Day31-23｜11.1.2 CPS 的实现：把感知、计算、通信和控制落成可运行系统

一、教材定位

信息物理系统的概念描述了物理世界与信息世界的闭环，而 CPS 的实现关注如何将这一闭环落地为硬件、嵌入式软件、网络、边缘平台、云服务和运维体系。实现过程中既要完成设备感知和执行，又要保证实时性、可靠性、安全性、可维护性和生命周期管理。

CPS 不是把传感器接入云平台就完成了。一个可运行的 CPS 必须明确物理对象、控制目标、感知精度、执行约束、网络时延、计算位置、数据模型、故障策略、权限和人工接管。考试中常见问法是给出智能制造、智能交通或设备监控场景，要求说明系统组成、关键技术、边缘与云分工以及安全可靠性措施。

二、CPS 实现的总体架构

可以按照“设备—边缘—平台—应用—运维”组织实现：

实现时要从控制闭环时限出发分配功能。毫秒级安全控制通常放在设备或边缘，秒级协同可在边缘和区域平台完成，分钟或小时级分析可以放在云端。不能为了集中管理把所有逻辑放到云上。

三、感知设备与数据采集

1. 传感器选择

根据被测对象选择温度、压力、位置、速度、图像、声音、振动、能耗和环境传感器。要评估量程、精度、采样频率、响应时间、接口、耐环境能力、校准周期和成本。传感器参数不匹配会使后续算法再复杂也无法得到可靠结果。

2. 采样和时间戳

采样频率应覆盖物理过程变化，不能只因存储成本而过低；过高又会增加带宽和处理压力。每条数据要带设备标识、采样时间、质量标记和校准版本。多设备协同需要统一时钟或可估计的时间偏差。

3. 数据清洗和校验

边缘侧可以进行范围检查、去噪、去重、插值、聚合和异常标记。清洗不能静默丢弃异常，要保留原始摘要、质量状态和处理规则，便于追溯。关键控制数据需要多传感器交叉校验和安全阈值。

4. 设备身份和注册

每个设备要有唯一身份、型号、位置、固件、所属资产和生命周期状态。设备上线、退役、维修和转移都要登记。身份不能只依赖可修改的设备名称，应使用证书、密钥或安全硬件保护。

四、执行器与嵌入式控制

执行器可能驱动电机、阀门、继电器、机器人、车辆和显示设备。控制命令要经过范围、权限、当前状态和安全互锁检查，防止错误数据或恶意请求造成危险。

嵌入式控制器通常资源有限，需要实时操作系统、任务调度、驱动、通信协议、看门狗、故障诊断和启动自检。实时任务应有优先级、截止时间和最坏执行时间分析，不能只测试平均响应。

关键执行器要设计急停、限位、降速、断电和人工接管。控制软件异常时，看门狗可以复位，但复位前后要保存安全状态和故障原因，避免反复重启形成更大风险。

五、通信网络实现

1. 现场网络

现场总线、工业以太网、无线和专用控制网络承载设备数据和控制命令。选择时考虑确定性、抗干扰、带宽、拓扑、冗余、距离和安全。安全控制不能依赖无法预测的普通网络。

2. 边缘到平台网络

边缘与云之间通常采用消息协议、HTTP、MQTT或其他工业协议。要定义连接重试、离线缓存、批量上传、压缩、断点续传和数据顺序。网络中断时边缘应继续执行必要控制，恢复后按版本和时间补传。

3. 数据与控制分离

高频遥测数据、告警事件、控制命令和文件升级流量应分开管理。控制命令需要更高优先级、更严格授权和更短时限；普通历史数据可以批量传输。共用通道时要设置流量隔离和优先级。

4. 安全通信

使用设备身份认证、加密传输、证书轮换、消息完整性和防重放机制。命令要包含序列号、有效期、目标设备和权限范围，设备拒绝过期、重复或不符合当前状态的命令。

六、边缘计算实现

边缘节点负责协议适配、规则执行、数据预处理、实时控制、缓存和局部协同。它要具备容器或进程隔离、资源配额、离线运行、远程配置和安全升级能力。

边缘规则和模型需要版本化，更新应先验证、签名和灰度，异常时回退到稳定版本。边缘节点断网时要知道哪些功能可继续、哪些必须停止；不能让离线状态下的旧策略无限期运行而不告警。

七、平台和云端实现

云平台可以提供设备目录、数据接入、时序存储、规则引擎、模型服务、数字孪生、任务调度、报表和开放接口。平台要支持多租户隔离、设备规模扩展、数据生命周期、权限和审计。

长期数据可以分冷热层，原始高频数据按保留策略归档或降采样；实时告警和控制数据使用低延迟通道；模型训练数据要标注来源、质量、时间和版本。平台不能把云端分析结果直接当作控制命令，必须经过边缘或设备侧安全校验。

八、数据模型与数字孪生

CPS 需要统一描述设备、部件、测点、位置、关系、状态、能力、告警和历史。数字孪生可以把物理对象的结构、状态、行为和历史映射到数字空间，支持监控、仿真和预测。

数据模型演化要处理设备型号、测点、单位、精度和协议变化。单位必须明确，时间和坐标要统一，设备更换后历史数据要保持可追溯。孪生状态应区分实时观测、估计状态和预测状态，不能把模型推断当作实际测量。

九、安全实现

1. 设备安全

安全启动、固件签名、可信执行环境、密钥保护、调试接口关闭和物理防护是基础。设备证书要支持发放、轮换、吊销和恢复。

2. 平台安全

采用租户隔离、最小权限、设备与用户双重身份、接口授权、密钥管理、审计和数据加密。控制权限要与观察权限分离，能够查看设备不代表能够发出控制命令。

3. 运行安全

监控异常登录、异常命令、固件变化、流量突增、传感器欺骗和控制偏差。发生安全事件时可隔离设备、冻结命令、切换安全模式并保留证据。

十、可靠性、测试与运维实现

可靠性设计包括冗余传感器、备用控制器、双网络、故障检测、失效安全和人工接管。测试要覆盖设备断电、传感器漂移、网络延迟、消息重复、边缘重启、云平台不可用、固件升级失败和控制命令异常。

测试应结合仿真、硬件在环、现场隔离和故障注入。指标包括控制延迟、数据丢失、误报和漏报、任务成功率、故障检测时间、恢复时间、人工接管时间和安全事件。运行中还要管理设备资产、固件、模型、配置、证书、备件和维护记录。

十一、案例分析：智能工厂设备监控和控制

某工厂希望将设备温度、振动和能耗上传云平台，用算法预测故障，并远程调整设备参数。初期方案把所有采集和控制都放在云端，设备使用共享账号，异常时只能人工登录设备处理。

改造后，设备使用唯一证书注册，边缘网关负责协议转换、数据校验、局部告警和安全控制；高频原始数据在边缘聚合，关键异常实时上传，云平台负责长期分析和模型训练。远程参数调整必须经过用户权限、设备状态、范围和审批检查，由边缘验证后执行；设备断网时使用本地安全策略，云端命令过期或重复则拒绝。

模型和固件分别版本化、签名和灰度升级，异常可回退。传感器异常时切换冗余测点或进入降载，控制器失效时触发安全停止。平台记录设备、数据、命令、告警和升级审计，测试网络中断、传感器漂移、边缘重启和升级失败。通过控制延迟、预测准确性、误报警、设备可用率、故障恢复和安全指标评估实现效果。

十二、综合知识练习

题1

实现 CPS 时为什么要把实时控制放在设备或边缘？

参考答案：设备和边缘距离物理对象近，能够提供低时延、确定性和断网自治，减少云端网络抖动对安全控制的影响。云端更适合全局分析和模型训练，不应承担所有硬实时闭环。

题2

远程控制命令需要哪些安全校验？

参考答案：验证设备和用户身份、权限、目标、命令序列号、有效期、当前设备状态、参数范围和完整性，防止伪造、重放、越权和不安全操作；异常时进入安全模式并审计。

题3

为什么 CPS 的模型和固件升级必须灰度和可回退？

参考答案：错误模型可能产生错误控制，错误固件可能导致设备不可用或安全风险。灰度可以限制影响范围，签名和版本保证来源，回退和人工接管保证故障时恢复安全状态。

十三、论文写作素材

论文中可以这样描述 CPS 实现：

“在 CPS 项目中，我按照设备、边缘、平台和应用分配功能：设备负责感知和执行，边缘负责协议适配、数据校验、实时控制和断网自治，云平台负责长期数据、模型训练和全局优化。设备采用唯一身份、密钥和安全启动，控制命令经过权限、状态、范围、时序和防重放校验；传感数据采用时间戳、质量标记、多源校验和异常处理。模型、固件和配置均版本化、签名、灰度和可回退，并通过硬件在环、网络异常、传感器故障和升级失败测试，验证控制延迟、数据质量、故障恢复和人身安全。”

十四、今日复盘

1. CPS 实现需要设备、嵌入式、网络、边缘、云和运维协同。
2. 感知质量、时间同步、实时控制和执行安全是落地基础。
3. 边缘承担低时延和断网自治，云承担全局分析和长期管理。
4. 设备身份、命令授权、固件签名、模型版本和审计不可缺少。
5. 测试要覆盖物理设备、通信、控制、升级和人工接管。
6. 案例答题要写清架构分层、数据流、控制流、安全和故障闭环。