P05 · YBO Key —— Key Box 36 外接按键控制盒与 Key 面板
- 产品入口：P05-switch.md
- 治理摘要：PRODUCT-PLAN §P5；T0
- 设计附录：P05-key-design.md
- 总交付要求：P05-key-guide.md；公共条款见 P05-switch-guide.md
- 引用的基础文件：X01 YBO-CAN 协议、X02 配置模式
- 适用产品：首期为外接按键控制盒 Key Box 36（§2.1）；Key 4、Key 8 面板（基础单元最多 8 键；每块扩展单元 8 键，一个基础单元最多带 8 块 I2C 扩展单元和 16 块 CAN 扩展单元）尚未设计，延后（2026-10-29），§2 的面板条目保留作后续设计输入；船外配套中枢见 P05-air-hub.md
本文是 Key 的唯一需求来源，尚未硬件验证；所有数值是设计目标 (t)，除非另有原厂来源。需求标记的含义见 Switch 公共条款 §1。
1. 定位与边界
章节标题：“1. 定位与边界”Key 用于可以布线的固定控制位置。四根功能导线为 V+、GND、CAN-H、CAN-L，由船上 12/24 V 系统供电，无电池维护；船内经 YBO CAN 直接控制 Core，无需 Air Hub、Mate、互联网或手机参与正常操作；Core 与总线供电仍是必要条件，Key 不能替代物理旁路。船外（P09 Control 形态）没有 Core，Key 挂到 Air Hub 的 CAN 支路上（GW-06）；此时回读权威、失效安全表述与支路供电按线级 SW-O-01…03 处理。Key 硬件、四根功能导线与本文全部指标不因这条路径改变。
本版不要求 CAN 加密，沿用 X01 的现有协议和命令认证。控制不依赖无线：Key 带一条 BLE 服务通道，只用于配置、诊断读取与固件升级，平时关闭，由面板上的物理动作打开限时服务窗口；任何负载命令都不得从无线发起（KEY-18…KEY-20）。首期型号为 Key Box 36；Key 4 / Key 8 面板与两种扩展单元延后，不在首期排期与报价内。面板上第二路 CAN 与 RS-485 只预留引脚；Key Box 36 的 RS-485 与 NMEA 2000 插座见 §2.1。
2. 型号与目标规格
章节标题：“2. 型号与目标规格”每块板最多 8 键，Key 4 / Key 8 是基础单元的两种配置：基础单元带主控、CAN 与无线服务通道。更多键数由扩展单元实现，每块 8 键，有两种，可同时使用：I2C 扩展单元不带主控，只有按键输入扩展与 LED 驱动，用于同一组装体内，最多 8 块；CAN 扩展单元带一颗小 MCU，挂在基础单元的内部扩展 CAN 上，用于较远或数量较多的面板，最多 16 块 (t)。内部扩展 CAN 与外部 YBO CAN 是两条分开的总线，互不干扰（KEY-22）；无论带多少扩展单元，对 YBO CAN 都只是基础单元这一个节点（设计附录 §2.2）。需要互为备份的面板使用多个基础单元（KEY-O-11）。2026-09-28 之前"同一平台 32 键及以上"的目标由此取代。
| 项目 | Key 4 | Key 8 |
|---|---|---|
| 独立按键 | 4 | 8（每块板上限） |
| 扩展 | I2C 扩展单元最多 8 块，线束每口 ≤0.3 m（采取措施后约 2 m，待实测）；CAN 扩展单元最多 16 块，内部总线 ≤20 m (t)；每块 8 键 | 相同；满配共 200 键 |
| 功能 | toggle、momentary、dimmer、scene；互锁/舵位锁由 Core 执行 | 相同 |
| 供电 | 12/24 V 标称，连续 8–32 V | 相同 |
| 通信 | YBO CAN；四功能线，屏蔽另行设计 | 相同 |
| 无线服务接口 | BLE，仅配置、诊断读取与固件升级；平时关闭 | 相同 |
| 外形目标 | 约 77×77 mm | 约 77×150 mm |
| 安装深度 | 面板后 ≤32 mm；线束弯曲空间另计 | 相同 |
| 安装孔 | 52 mm 候选，D1 前提交图纸验证，不承诺通用替换 | 相同 |
| 灯光 | 逐键 RGB 状态灯；每块板一组图例背光（白光，夜间红光），用于暗光下照亮标签，独立于状态灯 | 相同；扩展单元每块同样一组 |
| 输入功耗目标 | 最大背光 ≤60 mA@12 V (t)（PRODUCT-PLAN §P5）；静态电流 ≤20 mA@12 V（Key 常供电、不以省电为目标，主控是带射频的模组；Key 不休眠，见 KEY-05） | 相同；另报告 8/24/32 V 电流和热数据 |
| 防护/温度目标 | 安装后前面板 IP67、背面 IP54；−25…+70 °C | 相同 |
| 机械目标 | 每键 100 万次操作 | 相同 |
| 建议零售价 (t) | 延后后重新定价（原 $149） | 延后后重新定价 |
2.1 Key Box 36（外接按键控制盒）
章节标题：“2.1 Key Box 36（外接按键控制盒）”按键不便装在面板上时，用控制盒接外部船用按键：按键装在任意位置（自复位或自锁按键均可，带双色灯），经线束接到一个集中控制盒；控制盒本身没有按键，对 YBO CAN 是一个节点，没有扩展口，只有 36 键一种规格，需要更多按键时再加一个控制盒。Key Box 36 是首期型号，层级 T0，建议零售价待定。
| 项目 | Key Box 36 |
|---|---|
| 按键输入 | 36 路，每组 9 键共 4 组；另有 3 路辅助输入 |
| 灯与输出 | 72 路低边输出，每键绿、红各一路；不用作灯的输出可作通用输出，每路 ≤250 mA (t)；另有 2 路高边输出，每路 ≤1 A (t) |
| 线束连接器 | 4 个 TE AMPSEAL 35 立式插座，按颜色防错插（黑、本色、灰、蓝）；首选 TE 原装；另有 1 个 NMEA 2000 标准插座（M12 A 编码 5 针公座，Micro-C） |
| 供电 | 12/24 V 标称，连续 9–32 V；整盒 ≤5 A (t)；上游支路保险 ≤7.5 A，V+ / GND 线 1.5 mm² |
| 通信 | CAN1 为 YBO CAN（在 #1 插座）；CAN2 为隔离 CAN，经 NMEA 2000 插座接标准支线，总线侧由 NMEA 2000 网络供电（N2K-ready，协议栈与认证不在首版）；RS-485 一路（非隔离，在 #2 插座），协议另行定义 |
| 模拟输入 | 8 路（#3、#4 插座各 4 路），每路由软件设为电阻型传感器（0–1000 Ω，含 10–180 Ω 与 240–33 Ω 探头）、4–20 mA 或 0–10 V（含 0–5 V）电压型传感器；#3、#4 各带传感器地与两线制变送器与有源传感器的回路电源（24 V / 416 mA 隔离电源模块，负端接盒内地，PTC 保护），12 V 与 24 V 船上都是 24 V；每路随按键扫描采样，不用于快速信号 |
| 板上监测 | 整盒电流、两点板温、电源轨电压 |
| 外形目标 | 约 204×134×38 mm（两端固定耳处长 228 mm），盖面 4 个插座开孔与 1 个 M12 开孔；盖上方留约 80 mm 给插头与线束弯曲 |
| 防护/温度目标 | 插好插头后 IP67；−25…+70 °C |
| 外接按键要求 | IP67；转换触点（C / NO / NC）适用 12–24 V DC 小电流；共阳双色灯 12–24 V，每色 ≤20 mA；自复位或自锁按键均可：灯始终按 Core 回读显示负载状态；自复位按键的动作方式由软件逐键配置（KEY-31），自锁按键只在位置变化时下发（KEY-23）；按住运行的负载只能用自复位按键 |
接线：同组 9 个按键装在一起，每键的公共端 C 与灯的公共阳极在按键处并成一根 COMn+；每键再接 NO、绿灯、红灯三根线，NC 不用。一组 9 键共 28 根线，占一个连接器的 1–28 针（§5）。
3. 功能与状态行为
章节标题：“3. 功能与状态行为”下列 ID 是供应商需求响应、测试记录和偏差单的主键；验收方法在指南 §4。R0.1 的 FR-nn 编号已并入 KEY-nn，映射见 §9。
| ID | 要求 | 性质 | 验收 |
|---|---|---|---|
| SYS-01 | 支持 §4 的 Key 本地控制路径；Mate/云断开不影响已配置控制 | 必须 | V-01 |
| SYS-02 | 只渲染 Core 回读；等待中显示 pending，5 s 无结果显示未知/琥珀，禁止把超时自动改为 OFF；链路 ACK 只表示接收 | 必须 | V-01、V-06 |
| KEY-01 | V+、GND、CAN-H、CAN-L 四根功能导线；12/24 V 标称、8–32 V 工作 | 必须 | V-06、V-07 |
| KEY-02 | 共用主控/驱动平台，每块板最多 8 键：基础单元有 Key 4 / Key 8 两种配置，扩展单元每块 8 键，I2C 扩展单元（不带主控）最多 8 块，CAN 扩展单元最多 16 块；每键独立输入、无鬼键；同时按键和组合键不丢失，组合键可跨同一基础单元下的各块板；本地设置组合键不得额外触发负载 | 必须 | V-06 |
| KEY-03 | 触点边沿（含消抖）到 CAN 命令/释放 ≤20 ms；按键后就绪 ≤100 ms，首个有效操作不丢失 | 目标 | V-06 |
| KEY-04 | 逐键 RGB 状态灯，加每块板一组独立的白/红图例背光（基础单元与每块扩展单元各一组，用于暗光下照亮标签），均可调暗至关闭；跟随总线日/夜配置；无 Mate 时可用已保存设置和本地调整 | 必须 | V-06、V-08 |
| KEY-05 | Key 不定义休眠模式：由总线常供电，总线空闲时仍保持接收与按键响应；静态电流以 §2 的 ≤20 mA@12 V 为上限，在射频关闭状态下测量；基础单元最大背光按 §2 的 ≤60 mA@12 V，每块扩展单元的静态与背光增量在 KEY-O-07 给出。全系只有 Air 使用电池并休眠 |
目标 | V-07 |
| KEY-06 | 安装后前面板 IP67、背面 IP54；−25…+70 °C；每键 100 万次操作 | 目标 | V-08 |
| KEY-07 | momentary 按下保持、释放 ≤20 ms 发送；Core 使用明确的保持超时/续约机制，拔线或按键断电后停止；D1 前与 Core 冻结时限并测试，不能仅依赖松手包 | 必须 | V-01、V-06 |
| KEY-08 | 启动时状态未知，首次完整回读后显示；失联或回读过期后停止显示旧状态为当前事实 | 必须 | V-06 |
| KEY-09 | 每键绑定语义、目标、颜色、场景和权限由配置确定；dimmer 仅允许 PWM 能力通道；按住 ≥500 ms 进入调光，scene 的长按阈值按 ICD 冻结 | 必须 | V-01 |
| KEY-10 | 互锁、舵位锁和输出保护在 Core 强制执行，Key 显示拒绝/锁定，不自行绕过 | 必须 | V-01 |
| KEY-11 | 夜间红光模式：图例与状态灯只发红光，禁用白/蓝/绿；用不同闪烁节奏区分状态；最低可用亮度由金样确认，不硬套 1 % | 必须 | V-06、V-08 |
| KEY-12 | 无 Core 心跳 5 s 目标进入失联指示；状态新鲜度与错误来源须明示，不把 BUS-OFF 当 OFF | 目标 | V-06 |
| KEY-13 | Key 保存可用绑定副本，与 Core 配置版本一致；原子更新/回滚；Air Hub 或 Mate 丢失不影响，Core 丢失时不虚构本地执行 | 必须 | V-01、V-09 |
| KEY-14 | 发布按键来源、事件、结果供审计；保留 256 条 RAM 事件目标，掉电不保证日志持久；不含密钥 | 目标 | V-06 |
| KEY-15 | 10 s 诊断目标：电压、可用温度信息、运行时间、复位原因、按键计数、CAN 错误；无检测硬件则不伪造 LED 故障遥测 | 目标 | V-06 |
| KEY-16 | toggle/scene 卡键 60 s 报告并忽略直到释放；图例区分场景/点动，误触组合需评审 | 必须 | V-06 |
| KEY-17 | 正常工作电压范围内（面板 8–32 V，Key Box 9–32 V）不得误控制；瞬态和恢复按批准试验计划，不笼统声称所有浪涌均无复位 | 必须 | V-07 |
| KEY-18 | 无线服务接口（BLE）只用于配置、诊断读取与固件升级；任何负载命令、绑定执行或 CAN 控制帧都不得由无线接口发起，服务任务与命令生成之间没有代码路径 | 必须 | V-03 |
| KEY-19 | 射频平时关闭；服务窗口由面板上规定的物理动作打开，持续 ≤10 min，超时、完成或断电即关闭，并在指示灯上显示 | 必须 | V-03、V-06 |
| KEY-20 | 服务窗口开启与固件传输期间，有线控制保持 KEY-02、KEY-03、KEY-07 的行为与时限；新固件只在没有按键被按住时激活 | 必须 | V-06、V-09 |
| KEY-21 | 扩展单元丢失或扩展总线（I2C 或内部扩展 CAN）故障时，基础单元自身的按键与 CAN 控制不受影响；故障不得产生按键事件；丢失单元的按键标记为不可用，其状态灯不显示旧状态；恢复后先重新读取状态再接受操作 | 必须 | V-06 |
| KEY-22 | 内部扩展 CAN 与外部 YBO CAN 使用各自的控制器与收发器；任一总线上的故障、短路或流量不得影响另一条总线；扩展单元不是 X01 节点，外部不能直接寻址；外部帧不转发到内部总线，上到外部总线的只有基础单元生成的 X01 帧；两种连接器在型号或键位上不同，不能混插 | 必须 | V-06 |
| KEY-23 | Key Box：36 路按键输入加 3 路辅助输入、72 路低边输出与 2 路高边输出；按键类型逐路配置为自复位（动作方式见 KEY-31）或自锁；自锁按键只在位置变化时把负载设为新位置（按下 = 开、释放 = 关），负载已处于该状态时不动作，位置保持不变时不重复下发，所以负载被其他控制源改变后，释放按键不触动负载，再次按下才打开；自锁键不能绑定点动负载；上电或复位后只读取并上报按键位置，不发送命令 |
必须 | V-11 |
| KEY-24 | Key Box 按键灯只显示 Core 回读，不显示按键位置：绿常亮 ON，灭 OFF，绿闪等待，红常亮拒绝/锁定，红慢闪失联/未知，红绿同亮为服务窗口 | 必须 | V-11 |
| KEY-25 | Key Box 每路输出可配置为灯或通用输出；通用输出只按 Core 经 CAN 下发的命令动作并回报状态，控制盒不得由自身输入直接驱动；每路 ≤250 mA、每颗驱动器 ≤1 A、整盒 ≤5 A (t)；过载只关断该路并报告；2 路高边输出每路 ≤1 A (t)，限流并逐路报告电流、过载、开路与过温；上电、复位与固件未就绪期间全部输出保持关断 | 必须 | V-11 |
| KEY-26 | Key Box 线束故障：COMn+ 低于阈值时该组 9 键标为不可用、不产生事件；输入线对地短路读作释放；点动键按住超过配置上限时报告故障并停止续约；输出的开路、过载与过温逐路报告；任一组的故障不影响其他组与 CAN | 必须 | V-11 |
| KEY-27 | Key Box 两路 CAN：CAN1 为 YBO CAN（同 KEY-01、IF-01）；CAN2 与盒内电路电气隔离，经 NMEA 2000 标准插座（M12 A 编码 5 针，1 屏蔽、2 NET-S、3 NET-C、4 NET-H、5 NET-L）接标准支线，总线侧只由 NET-S / NET-C 供电，盒内不接终端（终端在主干两端）；CAN1 的终端电阻由线束跳线接入，盒内不固定接入；CAN2 的协议与 NMEA 2000 认证另行报价 |
必须 | V-11 |
| KEY-28 | Key Box 线束：4 个颜色防错的 AMPSEAL 35，1–28 针在各连接器上定义相同，电源与 CAN1 只在 #1，RS-485 只在 #2，模拟输入只在 #3 / #4；单键线束 ≤5 m (t)；插好插头后 IP67 | 目标 | V-08、V-11 |
| KEY-29 | Key Box RS-485：半双工一路，与盒内地不隔离；终端 120 Ω 由线束跳线接入；总线空闲、断线或短路时不产生任何按键事件或输出动作；只按 Core 配置的协议收发，盒内输入不能经 RS-485 直接驱动输出；RS-485 故障不影响按键、输出与 CAN | 必须 | V-11 |
| KEY-30 | Key Box 模拟输入：8 路逐路配置为电阻 0–1000 Ω（≤400 Ω 时分辨率 ≤2 Ω (t)）、4–20 mA（分辨率 ≤0.1 mA (t)）或 0–10 V（分辨率 ≤10 mV (t)，输入阻抗 ≥40 kΩ），上电与复位期间全部为高阻（不接上拉与采样电阻）；任一模式下对 V+ 短路不损坏；断线、对地与对 V+ 短路逐路报告，电流模式下过流关断该路；任一路故障不影响其他路与按键；整盒电流、两点板温与电源轨电压可读并在越限时报告 | 必须 | V-11 |
| KEY-31 | Key Box 按键动作方式（自复位按键）逐键配置为：短按翻转（按下松开翻转一次）、长按翻转（按住达到阈值才翻转，阈值默认 3 s、可配置，短按无效）或按住运行（按住期间保持并续约，同 KEY-07）；长按计时期间该键绿闪，未到阈值松开则取消、不发命令；可把两键配置为互锁对（如锚机收 / 放），两键同时按下时都不动作，换向须先松开并经过可配置的间隔 |
必须 | V-11 |
| SEC-01 | 授权、限时、抗冒充的配对；量产禁用未认证的 Just Works 配对 | 必须 | V-03 |
| SEC-02 | 服务链路双向身份认证与加密，逐设备密钥，拒绝明文降级 | 必须 | V-03 |
| SEC-04 | 丢失或更换的服务工具可撤销；恢复出厂须经物理动作 | 必须 | V-03 |
| SEC-05 | 签名更新、密钥保护、生产调试口保护、受控恢复和安全版本策略；空间与掉电恢复通过实测，不沿用旧 MCU 的 A/B 承诺；经 BLE 收到的配置与固件和经 CAN 收到的走同一套签名与版本校验 | 必须 | V-09、V-10 |
| IF-01 | 遵从基线版 X01@2026-09-10 / X02@2026-09-10（正式修订号 D1 指定）；不新增 CAN 加密，不删除已有 CAN 命令认证 |
必须 | V-01、V-06 |
| MFG-01 | 每台序列号、硬件/固件版本、物料批次与 EOL 记录可追溯 | 必须 | V-10 |
| MFG-02 | 每个交付需求有设计位置、测试结果或获批偏差；关键失败不允许出货 | 必须 | V-10 |
状态机：
| 状态 | 处理 |
|---|---|
| unknown / boot | 等待新鲜 Core 状态，不显示确定 ON/OFF |
| ready | 根据绑定发命令，显示 pending；重复发送使用同一操作标识 |
| pending | ACK 仅表示接受；匹配 STATE 决定显示；5 s 无有效结果进入 unknown/timeout |
| locked / tripped | 显示 Core 原因，不能通过本地 UI 绕过 |
| bus lost | 失联指示；重新发现并读取状态后恢复 |
总线短路、BUS-OFF、欠压、看门狗恢复后仅请求状态，不重新发送旧命令。Core 不可用时绑定副本只用于恢复与显示配置，不是执行替代品。原 FR-15 的 RS-485 变体不在本版基础范围，任何恢复该选项的报价必须同时定义主站和断链行为。
4. 系统位置与失效安全
章节标题：“4. 系统位置与失效安全”Key 4 / Key 8 -------- powered four-wire CAN -------- Core | Mate / Studio: configuration, diagnostics and maintenance- 船内：Key → YBO CAN → Core，无需 Air Hub、Mate 或互联网。Key 是关键回路的兜底路径（P05-switch.md §3）。
- 船外：Key → CAN → Air Hub → 第三方执行器（
GW-06）；Air Hub 的 Linux 是有线开关的单点，按SW-O-02声明。 - 失效安全：Core 仍必须有电、在线并承担最终执行与保护；Key 不代替 Core 的物理旁路。
5. 接口
章节标题：“5. 接口”| 功能导线 | 电气定义 | 设计要求 |
|---|---|---|
| V+ | 标称 12/24 V，连续 8–32 V | 上游支路保护；输入反接/瞬态保护；按线束压降核算最远端电压 |
| GND | 供电回路与总线参考 | 不以屏蔽层代替回流导线；验证各节点地电位差 |
| CAN-H / CAN-L | 双绞差分对，YBO CAN | 使用符合 X01 的 SIC 收发器；干线两端各 120 Ω，Key 支路不内置固定终端 |
这是功能定义，不是连接器孔位编号或线色表。接口控制文件必须给出完整配对连接器、厂家/订货号、键位、针脚观察方向、孔号、线色、线径、绞距、屏蔽、剥线/压接、锁紧与扭矩图；屏蔽/drain 若需要单独计入连接器，不能暗称四芯已解决所有 EMC 问题。Key 可以使用尾线加干线 T 接头，不要求两个贯通插座。
总线参数按 X01：Classical CAN 2.0B，500 kbit/s，载荷 ≤8 字节，不使用 CAN FD、不置 BRS。40 m 干线 / 1 m 支路 / 64 节点均属待验证目标，设计公司须联合 Core 在最差线束和节点负载上验证；不得私自改为另一速率或不兼容协议。CAN SIC 不代替拓扑与信号完整性验证。
应用接口交付至少包括：X01/X02 版本、节点身份/能力发现、按键语义、CMD/ACK/STATE 对应关系、事务序号与超时、配置原子提交/回滚、日志格式、升级协议及错误码。固定数值必须写进同一版 ICD。Core 家族正在另行调整通道结构；绑定按能力发现判断是否支持 PWM，不写死旧型号或假定所有输出可调光。接口联调使用具版本号的 Core 固件或正式仿真器。
扩展接口：I2C 扩展口与内部扩展 CAN 口是 Key 组装体内部的接口，不属于四根功能导线，也不是 YBO CAN 的一部分（KEY-21、KEY-22）；协议、枚举与连接器在 KEY-O-12 冻结。
无线服务接口：BLE，按 KEY-18…KEY-20 与 SEC-01 / SEC-02 / SEC-04。无线 ICD 须定义 GATT 服务与权限、配对流程、配置与固件的传输和校验、服务窗口的开启动作与指示、错误码；不定义任何控制类属性。
Key Box 线束接口：四个 AMPSEAL 35 的 1–28 针定义相同：1–9 按键 NO 输入，10–18 绿灯输出，19–27 红灯输出，28 COMn+。V+、GND 与 CAN1 只在 #1（黑）；#2 另有 RS-485（A、B、终端、屏蔽、GND）；#3、#4 各另有 4 路模拟输入、传感器地与回路电源；#1–#3 各有一路辅助输入；#2 的 35 针与 #4 的 29 针为高边输出；CAN2 不走 AMPSEAL，而是经盖上的 NMEA 2000 标准插座（M12 A 编码 5 针公座）接标准支线；完整针脚表见设计附录 §2.3。CAN1 的终端电阻在盒内，线束在插头内把 TERM 针短接到 CAN-L 时接入；CAN2 不设终端。对 YBO CAN 而言 Key Box 是一个支路节点，CAN1 的电气与总线参数同上。
6. 安全
章节标题：“6. 安全”CAN 不新增加密；沿用 X01/X02 的命令认证、配置与权限。无线服务通道按与 Air 相同的原则设防：配对须认证且限时（SEC-01），链路双向认证并加密（SEC-02），服务工具可撤销（SEC-04）；无屏配对的具体方法在 KEY-O-09 冻结。无线通道不承载控制（KEY-18），Key 作为关键回路兜底路径的地位不变。CAN 扩展单元不保存密钥，只上报按键并显示状态；它的固件由基础单元校验签名后下发（SEC-05、KEY-O-12）。Key 必须实现 SEC-05：签名更新、生产调试访问保护、受控恢复与安全版本策略。配置原子提交与回滚；升级中断恢复到完整受信镜像，重启后请求 Core 回读，不补执行旧指令。已有 CAN 凭据按受控生产流程注入；密钥管理规则见 Switch 公共条款 §3。
7. 合规路径
章节标题：“7. 合规路径”COMPLIANCE-MATRIX Key 行（无线设备）：RED 及其网络安全要求（EN 18031 系列）、CRA、RoHS、WEEE、GPSR；美国配置走 FCC 路径。使用预认证模组不免除整机评估。EMC 与目标市场适用要求由合格实验室执行批准计划，报告关联最终外壳、硬件、固件和线束（KEY-O-06）。
8. 待决事项
章节标题：“8. 待决事项”| ID | 项目 | 责任/关口 |
|---|---|---|
| KEY-O-03 | 主控模组完整订货号、内存分区、双镜像或可恢复升级；LED 驱动器型号与 I2C 地址；预留的第二路 CAN 与 RS-485 引脚 | 设计公司，D0 架构 / D1 物料 |
| KEY-O-04 | 连接器孔位/线径/线束、CAN 参数与 Core 版本、点动续约与失联停止时限、供电瞬态包络 | 系统/硬件负责人，D1 |
| KEY-O-05 | 尺寸、开孔、密封、LED 光学、图例及安装材料；天线在密封面板后的位置；基础单元与扩展单元组合的外形、扩展线束出口与安装框 | 结构/工业设计 + YBO，D1；金样 D2 |
| KEY-O-06 | 目的地国家、适用标准及版本、实验室计划、标签与包装 | YBO/合规 + 实验室，D1 |
| KEY-O-07 | 安装/灯光/功耗与环境指标、限值与测量不确定度；每块 I2C 与 CAN 扩展单元的静态与背光增量、满配时的总电流 | 测试负责人 + YBO，D2 数据 / D3 声明 |
| KEY-O-08 | 工厂身份注入、治具限值、抽样/良率、维修与变更控制 | 设计公司 + 代工厂 + YBO，D3 |
| KEY-O-09 | 无屏配对方法：印在机身的逐设备配对码加 PAKE，或在按键上输入口令；服务窗口的开启动作 | 固件/安全负责人，D0 |
| KEY-O-10 | 带射频的 Key 是否为总线上其他节点中继配置与升级（承担 X01 §4.7 的 hub 角色）；X01 §4.7 在 Classical CAN 下的分块重算 | 系统负责人，D0 / D1；首版不做 |
| KEY-O-11 | 扩展与组合：I2C 扩展口的线长上限与实测、热插拔与故障检测；扩展单元的识别与配置；多个基础单元时的节点号与 X01 的 64 节点目标、跨节点的场景与互锁语义、支路供电与安装框；CAN 扩展单元改贴 X01 收发器后作为独立有线 Key 是否成为产品配置 | 系统 + 结构负责人，D1 |
| KEY-O-12 | 内部扩展 CAN：帧格式（是否复用 X01）、地址与枚举、位速率与终端、连接器与键位、扩展单元 MCU 选型与晶振、扩展固件的校验与更新；电气隔离作为另有独立供电的扩展面板的选配 | 系统 + 固件负责人，D0 / D1 |
| KEY-O-13 | Key Box：AMPSEAL 776231 封装 1 号针方向按样品核对；外壳密封、盖面开孔与天线窗；TIC12400 在 VS 10 V、输入电压高于 VS 时的实测；CAN2 的 NMEA 2000 协议栈、LEN 与认证；5 A 满载下 OV 钳位的 Q1 安全工作区（或改为过压关断）与 V+ / GND 端子额定；兼容连接器作为第二货源的整套认证（插座、插头、端子、密封）与不侵权保证；X01 中 36 键、3 路辅助输入、72 路低边与 2 路高边输出、8 路模拟输入的索引范围 | 硬件 + 结构 + 系统负责人，D1 |
| SW-O-01…03 | 船外回读权威、失效安全表述、支路供电预算 | 线级，见 P05-switch.md §4 |
尺寸、功耗、寿命均为目标，尚无实测认证声明。
9. 变更记录
章节标题：“9. 变更记录”| 日期 | 版本 | 变更 | 记录 |
|---|---|---|---|
| 2026-09-10 | R0.1 | 明确四线 CAN、不新增 CAN 加密和无电池维护定位；统一灯光通道、未知状态及供应商交付要求，保留 Core 本地保护与物理旁路边界 | changelog |
| 2026-09-12 | R0.1 | 并入 P05 Switch 产品线，文件由 P06-* 改号为 P05-*；记录船外经 Air Hub CAN 支路接入的路径（GW-06）；硬件、四线定义、CAN 安全立场与全部指标不变 |
changelog |
| 2026-09-22 | R0.2 | 按 Switch 统一骨架重排；推荐芯片与键数放大移入 P05-key-design.md，验证与交付移入 P05-key-guide.md；总线改为 X01 的 Classical CAN；背光 ≤60 mA@12 V 从治理摘要写入 §2；FR-nn 并入 KEY-nn：FR-01→KEY-03、FR-02→SYS-02、FR-03→KEY-08、FR-04→KEY-09、FR-05→KEY-07、FR-06→KEY-02、FR-07/FR-19→KEY-10、FR-08→KEY-04、FR-09→KEY-11、FR-10→KEY-05、FR-11→KEY-12、FR-12→KEY-13、FR-13→KEY-14、FR-14→SEC-05、FR-16→KEY-15、FR-17/FR-18→KEY-16、FR-20→KEY-17；FR-15 早已移出范围 |
任务 20260921-1700 |
| 2026-09-28 | R0.3 | 新增 BLE 服务通道（KEY-18…KEY-20、SEC-01 / SEC-02 / SEC-04），控制仍不依赖无线；静态电流上限由 ≤5 mA 放宽到 ≤20 mA@12 V；每块板最多 8 键，基础单元可带最多 8 块不带主控的扩展单元共 72 键（KEY-21），更远的面板用多个基础单元，取代"同一平台 32 键及以上"；图例背光按区域驱动；合规由非无线行改为无线设备；新增 KEY-O-09…KEY-O-11。既有需求 ID 不变 |
任务 20260928-0836、任务 20260928-0908 |
| 2026-09-28 | R0.4 | 扩展改为两条路径并可同时使用：I2C 扩展单元（不带主控，最多 8 块）与挂在内部扩展 CAN 上的 CAN 扩展单元（最多 16 块，总线 ≤20 m）；新增 KEY-22（内部扩展 CAN 与 YBO CAN 分开）与 KEY-O-12；KEY-21 覆盖两条扩展总线；KEY-02、KEY-O-07、KEY-O-11 与 §2、§5、§6 随之改写；KEY-04 写明图例背光为每块板一组 |
任务 20260928-1330 |
| 2026-10-19 | R0.5 | 正文只写当前状态：去掉静态电流目标、总线参数与合规行的改动日期 | 任务 20261019-1200 |
| 2026-10-21 | R0.6 | 新增外接按键控制盒 Key Box 36 / Key Box 18：§2.1 型号与目标规格、KEY-23…KEY-28、§5 线束接口、KEY-O-13；面板 Key 4 / Key 8 与扩展单元不变 |
任务 20261020-2336 |
| 2026-10-22 | R0.7 | Key Box 的 CAN2 改经盖上的 NMEA 2000 标准插座（M12 A 编码 5 针 Micro-C）引出，盒内不设 CAN2 终端；#2 AMPSEAL 的 CAN2 针改为备用，AUX2 不变；KEY-27、§2.1、§5 随之改写；取消 Key Box 18，Key Box 只有 36 键一种规格（§2.1、KEY-23） |
任务 20261022-0322 |
| 2026-10-25 | R1.0 | Key Box 变送器回路电源改为 24 V / 416 mA（§2.1）；对外规格其余不变，器件变更见设计附录 §2.3 | 任务 20261024-2322 |
| 2026-10-29 | R1.1 | 首期型号改为 Key Box 36（T0，价格待定）；Key 4 / Key 8 面板与两种扩展单元尚未设计，延后，§2 面板条目保留作后续设计输入；标题相应修改 | 任务 20261029-0443 |
| 2026-10-23 | R0.9 | Key Box 模拟输入改由专用 ADC 读取，增加 0–10 V 电压模式，电阻量程扩到 0–1000 Ω（§2.1、KEY-30）；上电与复位期间改为高阻；Key Box 电源改用模块，输入范围改为 9–32 V（§2.1、KEY-17），变送器回路电源固定 24 V / 250 mA |
任务 20261023-1233 |
| 2026-10-22 | R0.8 | Key Box 增加 RS-485（非隔离，#2 插座）、8 路软件可配置模拟输入（0–190 Ω / 4–20 mA，#3 / #4 插座）与板上监测（整盒电流、板温、电源轨）；新增 KEY-29、KEY-30，KEY-28、§2.1、§5 随之改写；变送器回路电源在 12 V 船上升压到 24 V；辅助输入改为 3 路，#2 35 针与 #4 29 针为 2 路高边输出（KEY-23、KEY-25）；整盒电流由 ≤3 A 提高到 ≤5 A（§2.1、KEY-25）；新增 KEY-31（自复位按键的短按翻转、长按翻转、按住运行与互锁对）；KEY-23 的自锁按键改为只在位置变化时下发新位置，取代绝对、翻转两种模式 |
任务 20261022-0420 |