附录B：协议审查与测试卡¶

本卡用于把一次协议接入、升级或故障修复转化为可复核记录。每个“通过”都必须关联证据；未知项保持未测试或阻断，不得默认勾选。

文中的复选框只是覆盖索引，不是测试结果。每个适用项都必须在第8节的执行记录表中单独填写环境、输入、预期、实际、证据和状态后，才允许勾选。

0. 安全与范围¶

测试编号：
负责人：
复核人：
日期、时间和时区：
测试环境：离线 / SITL / HITL / 无功率级波形负载 / 独立CAN测试总线 / 拆桨隔离台架 / 不适用
螺旋桨：已拆除 / 不适用
机体固定：是 / 否 / 不适用
执行器动力级：断开 / 物理失能 / 不适用
射频负载：匹配天线 / 额定假负载 / 不适用
辐射隔离：屏蔽环境 / 其他批准措施 / 不适用
频率与功率合法性：已核验 / 不适用
生产密钥：未使用
外部在役网络：未连接
紧急断电：已验证 / 不适用
允许的主动操作：
禁止的主动操作：

出现以下任一项立即停止：

螺旋桨仍安装；
执行器可能产生未受控动作；
图传没有匹配天线或额定假负载却可能进入发射状态；
仅有屏蔽或最低功率设置，却没有合法射频负载；
发射频率、功率、地点或用途未完成合法性核验；
CAN异常注入会进入在役总线；
需要使用生产密钥验证伪造或重放；
接口电压、公共地或仪器额定范围未知；
当前版本、目标设备或测试边界不明确。

1. 身份冻结¶

项目	发送端	接收端	工具/网关	证据
硬件型号/修订
固件版本
提交
构建目标
构建选项
本地差异
协议规范版本
消息定义/方言/DSDL
配置工具版本

2. 物理与电气¶

证据：

原理图或手册：
实体连接表：
电压测量：
波形文件：
断电终端测量：
限制：

3. 帧契约¶

项目	结论	来源	实测
帧头/同步
方向或地址
长度字段语义
最小帧
最大帧
多字节端序
位字段顺序
校验算法
校验初值
校验覆盖范围
帧间隔或换向
重同步规则

4. 消息契约¶

每个关键消息填写：

消息名称和ID：
方向：
请求/响应/广播：
最小和最大长度：
字段：
单位和比例：
坐标系：
枚举与保留值：
有效标志：
产生时间：
最大允许年龄：
序号或Transfer-ID：
重复处理：
乱序处理：
未知扩展处理：
错误响应：

5. 状态与权限¶

动作	来源要求	系统状态	幂等性	成功证据	失败/回滚
读取状态
写参数
保存配置
修改端口
切换模式
解锁请求
执行器命令
重启/引导加载
固件更新

检查：

地址或系统ID没有被当作认证；
校验或CRC没有被当作认证；
认证成功后仍执行授权和状态门禁；
超时与明确失败分开；
非幂等动作不会盲目重试；
断线后最终状态可以重新判定；
拒绝原因和审计记录可观察。

6. 带宽¶

串口¶

方向	帧	完整字节/帧	帧/秒	位/字节	bit/s
上行
下行

标称速率：
平均计算利用率：
100 ms峰值：
10 ms峰值：
半双工换向开销：
重试预算：
允许上限及依据：

CAN¶

仲裁速率：
数据阶段速率：
Classic CAN / CAN FD：
MTU：
扩展/标准ID：
平均总线负载：
峰值总线负载：
最高优先级流量：
最低优先级最坏等待：
错误帧和重发：

7. 时延与新鲜度¶

数据或动作	起点	终点	P50	P95	P99	最大	门限

时钟来源：
对齐事件：
对齐误差：
最大允许数据年龄：
最大连续丢失：
超时后动作：
恢复所需连续有效样本：

8. 正常样本¶

先为每个正常、负面、恢复和专项用例建立一行记录。期望结果或安全环境为空时禁止执行；证据为空时不得标记通过：

用例ID	环境	前置状态	输入/动作	期望结果	实际结果	证据	状态
	离线/SITL/HITL/无功率级波形负载/独立CAN测试总线/拆桨隔离台架/不适用						未测试/通过/不通过/阻断/不适用

环境必须取表中一个值。涉及畸形电气时序、总线争用、错误帧洪泛或DShot特殊命令边界的用例，优先选择离线模型或无真实功率级的专用负载，不能因为机体已拆桨就默认允许执行。

每个样本还要在证据中包含文件、SHA-256摘要、原始字节或帧、校验复算和应用结果。

9. 负面和边界样本¶

通过标准：

10. 认证与防重放¶

机制：
密钥或凭据类型：
密钥域：
发送策略：
接收策略：
未认证只读策略：
未认证高风险命令策略：
防重放状态键：
时间或序号来源：
持久化方式：
重启恢复：
轮换与吊销：

测试：

所有测试使用临时凭据和隔离环境，证据中不得包含密钥值。

11. 协议专项检查¶

CRSF¶

SBUS¶

100000波特、8E2和反相路径已核对；
固定25字节；
16个11位模拟通道；
数字通道17/18、帧丢失和失联位已解析；
未强制假设所有实现末字节为0x00；
Fast SBUS仅在两端共同支持时启用；
缓存通道值没有覆盖失联状态。

Classic F.Port¶

固定范围为Classic F.Port，没有套用到F.Port 2.0或FBUS；
115200波特、8N1；
0x7E帧边界和0x7D转义已验证；
FrSky折叠加法校验已复算；
控制、遥测请求和遥测响应类型已区分；
有效请求后500至2000微秒响应窗口已测量；
错误长度、校验或类型不会触发遥测发送；
反相、半双工、线路释放和本机回显已验证；
F.Port 2.0或FBUS若使用，已建立独立规范和测试卡。

MAVLink 2¶

MSP¶

v1方向、长度、命令和XOR正确；
native v2的16位小端命令和长度正确；
v2 CRC-8/DVB-S2覆盖范围正确；
v2-over-v1命令255和双层校验正确；
Betaflight固定接收器的内外长度偏差已做差分测试；
线格式版本与MSP API版本分开；
192字节接收缓冲与发送侧Jumbo单向边界已验证；
未知命令优雅失败；
DisplayPort与视频码流分开。

DShot¶

DroneCAN/Cyphal¶

SmartAudio/Tramp¶

12. 恢复与回归¶

结论¶

结论：未测试 / 阻断 / 受限通过 / 一致通过 / 安全通过 / 不通过 / 不适用
通过范围：
未覆盖范围：
残余风险：
阻断项：
证据位置：
作者：
独立复核人：
日期：

存在任一未关闭的阻断项时，整体结论必须为阻断，不能被局部通过或受限通过覆盖。

本卡通过只说明固定组合在记录范围内满足协议测试，不表示实体机已经通过动力、飞行、射频或法规放行。