Aktualizacja oprogramowania sprzętowego falownika jest zakończona dopiero wtedy, gdy wymagane funkcje projektu zostały sprawdzone, a nie w momencie zakończenia paska postępu. Urządzenie może uruchomić się ponownie prawidłowo, podczas gdy ustawienie eksportu, interfejs baterii, konfiguracja równoległa lub zachowanie trybu zasilania awaryjnego uległy zmianie. Pomyślne wgranie dowodzi, że oprogramowanie zostało zainstalowane; nie dowodzi, że instalacja nadal zapewnia usługę objętą umową.
W przypadku EPC i dystrybutorów należy traktować aktualizację jako kontrolowaną zmianę inżynierską. Udokumentuj przyczynę, potwierdź dokładną kombinację sprzętu i oprogramowania sprzętowego, zapisz zatwierdzoną konfigurację i zdecyduj, które funkcje wymagają ponownego przetestowania. Pilne aktualizacje bezpieczeństwa lub aktualizacje wymagane przez producenta należy wdrażać w ramach odpowiedniego przeglądu ryzyka; nie należy używać kontroli zmian jako wymówki do ignorowania instrukcji bezpieczeństwa lub polecenia producenta.
Zdefiniuj powód wydania
Oddziel poprawkę bezpieczeństwa, zmianę wymaganą przez producenta, usunięcie usterki i nową funkcję. Każda z nich ma inne uzasadnienie i może wymagać innego harmonogramu. Funkcja nieistotna dla projektu nie jest sama w sobie dowodem na to, że eksploatowana instalacja odniesie korzyść z natychmiastowej aktualizacji.
Przed aktualizacją falownika słonecznego HMX, należy zażądać odpowiednich informacji o wydaniu i obsługiwanej procedury aktualizacji dla dokładnego modelu i wersji sprzętowej. Potwierdź wszelkie zależności dotyczące BMS baterii, licznika, bramy komunikacyjnej lub kontrolera. Nie zakładaj, że plik dla podobnego modelu jest akceptowalny.
Wyznacz imiennie osobę do autoryzacji zmiany i imiennie osobę do potwierdzenia wyniku. W małym projekcie mogą to być członkowie tego samego zespołu instalacyjnego, ale odpowiedzialności nadal powinny być udokumentowane. Klient powinien wiedzieć, czy aktualizacja przerwie usługę i jakie tymczasowe rozwiązania są wymagane.
| Zapis | Wymagane informacje | Decyzja o wydaniu, którą wspierają |
|---|---|---|
| Cel | Istotna poprawka, wymóg lub funkcja projektu | Dlaczego ta zmiana jest potrzebna |
| Tożsamość urządzenia | Model, numer seryjny, wersja sprzętowa i zainstalowana wersja oprogramowania | Czy plik docelowy ma zastosowanie |
| Zależności | Obsługiwane wersje baterii, licznika, kontrolera i urządzeń równoległych | Czy kombinacja systemowa jest obsługiwana |
| Wzorzec konfiguracji | Zatwierdzone ustawienia eksportu, zasilania awaryjnego, ładowania i dostępu | Co musi pozostać prawidłowe po aktualizacji |
| Okno serwisowe | Oczekiwane przerwy i ustalenia z klientem | Kiedy zmiana może zostać bezpiecznie przeprowadzona |
| Ścieżka odzyskiwania | Zatwierdzone przez producenta kontakty do odzyskiwania i wsparcia | Jak będzie zarządzana nieudana zmiana |
Nie zakładaj, że każda aktualizacja zachowuje ustawienia
Przydatne porównanie pochodzi z dwóch aktualnych dokumentów w tej samej bibliotece producenta. Ogólny przewodnik po oprogramowaniu sprzętowym VictronConnect opisuje zachowanie mających zastosowanie ustawień i historii, jednocześnie wyraźnie kierując produkty VE.Bus do odrębnego przewodnika. Czytanie wyłącznie ogólnego stwierdzenia pomijałoby istotną granicę produktową.
Odrębny przewodnik VictronConnect dla produktów VE.Bus ostrzega, że jego proces aktualizacji przywraca ustawienia do domyślnych fabrycznych i wymaga ponownego zaprogramowania konfiguracji wielourządzeniowych. To zachowanie jest specyficzne dla udokumentowanych produktów i procesu; nie jest to twierdzenie o sprzęcie HMX.
Wniosek dla zamówień jest prosty: zapytaj, czy ten model i metoda aktualizacji zachowują, migrują czy resetują każde istotne ustawienie. Zapisz eksport konfiguracji, jeśli jest obsługiwany, wraz z czytelnymi dla człowieka zapisami kluczowych ustawień. Plik, którego nie można przywrócić do nowej wersji, nie stanowi kompletnego planu odzyskiwania.
Zapisz bieżące zatwierdzone wartości zamiast kopiować wartości domyślne z instrukcji. Wartości domyślne mogą nie odpowiadać zatwierdzeniu sieciowemu zakładu, limitom baterii lub projektowi zasilania awaryjnego. Przywrócenie starej konfiguracji również wymaga przeglądu, jeśli nowe wydanie zmienia znaczenie parametru lub obsługiwany zakres.
Zbuduj ponowny test wokół tego, czego projekt faktycznie używa
Wybierz testy regresji przed zainstalowaniem aktualizacji. Uwzględnij funkcje objęte informacjami o wydaniu oraz funkcje, których awaria miałaby znaczenie dla klienta. Projekt magazynowania energii może zależeć od zezwoleń na ładowanie baterii i przejść do trybu zasilania awaryjnego, nawet gdy aktualizacja jest opisana jako ulepszenie komunikacji.
Najpierw zmapuj relacje między urządzeniami. Rozróżnienie między funkcjami BMS, konwersji mocy i zarządzania energią pomaga zidentyfikować, które urządzenie dostarcza limit lub polecenie operacyjne. Liczba widoczna na wyświetlaczu nie potwierdza, że falownik stosuje najnowszą dozwoloną wartość.
| Funkcja wykorzystywana przez projekt | Zakres weryfikacji | Dowody do zachowania |
|---|---|---|
| Eksploatacja baterii | Komunikacja, aktywne limity ładowania/rozładowania i obsługa alarmów | Dopasowane wersje urządzeń i zaobserwowane zapisy eksploatacyjne |
| Kontrola eksportu | Interpretacja licznika, wartość zadana i odpowiedź w ramach zatwierdzonego układu | Ustawienia i zmierzony wynik testu |
| Zasilanie rezerwowe | Zatwierdzone przełączenie, rzeczywiste obciążenia i powrót do sieci | Oś czasu zdarzeń i obserwacje serwisowe |
| Praca równoległa lub wielofazowa | Obsługiwana kombinacja wersji i skonfigurowane role | Topologia i zatwierdzone wyniki funkcjonalne |
| Zdalne monitorowanie | Bieżąca telemetria, alarmy i dozwolony dostęp | Aktualne znaczniki czasu i przetestowana ścieżka powiadomień |
| Zaplanowane wysyłanie | Strefa czasowa, okna operacyjne i uprawnienia | Ostateczna polityka i zaobserwowane przejścia |
Wszystkie przełączenia elektryczne i testy funkcji ochronnych wymagają wykwalifikowanego personelu postępującego zgodnie z obowiązującą procedurą. Nie należy zmieniać zabezpieczeń sieciowych w celu przyspieszenia demonstracji, omijać blokady ani wymuszać awarii baterii. Jeżeli funkcji nie można przetestować natychmiast, należy pozostawić ją wyraźnie jako nierozstrzygniętą, zamiast ogłaszać wydanie w pełni zaakceptowanym.
Zachowaj rozróżnienie między wycofaniem oprogramowania a bezpiecznym przywróceniem
Poprzedni plik firmware nie dowodzi, że downgrade jest obsługiwany. Formaty ustawień, wersje sprzętowe lub ograniczenia producenta mogą temu uniemożliwić. Przed zmianą należy uzyskać obsługiwaną ścieżkę przywracania. Ścieżka ta może obejmować serwis lokalny lub wymianę kontrolera, a nie downgrade oprogramowania.
W przypadku projektu, który wykorzystuje domowy system baterii do obciążeń krytycznych, w razie potrzeby należy zapewnić zatwierdzone zasilanie alternatywne. Czasu przywracania nie należy szacować na podstawie innej instalacji. Należy potwierdzić dostępność personelu i dostęp do wsparcia w uzgodnionym oknie serwisowym.
Utrzymuj bazę wersji, której zespoły serwisowe mogą zaufać
Wytyczne NIST SP 800-128 dotyczące zarządzania konfiguracją, opublikowane w 2011 r. i zaktualizowane w 2019 r., wyjaśniają zarządzanie konfiguracjami i ich monitorowanie przy jednoczesnym wspieraniu wymaganych funkcji biznesowych. Są to ogólne wytyczne dotyczące systemów informatycznych, a nie nowy wymóg certyfikacji falowników. Zasada bazowa jest użyteczna, gdy jest stosowana ostrożnie do dokumentacji projektu magazynowania energii.
Po aktualizacji należy zapisać rzeczywiste zainstalowane wersje, zatwierdzone ostateczne ustawienia i wyniki testów. Należy odnotować wszelkie różnice w stosunku do poprzedniej bazy, nierozwiązane problemy oraz osobę, która zaakceptowała zmianę. Należy zebrać dowody przed aktualizacją i po niej, aby późniejszy technik mógł odróżnić zmianę związaną z wydaniem od niepowiązanego problemu w miejscu instalacji.
W przypadku flot instalacji należy zweryfikować odpowiednie grupy sprzętowe i konfiguracyjne przed rozszerzeniem wdrożenia. Zaliczenie jednego modelu nie kwalifikuje każdej jednostki we flocie. Zatwierdzone przez producenta etapowanie może zmniejszyć niepewność, ale nie może opóźniać obowiązkowej korekty poza dozwolonym czasem reakcji.
Zamknij zmianę na podstawie funkcji, a nie statusu instalacji
Rekord wydania powinien odpowiadać na pytania: dlaczego aktualizacja była wymagana, co się zmieniło, które funkcje zostały ponownie przetestowane i co pozostaje otwarte? Gdy te odpowiedzi są jasne, dystrybutor może wspierać instalację bez polegania na pamięci lub zrzutach ekranu wykonanych przed aktualizacją. Ostatecznym punktem akceptacji jest przywrócona i zweryfikowana usługa, a nie nowy numer wersji.