P05 · YBO Air —— Air 2 / Air 4 电池无线开关
- 产品入口：P05-switch.md
- 治理摘要：PRODUCT-PLAN §P5；T1
- 设计附录：P05-air-design.md
- 总交付要求：P05-air-guide.md；公共条款见 P05-switch-guide.md
- 引用的基础文件：X01 YBO-CAN 协议、X02 配置模式
- 适用产品：Air 2、Air 4，各分 BLE 版与 433 版；配套中枢见 P05-air-hub.md
本文是 Air 的唯一需求来源，尚未硬件验证；所有数值是设计目标 (t)，除非另有原厂来源。需求标记（必须 / 目标 / 推荐 / 待冻结）的含义见 Switch 公共条款 §1。
1. 定位与边界
章节标题：“1. 定位与边界”Air 用于不便布线位置的照明与场景控制。仅与自有 Air Hub 配对，Air Hub 再经 YBO CAN 控制 Core；已配置控制不依赖 Mate、手机或互联网。Air 无负载输出，不直接连接 CAN，不用作关键回路唯一控制手段（X02 G-01 禁止把关键回路只绑到 wireless_key）。
确定要求：无线双向加密、身份认证、防重放、防未授权控制；电池可更换；产品线精简。BLE 单一全球硬件平台是本版设计与报价基线，SoC 为 Nordic nRF54L15（1.5 MB / 256 KB），Air 2 / Air 4 共用，没有首版备选 SoC。首版硬件采用 Raytac AN54LV-P15 认证模组（nRF54L15、PCB 天线、32 MHz 晶体与射频匹配均在模组内；FCC ID SH6AN54LV，另有 IC、CE、MIC、KC、SRRC、NCC、RCM 报告），主板只承担电池、按键、指示灯、NFC 环路与 32.768 kHz 时钟；芯片级 nRF54L15（QFN48）设计是降本变体，电路、固件平台与安全实现相同，按键与指示灯引脚按各自板子的设备树区分，不声称引脚兼容，切换条件见 AIR-O-15。选型理由与已否决方案见设计附录 §2。Air 另有 433 版（Air 2 433 / Air 4 433）：独立 PCB，TI CC1310 单芯片，433.92 MHz，作为 Air Hub 433 MHz 链路的 YBO 加密类设备（GW-09、本文 AIR-11），不含 BLE 与 NFC，不发送任何明文第三方码型；外壳、按键、指示灯与电池与 BLE 版相同，器件与理由见设计附录 §2.3。433 版首版只做中国与欧洲；北美频段（315 或 902–928 MHz）跟随 Air Hub 的 AIR-O-13。Air 不用 LoRa；无自有 868 MHz 型号需求。
Air 是全系唯一休眠的设备：默认深睡，按键唤醒后建连，并以计划内的断续联络维持在线判定。这一点成立的前提是 Air Hub 常开不休眠（GW-04）。
BLE 版首版固件只做 BLE。同一硬件经固件可切换为 Zigbee 或 Matter over Thread：nRF54L15 的存储与升级分区按 Matter 镜像预留（AIR-O-03），但 Zigbee / Matter 固件、Thread 休眠终端的电池预算与 CSA 认证不在首版范围，启用前单独立项。
首版不包含动能、户外 IP67、密封充电、第三种按键数、RS-485、Zigbee / Matter 固件、Tag、N2K、Wi-Fi、PoE；这些属于可单独报价的扩展。
2. 型号与目标规格
章节标题：“2. 型号与目标规格”| 项目 | Air 2 | Air 4 |
|---|---|---|
| 按键 | 2 个独立键，翘板外观可选 | 4 个独立键 |
| 电子平台 | BLE 版首版：Raytac AN54LV-P15 认证模组（nRF54L15 MCU + BLE + NFC-A）；降本变体：芯片级 nRF54L15（QFN48）（设计附录 §2.1）；433 版：TI CC1310 单芯片 Sub-1 GHz，独立 PCB（设计附录 §2.3） | 同一 SoC 与固件平台；机械布局另评审 |
| 电池 | 1×可更换 CR2450 一次锂纽扣电池（Li-MnO2，IEC CR2450），不充电；SoC 由电池直接供电，不设升压或 buck-boost | 相同 |
| 外形目标 | 86 型面板 86×86 mm，总厚度 ≤12 mm | 相同外形，先验证堆叠和手感 |
| 安装 | 底板两个固定孔孔距 60 mm，可装在 86 型暗盒上（也适配 60 mm 孔距的欧式圆形暗盒；不适配美标单联盒）；无暗盒时底板胶贴或用螺钉直接装在舱壁/面板上。前模块卡在底板上，换电池取下前模块，不拆底板 | 相同 |
| 环境目标 | 舱内 IP54，−20…+60 °C | 相同 |
| 寿命目标 | 10 万次机械操作，电池更换 100 次 | 相同 |
| 电池维护 | 三年设计目标、五年优化目标；整机可用容量暂按 400 mAh 作预算（620 mAh 标称 × 65 %），三年目标对应平均负载 ≤15.22 µA、五年 ≤9.13 µA；工况见设计附录 §4。433 版的续航目标在设计附录 §4 的 433 预算实测后另定，不沿用上述数值 | 相同 |
| 建议零售价 (t) | $59 | 随 D0 报价 |
外形、适配面框、图例与防护等级须以结构样件确认，不声称兼容任何未验证安装孔位。
3. 功能与状态行为
章节标题：“3. 功能与状态行为”下列 ID 是供应商需求响应、测试记录和偏差单的主键；验收方法在指南 §4。
| ID | 要求 | 性质 | 验收 |
|---|---|---|---|
| SYS-01 | 支持 §4 的 Air 本地控制路径；Mate/云断开不影响已配置控制 | 必须 | V-01 |
| SYS-02 | 只有真实 Core 回读可显示执行成功；链路 ACK 只表示接收；超时、失联、拒绝独立表示 | 必须 | V-01、V-02 |
| SYS-03 | Air 只绑定允许的舒适性操作；禁止无线接口直接注入任意 CAN 帧 | 必须 | V-03 |
| AIR-01 | Air 2/4 共用无线/固件平台，1×CR2450 一次锂纽扣电池、用户可更换，无充电路径；电池仓满足儿童防护（工具开启或两个同时动作）并在机械上阻止装入更厚的型号 | 必须 | V-04、V-08 |
| AIR-02 | 三年电池维护目标，五年优化目标；按设计附录 §4 工况建立整机预算 | 目标 | V-04 |
| AIR-03 | 指示灯按事件短亮：已确认 ON 绿色短脉冲、已确认 OFF 可区分的短脉冲、拒绝/故障红色、超时/未知琥珀色；默认灭灯，不持续显示全船状态 | 必须 | V-02、V-04 |
| AIR-04 | 默认快速模式：短按在释放后判定，≥500 ms 长按调光；有效手势判定 T0 至结果灯 P50 ≤150 ms、P99 ≤300 ms；最终确认超时 5 s；原始触点时刻同时记录 | 目标 | V-02 |
| AIR-05 | 以断续联络维持在线：健康上报间隔可配置（初值 30 min），连续三个周期缺失标记不可用；含低电量上报，2.4 V 为阈值初值，需带载标定和滞回 | 目标 | V-04、V-05 |
| AIR-06 | 舱内 IP54，工作 −20…+60 °C，10 万次机械操作 | 目标 | V-08 |
| AIR-07 | 失联网关时有界重连，限制扫描/重连耗电；无结果显示未知；恢复后不补执行过期指令 | 必须 | V-05 |
| AIR-08 | 调光只绑定 Core 声明支持 PWM 能力的通道；释放结束调光；不硬编码旧型号通道 | 必须 | V-01 |
| AIR-09 | 可配置双击场景，建议 350 ms 判定窗；启用后短按等待判定窗，额外手势时间单列，不计入快速模式声明 | 目标 | V-02 |
| AIR-10 | 最多两次应用重试并复用同一逻辑事务 ID；随机退避、重试和 5 s 期限在 ICD 固定；丢 ACK 不得重复执行 toggle | 必须 | V-01、V-02 |
| AIR-11 | 433 版链路：作为 Air Hub GW-09 的 YBO 类设备；逐设备 128 位密钥在 ≤60 s 授权窗口内经 433 上的 ECDH 建立，并以印在电池仓内的逐台配对码认证（配对码不是密钥，窗口外无用），密钥从不以明文经 433 传送；每帧 AES-128-CCM；收发两个帧计数器持久保存，换电池、复位与恢复出厂都不重用计数，不比上一帧新的帧一律拒收，录制重放无效；Air Hub 回发的结果同样受计数保护；应答与回读按 SYS-02、AIR-10；不发送明文第三方码型；调制、速率与帧格式与 Air Hub 共同冻结（AIR-O-14） |
必须 | V-01、V-03、V-05 |
| AIR-12 | 恢复出厂：按住 1、2 键装入电池并保持 ≥5 s，Air 回到未配对的出厂状态；清除全部配对与会话密钥、按键绑定、配置与诊断设置，保留序列号、出厂身份与配对码、当前签名固件及其防回滚版本；保持期间琥珀色闪烁，完成后以独立灯效确认；中途断电在下次上电时完成清除，不留半配对状态；不生成控制动作 | 必须 | V-03、V-09 |
| SEC-01 | 授权、限时（≤60 s）、抗冒充配对；量产禁用未认证的 Just Works 控制配对 | 必须 | V-03 |
| SEC-02 | Air/Air Hub 双向身份认证与加密，独立配对密钥，拒绝明文降级 | 必须 | V-03 |
| SEC-03 | 拒绝重放、篡改、伪造回包；复位、换电池、重连不破坏新鲜性 | 必须 | V-03 |
| SEC-04 | 丢失设备可撤销；已撤销身份不能继续操作；换电池保留合法配对；恢复出厂（AIR-12）只销毁 Air 自身凭据，不需 Air Hub 授权，重新入网仍须 Air Hub 的授权窗口（SEC-01） |
必须 | V-03 |
| SEC-05 | 签名更新、密钥保护、生产调试口保护、受控恢复和安全版本策略 | 必须 | V-03、V-09、V-10 |
| IF-01 | 遵从基线版 X01@2026-09-10 / X02@2026-09-10；不新增 CAN 加密 |
必须 | V-01 |
| MFG-01 | 每台序列号、硬件/固件版本、物料批次与 EOL 记录可追溯 | 必须 | V-10 |
| MFG-02 | 每个交付需求有设计位置、测试结果或获批偏差；关键失败不允许出货 | 必须 | V-10 |
一次正常快速操作：触点 → 手势判定/唤醒 → 认证连接 → 命令 → Air Hub 接受确认 → CAN 命令 → Core 回读 → 加密结果 → Air 短亮。无线接收确认以 T0 至认证 LINK_ACK ≤100 ms 为目标；另行报告原始触点至结果的完整时长。等待 Core 的最长 5 s 内必须安排实际接收机会，禁止仅发包后睡眠却声称支持双向状态确认。跨连接或 Air Hub 复位发生不确定状态时，先读取 Core 状态并将原事务标记待确认/未知，不自动重放过期 toggle。场景涉及多个目标时，只有全部回读成功才报告整场景成功。
上电/换电池：校验存储 → 恢复合法绑定 → 空闲；不生成控制动作。存储损坏进入未配对/服务状态，不能采用默认公共密钥。等待结果期间收到与事务不符或过期回复不显示成功。配对失败关闭窗口并限制重试。
4. 系统位置与失效安全
章节标题：“4. 系统位置与失效安全”Air 2 / Air 4 <-- authenticated encrypted BLE -----------> Air Hub / Air Hub ProAir 2 / Air 4 433 <-- AES-128-CCM 433.92 MHz (GW-09 YBO class) --^ | powered CAN ---- Core | Mate / Studio: configuration, diagnostics and maintenance- 船内：Air → Air Hub → YBO CAN → Core。Mate 与云不在控制环路内。
- 船外：Air Hub 是 P09 Control 的宿主，直接驱动第三方执行器；回读权威见线级待决项
SW-O-01。 - 失效安全：Air 控制在 Air Hub 的 Linux 不可用期间不可用（P05-air-hub.md §3.1）。这可接受，因为
SYS-03只允许舒适性操作，关键回路的兜底是 Key 的有线 CAN 到 Core（P05-switch.md §3）。Air 侧在无结果时显示未知而非成功。
5. 接口
章节标题：“5. 接口”- 无线：Air ↔ Air Hub 一条认证加密链路；Air 仅上报按键/手势，由 Air Hub 执行绑定和权限检查。无线 ICD 必须定义 GATT UUID/属性/权限、序列化、版本协商、手势、事务/结果码、健康上报、连接参数、配对/撤销与升级流程；接口测试向量包括空包、超长包、未知版本/操作、非法键号、断开重连与事务边界值。
- CAN：Air 不接 CAN；经 Air Hub 到达总线的报文遵从
IF-01的 X01/X02 基线。Core 家族正在另行调整通道结构（P01）；绑定按能力发现判断是否支持 PWM，不写死型号。 - 433 版无线：Air ↔ Air Hub 的 433 MHz YBO 类链路（
AIR-11）；帧格式、调制、速率、应答与回读窗口、心跳与升级分片由与 Air Hub 共用的 433 ICD 定义（AIR-O-14），测试向量同上并加入计数回退、重放与错误密钥。 - 维护：无屏、无有线维护口；配对、撤销与升级经授权工具与已授权的 Air Hub 管理会话完成。
6. 安全
章节标题：“6. 安全”安全边界是 Air ↔ Air Hub。安装后的 CAN 为可信有线域，沿用 X01，不新增 CAN 加密；也不把无线保密声明扩展到 CAN。
- 配对由授权维护流程加物理动作开启，窗口 ≤60 s，结束自动关闭（
SEC-01）。 - 无屏 Air 的入网必须是认证的：NFC 标签能力、静态公开 QR ID 和按钮长按本身均不构成认证证明；不得回退为 Just Works。QR 只携带公开 ID/型号。具体方法在
AIR-O-02冻结。 433 版没有 NFC 与 BLE，入网方法固定为AIR-11的 ECDH 加电池仓配对码：配对码只在授权窗口内、经 Mate / Studio 录入 Air Hub 后才有效。 - 每个设备/配对独立密钥；Air Hub 维护允许名单与按键到操作的绑定，只有合法事件生成 CAN 指令。禁止普通 Air 修改绑定、升级策略或注入原始 CAN（
SEC-02、SYS-03）。 - 命令和结果都需保密与完整性保护；应用层使用事务 ID、时效和去重（
SEC-03、AIR-10）。 - 解绑/失窃撤销立即拒绝旧身份。恢复出厂是需打开电池仓的本地物理操作（
AIR-12），只清除 Air 自身凭据；重置时若链路在线，Air 发送经认证的退出通知，Air Hub 将该绑定标为已移除，否则旧绑定保留到在 Mate / Studio 中删除，因密钥已销毁而不可再用；重新入网仍须授权窗口。量产不得保留通用测试密钥或隐蔽明文模式（SEC-04）。 - 固件签名公钥与产品控制密钥分开；签名私钥由 YBO 控制。OTA 经已授权 Air Hub 传递签名镜像，电池状态不满足门槛时拒绝并说明原因；分区、最大镜像、回退和断电恢复方案在 D1 前验证（
SEC-05）。 433 版的签名镜像经已授权 Air Hub 以 433 分片传送，遵守目的地占空比限制，校验与回退要求相同。
实现方式（LE Secure Connections、GATT 权限分离、OOB 入网机制、nonce 与计数器规则）在设计附录 §6。
7. 合规路径
章节标题：“7. 合规路径”COMPLIANCE-MATRIX 无线行：RED 及网络安全、CRA、欧盟电池法规。中国、欧洲、美国、加拿大分别确认适用路径；纽扣锂电池的运输文件（UN 3090/3091）、各市场标签与电池仓儿童防护法规（美国 16 CFR 1263、IEC 62368-1）由所选电池和首发国家确定（AIR-O-06）。433 版另按 433.92 MHz 短距离设备评估：欧洲 EN 300 220（433.05–434.79 MHz，≤10 mW ERP 及占空比）与 RED，中国按 SRRC 微功率短距离设备规定；北美型号待 AIR-O-13。
BLE 版首版用认证模组，整机认证按"整机引用模组报告"路径：EN 301 489-1/-17 的 EMC 在整机上测；EN 300 328 的射频报告由 YBO 按 ETSI EG 203 367 的差异分析判断是否引用模组报告，天线与集成方式须与模组认证一致；EN IEC 62368-1、EN 62479、EN 18031 与欧盟 DoC 的制造商责任不因模组而改变。美国与加拿大沿用模组的 FCC / ISED 模块认证，整机做 Part 15B 测试并标注 "Contains FCC ID: SH6AN54LV"。芯片级降本变体需要整机完整的射频测试并申请自己的 FCC ID。射频、EMC 与市场合规由合格实验室按批准计划执行，报告关联最终天线、外壳、硬件、固件与地区配置。
8. 待决事项
章节标题：“8. 待决事项”| ID | 项目 | 责任/关口 |
|---|---|---|
| AIR-O-01 | BLE 覆盖/功耗实测与 sub-GHz 替代取舍；注册/并发规模；链路模式基线为按键后建连 + 断续在线联络 | YBO + 设计公司，D0 |
| AIR-O-02 | 认证入网：nRF54L15 的 NFC 辅助认证 OOB 的真实工具链演示；433 版：ECDH 加电池仓配对码的真实工具链演示 | 固件/安全负责人，D0 |
| AIR-O-03 | 档位已定为 nRF54L15（保留 Matter 固件路径），首版载体为 Raytac AN54LV-P15 模组；待定：模组证书与集成指南原件核验、Raytac 布局评审结论、备选 AN54LQ-P15 的可替换性、Flash 分区、Matter 双镜像用外接 SPI flash 还是镜像压缩（nRF54L 评估）、量产价与供货证据 | 设计公司，D0 / D1 |
| AIR-O-04 | GATT/事务去重/回读窗口、Core ICD、双击手势延迟、控制过期处理、供电瞬态包络 | 系统负责人，D1 |
| AIR-O-05 | 86 型外形内含 CR2450 电池座的结构堆叠与 ≤12 mm 验证、底板与 86 型暗盒 / 胶贴 / 螺钉三种安装、前模块卡扣、开孔、密封、LED 光学、儿童防护电池盖与防装错（CR2477 等更厚型号） | 结构 + YBO，D1；金样 D2 |
| AIR-O-06 | 首发国家、适用标准、实验室计划、标签、纽扣锂电池运输与儿童防护法规 | YBO/合规，D1 |
| AIR-O-07 | 实测电量与续航声明、限值与不确定度 | 测试负责人，D2 数据 / D3 声明 |
| AIR-O-08 | 工厂身份注入、治具限值、抽样/良率、维修与变更控制 | 设计公司 + 代工厂，D3 |
| AIR-O-09 | 已关闭：sub-GHz 做成独立的 433 版（CC1310，433.92 MHz，AIR-11），不叠加在 BLE 版上；Air 不用 LoRa |
YBO |
| AIR-O-14 | 433 版链路参数与 Air Hub 共同冻结：调制（Air Hub 设计附录推荐 YBO 帧与第三方码型共用 OOK 接收配置）、速率、同步字、白化、CRC、帧格式、应答与回读窗口；CC1310 ↔ Air Hub RFM310 模组互通实测；433 版电池预算与续航目标；86 型面板内 433 天线效率与距离对比 BLE | YBO + 设计公司，D0 |
| AIR-O-15 | 芯片级降本变体的切换条件：量产数量与单价门槛、整机完整射频认证的预算与周期、天线在 86 型外壳内的实测结果；在此之前首版与首批均为 AN54LV-P15 模组 | YBO + 设计公司，D1 |
除已锁定的 SoC 外，上述未关闭前本文任何一栏都不构成量产选型；三年/五年续航、安装距离及认证均不得在无证据时标注已达成。
9. 变更记录
章节标题：“9. 变更记录”| 日期 | 版本 | 变更 | 记录 |
|---|---|---|---|
| 2026-09-10 | R0.1 | 从混合双频/动能草案收敛为电池 Air 推荐设计输入 | changelog |
| 2026-09-11 | R0.2 | 首版平台改为 ESP32-H2；电池改为 2×AAA 锂；厚度 ≤14 mm；预算 750 mAh | changelog |
| 2026-09-14 | R0.3 | 合并规格、设计附录、平台对比与 Air 指南条款为单一文件；按 2026-09-11 决定修正 MCU 推荐的自相矛盾；新增 sub-GHz/LoRa 候选与 AIR-O-09 |
任务 20260914-0010 |
| 2026-09-22 | R0.4 | 拆回四槽位：平台与设计要点移入 P05-air-design.md，供应商交付移入 P05-air-guide.md 与线级公共条款；750 mAh / 28.54 µA 预算写入 §2；数值与需求 ID 不变 |
任务 20260921-1700 |
| 2026-09-23 | R0.5 | 电池基线由 2×AAA 改回 1×CR2450 直供；厚度恢复 ≤12 mm；预算改为 400 mAh（三年 15.22 µA、五年 9.13 µA）；AIR-01 加儿童防护电池仓；§7 与 AIR-O-05/06 改为纽扣电池运输与儿童防护；AIR-O-02 按新首选 nRF54L15 改写。原因是 SoC 供电下限变了，不是电池数据变了 | 任务 20260922-2048 |
| 2026-09-25 | R0.5 | AIR-O-03 补充存储档位与 Matter 双镜像条件的引用，无数值变化 | 任务 20260925-1547 |
| 2026-09-29 | R0.6 | SoC 锁定为 nRF54L15（QFN48），不再保留 CC2755R10 备选；§1 写明首版只做 BLE、同一硬件经固件可切换 Zigbee / Matter 并预留存储；AIR-O-02 删去 CC2755R10 分支；AIR-O-03 档位定为 L15 | 任务 20260929-0012 |
| 2026-09-29 | R0.7 | 外形改为 86 型面板 86×86 mm（厚度 ≤12 mm 不变），安装改为 60 mm 孔距底板兼容 86 型暗盒、胶贴与螺钉，前模块卡扣、换电池不拆底板；新增 AIR-12 恢复出厂；SEC-04 与 §6 第 5 条按本地重置改写；AIR-O-05 按新外形改写 |
任务 20260929-0027 |
| 2026-09-29 | R0.8 | 新增 433 版（Air 2 433 / Air 4 433：TI CC1310 独立 PCB，433.92 MHz，作为 Air Hub GW-09 的 YBO 加密类）；新增 AIR-11；§4 系统图、§5 接口、§6 入网与升级、§7 合规加入 433 版；AIR-O-09 关闭，新增 AIR-O-14；AIR-O-02 加 433 入网演示 |
任务 20260929-0031 |
| 2026-10-19 | R0.9 | 正文只写当前状态：去掉锁定日期、外形与厚度的改动过程和取代说明 | 任务 20261019-1200 |
| 2026-10-24 | R0.10 | 首版硬件改为 Raytac AN54LV-P15 认证模组，芯片级 nRF54L15 设计改为降本变体（§1、§2）；§7 加入整机引用模组报告的认证路径与 "Contains FCC ID" 标签；AIR-O-03 加模组证书与布局评审核验，新增 AIR-O-15 切换条件 |
任务 20261023-2353 |