论系统工程

在电力系统和工业软件研发中，我们经常遇到一种现象：单个设备经过了试验，算法推导没有明显错误，各个软件模块也能独立运行，但系统集成以后，仍然出现性能不足、控制冲突、数据不一致或难以维护的问题。

问题未必出在某个专业做得不够好，而可能出在专业之间：需求理解不同，模型边界不同，接口语义不同；或者每个局部都在优化自己的指标，却没有人对整体结果负责。

一台调速器响应合格，不意味着大机组跳闸后的系统频率一定安全。每台发电机都在努力维持机端电压，不意味着整个区域的无功分配合理。继电保护正确切除了故障，不意味着后续潮流转移、稳定控制和恢复过程已经没有风险。一个仿真程序算得很快，也不意味着它足以支撑调度决策。

这正是我理解系统工程的起点。系统工程不是把问题说得更宏大，也不是由少数人画完架构图，再把实现交给别人；它是让需求、技术、组织和证据围绕同一个目标形成闭环的方法。

本文通过六类具体的电力系统问题展开。前三类问题追问事故发生以后系统究竟怎样运动，后三类问题追问我们凭什么相信自己的模型，以及如何使模型、软件和真实电网长期保持一致。

贯穿全文的主线是：

需求决定边界，边界决定模型；模型通过接口组成系统；反馈产生系统行为；约束决定可行域；验证提供可信度；运行反馈推动系统继续演化。

这条主线不是一次走完的流水线。模型可能揭示原需求无法实现，试验可能推翻接口假设，运行事故可能要求重画系统边界。这里的“模型组成系统”，指组成可分析、可验证的系统表示，不能把模型与真实电网混为一谈。

文中的数值算例均为专门构造的教学模型，用于揭示因果关系，不是某一电网的事故复盘、设备性能承诺、保护整定建议或调度操作规程。

一、系统工程的起点：先确定究竟对什么结果负责

1. 系统思维、控制理论与系统工程不能相互替代

系统思维提醒我们关注整体、关系、反馈和环境。控制理论提供描述动态行为、设计调节规律和分析稳定性的数学工具。系统工程则需要把这些认识落实到需求、方案、实现、集成、运行维护和退役的全过程。ISO/IEC/IEEE 15288 的公开范围说明，关注的正是这样的系统生命周期过程，而不是某一种具体控制算法。[1]

研究一次调频控制器，可以把输入设为频率偏差，把输出设为机械功率指令。但把一次调频功能接入真实电网，还必须回答：频率从哪里测量？测量失真时怎样处理？机组有没有可用裕度？执行机构能够持续多久？厂级控制会不会把增发功率拉回去？运行人员如何知道这一功能已经退出？

因此，一条闭环稳定性证明不等于一项工程已经完成；同样，一套完整的项目流程，也不能弥补物理机理和控制设计上的错误。技术正确性与工程完整性是两个必须同时成立的条件。

跨学科能力也不是把各专业中听起来相似的词语排列在一起，而是能够辨认共同结构，同时尊重适用前提。频率控制与电压控制都有反馈，但它们的空间耦合、资源约束和主要失效方式并不相同。继电保护与软件异常处理都需要判断异常，但保护动作会改变真实电网拓扑，其错误后果不能只用程序是否返回成功来衡量。

2. 需求不是口号，而是场景、指标与约束的结合

“提高系统安全性”表达了方向，却没有形成可验收的要求。首先要说明研究什么运行方式、什么扰动、什么设备状态；其次要说明看什么结果；最后要说明哪些措施允许采用、哪些后果不能接受。NASA 系统工程手册将运行概念、利益相关方期望和技术需求的形成放在设计前端，意义正在于此。[2]

例如，对于大扰动后的频率问题，最大频率变化率、最低频率、频率恢复时间、切负荷规模和后续备用恢复，回答的是不同问题。不能用稳态频差较小，替代最低频率满足要求；也不能用最后恢复到额定频率，掩盖过程中发生了不可接受的大范围停电。

对于电压问题，正常运行时电压合格只是起点。事故后还有没有动态无功裕度？限制器动作后能否维持可接受状态？控制目标是否互相冲突？这些都可能比正常断面的电压偏差更重要。

对于保护问题，动作正确率是重要的装置指标，但整个系统还关心故障是否及时清除、切除范围是否适当、后备路径是否有效，以及动作后的网络是否还能承受新的潮流。不同层级的指标不能混成一个“可靠率”。

我的基本判断是：先确定不能牺牲的底线，再比较效率与成本。否则，所谓优化往往只是把尚未写进目标函数的代价转移给别人。

3. 边界不是图纸上的框，而是因果责任的范围

设备的物理边界、分析模型的边界和组织的责任边界，通常并不重合。发电机可能属于一家企业，控制定值由另一专业审核，频率安全却取决于整个同步系统。一个软件接口由两家供应商实现，接口失配造成的后果却由运行单位承担。

决定分析边界的正确问题不是“哪些事情归我管”，而是“哪些变化足以改变我要判断的结果”。决定组织接口的正确问题也不是“谁已经完成自己的任务”，而是“跨越这条接口的假设由谁确认，失效时由谁接管”。

这并不要求无限扩大模型。边界之外的对象可以用等值、约束或服务承诺表示，但这些表示必须有依据。把一个外部电网写成无限大电源，本质上是在承诺它的电压和频率不会因研究中的扰动而显著变化；把通信写成零延时，本质上是在假定延时不影响研究结论。假设可以采用，却不能隐身。

二、大扰动后的频率响应：为什么不能只看调速器

1. 从直流闭锁开始，先写出功率去了哪里

设想一个通过直流受电的同步系统，某回直流突然闭锁，输入有功减少。闭锁发生后的第一个问题，不是“调速器增益应当调多大”，而是这部分功率缺额由什么机制、在什么时间内承担。

若研究对象只是一个与外部强交流系统相连的省级电网，不能直接把行政边界以内的负荷与电源相减，然后当成独立系统频率模型。交流联络线的支援及其动态必须保留。若系统因故障解列，原先依赖的支援边界又会发生突变。对于直流送端，同一次闭锁可能首先表现为功率富余，而不是受端的功率不足。

在频率足够相干、采用小偏差近似的聚合模型中，可以写成：

这里，频率偏差以 Hz 表示，功率以 MW 表示；扰动后的在线旋转动能总量为 $E_{\mathrm k}=\sum_i H_iS_i$，单位为 MW·s；$M$ 的单位为 MW·s/Hz；$D$ 是该模型中的负荷频率敏感系数，单位为 MW/Hz。一次调频、快速功率支撑、二次调频、联络线增援和切负荷均以缓解缺额为正，功率损失取正值。

这个方程不是完整电网，而是一个经过选择的边界。它把多个作用放在同一条功率平衡链中，使我们无法只盯着调速器。惯性、一次响应和二次响应承担不同任务，频率结果来自发电与负荷的共同作用，这也是频率响应技术分析的基本出发点。[3]

2. 惯性争取时间，但不负责永久填平缺额

在功率突失后、主动调节尚未形成明显增量的理想初始阶段，有：

这说明同样的功率缺额，在较低动能下会造成较大的初始频率下降速度。但这个近似必须连同适用条件使用：实际母线的频率估计受到电磁暂态、局部振荡和测量算法影响，不等于任何地点、任何窗口计算出的频率变化率都会严格服从这个单机等值公式。

尤其在大机组跳闸时，既损失有功出力，也可能失去该机组对剩余同步系统的惯性贡献。不能用事故前包含已跳机组的惯量，去计算事故后系统的初始响应。直流闭锁与同步机跳闸虽都能造成有功缺额，其边界条件并不完全相同。

惯性提供的是旋转动能的释放。若后续没有足够的持续功率补偿，再大的惯性也只是把频率恶化推迟。对储能、风机附加控制或构网型装置，也不能仅凭“虚拟惯量”名称，就把它无条件并入常数 $H$。只有在明确的频段、测量路径和功率限制内，某些响应才可以近似为等效惯性；能量来源、限流和恢复过程仍须单独检查。

系统工程在这里做的第一件事，是把“装机容量”“惯性资源”“调频裕度”和“持续供能能力”从四个容易混用的词，变成四个分别核实的对象。

3. 一次调频不是简单的下垂直线

用静态下垂表示一次调频，可以得到：

其中 $R$ 是以所选有功基准定义的调差系数。假设一台机组的有功基准为 1000 MW，$R=0.05$，额定频率为 50 Hz，则该简化模型的斜率为 400 MW/Hz。频率下降 0.2 Hz 时，直线给出的增发需求是 80 MW。

但若机组当时只有 20 MW 上调空间，80 MW 只是控制器的愿望。若阀门已经限位、锅炉约束不允许持续增发，或者厂级负荷控制随后消除了增量，系统得到的功率就与这条直线不同。一次调频的死区、限幅、汽轮机与锅炉动态以及外环协调，应当进入模型和试验，而不是只作为说明书中的附注。[4]

因此，应区分“检测到频差”“控制器发出指令”“执行机构响应”和“并网点真正增加有功”四个层次。只检查调速器输出曲线，可能把没有到达电网的功率也算成了频率支撑。

还要区分可用容量与可用速度。两组机组最终都能增加相同功率，前几秒的表现仍可能完全不同。系统是否先触及低频防线，取决于增量何时到达，而不是最终能达到多少。

4. 一个可复算的反例：最终频差一样，最低频率却不同

下面构造一个 50 Hz 的独立受端同步系统，不考虑交流外部支援，突然损失 3000 MW 直流输入。为单独观察惯性与一次调频关系，暂不加入死区、AGC、快速支撑和低频减载，仅使用以下两状态模型：

$p$ 表示聚合一次调频实际功率增量；$\operatorname{clip}$ 将目标增量限制在 0—4500 MW。$T$ 只是示意性的等效时间常数，不代表某一类真实原动机。四种情形只改变动能、响应速度和静态调节斜率，其他条件保持相同。

表中结果由上述方程数值积分得到，取值保留至相应小数位；配套脚本给出完整参数和步长复核。这里没有设置任何保护门槛，表中的频率也不是对实际电网事故的预测。

A、B、C 三种情形在不触发其他控制、最终退出饱和的条件下，具有同样的准稳态频率：

然而，它们的最低频率明显不同。A 与 B 说明，只看一次调频最终增量，会漏掉惯性变化带来的早期风险；B 与 C 说明，同样的静态斜率和功率上限，并不意味着同样的动态安全性；B 与 D 则进一步说明，响应速度与调节总能力也不能相互替代。

这个反例的价值不在于数字本身，而在于把“为什么不能只看调速器”变成了一件可以复算的事情。即使使用如此简化的模型，单一设备指标也不足以决定系统指标；真实电网还会增加空间差异、限幅切换和多个控制层之间的耦合。

5. 负荷不是被动背景，低频减载也不是固定功率按钮

方程中的 $-D\Delta f$ 表示在该线性模型下，频率下降使部分负荷有功需求减少。这种作用能够缓解缺额，但其大小依赖负荷构成与运行状态。电动机、恒功率电子负荷以及具有自身保护和控制的设备，不能无条件用一个多年不变的系数替代。

这里尤其容易出现重复计算：某类负荷已经通过动态模型表达了降频减载效应，又在系统层叠加同一部分阻尼；或者负荷脱网已经进入事件记录，辨识时却仍把全部有功变化归入一次调频。模型看似补充了更多机制，实际上可能把同一贡献算了两次。

低频减载则是另一类机制。它通过离散切除部分负荷改变功率平衡，并不是连续负荷频率特性的延伸。动作门槛、测量滤波、持续时间、断路器执行时间、闭锁条件和后续轮次共同决定结果。

更值得重视的是，装置对应的“可切负荷”并非恒定。设某馈线当时用电为 100 MW，本地分布式发电为 70 MW，从主网净受电只有 30 MW。若整条馈线与主网断开，从主网平衡角度看，减轻的缺额通常应按当时净交换功率计算，而不是按 100 MW 用电量计算。若馈线已净送出功率，同样的切除甚至可能加重主网缺额。这只是边界功率平衡的推论，具体效果还取决于所切范围及内部电源的后续状态。

因此，低频减载方案需要把馈线拓扑、净负荷变化和资源接入变化纳入维护。国家能源局关于电网运行韧性的公开解读也专门提出，研究第三道防线可切负荷动态调整、馈线功率方向判别与可切荷量滚动增补。这说明防线能力不是设备安装完成后便永久不变的属性。[5]

6. AGC、快速支撑与恢复之间，需要设计交接过程

一次调频通常依赖本地频率反馈，在存在持续功率缺额时形成新的平衡；AGC，即自动发电控制，则结合区域控制目标进一步调整机组出力。对于互联区域，典型区域控制偏差包含联络线交换偏差和频率偏差，而不是只看某一点频率。[3]

这些过程不是严格接力：并非惯性先结束，一次调频才开始；一次调频完成，AGC 才获准工作。各机制在时间上重叠，只是在不同阶段的主导作用、可用信息和目标不同。设计分层控制的目的，是协调重叠，而不是假装重叠不存在。

快速储能可以在早期提供有功，但需要检查充放电状态、变流器电流上限、能量保持时间，以及退出后的二次跌落。假设某资源提供 1000 MW、持续 10 s，理想能量仅为约 2.78 MWh；这个简单乘法并不能代替储能选型，因为达到该功率所需的设备能力、可用荷电状态、损耗和后续恢复仍是独立约束。

更重要的是交接。在快速资源退出前，后续资源是否已真正接上？AGC 看到的机组出力变化是否含一次调频增量？厂级功率控制是否把应当保留的频率支撑当成计划偏差予以消除？紧急控制后的目标值是否仍对应事故前联络线计划？

把这些接口留到运行时临时协调，等于把控制设计的一部分交给事故处理人员。正确的做法，是在设计和测试中明确各层的输入、优先级、限幅、退出条件和模式转换规则。

7. WAMS 能看到过程，但不能自动给出正确模型

广域测量系统 WAMS 通过同步相量测量等手段提供跨地点动态信息。它可以帮助比较频率、相角和功率的演变，使“到底是惯性不足、机组未响应，还是资源提前退出”获得更具体的证据。但同步采集不等于所有数据天然可直接拼接，测量位置、滤波与延迟仍需核对。[6]

假如试图利用扰动初期的功率缺额与频率变化率估计惯性，至少需要确认功率损失的时刻与规模、所取频率是否代表研究区域、选取窗口内是否已有快速控制或负荷变化。否则，辨识出来的可能是某个混合效应，而不是纯粹的旋转动能。

参数辨识还存在一个经常被忽略的问题：不同参数组合可能产生相近曲线。仅凭某次事件的一条频率记录，未必能独立识别惯性、负荷阻尼、调速器增益和延迟。应当检查参数敏感性，结合机组功率与控制状态记录，并使用其他事件检验模型，而不是只追求一次拟合的误差最小。

PG&E 的 EPIC 2.15 项目报告提供了一个有启发性的实际例子。项目利用 PMU 扰动数据开展发电机动态模型校核，但报告明确区分了有无有效激励、机组是否有响应空间等条件；项目结论也没有把示范工具描述成已可直接投入生产的成熟产品。[6] 这一点比笼统宣称“有了大数据就能自动建模”更有工程价值。

8. 验证与确认在频率问题中分别检查什么

Verification，本文译为验证，检查实现是否满足规定要求；Validation，本文译为确认，检查其能否在预定用途和环境中满足实际需要。不同电力文献对中文译名可能有不同习惯，因此技术文件应同时写明英文及检查对象。[7][8]

在上面的示意算例中，检查量纲、初始变化率、准稳态解析解和步长收敛，是验证。用独立方法重算同一方程，也是验证证据。它们能说明程序较可信地实现了这两条方程，却不能说明这两条方程足以代表某个真实电网。

若要判断某电网的低频风险，还需要确认模型是否保留了相关联络线、负荷类型、控制限幅和保护行为，参数是否代表当前运行状态，仿真与实测是否在重要指标上吻合。用一条事件调参，再用同一条事件宣告“已确认”，证据仍然薄弱。

这一案例最终留下的系统工程问题是：谁维护在线惯性和调频能力信息，谁核实可切负荷，谁批准控制参数变更，谁保存事件记录，谁判断模型在变化后的电网中仍然适用？如果这些责任没有闭合，频率分析就容易停留在一次计算，而不能成为持续有效的安全能力。

三、电压控制：为什么每个设备都在正确控制，系统仍可能出问题

1. 电压不是许多互不相关的设定值

频率案例中的聚合模型，利用了研究区域频率具有一定相干性的假设。电压问题却不能照搬这一思路。不同节点的电压大小与相角，通过网络阻抗、有功和无功分布相互关联；支撑能力不仅取决于“有多少无功”，还取决于无功在哪里、通过什么网络送达，以及在事故电压下还能提供多少。

以无损线路为例，电抗为 $X$、电流有效值为 $I$ 时，其串联部分消耗的无功与 $I^2X$ 成正比。为了把有功送过较弱的通道，电流增大，通道本身还会增加无功需求。因此，不能认为只要全网无功总量平衡，每个受端节点就一定有足够电压支撑。

发电机励磁提高内部电势，改变端电压与无功交换；并联电容器、静止无功补偿器 SVC、静止同步补偿器 STATCOM 和变压器分接头，则通过不同机制改变网络状态。它们并非一组可以任意互换的“无功按钮”。设备的连续调节能力、响应速度和低电压下的能力不同，资源位置也影响效果。[9]

于是，系统问题不再是“某个母线电压有没有跟踪给定值”，而是“在设备约束、网络约束和动态过程共同作用下，区域是否还有可接受的运行状态，以及能否到达这个状态”。

2. 励磁正确，不等于无功分配正确

自动电压调节器 AVR 根据测量电压与参考值的差异调节励磁，这是发电机电压控制的重要局部环节。但它看到的量，不一定是区域真正要优化的量。维持机端电压、控制高压侧母线电压、按比例分配无功和保留事故后裕度，是有关联却不同的目标。

若多台设备同时严格控制同一电气区域的电压，细小的参考值差异、测量偏差或补偿设置差异，就可能造成不合理的无功交换。每台设备都在按自己的误差信号工作，系统却可能出现一台接近上限、另一台仍有余量的情况。

采用电压—无功下垂，是协调的一种思路。例如，在无功发出为正的约定下，可以用简化关系 $V=V_{\mathrm{ref}}-k_Q Q$ 表示一定的下垂特性。但实际励磁系统中的无功调差、线路压降补偿和远方电压控制，不应仅因名称相近就合并成一条公式。测量点、基准容量、正方向和反馈符号不同，接入同一系统后的效果也不同。

真正应提交的接口，不只是“调差率为多少”，而是完整的控制关系及有效范围：控制哪个点，以什么量为输入，何时进入限制，限制后谁接替控制。系统工程所说的接口，在这里首先是一份物理与控制契约，然后才是一组通信字段。

3. PV 节点是一项能力假设，不是发电机的永久身份

在常见交流潮流模型中，把发电机母线设为 PV 节点，意味着在相应模型条件下给定有功与电压幅值，由求解得到相角与所需无功。它把动态控制过程压缩成了一个稳态能力假设：该节点具有实现目标电压所需的无功调节能力。

这一假设有边界。若所需无功超过可用范围，继续强制维持目标电压，就相当于给模型安装了真实设备并不存在的资源。启用无功限值处理后，一种常见实现是将无功固定在有效限值，并把相应节点转为 PQ 节点重新求解。MATPOWER 的公开手册就说明了这种限值外循环，同时提醒其简单上下限处理并不等于完整的机组能力曲线。[10]

因此，PV→PQ 是模型约束和未知量集合的改变，并不意味着现场设备在某一瞬间执行了一个叫作“切换成 PQ 节点”的开关动作。实际过程可能包括励磁限幅、过励限制器接管、控制器积分状态变化和电压偏离目标。

对于同一母线上有多台机组、存在远方调压或多设备联合控制的情况，也不能机械地理解为“某一台到限，整座母线就必然立即转为 PQ”。需要检查剩余设备是否仍承担电压控制，以及软件如何表达这些分配关系。

4. 一个两节点算例：忽略无功上限，会凭空创造电压支撑

构造一个无损两节点系统。送端电压幅值 $E=1.0$ pu，受端净有功需求 $P=0.8$ pu，无功负荷 $Q_d=0.2$ pu；受端有一台调压资源，无功发出 $Q_g$，上限为 $0.30$ pu，目标电压 $V=1.0$ pu。所有量使用一致的三相标幺基准，受端已有的本地有功发电已计入净需求 $P$。

设送、受端相角差为 $\delta$，网络等值电抗为 $X$，则：

事故前取 $X=0.20$ pu。维持 $V=1.0$ pu 所需的无功为：

低于 $0.30$ pu 上限，因而在这个模型中可以满足目标。

再设一次网络变化使等值电抗增至 $0.50$ pu。有功需求与电压目标都不变，此时所需无功变为约 $0.3670$ pu，已经超过可用上限。若潮流仍把受端当作无限能力的 PV 节点，计算结果依旧可以是 $1.0$ pu，但那是虚构出来的控制能力。

将 $Q_g$ 固定在 $0.30$ pu，则受端净无功需求 $Q=Q_d-Q_g=-0.10$ pu。令 $y=V^2$，消去相角可得：

取该工况下的高电压解，得到 $V\approx0.9613$ pu。两个模型看起来只差一个限值开关，对事故后电压的判断却已经不同。

必须强调：这里的 $0.9613$ pu 不是“已经发生电压崩溃”的结论，也不代表任何特定电压等级的合格判据。这个算例只证明，约束改变了可实现的运行点。要讨论稳定性，还需要负荷和控制动态，以及相应的稳定判据。

同样，$0.30$ pu 固定上限只是为了便于复算。实际机组能力随有功、电压、励磁电流、定子电流和温升条件变化。把一张铭牌或一个正常运行点的能力数值，直接用于全部事故条件，仍可能过度乐观。

5. 限制器不是控制系统之外的附属条件

励磁调节器希望维持电压，过励限制器需要避免设备长期超过允许能力，保护则在危险条件下隔离设备。三者有不同目标，但面对的是同一台发电机。若协调不当，可能出现调节器要求继续增加励磁、限制器正在压低励磁、保护又接近动作的局面。

例如 NERC PRC-019-2 将设备能力、电压调节控制、限制功能与保护协调作为一个整体问题处理。[11]

限制器正确介入，可能减少系统当时急需的无功支撑。不能因此简单指责限制器“不顾大局”；设备若因过热而彻底退出，后果可能更严重。系统设计真正需要回答的是：正常运行时是否留出了裕度，其他资源能否接替，事故后的潮流和有功安排是否需要改变。

有关过励限制器的研究也表明，在受压运行条件下，限制环节会影响系统的稳定边界。[12] 把正常运行中尚未动作的控制逻辑从模型中删除，可能恰好删掉决定事故后行为的机制。

6. AVC 应当分配可实现的任务，而不是重复下达愿望

自动电压控制 AVC 的价值，不是比本地 AVR 更频繁地修改给定值，而是协调多个资源在网络中的作用。它需要知道设备当前可用状态、可调范围、控制模式、动作代价与网络灵敏度，才能把区域目标分解为设备能够执行的任务。

若 AVC 只看到母线电压偏低，却不知道某机组已经进入无功限制，就可能不断提高给定值。通信正常、指令接收成功、调节器执行无误，区域目标仍无法实现。若上层积分持续累积，设备退出限制后还可能产生不必要的反向调整。

因此，下层不仅应上传实际电压和无功，还应表达“当前是否可调、哪个约束正在起作用、给定值为什么未被实现”。上层不仅应生成目标，也应处理不可行性：换用其他资源、调整有功分布、请求人工处置，或者在经批准的边界内降低目标要求。

分层控制可以减少耦合，但不是把不同系统的扫描周期排成大小顺序就自动完成协调。带宽、通信时延、滤波、死区、限幅与模式切换共同决定耦合。某个闭环名义上更新较慢，也可能通过离散投切或大幅修改参考值，对较快环节产生强扰动。

7. SVC 与 STATCOM 的区别，应在事故电压下比较

假设 SVC 已经达到容性电纳上限 $B_{\max}$，在简化基波模型中，它能够提供的无功近似为 $Q=B_{\max}V^2$。若电压降到额定值的 $0.7$，其无功能力约为相应额定电压下的 $0.49$。

对于理想化的限流型 STATCOM，若能够维持最大容性无功电流，则按一致标幺基准有 $Q\approx VI_{q,\max}$。同样在 $0.7$ pu 电压下，无功约为相应额定电压下的 $0.7$。这是由功率、电压与电流关系得到的比较，不意味着真实装置在任何低电压下都能维持这个电流。

实际表现还受直流侧电压、变流器电压能力、电流优先级、控制同步、保护和持续时间约束。既不能把 STATCOM 写成“无功能力完全不受电压影响”，也不能仅凭额定 Mvar 数量，就把不同装置在故障过程中的作用视为相同。

这个比较把需求重新带回了设计起点：究竟需要正常电压调节、故障期间动态支撑、故障后恢复，还是多种任务的组合？只有先回答这个问题，设备选择和模型深度才有依据。

8. 电压合格、潮流有解与电压稳定是三件不同的事

设想一个受端区域在故障清除后电压偏低。励磁与动态无功装置首先增加支撑，部分负荷随电压降低而减少需求，使短时状态似乎有所缓解。随后，有载调压变压器尝试恢复下级电压；对具有相应电压依赖特性的负荷，这可能使负荷功率恢复，并增加上级网络的输送压力。若发电机过励限制器随后介入，可用支撑又会变化。

这里每个动作都可能符合本地设计：调压变压器努力恢复用户电压，限制器努力保护发电机，励磁调节器努力减小电压误差。但它们组合起来，不一定存在能够满足全部目标的状态。系统可能需要改变负荷、有功输送或运行方式，而不是继续提高某个给定值。

这个过程只是一个有条件的机制链，不能据此断言分接头动作总会损害稳定。影响取决于负荷模型、网络强度、控制策略和约束。另一方面，故障后的电动机恢复、变流器限流等较快过程，也不能用只包含慢变化的模型代替。

潮流求解收敛，只能说明在所设代数模型与约束下找到一个数值解；它不能证明系统一定能够动态到达该解，也不能证明小扰动或大扰动后仍然稳定。反过来，一次牛顿迭代不收敛，也不能直接当作物理上没有平衡点的证明，还应检查初始化、算法与模型一致性。

因此，电压研究至少应区分当前运行点、约束裕度、所研究扰动及动态恢复过程。所谓“模型足够精确”，必须落实为它是否保留了足以改变这些判断的机制。

9. 这个案例怎样形成验证闭环

单台 AVR 的阶跃试验，可以验证局部动态；无功能力和限制逻辑的检查，可以验证设备边界；区域闭环仿真，则要进一步检查资源分配、通信异常、控制退出和故障后恢复。几个层级的证据不能互相替代。

尤其应当把“给定无法实现”作为正常的测试对象，而不是只测试所有设备都有余量的漂亮场景。限值一旦生效，目标是否重新分配？设备退出 AVC 后，剩余设备会不会过载？通信恢复时是否突然追赶过期指令？这些问题比正常工况下减少了多少电压偏差，更能检验系统是否完整。

这个案例说明，约束不是优化完成后的检查清单，而是决定可行域的组成部分。局部控制器负责按照自己的规则行动，系统工程负责确认这些规则能够在同一个物理世界中共同成立。

四、保护、安全自动装置与调度：安全不是单个装置正确率的总和

1. 故障清除是系统状态的改变，不是流程的终点

一条输电线路发生故障后，继电保护识别故障并发出跳闸命令，断路器执行开断。对保护装置而言，正确选择并切除故障，是核心任务；对电网而言，故障清除又意味着网络结构改变，功率转移到其他通道，发电机功角继续运动，电压与频率也可能继续变化。

因此，保护工作的结束点，往往是另一组系统问题的开始点。后续是否需要切机、切负荷、直流功率调整或解列，不能仅凭“主保护正确动作”作出判断。调度如何确认实际拓扑、限制剩余通道潮流、恢复备用，又与自动措施是否成功相互关联。

这条链可以写成：故障发生与识别，故障隔离，稳定控制，运行状态重构，供电恢复。它是用于分析因果的链条，不是要求现场所有动作严格串行。不同防御措施可能并行启动，某个后续动作的成立条件，也可能依赖另一个动作已经完成。

系统工程首先要拆开两个容易混淆的判断：装置是否按其要求正确动作，以及这组动作是否把系统带到了可接受状态。前者成立，不自动推出后者成立。

2. 三道防线是防御目标的分层，不是三个部门的排序

讨论国内电网安全稳定，应当以适用的标准、运行规程和经批准的控制方案为依据。GB 38755—2019《电力系统安全稳定导则》的官方页面给出了其标准信息。[13]

从工程作用理解，第一道防线强调合理网架与运行方式、预防控制，以及快速可靠的故障切除，使常见扰动不致演变为系统失稳。第二道防线进一步利用稳定控制和相应紧急措施，处理更严重的扰动，必要时付出局部调整或部分供电损失的代价，维持系统整体稳定。第三道防线则面向稳定受到严重破坏的情形，通过失步解列、低频低压等紧急控制，力求阻止失控扩大并保留可恢复的系统部分。实际方案及动作条件必须结合具体电网核定。[14][5]

不能把它简化成“继电保护是第一道、安全自动装置是第二道、调度员是第三道”。安全自动装置可以承担不同防御层的功能；调度的预防安排、紧急处置和恢复组织，也贯穿多个阶段。防线之间还共享设备、量测、通信和执行资源，并不天然相互独立。

一个很具体的问题是：第二道防线已经切除了某组负荷，第三道防线的后续计算是否还把这组负荷当作可用资源？如果各自维护一张未经协调的资源表，每套方案单独仿真都可能有效，串联执行时却会出现重复计算。防御层次增加了，实际可控资源却没有增加。

3. N−1 是有边界的校核，不是对任意事故的保证

N−1 分析的重要性，在于要求系统面对所规定的单一元件退出情形进行校核。但这句话只有连同运行方式、故障集合、切除方式、时间过程和结果判据，才有明确工程含义。

只做事故后静态潮流校核，不能自动覆盖暂态稳定、频率最低点或特定控制失效。采用正常快速切除假设得到的稳定结论，也不能自动用于断路器拒动后由后备保护延时清除的情况。

两个逐项通过的单一退出场景，并不保证二者连续发生时仍能通过。第一次事故可能改变网络、消耗备用、切除控制资源，并使第二次事故发生时的初始状态完全不同。同塔线路、共享站用电或通信路径等共同依赖，也应在相应风险分析中单独审查，不能简单用两个独立小概率相乘。

这不意味着要把所有想象得到的组合都按同样力度计算。工程上需要基于后果、合理的事件机制和适用要求分层选择场景。关键是报告应清楚说明“覆盖了什么”，而不是把“完成了某组 N−1 计算”写成不带条件的安全证明。

4. 一个首摆算例：都能最终跳闸，不意味着都来得及

为了单独展示时间接口的意义，采用经典单机无穷大系统。机械功率 $P_m=0.8$ pu，惯性常数 $H=5$ s，额定频率 $f_0=50$ Hz；故障前电磁功率为 $1.8\sin\delta$，严重故障期间简化为零，故障清除后为 $1.2\sin\delta$。功率均采用同一机组基准，$\delta$ 为电角度。

此模型忽略阻尼、调速器和励磁动态，保持内部电势不变，只讨论给定条件下的第一摆稳定性。其摆动方程为：

事故前稳定角为 $\delta_0=\arcsin(0.8/1.8)\approx26.39^\circ$，故障后不稳定平衡点为 $\delta_u=\pi-\arcsin(0.8/1.2)\approx138.19^\circ$。临界清除角满足等面积关系：

由此得到 $\delta_c\approx56.25^\circ$。由于本例故障期间电磁功率为零、机械功率保持不变，转子按恒定加速度运动，临界清除时间为：

其中公式中的角度必须使用弧度。

若总故障清除时间为 $0.12$ s，本例位于临界时间以内；若为 $0.24$ s，则超过边界。两条路径都可能“最终成功打开了正确的断路器”，但在这个模型中，第一摆的系统结果已经不同。

这个例子并不是建议任何保护采用 $0.204$ s 整定值。真实系统的临界时间取决于故障位置、运行点、网络、控制与模型；工程设计还必须考虑不确定性与必要裕度。这里刻意保持相同的故障后网络，只为隔离清除时间的影响。实际后备保护可能扩大切除范围，改变故障后功角曲线，届时必须连同拓扑重新计算。

更重要的是，系统看到的故障持续时间，不等于继电保护算法的内部处理时间。测量、判别、通信配合、出口和断路器开断共同形成端到端路径。对顺序发生的环节需要累计，对并行环节则应分析关键路径，不能把全部时间不加区分地直接相加。

5. 后备保护与通信依赖，要按异常路径设计

正常路径通过测试，不代表后备路径已被验证。主保护失效、通信中断、断路器拒动和辅助接点异常，可能使系统进入不同的逻辑分支。后备保护是否能识别、是否能到达实际执行对象、切除范围和清除时间怎样变化，都需要具体分析。

这里的冗余也不是简单装两套设备。两套保护若共享某个必要的直流供电环节、通信路由或错误配置，就可能同时失去预期作用。即使硬件相互独立，来自同一模板的定值错误也可能成为共因失效。

对于依赖通信的功能，应区分消息没有到达、到达过晚、重复到达以及内容与当前状态不一致。收到一条格式正确的命令，并不能证明它仍适用于已经改变的网络。时标、状态版本、动作确认和异常告警，需要成为功能设计的一部分。

这些要求不能脱离具体保护原理统一规定。例如，不同纵联方案在通道异常时的后果并不相同。系统级审查应逐条分析其异常行为，而不是用一个笼统的“通信故障自动降级”替代可检查的设计。

6. 失效安全不是“有故障就跳闸”，也不是“一律闭锁”

工业软件中常说的失效安全，到了电网控制领域必须更谨慎。设备退出可能保护本体，却增加系统功率缺额；闭锁一次可疑动作可以避免误切，也可能在真正的危险到来时丧失防御能力。

因此，安全状态不是脱离环境的唯一开关位置，而是在明确危险、设备状态和可用替代措施之后确定的目标状态。失效处理应回答：正在防范哪一种后果，哪些状态可以可信识别，是否存在独立确认，剩余时间有多长，以及动作后如何检测结果。

例如，对尚未执行的广域优化建议，输入过期时停止自动下发并告警，可能是合理的降级方式；但不能把这条软件策略不加判断地推广为所有就地保护在数据异常时都闭锁。不同功能承担的风险不同，降级设计必须分别论证。

系统工程并不替代保护专业决定逻辑细节，却要求这些细节与上层安全目标相连，并让误动、拒动、失去可用性三类后果都进入审查。

7. 调度与恢复不能靠“届时人工处理”兜底

把某个风险写成“由运行人员及时处置”，并未真正消除风险。首先要确认人员在事故条件下能够看见什么信息，信息是否及时可靠，是否有足够时间理解并行动。一个发生在几百毫秒尺度的稳定问题，不可能靠事故后临时讨论解决。

调度的重要作用，包括事故前调整运行方式、维护资源可用性和明确预案；事故中确认自动措施的实际效果、处理剩余风险；事故后组织恢复并重建防御能力。人不是用来掩盖自动系统不完整的无限能力部件，而是需要信息、权限、训练和时间条件的系统参与者。

恢复也不是把事故前打开的开关全部重新合上。孤岛内的有功平衡、无功支撑、机组启动条件与负荷恢复顺序，需要重新评价。不同区域重新连接前，应满足适用的同期条件；恢复负荷还可能带来与事故前不同的暂态需求。所有动作都应服从实际规程和授权，这里仅说明其系统依赖关系。

更容易遗漏的是“恢复后的第二次事故”。频率回到了正常范围，不代表备用已经恢复；负荷送上了电，不代表第三道防线的可切资源已经重新具备；通信恢复了，不代表不同主站对控制权的认识已经一致。恢复目标应包括安全能力恢复，而不仅是画面颜色恢复。

8. 实际事件的价值：装置正确动作后，仍然需要改进系统方案

例如关于 2013 年“8·16”金安桥—楚雄双回线路相继故障的公开研究，报告了两次相继故障、第二及第三道防线正确动作，以及金安桥水电站最终与系统分离的过程。作者依据现场录波与 BPA 仿真分析动作，并提出方案优化和完善相继故障风险评估的建议。[14]

这里引用的是论文公开摘要所支持的事实，不延伸推断未核阅的定值、精确时序或人员责任。它提供了一个很重要的方法论例证：确认装置正确动作，不应阻止继续追问防御方案是否还有改进空间。

对工程组织而言，事件复盘应把保护记录、稳控记录、调度记录、拓扑变化和仿真模型放到同一条时间线上。否则，保护专业证明了动作正确，调度专业说明了处置合规，软件专业证明了消息已发送，最需要解释的系统后果却可能留在三份报告之间。

系统安全的责任对象是完整的事件路径，而不是若干张分别合格的试验报告。

五、潮流、机电暂态与电磁暂态：为什么模型必须并存

1. 模型的价值，取决于它支持什么决策

前三个案例已经使用了不同的模型：聚合频率方程回答功率缺额与响应速度问题，两节点潮流回答无功约束下的运行点问题，经典摆动方程回答故障清除时间对第一摆的影响。它们都不完整，但只要边界清楚，就能够分别说明问题。

由此可以得到一个容易被“高精度”口号掩盖的判断：模型选择本身就是系统工程决策。它需要权衡遗漏重要机理的风险、参数可获得性、计算资源和结论时效，而不是把状态变量最多的模型宣布为统一终点。

研究线路建设后某组负荷水平下的输送分布，通常首先需要适当的潮流模型；研究机组跳闸后的频率与功角，需要增加相关动态；研究换流器控制相互作用、特定故障穿越或开关过程，则可能需要电磁暂态表示。NERC 关于 EMT 模型的技术白皮书，也将模型需求与具体研究问题联系起来，而不是要求所有分析都无差别地使用同一种详细程度。[15]

2. 三类模型分别保留了什么

常规正序潮流把电网表示为稳态基波关系，重点是节点功率、电压和网络约束。它可以作为很多动态分析的初始化基础，却不描述扰动后的时间轨迹。这里的“正序”是特定建模选择，不能把所有潮流都等同于正序模型；研究配电网不平衡时，还可以采用多相潮流。

常规机电暂态分析通常以基波相量网络连接发电机、励磁、调速和其他动态环节，保留所研究的较慢状态，简化大量电磁过程。它并非只能包含同步机，也可以接入适用的变流器等值动态模型。关键在于该模型是否保留了目标现象，而不是设备名称是否属于“电力电子”。

电磁暂态模型则在时域表示相关电压、电流与控制状态，可以保留更丰富的电磁过程。但 EMT 模型内部仍有层次：使用平均值换流器还是逐开关表示，线路是否需要频率相关参数，是否计入磁饱和和采样离散控制，都要按任务选择。

时间尺度分解的依据，是目标过程与被简化过程之间是否存在可利用的差异，而不是为每一种设备永久指定一个时间尺度。快速控制可能影响较慢的系统轨迹，慢速限制也可能改变较快过程的运行点；被省略的耦合一旦足以改变结论，原来的分解就需要调整。

因此，“做了 EMT”不是完整的可信度声明。使用平均模型，不能自动获得开关谐波结论；遗漏真实控制限幅，也不能因为步长很小，就证明故障穿越性能可信。另一方面，对于不依赖开关细节的系统级问题，逐开关计算也未必增加决策价值。

3. 详细模型可能增加另一类不确定性

增加一个状态或控制环节，需要增加相应的参数、初始条件和验证依据。若这些输入缺乏可靠来源，模型只是增加了可以调节的自由度。它可能更容易拟合一条曲线，也更难判断拟合是否具有物理意义。

一个简化模型若对目标频段已得到充分检验，可能比参数来历不明的详细模型更适合某项决策。但这种比较只对已经明确的用途成立，不能推广成“简化总是更好”。当被忽略的限流、相角同步或电磁过程开始决定结果时，就必须扩展模型。

模型之间还要具有可解释的一致性。动态初始化应对应同一个有功、无功、电压和控制状态；若潮流中机组拥有无限无功能力，动态初始化时却已经触及励磁限制，仿真一开始出现的波动可能来自模型拼接，而不是研究中的事故。

跨软件结果一致是一项证据，但不是独立真理。两个软件若使用相同的不合理负荷假设，就可能非常一致地低估风险。对差异的解释和对共同假设的审查，与结果比对同样重要。

4. 多模型联合的困难，常常转移到接口上

把重点区域放入 EMT，把外围系统保留为较简化的动态等值，可以兼顾规模与细节。但这种分解只有在边界保留了重要耦合时才成立。接口送出的是瞬时值、相量还是等值参数？频率偏移时参考坐标怎样更新？有功和无功的正方向、基准与滤波是否一致？

通信与数值交换也参与动力学。一个纯时间延迟 $\tau$，对角频率为 $\omega$ 的信号引入相位滞后 $-\omega\tau$。因此，接口延迟即使看上去很短，在某个研究频段也可能不可忽略。把模型拆开之后的稳定性，不应只依靠各子模型独立稳定来保证。

应当检查边界功率的一致性、不同交换步长下的结果变化，以及扰动穿越边界时是否产生非物理振荡。接口验证不仅要看数值能否传过去，还要看分解后的模型是否仍然代表原先要研究的系统。

5. 实时性是期限约束，不是平均速度宣传

对于接入真实控制器的实时仿真，计算必须按规定的墙钟时间推进。一个平均步耗时小于仿真步长的程序，仍可能在拓扑切换、通信拥塞或复杂控制触发时超时。超时以后保持旧输出、丢弃一步、暂停或退出，会对外接控制器形成不同的输入。

因此，实时要求应明确模型规模、事件条件、输入输出负载、计时边界和超时处理。测试中观察到的最大耗时，是对所测试条件的证据；未经进一步论证，不能将它写成所有可能执行路径的严格最坏时间上界。

离线 EMT、实时 EMT、控制器硬件在环和功率硬件在环，也不是同一种试验。实物接口增加了采样、延迟、放大器和保护等因素，验证范围应相应扩大。将仿真与硬件接起来，增加了证据来源，也增加了新的失效方式。

模型不是越精确越好，而是必须足够忠实地保留那些能够改变工程决策的因素。 所谓模型并存，是让不同表示互相支持和约束，而不是要求每一个任务都把全部模型运行一遍。

六、规划与运行：同一个电网，为什么会拥有多个“真实版本”

1. 规划与运行的差别，有合理部分，也有危险部分

规划研究面向尚未完全实现的未来，需要比较负荷增长、资源建设、不同网架和多种不确定情景。运行分析面向正在工作的系统，需要及时反映设备投退、检修安排、出力和控制状态。两者对时间范围、数据粒度和分析速度的要求不同，使用不同模型并不等于管理失败。

真正危险的是，模型差异失去了说明和责任。规划模型认为某项设备已经具备，实际尚未投产；运行模型仍使用初始设计参数，现场已经完成改造；稳定计算引用了另一版本的控制逻辑，保护部门却不知道计算结论依赖该逻辑。

从组织设计看，若规划交付只以某次方案论证为终点，建设交付只关注设备投产，运行部门又只能自行修补计算模型，那么模型维护就会落在几次正式交付之间。各方优化自己的工作闭环，却没有形成覆盖全生命周期的交付闭环。不同软件的数据结构和转换成本，会进一步放大这种脱节。因此，协同不能只靠要求工程师“加强沟通”，还需要把模型更新、差异说明和接收确认列为正式成果。

此时争论“哪个软件算得更准”，可能偏离根本问题：各方根本没有在计算同一个系统。同一物理对象的多个表示可以并存，但它们之间的对应关系、适用日期和批准状态，不能靠个人记忆维护。

2. 从建设到投运，模型交接应当像设备交接一样具体

设想一座变电站扩建，设计阶段新增一段母线、一台变压器和若干间隔。规划模型可能将它们合并成一个较简洁的节点；调度自动化则需要断路器、隔离开关、量测点和实际连接关系；保护计算还需要与故障电流、互感器及保护区域有关的信息。

这些表示没有必要完全相同，但必须知道彼此怎样对应。设备的稳定标识不应随界面显示名称随意变化；节点—开关模型聚合为母线—支路模型时，也应记录聚合条件。母线分段开关状态变化，可能改变聚合结果，而不是仅让图上的一条线变色。

更细小的差别也会改变结论。变压器阻抗采用哪个容量基准？分接头位置是设计值、实测值还是估计值？线路长度与补偿设备是否使用竣工数据？无功正方向在量测、控制和仿真中是否一致？这些问题没有统一答案，却必须有逐项明确的答案。

模型交付不应只交一个能够导入的软件文件，还应包含来源、版本、适用范围、映射关系、校验结果和责任人。否则，下一次转换格式后，原本隐含在工程师头脑中的假设就可能丢失。

3. CIM 提供共同语义，不替代数据治理

公共信息模型 CIM 的意义，在于用共同的对象、属性与关系描述电力企业相关信息，为不同应用交换数据提供语义基础。IEC 61970-301 的公开范围说明体现了这一作用。[16]

但支持 CIM，不等于不同软件自动得到了相同的电网。双方仍需约定适用的信息子集、扩展方式、设备标识、状态表达和版本策略。一个字段合法、文件通过模式校验，只能证明它符合相应语法与结构要求，不能证明线路真的存在，也不能证明设备当前就在运行。

同样，交换成功不代表动态模型完整。静态网络信息、机组控制参数、保护逻辑和软件版本，可能来自不同数据源，需要额外的关联和管理。“采用标准格式”解决了接口的一部分，却不能替代模型所有权和质量责任。

因此，我更倾向于把 CIM 看作建立共同语言的重要基础，而不把它当作消除组织与工程差异的万能转换器。

4. 需要管理的不是一个版本号，而是一组基线

一次计算至少应能够识别：设备与网络模型版本，运行断面时刻，动态参数与控制定值版本，保护与稳控方案版本，求解器版本，以及所用场景和结果判据。不同信息更新频率不同，但合在一起才构成此次结论的依据。

例如，求解器升级后，输入文件没有变化，结果仍可能因限值处理或初始化算法变化而改变；设备模型未变，但控制器固件升级改变了故障穿越逻辑，旧动态模型也可能失效。只对程序源代码做版本管理，而不管理参数、配置和场景，无法完整复现工程结论。

NASA 配置管理过程强调配置标识、变更控制、状态记录与审核等工作。[17] 映射到电力系统，不是再建一个文件目录，而是使“哪一份表示在什么时间、经谁批准、用于什么任务”能够回答。

还应区分拟建、已安装、已调试和已投入运行。设备进入资产台账，不代表可以立即在实时网络中置为运行；现场临时方式改变，也不应直接覆盖长期规划方案。不同状态之间需要明确的生效条件。

5. 模型更新应形成可检验的发布过程

模型更新可以借鉴软件发布，但不能简单照搬“文件保存即上线”。变更首先进入待审基线，经过结构校验、基准算例、跨模型比对及必要的场景复核，再按授权发布到相应用途。生产应用还应检查新模型与当前断面是否兼容。

对于在线系统，拓扑版本和量测时刻应形成一致的快照或明确的对齐关系。旧拓扑配上新量测、新设备标识配上旧点表，可能每个数据项都合法，整体却不存在对应的物理状态。发现无法形成可信断面时，应明确降低结果的使用等级，而不是继续显示一个无条件的“安全”。

运行反馈也应反向进入规划。若某种低惯性方式反复限制送电，某区域动态无功长期紧张，或某项稳控策略过度依赖少数资源，这些不只是运行部门需要不断“协调”的问题，也可能构成网架和资源配置需要调整的证据。

规划与运行协同的目标，不是消灭所有模型差别，而是使差别可解释、转换可核查、结论可追溯。数字孪生的实质价值，也只能建立在这种关系上，而不是建立在一幅看起来同步转动的三维画面上。

七、工业软件本身就是电力系统的一部分

1. 软件一旦参与信息与控制链，就进入了风险边界

把工业软件称为“工具”，并没有错；问题在于这个称呼容易让人忽略它对真实系统的作用。调度自动化提供运行判断，AVC 下发控制目标，WAMS 影响动态分析，保护信息系统影响事故识别，调度员培训仿真系统 DTS 影响人员形成的处置能力。它们与现场的距离不同，影响路径也不同。

并不是所有软件都应采用同样等级的安全要求。离线研究脚本、辅助报表、在线安全分析和直接闭环控制，错误到达设备的路径、独立校核机会与后果范围不同。正确的做法是追踪因果链，按功能和后果分级，而不是简单宣布“全部软件都关键”或“软件只是辅助”。

国家能源局 2022 年对《电力二次系统安全管理若干规定》的政策解读，将二次系统的规划建设、运行维护、定值参数及通信配置管理联系起来，并说明将新能源发电控制、直流控制保护等纳入相关管理范围。[18] 这一整体视角说明，数字化系统不能游离于电力安全管理之外。

2. 一个“程序都正常”的故障链

构造一个区域 AVC 场景。上层从状态估计获取母线电压与无功分布，生成调节目标，再通过通信下发给厂站。若拓扑更新尚未完成，而部分量测已经反映新的运行方式，上层可能使用了不一致的断面。

此时，优化算法可以正常收敛，程序没有抛出异常，通信也能成功送达命令。厂站控制器甚至可以准确执行给定值，但这个命令对应的不是当前电网。真正的故障不在数值求解是否成功，而在输入是否属于一个可用于该决策的物理状态。

另一条路径是数据冻结。一个值连续重复，看起来十分平稳，却可能只是停止更新。若系统仅检查“数值是否越界”，就可能把过期数据当作高质量输入。上层继续调节，现场状态则越来越偏离其认知。

这些都是可能的隐藏风险，说明软件验证不能止于函数返回值、消息送达率和服务进程存活；还必须检查数据到决策再到执行的闭环条件。

3. 数据质量是结构化信息，不是一个“有效”勾选框

一个电压量测至少包含数值、单位、测量时刻、接收时刻、设备标识及质量信息。在需要跨系统对齐时，还应知道其关联的拓扑和配置。测量发生时间与数据库写入时间不同，不能用后者掩盖前者已经过期。

失效值也不能随意用零代替。电压为零可能表示母线失电，缺失电压则表示不知道母线电压；两者会触发完全不同的逻辑。类似地，“设备不可调”“当前调节量为零”和“未收到状态”，并不是同一个枚举项的三种写法。

接口还需要定义乱序、重复和补传数据的处理。历史事件补传到达时，究竟进入档案还是重新触发控制？主备切换后旧命令是否还可能执行？重新连接时怎样确认控制对象与版本？这些不是通信协议之外的琐碎问题，而是控制语义的一部分。

一个有工程意义的输出，也应携带用途限制。例如，安全分析结果基于哪个断面，哪些设备状态未知，哪些模型使用了替代参数，结果何时过期。没有这些信息，使用者容易把有条件的计算判断理解为实时事实。

4. 可靠性、功能安全与网络安全相关，但不能合并

软件服务连续运行，说明某种可用性较好，不代表其输出正确；系统没有受到外部攻击，也不代表不存在算法缺陷；控制算法在正确输入下工作良好，也不代表通信受损后不会产生危险行为。

NIST 的 OT 安全指南强调，运行技术系统具有与物理过程、性能、可靠性和安全有关的特殊要求。[19] 把通用信息系统的一项措施直接移植到生产控制系统，必须先检查它是否改变时延、可用性或操作流程。

这不是否定网络安全，而是要求网络安全与生产控制共同设计。权限控制、审计和隔离等措施，需要与故障处置、维护窗口和应急接管协调；便利性不能成为取消防护的理由，防护建设也不能绕过物理系统的运行约束。

同样，冗余服务器只能覆盖特定故障。两台服务器运行同一版本程序、读取同一份错误模型，可能同时给出同样的错误结果。主备切换若没有一致的控制权和命令状态，还可能产生双重下发。可用性设计与正确性设计必须分别提供证据。

5. 一则实际警示：控制中的估计值，不总等于物理事实

NERC 在 2017 年发布的太阳能资源扰动告警中，讨论了输电扰动期间大规模光伏功率损失，其中涉及逆变器错误的瞬时频率判断引发跳闸，以及低电压期间的暂时停止输出等机制。[20]

这个事实不应被扩大成“所有逆变器都有同样问题”，也不能据此评价今天某个产品。但它清楚地表明：用于控制与保护的软件算法、阈值和恢复逻辑，能够参与决定电网事故后果。

6. 升级是系统变更，不是替换一个可执行文件

软件修改一个限幅条件、一种时间戳处理方式或一项默认参数，表面上只涉及几行代码，却可能改变前面几个案例的结果。对电力工业软件而言，版本变更应说明影响的功能、数据结构、模型语义和故障行为，而不只是列出“优化性能、修复问题”。

有价值的回归测试，应同时包含正常场景、边界场景与历史问题。频率模块需要检查限幅与恢复，AVC 需要检查资源不可用和数据过期，保护信息需要检查事件乱序和时间对齐。仿真平台还应检查拓扑变化后的初始化及计算期限。

新算法可以先在隔离的测试环境或不参与控制的影子计算中评估，但影子运行也必须明确不拥有现场执行权限，避免将试验结果误接入生产。部署前后的检查、回退条件与责任人，应在变更批准时确定。

回退也不是把程序版本号改回去就结束。若数据库结构、参数含义或设备固件已经同步变化，旧程序未必能够安全读取新状态。可回退性需要预先设计，并通过相应测试确认。

7. DTS 与事故复盘，应成为证据闭环而不是演示闭环

DTS 的作用之一，是让人员在可控环境中理解事故过程与处置后果。但训练模型若缺少关键保护、限制器或控制延迟，学员可能在仿真中反复完成现实中并不可行的操作，形成错误预期。

因此，培训系统应说明场景的保真范围。为了教学而简化某些过程可以接受，但应告知哪些结论可以迁移到现场，哪些只是便于展示。界面像真实主站，不等于过程已经具有同等可信度。

实际事件则应反过来更新培训与回归测试。某次事故暴露了消息乱序、控制资源不足或模型偏差，应将其整理成可复现条件，形成修订后的模型、操作训练和软件测试。只有报告归档、没有改变后续行为，反馈闭环并未真正闭合。

也应避免让测试系统完全共享被测系统的错误假设。若 DTS 与生产分析应用都调用同一份有缺陷的模型，二者高度一致，仍可能遗漏共同失效。关键场景应尽可能具有独立的机理校核或外部证据。

8. AI 的位置，应由权限与证据确定

AI 可以辅助检索、整理需求、生成测试候选、解释日志或发现异常。但它在工程中的角色，应由输出如何被使用来定义，而不是由模型规模或演示效果定义。生成一段分析建议，与直接修改控制参数，是完全不同的权限级别。

对于重要结论，应保留输入范围、模型或服务版本、引用依据与复核记录。无法确认的内容应被标识为不确定，而不是为了让工作流继续而补成确定值。超出适用分布的输入，也应有独立的检查与退出条件。

NIST AI 风险管理框架可作为识别和持续评价相关风险的参考，但它不是替代电力行业要求的许可证。[21] “有人最后看一眼”也不是充分的安全设计，除非明确了复核者能够发现什么错误、有多少时间、依据是什么，以及是否有权阻止执行。

工业软件工程与电力系统工程的结合点，最终不是用了多少新技术，而是错误有没有机会被发现、被限制、被恢复，以及每次变化是否仍然处在可解释的安全边界内。

八、把六个案例连成一条工程证据链

1. 一个共同事故，可能同时穿过六种模型边界

回到直流闭锁。受端首先出现有功缺额，但与此同时，换流站及周边网络的无功交换可能改变；稳定控制可能切机、切负荷或改变联络关系；局部电压与频率变化又会影响设备控制和保护。每发生一次离散动作，后续分析所面对的系统就可能不同。

因此，频率、电压与保护研究不能只在最后交换三份结论。它们应共享经过批准的基本场景，并明确哪些动作由哪一模型生成，哪些是外部输入，是否发生了重复切除或遗漏限制。需要详细耦合的部分共同分析，可以等值的部分说明等值依据。

这并不要求所有专业使用一套庞大的软件，而是要求不同工具对关键事件拥有一致的含义。共享软件不能自动保证一致，不同软件也并非必然不能协同。

2. 从结论倒查证据，比从功能清单正向堆叠更有价值

下面这张表不是新的管理术语表，而是把前面案例中真正需要留下的证据集中起来。

表中的角色不是照搬某个单位的组织架构。实际项目应进一步落实到有权限、有交付物、有接收方的责任关系。特别是跨部门事项，不能仅在会议纪要里写“共同负责”，却不明确谁作最终技术判断。

3. 验证不是积累越多报告越好，而是支撑特定主张

NASA 手册对验证与确认的区分，可以落实为两个非常具体的问题：这个实现是否满足规定要求，以及这些要求与模型是否足以服务实际用途。[7][8] 两个问题都需要证据，但证据类型不完全相同。

代码单元测试不能代替闭环试验，闭环试验不能代替参数真实性检查，一次现场事件吻合也不能覆盖所有运行方式。反过来，不能因为无法覆盖全部状态，就认为测试没有价值。合理做法是根据风险与敏感性组织证据，并清楚列出尚未覆盖的条件。

假设某项稳定结论依赖故障在规定时间内清除、某机组具备无功裕度、某通信路径可用，那么这些依赖应当被登记。相关条件改变时，系统应触发重新评价，而不是等事故发生以后才发现旧结论已经失效。

由此形成的可追溯链仍然是：

研究问题 → 场景与需求 → 模型假设 → 参数与配置 → 实现版本 → 验证与确认 → 可支持的结论 → 运行反馈与变更。

链条的意义，不是让工程人员花更多时间填写表格，而是使每一项重要结论都能回答“为什么相信、相信到哪里、什么时候需要重看”。

4. 总体责任，最终体现为对跨专业假设的维护

总体技术负责人不需要亲自编写全部算法，但必须能追问关键假设，理解主要实现约束，并组织证据审查。专业工程师不必掌握整个电网的每一个细节，但需要知道自己的输出影响什么系统指标，以及使用者依赖哪些前提。

项目管理可以安排进度和资源，却不能替代这种技术一致性；总体设计可以明确架构，却不能阻止现场和实现环节反馈问题。系统工程与敏捷迭代也不矛盾，前提是可逆的试验不越过不可妥协的安全边界，变更速度不超过验证能力。

真正值得管理层追问的，不仅是“完成了多少功能”，更是“消除了哪些关键风险、获得了哪些新证据、还有哪些假设没有落实责任”。当这些问题能够持续得到具体回答，系统工程才从口号变成组织能力。

九、结语：把复杂性变成可以承担的责任

为什么电力系统需要分层控制？因为不同机制具有不同的动态特征与资源约束，但分层之后仍需维护耦合。为什么需要三道防线？因为任何单一措施都有适用边界，防御必须能够覆盖不同后果与失效路径。为什么需要多类模型？因为工程问题不止一种，而模型只能有选择地保留现实。

为什么调度、保护、规划和软件不能各自为政？因为它们共同改变同一个物理系统。为什么仿真必须经过验证与确认？因为数值结果只有在模型、参数、实现和用途之间形成证据关系，才有资格进入决策。为什么数字化系统也必须进入安全闭环？因为数据和算法已经参与塑造设备行为与人的判断。

系统工程不应当成为一个凌驾于各专业之上的空泛标签，也不能代替电机、电网、控制、保护和软件方面的扎实知识。它真正增加的，是把这些知识之间的关系纳入设计、试验和长期维护，使局部正确能够在明确条件下支持整体目标。

系统工程的价值，不在于把所有细节集中到一个人手中，而在于让复杂系统中的关键关系、关键假设和关键责任，不再处于无人说明、无人验证、无人维护的状态。

电力系统的复杂性不可能被一句话消除。但当我们能够说明每项决策的边界、每个接口的含义、每种控制的约束、每个结论的证据，以及变化发生后由谁重新评价，复杂性就不再只是令人敬畏的形容词，而成为可以分析、可以管理、可以承担的工程责任。

参考资料

参考资料按正文首次引用顺序排列。公开网页核查日期为 2026-09-08；历史文献用于相应技术背景，不默认代表当前全部标准要求。

[1] ISO/IEC/IEEE. ISO/IEC/IEEE 15288:2023, Systems and software engineering — System life cycle processes. 官方标准范围说明。本文仅援引公开范围，不声称已核阅付费标准全部条款。

[2] NASA. Systems Engineering Handbook: 4.0 System Design Processes. 官方章节。用于运行概念、利益相关方期望与技术需求之间的关系。

[3] FERC. Essential Reliability Services and the Evolving Bulk-Power System—Primary Frequency Response. Federal Register, 2016-02-24. 官方公开文本。引用其频率响应技术背景，不将当年的提案视为现行法律结论。

[4] NERC. Primary Frequency Response — Steam Generation Webinar. 2018-11-13. 公开演示资料。参见外环协调、一次响应退出及机组约束相关内容；不照搬其中的特定厂商参数。

[5] 国家能源局. 聚焦系统重大风险，提升电网运行韧性. 2026-08-10. 官方公开解读。用于三道防线适应性和可切负荷动态维护的现实背景，不作为现场操作指令。

[6] Pacific Gas and Electric Company. EPIC 2.15 — Synchrophasor Applications for Generator Dynamic Model Validation: Final Report. 2018-12-10. 项目报告。参见执行摘要、模型校核工作和结论；报告明确说明示范工具尚未达到可直接生产应用的状态。

[7] NASA. Systems Engineering Handbook: 5.3 Product Verification. 官方章节。用于规定要求与实现之间的验证关系。

[8] NASA. Systems Engineering Handbook: 5.4 Product Validation. 官方章节。用于预定用途、使用环境与实际需要的确认关系。

[9] FERC. Principles for Efficient and Reliable Reactive Power Supply and Consumption. Staff Report, 2005-02-04. 公开报告。用于无功资源位置、能力与响应特性的一般背景；本文 SVC/STATCOM 电压依赖比较按明确的理想化模型自行推导。

[10] MATPOWER. AC Power Flow. 官方手册。参见 PV/PQ 节点与 pf.enforce_q_lims 处理说明；文中两节点算例由独立脚本计算，并非调用 MATPOWER 所得。

[11] NERC. PRC-019-2 — Coordination of Generating Unit or Plant Capabilities, Voltage Regulating Controls, and Protection. 标准公开文本。引用该版本的协调思想，不声称它是所有地区当前适用的要求。

[12] ANAGNOSTOU G, PAL B C. Impact of Overexcitation Limiters on the Power System Stability Margin Under Stressed Conditions. IEEE Transactions on Power Systems, 2016, 31(3): 2327–2337. DOI: 10.1109/TPWRS.2015.2440559. 作者机构公开稿。

[13] 国家市场监督管理总局、国家标准化管理委员会. GB 38755—2019：电力系统安全稳定导则. 国家标准官方信息页。本次核查的是标准元数据，不将网页未展开的全文条款作为已逐条核阅的依据。

[14] MEI Y, ZHANG Y, XU G, et al. Analysis and Thinking on the “8·16” Jin’anqiao-Chuxiong Double-Circuit Lines’ Successive Faults. Southern Power System Technology, 2015, 9(2): 73–78. DOI: 10.13648/j.cnki.issn1674-0629.2015.02.012. 期刊公开摘要。正文只采用摘要支持的事件概述，不据此推断完整动作时序。

[15] NERC Inverter-Based Resource Performance Subcommittee. White Paper: EMT Models in NERC MOD, TPL, and FAC Standards. 2022-04. 公开白皮书。用于按研究问题选择 EMT 模型的技术背景，不将白皮书当作现行强制条款。

[16] IEC. IEC 61970-301:2020+AMD1:2022 CSV — Energy management system application program interface (EMS-API), Part 301: Common information model (CIM) base. 官方范围说明。本文只援引公开说明，不据此声称核阅完整付费标准或其后全部版本。

[17] NASA. Systems Engineering Handbook: 6.5 Configuration Management. 官方章节。用于配置标识、变更、状态记录与审核的过程关系。

[18] 国家能源局. 《电力二次系统安全管理若干规定》政策解读. 2022-11-23. 官方解读。用于二次系统规划建设、运行维护、定值参数与通信配置共同管理的背景。

[19] NIST. SP 800-82 Rev. 3: Guide to Operational Technology (OT) Security. 2023. 官方发布页。用于 OT 安全与物理过程、性能及可靠性之间的关系。

[20] NERC. Loss of Solar Resources during Transmission Disturbances due to Power Inverter Settings. 2017-06-20. 公开告警。参见错误瞬时频率判断与暂时停止输出的事件背景；不将历史问题推广到全部现行产品。

[21] NIST. AI Risk Management Framework. 官方框架页面。作为风险识别和持续评价的参考，不替代电力行业要求。