Автономность обычно продают как страшилку про блокировки. Нам ближе более скучная формулировка: любая система, которая перестаёт работать при обрыве внешнего канала, — это система, надёжность которой равна надёжности вашего провайдера. Дальше можно не рассуждать про геополитику, достаточно вспомнить, сколько раз за прошлый год у вас пропадал интернет.
Проверка вместо обещания
Автономность — это не свойство, которое можно заявить в презентации. Это результат теста: физически отключить внешний интерфейс и посмотреть, что осталось. Мы делаем этот тест на полигоне CIPHER, и ниже — покомпонентный результат, включая неприятные места.
Что продолжает работать полностью
- Языковая модель. Ollama держит веса локально, инференс идёт на видеокарте. Внешняя сеть при генерации ответа не нужна вообще.
- Поиск по базе знаний. Векторное хранилище Qdrant, эмбеддинги и переранжирование — всё локально. Ответы со ссылками на файл и раздел продолжают формироваться как обычно.
- Файловое хранилище и веб-интерфейс. Caddy отдаёт HTTPS с локальным удостоверяющим центром — сертификат не нужно продлевать через внешний сервис, а значит, нечему протухнуть в неудачный момент.
- Голосовой контур. Распознавание и синтез работают на той же карте, что и модель. Телефон обращается к серверу по локальной сети.
- Резервное копирование. Ежедневные снимки в 03:30 пишутся внутрь контура, на ZFS. Внешнее хранилище в этой схеме — опция, а не зависимость.
Что деградирует
Поиск свежих данных в интернете. Узел SearXNG перестаёт возвращать результаты — это ожидаемо, ему нужен внешний доступ. Система при этом не «падает»: она отвечает по внутренним документам и честно сообщает, что внешний источник недоступен. Разница между «не знаю» и «выдумал» здесь принципиальна.
Наша удалённая поддержка. Канал WireGuard до бюро при обрыве закрывается. Это значит, что оперативно помочь мы не сможем до восстановления связи или до выезда. Мы предпочитаем сказать это прямо, а не обнаружить вместе с заказчиком в неудачный день.
Что не работает по определению
Любые интеграции с внешними системами — почта наружу, обмен с контрагентами, внешние справочники. Тут никакой архитектурной хитрости нет: если данные лежат снаружи, без внешней сети их не будет.
Честная оговорка: правила сетевого экрана okb-firewall на текущий момент проверены локально, полноценный тест с другой машины ещё впереди. До того как это будет закрыто, мы не называем контур проверенным по внешнему периметру — только по внутреннему.
Почему это вообще спроектировано именно так
Не из идеологии. Локальная обработка и автономность — это одно и то же архитектурное решение, увиденное с двух сторон. Если ни один компонент не ходит наружу в обычной работе, то данные не утекают и система не зависит от канала. Одно свойство вытекает из другого, и получить их по отдельности сложнее, чем вместе.
Обратная сторона тоже есть: модель не обновляется сама, свежие внешние знания в неё не попадают, а актуальность базы знаний зависит от того, кладёте ли вы туда новые документы. Автономная система требует немного больше дисциплины, чем облачная. Это её честная цена.
