# 04 · 控制平面：执行引擎、边缘终端与多时空级联

控制平面是确定性系统：没有 LLM，没有「智能」，只有在批准计划与包络内的可靠执行（P1/P9）。

## 1. 空间层级（四级）

```
省级平台（认知平面 + 执行引擎 + 可信执行链）
  └── 区域 / 聚合单元（VPP 聚合层：计划分解、单元内再平衡）
        └── 用户 / 站点（本地 CPS + 数据网关）
              └── 终端设备（光伏 / 储能 / 充电桩 / 空调 / 工业负荷 / 微网）
```

| 层级 | 决策内容 | 时间尺度 | 自治能力 |
|---|---|---|---|
| 省级 | 总量计划、包络、跨聚合单元分配 | 15 分钟 ~ 天 | — |
| 聚合单元 | 单元内资源再分配、失效资源替补 | 分钟级 | 单元包络内再平衡 |
| 用户/站点 | 设备组协调、就地闭环 | 秒 ~ 分钟 | 断连续行（见 §3） |
| 设备 | 设定值执行 | 秒级 | 设备保护自主 |

**分解原则**：省级只下发到聚合单元粒度的**目标 + 包络**，单元内的设备级分配由聚合层
本地完成；聚合单元向上以 `FlexibilityEnvelope`（灵活性包络）上报可调能力——
该工件与省间联邦交换用同一 schema（10 篇）。省级不做设备级微观管理——既降低通信与时延要求，也符合「分区隔离」安全要求。

## 2. 执行引擎（省级）

- **输入**：可信执行链 RELEASED 状态的 Proposal（控制计划 / 调度方案）
- **职责**：
  1. 计划分解：按聚合单元拆解目标曲线与包络参数；
  2. 受控通道下发：加密、鉴权、幂等（重发不重执行）；
  3. 执行跟踪：汇聚各单元回传，实时对比计划 vs 实际；
  4. 偏差处置：偏差超阈 → 发事件给认知平面（负荷控制 Agent 生成纠偏 Proposal），
     同时在当前批准包络内触发聚合层再平衡——**纠偏的快速路径是确定性的，
     LLM 参与的是下一轮计划修正，不在快速路径上**；
  5. 回退执行：异常时切换到上一批准计划或安全曲线。
- **输出**：`ExecutionReport`（→ 事件日志 → 复盘）

## 3. 边缘控制终端

- 持有本地副本：当前批准计划 + 包络 + 安全停机曲线（每次下发时原子更新）；
- 秒级就地闭环：按设定值序列控制设备，本地校验设备保护约束；
- **断连策略**：与省级失联时，继续执行最近批准计划至计划期末；计划期满仍未恢复，
  切换安全曲线（逐步退出调节、恢复用户默认运行）。失联期间动作全部本地留痕，恢复后补传；
- 就地量测直采、边缘预处理（清洗、聚合）后上送，降低上行带宽与时延要求。

## 4. 时间尺度级联（与持仓账本的配合）

```mermaid
flowchart TB
    Y[年度 / 月度<br/>中长期合约持仓] -->|持仓约束| DA[日前<br/>96 点申报 + 日前调节计划]
    DA -->|计划约束| ID[日内<br/>偏差修正 / 滚动调整]
    ID -->|设定值序列 + 包络| RT[实时<br/>边缘秒级执行]
    RT -->|计量 / 执行反馈| L[(PositionLedger<br/>+ 事件日志)]
    L -.复盘.-> Y & DA & ID
```

| 尺度 | 决策者 | 产物 | 进入下层的形式 |
|---|---|---|---|
| 年/月 | 交易博弈 Agent + 人工 | 中长期持仓 | 账本约束（日前申报的电量边界） |
| 日前 | 交易博弈 / 资源调度 Agent | 申报曲线 + 调节计划 | 批准计划（96 点） |
| 日内 | 负荷控制 Agent + 执行引擎 | 修正计划 | 更新的设定值序列 |
| 实时 | 执行引擎 + 边缘终端 | 控制动作 | —（终点） |

**级联的完整性检查**由规则校核承担：任何下层 Proposal 必须引用当前账本版本，
且不得突破上层约束（如日前申报电量不得超出月度持仓允许的偏差带）。

## 5. 与安全合规底座的关系

- 受控通道全链路加密、双向鉴权；控制指令签名，边缘验签后执行；
- 生产控制区与管理信息区分区隔离，认知平面部署于管理区，
  只能经可信执行链的单向受控接口向控制区投递批准计划；
- 入侵/误操作监测：通道上的异常指令模式（频率、幅度、越界）独立于业务逻辑做旁路监测，
  告警直达人工并可熔断通道（熔断 = 边缘进入断连策略，系统仍安全）。