放弃 01
不做无审计的自动执行
能写入业务系统的工具调用必须经过权限校验与操作留痕，高风险动作要求二次确认。便利性让位于可追溯。
鼎上平台技术架构：从模型路由到私有化运行
这篇文章说明鼎上娱乐如何把大模型接入企业系统：哪些部分由平台承担，哪些必须留给客户，以及在数据不出内网的前提下如何保持可升级。
01
架构总览 / Overview
五层结构，逐层可替换
任何一层都可以单独替换，不牵动其他层。
接入层·Web 控制台REST API企业 IM 插件单点登录
编排层·流程画布工具调用人工节点版本与回放
知识与数据层·文档解析向量索引权限继承引用回溯
模型层·商用接口开源权重自训模型路由与降级
治理层·配额与成本内容安全调用审计评测回归
运行环境·SaaS 多租户专有云离线一体机
分层的意义在于替换成本。企业换模型时只动模型层，换知识源时只动数据层，新增审批要求时只动治理层。鼎上娱乐在项目里坚持这条边界，避免一次需求变更就重写整套系统。
02
模型层 / Models
路由不是随机挑一个模型
- 按任务路由
- 分类、抽取、长文摘要与创作分别使用不同模型，平台按任务标签选择默认模型，允许单次覆盖。
- 按成本路由
- 为每个场景设置单次成本上限，超限时降级到更小的模型或返回缓存结果，并记录降级原因。
- 按可用性路由
- 主模型超时或限流时切换到备用通道，重试次数与熔断阈值可配置，避免雪崩。
- 私有权重
- 客户自训模型以标准格式导入，平台封装推理服务、显存调度与灰度发布，不要求客户改推理框架。
- 上下文管理
- 长对话按主题切片，超出窗口时自动摘要并保留引用，减少关键信息丢失。
03
知识与数据 / Retrieval
检索质量决定回答上限
没有可靠检索，生成能力只会放大错误。
入库阶段
- 解析：识别标题层级、表格与页脚，保留页码与段落编号，供引用回溯。
- 切分：按语义段落而非固定字数切块，表格单独成块，避免把一条规则拆成两半。
- 权限：继承源文件的访问控制，检索前先过滤，权限不足的片段不进入候选集。
- 去重：相似段落合并并保留来源列表，降低重复引用造成的误导。
查询阶段
- 改写：把口语问题改写为可检索的多个子查询，兼顾同义词与内部术语。
- 混合检索：向量召回与关键词召回并行，按业务配置融合排序。
- 重排：用小模型对候选片段重排，控制进入上下文的片段数量与总长度。
- 引用：回答必须携带片段编号与原文位置，找不到依据时明确拒答。
一个可用的知识库，标准不是「答得像」，而是「每条结论都能点回原文」。做不到这一点，就不应该让它面向客户。
04
运行与安全 / Runtime
离线环境也要能升级
| 能力 | 实现方式 | 客户可见的边界 |
|---|---|---|
| 网络隔离 | 支持完全离线部署，仅开放内部域名 | 升级通过离线包导入，不需要外网回连 |
| 身份与权限 | 对接企业身份源，角色映射到知识库与工具 | 权限变更在下一次登录生效，支持强制下线 |
| 日志与审计 | 记录调用输入输出、引用片段与操作者 | 日志留存周期可配置，支持导出与只读归档 |
| 内容安全 | 输入输出双向策略，支持自定义词表与模型审核 | 命中策略时阻断并提示，策略命中记录可查 |
| 容量与扩容 | 按并发与知识规模评估节点数，支持横向扩展 | 扩容需预留算力，具体规格随部署方案确认 |
| 备份与恢复 | 配置、编排与索引定期快照 | 恢复演练在交付阶段完成一次并留存记录 |
安全与合规的具体措施见 合规与安全 页面；涉及等保、密评等外部要求时，以第三方测评结论为准。
05
工程约束 / Constraints
我们主动放弃的三件事
放弃 02
不做不可解释的评分
涉及人员、供应商与客户的评分模型，必须给出影响因子与数据来源，否则不进入决策流程。
放弃 03
不做脱离流程的炫技
演示效果再好，如果没有明确的流程归属与验收人，鼎上娱乐不会建议上线。这类项目通常也活不过三个月。
技术沟通 / Review
让架构师看一遍你的现状
带上系统拓扑、数据分级与一个具体场景，我们会在 30 分钟内给出可行性与风险点，不涉及报价。