企业官网建设流程全解析

最近社区里聊 DeepSeek 部署、DeepSeek-Harness、codex/claude code 接 DeepSeek 的帖子非常多。大家日常模型跑得倒是顺，但真到大规模智能体训练，问题就全冒出来了：任务一多，环境乱成一锅粥；GPU 利用率忽高忽低；跑出来的结果换个机器就没法复现。这就是 DSec（DeepSeek Elastic Compute，DeepSeek 弹性计算）这套设施想解决的场景。它不是又一个模型仓库，也不是通用的容器编排平台，而是专门面向大规模智能体训练的沙箱基础设施，把环境隔离、弹性调度、任务审计、成本控制这几件事一次性收拢到一个系统里。

这篇文章适合正在做多智能体强化学习、大批量 Agent 评测、或者规模化数据生成任务的人。如果你只是单机玩模型，看完可以当路线图；如果你已经开始用 DeepSeek-Harness、vLLM 这类工具批量跑任务，那这篇文章里的方案基本可以直接抄作业。我会把设计思路、关键参数、实操步骤、踩坑记录都摊开来讲。

1. 先讲清楚：大规模智能体训练为什么必须上沙箱

1.1 环境冲突与资源碎片：训练任务"单机能跑、多机乱套"的真相

先说说我为什么从一开始就认定"沙箱设施"这件事绕不开。无论是多智能体对抗训练、Agent 评测，还是爬取式数据合成，本质都是同一类模式：把一个任务模板复制成成百上千个实例，每个实例跑独立的逻辑，最后汇聚结果。听起来简单，真做起来就三座大山。

第一座是环境冲突。Agent 任务和普通训练任务不一样，它极度依赖外部工具包、浏览器内核、命令行工具链，每个任务可能要装不同的依赖版本。今天跑一个网页检索类 Agent，需要 Playwright 某个特定版本；明天跑一个代码生成类 Agent，又要 Python 3.9 的老环境。如果不隔离，这类任务在物理机上并行跑二十个，包管理器就开始互相覆盖。那种排查"为什么昨天能跑今天不能"的酸爽，经历过的人都懂。

第二座是资源碎片。单个 Agent 推理任务可能只需要一小块 GPU 显存，但任务数量是动态的。高峰期几百个任务涌入，低谷期几乎闲置。如果你固定分配物理机资源，要么撑不住峰值，要么平时浪费一大半算力。更头疼的是显存碎片：负载一波动，剩余显存东一块西一块，新任务反而调度不进去。这就是典型的"资源看着很多，但用不上"。

第三座是结果不可复现。智能体任务天然有随机性，模型采样、环境反馈、外部服务响应都会影响最终输出。一旦跑挂了要回滚，或者结果不对要追溯，你需要的是一整套"当时到底用了什么镜像、什么代码版本、什么参数、什么环境变量"的完整快照。手动记录是不现实的，只有沙箱基础设施能在任务启动前把整份环境固化成可寻址的快照，并在任务结束后完整归档。

1.2 沙箱方案取舍：为什么容器和虚拟机都不够用

既然要隔离环境，那直接上容器、虚拟机行不行？单说隔离，行；放到大规模智能体训练场景里，两个都差口气。

虚拟机隔离最彻底，但代价是启动慢。智能体训练任务普遍短小，一个评测任务可能就几分钟，你总不能每次等 40 秒冷启动一台 VM，跑完再销毁。而且虚拟机本身的资源开销太高，CPU、内存、存储，全都得乘一个系数，账上不划算。

普通容器快是快，但隔离边界太粗。默认 docker 容器共享宿主机内核，如果任务里要跑内核级调用，或者不同任务之间有隐蔽的共享状态残留，还是会出问题。更关键的是，普通容器方案通常不感知 GPU 资源，你必须自己在容器之外做显存分配和排队，这等于把最精细的调度工作丢了。

DSec 的做法是把容器当作执行单元，但套一层沙箱策略：每个任务有独立的 PID/网络/挂载命名空间，根文件系统默认只读，可写层随任务销毁。镜像负责环境固化，沙箱策略负责行为边界，调度器负责资源分配。容器提供性能密度，沙箱层提供安全边界，两者合起来才满足智能体训练的需求。

提示：说白了，沙箱在这里是一只"无菌操作台"。任务在里面怎么折腾都影响不到外面，外面也看不到里面的内部状态，做完实验台一清，下个任务继续用。

1.3 DSec 的整体定位：面向 DeepSeek 生态的垂直训练设施

在社区里，大家通常把这一类设施简称为 DSec，即 DeepSeek Elastic Compute。它不是通用的云平台，而是围绕 DeepSeek 模型和生态工具链（Harness、第三方 API 客户端等）搭建的训练专用层。我们更关心的是这三件事：

• 把"模型推理服务"和"Agent 任务执行"两种负载放到同一个调度平面里，谁要算力就给谁，用完了立刻回收。
• 让 DeepSeek 服务、评测脚本、训练循环、环境依赖都以沙箱镜像的形式被描述和版本化。
• 提供统一的任务入口和审计日志，让"谁在什么环境里跑了什么任务、花了多少钱"有据可查。

把这三件事做扎实，大规模智能体训练才真正可控。下面我会从弹性计算、沙箱隔离、实操搭建、问题排查、成本优化这五个维度逐一展开。

2. 弹性计算不是魔法：调度与任务编排设计

在讲调度之前，有个更基础的问题：你要调度的"任务"到底是什么。智能体训练里，负载不是铁板一块，至少分三类： rollout 推理、评测任务、权重训练（或微调）。每类的资源画像完全不同。

2.1 工作负载切分：不同任务类型要有不同的资源模型

rollout 任务，也就是让 Agent 和环境交互、走一圈推理生成轨迹，它是典型的"高频短请求"。大量并发请求打到模型服务上，每个请求的响应长度差异很大，导致 Token 吞吐波动剧烈。这类任务最需要的是推理服务的弹性，而不是沙箱本身的扩展能力。

评测任务正好反过来：它们会大量调用工具、访问环境、执行代码，CPU 和内存压力比 GPU 大，而且单个任务生命周期长，中途可能长时间无输出。这类任务跑在沙箱里的时间最长，也是环境冲突最容易爆发的地方。

权重训练/微调任务又是另一种逻辑：长时间持续占满 GPU，显存需求大，且对故障极其敏感，中途断掉代价很高。调度系统需要给它们预留资源，避免被其他短任务抢占。

DSec 对三类负载采取不同的弹性策略：推理服务走无状态水平扩缩容，评测任务走沙箱配额队列，训练任务则用独占节点池保障。

2.2 弹性扩缩容的关键：队列、优先级与显存预算

弹性扩缩容的核心其实不是"能加多少机器"，而是"缩得快、扩得准"。扩得不准，任务排队时间就长；缩得不够快，空闲机器继续烧钱。我在项目里用的策略是三层结构：任务队列、资源预算、实例池。

任务队列负责吸收突发流量。队列深度是一个非常重要的指标，它告诉我们 backlog 是堆积还是消化掉了。资源预算则为每个项目组设定上限，防止某个任务组把集群吃干抹净。实例池则控制实际的计算资源水位：当队列深度超过阈值 X，就扩容 X 个沙箱实例；当队列为空且实例池利用率低于 Y%，就开始回收实例。这套逻辑并不复杂，但它能保证"波峰不积压、波谷不浪费"。

具体到 GPU 显存，预算要用"显存总量"而不是"卡数量"来建模。因为 DeepSeek 这类模型即使量化后也很大，一张卡装不下就得上张量并行，显存碎片会导致"有卡但装不下模型"。DSec 的分配单元建议做成显存块（比如 16GB 或 24GB 为粒度），调度时按块记账。这一点在后面部署 vLLM 部分会再展开。

2.3 调度策略选型：Bin Packing、Spread 与抢占的实际权衡

调度策略没有银弹，只有取舍。我做第一版时用了最简单的 Bin Packing，也就是把任务尽可能塞到少数节点上，想着能省物理机资源。结果显存碎片立刻教做人：不同任务显存需求参差不齐，塞满了又塞不下新任务，碎片化严重。后来改成按 GPU 显存块做启发式匹配，先满足大显存需求，再用小任务填补空隙，碎片率才明显降下来。

Bin Packing 之外还有 Spread 策略，即把任务均匀打散到多个节点，好处是单节点故障影响面小，坏处是资源利用率整体下降。我们的取舍是：短任务（评测类）走 Bin Packing，长任务（训练类）单独占节点。前者追求吞吐，后者追求稳定性。

再说抢占。智能体训练里，线上紧急评测任务排队时，你不可能让它在后面干等半小时。所以调度器必须支持优先级抢占：低优先级任务挂起、腾出资源，让高优先级任务先跑。但抢占的前提是沙箱支持"快照-恢复"，不然低优先级任务跑了一半被杀，浪费的资源比让高优先级任务等一会儿还多。

2.4 模型服务层弹性：vLLM 实例扩缩容的显存参数

token 吞吐的弹性扩张，是靠模型服务实例池来支撑的。vLLM 是目前社区用的最多的推理服务框架，它最大的价值不是跑得快，而是显存管理精细，能把 KV Cache 利用到极致。部署时几个关键参数值得记一下：

vllm serve deepseek-ai/DeepSeek-V3 \ --port 8000 \ --tensor-parallel-size 4 \ --gpu-memory-utilization 0.9 \ --max-model-len 32768 \ --served-model-name deepseek-v3 \ --api-key sk-dsec-local \ --trust-remote-code

其中--gpu-memory-utilization控制显存分配比例，设 0.9 是给后续 VMM 等边际开销留余量；--max-model-len直接影响显存占用和单卡吞吐，别贪大，Agent 任务通常 16K 以内就够用。还有一点：滚出请求和评测任务的并发模型不同，即使同一个模型，也建议跑两个实例池，一个配大并发短超时，一个配小并发长超时。

这些配置看起来都是模型服务层的，但它们和弹性调度高度联动。调度器需要知道当前每个模型实例的负载和剩余容量，才能决定沙箱任务往哪个实例送。

3. 沙箱隔离的四个边界：从镜像到网络，每层都要堵住

3.1 进程与文件系统隔离：只读根文件系统 + 可写层

沙箱的第一道边界是进程和文件系统。在 DSec 中，每个智能体任务跑在一个独立容器里，但默认配置是 rootfs 只读。这意味着任务里的 Agent 无论如何折腾文件系统，都不可能改动基础镜像。只有一块临时可写层用于运行时缓存和临时文件，任务结束后随容器销毁。

可写层存在内存盘上会更稳。否则智能体任务跑到一半频繁写磁盘，一来拖慢 I/O，二来容易污染宿主机。我们把可写层挂到 tmpfs，既快又能保证任务结束彻底干净。

进程隔离上要特别注意 PID namespace 之外还有一层隐患：子进程回收。智能体任务经常拉起浏览器、shell、子脚本，任务结束信号下发后，子进程不一定跟着退出，会成为孤儿进程继续占资源。建议沙箱内配置一个 PID 1 代理，专门回收孤儿进程，并在任务超时后向整个进程组发送 SIGKILL。这个细节不做好的话，跑两三天集群里全是僵尸进程。

3.2 网络沙箱：出站白名单与内网服务发现

智能体任务需要联网去查 API、开网页、发请求，但不能让它们无限制访问任意地址。最实用的方案是出站白名单：任务默认禁网，只放行预配置的域名和端口。比如评测类任务需要访问某个评测数据集地址，就在任务配置里显式声明。

网络边界还有一层麻烦：任务之间需要通信，但彼此又不能完全可见。DSec 内部用一个服务发现组件统一管理，任务之间相互调用走固定域名，并由沙箱层做权限校验。这样既保证任务协作，又不至于出现"一个任务把另一个任务的模型服务地址搞到手之后做奇怪操作"的情况。

3.3 GPU 与存储隔离：显存配额、速率限制与临时目录回收

GPU 沙箱往往是最容易被低估的一层。先上结论：别只靠nvidia-smi肉眼盯显存，要用 MIG 或者显存分配器做硬配额。我给每个沙箱任务分配固定的显存额度，超过直接 OOM，而不是放任任务去争抢设备显存。

推理带宽也要限速。多个任务同时频繁调用模型服务时，网络 I/O 和显存带宽可能被打满，影响所有任务。最粗暴但有效的做法是：模型服务层做并发控制和限流，沙箱层做 CPU 配额（CPU quota）和内存配额。注意，CPU 配额不要用--cpus=4这种绝对粒度，配合 cgroup 的 quota/period 参数去限制，能做到更精细的公平调度。

存储方面，上面提过可写层用 tmpfs，但任务涉及的临时目录也要体系化回收。建议在任务结束时统一执行强制清扫，别依赖 Agent 自己清理。

3.4 Agent 失控防御：步数上限与密钥最小权限

智能体训练里最让人头秃的是 Agent 失控：循环执行、不断调 API、疯狂写入、甚至删数据。沙箱基础设施必须把这批情况兜住。首先是硬性步数上限，每个 Agent 任务限制最大推理步数，超过直接终止并把轨迹归档。这个参数直接放在任务配置里，属于不可协商的强制项。其次是密钥注入。沙箱内的 API Key 必须只给任务必要的那一把，而且是运行时动态注入、任务结束即销毁，不能把常用的一串 key 平铺在镜像里。

再往深一点说，Agent 的执行日志和建议行为审计是必须的。DSec 会把任务的每条工具调用、每笔请求、耗时和结果都记录到统一日志中心。出现异常时，你不需要猜测，直接检索对应的 trace 就能定位。这套审计机制在规模化之后的价值，甚至高于隔离本身。

4. 实操搭建：从模型服务到沙箱工作负载的完整落地

讲了这么多设计，下面说落地。这一节我按"模型服务层-沙箱任务层-入口网关层"的顺序讲，也是实际部署时建议的顺序。

4.1 模型服务接入：vLLM 部署 DeepSeek 的关键参数与显存估算

模型服务层是整个设施算力的源头。以 DeepSeek 开源权重为例，先算显存账。主要显存消耗有三块：模型权重、KV Cache、推理中间激活。假设卡是 80GB 的 A100/H100，4 卡张量并行跑 DeepSeek-V3 这类模型，权重组约几十 GB，剩下的大头都留给 KV Cache。--gpu-memory-utilization 0.9的意思是给框架最多 90% 卡上显存，其余留系统余量。

部署时我给两个实测建议。第一，--max-model-len不要按最大能力配，按实际任务的 95 分位长度配。比如 Agent 任务普遍生成 4K~8K，那就配 8192 或者 16384。配得越大，KV Cache 占的越多，有效并发越少。第二，--tensor-parallel-size和沙箱任务数量要联动调。如果单任务并发本就不高，没必要拆 4 卡张量并行，2 卡跑两个实例池反而调度更灵活。

模型服务起来后用 curl 简单自测：

curl http://127.0.0.1:8000/v1/chat/completions \ -H "Authorization: Bearer sk-dsec-local" \ -H "Content-Type: application/json" \ -d '{ "model": "deepseek-v3", "messages": [{"role": "user", "content": "Hello"}], "max_tokens": 256 }'

这个接口稳定之后，再交给上层的任务执行沙箱调用。

4.2 Agent 任务接入：DeepSeek-Harness 安装与沙箱任务配置

社区里常说的 DeepSeek-Harness，干的活是 Agent 任务的编排和评测：定义任务、管理工具调用、采集结果。它的定位是"任务逻辑层"，和你自己的沙箱基础设施是互补关系。

安装 Harness 时要注意，它依赖比较厚，建议用独立的 Python 3.10+ 虚拟环境，不要直接丢进系统 Python。曾经遇到的"商店版 PowerShell 报错"就是典型的 Windows 环境兼容问题，如果你把 Harness 跑在 Windows 上，优先用原生 PowerShell 7 并且检查执行策略，或者干脆在沙箱容器里跑 Linux 版本，省掉一堆兼容坑。

安装完成后，沙箱任务配置可以写成这样一份 YAML：

task: name: agent-codegen-eval-001 image: dsec-agent-python3.11-playwright:latest replicas: 64 resources: cpu: 4 memory: 8Gi gpu: 0 sandbox: readonly_rootfs: true writable_layer: tmpfs network: egress-whitelist max_steps: 300 queue: eval-priority env: MODEL_ENDPOINT: http://llm-gateway:8000/v1 EVAL_TIMEOUT: 300

这里有几个字段值得解释。replicas: 64是一次性拉起 64 个任务实例，调度器负责把它们分到不同节点；readonly_rootfs: true就是上面说的只读根文件系统；max_steps: 300是 Agent 的最大步数；env.MODEL_ENDPOINT指向的是内部的统一网关地址，而不是某个具体的实例地址，这是为了让调度器有迁移弹性。

提一句插件机制。Harness 的插件系统非常实用，比如提示词优化插件、工具调用回退处理等，都有社区版本。插件尽量打成单独镜像层，这样升级插件时不用重新构建整个基础镜像，也方便回退版本。我见过很多人往里堆插件，装了半天发现版本冲突，最后整个环境推倒重来——这就是没有把插件当成独立镜像层管理的结果。

4.3 统一 API 网关：多模型路由、限流与客户端接入

大型训练设施的入口不会是模型直连，而是一个网关。网关负责三件事：鉴权、路由、限流。鉴权解决"谁能调 DeepSeek 服务"；路由解决"同一个请求走向那个实例池"；限流解决"某个任务组把资源打爆"。

网关配置示意如下：

curl http://llm-gateway:8000/v1/chat/completions \ -H "Authorization: Bearer sk-dsec-project-a-001" \ -d '{ "model": "deepseek-v3", "messages": [{"role": "user", "content": "write a python function to sort list"}] }'

这里的 model 字段可以映射到不同后端。比如deepseek-v3指向自建 vLLM 实例池，qwen32b指向另一个模型实例池，glm指向第三方 API。这样做的好处是上层智能体任务代码完全不用感知模型后端的变化，运维侧路由配置一改，下层全切换。

目前社区里很多人用 codex 或者 claude code 这类工具去连接模型，本质也都是指向一个 OpenAI 兼容的 API 地址。你在网关层做好鉴权后，这些客户端基本不用改代码，只需把 base_url 指过来、填上发放的 api key 就能接进来。如果客户端太多，可以在网关按项目组下发独立 key，并在 key 上绑定模型白名单和限额。

5. 大规模跑训练，我踩过的坑和排查实录

这部分都是真金白银换来的。直接做成速查表，方便你踩坑时快速对照。

5.1 常见故障速查表

以上每一条我都在不同项目里真实遇到过。最隐蔽的是"任务结束后显存没释放"——不是容器 OOM，而是 Agent 拉起的浏览器子进程成了孤儿，继续占着 CUDA context。排查时先用nvidia-smi看占用进程和 PID，再对应到具体任务镜像，杀进程往往比重启节点更有效。建议在沙箱生命周期管理里内置一个"残留进程巡检"动作，任务退出时自动扫描进程组。

5.2 实测复盘：大批量评测任务排队的三个典型案例

第一个案例：1000 个评测任务一次性涌入，队列长度瞬间拉满。第一版调度器按 CPU 负载扩容，结果发现评测任务里真正吃 CPU 的是推理阶段，但推理都在模型服务层，沙箱节点 CPU 反而不高，导致扩容逻辑迟迟不触发。后来把扩容信号从"CPU 利用率"改成"队列深度 + 平均任务等待时长"，才真正解决。这个案例也侧面验证了：扩容信号必须和瓶颈层对齐，不能只看节点监控。

第二个案例：某个 Agent 任务设计不佳，每步推理后都触发一次长时间工具调用，导致任务长时间挂起。当时以为网络有问题，翻日志才发现是工具调用不带超时。修复方案不是改代码，而是在沙箱任务配置里给"工具调用最大时长"设了硬限制。很多问题其实不是基础设施的坑，而是任务定义本身缺约束，沙箱层把这些约束补上了而已。

第三个案例：两个项目组抢 GPU。A 组跑短评测任务，B 组跑长训练任务，默认公平调度下两边互不相让。后来是按"短任务高优先级 + 可抢占，长任务低优先级 + 不可抢占"的混合策略做的。具体做法是：短任务的沙箱实例可以被挂起，但 B 组任务增加"恢复后从检查点继续跑"的语义。这样 A 组总是能较快拿到资源，B 组也不会因为一次抢占就前功尽弃。

5.3 排查心法：别先看代码，先看日志和资源栈

做过大量分布式调优后，我的排查顺序已经固定成一条流水线：任务日志 -> 沙箱生命周期 -> 资源栈 -> 代码逻辑。遇到问题不要上来就改代码，先把任务这次运行的完整日志调出来，看是在哪个阶段失败；再看沙箱生命周期时间线，启动花了多久、有没有重试；然后看资源栈，节点当时的 CPU、显存、网络 IO；最后才是代码逻辑排查。

很多所谓"玄学问题"，比如"昨天能跑今天不能跑"，通常都是镜像或依赖被悄悄变更了。DSec 的任务审计日志里，每次运行都会记录镜像 digest，而不是镜像名。镜像 tag 可以变，digest 是内容哈希，底层环境变了它会直接体现出来。用好这一层信息，环境类问题的排查时间可以从小时级降到分钟级。

6. 稳定性与成本优化：让 DSec 真正能持久跑

6.1 队列与优先级策略：让训练任务"插队不打架"

队列设计是稳定性的第一道防线。我用的配置是：每个项目组有独立的任务队列，队列间按优先级抢占，队列内先到先得。项目组内部又区分交互式任务和批处理任务。交互式任务（比如人工在 Web UI 上触发的一个评测）需要短延迟；批处理任务可以忍受排队。

关键参数是"队列深度告警阈值"和"最大等待时间"。某项目组任务平均等待时间超过 30 分钟，就自动发告警并把该队列的优先级降级，避免低价值任务长期霸占算力。实际跑下来，这套策略能极大地减少"大家都在排队，谁也别想跑"的僵局。

6.2 成本控制三板斧：镜像缓存、节点回收与显存打包

智能体训练设施的钱主要烧在几处：GPU 节点闲置、镜像重复拉取、任务资源过度申请。对应三招解决。

第一招，镜像分层缓存。DeepSeek 相关任务天然有很多公共依赖，比如 vLLM 推理镜像、Harness 基础镜像、浏览器内核镜像。把这些公共层做成节点上预置的缓存层，任务启动时只需要拉取增量层，启动时间能压到原有三分之一以内。这一招对成本影响最直接，因为"启动慢"往往就意味着节点要长时间预留资源。

第二招，节点回收策略。按 15 分钟为观察窗口，如果某节点利用率持续低于 20%，就把它上的任务迁走并回收节点。回收前要做优雅排空，优先等当前任务结束，等不了就走强杀加快照。这个窗口不能设太短，否则任务波动一两次就来回重建节点，浪费反而更大。

第三招，显存打包调度。还记得 2.2 节里的显存块记账吗？实际操作中就是"先排显存需求最大的任务，再用小任务填剩余碎片"。这一步能在同等节点数下多跑约 25%~40% 的任务量，几乎零成本纯收益。我强烈建议调度器一定要实现这个启发式逻辑，纯靠 Bin Packing 的收益远不如显存块视角来得直接。

6.3 监控体系：真正值得盯的四个指标

监控指标不用多，盯住四个就够：任务队列深度、沙箱实例平均生命周期、模型服务实例的吞吐与饱和度、节点 GPU 利用率。这四个指标串起来，能直接描绘出设施的"呼吸节奏"：任务排队说明容量不够；沙箱生命周期过短说明任务频繁异常；模型服务饱和度接近临界说明该扩容模型实例池；GPU 利用率长期走低说明资源分配过宽。

告警规则我建议用相对值而不是绝对值：队列深度超过过去 24 小时 P95 的 1.5 倍，告警；模型服务响应时间 P99 超过 5 秒，告警；节点 GPU 利用率低于 10% 持续 30 分钟，告警。相对值的好处是能自动适应不同项目组的负载特征，而不至于用一套固定阈值把不同场景的差异全抹平。

日志集中存储也是监控的一部分。沙箱的 stdout/stderr、工具调用轨迹、模型服务请求日志，全部打上 trace_id 进入统一存储。排查问题时按 trace_id 一键串联，效率提升非常明显。这个操作没有多高深，但很多团队一开始没做，后面补起来成本很高。

最后再分享一段我个人的体会。做这套设施之前，我一度以为规模化训练的最大瓶颈是模型能力，后来发现根本不是。真正的瓶颈是"失败的常态化管理"：大量任务里总有几个会挂，环境总有冲突，资源总有碎片，怎么让这些失败不拖垮整体、怎么让异常可追溯、怎么让资源不浪费，才是基础设施要解决的核心问题。DSec 这套东西给我最大的收获，不是它跑得快，而是它让我敢开规模化任务了——因为我知道无论哪个任务出问题，都能快速定位、快速止损、快速重跑。先别追求完美的调度策略，把沙箱生命周期、日志归档、显存记账这三件事做扎实，你的训练设施就已经比大多数团队稳上一截了。