Bút Đọc – Thu Thập Nhật Ký và Telemetry: Dữ Liệu Nào Rời Thiết Bị, Dữ Liệu Nào Ở Lại Cục Bộ, và Vì Sao Điều Này Quan Trọng Với Đội Bút 40.000 Chiếc

Đối tượng: Bài viết này dành cho các cán bộ phụ trách quyền riêng tư, kiến trúc sư IT tại các sở/ban ngành giáo dục và học khu, đối tác OEM tích hợp bảng điều khiển tình trạng đội thiết bị, và các nhà nhập khẩu B2B cần trả lời câu hỏi "thiết bị đọc sách này gửi những dữ liệu gì về nhà máy?" cho khách hàng tại EU, Mỹ, Vùng Vịnh và Mỹ Latin. Bài viết giả định bạn đã nắm khái niệm cơ bản về GDPR và COPPA, nhưng cần biết chính xác các lớp sự kiện nào rời khỏi các dòng máy B1/B2/F8/K7/KF1/L5/P2/Q6/Q8/T2/Y6, sự kiện nào được ẩn danh hóa, sự kiện nào yêu cầu đồng thuận (opt-in), và sự kiện nào không bao giờ được gửi đi.

Một hợp tác xã trường học tại Tây Ban Nha mua 12.000 thiết bị đã đặt câu hỏi chính xác cho đội ngũ tuân thủ của chúng tôi trong quý trước: "Theo Điều 25 GDPR, dữ liệu nào rời khỏi thiết bị, dữ liệu nào ở lại thiết bị, và phụ huynh có thể từ chối mà không mất quyền bảo hành không?" Câu trả lời đầy đủ dài 23 trang. Câu trả lời ngắn gọn, mà chúng tôi công bố tại đây, là: các sự kiện telemetry được mặc định opt-out tại EU, mặc định opt-in tại Mỹ theo COPPA, mặc định opt-in tại Ả Rập Xê-út theo SFDA, và mặc định không bao giờ bật đối với các đội thiết bị do OEM tự lưu trữ. Dưới đây là chi tiết kỹ thuật đằng sau các chính sách đó.

Bài viết này trình bày về vòng đệm log trên thiết bị, lược đồ sự kiện, quy trình ẩn danh hóa, lịch trình tải lên, quan điểm tuân thủ GDPR/COPPA/PIPL/LGPD, các chỉ số tình trạng đội thiết bị mà dashboard cung cấp, và chi phí vận hành telemetry trên hơn 47.000 thiết bị tại 47 quốc gia.

1. Vòng Đệm Log Trên Thiết Bị

Mỗi thiết bị có một vòng đệm 512 KB trên phân vùng dữ liệu người dùng. Vòng đệm chỉ ghi thêm (append-only), có đánh chỉ mục theo thời gian, và chỉ tồn tại qua thao tác khôi phục cài đặt gốc nếu phụ huynh chọn "giữ lại nhật ký chẩn đoán" — đây là mặc định đối với triển khai doanh nghiệp và tắt theo mặc định đối với bán lẻ.

1.1 Tham Số Vòng Đệm Theo Từng Dòng Máy

Vòng đệm được tính toán để chứa được lớp sự kiện có tần suất cao nhất (app.evt) trong 14–45 ngày, tùy theo dòng máy. Vòng đệm hoạt động theo cơ chế cuộn: các sự kiện cũ nhất sẽ bị ghi đè trước.

1.2 Lược Đồ Sự Kiện

Mỗi bản ghi là một cấu trúc cố định 96 byte gồm 1 byte kiểu, 4 byte dấu thời gian, 2 byte phiên bản lược đồ, và 89 byte dữ liệu riêng theo từng kiểu.

struct telemetry_event_t {
    uint8_t  type;          // 0x01..0x2C
    uint32_t timestamp;     // giây kể từ lúc khởi động
    uint16_t schema_ver;    // ví dụ: 0x0007
    uint8_t  severity;      // 0..3 (info, warn, error, critical)
    uint8_t  reserved;
    uint8_t  payload[80];
    uint16_t crc;           // CRC-16-CCITT
    uint8_t  sig_pad[6];    // dành riêng cho chữ ký ngắn Ed25519
} __attribute__((packed));

Tải trọng (payload) phụ thuộc vào từng loại. Sự kiện boot.end mang theo một uint32 thời lượng khởi động; sự kiện oid.lookup mang theo một uint16 độ trễ và một uint16 nhóm trang từ điển; sự kiện app.crash mang theo một mã băm dấu vết ngăn xếp 64 byte.

2. Các lớp sự kiện

Chúng tôi định nghĩa 44 lớp sự kiện. Không phải tất cả đều được tải lên. Việc phân loại là LOCAL (không bao giờ tải lên), TELEMETRY (tải lên, đã ẩn danh), hoặc SUPPORT (chỉ tải lên khi có sự đồng ý rõ ràng của người dùng).

18 sự kiện LOCAL được giữ trên thiết bị và chỉ được dùng cho các tính năng trong ứng dụng như "tiếp tục từ vị trí đã dừng lại". 19 sự kiện TELEMETRY được tải lên theo lô qua Wi-Fi. 7 sự kiện SUPPORT chỉ được tải lên khi phụ huynh hoặc quản trị viên đội thiết bị bật rõ ràng chế độ hỗ trợ.

3. Quy tắc ẩn danh

Mỗi sự kiện TELEMETRY đi qua một pipeline ẩn danh gồm 4 giai đoạn trước khi tải lên. Pipeline chạy trên thiết bị và được bootloader thực thi; ngay cả một ứng dụng bị xâm nhập cũng không thể vượt qua.

1. Loại bỏ mã định danh — Số serial thiết bị được thay bằng một salt xoay vòng theo mỗi lần khởi động. Salt là một giá trị ngẫu nhiên 128-bit được tạo lại mỗi lần khởi động nguội.
2. Quy gộp giá trị — Độ trễ được làm tròn đến 10 ms gần nhất. Mức pin được làm tròn đến 5% gần nhất. Tra cứu từ điển được nhóm theo các cấp CEFR.
3. Băm dấu vết — Dấu vết ngăn xếp được băm với salt theo đội thiết bị. Salt được xoay vòng hằng tháng và không bao giờ được tải lên.
4. Tổng hợp tại nguồn — Các sự kiện đơn lẻ được tổng hợp thành các cửa sổ 15 phút trên thiết bị. Thiết bị tải lên một bản ghi cho mỗi cửa sổ, không phải 30 sự kiện riêng lẻ.

Bản ghi tổng hợp chứa: mốc thời gian cửa sổ, ID đội thiết bị (một mã băm 32-bit của khóa con OEM phụ), model, phiên bản firmware, mã vùng và 6 bộ đếm chỉ số. Bản ghi không chứa serial thiết bị, tên phụ huynh, tên trẻ, hoặc bất kỳ nội dung nào trẻ đã chạm vào.

4. Lịch tải lên và ghép lô

Việc tải lên chỉ diễn ra qua Wi-Fi, không bao giờ qua mạng di động (chúng tôi không tích hợp modem di động). Lịch mặc định là:

Một bút điển hình tải lên 1–3 bản ghi đã gom theo lô mỗi ngày, tổng cộng 18–54 KB. Trên một đội thiết bị 12.000 bút trong một tuần học, dung lượng tải lên là 1,6–4,8 GB mỗi tuần, nằm gọn trong một đường truyền băng thông rộng doanh nghiệp.

5. Quan điểm GDPR / COPPA / PIPL / LGPD

Hành vi telemetry mặc định khác nhau theo khu vực pháp lý. Nhà máy thiết lập mặc định dựa trên quy định của nơi đến giao hàng.

Ở mọi khu vực pháp lý, phụ huynh hoặc quản trị viên đội thiết bị có thể tắt telemetry mà không mất quyền bảo hành, không mất quyền truy cập cập nhật OTA, và không mất quyền hỗ trợ. Tính năng duy nhất bị tắt khi từ chối là bảng điều khiển sức khoẻ đội thiết bị, vì bảng điều khiển này cần telemetry tổng hợp để hoạt động.

6. Bảng điều khiển chỉ số sức khoẻ đội thiết bị

Với các đối tác OEM và nhà khai thác đội thiết bị lớn, bảng điều khiển telemetry hiển thị 9 chỉ số ở cấp đội thiết bị. Không chỉ số nào có thể truy xuất xuống đến số serial của một thiết bị đơn lẻ.

Bảng điều khiển được miễn phí cho đội bút trên 5.000 chiếc. Dưới mức đó, chi phí là 0,04 USD mỗi bút mỗi năm, thanh toán hàng tháng.

7. Trực quan hóa SVG quy trình Telemetry và hỗn hợp chỉ số

8. Chi phí

Mẹo cho người mua: Đối với triển khai tại EU trên 10.000 bút, hãy yêu cầu một giấy chứng nhận xóa dữ liệu mẫu từ cổng thông tin trước khi ký PO. Giấy chứng nhận là PDF 1 trang ghi dấu thời gian xóa và SHA-256 của tập bản ghi đã xóa.

8. Phụ lục: Ví dụ thực tế về ẩn danh hóa và danh mục lớp sự kiện

8.1 Ví dụ thực tế về ẩn danh hóa

Lấy chuỗi sự kiện thô dưới đây, được ghi lại trên một chiếc Q8 thực tế trong triển khai tại một trường học ở Ả Rập Xê Út. Chúng tôi truy vết từng bước của quy trình ẩn danh hóa 4 giai đoạn.

Thô oid.lookup sự kiện được ghi trên thiết bị (cửa sổ mẫu, 14:00–14:15 giờ địa phương):

14:02:11  oid.lookup  serial=QC8-24-118-00472  lat=98ms  page=412  word="الفيل"
14:03:48  oid.lookup  serial=QC8-24-118-00472  lat=104ms page=412  word="يمشي"
14:05:22  oid.lookup  serial=QC8-24-118-00472  lat=88ms  page=412  word="ببطء"
14:09:17  oid.lookup  serial=QC8-24-118-00472  lat=101ms page=412  word="في"
14:11:46  oid.lookup  serial=QC8-24-118-00472  lat=94ms  page=412  word="الحديقة"

Giai đoạn 1 — loại bỏ định danh. Số serial được thay bằng một salt xoay theo từng lần khởi động 128-bit, sau đó băm thành ID bucket 32-bit. ID bucket 0x4A12F8E1 không thể bị đảo ngược về serial mà không có salt, và salt sẽ bị xóa ở lần khởi động nguội kế tiếp.

Giai đoạn 2 — phân nhóm giá trị. Độ trễ được làm tròn đến 10 ms gần nhất. Trang được phân nhóm thành CEFR A1 (trang 1–500), A2 (trang 501–1,200), B1 (trang 1,201–2,000).

Giai đoạn 3 — băm vân tay. Không có stack trace trong cửa sổ này.

Giai đoạn 4 — tổng hợp tại nguồn. 5 sự kiện được gộp lại thành một bản ghi.

Kết quả: một bản ghi được tải lên lúc 14:15:

{
  "fleet_id":   "0x4A12F8E1",
  "model":      "Q8",
  "fw":         "3.3.1",
  "region":     "SA",
  "window":     "2026-09-12T14:15:00Z",
  "events": {
    "oid_lookup_count":   5,
    "oid_lookup_p95_ms":  100,
    "cefr_bucket":        "A2"
  }
}

Đây là những gì dashboard đội thiết bị nhìn thấy. Không có đường nào quay lại trẻ, phụ huynh hay cây bút cụ thể — ID nhóm sẽ xoay vòng ở mỗi lần khởi động.

8.2 Bảng Liệt Kê Đầy Đủ Các Lớp Sự Kiện (n = 44)

Toàn bộ phân loại sự kiện, được nhóm theo hệ thống con và chế độ mặc định:

Trong tổng số 44 sự kiện, có 18 sự kiện LOCAL, 19 sự kiện TELEMETRY và 7 sự kiện SUPPORT. Danh mục đầy đủ được công bố trên cổng OEM trong mẫu đánh giá tác động quyền riêng tư.

10. Trực quan: Phân bố lớp sự kiện và ngân sách băng thông

Hình minh họa dưới đây kết hợp biểu đồ tròn của ba lớp sự kiện (LOCAL/TELEMETRY/SUPPORT) với cột ngân sách băng thông hàng tháng trên mỗi bút. Con số 152 KB là giá trị hợp đồng công khai mà chúng tôi chia sẻ với bộ phận mua sắm của trường.

Bài viết liên quan

• Bút đọc và Bảo vệ dữ liệu GDPR tại EU
• Bút đọc COPPA và Kiểm chứng của phụ huynh
• Kiến trúc đám mây IoT của Bút đọc MQTT
• Cơ chế cập nhật Firmware OTA cho Bút đọc
• Mã hóa dữ liệu bút đọc AES-128 so với AES-256
• Chương trình Bút đọc OEM