机房温湿度监控系统可靠性设计：以太网节点断线容错方案

单节点断线 → 该区域温度数据缺失 → 平台继续用最后值控制空调
         → 空调误动作（该制冷不制冷/不该加湿在加湿）
         → 局部热点累积 → 设备过热宕机 / 湿度超标 → 凝露 → 短路

┌─────────────────────────────────────────────────────────────┐
│ 平台层容错                                                 │
│  多节点交叉验证 · 缺失数据不驱动控制 · 降级策略             │
├─────────────────────────────────────────────────────────────┤
│ 网关层容错                                                 │
│  本地缓存 · 断线接管 · 健康检查 · 自动恢复                 │
├─────────────────────────────────────────────────────────────┤
│ 网络层容错                                                 │
│  PoE 看门狗 · 链路聚合 · 双归属 · STP/RSTP                 │
├─────────────────────────────────────────────────────────────┤
│ 设备层容错                                                 │
│  看门狗复位 · 本地自治 · 双采样 · 数据合理性校验           │
└─────────────────────────────────────────────────────────────┘

传感器 MCU 内建独立看门狗（WDT）：
  - 喂狗周期 2s
  - 主循环卡死 / TCP 栈死锁 → WDT 溢出 → 硬件复位
  - 复位后：保持原配置，按最后有效目标值继续运行
  - 上报"Watchdog Reset"事件，平台记录"设备自恢复"

每 60s 执行一次自检：
  - 温度传感器开路/短路检测（返回值 0x7FFF / 0x8000）
  - 湿度电容式探头老化检测（响应时间变慢 = 老化）
  - ADC 参考电压漂移检测
  - 自检失败 → 该点标 SUSPECT，不继续参与联动控制

// 设备固件内
#define MAX_TEMP_DELTA 3.0f  // 单次最大变化
#define MIN_TEMP        -40.0f
#define MAX_TEMP        85.0f

float last_temp = 25.0f;

bool is_valid(float new_temp) {
    // 物理范围检查
    if (new_temp < MIN_TEMP || new_temp > MAX_TEMP)
        return false;
    // 突变检查（排除探头故障）
    if (fabs(new_temp - last_temp) > MAX_TEMP_DELTA)
        return false;  // 不更新，保持上次有效值
    last_temp = new_temp;
    return true;
}

交换机端：
  - PoE 端口开启 "PoE Guard" / "PoE Watchdog"
  - 持续检测 PD 功耗，低于阈值 30s → 端口断电重启（间隔 30s）
  - 目的：传感器固件假死时，交换机端硬重启

传感器端：
  - 网络心跳包：每 5s 发一次（ICMP + 应用层心跳双通道）
  - 连续 3 次无响应 → 判定断线

方案A：链路聚合（LACP）
  传感器双网口 → 2 口聚合 → 单网线断不影响

方案B：双归属（推荐）
  传感器双网口 → 两台交换机（堆叠/VSS/vPC）
  主链路 Down → <1s 切备链路

方案C：单臂旁路（成本最低）
  普通交换机 + 光纤收发器，断纤不影响电口侧

核心交换机 ──┬── VLAN 100 动环监测（温湿度/水浸/门禁）
             ├── VLAN 200 业务服务器
             └── VLAN 300 办公网

STP/RSTP 开启，避免环路
每个 VLAN 独立 STP 实例，故障域隔离

# gateway_health.py
"""网关侧节点健康检查与接管逻辑"""

import time
from enum import Enum

class NodeState(Enum):
    ONLINE = "online"
    SUSPECT = "suspect"      # 偶发丢包，降级观察
    STALE = "stale"          # 数据过期但未超时
    OFFLINE = "offline"      # 确认断线
    RECOVERING = "recovering" # 恢复中

class NodeHealthMonitor:
    def __init__(self):
        self.nodes = {}          # {ip: NodeState}
        self.last_seen = {}
        self.missed_count = {}
        self.quality_window = {}  # 最近 N 次通讯质量
        self.TIMEOUT = 10.0       # 10s 无数据 = 超时
        self.SUSPECT_THRESHOLD = 0.3  # 丢包率 >30% = 降级

    def feed(self, ip: str, data_valid: bool, rtt_ms: float):
        now = time.time()
        self.last_seen[ip] = now

        # 更新质量窗口
        self.quality_window.setdefault(ip, []).append(data_valid)
        if len(self.quality_window[ip]) > 20:
            self.quality_window[ip].pop(0)

        good_rate = sum(self.quality_window[ip]) / len(self.quality_window[ip])

        # 状态机转换
        if not data_valid:
            self.missed_count[ip] = self.missed_count.get(ip, 0) + 1
            if self.missed_count[ip] >= 3:
                self.nodes[ip] = NodeState.OFFLINE
        else:
            self.missed_count[ip] = 0
            if good_rate < self.SUSPECT_THRESHOLD:
                self.nodes[ip] = NodeState.SUSPECT
            elif self.nodes.get(ip) == NodeState.OFFLINE:
                self.nodes[ip] = NodeState.RECOVERING
                # 触发恢复流程
                self._handle_recovery(ip)
            else:
                self.nodes[ip] = NodeState.ONLINE

    def _handle_recovery(self, ip: str):
        """恢复流程：重新校准 + 数据补传"""
        # 1. 重新读取设备配置，确认未复位
        config_ok = self._verify_config(ip)
        if not config_ok:
            self._reapply_config(ip)  # 重新下发配置

        # 2. 触发数据补传（如果设备支持历史读取）
        self._request_history(ip)

        # 3. 标记状态
        self.nodes[ip] = NodeState.ONLINE
        self._audit_log(ip, "node_recovered")

    def get_control_value(self, ip: str) -> tuple:
        """获取可用于控制的值，断线时返回安全策略"""
        state = self.nodes.get(ip)

        if state == NodeState.ONLINE:
            return (self._last_valid_value(ip), "GOOD")
        elif state == NodeState.SUSPECT:
            return (self._last_valid_value(ip), "SUSPECT")
        elif state == NodeState.STALE:
            return (None, "STALE")  # 不驱动控制
        elif state == NodeState.OFFLINE:
            return (None, "OFFLINE")  # 冻结联动
        elif state == NodeState.RECOVERING:
            return (self._last_valid_value(ip), "RECOVERING")

断网时：
  - 传感器数据存本地环形缓冲（≥24h）
  - 每条带设备采样时间戳
恢复后：
  - 按时间戳顺序补传
  - 平台去重（slave_id + timestamp 主键）
  - 不拿最后值插值造假

方案A：双网关热备（VRRP/Keepalived）
  - 虚拟 IP 对外，主挂备接管 <3s
  - 共享配置库（Redis + 持久化）

方案B：单网关 + 看门狗
  - 网关进程死 → 系统级 watchdog 重启
  - 交换机 PoE 断电重启兜底

# platform_control.py
"""平台侧：断线数据不驱动控制"""

def should_actuate(node_ip: str, current_value: float,
                   quality: str, last_valid_age: float) -> dict:
    """
    决定是否能基于该节点数据做控制决策
    """

    # 规则1：断线/过期数据绝对不控制
    if quality in ("STALE", "OFFLINE", "COMM_LOST"):
        return {
            "actuate": False,
            "reason": f"数据质量 {quality}，冻结该点联动",
            "fallback": "use_zone_median"  # 用同区其他节点中位数
        }

    # 规则2：SUSPECT 数据只告警不控制
    if quality == "SUSPECT":
        return {
            "actuate": False,
            "reason": "数据可疑，仅告警不控制",
            "fallback": "use_last_good_value"
        }

    # 规则3：数据太老（>3个采集周期）也不控制
    if last_valid_age > 3 * COLLECTION_PERIOD:
        return {
            "actuate": False,
            "reason": "数据过旧",
            "fallback": "use_zone_median"
        }

    # 规则4：数据合理性检查
    if not is_physically_valid(current_value):
        return {
            "actuate": False,
            "reason": "值超物理范围",
            "fallback": "mark_sensor_fault"
        }

    return {"actuate": True, "reason": "数据可信"}

同一机房分区内 N 个节点（N≥3）：
  中位数法：控制值 = median(T1, T2, ..., Tn)
  异常检测：|Ti - median| > 3℃ 且持续 5min → 标 SUSPECT

单节点断线：
  → 用剩余节点中位数继续控制
  → 不降低控制精度（3 节点剩 2 个仍可用）

全部断线（极端）：
  → 空调/加湿保持最后有效状态，不启不停止
  → 平台红警 + 人工介入

T1 = 3 × 采集周期     → SUSPECT（可疑）
T2 = 10s              → STALE（数据过期）
T3 = 30s              → OFFLINE（确认断线）
T4 = 5min             → 触发工单派发

通道1：ICMP Ping（网络层）
通道2：Modbus 读寄存器（应用层）

判定矩阵：
  Ping 通 + Modbus 通  → ONLINE
  Ping 通 + Modbus 不通 → SUSPECT（应用层假死）
  Ping 不通 + Modbus 不通 → OFFLINE
  Ping 不通 + Modbus 通  → 不可能（排除逻辑错误）

连续记录每次 Modbus 响应时间 RTT：
  P50 < 50ms  正常
  P99 > 500ms 预警（网络拥塞/交换机老化）
  RTT 持续上涨趋势 → 提前告警"链路质量劣化"

1. 网络层恢复（Ping 通）
   ↓
2. 应用层恢复（Modbus 握手成功）
   ↓
3. 配置校验（读回设备配置，与缓存比对）
   ├─ 一致 → 继续
   └─ 不一致（设备被复位）→ 重新下发全量配置
   ↓
4. 数据校准（与同区节点比对，确认未漂移）
   ↓
5. 数据补传（按时间戳补历史，平台去重）
   ↓
6. 状态标记 ONLINE，恢复参与控制
   ↓
7. 审计日志：断线时刻 / 恢复时刻 / 断线原因 / 补传条数