Circuit breaker : 3 états pour stopper les défaillances en cascade et sécuriser vos systèmes

Catégorie : Bricolage | Mots-clés : circuit circuit breaker, Bricolage

Découvrez le design pattern Circuit Breaker : une méthode essentielle pour assurer la résilience des architectures distribuées et éviter les défaillances en cascade.

Dans une architecture distribuée, la disponibilité d’un service dépend souvent de la santé des composants tiers auxquels il est connecté. Lorsqu’un service distant ralentit ou tombe, il provoque une réaction en chaîne. Le circuit breaker, ou disjoncteur logiciel, est un design pattern qui permet aux applications de survivre aux pannes sans s’effondrer. Popularisé par Michael Nygard dans son ouvrage Release It!, il constitue un pilier de la résilience informatique.

Pourquoi la résilience logicielle passe par le pattern circuit breaker ?

La latence est le défi majeur des systèmes distribués. Lorsqu’un système, qu’il soit développé en Java ou sous .NET, appelle un service distant, il attend une réponse. Si ce service est surchargé, il met plusieurs secondes à répondre, voire ne répond pas. Sans protection, l’application appelante conserve sa connexion ouverte, mobilise un thread de travail et sature sa mémoire en attendant un dénouement incertain.

Le danger des défaillances en cascade

Si votre service de paiement dépend d’une API bancaire externe défaillante, chaque transaction reste en attente. Rapidement, tous les threads de votre serveur sont occupés à attendre cette API. Votre serveur ne traite plus aucune demande, même celles sans lien avec le paiement. La panne se propage : c’est la défaillance en cascade. Le circuit breaker empêche cette propagation en coupant la communication avec le service défaillant dès l’apparition des premiers signes de faiblesse.

Éviter la saturation des ressources critiques

Le circuit breaker protège vos ressources internes. En refusant immédiatement les appels vers un service identifié comme étant en panne, le système libère instantanément les ressources comme le CPU, la RAM et les ports réseau. Cela maintient une qualité de service, même dégradée, pour le reste des utilisateurs. Au lieu d’une indisponibilité totale, vous désactivez temporairement une fonctionnalité, ce qui préserve l’expérience utilisateur globale.

La machine à états : comprendre le cycle de vie du disjoncteur

Le fonctionnement d’un circuit breaker repose sur une machine à états finis. Il agit comme un proxy entre l’appelant et le service appelé. Il surveille les échecs et décide, selon une logique prédéfinie, de laisser passer ou de bloquer les requêtes.

L’état Fermé : le fonctionnement nominal

En temps normal, le circuit est fermé. Les requêtes circulent librement entre les services. Le disjoncteur compte le nombre d’échecs successifs ou le pourcentage d’erreurs sur une fenêtre de temps donnée. Tant que ce chiffre reste inférieur à un seuil critique, par exemple moins de 5 % d’erreurs, le circuit reste fermé et le système fonctionne de manière transparente.

L’état Ouvert : la protection immédiate

Dès que le seuil d’erreur est franchi, le circuit bascule à l’état ouvert. Toutes les tentatives d’appel vers le service distant sont immédiatement rejetées par le disjoncteur, sans contacter le service. L’appelant reçoit une erreur instantanée, souvent une exception ou un code HTTP 503. Cet état protège l’appelant contre l’attente inutile et laisse au service défaillant le temps de récupérer sans être bombardé de nouvelles requêtes.

L’état Semi-Ouvert : la phase de test prudente

Après un délai de refroidissement, le circuit passe à l’état semi-ouvert. Le disjoncteur autorise un nombre limité de requêtes de test. Si ces requêtes réussissent, le système considère que le service distant est opérationnel et referme le circuit. Si elles échouent, il rebascule immédiatement en état ouvert pour une nouvelle période d’attente. C’est une phase d’observation nécessaire pour éviter de surcharger un service qui redémarre.

Stratégies d’implémentation et mécanismes de fallback

Mettre en place un circuit breaker nécessite de prévoir le comportement de l’application quand le circuit est ouvert pour garantir une expérience fluide.

La dégradation gracieuse (Graceful Degradation)

Lorsqu’un circuit est ouvert, l’application déclenche un mécanisme de fallback. Il s’agit d’une réponse alternative prévue à l’avance. Par exemple, si un service de recommandation de produits est indisponible, le circuit breaker retourne une liste de produits génériques pré-calculés au lieu d’afficher une page d’erreur. C’est la différence entre une application robuste et une application fragile : la capacité à offrir un service dégradé mais fonctionnel.

Le disjoncteur informatique surveille aussi l’intensité du flux. Une file d’attente logicielle sature sous une pression constante, tout comme un câble électrique s’échauffe. Le véritable apport de ce pattern est de transformer une latence subie en une coupure nette, évitant que l’énergie du système ne se dissipe dans des tentatives de connexion vouées à l’échec. En gérant ce débit d’appels, on préserve la réactivité globale du système.

Paramétrage des seuils et des timeouts

Le réglage d’un circuit breaker est précis. Si les seuils sont trop sensibles, le circuit s’ouvre pour des erreurs réseau mineures. S’ils sont trop permissifs, la protection arrive trop tard. Les paramètres clés incluent le seuil d’échec, qui définit le nombre ou le pourcentage d’erreurs déclenchant l’ouverture, le timeout, qui fixe le temps maximum accordé à une requête, la fenêtre de temps, pour le calcul des statistiques, et le délai de récupération, qui définit le temps passé en état ouvert.

Au-delà du code : l’héritage électrique et financier

Le terme « circuit breaker » s’inspire de dispositifs physiques et de mécanismes de régulation économique partageant le même objectif : stopper un processus dangereux avant qu’il ne détruise la structure.

L’analogie avec le disjoncteur électrique

Dans un tableau électrique, le disjoncteur protège les appareils contre les surintensités. Si un court-circuit survient, le courant augmente brutalement, ce qui risque de faire fondre les câbles et de provoquer un incendie. Le disjoncteur détecte cette anomalie et coupe physiquement le contact. En informatique, le principe est identique : l’anomalie est la latence ou l’erreur, et la coupure est logique.

Les coupe-circuits sur les marchés financiers

La finance utilise ce concept pour stabiliser les bourses. Après le krach d’octobre 1987, les autorités de régulation comme la SEC ont imposé des coupe-circuits. Si l’indice S&P 500 chute de 7 %, 13 % ou 20 % en une seule séance, la cotation est automatiquement suspendue. Cela enraye les ventes de panique déclenchées par des algorithmes de trading haute fréquence et redonne de la rationalité au marché.

Synthèse des types de circuit breakers

Le concept est universel, mais son application varie selon le domaine. Le tableau suivant récapitule les différences majeures entre les trois grandes familles de disjoncteurs.

Domaine	Événement déclencheur	Action immédiate	Objectif principal
Informatique	Utilise le taux d’erreur HTTP ou la latence pour déclencher un rejet de requêtes (Fail-fast).	Rejet des requêtes (Fail-fast)	Assurer la disponibilité et la résilience.
Électricité	Utilise la surcharge ou le court-circuit pour provoquer une ouverture physique.	Ouverture physique du circuit	Garantir la sécurité des biens et des personnes.
Finance	Utilise la chute brutale des indices boursiers pour suspendre les échanges.	Suspension temporaire des échanges	Maintenir la stabilité du marché.

Pour un architecte système, l’intégration d’un circuit breaker est une norme pour tout appel réseau sortant. Des bibliothèques comme Resilience4j pour Java ou Polly pour .NET prouvent que la gestion proactive des erreurs est la seule manière de construire des applications capables de supporter la réalité d’un réseau instable. En acceptant l’échec et en préparant une réponse propre, on transforme une vulnérabilité en une force structurelle.