不完备、标注人员能力不够、标注错误等问题，不仅会影响模型算法准确度、 可靠性、有效性，还可能导致训练偏差、偏见歧视放大、泛化能力不足或输出 错误。 （d）数据泄露风险。人工智能研发应用过程中，因数据处理不当、非授 权访问、恶意攻击、诱导交互等问题，可能导致数据和个人信息泄露。 3.1.3 系统安全风险 （a）缺陷、后门被攻击利用风险。人工智能算法模型设计、训练和验证 的标准接口、特性库和工 （b）混淆事实、误导用户、绕过鉴权的风险。人工智能系统及输出内容 等未经标识，导致用户难以识别交互对象及生成内容来源是否为人工智能系统， 难以鉴别生成内容的真实性，影响用户判断，导致误解。同时，人工智能生成 图片、音频、视频等高仿真内容，可能绕过现有人脸识别、语音识别等身份认 证机制，导致认证鉴权失效。 （c）不当使用引发信息泄露风险。政府、企业等机构工作人员在业务工 作中不规范、不当使用人工智能服务，向大模型输入内部业务数据、工业信息， 定时间段公众主流意识，进而向用户推送程式化、定制化信息及服务，“信息茧房” 效应进一步加剧。 （b）用于开展认知战的风险。人工智能可被利用于制作传播虚假新闻、- 7 - 人工智能安全治理框架 图像、音频、视频等，宣扬恐怖主义、极端主义、有组织犯罪等内容，干涉他 国内政、社会制度及社会秩序，危害他国主权；通过社交机器人在网络空间抢 占话语权和议程设置权，左右公众价值观和思维认知。 3.2.4 伦理域安全风险

能力 赋能企业 数转智改 数学计算 语义理解 逻辑推理 语言翻译 文本创作 自动驾驶 具身智能 1 2 4 5 知识问答 代码编程 文本生成 多轮对话 图像生成 视频生成 音频生成 A I 数字人 生物制药 新材料研究 脑机接口 基础科学 能源自由 宇宙探索 生命科学 科学 能力 6 AI Fo r Science 知识管理（ 内部知识管理、 外部情报分析、 大数据分析、 专家经验模型（ 专业模型训练） 业务流程自动化（ A g e n t框架） 组织协同（ 工作流） 人机交互 赋能个人和 企业员工 生产力提升 多模态 能力 3 图片理解和处理 视频理解和处理 音频理解和处理 非结构化文档处理 47政企、创业者必读 DeepSeek能力很强大 个人使用绰绰有余 但要在政府、企业应用需要和场景结合  大模型要藏在产品后面  客户要的不是电动机，是「刮胡刀」「吹风机」 钢包挂钩挂实确认 • 中间包长水口区域 钢水裸露状态和渣 壳状态识别 • 铸胚编号识别 • 连铸漏钢及纵裂纹 预报 • 带材制品板坯号自 动识别 • 实时定位 • 转炉炼钢一次除尘 风机振幅故障分与 处理 • 连铸浇次计划优化 算法 • ·连铸过程多场耦 合 • 加热炉火焰识别 • 加热炉前字符识别自动核料 • 加热炉内字符识别自动核料 • 中厚板冷床钢板自动识别 & 排布 • 棒材板坯识別

165 9. 错误处理 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 170 9.1. 用 panic! 处理不可恢复的错误 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 171 9.2. 用 Result 处理可恢复的错误 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 253 12.3. 重构以改进模块化与错误处理 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

： 将源文件的 nlink 加一 创建目标文件的 dentry 删除源文件的 dentry 将源文件的 nlink 减一 而每一步骤都有可能出错，chubaofs 针对以上的 4 步骤中出现的错误处理如下： 步骤 1 出错，啥事都没发生 步骤 2 出错，等同于创建硬连接出错，恢复机制如下： 将源文件的 nlink 减一 步骤 3 出错，相当于创建了硬链接，但是没有删除源文件，此时源文件和目标文件同时存在，恢复机制如下： 对于这一步出错，没有恢复机制，与 unlink 操作失败一样的处理（因为 dentry 删除了，而 inode 却没被回收，会被当成孤儿节点去处理） 如果采用 chubaofs 的方案，需要考虑以下问题： 以上的恢复进制如果没执行成功怎么办？ 客户端存活的情况下，应该多尝试几次，直至成功 但是如果恢复机制尝试多次没成功，或者客户端挂掉、宕机该如何处理？ 步骤 1：忽略 步骤 2：只是给 nlink + + 1 了，这个 ，同步骤 4 恢复机制一样，当做孤儿节点来处理 等同于 unlink 操作时删除了 dentry 而 nlink 没减一的情况 步骤 3： ，就会同时存在 src、dst 的 dentry，相当于多了一个硬链接，Linux 和 POSIX 这一步出错 接口中表明这允许一段时间内存在，但是最终还是要原子性，所以这一步出错会导致和本地文件系统不一致的行为： Linux 接口定义允许

一台机器上能存放多少个inode和dentry 8.2 一台机器上建议的copyset数量 8.3 每个copyset建议管理存储容量的大小 1、背景 curvefs使用raft作为元数据一致性的保证。为了提高元数据的可扩展性和并发处理能力，采用元数据分片的方式管理inode和dentry的元数据。inode的分片依据是fsid + inodeid，dentry的分片依据是fsid + parentinodeid。借鉴curve块 创建dentry，去parent inodeid所在的meta partition进行创建就好了。 查找inode和partition的时候，通过inodeid去查询应该由哪个partition进行处理。inode是拿着inodeid查询，dentry是拿着parent的inode id去查询。© XXX Page 6 of 19 一个fs的meta partition使用第一个叫做MetaWrapper的结构体组织起来© 3、curvefs的copyset和fs的对应关系 curvefs的元数据的分片，需要考虑到在创建inode的时候，其实是不知道inodeid的，在创建完成之后，才有inodeid。inodeid的分配最好下放到各个分片去进行处理。否则整个集群的inode都去一个地方获取id会 造成巨大的锁开销，这个是不能接受的。 curve块设备的元数据管理，在分配数据的时候，offset一开始就是知道的，这是和curvefs分配很大的一个不同点。

CLIENT主要功能  提供接口  数据面：AioWrite/AioRead、Write/Read  控制面：Create/Delete、Open/Close、Rename等  IO处理：转换、拆分、合并  元数据获取及缓存  逻辑chunk与物理chunk映射关系  物理chunk所属的复制组(copyset)  复制组所在的chunkserver列表  复制组的leader信息 请求会被拆分成两个子请求：  ChunkIdx 1, off: 8M len 8M  ChunkIdx 2, off: 0 len 8MCLIENT IO流程 子请求由哪个chunkserver处理，依赖以 下信息：  逻辑chunk与物理chunk映射关系  物理chunk所属的复制组(copyset)  复制组所在的chunkserver列表  复制组的leader信息CLIENT 复制组的leader信息  复制组之间通过raft维护  通过CliClient向Chunkserver获取 这两种信息client也会进行缓存 上报心跳CLIENT IO流程 子请求处理步骤： 1. 从MDS获取逻辑chunk与物理chunk的 对应关系（包含逻辑池以及复制组信息） 2. 从MDS获取复制组所在的机器列表 3. 从Chunkserver获取复制组leader信息

Curve中MDS的选举过程 4.2 图示说明选举流程 4.2.1 正常流程 4.2.2 异常情况1：MDS1退出，可以正常处理 4.2.3 异常情况2：Etcd集群的leader发生重新选举，MDS1未受影响，可以正常处理 4.2.4 异常情况3：Etcd的leader发生重新选举，MDS1受到影响退出，不一定可以正常处理。 4.2.4.1 LeaseTIme < ElectionTime的情况 4.2.4.2 GetTimeout ElectionTime etcd集群leader失效，到重新选举出leader的耗时 ElectionTime > ElectionTimeout 4.2.2 异常情况1：MDS1退出，可以正常处理 MDS2收到leader/MDS1被删除的消息，Campaign成功，成为leader© XXX Page 20 of 30 2. mds2当选leader之后，同样与etcd server有三类交互： XXX Page 21 of 30 1. 2. 3. 1. 2. 1. 4.2.3 异常情况2：Etcd集群的leader发生重新选举，MDS1未受影响，可以正常处理 etcd集群异常，重新选举leader 但LeaseTime > ElectionTime 且 GetTimeout > ElectionTime 这种情况是常态，大概率情况ElectionT

11 背景 本地文件系统空间分配相关特性 局部性 延迟分配/Allocate-on-flush Inline file/data 空间分配 整体设计 空间分配流程 特殊情况 空间回收 小文件处理 并发问题 文件系统扩容 接口设计 RPC接口 空间分配器接口 背景 根据 ，文件系统基于当前的块进行实现，所以需要设计基于块的空间分配器，用于分配并存储文件数据。 CurveFS方案设计（总体设计，只实现了部分） ，需要从level2中，随机或者选择可用空间 最大的extent分配出去。 文件申请空间时，之前预分配块的剩余空间被其他文件占用。此时，首先从level1查找一个可用的块，不满足要求时，按情况1进行处理。 file1再次追加写入数据时，会附带32MiB来申请空间。此时，从level1中查找32MiB对应的块标记是否为0，如果为0，则将这个块继续分配给file1。否则，可以从level1中随机选择一个可用的块进行分配© 文件释放了一小段空间，则尝试与level2中的extent进行合并。 如果合并之后是一个完整的块，则重新将level1中对应的bit置为0，同时删除该extent。 如果不能合并，则向level2中插入一个新的extent。 小文件处理 大量小文件的情况下，按照上述的分配策略，会导致level1的bitmap标记全为1，同时level2中也会有很多extent。 所以可以参考chubaofs，对大小文件区分不同的分配逻辑。同时

string name; }; 4.3 内存组织 inode和dentry的关系需要在内存中通过某种方式组织起来。 还需要额外考虑一下的hard link, symlink，rename的处理。 fastcfs的inode和dentry没有分开，两者在同一个结构体里面。这种方式如何应对硬链接？ 看了下fastcfs的实现，在硬链接这里是有问题的。 考虑inode和dentry 久化的记录加载到内存里。实现把string转化为inode结构体，再插入内存结构中。 场景二：业务运行过程中，元数据的增删改查。 如果采用raft的方式对元数据持久化进行保证，所有元数据的处理都是先写WAL，再修改内存结构。那么任何对元数据的增删改查，对应着一条记录，根据记录去修改内存数据。 按照之前的讨论，curve文件系统的元数据管理采取先写log的方式。这里先不考虑log的组成形式。 的时候对元数据持久化。 对业务逻辑进行进一步抽象，忽略业务细节，会发现，元数据的内存管理需要提供这些功能。收到一条record，解析record，然后根据不同的opcode在内存对元数据进行处理。 伪码如下：© XXX Page 8 of 24 while (stop) { get and parse a record -> record switch (record->opcode)

/main open("in.txt", O_RDONLY|O_PATH) = 3 open flags 实现方式 cephfs处理方式是用Fh的结构体保存文件打开的状态和上下文信息，并不该Fh保存在Inode中，在后续读写等操作中依据该状态进行处理。 // cephfs Inode Fh.flags(cephfsFh struct Inode : RefCountedObject { &perms); ~Fh();© XXX Page 12 of 23 void get() { ++_ref; } int put() { return --_ref; } }; FastCFS处理方式是自定义FileInfo保存文件打开的状态信息，在create()、open()、opendir()操作时填充进 fuse_file_info结构中，在后续操作中直接使用： struct fuse_file_info 实现：direct_io功能实现由VFS层提供，fuse也进行了支持，用户态文件系统要支持该flag需要在open中对flag进行解析，填充进fuse_file_info→direct_io，通过 返回给内核处理。 fuse_reply_open(req, fi) // curvefs void curve_ll_open(fuse_req_t req, fuse_ino_t ino, struct fuse_file_info