HERZlich Willkommen liebe Freunde der Schutz- und Leittechnik. Updates und Patches machen auch vor digitalen Schutzrelais, wie sie in der Stationsautomatisierung eingesetzt werden, nicht Halt. Um potentielle Cyberrisiken zu minimieren, müssen die Relais in ein umfangreiches Sicherheitskonzept eingebunden werden. Das bedeutet auch, dass auftretende Lücken – beispielsweise in einem Protokoll oder in einer Implementierung – je nach konkretem Risiko geschlossen werden müssen. Updates und Security-Patches sind also für die gesamte Systemsicherheit unabdingbar.
Bei Schutzgeräten allerdings stellt ein solches Update eine Veränderung am Gerät dar – etwa in dessen Firmware. Die Folge sind notwendige Schutztests, die jedoch mit einem großen zeitlichen und finanziellen Aufwand verbunden sind. Diese Schutzprüfungen verursachen einen signifikanten Teil der Lebenszykluskosten von Schutzsystemen, die insbesondere auch im Kontext der Cybersicherheit einen wichtigen Aspekt darstellen. Innovative Prüfkonzepte sind daher gefragt – sowohl aus betrieblicher, aber auch aus ökonomischer Sicht.
Aufwändiges Verfahren
„Verglichen mit Prüfungen bei anderen Schutztypen, ist die Prüfung von Leitungsdifferentialschutzsystemen bei einer Inbetriebnahme oder nach einem Update relativ aufwändig“,
erklärt Dr. Andreas Aichhorn, Life Cycle Manager Schutztechnik bei Sprecher Automation.
„Aktuell benötigt man pro Leitungsende einen Techniker und einen identischen Prüfaufbau. Im einfachsten Fall sind also zwei Personen und zwei Aufbauten parallel im Einsatz, bei mehreren Leitungsenden natürlich entsprechend mehr.“
Bei einer klassischen Schutzprüfung wird die Funktionalität des Schutzrelais unter diversen Szenarien (fehlerfreie und fehlerhafte Zustände des Stromnetzes) geprüft. Das Schutzprüfgerät generiert die jeweils für ein Prüfszenario erforderlichen Analogsignale, die dem Schutzgerät eingespeist werden. Beruhend auf dem Prinzip des Leitungsdifferentialschutzes ist dabei an jedem Ende der zu schützenden Energieleitung ein Schutzgerät vorhanden (siehe Abbildung 1).
Voraussetzung für eine gesamte Schutzprüfung ist bis dato, Schutzprüfgeräte an allen Enden des Leitungsdifferentialschutzes anzubringen, eine Kommunikationsverbindung untereinander aufzubauen und miteinander zeitlich präzise zu synchronisieren. Außerdem benötigt man in der Regel an jedem Ende der Leitung Fachpersonal für die Bedienung der Schutzprüfgeräte. Da die Prüfsignale zeitlich präzise miteinander synchronisiert sein müssen, damit sie die korrekte zeitliche Zuordnung für das jeweilige Prüfszenario aufweisen, ist darüber hinaus spezielles Equipment notwendig. Zumeist wird GPS verwendet, was den Nachteil hat, dass es zwischen Hochhäusern, in Tunneln oder in Kavernen schlechter verfügbar und weniger zuverlässig ist. Eine Verlängerung der Anschlussleitung der GPS-Empfänger zu dem jeweiligen Schutzprüfgerät ist meist nur begrenzt sinnvoll, vor allem wenn die nächste geeignete Stelle für eine Sichtverbindung zu Satelliten weit vom Schutzprüfgerät entfernt ist. Aichhorn:
„Was man hier klar sieht ist, dass eine derartige gesamte Schutzprüfung mit einem immensen Zeit- und Personalaufwand verbunden ist. Wir haben uns daher gefragt, wie man das ganze verbessern kann.“
Exkurs: Schutzprüfung im Prozessbus
Bei Digital Substations können Schutzprüfungen auch unter Verwendung des Prozessbus (gem. IEC 61850-9-2 [1]) durchgeführt werden. Dazu wird ein Netzwerkstream in den Prozessbus eingespielt, wobei sich jenes Schutzprüfgerät, das den Prüfstream aussendet, zwar im gleichen Prozessbus befinden muss wie das zu prüfende Gerät, jedoch physikalisch nicht an dieses angeschlossen sein muss. Die zeitaufwändige Praxis, mit dem Prüfgerät von Schutzgerät zu Schutzgerät zu „wandern“, entfällt. Auf Abbildung 2 ist ein schematisches Beispiel für die Prüfung von Schutzgeräten mit nur einem Schutzprüfgerät dargestellt.
Effiziente Neuerung
Sprecher Automation bietet nun die Möglichkeit, vollinhaltliche Schutzprüfungen beim Leitungsdifferentialschutz ferngesteuert von nur einer Seite aus durchzuführen. Dem zugrunde liegt die Ethernet-basierte Wirkschnittstelle, welche von Sprecher Automation entwickelt wurde. Dank der Erweiterung dieser Schnittstelle kann das Schutzprüfgerät an der Gegenstelle bedient werden. Mit der Schutz-Parametriersoftware SPRECON-E COMM-3 können Parameter angezeigt und verändert, Störschriebe heruntergeladen oder aktuelle Messwerte angezeigt werden.
Das bereits angesprochene Problem der Zeitsynchronisierung mittels GPS wird bei der Schutzfernprüfung völlig umgangen. Hier stehen prinzipiell zwei unterschiedliche Ansätze zur Verfügung. Eine Möglichkeit ist die Synchronisierung über das Precision Time Protocol (PTP / gem. IEEE 1588-2008 [2]), wenn die Schutzprüfgeräte PTP unterstützen. Die zweite Variante leitet die präzise Zeit von den Schutzgeräten selbst ab, da diese ohnehin für ihre Funktion als Leitungsdifferentialschutz eine hohe Synchronisierungsgenauigkeit aufweisen. Diese Synchronisierung erfolgt über die Wirkschnittstelle nach einem von Sprecher patentierten Verfahren.
Abbildung 3 zeigt eine schematische Darstellung der Prüfung des Leitungsdifferentialschutzes über die von Sprecher Automation entwickelte Wirkschnittstelle.
Einfacher & günstiger
Wie bereits im Exkurs „Schutzprüfung im Prozessbus“ erläutert, bewirkt die Prüfung von Schutzsystemen in einer Digital Substation mittels Prozessbus eine deutliche Zeitersparnis, da die zu prüfenden Schutzrelais nicht mehr physikalisch mit dem Schutzprüfgerät verbunden werden müssen.
Die neue Entwicklung von Sprecher Automation zeigt, wie notwendige Schutzprüfungen beim Leitungsdifferentialschutz auch bei konventionellen Anlagen wesentlich effizienter durchgeführt werden können.
„Für die ‚Schutzfernprüfung‘ ist nur mehr ein Prüfer erforderlich, es ist keine zusätzliche Kommunikation notwendig und sie kann ohne externe Zeitsynchronisierung durchgeführt werden. So wird das Verfahren erheblich vereinfacht und verursacht dadurch wesentlich weniger Kosten“,
berichtet Aichhorn. Außerdem ist die Schutzprüfung dank der neuen Methode unabhängig von externen Faktoren, die bspw. den GPS- oder Mobiltelefonempfang stören (etwa bei Prüfungen in einem Tunnel).
An einem weiteren Ansatz mit hohem Potential forschen die Ingenieure bei Sprecher Automation bereits intensiv: ferngesteuerte Schutzprüfungen nach Firmware-Updates, bei Parameteränderungen oder bei periodischen Überprüfungen.
Mehr Sicherheit
Wie bereits eingangs beschrieben, sind nach dem Einspielen von Patches oder nach Updates Schutzprüfungen erforderlich. Die bisherige Praxis zeigt jedoch, dass Anwender häufig auf derartige Patches und Aktualisierungen verzichten, damit sie die im Anschluss notwendige zeitintensive und teure herkömmliche Schutzprüfung nicht durchführen müssen. Der neue Ansatz der Schutzfernprüfung über die Wirkschnittstelle verringert diesen Aufwand beim Leitungsdifferentialschutz in jeglicher Hinsicht. Statt bisher mindestens zwei Prüfern benötigt man nur mehr einen und auch die externe Zeitsynchronisierung entfällt.
Die Schutzfernprüfung hat also das Potential, dank der erwähnten wesentlichen Einsparungen an Personal und Zeit dafür zu sorgen, dass Anlagen und Netze dank eines besser unterstützten Security-Lebenszyklus sicherer werden.
Literatur
[1] Communication networks and systems for power utility automation - Part 9-2: Specific communication service mapping (SCSM) - Sampled values over ISO/IEC 8802-3. IEC Standard 61850-9-2:2011, Sep. 2011.
[2] IEEE Standard for a Precision Clock Synchronization Protocol for Networked Measurement and Control Systems. IEEE Standard 1588-2008, Jul. 2008.
Weitere Infos findet Ihr direkt bei Hersteller: SPRECHER AUTOMATION
