边缘 AI 证据仓与抽帧留存手册（变电站 / 电力场景）

调研日期：约 2026-10-25（Asia/Shanghai）
定位：告警事件的前后文抽帧、短视频、特征窗、元数据如何落盘、加密、设保留期，并与 MQTT 事件 Schema、主动学习、时间同步、D60/D90 门禁对齐。
衔接：edge-ai-event-schema-acceptance.md、edge-ai-mqtt-hardening-offline-buffer.md、edge-ai-active-learning-relabel-loop.md、edge-ai-time-sync-ntp-ptp.md、edge-ai-d60-d90-acceptance-checklist.md、edge-ai-substation-gateway-bom.md、edge-ai-model-signstore-mender-cookbook.md。
公开工具参考：本地环形缓冲 + SQLite 索引、可选 MinIO / NAS、rclone 同步；不确定处标 unknown。本文不复述站端未公开规程。

0. 一句话结论与红线

结论：证据仓是「管理信息大区 / AI VLAN」上的可审计旁路资产——以可信 ts（建议 RFC3339 UTC）+ 稳定 event_id 为键，本地 SSD/eMMC 环形缓冲优先落证，MQTT 只带 media_refs 指针；断链时推理与留证不得停，上传可后补。

1. 证据对象分层

命名注意：现有事件 Schema 主时间字段为 ts_utc，消息键为 msg_id。本手册 event_id = 证据主键（推荐 = msg_id，或 ULID(site,cam,code,ts)）；media_refs = 指向 L1–L4 的相对路径或内网 URI 列表（MQTT 侧只传引用，不传整文件）。

2. 目录与命名约定

2.1 目录树（按日 / 站 / event_id）

/var/edgeai/evidence/                          # 工业 SSD 挂载点（示例）
  SS-220-01/                                   # site
    2026/10/25/                                # UTC 日（与 ts_utc 日一致，禁止混用本地日切）
      bay-3/
        camA/
          01JABCDEF1234567890XYZ/              # event_id（= msg_id 推荐）
            meta.json                          # L0
            frame_peak.jpg                     # L1
            frame_peak.overlay.webp            # L2 可选
            clip_pre3_post5.mp4                # L3 可选
            feat_mcu_win.bin + feat_mcu.json   # L4 可选
            MANIFEST.sha256                    # 内容哈希清单
            MANIFEST.sig                       # 可选分离签名
  index.sqlite                                 # 全局索引（可按站分库）
  retention.json                               # 保留策略版本

2.2 meta.json 最小字段

{
  "schema_ver": "1.0.0",
  "event_id": "01JABCDEF1234567890XYZ",
  "msg_id": "01JABCDEF1234567890XYZ",
  "ts": "2026-10-25T01:00:00.123Z",
  "ts_utc": "2026-10-25T01:00:00.123Z",
  "ts_mono_ms": 18442210,
  "site": "SS-220-01",
  "bay": "bay-3",
  "cam": "bay3-camA",
  "device_id": "box-rk3588-07",
  "task": "ppe",
  "event_code": "PPE_NO_HELMET",
  "quality": "suspect",
  "clock_quality": { "source": "ntp", "state": "sync", "offset_ms": 3.2 },
  "model": { "name": "yolox-ppe", "ver": "2026.10.12-int8", "hash_sha256": "…" },
  "trigger": { "reason": "ALARM", "score": 0.87, "debounce_ms": 2000 },
  "media_refs": [
    { "role": "peak_frame", "path": "frame_peak.jpg", "sha256": "…", "mime": "image/jpeg" },
    { "role": "overlay", "path": "frame_peak.overlay.webp", "sha256": "…", "mime": "image/webp" },
    { "role": "clip", "path": "clip_pre3_post5.mp4", "sha256": "…", "mime": "video/mp4" }
  ],
  "privacy": { "face_blur": true, "plate_blur": true, "raw_retained": false },
  "retention_class": "alarm_30d"
}

2.3 与 Schema / MQTT 衔接

3. 存储选型与容量估算

3.1 选型

加密建议（可执行最小集）：

1. 盘级：LUKS / 工控盘自加密（若业主要求）——具体认证流程 unknown（按业主安规）。
2. 对象：MinIO SSE-S3 或客户端加密后再 rclone；密钥不进 Git。
3. 传输：HTTPS / mTLS；禁止明文 SMB 出站到公网。

3.2 容量公式（经验估算）

[
\text{GB/天} \approx N_{\text{cam}} \times R_{\text{trig}} \times \big(S_{\text{jpg}} + r_{\text{clip}} \cdot S_{\text{clip}} + r_{\text{ov}} \cdot S_{\text{ov}}\big) / 1024
]

环形缓冲盘容量：

[
\text{SSD}{\text{GB}} \ge \text{GB/天} \times D{\text{hot}} \times 1.3
]

(D_{\text{hot}})：热保留天（告警常见 7～30；难例原图 30～90 可配，对齐主动学习手册）。1.3 为碎片/索引/MANIFEST 余量。

勿用「路数 × FPS × 全帧落盘」做主路径：全帧录像是 NVR 职责；证据仓默认事件驱动抽帧。若需持续低帧率抽样做难例负样本，单独配额并计入 (R_{\text{trig}})。

4. 触发策略

硬规则：难例/证据触发不改联锁；SMOKE_FIRE / 闯入 / PPE 禁止因留证去跳闸。

5. 完整性：哈希、签名、防篡改

5.1 内容哈希

1. 每个媒体文件写后立即算 SHA-256，写入 media_refs[].sha256 与 MANIFEST.sha256（sha256sum 格式）。
2. 索引库存同一哈希；抽检：sha256sum -c MANIFEST.sha256。
3. 上传 MinIO 后可用 ETag/校验和对账（工具链细节以版本为准，unknown 处写实测）。

5.2 可选签名（衔接模型签名仓）

模型权重本身仍走 edge-ai-model-signstore-mender-cookbook.md；证据仓签名管的是媒体包，不是替换模型轨。

5.3 防篡改清单（运维可勾选）

• [ ] 证据根目录非 root 可写业务账号；挂载 nodev,nosuid（若策略允许）
• [ ] 删除/改期仅走带审计日志的 GC 任务；禁人工静默 rm
• [ ] retention.json 版本号入库；缩短保留期须双人确认
• [ ] 导出给外包前只给脱敏集；原图通道单独 ACL
• [ ] 定期对随机 event_id 做哈希复核并留报告

6. 两周落地清单 + D60/D90 验收门禁

6.1 两周落地（可执行）

6.2 验收门禁（对齐现有检查单，可勾选）

否决例：生产盒长期 unsync 仍把证据当金标准；证据盘挂在保护 VLAN；断 Broker 后停抽帧；难例集对外冒充公开 benchmark。

7. 与现有文档衔接点

8. 公开实践引用与 unknown

9. 结语

证据仓让「告警可复核、难例可回流、审计可对时」。落地口诀：可信 ts、本地先落、指针上云、永不跨保、哈希可验、保留可配。一切以端到端实测与业主合规为准；公开工具名不等于站端已批准部署。