驱动器日志上云的量预算与脱敏设计
支持可满 PWM 驱动、额定 16A（峰值 20A）的 AQMD3620NS-A2 这类机型，现场出问题时的唯一证据往往就是日志。但"全量日志上云"会同时撞上三个墙：流量成本、限流、敏感信息泄露。
一、先算日志量，再定分级策略
取 500 台设备，逐条日志按 300 字节估算（示例值）：
| 策略 | 每台每天条数 | 集群每天流量 | 相对全量 |
|---|---|---|---|
| 全量（含 DEBUG） | 20000 | 30 GB | 1× |
| 关闭 DEBUG | 4000 | 6 GB | 0.2× |
| INFO 按 1/10 采样 | 800 | 1.2 GB | 0.04× |
| 仅 WARN/ERROR + 故障全量 | 60 | 90 MB | 0.003× |
结论很明确：DEBUG 永远不上云（留在本地环形缓冲，故障时按需回捞），INFO 采样，ERROR 全量。故障发生前后必须保留完整上下文，因此"环形缓冲 + 触发式上传"比"实时全量"更划算：保留最近 N 条（如 512 条）在本地，故障触发时把前后窗口一并上传。
二、故障码要版本化
自由文本日志无法统计，必须结构化：{ts, level, code, dev, params}。故障码字典要带版本号，因为同一码值在不同固件版本可能语义变化：
| 字段 | 示例 | 作用 |
|---|---|---|
| code | 0x1A03 | 稳定枚举，不做文本匹配 |
| code_ver | 3 | 字典版本，避免跨版本误读 |
| params | {"vbus":412,"temp":87} | 定位所需的定量上下文 |
| ctx | 环形缓冲指针 | 关联前后日志 |
云端按 code 聚合统计，才能得出"某批次 0x1A03 高发"这类结论；文本日志做不到。
三、脱敏的四类必查项
- 凭证类：密钥、token、证书内容——一律不得进入日志；
- 标识类：设备序列号、客户 ID——按策略做哈希或截断；
- 网络类：公网 IP、内网拓扑——按需脱敏；
- 业务类：产线工艺参数可能构成商业机密，需按客户约定处理。
/* 日志出口统一脱敏：命中敏感键则替换值 */
static const char *SENS[] = {
"secret", "token", "password", "key", 0};
void log_scrub(char *line)
{
for (int i = 0; SENS[i]; i++) {
char *p = strstr(line, SENS[i]);
if (p) {
char *v = strchr(p, '='); if (v) strcpy(v + 1, "***"); }
}
}
/* 采样：INFO 级按 1/10 上报，WARN/ERROR 全量 */
int log_allow(uint8_t level, uint32_t seq)
{
if (level >= LOG_WARN) return 1;
return (seq % 10u) == 0u;
}
脱敏要放在统一出口，而不是散落在各打印点，否则新增日志必然漏掉。
四、验证方法
一是量级核对：统计实际上云条数与流量，与表格预算对照，偏差超过 20% 说明采样或分级失效；二是脱敏审计：跑一轮全功能测试后导出日志，用正则检索密钥/序列号模式，命中即不合格；三是回捞演练：制造一次过流故障，确认环形缓冲上下文完整上传且时间戳连续。
五、小结
日志上云按"分级 + 采样 + 触发式回捞"设计，DEBUG 留本地、INFO 采样、ERROR 全量，量级可降到全量的千分之几。故障码必须结构化并带字典版本，脱敏放在统一出口并做正则审计，最后用量级核对、脱敏审计、回捞演练三类测试闭环。
