金融、政务、大型国企选人脸核验方案，第一个问题通常不是“识别率多少”，而是“数据能不能不出内网”。FaceID私有化部署就是解决这个问题的。公有云API再方便，对于数据主权要求高的场景，私有化是硬门槛。但私有化不是把软件包往服务器上一扔就完事，硬件选型、QPS规划、信创适配、审计留痕，一个环节没考虑到，上线就得返工。
这篇基于旷视FaceID的私有化部署实践，把金融级内网核验落地的关键环节拆开讲。
为什么金融场景非私有化不可
银行、消金、证券这类持牌机构，对数据出境和数据主权有明确的合规约束。客户的人脸照片、活体视频、比对结果，但凡涉及生物特征，监管要求全链路可控、可审计、可追溯。公有云方案数据要经过第三方服务器，合规部门这一关就过不了。
政务场景更直接。很多政府项目的招标文件里白纸黑字写着“数据不得离开政务外网”。某地政务服务和数据管理局的等保测评需求书里，明确要求人脸识别系统按照网络安全等级保护第三级设计，所有服务器和存储设备必须安装在已通过三级等保测评的中心机房内。
私有化部署解决的核心问题就一个：数据主权。所有人脸业务数据保存在客户自己的服务器上，旷视侧不接触任何原始业务数据。
部署形态怎么选
FaceID支持四种部署形态：公有云、混合云、私有化部署、离线边缘SDK。金融内网场景主要用后两种。
纯私有化适合内网隔离、数据不允许向外流出的环境。算法和数据处理全部在客户本地服务器上完成，部署包支持纯内网离线运行，不需要连通公网。
离线边缘SDK适合终端设备上的本地化核验。比如银行网点的自助终端、政务大厅的取号机，模型直接跑在设备端，核验结果本地输出，只把结果上传到业务系统。延迟最低，但对设备算力有要求。
实际项目中，很多金融机构会混合使用。核心的人证比对和活体检测走私有化服务端，终端设备上跑轻量化的质量检测SDK，先过滤掉不合格的图片和视频，减少无效的服务端调用。
硬件和QPS怎么规划
私有化部署的并发上限，完全取决于客户服务器的硬件配置。旷视会根据业务QPS输出对应的硬件配置清单。
一个参考数据：FaceID接口在单Region的QPS上限约200，可水平扩展。P99响应时间（含活体检测和人证比对）约1.8秒。持续100 QPS运行30分钟无报错。
规划的时候有几个点要注意。
区分峰值和均值。金融开户场景有明显的潮汐特征，月初、发薪日、促销节点的请求量可能是平时的几倍。硬件按峰值配，平时浪费；按均值配，高峰崩。合理的做法是按P95峰值配，配合弹性扩容预案。
活体检测模式影响并发。动作活体需要用户做完整套动作，单个请求占用服务端资源的时间更长。静默活体用户正常看着摄像头就行，0.5秒左右出结果，同样的硬件能支撑的并发量高很多。如果业务允许，优先走静默活体，并发压力小不少。
GPU还是CPU。活体检测和比对模型跑在GPU上性能最优。预算有限或者算力要求不高的话，CPU部署也能跑，但QPS会打折扣。具体选型看业务量。
信创适配：绕不开的硬门槛
金融和政务项目的招标文件里，信创适配经常是实质性条款。操作系统、芯片架构、数据库、中间件，整条链路都得对得上。
FaceID已经完成了主流信创环境的适配。操作系统层面支持银河麒麟高级服务器操作系统V10。芯片架构覆盖飞腾、鲲鹏、兆芯、海光、AMD64。基础软件适配国产数据库和中间件。
实际案例可以参考。旷视与银河麒麟合作的身份认证管理方案，在某石油企业和某钢铁企业的身份认证平台项目中落地。方案基于金融级人脸识别算法，私有化部署，集成于企业VPN、业务系统、堡垒机等场景，用于员工登录和运维人员二次认证。
金融场景的国密适配也是标配。FaceID支持国密算法，满足等保和密评要求。
合规资质清单
私有化部署不是部署完就完事，合规审计的时候得拿得出东西。FaceID目前持有的资质包括：
- BCTC金融人像检测（业内首批）
- 信通院可信人像四级认证
- 三级等保
- ISO27001信息安全
- ISO27701隐私管理
- AI国检中心全项测评
全流程数据加密传输，国密算法适配，核验原始数据不留存，仅返回比对结果。这些特性直接对应银行、消金、政务行业的合规留存和可追溯要求。
常见问题
私有化部署能完全离线吗？
可以。FaceID私有化部署包支持纯内网离线运行，不依赖外网连接。授权通过离线文件激活，模型和算法全部本地化。
QPS怎么估算？
按业务峰值请求量除以单台服务器的处理能力来算。FaceID私有化部署的并发上限取决于客户硬件，旷视会根据业务量输出硬件配置建议。建议按P95峰值规划，不要按平均值。
信创环境适配要额外收费吗？
标准信创环境（麒麟、统信、飞腾、鲲鹏等）的适配包含在私有化部署方案内。如果有特殊硬件或非标环境，需要单独评估。
模型更新怎么办？
私有化部署的模型更新通过离线升级包完成。旷视侧持续追踪攻击手法，新模型以升级包形式提供给客户，客户在内网完成更新。更新频率跟公有云版本保持一致，48小时一轮。
