码到集群限流部署构建完整的容错闭环一、开篇流控之后还需要熔断第22课我们完成了Sentinel流控的全方位实战直接/关联/链路三种模式、快速失败/Warm Up/排队等待三种效果、热点参数限流、规则持久化到Nacos。流控解决的是“流量太大”的问题——当请求量超过阈值时主动拒绝或排队保护系统不被过载压垮。但流控有一个前提假设被限流的资源本身是健康的。如果下游服务已经出现故障如响应时间从50ms飙升到5秒继续向它发送请求即使QPS在阈值以内也会导致线程被阻塞、调用链被拖垮。这时候需要的是熔断——检测到下游服务异常后主动切断调用让上游服务快速失败或返回降级响应。熔断降级作为保护自身的手段通常在客户端调用端进行配置。熔断器的工作模式是三个状态的循环关闭 → 打开 → 半开 → 关闭。关闭状态下正常放行打开状态下所有请求立即失败不发送到下游半开状态下放行少量请求探测下游是否恢复。本课将从熔断的三种策略讲起深入DegradeSlot的源码和断路器状态机实战慢调用比例、异常比例、异常数三种熔断规则的配置然后讲解系统自适应保护的五种阈值类型最后完成集群限流的Token Server部署。二、熔断规则核心参数解析2.1 DegradeRule的完整字段熔断降级规则由DegradeRule类定义包含以下核心字段publicclassDegradeRuleextendsAbstractRule{privateintgrade;// 熔断策略类型privatedoublecount;// 阈值含义取决于gradeprivateinttimeWindow;// 熔断后恢复时间秒privateintminRequestAmount;// 最小请求数防止统计噪声privatedoubleslowRatioThreshold;// 慢请求比例阈值仅RT模式privateintstatIntervalMs;// 统计窗口长度毫秒默认1000ms}2.2 三种熔断策略对照策略grade值count含义触发条件适用场景慢调用比例0DEGRADE_GRADE_RT慢调用临界RT毫秒统计窗口内请求数≥minRequestAmount且慢调用比例≥slowRatioThreshold下游服务响应变慢异常比例1DEGRADE_GRADE_EXCEPTION_RATIO异常比例阈值0.0~1.0统计窗口内请求数≥minRequestAmount且异常比例≥count下游服务异常率升高异常数2DEGRADE_GRADE_EXCEPTION_COUNT每秒异常数阈值统计窗口内异常数≥count快速失败对异常数敏感关键理解从Sentinel 1.8开始RT模式不再看“平均RT”而是看“慢请求比例”——统计窗口内响应时间超过count的请求占比超过slowRatioThreshold时才触发熔断。这比1.7之前的“连续N个请求都超时”更科学避免了因个别慢请求导致的误熔断。三、慢调用比例熔断实战3.1 配置示例ConfigurationpublicclassDegradeRuleConfig{PostConstructpublicvoidinitDegradeRules(){ListDegradeRulerulesnewArrayList();// 慢调用比例熔断DegradeRuleslowRulenewDegradeRule(callPaymentService).setGrade(RuleConstant.DEGRADE_GRADE_RT)// 慢调用比例模式.setCount(1000)// 慢调用RT阈值1000ms.setSlowRatioThreshold(0.5)// 慢调用比例阈值50%.setMinRequestAmount(5)// 最小请求数5.setTimeWindow(10)// 熔断时长10秒.setStatIntervalMs(10000);// 统计窗口10秒rules.add(slowRule);DegradeRuleManager.loadRules(rules);}}配置解析参数值含义count1000响应时间超过1000ms的请求记为“慢调用”slowRatioThreshold0.5慢调用比例超过50%触发熔断minRequestAmount5统计窗口内至少有5个请求才做判断timeWindow10熔断后10秒内请求快速失败statIntervalMs10000统计窗口为10秒3.2 熔断触发条件触发熔断的完整条件三个条件同时满足统计窗口statIntervalMs内总请求数 ≥minRequestAmount慢调用RT count的比例 ≥slowRatioThreshold当前断路器状态为CLOSED3.3 熔断后的行为熔断触发后断路器从CLOSED变为OPENOPEN状态timeWindow秒内所有请求被立即拒绝抛出DegradeExceptionHALF_OPEN状态timeWindow到期后断路器进入半开状态放行一个探测请求如果探测请求的RT count不是慢调用断路器恢复到CLOSED如果探测请求仍然是慢调用断路器重新回到OPEN重新计时3.4 生产配置建议场景countRT阈值slowRatioThresholdtimeWindow支付/订单等核心服务800ms0.330秒商品查询等一般服务500ms0.510秒日志上报等非核心服务2000ms0.85秒黄金法则count应设置为下游服务P99响应时间的1.5~2倍。如果下游P99是300mscount设为500-600ms。设置过低会导致正常的慢请求被误判设置过高则失去熔断的意义。四、异常比例与异常数熔断实战4.1 异常比例熔断DegradeRuleexceptionRatioRulenewDegradeRule(callUserService).setGrade(RuleConstant.DEGRADE_GRADE_EXCEPTION_RATIO)// 异常比例模式.setCount(0.5)// 异常比例阈值50%.setMinRequestAmount(10)// 最小请求数10.setTimeWindow(30)// 熔断时长30秒.setStatIntervalMs(10000);// 统计窗口10秒触发条件统计窗口内请求数 ≥ 10且异常比例 ≥ 50%。异常比例的统计范围异常降级仅针对业务异常对Sentinel限流降级本身的异常BlockException不生效。需要通过Tracer.trace(ex)记录业务异常或使用SentinelResource注解会自动统计。4.2 异常数熔断DegradeRuleexceptionCountRulenewDegradeRule(callInventoryService).setGrade(RuleConstant.DEGRADE_GRADE_EXCEPTION_COUNT)// 异常数模式.setCount(20)// 异常数阈值20.setTimeWindow(60)// 熔断时长60秒.setStatIntervalMs(60000);// 统计窗口60秒触发条件统计窗口内异常数 ≥ 20。异常比例 vs 异常数异常比例适用于请求量大且相对稳定的场景比例更有统计意义异常数适用于请求量小或波动大的场景比例容易被少数请求扭曲。4.3 三种策略组合使用同一个资源可以配置多条熔断规则任意一条触发即熔断ListDegradeRulerulesnewArrayList();rules.add(newDegradeRule(callUserService).setGrade(RuleConstant.DEGRADE_GRADE_RT).setCount(500).setSlowRatioThreshold(0.6).setMinRequestAmount(10).setTimeWindow(30));rules.add(newDegradeRule(callUserService).setGrade(RuleConstant.DEGRADE_GRADE_EXCEPTION_RATIO).setCount(0.5).setMinRequestAmount(10).setTimeWindow(30));rules.add(newDegradeRule(callUserService).setGrade(RuleConstant.DEGRADE_GRADE_EXCEPTION_COUNT).setCount(30).setTimeWindow(30));DegradeRuleManager.loadRules(rules);五、断路器状态机与DegradeSlot源码解析5.1 两种断路器实现Sentinel的断路器分为两类断路器类适用策略统计维度ResponseTimeCircuitBreaker慢调用比例慢调用数、总请求数ExceptionCircuitBreaker异常比例、异常数异常数、总请求数5.2 DegradeSlot的entry与exitDegradeSlot是ProcessorSlotChain的最后一环负责熔断规则的校验publicclassDegradeSlotextendsAbstractLinkedProcessorSlotDefaultNode{Overridepublicvoidentry(Contextcontext,ResourceWrapperresourceWrapper,DefaultNodenode,intcount,booleanprioritized,Object...args){// 执行熔断检查performChecking(context,resourceWrapper);// 继续执行实际上已无下一个SlotfireEntry(context,resourceWrapper,node,count,prioritized,args);}privatevoidperformChecking(Contextcontext,ResourceWrapperr)throwsBlockException{ListCircuitBreakercircuitBreakersDegradeRuleManager.getCircuitBreakers(r.getName());if(circuitBreakersnull||circuitBreakers.isEmpty())return;for(CircuitBreakercb:circuitBreakers){if(!cb.tryPass(context)){thrownewDegradeException(cb.getRule().getLimitApp(),cb.getRule());}}}}执行时机DegradeSlot.entry()在请求进入时执行检查断路器是否允许通过。DegradeSlot.exit()在请求完成时执行触发circuitBreaker.onRequestComplete()回调更新统计指标并判断是否触发状态转换。5.3 tryPass的核心逻辑publicbooleantryPass(Contextcontext){// 1. 当前状态为CLOSED → 允许通过if(currentState.get()State.CLOSED){returntrue;}// 2. 当前状态为OPEN → 检查是否已过熔断时长if(currentState.get()State.OPEN){// 熔断时长已到 → 尝试转换为HALF_OPENif(currentState.compareAndSet(State.OPEN,State.HALF_OPEN)){// 成功转换放行探测请求returntrue;}// 熔断时长未到 → 拒绝returnfalse;}// 3. 当前状态为HALF_OPEN// 只放行一个探测请求其他请求拒绝returncurrentState.compareAndSet(State.HALF_OPEN,State.HALF_OPEN);}5.4 状态转换的触发时机状态转换触发条件执行位置CLOSED → OPEN统计窗口内慢调用/异常比例超过阈值onRequestComplete()OPEN → HALF_OPENtimeWindow到期tryPass()HALF_OPEN → CLOSED探测请求成功onRequestComplete()HALF_OPEN → OPEN探测请求失败慢调用或异常onRequestComplete()5.5 熔断器状态机图示┌──────────┐ │ CLOSED │ 正常状态所有请求通过 │ (关闭) │ 统计慢调用/异常指标 └────┬─────┘ │ 触发熔断条件 │ (慢调用比例 ≥ slowRatioThreshold │ 或 异常比例 ≥ count │ 或 异常数 ≥ count) ▼ ┌──────────┐ │ OPEN │ 熔断状态所有请求被拒绝 │ (打开) │ 返回 DegradeException └────┬─────┘ │ timeWindow 到期 ▼ ┌──────────┐ │HALF_OPEN │ 半开状态放行一个探测请求 │ (半开) │ └────┬─────┘ │ ├─── 探测请求成功RT count 且无异常 │ → 恢复 CLOSED │ └─── 探测请求失败慢调用或异常 → 重新 OPEN重新计时六、系统自适应保护6.1 核心理念Sentinel系统自适应保护从整体维度对应用入口流量进行控制结合应用的Load、总体平均RT、入口QPS和线程数等几个维度的监控指标让系统的入口流量和系统的负载达到一个平衡。传统方案根据load1阈值来决定是否限流存在两个问题负载是“果”而非“因”调整通过率后需要等待一段时间才能看到效果下游恢复后负载仍然很高恢复缓慢。Sentinel借鉴了TCP BBR的思想用load1作为启动控制流量的值而允许通过的流量由处理请求的能力响应时间、当前QPS来决定。6.2 五种系统规则阈值类型类型触发条件说明Loadload1 阈值 且 并发线程数 系统容量仅对Linux/Unix生效系统容量 maxQps × minRtCPU使用率CPU使用率 阈值取值范围0.0~1.0平均RT所有入口流量的平均RT 阈值单位毫秒并发线程数所有入口流量的并发线程数 阈值全局维度入口QPS所有入口流量的QPS 阈值全局维度重要限制系统规则是应用整体维度的不是资源维度的且仅对入口流量EntryType.IN生效。6.3 配置示例ConfigurationpublicclassSystemRuleConfig{PostConstructpublicvoidinitSystemRules(){ListSystemRulerulesnewArrayList();// CPU使用率超过80%触发系统保护SystemRulecpuRulenewSystemRule();cpuRule.setHighestCpuUsage(0.8);rules.add(cpuRule);// 入口QPS超过10000触发系统保护SystemRuleqpsRulenewSystemRule();qpsRule.setQps(10000);rules.add(qpsRule);// 并发线程数超过500触发系统保护SystemRulethreadRulenewSystemRule();threadRule.setMaxThread(500);rules.add(threadRule);SystemRuleManager.loadRules(rules);}}6.4 Load保护的特殊逻辑Load保护的触发条件较为特殊需要同时满足两个条件当前系统load1 highestSystemLoad阈值当前并发请求数 系统容量系统容量 maxQps × minRt为什么需要两个条件仅凭load1判断会误伤——load1高可能是由于I/O等待而非CPU竞争。加上并发数的判断后只有在“系统确实处理不过来”时才触发保护避免了对正常高负载的误判。Load阈值设定参考值CPU cores × 2.5。例如4核机器Load阈值设为10。七、集群限流7.1 为什么需要集群限流单机限流存在一个根本问题流量分配不均匀。假设集群有10台机器每台限流10 QPS理论上集群总量100 QPS。但实际流量可能不均匀——某些机器收到15 QPS被限流而其他机器只收到5 QPS导致“总量没到但部分机器已经限流”。集群限流可以精确控制整个集群的调用总量确保不管流量如何分布总QPS始终不超过预设阈值。7.2 Token Server与Token Client集群流控中有两种身份身份职责Token Server集群流控服务端处理来自Token Client的请求根据规则判断是否发放令牌Token Client集群流控客户端向Token Server申请令牌根据返回结果决定是否限流通信机制Token Client向Token Server发送令牌申请请求Token Server根据当前集群的QPS统计和规则阈值判断是否发放令牌。如果发放Client放行请求如果不发放Client执行本地限流逻辑。7.3 集群流控规则配置FlowRule添加集群模式ClusterFlowConfigclusterConfignewClusterFlowConfig().setFlowId(1L)// 全局唯一的规则ID.setThresholdType(ClusterRuleConstant.FLOW_THRESHOLD_GLOBAL)// 全局阈值模式.setFallbackToLocalWhenFail(true);// Token Server不可用时回退到本地限流FlowRulerulenewFlowRule(cluster-resource).setGrade(RuleConstant.FLOW_GRADE_QPS).setCount(1000)// 集群总QPS阈值.setClusterMode(true).setClusterConfig(clusterConfig);FlowRuleManager.loadRules(Collections.singletonList(rule));关键字段说明字段含义说明flowId全局唯一规则ID由管控端分配保持全局唯一thresholdType阈值模式0单机均摊1全局阈值fallbackToLocalWhenFail回退策略Token Server不可用时是否回退到本地限流单机均摊 vs 全局阈值单机均摊模式下配置的阈值等同于单机承受限额Token Server根据连接数计算总阈值3个Client连接单机阈值10总阈值30全局模式下配置的阈值就是整个集群的总阈值。7.4 Token Server部署方式方式一独立模式。单独部署一个Token Server进程所有Token Client连接到它ClusterTokenServertokenServernewSentinelDefaultTokenServer();tokenServer.start();方式二嵌入模式。集群中选择一个节点同时作为Token Server和Token Client// 在应用启动时将当前节点嵌入为Token ServerClusterTokenServertokenServernewSentinelDefaultTokenServer();tokenServer.start();// 同时将当前节点作为Token ClientClusterStateManager.applyState(ClusterStateManager.CLUSTER_CLIENT);生产建议独立模式更稳定Token Server故障不影响业务节点但需要额外的部署资源嵌入模式节省资源但Token Server节点的故障会影响整个集群的限流功能。推荐使用独立模式并通过Nacos实现Token Server的自动选举和故障转移。7.5 Token Server高可用方案Token Server本身如果成为单点整个集群限流功能就会失效。高可用方案如下方案一Nacos自主选举。借助Nacos注册中心集群中所有节点注册到Nacos选取注册列表中第一个节点作为Token Server。如果Token Server不可用重新选举。方案二Sentinel Dashboard指定。通过Sentinel Dashboard手动指定某个节点为Token Server其他节点作为Token Client。Dashboard提供了集群流控的配置界面。方案三Fallback保护。配置fallbackToLocalWhenFailtrue当Token Client无法连接Token Server时自动回退到本地单机限流模式保证服务不会因Token Server故障而完全不可用。八、踩坑指南坑一熔断规则count配反了现象慢调用比例模式下count设为0.5但期望的是RT阈值500ms。原因混淆了count和slowRatioThreshold。慢调用比例模式下count是RT阈值毫秒slowRatioThreshold才是慢调用比例阈值0.0~1.0。解决setCount(500)设置RT阈值setSlowRatioThreshold(0.5)设置比例阈值。坑二熔断后没有降级响应现象熔断触发后返回的是Sentinel默认的DegradeException前端无法处理。原因未配置blockHandler或BlockExceptionHandler。解决使用SentinelResource的blockHandler指定降级方法或实现BlockExceptionHandler接口统一处理第22课6.2节。坑三熔断恢复后立即再次熔断现象熔断时长到期后第一个探测请求通过但随后立即再次熔断。原因下游服务的问题没有真正恢复探测请求仍然是慢调用或异常。解决这是正常行为——熔断器的半开状态本身就是“试探性恢复”。应检查下游服务是否真正恢复健康或适当增加timeWindow给下游更长的恢复时间。坑四系统自适应保护的Load阈值不生效现象配置了Load保护规则但系统load1已经很高仍然没有触发限流。原因Load保护需要同时满足“load1 阈值”和“并发线程数 系统容量”两个条件。如果并发数不够高即使load1很高也不会触发。解决检查并发线程数是否超过maxQps × minRt。如果并发数不足Load保护不会生效——这是设计行为避免对正常高负载的误判。坑五集群限流Token Server不可用导致全局限流失效现象Token Server宕机后所有Token Client的集群限流完全失效流量全部放行。原因未配置fallbackToLocalWhenFailtrue。解决始终设置fallbackToLocalWhenFailtrue确保Token Server不可用时自动回退到本地单机限流保证基本的保护能力。坑六集群限流规则ID不唯一导致规则冲突现象多个集群限流规则配置了相同的flowId导致限流行为异常。原因flowId是全局唯一的不能重复。解决由管控端统一分配flowId或使用数据库自增ID确保唯一性。九、课后作业作业一为callUserService资源配置慢调用比例熔断RT阈值800ms慢调用比例阈值50%最小请求数5熔断时长15秒。模拟下游服务响应缓慢Thread.sleep(1000)验证熔断触发和恢复。作业二为callPaymentService资源配置异常比例熔断异常比例阈值40%最小请求数10熔断时长30秒。通过人为抛出异常验证熔断触发观察异常比例从上升到达标再到熔断的完整过程。作业三配置系统自适应保护规则CPU使用率阈值0.8入口QPS阈值5000并发线程数阈值300。使用压测工具施加压力观察哪个维度的阈值最先触发。作业四部署Token Server独立模式配置集群限流规则全局阈值模式QPS1000。启动两个Token Client实例验证集群总QPS精确控制在1000以内。然后停止Token Server验证fallbackToLocalWhenFail回退机制。作业五进阶阅读DegradeSlot和ResponseTimeCircuitBreaker源码画出慢调用比例熔断的完整状态转换图标注每个状态转换的触发条件和执行方法。十、下节预告第24课将进入Sentinel网关限流、授权规则 生产级容错方案。内容包括Gateway网关专属限流Sentinel集成Gateway、黑白名单授权规则、IP限流、用户维度限流、规则Nacos持久化的完整实战以及生产环境的故障演练和容错体系搭建。本课完成了Sentinel的熔断降级和系统保护第24课将把Sentinel的能力扩展到网关层并构建完整的生产级容错体系。《最新版 SpringCloud 2025 从入门到实战》系列课程导航去订阅第一部分微服务前置基础 新版环境搭建第1-5课第二部分注册中心核心Nacos 最新版第6-9课第三部分配置中心核心Nacos配置中心第10-12课第四部分服务通信核心OpenFeign LoadBalancer第13-16课第五部分网关核心SpringCloud Gateway 新版第17-20课第六部分熔断、限流、降级Sentinel 新版第21-24课第七部分微服务监控、链路追踪、日志体系第25-28课第八部分微服务高阶特性 分布式核心能力第29-31课第九部分企业级完整项目实战 架构复盘第32-35课
