SLX FlowControl: HMI industriale e controllo edge su STM32

SLX FlowControl: un controllore edge che rende il processo leggibile, verificabile e pronto a evolvere

SLX FlowControl è un technology demonstrator Silicon Logix sviluppato attorno a un caso d'uso industriale concreto: un serbatoio polmone per acqua di raffreddamento, collocato tra una sorgente a monte e un'utenza a valle. Il sistema gira su una STM32H750B-DK con display touch; Factory I/O riproduce invece il processo con serbatoio, livello, portata, valvole e torre luminosa.

Il risultato non è una schermata collegata a una simulazione. È un controllore edge con una propria logica di processo, un ciclo real-time, comunicazione industriale, HMI locale, allarmi, ruoli operatore, diagnostica e una procedura di commissioning ripetibile. Ogni parte è stata progettata per raccontare la stessa situazione: ciò che avviene nel digital twin, ciò che decide il firmware e ciò che l'operatore vede sul pannello.

Limiti del dimostratore. SLX FlowControl è stato validato in simulazione con Factory I/O e firmware su target. Non sostituisce analisi dei rischi, funzioni di sicurezza cablate, validazione del processo fisico, autenticazione personale, firewall OT o logging persistente richiesti da una macchina reale.

Per un'azienda, il valore di un dimostratore di questo tipo è arrivare al progetto con meno incognite. Prima di scegliere l'elettronica definitiva o collegare una macchina reale, è già possibile verificare comportamenti, priorità operative, interfaccia e percorso di diagnosi.

HMI industriale, Modbus e digital twin: cosa validare prima della macchina

SLX FlowControl è utile a chi deve affrontare lo sviluppo di un’HMI industriale insieme alla logica di controllo e all’integrazione di campo. Il dimostratore porta la stessa situazione su tre piani osservabili: il processo virtuale in Factory I/O, il firmware real-time sulla STM32 e il pannello touch usato dall’operatore.

• Interfaccia operatore: dashboard, sinottico, controllo, ricette di sessione, allarmi con causa e azione richiesta, setup e diagnostica espongono stato e decisioni senza affidarsi al solo colore.
• Logica real-time: una task FreeRTOS ogni 100 ms gestisce priorità, Target, interblocchi e stato sicuro, mantenendo riempimento e scarico mutuamente esclusivi.
• Integrazione Modbus TCP/IP: Factory I/O opera come client e la STM32 come server; la mappa documenta separatamente misure, comandi di campo, attuazione e diagnostica.
• Commissioning e diagnosi: perdita di comunicazione o dati sensore non aggiornati portano le uscite a stato sicuro entro 1,5 secondi quando il controllo è richiesto; gli allarmi restano latched fino alla rimozione della causa e al riconoscimento locale.

Questo approccio è adatto a macchine compatte, banchi prova, impianti pilota, sistemi di dosaggio e prodotti embedded con HMI locale. Non sostituisce la progettazione di un PLC/SCADA di impianto né la validazione della macchina reale: serve a rendere verificabili architettura, UX, contratto dati e sequenze prima dell’industrializzazione.

Sequenza validata: dal comando di campo al ritorno al Target

Il digital twin non serve solo a mostrare una schermata: permette di osservare una sequenza completa, dal comando proveniente dal campo fino alla condizione di processo successiva.

1. Avvio pulito: il controllore parte in STOPPED; prima del primo ciclo Modbus l’HMI indica i sensori in attesa, senza trasformare l’assenza iniziale dei dati in un allarme di processo bloccante.
2. Comando di campo: quando Factory I/O richiede CARICA o EROGA, il comando ha priorità nel banco digitale. Firmware, valvola virtuale, torre luminosa e pannello touch mostrano lo stesso stato; se i due comandi si sovrappongono, le valvole restano chiuse e il conflitto è esplicito.
3. Recupero automatico: due secondi dopo il rilascio di entrambi i comandi, AUTO riporta il livello verso il Target con una deadband di ±1%. Dopo altri due secondi a valvole chiuse, il sistema riaccetta i comandi di campo.
4. Watchdog verificabile: quando il controllo è richiesto, perdita di comunicazione o sensori non aggiornati portano le uscite a stato sicuro entro 1,5 secondi. L’HMI conserva causa, azione richiesta e percorso di reset.

Questa è la parte che riduce le incognite prima dell’integrazione fisica: permette di discutere insieme sequenze, responsabilità operatore, contratto dati e condizioni di arresto prima di impegnare hardware definitivo e tempo di commissioning.

Quando il controllo di processo deve fare più che reagire a un comando

In un serbatoio polmone, la sorgente e l'utenza non lavorano sempre con lo stesso ritmo. Il sistema deve poter ricevere acqua, erogarla quando serve e conservare una riserva operativa attorno a un Target. Ma il punto più delicato non è comandare una valvola: è stabilire cosa deve accadere se i comandi si sovrappongono, se un sensore non è ancora disponibile al boot, se la rete smette di aggiornare i dati o se l'operatore deve capire perché il processo non riparte.

SLX FlowControl affronta queste domande come stati espliciti della macchina, non come eccezioni nascoste nel firmware. Il progetto rende osservabili la richiesta di campo, la fase automatica, il conflitto, l'allarme e il percorso di ripristino. Questo è l'approccio che permette di passare da una prova tecnica a una base di sviluppo utilizzabile su macchine compatte, banchi prova, impianti pilota, sistemi di dosaggio o dispositivi embedded con HMI locale.

Architettura real-time: FreeRTOS separa controllo, rete e interfaccia

Dietro l'HMI opera un'architettura basata su FreeRTOS: il controllo di processo, la comunicazione Modbus TCP/IP e la grafica lavorano in task separati. FreeRTOS è un sistema operativo real-time per microcontrollori; nel dimostratore viene utilizzato per mantenere ordinate le responsabilità del firmware e per evitare che un'attività di rete o una schermata rallentino la sequenza di processo.[2]

La task di controllo esegue ogni 100 ms. È qui che vengono validati i dati ricevuti, applicati interblocchi e watchdog, calcolate le aperture delle valvole e aggiornato lo stato che sarà mostrato all'operatore. La rete scambia i segnali con il digital twin senza diventare il luogo in cui si prendono decisioni di macchina; l'HMI aggiorna il display touch senza interferire con il comportamento della sequenza.

La STM32H750B-DK è una piattaforma STMicroelectronics basata su Cortex-M7, con Ethernet e display touch da 4,3 pollici: caratteristiche che permettono di verificare su hardware reale sia il comportamento del firmware sia l'esperienza operatore prima del porting su elettronica custom.[1]

Un'HMI che aiuta a decidere, non soltanto a visualizzare

L'interfaccia locale usa LVGL e viene eseguita direttamente sul touch della STM32. Non è stata costruita come una dashboard estetica aggiunta alla fine: dashboard, sinottico, controllo, ricette, allarmi, setup e diagnostica sono parte della stessa architettura operativa.[5]

L'operatore vede subito livello, Target, portata, aperture delle valvole, fase di processo, stato della rete e presenza di anomalie. I comandi locali sono separati dall'osservazione del campo: anche in modalità Viewer il pannello mostra che cosa sta chiedendo il processo virtuale, mentre una sessione Operatore di 15 minuti abilita le azioni locali. Questa distinzione rende più chiaro chi sta comandando il processo e perché.

Le ricette permettono di richiamare profili di sessione per produzione, risparmio energetico o commissioning. Gli allarmi, invece, non si limitano a cambiare colore: mostrano gravità, prima causa, azione richiesta e reset guidato. L'acknowledge è disponibile dopo che la causa è stata rimossa, così il pannello accompagna il ripristino invece di nascondere il problema. L'impostazione si ispira ai principi di usabilità e lifecycle HMI della serie ISA-101, senza rivendicare una certificazione formale.[6]

Tempo sincronizzato, audit e diagnostica: capire cosa è accaduto

In un progetto industriale non basta sapere che esiste un allarme: serve capire quando è arrivato, cosa lo ha preceduto e quale azione è stata eseguita. SLX FlowControl utilizza un riferimento orario NTP dalla rete OT locale e lo rende visibile nella diagnostica di sistema. In questo modo allarmi, cambi di modalità, comandi e operazioni di commissioning possono essere letti nella loro sequenza temporale, con un contesto più utile per manutenzione e analisi tecnica.

Il pannello raccoglie un audit circolare degli ultimi 64 eventi di sessione e uno storico degli ultimi 16 allarmi, oltre a informazioni quali indirizzo di rete, collegamento Factory I/O, uptime, conteggio cicli e tempo cumulato di riempimento o scarico. Non sono dettagli ornamentali: aiutano a capire se il sistema sta lavorando come previsto, se una condizione si ripete e dove indirizzare la diagnosi. In una soluzione di prodotto, questi stessi dati possono evolvere verso logging persistente o supervisione centralizzata.

Anche le ricette, il trend live e la pagina SYS hanno quindi un ruolo preciso: trasformare il controllore in uno strumento operativo e di assistenza, non in un semplice pannello che mostra valori istantanei.

Digital twin e Modbus TCP/IP: la simulazione dialoga con firmware reale

Factory I/O viene usato come digital twin, non come componente del prodotto finale. La sua scena Fill Tank invia al controller le misure di livello e portata, riceve le aperture analogiche delle valvole e visualizza le spie di processo e la torre luminosa. La comunicazione avviene tramite Modbus TCP/IP, con Factory I/O nel ruolo di client e STM32 nel ruolo di server.[3]

La mappa è volutamente esplicita: il firmware distingue misure, richieste di campo, attuazione, stato e diagnostica. In altre parole, il progetto non scambia un generico insieme di variabili, ma definisce un contratto di integrazione leggibile tra processo e controller. La struttura riflette le aree funzionali previste dal protocollo Modbus e rende più semplice sostituire il simulatore con I/O, sensori, drive o gateway industriali durante l'evoluzione del progetto.[4]

Il vantaggio concreto è osservare contemporaneamente la fisica virtuale, le decisioni del firmware e l'HMI sul dispositivo. Se un comando viene dato dalla scena, l'operatore vede la richiesta, la valvola risponde, il livello evolve e la torre luminosa comunica lo stato. Questa coerenza è ciò che consente di trovare ambiguità prima di entrare nel banco fisico.

Sequenze e condizioni anomale già verificate prima del campo

La validazione non si è fermata al collegamento Ethernet. Il sistema è stato esercitato dall'avvio al comando di riempimento, dall'erogazione al ritorno automatico verso il Target, fino alle condizioni di conflitto e alle anomalie simulate. Il controller parte in stato arrestato, con uscite chiuse e senza falso scarico; quando il campo richiede carico o erogazione, la richiesta viene resa visibile sia nel digital twin sia sull'HMI.

Se riempimento e scarico vengono richiesti insieme, l'interblocco chiude entrambe le valvole e l'HMI espone il conflitto. Quando le richieste si rilasciano, la modalità AUTO attende due secondi, riporta il livello al Target con tolleranza di ±1% e riabilita il campo dopo un intervallo di stabilizzazione. Il comportamento non resta implicito: la fase corrente indica se il processo è comandato dal campo, se sta recuperando il Target o se sta attendendo il riarmo.

Sono state verificate anche la coerenza fra misure, valvole e pannello, l'inibizione delle azioni nelle condizioni di processo previste e la gestione degli allarmi. Se la comunicazione o l'aggiornamento dei sensori vengono meno mentre il controllo è richiesto, il watchdog porta le uscite a stato sicuro entro 1,5 secondi. Per chi deve affidare un progetto, questo significa non vedere soltanto il caso ideale, ma vedere come il sistema reagisce quando qualcosa non va come previsto.

Integrazione OT: continuità operativa, confini chiari e progetto evolvibile

La rete industriale non viene trattata come un cavo da collegare alla fine. Nel dimostratore, PC Factory I/O e controller sono collocati nella stessa zona OT, con accesso Modbus limitato al peer previsto. La mappa espone alla rete soltanto i segnali necessari al processo simulato, mentre setpoint e parametri rimangono governati localmente dall'HMI.

Questo approccio segue il principio di ridurre l'esposizione e separare ciò che è necessario alla funzione di macchina da ciò che non lo è. NIST e CISA sottolineano come nei sistemi OT sicurezza, disponibilità e continuità operativa vadano considerate insieme.[7][8] In un progetto cliente, la stessa base può evolvere con ruoli nominativi, segmentazione verificata, logging persistente, gestione delle release e procedure di assistenza adattate alla macchina e al suo ciclo di vita.

Il software di controllo contribuisce a riportare il processo in una condizione definita quando vengono meno comunicazione o dati validi. Le funzioni di sicurezza della macchina, gli interblocchi fisici e le scelte hardware vengono poi progettati con il livello di rigore richiesto dal contesto applicativo. Separare questi piani fin dall'inizio evita sia promesse irrealistiche sia costose correzioni successive.

Dalla STM32H750B-DK al controller o al prodotto finale

La Discovery kit serve a rendere verificabile l'architettura, non a imporre una scheda standard al cliente. Una volta confermato il comportamento, Silicon Logix può trasferire il lavoro su elettronica personalizzata, scegliere I/O e attuatori definitivi, integrare drive e protocolli di campo, dimensionare alimentazione ed EMC e definire HMI, rete e manutenzione in funzione della macchina reale.

Il vantaggio è mantenere continuità: la logica già provata, il contratto dati, la filosofia HMI, gli allarmi e il piano di test non si perdono nel passaggio al prodotto. Diventano il punto di partenza per una soluzione costruita sui vincoli reali di produzione, ambiente, sicurezza e supporto post-installazione.

FAQ tecniche sul dimostratore

• SLX FlowControl sostituisce un PLC o uno SCADA di impianto? No. È un dimostratore edge per validare logica, HMI, contratto dati e sequenze prima della macchina reale; non sostituisce progettazione, validazione e funzioni di sicurezza dell’impianto.
• Factory I/O è parte del prodotto finale? No. In questo progetto è il digital twin del processo: consente di riprodurre serbatoio, sensori, valvole e torre luminosa per verificare il comportamento del firmware e dell’interfaccia.
• Il Modbus TCP/IP della demo è già pronto per una rete OT produttiva? No. La build dimostrativa non aggiunge autenticazione o cifratura a Modbus TCP; una macchina reale richiede segmentazione di rete, firewall OT e le misure di sicurezza appropriate al contesto.

Riferimenti tecnici e metodologici

Le fonti seguenti documentano le piattaforme e i riferimenti usati nel progetto. Sono riportate per trasparenza tecnica e non implicano sponsorizzazione o approvazione di SLX FlowControl da parte dei rispettivi titolari.

1. STMicroelectronics – STM32H750B-DK : piattaforma hardware utilizzata per il dimostratore.
2. FreeRTOS – Documentation : riferimento del kernel real-time impiegato nell'architettura firmware.
3. Factory I/O – Modbus TCP/IP Client : driver utilizzato dal digital twin per l'integrazione con il controller.
4. Modbus Organization – Specifications and Implementation Guides : riferimento per il protocollo e le aree Modbus.
5. LVGL – Version 9.3 documentation : libreria grafica embedded adottata per l'HMI touch.
6. International Society of Automation – ISA-101 Series of Standards : riferimento metodologico per HMI di processo, usabilità e lifecycle.
7. NIST SP 800-82 Rev. 3 – Guide to Operational Technology Security : guida per la sicurezza OT in relazione a disponibilità e affidabilità.
8. CISA – Principles of Operational Technology Cyber Security : principi per la cybersecurity e la continuità operativa in ambito OT.

Competenze collegate al progetto

Il dimostratore riunisce aree che, in un progetto reale, vengono definite in base alla macchina, agli I/O, ai requisiti di disponibilità e al piano di validazione.

• Sviluppo firmware STM32 per bring-up, periferiche, diagnostica e firmware di prodotto su microcontrollori.
• Firmware RTOS con FreeRTOS e Zephyr per organizzare task, timing, memoria e comportamenti real-time.
• Sviluppo HMI con LVGL per interfacce embedded leggibili, reattive e adatte all’operatore.
• Gateway e integrazioni Modbus per collegare dispositivi, dati di campo e sistemi software.
• Valutazione tecnica iniziale per definire rischi, architettura e percorso di validazione prima dell’industrializzazione.

Quando serve un controllo custom, non un semplice firmware da integrare

Un progetto come SLX FlowControl è utile quando firmware, HMI, I/O, comunicazione e assistenza devono essere pensati insieme. Silicon Logix può partire da un'idea, da un prototipo, da firmware esistente o da una macchina che deve essere aggiornata: l'obiettivo è trasformare il problema tecnico in un percorso concreto, con priorità chiare e risultati verificabili a ogni fase.