论电力系统工程

系统工程首先面对一个基本问题：当一个目标只能由许多相互作用的对象共同实现时，怎样把局部知识组织成一个能够被设计、分析、验证、运行并持续修正的整体？ 单个部件性能优良、单个算法推导正确、单个团队按时完成任务，都不能自动推出整个系统达到预期目标。复杂工程的困难经常集中在边界、接口、反馈、约束以及不同专业之间未经说明的假设上。

我理解的系统工程，核心是围绕系统目标，把需求、技术、组织和证据组织成能够反复闭合的工程过程。贯穿全文的主线可以压缩为一句话：

需求定边界，模型经接口成系统；反馈与约束塑造行为，验证建立可信，运行推动演化。

这里的“模型经接口成系统”，指模型经接口形成可分析、可验证的系统表示；真实系统还包含物理对象、信息过程、人员和组织。模型是对现实的选择性抽象，只保留与问题有关的状态、关系和机理。

需求首先规定系统要解决什么问题、在什么环境和场景下工作、哪些结果必须达到、哪些代价不能接受。需求足够具体以后，工程师才知道什么应纳入系统，什么可以留在环境中，边界由此形成。边界确定后，不同专业会建立各自的模型：飞机需要气动、结构、推进和飞控模型，自动化产线需要设备节拍、物流、质量与控制模型，大型软件平台也会使用服务、数据、权限和故障传播模型。模型服务于问题，详细程度取决于用途。

模型、部件和组织通过接口连接。接口同时规定交换对象、量纲、语义、时序、异常处理和责任交接。许多系统性故障发生在局部功能都能工作、接口假设却彼此不一致的地方。接口把局部连接起来以后，反馈开始产生系统行为：一个动作改变其他部分的条件，新的响应又返回原系统，振荡、拥塞、级联、饱和等现象由此出现。

真实系统还受到资源、容量、速度、能量、时延、可靠性、成本、法规和物理极限的约束。约束从一开始就在限定可行方案。设计和计算给出的结论只是工程主张，需要通过分析、试验、仿真、交叉校核、故障注入和现场数据建立证据，逐步回答实现是否符合要求、模型能否支持用途、结论可以相信到什么范围。

系统投入运行以后，环境、设备、软件和使用方式还会继续变化。事故与日常运行会暴露设计阶段难以观察的耦合，新的证据又反过来修订需求、边界、模型、接口和验证方法。系统工程因此表现为持续校正的闭环：目标驱动抽象和集成，行为受约束塑造，证据支撑判断，运行再把新的问题送回设计过程。

把这一框架放回电力系统，要求会更加严格。电力系统跨地域持续运行，发、输、变、配、用通过同一网络实时耦合，电磁过程、机电过程、控制过程以及市场与调度过程跨越多个时间尺度；保护和控制还会在扰动中主动改变网络结构。一次设备寿命可以达到数十年，通信、软件和算法的迭代周期却短得多；规划、建设、调度、保护、自动化、通信、软件和运维又分属不同专业与组织。电力系统工程需要持续维护这些对象之间的边界、模型、接口、约束和证据，使局部正确能够在明确条件下支持系统目标。

全文可以分三层阅读。第一章先说明需求、边界和责任；第二至四章讨论真实电网在频率、电压和故障防御问题中怎样运动；第五章讨论系统功能怎样落实到具体装置，以及装置研发、部署和运行为什么仍然是系统工程；第六至八章讨论我们怎样选择模型、管理多版本电网并让工业软件进入安全闭环；第九章辨析数字孪生，第十章再把前面的案例收束为一条工程证据链。

文中的数值算例均为专门构造的教学模型，用于揭示因果关系，不对应某一电网的事故复盘，也不构成设备性能承诺、保护整定建议或调度操作规程。

一、电力系统工程的起点：先确定究竟对什么结果负责

1. 系统思维、控制理论与系统工程各有边界

系统思维提醒我们关注整体、关系、反馈和环境。控制理论提供描述动态行为、设计调节规律和分析稳定性的数学工具。系统工程则需要把这些认识落实到需求、方案、实现、集成、运行维护和退役的全过程。ISO/IEC/IEEE 15288 的公开范围说明，关注的正是这样的系统生命周期过程，而不是某一种具体控制算法。[1]

研究一次调频控制器，可以把输入设为频率偏差，把输出设为机械功率指令。但把一次调频功能接入真实电网，还必须回答：频率从哪里测量？测量失真时怎样处理？机组有没有可用裕度？执行机构能够持续多久？厂级控制会不会把增发功率拉回去？运行人员如何知道这一功能已经退出？

因此，一条闭环稳定性证明不等于一项工程已经完成；同样，一套完整的项目流程，也不能弥补物理机理和控制设计上的错误。技术正确性与工程完整性是两个必须同时成立的条件。

跨学科能力要求工程师识别不同专业之间的共同结构，同时尊重各自的适用前提。频率控制与电压控制都有反馈，但它们的空间耦合、资源约束和主要失效方式并不相同。继电保护与软件异常处理都需要判断异常，但保护动作会改变真实电网拓扑，其错误后果不能只用程序是否返回成功来衡量。

2. 需求要落实为场景、指标与约束

“提高系统安全性”表达了方向，却没有形成可验收的要求。首先要说明研究什么运行方式、什么扰动、什么设备状态；其次要说明看什么结果；最后要说明哪些措施允许采用、哪些后果不能接受。NASA 系统工程手册将运行概念、利益相关方期望和技术需求的形成放在设计前端，意义正在于此。[2]

例如，对于大扰动后的频率问题，最大频率变化率、最低频率、频率恢复时间、切负荷规模和后续备用恢复，回答的是不同问题。不能用稳态频差较小，替代最低频率满足要求；也不能用最后恢复到额定频率，掩盖过程中发生了不可接受的大范围停电。

对于电压问题，正常运行时电压合格只是起点。事故后还有没有动态无功裕度？限制器动作后能否维持可接受状态？控制目标是否互相冲突？这些都可能比正常断面的电压偏差更重要。

对于保护问题，动作正确率是重要的装置指标，但整个系统还关心故障是否及时清除、切除范围是否适当、后备路径是否有效，以及动作后的网络是否还能承受新的潮流。不同层级的指标不能混成一个“可靠率”。

我的基本判断是：先确定不能牺牲的底线，再比较效率与成本。否则，所谓优化往往只是把尚未写进目标函数的代价转移给别人。

3. 边界决定因果责任的范围

设备的物理边界、分析模型的边界和组织的责任边界，通常并不重合。发电机可能属于一家企业，控制定值由另一专业审核，频率安全却取决于整个同步系统。一个软件接口由两家供应商实现，接口失配造成的后果却由运行单位承担。

划定分析边界时，应追问“哪些变化足以改变我要判断的结果”。组织接口则需要明确跨越接口的假设由谁确认，失效以后由谁接管。

分析边界无需无限扩大。边界之外的对象可以用等值、约束或服务承诺表示，但这些表示必须有依据。把一个外部电网写成无限大电源，本质上是在承诺它的电压和频率不会因研究中的扰动而显著变化；把通信写成零延时，本质上是在假定延时不影响研究结论。假设可以采用，却不能隐身。

二、大扰动后的频率响应：为什么不能只看调速器

1. 从直流闭锁开始，先写出功率去了哪里

设想一个通过直流受电的同步系统，某回直流突然闭锁，输入有功减少。闭锁发生后首先应追问这部分功率缺额由什么机制、在什么时间内承担；调速器增益属于后续问题。

若研究对象只是一个与外部强交流系统相连的省级电网，不能直接把行政边界以内的负荷与电源相减，然后当成独立系统频率模型。交流联络线的支援及其动态必须保留。若系统因故障解列，原先依赖的支援边界又会发生突变。对于直流送端，同一次闭锁可能首先表现为功率富余，方向与受端相反。

在频率足够相干、采用小偏差近似的聚合模型中，可以写成：

这里，频率偏差以 Hz 表示，功率以 MW 表示；扰动后的在线旋转动能总量为 $E_{\mathrm k}=\sum_i H_iS_i$，单位为 MW·s；$M$ 的单位为 MW·s/Hz；$D$ 是该模型中的负荷频率敏感系数，单位为 MW/Hz。一次调频、快速功率支撑、二次调频、联络线增援和切负荷均以缓解缺额为正，功率损失取正值。

这个方程只是经过选择的系统边界表示。它把多个作用放在同一条功率平衡链中，使我们无法只盯着调速器。惯性、一次响应和二次响应承担不同任务，频率结果来自发电与负荷的共同作用，这也是频率响应技术分析的基本出发点。[3]

2. 惯性争取时间，但不负责永久填平缺额

在功率突失后、主动调节尚未形成明显增量的理想初始阶段，有：

这说明同样的功率缺额，在较低动能下会造成较大的初始频率下降速度。但这个近似必须连同适用条件使用：实际母线的频率估计受到电磁暂态、局部振荡和测量算法影响，不等于任何地点、任何窗口计算出的频率变化率都会严格服从这个单机等值公式。

尤其在大机组跳闸时，既损失有功出力，也可能失去该机组对剩余同步系统的惯性贡献。不能用事故前包含已跳机组的惯量，去计算事故后系统的初始响应。直流闭锁与同步机跳闸虽都能造成有功缺额，其边界条件并不完全相同。

惯性提供的是旋转动能的释放。若后续没有足够的持续功率补偿，再大的惯性也只是把频率恶化推迟。对储能、风机附加控制或构网型装置，也不能仅凭“虚拟惯量”名称，就把它无条件并入常数 $H$。只有在明确的频段、测量路径和功率限制内，某些响应才可以近似为等效惯性；能量来源、限流和恢复过程仍须单独检查。

系统工程在这里做的第一件事，是把“装机容量”“惯性资源”“调频裕度”和“持续供能能力”从四个容易混用的词，变成四个分别核实的对象。

3. 一次调频要从下垂特性走向真实响应

用静态下垂表示一次调频，可以得到：

其中 $R$ 是以所选有功基准定义的调差系数。假设一台机组的有功基准为 1000 MW，$R=0.05$，额定频率为 50 Hz，则该简化模型的斜率为 400 MW/Hz。频率下降 0.2 Hz 时，直线给出的增发需求是 80 MW。

但若机组当时只有 20 MW 上调空间，80 MW 只是控制器的愿望。若阀门已经限位、锅炉约束不允许持续增发，或者厂级负荷控制随后消除了增量，系统得到的功率就与这条直线不同。一次调频的死区、限幅、汽轮机与锅炉动态以及外环协调，应当进入模型和试验，不能停留在说明书附注里。[4]

因此，应区分“检测到频差”“控制器发出指令”“执行机构响应”和“并网点真正增加有功”四个层次。只检查调速器输出曲线，可能把没有到达电网的功率也算成了频率支撑。

还要区分可用容量与可用速度。两组机组最终都能增加相同功率，前几秒的表现仍可能完全不同。系统是否先触及低频防线，取决于增量何时到达，而不是最终能达到多少。

4. 一个可复算的反例：最终频差一样，最低频率却不同

下面构造一个 50 Hz 的独立受端同步系统，不考虑交流外部支援，突然损失 3000 MW 直流输入。为单独观察惯性与一次调频关系，暂不加入死区、AGC、快速支撑和低频减载，仅使用以下两状态模型：

$p$ 表示聚合一次调频实际功率增量；$\operatorname{clip}$ 将目标增量限制在 0—4500 MW。$T$ 只是示意性的等效时间常数，不代表某一类真实原动机。四种情形只改变动能、响应速度和静态调节斜率，其他条件保持相同。

表中结果由上述方程数值积分得到，取值保留至相应小数位；配套脚本给出完整参数和步长复核。这里没有设置任何保护门槛，表中的频率也不是对实际电网事故的预测。

A、B、C 三种情形在不触发其他控制、最终退出饱和的条件下，具有同样的准稳态频率：

然而，它们的最低频率明显不同。A 与 B 说明，只看一次调频最终增量，会漏掉惯性变化带来的早期风险；B 与 C 说明，同样的静态斜率和功率上限，并不意味着同样的动态安全性；B 与 D 则进一步说明，响应速度与调节总能力也不能相互替代。

这个反例的价值不在于数字本身，而在于把“为什么不能只看调速器”变成了一件可以复算的事情。即使使用如此简化的模型，单一设备指标也不足以决定系统指标；真实电网还会增加空间差异、限幅切换和多个控制层之间的耦合。

5. 负荷特性与低频减载需要分开建模

方程中的 $-D\Delta f$ 表示在该线性模型下，频率下降使部分负荷有功需求减少。这种作用能够缓解缺额，但其大小依赖负荷构成与运行状态。电动机、恒功率电子负荷以及具有自身保护和控制的设备，不能无条件用一个多年不变的系数替代。

这里尤其容易出现重复计算：某类负荷已经通过动态模型表达了降频减载效应，又在系统层叠加同一部分阻尼；或者负荷脱网已经进入事件记录，辨识时却仍把全部有功变化归入一次调频。模型看似补充了更多机制，实际上可能把同一贡献算了两次。

低频减载属于离散控制，通过切除部分负荷改变功率平衡，与连续负荷频率特性需要分开处理。动作门槛、测量滤波、持续时间、断路器执行时间、闭锁条件和后续轮次共同决定结果。

更值得重视的是，装置对应的“可切负荷”会随运行方式变化。设某馈线当时用电为 100 MW，本地分布式发电为 70 MW，从主网净受电只有 30 MW。若整条馈线与主网断开，从主网平衡角度看，减轻的缺额通常应按当时净交换功率计算，不能直接套用 100 MW 用电量。若馈线已净送出功率，同样的切除甚至可能加重主网缺额。这只是边界功率平衡的推论，具体效果还取决于所切范围及内部电源的后续状态。

因此，低频减载方案需要把馈线拓扑、净负荷变化和资源接入变化纳入维护。国家能源局关于电网运行韧性的公开解读也专门提出，研究第三道防线可切负荷动态调整、馈线功率方向判别与可切荷量滚动增补。这说明防线能力需要随运行条件持续维护。[5]

6. AGC、快速支撑与恢复之间，需要设计交接过程

一次调频通常依赖本地频率反馈，在存在持续功率缺额时形成新的平衡；AGC，即自动发电控制，则结合区域控制目标进一步调整机组出力。对于互联区域，典型区域控制偏差同时考虑联络线交换偏差和频率偏差。[3]

这些机制在时间上相互重叠。惯性响应尚未消退时，一次调频已经启动；AGC 也可能在一次调频仍有贡献时介入。不同阶段的主导机制、可用信息和控制目标会变化，分层控制需要把这些重叠区间协调好。

快速储能可以在早期提供有功，但需要检查充放电状态、变流器电流上限、能量保持时间，以及退出后的二次跌落。假设某资源提供 1000 MW、持续 10 s，理想能量仅为约 2.78 MWh；这个简单乘法并不能代替储能选型，因为达到该功率所需的设备能力、可用荷电状态、损耗和后续恢复仍是独立约束。

更重要的是交接。在快速资源退出前，后续资源是否已真正接上？AGC 看到的机组出力变化是否含一次调频增量？厂级功率控制是否把应当保留的频率支撑当成计划偏差予以消除？紧急控制后的目标值是否仍对应事故前联络线计划？

把这些接口留到运行时临时协调，等于把控制设计的一部分交给事故处理人员。正确的做法，是在设计和测试中明确各层的输入、优先级、限幅、退出条件和模式转换规则。

7. WAMS 提供过程证据，模型仍需校核

广域测量系统 WAMS 通过同步相量测量等手段提供跨地点动态信息。它可以帮助比较频率、相角和功率的演变，使“到底是惯性不足、机组未响应，还是资源提前退出”获得更具体的证据。但同步采集不等于所有数据天然可直接拼接，测量位置、滤波与延迟仍需核对。[6]

假如试图利用扰动初期的功率缺额与频率变化率估计惯性，至少需要确认功率损失的时刻与规模、所取频率是否代表研究区域、选取窗口内是否已有快速控制或负荷变化。否则，辨识出来的可能是某个混合效应，而不是纯粹的旋转动能。

参数辨识还存在一个经常被忽略的问题：不同参数组合可能产生相近曲线。仅凭某次事件的一条频率记录，未必能独立识别惯性、负荷阻尼、调速器增益和延迟。应当检查参数敏感性，结合机组功率与控制状态记录，并使用其他事件检验模型，避免把单次拟合误差最小当成唯一目标。

PG&E 的 EPIC 2.15 项目报告提供了一个有启发性的实际例子。项目利用 PMU 扰动数据开展发电机动态模型校核，但报告明确区分了有无有效激励、机组是否有响应空间等条件；项目结论也没有把示范工具描述成已可直接投入生产的成熟产品。[6] 这一点比笼统宣称“有了大数据就能自动建模”更有工程价值。

8. 验证与确认在频率问题中分别检查什么

Verification，本文译为验证，检查实现是否满足规定要求；Validation，本文译为确认，检查其能否在预定用途和环境中满足实际需要。不同电力文献对中文译名可能有不同习惯，因此技术文件应同时写明英文及检查对象。[7][8]

在上面的示意算例中，检查量纲、初始变化率、准稳态解析解和步长收敛，是验证。用独立方法重算同一方程，也是验证证据。它们能说明程序较可信地实现了这两条方程，却不能说明这两条方程足以代表某个真实电网。

若要判断某电网的低频风险，还需要确认模型是否保留了相关联络线、负荷类型、控制限幅和保护行为，参数是否代表当前运行状态，仿真与实测是否在重要指标上吻合。用一条事件调参，再用同一条事件宣告“已确认”，证据仍然薄弱。

这一案例最终留下的系统工程问题是：谁维护在线惯性和调频能力信息，谁核实可切负荷，谁批准控制参数变更，谁保存事件记录，谁判断模型在变化后的电网中仍然适用？如果这些责任没有闭合，频率分析就容易停留在一次计算，而不能成为持续有效的安全能力。

三、电压控制：为什么每个设备都在正确控制，系统仍可能出问题

1. 电压是网络耦合状态

频率案例中的聚合模型，利用了研究区域频率具有一定相干性的假设。电压问题却不能照搬这一思路。不同节点的电压大小与相角，通过网络阻抗、有功和无功分布相互关联；支撑能力不仅取决于“有多少无功”，还取决于无功在哪里、通过什么网络送达，以及在事故电压下还能提供多少。

以无损线路为例，电抗为 $X$、电流有效值为 $I$ 时，其串联部分消耗的无功与 $I^2X$ 成正比。为了把有功送过较弱的通道，电流增大，通道本身还会增加无功需求。因此，不能认为只要全网无功总量平衡，每个受端节点就一定有足够电压支撑。

发电机励磁提高内部电势，改变端电压与无功交换；并联电容器、静止无功补偿器 SVC、静止同步补偿器 STATCOM 和变压器分接头，则通过不同机制改变网络状态。这些资源具有不同的连续调节能力、响应速度、低电压特性和空间作用范围，无法按同一类“无功按钮”处理。[9]

于是，系统问题需要转向：在设备约束、网络约束和动态过程共同作用下，区域是否还有可接受的运行状态，以及系统能否到达这个状态。

2. 励磁正确，不等于无功分配正确

自动电压调节器 AVR 根据测量电压与参考值的差异调节励磁，这是发电机电压控制的重要局部环节。但它看到的量，不一定是区域真正要优化的量。维持机端电压、控制高压侧母线电压、按比例分配无功和保留事故后裕度，是有关联却不同的目标。

若多台设备同时严格控制同一电气区域的电压，细小的参考值差异、测量偏差或补偿设置差异，就可能造成不合理的无功交换。每台设备都在按自己的误差信号工作，系统却可能出现一台接近上限、另一台仍有余量的情况。

采用电压—无功下垂，是协调的一种思路。例如，在无功发出为正的约定下，可以用简化关系 $V=V_{\mathrm{ref}}-k_Q Q$ 表示一定的下垂特性。但实际励磁系统中的无功调差、线路压降补偿和远方电压控制，不应仅因名称相近就合并成一条公式。测量点、基准容量、正方向和反馈符号不同，接入同一系统后的效果也不同。

真正应提交的接口，不只是“调差率为多少”，而是完整的控制关系及有效范围：控制哪个点，以什么量为输入，何时进入限制，限制后谁接替控制。系统工程所说的接口，在这里首先是一份物理与控制契约，然后才是一组通信字段。

3. PV 节点表达的是一项能力假设

在常见交流潮流模型中，把发电机母线设为 PV 节点，意味着在相应模型条件下给定有功与电压幅值，由求解得到相角与所需无功。它把动态控制过程压缩成了一个稳态能力假设：该节点具有实现目标电压所需的无功调节能力。

这一假设有边界。若所需无功超过可用范围，继续强制维持目标电压，就相当于给模型安装了真实设备并不存在的资源。启用无功限值处理后，一种常见实现是将无功固定在有效限值，并把相应节点转为 PQ 节点重新求解。MATPOWER 的公开手册就说明了这种限值外循环，同时提醒其简单上下限处理并不等于完整的机组能力曲线。[10]

因此，PV→PQ 是模型约束和未知量集合的改变，并不意味着现场设备在某一瞬间执行了一个叫作“切换成 PQ 节点”的开关动作。实际过程可能包括励磁限幅、过励限制器接管、控制器积分状态变化和电压偏离目标。

对于同一母线上有多台机组、存在远方调压或多设备联合控制的情况，也不能机械地理解为“某一台到限，整座母线就必然立即转为 PQ”。需要检查剩余设备是否仍承担电压控制，以及软件如何表达这些分配关系。

4. 一个两节点算例：忽略无功上限，会凭空创造电压支撑

构造一个无损两节点系统。送端电压幅值 $E=1.0$ pu，受端净有功需求 $P=0.8$ pu，无功负荷 $Q_d=0.2$ pu；受端有一台调压资源，无功发出 $Q_g$，上限为 $0.30$ pu，目标电压 $V=1.0$ pu。所有量使用一致的三相标幺基准，受端已有的本地有功发电已计入净需求 $P$。

设送、受端相角差为 $\delta$，网络等值电抗为 $X$，则：

事故前取 $X=0.20$ pu。维持 $V=1.0$ pu 所需的无功为：

低于 $0.30$ pu 上限，因而在这个模型中可以满足目标。

再设一次网络变化使等值电抗增至 $0.50$ pu。有功需求与电压目标都不变，此时所需无功变为约 $0.3670$ pu，已经超过可用上限。若潮流仍把受端当作无限能力的 PV 节点，计算结果依旧可以是 $1.0$ pu，但那是虚构出来的控制能力。

将 $Q_g$ 固定在 $0.30$ pu，则受端净无功需求 $Q=Q_d-Q_g=-0.10$ pu。令 $y=V^2$，消去相角可得：

取该工况下的高电压解，得到 $V\approx0.9613$ pu。两个模型看起来只差一个限值开关，对事故后电压的判断却已经不同。

必须强调：这里的 $0.9613$ pu 不是“已经发生电压崩溃”的结论，也不代表任何特定电压等级的合格判据。这个算例只证明，约束改变了可实现的运行点。要讨论稳定性，还需要负荷和控制动态，以及相应的稳定判据。

同样，$0.30$ pu 固定上限只是为了便于复算。实际机组能力随有功、电压、励磁电流、定子电流和温升条件变化。把一张铭牌或一个正常运行点的能力数值，直接用于全部事故条件，仍可能过度乐观。

5. 限制器会进入并改变控制闭环

励磁调节器希望维持电压，过励限制器需要避免设备长期超过允许能力，保护则在危险条件下隔离设备。三者有不同目标，但面对的是同一台发电机。若协调不当，可能出现调节器要求继续增加励磁、限制器正在压低励磁、保护又接近动作的局面。

例如 NERC PRC-019-2 将设备能力、电压调节控制、限制功能与保护协调作为一个整体问题处理。[11]

限制器正确介入，可能减少系统当时急需的无功支撑。不能因此简单指责限制器“不顾大局”；设备若因过热而彻底退出，后果可能更严重。系统设计真正需要回答的是：正常运行时是否留出了裕度，其他资源能否接替，事故后的潮流和有功安排是否需要改变。

有关过励限制器的研究也表明，在受压运行条件下，限制环节会影响系统的稳定边界。[12] 把正常运行中尚未动作的控制逻辑从模型中删除，可能恰好删掉决定事故后行为的机制。

6. AVC 应当分配可实现的任务

自动电压控制 AVC 的价值在于协调多个资源在网络中的作用，不能简化为比本地 AVR 更频繁地修改给定值。它需要知道设备当前可用状态、可调范围、控制模式、动作代价与网络灵敏度，才能把区域目标分解为设备能够执行的任务。

若 AVC 只看到母线电压偏低，却不知道某机组已经进入无功限制，就可能不断提高给定值。通信正常、指令接收成功、调节器执行无误，区域目标仍无法实现。若上层积分持续累积，设备退出限制后还可能产生不必要的反向调整。

因此，下层不仅应上传实际电压和无功，还应表达“当前是否可调、哪个约束正在起作用、给定值为什么未被实现”。上层不仅应生成目标，也应处理不可行性：换用其他资源、调整有功分布、请求人工处置，或者在经批准的边界内降低目标要求。

分层控制可以减少耦合，但不是把不同系统的扫描周期排成大小顺序就自动完成协调。带宽、通信时延、滤波、死区、限幅与模式切换共同决定耦合。某个闭环名义上更新较慢，也可能通过离散投切或大幅修改参考值，对较快环节产生强扰动。

7. SVC 与 STATCOM 的区别，应在事故电压下比较

假设 SVC 已经达到容性电纳上限 $B_{\max}$，在简化基波模型中，它能够提供的无功近似为 $Q=B_{\max}V^2$。若电压降到额定值的 $0.7$，其无功能力约为相应额定电压下的 $0.49$。

对于理想化的限流型 STATCOM，若能够维持最大容性无功电流，则按一致标幺基准有 $Q\approx VI_{q,\max}$。同样在 $0.7$ pu 电压下，无功约为相应额定电压下的 $0.7$。这是由功率、电压与电流关系得到的比较，不意味着真实装置在任何低电压下都能维持这个电流。

实际表现还受直流侧电压、变流器电压能力、电流优先级、控制同步、保护和持续时间约束。既不能把 STATCOM 写成“无功能力完全不受电压影响”，也不能仅凭额定 Mvar 数量，就把不同装置在故障过程中的作用视为相同。

这个比较把需求重新带回了设计起点：究竟需要正常电压调节、故障期间动态支撑、故障后恢复，还是多种任务的组合？只有先回答这个问题，设备选择和模型深度才有依据。

8. 电压合格、潮流有解与电压稳定是三件不同的事

设想一个受端区域在故障清除后电压偏低。励磁与动态无功装置首先增加支撑，部分负荷随电压降低而减少需求，使短时状态似乎有所缓解。随后，有载调压变压器尝试恢复下级电压；对具有相应电压依赖特性的负荷，这可能使负荷功率恢复，并增加上级网络的输送压力。若发电机过励限制器随后介入，可用支撑又会变化。

这里每个动作都可能符合本地设计：调压变压器努力恢复用户电压，限制器努力保护发电机，励磁调节器努力减小电压误差。但它们组合起来，不一定存在能够满足全部目标的状态。系统可能需要改变负荷、有功输送或运行方式，而不是继续提高某个给定值。

这个过程只是一个有条件的机制链，不能据此断言分接头动作总会损害稳定。影响取决于负荷模型、网络强度、控制策略和约束。另一方面，故障后的电动机恢复、变流器限流等较快过程，也不能用只包含慢变化的模型代替。

潮流求解收敛，只能说明在所设代数模型与约束下找到一个数值解；它不能证明系统一定能够动态到达该解，也不能证明小扰动或大扰动后仍然稳定。反过来，一次牛顿迭代不收敛，也不能直接当作物理上没有平衡点的证明，还应检查初始化、算法与模型一致性。

因此，电压研究至少应区分当前运行点、约束裕度、所研究扰动及动态恢复过程。所谓“模型足够精确”，必须落实为它是否保留了足以改变这些判断的机制。

9. 这个案例怎样形成验证闭环

单台 AVR 的阶跃试验，可以验证局部动态；无功能力和限制逻辑的检查，可以验证设备边界；区域闭环仿真，则要进一步检查资源分配、通信异常、控制退出和故障后恢复。几个层级的证据不能互相替代。

尤其应当把“给定无法实现”作为正常的测试对象，测试集不能只覆盖所有设备都有余量的理想场景。限值一旦生效，目标是否重新分配？设备退出 AVC 后，剩余设备会不会过载？通信恢复时是否突然追赶过期指令？这些问题比正常工况下减少了多少电压偏差，更能检验系统是否完整。

这个案例说明，约束直接参与定义可行域，不能等到优化完成后再检查。局部控制器负责按照自己的规则行动，系统工程负责确认这些规则能够在同一个物理世界中共同成立。

四、保护、安全自动装置与调度：安全取决于完整事件路径

1. 故障清除会启动新的系统状态

一条输电线路发生故障后，继电保护识别故障并发出跳闸命令，断路器执行开断。对保护装置而言，正确选择并切除故障，是核心任务；对电网而言，故障清除又意味着网络结构改变，功率转移到其他通道，发电机功角继续运动，电压与频率也可能继续变化。

因此，保护工作的结束点，往往是另一组系统问题的开始点。后续是否需要切机、切负荷、直流功率调整或解列，不能仅凭“主保护正确动作”作出判断。调度如何确认实际拓扑、限制剩余通道潮流、恢复备用，又与自动措施是否成功相互关联。

这条链可以写成：故障发生与识别，故障隔离，稳定控制，运行状态重构，供电恢复。这条链用于梳理因果，现场动作仍可能并行发生。不同防御措施可能并行启动，某个后续动作的成立条件，也可能依赖另一个动作已经完成。

系统工程首先要拆开两个容易混淆的判断：装置是否按其要求正确动作，以及这组动作是否把系统带到了可接受状态。前者成立，不自动推出后者成立。

2. 三道防线按防御目标分层

讨论国内电网安全稳定，应当以适用的标准、运行规程和经批准的控制方案为依据。GB 38755—2019《电力系统安全稳定导则》的官方页面给出了其标准信息。[13]

从工程作用理解，第一道防线强调合理网架与运行方式、预防控制，以及快速可靠的故障切除，使常见扰动不致演变为系统失稳。第二道防线进一步利用稳定控制和相应紧急措施，处理更严重的扰动，必要时付出局部调整或部分供电损失的代价，维持系统整体稳定。第三道防线则面向稳定受到严重破坏的情形，通过失步解列、低频低压等紧急控制，力求阻止失控扩大并保留可恢复的系统部分。实际方案及动作条件必须结合具体电网核定。[14][5]

不能把它简化成“继电保护是第一道、安全自动装置是第二道、调度员是第三道”。安全自动装置可以承担不同防御层的功能；调度的预防安排、紧急处置和恢复组织，也贯穿多个阶段。防线之间还共享设备、量测、通信和执行资源，并不天然相互独立。

一个很具体的问题是：第二道防线已经切除了某组负荷，第三道防线的后续计算是否还把这组负荷当作可用资源？如果各自维护一张未经协调的资源表，每套方案单独仿真都可能有效，串联执行时却会出现重复计算。防御层次增加了，实际可控资源却没有增加。

3. N−1 校核有明确的适用边界

N−1 分析的重要性，在于要求系统面对所规定的单一元件退出情形进行校核。但这句话只有连同运行方式、故障集合、切除方式、时间过程和结果判据，才有明确工程含义。

只做事故后静态潮流校核，不能自动覆盖暂态稳定、频率最低点或特定控制失效。采用正常快速切除假设得到的稳定结论，也不能自动用于断路器拒动后由后备保护延时清除的情况。

两个逐项通过的单一退出场景，并不保证二者连续发生时仍能通过。第一次事故可能改变网络、消耗备用、切除控制资源，并使第二次事故发生时的初始状态完全不同。同塔线路、共享站用电或通信路径等共同依赖，也应在相应风险分析中单独审查，不能简单用两个独立小概率相乘。

这不意味着要把所有想象得到的组合都按同样力度计算。工程上需要基于后果、合理的事件机制和适用要求分层选择场景。关键是报告应清楚说明“覆盖了什么”，而不是把“完成了某组 N−1 计算”写成不带条件的安全证明。

4. 一个首摆算例：最终跳闸仍可能错过稳定窗口

为了单独展示时间接口的意义，采用经典单机无穷大系统。机械功率 $P_m=0.8$ pu，惯性常数 $H=5$ s，额定频率 $f_0=50$ Hz；故障前电磁功率为 $1.8\sin\delta$，严重故障期间简化为零，故障清除后为 $1.2\sin\delta$。功率均采用同一机组基准，$\delta$ 为电角度。

此模型忽略阻尼、调速器和励磁动态，保持内部电势不变，只讨论给定条件下的第一摆稳定性。其摆动方程为：

事故前稳定角为 $\delta_0=\arcsin(0.8/1.8)\approx26.39^\circ$，故障后不稳定平衡点为 $\delta_u=\pi-\arcsin(0.8/1.2)\approx138.19^\circ$。临界清除角满足等面积关系：

由此得到 $\delta_c\approx56.25^\circ$。由于本例故障期间电磁功率为零、机械功率保持不变，转子按恒定加速度运动，临界清除时间为：

其中公式中的角度必须使用弧度。

若总故障清除时间为 $0.12$ s，本例位于临界时间以内；若为 $0.24$ s，则超过边界。两条路径都可能“最终成功打开了正确的断路器”，但在这个模型中，第一摆的系统结果已经不同。

这里的 $0.204$ s 只用于这个教学模型，不能据此设置实际保护定值。真实系统的临界时间取决于故障位置、运行点、网络、控制与模型；工程设计还必须考虑不确定性与必要裕度。这里刻意保持相同的故障后网络，只为隔离清除时间的影响。实际后备保护可能扩大切除范围，改变故障后功角曲线，届时必须连同拓扑重新计算。

更重要的是，系统看到的故障持续时间，不等于继电保护算法的内部处理时间。测量、判别、通信配合、出口和断路器开断共同形成端到端路径。对顺序发生的环节需要累计，对并行环节则应分析关键路径，不能把全部时间不加区分地直接相加。

5. 后备保护与通信依赖，要按异常路径设计

正常路径通过测试，不代表后备路径已被验证。主保护失效、通信中断、断路器拒动和辅助接点异常，可能使系统进入不同的逻辑分支。后备保护是否能识别、是否能到达实际执行对象、切除范围和清除时间怎样变化，都需要具体分析。

冗余设计也不能停留在简单增加两套设备。两套保护若共享某个必要的直流供电环节、通信路由或错误配置，就可能同时失去预期作用。即使硬件相互独立，来自同一模板的定值错误也可能成为共因失效。

对于依赖通信的功能，应区分消息没有到达、到达过晚、重复到达以及内容与当前状态不一致。收到一条格式正确的命令，并不能证明它仍适用于已经改变的网络。时标、状态版本、动作确认和异常告警，需要成为功能设计的一部分。

这些要求不能脱离具体保护原理统一规定。例如，不同纵联方案在通道异常时的后果并不相同。系统级审查应逐条分析其异常行为，而不是用一个笼统的“通信故障自动降级”替代可检查的设计。

6. 失效安全需要结合具体危险定义

工业软件中常说的失效安全，到了电网控制领域必须更谨慎。设备退出可能保护本体，却增加系统功率缺额；闭锁一次可疑动作可以避免误切，也可能在真正的危险到来时丧失防御能力。

因此，安全状态要结合具体危险、设备状态和可用替代措施确定。失效处理应回答：正在防范哪一种后果，哪些状态可以可信识别，是否存在独立确认，剩余时间有多长，以及动作后如何检测结果。

例如，对尚未执行的广域优化建议，输入过期时停止自动下发并告警，可能是合理的降级方式；但不能把这条软件策略不加判断地推广为所有就地保护在数据异常时都闭锁。不同功能承担的风险不同，降级设计必须分别论证。

保护逻辑仍由保护专业依据原理和规程确定；系统工程负责把这些细节与上层安全目标连接起来，并让误动、拒动和失去可用性三类后果都进入审查。

7. 调度与恢复不能靠“届时人工处理”兜底

把某个风险写成“由运行人员及时处置”，并未真正消除风险。首先要确认人员在事故条件下能够看见什么信息，信息是否及时可靠，是否有足够时间理解并行动。一个发生在几百毫秒尺度的稳定问题，不可能靠事故后临时讨论解决。

调度的重要作用，包括事故前调整运行方式、维护资源可用性和明确预案；事故中确认自动措施的实际效果、处理剩余风险；事故后组织恢复并重建防御能力。运行人员同样受信息、权限、训练和时间约束，无法承担无边界的兜底角色。

恢复需要重新评价事故后的系统条件，不能简单把事故前打开的开关全部重新合上。孤岛内的有功平衡、无功支撑、机组启动条件与负荷恢复顺序，需要重新评价。不同区域重新连接前，应满足适用的同期条件；恢复负荷还可能带来与事故前不同的暂态需求。所有动作都应服从实际规程和授权，这里仅说明其系统依赖关系。

更容易遗漏的是“恢复后的第二次事故”。频率回到了正常范围，不代表备用已经恢复；负荷送上了电，不代表第三道防线的可切资源已经重新具备；通信恢复了，不代表不同主站对控制权的认识已经一致。恢复目标应包括安全能力恢复，而不仅是画面颜色恢复。

8. 实际事件的价值：装置正确动作后，仍然需要改进系统方案

例如关于 2013 年“8·16”金安桥—楚雄双回线路相继故障的公开研究，报告了两次相继故障、第二及第三道防线正确动作，以及金安桥水电站最终与系统分离的过程。作者依据现场录波与 BPA 仿真分析动作，并提出方案优化和完善相继故障风险评估的建议。[14]

这里引用的是论文公开摘要所支持的事实，不延伸推断未核阅的定值、精确时序或人员责任。它提供了一个很重要的方法论例证：确认装置正确动作，不应阻止继续追问防御方案是否还有改进空间。

对工程组织而言，事件复盘应把保护记录、稳控记录、调度记录、拓扑变化和仿真模型放到同一条时间线上。否则，保护专业证明了动作正确，调度专业说明了处置合规，软件专业证明了消息已发送，最需要解释的系统后果却可能留在三份报告之间。

系统安全的责任对象是完整的事件路径；分别合格的试验报告只能提供其中一部分证据。

五、装置工程：装置为什么不能脱离系统单独设计

1. 装置首先是系统成员，然后才是一件产品

前面讨论频率、电压和安全防线时，已经反复涉及调速器、励磁系统、保护装置、安全自动装置、无功补偿设备和变流器。这些对象有一个共同特点：系统功能最终必须通过具体装置落到真实电网。频率支撑需要测量频率并改变有功，电压控制需要感知电压和无功状态并驱动执行机构，保护需要完成采样、判断、出口和断路器动作。算法给出了行为规则，装置则把量测、计算、通信和执行连接起来，使这些规则真正作用于物理系统。

但装置不能因此被理解成算法外面套了一层硬件。它接入电网以后，输入来自互感器、传感器、通信网络和上级控制系统，输出又会改变一次设备和其他控制器所处的条件；它的时延、限值、失效方式和恢复过程都会进入系统动力学。对装置而言一次正确动作，可能只是系统事件路径中的一个环节；对系统而言真正重要的是，许多装置在同一场景下共同作用以后，能否把电网带到可接受状态。

因此，装置需求不能只从产品内部产生。采样精度、计算周期、通信带宽、最大输出和环境适应性当然重要，但这些参数只有放回系统场景才有意义。一个保护装置需要多快，是因为故障持续时间会影响设备损伤和系统稳定；一个变流器需要提供多大的短时电流，是因为故障期间的电压支撑、保护配合和故障后恢复提出了要求。装置首先承担系统责任，然后才把这种责任分解成硬件、软件和算法指标。

这也意味着，评价装置不能只问“这台设备性能是否足够好”，还要问它在系统中承担什么责任、依赖哪些外部条件、与哪些对象交换信息、约束生效以后怎样改变行为，以及这些变化是否已经被上层系统和其他设备正确认识。局部性能属于装置，系统效果来自装置与环境之间的关系。

2. 装置内部本身也是一个系统

把视角缩小到一台装置内部，又会看到与整个电力系统相似的结构。现代保护、控制和变流器控制装置通常同时包含测量与采样、处理器或 FPGA、存储与时钟、实时软件、控制算法、数字和模拟 I/O、通信、电源、散热、电磁兼容、网络安全、自检以及维护接口。它们分别由不同专业设计，却必须在同一个机箱、同一套时间约束和同一条故障链中共同工作。

这种耦合使装置研发不能采用“各专业分别做到最好，最后组装起来”的思路。提高采样频率可能增加计算和数据搬运压力，复杂算法可能改变最坏执行时间和内存需求，更换处理器可能牵动驱动、工具链、网络安全机制和长期备件策略，增加冗余又可能引入状态一致和切换控制问题。硬件、软件、控制、结构、热设计、制造和运维之间都存在接口，局部改进可能把代价转移给另一个环节。

系统工程在装置层面的意义，正是把这些局部选择放在共同目标下处理。产品功能要分解，功能要分配到硬件和软件，模块之间要有明确接口，资源和时序要有预算，异常和降级要在架构阶段考虑，设计变更还要能够追溯到需求和验证证据。ISO/IEC/IEEE 15288 所强调的生命周期思想并不只适用于大型工程；当一台装置包含多个相互依赖的技术对象，并且需要经历设计、实现、集成、验证、运行、维护和退役时，它本身已经是一个需要系统工程方法管理的系统。[1]

3. ARM 还是 PLC，本质上是系统架构与功能分配问题

装置研发很容易从一个具体技术问题开始，例如采用 ARM 路线还是 PLC 路线。严格地说，两者并不处在完全相同的抽象层次：ARM 首先是一类处理器体系结构和计算平台路线，PLC 则是一类具有工业 I/O、实时控制、编程工具和维护生态的控制器产品。把问题简单写成二选一，容易把真正需要决定的系统架构隐藏起来。

平台选择应该由功能和场景反推。对于直接参与变流器高速采样、调制和电流闭环的任务，确定性时延、底层外设访问以及与 FPGA、ADC、PWM 等单元的协同可能构成核心约束，定制嵌入式平台因而具有明显价值。对于辅助设备顺序控制、联锁、大量离散 I/O 或现场维护要求较高的功能，成熟 PLC 或类似工业控制平台的工程工具、标准接口和维护体系又可能更合适。两类任务还可以存在于同一个设备或同一个站内系统中，由不同层级分别承担，再通过经过定义的接口形成整体。

因此，算力并不是唯一尺度。实时性、I/O 形态、电磁环境、可靠性、可测试性、网络安全、器件供应周期、开发工具、人员能力、现场维护和全寿命成本，都可能改变技术路线。若为了追求通用维护而把需要严格确定性时延的高速控制放到不合适的平台上，系统功能会受损；反过来，若所有简单逻辑都采用高度定制的嵌入式实现，也可能把长期维护和升级成本留给后续组织。

这里真正需要设计的不是 ARM 与 PLC 谁更先进，而是哪些功能应放在哪个层级，层级之间交换什么信息，某一层失效以后其他层如何感知和接管，以及十年以后这套架构还能否被维护。平台选择由此从元器件问题上升为系统架构问题。

4. 装置能力与系统需求之间既有合作，也有约束博弈

装置作为系统成员，并不意味着它可以无条件执行系统提出的任何要求。系统和装置的总体目标都是安全可靠运行，但它们面对的局部约束并不相同。系统关心频率、电压、稳定和供电连续性，装置还必须同时考虑器件电流、电压、温升、绝缘、能量、机械应力和寿命。两组目标大多数时候相互一致，在极端工况下却可能发生直接冲突。

构网型变流器在低电压故障期间的电流支撑就是一个典型例子。从电网角度看，希望变流器在故障期间不要立即退出，并在能力允许时提供较强的电流支撑，因为这种行为会影响局部电压、系统稳定、保护配合以及故障后的恢复。但从装置内部看，大电流会增加 IGBT 等功率器件以及母排、滤波器和散热系统的应力；短时间能够承受的运行点，并不等于可以长时间或高频次重复运行。若系统只把变流器视为理想电流源，就可能提出硬件无法持续满足的要求；若装置只按最保守的本体保护原则设计，又可能在系统最需要支撑的时候过早退出。

这类问题不能靠简单规定“系统优先”或“设备优先”解决，而应在设计阶段明确能力边界和优先级。正常工况下装置按照系统目标运行，扰动期间可以在经过验证的范围内释放短时能力，接近硬件安全边界时本地限流和保护必须具有明确权限；与此同时，上层系统需要知道装置已经进入何种限制状态、剩余能力有多少，以及这种能力还能维持多久。装置的可用能力还可能随着温度、运行历史、储能荷电状态和故障状态变化，因此系统不能长期把铭牌额定值当成任何时刻都可调用的固定资源。

这种关系可以理解为装置与系统之间的合作与博弈，但它不是两个主体彼此对抗，而是不同层级在共同目标下进行约束协调。系统研究可能发现某类扰动需要更强或更持久的支撑，从而反过来推动功率器件、散热、储能或并联结构的设计；装置的物理边界又会迫使系统重新安排其他资源、控制优先级和保护策略。系统需求进入硬件设计，硬件约束重新进入系统设计，闭环才真正形成。

5. 接口决定装置能力能否成为系统能力

装置之间通过接口组成系统。这里的接口不只是端子、报文和通信协议，还包括信息的物理含义、量纲、时标、有效期、控制权限以及异常情况下的责任转移。许多现场问题并不是某台装置完全失效，而是接口两端对同一件事情作出了不同解释：上层认为指令已经下发就等于任务已经完成，下层实际上因为限值没有执行；设备认为发送了状态量就已经完成告知，上层却不知道这个状态量已经过期；两个控制器都具有独立闭环，却没有定义谁在模式切换时拥有最终控制权。

第三章讨论 AVC 时已经看到类似问题。上层给出的无功或电压目标可能因为设备进入限制而无法实现，如果下层只上传实际值而不表达“当前不可调”和“约束正在生效”，上层就可能继续积累一个物理上已经不可行的命令。把视角推广到装置工程，同样的原则适用于频率支撑、储能功率、构网变流器电流能力以及保护和安全自动装置：系统不仅需要知道装置现在输出了多少，还需要知道它当前处于什么模式、哪些能力仍然可用、哪些命令已经被本地约束覆盖。

因此，一个完整接口应该让系统能够区分命令接收、命令执行和目标实现，也应该使装置能够表达能力下降、数据失效和控制权变化。多厂家系统尤其如此。各设备单独满足自己的通信规范，只能证明报文可以交换；只有当状态语义、时序、异常处理和控制责任也得到一致定义，装置的局部能力才真正成为可依赖的系统能力。

6. 装置研发过程本身就是一条系统工程证据链

如果装置是系统中的一个子系统，那么研发过程就不能从选处理器、画电路板或编写控制代码开始。首先需要从电网场景说明装置为什么存在、承担什么功能、在正常和异常条件下需要表现出什么行为，再把这些系统级要求逐步分解到测量、计算、控制、保护、通信、电源和结构等子系统。架构形成以后，各专业才能进入详细设计；模块完成以后，又需要沿着相反方向逐层集成，确认局部实现最终仍然支持最初的系统目标。

这个过程与前文反复强调的“工程主张需要证据”完全一致。单元测试可以证明某段软件在规定输入下工作，板级测试可以证明硬件接口和资源满足要求，整机试验可以检查装置功能和环境适应性，控制器硬件在环可以把真实控制器的采样、计算、通信和输出时序放入闭环，现场联调则进一步加入真实互感器、通信网络、一次设备和运行方式。证据是逐层增加的，但不同证据回答的问题不同。HIL 与仿真模型一致，并不能自动证明功率器件的长期可靠性；型式试验通过，也不能证明多台装置接入以后一定不存在控制相互作用。

失效同样需要在研发阶段进入系统设计。电源故障、时钟异常、通信中断、传感器失真、存储损坏、软件死锁和模块退出，不应该等到现场出现以后再决定怎样处理。所谓安全状态也不能脱离系统定义：一台设备立即闭锁可能保护本体，却可能使电网突然失去关键支撑；继续保持最后一次命令可能避免突变，却可能在系统条件已经变化后形成新的风险。应当先分析失效对上层系统的后果，再决定冗余、诊断、降级、接管和退出策略。

因此，装置研发的完整性不表现为测试项目越多越好，而在于需求、架构、实现和验证之间能够追溯。每一项关键系统要求最终由哪个模块实现、用什么试验证明、修改以后哪些证据必须重新建立，都应该能够回答。这样，装置研发才从若干专业工作的集合变成一个能够闭合的工程过程。

7. 部署和运行不是研发的终点，而是系统集成与再次反馈

实验室中的装置面对的是经过设计的接口和受控条件，进入现场以后却会接触真实 CT、VT、传感器、交换机、直流电源、接地、电磁环境以及其他厂家的设备，还会进入已经运行多年的定值、点表、通信配置和操作流程。单台装置完成出厂试验，只说明它在规定条件下具备某些能力；部署要解决的是这些能力能否在具体系统中被正确调用。因此，投运本质上仍然是系统集成，需要确认量测、时钟、控制方向、通信语义、保护配合、故障切换和运行权限在真实环境下保持一致。

装置投运以后，系统边界还会继续变化。固件升级、控制参数调整、功率模块更换、通信配置修改以及处理器或板卡替代，都可能改变装置行为。同一个产品型号在不同硬件、固件和参数版本下，未必还是系统模型中的同一个对象。如果现场已经修改限流策略，而离线稳定或 EMT 模型仍保留旧逻辑，数字系统与物理系统之间就出现了新的版本分叉。装置版本因此应与模型、参数和试验证据一起进入配置管理，而不能只在设备台账里记录一个型号和序列号。

生命周期还会把研发阶段不容易显现的问题重新带回来。处理器和通信芯片可能停产，操作系统和第三方软件需要修补漏洞，开发工具和维护人员会变化，新的系统功能又可能要求旧装置增加能力。某个方案在投产时具有最高性能，并不意味着它在十五年以后仍然具有最高系统价值；可维护性、供应链、升级路径和知识传承同样属于架构决策的一部分。

更重要的是，运行本身应成为下一轮研发的输入。一次误动、拒动、通信异常、控制饱和或与模型不一致的响应，不应只在本专业内部形成故障报告，而应重新检查系统需求、接口假设、装置设计、仿真模型和测试场景。现场事实能够进入模型修订和回归测试，改进后的装置又重新接受系统验证，才形成从需求到研发、从部署到运行、再回到设计的完整闭环。

装置工程的责任对象，不是“把一台设备做出来”，而是让一个具有明确能力、边界、接口和生命周期的系统成员，在真实电网中长期与其他对象共同实现系统目标。

六、潮流、机电暂态与电磁暂态：为什么模型必须并存

1. 模型的价值，取决于它支持什么决策

前三个案例已经使用了不同的模型：聚合频率方程回答功率缺额与响应速度问题，两节点潮流回答无功约束下的运行点问题，经典摆动方程回答故障清除时间对第一摆的影响。它们都不完整，但只要边界清楚，就能够分别说明问题。

由此可以得到一个容易被“高精度”口号掩盖的判断：模型选择本身就是系统工程决策。它需要权衡遗漏重要机理的风险、参数可获得性、计算资源和结论时效，状态变量数量本身不构成统一目标。

研究线路建设后某组负荷水平下的输送分布，通常首先需要适当的潮流模型；研究机组跳闸后的频率与功角，需要增加相关动态；研究换流器控制相互作用、特定故障穿越或开关过程，则可能需要电磁暂态表示。NERC 关于 EMT 模型的技术白皮书，也将模型需求与具体研究问题联系起来，体现出模型详细程度应由研究任务决定。[15]

2. 三类模型分别保留了什么

常规正序潮流把电网表示为稳态基波关系，重点是节点功率、电压和网络约束。它可以作为很多动态分析的初始化基础，却不描述扰动后的时间轨迹。这里的“正序”是特定建模选择，不能把所有潮流都等同于正序模型；研究配电网不平衡时，还可以采用多相潮流。

常规机电暂态分析通常以基波相量网络连接发电机、励磁、调速和其他动态环节，保留所研究的较慢状态，简化大量电磁过程。其中也可以接入适用的变流器等值动态模型。判断标准是模型是否保留了目标现象，设备名称本身不构成边界。

电磁暂态模型则在时域表示相关电压、电流与控制状态，可以保留更丰富的电磁过程。但 EMT 模型内部仍有层次：使用平均值换流器还是逐开关表示，线路是否需要频率相关参数，是否计入磁饱和和采样离散控制，都要按任务选择。

时间尺度分解应依据目标过程与被简化过程之间是否存在可利用的差异；不能为每一类设备永久指定一个固定时间尺度。快速控制可能影响较慢的系统轨迹，慢速限制也可能改变较快过程的运行点；被省略的耦合一旦足以改变结论，原来的分解就需要调整。

因此，“做了 EMT”本身不足以构成可信度声明。使用平均模型，不能自动获得开关谐波结论；遗漏真实控制限幅，也不能因为步长很小，就证明故障穿越性能可信。另一方面，对于不依赖开关细节的系统级问题，逐开关计算也未必增加决策价值。

3. 详细模型可能增加另一类不确定性

增加一个状态或控制环节，需要增加相应的参数、初始条件和验证依据。若这些输入缺乏可靠来源，模型只是增加了可以调节的自由度。它可能更容易拟合一条曲线，也更难判断拟合是否具有物理意义。

一个简化模型若对目标频段已得到充分检验，可能比参数来历不明的详细模型更适合某项决策。但这种比较只对已经明确的用途成立，不能推广成“简化总是更好”。当被忽略的限流、相角同步或电磁过程开始决定结果时，就必须扩展模型。

模型之间还要具有可解释的一致性。动态初始化应对应同一个有功、无功、电压和控制状态；若潮流中机组拥有无限无功能力，动态初始化时却已经触及励磁限制，仿真初期出现的波动可能来自模型拼接，与研究事故无关。

跨软件结果一致可以提供证据，但仍需审查共同假设。两个软件若使用相同的不合理负荷假设，就可能非常一致地低估风险。对差异的解释和对共同假设的审查，与结果比对同样重要。

4. 多模型联合的困难，常常转移到接口上

把重点区域放入 EMT，把外围系统保留为较简化的动态等值，可以兼顾规模与细节。但这种分解只有在边界保留了重要耦合时才成立。接口送出的是瞬时值、相量还是等值参数？频率偏移时参考坐标怎样更新？有功和无功的正方向、基准与滤波是否一致？

通信与数值交换也参与动力学。一个纯时间延迟 $\tau$，对角频率为 $\omega$ 的信号引入相位滞后 $-\omega\tau$。因此，接口延迟即使看上去很短，在某个研究频段也可能不可忽略。把模型拆开之后的稳定性，不应只依靠各子模型独立稳定来保证。

应当检查边界功率的一致性、不同交换步长下的结果变化，以及扰动穿越边界时是否产生非物理振荡。接口验证不仅要看数值能否传过去，还要看分解后的模型是否仍然代表原先要研究的系统。

5. 实时性首先是一项期限约束

对于接入真实控制器的实时仿真，计算必须按规定的墙钟时间推进。一个平均步耗时小于仿真步长的程序，仍可能在拓扑切换、通信拥塞或复杂控制触发时超时。超时以后保持旧输出、丢弃一步、暂停或退出，会对外接控制器形成不同的输入。

因此，实时要求应明确模型规模、事件条件、输入输出负载、计时边界和超时处理。测试中观察到的最大耗时，是对所测试条件的证据；未经进一步论证，不能将它写成所有可能执行路径的严格最坏时间上界。

离线 EMT、实时 EMT、控制器硬件在环和功率硬件在环，也不是同一种试验。实物接口增加了采样、延迟、放大器和保护等因素，验证范围应相应扩大。将仿真与硬件接起来，增加了证据来源，也增加了新的失效方式。

模型应当足够忠实地保留那些能够改变工程决策的因素；精细程度本身不构成可信度。 模型并存的目的，是让不同表示互相支持和约束，每项任务只需调用与用途匹配的表示。

七、规划与运行：同一个电网，为什么会拥有多个“真实版本”

1. 规划与运行的差别，有合理部分，也有危险部分

规划研究面向尚未完全实现的未来，需要比较负荷增长、资源建设、不同网架和多种不确定情景。运行分析面向正在工作的系统，需要及时反映设备投退、检修安排、出力和控制状态。两者对时间范围、数据粒度和分析速度的要求不同，使用不同模型并不等于管理失败。

真正危险的是，模型差异失去了说明和责任。规划模型认为某项设备已经具备，实际尚未投产；运行模型仍使用初始设计参数，现场已经完成改造；稳定计算引用了另一版本的控制逻辑，保护部门却不知道计算结论依赖该逻辑。

从组织设计看，若规划交付只以某次方案论证为终点，建设交付只关注设备投产，运行部门又只能自行修补计算模型，那么模型维护就会落在几次正式交付之间。各方优化自己的工作闭环，却没有形成覆盖全生命周期的交付闭环。不同软件的数据结构和转换成本，会进一步放大这种脱节。因此，协同不能只靠要求工程师“加强沟通”，还需要把模型更新、差异说明和接收确认列为正式成果。

此时争论“哪个软件算得更准”，可能偏离根本问题：各方根本没有在计算同一个系统。同一物理对象的多个表示可以并存，但它们之间的对应关系、适用日期和批准状态，不能靠个人记忆维护。

2. 从建设到投运，模型交接应当像设备交接一样具体

设想一座变电站扩建，设计阶段新增一段母线、一台变压器和若干间隔。规划模型可能将它们合并成一个较简洁的节点；调度自动化则需要断路器、隔离开关、量测点和实际连接关系；保护计算还需要与故障电流、互感器及保护区域有关的信息。

这些表示没有必要完全相同，但必须知道彼此怎样对应。设备的稳定标识不应随界面显示名称随意变化；节点—开关模型聚合为母线—支路模型时，也应记录聚合条件。母线分段开关状态变化还可能改变聚合结果，其影响远超过界面上一条线的颜色变化。

更细小的差别也会改变结论。变压器阻抗采用哪个容量基准？分接头位置是设计值、实测值还是估计值？线路长度与补偿设备是否使用竣工数据？无功正方向在量测、控制和仿真中是否一致？这些问题没有统一答案，却必须有逐项明确的答案。

模型交付不应只交一个能够导入的软件文件，还应包含来源、版本、适用范围、映射关系、校验结果和责任人。否则，下一次转换格式后，原本隐含在工程师头脑中的假设就可能丢失。

3. CIM 提供共同语义，不替代数据治理

公共信息模型 CIM 的意义，在于用共同的对象、属性与关系描述电力企业相关信息，为不同应用交换数据提供语义基础。IEC 61970-301 的公开范围说明体现了这一作用。[16]

但支持 CIM，不等于不同软件自动得到了相同的电网。双方仍需约定适用的信息子集、扩展方式、设备标识、状态表达和版本策略。一个字段合法、文件通过模式校验，只能证明它符合相应语法与结构要求，不能证明线路真的存在，也不能证明设备当前就在运行。

同样，交换成功不代表动态模型完整。静态网络信息、机组控制参数、保护逻辑和软件版本，可能来自不同数据源，需要额外的关联和管理。“采用标准格式”解决了接口的一部分，却不能替代模型所有权和质量责任。

因此，我更倾向于把 CIM 作为共同语言的基础。它可以降低交换语义上的摩擦，却无法消除组织边界、模型所有权和质量责任。

4. 需要管理的是一组基线

一次计算至少应能够识别：设备与网络模型版本，运行断面时刻，动态参数与控制定值版本，保护与稳控方案版本，求解器版本，以及所用场景和结果判据。不同信息更新频率不同，但合在一起才构成此次结论的依据。

例如，求解器升级后，输入文件没有变化，结果仍可能因限值处理或初始化算法变化而改变；设备模型未变，但控制器固件升级改变了故障穿越逻辑，旧动态模型也可能失效。只对程序源代码做版本管理，而不管理参数、配置和场景，无法完整复现工程结论。

NASA 配置管理过程强调配置标识、变更控制、状态记录与审核等工作。[17] 映射到电力系统，重点是让“哪一份表示在什么时间、经谁批准、用于什么任务”能够得到明确回答。

还应区分拟建、已安装、已调试和已投入运行。设备进入资产台账，不代表可以立即在实时网络中置为运行；现场临时方式改变，也不应直接覆盖长期规划方案。不同状态之间需要明确的生效条件。

5. 模型更新应形成可检验的发布过程

模型更新可以借鉴软件发布，但不能简单照搬“文件保存即上线”。变更首先进入待审基线，经过结构校验、基准算例、跨模型比对及必要的场景复核，再按授权发布到相应用途。生产应用还应检查新模型与当前断面是否兼容。

对于在线系统，拓扑版本和量测时刻应形成一致的快照或明确的对齐关系。旧拓扑配上新量测、新设备标识配上旧点表，可能每个数据项都合法，整体却不存在对应的物理状态。发现无法形成可信断面时，应明确降低结果的使用等级，而不是继续显示一个无条件的“安全”。

运行反馈也应反向进入规划。若某种低惯性方式反复限制送电，某区域动态无功长期紧张，或某项稳控策略过度依赖少数资源，这些不只是运行部门需要不断“协调”的问题，也可能构成网架和资源配置需要调整的证据。

规划与运行协同需要让模型差异可解释、转换可核查、结论可追溯。这个基础也决定了数字孪生能否长期贴近真实电网。

八、工业软件本身就是电力系统的一部分

1. 软件一旦参与信息与控制链，就进入了风险边界

工业软件常被称为“工具”，这个称呼容易让人忽略它对真实系统的作用。调度自动化提供运行判断，AVC 下发控制目标，WAMS 影响动态分析，保护信息系统影响事故识别，调度员培训仿真系统 DTS 影响人员形成的处置能力。它们与现场的距离不同，影响路径也不同。

软件安全等级应按错误传播路径和后果分级。离线研究脚本、辅助报表、在线安全分析和直接闭环控制，错误到达设备的路径、独立校核机会与后果范围都不同。

国家能源局 2022 年对《电力二次系统安全管理若干规定》的政策解读，将二次系统的规划建设、运行维护、定值参数及通信配置管理联系起来，并说明将新能源发电控制、直流控制保护等纳入相关管理范围。[18] 这一整体视角说明，数字化系统不能游离于电力安全管理之外。

2. 一个“程序都正常”的故障链

构造一个区域 AVC 场景。上层从状态估计获取母线电压与无功分布，生成调节目标，再通过通信下发给厂站。若拓扑更新尚未完成，而部分量测已经反映新的运行方式，上层可能使用了不一致的断面。

此时，优化算法可以正常收敛，程序没有抛出异常，通信也能成功送达命令。厂站控制器甚至可以准确执行给定值，但这个命令对应的不是当前电网。真正的故障不在数值求解是否成功，而在输入是否属于一个可用于该决策的物理状态。

另一条路径是数据冻结。一个值连续重复，看起来十分平稳，却可能只是停止更新。若系统仅检查“数值是否越界”，就可能把过期数据当作高质量输入。上层继续调节，现场状态则越来越偏离其认知。

这些都是可能的隐藏风险，说明软件验证不能止于函数返回值、消息送达率和服务进程存活；还必须检查数据到决策再到执行的闭环条件。

3. 数据质量需要结构化表达

一个电压量测至少包含数值、单位、测量时刻、接收时刻、设备标识及质量信息。在需要跨系统对齐时，还应知道其关联的拓扑和配置。测量发生时间与数据库写入时间不同，不能用后者掩盖前者已经过期。

失效值也不能随意用零代替。电压为零可能表示母线失电，缺失电压则表示不知道母线电压；两者会触发完全不同的逻辑。类似地，“设备不可调”“当前调节量为零”和“未收到状态”，并不是同一个枚举项的三种写法。

接口还需要定义乱序、重复和补传数据的处理。历史事件补传到达时，究竟进入档案还是重新触发控制？主备切换后旧命令是否还可能执行？重新连接时怎样确认控制对象与版本？这些问题属于控制语义的一部分，不能留在通信协议之外。

一个有工程意义的输出，也应携带用途限制。例如，安全分析结果基于哪个断面，哪些设备状态未知，哪些模型使用了替代参数，结果何时过期。没有这些信息，使用者容易把有条件的计算判断理解为实时事实。

4. 可靠性、功能安全与网络安全相关，但不能合并

软件服务连续运行，说明某种可用性较好，不代表其输出正确；系统没有受到外部攻击，也不代表不存在算法缺陷；控制算法在正确输入下工作良好，也不代表通信受损后不会产生危险行为。

NIST 的 OT 安全指南强调，运行技术系统具有与物理过程、性能、可靠性和安全有关的特殊要求。[19] 把通用信息系统的一项措施直接移植到生产控制系统，必须先检查它是否改变时延、可用性或操作流程。

网络安全措施需要与生产控制共同设计。权限控制、审计和隔离等措施，需要与故障处置、维护窗口和应急接管协调；便利性不能成为取消防护的理由，防护建设也不能绕过物理系统的运行约束。

同样，冗余服务器只能覆盖特定故障。两台服务器运行同一版本程序、读取同一份错误模型，可能同时给出同样的错误结果。主备切换若没有一致的控制权和命令状态，还可能产生双重下发。可用性设计与正确性设计必须分别提供证据。

5. 一则实际警示：控制中的估计值，不总等于物理事实

NERC 在 2017 年发布的太阳能资源扰动告警中，讨论了输电扰动期间大规模光伏功率损失，其中涉及逆变器错误的瞬时频率判断引发跳闸，以及低电压期间的暂时停止输出等机制。[20]

这个事实不应被扩大成“所有逆变器都有同样问题”，也不能据此评价今天某个产品。但它清楚地表明：用于控制与保护的软件算法、阈值和恢复逻辑，能够参与决定电网事故后果。

6. 软件升级应按系统变更管理

软件修改一个限幅条件、一种时间戳处理方式或一项默认参数，表面上只涉及几行代码，却可能改变前面几个案例的结果。对电力工业软件而言，版本变更应说明影响的功能、数据结构、模型语义和故障行为；仅列出“优化性能、修复问题”不足以支持评审。

有价值的回归测试，应同时包含正常场景、边界场景与历史问题。频率模块需要检查限幅与恢复，AVC 需要检查资源不可用和数据过期，保护信息需要检查事件乱序和时间对齐。仿真平台还应检查拓扑变化后的初始化及计算期限。

新算法可以先在隔离的测试环境或不参与控制的影子计算中评估，但影子运行也必须明确不拥有现场执行权限，避免将试验结果误接入生产。部署前后的检查、回退条件与责任人，应在变更批准时确定。

回退涉及程序、数据库、参数含义和设备固件的整体兼容。若这些对象已经同步变化，旧程序未必能够安全读取新状态。可回退性需要预先设计，并通过相应测试确认。

7. DTS 与事故复盘应形成证据闭环

DTS 的作用之一，是让人员在可控环境中理解事故过程与处置后果。但训练模型若缺少关键保护、限制器或控制延迟，学员可能在仿真中反复完成现实中并不可行的操作，形成错误预期。

因此，培训系统应说明场景的保真范围。为了教学而简化某些过程可以接受，但应告知哪些结论可以迁移到现场，哪些只是便于展示。界面像真实主站，不等于过程已经具有同等可信度。

实际事件则应反过来更新培训与回归测试。某次事故暴露了消息乱序、控制资源不足或模型偏差，应将其整理成可复现条件，形成修订后的模型、操作训练和软件测试。只有报告归档、没有改变后续行为，反馈闭环并未真正闭合。

也应避免让测试系统完全共享被测系统的错误假设。若 DTS 与生产分析应用都调用同一份有缺陷的模型，二者高度一致，仍可能遗漏共同失效。关键场景应尽可能具有独立的机理校核或外部证据。

8. AI 的位置，应由权限与证据确定

AI 可以辅助检索、整理需求、生成测试候选、解释日志或发现异常。它在工程中的角色取决于输出如何被使用，模型规模和演示效果只构成次要因素。生成一段分析建议，与直接修改控制参数，是完全不同的权限级别。

对于重要结论，应保留输入范围、模型或服务版本、引用依据与复核记录。无法确认的内容应被标识为不确定，避免为了工作流连续性补成确定值。超出适用分布的输入，也应有独立的检查与退出条件。

NIST AI 风险管理框架可辅助风险识别和持续评价，工程应用仍需服从电力行业的适用要求。[21] “有人最后看一眼”只有在复核能力、可用时间、判断依据和否决权限明确时，才构成有效的安全措施。

工业软件工程与电力系统工程的结合点，最终落在错误发现、限制、恢复和变更可控这些能力上。

九、数字孪生辨析：数字表示怎样持续贴近真实电网

1. 系统工程与数字孪生处在不同层次

“数字孪生”在电力行业常被用于三维可视化、实时数据平台、在线仿真和设备健康管理。概念一旦过宽，技术边界就容易模糊。ISO/IEC 30173:2023 建立了数字孪生的术语体系，并讨论系统上下文、生命周期过程、类型、功能视图和利益相关方。[22] NIST IR 8356 则从电子表示、状态与状态转移、运行用途以及可信问题等角度讨论数字孪生技术。[23]

本文把系统工程和数字孪生放在两个层次理解。系统工程关注复杂系统如何从需求走向设计、集成、验证、运行和演化；数字孪生关注数字表示怎样随真实对象的状态、参数和配置持续更新，并服务于分析、预测、决策或控制。前者提供总体工程方法，后者属于可以嵌入其中的一类数字化能力。

数字孪生因此高度依赖系统工程。需求要先说明孪生对象和用途，边界决定数字表示覆盖到哪里，接口决定数据和模型如何关联，验证给出可信范围，运行反馈则持续修正数字表示。缺少这些基础，平台即使具有精细模型和实时数据，也很难长期保持工程可信度。

2. 一张表看清两者的侧重点

这张表也说明，数字孪生的价值不会来自某一种单独技术。实时数据库、三维引擎、仿真软件、状态估计和设备模型都可以成为组成部分，真正决定工程价值的是这些对象能否在明确用途下保持一致。

3. 电力系统数字孪生的关键在持续对应

电力系统的数字表示要与当前拓扑、参数、设备状态、控制逻辑和使用场景共同对齐。画面上的母线显示带电，需要对应当前时刻和当前拓扑；平台把机组标记为“可调”，还要确认上调裕度、控制模式、执行机构限值以及热工或能量约束；在线稳定分析给出“安全”，则应能够追溯网络模型、动态参数、保护逻辑、控制策略和求解器版本。

实时数据本身无法保证这种一致性。SCADA 量测可能已经刷新，拓扑仍停留在上一版本；设备台账完成更新，动态模型却沿用改造前参数；控制策略已经投运，离线分析仍调用旧逻辑。每个数据项都可能合法，组合后却未必对应一个真实存在的电网状态。第七章讨论的一致快照、模型基线和发布过程，第八章讨论的数据语义与软件变更，正是数字孪生赖以成立的工程基础。

数字孪生还需要用真实事件持续校核。一次频率扰动可以暴露调速器模型偏差，一次电压事件可能揭示无功限值或负荷模型问题，保护动作记录则可以检查时序、拓扑和控制逻辑。事件复盘若能进入模型修订、回归测试和重新发布，数字表示才会随着真实系统一起演化。

4. 为什么项目容易逐渐退化为展示系统

偏差通常从需求阶段开始。三维效果、全景展示和大屏联动容易形成清晰的交付物，也容易在验收现场展示；模型校核、参数治理、配置同步和长期验证需要跨专业协作，建设周期更长，成果也很难用一次演示表现。若项目目标没有绑定具体决策场景，资源自然会向最可见的展示层倾斜。

项目进入集成阶段以后，数据接入数量又容易被当成成熟度指标。接入点表增加，并不会自动形成一致状态。真正困难的工作包括设备标识映射、时标对齐、拓扑版本管理、模型参数维护和异常质量处理，这些任务通常分散在多个系统和部门之间，任何一环长期失管都会积累偏差。

随着运行时间拉长，模型老化的影响会超过界面差异。设备改造、控制器升级、保护定值调整、通信配置变化都可能改变系统行为。数字侧若缺少结构校验、基准算例、历史事件回放和发布审批，实时数据只会更快地驱动一个逐渐失真的模型。

更深层的问题来自责任边界。建设期通常有明确的项目经理、供应商和验收指标，投运后的模型所有权、参数维护、配置审核和可信度降级却可能没有稳定责任人。三维界面还能继续运行，底层模型与现场的差距却会逐步扩大。此时平台保留了展示能力，工程判断能力已经下降。

三维和可视化仍然有价值，它们可以改善认知、培训和状态呈现。风险出现在展示层获得持续维护，而模型、数据、验证和责任链逐渐失去维护。数字孪生能否长期成立，最终取决于这一整套闭环是否持续运转。

5. 判断数字孪生能力，应检查闭环是否存在

与其争论某个平台是否配得上“数字孪生”这个名称，更有效的做法是检查几个工程问题：孪生对象和用途是否清楚；量测、拓扑、模型和配置能否形成一致断面；模型更新由谁审核和发布；结果如何用现场事件或独立方法验证；平台输出可以支持哪些决策，哪些条件下需要降级或退出；发现数字表示与现场失配后，谁负责修正并重新验证。

这些问题能够持续得到明确回答，数字平台才具备稳定的孪生能力。回到本文主线，可以把这层关系概括为：需求确定孪生对象与边界，模型和接口形成数字表示，反馈与约束决定它能否描述真实行为，验证给出可信范围，运行反馈推动数字表示持续更新。

十、把七个案例收束为一条工程证据链

1. 一个事故会穿过多个模型边界

回到直流闭锁这个例子。受端出现有功缺额以后，换流站及周边网络的无功交换也可能变化；稳定控制可能切机、切负荷或改变联络关系；局部电压与频率变化还会继续影响设备控制和保护。每一次离散动作都会改变后续分析面对的系统状态。

频率、电压和保护研究因此需要共享经过批准的基本场景，明确哪些动作由模型生成，哪些作为外部输入，哪些限制已经生效。需要详细耦合的部分共同分析，可以等值的部分说明等值依据。工具可以不同，关键事件的含义必须一致。

2. 从结论倒查证据

下面这张表把前面案例中真正需要留下的证据集中起来。它关注系统判断成立所依赖的边界、约束、验证方式和责任角色。

表中的角色需要落实到具体权限、交付物和接收关系。跨部门事项若只写“共同负责”，关键技术判断仍可能处于无人最终承担的状态。

3. 验证服务于具体主张

NASA 手册对验证与确认的区分，可以落实为两个问题：实现是否满足规定要求，以及这些要求与模型是否足以服务实际用途。[7][8] 两个问题都需要证据，证据类型会随风险和用途变化。

代码单元测试无法覆盖闭环行为，闭环试验也无法替代参数真实性检查；一次现场事件吻合，只能验证相应场景。工程上应根据风险和敏感性组织证据，同时说明尚未覆盖的条件。

假设某项稳定结论依赖故障在规定时间内清除、某机组具备无功裕度、某通信路径可用，那么这些依赖应当被登记。相关条件发生变化，系统就需要触发重新评价。

由此形成的可追溯链可以写成：

研究问题 → 场景与需求 → 模型假设 → 参数与配置 → 实现版本 → 验证与确认 → 可支持的结论 → 运行反馈与变更。

这条链的价值在于让重要结论随时能够回答三个问题：为什么相信，可信范围在哪里，什么变化会触发重新评价。

4. 总体责任落在跨专业假设的维护上

总体技术负责人无需亲自编写全部算法，但需要识别关键假设、理解主要实现约束，并组织证据审查。专业工程师也应知道自己的输出影响哪些系统指标，以及使用者依赖哪些前提。

项目管理可以安排进度和资源，总体设计可以明确架构，现场和实现环节仍会不断带回新问题。系统工程要做的是让这些反馈能够进入需求、模型、接口和验证过程，同时保证变更速度不超过验证能力。

管理层真正需要持续追问的是：关键风险减少了多少，新增了哪些证据，还有哪些假设缺少明确责任。能够长期回答这些问题，系统工程才成为组织能力。

结语：把复杂性变成可以承担的责任

回看全文，频率响应、电压控制、保护与安全防线、装置工程、分层仿真、模型管理和工业软件表面上属于不同专业，底层却反复出现同一类问题：边界怎样划定，模型保留什么，接口传递什么，约束在哪里生效，结论凭什么可信，系统变化以后谁负责重新评价。

电力系统工程的价值，就体现在这些关系的长期维护上。局部技术可以非常成熟，系统结果仍取决于它们怎样连接。分层控制需要处理耦合，三道防线需要处理资源共享和失效路径，装置工程需要处理系统需求与本体约束之间的能力边界，多类模型需要处理适用范围和接口一致性，数字孪生则把模型、数据、配置和运行反馈放进更连续的数字闭环。

随着新能源、电力电子、通信、工业软件和 AI 更深地进入电网，物理系统与数字系统之间的边界会继续变化。技术更新越快，越需要稳定的需求管理、配置管理、验证机制和责任链。新技术可以提高感知、计算和决策能力，也会带来新的耦合和失效方式，工程方法必须跟着系统一起演化。

复杂性不会因为一套方法而消失。真正能够降低工程风险的，是把关键关系、关键假设和关键责任持续显性化，并用证据维护它们。当每项决策都能说明适用边界，每个接口都有清楚语义，每个模型知道自己的用途，每个结论能够追溯到证据，每次变化都会触发相应复核，复杂性就从难以把握的背景，转化为可以分析、验证和承担的工程责任。

参考资料

参考资料按正文首次引用顺序排列。公开网页核查日期为 2026-09-15；历史文献用于相应技术背景，不默认代表当前全部标准要求。

[1] ISO/IEC/IEEE. ISO/IEC/IEEE 15288:2023, Systems and software engineering — System life cycle processes. 官方标准范围说明。本文仅援引公开范围，不声称已核阅付费标准全部条款。

[2] NASA. Systems Engineering Handbook: 4.0 System Design Processes. 官方章节。用于运行概念、利益相关方期望与技术需求之间的关系。

[3] FERC. Essential Reliability Services and the Evolving Bulk-Power System—Primary Frequency Response. Federal Register, 2016-02-24. 官方公开文本。引用其频率响应技术背景，不将当年的提案视为现行法律结论。

[4] NERC. Primary Frequency Response — Steam Generation Webinar. 2018-11-13. 公开演示资料。参见外环协调、一次响应退出及机组约束相关内容；不照搬其中的特定厂商参数。

[5] 国家能源局. 聚焦系统重大风险，提升电网运行韧性. 2026-08-10. 官方公开解读。用于三道防线适应性和可切负荷动态维护的现实背景，不作为现场操作指令。

[6] Pacific Gas and Electric Company. EPIC 2.15 — Synchrophasor Applications for Generator Dynamic Model Validation: Final Report. 2018-12-10. 项目报告。参见执行摘要、模型校核工作和结论；报告明确说明示范工具尚未达到可直接生产应用的状态。

[7] NASA. Systems Engineering Handbook: 5.3 Product Verification. 官方章节。用于规定要求与实现之间的验证关系。

[8] NASA. Systems Engineering Handbook: 5.4 Product Validation. 官方章节。用于预定用途、使用环境与实际需要的确认关系。

[9] FERC. Principles for Efficient and Reliable Reactive Power Supply and Consumption. Staff Report, 2005-02-04. 公开报告。用于无功资源位置、能力与响应特性的一般背景；本文 SVC/STATCOM 电压依赖比较按明确的理想化模型自行推导。

[10] MATPOWER. AC Power Flow. 官方手册。参见 PV/PQ 节点与 pf.enforce_q_lims 处理说明；文中两节点算例由独立脚本计算，未调用 MATPOWER。

[11] NERC. PRC-019-2 — Coordination of Generating Unit or Plant Capabilities, Voltage Regulating Controls, and Protection. 标准公开文本。引用该版本的协调思想，不声称它是所有地区当前适用的要求。

[12] ANAGNOSTOU G, PAL B C. Impact of Overexcitation Limiters on the Power System Stability Margin Under Stressed Conditions. IEEE Transactions on Power Systems, 2016, 31(3): 2327–2337. DOI: 10.1109/TPWRS.2015.2440559. 作者机构公开稿。

[13] 国家市场监督管理总局、国家标准化管理委员会. GB 38755—2019：电力系统安全稳定导则. 国家标准官方信息页。本次核查的是标准元数据，不将网页未展开的全文条款作为已逐条核阅的依据。

[14] MEI Y, ZHANG Y, XU G, et al. Analysis and Thinking on the “8·16” Jin’anqiao-Chuxiong Double-Circuit Lines’ Successive Faults. Southern Power System Technology, 2015, 9(2): 73–78. DOI: 10.13648/j.cnki.issn1674-0629.2015.02.012. 期刊公开摘要。正文只采用摘要支持的事件概述，不据此推断完整动作时序。

[15] NERC Inverter-Based Resource Performance Subcommittee. White Paper: EMT Models in NERC MOD, TPL, and FAC Standards. 2022-04. 公开白皮书。用于按研究问题选择 EMT 模型的技术背景，不将白皮书当作现行强制条款。

[16] IEC. IEC 61970-301:2020+AMD1:2022 CSV — Energy management system application program interface (EMS-API), Part 301: Common information model (CIM) base. 官方范围说明。本文只援引公开说明，不据此声称核阅完整付费标准或其后全部版本。

[17] NASA. Systems Engineering Handbook: 6.5 Configuration Management. 官方章节。用于配置标识、变更、状态记录与审核的过程关系。

[18] 国家能源局. 《电力二次系统安全管理若干规定》政策解读. 2022-11-23. 官方解读。用于二次系统规划建设、运行维护、定值参数与通信配置共同管理的背景。

[19] NIST. SP 800-82 Rev. 3: Guide to Operational Technology (OT) Security. 2023. 官方发布页。用于 OT 安全与物理过程、性能及可靠性之间的关系。

[20] NERC. Loss of Solar Resources during Transmission Disturbances due to Power Inverter Settings. 2017-06-20. 公开告警。参见错误瞬时频率判断与暂时停止输出的事件背景；不将历史问题推广到全部现行产品。

[21] NIST. AI Risk Management Framework. 官方框架页面。作为风险识别和持续评价的参考，不替代电力行业要求。

[22] ISO/IEC. ISO/IEC 30173:2023, Digital twin — Concepts and terminology. 官方标准页面。用于数字孪生术语、系统上下文、生命周期过程、功能视图与利益相关方的概念锚定；本文仅援引公开范围与目录信息。

[23] NIST. NIST IR 8356, Security and Trust Considerations for Digital Twin Technology. 2025-02. 官方出版页面。用于数字表示、状态与状态转移、运行用途以及可信问题的技术背景。