变电站边缘 AI：设备台账与舰队 CMDB 手册（可执行）

调研日期：约 2026-10-25（Asia/Shanghai）
落盘：/workspace/research/edge-ai-fleet-cmdb-inventory.md
定位：把 device_id / 边缘盒 / 相机 / 交换 / SPD 等资产字段、生命周期状态、与 OTA·canary·备份·变更窗·VLAN 口别的关联键写成可落地 CMDB；支持多站索引；CMDB 与资产永不进保护网（PROT）。
衔接：edge-ai-model-signstore-mender-cookbook.md、edge-ai-model-canary-rollback.md、edge-ai-backup-disaster-recovery.md、edge-ai-remote-ops-change-window.md、edge-ai-vlan-network-isolation.md、edge-ai-cabinet-surge-emc-baseline.md、edge-ai-onvif-camera-commissioning.md、edge-ai-substation-gateway-bom.md、edge-ai-d60-d90-acceptance-checklist.md、edge-ai-observability-logging-metrics.md。
声明：本文是边缘 AI 工程资产台账基线，不替代继电保护二次安规、业主未公开站规或固定资产财务账。不确定处标 unknown。

0. 一句话结论与红线

结论：无完整台账禁止上 prod；舰队以 site_id + device_id 为主键索引盒、相机、交换口、SPD；运行态字段只挂 公钥/指纹、版本指针、口别角色、备份包 ID、change_id；设备身份私钥与签名私钥永不进 CMDB；CMDB 不登记、不镜像 PROT 资产。

1. 最小数据模型与必填字段

1.1 实体关系（一站最小集）

Site (site_id)
  ├── EdgeBox (device_id) ─── 1:N Camera
  ├── Switch (switch_id) ─── 1:N Port (port_id → role/VLAN)
  ├── SpdUnit (spd_id)       # 机柜 SPD / 防雷单元
  ├── BackupPackage (backup_id)  # 关联 device_id
  └── ChangeRecord (change_id)   # 关联 site_id / device_id[]

多站舰队：上层 FleetIndex 仅存 site_id、区域、运维责任人、连通健康摘要；详情下沉到站仓，避免把全网拓扑塞进单表。

1.2 主键与命名

1.3 各实体必填字段

Site（站）

EdgeBox（边缘盒）

Camera

Switch / Port

SpdUnit（SPD）

禁止出现的字段/行类型：保护装置 IED 名、GOOSE 控制块、软压板、跳闸回路编号、PROT VLAN 可写配置、任何 BEGIN PRIVATE KEY。

2. 生命周期状态机

采购 procured → 到货入库 received → 实验室预置 lab_prep
  → 站内联调 commissioning → 预生产 pre_prod → 生产 prod
  → 维护 maintenance ⇄ prod
  → 隔离 quarantine（安全事件）
  → 退役 retired（终态）

状态迁移审计：每次变更写 actor、approver、change_id（若有）、UTC+8 时间；禁止脚本静默改 prod。

3. 与 OTA / canary / 备份 / 变更窗 / VLAN 的关联键

联动硬规则

1. 推 Mender prod / 切 current：请求必须带 change_id，且 CMDB 中该 device_id.lifecycle∈{prod,maintenance} 且窗口 frozen|executing。
2. 日备成功：写回 last_backup_id；超 24h 未备 → 运维告警，不自动降级推理（配置不可丢是运维门禁，不是 NPU 门禁）。
3. 口别变更（L3）：先改 CMDB 草稿 → 变更窗执行 → 现场贴纸与 network-role.json 三方哈希一致才关窗。
4. 换盒（灾备）：新 device_id 建档或原 ID 迁移单；旧盒必 retired；仓侧重拉模型与配置，不迁私钥（B1）。
5. canary 失败自动回 previous：CMDB 只更新指针与事件引用，不改生命周期（除非连续失败转 maintenance）。

4. 多站舰队索引

同步方向：舰队 ← 站（摘要上行）；明细变更以站仓+变更窗为准下行。禁止相机 RTSP 密码随摘要上行明文。

检索最小能力：按 site_id、device_id、model.ver、artifact_name、change_id、backup_id、口别 role=CAM 对端反查相机。

5. 两周落地计划 + 验收门禁

5.1 十四天（单站试点 → 可复制模板）

5.2 验收门禁（否决项）

6. 最小 YAML 示意（可作站仓片段）

site_id: SS220-01
lifecycle: prod
vlan_plan_ver: 2026.10.1
prot_boundary_ack: ACK-PROT-2026-001
boxes:
  - device_id: rk3588-ss22001-01
    board: RK3588J
    lifecycle: prod
    mender: { artifact: "gw-rootfs-20261020", slot: B }
    model: { ver: "a1b2…", previous: "c3d4…", canary: null }
    fps: { cert: "sha256:…", ssh_host: "SHA256:…", model_pub: "sha256:…" }
    role_ports: { eth0: MGMT, eth1: AI, eth2: CAM }
    last_backup_id: BKP-rk3588-ss22001-01-20261024
    last_change_id: CHG-20261024-003
cameras:
  - camera_id: rk3588-ss22001-01-cam01
    poe_port_id: ss22001-sw1-p03
    quality: OK
    lifecycle: prod
ports:
  - port_id: ss22001-sw1-p03
    role: CAM
    vlan_id: 110
    peer: rk3588-ss22001-01-cam01

7. 常见失败模式

8. 参考与边界

• 本手册字段为工程最小集；财务固定资产编号可作为可选外键，不替代 device_id。
• 具体 CMDB 产品（自建 YAML、NetBox、业主 IMP）unknown，以「键与红线」为准可替换存储。
• 与保护专业的边界确认以 prot_boundary_ack 为准，本文不扩展 PROT 对象模型。

本文为工程手册草稿；资产与密钥策略须业主安监/信息化复核。仅落盘，不写入飞书。