ОМИКРОН ОМИКРОН ОМИКРОН
Система Orphus

Надежность микропроцессорных устройств релейной защиты: мифы и реальность

Введение.

Миф 1. Надежность МУРЗ выше надежности ЭМЗ потому, что МУРЗ не содержит подвижных частей

Миф 2. Надежность полупроводниковых реле на дискретных компонентах выше надежности электромеханических реле  [8]. Надежность полупроводниковых устройств защиты на основе интегральных микросхем с высокой степенью интеграции выше, чем надежность устройств на дискретных электронных компонентах [8]. Надежность микропроцессорных реле выше надежности электронных не микропроцессорных устройств.

Миф 3. Надежность МУРЗ значительно выше надежности всех остальных типов реле защиты  благодаря наличию встроенной самодиагностики. Самодиагностикой в МУРЗ охвачено 70 – 80 % всех элементов МУРЗ

Миф 4. МУРЗ являются существенно более надежными по сравнению с устройствами релейной защиты предыдущего поколения, так как содержат значительно меньшее число элементов и эти элементы значительно меньше подвержены физическому старению. МУРЗ также содержит меньшее количество  внутренних соединений

Заключение



Миф 3. Надежность МУРЗ значительно выше надежности всех остальных типов реле защиты  благодаря наличию встроенной самодиагностики. Самодиагностикой в МУРЗ охвачено 70 – 80 % всех элементов МУРЗ [21, 30].

Этот тезис является очень распространенным и встречается практически во всех публикациях, посвященных преимуществам МУРЗ. Рассмотрим особенности этой самодиагностики подробнее.
● Аналого-цифровой преобразователь (АЦП). Это устройство, преобразующее входной аналоговый сигнал с трансформаторов тока и напряжения в двоичный код, передаваемый через специальные фильтры на обработку в микропроцессор. Все АЦП работают путём выборки входных значений через фиксированные интервалы времени и таким образом преобразуют синусоидальный сигнал в набор фиксированных амплитуд. Как можно видеть из приведенного на рис. 3 примера, это довольно сложное устройство, осуществляющее довольно сложный алгоритм и содержащее множество внутренних узлов.

Рис. 3. Структура аналого-цифрового преобразователя типа AD7569. 1 – блок установки диапазона; 2 - блок слежения/хранения; 3 – аналого-цифровой преобразователь (АЦП); 4 – регистр АЦП; 5 – регистр цифро-аналогового преобразователя (ЦАП); 6 – ЦАП; 7 – усилитель; 8 – блок установки диапазона; 9 – блок синхронизации; 10 – источник опорного напряжения.

Некоторые современные АЦП настолько сложны, что включают в себя даже небольшой микропроцессор, управляющий их работой. АЦП – это фактически главный узел измерительного устройства. Как и любому сложному измерительному устройству АЦП свойственны различные погрешности и ошибки преобразования входной величины. Это ошибки квантования; аддитивная и мультипликативная погрешности; дифференциальная и интегральная нелинейности передаточной характеристики; апертурная погрешность; ошибка, вызванная наложением частот (aliasing). Как же можно контролировать в процессе непрерывно изменяющейся входной величины исправность такого сложного устройства? А помните старый анекдот про пьяного, который искал утерянный бумажник под фонарем? На вопрос почему он ищет под фонарем, а не там где потерял бумажник, он ответил, что под фонарем светлее. По такому же принципу работает и так называемая «самодиагностика» АЦП. Поскольку единственным элементом с неизменным уровнем сигнала в процессе работы АЦП является источник опорного напряжения 10, то именно на его мониторинге и основана так называемая «самодиагностика» АЦП [21]. О пользе и эффективности такой самодиагностики читатель может судить сам.
Память. В МУРЗ имеется два различных вида памяти: ПЗУ (постоянное запоминающее устройство или ROM), предназначенное для хранения управляющей программы и уставок, и ОЗУ (оперативное запоминающее устройство или RAM), предназначенное для временного хранения результатов измерения входных величин и промежуточных вычислений.  Управляющий алгоритм представляет собой набор определенных числовых кодов. Из этих кодов составляется некая контрольная сумма, которая запоминается в отдельной ячейке памяти. В процессе работы МУРЗ эта предварительно записанная контрольная сумма периодически сравнивается с фактической. Несовпадение этих сумм должно указывать на неисправность ПЗУ [21]. Понятно, что процесс вычисления фактической контрольной суммы и сравнения ее с предварительно записанной суммой - это процесс дискретный, производимый с определенными интервалами. А что будет, если повреждение возникнет в промежуток времени между интервалами сравнения контрольных сумм? Произойдет ложное срабатывание реле защиты и отключение линии электропередач? Вопрос отнюдь не гипотетический. Такие реальные случаи не выявленных системой самодиагностики сбоев, описаны в литературе [19].
Ситуация с самотестированием ОЗУ обстоит намного сложнее, так как содержимое ОЗУ постоянно изменяется случайным образом, причем с большой частотой, в процессе работы МУРЗ.  Трудно даже себе представить, как вообще можно тестировать в процессе функционирования (то есть диагностировать так называемые «динамические сбои»), постоянно перезаписываемые с большой частотой ячейки памяти. А зачем же тестировать именно рабочие ячейки, спросит опытный читатель, уже знакомый с нашим пьяным, занятым поиском своего бумажника под фонарем?  Если нельзя тестировать рабочие ячейки памяти во время их работы, то давайте тестировать свободные ячейки, не участвующие в работе, то есть искать там, где светло, а не там, где нужно! Самое удивительное, что именно так и поступают производители МУРЗ. ОЗУ тестируется в автоматическом режиме путем периодического записывания в специально зарезервированные для этого ячейки памяти некоего постоянного числа и периодического считывания этого числа с последующим сравнением этих двух чисел.  Совпадение этих чисел должно, по замыслу производителей, якобы подтверждать исправность всего ОЗУ [21], хотя совершенно не понятно, как можно судить об исправности всего ОЗУ по факту сохранности информации в нескольких ячейках памяти. Кроме того, хорошо известно, что отсутствие статических ошибок памяти абсолютно не гарантирует возникновение  динамических ошибок [22, 23], то есть ошибок, возникающих непосредственно  в процессе записи и считывания информации.
Вопрос о надежности элементов памяти МУРЗ в действительности намного сложнее. Оказывается, элементы памяти подвержены случайным непредсказуемым сбоям, не связанным с физическим повреждением ячеек памяти. Такие случайные, обратимые  сбои, обусловленные самопроизвольным изменением содержания ячеек памяти,  называются «мягкими ошибками»  (“soft-failures” или “soft errors”, не путать с программными ошибками - “software programming errors”).  Ошибки такого рода были не известны ранее для электронных устройств, выполненных на дискретных полупроводниковых элементах или на обычных микросхемах. Прогресс последних лет в области нанотехнологий привел к существенному снижению размеров полупроводниковых элементов (речь идет о единицах и даже долях микрона), уменьшению толщины слоев полупроводниковых и изоляционных материалов, уменьшению рабочих напряжений, увеличению рабочей скорости, уменьшению электрической емкости отдельных ячеек памяти, увеличению плотности размещения элементарных логических ячеек в одном устройстве. Все это вместе взятое привело к резкому повышению чувствительности элементов памяти к ионизирующим излучениям [24, 25].  Эта чувствительность стала настолько высокой,  что обычный (то есть совершенно нормальный) радиационный фон на уровне моря стал опасным для ячеек памяти. Особенно опасными являются потоки высокоэнергетических элементарных частиц, приходящих из космоса. Даже одна  такая частица при попадании в ячейку памяти рождает вторичные потоки электронов и ионов, вызывающие самопроизвольное переключение элементарного транзистора или разряд емкости в элементах с зарядовой памятью. Проблема усугубляется тем, что в современных микропроцессорных структурах наблюдается устойчивая тенденция расширения  использования элементов памяти [25]. Многие современные интегральные микросхемы высокого уровня интеграции, входящие в состав микропроцессорного устройства, содержат встроенные элементы памяти достаточно большого объема, исправность которых вообще никак не контролируется.  Как показано в [26, 27], проблема резкого увеличения чувствительности к ионизирующим излучениям актуальна не только для элементов памяти, но также и для высокоскоростных логических элементов, компараторов и т. д., то есть, практически, для всей современной микроэлектроники. 

● Центральный процессор (ЦП). В отличие от описанных выше сложностей с контролем исправности  памяти, самоконтроль ЦП выглядит достаточно простым, рис 4.

 

Рис. 4. Принцип автоматического контроля исправности микропроцессора с помощью сторожевого таймера.

 

Он просто посылает контрольные импульсы с заданным периодом следования в так называемый «watchdog timer» – сторожевой таймер (“watchdog” - дословно «сторожевой пес»), который сбрасывается в исходное состояние с приходом каждого нового контрольного импульса, после чего начинает новый отсчет времени. Если к определенному моменту времени с ЦП не поступил очередной контрольный импульс, таймер запускает процесс перезагрузки ЦП. При серьезной неисправности микропроцессора и его «зависании» при перезагрузке, которое обнаруживается таймером как повторное отсутствие контрольного сигнала, происходит блокирование ЦП и выдача сигнала о неисправности центрального процессора. Работа по отслеживанию контрольных импульсов сторожевым таймером синхронизирована с помощью внешних синхроимпульсов (так называемое «стробирование»). Иногда сторожевые таймеры встраиваются непосредственно в микропроцессор, иногда (что предпочтительнее) представляют собой внешние специализированные интегральные микросхемы. Примером таких устройств могут служить микросхемы из серии ADM690 – ADM695, производимый компанией Analog Devices. Такой маленький чип содержит не только сторожевой таймер, но также и монитор напряжения питания ЦП. Пауза между контрольными импульсами сторожевого таймера этой серии может быть 0.1 или 1.6 сек.
Совершенно очевидно, что проверить таким образом исправность сотен тысяч транзисторных наноструктур, из которых собственно и состоит любой микропроцессор, абсолютно невозможно. Речь может идти о мониторинге лишь общей работоспособности ЦП, то есть о том, жив он или мертв. При очень сложной внутренней структуре ЦП, рис. 5, содержащей большое количество узлов (регистры для временного хранения команд, данных и адресов; арифметико-логическое устройство; стек, система управлении и синхронизации и т.д.) и микроэлементов, контрольные сигналы с ЦП могут продолжать поступать на сторожевой таймер даже если часть внутренней структуры ЦП окажется поврежденной. Очевидно, что повреждения участков структуры ЦП (или участков его  внутренней управляющей программы) могут проявиться только во время работы (то есть активизации) этих участков. Если эти участки ЦП активизируются лишь при сигналах, соответствующих аварийным режимам в электрической сети, то это означает, что сторожевой таймер – это слабое утешение.
Сам по себе сторожевой таймер – это устройство, выполненное по такой же самой технологии, как и все остальные устройства микроэлектроники (рис. 6) и, точно так как и все остальные устройства, содержащие микроэлектронные компоненты, подвержен отказам и сбоям в работе. Вследствие описанного выше алгоритма работы сторожевого таймера, его отказ в процессе нормального функционирования МУРЗ может привести либо к блокированию ЦП и выходу из строя всего МУРЗ, либо к тому, что он не заметит «зависания» ЦП, в результате чего релейная защита не сработает должным образом при возникновении аварийного режима. Таким образом, работоспособность всего МУРЗ оказывается в очень сильной зависимости от исправности одного маленького чипа, называемого «watchdog».
Еще одним важным обстоятельством является то, что ЦП вовсе не является каким-то отдельно стоящим элементом, правильное функционирование которого в составе МУРЗ не зависит от исправности десятков других сложных интегральных микросхем, с которыми связан ЦП, но

Рис. 5. Блок-схема микропроцессора Intel 486 SX.

Рис. 6. Блок-схема сторожевого таймера (“watchdog”) серии ADM691 – ADM695, производимого компанией  Analog Devices.

 

самодиагностика которых не предусмотрена. Достаточно взглянуть на печатную плату блока центрального процессора, рис. 7, чтобы понять, что исправность самого ЦП еще не говорит об исправности всего этого блока.

Рис. 7. Печатная плата блока центрального процессора МУРЗ серии RE*_316 (производитель – компания ABB).

Повреждение любого из многочисленных микроэлектронных (и не только!) компонентов этой многослойной платы с неизбежностью приведет к нарушению правильного функционирования МУРЗ, и никакой  watchdog  здесь не поможет, что и подтверждается данными, приведенными в [19].

Источник питания.  МУРЗ всех типов снабжаются так называемыми импульсными источниками питания, в которых входное напряжение (переменное или постоянное) поступает на выпрямитель и фильтр, после чего прерывается с большой частотой (десятки килогерц) с помощью мощного транзисторного коммутирующего элемента, то есть превращается в переменное высокочастотное. Это высокочастотное напряжение трансформируется с помощью высокочастотного трансформатора в напряжение низкого уровня (чаще всего, 12 В), выпрямляется, фильтруется и стабилизируется. Далее из этого постоянного напряжения формируются более низкие напряжения (5 В, например), необходимые для работы МУРЗ. Микропроцессоры, обычно, весьма чувствительны к уровню питающего напряжения и могут производить непредсказуемые операции при определенном снижении напряжения питания, в связи с чем, в МУРЗ осуществляется постоянный мониторинг уровня напряжения питания ЦП. Как отмечалось выше, микросхемы семейства ADM 691-695  могут быть использованы для непрерывного контроля напряжения питания МУРЗ. Как и в случае со сторожевым таймером, это микросхема производит генерацию сигнала блокирующего работу ЦП при недопустимом снижении напряжения питания. Блокирующий сигнал остается до тех пор, пока напряжение питания не восстановится. Можно ли считать такой контроль уровня напряжения источника питания его самодиагностикой, повышающей надежность его функционирования? Вряд ли, поскольку речь идет о чисто технологической внутренней блокировке, предотвращающей сбои в ЦП. К надежности источника питания такой контроль не имеет никакого отношения. А между тем, именно источники питания МУРЗ являются самым ненадежным узлом МУРЗ. Во-первых, элементы источника питания работают в очень напряженном режиме: они постоянно подвержены воздействию высоких значениях напряжения и тока, рассеивают довольно высокие мощности на своих элементах. Во-вторых, они содержат большое количество алюминиевых электролитических конденсаторов, весьма плохо переносящих воздействие токов высокой частоты, на которой работают источники питания, и часто являющихся причиной полного отказа источника питания (а следовательно, и всего МУРЗ). Ну и чем тут может помочь мониторинг выходного напряжения источника? Разве он может заранее просигнализировать об ухудшении состояния конденсаторов и предотвратить, таким образом, внезапный отказ МУРЗ? 

Выходные электромагнитные реле.  Как показано в исследованиях, выполненных автором [28, 29], контакты миниатюрных электромеханические реле (обычно используемых во всех типах МУРЗ в качестве выходных элементов, непосредственно управляющих отключающими катушками высоковольтных выключателей или катушками промежуточных реле) работают со значительной перегрузкой. Поэтому надежность этих реле существенно снижена по сравнению с величиной, нормируемой заводом-изготовителем. С другой стороны, в рекламных проспектах МУРЗ различных производителей обязательно отмечается, что исправность таких важных элементов, как выходные реле, непрерывно контролируется средствами самодиагностики МУРЗ. На первый взгляд, весьма трудно представить, как можно проверить исправность электромеханического реле в работающем МУРЗ, если контакты этого реле включены непосредственно в цепь отключающей катушки выключателя. Ну, нельзя проверить исправность контактов реле, ну и ладно. Будем проверять то, что можно проверить, решили производители МУРЗ и стали контролировать … целостность обмотки управления реле, путем пропускания через нее постоянного слабого тока.  Но при чем здесь обмотка, если самым напряженным и ненадежным элементом электромеханического реле является вовсе не обмотка, а контакты?! Да, но ведь и пьяный мужик ведь искал свой бумажник не там, где потерял, а там, где было светлее! Так чем же мы хуже этого мужика, очевидно, решили производители МУРЗ, хотя, наверное, не были пьяны, когда принимали такое решение. Ведь важно было громко заявить потребителю МУРЗ о самодиагностике выходных реле, а то, что такая самодиагностика совершенно неэффективна и ничего не дает, так ведь кто же об этом узнает?

Узлы цифровых и аналоговых входов. Узел цифровых входов – это набор мощных гасящих резисторов, оптронов, электронных фильтров, мультиплексоров и т.д., смонтированных, обычно, на плате вместе с выходными реле, рис. 8.

Рис. 8. Блоки цифровых входов различной конфигурации МУРЗ типа REL316.

 

Узел аналоговых входов – это трансформаторы тока и напряжения, смонтированные, как правило, на отдельной плате, рис. 9.
По признанию  [30] эти узлы только частично охвачены самодиагностикой, причем без всяких пояснений того, как именно это сделано, а в  [31] отмечается, что они вовсе не охвачены самодиагностикой. Платы аналоговых и цифровых входов МУРЗ имеют, как правило, несколько различных конфигураций, рис. 8. Тип платы, установленной в данном конкретном МУРЗ должен быть обязательно введен в его память. Для того, чтобы прояснить ситуацию и расставить точки над i, мы заменили плату входов у МУРЗ типа REL316, тип которой записан в его памяти, на плату другого типа (рис. 8) без изменения записи в памяти МУРЗ и включили его. Оказалось, что МУРЗ загружается в нормальный режим работы, совершенно не замечая подмены целой платы. Естественно, что  правильно функционировать он уже не будет.  О какой же самодиагностике исправности внутренних компонентов этих узлов вообще может идти речь в такой ситуации? Как говорится, комментарии излишни.

Рис. 9. Блок аналоговых входов МУРЗ, содержащий входные трансформаторы тока и напряжения.

 

В заключение этого раздела следует отметить, что вопреки распространенному мнению, внутренняя самодиагностика на самом деле не является средством, предназначенным для снижения интенсивности отказов МУРЗ, то есть повышения его надежности. Целью такой самодиагностики  является блокирование работы МУРЗ и выдача об этом сигнал тревоги до возникновения аварийного режима в сети, а не во время его.

6 Апрель, 2008              33888              ]]>Печать]]>
5 / 18 ( Хорошо )

Последние комментарии : 5

zayarov             Добавлен: 17 Август, 2011 04:25       Ответить
О мифах про надежность цифровых устройств, сочиненных Гуревичем читайте здесь http://_______2.narod.ru/mify.html
Maxim Arsenev             Добавлен: 21 Март, 2013 06:31       Ответить
Статистика обращений пользователей цифровых устройств к изготовителю за один месяц http://rza.org.ua/article/read/Nadezhnost-cifrovyh-ustrojstv-v-cifrah-i-diagrammah--Zaharov-O-G.html
ФИО             Добавлен: 31 Январь, 2016 19:42       Ответить
Старый мудак Захаров (Maxim Arsenev) никак не успокоится и продолжает засирать всем мозги своим никчемным сайтиком-помойкой. Не дают ему покоя лавры его оппонента. Завистник и мудозвон, да не будет никто твои помои читать.
для фио             Добавлен: 1 Февраль, 2016 13:43       Ответить
Читают. И из многих стран. Не беспокойся. Подборка рецензий размещена на этой странице -http://_______.narod.ru/slovar/liter_nad.htm
для фио             Добавлен: 1 Февраль, 2016 13:48       Ответить
статья размещена 20 Март, 2013 года и просмотрена за это время 1946 раз. Адрес статьи- http://rza.org.ua/article/read/Nadezhnost-cifrovyh-ustrojstv-v-cifrah-i-diagrammah--Zaharov-O-G.html

Добавить комментарий

Ваше имя

Текст

Контрольный вопрос

Дva plus trи ? (цифрой)

Вверх страницы