Soğuk Zincir Telemetri ve Uyumluluk Platformu

Problem

Avrupalı bir ilaç lojistiği şirketi, 25 ülkede yaklaşık 20.000 soğutmalı araç ve 300 depoyla aşı ve biyolojik ürünleri İyi Dağıtım Uygulaması (GDP) kapsamında taşıyor. Her araç 10 saniyede bir konum, iki sıcaklık probu, kapı durumu ve nem bildiriyor. Üç cihaz tedarikçisinin her birinin kendi veri formatı ve portalı var. Dispatcher’lar üç portal arasında geçiş yapıyor, sıcaklık sapmaları çoğunlukla teslimattan sonra fark ediliyor ve her sevkiyatın uyumluluk raporu elle derleniyor. Araçlar 72 saate kadar bağlantısız kalıyor ve sonra birikimi yüklüyor. Hiçbir şey kaybolmamalı ve bir rapor on yıl sonra doğrulanabilmeli.

Yaklaşım

Tasarımı tek bir gerilim belirliyor: araçlar sürekli bağlantı kaybediyor, ama hiçbir ölçüm kaybolmamalı ve bir denetçi kaydın eksiksiz ve değişmemiş olduğunu doğrulayabilmeli. Kayıp sorunu cihazda çözülüyor. Kanıt sorunu depoda çözülüyor. Cihaz, broker onaylayana kadar her ölçümü tutuyor ve her birine kendi zaman damgasını ve artan bir sıra numarasını ekliyor. Geri kalan her şey bu sıra numarasına dayanıyor.

Mimari

• Giriş: MQTT cihazları için EMQX ve yalnızca dışa aktarım sunan tedarikçi için bir HTTPS batch API’si. Bir downlink topic’i, platformun cihazdan bir sıra aralığını yeniden göndermesini istemesine izin veriyor.
• Omurga: Avro sözleşmeli Kafka. Taşıma sisteminden referans veri Debezium ile geliyor.
• İşleme: Flink cihaz ve sıra numarasıyla tekilleştiriyor, boşlukları gerçek zamanlı tespit ediyor, sapma ve geofence kurallarını değerlendiriyor ve geç veriyi 72 saat kabul ediyor.
• Erişim desenine göre depolar: 90 günlük sıcak analitik için ClickHouse. On yıllık ham kayıt için Object Lock’lu Ceph üzerinde Iceberg. Operasyonel durum için PostGIS’li PostgreSQL.
• Kanıt: her rapor ham veriden üretiliyor, özeti alınıp OpenBao ile imzalanıyor ve özet bir immudb defterine ekleniyor.
• Erişim: 500 dispatcher ve 200 müşteri için APISIX ve Keycloak, canlı harita için MapLibre.

Kararlar ve ödünleşimler

• Cihaza ancak Kafka onayladıktan sonra yanıt. EMQX Kafka entegrasyonuyla kaybolacak MQTT offset’i kalmıyor; cihaz her örneği o ana kadar tutuyor. Sıra numarasında boşluk, downlink topic’inden bir “aralığı yeniden gönder” komutu tetikliyor. Bedeli EMQX Enterprise lisansı; açık kaynak kuralına adı konmuş bir istisna. O bütçe yoksa Kafka Connect MQTT source kullanırdım: en az bir kez, offset konnektörde.
• At-least-once artı idempotent yazım. Zincir şöyle: cihazda QoS 1 ve sıra numarası, Kafka sonrası onay, durum ve offset için Flink checkpoint, depolarda iki aşamalı commit ya da idempotent upsert. Sonuç, okumada tekilleştirmeyle etkin tek sefer; exactly-once iddiası değil. Bedeli: panolar ClickHouse’u FINAL ya da argMax ile sorgulamak zorunda.
• Erişim desenine göre iki depo. Dispatcher 90 günde saniyenin altında sorgu istiyor. Denetçi on yıl sonra dokunulmamış ham veri istiyor. ClickHouse sıcak ve hızlı, Iceberg ucuz ve kilitli. Gerçeğin kaynağı ham katman; ClickHouse ondan yeniden kurulabiliyor. Bedeli, iki depoyu birden işletmek.
• Güvenme, doğrula. Üç katman: Object Lock ham nesneleri silinemez kılıyor, OpenBao rapor özetini imzalıyor, immudb onu Merkle kanıtıyla kaydediyor. Denetçi PDF’i yeniden özetleyip kanıtı istiyor. Bedeli: Object Lock altında compaction yok; dosya boyutu 10 dakikalık checkpoint aralığıyla kontrol ediliyor.
• Sürücü gizliliği ile on yıllık kanıt. Telemetri araca ait. Sürücü ve araç eşlemesi tek kişisel veri ve sürücü başına bir anahtarla tokenize ediliyor. Silme eşlemeyi kaldırıp anahtarı yok ediyor; token’ın her kopyası anlamsızlaşıyor, kanıt bozulmuyor. Bedeli: sürücü izleme çalışan verisi; canlıya geçmeden önce işçi temsilcileriyle danışma gerekiyor.
• Geç veri yeni bir rapor sürümü üretiyor. Geç gelen örnek aynı kurallardan geçiyor ve “retrospektif” işaretleniyor: SMS yok, ama kalite yöneticisine bildirim ve ürün için karantina bayrağı var. Rapor sürüm 2 yayımlanıyor, sürüm 1’in özeti defterde kalıyor. Bedeli, müşterilerin rapor revizyonu alması.

Yeniden ele alacaklarım

• Cihazların gerçek yetenekleri. Her vendor’ın cihazı 72 saat tampon tutabiliyor, sertifika yükleyebiliyor ve yeniden gönderme komutunu uygulayabiliyor mu? Yoksa geç veri yalnızca portal dışa aktarımıyla gelir; üçüncü vendor’ın toplu API’de kalıp kalmayacağını da bu belirler.
• EMQX lisans bütçesi. Bütçe yoksa köprü Kafka Connect MQTT source olur, en az bir kez.
• Saklama modu. On yıl her ülkede aynı mı; hukuk kimsenin silemediği compliance modunu mu, yoksa yalnızca governance modunu mu kabul eder?
• Taşıma sistemine erişim. Veritabanı değişiklik yakalamaya açık değilse referans veri API sorgulamasıyla gelir ve tazelik bundan etkilenir.

Sonuç notları (tasarım varsayımları, ölçüm değil)

Bu bir tasarım çalışmasıdır, devreye alınmış bir platform değildir. Çıktı: dört sayfalık diyagram seti, tek sayfalık beyaz tahta sürümü ve kapasite hesapları ile açık soruları içeren 18 sayfalık Türkçe PDF. Uyarı gecikmesi tahmini (30 saniyelik hedefe karşı yaklaşık 8–10 saniye) bir tasarım tahminidir.

Kaynaklar

• Mimari PDF (Türkçe, 18 sayfa).
• draw.io diyagramları (İngilizce etiketler): dört sayfalık set ve 30 dakikalık tek sayfa sürüm.