“迁移到这套复古风格交互演示后，运维交接时间从 3 天压到 6 小时：新同事靠面板上的色块与编号，就能判断 42 类传感器是否可信上线。”
客户评价 · 用户案例
Retro × IoT“设备证书批量轮换原本要停机窗口，现在可灰度到 5% 节点、观察 30 分钟再放量，全年计划外停机少了 78%。”
核心能力 · 三张不等高特性卡
Capability
设备身份双向校验
接入即校验：设备指纹 + X.509 证书 + 时间戳签名三重比对，任一不匹配则进入隔离队列，最长等待 120 秒人工确认。支持每 90 天自动轮换，轮换失败率控制在 0.3% 以内。
3 层
数据分层可信：边缘缓存 → 网关签名 → 云端存证。每层带独立校验位，便于回溯定位是采集侧还是传输侧失真。
互动演示沙盒
15 分钟即可复刻一次断网补传：拔掉网关上行，观察队列堆积到 200 条后的落盘策略，确认零丢失后再接生产。
合作伙伴墙
PartnersEDGE-01边缘网关厂商
CA-07证书签发机构
LOG-12日志存证服务
SIM-33蜂窝物联网卡商
AUD-05安全审计机构
常见问题 FAQ
Trust Q&A设备证书过期会不会造成大面积离线？
不会。默认提前 21 天进入续期窗口，分批放量，单批不超过在线设备总量的 5%；若续期失败，设备回落到备用凭证继续通信，同时把失败原因写入审计日志供追溯。
离线期间的数据还能算可信吗？
可以，但需满足两条：边缘缓存带本地签名，且补传时校验云端收到的条目数与哈希一致。若补传缺失率超过 0.1%，该设备会被标记为「待复核」。
如何证明数据没有被中途改写？
网关对每条报文计算摘要并随包上传，云端按同一算法复算；不一致即告警。审计人员可用留存 180 天的原始摘要做抽样比对，抽检比例建议不低于 2%。
最新动态 / 资讯
Updates
审计抽样比例上调至 2%
面向高敏感场景，抽样比对覆盖度提升一倍，单次审计耗时增加约 18 分钟，但异常发现率提升至 91%。
断网补传基准测试发布
在 200 条队列深度、15 分钟断网的条件下，补传成功率 99.7%，平均恢复时延 42 秒，适合作为验收阈值。
实用指导清单 · 落地六步
Checklist先定身份边界
为每类终端分配唯一标识，命名建议 站点码-设备型-序号，例如 SH-A-0042；标识重复率必须为 0，上线前做全量去重校验。
启用证书轮换
轮换周期建议 90 天，提前 21 天进入窗口；首批灰度 不超过 5% 节点，观察 30 分钟无告警再放量，单次失败率阈值设为 0.3%。
三层校验位落地
边缘、网关、云端各保留一份摘要；补传时核对条目数与哈希，缺失率超过 0.1% 即标记待复核，避免静默丢包。
断网演练常态化
每季度做一次 15 分钟断网演练，队列深度压到 200 条；关注补传成功率是否 ≥ 99.5%、平均恢复时延是否 ≤ 60 秒。
日志留存与抽样
链路审计日志留存 180 天，抽样比例不低于 2%；导出格式统一为「时间-设备-摘要-结果」四列，便于第三方复核。
权限最小化
运维账号按角色分级，写操作需双人复核；敏感指令保留操作留痕，单账号 24 小时内高频写操作超 50 次自动降权。
图文混排特写
Field Note
一次真实的告警回溯
凌晨 2 点 14 分，某片区 12 台水表同时上报异常。面板按时间轴铺开三层摘要，我们只用 8 分钟就定位到网关固件版本不一致导致的签名偏差，而非传感器故障。
- 关键指标：定位耗时 8 分钟，误判率 0，影响设备 12 台
- 处置动作：回滚网关固件至前一稳定版本，重新校验签名
- 后续改进：把固件版本纳入设备指纹，版本漂移即告警