智能变电站GOOSE插件内部CAN通讯异常造成保护拒动问题的分析

张浩, 张艳

(1.国网湖北省电力公司电力调度控制中心,湖北 武汉 430077；2. 湖北省汉新发电有限公司, 湖北 汉川 432321)

智能变电站GOOSE插件内部CAN通讯异常造成保护拒动问题的分析

张浩1, 张艳2

(1.国网湖北省电力公司电力调度控制中心,湖北 武汉 430077；2. 湖北省汉新发电有限公司, 湖北 汉川 432321)

通过智能变电站二起110 kV线路保护异常动作行为的分析，发现厂家生产的部分ST光纤接口插件存在安全隐患，其FPGA时钟模块采用DCM串联方式，当GOOSE插件内部通信模块输入时钟信号抖动较大并超出容许范围时，容易造成装置内部通讯出错和异常，不能正确收、发GOOSE有效报文，从而引发保护装置或智能终端的拒动。

智能变电站；继电保护；保护拒动；通讯异常；，GOOSE插件；智能终端

0 引 言

部分早期投运智能变电站的保护装置不满足“六统一”要求，可靠性指标偏低，核心技术的成熟度不高，给电网的安全稳定运行带来较大冲击和影响[1]。

下文通过对智能变电站二起110 kV线路保护异常动作行为的分析，发现部分厂家生产的智能继电保护装置ST光纤接口插件存在原理设计缺陷，该隐患容易造成GOOSE插件内部CAN通讯出错和异常，使保护装置或智能终端不能正确收、发GOOSE有效报文，从而引发保护拒动行为。

1 异常动作事件简述

(1)2015年3月22日18时14分25秒，公司所辖智能变电站110 kV将杜线故障，线路保护正确动作，将杜线开关拒动，18时14分26秒，220 kV#1主变保护装置后备保护动作，跳开1#主变中压侧开关。

(2)2015年6月16日05时58分，该智能变电站110 kV将红线发生区内三相故障，110 kV线路保护距离1、2、3段正确动作，但智能终端未能动作跳开断路器，#1主变中压侧后备保护动作，跳开220 kV#1中压侧开关，隔离故障。

2 异常动作情况分析

2.1 “3.22”异常事件分析

现场调取3月22日110 kV将杜线保护装置和故障录波器录波，波形如图1、图2所示。

从图1中，可以看到保护初始感受到的故障为A相故障，故障持续时间1.08 s(故障量为IA=3.04 A，3I0=3.01 A，UA=45.14 V)

接地故障阻抗为：

Zj=UA/(IA+K0*3I0)=
45.14/(3.04+0.67*3.01)=8.9 Ω

调取110 kV将杜线保护定值，整定为：K0=0.67，Z10_set=4 Ω，Z100_set=4.5 Ω，Z20_set=8.4 Ω，Z20_time=1.2 s，Z200_set=9 Ω，Z200_time=1.2 s，Z30_set=38 Ω，Z30_time=2.3 s，Z300_set=38 Ω，Z300_time=2.3 s，I01=5.1 A，I02=1.5 A，I02_time=1.3 s，I03=0.4 A，I03_time=1.6 s，I04=0.4 A，I04_time=10 s(差动保护没有运行)

图1 110 kV将杜线线路保护装置动作录波

图2 110kV故障录波器录波

显然ZjA>Z100_set不满足接地距离Ⅰ、Ⅱ段阻抗，距离保护不动作。满足接地距离Ⅲ段阻抗动作条件，但时间条件不满足(2.3 s)，保护不动作。零序故障电流不满足零序1段定值，零序1段不动作。

1.08 s后，故障转换为AB相间接地故障(故障量为：UA=36.73 V，IA=4.63 A，IAB=8.28 A，UAB=44.12 V， 3I0=1.07 A)。接地故障阻抗为：

ZjA=UA/(IA+K0*3I0)=36.73/(4.63+0.67*1.07)=6.86 Ω，满足接地距离3段阻抗动作条件，计时1.08 s+1.22 s=2.3 s接地距离3段动作，相间故障阻抗UAB/IAB=5.32 Ω，满足距离2段相间阻抗定值，故障时间为1.08 s+1.2 s+数据窗时间=2.3 s左右相间距离2段动作，零序故障电流一直满足零序过流3段门槛，1.6 s后零序过流3段动作(注：将杜线在故录中名称为将凉线)。

从以上分析可以证明线路保护装置动作逻辑正确，但通过故障录波器波形(如图2所示)发现故障录波器未录取到线路保护跳闸GOOSE信号输出。调取110 kV将杜线间隔智能终端记录(如图3所示)，发现在保护跳闸时刻，智能终端确实未接收到保护的GOOSE跳闸信号，但可以接收到测控GOOSE遥控跳闸信号(记录序号1080)。

专业人员对该线路保护装置重启后重新进行整组试验，智能终端能接收到线路保护跳闸信号(记录序号：1112)。

图3 110 kV将杜线间隔智能终端记录

智能变电站110 kV线路保护装置主要有三块智能插件：SV插件，主CPU插件以及GOOSE插件。SV插件完成模拟量采集功能；主CPU插件主要完成计算、保护逻辑、装置管理及站控层通讯功能；GOOSE插件完成装置保护跳闸等GOOSE输出及外部GOOSE输入信号解析获取(如断路器位置)功能。保护装置的GOOSE输出配置为两个端口，一个端口与智能终端通讯，另一个端口输出至GOOSE网络(故障录波器、网络分析仪)。

调取保护装置的LOG日志记录“board 13 don’t send heart in 3 s! board’s run error! module 1 at line 0652 of function suvTimeCheck at TIME=2014-09-23 11:06:41:123”，发现该线路保护装置在2014年9月23日时，GOOSE插件与CPU插件的通信已经出现异常，因而不能有效传输跳闸信息。

结论：一次系统发生故障时，线路保护装置模拟量采集正确、保护逻辑功能正常(动作报文、录波、动作灯均正确)、站控层通讯功能正常，动作逻辑正确，但GOOSE跳闸报文未输出至智能终端，导致开关拒动。

2.2 “6.16”异常事件分析

现场调取6月16日110 kV将红线保护装置和故障录波器录波，波形如图4、图5所示。

图4 110kV将红线线路保护装置录波

图5 故障录波器110 kV线路跳闸出口录波

从图4可以看出110 kV将红线发生故障时，接地距离Ⅰ、Ⅱ、Ⅲ段保护均正确动作，通过图5可以看出，保护在故障发生后28 ms，发出GOOSE跳闸令。保护装置动作正确，GOOSE命令发送正常。但现场断路器计数器没有变化。

通过查看110 kV将红线间隔智能终端内部信息，发现6月16日装置没有GOOSE输入变位信息(如图6所示)。表明GOOSE插件到主CPU插件内部CAN通讯异常。

调取智能终端LOG日志记录“board 2 don’t send heart in 3 s! board’s run error! module 1 at line 0652 of function suvTimeCheck at TIME=2015-03-11 08:18:44:751”，表明2015年3月11日GOOSE插件到主CPU插件的内部CAN通讯已经出现异常。该异常会导致智能终端内部插件间GOOSE信息不能正确传输，不能正确执行110 kV线路保护发出的GOOSE跳令。

图6 110 kV将红线间隔智能终端装置内部变位报告

检修专业人员对110 kV将红线间隔的保护装置进行了现场整组传动试验。线路保护能正确可靠动作，保护跳、合闸灯点亮正常，但智能终端未能出口。

重启智能终端后，智能终端装置告警灯灭。再次进行保护试验，智能终端跳、合灯亮，能正常分合断路器。

结论：110 kV将红线保护装置正确动作，站控层通讯功能正常，故障录波器接收到线路保护装置动作报文，但110 kV将红线间隔的智能终端未能有效处理跳闸令。

3 GOOSE插件至主CPU插件的内部CAN通讯异常原因分析

从以上二起异常事件的分析来看，均出现了GOOSE插件到主CPU插件的内部CAN通讯异常的现象，需要对其产生的原因进行认真分析。

3.1 GOOSE插件功能及工作原理

GOOSE插件实现装置GOOSE报文收发、GOOSE开入量采集、保护跳闸命令发送等功能。GOOSE插件原理框图如图7所示，插件上的CPU处理器通过自带的以太网口对外进行GOOSE报文通讯，对内通过基于FPGA实现的CAN通讯模块与主CPU插件进行数据交互[2]。

图7 GOOSE插件原理框图

为更好发现GOOSE插件问题，对出现故障的线路保护GOOSE插件进行单插件基本性能检测，测试包括：电源电压输入输出模块，关键信号，板载内存，插件对内对外接口，插件CPU任务负荷率等项目。

图8 问题复现时测试异常波形图

经过约3周时间的连续测试与信号监视，此GOOSE故障插件在试验过程中出现了一次跟现场一致的异常告警现象，即装置报GOOSE插件通讯异常。通过调试工具软件调取装置记录，发现CAN通讯收、发处于异常状态。通过芯片专用仿真测试工具和示波器进行检查，发现FPGA芯片内部CAN通讯模块的输入时钟(24 MHz)消失，导致GOOSE插件的内部CAN通讯中断，如图8所示。

3.2 CAN中断问题分析

基于以上测试结果，故障插件的问题初步定位至FPGA芯片内部CAN通讯模块的输入时钟模块。

FPGA芯片内部与CAN相关的原理框图如图9所示，主要包含与CPU的总线接口、CAN通讯模块以及输入时钟模块。

图9 FPGA内部CAN相关模块框图

该GOOSE插件FPGA芯片的输入时钟模块是通过内部自带数字时钟管理单元(DCM)来实现的。CAN通讯模块正常工作需要一个24 MHz输入时钟，经过两个DCM串联产生，第一级DCM的时钟输入源为外部25 MHz晶振，输出100 MHz时钟作为FPGA系统工作时钟，同时此100 MHz时钟也作为第二级DCM输入时钟源，用于产生CAN通讯模块所需的24 MHz时钟，如图10所示。现场问题复现时，通过DCM2产生的24 MHz时钟停止输出了，但此时FPGA系统其它模块工作正常，通过DCM1产生的100 MHz系统时钟仍能够稳定输出。

图10 时钟输入模块的设计原理框图

3.3 CAN输入时钟失效分析

数字时钟管理器(DCM)用于产生芯片运行的各类时钟信号，其基本工作原理是：当外部输入时钟信号进入时钟模块后首先由鉴相器锁定相位变化差，通过倍频器调节反馈并跟踪时钟输入信号达到稳定输出信号，再通过分频器计数产生所需的输出时钟。

图11 DCM原理图框图

DCM原理框图如图11所示。

CAN所需的24 MHz时钟是数字时钟管理器DCM2使用前一级时钟数字时钟管理器DCM1输出的100 MHz时钟作为输入时钟源，通过鉴相器锁定相差后进行倍频、分频产生24 MHz时钟[3]。由于时钟相位和频率的调节都是由倍频器来实现的，因此倍频器的稳定性决定了DCM的可靠性。其工作原理如图12所示。

倍频器其内部由多个延时单元进行级联组成，是通过延时单元的逐级组合实现不同的延时时间，从而实现了时钟相位的移动及频率的变换。由图13可以看出，当时钟输入信号相位发生变化时，倍频器根据相位变化大小调节延时时间以跟踪时钟输入信号。时钟输入信号的周期抖动必须小于1 ns，如果出现异常抖动超过1 ns，则超出了倍频器的调节能力，将导致倍频器无法跟踪输入信号，可能造成DCM模块失效[4-5]。

如果前级DCM1输入时钟源出现了异常的抖动，其输出的100 MHz时钟可能会出现瞬时更大的抖动；如果此周期抖动值又超过了DCM2对输入时钟周期抖动的容许范围，进一步可能会引起后一级DCM2失锁，一旦失锁将会导致DCM2停止输出24 MHz时钟。

经仔细对现场返回GOOSE插件进行时钟信号测试，在异常现象复现(24 MHz时钟停止输出)时，DCM2输入时钟有存在瞬时抖动较大的情况，如图13所示(瞬时抖动约1.2 ns)，直接造成了DCM2模块中的倍频环节出现失稳状态，最终导致了DCM2停止输出24 MHz时钟。

图13 实测异常时的时钟抖动图

3.4 分析结论

从以上试验和分析，认定该厂家生产的部分ST光纤接口插件，其FPGA时钟模块采用了DCM串联方式，造成CAN输入时钟失效的同时，会造成GOOSE插件到主CPU插件的内部CAN通讯异常，从而造成保护或智能终端的拒动。

4 改进方法及措施

4.1 优化FPGA内部时钟模块的设计方案

图14 FPGA时钟模块优化设计方案

(1)将RP1202(GOOSE)插件FPGA内部时钟模块设计取消DCM串联的方式，将DCM模块全部采用并联方式重新进行设计，以减少由于串联引起的信号叠加抖动(如图14所示)。

(2)DCM模块时钟输入源采用经过同一时钟缓冲器缓冲后的时钟信号(如图14)，用以隔离FPGA芯片内外部的噪声干扰对时钟输入信号的影响，同时进一步降低DCM2时钟输入信号的传输抖动。

(3)针对RP1202、RP1203、RP1204插件，完善内部CAN通讯异常告警机制，异常时点亮装置告警灯并发送告警报文[6]。

4.2 试验验证

为验证改进后的效果，对升级优化后的GOOSE插件，进行了全面的功能、环境及电磁干扰等测试项目，测试结果均未发现异常，内部CAN通讯正常，试验装置型号涉及数字化线路保护、主变保护、智能终端等类型装置。

4.3 现场运行及整改情况

该异常事件发生后，公司对所辖110kV及以上智能变电站同类型装置进行了全面排查，重点对智能变电站配置有RP1202、RP1203、RP1204(GOOSE插件)的保护、测控、过程层设备进行巡查，巡查中若发现GOOSE插件内部通讯问题，申请对该装置立即申请进行处理，进行软件升级和相关试验验证；对巡查中未发现问题装置，申请按照调度计划进行升级。

5 结束语

本文通过智能变电站二起110 kV线路保护异常动作行为的分析，发现了厂家生产的部分ST光纤接口插件存在原理缺陷，其FPGA时钟模块采用DCM串联方式，当GOOSE插件内部通信模块输入时钟信号抖动较大并超出容许范围时，容易造成装置内部通讯出错和异常，不能正确收、发GOOSE有效报文，从而引发保护装置或智能终端的拒动。

[1] 王同文，谢名.智能变电站继电保护系统可靠性分析[J]. 电力系统保护与控制，2015，6(9)：58-66.

[2] 郑玉平.智能变电站二次设备与技术[M]. 北京:中国电力出版社，2014.

[3] 莫峻，谭建成.基于并行冗余协议的高可靠性过程总线通信研究[J]. 电工技术学报，2012，27(4)：263-268.

[4] 线路保护及辅助装置标准化设计规范:Q/GDW1161-2013[S]. 北京:中国电力出版社，2013.

[5] 任雁铭，秦立军，杨奇逊，等.IEC61850通信协议体系介绍和分析[J]. 电力系统自动化，2000，24(8)：62-64.

[6] 智能变电站继电保护技术规范:Q/GDW441-2010[S]. 北京:中国电力出版社，2010.

An Analysis of Protection Failure Caused by Abnormal CAN Communication inside GOOSE Plug-in at Intelligent Substations

Zhang Hao1, Zhang Yan2

(1. State Grid Hubei Electric Power Co. Electric Power Dispatching Control Center, Wuhan Hubei 430077, China；2. Hubei Hanxin Power Co., Ltd., Hanchuan Hubei 432321, China)

In the process of analysis of two cases of abnormal protection action with 110 kV lines of intelligent substations, potential safety hazards are detected with some of ST fiber interface cards produced by the factory. The FPGA clock module adopts DCM series mode. When the input clock signal of the internal communication module inside the GOOSE plug-in jitters beyond the permissible range, that might easily lead to errors and abnormality of internal communication of the device, so that GOOSE messages cannot be received or delivered correctly, thus causing operation refusal of the protective device or the intelligent terminal.

smart substation； relay protection；protection failure； abnormal communication； GOOSE plug-in；intelligent terminal

10.3969/j.issn.1000-3886.2017.01.014

TM712

A

1000-3886(2017)01-0045-04

张浩(1977-)，男，硕士，湖北人，高级工程师，从事继电保护运行管理工作；国网湖北省电力公司电力调度控制中心。 张艳(1975-)，女，本科，湖北人，高级工程师，主要从事电力系统继电保护设备的调试和研究。

定稿日期: 2016-07-26