Доработка умного дома — 26 сентября 2026, круг 2

Где что лежит

Что подключается автоматически

Все PHP-страницы и cron-скрипты начинаются с require_once '/var/www/html/iot/config/iot_config.php'; и берут подключение как $pdo = iot_pdo();. Python-сервис читает базу и MQTT из переменных окружения, которые передаёт systemd через EnvironmentFile=/etc/iot/credentials.env.

Как поменять пароль

# пароль пользователя панели
php -r 'echo password_hash("НОВЫЙ_ПАРОЛЬ", PASSWORD_DEFAULT), PHP_EOL;'
sudo nano /etc/iot/credentials.ini      # строка password_hash в секции [panel]
# перезапуск не нужен — читается при каждом входе

# пароль базы для приложения
sudo mysql -e "ALTER USER 'iot_app'@'localhost' IDENTIFIED BY 'НОВЫЙ';"
sudo nano /etc/iot/credentials.ini      # [db] password
sudo nano /etc/iot/credentials.env      # IOT_DB_PASS
sudo systemctl restart mqtt-to-mysql iot-anomaly iot-automation

# пароль MQTT
sudo mosquitto_passwd -b /etc/mosquitto/passwd iot НОВЫЙ
# тот же пароль впиши в [mqtt] credentials.ini и в credentials.env
sudo systemctl restart mosquitto zigbee2mqtt mqtt-to-mysql iot-automation

Сейчас разрешено

nginx (/etc/nginx/sites-available/iot):
    allow 127.0.0.1;          # с самого пи
    allow ::1;
    allow 10.0.0.0/24;        # подсеть WireGuard
    allow 192.168.88.222;     # твой ПК в домашней сети
    deny all;                 # всем остальным — 403

файрвол (ufw): входящие закрыты, открыты
    22/tcp      откуда угодно            # SSH
    80/tcp      с 127.0.0.1, 10.0.0.0/24, 192.168.88.222
    8080/tcp    с 10.0.0.0/24, 192.168.88.222   # веб-интерфейс zigbee2mqtt

MQTT: только 127.0.0.1:1883 (снаружи не виден вообще)

Как добавить IP телефона в WireGuard

На пи интерфейс туннеля имеет адрес 10.0.0.4/24, поэтому вся подсеть 10.0.0.0/24 уже разрешена — телефон, подключённый к тому же WireGuard, попадёт в неё автоматически, ничего дописывать не нужно. Проверь на телефоне адрес туннеля (ip a или в приложении WireGuard) — он должен быть вида 10.0.0.x. Если твой WireGuard выдаёт адреса из другой подсети, добавь строку:

# /etc/nginx/sites-available/iot — в блок allow/deny
sudo nano /etc/nginx/sites-available/iot
    allow 10.8.0.0/24;       # пример: другая подсеть туннеля
sudo nginx -t && sudo systemctl reload nginx

# и в файрволе
sudo ufw allow from 10.8.0.0/24 to any port 80 proto tcp
sudo ufw allow from 10.8.0.0/24 to any port 8080 proto tcp

Что обнулено (файлы)

push_cron_debug.log (61 МБ)      cron_automation_emails.log (7,3 МБ)
.msmtp.log (3,8 МБ)             cron_export.log, battery_check.log
optimize_iot.log, cron_heater.log, cron_feeder.log, push_cron.log
mosquitto.log, nginx access/error, syslog, auth.log, kern.log, debug
mqtt_logger.log, iot_anomaly.log (создан заново)
все ротации: *.gz, *.1, *.2, старые *.journal~

Что вычищено в системе

• Журнал systemd: сжат и переведён на хранение в /var/log/journal с лимитом 200 МБ (было 75 МБ в volatile-режиме и терялось при перезагрузке).
• История команд shell и mysql (~/.bash_history, ~/.mysql_history) — там встречались пароли в открытом виде.
• ~/.xsession-errors и его старая копия.

Что вычищено в базе

Ротация (чтобы не распухло снова)

/etc/logrotate.d/mqtt-logger   — mqtt_logger.log: 50 МБ, 5 копий, сжатие
/etc/logrotate.d/iot-home      — .msmtp.log и mqtt_logger.log: 20 МБ, 3 копии
/etc/logrotate.d/iot-logs      — все cron-логи: неделя, 4 копии, сжатие
journald: Storage=persistent, SystemMaxUse=200M

Как читать примеры

Скриптовое условие — это выражение на PHP, которое движок вычисляет и превращает в «истина / ложь». Так можно сравнивать несколько датчиков сразу, что обычным правилом не сделать. Выбирается в редакторе правил: Тип условия → скрипт, выражение пишется в поле «Условие».

Как обращаться к датчикам

sensor["ПОЛНЫЙ_ТОПИК"]      ← правильная форма, работает с любыми топиками

Примеры:
    sensor["zigbee2mqtt/fish_light/voltage"] > 230
    sensor["zigbee2mqtt/air_box/pm25"] > 50 && sensor["zigbee2mqtt/smart_air_sensor/co2"] < 900
    sensor["zigbee2mqtt/fish_power/state_l1"] == "ON"
    sensor["zigbee2mqtt/gorshok_smallone/soil_moisture"] < 40 && sensor["zigbee2mqtt/kran/flow"] == 0

Что можно (операторы)

Чего делать нельзя (и почему)

Правила поведения, о которых легко забыть

• Условие проверяется и для триггерных правил (сейчас это исправлено). При этом правило всё равно «привязано» к своему trigger_topic: движок пересчитывает условие, когда значения меняются, а сработает по факту смены состояния.
• Строки и числа. Значения из MQTT часто приходят строкой. Сравнение == "ON" работает; для чисел надёжнее сравнивать числовые операторы > <, они приводят значения к числу.
• Нет датчика — условие ложно. Если топик ещё не появился в базе (например датчик не выходил на связь), обращение к нему даст пустое значение и выражение не сработает. Это нормально: правило оживёт, когда данные появятся.
• Ошибка не «валит» движок. Кривое выражение просто не срабатывает, а в журнал пишется одна строка в минуту с причиной. Посмотреть: journalctl -u iot-automation -n 20.

Готовые шаблоны под твоё железо

# 1. Напряжение в норме И есть нагрузка
sensor["zigbee2mqtt/fish_light/voltage"] > 207 && sensor["zigbee2mqtt/fish_light/voltage"] < 253
    && sensor["zigbee2mqtt/fish_light/power"] > 5

# 2. Просадка напряжения при заметной нагрузке (признак плохого контакта)
sensor["zigbee2mqtt/fish_light/voltage"] < 210 && sensor["zigbee2mqtt/fish_light/power"] > 50

# 3. Аквариум: свет горит, но потребления нет (перегорела лампа или реле не сработало)
sensor["zigbee2mqtt/fish_light/state"] == "ON" && sensor["zigbee2mqtt/fish_light/power"] < 1

# 4. Воздух: и пыль, и органика одновременно
sensor["zigbee2mqtt/air_box/pm25"] > 50 && sensor["zigbee2mqtt/smart_air_sensor/voc"] > 800

# 5. Земля сухая и кран закрыт — можно поливать
sensor["zigbee2mqtt/gorshok_smallone/soil_moisture"] < 40 && sensor["zigbee2mqtt/PushOK_kran/state"] == "OFF"

# 6. Температура в комнате и влажность вне комфорта
(sensor["zigbee2mqtt/bedroom_sensor/temperature"] < 19 || sensor["zigbee2mqtt/bedroom_sensor/temperature"] > 26)
    || sensor["zigbee2mqtt/bedroom_sensor/humidity"] > 65

Идея

Ты выбираешь топик, за которым надо следить. Сервис сам собирает по нему точки и сам ищет отклонения — никаких порогов вручную задавать не обязательно, норма считается по фактическим данным за окно времени. Когда данных накопилось достаточно, нажимаешь «Проанализировать нейросетью»: в твой промпт автоматически подставляется статистика и список найденных аномалий, ответ сохраняется в карточке. Карточек можно добавлять сколько угодно — каждая независима.

Страница

http://192.168.88.237/admin/anomalies.php — ссылка «🔍 Аномалии» в меню панели. Оформление и меню — те же, что у остальных страниц (/css/style.css, общая навигация, тёмная и светлая тема).

Как сервис находит аномалии

Что уже работает

Две карточки по электросети, данные уже собираются:

Розетка аквариума отдаёт ещё и current (ток) и energy (накопитель) — при желании добавишь карточки на них так же. Для «настоящего» контроля сети полезно добавить наблюдение за zigbee2mqtt/fish_light/voltage с меньшим окном нормы (например 6 часов): тогда просадки при включении мощной нагрузки будут видны отчётливее.

Как добавить новую аномалию (карточку)

1. Открой /admin/anomalies.php и заполни форму «Добавить карточку наблюдения»: название, топик, единица измерения.
2. Укажи интервал съёма (по умолчанию 60 с) и окно нормы (24 ч). Для быстрых процессов окно уменьшают.
3. Пределы можно не задавать — тогда работают только статистические проверки (просадка, выброс, пропажа данных). Если знаешь безопасный диапазон — задай, это самая надёжная проверка.
4. Если хочешь письмо при аномалии — впиши адрес и выбери минимальную важность.
5. Напиши промпт для нейросети: что считать опасным, на что смотреть, в каком виде нужен ответ. Промпт можно менять в любой момент.

Как подключается нейросеть

Сейчас разбор отключён: ключа нет. Провайдер, адрес, модель и ключ задаются в одном месте — файл /etc/iot/credentials.ini, секция [ai]:

[ai]
enabled = 1
provider = openai            ; либо openai-compatible / mistral / ollama
base_url = https://api.openai.com/v1
model = gpt-4o-mini
api_key = СЮДА_КЛЮЧ

После этого перезапуск сервиса и запросы работают по-настоящему:

sudo systemctl restart iot-anomaly
# дальше — кнопка «Проанализировать нейросетью» на карточке

Таблицы модуля

Обслуживание

systemctl status iot-anomaly           # состояние сервиса
journalctl -u iot-anomaly -n 30        # что делает
tail -f /home/mazzick/iot_anomaly.log  # лог сервиса

# сколько точек собрано по карточкам
mysql iot_db -e "SELECT w.id,w.name,w.samples_count,COUNT(s.id) pts,
  ROUND(AVG(s.value),2) avg,MIN(s.value) mn,MAX(s.value) mx
  FROM anomaly_watchers w LEFT JOIN anomaly_samples s ON s.watcher_id=w.id GROUP BY w.id;"

# как часто срабатывали аномалии
mysql iot_db -e "SELECT kind,COUNT(*) n FROM anomaly_events GROUP BY kind;"

Чтобы «стабильно» перестало быть вопросом веры, поставлен ежечасный сторож: он сам прогоняет проверки и пишет письмо, только если что-то сломалось.

Как устроено

Защита от спама письмами

Сторож сравнивает набор проблем по сигнатуре (хэш списка). Если проблемы те же, что и в прошлый раз, и прошло меньше 12 часов — письмо не отправляется, в лог пишется «те же, что и раньше». Как только любая проблема исчезла, состояние сбрасывается: следующая новая проблема придёт письмом сразу, а не через 12 часов.

Проверено на живом стенде

Что теперь считается «нормой» и ловится сразу

• служба упала и поднялась — NRestarts больше нуля: видно, даже если сейчас всё работает;
• пропали свежие данные — датчик или мост молчит;
• в журнале появились Fatal error или сбой компиляции регулярки;
• ложные выбросы аномалий (событие при отклонении меньше трёх шагов датчика) — признак слишком узкого порога;
• вернулся триггер БД или появились строки журнала без rule_id;
• логгер начал писать каждое сообщение (файл растёт);
• секрет просочился в код или слетели права на конфиг;
• ранее закрытые файлы (`.py`, `.bak`, выгрузки cron) снова открылись по HTTP.

Все правки этого круга обратимы. Бэкапы: /home/mazzick/przorka_backup/round2/ (конфиги) и /home/mazzick/przorka_backup/round2/files/ (копии каждого изменённого файла с суффиксом .orig*).

# службы (все семь должны быть active)
systemctl is-active iot-automation mqtt-to-mysql iot-anomaly mosquitto zigbee2mqtt mariadb nginx

# данные идут
mysql iot_db -e "SELECT COUNT(*) свежих_за_5мин FROM sensor_data WHERE timestamp > NOW() - INTERVAL 5 MINUTE;"

# ошибок нет
journalctl -u iot-automation -u mqtt-to-mysql -u iot-anomaly --since "30 min ago" | grep -icE "error|fatal|traceback|вызовы функций"

# секретов в коде нет
grep -rlI "********\|Abudfv********" /var/www/html/iot /home/mazzick --include=*.php --include=*.py --include=*.sh \
  | grep -v cleanup | grep -v przorka_backup || echo "чисто"

# доступ закрыт, панель жива
curl -s -o /dev/null -w "панель: %{http_code}\n" http://127.0.0.1/admin/sensors.php      # 200
curl -s -o /dev/null -w "код .py: %{http_code}\n" http://127.0.0.1/admin/mqtt_to_mysql.py # 403

# сторож и полная проверка
bash /home/mazzick/healthcheck.sh            # ожидаем: ЗДОРОВ, ошибок 0
IOT_WATCHDOG_TEST=1 /home/mazzick/iot_watchdog.sh   # проверка канала писем

# аномалии собираются
mysql iot_db -e "SELECT w.name,w.samples_count,w.status FROM anomaly_watchers w;"

# логи не растут
ls -la /home/mazzick/mqtt_logger.log /home/mazzick/iot_anomaly.log

Расширенный прогон всех проверок — скрипт healthcheck.sh из скилла smart-home-pi:

plink -batch -pw ПАРОЛЬ mazzick@192.168.88.237 'MYP=ПАРОЛЬ_БД bash /home/mazzick/healthcheck.sh'