Explique o padrão circuit breaker e me diga quando ele faz mais mal do que bem.

Um circuit breaker acompanha as falhas de uma dependência, abre assim que um limiar é cruzado para que as chamadas falhem rápido em vez de se acumular, e depois meio abre para testar a recuperação com um fio de tráfego. Ele protege pools de threads e de conexões contra esgotamento e barra falha em cascata. Ele atrapalha quando os limiares são apertados demais, quando o fallback é pior que o erro, ou quando toda instância abre ao mesmo tempo e a dependência nunca recebe tráfego suficiente para provar que se recuperou.

Fechado, aberto, meio aberto. Você conta falhas numa janela móvel, e assim que cruza o limiar abre o circuito e falha imediatamente por um período de descanso, e depois deixa algumas requisições de sondagem passarem para ver se a dependência está saudável de novo. O ponto real é proteger os seus próprios recursos. Se algo abaixo leva 30 segundos para dar timeout, toda thread de worker acaba estacionada nele e o seu serviço morre de algo que não era culpa sua. Onde dá errado é escopo e ajuste. A gente tinha um breaker no nível do serviço em vez de por dependência, então uma chamada instável de recomendações abriu o circuito para o checkout também, o que foi uma queda muito maior do que a que estávamos prevenindo. A outra armadilha é o fio de tráfego do meio aberto. Se toda réplica abre ao mesmo tempo e sonda raramente, a dependência vê quase nenhum tráfego e você fica no escuro muito mais tempo do que a falha real durou.