Възстановяването след отказ като първокласен инженерен проблем: Как да изградим системи с AI агенти, които се деградират грациозно, вместо катастрофално

Многоагентните внедрявания в предприятия се провалят по предвидим модел. Едно извикване на инструмент връща неочакван код за състояние, изтича време на API надолу по веригата или е отказано разрешение за файлова система и оркестраторът, без структуриран модел за това какво всъщност означава този неуспех, незабавно ескалира до пълно рестартиране на конвейера. Цялата графа на задачите се изхвърля, контекстът се реконструира от нулата и разходите за токени се умножават пропорционално на сложността на работния процес. Това не е проблем с възможностите на модела. Това е архитектурен проблем, коренящ се в липсата на официална таксономия на неуспехите и многостепенна архитектура за възстановяване, проектирана преди агентите да достигнат до производствена среда. Цената на този пропуск се мащабира директно с броя на инструментите, API и среди, които обхваща един агент.

Допълнителна част към по-широката ни работа върху архитектурата на производствените агенти. Вижте „AI агентите се нуждаят от идентичност, разрешения и одитни следи: Инженерната архитектура, която повечето екипи липсват“ за това как идентичността на агента, моделите за предоставяне на най-малко привилегии и дизайнът на одитната следа взаимодействат с границите на възстановяване, обсъдени тук.

Цената на едрозърнестата регенерация

Когато възстановяването се третира като двоично решение, или да се повтори същото действие, или да се препланира цялата задача, системата неправилно разпределя най-скъпия си ресурс: LLM извод. Пълното глобално препланиране изисква оркестраторът да реконструира контекста на задачата, да преоцени предварителните условия и да преиздаде инструкции на всички агенти надолу по веригата, независимо колко от тях не са били засегнати от първоначалния отказ. В многоагентни системи, обхващащи пет или повече инструмента, това означава, че отказ в един листов възел задейства изчисления, пропорционални на целия граф. Изследванията върху йерархичното препланиране в междуустройствени агентни системи потвърждават, че този модел е доминиращата неефективност в съществуващите многоустройствени архитектури, където системите или повторно опитват същата неуспешна стратегия, или ескалират незабавно до глобална ревизия, без първо да проучат локалното стратегическо пространство (Yao et al., arXiv 2026). Търговското значение е директно: цената на токена за успешно завършване на задача нараства нелинейно с увеличаване на дълбочината на конвейера, а икономиката на разполагането на агенти се влошава точно когато работните потоци стават по-ценни.

Защо таксономията на неуспехите е преди архитектурата на възстановяването

Архитектурата за възстановяване може да бъде толкова прецизна, колкото е прецизна системата за класификация на повреди, върху която работи. Без формална таксономия, всеки повреди изглежда като планиран повреди и системата по подразбиране използва най-скъпия наличен отговор. Минимално жизнеспособната таксономия за производствена многоагентна система разграничава три категории: временни повреди при изпълнение, които могат да бъдат възстановени в рамките на текущия агент, използвайки алтернативна стратегия; структурни повреди на подзадачи, които изискват преназначаване или препланиране на ниво оркестратор, но не правят глобалната задача невалидна; и системни повреди на задачи, които показват, че целевото състояние е недостижимо предвид текущата среда и изискват или човешка ескалация, или прекратяване на задачата. Тези категории не са просто концептуални. Всяка от тях се свързва с различно действие за възстановяване, различен бюджет за латентност и различен профил на разходите. Смесването им, както правят повечето съвременни системи, означава, че временните повреди рутинно задействат изчисления на ниво оркестратор, които не служат за диагностична цел.

Възстановяване на локална стратегия на ниво агент

Първото ниво на възстановяване работи изцяло в рамките на един агент и не включва оркестратора. Неговата функция е да изчерпи локалното стратегическо пространство, преди да се появи повреда. На практика това означава, че всеки агент трябва да бъде оборудван с множество пътища за изпълнение за едно и също логическо действие. Операция за извличане на файл може да се опита чрез REST API, след това чрез CLI команда и накрая чрез изтегляне, базирано на браузър. Агентът поддържа подреден регистър на стратегиите и преминава през него при повреда, като всеки опит се регистрира в структуриран запис за повреда. Този дизайн е директно аналогичен на архитектурата на изпълнение, описана в H-RePlan, където всяко устройство поддържа взаимозаменяеми стратегии за изпълнение на API, CLI и GUI, а повредите задействат превключване на стратегии в рамките на устройството, преди да се излъчи какъвто и да е междуустройствен сигнал (Yao et al., arXiv 2026). Необходимата инженерна дисциплина не е сложна, но изисква изрична предварителна работа: регистрите на стратегиите трябва да бъдат дефинирани за всеки агент, за всеки тип действие и за всяка среда, преди внедряването, а не импровизирани по време на реакция при инцидент.

Граници на препланирането между агенти

Когато изчерпването на локалната стратегия не успее да разреши повреда, сигналът трябва да премине границата на агента, но обхватът на препланирането все още трябва да бъде ограничен. Оркестраторът трябва да определи дали повредата засяга само подзадачата, присвоена на неуспешния агент, или дали обезсилва зависимостите, държани от други агенти в графа. Това изисква междуслойна абстракция на повредата: компактно, структурирано представяне на повредата, което носи достатъчно информация, за да може оркестраторът да оцени обхвата, без да реконструира пълния контекст на задачата. Записът за повредата трябва да кодира идентификатора на агента, типа действие, опитаните стратегии, класа на грешката и зависимостите надолу по веригата на засегнатата подзадача. С тази информация оркестраторът може да ограничи препланирането до засегнатия подграф, вместо да издава глобална ревизия. Практическият ефект е, че по-голямата част от реалните повреди, които са с локален обхват, се разрешават на цена, пропорционална на подзадачата, а не на целия конвейер.

Държавна цялост при частичен провал

Частичното препланиране въвежда проблем със съгласуваността на състоянието, който е различен от самия неуспех. Когато една подзадача се препланира, докато други продължават да се изпълняват, състоянието на споделената задача може да стане вътрешно непоследователно: фактите, записани от неуспешния агент, може да са остарели, резултатите от извикванията на инструменти може да препращат към ресурси, които вече не съществуват, а ограниченията на политиките могат да бъдат оценени спрямо остаряло състояние. Това е точно режимът на неуспех, който имплицитното управление на състоянието, базирано на подкани, не може надеждно да обработи. Изследванията върху структурираното управление на състоянието в агенти, извикващи инструменти, показват, че разделянето на състоянието на задачата в изричен регистър, вместо да се остави вграден в контекста на подканите, позволява зависимите от състоянието ограничения на политиките да бъдат проверени спрямо текуща, а не спрямо реконструирана информация и намалява честотата на синтактично валидни, но семантично неправилни извиквания на инструменти (Uddin et al., arXiv 2026). В контекста на частично препланиране, изричният регистър на състоянието също така осигурява ясна граница: оркестраторът може да анулира и преизчисли само записите за състояние, притежавани от засегнатата подзадача, вместо да третира целия контекстен прозорец като подозрителен.

Разграничаване на възстановими грешки от системни неуспехи на задачи

Границата между структурен неуспех на подзадача и системен неуспех на задача е точката на вземане на решение с най-високи оперативни последици. Погрешното класифициране на системен неуспех като възстановим кара системата да изчерпи бюджетите за повторен опит, да натрупа разходи за извод и потенциално да причини странични ефекти надолу по веригата чрез повтарящи се неуспешни извиквания на инструменти преди ескалация. Класификацията зависи от два сигнала: дали неуспехът е специфичен за средата или за целта и дали някоя алтернативна стратегия или присвояване на подзадача би могла правдоподобно да доведе до различен резултат. Ограничението на API скоростта е специфично за средата и е ограничено във времето; същото действие ще бъде успешно след забавяне. Отказът на разрешение за ресурс, който се изисква от дефиницията на задачата, е специфичен за целта; никакво количество вариации в стратегията няма да промени резултата без промяна в предварителните условия на задачата. Инженерните екипи трябва да кодират тези разграничения като изрични правила в слоя за класификация на неуспехите, а не като имплицитни LLM решения, направени по време на извода, тъй като цената на погрешното класифициране е асиметрична: недостатъчната ескалация обикновено е по-скъпа от свръхескалацията.

Задължително определяне на архитектурата преди производството

Архитектурата за възстановяване след отказ трябва да бъде специфицирана като първокласен продукт във фазата на проектиране на агентната система, а не да бъде преоборудвана след първия производствен инцидент. Това означава, че техническата спецификация за всяко многоагентно внедряване трябва да включва официална таксономия на отказите с поне три нива, регистър на стратегии за всеки агент за всеки тип действие, схема за абстракция на откази между слоевете, изричен регистър на състоянията или еквивалентен механизъм за проследяване на състоянието на задачите при събития на частично препланиране и дефинирани прагове за ескалация за системен отказ на задачи. Това не са опционални подобрения. Без тях поведението на системата при отказ е неопределено, а неопределеното поведение в производствените работни потоци, които засягат финансови записи, данни за клиенти или регулирани процеси, носи регулаторен риск в допълнение към оперативните разходи. Главните директори по изкуствен интелект, които понастоящем одобряват внедряването на агенти без документирана архитектура за възстановяване, поемат отговорност, която няма да остане теоретична за дълго.