论电力安全生产

我的第一份工作是500kV变电站运维值班。当时需要认真学习电力安全工作规程，并定期参加考试。最初的学习难免偏重记忆，但现场经历使我逐渐认识到：一项操作能否做，不只取决于设备原理，还取决于运行状态、工作边界、授权、人员配合和安全措施。

后来从事电力系统研发，我仍然经常从这个角度审视新技术。算法有功能、软件能运行，是必要条件，却不是投入生产的全部条件。本文从现场作业谈到系统安全，讨论工程上的认识，不提供具体倒闸、检修或事故处置步骤。实际工作必须以适用的法律法规、标准、现场规程和授权指令为准。

1. 两票的意义，不只是把步骤列成清单

操作票与工作票都能减少遗漏，但不能简单理解为同一种清单。操作票主要组织和约束设备操作任务；工作票还涉及作业范围、人员职责、安全措施、许可、监护以及工作结束后的交接等。它们与实际设备状态、组织程序和人员资格共同构成安全保障，而不是填写完整就自然保证安全。

我对这套制度最深的体会，是它把容易依赖个人记忆的事情，转化为可以事先审查、执行中核对、事后追溯的工作。清单能够帮助人，但不能替代对现场的理解。设备标识不一致、作业边界改变、信息不完整，或者实际状态与预期不同，都不能靠机械地继续打勾来解决。

监护也不是“多站一个人”。有效监护需要双方理解任务、看得到关键动作，并能够在异常出现时及时沟通和制止。电子票、远程操作和程序化操作改变了工作方式，但不意味着授权、独立核对和责任可以消失。

原文曾引用其他行业事故中的个人行为作为反例。修订后不再这样处理：复杂事故往往涉及人机界面、培训、信息传递、设备状态和组织机制，不能凭片段材料把原因归结为某个人。讨论安全，应尽可能把注意力放在怎样避免同类失效，而不是制造对个人的标签。

2. 现场安全与电网安全，需要同时考虑

运行人员处置异常，既要保护人身和设备，也要考虑操作对电网整体的影响。不同岗位承担不同的职责，但不能把分工理解为“某个问题与我完全无关”。发现异常、报告信息、保持安全边界以及在授权范围内行动，是协同工作的基础。

对于研发人员，同样要理解这种关系。例如，一项自动控制在正常工况下能改善指标，但在量测失真、通信中断、设备拒动或方式变化后，它应当怎样退出、保持或降级？这种行为必须在设计阶段讨论，不能全部留给现场临时判断。

也不能笼统地认为失去通信时一律闭锁，或一律维持最后输出就是安全。正确策略取决于被控对象、故障模式和运行后果，需要分析并验证。失效安全不是一个固定动作，而是一组与具体系统相匹配的设计要求。

3. 自动化越深入，验证责任越不能模糊

AGC、AVC、程序化操作和各类安全自动功能，可以减少重复劳动并加快响应，但它们也把一部分判断与执行转移到软件中。评估这类系统，不能只看正常场景下的功能演示。

我认为，至少需要把需求、控制权限、输入质量、状态转换、异常行为和验证结果联系起来。测试不仅应覆盖“应该动作时能否动作”，也应覆盖“不应该动作时是否保持正确状态”。还要检查重启、时钟异常、数据重复或乱序、部分通信失效，以及主备切换等边界场景。

冗余能够降低某些故障的影响，却不等于绝对可靠。如果主备系统使用同样的错误配置、依赖同一电源或通信通道，或者受到同一个软件缺陷影响，设备数量增加并不能消除共同原因造成的失效。

对安全相关软件，更合适的做法是按风险和后果建立验证要求，而不是笼统比较“电力行业”和“互联网行业”谁的标准更高。关键是适用的要求是否完整，证据是否充分，以及发布后是否有人持续维护。

4. AI辅助安全，需要同时看误报和漏报

视觉识别、设备状态分析和自然语言工具，可以辅助巡视、资料查询和异常筛查。但“能识别某类风险”与“已经解决这类安全问题”之间，还有很大距离。

例如，图像中的距离估计会受到标定、遮挡、视角和环境影响，识别系统也可能漏检。它可以增加一道提示手段，却不能因此取消法定和现场要求的安全距离、隔离措施与人员监护。对关键场景，尤其需要评价漏报后果，而不只看总体识别准确率。

规程问答也一样。答案看起来通顺，不等于适用于当前设备、当前版本和当前运行方式。AI应展示可核对的来源，不能把未经确认的文本直接转换为生产控制指令。NIST的AI风险管理框架提供了风险识别、测量与管理的参考，但并不代替电力行业的准入和运行管理。[1]

因此，我不再用“AI永远不能替代某类岗位”来论证安全。更有意义的问题是：哪些任务可以自动化，哪些条件需要人工介入，介入者是否具备足够的信息与能力，以及系统在无人及时接管时是否仍有受控的行为。

5. 仿真培训应覆盖后果，而不只是展示故障

我曾参与调度员培训仿真和反事故演习。好的培训系统，不只是施加一个短路，画出电压电流曲线，还应能形成与培训目标一致的告警、保护动作、设备退出、通信异常和恢复条件。

以严重设备故障为例，调度培训未必需要精细计算机械破坏或燃烧过程，却需要正确表达它对运行的后果：哪些设备不可用，相关保护和电源是否受影响，哪些信息仍然可信，恢复需要满足哪些条件。这样才能避免“画面很真实，处置逻辑却不真实”的问题。

游戏化和可视化可以提高参与度，但不能越逼真越好地一概而论。应根据学习目标评价模型精度、场景覆盖、信息负荷和训练效果。演练后还要复盘：哪些判断依赖了不现实的信息，哪些协同环节没有测试，哪些预案需要修改。

自动化系统长期稳定运行，也可能减少人员面对异常的机会。因此，训练应适当覆盖量测缺失、自动功能退出和降级运行，而不是假设全部辅助系统始终可用。演练频次、参与范围和内容应满足适用要求，并随系统变化和风险情况调整，不能把一个统一次数当作所有系统的充分条件。

6. 电力安全至少有三个相互联系的层次

第一是人身与设备安全。这包括作业组织、设备状态、检修维护和保护配合，也包括新设备投运前的试验与确认。

第二是电力系统整体安全。规划、运行方式、稳定分析、继电保护、安全自动装置、备用与恢复能力相互配合，任何一项都不能单独包办整体安全。确定性的N−1校核针对规定的故障与判据，并不意味着系统可以抵御任意组合事故。概率风险评估可以补充事故可能性和后果分析，但也不能未经依据就替代应满足的确定性准则。

第三是供电中断的社会后果。同样的停电功率和持续时间，对不同用户的影响可能不同。关键负荷、应急电源、通信、供水、交通以及工业连续生产之间，还存在相互依赖。仅用停电范围大小，可能不足以表达恢复工作的全部优先级。

这里需要区分法定事故分级与工程风险分析。法定分级应严格按适用法规执行；工程分析可以在此基础上进一步考虑关键用户和连锁影响，不能自行修改事故认定标准。

7. 网络安全已经是安全生产的一部分

数字化系统不是一次系统之外可以忽略的附属物。监测、保护、控制和调度对通信与软件的依赖，使网络安全、设备可靠性和运行安全需要共同考虑。NIST SP 800-82 Rev. 3也明确把OT的性能、可靠性与安全约束作为安全防护设计的重要条件。[2]

在国内，《电力监控系统安全防护规定》已自2025年1月1日起施行，明确安全分区与边界防护要求，并将安全防护纳入日常安全生产管理和全生命周期责任。[3] 因此，远程运维、云平台、AI接入和新增业务，都应从实际功能和数据流向分析，不能仅凭产品名称判断合规性。

另一个需要说明的时间节点是：修订后的《电力安全事故应急处置和调查处理条例》已于2026年8月30日公布，自2027年1月1日起施行。截至本文修订日2026年9月7日，它属于已公布、尚未施行的新规。准备工作可以提前开展，但不能把将来的施行状态写成当前已经生效。[4]

8. 新技术实用化的标志，是进入持续管理闭环

我一直认为，一个科技项目完成演示或验收，并不等于已经完成生产应用。真正投入运行以后，应当有人负责配置与版本，有运行和异常处置文档，有可联系的技术支持，也有测试、培训、漏洞处置、备份恢复和退出替代方案。

现场发现的问题还应回到研发流程，转化为缺陷修复、回归用例和规程更新。对长期运行的软件，维护能力本身就是安全能力的一部分。

安全生产不是在技术之外再增加一层手续，而是把技术、人员、组织和责任连接起来，使系统在正常与异常条件下都尽可能保持可知、可控、可恢复。

参考资料与修订说明

[1] NIST. AI Risk Management Framework.

[2] NIST. SP 800-82 Rev. 3: Guide to Operational Technology Security，官方摘要与发布信息。

[3] 国家发展改革委2024年第27号令：发布公告；司法部：《电力监控系统安全防护规定》全文。

[4] 国家发展改革委、司法部、国家能源局：《电力安全事故应急处置和调查处理条例》修订答记者问，2026年9月4日；修订条例全文。

2026年修订：删除可识别的负面事故点评与缺乏依据的普及率判断；收紧AI、冗余和自动化能力的绝对化表述；更新法规时间节点。本文的经验分析不构成具体作业指导，也不替代专业人员依据现场条件作出的安全判断。