Was bei Ausfällen passiert

Übersicht

Server oder Netzwerk fällt aus

autonom nach 90 s

Läuft weiter

alle Regler mit den letzten Sollwerten
Sicherheitsschicht
Messen und Puffern

Fehlt

Oberfläche
Benachrichtigungen
eigene Regeln, Wetter

Hub fällt aus

Module sicher nach 10 s

Läuft weiter

elektronische Sicherung
maximale Laufzeit
sicherer Zustand der Ausgänge

Fehlt

Regelung
Messwerte an den Server

Modul fällt aus oder Kabel löst sich

verloren nach 5 s

Läuft weiter

alle anderen Module
Regler mit Ersatzsensoren

Fehlt

Sensoren und Ausgänge dieses Moduls

Server oder Netzwerk fallen aus

Für den Hub sieht beides gleich aus: Vom Server kommt nichts mehr. Ein Server, der läuft, schickt jedem Hub spätestens alle 40 Sekunden etwas, notfalls seine Alarmliste als Lebenszeichen. Kommt 90 Sekunden lang nichts, gilt der Hub als autonom.

Betrieb ohne Server im Hub

0 s

Sonst kommt spätestens alle 40 Sekunden etwas: Sollwerte, Wetter oder die Alarmliste.
90 s

Er meldet das als Warnung, sobald es wieder jemand hören kann. Die Regler arbeiten mit den zuletzt bekannten Sollwerten weiter.
danach

Messwerte und Ereignisse landen im Puffer, mindestens 1000 Einträge. Ist er voll, fallen die ältesten heraus. Ereignisse und Messwerte haben getrennte Puffer, damit Messwerte keine Alarme verdrängen.
Rückkehr

Kommt der Server zurück, liefert der Hub nach: zuerst die Ereignisse, dann die Messwerte, jeweils in der ursprünglichen Reihenfolge.

Auch ein laufendes „Auffüllen bis X %“ führt der Hub ohne Server zu Ende, mit allen Schutzgrenzen.

Was ohne Server fehlt: die Oberfläche, Benachrichtigungen, eigene Regeln, neue Sollwerte aus Profilen und die Anpassung an das Wetter.

Der Server sieht einen Hub ohne Strom nach höchstens etwa 15 Sekunden offline, seit 0.10.0 mit einem MQTT-Keepalive von 10 Sekunden. Mit dem Hub gelten auch seine Module als offline, und die Oberfläche markiert ihre Werte als „veraltet“. Ist ein Hub online, hört aber nichts vom Server, heißen seine Werte „nicht aktuell, wird nachgeliefert“, und der Server meldet „Hub empfängt nichts vom Server“.

Der Hub fällt aus

Hub und Module senden jede Sekunde ein Lebenszeichen auf dem Bus. Bleibt das des Hubs länger als 10 Sekunden aus, gehen alle Ausgänge eines Moduls auf ihren sicheren Wert. Voreingestellt ist das „aus“ beziehungsweise „zu“.

Die elektronische Sicherung im Modul arbeitet unabhängig davon weiter. Auch die maximale Laufzeit eines Ausgangs gilt immer.

Kommt das Lebenszeichen wieder, bleiben die Ausgänge auf dem sicheren Wert, bis der Hub neue Stellbefehle schickt.

Ein Modul fällt aus oder ein Kabel löst sich

Fehlt das Lebenszeichen eines Moduls 5 Sekunden, gilt es als verloren. Alle seine Kanäle gelten als ausgefallen.

Sensoren des Moduls: Regler nutzen den ersten Ersatzsensor, der in Ordnung ist, etwa den der Nachbarkammer. Gibt es keinen, steht der Regler, und seine Ausgänge gehen auf den sicheren Wert.
Ausgänge des Moduls: Das Modul selbst schaltet sie nach 10 Sekunden ohne Hub sicher ab.
Rückmeldungen an diesem Modul, etwa ein Durchflussmesser: Die Prüfung des zugehörigen Ausgangs wartet, bis der Wert wieder da ist. Eine fehlende Rückmeldung ist keine Störung des Ausgangs.

Ein Sensor fällt aus

Der Hub nimmt den Sensor aus der Regelung, startet seine Versorgung neu und versucht es in Abständen wieder. Nach drei Versuchen ist er außer Betrieb, bis ihn jemand zurücksetzt. Das steht unter Sensoren prüfen.

Zwei Sensoren haben eine Sonderrolle, weil ihr Ausfall Schaden anrichten kann:

Sensor	Bei Ausfall
Füllstand	Nachfüllventile bleiben zu, damit der Tank nicht überläuft. Pumpen bleiben aus, damit sie nicht trocken laufen.
Regen	Die Deckel bleiben zu.

Die Versorgung bricht ein

Fällt die Versorgung länger als 2 Sekunden unter 21 V, wirft der Hub Last ab. Er schaltet die Ausgänge in fester Reihenfolge ab, einen je Sekunde, bis die Spannung wieder reicht. Steuerung und Sensoren laufen weiter. Einzelheiten unter Versorgung.

Stromausfall und Neustart

Nach dem Einschalten sind alle Ausgänge aus, und alle Klappen haben das Ziel „zu“. Regler starten erst, wenn für ihre Eingänge gültige Messwerte vorliegen.

Was	Nach dem Neustart
Gesperrte Ausgänge	bleiben gesperrt, bevor irgendein Stellbefehl hinausgeht
Sensoren außer Betrieb	bleiben außer Betrieb
Laufende Störungen, die noch nicht gesperrt waren	beginnen von vorn
Auffüllen bis X %	ist vergessen, das Ventil bleibt zu
Sollwerte	gelten weiter, sie werden höchstens alle 10 Minuten gespeichert
Busadressen der Module	bleiben, das Modul speichert seine Adresse

Dass ein laufendes Auffüllen nicht weitergeht, ist Absicht. Ein Ventil, das nach einem Stromausfall unbeaufsichtigt wieder öffnet, ist gefährlicher als ein Tank, der nicht ganz voll wird.

Ein Update scheitert

Neue Firmware muss sich nach dem Start bestätigen. Tut sie das nicht, startet der Bootloader die alte Version: beim Hub nach 60 Sekunden, beim Modul nach 30 Sekunden. Scheitert die Übertragung oder die Prüfsumme, läuft die alte Version unverändert weiter. Mehr unter Updates.

Wenn die Software selbst versagt

Die Software ist die erste Sicherung, nie die einzige.

Jede Heizung bekommt einen Temperaturschalter in Reihe, der auch bei abgestürzter Firmware abschaltet.
Jeder Ausgang ist einzeln abgesichert, zusätzlich zur elektronischen Sicherung.
Schmelzsicherung beziehungsweise Leitungsschutzschalter bleiben bei 230 V Pflicht.

Mehr unter Stromversorgung.