两种入网的根本差别
空中激活由设备发起入网请求，网络侧校验后下发设备地址与网络会话密钥，双方再派生应用会话密钥；每次重新入网都会刷新会话，前向安全性更好。人工激活则把设备地址与两把会话密钥预先烧写在设备中，上电即可通信，流程简单但密钥长期不变，一旦泄露影响面很大。
方式对照
| 维度 | 空中激活 | 人工激活 |
|---|---|---|
| 密钥来源 | 由根密钥动态派生会话密钥 | 预先配置并长期复用 |
| 入网开销 | 需要一次入网交互，可能多次重试 | 无入网开销，上电即可发送 |
| 密钥更新 | 重新入网即可刷新会话状态 | 需要重新配置设备 |
| 新鲜度与重放 | 会话新鲜度更好 | 依赖帧计数器管理与防回滚 |
| 适用场景 | 批量部署、安全要求较高 | 调试、快速验证或受限场景 |
典型使用场景
- 批量出货设备：使用空中激活，靠现场入网完成个性化
- 样机验证：使用人工激活跳过入网流程，快速验证链路与业务
- 密钥轮换：通过重新入网刷新会话密钥，无需返场改配置
- 设备返修：返修后需要重新核对密钥与计数器状态
入网重试要带退避：大量设备同时入网时，密集重试会显著抬高网络侧负载，也会让设备自身耗电上升。
人工激活设备的帧计数器管理是关键：计数器异常可能造成重放报文被接受，也可能导致正常上行被网络侧拒收。
排查提示
入网失败通常是根密钥、频段计划或设备地址三处配置不一致造成的。排查时应先确认设备侧写入值与网络侧登记值完全对应，再怀疑信号与设备硬件。