Backup Steuerung

Mit dieser Funktion kann eine Steuerung als Backup Steuerung konfiguriert werden. Fällt die primäre Steuerung aus, übernimmt die Backup Steuerung automatisch alle Funktionen. Die Backup Steuerung synchronisiert sich hierbei täglich mit der primären Steuerung, damit sind alle Daten wie beispielsweise Temperaturen, Szenen oder aufgezeichnete Daten sofort wieder verfügbar.

Die Backup Steuerung läuft mit dem Projekt der primären Steuerung. Für die Erkennung eines Ausfalls stehen zwei Wege zur Verfügung, die einzeln oder gemeinsam verwendet werden können:

KNX Triggeradresse: Es wird eine Triggeradresse festgelegt, die die primäre Steuerung über den Funktionsbaustein Taktgeber zyklisch sendet. Die Backup Steuerung überwacht diese Adresse. Bleibt das Telegramm aus, übernimmt sie. Sobald die Triggeradresse wieder empfangen wird, zieht sie sich zurück. Dieser Weg setzt eine KNX Anlage voraus.
Netzwerk: Die Backup Steuerung meldet sich in kurzen Abständen bei der primären Steuerung an - so wie es auch das Studio tut - und fragt anschließend deren Zustand ab. Geprüft wird dabei nicht nur, ob die Steuerung erreichbar ist, sondern auch, ob ihr Programm noch läuft. Eine Steuerung, die zwar antwortet, deren Bausteine aber stehen, ist für die Anlage genauso ausgefallen wie eine ausgeschaltete. Dieser Weg braucht keine KNX Anlage.

Werden beide Wege verwendet, übernimmt die Backup Steuerung erst, wenn beide ausgefallen sind. Eine einzelne Störung - ein neu startender Switch oder ein Problem auf der KNX Linie - löst damit keine Übernahme aus. Umgekehrt genügt es, wenn sich einer der beiden Wege wieder meldet, damit die Backup Steuerung wieder in den Standby geht.

Für die Erkennung über das Netzwerk muss auf der primären Steuerung die gleiche Softwareversion laufen. Eine ältere Steuerung beantwortet die Abfrage nicht; das wird als Projektierungsfehler gemeldet und löst ausdrücklich keine Übernahme aus.

Um den Einstellungsdialog aufzurufen wählen Sie im Studio Steuerung - Backupsteuerung.

In diesem Dialog wird die Backup Funktion eingestellt. Da das Projekt von der primären Steuerung synchronisiert wird, werden Einstellungen nicht im Projekt gespeichert sondern in einem separatem Bereich.

Als Backup Steuerung verwenden	Steuerung als Backup Steuerung verwenden. Dies darf nur an der Backup Steuerung aktiv sein, an der primären Steuerung muss diese Einstellung deaktiviert bleiben. Beim Einschalten holt sich die Steuerung sofort das Projekt der primären Steuerung. Die Ausfallerkennung beginnt erst nach dieser Erstsynchronisation, damit die Backup Steuerung nicht mit einem veralteten Projekt übernimmt.
IP Adresse	IP Adresse der primären Steuerung. Von dieser Adresse werden die Projektdaten geholt.
Phys. Adresse	Physikalische Adresse der Backup Steuerung. Sie wird verwendet, sobald "Als Backup Steuerung verwenden" aktiv ist - also auch dann, wenn die primäre Steuerung noch läuft. Sie ersetzt die im KNX Baustein eingestellte Adresse und muss sich von der Adresse der primären Steuerung unterscheiden.
Passwort	Passwort der primären Steuerung. Es wird nur für die Ausfallerkennung über das Netzwerk gebraucht: die Backup Steuerung meldet sich damit an der primären Steuerung an. Wird die Anmeldung abgelehnt, meldet die Steuerung das im Klartext und sendet eine Mail - eine Übernahme findet in diesem Fall nicht statt, da es sich um einen Projektierungsfehler und nicht um einen Ausfall handelt.
Passwort anzeigen	Zeigt das eingegebene Passwort im Klartext an, damit es bei der Inbetriebnahme geprüft werden kann.
Synchronisation testen	Startet sofort eine Synchronisation mit der primären Steuerung. Dafür muss "Als Backup Steuerung verwenden" aktiviert sein, sonst weist das Studio darauf hin und startet den Test nicht. Darunter wird der Status angezeigt: "Synchronisation läuft", "Erstsynchronisation läuft", "Synchronisation Ok" oder der Grund des Abbruchs im Klartext - etwa eine fehlende oder ungültige IP Adresse der primären Steuerung oder eine laufende Übernahme. Schlägt die Übertragung selbst fehl, wird zusätzlich die Fehlernummer angezeigt. Nach der Synchronisation werden die Dienste neu gestartet und das Projekt neu geladen, die Backup Steuerung ist dabei kurz unterbrochen. Eine tägliche Ok Meldung wird durch diesen Test nicht gesendet.
Ausfall erkennen über	Legt fest, welche Überwachung verwendet wird: "KNX Triggeradresse", "Netzwerk" oder "KNX und Netzwerk". Die Eingaben des jeweils nicht verwendeten Weges sind gesperrt. Bei "KNX und Netzwerk" übernimmt die Backup Steuerung erst, wenn beide Wege ausgefallen sind.
Triggeradresse	Hier wird die Adresse eingestellt welche überwacht werden soll. Dies muss eine KNX Adresse sein. Ohne gültige Adresse findet keine Übernahme statt, die Steuerung schreibt in diesem Fall eine Fehlermeldung ins Protokoll.
Timeout	Zeit in Sekunden für die Überwachung, einstellbar von 60 bis 65535 Sekunden. Der Wert muss deutlich über dem Sendetakt des Taktgebers liegen, damit ein einzelnes verlorenes Telegramm keine Übernahme auslöst. Bleibt das Telegramm aus, übernimmt die Backup Steuerung alle Funktionen. Sobald das Telegramm wieder empfangen wird, wird die Backup Steuerung wieder inaktiv.
Timeout Netzwerk	Zeit in Sekunden für die Überwachung über das Netzwerk, einstellbar von 60 bis 65535 Sekunden, Vorgabe 300 Sekunden. Geprüft wird alle 10 Sekunden. Meldet sich die primäre Steuerung innerhalb dieser Zeit kein einziges Mal, gilt der Netzwerkweg als ausgefallen. Der Wert sollte nicht zu klein gewählt werden: wird ein Projekt auf die primäre Steuerung übertragen, läuft deren Programm kurz nicht - das darf keine Übernahme auslösen. Nach einem Neustart der Backup Steuerung beginnt die Überwachung erst nach drei Minuten, damit die anlaufende primäre Steuerung nicht sofort als ausgefallen gilt.
Referenzadresse	IP Adresse eines Gerätes, das immer erreichbar ist - üblicherweise der Router. Ist die primäre Steuerung nicht erreichbar und diese Adresse ebenfalls nicht, liegt die Störung im eigenen Netz der Backup Steuerung. In diesem Fall findet keine Übernahme statt, denn die primäre Steuerung läuft vermutlich weiter - zwei gleichzeitig sendende Steuerungen würden jeden Befehl doppelt ausführen. Das Feld kann leer bleiben, dann wird nicht geprüft.
Netzwerkverbindung testen	Führt sofort eine Prüfung über das Netzwerk durch. Darunter wird das Ergebnis im Klartext angezeigt, zum Beispiel "Netzwerk Ok, die primäre Steuerung läuft", "Die primäre Steuerung ist nicht erreichbar", "Anmeldung abgelehnt" oder "Das Programm der primären Steuerung läuft nicht mehr". Zusätzlich werden die Restzeit des Netzwerk Timers und die Softwareversion der primären Steuerung angezeigt.
Zustand	Zeigt an, ob sich die Backup Steuerung im Standby befindet oder bereits übernommen hat.
Email Benachrichtigung	Email Adresse für Benachrichtigung. Mehrere Empfänger können mit Semikolon ";" getrennt angegeben werden. Leer = keine Email. Gemeldet wird, wenn die Überwachung ausfällt, sich die primäre Steuerung wieder meldet, ein Fehler bei der Synchronisation auftritt oder die Netzwerkprüfung einen Projektierungsfehler feststellt.
Push Benachrichtigung an die APP senden	Sendet dieselben Meldungen zusätzlich als Push Nachricht an alle APPs, die sich an dieser Steuerung angemeldet haben. Zu beachten: die Geräteliste liegt in den gespeicherten Daten und kommt erst mit der Synchronisation von der primären Steuerung. Hat auf der Backup Steuerung noch nie eine Synchronisation stattgefunden, ist kein Gerät bekannt und es wird nichts gesendet.
Pushover Key	Benutzerschlüssel des Pushover Kontos. Ist er eingetragen, gehen dieselben Meldungen zusätzlich über Pushover. Mehrere Schlüssel können mit Semikolon ";" getrennt angegeben werden, leer = kein Pushover. Ein eigenes Anwendungstoken ist nicht nötig, es ist bereits hinterlegt. Dieser Weg ist für die Backup Steuerung der verlässlichste, weil er im Gegensatz zur Push Nachricht nicht von einer angemeldeten APP abhängt.
Tägliche Ok Meldung senden	Mit dieser Option wird eine tägliche OK Meldung von der Backup Steuerung über alle eingeschalteten Wege gesendet, sobald die tägliche Synchronisation erfolgreich war. Damit ist sichergestellt, dass auch die Backup Steuerung funktionsfähig ist. An der Hauptsteuerung kann zusätzlich der Funktionsbaustein "Netzwerk Geräte überwachen" verwendet werden um die Backup Steuerung zusätzlich zu überwachen.
Trigger Timer Status	Anzeige der Restzeit in Sekunden bis zur Übernahme. Der Wert wird mit jedem empfangenen Triggertelegramm wieder auf den eingestellten Timeout gesetzt. Erreicht er 0, übernimmt die Backup Steuerung.
Übernehmen	Speichert die Einstellungen auf der Steuerung, der Dialog bleibt geöffnet.
Abbrechen	Schließt den Dialog. Bereits mit "Übernehmen" gespeicherte Einstellungen bleiben erhalten.
Ok	Speichert die Einstellungen auf der Steuerung und schließt den Dialog.

KNX Anbindung der Backup Steuerung

Beide Steuerungen führen dasselbe Projekt aus. Ist die KNX Schnittstelle auf TP-UART onboard eingestellt, hat jede Steuerung ihre eigene Klemme am Bus und ist von der anderen unabhängig.

Bei einem externen KNX-IP Gateway ist das nicht so: ohne weitere Angabe greifen beide Steuerungen auf dasselbe Gateway zu. Fällt dieses Gateway aus - oder hängt es an derselben Versorgung, demselben Switch oder demselben Netzabschnitt wie die primäre Steuerung -, dann übernimmt die Backup Steuerung zwar, erreicht den KNX Bus aber genauso wenig.

Für diesen Fall gibt es am Baustein KNX Schnittstelle die Parameter IP Adresse Backup Steuerung und Port Backup Steuerung. Dort wird ein zweites Gateway eingetragen, das ausschließlich eine Steuerung verwendet, bei der "Als Backup Steuerung verwenden" aktiv ist. Die Adresse wird immer verwendet, also auch dann, wenn die primäre Steuerung noch läuft: damit steht die Verbindung bereits vor einer Übernahme und das zweite Gateway wird laufend mitgeprüft. Bleibt das Feld leer, verhält sich alles wie bisher.

Bei der Inbetriebnahme ist auf drei Punkte zu achten:

Beide Gateways müssen am selben KNX Bus hängen. Wird der Ausfall über die KNX Triggeradresse erkannt, läuft das Telegramm der primären Steuerung über das erste Gateway auf den Bus und über das zweite zur Backup Steuerung zurück. Linienkoppler mit Filtertabellen müssen diese Adresse durchlassen, sonst bleibt das Triggertelegramm aus und die Backup Steuerung übernimmt ohne Grund.
Die physikalischen Adressen müssen verschieden bleiben. Dafür ist weiterhin das Feld "Phys. Adresse" in diesem Dialog zuständig.
Das zweite Gateway sollte an einer anderen Versorgung und einem anderen Switch hängen als die primäre Steuerung - sonst ist nichts gewonnen.

Verhalten im Standby

Solange die primäre Steuerung ihr Triggertelegramm sendet, befindet sich die Backup Steuerung im Standby. Das Projekt läuft dort vollständig mit: alle Werte werden mitgeführt, Aufzeichnungen laufen weiter, Geräte werden weiter abgefragt. Damit sind nach einer Übernahme sofort alle Daten vorhanden. Unterdrückt wird nur die Wirkung nach außen, denn die primäre Steuerung führt dieselbe Aktion bereits aus.

Es gilt dieselbe Sperre wie bei einem abgeschalteten Baustein oder einer abgeschalteten Seite. Der Unterschied: ein abgeschalteter Baustein tut gar nichts mehr, im Standby arbeitet er intern normal weiter und gibt nur nichts nach außen ab.

Im Standby gesperrt sind:

Senden auf den KNX Bus
Ausgänge der IO Module (LAN, CAN und Modbus IO)
Schreibende Zugriffe des Modbus Masters
Shelly, NUKI und alle weiteren MQTT Befehle
Sonos (lokal und Cloud)
Alarmanlagen (Guarto, Jablotron, ABI) und Türstation (Doorbird)
Wallboxen (OCPP, go-e, Keba, EASEE, NRGKick) und Batteriespeicher Marstek
Hausgeräte (Home Connect), Mähroboter (Husqvarna), Sauna (Sentiotec) und VELUX KLF 200
Philips Hue und DMX über Art-Net
Meldungen über Pushover, NTFY, Push und IFTTT sowie Email senden
Systembefehl und FTP Upload
Schreibende HTTP Anfragen aus Lua Skripten (POST, PUT, PATCH, DELETE); lesende Anfragen (GET, HEAD) bleiben erlaubt
Sprachassistenten: die Alexa Bridge antwortet nicht auf Suchanfragen und die Matter Brücke wird nicht gestartet, damit im Netzwerk nicht zwei Bridges mit denselben Geräten erscheinen
Portalanbindung: es werden keine Daten veröffentlicht

Bausteine, die eine dauerhafte Verbindung zum Zielgerät halten, bauen diese im Standby gar nicht erst auf - viele Geräte lassen nur eine Verbindung zu. Befehle, die im Standby anfallen, werden verworfen und nicht nachgeholt.

Bei jedem Wechsel - also sowohl bei der Übernahme als auch bei der Rückkehr der primären Steuerung - läuft das Programm vollständig neu an. Alle Bausteine werden neu erzeugt und bauen ihre Verbindungen zu den Geräten neu auf beziehungsweise lassen es. Das dauert einige Sekunden; währenddessen arbeitet das Programm nicht. Werte, die über einen Neustart erhalten bleiben sollen, kommen wie gewohnt aus der Persistenz.

Nicht gesperrt sind Abfragen und Messwerte, die Aufzeichnung sowie Einstellungen, die nur die Steuerung selbst betreffen (zum Beispiel die Systemuhr).

Ablauf der Übernahme

Fällt die Überwachung länger als der eingestellte Timeout aus, übernimmt die Backup Steuerung: das Senden wird freigegeben, das KNX Gateway und der Modbus Master werden neu gestartet, das Programm läuft neu an und es wird eine Mail versendet. Meldet sich die primäre Steuerung wieder - über die Triggeradresse oder über das Netzwerk -, wird das Senden sofort wieder abgeschaltet, das Programm läuft erneut an und es wird ebenfalls eine Mail versendet.

Ausfallerkennung über das Netzwerk

Die Backup Steuerung baut alle 10 Sekunden kurz eine Verbindung zur primären Steuerung auf, meldet sich mit dem eingetragenen Passwort an und fragt deren Zustand ab. Die Verbindung wird sofort wieder geschlossen. Der Netzwerk Timer wird bei jeder erfolgreichen Prüfung neu gestartet.

Als Ausfall gewertet werden nur drei Fälle: die primäre Steuerung ist nicht erreichbar, sie antwortet nicht innerhalb der Frist, oder ihr Programm läuft nicht mehr. Alle anderen Ergebnisse sind Projektierungsfehler und lösen ausdrücklich keine Übernahme aus - sie werden aber im Klartext angezeigt und einmalig per Mail gemeldet:

Die Anmeldung wurde abgelehnt, das Passwort stimmt nicht.
Es ist keine oder eine ungültige IP Adresse eingetragen.
Die IP Adresse zeigt auf die Backup Steuerung selbst.
Die Gegenstelle ist selbst als Backup Steuerung eingerichtet.
Auf der primären Steuerung läuft eine ältere Software, die die Abfrage nicht kennt.
Die Referenzadresse ist ebenfalls nicht erreichbar - die Störung liegt dann im Netz der Backup Steuerung.

Für die Prüfung des Programms meldet die primäre Steuerung, wie lange ihr Programm schon nicht mehr weitergelaufen ist. Überschreitet diese Zeit 30 Sekunden, gilt das Programm als stehend. Damit wird auch der Fall erkannt, in dem die Steuerung selbst noch antwortet, die Bausteine aber nicht mehr bearbeitet werden.

Synchronisation

Beim Einschalten von "Als Backup Steuerung verwenden" startet sofort eine Erstsynchronisation. Solange sie läuft, ruht die Ausfallerkennung und der Trigger Timer bleibt auf dem eingestellten Timeout stehen. Erst danach kann die Backup Steuerung übernehmen. Bleibt die Übertragung hängen, startet die Ausfallerkennung spätestens nach 15 Minuten trotzdem, damit eine Übernahme nicht dauerhaft blockiert ist.

Die Synchronisation läuft danach einmal täglich und nur solange die Backup Steuerung inaktiv ist. Während einer laufenden Übernahme wird nicht synchronisiert, damit das laufende Projekt nicht ausgetauscht wird. Nach einer erfolgreichen Übertragung werden die Dienste neu gestartet und das Projekt neu geladen. Schlägt die Übertragung fehl, bleibt der bisherige Stand aktiv und es wird eine Mail versendet.