连接到远程服务或资源时处理故障，此类故障所需恢复时间不定。 这可以提高应用程序的稳定性和复原能力。

上下文和问题

在分布式环境中，对远程资源和服务的调用可能会由于临时性故障（如网络连接缓慢、超时、资源过载或资源暂时不可用）而失败。 这些故障通常会在短时间内自行更正，而且，应该会准备一个可靠的云应用程序，通过 重试模式 这样的策略来处理它们。

但是，也可能遇到由于意外事件而导致的故障，且需要更长的时间来进行修复。 这些故障轻则导致部分连接中断，重则导致服务完全瘫痪。 这类情况下，让应用程序持续重试不可能成功的操作是毫无意义的。相反，应用程序应该快速认识到操作已失败，并相应地处理此故障。

此外，如果服务十分繁忙，那么系统一个部分的故障可能会导致连锁故障。 例如，调用服务的操作可以被配置为实现超时，并且在服务未能在此期间内响应时返回失败消息。 但是，此策略可能导致同一操作的许多并发请求受到阻止，直至超时期间到期。 这些阻止的请求可能占用了关键的系统资源，如内存、线程、数据库连接等。 因此，这些资源可能被耗尽，从而导致需要使用相同资源的系统其他不相关部分出现故障。 在这些情况下，更有益的做法便是让操作立即失败并只在服务可能成功时才尝试调用服务。 请注意，设置较短的超时可能有助于解决此问题，但为避免操作在大多数时间内失败，超时不应太短（即使对服务的请求最终会成功）。

Michael Nygard 在 Release It! （发布吧！）一书中推广的断路器模式可以防止应用程序重复尝试执行很可能失败的操作。 在确定故障的持续时间很长时允许它继续，而不等待故障修复或浪费 CPU 周期。 断路器模式还可让应用程序检测故障是否已经解决。 如果问题已被修复，应用程序便可以尝试调用操作。

断路器模式的目的与重试模式不同。 重试模式在预期操作将成功的情况下让应用程序重试操作。 断路器模式则防止应用程序执行很可能失败的操作。 应用程序可以使用重试模式通过断路器调用操作，来组合这两种模式。 但重试逻辑应该对断路器返回的任何异常保持敏感，并且在断路器指示故障为非临时性的情况下放弃重试尝试。

针对可能失败的操作，断路器充当其代理。 代理应监视最近发生的失败次数，并使用此信息来决定是允许操作继续进行，还是立即返回异常。

通过模仿电力断路器的功能，可将代理作为具有以下状态的状态机来实现：

不推荐使用此模式：

在 Web 应用程序中，多个页面使用从外部服务检索的数据进行填充。 如果系统实现最小缓存，对这些页面的大多数点击都将导致对服务的往返。 从 Web 应用程序到服务的连接可以配置超时期间（通常为 60 秒），如果服务在此时间段内未响应，则每个网页中的逻辑将假定服务不可用并引发异常。

但是，如果服务失败并且系统非常繁忙，则可能会在异常发生之前强制用户等待最长 60 秒。 最终，可能会耗尽内存、连接和线程等资源，从而阻止其他用户连接到系统（即使他们并不是访问从服务检索数据的页面）。

通过添加更多 Web 服务器和实现负载均衡来扩展系统可能会延迟资源耗尽的时间，但无法解决问题，因为用户请求仍然无响应，所有 Web 服务器最终仍会耗尽资源。

包装连接到服务并在断路器中检索数据的逻辑，有助于解决该问题，并更从容地处理服务失败。 用户请求仍然会失败，但速度更快，且不会阻止资源。

CircuitBreaker 类在实现 ICircuitBreakerStateStore 接口的对象中维持有关断路器的状态信息，如以下代码中所示。

interface ICircuitBreakerStateStore
  CircuitBreakerStateEnum State { get; }
  Exception LastException { get; }
  DateTime LastStateChangedDateUtc { get; }
  void Trip(Exception ex);
  void Reset();
  void HalfOpen();
  bool IsClosed { get; }
State 属性指示断路器的当前状态，并且由 CircuitBreakerStateEnum 枚举定义为打开、半开或关闭。 如果断路器处于关闭状态，则 IsClosed 属性应为 true，如果处于打开或半开状态，则为 false。 Trip 方法将断路器的状态切换为打开状态，并记录导致状态更改的异常，以及异常发生的日期和时间。 LastException 和 LastStateChangedDateUtc 属性返回此信息。 Reset 方法关闭断路器，HalfOpen 方法将断路器设置为半开。
示例中的 InMemoryCircuitBreakerStateStore 类包含 ICircuitBreakerStateStore 接口的实现。 CircuitBreaker 类创建此类的实例以维持断路器的状态。
CircuitBreaker 类中的 ExecuteAction 方法包装指定为 Action 委托的操作。 如果断路器处于关闭状态，ExecuteAction 将调用 Action 委托。 如果操作失败，异常处理程序会调用 TrackException，它将断路器状态设置为打开。 以下代码示例突出显示此流。
public class CircuitBreaker
  private readonly ICircuitBreakerStateStore stateStore =
    CircuitBreakerStateStoreFactory.GetCircuitBreakerStateStore();
  private readonly object halfOpenSyncObject = new object ();
  public bool IsClosed { get { return stateStore.IsClosed; } }
  public bool IsOpen { get { return !IsClosed; } }
  public void ExecuteAction(Action action)
    if (IsOpen)
      // The circuit breaker is Open.
      ... (see code sample below for details)
    // The circuit breaker is Closed, execute the action.
      action();
    catch (Exception ex)
      // If an exception still occurs here, simply
      // retrip the breaker immediately.
      this.TrackException(ex);
      // Throw the exception so that the caller can tell
      // the type of exception that was thrown.
      throw;
  private void TrackException(Exception ex)
    // For simplicity in this example, open the circuit breaker on the first exception.
    // In reality this would be more complex. A certain type of exception, such as one
    // that indicates a service is offline, might trip the circuit breaker immediately.
    // Alternatively it might count exceptions locally or across multiple instances and
    // use this value over time, or the exception/success ratio based on the exception
    // types, to open the circuit breaker.
    this.stateStore.Trip(ex);
下面的示例显示了当断路器未关闭时所执行的代码（上例中已省略）。 它首先检查断路器已经打开的时间是否长于 CircuitBreaker 类中的本地 OpenToHalfOpenWaitTime 字段所指定的时间。 如果是这种情况，则 ExecuteAction 方法将断路器设置为半开，然后尝试执行 Action 委托所指定的操作。
如果操作成功，断路器将重置为关闭状态。 如果操作失败，则跳回打开状态，并且更新异常发生的时间，从而使断路器再等待一段时间，才再次尝试执行操作。
如果断路器仅在短时间内（小于 OpenToHalfOpenWaitTime 值）处于打开状态，则 ExecuteAction 方法只会引发 CircuitBreakerOpenException 异常并返回导致断路器转换到打开状态的错误。
此外，它使用锁来防止断路器在半开时尝试对操作执行并发调用。 将处理调用操作的并发尝试（犹如断路器处于打开状态一样），该尝试会失败，其异常会在稍后进行说明。
    if (IsOpen)
      // The circuit breaker is Open. Check if the Open timeout has expired.
      // If it has, set the state to HalfOpen. Another approach might be to
      // check for the HalfOpen state that had be set by some other operation.
      if (stateStore.LastStateChangedDateUtc + OpenToHalfOpenWaitTime < DateTime.UtcNow)
        // The Open timeout has expired. Allow one operation to execute. Note that, in
        // this example, the circuit breaker is set to HalfOpen after being
        // in the Open state for some period of time. An alternative would be to set
        // this using some other approach such as a timer, test method, manually, and
        // so on, and check the state here to determine how to handle execution
        // of the action.
        // Limit the number of threads to be executed when the breaker is HalfOpen.
        // An alternative would be to use a more complex approach to determine which
        // threads or how many are allowed to execute, or to execute a simple test
        // method instead.
        bool lockTaken = false;
          Monitor.TryEnter(halfOpenSyncObject, ref lockTaken);
          if (lockTaken)
            // Set the circuit breaker state to HalfOpen.
            stateStore.HalfOpen();
            // Attempt the operation.
            action();
            // If this action succeeds, reset the state and allow other operations.
            // In reality, instead of immediately returning to the Closed state, a counter
            // here would record the number of successful operations and return the
            // circuit breaker to the Closed state only after a specified number succeed.
            this.stateStore.Reset();
            return;
        catch (Exception ex)
          // If there's still an exception, trip the breaker again immediately.
          this.stateStore.Trip(ex);
          // Throw the exception so that the caller knows which exception occurred.
          throw;
        finally
          if (lockTaken)
            Monitor.Exit(halfOpenSyncObject);
      // The Open timeout hasn't yet expired. Throw a CircuitBreakerOpen exception to
      // inform the caller that the call was not actually attempted,
      // and return the most recent exception received.
      throw new CircuitBreakerOpenException(stateStore.LastException);
为了使用 CircuitBreaker 对象来保护操作，应用程序会创建 CircuitBreaker 类的实例并调用 ExecuteAction 方法，指定要作为参数执行的操作。 如果操作由于断路器打开而失败，应用程序应做好捕获 CircuitBreakerOpenException 异常的准备。 请参阅以下代码示例：
var breaker = new CircuitBreaker();
  breaker.ExecuteAction(() =>
    // Operation protected by the circuit breaker.
catch (CircuitBreakerOpenException ex)
  // Perform some different action when the breaker is open.
  // Last exception details are in the inner exception.
catch (Exception ex)
实现此模式时，以下模式也可能有用：
适用于 .NET 的可靠 Web 应用模式演示如何将断路器模式应用于云上聚合的 ASP.NET Web 应用程序。
重试模式。 描述当应用程序尝试连接到服务或网络资源（通过明显地重试先前失败的操作）时，它如何处理预期的临时故障。
运行状况终结点监视模式。 通过向由服务公开的终结点发送请求，断路器可能能够测试服务的运行状况。 服务应返回指示其状态的信息。