Системы релейной защиты и диспетчерского управления в энергоснабжении

Основы электроэнергетических систем и режимов сети

Зачем эти основы нужны для релейной защиты и диспетчерского управления

Релейная защита (РЗА) и диспетчерское управление (SCADA/EMS, оперативно-диспетчерское управление) опираются на понимание того, как устроена электроэнергетическая система (ЭЭС) и в каких режимах работает сеть. Одни и те же уставки и алгоритмы по-разному проявляют себя при:

нормальной нагрузке и перетоках мощности;

отключениях элементов по ремонту или аварии;

коротких замыканиях (КЗ) разных типов;

дефиците мощности и снижении частоты;

проблемах с напряжением из-за дефицита реактивной мощности.

Эта статья закладывает базу: состав ЭЭС, ключевые величины, топологии, а также основные режимы сети, которые затем напрямую связываются с принципами действия защит и диспетчерских функций.

Что такое электроэнергетическая система

Электроэнергетическая система — это взаимосвязанная совокупность источников генерации, электрических сетей, подстанций, устройств компенсации и потребителей, работающая синхронно (в переменном токе) на общей частоте.

Главная особенность ЭЭС переменного тока:

электрическая энергия практически не накапливается в больших объёмах прямо в сети;

поэтому в каждый момент времени должна соблюдаться балансировка: генерация примерно равна потреблению с учётом потерь.

Основные элементы ЭЭС

Генерация

Генерация преобразует первичную энергию (тепловую, гидро, ветровую и др.) в электрическую. Для РЗА важно, что разные источники дают разные уровни токов КЗ и разные динамические свойства:

синхронные генераторы обычно способны кратковременно отдавать большие токи КЗ;

инверторные источники (например, часть ВИЭ) часто ограничивают токи и ведут себя иначе при авариях.

Передача и распределение

Сеть условно делят по уровню напряжения и назначению:

магистральные (передающие) сети — перетоки больших мощностей на дальние расстояния;

распределительные сети — доставка энергии к конечным потребителям.

Типовые уровни напряжения (примерная ориентация, зависящая от страны и стандартов):

| Уровень | Типичное применение | |---|---| | 0,4 кВ | низковольтное распределение, конечные потребители | | 6–20 кВ | среднее напряжение, городские/промышленные сети | | 35–110 кВ | районные сети, связь распределения и передачи | | 220–750 кВ | магистральная передача |

Подстанции и коммутационные аппараты

Подстанции выполняют:

преобразование уровней напряжения (силовые трансформаторы);

коммутацию (выключатели, разъединители);

измерения (трансформаторы тока и напряжения);

размещение РЗА и автоматики.

Для РЗА особенно важно, что измерительные трансформаторы задают что именно видит защита (токи и напряжения в измерительных цепях), а коммутационные аппараты определяют как авария будет отключена.

Потребители и нагрузка

Нагрузка может быть:

активной (нагрев, механическая работа);

реактивной (электродвигатели, трансформаторы, кабели, линии).

Состав нагрузки влияет на:

уровни токов и падений напряжения;

потребление реактивной мощности;

характер аварий (например, пусковые токи, перегрузки).

!Общая однолинейная схема от генерации до потребителей

Ключевые электрические величины в сетях переменного тока

Напряжение и частота

Напряжение определяет качество электроснабжения и допустимую работу оборудования.

Частота (например, 50 Гц в большинстве стран Европы и РФ) отражает баланс активной мощности в синхронной системе.

Практическая связь для диспетчерского управления:

если генерации меньше, чем потребления, частота падает;

если генерации больше, частота растёт.

Активная, реактивная и полная мощность

В установившемся режиме часто оперируют мощностями:

активная мощность (Вт) — то, что превращается в полезную работу/тепло;

реактивная мощность (вар) — связана с электромагнитными полями, влияет на уровни напряжения;

полная мощность (ВА) — общая мощность по току и напряжению.

Их связь для синусоидального режима описывается формулой:

Где:

— активная мощность;

— реактивная мощность;

— полная мощность.

Также используют коэффициент мощности:

Где:

показывает, какая доля полной мощности идёт в активную;

при меньшем при той же активной мощности требуется больший ток, что повышает потери и ухудшает напряжение.

!Геометрическая интерпретация связи P, Q и S

Ток и потери

Для сетей важно понимать простую причинно-следственную цепочку:

чем выше ток, тем больше нагрев оборудования и потери;

потери в проводнике в первом приближении растут как квадрат тока.

Поэтому передача энергии на высоком напряжении выгодна: при том же уровне мощности ток меньше.

Топология и структура сетей

Радиальные, кольцевые и сетевые структуры

Радиальная сеть: питание потребителей идёт по одному пути. Проста, но отказ одного элемента может обесточить участок.

Кольцевая сеть: есть два пути питания, повышается надёжность, но усложняется селективность защит.

Сетевая (меш) структура: много связей, высокая надёжность и гибкость перетоков, но сложнее расчёты режимов и координация РЗА.

Для РЗА структура важна, потому что определяет:

направления токов КЗ и нагрузочных токов;

возможность питания повреждения с нескольких сторон;

требования к направленным защитам и к автоматике (АПВ, АВР, АЧР и др.).

Принцип надёжности N-1

В магистральных сетях часто применяют критерий N-1: система должна выдерживать отказ одного элемента (линии, трансформатора, генератора) без потери устойчивости и без недопустимых отклонений параметров.

Этот принцип напрямую связан с диспетчерским планированием режимов и с настройками РЗА:

заранее оценивают перегрузки при выводе элемента;

проверяют уровни токов КЗ и чувствительность защит в разных конфигурациях сети.

Режимы сети: от нормального до аварийного

Нормальный установившийся режим

Характерные признаки:

параметры (напряжение, частота, перетоки) в допустимых пределах;

оборудование не перегружено;

резервы по активной и реактивной мощности достаточны.

Для РЗА это режим, в котором защиты не должны срабатывать, несмотря на:

пусковые токи двигателей;

колебания нагрузки;

допустимые перегрузки (в рамках регламентов).

Режимы отклонений и перегрузок

Перегрузка — это не короткое замыкание. Ключевое различие:

при перегрузке ток выше номинального, но обычно не достигает сверхбольших значений КЗ;

перегрузка длительная и опасна нагревом;

КЗ обычно приводит к резкому росту тока и провалу напряжения.

Следствия для управления и защиты:

перегрузки часто отслеживаются диспетчером и ограничиваются переключениями или разгрузкой;

для оборудования применяют тепловые модели и защиты от перегрузки;

отключать перегрузку «мгновенно, как КЗ» нельзя без оценки последствий по надёжности.

Переходные процессы

Переходные процессы возникают при:

включениях/отключениях линий и трансформаторов;

авариях (КЗ и последующих отключениях);

резком изменении нагрузки или генерации.

В этот момент возможны:

колебания углов и мощности между районами (важно для устойчивости);

провалы/перенапряжения;

несинусоидальные составляющие и апериодическая составляющая тока КЗ, влияющие на измерения.

Для РЗА переходные процессы важны тем, что защита должна:

быстро распознать аварию;

селективно отключить нужный элемент;

устойчиво не реагировать на допустимые переходные явления.

Аварийный режим и восстановление

Аварийный режим начинается при повреждении или каскадном развитии ограничений. Типичная цепочка:

повреждение (например, КЗ);

отключение выключателя по РЗА;

перераспределение потоков мощности;

возможные перегрузки оставшихся элементов;

при нехватке мощности — снижение частоты и применение противоаварийной автоматики;

восстановление питания по резервным схемам.

Короткие замыкания и их системные последствия

Что такое короткое замыкание

Короткое замыкание — это аварийное соединение между фазами или между фазой и землёй, приводящее к резкому уменьшению эквивалентного сопротивления участка и росту тока.

Типичные виды КЗ в трёхфазных сетях:

однофазное на землю;

двухфазное;

двухфазное на землю;

трёхфазное.

Для РЗА важно, что разные виды КЗ дают:

разные уровни токов и напряжений;

разные последовательности (в более продвинутых темах — симметричные составляющие);

разные условия чувствительности и селективности.

Почему токи КЗ зависят от режима сети

Ток КЗ зависит не только от места повреждения, но и от того, какая конфигурация сети в этот момент:

какие линии и трансформаторы включены;

какие источники генерации подключены;

как выполнено заземление нейтрали;

есть ли подпитка места КЗ с другой стороны (кольцо, параллельные связи).

Именно поэтому в РЗА всегда рассматривают несколько расчётных режимов:

максимальный ток КЗ (для проверки отключающей способности и быстродействия);

минимальный ток КЗ (для проверки чувствительности защит).

Напряжение, реактивная мощность и регулирование

Почему напряжение «связано» с реактивной мощностью

В сетях переменного тока (особенно с заметной индуктивностью линий и трансформаторов) дефицит реактивной мощности приводит к:

увеличению токов;

росту падений напряжения;

риску напряженческой неустойчивости при тяжёлых режимах.

Диспетчерские и автоматические меры обычно включают:

регулирование возбуждения генераторов;

включение/отключение батарей конденсаторов и реакторов;

регулирование коэффициента трансформации под нагрузкой (РПН трансформаторов);

ограничение перетоков и перераспределение нагрузки.

Качество напряжения как операционный критерий

Для сетей важны не только аварии, но и качество параметров:

уровень напряжения;

отклонение частоты;

провалы и перенапряжения при коммутациях.

РЗА и диспетчеризация должны работать согласованно: защита ликвидирует повреждение, а диспетчерские функции возвращают режим в допустимую область.

Частота и баланс активной мощности

Что влияет на частоту

Частота в синхронной системе отражает мгновенный баланс активной мощности:

если нагрузка выросла быстрее, чем генерация, частота снижается;

если генерации больше, частота повышается.

Практически баланс поддерживают:

первичное регулирование мощности (реакция регуляторов турбин/инверторов);

вторичное регулирование (диспетчерские контуры, AGC);

противоаварийная автоматика (например, автоматическая частотная разгрузка).

Почему это важно для РЗА

Частотные события могут:

менять условия работы двигательной нагрузки;

приводить к разделению сети на острова;

запускать автоматики, которые меняют топологию и потоки, а значит — и условия для защит.

Что нужно запомнить перед переходом к РЗА и сетевому управлению

ЭЭС — это система, где параметры непрерывно зависят от баланса активной и реактивной мощности.

Топология сети (радиальная, кольцевая, сетевая) определяет направления потоков и подпитку аварий.

Нормальные режимы, перегрузки и КЗ — разные явления; они требуют разных алгоритмов защиты и управления.

Токи КЗ зависят от конфигурации сети и состава источников, поэтому расчёты ведут для нескольких режимов.

Напряжение тесно связано с реактивной мощностью, а частота — с активной.

Рекомендуемые источники для ориентации

Электроэнергетическая система

Полная, активная и реактивная мощность

Короткое замыкание

Релейная защита: принципы, функции и типовые схемы

Зачем релейная защита нужна в энергосистеме

В предыдущей статье курса мы разобрали, что электроэнергетическая система работает в разных режимах: нормальном, перегрузочном, переходном и аварийном (короткие замыкания, замыкания на землю). Релейная защита (РЗ) — это «автоматическая реакция» энергосистемы на опасные аварийные режимы: она должна быстро обнаружить повреждение и отключить именно тот элемент, который повреждён, чтобы:

сохранить устойчивость и управляемость сети;

ограничить термические и электродинамические воздействия токов КЗ;

снизить риск пожара и разрушения оборудования;

минимизировать объём отключений потребителей.

В связке с диспетчерским управлением (SCADA/EMS) релейная защита обеспечивает первичное локальное действие (отключение), а диспетчеризация — наблюдаемость и восстановление режима (анализ, переключения, вывод в ремонт, возврат схемы).

Что такое релейная защита и из чего она состоит

Релейная защита — это совокупность устройств и алгоритмов, которые по измеренным электрическим величинам (ток, напряжение, частота, иногда — мощность, сопротивление) распознают ненормальные режимы и воздействуют на коммутационные аппараты (обычно на выключатели) для отключения повреждённого элемента.

Типовой «контур» РЗ выглядит так:

измерение токов и напряжений через трансформаторы тока (ТТ) и напряжения (ТН);

вычисление признаков аварии (логика защиты в реле/терминале);

формирование команды TRIP на отключение выключателя;

контроль отключения (по дискретным сигналам положения выключателя, иногда — по исчезновению тока);

(опционально) запуск автоматики восстановления, например АПВ.

!Блок-схема: от измерений до отключения и передачи событий в диспетчеризацию

Требования к релейной защите

В энергетике принято формулировать ключевые требования к РЗ так, чтобы защита была одновременно надёжной и не мешала нормальной работе сети.

Селективность

Селективность означает: при повреждении должна отключаться минимально необходимая часть сети.

Пример: при КЗ на отходящей линии 10 кВ должен отключиться её выключатель, а не ввод подстанции.

Быстродействие

Чем быстрее отключение, тем:

меньше повреждение оборудования;

выше вероятность сохранения устойчивости в магистральных сетях;

ниже риск каскадного развития аварии.

Быстродействие всегда согласуют с селективностью: иногда защита «выдерживает время», чтобы дать шанс отключиться более близкой к месту аварии защите.

Чувствительность

Чувствительность — способность уверенно обнаружить повреждение даже при минимальных токах КЗ (например, при слабой подпитке, длинной линии, изменённой схеме сети).

Надёжность (в практическом смысле)

На практике надёжность защиты часто рассматривают через два свойства:

срабатывает, когда должна (иногда это называют зависимостью или dependability);

не срабатывает, когда не должна (устойчивость к ложным срабатываниям, security).

Добиться обоих свойств одновременно помогает правильный выбор принципа защиты, уставок, схем вторичных цепей и проверок.

Что именно «видит» защита: роль ТТ и ТН

Релейная защита принимает решения не по первичным токам/напряжениям, а по вторичным сигналам измерительных трансформаторов:

ТТ (трансформатор тока) преобразует большой первичный ток в стандартный вторичный (обычно 1 А или 5 А);

ТН (трансформатор напряжения) преобразует высокое напряжение в стандартное вторичное (часто 100 В линейное или 100/\sqrt{3} В фазное — зависит от принятой системы).

Важно понимать два следствия:

при насыщении ТТ (например, при больших токах КЗ с апериодической составляющей) измеренный ток искажается, и это влияет на работу некоторых защит;

обрыв цепей ТТ/ТН может привести к неправильным измерениям, поэтому схемы вторичных цепей и контроль их исправности — часть общей надёжности РЗА.

Основные функции релейной защиты

Функции удобно делить по назначению: отключить повреждение и обеспечить резервирование.

Основная (первичная) защита

Основная защита предназначена для отключения повреждений внутри своей зоны ответственности быстро и селективно.

Примеры:

дифференциальная защита трансформатора;

дистанционная защита линии 110–750 кВ;

токовая защита отходящей линии 6–10 кВ.

Резервная защита

Резервирование нужно на случай отказа:

основной защиты;

выключателя;

цепей управления.

Резервирование бывает:

местное (на том же объекте, но по другому принципу или каналу);

дальнее (от соседнего элемента сети, например, защита вышестоящей линии «дотянется» по времени и отключит участок при отказе нижестоящего выключателя).

Сигнализация и регистрация

Современные терминалы РЗА обычно обеспечивают:

регистрацию аварийных событий (SOE — последовательность событий);

осциллограммы (записи токов/напряжений до и после аварии);

самодиагностику (отказ питания, ошибка измерений, неисправность выходных реле).

Это напрямую связывает РЗ с диспетчерским управлением: диспетчер видит факт отключения, а служба РЗА анализирует запись и подтверждает корректность работы.

Принципы действия типовых защит

Ниже — основные принципы, из которых «собирают» защиты линий, трансформаторов, шин и генераторов.

Максимальная токовая защита

Токовая защита срабатывает, если ток превышает уставку. Она особенно распространена в распределительных сетях (6–35 кВ), где топология часто радиальная.

Варианты:

мгновенная токовая отсечка (без выдержки времени);

токовая защита с выдержкой времени (для селективности по ступеням);

токовая защита обратнозависимой характеристики (чем больше ток, тем меньше время).

Направленная токовая защита

Если повреждение может подпитываться с двух сторон (кольцо, параллельные линии, распределённая генерация), применяют направленный признак: защита учитывает направление мощности или направление тока относительно напряжения.

Назначение:

отличать КЗ «вперёд» (в защищаемом направлении) от «назад» (в сторону шин/источника);

поддерживать селективность в сетях с двусторонним питанием.

Дистанционная защита (по сопротивлению)

Дистанционная защита оценивает электрическое «расстояние» до места КЗ по измеренным току и напряжению. Базовая идея — измерить эквивалентное сопротивление:

Где:

— измеренное комплексное сопротивление (то, что «видит» защита), в омах;

— измеренное напряжение (обычно фазное или междуфазное, в зависимости от вида КЗ), во вольтах;

— измеренный ток повреждения (фазный или междуфазный), в амперах.

Смысл формулы простой: при КЗ напряжение падает, ток растёт, и отношение становится малым — это признак близкого повреждения.

Дистанционная защита обычно имеет несколько зон (ступеней):

ближняя зона — быстрое отключение большей части линии;

дальняя зона — резервирование конца линии и части следующего элемента с выдержкой времени.

Дифференциальная защита

Дифференциальная защита сравнивает токи на входе и выходе защищаемого объекта.

Интуитивный принцип:

в норме ток «входит» и «выходит» примерно одинаково (с учётом погрешностей ТТ);

при внутреннем повреждении появляется заметная разность (дифференциальный ток), и защита отключает объект.

Дифференциальная защита — основной принцип для:

силовых трансформаторов;

шин (с учётом схемы измерений);

генераторов;

линий (в варианте линейной дифференциальной защиты по каналу связи).

Защиты замыканий на землю

В сетях с изолированной или компенсированной нейтралью ток однофазного замыкания на землю может быть небольшим, поэтому применяют специальные признаки:

контроль тока нулевой последовательности;

контроль напряжения нулевой последовательности;

направленные защиты земли.

Конкретный выбор зависит от режима заземления нейтрали, который существенно влияет на величину и характер токов замыкания на землю (это связано с режимами сети из предыдущей статьи).

Напряженческие и частотные защиты

Эти защиты чаще относятся к противоаварийной автоматике и защите оборудования:

минимального/максимального напряжения (например, защита двигателей, контроль провалов);

минимальной/максимальной частоты (связано с балансом активной мощности и устойчивостью);

защита от потери возбуждения генератора, от обратной мощности и другие специализированные функции (в зависимости от объекта).

Типовые схемы защиты объектов

Ниже приведены «шаблоны», которые часто встречаются в проектировании. Реальные проекты зависят от класса напряжения, мощности, схемы подстанции, требований сетевой компании и наличия каналов связи.

Отходящая линия 6–10 кВ в радиальной сети

Часто применяют сочетание простых и надёжных защит:

максимальная токовая защита от междуфазных КЗ;

защита от замыканий на землю (по току/напряжению нулевой последовательности);

защита от перегрузки (тепловая модель или токовая с выдержкой);

АПВ (если допустимо по условиям сети).

Плюсы: простота, понятная координация по времени.

Ограничения: при двустороннем питании и распределённой генерации часто требуется направленный признак.

Линия 110–220 кВ и выше

Типовой набор (один из распространённых вариантов):

дистанционная защита (несколько зон);

токовая отсечка или ускорение для близких КЗ;

устройство передачи команд (телезащита) для быстрого отключения по всей длине линии;

АПВ (одно- или трёхфазное, зависит от политики сети и типа линии).

!Однолинейная схема: дистанционная защита и телезащита линии

Силовой трансформатор

Для трансформатора обычно выделяют внутренние и внешние повреждения.

Типовая комбинация:

дифференциальная защита трансформатора (основная для внутренних КЗ);

токовая защита/отсечка по стороне ВН и/или НН как резерв;

защита от перегрузки (особенно актуально при длительных перегрузках и высоких температурах);

газовая защита (если трансформатор масляный с расширителем) как дополнительная защита внутренних повреждений.

Особенность: нужно учитывать бросок намагничивания при включении (пусковой ток трансформатора), чтобы дифференциальная защита не сработала ложно.

Шины подстанции

Повреждения на шинах опасны тем, что затрагивают много присоединений.

Типовые решения:

дифференциальная защита шин;

резервирование со стороны присоединений (дальнее резервирование по времени).

Требование: высокая скорость и жёсткая селективность, потому что токи КЗ на шинах велики, а отключение «лишнего» присоединения резко ухудшает режим.

Координация уставок: как добиваются селективности

Координация уставок — это согласование защит между собой, чтобы:

ближайшая к месту повреждения защита отключала первой;

вышестоящие защиты оставались резервом и срабатывали с задержкой.

Наиболее понятный случай — радиальная сеть с токовыми защитами:

нижестоящая линия имеет меньшую выдержку времени;

вышестоящий ввод — большую выдержку, чтобы дать шанс отключиться нижестоящему аппарату.

При этом всегда проверяют два режима (логика из расчётов КЗ, рассмотренных ранее):

максимальный ток КЗ — чтобы защита сработала быстро и выключатель отключил ток;

минимальный ток КЗ — чтобы защита вообще «увидела» повреждение (чувствительность).

Практические ошибки и «грабли», о которых важно знать

Ниже — частые причины неправильной работы РЗ, которые важно учитывать ещё на уровне принципов.

Насыщение ТТ при больших токах КЗ и неверный выбор класса точности.

Неправильная полярность/фазировка цепей ТТ и ТН, приводящая к ошибкам направленных и дифференциальных защит.

Недоучёт изменения схемы сети (ремонты, переключения, работа в кольце вместо радиала), из-за чего меняются направления токов и уровни КЗ.

Слишком «острые» уставки без запаса по переходным режимам и погрешностям измерений.

Отсутствие или некорректная организация резервирования.

Связь релейной защиты и диспетчерского управления

Хотя РЗ работает автономно и должна отключать повреждение без участия человека, диспетчерское управление критично для:

подтверждения масштаба аварии по телеметрии и событиям;

контроля успешности отключения и АПВ;

оперативных переключений для восстановления питания;

анализа нарушений (по осциллограммам и журналам событий) и корректировки уставок.

Именно поэтому современные РЗА-терминалы обычно интегрированы в системы телемеханики и передают события и измерения в SCADA.

Что важно запомнить

Релейная защита измеряет токи и напряжения через ТТ/ТН, распознаёт аварийный режим и отключает повреждённый элемент.

Ключевые требования: селективность, быстродействие, чувствительность и практическая надёжность (срабатывает когда нужно и не срабатывает когда не нужно).

Основные принципы: токовые, направленные, дистанционные, дифференциальные, защиты земли, а также напряженческие и частотные функции.

«Типовая схема» защиты зависит от объекта (линия, трансформатор, шины) и топологии сети (радиал, кольцо, двустороннее питание).

Уставки координируют по расчётным режимам с максимальными и минимальными токами КЗ.

Рекомендуемые источники

Релейная защита

Дифференциальная защита

Дистанционная защита

Автоматическое повторное включение

Защита линий, трансформаторов, шин и генераторов

Как эта тема связывает режимы сети и принципы РЗ

В первой статье курса мы разобрали, что сеть работает в разных режимах и что токи короткого замыкания (КЗ) зависят от топологии и состава источников. Во второй статье мы ввели базовые принципы релейной защиты (РЗ): токовый, направленный, дистанционный, дифференциальный и другие.

Теперь соберём это в прикладную картину: какие повреждения характерны для разных объектов и какой набор защит обычно применяют, чтобы выполнить требования:

селективность (отключить только повреждённый объект);

быстродействие (минимизировать ущерб и риск потери устойчивости);

чувствительность (работать и при минимальных токах КЗ);

надёжность (срабатывает когда нужно и не срабатывает когда не нужно).

При описании схем будем использовать понятия:

зона защиты: участок сети, за который отвечает данная защита;

основная защита: отключает повреждения внутри своей зоны;

резервная защита: отключает при отказе основной защиты или выключателя.

Общая логика выбора защит по объектам

У разных объектов разные требования к скорости, чувствительности и устойчивости к переходным процессам. Удобно помнить простое правило:

для локальных объектов (трансформатор, шины, генератор) чаще всего основная защита строится по дифференциальному принципу;

для протяжённых объектов (линии) чаще всего основная защита строится по дистанционному и/или токовому/направленному принципу, часто с использованием каналов связи.

Сравнительная таблица типовых защит

| Объект | Наиболее опасные повреждения | Типовая основная защита | Типовой резерв | Особые «грабли» | |---|---|---|---|---| | Линия | междуфазные КЗ, однофазные на землю, обрывы | дистанционная, токовая/направленная, линейная дифференциальная | дистанционная (дальние зоны), токовая с выдержкой | колебания мощности, подпитка с двух сторон, сопротивление дуги | | Трансформатор | внутренние КЗ, витковые замыкания, повреждение вводов | дифференциальная трансформатора | токовая по сторонам, защита от перегрузки | бросок намагничивания, группа соединения, насыщение ТТ | | Шины | КЗ на шинах | дифференциальная шин | резерв от присоединений, защита отказа выключателя | ошибки вторичных цепей ТТ, требования к скорости | | Генератор | КЗ статора/ротора, потеря возбуждения, обратная мощность | дифференциальная статора (и др. специальные) | токовая/дистанционная как резерв, системные автоматики | режимы возбуждения, устойчивость, асинхронный ход |

Защита линий электропередачи

Какие аварии характерны для линий

Для воздушных и кабельных линий наиболее типичны:

однофазные замыкания на землю (особенно в ВЛ);

междуфазные КЗ;

двухфазные КЗ на землю;

обрывы проводов (иногда проявляются как несимметрия и перегрузка оставшихся фаз);

повреждения с дугой: добавляется дуговое сопротивление, из-за чего измеряемые параметры могут «смещаться».

Для выбора уставок критично учитывать, что линия может подпитывать место КЗ:

только с одной стороны (радиальная схема);

с двух сторон (кольцо, параллельные связи, распределённая генерация).

Основные принципы защиты линий

#### Дистанционная защита

Дистанционная защита использует оценку «видимого» сопротивления до места КЗ по соотношению напряжения и тока:

где:

— измеренное (видимое) сопротивление, которое использует защита;

— измеренное напряжение (через трансформатор напряжения);

— измеренный ток (через трансформатор тока).

Практический смысл:

при близком КЗ напряжение падает, ток растёт, и становится малым;

по величине защита оценивает, находится ли повреждение внутри заданной зоны.

Обычно делают несколько зон (ступеней):

зона 1: большая часть линии, отключение без выдержки времени;

зона 2: конец линии и часть следующего элемента, отключение с выдержкой;

зона 3: дальнее резервирование (ещё большая выдержка).

Важно: в реальной настройке зон много деталей (тип КЗ, компенсация нулевой последовательности при замыканиях на землю, сопротивление дуги), но общий принцип остаётся тем же.

!Как зоны дистанционной защиты покрывают линию и резервируют соседний участок

#### Токовая и направленная токовая защита

Максимальная токовая защита хорошо работает в радиальных сетях и на некоторых уровнях напряжения как резерв.

Если питание двухстороннее, используют направленную токовую защиту, которая отличает КЗ «вперёд» от КЗ «назад» относительно точки установки. Направление определяется по соотношению тока и напряжения (векторный признак), то есть защита должна получать и , и .

#### Линейная дифференциальная защита

Это дифференциальный принцип для протяжённого объекта: токи на концах линии сравниваются через канал связи.

при внешних КЗ токи на концах «согласованы», защита устойчива;

при внутреннем КЗ возникает дифференциальный признак, и отключение обычно очень быстрое.

Ограничение: требуется надёжный канал связи и правильная синхронизация/обмен данными.

Телезащита и ускорение отключения

На линиях высокого напряжения широко применяются схемы передачи команд между концами:

команда на ускорение отключения (чтобы не ждать выдержку времени зоны 2);

команда на отключение с обоих концов при подтверждении внутреннего КЗ.

Это повышает быстродействие и уменьшает риск потери устойчивости при тяжёлых режимах (связь с темой режимов сети из первой статьи).

Что может мешать корректной работе защит линии

колебания мощности (power swing): при больших перетоках и нарушениях режима «видимое» может изменяться так, что становится похожим на КЗ; поэтому применяют блокировки по колебаниям;

слабая подпитка: при минимальных токах КЗ чувствительность некоторых ступеней может ухудшаться;

насыщение ТТ при больших токах и апериодической составляющей;

сопротивление дуги: повышает «видимое» сопротивление и может увести КЗ за границы зоны 1.

Защита силовых трансформаторов

Какие аварии характерны для трансформаторов

Для силовых трансформаторов опасны:

внутренние междуфазные КЗ и КЗ на землю в обмотках;

витковые замыкания (могут начинаться «мягко», но быстро развиваются);

повреждения вводов;

перегрузка и перегрев, особенно длительные.

Трансформатор ценен и ремонтируется долго, поэтому требования к селективности и «не-ложности» (устойчивости) очень строгие.

Дифференциальная защита трансформатора

Это основная защита от внутренних повреждений. В простейшей форме сравнивают токи по сторонам трансформатора, приведённые к одной стороне.

Упрощённый дифференциальный признак можно записать так:

где:

— дифференциальный ток, то есть «разность» токов;

— измеренный ток со стороны 1 (через ТТ);

— измеренный ток со стороны 2 (через ТТ), приведённый по коэффициентам трансформации.

Смысл:

при нормальной работе и внешних КЗ ток «входит» и «выходит» (по модели) примерно одинаково, мал;

при внутреннем КЗ баланс нарушается, растёт, защита отключает трансформатор.

В реальных терминалах дополнительно учитывают:

разные коэффициенты трансформации и группу соединения (сдвиг фаз между сторонами);

ошибки и насыщение ТТ;

вводится сдерживающий признак (restraining), чтобы защита была устойчива к погрешностям.

!Принцип дифференциальной защиты трансформатора и отличие внутренних и внешних аварий

Бросок намагничивания и блокировки

При включении трансформатора на холостой ход возникает бросок намагничивания: кратковременный ток, который не является повреждением, но может быть очень большим.

Чтобы дифференциальная защита не отключала трансформатор при включении, применяют блокировки, например:

гармоническая блокировка: ток броска содержит выраженные гармоники (часто выделяют вторую гармонику), а ток КЗ обычно более «близок» к основной частоте;

ограничение по скорости изменения и другие алгоритмы (зависит от терминала).

Дополнительные и резервные защиты трансформатора

токовые защиты по сторонам: резерв на случай отказа дифференциальной;

защита от перегрузки: часто использует тепловую модель, чтобы учитывать нагрев;

газовая защита для масляных трансформаторов с расширителем (реагирует на газообразование при внутренних дефектах).

Справочный источник по устройству трансформаторов: Силовой трансформатор.

Защита шин подстанции

Почему повреждение шин особенно опасно

Шины — это общий узел, к которому подключены многие присоединения (линии, трансформаторы, генераторы). КЗ на шинах означает:

очень большие токи (обычно близко к источникам);

риск отключения большого числа присоединений;

необходимость максимально быстрого и строго селективного отключения.

Дифференциальная защита шин

Основной принцип — суммирование токов всех присоединений, входящих в защищаемую систему шин.

Идея:

при внешнем КЗ сумма токов в идеале близка к нулю (что «втекает», то «вытекает»);

при внутреннем КЗ появляется небаланс, и защита отключает все выключатели, подключенные к повреждённой системе шин.

Практически важные особенности:

часто у подстанции несколько систем шин и секционные выключатели, поэтому защита должна правильно определять, какая именно секция/система шин повреждена;

критична исправность вторичных цепей ТТ, поэтому применяют контроль цепей и алгоритмы устойчивости к насыщению.

Резервирование и защита отказа выключателя

Для шин почти всегда предусматривают:

дальнее резервирование со стороны присоединений (например, выдержанные токовые/дистанционные ступени);

защиту отказа выключателя: если выключатель не отключил ток по команде, выдаётся отключение вышестоящих/смежных выключателей, чтобы всё равно ликвидировать КЗ.

Это напрямую связано с надёжностью: отказ коммутационного аппарата нельзя «компенсировать» только уставками.

Защита синхронных генераторов

Синхронный генератор — особый объект: он и источник энергии, и дорогостоящее оборудование, и элемент, влияющий на устойчивость энергосистемы.

Справка по объекту: Синхронный генератор.

Какие режимы и повреждения характерны для генератора

Можно разделить на две группы:

электрические повреждения: КЗ в обмотке статора, замыкание на землю, межвитковые дефекты, проблемы ротора;

опасные режимы: потеря возбуждения, работа в двигательном режиме (обратная мощность), перегрузка по току статора, перегрев, отклонения частоты/напряжения.

Часть этих режимов не является КЗ, но всё равно опасна для машины и для системы.

Основные защиты генератора

На генераторах применяют сочетание быстрых внутренних защит и режимных защит:

дифференциальная защита статора: основная для внутренних КЗ в зоне генератора;

защита замыканий на землю статора: схемы зависят от заземления и конструкции;

защита от потери возбуждения: предотвращает опасный режим, при котором генератор может начать потреблять реактивную мощность и терять устойчивость;

защита от обратной мощности: отключает при переходе в режим двигателя (актуально при проблемах с турбиной/первичным двигателем);

защита от перегрузки: по току и/или по тепловой модели;

напряженческие и частотные функции: как часть защиты оборудования и противоаварийной автоматики.

Координация с сетевыми защитами и автоматикой

Генераторные защиты должны быть согласованы с:

защитами трансформатора блока (если это блочная станция);

защитами шин и линий, чтобы внешние КЗ в сети отключались сетевыми защитами, а генератор не «выбрасывался» без необходимости;

системной автоматикой (например, разгрузкой по частоте), которая меняет режим сети и может менять токи/напряжения.

Что диспетчеризация (SCADA) должна «понимать» про работу защит

Хотя РЗ работает автономно, эффективное оперативное управление требует качественных данных:

события: какие ступени/функции сработали, какие выключатели отключились, сработало ли АПВ;

измерения: токи, напряжения, мощности до и после аварии;

регистраторы аварий: осциллограммы для анализа причин и корректности работы;

состояние: сигнализация отказов (например, неисправность цепей ТТ/ТН, отказ питания терминала).

Это позволяет отличать:

реальное повреждение на объекте;

отказ выключателя;

ошибку измерительной цепи;

неправильную уставку или несогласование с режимом сети.

Справка по базовым понятиям РЗ: Релейная защита.

Главное, что нужно унести из темы

Линии чаще защищают дистанционными и направленными принципами, а для быстрого двухстороннего отключения применяют телезащиту.

Трансформаторы и шины обычно имеют дифференциальную защиту как основную, потому что она наиболее селективна к внутренним повреждениям.

Для трансформатора критичны алгоритмы устойчивости к броску намагничивания, а для шин критична скорость и корректность измерительных цепей.

Генератор защищают не только от КЗ, но и от опасных режимов (потеря возбуждения, обратная мощность), которые важны для устойчивости энергосистемы.

Диспетчерское управление опирается на события и записи РЗА, чтобы быстро локализовать аварию и восстановить режим.

Автоматика и противоаварийное управление: АПВ, АВР, ЧАПВ, УРОВ

Место автоматики в общей картине РЗА и диспетчерского управления

В предыдущих статьях курса мы разобрали:

как режимы сети и токи КЗ зависят от топологии и источников;

как релейная защита (РЗ) выявляет повреждение и отключает повреждённый элемент;

какие типовые защиты применяют для линий, трансформаторов, шин и генераторов.

Автоматика и противоаварийное управление дополняют РЗ: они помогают быстрее восстановить питание, сохранить устойчивость и уменьшить последствия аварий, когда простого отключения недостаточно.

Удобная “цепочка действий” в аварии выглядит так:

РЗ выявляет повреждение и выдаёт команду отключения.

Коммутационный аппарат (выключатель) должен реально разорвать ток.

Автоматика выполняет восстановление (АПВ, АВР, ЧАПВ), если это безопасно.

Если выключатель отказал, срабатывает УРОВ, чтобы всё равно ликвидировать КЗ.

SCADA получает события и статусы, а диспетчер организует дальнейшее восстановление и анализ.

!Таймлайн показывает, как РЗ, автоматика восстановления и УРОВ работают как единый процесс

Базовые термины, без которых дальше нельзя

АПВ — автоматическое повторное включение: повторное включение отключившегося присоединения (чаще линии) после паузы.

АВР — автоматический ввод резерва: автоматическое переключение питания на резервный источник/ввод при пропадании напряжения на рабочем.

ЧАПВ — частотное АПВ: автоматическое возвращение отключённой нагрузки (или секций) после восстановления частоты до допустимого уровня.

УРОВ — устройство резервирования отказа выключателя (breaker failure protection): автоматика, которая отключает соседние/вышестоящие выключатели, если “свой” выключатель не отключил ток по команде.

Технически все эти функции обычно входят в состав РЗА (в терминале присоединения, в терминале шин, в отдельном устройстве автоматики) и тесно связаны с телемеханикой.

Зачем нужны АПВ, АВР, ЧАПВ и УРОВ

Что дают функции восстановления (АПВ, АВР, ЧАПВ)

Снижение времени перерыва электроснабжения без участия оперативного персонала.

Снижение объёма отключений: вместо длительного отключения — краткая пауза.

Быстрое возвращение схемы к нормальной после кратковременных и самоустраняющихся нарушений.

Типичная физика, на которую опираются алгоритмы:

в ВЛ значительная доля повреждений — временные (дуговое однофазное замыкание на землю, наброс ветки, перекрытие изоляции), и после снятия напряжения дуга гаснет;

пропадание напряжения на секции шин не всегда означает “всё сломалось”: возможно, отключился один ввод, и питание можно быстро подать с резерва;

после противоаварийной разгрузки по частоте нагрузку нельзя возвращать “сразу всю” — частота может снова провалиться, поэтому возврат делают ступенчато.

Что даёт УРОВ

УРОВ закрывает критический риск: защита сработала правильно, но выключатель не отключил. Тогда ток КЗ продолжает течь, растут повреждения и риск каскадного развития аварии. УРОВ обеспечивает “второй шанс” ликвидации аварии, но уже более грубым отключением (с захватом соседних элементов).

Сравнение функций

| Функция | Что запускает | Главная цель | Где чаще применяется | Главный риск при ошибке | |---|---|---|---|---| | АПВ | отключение по защите (или фиксированное событие отключения) | восстановить отключившуюся линию/присоединение после временного повреждения | ВЛ 6–750 кВ, иногда кабельные линии (ограниченно) | повторное включение на постоянное повреждение | | АВР | исчезновение/недопустимое падение напряжения на рабочем вводе | быстро запитать шины от резерва | подстанции, РУ 0,4–220 кВ, собственные нужды станций | включение на КЗ, параллеление источников без проверки | | ЧАПВ | восстановление частоты после АЧР/аварийного дефицита мощности | вернуть ранее отключённую нагрузку, не “уронив” частоту снова | распределительные сети, узлы нагрузки | повторное снижение частоты из-за слишком быстрого возврата | | УРОВ | команда отключения есть, а ток не исчез и/или выключатель не открылся | ликвидировать КЗ при отказе выключателя | все классы напряжений, особенно узловые подстанции | лишнее отключение при ложном запуске УРОВ |

АПВ: автоматическое повторное включение

Когда АПВ полезно

АПВ эффективно там, где много временных повреждений, прежде всего на воздушных линиях. Логика простая:

защита отключила линию из-за аварийного тока;

делается пауза, чтобы дуга погасла и изоляция восстановилась;

линия включается снова; если повреждение было временным — питание восстановлено.

Основные режимы АПВ

Однократное АПВ: одна попытка повторного включения.

Многократное АПВ: несколько попыток (чаще в распределительных сетях, но всегда с ограничениями по политике сети и ресурсу аппаратов).

Однофазное АПВ: отключается и включается только повреждённая фаза (используется в сетях высокого напряжения на ВЛ при однофазных КЗ, снижает удар по устойчивости и потребителям).

Трёхфазное АПВ: отключение и включение всех фаз (типично для многих уровней напряжения и для присоединений, где однофазные операции не предусмотрены).

Ключевые параметры АПВ

Мёртвое время: пауза между отключением и повторным включением.

- Смысл: дать дуге и ионизации среды “исчезнуть”, чтобы повторное включение не попало сразу в дугу.

Контроль готовности: АПВ должно убеждаться, что повторное включение допустимо (в зависимости от схемы это может быть контроль напряжения, синхроусловий и отсутствия блокировок).

Ограничение по числу попыток: чтобы не “раскачивать” сеть и не изнашивать выключатель.

Типовые блокировки АПВ

АПВ не должно пытаться включать присоединение, если есть признаки, что повреждение не временное или включение опасно. Поэтому применяют блокировки, например:

блокировка при срабатывании защит, указывающих на внутренние повреждения оборудования (для трансформаторов, шин, генераторов это особенно критично);

блокировка при отказе/неисправности выключателя (если привод/цепи управления не в норме);

блокировка при отсутствии напряжения/несинхронности, если включение требует синхроконтроля.

Синхроконтроль (synchrocheck) — проверка того, что две части сети, которые соединятся при включении, имеют допустимое различие по частоте, фазовому углу и уровню напряжения. Иначе возможно несинхронное включение, опасное ударными токами и механическими воздействиями.

АПВ и селективность в связке с защитами

АПВ не заменяет защиту, а работает после неё. В хорошо спроектированной схеме:

основная защита отключает повреждение максимально быстро;

АПВ пытается восстановить питание, если это допустимо;

при повторном КЗ (постоянное повреждение) защита снова отключает, и далее АПВ либо блокируется, либо исчерпывает число попыток.

Официальная справка по термину: Автоматическое повторное включение

АВР: автоматический ввод резерва

Задача АВР

АВР обеспечивает питание шин/потребителей от резервного источника, если рабочий источник недоступен.

Типичный пример:

секция шин питается от рабочего ввода;

напряжение на шинах пропадает (авария, отключение линии, отключение трансформатора);

АВР отключает рабочий ввод (если он ещё включен) и включает резервный ввод (или секционный выключатель на соседнюю секцию).

Что АВР должно проверять

Чтобы не усугубить аварию, АВР обычно использует несколько признаков:

признак потери напряжения на шинах (по ТН);

готовность резерва (на резервном вводе есть напряжение и допустимая частота);

исключение включения на КЗ: если на шинах сохраняется аварийный ток или есть признаки внутреннего повреждения шин, включать резерв нельзя;

исключение недопустимого параллеления источников: если схема не допускает параллельную работу, АВР обеспечивает “разрыв” перед “включением” (логика break-before-make).

Варианты АВР

АВР между вводами: рабочий ввод → резервный ввод.

АВР через секционный выключатель: при потере питания одной секции она запитывается от соседней.

Быстродействующее АВР (fast bus transfer) в системах собственных нужд: важно минимизировать провал питания, чтобы не остановить технологический процесс.

Официальная справка по термину: Автоматический ввод резерва

!Однолинейная схема иллюстрирует типовой принцип АВР по напряжению

ЧАПВ: частотное автоматическое повторное включение

Почему нужен частотный принцип

Частота в синхронной энергосистеме отражает баланс активной мощности: при дефиците мощности частота падает. Чтобы остановить падение частоты и избежать развала системы, применяют противоаварийную автоматику, в том числе АЧР (автоматическая частотная разгрузка) — отключение части нагрузки при снижении частоты.

После того как авария устранена (введены резервы генерации, изменены перетоки, выполнены переключения), нагрузку нужно возвращать аккуратно. Если вернуть её слишком быстро, частота снова просядет и АЧР может сработать повторно.

Суть ЧАПВ

ЧАПВ — это автоматика, которая автоматически подключает ранее отключённые очереди нагрузки или секции шин при выполнении частотных условий.

Обычно используются условия:

частота поднялась выше заданной уставки;

частота удерживается выше уставки заданное время (выдержка времени нужна, чтобы убедиться, что восстановление устойчивое);

иногда дополнительно контролируются напряжение и отсутствие аварийных сигналов.

Как ЧАПВ уменьшает риск “качелей” по частоте

ЧАПВ часто делают ступенчатым:

возврат нагрузки очередями;

между очередями выдержки времени;

возможны разные уставки по частоте для разных очередей (сначала возвращают наиболее приоритетную нагрузку).

В диспетчерском контуре ЧАПВ важен тем, что меняет нагрузку автоматически, то есть диспетчер должен видеть в SCADA факт срабатывания и объём восстановленной нагрузки.

УРОВ: резервирование отказа выключателя

Что считается отказом выключателя

Отказ выключателя в смысле УРОВ — это ситуация, когда:

защита выдала команду отключения TRIP,

но выключатель не прекратил ток в заданное время.

Причины могут быть разные:

механическая неисправность привода;

отказ цепей отключения;

отказ оперативного питания;

залипание контактов;

ошибки вторичных цепей управления.

Как УРОВ “понимает”, что выключатель не отключил

Логика УРОВ почти всегда основана на комбинации признаков:

наличие команды TRIP (или запуск от конкретных защитных функций);

контроль тока: после истечения выдержки времени ток не исчез;

(часто) контроль положения выключателя: выключатель не перешёл в положение “Отключено”.

Выдержка времени УРОВ выбирается так, чтобы дать выключателю шанс штатно отключить, учитывая:

собственное время отключения выключателя;

задержки выходных реле/цепей;

требования быстродействия для узлов сети.

Что делает УРОВ при подтверждённом отказе

УРОВ отключает не только отказавший выключатель (он и так не отключил), а выдаёт отключение на соседние аппараты, чтобы обесточить место КЗ другим путём. Конкретный список отключаемых выключателей зависит от схемы:

отключение присоединений, питающих повреждённый участок со стороны шин;

отключение секционных/шиносоединительных выключателей;

при необходимости — отключение вышестоящих элементов, обеспечивающих питание.

На узловых подстанциях УРОВ является обязательным элементом обеспечения надёжности, потому что отказ одного выключателя на шинах может затронуть сразу множество присоединений.

Справка по англоязычному термину (часто используется в документации и терминалах): Breaker failure

!Диаграмма показывает типовой принцип подтверждения отказа выключателя и выдачи резервных отключений

Координация автоматики с защитами и режимами сети

Почему автоматика должна “уважать” зоны защит

Из предыдущих тем курса важно помнить принцип: защита должна отключать свою зону, а соседние элементы — резервируют. Автоматика восстановления не должна разрушать селективность. Практические правила:

АПВ допустимо в основном там, где статистически высока доля временных повреждений.

АПВ обычно блокируют при повреждениях “внутри объекта” (например, дифференциальная защита трансформатора или шин), потому что там вероятность временного дефекта мала, а цена ошибочного включения высока.

АВР блокируют при признаках КЗ на шинах и при неготовности резерва.

ЧАПВ увязывают с работой АЧР и с возможностями источников по наращиванию мощности.

УРОВ настраивают так, чтобы он не запускался от ложных TRIP и не “стрелял” при нормальном отключении.

Типовые конфликтные ситуации

АПВ vs постоянное повреждение: повторное включение снова приводит к КЗ, увеличивает термическое воздействие и может усложнить режим. Решение — ограничение попыток, корректные блокировки и согласование с телезащитой/дистанционной защитой.

АВР vs включение на КЗ: если напряжение пропало из-за КЗ на шинах, включение резерва приведёт к подпитке аварии. Решение — контроль аварийных токов, блокировки по защитам шин, выдержки времени и логика подтверждения.

ЧАПВ vs повторное снижение частоты: слишком быстрый возврат нагрузки может снова “уронить” частоту. Решение — ступенчатость, выдержки, разные уставки по очередям.

УРОВ vs неправильный контроль тока: например, при насыщении ТТ или при особенностях измерения ток может “исчезнуть” во вторичке, хотя в первичке ещё есть. Решение — качественные измерительные цепи, продуманная логика подтверждения, использование нескольких признаков.

Что должна видеть SCADA и зачем это нужно диспетчеру

Чтобы диспетчер и служба РЗА могли быстро понять, что произошло, в SCADA обычно передают:

факт срабатывания функции: АПВ, АВР, ЧАПВ, УРОВ;

успешность действия: “АПВ успешно”, “АПВ неуспешно”, “АВР выполнен на ввод 2”;

команды и положения выключателей, а также аварийные сигналы по цепям управления;

ключевые измерения: напряжение на шинах, частота, токи присоединений;

при необходимости — записи осциллограмм и последовательность событий (SOE) из терминалов.

Это важно по двум причинам:

оперативная: быстро восстановить питание корректными переключениями и понять границы отключения;

инженерная: анализ корректности срабатывания, корректировка уставок, выявление дефектов выключателя и вторичных цепей.

Справка о стандарте, который часто используется для передачи событий и сигналов между РЗА и АСУ: IEC 61850

Главное из темы

АПВ восстанавливает отключившиеся присоединения после временных повреждений, но требует грамотных блокировок и контроля условий включения.

АВР автоматически переводит питание на резерв при потере напряжения на рабочем вводе и должен исключать включение на КЗ и недопустимое параллеление источников.

ЧАПВ возвращает отключённую по частоте нагрузку ступенчато и по условиям частоты, чтобы не вызвать повторный провал.

УРОВ критически важен для надёжности: он ликвидирует КЗ при отказе выключателя за счёт отключения соседних/вышестоящих аппаратов.

Для диспетчерского управления принципиально важны корректные события, статусы и телеметрия по срабатываниям автоматики.

Сетевые диспетчерские системы: SCADA/EMS/DMS и телемеханика

Зачем диспетчерские системы нужны, если уже есть релейная защита и автоматика

В предыдущих темах курса мы рассмотрели:

режимы сети и то, как аварии меняют токи, напряжения, частоту и перетоки;

релейную защиту как локальный автоматический механизм отключения повреждённого элемента;

противоаварийную автоматику (АПВ, АВР, ЧАПВ, УРОВ), которая ускоряет восстановление и повышает надёжность.

SCADA/EMS/DMS и телемеханика добавляют то, чего не хватает локальным устройствам РЗА:

наблюдаемость: диспетчер видит состояние сети и ключевые измерения в реальном времени;

управляемость: диспетчер может безопасно выполнять переключения и задавать режимные уставки (в рамках регламентов);

координацию: события от защит и автоматики собираются в единую картину, а восстановление выполняется осмысленно и быстрее;

анализ: можно разбирать нарушения по журналам событий и телеметрии, улучшая уставки, схемы и процедуры.

Важно: SCADA/EMS/DMS обычно не заменяет релейную защиту. Защита отключает аварии без участия человека, а диспетчерская система помогает понять, что произошло, и правильно восстановить сеть.

!Общая карта ролей: кто и когда действует при аварии

Термины и уровни управления

SCADA

SCADA (Supervisory Control And Data Acquisition) — система диспетчерского контроля и сбора данных.

Она отвечает за:

сбор телеметрии (напряжения, токи, мощности, частота и т.д.);

сбор телесигнализации (положения выключателей, аварийные сигналы, срабатывания функций);

передачу команд управления (отключить/включить, изменить уставку в разрешённых пределах, квитировать сигнализацию);

отображение на мнемосхемах, ведение журналов, тревоги.

Справка: SCADA

EMS

EMS (Energy Management System) — надстройка для оперативного управления режимом в магистральных и объединённых энергосистемах.

Типичные функции EMS:

обработка топологии (понимание, какие элементы реально включены и как связаны);

оценка состояния (приближённое восстановление «истинного» режима по измерениям);

расчёты перетоков, контроль ограничений, анализ N-1;

поддержка диспетчера при управлении частотой/перетоками в рамках регламентов.

Справка: Energy management system

DMS

DMS (Distribution Management System) — надстройка для управления распределительными сетями.

Часто акцентируется:

управление 6–20 кВ и ниже (в зависимости от страны и организации);

локализация повреждений и восстановление питания в распределении;

управление переключениями в кольцах, секционирование;

учёт распределённой генерации и ограничений по напряжению.

Справка: Distribution management system

Телемеханика

Телемеханика — это совокупность технических средств, которые обеспечивают удалённый сбор сигналов и удалённое управление объектами энергетики.

Практически это:

устройства сбора данных на объекте (RTU или шлюзы);

каналы связи;

протоколы обмена;

диспетчерский пункт (SCADA-серверы, рабочие места).

Справка по смежному понятию: Telecontrol

Какие данные нужны диспетчеру: измерения, статусы, события

Данные из объектов условно делят на три группы.

Телеметрия

Телеметрия — непрерывные или периодические измерения.

Примеры:

напряжения на шинах;

токи присоединений;

активная и реактивная мощность;

частота;

температура (для трансформаторов), давление, уровень масла (если предусмотрено).

Зачем это нужно:

контроль качества режима (напряжение, перегрузки);

понимание перетоков и ограничений;

подготовка безопасных переключений.

Телесигнализация

Телесигнализация — дискретные состояния.

Примеры:

выключатель включен/отключен;

разъединитель включен/отключен;

сработала защита (функция/ступень);

отказ оперативного питания;

сигнал неисправности терминала РЗА.

Зачем это нужно:

видеть реальную топологию и границы отключения;

быстро распознать отказ оборудования (например, отказ выключателя как причина запуска УРОВ).

Последовательность событий (SOE)

SOE (Sequence of Events) — журнал событий с точными метками времени.

Примеры:

время подачи команды TRIP защитой;

время изменения положения выключателя;

время запуска АПВ и факт успешно/неуспешно;

запуск УРОВ.

Зачем это нужно:

разбор аварий: что было причиной, что было следствием;

проверка корректности работы РЗА и автоматики;

выявление задержек и дефектов управления.

Ключевое требование для SOE — точная синхронизация времени.

Из чего состоит архитектура SCADA/EMS/DMS

Полевой уровень

На подстанции или объекте обычно есть:

IED (Intelligent Electronic Device) — «умные» устройства: терминалы РЗА, контроллеры, измерители качества электроэнергии;

RTU (Remote Terminal Unit) — устройство телемеханики, собирающее сигналы и передающее их наверх;

шлюз — устройство, которое преобразует протоколы и агрегирует данные (например, собирает IEC 61850 на подстанции и отдаёт IEC 60870-5-104 в диспетчерский центр).

Справка: Intelligent electronic device

Каналы связи

Связь может быть:

оптоволоконная;

радиорелейная;

сотовая (обычно для малых объектов и при особых требованиях);

ведомственные IP-сети.

Важные свойства связи:

задержка и её разброс;

пропускная способность;

резервирование трасс/оборудования;

защищённость.

Диспетчерский уровень

Обычно включает:

SCADA-серверы (сбор данных, обработка, архивы);

серверы приложений EMS/DMS;

рабочие места диспетчеров (HMI);

серверы времени;

интеграционные шины и базы данных.

!Типовая архитектура диспетчерской системы и границы уровней

Протоколы и модели данных: как «разговаривают» устройства

Протоколы телемеханики верхнего уровня

На практике часто встречаются:

IEC 60870-5-104 — телемеханика поверх TCP/IP, широко используется в энергетике;

DNP3 — распространён в ряде стран, особенно в Северной Америке;

Modbus — простой промышленный протокол, встречается на вспомогательных системах.

Справки:

IEC 60870-5

DNP3

Modbus

Подстанционные протоколы

На уровне цифровой подстанции ключевой стандарт:

IEC 61850 — описывает как протоколы обмена, так и модель данных (что именно означает каждый сигнал и измерение).

Почему это важно:

легче интегрировать устройства разных производителей;

проще строить единые наименования сигналов;

появляется возможность высокоскоростного обмена внутри подстанции.

Справка: IEC 61850

OPC UA как интеграция

OPC UA часто используют для интеграции SCADA с внешними системами (АСУ ТП, аналитика, техучёт) как универсальный промышленный интерфейс.

Справка: OPC Unified Architecture

CIM: единый язык модели энергосистемы

Для обмена моделью сети и данными между системами (EMS/DMS, планирование, расчёты) часто применяют CIM — Common Information Model.

Справка: Common Information Model (electricity))

Обработка топологии: почему «положение разъединителя» — это не мелочь

Топология — это ответ на вопрос: какие элементы реально соединены и как течёт мощность прямо сейчас.

SCADA собирает дискретные статусы (выключатели, разъединители, заземляющие ножи) и строит топологическую модель.

Зачем это критично:

диспетчер должен понимать, какие шины под напряжением и откуда питание;

алгоритмы EMS (оценка состояния, расчёты перетоков) требуют корректной схемы;

ошибки в статусах приводят к опасным решениям: можно выдать команду «включить» в неправильную точку или неверно оценить последствия переключения.

Типовые причины ошибок топологии:

несогласованность сигналов положения (например, «двойной статус»);

неправильная адресация сигналов в RTU;

отсутствие телесигнализации на некоторых аппаратах;

путаница между «команда дана» и «аппарат реально в положении».

EMS-функции, которые напрямую связаны с надёжностью и режимами

Оценка состояния

Оценка состояния — это вычислительная функция, которая по набору измерений и статусов получает согласованный набор параметров режима (напряжения в узлах, перетоки), даже если часть измерений отсутствует или содержит ошибки.

Практический смысл для диспетчера:

меньше «слепых зон»;

выше доверие к картине режима;

легче выявлять неверные измерения.

Анализ нарушений и ограничений

EMS помогает контролировать:

перегрузки линий и трансформаторов;

недопустимые уровни напряжения;

опасные перетоки между районами.

Это напрямую связано с темой режимов сети: защиту мы настраиваем так, чтобы она отключала аварии, но диспетчер обязан не доводить систему до предаварийных ограничений.

Критерий N-1 в операционной практике

В магистральных сетях диспетчер (и EMS) часто проверяют: выдержит ли система отказ одного элемента.

Польза:

заранее видны потенциальные перегрузки при аварии;

можно превентивно изменить схему, генерацию, перетоки.

DMS-функции в распределительных сетях: быстро найти и восстановить

В распределении важны скорость локализации и массовые переключения.

Типовые функции DMS:

локализация повреждения по индикации и состояниям аппаратов;

восстановление питания через секционирование и перепитку;

управление кольцевыми схемами и ограничениями по токам/напряжениям;

учёт распределённой генерации и изменяющихся направлений мощности.

Здесь особенно заметна связка с темой защит:

при двустороннем питании и ВИЭ меняются направления токов КЗ и нагрузки;

диспетчерские переключения должны учитывать селективность и блокировки автоматики.

Команды управления и безопасность переключений

Что такое телеуправление

Телеуправление — это удалённая команда из диспетчерского пункта на объект, например:

отключить/включить выключатель;

изменить режим РПН трансформатора (если разрешено);

запустить заранее определённую автоматическую процедуру (в некоторых системах).

Опасность телеуправления в энергетике в том, что ошибка может привести к:

включению на короткое замыкание;

параллелению источников без синхронизации;

потере питания у большого числа потребителей;

нарушению требований охраны труда.

Поэтому применяют ограничения и проверки.

Интерлоки и разрешения

Интерлок — логическая блокировка, запрещающая опасное действие.

Примеры:

запрет включения разъединителя под нагрузкой;

запрет включения на заземлённый участок;

запрет параллеления секций, если это не допускается схемой и режимом.

Интерлоки бывают:

аппаратные (на уровне РУ и вторичных цепей);

программные (в SCADA/DMS или в шлюзе);

смешанные.

Практическое правило: чем ближе блокировка к объекту, тем выше её надёжность при проблемах связи.

!Где должны располагаться блокировки, чтобы команды были безопасными

Время и синхронизация: основа точных событий и анализа аварий

Без точного времени невозможно корректно сопоставить:

срабатывание защиты;

положение выключателя;

запуск АПВ/УРОВ;

осциллограммы регистраторов.

Чаще всего используют:

NTP для общей синхронизации ИТ-систем;

PTP (IEEE 1588) для более высокой точности в подстанционных и измерительных системах.

Справки:

Network Time Protocol

Precision Time Protocol

Отдельный класс измерений для энергосистем — синхрофазоры (PMU), где точность времени критична по определению.

Справка: Phasor measurement unit

Кибербезопасность и надёжность: почему это часть диспетчеризации

Диспетчерские системы относятся к критической инфраструктуре, поэтому требования включают не только функциональность, но и устойчивость.

Надёжность и резервирование

Типовые подходы:

резервированные серверы SCADA (основной/резервный);

резервирование каналов связи;

локальные алгоритмы на объекте (РЗА и автоматика должны отработать даже при потере связи);

буферизация событий на объекте с последующей выгрузкой (чтобы не потерять SOE).

Кибербезопасность

Минимальный практический набор мер:

сегментация сети (разделение офисной и технологической);

контроль удалённого доступа;

управление учётными записями и ролями;

журналирование действий оператора;

управление обновлениями и уязвимостями;

использование защищённых протоколов и криптографии там, где это предусмотрено.

Справка по общему понятию: Industrial control system

Как SCADA помогает разбирать работу защит и автоматики

Когда происходит авария, диспетчер и служба РЗА обычно отвечают на вопросы:

Что отключилось и почему?

Отключение было селективным?

Сработало ли АПВ/АВР/УРОВ, и было ли это корректно?

Где граница повреждения и что можно безопасно включать?

Для этого в SCADA должны быть доступны:

статусы аппаратов до и после аварии;

признаки срабатывания защитных функций (не просто «защита сработала», а какая именно ступень/функция);

признаки работы автоматики (АПВ успешно/неуспешно, АВР на какой ввод, запуск УРОВ);

последовательность событий с точным временем;

при возможности — ссылки на записи регистраторов аварийных процессов.

Связь с предыдущими темами курса прямая:

без корректных данных SCADA сложно понять, было ли КЗ временным (АПВ) или постоянным;

трудно отличить отказ выключателя (запуск УРОВ) от ложного сигнала положения;

невозможно уверенно восстановить схему без понимания реальной топологии.

Главное, что нужно запомнить

SCADA даёт наблюдаемость и удалённое управление: измерения, статусы, тревоги, журналы.

EMS добавляет режимные расчёты и поддержку управления магистральной сетью: топология, оценка состояния, анализ ограничений и N-1.

DMS фокусируется на распределительных сетях: локализация повреждений и быстрое восстановление питания.

Телемеханика — это практическая «инфраструктура данных»: RTU/шлюзы, связь, протоколы, синхронизация времени.

Качество диспетчеризации определяется не только интерфейсом, но и достоверностью статусов, точностью времени, надёжностью связи и киберустойчивостью.

Рекомендуемые источники

SCADA

Energy management system

Distribution management system

IEC 60870-5

IEC 61850

Network Time Protocol

Phasor measurement unit

Коммуникации и стандарты: IEC 61850, GOOSE, MMS, синхронизация времени

Зачем эта тема нужна в курсе РЗА и диспетчерского управления

В предыдущих темах курса мы рассматривали:

как релейная защита и автоматика принимают решения и отключают повреждённые элементы;

как SCADA/EMS/DMS собирают телеметрию, телесигнализацию и события, чтобы диспетчер видел картину сети.

На практике всё это связывается коммуникациями. Современная подстанция и распределённый энергообъект работают как система, где:

терминалы РЗА обмениваются командами отключения и блокировками;

измерения и статусы уходят в SCADA;

аварийные события и осциллограммы должны иметь корректное время;

разные устройства разных производителей должны быть совместимы.

Эту роль как раз и закрывают стандарты семейства IEC 61850, его механизмы обмена (в том числе GOOSE и MMS) и средства синхронизации времени.

!Общая картина: какие потоки данных существуют в IEC 61850 и где они применяются

Что такое IEC 61850 и чем он отличается от «просто протокола»

IEC 61850 — это международный стандарт для автоматизации подстанций и энергообъектов, который определяет не только обмен по сети, но и единый смысл данных.

Ключевая идея:

раньше интеграция строилась по принципу «протокол передаёт байты, а смысл каждый трактует по-своему»;

в IEC 61850 заложена модель данных (что именно означает сигнал), поэтому разные устройства легче «сшиваются» в один проект.

Стандарт описывает несколько важных вещей:

как представить оборудование в виде логических функций (логических узлов);

как описать данные и их атрибуты (значение, качество, время);

как конфигурировать обмен через инженерные файлы;

какие механизмы обмена подходят для каких задач (MMS, GOOSE и другие).

Справка: IEC 61850

Базовые понятия IEC 61850 простыми словами

IED

IED (Intelligent Electronic Device) — микропроцессорное устройство на объекте: терминал РЗА, контроллер, измеритель, контроллер привода выключателя.

Справка: Intelligent electronic device

Логические узлы и данные

IEC 61850 описывает функции в виде логических узлов.

Примеры смыслов (не как названия конкретных реле, а как функциональные блоки):

выключатель и его состояние;

токовые измерения;

функции защиты и автоматики (например, срабатывание ступени);

блокировки и разрешения.

Важно: диспетчеризация и инженер РЗА получают не «бит 23», а понятную сущность уровня “выключатель отключён”, “выдан TRIP”, “сработала функция”.

Station bus и process bus

На цифровых подстанциях часто разделяют две сетевые области:

station bus: обмен между IED, сервером/шлюзом, HMI, а также выдача событий и команд;

process bus: ближе к первичному оборудованию, где идут потоки измерений и быстрые сигналы от датчиков/вводов.

Это не «обязательные слова», но полезная инженерная логика, потому что требования к задержкам, надёжности и трафику у этих частей разные.

MMS: как «разговаривают» SCADA и IED по IEC 61850

Что такое MMS

MMS (Manufacturing Message Specification) — протокол прикладного уровня, который IEC 61850 часто использует для обмена клиент–сервер.

Проще говоря:

SCADA или шлюз выступает клиентом;

IED выступает сервером;

по запросу читаются данные, принимаются отчёты, выполняются команды управления.

Справка: Manufacturing Message Specification

Что обычно передают через MMS

Типовые задачи MMS в энергетике:

чтение измерений и статусов;

получение событий через отчёты (reporting);

чтение архивных данных и журналов (если поддерживается);

выполнение управлений с проверками.

Практический смысл в контуре диспетчеризации:

MMS чаще связан с тем, что мы в предыдущей статье называли телеметрией, телесигнализацией и SOE;

MMS не рассчитан на «мгновенное отключение за миллисекунды», зато удобен для системного обмена и диагностики.

Управление по MMS и безопасность команд

Команда управления в энергетике должна быть защищена от ошибок. В IEC 61850 обычно применяют методы, снижающие риск случайного действия:

выбор объекта перед выполнением;

подтверждение;

контроль условий и блокировок со стороны IED.

Это важно связать с темой интерлоков и безопасных переключений в SCADA: часть проверок может быть в SCADA, но критические запреты лучше иметь на уровне объекта.

GOOSE: быстрые сообщения для защиты и автоматики

Что такое GOOSE

GOOSE (Generic Object Oriented Substation Event) — механизм быстрой передачи событий и команд в IEC 61850 по принципу публикации.

В инженерных терминах:

одно устройство публикует сообщение (например, TRIP, блокировка, пуск АПВ, положение аппарата);

несколько устройств подписываются и принимают это сообщение;

обмен рассчитан на очень малые задержки в локальной сети подстанции.

Ключевая идея применения:

вместо множества медных дискретных цепей между шкафами можно передавать логические дискреты по Ethernet.

Чем GOOSE отличается от MMS

Различие полезно запомнить как «класс задач»:

MMS: обмен клиент–сервер для SCADA, отчётов, параметров и управления;

GOOSE: быстрый обмен событиями между IED для РЗА и автоматики.

То есть:

если нужно передать диспетчеру измерение и событие в архив, это чаще путь MMS через шлюз/сервер;

если нужно передать соседнему терминалу команду на отключение или блокировку за миллисекунды, это чаще GOOSE внутри подстанции.

Где GOOSE особенно полезен

Практические сценарии:

передача команд отключения на несколько присоединений (например, логика шинной защиты);

схемы УРОВ, когда нужно быстро отключить соседние выключатели;

блокировки АПВ и АВР по признакам защит;

логики межячейковых сигналов (например, «ячейка в ремонте», «разъединитель не в положении», «запрет включения»).

Что важно понимать про надёжность GOOSE

GOOSE обычно передаётся в пределах локальной сети подстанции и предъявляет требования к инфраструктуре:

низкие задержки и предсказуемость сети;

корректная настройка коммутаторов и приоритетов трафика;

резервирование сети, если это требуется по надёжности объекта.

Важно также помнить связь с предыдущими статьями:

РЗА должна быть селективной и надёжной, а значит коммуникации не должны становиться «тонким местом»;

при отказе связи некоторые функции обязаны иметь резерв или деградацию в безопасное состояние.

Потоки измерений и «цифровые ТТ/ТН»

В цифровых подстанциях измерения могут передаваться по сети от устройств, которые оцифровывают вторичные сигналы измерительных трансформаторов.

Смысл для РЗА:

терминал защиты получает не аналоговый ток/напряжение по медным цепям, а поток отсчётов по сети;

требования к времени и синхронизации становятся намного жёстче, потому что защита считает величины из дискретных отсчётов.

Это один из мотивов, почему синхронизация времени в IEC 61850-проектах — не «опция для красивых журналов», а инженерная необходимость.

Инженерия и конфигурация: SCL и почему без неё IEC 61850 не взлетает

IEC 61850 задаёт формат описания проекта в виде SCL (Substation Configuration Language). На практике это значит, что проект описывается файлами, где формализованы:

устройства;

их функции и данные;

какие сигналы куда передаются (в том числе GOOSE);

параметры обмена и структуры данных.

Типовой инженерный цикл:

Формируют модель подстанции и состав IED.

Определяют, какие данные нужны SCADA, а какие нужны для логик РЗА.

Создают наборы данных и точки отчётов для MMS.

Настраивают публикации и подписки GOOSE.

Проверяют согласованность имён и сигналов.

Проводят испытания: функциональные, сетевые, временные.

Практическая ценность:

меньше ручной «склейки» сигналов;

проще замена устройства на аналогичное;

проще аудит и сопровождение.

Синхронизация времени: зачем она нужна и какие технологии применяют

Что именно нужно синхронизировать

В энергетике время нужно как минимум для трёх задач:

SOE: правильная последовательность событий, чтобы разбирать аварии и работу УРОВ/АПВ/защит;

осциллограммы и регистраторы: чтобы сопоставлять записи между разными устройствами;

измерения, зависящие от времени: например, синхронизированные фазоры (PMU) и сетевые потоки отсчётов.

Справка: Phasor measurement unit

NTP

NTP (Network Time Protocol) — распространённый способ синхронизации времени в IP-сетях.

Сильные стороны:

широко поддерживается;

удобен для ИТ-инфраструктуры и многих задач SCADA.

Ограничение:

точность и стабильность зависят от сети и обычно хуже, чем у специализированных технологий для высокоточной подстанционной синхронизации.

Справка: Network Time Protocol

PTP (IEEE 1588)

PTP (Precision Time Protocol, IEEE 1588) — протокол высокоточной синхронизации времени.

Где он особенно востребован:

цифровые подстанции;

устройства, которым нужны очень точные метки времени;

системы, где важна согласованность времени на многих IED.

Важное практическое понятие — ошибка синхронизации .

— это разница между «идеальным» временем (например, от GPS-источника) и временем внутри устройства.

чем меньше , тем надёжнее сопоставляются события и измерения между устройствами.

Справка: Precision Time Protocol

Почему «точное время» важно для анализа аварий

В терминах предыдущих тем:

УРОВ запускается по логике «TRIP был, а тока нет/выключатель не открылся за заданное время».

Для доказательства корректности нужны метки времени с понятной точностью.

Если часы разных IED «гуляют», то можно получить ложные выводы:

кажется, что выключатель “долго отключался”, хотя это просто рассинхронизация;

кажется, что команда пришла позже, хотя это ошибка времени.

!Почему синхронизация времени критична для правильного анализа последовательности событий

Практические требования к сети для IEC 61850

Чтобы GOOSE, MMS и временная синхронизация работали предсказуемо, важно проектировать сеть как часть системы РЗА.

Обычно обращают внимание на:

сегментацию трафика (чтобы “тяжёлые” потоки не мешали критическим);

приоритизацию критических сообщений;

резервирование коммутаторов и линий связи на ответственных объектах;

контроль задержек и потерь пакетов.

Плохая сеть в подстанции проявляется не как «чуть медленнее открылось окно», а как риски:

задержка команд отключения и блокировок;

потеря событий;

проблемы с синхронизацией времени;

сложность расследования аварий.

Как IEC 61850 сочетается с внешней телемеханикой и SCADA

Даже если внутри подстанции применён IEC 61850, наружу в диспетчерский центр часто уходят данные через шлюз и другой протокол телемеханики.

Типовая причина:

у диспетчерского центра уже стандартизирован верхний протокол, например IEC 60870-5-104;

IEC 61850 остаётся “внутри” подстанции как стандарт автоматизации.

Справка: IEC 60870-5

Практический вывод для инженера и диспетчера:

важно заранее определить, какие события и измерения должны быть доступны диспетчеру;

важно корректно сопоставить точки данных, чтобы не потерять смысл (например, не превращать “ступень дистанционной защиты зона 1” в безликое “авария”).

Типовые ошибки и как их предотвращают

Ниже перечислены ошибки, которые чаще всего «маскируются» под проблемы РЗА, хотя корень в коммуникациях и инженерии.

Несогласованные имена и точки данных между IED и SCADA, из-за чего диспетчер видит неправильные статусы.

Отсутствие точной синхронизации времени, из-за чего анализ SOE и осциллограмм приводит к неверным выводам.

Непродуманная сеть без приоритетов и сегментации, из-за чего быстрые сообщения конкурируют с фоновым трафиком.

Нет ясной политики деградации: что делает автоматика при отказе связи, какие блокировки включаются, где резерв.

Профилактика обычно включает:

единый перечень сигналов и их смыслов на этапе проекта;

обязательные испытания: функциональные, сетевые, временные;

контроль времени на всех устройствах и проверку источника времени;

регулярный аудит конфигураций.

Главное, что нужно запомнить

IEC 61850 — это стандарт не только про обмен, но и про единый смысл данных и инженерную конфигурацию.

MMS чаще используют для обмена SCADA–IED в модели клиент–сервер: чтение данных, отчёты, команды.

GOOSE — механизм быстрой передачи событий и команд между IED для защит, блокировок и противоаварийной автоматики.

Синхронизация времени (NTP и особенно PTP) критична для SOE, анализа аварий и современных цифровых измерительных потоков.

Коммуникации нужно проектировать как часть РЗА: задержки, приоритеты, резервирование и проверяемость напрямую влияют на надёжность.

Рекомендуемые источники

IEC 61850

Manufacturing Message Specification

Network Time Protocol

Precision Time Protocol

Phasor measurement unit

IEC 60870-5

Надежность и кибербезопасность: резервирование, тестирование, расследование аварий

Почему эта тема завершает техническую часть курса

В предыдущих статьях курса мы последовательно построили цепочку:

режимы сети и аварии (КЗ, перегрузки, частотные и напряженческие события);

релейная защита и противоаварийная автоматика (АПВ, АВР, ЧАПВ, УРОВ);

диспетчерские системы SCADA/EMS/DMS и телемеханика;

коммуникации и стандарты (IEC 61850, GOOSE, MMS, синхронизация времени).

Эта статья добавляет системный слой, без которого даже идеальные уставки и современные протоколы не дают гарантии результата: надежность (умение системы работать при отказах) и кибербезопасность (умение противостоять намеренным воздействиям). Для энергетики это две стороны одной практической задачи: не допустить потери управления и неправильных отключений.

Что в энергетике считается надежностью

Надежность в контексте РЗА и диспетчерского управления удобно понимать как сочетание трех свойств:

доступность: система управления и наблюдения реально работает, данные приходят, команды выполняются;

функциональная устойчивость: отказ одного элемента не приводит к неправильным действиям (например, ложным отключениям или потере селективности);

восстанавливаемость: после отказа система быстро возвращается в норму по регламенту, а причины отказа можно установить.

Простая метрика доступности

Для верхнего уровня (например, SCADA-сервер, канал связи, шлюз) часто используют показатель доступности:

Где:

— доступность (значение от 0 до 1), доля времени, когда функция доступна;

(Mean Time Between Failures) — среднее время между отказами;

(Mean Time To Repair/Restore) — среднее время восстановления.

Инженерный смысл формулы:

если система редко ломается (большой ) и быстро восстанавливается (малый ), то ближе к 1;

если восстановление долгое, доступность заметно падает даже при редких отказах.

Важно: высокая доступность SCADA не заменяет автономность РЗА. Защита и критичная автоматика должны отработать при полном отсутствии связи и диспетчеризации.

Резервирование: как проектируют отказоустойчивость РЗА, связи и SCADA

Резервирование всегда отвечает на вопрос: что будет, если элемент X выйдет из строя прямо сейчас?

Типовые уровни резервирования

Питание и оперативные цепи

Измерительные цепи (ТТ/ТН и вторичка)

Коммуникации (сеть подстанции, каналы до диспетчерского центра)

Вычислительная инфраструктура (SCADA/серверы времени/архивы)

Функциональное резервирование защит и автоматики

Ниже — практические примеры, как это делается.

Резервирование на уровне РЗА и автоматики

Классическая надежность РЗА строится не только через два одинаковых устройства, а через разные механизмы резервирования:

основная защита и резервная защита (часто на разных принципах, чтобы отказ одной логики не повторился во второй);

местное резервирование (другой терминал, другой измерительный ввод, другая цепь отключения);

дальнее резервирование (ступени защит на соседних элементах сети с выдержкой времени);

УРОВ как обязательное средство борьбы с отказом выключателя.

Связь с предыдущими темами:

УРОВ особенно чувствителен к качеству измерений тока и к корректности времени событий (SOE), поэтому надежность вторички и синхронизации напрямую влияет на доказуемость работы УРОВ.

Резервирование коммуникаций и IEC 61850

Для подстанционной сети (где работают GOOSE и MMS) типовые меры:

резервирование коммутаторов и линий в критичных узлах;

сегментация трафика (разделение критичных потоков РЗА и фонового сервисного обмена);

детерминированность задержек: критичные сообщения не должны зависеть от случайной загрузки сети;

резервирование времени (два источника времени или устойчивый план деградации при потере GPS).

В проектах цифровых подстанций применяют специализированные протоколы бесшовного резервирования Ethernet, например PRP/HSR (в рамках IEC 62439-3), чтобы один обрыв не приводил к потере обмена.

Резервирование SCADA и телемеханики

На диспетчерском уровне типовой набор:

основной и резервный SCADA-сервер (или кластер);

резервирование каналов связи до ключевых объектов;

буферизация событий на объекте: если связь пропала, RTU/шлюз/IED хранит SOE и отдает после восстановления;

разделение контуров: локальные функции (РЗА, АВР) не должны зависеть от центральной SCADA.

Сравнение подходов к резервированию

| Уровень | Что резервируют | Что это предотвращает | Типовая ошибка | |---|---|---|---| | РЗА | основная и резервная защиты, разные принципы | неотключение КЗ при отказе одной функции | обе защиты завязаны на одну и ту же уязвимую цепь (например, одна катушка отключения) | | Выключатель | УРОВ и цепи отключения | затяжное КЗ при отказе выключателя | нет надежного критерия подтверждения отказа | | Сеть IEC 61850 | коммутаторы, линии, источники времени | потеря GOOSE/времени | сеть без приоритизации, перегрузка фоновой диагностикой | | SCADA/каналы | серверы, каналы, архивы | потеря наблюдаемости/управления | нет теста восстановления из резервных копий |

!Схема показывает, где обычно делают резервирование и где проходят критичные потоки данных

Кибербезопасность: чем она отличается от надежности

Надежность защищает от случайных отказов. Кибербезопасность защищает от намеренных воздействий и ошибок управления доступом.

Особенность энергетики:

последствия киберинцидента могут выглядеть как обычная авария (ложные сигналы, неправильные отключения, потеря телеметрии);

многие последствия критичны по времени: задержка или подмена команды/события в контуре РЗА и автоматики опаснее, чем в офисной ИТ-системе.

Типовые цели атаки в контексте РЗА и SCADA

нарушить наблюдаемость: диспетчер не видит реальную топологию и измерения;

нарушить управляемость: команды не проходят или проходят не туда;

исказить данные: подмена телеметрии/статусов/времени;

вызвать неправильные действия: ложные отключения, блокировка АПВ/АВР, запуск УРОВ, изменение уставок;

сорвать расследование: удаление журналов, изменение меток времени.

Практическая модель защиты: defense-in-depth для энергообъектов

В энергетике типовой подход описывают как многослойную защиту, где отказ одного слоя не должен приводить к катастрофе.

Ключевые слои

сегментация сети

контроль доступа и учетные записи

журналирование и мониторинг

управление изменениями и конфигурациями

защита времени и событий

резервное копирование и восстановление

Сегментация и периметры

Практическая цель сегментации: ограничить распространение инцидента и отделить критичные контуры.

Типовая логика:

технологическая сеть подстанции (IED, station bus) отделена от внешних сетей;

обмен в диспетчерский центр идет через контролируемую границу (шлюз, межсетевые экраны, DMZ);

сервисный доступ (инженерные ноутбуки, обновления) идет по регламенту и через отдельные контролируемые точки.

Связь с предыдущими статьями:

даже если IEC 61850 внутри подстанции хорошо настроен, уязвимость часто возникает на стыке инженерного доступа и шлюзования в телемеханику.

Контроль доступа и принцип наименьших привилегий

Минимальные практические правила:

каждому пользователю и сервису — своя учетная запись;

роли разделены (оператор, инженер РЗА, администратор);

запрет общих паролей и неучтенных удаленных доступов;

критичные действия подтверждаются и логируются.

Для промышленных устройств важны также требования к их киберфункциям (пароли, роли, отключение небезопасных сервисов). В качестве ориентира часто используют IEEE 1686.

Журналирование: что нужно логировать, чтобы потом разобраться

Чтобы расследование было возможным, нужны как минимум:

SOE и осциллограммы из IED РЗА;

события и журналы RTU/шлюза;

журналы SCADA (действия оператора, изменения параметров);

системные логи серверов (аутентификация, ошибки сервисов);

сетевые события (по возможности): нарушения связности, изменения конфигурации, тревоги безопасности.

Критическая деталь: все эти источники должны иметь согласованное время.

Защита времени

В предыдущей статье мы обсуждали NTP и PTP. С точки зрения кибербезопасности важно дополнить:

время — это доверенная основа для SOE и доказательности расследования;

атака на синхронизацию времени может разрушить порядок событий и усложнить поиск причин;

нужен план деградации: что делают устройства при потере источника времени (например, сигнализация качества времени и запрет на часть функций, где это критично).

Тестирование и приемка: как подтверждают надежность и безопасность

Резервирование и меры защиты имеют смысл только если они проверены в условиях, близких к реальным.

Виды испытаний

FAT (Factory Acceptance Test) — заводские испытания: проверка логики, сигналов, отчетов, базовых коммуникаций.

SAT (Site Acceptance Test) — испытания на объекте: проверка реальной топологии, связи, времени, взаимодействия с выключателями и вторичными цепями.

Комплексные испытания: проверка сценариев аварий, работы УРОВ/АПВ/АВР и прохождения событий до SCADA.

Периодические проверки: регламентные тесты, включая проверку резервных каналов и резервных копий.

Что важно тестировать именно для IEC 61850

доставка GOOSE в допустимые задержки и при отказах отдельных линков;

корректность MMS-отчетов и сопоставления точек в SCADA;

качество времени: проверка меток SOE на разных IED;

поведение при потере связи: что блокируется, что продолжает работать локально.

Тестирование восстановления

Один из самых частых провалов надежности SCADA и шлюзов — резервные копии есть, но восстановление не отработано.

Практически нужно подтверждать:

что резервные копии делаются по расписанию;

что можно восстановить систему в целевой срок;

что после восстановления корректны ключевые функции: топология, архивы, права доступа, отчеты.

Расследование аварий и инцидентов: единый процесс для РЗА, SCADA и ИБ

В энергетике полезно рассматривать аварии и киберинциденты в одной дисциплине операционного расследования, потому что данные и инструменты частично общие.

Типовой цикл расследования

Стабилизация: обеспечить безопасность людей и оборудования, локализовать повреждение, запретить опасные включения.

Сохранение данных: выгрузить SOE, осциллограммы, журналы SCADA, логи шлюзов до того, как они будут перезаписаны.

Реконструкция таймлайна: построить последовательность событий по времени и логике схемы.

Технический анализ: определить первопричину (повреждение, отказ устройства, ошибка настройки, ошибка персонала, возможный ИБ-фактор).

Корректирующие меры: уставки, схема, сеть, доступы, регламенты, обучение.

Проверка: повторные испытания, подтверждение, что проблема устранена.

!Таймлайн показывает, какие данные и в каком порядке нужны для расследования

Какие данные из РЗА обычно решают спорные вопросы

осциллограммы токов и напряжений до и после события;

признак, какая функция сработала (ступень, зона дистанционной защиты, дифференциал, земля);

команда TRIP и подтверждение отключения выключателя;

запуск и исход АПВ (успешно или нет);

запуск УРОВ и перечень отключенных присоединений.

Что добавляет SCADA и телемеханика

действия оператора и телеуправления;

состояние топологии по дискретам (включено/отключено), включая секционирование;

телеметрия перетоков до и после отключений (помогает понять перегрузки и развитие аварии);

сквозная корреляция событий по объектам.

Признаки, что это может быть киберинцидент

Ни один признак не является абсолютным, но настораживающими считаются:

расхождение между локальными журналами IED и тем, что показывает SCADA;

необъяснимые изменения уставок/конфигураций;

повторяющиеся потери времени или резкие скачки меток SOE;

множественные ошибки аутентификации, неизвестные подключения, запуск сервисов;

нарушения целостности архивов и журналов.

В таких случаях расследование должно включать ИБ-специалистов и сохранение цифровых доказательств по процедурам.

Практические выводы для инженера РЗА и диспетчеризации

Надежность достигается не одним решением, а комбинацией: резервирование функций, отказоустойчивость связи, автономность локальных алгоритмов и проверяемое восстановление.

Кибербезопасность для РЗА и SCADA критична потому, что воздействие на данные, время и команды может имитировать аварийный режим.

Синхронизация времени — это одновременно инженерная и ИБ-задача: она нужна и для корректной работы (SOE), и для доказуемого расследования.

Тестирование должно проверять не только нормальный режим, но и отказовые сценарии: обрыв линка, отказ коммутатора, потеря времени, потеря канала до диспетчерского центра.

Расследование должно начинаться с сохранения данных и построения таймлайна, иначе важные факты будут потеряны.

Рекомендуемые источники

NIST SP 800-82 Rev. 2 Guide to Industrial Control Systems (ICS) Security

MITRE ATT&CK for ICS

Industrial control system

IEC 62351 (страница серии стандартов по безопасности энергосистемных коммуникаций)

IEC 62439-3 (PRP/HSR) overview