Nginx 中负载均衡中处理后端集群的熔断机制

Nginx 本身不提供标准断路器能力，但可通过被动健康检查（max_fails/fail_timeout）、接口级限流与错误拦截、OpenResty+Lua实现三态熔断、以及主动健康检查等组合方式，在负载均衡层实现生产级熔断效果。

Nginx 本身不提供标准断路器（Circuit Breaker）能力，但通过组合原生模块与合理配置，可在负载均衡层实现贴近生产要求的熔断效果——核心是“感知异常→隔离节点→降级响应→动态恢复”。

被动健康检查：用 max_fails 和 fail_timeout 实现节点级熔断

这是开源 Nginx 唯一开箱即用的熔断机制，依赖真实请求失败反馈，无需额外模块。

1. max_fails：在 fail_timeout 时间窗口内，某后端连续失败达到该次数，即被标记为不可用
2. fail_timeout：既是失败统计周期，也是节点被剔除后暂停转发的时长；到期后自动重试一次，成功则恢复，失败则重新计时
3. 失败判定需配合 proxy_next_upstream 显式启用，例如：proxy_next_upstream error timeout http_500 http_502 http_503 http_504;
4. 建议显式设置参数，避免使用默认值（max_fails=1，fail_timeout=10s），例如：server 192.168.1.10:8080 max_fails=3 fail_timeout=30s;

接口级限流 + 错误拦截：实现路径维度的降级保护

仅踢节点不够细粒度，高危接口（如支付、下单）需要独立防护策略。

1. 用 limit_req_zone 按 URI 或请求头定义限流维度，例如：limit_req_zone $uri zone=pay_limit:10m rate=1r/s;
2. 在对应 location 中绑定限流并启用错误拦截：proxy_intercept_errors on; 配合 error_page 500 502 503 504 /fallback.html;
3. /fallback.html 可返回静态兜底页，或用 proxy_pass 转向本地缓存服务、备用通道等降级后端

集群协同熔断：OpenResty + Lua 实现三态逻辑控制

当需要错误率统计、半开试探、跨实例状态同步时，必须借助 OpenResty 的 Lua 能力。

1. 用 lua_shared_dict 存储每个接口的失败计数、时间戳和当前状态（Closed/Open/Half-Open）
2. 在 access_by_lua_block 中判断是否熔断，例如：最近 60 秒错误率 > 60% 且失败 ≥ 10 次，则跳过 upstream
3. 在 log_by_lua_block 中更新状态，支持滑动窗口清理过期数据，避免历史噪音干扰
4. 可接入 Redis 实现多 Nginx 实例间状态共享，适合网关集群场景

补充增强：主动健康检查（需定制版或 OpenResty）

标准 Nginx 不支持主动探测，但生产环境强烈建议补足这一环，提升故障识别速度。

1. 使用 nginx-upstream-check-module 或 OpenResty 自带的 lua-resty-healthcheck
2. 配置定期 HTTP 探针，例如：check interval=3 rise=2 fall=5 timeout=1;，探 /health 端点
3. 结合 check_http_expect_alive http_2xx http_3xx; 精确控制健康标准
4. 主动检查与被动熔断互补：前者早发现，后者快响应