De controller is waar een oplader stopt met bedrading en een product wordt. Het bestuurt de laadstatusmachine, leest de meter, bewaakt de beveiligingsinterfaces, stuurt de contactor aan, beheert de connectiviteit en spreekt het protocol uit.
Die combinatie van real-time veiligheidswerk en netwerkapplicatiewerk op één apparaat is de centrale ontwerpspanning, en de manier waarop dit wordt opgelost bepaalt al het andere.
Wat de controleur moet doen
- Genereer en bewaak de controlepiloot en handhaaf de statusmachine ervan binnen een gespecificeerde timing.
- Lees de nabijheid af waar een afneembare kabel wordt ondersteund.
- Stuur de contactor aan en controleer of deze heeft gereageerd.
- Lees de meter af en rapporteer energie nauwkeurig.
- Bewaak beveiligingsinterfaces en reageer zonder op iets langzamer te wachten.
- Beheer de connectiviteit tussen alle dragers die zijn aangesloten.
- Voer de protocolclient uit, inclusief persistentie en wachtrijen.
- Pas firmware-updates veilig toe, met een pad terug als er één mislukt.
Veiligheidskritiek en inspanningsgericht werken gaan niet goed samen
De timing van piloten en de beschermingsreactie hebben harde deadlines. Netwerkverkeer, protocolafhandeling en firmwaredownloads niet. Als beide op één kern worden uitgevoerd met een gedeelde planner, kan de tweede de eerste onder belasting vertragen.
Ontwerpen lossen dit op door de domeinen te scheiden, hetzij op afzonderlijke processors, hetzij door strikte prioriteitsscheiding, waarbij het veiligheidspad niet kan worden geblokkeerd door applicatiewerk. Welke aanpak wordt gebruikt, is een van de bepalende architectonische beslissingen.
Het updatepad is een ontwerpbeperking
Een oplader die kan worden gemetseld door een mislukte update, is een oplader waarvoor een bezoek ter plaatse nodig is om te herstellen. Om dit te voorkomen is opslag nodig die een werkimage kan bevatten terwijl er een nieuw image wordt geschreven, en een bootloader die kan beslissen welke te draaien.
Die beslissing beperkt het geheugen en de flash-grootte, en het is moeilijk om dit achteraf aan te passen, omdat het fundamenteel om de opslagindeling gaat.
Identiteit en geheimen
De controller bevat inloggegevens die hem authenticeren bij een backend. Waar ze worden opgeslagen, of ze kunnen worden geëxtraheerd en hoe ze bij de productie worden ingericht, zijn veiligheidsbeslissingen met ontwerpconsequenties.
Een ontwerp waarbij elke eenheid een identificatie deelt, is eenvoudig te bouwen en levert één enkel compromis op dat van invloed is op de vloot. Inloggegevens per eenheid vereisen een inrichtingsproces aan het einde van de lijn. Daarom zijn programmeren en beveiligingsontwerp hetzelfde gesprek.
Diagnosticeerbaarheid is een architectuureigenschap
Wanneer een eenheid zich in het veld misdraagt, hangt wat op afstand kan worden vastgesteld af van wat de controller registreert en blootlegt. Een ontwerp dat alleen fouten registreert, kan geen vragen over reeksen beantwoorden, en reeksen zijn de plaats waar intermitterende fouten optreden.
Beslissen wat u wilt vastleggen, hoeveel u wilt behouden en hoe u dit wilt terughalen, is in de ontwerpfase goedkoop en onmogelijk toe te voegen aan een ingezette vloot.
Thermische realiteit
De controller bevindt zich in een afgesloten behuizing naast een contactorspoel die continu dissipeert, geleiders die urenlang nominale stroom voeren en bij veel toepassingen direct zonlicht. Componentbeoordelingen moeten de interne temperatuur weerspiegelen in plaats van de omgevingstemperatuur buiten.
Ontwerpen die in de open lucht zijn gevalideerd, gedragen zich anders zodra het deksel erop zit. Daarom vindt thermische validatie plaats in de daadwerkelijke behuizing en niet op een bank.
Kopen of bouwen
Een fabrikant die sterk is in behuizingen, stroompaden en kabels kan redelijkerwijs concluderen dat de controller het onderdeel is dat je moet kopen in plaats van bouwen, omdat deze de protocolonderhoudsverplichting met zich meebrengt die nooit eindigt.
Dat is eerder een legitieme architectuurbeslissing dan een erkenning. Waar het om gaat is dat de grens wordt gedefinieerd: wat de beheerder bezit, wat het omringende product bezit en wie verantwoordelijk is als er een fout overheen gaat.