新一代智能變電站大量使用一次設備同體設計、緊密耦合的數字化就地模塊，因而系統對就地模塊等硬件可靠性有很高的要求。硬件設計方面，隨著微處理器尤其是現場可編程門陣列（field pro- grammable gate array, FPGA）以及數字信號處理（digital signal processor, DSP）技術的發展，在單一處理器芯片中實現復雜控制和保護功能成為可能，它簡化了硬件設計，具有更好的抗干擾性能，有利于提高硬件可靠性。

根據變電站現場運行經驗，就地模塊靠近一次設備，電磁環境嚴酷復雜。氣體絕緣組合電器設備（gas insulated metal switchgear, GIS）隔離開關操作時，觸頭間隙會發生預擊穿或重擊穿放電，產生陡變的行波向兩側傳播，遇到波阻抗變化處發生折反射，形成特快速瞬態過電壓（very fast transient over-voltage, VFTO）。

在早期采用電子式互感器的智能站中，GIS電子式互感器中的采集器就很容易受到VFTO的影響，具體的干擾波形與不同廠家GIS設備、線路長度、現場接地情況、一次傳感器和信號線屏蔽等有關。在貴州某智能站中，電子式互感器采集器受到干擾，曾出現合開關時采樣器模數轉換芯片誤采虛假大電流而出現跳閘，使運行過程中高速數據總線傳輸的開關量狀態異常變位導致保護誤動。還有不少電源受浪涌類干擾而出現損壞的情況。

受電子元器件的老化、一次設備高電壓沖擊等因素的影響，保證數字化就地設備的硬件永遠不損壞是實現不了的。要提高硬件可靠性，就必須具有硬件自檢功能，在裝置的調試和運行過程中能及時發現硬件故障，保證裝置不誤動并能立即報警，通過系統綜合決策，在最短時間內采取措施予以修復。

國內幾大二次設備廠家的裝置都具備硬件自檢和互檢能力，比如繼電器、開入的智能化檢測以及對容易損壞的電源電壓輸出質量的測量、溫度綜合監測等。但目前的硬件檢測也有不足，比如FPGA軟錯誤、內存（RAM）軟錯誤等問題并不容易被檢測，從而引發電力系統事故造成損失。

半導體器件發生單粒子效應時，其危害包括數據丟失、功能中斷等。如在CPU的指令緩存中引起軟錯誤（soft error），則將導致CPU不能執行預期的功能。超級計算機的軟錯誤曾造成美國Los Alamos國家實驗室重大損失。隨著芯片半導體尺寸的減小和存儲容量的持續擴大，靜態存儲器（SRAM）或者片外的動態存儲器（DRAM）單邏輯位的軟錯誤概率（soft error rate, SER）呈指數級增長。

本文研究硬件全面自檢的方法，及時獲取硬件設備運行狀態，實現變電站二次設備狀態的全面感知，從而保證就地模塊設備可靠運行。

1 硬件自檢架構

就地模塊硬件（其架構如圖1所示）采用系統級芯片（system on chip, SOC）（A9雙核800MHz，FPGA LC125K），支持256MB內存和豐富的存儲設備。采用16位模數轉換器（ADC），支持網絡口（ETH）、CAN總線、I2C總線擴展，面板支持4路網口、對時口等。

1.1 自檢設計分類

自檢設計分類是從產品設計角度來研究處理系統故障，對硬件進行自檢設計，將可能發生的故障根據成因和功能電路進行分析和分類。

就地模塊硬件自檢的信息主要來自外設，包括處理器及外設自檢、內存自檢、通信自檢、電源和其他硬件自檢等。其分類如圖2所示。

圖1 就地模塊硬件架構

圖2 就地模塊硬件自檢信息分類圖

1.2 自檢設計的實現

硬件自檢的難點主要在處理器和內存，其關系到應用功能的運行可靠性。

1）處理器及外設自檢設計

處理器（DSP、SOC等）的特點是速度快、結構復雜、可觀察性低。本文對處理器的自檢從處理器的功能實現出發，對不可見的復雜功能電路進行故障分析。通過設計將運算指令、傳送指令、跳轉指令、邏輯指令等組合為完成一定運算功能的指令塊，利用該指令塊的結果判斷處理器的傳輸、計算、輸出等功能。

檢查處理器是否能夠正確執行全部指令，并且可以在定時器中斷中清除中斷異常標志，來檢查處理器的中斷和定時器功能是否正常。

處理器內部自檢流程如圖3所示。

圖3 處理器內部自檢流程圖

裝置上電后，執行預先的指令塊，利用該指令塊的結果判斷CPU的傳輸、計算、輸出等功能，如果運算結果與存儲正確值不一樣，設置CPU錯誤標志；如果結果一致，就繼續進行處理器中斷和定時器功能檢測。

若在規定時間內中斷程序中的異常標志被清零，則置CPU自檢成功；若超過規定時間中斷程序中的異常標志依然存在，則設置CPU自檢錯誤。

處理器外設自檢通過監視接口模塊寄存器狀態、輸入、輸出數據互相校驗，采用通信接口發送、接收自環檢測等方式自檢。

2）內存自檢設計

內存自檢用于解決運行過程中內存意外出錯的問題，以有效防止因存儲器出錯導致的程序邏輯異常。內存自檢包括數據內存自檢（如保護定值、系數表、關鍵全局變量、指針等）和指令內存自檢（如運行過程中RAM代碼等）。

處理器運行時，RAM中存儲的信息主要包含程序代碼和數據兩大類，其中代碼屬于只讀屬性，在運行過程中被處理器讀取并執行，內容不會被修改。數據在運行過程中可能部分會被修改覆蓋，還有部分是只讀狀態，會一直保持不變。對于運行過程中保持不變的代碼空間和部分數據空間，采用多存儲器的相互校驗機制進行監視檢查和出錯恢復。

圖4 內存自檢架構圖

嵌入式板卡上的程序文件一般存儲于Flash中，分為BOOT引導程序和應用程序，板卡上電后，處理器從BOOT引導程序開始執行，把Flash中的程序塊解析后載入到不同的內存區域，完成該步驟后自動跳轉應用程序，并開始執行。

Flash中只讀狀態的程序在內存中形成了備份，程序運行過程中，將內存中導入程序與Flash中的源程序代碼進行實時比較，監視內存中的代碼區域是否發生了軟錯誤，再進行記錄以及糾錯。

根據對源程序在不同物理介質進行備份、互校的機制，本文提出一種程序、數據多重備份、互校的軟錯誤處理辦法。在繼電保護裝置中，跳閘門檻、瞬態電流等可能會引起裝置拒動作或誤動作，嵌入式板卡處理器運行時，處理器根據程序和數據區的重要程度，將待監視的程序及數據在動態RAM空間分配相同大小的區域，將源程序和數據進行雙重備份。

備份程序及數據運行之前，首先將源程序和數據與兩塊備份區域進行三者校驗，若三者一致，則判斷程序、數據正確，載入運行。根據半導體器件發生單粒子效應的特點，內存出現軟錯誤時，不一致的區域很容易被對比發現，若兩個區域相同，第3個區域不同，則借鑒繼電保護邏輯中一項“三取二”的思想，用一致的兩個區域來糾正第三個區域；若3個區域都不相同，則可認為發生了超出預知的錯誤，判斷程序、數據有運行風險，采取處理器復位重起的方式來確保安全性。

當系統監視檢測到內存異常時，會記錄到本板非易失性存儲器中。具體內容包括異常發生時間、正確的數據、錯誤的數據、異常地址、異常地址附近的內容等。異常記錄被存放于板卡非易失性存儲器中，可以通過調試工具上招，便于異常分析。

現場應對內存出錯采取的措施一般是軟重起，以便使系統能夠盡快恢復運行。獲取到內存出錯標志后，首先閉鎖裝置，然后做內存出錯報文。若當前檢測輪次大于3次，則重起處理器。

1.3 自檢系統可靠性

硬件自檢系統除了本身需要完備的功能以檢測主要硬件故障外，還需要保證自檢系統工作可靠運行。在設計系統時，應考慮當故障自動被檢測出不安全狀態時，系統能做出正確響應。設計故障檢測的優先級結構及安全性控制、校正邏輯、處理和響應故障的模塊，產生對硬件進行自主控制信號，能直接影響硬件部件運行或啟動安全關鍵功能。

硬件自檢系統可靠機制主要體現在軟硬件結合處理方面，包括電源失效防護、加電檢測、電磁干擾、系統不穩定、接口故障、干擾信號、錯誤操作等設計。

硬件加電的瞬間，電源可能出現間歇故障，系統或因電源上電過程的抖動或上電順序不一致而出現運行問題，此時需軟硬件配合處理這兩種狀態下的潛在不安全初始狀態，提供安全的關閉措施，使電源有波動時的系統不會產生潛在的危險。系統加電的過程，軟件對系統進行檢測，驗證系統安全且在正常運行；軟件還對系統進行周期性檢測，以監視系統的安全狀態。

對于電磁干擾、宇宙重粒子的沖擊，硬件設計應將這些干擾控制在電磁兼容（electromagnetic compatibility, EMC）規范之下，軟件設計要使得在出現這種干擾時，系統仍處于安全狀態。當外來干擾使系統出現不穩定、不宜繼續執行指令時，軟件應有等系統穩定后再執行指令的措施。

軟件應能判斷輸入操作正確（或合理）與否，并在遇到不正確（或不合理）輸入和操作時拒絕該操作的執行，并進行提醒或報警，同時給出錯誤的類型和糾正措施。

2 自診斷系統的通信

自診斷系統通信架構的功能是將就地模塊的自檢信息通過站控層上送到監控系統，對保護運行狀態進行遠程監視，并編制保護運行狀態評估信息（以下簡稱保信）上送方案。

系統選用的過程層設備為電磁式互感器電壓電流就地模塊，程序實現其硬件全面自檢后，從光口發出含自檢信息的面向通用對象的變電站事件（generic object oriented substation event, GOOSE）報文。

站控層選用支持GOOSE功能的PCS-9705A-D型號測控，接收就地模塊的自檢信息并搬運到站控層網絡，通過站內制造報文規范（manufacturing message specification, MMS）通信上送到后臺，最后由子站匯集整理所有監視設備的全信息，并以系統工程測試程序（system engineering test program, SFTP）方式推送到保信主站，如圖5所示。

圖5 狀態信息上送架構圖

基于硬件平臺分析發現了可能出現的不同程度裝置的運行故障，針對這些故障提出了硬件自診斷的算法或判定邏輯。

數據對象引用名便于理解自檢信息在icd文件中的模型配置。自檢信息包括信號量和模擬量：①信號量動作時表示出現自檢告警，復歸表示告警消失；②模擬量可以實時監測其變化過程和趨勢。各信號對應的自檢信息分類見表1右側所示。

系統模擬兩層一網簡化架構，通信符合現代61850數字化站的要求，過程層使用GOOSE通信，站控層使用MMS通信。

3 自診斷系統的實現

就地模塊一旦發生自檢告警，就會通過GOOSE協議發送給測控裝置，由測控裝置轉成MMS上送。為實現以上站內通信，整理就地模塊二次自檢信息，統計有意義的信號，在應用層完成這些自檢信號的變量定義，根據相關內容完成邏輯判斷，實現對應功能，完成GOOSE文本及icd文件的配置，符合61850通信規范，導出供工程配置使用，搭建硬件平臺，進行工程配置，搭建實例化展示系統（如圖6所示）。

圖6 實例化展示系統

國家電網公司國內首座半戶內智慧變電站——湖南某智慧變電站已于2019年年底正式投入運行。該站使用南瑞繼保公司的就地設備具備異常主動預警功能，自動識別二次設備隱性故障，若發現設備異常則主動預警，實現了變電站二次設備狀態全面感知，為狀態檢修提供了技術支撐。

4 結論

本文針對新一代智能變電站二次系統對就地設備硬件可靠性的要求，研究硬件全面自檢的方法，及時獲取了硬件設備運行狀態，通過通信協議進行擴展，將硬件自檢信息上送到硬件自檢監控系統（如圖7所示），為檢修等工作提供信息數據，提高了設備運行的可靠性，為運維檢修工作帶來了便利。

圖7 監控系統自診斷信息圖