降级、熔断和兜底（fallback）有什么区别？
更新时间：2026-09-19。短答页。这几个词都属于「故障下保命」机制，但处在不同环节。
一句话回答
限流在入口挡超额流量；熔断在调用端发现下游烂了就快速失败、不再硬调；降级是主动弱化或关闭非核心功能把资源让给核心；兜底 fallback 是失败后返回一个「没那么好但能用」的替代结果。 它们通常串联协作。
对比
| 机制 | 在哪 | 触发 | 动作 |
|---|---|---|---|
| 限流 | 入口网关/服务 | 请求超过容量 | 拒绝/排队超额请求 |
| 熔断 | 调用下游处 | 下游错误率/延迟超阈 | 跳闸快速失败，给下游喘息 |
| 降级 | 业务/全局 | 过载、依赖故障、开关 | 关非核心功能、同步变异步、读旧数据 |
| 兜底 fallback | 失败返回路径 | 熔断/调用失败后 | 返回默认值、缓存旧值、静态页 |
bash
请求 → 限流(挡量) → 调下游
├─ 健康：正常返回
└─ 熔断打开 → 快速失败 → fallback(旧缓存/默认值/静态兜底)
同时：过载时触发降级（关推荐、评论，保住下单支付）关键差别
- 熔断是「停止调用坏依赖」，是一种保护开关；它决定「还调不调」。
- 兜底是熔断/失败之后「返回什么」，是一种结果策略。熔断可以配兜底（返回缓存），也可以不配（直接报错）。
- 降级是更大范围的业务决策：可能是主动关功能（即使没报错）、降低体验（低清图）、或让非核心链路整体让资源，常由开关中心控制。
- 限流解决「量太大」，熔断/降级解决「依赖坏或系统撑不住」。
一个例子
大促时推荐服务超时增多：熔断器打开不再等待 → fallback 返回热门榜单兜底；同时平台整体触发降级，关闭评论、个性化、埋点，把线程池和连接全让给下单支付。资金/库存类失败不能返回「假成功」兜底，必须 fail fast，避免资损。
坑
- 给扣款/库存做「返回成功」式兜底，造成资损；这类只允许 fail fast。
- 只配熔断不配 fallback，用户直接看到报错页，体验骤降。
- 非核心和核心共用线程池，降级也抢不出资源，需要舱壁隔离配合。
总结
限流在入口控制总量，熔断器在下游持续出错或超时时跳闸、用快速失败防止调用方被拖垮，fallback 是跳闸或异常后返回默认值、过期缓存或静态内容的替代结果，而降级是在过载或故障时主动弱化非核心功能、把资源集中保核心链路；四者按「挡量→停调→替代→让资源」串联，但资金库存类操作绝不允许假成功兜底，只能快速失败。