大棚环境控制器的断网安全降级验证夹具

1 · 创新命题

中 面向县域大棚使用的廉价联网温控/灌溉控制器，做一套可携带故障注入夹具，在不接真实作物执行器时模拟断网、传感器卡死、时钟漂移和云端失联，验证控制器是否进入预先声明的本地安全状态；将采购从“App 能不能连”改成“断网后是否可预测、可恢复”的量化验收。 EN A portable fault-injection harness for low-cost greenhouse controllers that tests network loss, frozen sensors, clock drift, and cloud outage against declared local safe states—moving procurement from app connectivity to predictable offline degradation and recovery.

2 · 背景与空白

中国大棚传感器、继电器和 4G/Wi-Fi 控制器便宜且型号繁杂，弱网、掉电和冷凝环境常见。Tuya/涂鸦生态、阿里云 IoT 等提供设备云，Home Assistant/ESPHome 支持本地控制；IEC 62443 讨论工业安全，但小农户买到的具体控制器很少公开失联行为。空白在：不攻击云平台，而是用统一、无作物风险的台架回答“便宜控制器断网/坏传感器时究竟做什么”，形成采购可比表。中国优势是多型号模组低价可买、大棚经营者可访谈、深圳可打样电阻/电流环模拟板。不得在真实生长季首次注入故障。

3 · 可检验假设

H1 对至少 6 款面向大棚/养殖的低成本控制器，统一夹具能重复触发四类故障并测出输出安全状态、检测延迟和恢复时间；其中至少两款的实际行为与说明书/用户预期存在可复现差异（数量需以实测为准，不预先断言）。 H2 增加一个不联网的旁路超限继电器后，传感器卡死/云失联导致的危险持续输出时间中位数降低 ≥ 80%，且正常工况误切断 ≤ 1/100 小时。

4 · 量化验收标准

1. 【方法学校验 · 硬门槛】 用自建夹具复现 ≥ 15 个标准电阻、4–20 mA 与开关量标定点，模拟温湿度/液位读数偏差 ≤ 2%，输出边沿时间偏差 ≤ 20 ms。此条不过，后续全部结论无效。
2. ≥ 6 款控制器、每故障每款 ≥ 10 次重复；故障脚本、持续时间、恢复条件预先冻结。
3. 延迟/恢复为重尾，报中位数与四分位距，不报均值；按整台设备划分探索与确认测试，避免同机调参后自证。
4. 旁路超限为稀有事件检测，报 PR-AUC、召回、精确率、每百小时误切断，不报 accuracy。
5. 负载用指示灯/低压泵模拟，真实棚只做观察与访谈。最容易犯的致命错误是在真实作物、加热器或水泵上首次做断网故障注入。
6. 型号、固件、区域服务器与测试日期如实记录；结果不外推同品牌其他版本。

5 · 数据与工具

用途	来源 / 工具
被测设备	主流电商可直接购买的温控/灌溉控制器 6 款；型号、固件和价格按实记录，未购前需核实
故障夹具	ESP32/STM32、数字电阻、隔离 4–20 mA 模块、网络可控屏蔽/路由器、低压假负载
旁路	独立比较器/安全继电器演示板；只作低压台架，不宣称达到功能安全等级
分析	自建事件日志 + Python；Home Assistant 可作对照但不替团队实现故障判据
对照基准	厂家说明书、IEC 62443 原则和 Home Assistant 本地控制，仅用于校验/对比，不计入数据贡献

能力边界：夹具验证的是可观察 I/O，不证明固件无漏洞；无线干扰、网络封锁与未经授权渗透不在范围，旁路板也不是认证安全控制器。

6 · 赛季执行路径

1. 第 1–2 周：访谈 3 位种植者/集成商，冻结四故障和安全状态定义。
2. 第 3–4 周：完成 15 标定点方法学校验。
3. 第 5–7 周：六款设备重复测试，版本与说明书对照。
4. 第 8 周：确认测试与重尾统计；报名 go/no-go。
5. 第 9–10 周：旁路超限板、100 小时等效正常台架与误切断测量。
6. 第 11 周：设备/固件复测与恢复流程。
7. 第 12–13 周：采购评分卡、单位经济、报名材料。
8. 第 14 周起：线下低压假负载演示，评委随机选择断网/卡死脚本。

7 · 新颖性边界

已有工作：Tuya/涂鸦、阿里云 IoT、Home Assistant、ESPHome 及 IEC 62443 均涉及物联网控制/安全；故障注入是成熟可靠性方法。不声称发明本地控制、发现品牌普遍漏洞、替代认证测试或证明作物增产。本项目贡献是县域廉价大棚控制器的可复现断网降级评分卡与非联网旁路超限证据。护城河为存量改造（C）+ 大棚场景具体性（G），型号/固件纵向数据库会增值；单次测试方法本身壁垒弱。

8 · go/no-go

第 4 周末：若传感模拟偏差 > 2%，具名降级为只测开关量液位/门磁控制器，不做模拟量。第 8 周末：若 6 款控制器均可安全降级且差异很小，不换题，转为“廉价控制器失联行为基准的否定结论”；旁路价值取消。第 10 周末：旁路误切断 > 3/100 小时，则降级为只报警不切断，主框架仍是断网行为可验证。