IEC 61850 in der Stationsautomatisierung

Redaktionshinweis: Bearbeitet in 2026

IEC 61850 ist die internationale Norm, die festlegt, wie Geräte in einer Schaltanlage Daten austauschen. Sie verbindet ein gemeinsames Datenmodell mit einem gemeinsamen Satz an Kommunikationsdiensten. Ein Schutzgerät des einen Herstellers kann dadurch Informationen mit einem Feldleitgerät, einer Merging Unit oder einem SCADA-System eines anderen Herstellers austauschen. Genau das macht herstellerneutrale Schutz-, Automatisierungs- und Leittechnik in der Praxis möglich und nicht nur auf dem Papier.

Für Schutztechniker lässt sich die eigentliche Veränderung einfacher beschreiben, als die Norm klingt. Signale, die früher über Kupfer zwischen Warte und Schaltfeld liefen, laufen jetzt über Ethernet. Auslöse- und Verriegelungssignale werden zu GOOSE-Nachrichten. Wandlersekundärgrößen werden zu Sampled Values, die eine Merging Unit veröffentlicht. Aus dem Stromlaufplan wird eine Konfigurationsdatei, und aus der Durchgangsprüfung wird eine Prüfung der Subscriptions.

Die Norm erschien erstmals 2003 und ist weit über ihren ursprünglichen Anwendungsbereich hinausgewachsen. Edition 2 erweiterte den Titel von Schaltanlagen auf die Automatisierung von Energieversorgungssystemen. Die Reihe reicht heute über Teil 7-410 in die Wasserkraft und über Teil 7-420 zu dezentralen Erzeugungsanlagen. Windenergie deckt die eng verwandte Reihe IEC 61400-25 ab, die den Modellierungsansatz von IEC 61850 übernimmt. Wer heute eine Schaltanlage spezifiziert, kommt an IEC 61850 als Grundlage nicht vorbei.

Abbildung 1: IEC 61850 im Überblick: die Stationsleit-, Feld- und Prozessebene, die Dienste auf den beiden Bussen und die Normteile dahinter.

Was IEC 61850 tatsächlich festlegt

IEC 61850 wird häufig als Protokoll bezeichnet. Das greift zu kurz und ist auch der Grund, warum die Norm gelegentlich mit IEC 60870-5-104 verglichen wird, als handele es sich um dasselbe. Die Reihe normt vier verschiedene Schichten, und der Nutzen entsteht aus der Kombination:

• Ein gemeinsames Datenmodell. Die Teile 7-3 und 7-4 definieren logische Knoten und gemeinsame Datenklassen. Ein Distanzschutz heißt PDIS, ein Leistungsschalter XCBR, eine Messgröße MMXU, und die Struktur ist unabhängig vom Hersteller dieselbe.
• Kommunikationsdienste, abgebildet auf Ethernet. Teil 8-1 deckt die Client-Server-Kommunikation und GOOSE ab, Teil 9-2 die Sampled Values.
• Eine maschinenlesbare Engineering-Sprache. Teil 6 definiert SCL mit den Dateitypen ICD, IID, SSD, SCD und CID. Damit wandern Signallisten zwischen den Werkzeugen, statt abgetippt zu werden, und genau dort liegt heute die eigentliche Anlagenplanung.
• Umgebungs- und Hardwareanforderungen. Teil 3 legt fest, was Geräte in einer Schaltanlage aushalten müssen.

Teil 10 ergänzt die Konformitätsprüfung. Deshalb lässt sich eine Interoperabilitätsaussage prüfen, bevor die Geräte auf der Baustelle stehen, und nicht erst während der Inbetriebnahme.

Der Aufbau einer IEC-61850-Schaltanlage

IEC 61850 gliedert eine Schaltanlage in drei Ebenen. Die Begriffe stammen aus IEC 61850-5, wo die Ebenen zusammen mit den logischen Schnittstellen IF1 bis IF10 beschrieben werden.

Prozessebene

Die Prozessebene ist das Schaltfeld: Leistungsschalter, Trenner, Strom- und Spannungswandler sowie die Merging Units, die Strom und Spannung digitalisieren. In einer digitalen Schaltanlage ersetzt ein Prozessbus über Lichtwellenleiter die Kupferverbindung zwischen den Wandlern und der Warte, und dieser Bus trägt Sampled Values und GOOSE.

Feldebene

Auf der Feldebene sitzen die Schutz- und Feldleitgeräte. Sie bewerten die Daten der Prozessebene, treffen die Auslöseentscheidung und geben Informationen nach oben zur Meldung und Archivierung weiter. Hier sind die Zeitanforderungen am strengsten, weil die Übertragungszeit einer GOOSE-Auslösung innerhalb der Fehlerklärungszeit liegen muss.

Stationsleitebene

Auf der Stationsleitebene laufen das SCADA-System, das HMI, das Stationsgateway und der Engineering-Arbeitsplatz. Die Anbindung an die Leitstelle beginnt am Gateway. Der Stationsbus verbindet Stationsleit- und Feldebene, in der Regel mit MMS für den Client-Server-Verkehr und mit GOOSE für feldübergreifende Verriegelungen.

Abbildung 2: Die drei Ebenen einer IEC-61850-Schaltanlage mit PRP-Stationsbus, redundantem Prozessbus für Merging Units und Schalter-IED sowie einem GNSS-gestützten PTP-Grandmaster, der wie jedes andere Gerät am Stationsbus hängt.

Warum Netzbetreiber in IEC 61850 investieren

Der wirtschaftliche Nutzen liegt selten im Protokoll selbst. Er liegt in dem, was das Protokoll überflüssig macht.

Weniger Kupfer und weniger Fehlerquellen

Die Punkt-zu-Punkt-Verdrahtung zwischen Schaltfeld und Warte wird durch ein Lichtwellenleiternetz ersetzt. Das spart Kabelkanäle und Trassen, verkürzt die Inbetriebnahme und beseitigt eine ganze Fehlerklasse in der Verdrahtung. Es entfällt außerdem der lange Sekundärkreis der Stromwandler, was die Strecke verkürzt, auf der ein offener Sekundärkreis gefährlich ist. Die Gefahr selbst bleibt zwischen Wandler und Merging Unit bestehen. Am meisten profitieren Nachrüstprojekte, weil neues Kupfer durch ein bestehendes Gebäude zu ziehen meist der teure Teil ist.

Eine Planung, die sich vor dem Bau prüfen lässt

Weil SCL die vollständige Konfiguration maschinenlesbar beschreibt, lässt sich die Anlage bereits im Engineering modellieren und prüfen. Signallisten wandern zwischen den Werkzeugen, statt abgetippt zu werden, und ein großer Teil der Werksabnahme kann stattfinden, bevor Hardware auf der Baustelle steht.

Herstellerunabhängigkeit über den nächsten Beschaffungszyklus hinaus

Ein gemeinsames Datenmodell zusammen mit der Konformitätsprüfung bedeutet, dass das 2027 beschaffte Schutzgerät nicht das 2032 beschaffte Gateway festlegt. Interoperabilität kostet weiterhin Engineering-Aufwand, aber der Aufwand ist Konfiguration und keine Protokollumsetzung.

Höhere Verfügbarkeit

IEC 61850-3 legt die Umgebungsbedingungen fest, die Geräte erfüllen müssen. Sie werden also für das ausgelegt und geprüft, was eine Schaltanlage der Elektronik tatsächlich zumutet. Zusammen mit PRP oder HSR ergibt das eine Verfügbarkeit, die gewöhnliche IT-Hardware in dieser Umgebung nicht erreicht.

Der Weg zur Virtualisierung

Sobald Funktionen über Ethernet mit einem normierten Modell kommunizieren, sind sie nicht mehr an ein bestimmtes Gerät gebunden. Das ist die Voraussetzung für virtualisierte Schutz-, Automatisierungs- und Leittechnik.

Kommunikationsdienste: MMS, GOOSE und Sampled Values

Die Ebenen haben unterschiedliche Anforderungen. Eine Auslösung kann nicht auf einen TCP-Handshake und einen Retransmission-Timeout warten, während ein Messwert, der alle paar Sekunden an SCADA gemeldet wird, keine Genauigkeit im Mikrosekundenbereich braucht. IEC 61850 definiert deshalb mehrere Dienste und bildet sie auf unterschiedliche Schichten des Netzwerkstapels ab.

Zwei Punkte lohnen die Genauigkeit, weil sie häufig verwechselt werden. GOOSE ist horizontale Kommunikation zwischen gleichrangigen IEDs und überträgt Ereignisse, keine Messwerte. Sampled Values laufen vertikal von der Prozess- zur Feldebene und übertragen einen kontinuierlichen Strom von Abtastwerten. Beide umgehen TCP/IP und laufen direkt auf Ethernet. Nur so halten sie ihre Zeitbudgets ein.

Abbildung 3: Die drei Kommunikationsdienste nach IEC 61850: MMS zwischen Stationsleit- und Feldebene, GOOSE zwischen IEDs und Sampled Values von den Merging Units zu den Schutzgeräten.

Was die Übertragungszeiten tatsächlich bedeuten

IEC 61850-5 definiert die Übertragungszeit als den vollständigen Weg: von dem Moment, in dem die sendende Anwendung die Daten an den Kommunikationsstapel übergibt, über das Netz, bis die empfangende Anwendung sie entnommen hat. Es ist nicht die Laufzeit auf der Leitung. Herstellerangaben, die nur die Netzlatenz nennen, messen etwas Engeres, als die Norm verlangt.

Die Anforderung hängt vom Nachrichtentyp und von der Leistungsklasse zusammen ab, und genau hier gehen die meisten Zusammenfassungen fehl. Eine Nachricht vom Typ 1A, also eine Auslösung, muss in Leistungsklasse P1 innerhalb von 10 ms ankommen, das ist bei 50 Hz eine halbe Periode, und in P2/P3 innerhalb von 3 ms, das liegt innerhalb einer Viertelperiode. Nachrichten vom Typ 1B für andere schnelle Signale erlauben 20 ms in P2/P3 und 100 ms in P1. Verteilnetzanlagen werden typischerweise nach P1 spezifiziert, Übertragungsnetzanlagen nach P2/P3.

Eine Anmerkung zu den Abtastraten. Die häufig genannten 80 und 256 Abtastwerte je Periode stammen aus der Implementierungsrichtlinie 9-2LE der UCA International Users Group und nicht aus IEC 61850-9-2 selbst. Neuere Projekte beziehen sich zunehmend auf IEC 61869-9, die die digitale Schnittstelle für Messwandler festlegt.

Warum sich eine GOOSE-Verbindung selbst überwacht

Ein drahtgebundener Auslösekreis braucht eine eigene Auslösekreisüberwachung, weil eine unterbrochene Ader stumm bleibt, bis es darauf ankommt. GOOSE dreht das um. Jeder Publisher sendet fortlaufend, nach einer Zustandsänderung zunächst schnell und danach mit größer werdendem Abstand bis zum langsamen Heartbeat. Jede Nachricht trägt eine Zustandsnummer, die sich bei einer Wertänderung erhöht, und eine Folgenummer, die sich bei jeder Wiederholung erhöht. Zusätzlich gibt jede Nachricht an, wie lange der Subscriber auf die nächste warten soll.

Ein Subscriber weiß dadurch innerhalb eines definierten Zeitraums, dass sein Publisher verstummt ist, ohne dass jemand dafür eine Überwachung projektieren muss. Er erhält außerdem zu jedem Datenobjekt ein Quality-Attribut und kann so unterscheiden, ob ein Signal falsch ist oder ob es unzuverlässig ist. Beide Eigenschaften sollte man vor der Inbetriebnahme verstanden haben, weil sie verändern, was eine Meldung bedeutet.

Was passiert, wenn Sampled Values ausbleiben

Das ist die erste Frage, die Schutztechniker zum Prozessbus stellen, und zu Recht. Ein Schutzgerät, das mit Sampled Values arbeitet, hat keinen analogen Eingang als Rückfallebene. Bricht der Strom ab oder wird das Quality-Attribut ungültig, blockiert die betroffene Schutzfunktion und meldet, statt auf veralteten Werten zu arbeiten.

Es gibt einen zweiten, weniger offensichtlichen Fehlerfall. Jeder Sampled-Value-Strom trägt eine Synchronisationsangabe, die aussagt, ob die Abtastwerte auf eine globale Uhr, eine lokale Uhr oder auf gar nichts bezogen sind. Funktionen, die Messwerte aus mehr als einer Merging Unit vergleichen, also etwa Sammelschienen- oder Leitungsdifferentialschutz, hängen von dieser Ausrichtung ab und müssen auf ihren Verlust reagieren. Funktionen mit nur einer Quelle wie der Überstromzeitschutz sind weniger betroffen. Festzulegen, wie sich jede Funktion bei nachlassender Synchronisation verhält, ist eine schutztechnische Entscheidung und keine netzwerktechnische.

Zeitsynchronisation und Netzredundanz

Sampled Values funktionieren nur, wenn jede Merging Unit ihre Abtastwerte auf dieselbe Uhr bezieht. Dafür wird IEC/IEEE 61850-9-3 verwendet, das Power Utility Profile von IEEE 1588 PTP, mit einer angestrebten Genauigkeit von 1 Mikrosekunde.

Die praktische Veränderung ist, dass die Zeit jetzt in-band übertragen wird. Ein GNSS-gestützter Grandmaster hängt als gewöhnliches Gerät am Stationsbus, und die Zeit verteilt sich über dasselbe Ethernet, das auch MMS, GOOSE und Sampled Values trägt. Es gibt keine eigene Zeitleitung mehr zu jedem Schutzgerät, wie sie IRIG-B und 1 PPS erforderten. Der Preis dafür ist, dass die Zeitsynchronisation zu einer Frage der Netzplanung wird: Jeder Switch auf dem Weg muss das Profil korrekt als Boundary oder Transparent Clock behandeln, und ein Switch, der PTP-Pakete nur weiterreicht, ohne die eigene Durchlaufzeit zu korrigieren, zerstört das Genauigkeitsbudget unbemerkt.

Die Verfügbarkeit regelt IEC 62439-3 mit PRP und HSR. Beide senden jeden Frame doppelt über getrennte Wege, sodass ein einzelner Fehler zu keiner Umschaltzeit führt. Das ist entscheidend, weil ein Schutzkonzept die Rekonvergenzzeit eines Spanning-Tree-Protokolls nicht überbrücken kann.

In der Praxis liegen die beiden Protokolle an unterschiedlichen Stellen. PRP ist die übliche Wahl für den Stationsbus, wo Server und Gateways hinter Switches für Schaltanlagen an zwei unabhängigen LANs hängen. HSR-Ringe finden sich häufiger auf der Feld- und Prozessebene, wo Merging Units und Schutzgeräte jeweils zwei Ethernet-Ports haben und sich naturgemäß zu einer Schleife verketten lassen, typischerweise ein Ring je Feld. Eine RedBox-Netzwerkkarte koppelt einen HSR-Ring an ein PRP-Netz, wo beide aufeinandertreffen. Einfachere Installationen verwenden auf der Stationsleitebene mitunter RSTP und nehmen eine Rekonvergenzzeit in Kauf, die auf einem Prozessbus nicht akzeptabel wäre.

Anbindung an die Leitstelle

IEC 61850 regelt die Kommunikation innerhalb der Schaltanlage. Die Anbindung an die Netzleitstelle ist eine eigene Frage und läuft bei den meisten deutschen Netzbetreibern weiterhin über IEC 60870-5-104 auf TCP/IP. Ein Gateway auf der Stationsleitebene bildet dafür das IEC-61850-Datenmodell auf 104er-Datenpunkte ab, und genau diese Aufgabe wird häufig als eine der ersten virtualisiert.

Was an eine Schaltanlage angeschlossen wird, hat sich ebenfalls verändert, und das ist ein Teil des Grundes, warum das Thema gerade drängt. Ein Hyperscale-Rechenzentrum erhält heute ein eigenes Umspannwerk auf der 110-kV-Ebene und steht damit einer mittelgroßen Stadt gleich. Batteriegroßspeicher sind zu einem gewöhnlichen Anschluss im Mittelspannungsnetz geworden, und anders als eine passive Last reagieren sie innerhalb von Sekunden auf Fahrplanvorgaben. Beides lässt die Zahl automatisierter Anlagen wachsen, und beides wird neu gebaut, also von Anfang an nach IEC 61850 spezifiziert und nicht nachträglich darauf umgerüstet.

Weiter unten im Netz sind die Anforderungen kleiner, die Zahl der Standorte dafür deutlich größer. In Deutschland stehen rund 600.000 Ortsnetzstationen, von denen bisher nur die netzstrategisch wichtigsten digitalisiert sind. Die Automatisierung sitzt dabei in der Station selbst: Kurzschluss- und Erdschlussanzeiger in den Ringkabelfeldern, motorisierte Lasttrennschalter und die Fernwirkanlage stehen alle in derselben Ortsnetzstation. Der eingeführte Begriff dafür ist die intelligente oder digitale Ortsnetzstation. Die folgende Übersicht ordnet die Spannungsebenen des deutschen Netzes den zugehörigen Stationstypen und der Automatisierung zu:

Österreich und die Schweiz weichen davon in Details ab. Österreich führt neben 110 kV auch 220 und 380 kV als Übertragungsebenen und nutzt in der Verteilung häufig 30 kV. Die Schweiz kennt mit 150, 130 und 50 kV mehrere regionale Zwischenebenen, die es in Deutschland so nicht gibt, und in der Mittelspannung sind 16 kV verbreitet. Für die Betrachtung nach IEC 61850 ändert das nichts, für die Projektierung eines konkreten Netzes sehr wohl.

Ein Begriff verdient eine eigene Warnung, sobald internationale Projekte im Spiel sind. Was hierzulande eine Ortsnetzstation ist, heißt im britischen Sprachgebrauch distribution substation. In Nordamerika bezeichnet derselbe Ausdruck jedoch die Station, die von der Subtransmission auf die Mittelspannungsabgänge transformiert, also typischerweise 69 kV auf 12,47 kV. Dieselben zwei Wörter benennen Stationen, die drei Spannungsebenen auseinanderliegen. Das sollte in jedem Projekt mit US-Beteiligung früh geklärt werden.

Für Ortsnetzstationen gilt: Ein kompakter Router mit integriertem Protokollgateway ist oft die gesamte Lösung. Die Westermo Merlin 4600 Serie ist für diese Position gebaut. Sie ist nach IEC 61850-3 Klasse 1 für Mittelspannungsanlagen zertifiziert, und ihr Protokollgateway stellt Geräte mit Modbus, DNP3 und IEC 60870-5-101 über eine einzige Schnittstelle nach IEC 60870-5-104 oder MMS bereit. Die Leitstelle sieht dadurch einen einheitlichen Datenstrom statt eines Gemischs. Der Router bringt zudem eigene digitale Ein- und Ausgänge mit und kann so eine kleine Fernwirkunterstation ersetzen, wo dafür kein Platz ist.

Muss IEC-61850-Kommunikation selbst über ein Weitverkehrsnetz laufen, definiert IEC 61850-90-5 dafür routbares GOOSE und routbare Sampled Values.

Abbildung 4: Spannungsebenen des deutschen Netzes mit den zugehörigen Stationstypen und der Automatisierungsebene.

Was sich für Prüfung und Inbetriebnahme ändert

Was bei dieser Umstellung überrascht, ist nicht das Protokoll. Es ist, dass die Prüfsteckerleiste verschwindet. In einem konventionellen Feld erfolgt die Sekundärprüfung an einem bekannten physischen Punkt, und die Trennklemmen sind der Weg, ein Schutzgerät zu prüfen, ohne den Leistungsschalter auszulösen. Am Prozessbus gibt es am Schutzgerät keinen Sekundärkreis mehr, in den sich einspeisen ließe.

IEC 61850 beantwortet das mit einer Prüf- und Simulationsbehandlung, die in den Nachrichten selbst steckt. Edition 2 definiert ein Simulationsflag im Kopf von GOOSE und Sampled Values, dazu eine Einstellung im empfangenden IED, die ihm sagt, dass es simulierte Nachrichten anstelle der echten dieses Publishers annehmen soll. Ein Prüfgerät kann so einen einzelnen Strom übernehmen, während das Schutzgerät für alles übrige in Betrieb bleibt. Zusammen mit den Attributen Mode und Behaviour, mit denen sich eine Funktion in Test oder Test-Blocked setzen lässt, ist das ein feineres Werkzeug als eine Reihe von Trennklemmen. Es lässt sich allerdings auch leichter im falschen Zustand zurücklassen. Zu prüfen, dass nichts mehr simuliert wird, gehört jetzt zur Wiederinbetriebnahme eines Feldes.

Zwei Gewohnheiten folgen daraus. Die SCD-Datei gehört unter dieselbe Änderungskontrolle wie früher die Stromlaufpläne, denn sie ist jetzt der Nachweis, was womit verbunden ist. Und ein größerer Teil der Funktionsprüfung verlagert sich vor die Baustelle, weil ein Fehler in einer Subscription in der Konfiguration sichtbar ist, wie es ein Verdrahtungsfehler nie war.

IEC 61850-3: was Hardware in der Schaltanlage aushalten muss

Teil 3 legt die Umgebungs- und EMV-Bedingungen für Geräte in Schaltanlagen fest. Er ist der Grund, warum gewöhnliche Rackserver in einer Warte nichts verloren haben. In Nordamerika ist IEEE 1613 die entsprechende Referenz, und ernstzunehmende Hardware für Schaltanlagen wird gegen beide geprüft.

• Elektromagnetische Störfestigkeit. Schalthandlungen und Fehlerströme erzeugen Transienten, die ungeschützte Elektronik stören oder zerstören. Geprüft wird gegen Surge, schnelle transiente Burst-Störgrößen, leitungsgeführte und gestrahlte Felder sowie gedämpfte Schwingungen, also dieselbe Prüffamilie, der sich ein numerisches Schutzgerät nach IEC 60255-26 stellt.
• Temperaturbereich. Warten und Ortsnetzstationen sind häufig nicht klimatisiert. Lüfterlose Geräte werden üblicherweise von -40 °C bis +70 °C spezifiziert, aktiv gekühlte Plattformen erreichen typischerweise +55 °C. Der Wert sollte gegen die ungünstigste Schranktemperatur geprüft werden und nicht gegen die Raumtemperatur.
• Vibration und Erdbebenlast. Die Hardware muss Transformatorvibrationen und in manchen Regionen auch seismische Ereignisse im Betrieb überstehen.

Die Ebenen sind logisch, nicht physisch

Dieser Punkt entscheidet, was danach möglich ist, deshalb lohnt sich Genauigkeit. IEC 61850-5 definiert die Ebenen und die Schnittstellen zwischen ihnen. IF4 ist der Austausch der Momentanwerte von Strom und Spannung zwischen Prozess- und Feldebene, also der Weg der Sampled Values. IF8 ist der direkte Austausch zwischen Feldern für schnelle Funktionen wie die Verriegelung, also der Weg von GOOSE.

Was die Norm nicht vorschreibt, ist die Zahl der Geräte und ihr Aufstellungsort. IEC 61850-5 geht vom Grundsatz der freien Zuordnung von Funktionen aus: Eine Funktion wird logisch definiert, und der Planer entscheidet, welches physische Gerät sie ausführt. Das Ebenenmodell beschreibt die Struktur der Kommunikation und nicht die Belegung des Schutzschranks.

Aus diesem Grundsatz folgt, dass virtualisierter Schutz nicht im Widerspruch zu IEC 61850 steht. Eine Schutzfunktion der Feldebene auf einem Server der Stationsleitebene auszuführen verändert die physische Zuordnung, lässt das logische Modell und die Schnittstellen aber unberührt. Die Frage an eine virtualisierte Lösung lautet deshalb nicht, ob sie noch normkonform ist. Sie lautet, ob die Plattform dieselbe Übertragungszeit und dieselbe Verfügbarkeit einhält, die die Funktion im dedizierten Schutzgerät hatte.

Eine Begriffsfalle kommt damit einher. Das Element Bay in SCL gehört zur Beschreibung der Primärtechnik, in der Hierarchie aus Substation, VoltageLevel, Bay und ConductingEquipment. Das ist das Übersichtsschaltbild und nicht die Automatisierungshierarchie. Feldebene und Bay in SCL sind zwei verschiedene Verwendungen desselben Wortes innerhalb derselben Normenreihe.

Rechnerplattformen und Virtualisierung

Die Stationsleitebene ist unbemerkt zu einer Frage der Rechnerplattform geworden. Vier Anwendungen finden sich in nahezu jeder Schaltanlage: das SCADA-System der Station, das Stationsgateway mit der Fernwirkverbindung zur Leitstelle, das örtliche HMI und der Engineering-Arbeitsplatz mit den Projektierungswerkzeugen und der SCD-Datei. Darum herum liegen Netzqualitätsanalyse, Störschriebsammlung, Zustandsüberwachung und zunehmend ein Sensor zur Angriffserkennung. Historisch kam jede Anwendung als eigener Industrie-PC, weshalb sich in Schaltanlagen Schränke voller Einzweckrechner angesammelt haben.

Diese vier heißen je nach Herkunft unterschiedlich, und es lohnt sich, sie klar zu benennen, weil ein Gespräch über Konsolidierung schnell stockt, wenn zwei Leute dieselbe Kiste unterschiedlich nennen. Das Stationsgateway ist das, was ein nordamerikanischer Kollege als automation controller oder RTU mit Protokollumsetzung kennt und was hierzulande als Fernwirkgateway auf der 104er-Strecke geläufig ist. Das HMI ist die örtliche Bedien- und Beobachtungsoberfläche, ob sie nun auf dem Gateway läuft oder auf einem eigenen Rechner. Der Engineering-Arbeitsplatz ist der Rechner mit der Projektierungssoftware, der die Anlagenkonfiguration unter Versionskontrolle hält. Alle vier sind gewöhnliche x86-Lasten, und keine davon braucht ein eigenes Gehäuse.

Sie auf einer Plattform mit Hypervisor zusammenzufassen erhält die Trennung und beseitigt den Hardwarewildwuchs, sofern die Plattform genug Reserve und die richtige Anbindung hat. Zwei Entscheidungen bestimmen, ob das funktioniert.

Die erste betrifft den Netzwerkpfad. Eine konsolidierte Plattform der Stationsleitebene hängt üblicherweise über PRP am Stationsbus, entweder über eine eigene RedBox-Netzwerkkarte oder über einen vorgelagerten Switch. Nur so ist ein virtualisiertes Gateway nicht weniger verfügbar als das physische Gerät, das es ersetzt. Beherbergt eine Plattform zusätzlich laufzeitkritische Funktionen, wird SR-IOV wichtig: Es gibt einer virtuellen Maschine einen eigenen Hardwarepfad zur Netzwerkkarte, statt ihren Verkehr über eine Softwarebrücke im Host zu führen, und hält so den Jitter aus Sampled Values und GOOSE heraus. Ein Detail verdient dabei Aufmerksamkeit in der Planung: Die PTP-Hardwareuhr sitzt in der Physical Function und nicht in den Virtual Functions. Die Synchronisation läuft also auf dem Host, und die virtuellen Maschinen beziehen ihre Zeit über die Virtualisierungsschicht.

Die zweite betrifft die Zeit. Jede Last, die Sampled Values verarbeitet, braucht einen echtzeitfähigen Kernel, Hardware-Zeitstempel und fest zugeordnete Kerne, also eine ganz andere Spezifikation als ein allgemeiner IT-Server. Geplant wird mit physischen Kernen und nicht mit Threads, weil deterministische Lasten üblicherweise mit deaktiviertem Hyper-Threading laufen.

Abbildung 5: SCADA-System, Stationsgateway, HMI und Engineering-Arbeitsplatz auf einer Plattform zusammengefasst, mit nahtloser Redundanz zum Stationsbus.

Welotec deckt das mit zwei Plattformen ab, die unterschiedliche Profilstufen der vPAC-Alliance-Hardwarespezifikation adressieren. Der RSAPC Mk2 zielt auf Profilstufe 2: ein lüfterloser 2-HE-Server mit einem Intel Xeon W mit 6 oder 8 Kernen, spezifiziert von -40 bis +70 °C, mit acht 2,5-GbE-Kupferports, die alle Hardware-Zeitstempel nach IEEE 1588-2008 unterstützen. Viele Stationsbus-Auslegungen kommen damit ohne zusätzliche Netzwerkkarte aus. Die RSAVP zielt auf Profilstufe 4: aktiv gekühlt, verfügbar mit 16, 36 oder 64 Kernen und bis zu 512 GB, mit Lichtwellenleiteranbindung und SR-IOV für dichte Konsolidierung und für Beschleunigerkarten.

Wohin das führt: vPAC und die Software-Defined Substation

Der nächste logische Schritt nach der Konsolidierung der Stationsleitebene ist die Virtualisierung von Schutz und Steuerung selbst. Das ist das Ziel von vPAC, virtual protection automation and control, wo Schutzfunktionen als Software auf standardisierten Servern laufen statt auf dedizierten Schutzgeräten. Die Open-Source-Arbeit an SEAPATH unter LF Energy und die Spezifikationsarbeit in der vPAC Alliance treiben beide darauf zu, und IEC 61850 mit Prozessbus ist die technische Voraussetzung.

Dabei sollte klar bleiben, dass vPAC eine Schicht einer größeren Veränderung ist und nicht die Veränderung selbst. Die Virtualisierung der Anwendung ist der sichtbare Teil. Die Infrastruktur darunter, also Netz, Zeit, Lifecycle-Management und Sicherheit, muss ebenfalls software-defined werden, bevor sich das Betriebsmodell tatsächlich ändert. Diesem Gedanken ist ein eigener Beitrag gewidmet, Software-Defined Substation: Warum vPAC nur die erste Schicht ist.