一句话定义：级联失败（Cascading Failure）指系统中某个局部组件出问题后，故障沿着调用链向上游和旁路扩散，被逐级放大，最终导致整条链路甚至整个系统不可用。
故障是怎么被放大的
先看一个常见场景。某推荐服务平时响应 200 毫秒，某天因为依赖的缓存抖动，变成 800 毫秒。它自己没有崩，只是“慢了一点”。但调用它的编排层是同步调用，每个请求都要占一个工作线程等结果；线程很快被耗尽，新请求开始排队。排队意味着等待更久，调用方（网关）等不到响应就超时，于是重试——一次用户请求变成三次后端请求，本来已经吃不消的服务瞬间被三倍流量压垮。接着连接池被打满、日志与鉴权等公共依赖被拖慢，最后整个站点报错。
注意这条链条的特点：没有任何一个环节“坏了”，每一个环节都是在自保。超时是自保，重试是自保，排队也是自保，但这些自保动作叠加起来就成了互相踩踏。
打个生活化的比方：早高峰高速上，第一辆车只是轻轻点了下刹车，后车跟得紧，于是踩得重一点，再后面踩得更重，几公里后就堵成了停车场。堵车的源头早就开走了，堵却还在。级联失败就是系统里的“幽灵堵车”。
和几个相邻概念的区别
| 概念 | 关注点 | 一句话 |
|---|---|---|
| 单点故障（Single Point of Failure） | 结构 | 只有一份，坏了就全坏 |
| 级联失败（Cascading Failure） | 过程 | 局部小故障如何被传播放大 |
| 重试风暴（Retry Storm） | 放大器 | 重试把流量成倍放大 |
| 熔断（Circuit Breaking） | 阻断手段 | 下游不行就先别打它 |
| 降级（Graceful Degradation） | 兜底手段 | 关掉非核心功能保住主流程 |
最容易混淆的是前两个：单点故障讲的是“哪儿最脆弱”，级联失败讲的是“故障怎么跑起来的”。一个有冗余的系统照样会级联失败，因为传播靠的不是组件数量，而是同步调用、共享资源池和自动重试这些“传导路径”。
对从业者的实际意义
防御思路基本都围绕“切断传导路径”展开：给每个依赖设置合理的超时与重试预算（而不是无限重试）、用熔断器在下游持续失败时快速失败、用舱壁隔离（Bulkhead）让不同依赖各用各的线程池、把非核心调用改成异步、以及在下游施加背压（Backpressure）让上游慢下来而不是硬扛。还有一条常被忽略：重试必须配幂等（AI 词典：Idempotency">Idempotency）和退避（Backoff），否则重试本身就是放大器。
在 AI 应用里这套逻辑尤其适用。一次请求往往要串行经过检索、重排、大模型推理、审核好几个服务，任何一环变慢都会占住编排层的连接；推理服务排队时间本身就非线性增长，再叠加重试，很容易从“有点慢”直接跳到“全量超时”。
对普通职场人来说，这件事的启示是：复杂系统里，小的延迟和小的失误不会线性地变成小问题，而会非线性地变成大事故。所以留余量、设截止时间、失败时先想“要不要重试”而不是条件反射地点重试，都是很实际的习惯。具体到各家平台的超时与重试配置默认值，以官方页面为准。