特高压DCC800直流控制保护系统监视策略和切换逻辑的研究

贾轩涛 冯 雷 周玉勇 刘星星 宋延涛

（许继电气股份有限公司，河南 许昌 461000）

在远距离、大功率输电方式中，特高压直流输电具有显著的特点和优越性。目前国内已有数个特高压直流输电工程投入正式运行，其中向家坝-上海±800kV 特高压直流输电工程（向上工程）和锦屏-苏南±800kV 特高压直流输电工程（锦苏工程）中直流控制保护系统采用ABB 公司最新一级的硬件平台——DCC800 系统。

DCC800 采用先进的标准的微处理器和数字信号处理器构成的工业控制计算机，用于特高压直流输电的直流控制和直流保护系统。为了进一步提高特高压直流输电系统的稳定性，直流控制系统采用冗余配置，一主一备；直流保护系统采用三重化，保护出口为三取二逻辑[1-2]。

在特高压直流输电工程中，控制保护系统分为三个层次，分别为：Bipole Control and Protection 双极层控制保护（BCPA、BCPB、BPC）、Pole Control and Protection 极层控制保护（PCPA、PCPB、PCPC）、Converter Control and Protection 阀组层控制保护（CCPA、CCPB、CPC）。控制保护主机通过ETDM总线与其测量系统I/O 单元和开关接口I/O 单元进行通信，以双极层控制保护系统为例，DCC800 主机配置如图1所示。

图1 双极层DCC800 主机配置示意图

DCC800 控制保护系统设计有强大的自检功能。系统所有重要的功能模块都实时受到监测，相应的故障时会发送至SCADA（数据采集与监视控制系统），所有的报警都会出现在OWS（运行人员工作站）显示屏幕上，清晰的报告控制保护系统的哪一部分发出的报警。当故障发生时，根据其严重等级，控制保护系统会及时进行响应，在最大程度上保证特高压直流输电的安全运行[3]。

1 监视策略

DCC800 系统监视的目的是对控制保护系统内的所有硬件模块进行跟踪监视，在故障发生时产生报警并根据其故障等级引起系统切换等动作响应。在某些情况下，系统监视也会对与硬件密切相关的一些软件模块进行监视。从根本上来说，系统监视与保护的功能是不同的，系统监视也不会去处理保护产生的信号。系统监视只会监视控制保护系统本身，不会去监视一次设备。

系统监视的很大一部分工作是对DCC800 主机自身硬件进行监视，包括主CPU、PCI 板卡、主机温度、主机风扇运行状况和主机通信状况等。其中对主机CPU 运行的监视功能位于PCIA 板卡（板卡名称为PS803）内的MPC8245 处理器，该处理器连续检查CPU 写进数据的状态（包括MPC564 处理器状态、MPC8245 处理器状态和主程序各个线程运行状态）。一旦检测到有死机状况，则发出切换或后备跳闸信号起动。

eTDM 总线（ABB 公司DCC800 系统间的一种专用通信总线）的应用是向上、锦苏特高压工程中的一大特点，其主要用途是提供DCC800 主机间以及DCC800 主机与其分布式I/O（输入/输出装置）的数据交换通道。系统监视功能包含对eTDM 总线的监视。eTDM 是一种高速，单芯，光纤数据通道，用于传输模拟量和开关量。由于通道的高速特性，可以把来自于I/O 的二进制CAN 数据叠加在eTDM总线上一起传输。eTDM 总线具有数据传输容量大，低传输周期，无节点运行的特点。这在给特高压直流输电控制系统提供高带宽的测量信号时显得很有必要。每个eTDM 总线每秒可以传输超过300000个采样值（每3μs 一个采样值）。控制和保护系统中接收eTDM 的节点会对该总线进行监视，检测到故障后将会产生报警并切换到备用系统。在需要双向传输的地方，需要配置两根eTDM 光纤，分别用于传输一个方向的数据[4-5]。

在直流控制和保护系统中，测量回路所提供的精确采样信号，是闭环控制和保护动作的主要依据。因此，对控制保护系统内测量元件监视功能也显得尤为重要。对于常规交流CT 的测量监视，测量板卡采集3 相电流和1 路零序电流，通过所采集到的3 相电流值计算出零序电流后与实际零序电流相比较，当差值大于设定值后即判断出该测量板卡故障；直流场的直流分压器和直流CT（零磁通）最终转换为直流电压信号接入相应的测量元件，通过一块测量板卡的两个通道同时采集一路直流信号源进行比较，如果该差值大于设定值后即判断出相应的测量元件故障。

也有相当数量的一些设备的监视是由其他监视系统来完成的，比如电源模块。这些监视系统随着模块和设备的不同而有所区别。

所有监视到的故障被分为三个级别，轻微、严重和紧急。每个级别产生的系统响应也不一致，有的引起系统切换，有的引起报警。控制系统间的切换逻辑确保两个系统间的最完好系统处于 Active（值班）状态。处于Active 状态的保护系统，根据不同级别的故障，发出告警信息或者退出Active 状态，从而降低了保护误动的风险[6]。

1）轻微故障

典型的轻微故障包括：主机中的温度报警或者风扇故障、自动监测系统报警、冗余电源故障、不关键通信路径故障等。

2）严重故障

典型的严重故障包括：CAN 节点故障、双电源模块故障、光接口板激光功率故障等。

3）紧急故障

典型的紧急故障包括：PCI 板卡上的486 停止工作、CFC（换流器触发控制）故障、阀控故障、主CPU 停止工作、eTDM 总线故障、重要模拟量的测量回路故障等。

2 切换逻辑

直流控制系统中，负责系统切换的有效备用逻辑位于PS932 板卡中。在该板卡上，两个系统通过全双工的通道实现系统间的通信。两系统的状态信号相互交换，以满足需要时的系统间的快速安全切换的要求。这一逻辑保证任何时候只有一个系统处于值班状态。由于系统间采用冗余的通信通道，即使失去一路系统间的通信通道也不会影响切换逻辑。这一原则如图2所示。

图2 直流控制冗余系统监视示意图

2.1 备用系统监视（STM）

备用系统监视的主要任务包括下述内容：

1）确保值班和备用系统间的安全切换。

2）在非值班的故障系统中复位备用。

3）更新某些在系统切换过程中对于维持直流系统的稳定运行非常重要的信号。值班系统总会通过冗余的系统间通信通道更新备用系统，更新的信号主要包含一些状态信号和一些积分器的输出。备用系统通过这些信号获得正确的初始值，从而确保系统切换后，运行中的直流系统不产生大的波动。

4）来自值班系统的一些重要信号会和备用系统的相应信号作比较，如果两者相差太大，会产生复位备用系统的操作。这一操作会在备用系统中完成，以来自值班系统的信号作为参考值[7-8]。

STM（备用系统监视）功能在备用系统中值班。它会比较值班和备用系统中重要的信号，保持备用系统始终跟随值班系统，随时准备获得对直流系统的控制。这一措施是为了保证系统切换时对一次运行系统不产生扰动。STM 比较两系统的某些值，如点火角指令和直流指令，发现较大的差异后，会复位备用系统。通过这种方式可以检测到备用系统中的异常情况，使得切换到故障系统的几率降低到最小。

2.2 控制保护系统运行状态及手动切换

控制保护系统运行状态包括值班（Active），热备用（Standby），退出（Off）和测试（Test）四种状态，控制保护系统的运行状态和不同运行状态之间的转换如图3所示。根据系统监视中不同的故障等级控制保护系统产生系统切换，保证最健全的系统为主系统，此时外部的保护系统用来产生相应的事件，而不是用来起动控制系统切换。

1）控制系统状态（MC1）

控制系统主机在退出状态时，控制系统读入输入信号，但没有任何输出。在备用状态，控制系统的一些重要的控制值由值班系统随时更新，在值班系统故障时备用系统能够立刻接管对一次设备的控制。在值班状态，控制系统是真正起控制作用的系统。如果MC1 中有一些保护功能，则同样只有处于ACTIVE 状态的主机中的保护才能起作用。

图3 直流控制保护系统运行状态切换示意图

2）保护系统状态（MC2）

保护系统主机存在三个状态，分别是值班（ACTIVE），退出（OFF）和测试（TEST）。在退出状态，保护系统读入输入信号，但没有任何输出。在值班状态，保护的输入和输出均有效，随时可以对出现的故障产生动作。

3）屏柜状态

测试状态可以看成是屏柜状态。测试状态的前提是MC1 和MC2 均处于退出状态。当MC1 和MC2进入测试状态后，整个屏柜即和其他系统隔离开。如果MC1 或者MC2 断电，则另外一台主机可以切入TEST 状态。同一面屏柜内的控制和保护系统不能分别设为TEST 状态，为了避免维护过程中预想不到的误操作，整个系统要一起设为TEST。

4）运行人员起动的状态转换

OWS 是发出控制保护系统状态转换命令的主要途径。每个主机上也有一个状态指示面板（SIP），可在特别情况下用于状态转换。当MC1 和MC2 均处于OFF 状态，可以通过OWS 或MC1 或MC2 上状态指示面板上的TEST 按钮，发出切换到TEST状态的命令。任何情况下，控制和保护均切换到了TEST 状态。以控制主机为例，运行人员可以实现下表中的主机状态切换。

表1 控制保护主机状态切换表

2.3 控制保护系统运行状态的自动切换

DCC800 控制保护系统具有完善的系统监视功能，根据所监视到的故障等级会引起相应的控制保护主机的运行状态进行自动切换。

轻微故障是指不会危及直流输电系统继续运行的故障。轻微故障不会影响任何重要的控制或者保护功能。值班系统中出现轻微故障会导致系统切换，如果另一系统可用，且无轻微故障。先前的值班系统将退到备用状态，即轻微故障不会导致该系统退出备用状态，以保证新的值班系统中出现更加严重的故障时可以切换回来。

严重故障将会导致系统切换或者退出备用，这将取决于出现严重故障的系统处于值班还是备用。如果此时备用系统不可用，则将会仅仅发出报警，直流输电系统会继续运行。

紧急故障首先会导致系统退出备用或者系统切换，取决于故障系统先前是处于备用还是值班状态。如果另一系统不能切换到值班或者有同样故障，将会采取以下措施[9-11]：

1）闭锁换流器，逆变侧如果故障是在触发回路中，将会紧急触发旁通对。

2）跳开交流断路器。

DCC800 的系统监视功能覆盖了所有的硬件单元，包括其分布式I/O 单元。以阀组层控制保护系统为例，见图4，当控制系统和保护系统共用部分CMI（阀组测量接口屏）测量单元发生严重或者紧急故障时，运行状态会进行相应的切换。

当阀组测量接口屏A 系统发生严重或者紧急故障时，CCPA 系统中的控制主机MC1 和保护主机MC2 将自动切换到OFF 状态（所有的输出都被禁止了），CCPB 系统中的控制主机MC1 将自动切换到值班状态。控制和保护系统共用部分严重或者紧急故障时的状态如下图，故障发生在CMI 中，这个接口用于两个系统。当故障消失后，CCPA 控制系统自动返回到备用状态，保护系统自动返回到值班状态。

图4 阀组层控制保护系统（CCP）测量单元故障示意图

2.4 后备跳闸

后备跳闸作为最后一项安全措施，当阀组层或极层的控制主机A 和B 系统中的重要部分同时出故障时，即两个系统的OK 信号均变低电平时，备用跳闸将会动作，跳开换流变交流进线开关、旁通故障阀组。

这是通过利用来自各系统的PS932 板卡的OK信号来实现的。备份跳闸功能位于CCPA（B）和PCPA（B）中，如图5所示。

图5 控制保护系统（CCP）后备跳闸示意图

3 结论

本文对向上、锦苏特高压直流输电工程DCC800 控制保护系统中的系统监视功能和运行状态切换逻辑进行了详细的描述，并提出了自己的分析和总结。根据这两个工程投入运行后实际验证，证明采用文中所阐述系统监视功能和运行状态切换逻辑的DCC800 直流控制保护系统是稳定、可靠的。

[1] 石岩,张民,赵大平.特高压直流工程二次系统成套设计方案及其特点[J].电网技术,2008,32(21): 1-5.

[2] 张望,黄利军,郝俊芳,等.高压直流输电控制保护系统的冗余设计[J].电力系统保护与控制,2009,37(13): 88-91.

[3] 王徭.特高压直流输电控制与保护技术的研究[J].电力系统保护与控制,2009,37(15): 53-58,64.

[4] 李延龙,杨亚璞,李楠.高压直流输电控制保护系统的冗余可靠性研究[J].电力系统保护与控制,2009,37(16): 59-62.

[5] 刘耀,王明新.高压直流输电系统保护装置冗余配置的可靠性分析[J].电网技术,2008,32(5): 51-54,65.

[6] 马为民,聂定珍,曹燕明.向家坝-上海±800kV 特 高压直流工程中的关键技术方案[J].电网技术,2007,31(11): 1-5.

[7] 翟永昌.高压直流输电极控系统冗余配置分析[J].电力系统保护与控制,2009,37(2): 88-90,95.

[8] 罗磊,盛琰,王清坚,等.特高压直流输电系统顺序控制的研究[J].电力系统保护与控制,2011,39(23): 30-33,38.

[9] 霍鹏飞,王国功,刘敏,等.向上±800kV 特高压直流输电工程的直流保护闭锁策略[J].电力系统保护与控制,2011,39(9): 137-139,144.

[10] 朱韬析.提高南方电网直流保护动作可靠性的建议[J].电力系统保护与控制,2010,38(5): 64-67.

[11] 伍文城,吴安平,黎岚.特高压直流换流站接入系统设计[J].继电器,2008,36(10): 65-73.