MeterGuard | 智慧電表韌體預檢

即使韌體風險估算有所改善，仍需明確的發布界限

合成修補程式大幅降低預測的電表故障率，卻仍獲得 NO-GO。我們展示電表群狀況、模型化不確定性與缺失證據如何共同塑造韌體推出建議。

11 分 55 秒操作逐步示範。合成電表群與資訊清單；非真實電表發布。

2.85%

修補程式平均模型化故障率

合成 Plano 案例，86,078 個計分端點

4.10%

模型化區間上限率

同一案例，90% 模型化計數區間

3.0%

設定的 NO-GO 界限

達到或高於此上限率即硬性阻斷

供公用事業 AMI 負責人與韌體變更負責人：檢視建議涵蓋範圍、觸發條件以及仍未解決的證據。

即使估算有所改善，仍可能未通過發布政策

發布標籤描述的是意圖。預檢需要針對將接收韌體的電表群，檢驗其擬議行為。在本示範中，電池狀況、無線電復原與快閃記憶體磨損皆會影響模型化故障，因此單憑平均改善無法回答候選版本是否符合宣告的風險界限。

本實作案例採用標記為 Plano Water 的生成電表群與合成韌體資訊清單。最初的電池最佳化估算在 86,078 個計分端點中預測了 63,883 次故障。突波受限修補程式將該估算降至 2,449 次，但其模型化上限率仍為 4.10%。在相同的 3.0% 上限風險規則下，兩者皆獲得 NO-GO。

檢視預檢證據時，這項區別至關重要：探究哪個群體接受了計分、不確定性包含哪些內容，以及哪條規則允許發布。與早期候選版本相比更有利，僅回答了其中一個問題。

從估算行為到可檢視的建議

估算寫入行為

韌體分析工具會讀取合成變更日誌，並估算數據機電流、額外快閃記憶體寫入電流、復原機率與寫入放大。記錄的範例採用快取的模型輔助特徵設定檔。當橋接輸出無法使用或無法剖析時，確定性啟發式方法可提供後備機制；兩種途徑皆未測量韌體二進位檔案。

為此電表群建立模型

Python/NumPy 使用假設機制為電壓降、重設、復原失敗與快閃記憶體損毀建立模型。每次預檢使用 200 次 Monte Carlo 迭代與種子 1234。90% 模型化計數區間是模擬計數的第 5 至第 95 百分位數，並非保證的現場涵蓋率。

政策順序	設定條件	建議
1. 上限風險	區間上限率達到或高於 3.0%	NO-GO
2. 證據信心度	低於硬性阻斷，但特徵設定檔信心度偏低	STAGED-CANARY
3. 平均風險	低於硬性阻斷，信心度不低且平均值等於或低於 0.5%	GO
4. 剩餘風險	低於硬性阻斷且平均值居中	STAGED-CANARY

確定性政策把關機制發出本地建議。治理裁決者事後撰寫建議備忘錄，無法直接覆寫判定結果。特徵設定檔的準確度仍至關重要，因為估算提供了模擬器的輸入。

缺失遙測的端點已從預測分母中排除，並建議進行人工審查。非 GO 建議提議選取 500 個模型化風險最低的端點、維持 72 小時觀察期，並依據觀察到的金絲雀遙測重新評估；擴大部署要求觀察到的故障率低於 0.1%。本應用程式既不執行金絲雀，也不執行審查。

追蹤修補程式從估算改善到發布界限的完整過程

此處顯示的所有電表群、資訊清單、版本標籤與記錄皆為合成。這些實際擷取採用快取的模型輔助特徵設定檔、200 次 Monte Carlo 迭代與種子 1234。模型化建議並非已執行的韌體發布，亦非現場安全性的獨立證據。

實作範例：大幅降低的估算，相同的 NO-GO

首先從生成的 Plano Water 群體（共 88,000 個端點）開始。該快照為 86,078 個端點計分，並排除了 1,922 個遙測不足的端點。我們針對相同的群體與政策，比較最初的電池最佳化資訊清單與突波受限修補程式，以便分別檢視改善成效與剩餘發布界限。

已選取合成 Plano 群體與初始電池最佳化資訊清單的 MeterGuard 輸入畫面。 — 預檢前的合成 Plano 群體與 STAR v4.2.1 資訊清單。供應商、版本、實驗室與現場報告措辭屬於編撰的測試固件，並非經過驗證的製造商或事故證據。開啟圖片以檢視全尺寸內容。

1. 在信任發布標籤之前，先檢視行為估算

最初的快取特徵設定檔估算基準數據機電流為 120 mA，加上快閃記憶體寫入期間的 100 mA 額外電流。其重設後的復原機率為 0.02。修補程式特徵設定檔將這些輸入變更為基準 100 mA、額外電流 10 mA 與復原機率 0.96。這些是衍生自變更日誌的估算，並非在硬體上測量的電流，亦非對韌體二進位檔案的分析。

相同合成 Plano 群體的估算輸入
特徵設定檔輸入	初始資訊清單	修補程式資訊清單
基準數據機電流	120 mA	100 mA
額外快閃記憶體寫入電流	100 mA	10 mA
重設後重新註冊機率	0.02	0.96
寫入放大	0.018	0.004
特徵設定檔信心代幣	High	High

生成群體的中位數電池電量為 69.0%，中位數年齡為 4.4 年。在假設的電壓降模型中，當端點電壓降至 3.30 V 以下時，快閃記憶體寫入可能導致重設；無線電復原失敗與快閃記憶體損毀會導致模型化故障。高信心代幣並不代表對這些輸入具有經過校準的確定性。

初始合成 Plano 結果：NO-GO，63,883 次模型化故障，74.22%，以及 59,894 至 67,395 的計數區間。 — 初始合成 Plano 案例：86,078 個計分端點中預測 63,883 次故障，平均率為 74.22%，模型化計數區間為 59,894 至 67,395。上限率為 78.30%；另有 1,922 個端點被排除。開啟圖片以檢視全尺寸內容。

2. 將區間上限與宣告的界限進行比較

初始候選版本預測 63,883 次故障，佔計分端點的 74.22%。修補程式將預測值降低至 2,449 次，即 2.85%。這是大幅度的模型化改善，但把關機制會優先檢查區間上限：3,531 除以 86,078 約為 4.10%，仍高於設定的 3.0% 硬性阻斷。因此，即使平均值低於 3.0%，它仍傳回 NO-GO。

合成 Plano 修補程式的 MeterGuard NO-GO 彈出視窗：2,449 次預測故障，2.85% 計分率，以及 1,536 至 3,531 的模型化區間。 — 合成 Plano 修補程式：86,078 個計分端點中預測 2,449 次故障，模型化計數區間為 1,536 至 3,531。其 4.10% 上限率在 3.0% 界限處觸發 NO-GO；1,922 個端點維持排除並建議進行人工審查。開啟圖片以檢視全尺寸內容。

修補程式的 90% 模型化計數區間介於 1,536 至 3,531 之間。它描述的是在這些輸入下模擬結果的離散程度，而非保證的現場範圍。實際審查的區別在於「優於早期候選版本」與「處於宣告的發布界限之內」；本範例僅滿足了前者。

3. 保留行為特徵設定檔，變更群體

相同的修補程式行為估算在生成的 Hill Country Electric Co-op 群體上產生 GO。其中位數電池電量為 83.5%，中位數年齡為 2.8 年，弱無線電訊號佔 2.3%，而 Plano 的相應數據分別為 69.0%、4.4 年與 13.4%。這項比較說明了為何韌體估算無法與受計分群體的狀況切割。

合成合作社修補程式結果：GO，24 次模型化故障，0.02%，以及 17 至 33 的計數區間。 — 在合成合作社群體上套用相同的快取修補程式行為特徵設定檔，為 118,222 個計分端點產生 GO：24 次模型化故障，17 至 33 的計數區間，以及 0.03% 上限率。1,778 個排除端點未涵蓋在內。這並未確立跨供應商韌體相容性或已完成的發布。開啟圖片以檢視全尺寸內容。

目前記錄的建議，附帶分母與不確定性
合成案例	計分／排除	平均模型化故障數	90% 計數區間	上限率	判定
Plano，初始資訊清單	86,078 / 1,922	63,883 (74.22%)	59,894 至 67,395	78.30%	NO-GO
Plano，修補程式	86,078 / 1,922	2,449 (2.85%)	1,536 至 3,531	4.10%	NO-GO
合作社，相同修補程式特徵設定檔	118,222 / 1,778	24 (0.02%)	17 至 33	0.03%	計分端點為 GO
合作社，精簡資訊清單	118,222 / 1,778	54 (0.05%)	39 至 75	0.06%	STAGED-CANARY

GO 並不涵蓋 1,778 個排除的合作社端點、授權 OTA 工作，或證明同一個映像檔與不同供應商的硬體相容。我們是在比較跨生成健康分布的估算寫入行為，而非跨製造商部署映像檔。

4. 微小的估算不能取代充分的韌體證據

合作社群體上的精簡資訊清單案例僅預測 54 次故障，計數區間為 39 至 75，上限率為 0.06%。其特徵設定檔信心度偏低，因此第二條政策分支阻止 GO 並建議 STAGED-CANARY。這是不同的特徵設定檔：復原機率為 0.50，寫入放大為 0.008，而非修補程式的 0.96 與 0.004。

合成合作社精簡資訊清單的 MeterGuard STAGED 彈出視窗：54 次模型化故障與阻止 GO 的低信心度特徵設定檔。 — 合成合作社精簡資訊清單案例：118,222 個計分端點中預測 54 次故障，計數區間為 39 至 75，上限率為 0.06%。低特徵設定檔信心度產生 STAGED-CANARY，在彈出視窗中顯示為 STAGED。1,778 個排除端點、擬議的金絲雀與人工審查仍未解決；未執行任何金絲雀或審查。開啟圖片以檢視全尺寸內容。

非 GO 建議提議選取 500 個模型化風險最低的端點群組、維持 72 小時觀察期，並在擴大部署前取得最新觀察到的遙測數據；設定的觀察故障率條件為低於 0.1%。應用程式並不執行該金絲雀。一個健康選取的群組亦無法證明劣化或排除的群體是安全的。

5. 保留排除項目與決策依據

下方的初始案例 HTML 記錄顯示建議如何保留合成快照、群組明細、排除項目與建議備忘錄。1,922 個缺失遙測的端點仍處於預測分母之外，並建議進行人工審查。匯出記錄並不會完成該審查，亦不會默認將其計為健康。

生成的初始案例決策記錄，顯示合成電表群組、1,922 個排除端點與待簽署的操作員簽名。 — 匯出的記錄針對初始合成 Plano STAR v4.2.1 案例，而非修補程式。它保留了群組明細、1,922 個排除項目、建議備忘錄、時間戳記與待簽署者。內容雜湊識別碼並非密碼編譯簽章，韌體雜湊亦為合成。任何可見的成本措辭皆使用假設估算，而非報價或經過驗證的節省。開啟圖片以檢視全尺寸內容。

匯出內容亦保留了特徵設定檔輸入、預測與區間、政策閾值、種子與時間戳記。其識別碼為截斷的 SHA-256 內容雜湊；操作員簽署處為待簽署，韌體雜湊為合成預留位置。這些欄位使產生的決策可供檢視，但並未使其成為已簽署的核准、合規證書或不可變的稽核封存檔。

閱讀基準測試時不隱瞞需要審查的對照組

完成的畫面結合了固定 120 種情境合成評估中的三項測量，以及兩項目前特徵設定檔的回歸對照組。每個評估情境使用 20,000 個完全觀察到的生成端點與 80 次模擬器迭代，種子為 2026。生成的基準真值來自帶有全新雜訊的相同假設機制，而非獨立的公用事業資料集。

MeterGuard 完成的基準測試，涵蓋率 86.7%、召回率 1.000、精確率 0.851、四項通過檢查與一項需要審查的修補程式對照組。 — 目前的五項檢查合成套件有四項通過檢查與一項需要審查：修補程式對照其設定的 GO 目標獲得 NO-GO。名義上的 90% 區間涵蓋 86.7% 的生成結果；PASS 採用設定的 80% 底線，而非達成 90% 涵蓋率。開啟圖片以檢視全尺寸內容。

五項目前檢查及其有限解讀
檢查	觀察結果	範圍與解讀
區間涵蓋率	86.7%，PASS	名義 90% 區間；設定的通過底線為 80%。未達成名義目標。
不安全推出召回率	74/74 = 1.000，PASS	標記為危險的所有 74 個情境在此固定執行中皆被阻斷；設定底線為 0.95。
發布把關精確率	74/87 = 0.851，PASS	87 個被阻斷的情境中有 74 個標記為危險；設定底線為 0.80。
初始 Plano 回歸	NO-GO，PASS	目前的初始特徵設定檔符合其設定的 NO-GO 目標。
Plano 修補程式對照組	NO-GO，REVIEW	目前的修補程式未符合其設定的 GO 目標。

危險定義為生成的故障率高於 1.0%；NO-GO 與 STAGED-CANARY 皆計為阻斷。評估記錄了此固定合成執行中的 74 個真陽性、13 個偽陽性、33 個真陰性與零個偽陰性。四項通過檢查與一項需要審查揭露了對輸入敏感的不相符；它們並未確立完美準確度、獨立驗證或全面預防。

本示範在推出工作流程中的定位

MeterGuard 有助於檢視擬議的決策：估算行為、群體假設、不確定性、排除項目與所使用的政策。此表格區分了已展示的證據與生產環境部署仍需要的工作。

決策需求	本示範展示	仍需生產環境證據
韌體行為	衍生自變更日誌的模型估算、快取與後備	在相關硬體上驗證的二進位衍生或測量行為
電表群狀況	生成的電池、無線電與快閃記憶體磨損分布	真實遙測、資料品質檢查與公用事業特定校準
發布控制	明確的 GO / NO-GO / STAGED-CANARY 建議	與授權發布控制項及觀察到的金絲雀結果整合
決策記錄	保留輸入與排除項目的 HTML/JSON 匯出	操作員核准、簽名與適用的合規評估

本示範「不」做什麼

它不連接真實 AMI 摘要、不分析韌體二進位檔案、不發布或阻斷 OTA 工作、不執行金絲雀，亦不完成人工審查。電表群、資訊清單與名冊項目皆為合成。匯出的憑證具有待簽署者與內容雜湊識別碼；它並非已簽署的核准或合規認證。

韌體推出前的常見問題

如何在推出前評估智慧電表韌體風險？

MeterGuard 展示了一種預檢機制，結合估算的韌體行為特徵設定檔與合成電表群健康快照。它為故障建立模型、報告不確定性區間，並套用宣告的發布政策。生產環境評估仍需要真實遙測、經過驗證的韌體行為，以及針對公用事業推廣成果的校準。

為何修補程式仍獲得 NO-GO？

在合成 Plano 電表群上，修補程式將 86,078 個計分端點中的預測故障降至 2,449 次，即 2.85%。其模型化區間上限率為 4.10%，超過了設定的 3.0% 硬性阻斷界限。較低的平均值並不能滿足該界限。

缺少遙測數據的電表會如何處理？

缺少遙測數據的端點已從模型化故障率中排除，並建議進行人工審查。合成 Plano 範例從 88,000 個群體中排除了 1,922 個端點。應用程式既不完成該審查，亦不假定這些端點健康。

AI 能否覆寫發布決策？

治理備忘錄是在確定性政策把關機制發出建議之後撰寫，無法直接予以覆寫。模型輔助的韌體特徵設定檔仍提供模擬輸入，因此不準確的估算可能改變判定結果。編寫好的規則使決策可供檢視，但並未驗證特徵設定檔。

MeterGuard 是否會連線至我們的 AMI 系統或安裝韌體？

本示範使用合成電表群與韌體資訊清單，沒有即時進階讀表基礎建設（AMI）摘要或執行的空中升級（OTA）發布。GO 是針對計分端點的模型化建議，並非安裝核准或硬體相容性證據。與真實遙測及發布控制項的整合是未來的預期工作。

匯出的憑證是否屬於已簽署的核准？

匯出內容記錄了用於建議的輸入、預測、排除項目與政策。其識別碼為截斷的內容雜湊，操作員簽名處為待簽署。它是可供檢視的決策記錄，並非數位簽署的核准或合規證書。