目前变电站内配置的防误单机工作模式无法充分满足调控一体化工作模式的可靠性要求。为了解决这个问题，国网福建省电力有限公司检修分公司、国网福建省电力有限公司福州分公司、国网福建省电力有限公司建设分公司的研究人员陈月卿、邱建斌、林肖斐、虞俊峰、陈志辉，在2020年第12期《电气技术》上撰文，设计了防误双机工作运行模式，包括系统应用架构调整和软件模块优化设计，通过防误双机虚遥信同步、闭锁信息同步、惟一操作权把控等技术处理，保证了防误双机冗余配置的功能实现，提高了整个防误系统的可靠性。变电站微机防误闭锁系统作为变电站自动化系统的重要组成部分，已成为防止电气误操作的关键技术手段。随着无人值守站数量的增加和变电站信息技术的提升以及“调控一体化”运行模式的推广，调控远方操作的应用变得越来越广泛和频繁。从操作安全的视角来看，由调控防误和变电站微机防误系统组成的防误体系可为安全操作提供有力的技术保障，但同时也对整个调控体系的可靠性和功能完整性提出了更高的要求。传统的变电站微机防误系统单机配置模式无法充分满足当前的技术要求，而成为整个系统中可靠性偏薄弱的一环。实现变电站微机防误系统双机冗余配置模式，已成为提升防误体系可靠性的重要关键点。目前应用模式下由调控防误和变电站防误系统组合的防误体系应用架构示意图如图1所示。图1 现有防误系统应用架构示意图当调控中心对变电站内一次设备进行操作时，首先经过调控防误系统逻辑校核，逻辑校核通过后将设备操作信息下发至变电站端防误主机，经变电站端防误主机逻辑校核通过后驱动相应闭锁接点闭合，一次设备方满足可远方操作。在目前应用配置情况下，调控系统为双机配置，调度信息网络为双网配置，为变电站端防误主机提供设备状态信息及接收防误校核结果的监控系统为双机配置，但与之相对的变电站端防误主机仅为单机配置，严重影响整套系统的可靠性。双机配置的设备一旦进行主备切换，就可能导致防误主机与之通信异常。当防误主机本身故障或主机升级退出运行时，将更直接影响整个防误系统校核功能的正常运行。1 系统设计综上所述，对变电站端防误主机实施双机配置是提升子站防误系统可靠性的惟一手段。变电站端防误主机双机配置方案，即在站内部署两台防误主机，互为备份，两机之间可以相互切换、互相建立数据同步机制，以减少子站防误主机因故障造成对调控主站远方操作的影响。两台主机同时与主站调度系统、站端后台系统、站端遥控闭锁装置通信，任一防误主机均可处理调度及后台数据，并可向遥闭装置发送解闭锁命令，增加了防误操作的可靠性。变电站防误主机双机模式应用架构示意图如图2所示。图2 防误主机双机模式应用架构示意图防误系统双机配置并非简单增加物理设备，还需要进行数据同步、数据备份还原、惟一操作权把控、通信异常处理等软件配套处理。这些关键技术包括双主机与调度系统及监控系统建立可靠数据通道、保持双主机之间的运行数据实时同步、保持双主机配置数据的一致、保证紧急情况下双机间的设备解锁操作、双机之间的票号连续性等。2 主要模块功能设计防误主机采用双主机模式来进行双机备份，两台防误主机同时工作，双机备份系统及应用程序各自独立，均独立对外提供接口和服务，两机之间仅仅是数据库相互备份。双机之间通过数据同步软件来保证数据的一致性。两台主机同时与主站调度系统、站端后台系统、站端遥控闭锁装置通信，正常运行时，任意一台防误主机均可接收调度中心下发的遥控闭锁操作命令、判断防误逻辑、解锁/闭锁遥闭装置、接收后台变位信号。在一防误主机出现故障时，另一主机仍能够保证系统的正常稳定运行。双主机模式基本功能结构示意图如图3所示。图3 双主机模式基本功能结构示意图在配置双机后，通过数据备份还原方式将数据同步至两台防误主机。正常情况下双机均应处于运行状态，互为冗余。双机之间实时数据通过网络通信方式进行同步。同步内容主要包括虚遥信、闭锁信息、惟一操作权。2.1 虚遥信同步当一台防误主机进行遥控操作或就地完成操作、设备发生变位后，防误主机系统将变位后的设备状态信息发送至另一主机，另一主机判断相应设备是否存在，判断通过后自动实现设备状态的同步。虚遥信同步处理流程如图4所示。2.2 闭锁信息（设备操作权）同步当调控主站下发操作指令或在站端防误主机A上进行开票操作时，需要闭锁相关的设备，禁止主机B再对相应设备进行操作。此时，防误系统自动将需要闭锁的设备信息发送给主机B，主机B接收到后，将这些设备设置为被闭锁标志，确保无法在主机B上再操作此类设备，以确保设备操作的安全性。闭锁信息（设备操作权）同步处理流程如图5所示。图4 虚遥信同步过程处理流程图图5 闭锁信息（设备操作权）同步处理流程图2.3 惟一操作权惟一操作权分为两种情况：1）两台站内防误主机之间的惟一操作权。两台防误主机之间的惟一操作权指一台防误主机进行就地操作开票时，另一防误主机禁止进行开票操作。在防误主机同步信号中加入开票操作信息，一旦一台主机进入开票状态，另一主机就自动进入操作权锁定状态，此后获得操作权的防误主机一直拥有就地操作权限，另一主机一直无就地操作权限。当拥有就地操作权限的主机出现故障时，同步机制将操作权转移到另一主机，使另一主机获取就地操作权。2）防误子站和调度主站之间的惟一操作权。防误子站和调度主站之间的惟一操作权是指同一时间对同一设备或逻辑相关设备只有一方能够操作。此功能是由防误子站来保障的，其控制流程如图6所示。从图6可以看出，每次操作子站防误系统均会进行相关性远方操作和就地操作的判断。当有相关的远方操作或就地操作时，子站防误系统会发送无法操作的信号至调度主站，调度主站此时无法操作；当子站防误系统判断无相关的远方操作和就地操作时，才会解锁遥闭，并将遥闭解锁结果上送至调度主站，此时主站方能进行遥控操作。所以主子站之间的惟一操作权最终是通过子站防误系统进行判断的。在子站双主机备份情况下，因双机之间进行了操作权同步，所以任何一台防误主机均可以进行判断，而且判断结果一致。图7所示为子站惟一操作权控制流程图。图6 主子站惟一操作权控制流程图2.4 链路监测正常情况下，防误双机通过互发心跳报文进行链路检测，若在设定的时间范围内，没有收到对方的心跳报文应答，则认为对方机处于异常状态，系统将给出相应的信息提示。若是主机B，则该机将自动拥有临时操作权，此时可以进行相关的操作；若需切换到主机B进行操作，并且当前有未操作完成的操作票，则可先清除该操作票，再重新开票进行操作。图7 子站惟一操作权控制流程图3 通信处理双机配置后，变电站防误主机与相关系统通信链路连接也会发生相应的变化，需要额外处理。3.1 防误主机与调控系统通信防误和调控系统通信采用的是双机双网模式，其通信链接示意图如图8所示。 图8 防误主机与调控系统通信链接示意图上行数据：最终线路运行方式，AA、BA、AB、BB 4条链路会同时启用，主站根据运行情况自动选择最优的一条链路作为主链路，其余作为备用链路。下行数据：对于下发遥控操作命令时，其中4条链路只允许选择其中一条链路下发命令，不允许4条链路同时下发命令。即主站通过规则自动锁定最优链路方式来控制操作的惟一性。3.2 防误主机与监控系统通信当监控系统为支持组播方式通信模式时，实现方式为监控后台主机以UDP组播方式与两台防误主机同时通信，对于遥控操作，监控后台同时向两台防误主机请求防误校验，其中只有当任务正在操作的一台主机响应，另一防误主机无需响应。两台防误主机为双主工作模式，当有一台故障时，由另一防误主机工作。当监控系统为不支持组播方式通信模式时，需要监控主机增加一条通道，向另一防误主机发送设备的实时状态。图9所示为防误主机与监控系统通信链接示意图。图9 防误主机与监控系统通信链接示意图3.3 防误主机与遥控闭锁装置通信当防误主机与遥控闭锁装置实现双网、防误主机有遥控解闭锁操作时，会同时向双网通道发送解闭锁命令至遥控闭锁装置。4 实际工程应用防误主机双机模式已成功应用于福建省多个220kV及以上电压等级变电站。实际情况表明，该模式的应用大大减少了因防误系统问题对调控系统产生的影响，提高了变电站防误系统的整体可靠性。5 结论随着国网“调控一体化”模式得到深化推进，调控远方操作的应用愈发广泛频繁，为保证调控操作的安全性和可靠性，变电站防误主机采用双机模式配置，这样可提升整个系统的工作可靠性，并为安全操作提供有力的技术保障。防误双机模式也可独立应用于变电站端，解决监控系统主备切换后与防误系统通信异常的问题，具有良好的应用前景。
