柔性直流输电功率模块过压保护误动原因分析及优化

钟昆禹，杨洁民，熊银武，林毅

(中国南方电网公司超高压输电公司天生桥局，贵州 兴义 562400)

相对于常规直流输电，柔性直流输电具有占地面积小、可独立控制有功功率与无功功率等优点，近年来在实际工程中的应用越来越多[1-9]。云南电网与南方电网主网异步联网工程——鲁西背靠背工程于2016年8月在云南省罗平县全部投运，额定输送功率为3 000 MW，由2个常规直流单元和1个柔性直流单元(以下简称“柔直单元”)组成，额定容量均为1 000 MW。柔直单元额定直流电压为±350 kV，换流阀采用三相桥式全控整流/逆变电路，基于模块化多电平(modular multilevel converter，MMC)拓扑结构，由多个功率模块串联而成，可实现直流功率正向和反向输送、柔直单元静止同步补偿装置(static synchronous compensation，STATCOM)、黑启动等运行方式[10-12]。

鲁西柔直单元的云南侧和广西侧换流阀分别由不同厂家供货，采用不同类型的功率器件。云南侧采用压接式电子注入增强栅晶体管(injection enhanced gate transistor，IEGT)，为失效短路型元件，在失效后呈短路状态，与常规晶闸管特性类似；广西侧采用封装式绝缘栅双极晶体管(insulated gate bipolar thyristors，IGBT)，为失效开路型元件，在失效后呈开路状态。根据其不同的失效特性，元件失效保护的功能、配置及动作后果存在较大差异。IEGT在失效后呈短路状态，其功率模块级保护动作后果不出口闭锁换流器，只是上传功率模块旁路请求，并等待阀控下发旁路命令，执行旁路命令将模块旁路；IGBT在失效后呈开路状态，需要设置旁路机械开关，当一功率模块发生故障时将其旁路，而其余模块继续工作。当旁路机械开关发生拒动、未能有效旁路时，储能电容器将持续储能过压，造成IGBT等元件击穿甚至爆炸。为防范功率模块过压风险，需在阀控层级设置单个功率模块过压保护，检测到电容电压最大值超过定值后，下发闭锁命令，并出口跳闸。

鲁西柔性直流输电工程投入运行后，功率模块过压保护在2016年8月、2017年2月分别发生误动导致直流闭锁，两起运行过程中过压保护误动的现象类似，均为阀控系统判断单个功率模块过压出口跳闸命令。本文介绍鲁西柔直单元广西侧功率模块过压保护原理及配置，对误动事件原因进行深入分析，并提出相应改进优化设计。

1 鲁西柔直单元功率模块基本配置

1.1 鲁西柔直单元广西侧功率模块基本配置

鲁西柔直单元广西侧换流阀共有6个桥臂，每个桥臂由468个功率模块组成，冗余度为6.9%。每个子模块由2个焊接式IGBT串联组成1个半桥结构，广西侧功率模块半桥拓扑如图1所示：S1、S2为IGBT，D1、D2为反并联二极管，同时并联一个直流储能电容C；辅助元件包括旁路开关K、旁路晶闸管T、放电电阻R等。功率模块IGBT额定耐受电压3.3 kV、额定电流1.5 kA。每个功率模块单元通过1对光纤接到阀控单元装置(valve control monitor，VCM)上，实现功率模块触发、电容电压检测和功率模块检测。高位取能电源将直流电容上的电压转换成低压，为控制板卡、驱动板、采样触发板供电。

1.2 鲁西柔直单元广西侧换流阀系统总体保护配置

为适应柔性直流的各种运行方式，鲁西柔直单元广西侧阀及阀控的保护功能配置方式为分级配置，按照保护范围划分，分别为功率模块级保护和阀控级保护[13-15]。

功率模块级保护属于单体保护，在功率模块控制板(power module controller，PMC)实现，通过对储能电容电压、单元驱动板、接触器辅助触点、取能电源、电容压力监视继电器等元件的检测，检测功率模块故障类型，及时响应动作，实现对功率模块单体的保护。

阀控级保护属于换流阀整体保护，在控制屏主控箱的中央处理器和辅助功能板(auxiliary function boar，AFB)及光纤分配屏的阀组控制功能板(valve group control board，VGCB)上实现，通过对桥臂电流、直流正负极电压和电流、功率模块电容电压等电气量的测量和逻辑判断，当出现故障导致换流阀桥臂电流过大或功率模块电压过高时，可通过相关保护闭锁跳闸，以保护换流阀的安全。为了确保阀及阀控的安全稳定运行，考虑子模块的冗余情况和阀控系统自身状况设置相应保护，可细分为电气量保护与非电气量保护两大类[16-17]。

1.3 PMC工作原理

PMC主要负责接收阀控指令、控制功率模块IGBT开通关断、检测故障、实时反馈直流电压、监测故障及系统的工作状态等。当单元出现故障，触发保护逻辑，确保本单元在单元故障情况下，旁路功率模块。正常运行时，储能电容的电压测量在PMC中实现，PMC由高位自取能电源提供直流供电，PMC中配有多种电压转换模块，满足该板卡内部全部电压需求。PMC板卡结构如图2所示。

可编程逻辑器件(complex programmable logic device，CPLD)控制芯片根据驱动板及其他元件的回报信号产生IGBT保护逻辑及驱动逻辑，接收阀控命令，向阀控系统上传功率模块状态；A/D芯片将电压传感器输出的电压模拟信号经过两级运放电路

图2 PMC板卡结构Fig.2 PMC board structure

后转换为数字信号并上送到CPLD芯片；阀控下发旁路命令至CPLD芯片，由旁路开关触发电路为旁路开关产生触发脉冲，闭合旁路开关。

2 鲁西柔直单元功率模块过压保护配置及动作逻辑

2.1 鲁西柔直单元广西侧功率模块过压保护配置

鲁西柔直单元广西侧功率模块过压保护在功率模块级和阀控级分别进行了配置，在功率模块级设置了两段过压保护，在阀控级配置了阀控级过压保护，具体见表1，其中，Uset1、Uset2、Uset3分别为模块级过压保护I段、II段及阀控级桥臂功率模块过压保护中的模块电容电压阈值。

阀控级桥臂功率模块过压保护逻辑如图3所示。

图3 桥臂功率模块过压保护逻辑Fig.3 Over-voltage protection logic of bridge arm power modules

2.2 功率模块过压保护运作过程

当鲁西柔性直流工程广西侧功率模块发生内部故障时，将向阀控系统请求旁路，收到阀控下发的旁路命令后将闭合旁路开关，此后桥臂电流经由旁路开关流通。若旁路开关拒动，将先后经历第一次过压、缓慢自放电降压、第二次过压后跳闸的过程[18]。详细过程如下。

表1 功率模块过压保护配置Tab.1 Configuration ofover-voltage protection of power modules

2.2.1 旁路开关拒动，电容电压升高

若旁路开关拒动，由于模块发出旁路请求后将闭锁模块内IGBT的触发脉冲，则流入模块的电流将因桥臂电流方向不同而存在不同的电流路径。旁路开关拒动后模块内电流回路如图4所示：若桥臂电流方向为图中黑色实线箭头方向，则电流将通过二极管D1不断流入电容，持续给电容充电；若桥臂电流方向为图中灰色虚线箭头方向，则电流将通过二极管D2流通。因此，旁路开关拒动后，模块内电容将进入持续充电状态，电容电压不断上升。当电容电压达到2.15 kV时，将开通下管IGBT(T2)进入下一个阶段。

图4 旁路开关拒动后模块内电流回路Fig.4 Current circuit in modules after operating failure of bypass switch

2.2.2 开通下管IGBT，电容电压下降

当IGBT闭锁且电压第1次超过2.15 kV时，开通下管IGBT(T2)；当电压下降到1 kV以下时，关断下管IGBT；因过压开通下管IGBT将计数1次，置位过压触发下管标志位，如果模块不断电重启进行复位，电压再次上升至大于2.15 kV时不再开通下管IGBT，设置该功能的目的在于防止在旁路未闭合的时间内电容电压过高。

开通下管IGBT后，桥臂电流通过导通的T2与D2流通，而电容通过放电电阻形成一阶零输入响应RC放电回路，不断释放电容能量，电容电压下降。其中，电阻值R=54/2 kΩ(2个54 kΩ电阻并联)，电容值C=12 mF，由式(1)计算可得到电容电压从2.15 kV下降至1 kV所需时间t=248 s。由于模块电容充电速度较快，考虑到器件参数误差，电压实际下降时间与理论计算时间之间的差值在可接受的误差范围内。

(1)

式中：U0为放电起始时刻电压值；U1为放电结束时刻电压值；R为放电回路电阻值；C为放电回路电容值；t为电压下降时间。

2.2.3 关断下管IGBT，电容电压再次升高至过压保护定值出口跳闸

关断下管IGBT后，模块内电流回路仍按图4所示的实线路径流通，电容电压将再次升高，由于录波中只能通过电容电压最大值通道监测模块过压情况，因此只能观察到从1.6 kV(额定电压)开始上升至过压跳闸的过程。

图5为旁路开关拒动典型录波图。直流电流Idc=1 000 A，假设从图5中实线游标开始计算电容电压上升情况，A相交流电流iac=1 560 A·sin(100πt+α)(其中α为初相角)可由起始点对应的电流值I0计算得到。则A相上桥臂电流iau=780 A·sin(100πt+α)+333.3 A，电容电压u可由式(2)计算得到。录波中实线游标时刻电容电压u0=1.696 kV，至跳闸时刻时间约为10 ms，则由式(2)可得到在跳闸时刻电容电压u=2.387 kV，低于IGBT耐受电压，可保证IGBT元件的安全。

(2)

(3)

3 现场故障分析

两起运行过程中功率模块过压保护误动故障的现象类似，均为阀控系统判断单个功率模块过压触发了出口跳闸命令。现场检查及分析录波情况如下。

3.1 现场检查情况

根据事件记录，故障功率模块先向阀控系统报轻微故障，在数十毫秒后立即向阀控系统发模块过压请求故障跳闸信号。跳闸后，现场检查故障功率模块旁路开关处于合位状态，功率模块已被正常旁路，故障模块储能电容的电压测量值达到2.703 kV。储能电容电压测量流程如图6所示，使用万用表测试采样电阻、两级运放以及A/D采样芯片，经测量，进入A/D芯片之前的电压均正常，进入A/D芯片之后电压存在放大现象。

3.2 故障录波分析

图 7为过压保护误动录波图。由图7可知，故障功率模块的电容电压在0.5 ms内从1.608 kV上升至2.703 kV，对应的电容电压变化率(du/dt)达到2.194 kV/ms，远高于正常充电时最大电压变化率(50.58 V/ms)。按照故障期间的最大电流1.567 kA计算，在0.5 ms时刻功率模块电容能够充到的最大电压为1.672 kV，远低于电压测量值(2.703 kV)。

图5 旁路开关拒动典型录波图Fig.5 Typicalwave recording diagram of operating failure of bypass switch

图6 储能电容电压测量流程Fig.6 Voltage measurementflow chart of energy storage capacitor

3.3 解体检查情况

解体检查发现A/D芯片电压输出管脚虚焊，导致了采样错误，经过重新焊接之后采样功能恢复正常。

根据上述分析，判断导致阀控级桥臂功率模块过压保护的直接原因是功率模块控制板卡的A/D芯片输出电压测量值异常，达到阀控级功率模块过压保护定值后，阀控出口闭锁换流阀。

3.4 功率模块过压保护运作过程原因分析

功率模块过压I段、II段及阀控级桥臂功率模块过压保护三者为配合关系：当单个功率模块内部故障导致电容电压上升时，功率模块应首先闭锁本功率模块并合上旁路开关；当电压快速上升达到II段保护定值且旁路开关暂未合到位时，将触发本功率模块下管IGBT，储能电容电压降至1 kV时停止触发下管IGBT，此阶段约需248 s；若本功率模块下管IGBT故障或旁路开关拒动，储能电容电压将继续上升，达到2.2 kV时应向阀控系统请求闭锁换流阀，闭锁直流单元。本次故障在功率模块报故障后0.5 ms即上升至2.703 kV，已达到功率模块过压II段保护定值，功率模块下管已触发，并下发合旁路开关命令，但电压值仍保持2.703 kV，达到时间定值后出口跳闸。

图7 过压保护误动录波图Fig.7 Wave recording diagram of over-voltage protection malfunction

阀控级功率模块过压保护的判据为任意一个功率模块的电容电压大于2.2 kV，且功率模块旁路开关为分位，延时2 ms后即出口跳闸。由于电容电压测量值仅采用单路测量回路，当电压测量值发生突变时，虽然过压模块I段保护会下令合旁路开关，但从下发合闸命令到检测合闸到位一般需要15 ms的时间，远大于阀控级功率模块过压保护的2 ms延时。一旦电容电压测量值出现异常增大，将直接出口闭锁换流器。因此，本次故障的根本原因为阀控级功率模块过压保护配置缺少防误判据，未能防止电压采样回路单一元件异常即导致满足出口条件，造成换流阀跳闸故障。

4 改进措施及仿真分析

4.1 改进思路

4.1.1 功率器件应优先考虑故障后自然短路(而非开路)的类型

对鲁西柔直单元云南侧功率模块采用故障后自然短路的功率器件，即使功率模块故障后旁路模块拒动也可以长期运行；因此，建议新建柔性直流工程换流阀功率模块选型时优先考虑故障后自然短路(而非开路)的类型，后续不需设置直接导致直流闭锁的保护功能，减少功率模块故障对系统的影响。

4.1.2 功率模块不应设置单一元件故障即导致直流闭锁的保护功能

设备元器件故障存在偶发性、突然性的特点，柔直换流器采用多达数千个功率模块，单一功率模块单一元件异常不可避免；因此，不应设置单一功率模块单一元件故障即导致直流闭锁的保护功能。如果必须设置，则功率单元内相应测量、保护元件应按照“三取二”原则设置，防止单一元件异常导致直流闭锁。

4.1.3 鲁西柔直单元广西侧模块增加防误判据，提高保护可靠性

对鲁西柔直单元广西侧阀控级桥臂功率模块过压保护的改进措施，应以消除因功率模块控制板采样异常导致的模块过压跳闸问题，又不会引起不可控风险为原则，通过修改PMC程序来避免采样回路错误引起的跳闸。

功率模块过压保护II段的动作逻辑为：PMC在功率模块故障后电压上升至2.15 kV时触发下管IGBT，形成电容放电回路，此时即使没有旁路，功率模块电压也会停止上升。在模块故障5 ms后旁路开关闭合，此后电压更不会上升。因此在下管IGBT和旁路开关不同时失效的前提下，在这期间出现的大于2.2 kV的电压均非真实过压。而且下管IGBT会一直触发，直到模块电压低于过电压触发下限值。下管IGBT一直触发的这段时间远远大于等待判断旁路拒动故障的15 ms，因此在这期间也不应有大电压。

改进思路为：检测过压，检测旁路开关是否发生拒动，如果正常合闸，则判断功率模块电压正常，向阀控系统上传正常电压值；如果未正常合闸，仍由阀控申请过压跳闸。在阀控中设置的过压(大于2.2 kV)延时2 ms跳闸保护，该设置不需改变，仍沿用原值。

4.2 优化策略

经分析，旁路开关拒动故障检测的等待时间设置为15 ms，是因为旁路开关的辅助触点为常闭机械触点，常闭触点打开时，会有机械抖动，尽管要求机械开关的抖动时间应小于13 ms，但为了防止误判，对反馈触点状态判断前的等待时长设置为15 ms。在15 ms之后判断该辅助触点是否打开，并且在3 ms之内持续判断该触点的状态，以确认主触点闭合。如果15 ms后旁路开关确实没有闭合，引起电容器电压升高，损坏IGBT，此时阀控仍会发出跳闸指令将故障隔离。

阀控级功率模块过压保护定值修改后的逻辑如图8所示。

a)功率模块检测到模块电压上升到2.180 kV，那么模块内部在15 ms内持续检测模块电压是否大于2.18 kV，如果是，则在15 ms后开始检测是否发生拒动故障。拒动故障的判断方式为：检测到旁路没有闭合的信号并经过3 ms滤波，则判为拒动故障。如果没有拒动故障则将低于跳闸定值的电压

图8 优化后的过压保护逻辑Fig.8 Over-voltage protection logic after optimization

值(采用1.5 kV)送至阀控系统；如果检测到拒动故障则将实际采样得到的电压值送至阀控系统。

b)如果检测到电压低于2.18 kV或在大于2.18 kV之后又回到2.18 kV以下，则将功率模块电压真实值上送阀控系统。

c)如果模块采样电压大于2.18 kV的现象不能维持超过15 ms，也将低于跳闸定值的电压值送至阀控系统。后续如果电压小于2.18 kV，则向阀控系统上送功率模块真实电压值。

该逻辑在PMC上进行程序修改，只需利用已有的旁路拒动故障判断方式，并增加一路12位的计数器和若干单位的寄存器即可完成逻辑判断。与阀控级程序修改的方式相比，功率模块只需对自身采集到的电压值进行判断，占用资源较少，易于实现。而且每个功率模块的程序相同，修改后在厂内就可以完成相应的测试，确保修改后程序逻辑正确、功率模块正常工作。

4.3 试验验证

为了验证优化后逻辑的正确性，进行如下测试。

4.3.1 电压达到2.18 kV后，旁路开关正常合闸

旁路开关正常合闸试验波形如图9所示。大约在电压达到2.18 kV后11.08 ms，旁路开关辅助触点动作。从图9可以看出，反馈触点在规定的15 ms之内返回，此时即使功率模块电压上升至过压值，阀控也不会发出跳闸信号，阀控收到的功率模块电压为1.499 kV。该试验验证了当旁路开关正常动作时，即便A/D采样回路存在故障也不会使阀控申请跳闸。

4.3.2 电压达到2.18 kV后，旁路开关未正常合闸

旁路开关未正常合闸试验波形如图10所示。

图9 旁路开关正常合闸试验波形Fig.9 Test waveform of bypass switch in normal closing after optimization

图10 旁路开关未正常合闸试验波形Fig.10 Test waveform of bypass switch in failed closing

从图10可以看出，反馈触点在规定的15 ms之内未返回，再经过3 ms滤波判断出拒动故障，此时功率模块电压上升至过压值，阀控发出跳闸信号，阀控收到的功率模块电压是真实过压值。系统已经按照设置的逻辑执行了相应的动作，动作逻辑正确。

4.4 优化效果

该优化策略于2017年3月在鲁西柔直单元实施后，未再发生功率模块过压保护误动事件，有效提升了柔直单元运行可靠性。

5 结束语

本文针对封装式IGBT所构成的MMC功率模块过压保护策略存在误动风险，提出了一种功率模块过压保护优化策略。系统仿真结果表明，电压采样异常时，在旁路开关正常合闸或拒动的情况下，该策略能有效地保护功率模块及防止拒动。通过在鲁西柔性直流输电工程中的实际应用，验证了该策略的可行性和有效性。