ファームウェアリスクの推定値が低減しても、依然としてリリース境界が必要

改善された推定値であってもリリース方針に不合格となる場合があります

リリースラベルは意図を記述するものにすぎません。プレフライトでは、提案された挙動を、それを受信するフリートに照らして検証する必要があります。本デモでは、バッテリーの状態、無線リカバリ、およびフラッシュの摩耗がモデル化された障害に影響を与えるため、平均的な改善値だけでは候補が宣言されたリスク境界を満たしているかどうかを判断できません。

本検証事例では、Plano Waterと名付けられた生成フリートと合成ファームウェアマニフェストを使用しています。初期のバッテリー最適化の推定では、スコアリング対象の86,078件のエンドポイントのうち63,883件の障害が予測されます。突入電流を制限したホットフィックスによりその推定値は2,449件に減少しますが、その上限モデル化率は4.10%にとどまります。どちらも同一の3.0%上限リスクルールに基づきNO-GOを受けます。

この違いはプレフライトの証拠を検証する際に極めて重要です。どの母集団がスコアリングされたのか、不確実性には何が含まれているのか、そしてどのルールがリリースを許可するのかを問う必要があります。以前の候補との有利な比較は、それらの疑問のうち1つにしか答えられません。

推定された改善からリリース境界までのホットフィックスを追跡する

ここに表示されているフリート、マニフェスト、バージョンラベル、および記録はすべて合成されたものです。これらの実際のキャプチャは、キャッシュされたモデル支援プロファイル、200回のモンテカルロ反復、およびシード1234を使用しています。モデル化された推奨判定は、実行されたファームウェアリリースや現場での安全性の独立した証拠ではありません。

具体例：はるかに低い推定値、同一のNO-GO判定

まず、生成されたPlano Waterの88,000件のエンドポイント母集団から始めます。このスナップショットは86,078件をスコアリングし、テレメトリが不十分な1,922件を除外します。改善と残存するリリース境界を個別に検証できるよう、初期のバッテリー最適化マニフェストと突入電流制限ホットフィックスを同一の母集団および方針に対して比較します。

1. リリースラベルを信頼する前に挙動推定値を検証する

初期のキャッシュされたプロファイルは、120 mAのベースラインモデム電流に加え、フラッシュ書き込み中の100 mAの追加電流を推定します。リセット後のリカバリ確率は0.02です。ホットフィックスプロファイルは、これらの入力をベースライン100 mA、追加電流10 mA、リカバリ確率0.96に変更します。これらはチェンジログ由来の推定値であり、ハードウェア上で測定された電流やファームウェアバイナリの解析結果ではありません。

生成された母集団のバッテリー充電率の中央値は69.0%、年数の中央値は4.4年です。想定される電圧降下モデルでは、端子電圧が3.30 Vを下回るとフラッシュ書き込みによってリセットが発生する可能性があり、無線リカバリの失敗とフラッシュの破損がモデル化された障害の要因となります。Highの信頼度トークンは、それらの入力に関する較正された確実性を確立するものではありません。

2. 上限区間と宣言された境界値を比較する

初期の候補では、スコアリング対象エンドポイントの74.22%に相当する63,883件の障害が予測されます。ホットフィックスによりその予測は2,449件（2.85%）に低下します。これはモデル上大幅な改善ですが、ゲートはまず上限区間をチェックします。3,531を86,078で割ると約4.10%となり、設定された3.0%のハードブロックを依然として上回っています。したがって、平均値が3.0%を下回っていてもNO-GOを返します。

ホットフィックスの90%モデル化カウント区間は1,536〜3,531件です。これはこれらの入力値におけるシミュレーション結果のばらつきを示すものであり、現場での保証範囲ではありません。実際のレビューにおける本質的な違いは、「以前の候補より優れているか」と「宣言されたリリース境界内に収まっているか」の間にあり、本例は前者しか満たしていません。

3. 挙動プロファイルを維持し、母集団を変更する

同一のホットフィックス挙動推定値でも、生成されたHill Country Electric Co-op母集団ではGO判定となります。Planoの69.0%、4.4年、13.4%に対し、この母集団ではバッテリー充電率の中央値が83.5%、年数の中央値が2.8年、微弱な無線信号が2.3%を占めます。この比較は、ファームウェアの推定値がスコアリング対象母集団の状態と切り離せない理由を示しています。

GO判定は、除外された1,778件のCo-opエンドポイントをカバーするものではなく、OTAジョブを承認するものでも、同一イメージが異なるベンダーのハードウェアと互換性があることを示すものでもありません。私たちは生成された健全性分布全体にわたる推定書き込み挙動を比較しているのであり、製造元をまたいでイメージをデプロイしているのではありません。

4. 小さな推定値であっても適切なファームウェアの証拠を代替できない

Co-op母集団における簡易マニフェストの事例では、予測障害数はわずか54件、カウント区間は39〜75件、上限率は0.06%です。プロファイルの信頼度が低いため、第2のポリシー分岐によりGOが阻止され、STAGED-CANARYが推奨されます。これは異なるプロファイルであり、ホットフィックスの0.96および0.004に対し、リカバリ確率は0.50、書き込み増幅は0.008です。

GO以外の推奨判定では、最もモデル化リスクの低い500件のエンドポイントコホート、72時間の保留、および展開拡大前の新たな実測テレメトリが提案されます。設定された実測障害率の条件は0.1%未満です。本アプリはそのカナリア検証を実行しません。また、健全な選択コホートであっても、劣化または除外された母集団の安全性を証明するものではありません。

5. 除外機器と決定根拠を保存する

以下の初期事例のHTML記録は、推奨判定が合成スナップショット、コホート内訳、除外機器、および助言メモをどのように保持するかを示しています。テレメトリが欠落している1,922件のエンドポイントは予測分母から除外されたままであり、手動レビューが推奨されます。記録のエクスポートは、そのレビューを完了させるものでも、それらを健全と暗黙的に見なすものでもありません。

エクスポートには、プロファイル入力、予測および区間、ポリシー閾値、シード、タイムスタンプも保持されます。その識別子は切り詰められたSHA-256コンテンツハッシュであり、運用者署名は保留中、ファームウェアハッシュは合成プレースホルダーです。これらのフィールドにより生成された決定は検証可能になりますが、署名された承認、コンプライアンス証明書、または不変の監査アーカイブになるわけではありません。

レビューが必要な対照群を隠すことなくベンチマークを読み解く

完了画面では、固定された120シナリオの合成評価からの3つの測定値と、2つの現行プロファイル回帰対照群が組み合わされています。各評価シナリオは、完全に観測された20,000件の生成エンドポイントと80回のシミュレータ反復、シード2026を使用します。生成された真値は、独立した事業者データセットではなく、新たなノイズを加えた同一の想定メカニズムから得られます。

危険は生成障害率1.0%超と定義され、NO-GOおよびSTAGED-CANARYの双方がブロックとしてカウントされます。この評価では、この固定合成実行内で真陽性74件、偽陽性13件、真陰性33件、偽陰性0件が記録されています。合格した4つのチェックとレビューを要する1つのチェックは入力感度の高い不一致を明らかにするものであり、完全な精度、独立した検証、または普遍的な防止を証明するものではありません。

ファームウェアロールアウト前の質問事項