柔性直流输电换流器子模块程序远程升级研究与应用

汪 涛， 李汉杰， 张茂强， 李乐乐， 田 杰， 方太勋

(南京南瑞继保电气有限公司，江苏 南京 211102)

0 引言

随着柔性交直流输电技术的发展，基于模块化多电平换流器的应用越来越广泛，如柔性直流输电、统一潮流控制器等[1]。模块化多电平换流器由众多子模块级联构成，具有高度模块化的设计，很容易实现高电压和大容量的拓展，易于实现冗余设计。每个子模块内有储能电容，通过控制不同子模块中功率半导体器件的开关，各子模块电容电压根据需要叠加形成输出的电压波形。当子模块个数较多时，交流输出的谐波含量小，对滤波器要求较低[2]。

模块化多电平换流器近年来在国内的柔性直流输电工程中得到广泛应用，建设的直流工程电压越来越高，需要级联的子模块越来越多，换流阀占地面积和高度都在增长。以渝鄂直流背靠背联网工程为例，直流电压达到±420 kV，以3300 V/1500 A的焊接式绝缘栅双极晶体管(insulated gate bipolar transistor, IGBT)器件构成子模块为例设计，子模块额定电压为1680 V，考虑冗余度不低于8%，一个桥臂需要540个子模块[3-4]，一个背靠背联网阀厅内布置2个6桥臂的模块化换流器，6480个子模块，占地面积达到约80 m×60 m，子模块分5层布置，阀塔高近12 m，整个渝鄂工程4个背靠背联网换流器则需要近2.6万个子模块。每个子模块内部有一个子模块控制器，控制器的程序实现了子模块的控制、状态监视、故障处理等功能，是子模块的大脑。一旦在工程调试或者检修过程中遇到升级子模块程序的情况，工程人员要乘坐检修升降车登上阀塔逐一对子模块升级。在一个面积达数千平米的阀厅升级数量如此众多的子模块程序，涉及到众多登高作业，工程维护升级的工作量非常大，且考虑到工程服务人员的人身安全以及减少人为操作失误导致的设备损坏因素，急需一种更安全、更高效的程序升级方法。

本文研究了模块化多电平柔性直流输电的控制系统架构，分析了子模块的组成与功能、子模块控制硬件及软件基本功能，结合国内柔性直流工程的实施特点，提出了一种适用于模块化多电平换流器子模块程序远程升级的方法，具有效率高、安全可靠的特点，具备工程应用价值。

1 柔性直流输电控制系统架构

柔性直流输电的控制系统架构采用分层结构，如图1所示。整个控制系统包括运行人员操作站(operator work station,OWS)、直流控制保护系统(pole control and protection, PCP)及阀控制系统(valve base controller, VBC)。OWS是换流站控制和监视系统的一部分，运行人员可以在OWS工作界面上进行必要的运行监视、控制操作、故障和异常处理、调试及参数调整等[5]。PCP实现直流输电系统的功率、电压、频率等控制及各分区的保护、系统监视与报警[6-7]。VBC实现换流阀的输出电压控制、子模块投切控制、电容电压均衡控制、环流抑制、子模块监视与保护等功能[8]。

工程师工作站(engineering working station，EWS)用于换流站检修调试，如程序升级、定值整定等，且具备OWS的所有功能。VBC是联系OWS/EWS、PCP和换流器子模块的中间枢纽，实现了OWS/EWS、PCP及子模块的双向通信。通过与PCP保持同步，保证多个VBC发出的命令是同步的，进而保证换流器中所有子模块投切动作的一致性。利用这套柔性直流输电控制系统实现子模块程序的远程升级，具备数据传输的物理通道基础[9]。

图1 柔性直流输电控制系统架构Fig.1 Structure of VSC-HVDC control system

2 子模块工作原理

子模块由数个一次器件以及其驱动控制电路组成，内部电气及机械连接多、结构复杂，故障类型较多，其监视控制功能由子模块控制器(sub-module controller,SMC)来实现，如图2所示。SMC作为子模块的控制核心，接收VBC发送下来的控制命令，控制IGBT开通与关断以及晶闸管和旁路开关开通，同时监视子模块各元器件的状态上送至VBC，包括晶闸管状态、旁路开关状态、IGBT状态、高压电源状态以及电容电压等[10]。

图2 子模块组成框图Fig.2 Functional structure of sub-module

SMC的程序完成通信编解码、子模块各元器件的驱动时序控制以及子模块的保护逻辑，如IGBT的短路保护、子模块的过电压保护等。针对换流器控制的不同调制策略，也可以完成调制及IGBT驱动脉冲的生成功能。SMC的核心功能采用现场可编程逻辑器件 (field program gate array, FPGA)实现，目前工程实施一般在厂内通过下载电缆烧写FPGA的程序到SMC。而如果在工程现场遇到需要升级子模块SMC程序的情况，需要工程人员登上阀塔操作，且需要携带电源及下载工具等，操作起来非常不方便。

3 硬件系统设计

本文研究了一种远程升级换流器子模块程序的方法，可实现一个换流站内全部子模块的并行升级。利用换流器正常运行所使用的控制设备构建了程序升级系统，无需增加额外的控制设备。程序升级系统由EWS、VBC和SMC组成。为了满足远程升级功能，SMC增加了远程升级模块和驱动闭锁模块，如图3所示。

图3 远程升级的系统Fig.3 System structure of program remote upgrading

远程升级模块由FPGA、微控制器(micro-controller unit, MCU)和闪存(FLASH)存储器组成。FPGA在VBC与MCU之间搭建数据传输通道，实现光纤报文和控制器区域网 (controller area net-work, CAN)报文的相互转发。MCU管理远程升级模块的操作流程，管理和配置FPGA程序，通过周期性信号交互实现监视FPGA，通过串行外设接口(serial peripheral interface,SPI)读写FLASH。FLASH存储多个版本的FPGA程序，分为执行程序存储区和备份程序存储区。执行程序存储区中的程序用于正常加载FPGA，备份程序存储区用于存储前版本的FPGA程序，以备升级失败时回滚到前版本程序，保证SMC能够正常运行。

驱动闭锁模块由MCU的输出使能命令来控制。子模块正常运行时，该命令为使能状态，FPGA发出的驱动命令可经过驱动闭锁模块传送到相应的驱动电路；子模块远程升级时，驱动闭锁模块闭锁所有的驱动控制信号，不再响应FPGA发出的驱动命令。程序升级过程中换流器已经带电，上述措施可保证驱动不会误动作损坏换流器硬件。

4 升级方法与流程

远程升级子模块程序，首先要解决工作电源问题。最经济高效的办法是让换流器充电，所有子模块充电至电源板能启动工作，工程中至少在350 V以上。因此，换流器远程升级程序的过程必然和充电阶段的时序相配合[11]。本文以换流器通过交流电网有源启动为例分析远程升级过程[12]。

换流器在远程升级前处于停机状态，操作员向EWS上传新版本程序后启动远程升级操作。其流程如图4所示。

图4 远程升级流程Fig.4 Flow chart of programremote upgrading

控制系统准备工作：EWS向所有VBC下发新SMC程序。若新程序版本号与之前运行的版本号不一致，VBC进入远程升级模式，保存新SMC程序；确定远程升级的子模块范围，防止没有配置或者旁路的子模块一直无响应，误判远程升级失败；向EWS发送应答信号。

不控充电：EWS确认所有VBC应答正确，运行人员确认充电条件具备后启动不控充电。当阀侧直流电压达到预设值的时候，不控充电结束，分开交流开关[13-17]。

检查子模块工况：不控充电结束后，VBC检查升级范围内的子模块都正常带电且状态正常，将向所有子模块广播远程升级命令。本操作耗时在5 s之内。

子模块备份程序：接收到远程升级命令后，子模块核对新程序版本号与当前版本号不一致则进入远程升级模式。驱动闭锁模块闭锁输出防止误动作；备份当前程序，MCU将FLASH执行程序存储区中的数据拷贝到备份程序存储区；向VBC发送应答信号。本操作耗时在10 s之内。

接收新程序并升级：VBC收到所有子模块的应答信号后，向子模块发送新SMC程序。处于远程升级模式的子模块将接收新程序，存放到执行程序存储区中并重新加载FPGA。若加载FPGA失败，将通过备份程序存储区回滚到前版本程序运行。之后子模块向VBC发送应答信号，包含当前运行程序版本号。本操作耗时在30 s之内。

检查升级效果：VBC将所有子模块应答的运行程序版本号与新程序版本号作比较。若全部相同，则远程升级成功结束，待所有子模块完全掉电后，换流器可以重新充电正常运行；否则进行下面的操作。本操作耗时在5 s之内。

重新接收新程序并升级：VBC向所有子模块再次发送新SMC程序，之前远程升级失败的子模块将重新升级一次。其后再次比较版本号，相同则重试升级成功，若仍有不同则进行下面的操作。本操作耗时在35 s之内。

上报升级失败的子模块编号：经过两次远程升级尝试之后，还有子模块未能成功升级程序，则认为远程升级失败，VBC将向EWS上报升级失败的子模块编号。本操作耗时在10 s之内。

通过上面的描述，可知远程升级一共有3种结果，以下耗时为交流开关分开后的时间：

(1) 一次升级成功，总耗时应在50 s之内；

(2) 重试升级成功，总耗时应在85 s之内；

(3) 远程升级失败，总耗时应在95 s之内。

根据国内实施较早的南澳/舟山多端柔直工程的调试经验，一个换流站约1320/1620个子模块，人工登塔逐一升级，约消耗12人，2台登高车，5 d的工作时间。远程升级和人工升级比，可以节省大量的时间和人力。

5 远程升级的安全性分析

5.1 升级时间裕度分析

子模块程序升级的过程是在交流开关断开后实施的，子模块的储能电容能量有限，均压电阻和高压电源需要消耗其能量，电容储能能否支撑到程序升级完成是该方法能否工程实用的关键。

如图5所示，分开交流开关后，电容C通过均压电阻R和高压电源放电，电容电压跌落到UP时，高压电源闭锁输出。闭锁前模组的控制板卡消耗功率基本恒定，假设高压电源输入的功率为PS。图5是高压电源工作和欠压闭锁两种工况下的子模块放电等效电路图。

图5 子模块放电等效电路Fig.5 Equivalent circuit of sub-module discharging

根据图5，可列写出的方程式如下：

iC=iR+iP

(1)

式中：iC为电容放电电流；iR为流过均压电阻的电流；iP为电源P消耗的电流。进一步可表示如下：

(2)

式中：UC为电容电压；PS为电源的输入功率；R为均压电阻阻值；C为电容容值。

初始时刻电容电压：

UC(0)=UC0

(3)

假设在t1时刻，电容电压跌落至高压电源欠压工作点UP，电源停止工作，根据图5，可得到电容电压为：

(4)

综上求解，电容电压的表达式可表述为：

(5)

工程实施过程中，还需要考虑子模块的器件参数离散型，一般电容电压C的精度为±5%，均压电阻R的精度为±2%。考虑以上因素，针对全部子模块的电容放电过程，仿真出电压曲线如图6所示，可知交流开关分开后，全部子模块放电至电源闭锁的时间大于180 s。上节中计算的整个升级持续时间最大为95 s，因此升级时间是满足的，且有较大安全裕量[18-19]。

图6 全部子模块放电电容电压曲线Fig.6 Curve of capacitor voltage for all sub-modules on discharging mode

5.2 硬件安全性分析

模块化多电平换流器是柔性直流输电工程的核心部件，远程升级程序应确保不会引入损坏换流器的风险。

(1) 通过交流电网对换流器进行不控充电的过程仅将子模块的高压电容充电到额定电压70%左右，且不控充电结束后分开交流开关，实现了换流器与交流电网的隔离。所有子模块进入内部耗能放电的过程，各桥臂电流为0，各模块之间，模块与交流电网之间没有任何的能量交互，不存在子模块充电过压损坏的风险。

(2) 子模块在进行程序的备份、接收和升级之前，通过驱动闭锁模块闭锁所有的驱动控制信号，并持续到子模块掉电。可保证子模块内的IGBT、晶闸管、旁路开关不会因为驱动误动作损坏换流器硬件。

(3) 远程升级模式采用停机人工触发+版本号校验的机制，必须满足如下条件才能触发：升级前处于停机状态；操作员向EWS上传了新版本程序；操作员通过EWS启动远程升级；操作员在不控充电前进行人工确认；各环节必须同时收到远程升级命令和新版本程序。柔性直流输电系统在正常的充电、启停机、运行等工作模式下，不会因为误操作或者干扰导致误进入升级模式。

5.3 数据安全性分析

(1) 升级过程建立了完善的应答机制，所有的应答信号中都包含了版本号信息，能够真实反映新程序的传输和处理结果，如图7所示。

图7 应答机制流程Fig.7 Flow chart of Response mechanism

(2) 程序文件采用端到端校验的多数据包传输。EWS将一个完整的程序文件拆分成N个数据包，并给每个数据包附加校验码值；EWS到VBC、VBC到FPGA、FPGA到MCU之间进行数据透传，不改变上述数据包的格式划分，仅添加帧头、帧尾、帧校验等通信相关信息；MCU对N个数据包进行解码校验，重新恢复出完整的程序文件。这种端到端校验的方法减少了中间处理环节，且存在数据包校验和通信帧校验双重校验，具有很高的安全性，如图8所示。

图8 端到端校验的多数据包传输Fig.8 Multipacket transmission with end-to-end validation

(3) 升级失败自动回滚到前版本程序，防止出现子模块无响应的情况。子模块在接收新程序之前，会先备份当前程序。接收新程序并升级之后，MCU能够监视FPGA是否工作正常，并在FPGA工作异常的情况下，恢复前版本程序运行。

综合上述升级时间裕度分析、硬件安全性分析和数据安全性分析，本文所述远程升级方法具有很高的安全性，可以在柔性直流输电工程中实施。

6 实际验证效果

依托国家863 课题“保障直流配电网可靠性的多端柔性直流控制保护关键技术”搭建的控制保护系统和六端直流配电网动模试验平台，直流母线电压+/-1 kV，柔直换流器一端为300个子模块，为验证本文中的程序升级方法提供了试验平台支撑。课题及试验系统已通过了国家科技部验收。

在上述试验系统上验证了本文所述远程升级方法，进行了10次试验，实际验证效果如下：

(1) 换流器不控充电在1 min内完成，所有子模块均成功带电，分开交流开关后电容储能可以支撑子模块工作3 min以上，满足远程升级时间要求。

(2) EWS、VBC与子模块之间的数据包传输和应答信号正常，没有出现数据包校验不通过或无应答信号的情况。

(3) 子模块在升级过程中均正确闭锁了驱动功能，没有出现驱动误动作的情况。

(4) 10次试验，300个子模块均可以一次升级成功，升级时间从人工升级的10 h缩减至2 min。升级过程的录波见图9。

图9 一次升级成功的VBC录波Fig.9 Update successful VBC wave record

针对升级失败的情况进行了模拟测试，对VBC1的子模块1使用特殊测试程序，屏蔽其接收新程序并升级的功能。实验表明，VBC能正确上报升级失败的子模块编号，录波如图10所示。

图10 升级失败的VBC录波Fig.10 Update failed VBC wave record

实际验证效果符合预期要求，证明本文所述远程在升级方法具备工程实施条件。

7 结语

针对柔性直流输电模块化多电平换流器的应用，本文从工程实施中子模块程序升级难的问题出发，研究了一种远程升级方法，详细介绍了该方法对硬件系统设计的要求，以及该方法的实施流程和时序，并分析了该方法的安全可靠性。与人工登塔的传统操作方法相比，该方法自动化程度高，安全可靠，效率高，且不用额外增加设备资源。目前该方法已在配套的多端动模实验系统上验证实施，具备工程实施条件。