项目业务与应用场景
员工直接使用不同模型平台会造成账号、预算、数据边界和工具能力分散；模型供应商的额度、超时与协议差异也会直接暴露给业务端。
03MODEL OPERATIONS
企业 AI 桌面端与统一模型服务（中保网盾 Harness）
企业成员通过统一桌面工作台访问受管模型、调用本地工具和操作工作区，管理员集中管理模型权限、预算与供应商账号池。
TypeScriptElectronNode.jsLiteLLMPythonFastAPIPostgreSQLSSEOpenAI-compatible API
一个桌面入口完成 AI 工作
企业账号、受管模型、流式对话、本地工具、终端、图片输入与工作区集中在同一客户端。
模型使用可授权、可核算
管理员按用户和模型统一管理可用范围、预算与用量，员工无需各自维护供应商账号。
故障类型决定处理方式
账号额度耗尽、限流、超时与响应中断分别处理，让使用者知道哪些请求可以重路由、哪些需要重试。
BUSINESS FLOW
核心业务链路
从用户进入系统开始，查看业务数据如何经过各环节并形成最终结果。
SYSTEM NODE 01
桌面工作台
承载会话、工作区、工具、终端和文件输入，并绑定企业账号与设备。
ENGINEERING DECISIONS
难题如何变成系统能力
从业务约束出发，说明机制为什么成立、边界在哪里。
动态模型目录与权限
- 难题
- 客户端固化模型列表会导致权限变化与实际可用能力不一致。
- 机制
- 服务端结合用户、设备、模型白名单与预算下发动态目录，网关再次验证请求权限。
- 结果
- 客户端只展示受管能力，访问边界由服务端持续执行。
账号池的额度冷却
- 难题
- 将额度耗尽与普通限流视为同一种故障会反复命中不可用账号。
- 机制
- 识别额度耗尽的首个 429，将对应账号临时冷却 5 小时；普通限流与超时使用各自容错策略。
- 结果
- 请求开始响应前可选择健康节点，冷却到期后账号重新进入候选池。
承认流式响应的恢复边界
- 难题
- 上游在已经输出部分内容后中断，重新发起请求不代表能无损接续同一响应。
- 机制
- 区分响应前失败与响应中断；前者可以重路由，后者显式报告中断并由用户发起重试。
- 结果
- 展示真实可解释的容错边界，不承诺任意流式中断都能无缝续接。
工具协议兼容与用量追踪
- 难题
- 不同模型的工具参数格式存在差异，宽松修复可能改变动作含义。
- 机制
- 仅在结构闭合证据充分时修复截断 JSON，歧义参数继续拒绝；按用户 × 模型统计 Token、请求、成功率与费用。
- 结果
- 协议兼容不绕过参数安全校验，平台同时保留使用记录。
展开补充设计与约束
- 额度耗尽的首个 429 触发 5 小时临时冷却，普通限流和超时沿用原容错策略，避免误伤可恢复节点。
- 模型目录与权限由服务端动态下发，客户端不固化供应商和模型能力。
- 消息正文、摘要与内部路径在协议边界上分离，客户端只获得完成交互所需的信息。
PRODUCT EVIDENCE
界面与业务过程
中文内容 · 模拟数据
以下素材均为业务演示，分别注明界面参考或浏览器截图来源。所有任务、账号、设备与运行数值均为模拟内容，用于解释产品与技术机制，不作为生产指标或真实执行记录。
CAPABILITIES & BOUNDARIES
能力范围与设计边界
以下描述既有项目的能力与约束，不把浏览器模拟运行结果计为生产实测。
01额度耗尽节点冷却 5 小时
02用户 × 模型维度统计 Token、请求、成功率与费用
03模型权限、设备与预算集中治理