本文由 KeepRobots 團(tuán)隊(duì)撰寫。KeepRobots 是溫哥華的機(jī)器人現(xiàn)場(chǎng)服務(wù)公司給別家生產(chǎn)的機(jī)器人做北美現(xiàn)場(chǎng)部署和售后。本文是工程筆記不是法律或認(rèn)證意見涉及 FCC / ISED 許可變更的判斷請(qǐng)以你們的認(rèn)證機(jī)構(gòu)TCB / CB和律師意見為準(zhǔn)。假設(shè)一個(gè)場(chǎng)景溫哥華一家酒店和廠商約好配送機(jī)器人的固件升級(jí)放在客戶本地凌晨 2 點(diǎn)到 4 點(diǎn)。這時(shí)是北京下午 5 點(diǎn)到 7 點(diǎn)研發(fā)在工位上看著 20 臺(tái)機(jī)器的進(jìn)度條全部變綠下班回家。早上 7 點(diǎn)酒店早班開始第一單送餐機(jī)器人在電梯口呼梯失敗。新版本改了電梯對(duì)接模塊的重試邏輯臺(tái)架上沒有那臺(tái)電梯網(wǎng)關(guān)測(cè)不出來(lái)。這時(shí)北京是晚上 10 點(diǎn)能拍板回滾的人已經(jīng)下線前臺(tái)經(jīng)理只看到 20 臺(tái)機(jī)器同時(shí)罷工。北美的維護(hù)窗口其實(shí)落在北京的工作時(shí)間里真正出問(wèn)題的時(shí)候卻是北京深夜。這篇講的就是由此推出來(lái)的一條主線回滾的判斷不能等國(guó)內(nèi)醒來(lái)要提前寫成規(guī)則交給設(shè)備和現(xiàn)場(chǎng)的人去執(zhí)行。下面依次是時(shí)間怎么算、發(fā)布環(huán)怎么分、客戶網(wǎng)絡(luò)對(duì) OTA 的限制、A/B 回滾條件、現(xiàn)場(chǎng)回滾 SOP、給客戶的變更通知模板最后是北美特有的一層FCC 2026 新規(guī)和 ISED 規(guī)則下哪些固件還能推、要先報(bào)備什么。一、先把時(shí)間算對(duì)窗口在北京下午出事在北京深夜北美很多機(jī)構(gòu)客戶的 IT 變更都要走審批維護(hù)窗口一般約在客戶本地夜間或周末。先把幾個(gè)常見時(shí)區(qū)換算清楚溫哥華BC 省2026 年 3 月 8 日是最后一次撥鐘從 11 月 1 日起不再撥回全年固定 UTC-7。北京和溫哥華全年差 15 小時(shí)。西雅圖、舊金山、洛杉磯華盛頓州、俄勒岡州、加州沒有跟進(jìn)仍然冬夏撥鐘。夏令時(shí)差 15 小時(shí)冬天11 月初到 3 月中旬下一次撥鐘是 2027-03-14差 16 小時(shí)。也就是說(shuō)今年冬天開始溫哥華和西雅圖之間會(huì)有 1 小時(shí)時(shí)差同一個(gè)客戶如果在兩地都有站點(diǎn)窗口要分開排。另外BC 東南部 East Kootenay、Golden 等用山地時(shí)間的地區(qū)不受這次變化影響仍跟阿爾伯塔一起撥鐘。多倫多、紐約夏令時(shí)差 12 小時(shí)冬天差 13 小時(shí)。今年還有一個(gè)時(shí)效坑tzdata。設(shè)備、發(fā)布系統(tǒng)、監(jiān)控里的時(shí)區(qū)換算靠的是系統(tǒng)自帶的 IANA 時(shí)區(qū)數(shù)據(jù)庫(kù)tzdata。tzdata 到2026b才把 America/Vancouver 改成 11 月 1 日起永久 UTC-7縮寫暫記為 MST判斷時(shí)以 UTC 偏移為準(zhǔn)。還在用舊 tzdata 的系統(tǒng)11 月 1 日會(huì)照舊把溫哥華時(shí)間撥回 UTC-8發(fā)布系統(tǒng)按「America/Vancouver 02:00」排的窗口實(shí)際晚開 1 小時(shí)監(jiān)控里的「早班 07:00」也全部錯(cuò)位 1 小時(shí)而且不會(huì)有任何報(bào)錯(cuò)。機(jī)器人主控、云端發(fā)布服務(wù)、監(jiān)控告警三處都要查# 看 2026-11-01 那次切換判據(jù)是 gmtoff-25200UTC-7# gmtoff-28800UTC-8說(shuō)明 tzdata 太舊?？s寫 MST/PST 只作參考MST 是暫定寫法zdump-v-c2026,2027America/Vancouver|grepNov 1# 沒有 zdump 的設(shè)備GNU date新數(shù)據(jù)應(yīng)輸出 05:00UTC-7舊數(shù)據(jù)是 04:00UTC-8TZAmerica/Vancouverdate-d1796126400# 即 2026-12-01 12:00 UTC系統(tǒng) tzdata 更新了還不夠應(yīng)用自帶的時(shí)區(qū)庫(kù)要分別查JVM 的 tzdata、Node.js / Chrome 內(nèi)置的 ICU、Python 的 pytz / tzdata 包、Android 的 tzdata APEX、Go 程序內(nèi)嵌的 zoneinfo都可能比系統(tǒng)舊。把「客戶本地凌晨 2 點(diǎn)開窗口」和「早班 7 點(diǎn)開工」換成北京時(shí)間客戶所在地窗口 02:00 對(duì)應(yīng)北京早班 07:00 對(duì)應(yīng)北京溫哥華全年 UTC-717:0022:00西雅圖 / 洛杉磯冬季 UTC-818:0023:00多倫多 / 紐約冬季 UTC-515:0020:00對(duì)研發(fā)是好消息推送本身可以在北京下午盯著做。壞消息在第三列版本在真實(shí)業(yè)務(wù)里第一次「受壓」是客戶早班開工那一刻這時(shí)國(guó)內(nèi)要么已經(jīng)下班要么快睡了。所以接下來(lái)每一節(jié)都在回答一個(gè)問(wèn)題北京晚上 10 點(diǎn)出問(wèn)題誰(shuí)能在不叫醒總部的情況下把機(jī)器恢復(fù)二、發(fā)布環(huán)觀察期按「營(yíng)業(yè)日」算不按小時(shí)灰度的核心不是比例而是每一環(huán)要過(guò)一次完整的真實(shí)業(yè)務(wù)高峰。凌晨升級(jí)完機(jī)器在空蕩蕩的走廊里跑 3 個(gè)小時(shí)什么都不說(shuō)明呼梯、閘機(jī)、早高峰排隊(duì)這些場(chǎng)景要到營(yíng)業(yè)時(shí)間才會(huì)出現(xiàn)。下面是一張可以直接拿去改的發(fā)布環(huán)表比例和時(shí)長(zhǎng)是建議起點(diǎn)按你們的設(shè)備規(guī)模調(diào)環(huán)范圍進(jìn)入條件最短觀察期誰(shuí)簽字放行R0 臺(tái)架國(guó)內(nèi)臺(tái)架 同硬件版本整機(jī)CI 全綠A/B 切換、回滾、斷電恢復(fù)各演練一次24 小時(shí)連續(xù)跑研發(fā)負(fù)責(zé)人R1 北美樣機(jī)北美的 demo 機(jī)、備用機(jī)不在客戶現(xiàn)場(chǎng)R0 通過(guò)離線安裝包驗(yàn)證過(guò)24 小時(shí)含一次對(duì)接真實(shí)電梯/門禁如有條件研發(fā) 海外售后R2 金絲雀1 個(gè)站點(diǎn)、1–2 臺(tái)客戶書面同意R1 通過(guò)變更通知已發(fā)、窗口已確認(rèn)1 個(gè)完整營(yíng)業(yè)日含早高峰海外售后負(fù)責(zé)人R3 小批≤10% 設(shè)備覆蓋不同場(chǎng)景類型酒店 / 倉(cāng)庫(kù) / 商場(chǎng)R2 無(wú)觸發(fā)項(xiàng)3 個(gè)營(yíng)業(yè)日海外售后負(fù)責(zé)人R4 全量其余設(shè)備按各客戶窗口分批R3 無(wú)觸發(fā)項(xiàng)持續(xù)監(jiān)控 7 天自動(dòng)觸發(fā)即暫停幾條容易漏的規(guī)則同一站點(diǎn)不要一次升滿。留 1 臺(tái)在舊版本出問(wèn)題時(shí)客戶至少還有一臺(tái)能用現(xiàn)場(chǎng)也有對(duì)照組。按「場(chǎng)景類型」挑金絲雀不按「誰(shuí)最好說(shuō)話」。電梯對(duì)接、閘機(jī)、WMS 接口各選一個(gè)代表站點(diǎn)。R2 之后的每一批都要給客戶發(fā)變更通知模板見第六節(jié)不能因?yàn)椤钢巴七^(guò)」就省掉。周五到周日客戶本地日期不啟動(dòng) R2/R3。周五凌晨升級(jí)觀察期就跨進(jìn)周末國(guó)內(nèi)周末值班最薄很多寫字樓、學(xué)校站點(diǎn)周末根本沒有「完整營(yíng)業(yè)日」問(wèn)題要拖到周一早班才暴露那時(shí)離升級(jí)已經(jīng)三天日志和現(xiàn)場(chǎng)都涼了。把這張表寫成配置交給發(fā)布系統(tǒng)執(zhí)行比寫在 Wiki 里靠人記要可靠# rollout-policy.yaml —— 字段名為示例按你們的發(fā)布平臺(tái)改release:4.2.0from_versions:[4.1.x]rf_impact:none# none | class1 | class2 | class3見第七節(jié)非 none 先過(guò)合規(guī)閘safety_function_changed:false# 改了急停、限速、避障參數(shù) → 先問(wèn)認(rèn)證機(jī)構(gòu)rings:-name:R2-canaryselector:{site:site-yvr-hotel-01,max_units:2}keep_on_old_version:1# 每站點(diǎn)至少留 1 臺(tái)舊版本window:{tz:America/Vancouver,start:02:00,end:04:00}min_observation:{business_days:1,must_include:07:00-10:00}no_start_on:[FRI,SAT,SUN]# 按窗口開始那天的客戶本地日期算不按北京日期-name:R3-smallselector:{percent:10,spread_by:site_type}min_observation:{business_days:3}-name:R4-allselector:{percent:100}batch_by:customer_window# 按每個(gè)客戶自己的窗口分批precheck:# 任一不滿足本臺(tái)跳過(guò)不進(jìn)入安裝battery_soc_min:60docked:trueno_active_task:truefree_space_mb_min:1500auto_pause_on:[rollback_rate_over_5pct,new_fault_code_on_2_units_24h]三、客戶網(wǎng)絡(luò)OTA 先要能下載再談灰度北美企業(yè)網(wǎng)的認(rèn)證方式、出站白名單、TLS 解密審批我們?cè)诹硪黄こ坦P記客戶安全團(tuán)隊(duì)會(huì)問(wèn)的 7 個(gè)問(wèn)題里單獨(dú)寫過(guò)這里不重復(fù)只說(shuō)和 OTA 直接相關(guān)的四件事1. 下載和安裝分開。白天在客戶網(wǎng)絡(luò)空閑時(shí)下載、校驗(yàn)簽名、寫進(jìn)非活動(dòng)分區(qū)夜里窗口只做「切換 重啟 健康檢查」。這樣窗口里不會(huì)因?yàn)橄螺d慢、代理超時(shí)把 2 小時(shí)耗完。2. 下載器要能走代理、能斷點(diǎn)續(xù)傳。強(qiáng)制代理的網(wǎng)絡(luò)里OTA 客戶端如果只會(huì)直連就永遠(yuǎn)下不到包。支持 HTTP 代理配置、HTTP Range 續(xù)傳單個(gè)包盡量做差分別指望客戶 IT 為一次升級(jí)調(diào)整帶寬策略。3. OTA 域名單獨(dú)、穩(wěn)定。白名單是按域名批的。OTA 下載如果用的是會(huì)變的 CDN 域名或者和遙測(cè)共用一個(gè)域名每次換 CDN 都要客戶 IT 重新審批。4. 無(wú)外網(wǎng)站點(diǎn)準(zhǔn)備離線包。有的工廠、醫(yī)院、政府站點(diǎn)機(jī)器人根本不出外網(wǎng)。離線包要做到和在線包同一套簽名設(shè)備端用同一個(gè)校驗(yàn)邏輯不留「U 盤包不驗(yàn)簽」的后門現(xiàn)場(chǎng)筆記本或 U 盤導(dǎo)入導(dǎo)入前后都能打印當(dāng)前版本、目標(biāo)版本、簽名校驗(yàn)結(jié)果帶一份版本清單哪臺(tái)機(jī)器、從哪個(gè)版本、升到哪個(gè)版本裝完由現(xiàn)場(chǎng)工程師回填因?yàn)檫@類站點(diǎn)沒有云端記錄。四、A/B 分區(qū)和回滾條件「能啟動(dòng)」不等于「升級(jí)成功」A/B雙分區(qū)方案大家都熟新版本寫進(jìn)非活動(dòng)分區(qū)切換啟動(dòng)順序重啟起不來(lái)就回到舊分區(qū)。開源方案里Mender 的做法是新版本首次啟動(dòng)后由客戶端「提交」commit提交前如果重啟引導(dǎo)程序就認(rèn)為升級(jí)失敗并回滾RAUC 配合 U-Boot 用BOOT_slot_LEFT計(jì)剩余啟動(dòng)次數(shù)系統(tǒng)起來(lái)后跑rauc status mark-good才算成功次數(shù)用完就落回另一個(gè)分區(qū)。問(wèn)題在于**「什么時(shí)候 mark-good / commit」**。很多實(shí)現(xiàn)是 systemd 起來(lái)就標(biāo)記這對(duì)機(jī)器人遠(yuǎn)遠(yuǎn)不夠。兩種方案都留了掛業(yè)務(wù)檢查的位置RAUC 是把mark-good放在你自己的健康檢查服務(wù)最后一步Mender 可以在ArtifactCommit_Enter掛一個(gè)狀態(tài)腳本state script這個(gè)階段在重啟進(jìn)新分區(qū)之后執(zhí)行腳本返回 1更新就會(huì)中止并回滾返回 21 是保留給「稍后重試」的別混用。建議把它綁定在一組業(yè)務(wù)健康檢查上全部通過(guò)才標(biāo)記底盤通信、電機(jī)驅(qū)動(dòng)、編碼器正常急?；芈纷詸z通過(guò)定位在已知地圖上收斂置信度過(guò)閾值能完成一次回樁對(duì)接本站點(diǎn)用到的外部接口電梯、門禁、WMS至少握手成功一次。有三類東西 A/B 管不到要單獨(dú)設(shè)計(jì)數(shù)據(jù)和地圖格式遷移新版本把地圖或數(shù)據(jù)庫(kù)升級(jí)成新格式舊版本回來(lái)讀不懂。要么遷移前備份、回滾時(shí)恢復(fù)要么新格式保持向后兼容至少一個(gè)版本。MCU、電機(jī)驅(qū)動(dòng)、BMS、安全控制器的固件它們往往不在 A/B 范圍里。原則是主控軟件的 N 和 N-1 都必須能和新、舊兩個(gè) MCU 固件配合否則主控回滾了底下的 MCU 回不去機(jī)器照樣起不來(lái)。云端接口云端 API 先升級(jí)時(shí)要保證對(duì)舊版本設(shè)備兼容否則「回滾成功」的機(jī)器連不上云。回滾觸發(fā)條件寫成表發(fā)布前和客戶、現(xiàn)場(chǎng)一起確認(rèn)信號(hào)閾值建議起點(diǎn)動(dòng)作誰(shuí)執(zhí)行新分區(qū)連續(xù)啟動(dòng)失敗啟動(dòng)次數(shù)用完自動(dòng)落回舊分區(qū)設(shè)備bootloader業(yè)務(wù)健康檢查未通過(guò)任一項(xiàng)超時(shí) 15 分鐘不 mark-good自動(dòng)回滾設(shè)備急停 / 碰撞類事件急停次數(shù)高于基線 2基線 該機(jī)過(guò)去 7 天同時(shí)段日均或出現(xiàn)任何碰撞事件本批暫停 回滾該機(jī)遠(yuǎn)程值班外部接口失敗電梯、門禁、WMS營(yíng)業(yè)時(shí)段內(nèi)連續(xù) 2 次現(xiàn)場(chǎng)回滾現(xiàn)場(chǎng)工程師同一新故障碼24 小時(shí)內(nèi) ≥2 臺(tái)暫停發(fā)布等評(píng)估發(fā)布系統(tǒng)自動(dòng)任務(wù)完成率比升級(jí)前 7 天同時(shí)段低 15% 以上暫停發(fā)布評(píng)估是否回滾遠(yuǎn)程值班客戶要求回滾任何時(shí)候直接回滾事后再分析現(xiàn)場(chǎng)或遠(yuǎn)程最后一行最重要客戶說(shuō)回滾就回滾不在現(xiàn)場(chǎng)爭(zhēng)論版本好壞。版本好不好事后用日志說(shuō)話現(xiàn)場(chǎng)爭(zhēng)論只會(huì)讓客戶下次不再同意升級(jí)窗口。把上表的遠(yuǎn)程判定部分寫成函數(shù)可以掛在監(jiān)控上每小時(shí)跑一次defota_decision(unit,base,policyNone):unit升級(jí)后指標(biāo)base同一臺(tái)機(jī)器升級(jí)前 7 天同時(shí)段的基線。 返回 rollback / pause / continue 和原因。閾值是建議起點(diǎn)。p{task_drop:0.15,iface_fail:2,same_code_units:2,estop_margin:2,**(policyor{})}ifunit.get(customer_requested_rollback):returnrollback,客戶要求required(marked_good,estop_events,iface_fail_consecutive,task_rate)missing[kforkinrequiredifunit.get(k)isNone]ifmissingorbase.get(task_rate)isNone:returnpause,f指標(biāo)缺失{missingor[base.task_rate]}先查采集不自動(dòng)回滾ifnotunit[marked_good]:returnrollback,業(yè)務(wù)健康檢查未通過(guò)# base[estop_events]該機(jī)過(guò)去 7 天同時(shí)段的日均急停次數(shù)ifunit.get(collision_events,0)0:returnrollback,出現(xiàn)碰撞事件ifunit[estop_events]base.get(estop_events,0)p[estop_margin]:returnrollback,急停次數(shù)高于基線 余量ifunit.get(iface_fail_consecutive,0)p[iface_fail]:returnrollback,外部接口電梯/門禁/WMS連續(xù)失敗ifunit.get(new_code_units_24h,0)p[same_code_units]:returnpause,同一新故障碼出現(xiàn)在多臺(tái)設(shè)備bbase.get(task_rate)ifbandunit.get(task_rate)isnotNoneandunit[task_rate]b*(1-p[task_drop]):returnpause,f任務(wù)完成率{unit[task_rate]:.0%}基線{b:.0%}returncontinue,無(wú)觸發(fā)項(xiàng)base{estop_events:0.4,task_rate:0.96}# 急停為過(guò)去 7 天同時(shí)段日均print(ota_decision({marked_good:True,estop_events:1,iface_fail_consecutive:2,task_rate:0.40},base))# (rollback, 外部接口電梯/門禁/WMS連續(xù)失敗) —— 開頭那家酒店的情況print(ota_decision({marked_good:True,iface_fail_consecutive:0},base))# (pause, 指標(biāo)缺失 [estop_events, task_rate]先查采集不自動(dòng)回滾)五、現(xiàn)場(chǎng)回滾 SOP北京晚上 10 點(diǎn)現(xiàn)場(chǎng)的人要能自己做完開頭那個(gè)場(chǎng)景里前臺(tái)經(jīng)理打電話時(shí)最需要的是一個(gè)在當(dāng)?shù)?、拿?SOP、有權(quán)限的人。這個(gè)人可以是你們自己的海外工程師也可以是 KeepRobots 這樣的第三方現(xiàn)場(chǎng)服務(wù)商。不管是誰(shuí)下面這幾條要在發(fā)布前就準(zhǔn)備好前提發(fā)布前做完回滾操作能離線執(zhí)行服務(wù)菜單、按鍵組合或本地命令不依賴云端也不依賴國(guó)內(nèi)實(shí)時(shí)授權(quán)現(xiàn)場(chǎng)人員有獨(dú)立的服務(wù)賬號(hào)權(quán)限只到「切換分區(qū) / 導(dǎo)出日志」不到改參數(shù)SOP 是英文的每一步有截圖寫清楚「哪一步做完要看到什么」?，F(xiàn)場(chǎng)步驟確認(rèn)觸發(fā)條件對(duì)照上面的觸發(fā)表拍下屏幕故障碼記下時(shí)間UTC 和本地時(shí)間都寫。先讓機(jī)器停到安全位置遙控或手推回充電位不在電梯口、走廊中間做回滾。導(dǎo)出日志包再回滾回滾后新分區(qū)的現(xiàn)場(chǎng)就沒了先導(dǎo)出日志包規(guī)格見我們之前寫的故障分流和日志包那篇這里不展開。執(zhí)行回滾切到舊分區(qū)重啟。跑驗(yàn)收定位收斂、回樁一次、外部接口電梯 / 門禁實(shí)際走一趟三項(xiàng)都過(guò)才交還客戶。通知給客戶現(xiàn)場(chǎng)負(fù)責(zé)人一句話說(shuō)明「已恢復(fù)到 4.1.3原因調(diào)查中」給國(guó)內(nèi)工單回傳日志包、照片、回滾前后版本號(hào)。凍結(jié)該站點(diǎn)停止接收新版本直到國(guó)內(nèi)給出根因。第 3 步最常被跳過(guò)代價(jià)是第二天國(guó)內(nèi)醒來(lái)只看到「已回滾」根因永遠(yuǎn)查不到。六、給客戶的變更通知模板北美機(jī)構(gòu)客戶的合同或 IT 流程里經(jīng)常要求變更前書面通知寫清楚影響和回退方案。沒有這個(gè)要求的客戶發(fā)一封也只有好處。下面這份可以直接改著用Subject: [Scheduled maintenance] Robot software update – Site name – Date Hello Name, We plan to update the software on N robot(s) at Site during the agreed maintenance window. Window: Mon Nov 16, 02:00–04:00 Vancouver time (UTC-7) Units: Serial numbers; 1 unit stays on the current version Version: 4.1.3 → 4.2.0 What changes: Elevator retry logic; navigation bug fixes; security patches Expected impact: Robots unavailable for about 20 minutes each, docked Network: No firewall or proxy changes needed / list if any Rollback plan: if any check fails, the robot returns to 4.1.3 automatically. If you notice a problem after the update, call on-site contact, local number and we will roll back without further discussion. Before your 07:00 shift starts we will send a short confirmation. Reply to this email if you need to move or cancel the window. Name, Company – email要點(diǎn)窗口寫客戶本地時(shí)間并寫成「城市 UTC 偏移」。11 月起溫哥華不再是 PST寫「PT」「PST」在溫哥華和西雅圖之間會(huì)差出 1 小時(shí)美西客戶冬天寫「Seattle time (UTC-8)」。其余寫明「留 1 臺(tái)舊版本」和回滾承諾早班前發(fā)一封確認(rèn)這一封可以由發(fā)布系統(tǒng)在健康檢查通過(guò)后自動(dòng)發(fā)。七、北美特有的一層射頻相關(guān)的固件先過(guò)合規(guī)閘先說(shuō)結(jié)論在美國(guó)07-28 前已授權(quán)的受控機(jī)器人固件只剩「減輕危害」類的 Class I/II 許可變更能做Class III 不行在加拿大影響射頻特性的固件要通知 ISED、換新的 FVIN。這就是 YAML 里那個(gè)rf_impact字段的由來(lái)。FCC 2026 新規(guī)。2026 年 7 月 28 日FCC 發(fā)布 DA 26-786把境外生產(chǎn)的先進(jìn)機(jī)器人設(shè)備地面移動(dòng)的 AMR、人形、四足等按生產(chǎn)地算不按公司國(guó)籍列入受控清單拿到美國(guó)戰(zhàn)爭(zhēng)部DoW有條件批準(zhǔn)的除外截至 2026-10-14 共批了 3 項(xiàng)。效果是新型號(hào)拿不到設(shè)備授權(quán)已授權(quán)型號(hào)的進(jìn)口、銷售、使用不受影響。同一天的 DA 26-789 處理固件問(wèn)題。FCC 2025 年修訂的 47 CFR 2.1043(b)以及 2.932(b)DA 26-789 一并豁免 把受控設(shè)備排除在許可變更程序之外不豁免的話已授權(quán)的機(jī)器人連安全補(bǔ)丁都推不了。DA 26-789 的要點(diǎn)范圍07-28 前已授權(quán)的這類設(shè)備「減輕對(duì)美國(guó)消費(fèi)者危害」的軟件 / 固件更新可以繼續(xù)走 Class I、Class II 許可變更至少到 2029 年 1 月 1 日原文舉例包括修補(bǔ)漏洞、兼容不同操作系統(tǒng)、保證設(shè)備持續(xù)正常運(yùn)行。照舊的要求Class II 仍要提交完整信息和測(cè)試結(jié)果FCC 確認(rèn)前不得銷售改動(dòng)后的設(shè)備并要按 2.1043(b)(2) 附上相關(guān)聲明其中包括申請(qǐng)人是否作為受控通信設(shè)備的生產(chǎn)方被列入受控清單。推論豁免只覆蓋軟件 / 固件更新硬件改動(dòng)不在其中。三類許可變更對(duì)應(yīng)到 OTA變更類型47 CFR 2.1043 怎么說(shuō)對(duì)受控機(jī)器人意味著什么rf_impact不影響射頻發(fā)射的軟件改動(dòng)2.1043(a)不需要新的申請(qǐng)導(dǎo)航、業(yè)務(wù)邏輯、UI 一類的常規(guī)更新noneClass I不降低授權(quán)時(shí)報(bào)告的特性無(wú)需向 FCC 提交在 DA 26-789 豁免內(nèi)前提是屬于「減輕危害」類更新class1Class II性能有降低但仍滿足規(guī)則要提交測(cè)試結(jié)果確認(rèn)前不得銷售同上且要走提交流程排期要預(yù)留class2Class III軟件定義無(wú)線電SDR改變頻率范圍、調(diào)制方式或最大輸出功率確認(rèn)前不得加載軟件做過(guò) Class II 的設(shè)備不能再做 Class IIIDA 26-789 只豁免 Class I/II這一類不在豁免范圍內(nèi)class3另外如果設(shè)備或其中的模組是按軟件定義無(wú)線電認(rèn)證的按 47 CFR 2.944廠商要采取措施保證只有經(jīng)過(guò)批準(zhǔn)的軟件能加載、用戶不能把頻率和功率改出授權(quán)范圍常見做法是軟件簽名、認(rèn)證用戶才能接入的私有網(wǎng)絡(luò)。這和 OTA 的簽名校驗(yàn)是同一件事離線包驗(yàn)簽不只是安全問(wèn)題也是合規(guī)要求的一部分。工程上的落點(diǎn)很簡(jiǎn)單每個(gè)發(fā)布包標(biāo)rf_impact不是none的發(fā)布系統(tǒng)自動(dòng)攔下等合規(guī)負(fù)責(zé)人和 TCB 確認(rèn)后再放行class3默認(rèn)不進(jìn)發(fā)布隊(duì)列。改 Wi-Fi 國(guó)家碼、信道列表、發(fā)射功率表、LTE 頻段配置都要在這里過(guò)一次。先確認(rèn)改的是誰(shuí)的證。多數(shù)機(jī)器人的 Wi-Fi、藍(lán)牙、LTE 用的是自帶 FCC ID / IC 編號(hào)的預(yù)認(rèn)證模組許可變更的主體是證書持有人。所以改國(guó)家碼、功率表之前先確認(rèn)三件事這個(gè) FCC ID / IC 歸誰(shuí)模組廠還是你們要改的是模組固件、驅(qū)動(dòng)里的配置文件還是你們自己主控上的參數(shù)模組廠對(duì)這類改動(dòng)有沒有書面說(shuō)法。答案不同該找的 TCB、該走的流程也不同這一步不要由發(fā)版的人自己判斷。加拿大 ISED。ISED 的規(guī)則獨(dú)立于 FCC。按 RSP-100第 12 版第 10 節(jié)Class IC1PC是不改變基本射頻特性的改動(dòng)HVIN、PMN 不變時(shí)不需要通知 ISED會(huì)影響產(chǎn)品射頻特性的固件改動(dòng)屬于 Class IIIC3PC需要通知 ISED并提供新的、唯一的 FVIN固件版本識(shí)別號(hào)。也就是說(shuō)同一個(gè)改功率表的固件在美國(guó)、加拿大是兩條流程都要提前排。截至 2026-10-14我們沒檢索到 ISED 有類似 FCC 受控清單的機(jī)器人限制。安全認(rèn)證。如果改動(dòng)涉及急停、限速、避障距離這類安全功能而整機(jī)走過(guò) UL 3300、CSA 等安全認(rèn)證固件變更是否需要重新評(píng)估要看具體標(biāo)準(zhǔn)和認(rèn)證機(jī)構(gòu)的規(guī)則我們沒能找到可以公開引用的統(tǒng)一說(shuō)法。做法是在 YAML 里單獨(dú)標(biāo)safety_function_changed發(fā)布前先問(wèn)認(rèn)證機(jī)構(gòu)拿到書面答復(fù)再進(jìn) R2。八、發(fā)布前清單復(fù)制即用【北美 OTA 發(fā)布前清單】 □ 版本號(hào)、來(lái)源版本范圍、發(fā)布說(shuō)明英文已定稿 □ rf_impact 已標(biāo)注非 none 的已有合規(guī)負(fù)責(zé)人 / TCB 書面確認(rèn)美國(guó)、加拿大分別 □ safety_function_changed 已標(biāo)注為 true 的已有認(rèn)證機(jī)構(gòu)答復(fù) □ R0 臺(tái)架A/B 切換、回滾、斷電恢復(fù)各演練一次有記錄 □ mark-good 綁定業(yè)務(wù)健康檢查底盤、急?；芈?、定位、回樁、外部接口 □ 數(shù)據(jù)/地圖格式遷移有備份或向后兼容MCU 固件 N/N-1 雙向兼容已測(cè) □ 離線包與在線包同一簽名離線導(dǎo)入流程現(xiàn)場(chǎng)走過(guò)一遍 □ 每個(gè)客戶的窗口、時(shí)區(qū)注意溫哥華全年 UTC-7、美西冬季 UTC-8已確認(rèn)通知里寫「城市 UTC 偏移」 □ 設(shè)備 / 發(fā)布系統(tǒng) / 監(jiān)控的 tzdata ≥ 2026bzdump 查 America/Vancouver 2026-11-01 為 gmtoff-25200JVM / ICU / pytz / Android APEX / Go 內(nèi)嵌 zoneinfo 等應(yīng)用自帶時(shí)區(qū)庫(kù)也已更新 □ 射頻相關(guān)改動(dòng)已確認(rèn) FCC ID / IC 歸屬模組廠還是自家和改動(dòng)所在的固件層 □ 變更通知已發(fā)客戶確認(rèn)回復(fù)已存檔 □ 每站點(diǎn)至少 1 臺(tái)留在舊版本 □ 現(xiàn)場(chǎng)聯(lián)系人、服務(wù)賬號(hào)、英文回滾 SOP 已就位回滾可離線執(zhí)行 □ 早班前確認(rèn)郵件已配置自動(dòng)發(fā)送 □ 不在周五至周日客戶本地日期啟動(dòng) R2 / R3總結(jié)三條規(guī)則觀察期按客戶營(yíng)業(yè)日算凌晨升級(jí)、早班才是真正的考試。mark-good 綁業(yè)務(wù)健康檢查回滾可離線、現(xiàn)場(chǎng)可執(zhí)行客戶說(shuō)回滾就回滾。每個(gè)發(fā)布包標(biāo)rf_impact在美國(guó)受控機(jī)器人只?！笢p輕危害」的 Class I/II 變更能做Class III 不在豁免里在加拿大影響射頻特性的固件走 C3PC要通知 ISED、換 FVIN?？?15、16 小時(shí)時(shí)差的值班和交接怎么排可以接著看《機(jī)器人出海的技術(shù)支持時(shí)差怎么排》https://keeprobots.com/zh/notes/robot-overseas-tech-support-timezone/ 。如果你們需要在加拿大有人能按這份 SOP 在現(xiàn)場(chǎng)回滾、驗(yàn)收KeepRobots 的服務(wù)范圍和按小時(shí)計(jì)費(fèi)方式寫在這里https://keeprobots.com/zh/service/canada/參考來(lái)源FCC DA 26-7862026-07-28受控清單新增境外生產(chǎn)的先進(jìn)機(jī)器人設(shè)備https://docs.fcc.gov/public/attachments/DA-26-786A1.pdfFCC DA 26-7892026-07-28OET 豁免已授權(quán)受控機(jī)器人 / 逆變器的 Class I、II 軟件固件許可變更限制至少到 2029-01-01https://docs.fcc.gov/public/attachments/DA-26-789A1.pdf47 CFR 2.1043 許可變更Class I / II / IIIhttps://www.law.cornell.edu/cfr/text/47/2.104347 CFR 2.944 軟件定義無(wú)線電的軟件安全要求https://www.law.cornell.edu/cfr/text/47/2.944ISED RSP-100 第 12 版第 10 節(jié)C1PC–C4PC固件改動(dòng)與 FVINhttps://ised-isde.canada.ca/site/spectrum-management-telecommunications/en/devices-and-equipment/radio-standards-procedures-rsp/rsp-100-certification-radio-apparatus-and-broadcasting-equipmentBC 省永久夏令時(shí)2026-03-08 最后一次撥鐘全年 UTC-7https://www2.gov.bc.ca/gov/content/governments/celebrating-british-columbia/daylight-saving-timeBC 政府新聞稿https://news.gov.bc.ca/releases/2026AG0013-000209Mender A/B 更新與提交 / 自動(dòng)回滾https://docs.mender.io/overview/introductionMender 狀態(tài)腳本ArtifactCommit 階段在重啟后執(zhí)行腳本返回錯(cuò)誤即中止并回滾https://docs.mender.io/artifact-creation/state-scriptstzdata 2026bAmerica/Vancouver 自 2026-11-01 起永久 UTC-7PostgreSQL 同步 tzdata 2026b 的提交說(shuō)明https://www.postgresql.org/message-id/E1wGJOa-002XtW-2Igemulon.postgresql.orgFCC 有條件批準(zhǔn)名單DA 26-1089 附錄 B與受控清單https://www.fcc.gov/supplychain/coveredlistRAUC 與 U-Boot 集成BOOT_ORDER、BOOT_x_LEFT、rauc status mark-goodhttps://rauc.readthedocs.io/en/latest/integration.html