GBT 43964-2024 家用和類似用途電自動控制器空中下載（OTA）技術要求

家用和類似用途電自動控制器空中下載(OTA)技術要求2024-04-25發(fā)布2024-11-01實施國家市場監(jiān)督管理總局國家標準化管理委員會I前言 l2規(guī)范性引用文件 13術語和定義 14縮略語 35升級方式分類 35.1按發(fā)現(xiàn)機制 5.2按升級內容 36要求 36.1服務平臺要求 36.2升級包要求 46.3控制器要求 46.4升級過程要求 56.5管理要求 6.6其他要求 7附錄A(資料性)升級包格式規(guī)范 9附錄B(規(guī)范性)通信能力測試方法 B.1測試環(huán)境 B.2通信能力測試 附錄C(規(guī)范性)升級過程測試方法 C.1測試環(huán)境 C.2升級發(fā)起階段測試 C.3預升級檢查階段測試 C.4下載階段測試 C.5切換安裝階段測試 C.6空中升級成功率測試 附錄D(規(guī)范性)靜默升級測試方法 D.1測試環(huán)境 D.2測試方法 ⅢGB/T43964—2024本文件按照GB/T1.1—2020《標準化工作導則第1部分：標準化文件的結構和起草規(guī)則》的規(guī)定起草。本文件由中國電器工業(yè)協(xié)會提出。請注意本文件的某些內容可能涉及專利。本文件的發(fā)布機構不承擔識別專利的責任。本文件由全國家用自動控制器標準化技術委員會(SAC/TC212)歸口。本文件起草單位：合肥美的電冰箱有限公司、杭州鴻雁電器有限公司、廣東中創(chuàng)智家科學研究有限公司、中國電器科學研究院股份有限公司、海信空調有限公司、海爾優(yōu)家智能科技(北京)有限公司、美的集團股份有限公司、上海海思技術有限公司、中移物聯(lián)網有限公司、北京小米電子產品有限公司、深圳和而泰智能控制股份有限公司、珠海格力電器股份有限公司、青島海信日立空調系統(tǒng)有限公司、電子科技大學、威凱檢測技術有限公司、廣東萬和新電氣股份有限公司、卡奧斯創(chuàng)智物聯(lián)科技有限公司、青島海爾科技有限公司、博西華電器(江蘇)有限公司、上?？平j達云軟件技術有限公司、無錫小天鵝電器有限公司、佛山市雅潔源科技股份有限公司、廣東美的廚房電器制造有限公司、上海艾拉比智能科技有限公司、大金(中國)投資有限公司、海信(廣東)空調有限公司、深圳市晟瑞科技有限公司、青島國創(chuàng)智能家電研究院有限公司、中移(杭州)信息技術有限公司、施耐德電氣(中國)有限公司深圳分公司、青島海爾智能技術研發(fā)有限公司、中山市奧創(chuàng)通風設備有限公司、浙江紹興蘇泊爾生活電器有限公司、谷輪環(huán)境科技(蘇州)有限公司、箭牌家居集團股份有限公司、廈門華聯(lián)電子股份有限公司、深圳市酷開網絡科技股份有限公司、深圳拓邦股份有限公司、澳柯瑪股份有限公司、代傲電子控制(南京)有限公司、浙江哈爾斯真空器皿股份有限公司、佛山市雅潔源科技股份有限公司、浙江飛哲工貿有限公司、汕頭市天際電器實業(yè)有限公司、寧波行行行標準技術有限公司、廣東順德凝卓智能科技有限公司、廣東智科電子股份有限公司、中家院(北京)檢測認證有限公司、江陰市志駿電器線纜有限公司、寧波歐知電器科技有限公司、寧波帥威電器有限公司、寧波思朗智能科技發(fā)展有限公司、廣東當家人智能電器有限公司、智恒(廣東)家用電器科技有限公司、中山市迪生電氣有限公司、廣東超勇檢測技術有限公司、廣東錦亞科技有限公司、浙江宜居裝飾材料有限公司、三門康創(chuàng)電子科技有限公司、深圳市發(fā)掘科技有限公司、中山市嘉科電子有限公司、平湖李挺機械制造有限公司、中山市至拓智能控制系統(tǒng)有限公司、浙江安雅智能科技有限公司、山東遙思智能科技有限公司、義烏市全義模具產業(yè)發(fā)展有限公司、深圳盈特創(chuàng)智能科技有限公司、深圳市智微智能科技股份有限公司、深圳市景欣泰家居用品有限公司、浙江西盈科技股份有限公司、浙江協(xié)美科技有限公司。本文件主要起草人：武繼榮、費斌、田云龍、孫杰英、景意新、別清峰、付偉、陳林、鮑海森、李波、沈援海、趙小平、汪顯方、范凌云、張文強、李蒙、曹詩亮、莊偉瑋、孫穎楷、李勇德、鄧邱偉、馬成東、張作強、單平、謝岳榮、陳虢、李曉榕、歐亮、崔世名、張友福、劉愷、蘆小山、夏月飛、林鎮(zhèn)城、柯金銘、饒森淼、李百堯、金輪、馬志軍、柯賜龍、聞人建鑫、施冬冬、蔣惠興、王哲思、鄭贊文、倪燎勇、張德軍、1家用和類似用途電自動控制器空中下載(OTA)技術要求1范圍本文件規(guī)定了家用和類似用途電自動控制器(以下簡稱“控制器”)空中下載(OTA)的分類、要求，描述了相關的測試方法。本文件適用于帶空中下載功能的家用和類似用途的控制器。本文件不適用于電視機、手機、計算機等音視頻及信息類產品的控制器。2規(guī)范性引用文件下列文件中的內容通過文中的規(guī)范性引用而構成本文件必不可少的條款。其中，注日期的引用文件，僅該日期對應的版本適用于本文件；不注日期的引用文件，其最新版本(包括所有的修改單)適用于本文件。GB/T14536.1—2022電自動控制器第1部分：通用要求GB/T35273—2020信息安全技術個人信息安全規(guī)范GB/T41387—2022信息安全技術智能家居通用安全規(guī)范3術語和定義下列術語和定義適用于本文件運行在控制器上的特定應用程序或系統(tǒng)組件的代碼、數(shù)據和文件等。固件firmware燒錄并存儲在硬件(芯片、控制器)上使其運行和控制相應功能的軟件。一種通過網絡將軟件、固件等數(shù)據從遠程服務器傳輸?shù)娇刂破髦羞M行更新、安裝或配置的方法和過程。固件空中下載firmwareover-the-air;FOTA通過網絡對控制器中的固件進行遠程升級的過程。軟件空中下載softwareover-the-air;SOTA通過網絡對控制器中的軟件進行遠程升級的過程。2升級包upgradepackage用以更新控制器的固件或軟件的內容及配置信息，以一定格式形成的數(shù)據包。差分更新deltaupdateOTA的一種更新方法，升級包包含新舊版本之間的差異數(shù)據，以提高傳輸和升級效率。全量更新fullupdateOTA的一種更新方法，升級包包含整個新版本數(shù)據，直接替換用于控制器運行?？刂破魃现挥幸粋€運行分區(qū)，替換分區(qū)內容時無法保持功能運行的更新機制。多分區(qū)更新multipartitionswitchupdate控制器上有兩個以上運行分區(qū)，替換備用分區(qū)內容時保持功能運行的更新機制。在升級后的版本未能通過確認或檢測時，控制器恢復到之前的固件或軟件版本的過程?？罩邢螺d服務平臺OTAplatform用于管理和部署OTA升級機制的服務軟件平臺?？刂破魃瞎芾韱舆^程的程序，使控制器能夠加載固件或軟件。切換安裝upgradeinstallation控制器將升級包包含的新版本固件或軟件安裝在控制器上的過程?？刂破靼凑展δ茉O計中規(guī)定的持續(xù)工作狀態(tài)。完整性驗證數(shù)據integrityvalidationdata用以檢測數(shù)據或文件中錯誤或變化的值。預升級檢查pre-upgradecheck在開始OTA升級之前，檢查控制器的當前狀態(tài)和條件的過程。跟蹤和管理不同版本的固件或軟件的不同版本的過程。輔助升級工具auxiliaryupgradetool獨立于控制器外，實現(xiàn)連接服務器并處理如下載/解密/轉發(fā)等輔助控制器完成升級的工具。3本地升級localupgrade借助輔助升級工具完成固件或者軟件切換更新的方法。4縮略語下列縮略語適用于本文件。CAN:控制器局域網總線(ControllerAreaNetwork)CDN:內容分發(fā)網絡(ContentDeliveryNetwork)CNNVD:中國國家信息安全漏洞庫(ChinaNationalVulnerabilityDatabaseofInformation)CNVD:國家信息安全漏洞共享平臺(ChinaNationalVulnerabilityDatabase)PLC:可編程邏輯控制器(ProgrammableLogicController)RSSI:接收的信號強度指示(ReceivedSignalStrengthIndication)SLA:服務等級協(xié)議(Service-LevelAgreement)Wi-Fi:無線網絡通信技術(WirelessFidelity)2G:第二代移動通信技術(the2ndGenerationMobileCommunicationTechnology)3G:第三代移動通信技術(the3rdGenerationMobileCommunicationTechnology)4G:第四代移動通信技術(the4thGenerationMobileCommunicationTechnology)5G:第五代移動通信技術(the5thGenerationMobileCommunicationTechnology)5升級方式分類5.1按發(fā)現(xiàn)機制根據實現(xiàn)空中下載的機制，控制器的升級方式可分為以下三類。a)命令升級：通過控制器本地的控制界面或配套的移動應用界面，由人工操作發(fā)起版本查詢，反饋結果并得到確認后開始的空中升級。b)推送升級：控制器及其空中下載服務平臺在運行中，通過提前設定的機制，自動進行版本查詢。當有可升級版本時，在控制器本地的控制界面或配套的移動應用界面中提示信息，由人工操作確認后開始的空中升級。c)靜默升級：控制器及其空中下載服務平臺在運行中，通過提前設定的機制，進行版本查詢。當有可升級版本時，直接完成對控制器的升級。GB/T14536.1—2022附錄H中規(guī)定的C類控制器，不允許進行靜默升級。5.2按升級內容根據更新內容及目標不同可分為固件升級(FOTA)和軟件升級(SOTA)。6要求6.1服務平臺要求空中下載服務平臺應至少包含以下內容：a)建立所需升級產品信息庫，至少包括產品類型、控制器能力；4b)建立產品生命周期所需的版本庫，并存儲每個版本的文件；c)建立升級策略配置能力，至少包括升級產品配置、版本配置、發(fā)布配置以及安全配置；d)收集控制器升級各階段狀態(tài)信息，用于OTA數(shù)據分析和問題追蹤。進行OTA升級管理時，空中下載服務平臺記錄升級信息，應至少包含以下內容：a)控制器的唯一識別碼；b)控制器每次升級的版本信息；c)控制器每次升級的時間、是否成功的信息；d)控制器升級異常時的錯誤信息。以上信息應至少保留存儲10年，并能進行訪問控制。空中下載服務平臺運行所涉及到的服務器(云服務器或者物理服務器)、存儲設施、安全監(jiān)控設施等a)SLA應達到99.9%;b)宜設計為彈性可擴容；c)升級包下載宜引入CDN。6.2升級包要求升級包的通用要求如下：a)升級包應具有唯一的標識，且與OTA平臺標識一一對應；b)升級包應包含完整性驗證數(shù)據；c)當全量更新的升級包大小超過100M時，宜采用差分更新等方式縮小升級包，使用差分更新時應有相關算法工具標識；d)升級包格式規(guī)范參照附錄A。升級包的安全要求如下：a)升級包不應使用包含CNVD/CNNVD公布的超過90d的高危及以上漏洞的第三方庫和開源組件；b)升級包中不應包含惡意代碼；c)升級包宜采用混淆或者加殼等機制防止直接讀取代碼；d)升級包宜經過第三方漏洞和安全掃描工具的認證；類控制器，其升級包的數(shù)據校驗，應采用GB/T14536.1—2022中H.12.12.2.3和H.12.12.2.4的方法或其他能證明可提供等效或更高的安全水平的方法。6.3控制器要求控制器宜采用模塊化設計，如網絡通信部件可使用相應標準模塊化設計，使其與控制器主控部分軟5硬件分離。6.3.2連接能力要求控制器應具備以下一種或者多種連接能力：6.3.3通信能力要求控制器通信能力的測試按附錄B的方法，要求如下：a)聯(lián)網后持續(xù)收發(fā)數(shù)據的丟包率應不大于0.3%;b)聯(lián)網后通信系統(tǒng)連接可用率應不低于99.9%,單次離線時長應不超過2min;c)直接聯(lián)網的控制器，網絡下載的速度應不低于20KB/s;d)控制器應具備斷網重連功能。控制器的相關設計要求如下：a)控制器中涉及個人信息安全的部分，應符合GB/T35273—2020中第5章～第10章的要求；b)控制器物理安全，應符合GB/T41387—2022中6.1的要求；c)應對固件/軟件進行安全保護(如關閉硬件調試接口等),防止通過串口讀取等常規(guī)手段從設備中提取關鍵代碼及敏感數(shù)據。控制器的標示要求如下：a)控制器應具備網絡標示，宜具備空中升級的標示；b)硬件版本應被清晰明確的標示；c)固件/軟件版本，宜在控制器本地的控制界面或配套的移動應用界面展示給用戶?？刂破饔啥鄠€子系統(tǒng)組成時，要求如下：a)子系統(tǒng)通過級聯(lián)、總線等方式，應能與網絡通信部件進行數(shù)據傳輸；b)子系統(tǒng)提供空中下載功能時，其連接、通信、安全、標示要求應同樣滿足；c)完成空中下載時，子系統(tǒng)間有順序要求等兼容性關系的，應明確說明。6.4升級過程要求6.4.1升級發(fā)起階段升級包上傳至空中下載服務平臺，通過命令升級、推送升級或靜默升級方式發(fā)起OTA升級階a)升級包上傳至空中下載服務平臺時，應進行有效性驗證。b)服務器存儲升級包時，應至少包含以下信息：——升級包應用的產品類型及版本；——升級包更新需要的空間大小；——升級包更新的內容。6c)進行OTA升級管理時，廠商記錄的升級信息應至少包含：——升級的目的；——升級可能影響設備的功能；——目標設備，及其最新已知配置和升級兼容性的數(shù)據信息；——如何執(zhí)行升級以及執(zhí)行升級的先決條件。d)有定時自動發(fā)起版本查詢的機制時，時間間隔不應超過24h,如定時間隔中有其他查詢進e)發(fā)起版本查詢，應有重試和超時退出機制，版本查詢的結果宜在空中下載服務平臺有記錄。f)在版本查詢的過程中，控制器發(fā)生斷網或電源中斷的情況，恢復正常后應能繼續(xù)或重新進行版本查詢。6.4.2預升級檢查階段控制器從空中下載服務平臺取得升級包信息，并進行預升級檢查的階段?？刂破髡＿M入下載階a)升級包大小不超出控制器內可用空間；b)控制器當前工作狀態(tài)符合OTA升級的狀態(tài)要求；c)對于能源供應為電池的控制器，應明確OTA升級所需的電量，控制器當前電量不應小于OTA升級所需電量，宜在顯示界面給予保證電量和有效供電的提示；d)除靜默升級外，在固件/軟件下載開始前，應具備取消下載動作的功能；e)預升級檢查的結果宜有上報到空中下載服務平臺的功能；f)控制器執(zhí)行預升級檢查時，控制器應正常工作，不影響用戶使用。控制器與空中下載服務平臺通信，將目標升級包從空中下載服務平臺或CDN節(jié)點下載到本地并a)對于GB/T14536.1—2022附錄H中規(guī)定的B類或C類控制器，其固件/軟件傳輸過程和存儲過程中進行的數(shù)據校驗，應采用GB/T14536.1—2022中H.12.12.2.3和H.12.12.2.4的方法或其他能證明可提供等效及更高的安全水平的方法進行；b)若固件/軟件下載會影響控制器的功能運行，下載前應確認是否中斷用戶使用，若不符合條件，應啟動相應的升級退出或者延時流程，當正在執(zhí)行有時序要求的任務時(如烹飪、洗滌、除霜等對子單元任務發(fā)生的先后順序或時間間隔有既定的要求)宜完成當前任務后進行下載；c)在固件/軟件下載階段，若控制器出現(xiàn)超過60s原有功能不能正常工作的情況，應在控制器本地的控制界面或配套的移動應用界面給予用戶升級包下載剩余時間預期的提示，如進行的是局部功能的SOTA,不影響控制的基本功能，在用戶沒有使用該功能時可不予提示；d)在固件/軟件下載階段，若控制器出現(xiàn)斷網或電源中斷的情況，恢復后應保持功能正常；e)控制器應將升級包下載的結果上報到空中下載服務平臺；f)若OTA升級是在控制器功能運行中進行，該固件/軟件下載不應影響設備運行安全。6.4.4切換安裝階段控制器將下載完成的升級包進行安裝，并切換為運行固件或運行軟件的階段，要求如下：a)控制器應對升級包進行完整性校驗，若未確認其完整性，則控制器應拒絕進行更新；b)控制器切換安裝前應確認是否會中斷用戶使用，若不符合條件，應啟動相應的升級退出或者延時流程，當正在執(zhí)行有時序要求的任務時(如烹飪、洗滌、除霜等對子單元任務發(fā)生的先后順序7或時間間隔有既定的要求)宜完成當前任務后完成切換；c)在執(zhí)行切換安裝時，若控制器出現(xiàn)超過60s原有功能不能正常工作的情況，應在控制器本地的控制界面或配套的移動應用界面給予用戶升級剩余時間的提示，如進行的是局部功能的SOTA,在用戶沒有使用該功能時可不予提示。當單分區(qū)更新無法滿足要求時，宜考慮使用多分區(qū)更新等方法減少不能正常工作的時間；d)控制器切換安裝完成后應滿足以下要求：——控制器能正常運行；——控制器升級后的版本號與升級包的版本號一致。e)在切換安裝的過程中，出現(xiàn)電源中斷的情況后恢復，控制器應能正常使用且能正確執(zhí)行以下操作中的一種或多種：——等待一段時間后，引導程序繼續(xù)執(zhí)行升級包更新操作；——回滾到升級前版本；——恢復出廠設置。f)切換安裝的結果，應有上報到空中下載服務平臺的功能?？刂破鞯目罩猩墤M行可靠性測試，測試方法按附錄C進行，成功率不應低于99.99%。6.5管理要求在提供空中下載功能時，在管理體系上應滿足以下要求：a)建立OTA升級的管理和控制機制，包括版本控制、升級請求審批和用戶反饋管理等；b)制定OTA升級的策略和計劃，包括升級范圍、發(fā)布流程、更新機制等；c)建立OTA升級的版本倉庫，包括出廠生產版本、后續(xù)發(fā)布版本，并確保所有升級版本與版本倉庫的一致性；d)建立OTA升級的應急處理機制，包括升級失敗時的版本回滾、遠程指導、上門服務、異常檢測等。6.6其他要求控制器進行固件升級FOTA時，滿足以下要求：a)有操作系統(tǒng)的控制器，固件升級應支持操作系統(tǒng)更新；b)固件升級宜同時支持本地升級和遠程升級；c)執(zhí)行固件切換安裝過程的引導程序宜具備自診斷、自修復和自升級的功能。6.6.2靜默升級方式要求采用靜默升級方式，按附錄D的測試方法，滿足以下要求。a)應明確告知用戶控制器具備空中下載功能和靜默升級機制，并說明靜默升級的觸發(fā)機制、可能引起的風險和主要解決方案并獲得用戶首肯，告知方式可為移動應用界面、本機應用界面等方式。同時，用戶在不需要靜默升級時應有關閉功能。b)控制器如能源供應為電池或采用對能源供應有限制的方式時，靜默升級不應進行。注：能源供應有限制，如對供電的時間段有限制等可能導致升級有可預見的中斷風險的情況。8c)在靜默升級過程的下載階段，控制器應能保持正常工作，對于可以遠程控制的控制器，其基于網絡的遠程控制功能應正常。d)有計時或者類似功能的控制器，在下載階段其時間基準的偏差應不大于2%;有指示自然時間或記錄一段時間的長短的測量功能的控制器，如鐘表或烹飪計時器。注：提供粗略預估時間的控制器不在此范圍內，如洗衣機控制器。e)在靜默升級過程中，控制器的功能喪失的時間應小于3s;控制器完成切換后，如涉及系統(tǒng)重新啟動，系統(tǒng)啟動時間不計入功能喪失的時間。當單分區(qū)更新無法滿足要求時，宜使用多分區(qū)更新等方式減少控制器功能喪失的時間。f)在固件/軟件完成切換動作，不應影響控制器的工作狀態(tài)，如控制器的待機/運行狀態(tài)及用戶設定、空調控制器的開機/待機和溫度設定等。g)對于含蜂鳴器等發(fā)聲器件的控制器，在進行靜默升級的過程中，不應產生額外噪聲。9(資料性)升級包格式規(guī)范A.1升級包格式規(guī)范參見圖A.1。A.2升級包信息至少包括升級包類型為差分更新或全量更新、升級固件的地址空間、升級包數(shù)據偏A.3升級包可是單個固件，也可是多個固件的不同形式的升級包的組合包。升級包標識校驗碼團件數(shù)量N固件1信息團件N信息周件1升級包固件2升級包***周件N升級包圖A.1升級包格式規(guī)范(規(guī)范性)通信能力測試方法B.1測試環(huán)境B.1.1無線通信測試B.1.1.1采用Wi-Fi技術升級測試使用Wi-Fi升級的控制器，測試條件如下：——測試用路由器、控制器位于同一測試房間，控制器分布于路由器半徑5m范圍內；——在測試房間內測得的同頻Wi-Fi干擾信號RSSI值均小于一65dBm;——測試路由器下的不運行視頻播放等高流量應用，路由可用上下行速率不低于1Mb/s。使用藍牙或zigbee、sigmesh等技術升級的控制器，測試條件如下： 輔助升級工具不運行其他占用內存應用，不播放視頻或其他高流量應用；——使用藍牙傳輸?shù)妮o助升級工具與控制器距離不超過10m,不要有遮擋物；——輔助升級工具或控制器能正常接收信號。——控制器應當掛載相應天線，并確保廣域網通信信號強度和連接質量；——控制器應當確保運營商的SIM卡可正常工作，流量包滿足升級要求。B.1.2有線通信測試條件支持RS485、CAN、以太網、PLC等總線通信技術升級的控制器，測試儀器應當支持對應接口，并配備上位機進行升級業(yè)務配置B.2.1丟包率測試控制器聯(lián)網或連接指定的輔助升級工具后，使用廠商提供的工具或指令集，以500ms的周期發(fā)送指令并監(jiān)控應答，各發(fā)送5000個數(shù)據包，并統(tǒng)計丟包率，應滿足6.3.3a)的要求。B.2.2連接可用率測試被監(jiān)測的控制器數(shù)量應不少于5臺，所有設備的總監(jiān)測時間累計應不少于500h?？刂破髀?lián)網或連接指定的輔助升級移動終端后，后臺記錄統(tǒng)計離線事件發(fā)生的次數(shù)和時間，并計算系統(tǒng)連接可用率，應滿足6.3.3b)的要求?？刂破髀?lián)網或連接指定的輔助升級終端后，通過工具或指令集觸發(fā)數(shù)據持續(xù)下載，至少持續(xù)GB/T43964—2024B.2.4.1在控制器或其指定的輔助升級終端聯(lián)網后，關閉其電源，等待30s后重新開啟電源，待其自動B.2.4.2在控制器聯(lián)網后，關閉路由器電源，等待30s后重新開啟電源，待路由器正常工作后，再等待30s,檢查控制器是否在線，檢查功能是否滿足6.3.3b)的要求。升級過程測試方法C.1測試環(huán)境C.1.1空中下載服務平臺正常運行。C.1.2