Pengumpulan Log dan Telemetri Pen Bacaan: Data yang Dihantar daripada Peranti, Data yang Kekal Setempat, dan Mengapa Ia Penting untuk Armada 40,000 Pen

Khalayak sasaran: Artikel ini ditujukan untuk pegawai privasi, arkitek IT di daerah dan kementerian pendidikan, rakan kongsi OEM yang menyepadukan papan pemuka kesihatan armada, serta pengimport B2B yang mesti menjawab soalan "apa yang pen laporkan kembali ke kilang?" kepada pembeli di EU, AS, Teluk, dan Amerika Latin. Ia menganggap anda memahami GDPR dan COPPA pada peringkat konsep, tetapi ingin mengetahui dengan tepat kelas acara yang keluar dari pen B1/B2/F8/K7/KF1/L5/P2/Q6/Q8/T2/Y6, yang mana dianonimkan, yang mana opt-in, dan yang mana tidak pernah dihantar.

Sebuah koperasi sekolah Sepanyol yang membeli 12,000 pen bertanya kepada pasukan pematuhan kami satu soalan tepat pada suku lepas: "Di bawah Artikel 25 GDPR, data apakah yang keluar dari peranti, data apakah yang kekal dalam peranti, dan bolehkah ibu bapa memilih untuk tidak serta-merta tanpa kehilangan perlindungan waranti?" Jawapan jujurnya panjang 23 halaman. Jawapan ringkas, yang kami siarkan di sini, ialah acara telemetri adalah opt-out secara lalai di EU, opt-in secara lalai di AS di bawah COPPA, opt-in secara lalai di Arab Saudi di bawah SFDA, dan tidak pernah dihantar secara lalai untuk armada yang dihos sendiri oleh OEM. Berikut adalah kejuruteraan di sebalik dasar-dasar tersebut.

Artikel ini merangkumi penimbal cincin log pada peranti, skema acara, saluran paip anonimisasi, jadual muat naik, pendirian GDPR/COPPA/PIPL/LGPD, metrik kesihatan armada yang didedahkan oleh papan pemuka, dan kos menjalankan telemetri pada lebih 47,000 pen merentasi 47 buah negara.

1. Penimbal Cincin Log Pada Peranti

Setiap pen mempunyai penimbal cincin 512 KB pada partition data pengguna. Penimbal ini bersifat tambah sahaja, diindeks mengikut masa, dan kekal selepas tetapan semula kilang hanya jika ibu bapa memilih "kekalkan log diagnostik" — yang merupakan lalai untuk penggunaan perusahaan dan dimatikan secara lalai untuk runcit.

1.1 Parameter Penimbal Mengikut Model

Saiz penimbal ditetapkan untuk memuatkan kelas acara dengan isipadu tertinggi (app.evt) selama 14–45 hari, bergantung pada model. Penimbal bersifat pusing balik: acara tertua dipadam terlebih dahulu.

1.2 Skema Acara

Setiap rekod ialah struktur tetap 96 bait dengan 1 bait jenis, 4 bait cap masa, 2 bait versi skema, dan 89 bait muatan khusus jenis.

struct telemetry_event_t {
    uint8_t  type;          // 0x01..0x2C
    uint32_t timestamp;     // seconds since boot
    uint16_t schema_ver;    // e.g., 0x0007
    uint8_t  severity;      // 0..3 (info, warn, error, critical)
    uint8_t  reserved;
    uint8_t  payload[80];
    uint16_t crc;           // CRC-16-CCITT
    uint8_t  sig_pad[6];    // dikhaskan untuk tandatangan pendek Ed25519
} __attribute__((packed));

Payload adalah khusus jenis. Peristiwa boot.end membawa tempoh boot uint32; peristiwa oid.lookup membawa kependaman uint16 dan baldi halaman kamus uint16; peristiwa app.crash membawa cincang cap jari tindanan 64 bait.

2. Kelas Peristiwa

Kami mentakrifkan 44 kelas peristiwa. Tidak semua dimuat naik. Pengelasannya ialah LOCAL (tidak pernah dimuat naik), TELEMETRY (dimuat naik, tanpa nama), atau SUPPORT (dimuat naik hanya dengan persetujuan jelas pengguna).

18 peristiwa LOCAL kekal pada peranti dan digunakan hanya untuk ciri dalam aplikasi seperti "sambung di tempat anda berhenti." 19 peristiwa TELEMETRY dimuat naik secara berkumpulan melalui Wi-Fi. 7 peristiwa SUPPORT dimuat naik hanya apabila ibu bapa atau pentadbir armada secara jelas membolehkan mod sokongan.

3. Peraturan Tanpa Nama

Setiap peristiwa TELEMETRY melalui saluran paip tanpa nama 4 peringkat sebelum dimuat naik. Saluran paip ini berjalan pada peranti dan dikuatkuasakan oleh bootloader; walaupun aplikasi yang terjejas tidak boleh memintasinya.

1. Buang pengecam — Nombor siri peranti digantikan dengan garam berputar setiap-boot. Garam ialah nilai rawak 128-bit yang dijana semula setiap boot sejuk.
2. Baldikan nilai — Kependaman dibundarkan kepada 10 ms yang terdekat. Paras bateri dibundarkan kepada 5% yang terdekat. Carian kamus dibaldikan ke tahap CEFR.
3. Cincang cap jari — Jejak tindanan dicincang dengan garam setiap-armada. Garam diputar setiap bulan dan tidak pernah dimuat naik.
4. Agregat di sumber — Peristiwa tunggal diagregatkan kepada tetingkap 15 minit pada peranti. Peranti memuat naik satu rekod setiap tetingkap, bukan 30 peristiwa individu.

Rekod agregat mengandungi: cap masa tetingkap, ID armada (cincang 32-bit subkunci OEM), model, versi firmware, kod wilayah, dan 6 pembilang metrik. Ia tidak mengandungi nombor siri peranti, nama ibu bapa, nama anak, atau sebarang kandungan yang disentuh anak.

4. Jadual dan Pengelompokan Muat Naik

Muat naik berlaku hanya melalui Wi-Fi, tidak pernah melalui selular (kami tidak menyertakan modem selular). Jadual lalai ialah:

Sebatang pen biasa memuat naik 1–3 rekod berkelompok setiap hari, berjumlah 18–54 KB. Untuk armada 12,000 pen sepanjang minggu persekolahan, jumlah muat naik ialah 1.6–4.8 GB seminggu, yang muzawam di dalam satu talian jalur lebar korporat.

5. Postur GDPR / COPPA / PIPL / LGPD

Tingkah laku telemetri lalai berbeza mengikut bidang kuasa. Kilang menetapkan lalai berdasarkan peraturan destinasi penghantaran.

Di setiap bidang kuasa, ibu bapa atau pentadbir armada boleh melumpuhkan telemetri tanpa kehilangan perlindungan waranti, tanpa kehilangan akses kepada kemas kini OTA, dan tanpa kehilangan akses kepada sokongan. Satu-satunya ciri yang dilumpuhkan dengan menolak ialah papan pemuka kesihatan armada, yang memerlukan telemetri agregat untuk berfungsi.

6. Papan Pemuka Metrik Kesihatan Armada

Untuk rakan kongsi OEM dan pengendali armada besar, papan pemuka telemetri mendedahkan 9 metrik di peringkat armada. Tiada metrik boleh dipecahkan kepada satu nombor siri peranti.

Papan pemuka adalah percuma untuk armada melebihi 5,000 pen. Di bawah itu, kosnya ialah $0.04 setiap pen setahun, dibilkan setiap bulan.

7. Visualisasi SVG bagi Saluran Paip Telemetri dan Campuran Metrik

8. Kos

Petua pembeli: Untuk penggunaan EU melebihi 10,000 pen, minta sampel sijil pemadaman data daripada portal sebelum menandatangani PO. Sijil itu ialah PDF 1 halaman dengan cap masa pemadaman dan SHA-256 set rekod yang dipadamkan.

8. Lampiran: Contoh Kerja Anonimasi dan Inventori Kelas Acara

8.1 Contoh Kerja Anonimasi

Ambil urutan acara mentah di bawah, yang ditangkap pada Q8 sebenar dalam penggunaan sekolah Arab Saudi. Kami menjejaki setiap langkah saluran paip anonimasi 4 peringkat.

Mentah oid.lookup acara yang ditangkap pada peranti (tetingkap sampel, 14:00–14:15 tempatan):

14:02:11  oid.lookup  serial=QC8-24-118-00472  lat=98ms  page=412  word="الفيل"
14:03:48  oid.lookup  serial=QC8-24-118-00472  lat=104ms page=412  word="يمشي"
14:05:22  oid.lookup  serial=QC8-24-118-00472  lat=88ms  page=412  word="ببطء"
14:09:17  oid.lookup  serial=QC8-24-118-00472  lat=101ms page=412  word="في"
14:11:46  oid.lookup  serial=QC8-24-118-00472  lat=94ms  page=412  word="الحديقة"

Peringkat 1 — buang pengecam. Nombor siri digantikan dengan garam berputar 128-bit setiap but, kemudian dicincang kepada ID baldi 32-bit. ID baldi 0x4A12F8E1 tidak boleh diterbalikkan kepada nombor siri tanpa garam tersebut, dan garam tersebut akan dipadamkan pada permulaan sejuk yang berikutnya.

Peringkat 2 — nilaikan dalam kelompok. Latensi dibundarkan kepada 10 ms yang terhampir. Halaman dikelompokkan kepada CEFR A1 (halaman 1–500), A2 (halaman 501–1,200), B1 (halaman 1,201–2,000).

Peringkat 3 — cap jari cincang. Tiada jejak tindanan dalam tetingkap ini.

Peringkat 4 — agregat di sumber. 5 peristiwa diringkaskan menjadi satu rekod.

Keputusan: satu rekod dimuat naik pada 14:15:

{
  "fleet_id":   "0x4A12F8E1",
  "model":      "Q8",
  "fw":         "3.3.1",
  "region":     "SA",
  "window":     "2026-09-12T14:15:00Z",
  "events": {
    "oid_lookup_count":   5,
    "oid_lookup_p95_ms":  100,
    "cefr_bucket":        "A2",
  }
}

Inilah yang dilihat oleh papan pemuka armada. Tiada jalan kembali kepada kanak-kanak, ibu bapa, atau pen tertentu — ID kelompok berputar pada setiap permulaan.

8.2 Inventori Penuh Kelas Peristiwa (n = 44)

Taksonomi peristiwa penuh, dikumpulkan mengikut subsistem dan postur lalai:

Daripada 44 peristiwa, 18 adalah LOCAL, 19 adalah TELEMETRY, dan 7 adalah SUPPORT. Inventori penuh diterbitkan dalam portal OEM di bawah templat penilaian impak privasi.

10. Visual: Taburan Kelas Peristiwa dan Belanjawan Lebar Jalur

Visualisasi di bawah menggabungkan carta pai bagi tiga kelas peristiwa (LOCAL/TELEMETRY/SUPPORT) dengan lajur bagi belanjawan lebar jalur bulanan setiap pen. Angka 152 KB ialah nombor kontrak awam yang kami kongsikan dengan perolehan sekolah.

Bacaan Berkaitan

• Reading Pen GDPR dan Perlindungan Data EU
• Pen Baca COPPA dan Kawalan Ibu Bapa
• Seni Bina Awan IoT Pen Baca MQTT
• Mekanisme Kemas Kini Firmware OTA Pen Baca
• Penyulitan Data Pen Baca AES-128 lwn AES-256
• Program Pen Baca OEM