Καταγραφή δεδομένων και τηλεμετρία του Reading Pen: Τι δεδομένα εγκαταλείπουν τη συσκευή, τι παραμένει τοπικά και γιατί αυτό έχει σημασία για ένα στόλο 40.000 στυλό

Κοινό: Αυτό το άρθρο απευθύνεται σε υπεύθυνους προστασίας δεδομένων, αρχιτέκτονες πληροφορικής σε σχολικές διευθύνσεις και υπουργεία, εταίρους OEM που ενσωματώνουν dashboards υγείας στόλου, και εισαγωγείς B2B που πρέπει να απαντήσουν στο ερώτημα «τι αναφέρει η πένα πίσω στο εργοστάσιο;» για αγοραστές στην ΕΕ, τις ΗΠΑ, τον Κόλπο και τη Λατινική Αμερική. Υποθέτει ότι κατανοείτε τα GDPR και COPPA σε εννοιολογικό επίπεδο, αλλά θέλετε να γνωρίζετε ακριβώς ποιες κατηγορίες συμβάντων εξέρχονται από τις πένες B1/B2/F8/K7/KF1/L5/P2/Q6/Q8/T2/Y6, ποια είναι ανωνυμοποιημένα, ποια είναι opt-in και ποια δεν μεταδίδονται ποτέ.

Ένας ισπανικός σχολικός συνεταιρισμός που αγόρασε 12.000 πένες ρώτησε την ομάδα συμμόρφωσής μας ένα συγκεκριμένο ερώτημα το προηγούμενο τρίμηνο: «Βάσει του Άρθρου 25 του GDPR, ποια δεδομένα εξέρχονται από τη συσκευή, ποία παραμένουν στη συσκευή και μπορεί ένας γονέας να εξαιρεθεί χωρίς να χάσει την κάλυψη εγγύησης;» Η ειλικρινής απάντηση έχει 23 σελίδες. Η σύντομη απάντηση, την οποία δημοσιεύουμε εδώ, είναι ότι τα συμβάντα τηλεμετρίας είναι opt-out από προεπιλογή στην ΕΕ, opt-in από προεπιλογή στις ΗΠΑ βάσει COPPA, opt-in από προεπιλογή στη Σαουδική Αραβία βάσει SFDA, και ποτέ ενεργά από προεπιλογή για στόλους OEM με αυτο-φιλοξενία. Παρακάτω ακολουθεί η τεχνική υλοποίηση πίσω από αυτές τις πολιτικές.

Αυτό το άρθρο καλύπτει τον ενσωματωμένο δακτύλιο καταγραφής, το σχήμα συμβάντων, τη σωλήνωση ανωνυμοποίησης, το πρόγραμμα μεταφόρτωσης, τη στάση GDPR/COPPA/PIPL/LGPD, τις μετρήσεις υγείας στόλου που εκθέτει το dashboard και το κόστος λειτουργίας τηλεμετρίας σε 47.000+ πένες σε 47 χώρες.

1. Ο Ενσωματωμένος Δακτύλιος Καταγραφής

Κάθε πένα διαθέτει έναν δακτύλιο καταγραφής 512 KB στο διαμέρισμα δεδομένων χρήστη. Ο δακτύλιος είναι μόνο για προσθήκη, χρονικά ευρετηριασμένος, και επιβιώνει από επαναφορά εργοστασίου μόνο εάν ο γονέας επιλέξει «διατήρηση διαγνωστικών καταγραφών» — που είναι η προεπιλογή για αναπτύξεις επιχειρήσεων και ανενεργό από προεπιλογή για λιανική.

1.1 Παράμετροι Δακτυλίου ανά Μοντέλο

Ο δακτύλιος έχει μέγεθος ώστε να χωρά την κατηγορία συμβάντων με τον υψηλότερο όγκο (app.evt) για 14–45 ημέρες, ανάλογα το μοντέλο. Ο δακτύλιος είναι κυκλικός: τα παλαιότερα συμβάντα απορρίπτονται πρώτα.

1.2 Σχήμα Συμβάντος

Κάθε εγγραφή είναι μια σταθερή δομή 96 byte με 1 byte τύπο, 4 byte χρονική σήμανση, 2 byte έκδοση σχήματος και 89 byte ωφέλιμο φορτίο ειδικό για τον τύπο.

struct telemetry_event_t {
    uint8_t  type;          // 0x01..0x2C
    uint32_t timestamp;     // seconds since boot
    uint16_t schema_ver;    // e.g., 0x0007
    uint8_t  severity;      // 0..3 (info, warn, error, critical)
    uint8_t  reserved;
    uint8_t  payload[80];
    uint16_t crc;           // CRC-16-CCITT
    uint8_t  sig_pad[6];    // reserved for Ed25519 short sig
} __attribute__((packed));

Το payload εξαρτάται από τον τύπο. Ένα συμβάν boot.end μεταφέρει ένα uint32 διάρκειας εκκίνησης· ένα συμβάν oid.lookup μεταφέρει ένα uint16 καθυστέρησης και ένα uint16 κάδου σελίδας λεξικού· ένα συμβάν app.crash μεταφέρει ένα hash αποτυπώματος στοίβας 64 byte.

2. Κλάσεις Συμβάντων

Ορίζουμε 44 κλάσεις συμβάντων. Δεν ανεβαίνουν όλες. Η κατάταξη είναι LOCAL (δεν ανεβαίνουν ποτέ), TELEMETRY (ανεβαίνουν, ανωνυμοποιημένα), ή SUPPORT (ανεβαίνουν μόνο με ρητή συγκατάθεση χρήστη).

Τα 18 συμβάντα LOCAL παραμένουν στη συσκευή και χρησιμοποιούνται μόνο για λειτουργίες εντός εφαρμογής, όπως "συνέχεια από εκεί που σταμάτησες". Τα 19 συμβάντα TELEMETRY ανεβαίνουν σε πακέτα μέσω Wi-Fi. Τα 7 συμβάντα SUPPORT ανεβαίνουν μόνο όταν ο γονέας ή ο διαχειριστής στόλου ενεργοποιήσει ρητά τη λειτουργία υποστήριξης.

3. Κανόνες Ανωνυμοποίησης

Κάθε συμβάν TELEMETRY περνά από μια σωλήνωση ανωνυμοποίησης 4 σταδίων πριν την αποστολή. Η σωλήνωση εκτελείται εντός της συσκευής και επιβάλλεται από τον bootloader· ακόμη και μια παραβιασμένη εφαρμογή δεν μπορεί να την παρακάμψει.

1. Αφαίρεση αναγνωριστικών — Ο σειριακός αριθμός συσκευής αντικαθίσταται με περιστρεφόμενο salt ανά εκκίνηση. Το salt είναι τυχαία τιμή 128 bit που αναγεννάται σε κάθε cold boot.
2. Ομαδοποίηση τιμών — Οι καθυστερήσεις στρογγυλοποιούνται στα πλησιέστερα 10 ms. Τα επίπεδα μπαταρίας στρογγυλοποιούνται στο πλησιέστερο 5%. Τα lookups λεξικού ομαδοποιούνται σε επίπεδα CEFR.
3. Hash αποτυπωμάτων — Τα stack traces γίνονται hash με salt ανά στόλο. Το salt περιστρέφεται μηνιαία και δεν ανεβαίνει ποτέ.
4. Συγκέντρωση στην πηγή — Τα μεμονωμένα συμβάντα συγκεντρώνονται σε παράθυρα 15 λεπτών εντός της συσκευής. Η συσκευή ανεβάζει μία εγγραφή ανά παράθυρο, όχι 30 μεμονωμένα συμβάντα.

Η συγκεντρωτική εγγραφή περιέχει: χρονοσφραγίδα παραθύρου, fleet ID (hash 32 bit του OEM subkey), μοντέλο, έκδοση firmware, κωδικό περιοχής και 6 μετρητές μετρικών. Δεν περιέχει σειριακό αριθμό συσκευής, όνομα γονέα, όνομα παιδιού ή οποιοδήποτε περιεχόμενο πάτηξε το παιδί.

4. Πρόγραμμα Αποστολής και Παρτίδων

Οι αποστολές γίνονται μόνο μέσω Wi-Fi, ποτέ μέσω κινητής τηλεφωνίας (δεν περιλαμβάνουμε κυψελοειδές modem). Το προεπιλεγμένο πρόγραμμα είναι:

Ένα τυπικό στυλό μεταφορτώνει 1–3 ομαδοποιημένες εγγραφές ανά ημέρα, συνολικά 18–54 KB. Σε έναν στόλο 12.000 στυλό κατά τη διάρκεια μιας σχολικής εβδομάδας, ο όγκος μεταφόρτωσης είναι 1,6–4,8 GB ανά εβδομάδα, που χωράει άνετα σε μία μόνο εταιρική γραμμή ευρυζωνικής σύνδεσης.

5. Στάση συμμόρφωσης GDPR / COPPA / PIPL / LGPD

Η προεπιλεγμένη συμπεριφορά τηλεμετρίας διαφέρει ανά δικαιοδοσία. Το εργοστάσιο ορίζει την προεπιλογή με βάση τους κανονισμούς του προορισμού αποστολής.

Σε κάθε δικαιοδοσία, ο γονέας ή ο διαχειριστής στόλου μπορεί να απενεργοποιήσει την τηλεμετρία χωρίς να χάσει την κάλυψη εγγύησης, χωρίς να χάσει την πρόσβαση σε ενημερώσεις OTA και χωρίς να χάσει την πρόσβαση στην υποστήριξη. Το μόνο χαρακτηριστικό που απενεργοποιείται με την εξαίρεση (opt-out) είναι ο πίνακας υγείας στόλου, ο οποίος απαιτεί συγκεντρωτική τηλεμετρία για να λειτουργήσει.

6. Πίνακας Μετρικών Υγείας Στόλου

Για τους συνεργάτες OEM και τους μεγάλους φορείς εκμετάλλευσης στόλων, ο πίνακας τηλεμετρίας εμφανίζει 9 μετρικές σε επίπεδο στόλου. Καμία μετρική δεν μπορεί να αναλυθεί σε επίπεδο μεμονωμένου σειριακού αριθμού συσκευής.

Ο πίνακας ελέγχου είναι δωρεάν για στόλους άνω των 5.000 στυλό. Κάτω από αυτό, το κόστος είναι $0,04 ανά στυλό ετησίως, με μηνιαία χρέωση.

7. Οπτικοποίηση SVG της ροής τηλεμετρίας και του μείγματος μετρικών

8. Κόστη

Συμβουλή αγοραστή: Για αναπτύξεις στην ΕΕ άνω των 10.000 στυλό, ζητήστε ένα δείγμα πιστοποιητικού διαγραφής δεδομένων από την πύλη πριν υπογράψετε την PO. Το πιστοποιητικό είναι PDF 1 σελίδας με τη χρονική σήμανση διαγραφής και το SHA-256 του διαγραμμένου συνόλου εγγραφών.

8. Παράρτημα: Παράδειγμα ανωνυμοποίησης και κατάλογος κατηγοριών συμβάντων

8.1 Παράδειγμα ανωνυμοποίησης

Δείτε την ακολουθία ακατέργαστων συμβάντων παρακάτω, που καταγράφηκε σε ένα πραγματικό Q8 σε ανάπτυξη σε σαουδαραβικό σχολείο. Παρακολουθούμε κάθε στάδιο της αγωγού ανωνυμοποίησης 4 σταδίων.

Ακατέργαστα oid.lookup συμβάντα που καταγράφηκαν στη συσκευή (παράθυρο δείγματος, 14:00–14:15 τοπική ώρα):

14:02:11  oid.lookup  serial=QC8-24-118-00472  lat=98ms  page=412  word="الفيل"
14:03:48  oid.lookup  serial=QC8-24-118-00472  lat=104ms page=412  word="يمشي"
14:05:22  oid.lookup  serial=QC8-24-118-00472  lat=88ms  page=412  word="ببطء"
14:09:17  oid.lookup  serial=QC8-24-118-00472  lat=101ms page=412  word="في"
14:11:46  oid.lookup  serial=QC8-24-118-00472  lat=94ms  page=412  word="الحديقة"

Στάδιο 1 — αφαίρεση αναγνωριστικών. Ο σειριακός αριθμός αντικαθίσταται με ένα περιστρεφόμενο salt 128-bit ανά εκκίνηση και στη συνέχεια υπολογίζεται το κατακερμασμένο αναγνωριστικό κάδου 32-bit. Το αναγνωριστικό κάδου 0x4A12F8E1 δεν μπορεί να αντιστραφεί στον σειριακό αριθμό χωρίς το salt, και το salt διαγράφεται κατά την επόμενη ψυχρή εκκίνηση.

Στάδιο 2 — ομαδοποίηση τιμών σε κάδους. Οι καθυστερήσεις στρογγυλοποιούνται στα πλησιέστερα 10 ms. Η σελίδα ομαδοποιείται σε CEFR A1 (σελίδες 1–500), A2 (σελίδες 501–1.200), B1 (σελίδες 1.201–2.000).

Στάδιο 3 — hash αποτυπωμάτων. Δεν υπάρχουν ίχνη στοίβας σε αυτό το παράθυρο.

Στάδιο 4 — συγκέντρωση στην πηγή. Τα 5 συμβάντα συμπτύσσονται σε μία εγγραφή.

Αποτέλεσμα: μία εγγραφή μεταφορτώθηκε στις 14:15:

{
  "fleet_id":   "0x4A12F8E1",
  "model":      "Q8",
  "fw":         "3.3.1",
  "region":     "SA",
  "window":     "2026-09-12T14:15:00Z",
  "events": {
    "oid_lookup_count":   5,
    "oid_lookup_p95_ms":  100,
    "cefr_bucket":        "A2"
  }
}

Αυτό είναι αυτό που βλέπει ο πίνακας ελέγχου του στόλου. Δεν υπάρχει διαδρομή πίσω στο παιδί, στον γονέα ή στο συγκεκριμένο στυλό — το αναγνωριστικό κάδου αλλάζει σε κάθε εκκίνηση.

8.2 Πλήρες Απόθεμα Κλάσεων Συμβάντων (n = 44)

Η πλήρης ταξινομία συμβάντων, ομαδοποιημένη ανά υποσύστημα και προεπιλεγμένη στάση:

Από τα 44 συμβάντα, τα 18 είναι ΤΟΠΙΚΑ, τα 19 είναι ΤΗΛΕΜΕΤΡΙΑΣ και τα 7 είναι ΥΠΟΣΤΗΡΙΞΗΣ. Η πλήρης καταγραφή δημοσιεύεται στην πύλη OEM στο πρότυπο εκτίμησης αντικτύπου απορρήτου.

10. Οπτικοποίηση: Κατανομή κατηγοριών συμβάντων και όριο εύρους ζώνης

Η παρακάτω οπτικοποίηση συνδυάζει μια πίτα με τις τρεις κατηγορίες συμβάντων (ΤΟΠΙΚΟ/ΤΗΛΕΜΕΤΡΙΑ/ΥΠΟΣΤΗΡΙΞΗ) με μια στήλη του μηνιαίου ορίου εύρους ζώνης ανά στυλό. Το νούμερο 152 KB είναι το δημόσιο συμβατικό μέγεθος που μοιραζόμαστε με τις προμήθειες σχολείων.

Σχετική ανάγνωση

• GDPR και Προστασία Δεδομένων στην ΕΕ για Στυλό Ανάγνωσης
• Στυλό Ανάγνωσης COPPA και Γονικός Έλεγχος
• Αρχιτεκτονική IoT Cloud Στυλό Ανάγνωσης MQTT
• Μηχανισμός Ενημέρωσης Υλικολογισμικού OTA για Στυλό Ανάγνωσης
• Κρυπτογράφηση Δεδομένων Στυλό Ανάγνωσης AES-128 vs AES-256
• Προγράμματα OEM για Στυλό Ανάγνωσης