Bài 3. Lớp hệ điều hành: Ubuntu Server và môi trường Linux

1. Đặt vấn đề

Sau phần cứng, hệ điều hành là lớp nền tảng tiếp theo của hệ thống AI local. Một máy chủ AI dù có GPU mạnh, RAM lớn và ổ cứng tốt vẫn cần hệ điều hành ổn định để quản lý tài nguyên, dịch vụ, mạng, bảo mật và phần mềm AI. Trong triển khai AI local, Linux, đặc biệt là Ubuntu Server, là lựa chọn phổ biến vì tương thích tốt với hệ sinh thái AI, driver GPU, Docker, Python, các thư viện xử lý dữ liệu và công cụ dòng lệnh.

Đối với bệnh viện, hệ điều hành không chỉ là nơi “cài phần mềm”. Nó là lớp vận hành lâu dài. Nếu hệ điều hành được cấu hình thiếu chuẩn, hệ thống AI có thể gặp nhiều lỗi: không nhận GPU, dịch vụ không tự khởi động, quyền thư mục sai, log đầy ổ, firewall mở không kiểm soát, cập nhật làm hỏng driver, hoặc backup không đầy đủ.

Vì vậy, lớp hệ điều hành cần được thiết kế theo tư duy máy chủ: ổn định, tối giản, có kiểm soát, dễ backup, dễ giám sát và an toàn.

2. Vì sao Ubuntu Server phù hợp với AI local?

Ubuntu Server có nhiều ưu điểm khi triển khai AI local.

Thứ nhất, Ubuntu có cộng đồng lớn và tài liệu phong phú. Khi gặp lỗi driver NVIDIA, Python, Docker, Ollama hoặc CUDA, việc tìm hướng dẫn xử lý thường dễ hơn so với nhiều hệ điều hành khác.

Thứ hai, Ubuntu tương thích tốt với các công cụ AI. Nhiều framework, thư viện và phần mềm AI hỗ trợ Linux trước tiên.

Thứ ba, Ubuntu Server nhẹ hơn môi trường desktop. Máy chủ không cần giao diện đồ họa nếu quản trị qua SSH. Điều này tiết kiệm tài nguyên và giảm bề mặt tấn công.

Thứ tư, Ubuntu hỗ trợ tốt quản lý dịch vụ bằng systemd. Có thể cấu hình Ollama, API, web server, worker xử lý tài liệu, backup và monitoring chạy như service.

Thứ năm, Ubuntu phù hợp với Docker nếu bệnh viện muốn đóng gói các ứng dụng AI, Drupal, API hoặc pipeline xử lý tài liệu.

3. Các nhiệm vụ chính của hệ điều hành

Trong hệ thống AI local, hệ điều hành thực hiện nhiều nhiệm vụ:

• Quản lý CPU, RAM, ổ cứng, GPU.
• Cài và quản lý driver NVIDIA.
• Quản lý người dùng và nhóm quyền.
• Quản lý SSH.
• Cấu hình mạng.
• Cấu hình firewall.
• Chạy dịch vụ nền.
• Quản lý log.
• Lập lịch tác vụ bằng cron hoặc systemd timer.
• Mount ổ cứng và phân vùng lưu trữ.
• Theo dõi dung lượng.
• Hỗ trợ backup và restore.
• Quản lý package và cập nhật.

Nếu hệ điều hành không ổn định, các lớp AI phía trên sẽ không ổn định.

4. Cấu trúc thư mục nên rõ ràng

Một máy chủ AI bệnh viện nên có cấu trúc thư mục rõ ràng ngay từ đầu. Ví dụ:

• /mnt/live/ai cho ứng dụng đang chạy.
• /mnt/data/models cho model.
• /mnt/data/faiss cho chỉ mục vector.
• /mnt/data/docs cho tài liệu gốc.
• /mnt/data/processed cho tài liệu đã xử lý.
• /mnt/data/backups cho backup.
• /var/log/ai cho log ứng dụng.
• /opt/ai-services cho service hoặc script quản trị.

Cấu trúc cụ thể tùy bệnh viện, nhưng nguyên tắc là phải tách dữ liệu, model, ứng dụng, log và backup. Không nên để mọi thứ trong thư mục home hoặc root một cách tùy tiện. Khi hệ thống phát triển, cách tổ chức thư mục sẽ quyết định khả năng bảo trì.

5. Quản lý người dùng và quyền truy cập

Không nên vận hành toàn bộ hệ thống bằng tài khoản root cho mọi tác vụ. Cần phân biệt:

• Tài khoản quản trị hệ thống.
• Tài khoản chạy service.
• Tài khoản triển khai ứng dụng.
• Tài khoản đọc tài liệu.
• Tài khoản backup.

Quyền thư mục cần được thiết lập để service chỉ có quyền cần thiết. Ví dụ, service chatbot không nhất thiết có quyền xóa toàn bộ kho tài liệu. Script embedding chỉ cần đọc tài liệu nguồn và ghi vào thư mục processed/index. Log cần được bảo vệ vì có thể chứa dữ liệu nhạy cảm.

Trong bệnh viện, phân quyền ở hệ điều hành là lớp bảo vệ nền tảng, không thể chỉ dựa vào phân quyền ở giao diện web.

6. SSH và quản trị từ xa

Máy chủ Ubuntu Server thường được quản trị qua SSH. Cần cấu hình SSH an toàn:

• Dùng key thay vì mật khẩu nếu có thể.
• Hạn chế đăng nhập root trực tiếp.
• Giới hạn IP được phép SSH.
• Đổi cấu hình phù hợp nếu cần.
• Theo dõi log đăng nhập.
• Dùng firewall.
• Không mở SSH ra Internet nếu không cần.
• Nếu truy cập từ xa, nên qua VPN hoặc jump server.

Trong bệnh viện, máy chủ AI có thể chứa dữ liệu nội bộ. Quản trị SSH phải được kiểm soát như một điểm bảo mật quan trọng.

7. Firewall và cổng dịch vụ

Một hệ thống AI local có thể có nhiều dịch vụ:

• Ollama API.
• API trung gian.
• Web chatbot.
• Drupal hoặc website nội bộ.
• Database.
• Monitoring.
• SSH.
• Reverse proxy.

Không phải cổng nào cũng nên mở cho toàn mạng. Đặc biệt, không nên mở trực tiếp cổng Ollama cho mọi người hoặc ra Internet. Nên đặt Ollama chỉ listen nội bộ hoặc chỉ cho API trung gian truy cập.

Firewall cần được cấu hình theo nguyên tắc tối thiểu: chỉ mở cổng cần thiết, chỉ cho địa chỉ cần thiết truy cập, chặn phần còn lại.

8. Driver NVIDIA và CUDA

Nếu dùng GPU NVIDIA, hệ điều hành cần driver phù hợp. Một lỗi thường gặp là cài driver không đúng phiên bản, cập nhật kernel làm lỗi driver, hoặc cài CUDA không cần thiết gây xung đột. Với Ollama, nhiều trường hợp chỉ cần driver NVIDIA hoạt động tốt; không phải lúc nào cũng phải cài CUDA toolkit đầy đủ.

Cần kiểm tra bằng:

• nvidia-smi
• ollama ps
• log của dịch vụ Ollama
• mức sử dụng GPU khi chạy model

Trong vận hành bệnh viện, không nên cập nhật driver hoặc kernel tùy tiện trên hệ thống đang chạy ổn định nếu chưa có kế hoạch rollback.

9. Quản lý dịch vụ bằng systemd

Các thành phần quan trọng nên chạy như service:

• Ollama.
• API trung gian.
• Web chatbot.
• Worker xử lý tài liệu.
• Monitoring agent.
• Backup timer.

Dùng systemd giúp dịch vụ tự khởi động sau reboot, có log, có trạng thái rõ ràng, có thể restart khi lỗi. Người quản trị có thể dùng các lệnh như systemctl status, restart, enable, journalctl để kiểm tra.

Một hệ thống AI local không nên phụ thuộc vào việc mở terminal rồi chạy thủ công. Cách đó phù hợp thử nghiệm, không phù hợp vận hành thật.

10. Log hệ thống

Log giúp truy vết lỗi và đánh giá vận hành. Tuy nhiên, log cũng có thể chứa dữ liệu nhạy cảm. Cần phân biệt:

• Log hệ thống.
• Log dịch vụ AI.
• Log API.
• Log câu hỏi và câu trả lời.
• Log lỗi.
• Log truy cập.

Cần có chính sách log rotation để tránh đầy ổ cứng. Cần bảo vệ quyền xem log. Cần cân nhắc không ghi quá nhiều dữ liệu nhạy cảm vào log nếu không cần.

Trong bệnh viện, log là công cụ quản trị nhưng cũng là tài sản nhạy cảm.

11. Backup hệ điều hành và cấu hình

Không chỉ dữ liệu mới cần backup. Cấu hình hệ điều hành cũng cần được lưu:

• Cấu hình service.
• Cấu hình Nginx.
• Cấu hình firewall.
• Script triển khai.
• Cấu hình backup.
• File môi trường.
• Danh sách model.
• Cấu trúc thư mục.
• Tài liệu hướng dẫn vận hành.

Khi máy chủ lỗi hoặc cần dựng lại, cấu hình đầy đủ giúp phục hồi nhanh hơn. Không nên chỉ phụ thuộc vào trí nhớ của một cá nhân quản trị.

12. Kết luận

Ubuntu Server và môi trường Linux là lớp nền tảng quan trọng của hệ thống AI local bệnh viện. Một hệ điều hành được cấu hình tốt giúp hệ thống ổn định, bảo mật, dễ vận hành và dễ mở rộng. Ngược lại, cấu hình tùy tiện sẽ gây lỗi khó truy vết và làm giảm độ tin cậy của AI local.

Bệnh viện nên quản trị hệ điều hành theo chuẩn máy chủ: phân quyền rõ, SSH an toàn, firewall chặt chẽ, dịch vụ chạy bằng systemd, log có kiểm soát, driver GPU ổn định, cấu trúc thư mục rõ ràng và backup cấu hình đầy đủ.