Was ist eine Merging Unit? IEC 61850 Sampled Values, SAMU und Prozessbus

Eine Merging Unit (MU) wandelt die analogen Sekundärgrößen von Stromwandlern und Spannungswandlern in zeitsynchrone digitale Abtastwerte um und sendet sie als IEC 61850 Sampled Values (SV) auf einen Ethernet-Prozessbus. Sie sitzt in der Schaltanlage nahe an den Messwandlern und ersetzt die langen Kupferverbindungen zwischen Schaltfeld und Schalthaus.

Jedes Gerät am Prozessbus kann diesen Datenstrom abonnieren: ein Schutzgerät, ein Störschreiber oder Schutzfunktionen, die als Software auf einem Stationsserver laufen. Deshalb beginnt jedes Konzept für ein digitales Umspannwerk und jedes vPAC-Konzept bei der Merging Unit.

Was ist eine Merging Unit?

Am Anfang stehen die Messwandler. Strom- und Spannungswandler setzen die Größen der Hoch- und Höchstspannung auf Werte herunter, die sich gefahrlos messen lassen. Ein Stromwandler 600/1 A macht aus 600 A Leiterstrom 1 A. Ein Spannungswandler im 110-kV-Netz setzt 110/√3 kV auf 100/√3 V herunter, also auf 57,7 V zwischen Leiter und Erde. In Deutschland ist 1 A der übliche Sekundärnennstrom für Schutzkerne; 5 A findet man in älteren Anlagen und bei manchen Netzbetreibern für die Verrechnungsmessung. Viele Spannungswandler haben zusätzlich eine Erdschlusshilfswicklung (e-n, auch da-dn) mit 100/3 V, die im offenen Dreieck die Verlagerungsspannung für die Erdschlusserfassung liefert. In der Höchstspannung sind kapazitive Spannungswandler verbreitet. Für die Merging Unit sind das alles Strom- und Spannungseingänge.

Die Merging Unit sitzt an der Grenze zwischen dem analogen und dem digitalen Teil des Umspannwerks. Auf der Eingangsseite nimmt sie dieselben Wandlersekundärkreise auf, die sonst auf den Klemmen des Schutzgeräts landen. Auf der Ausgangsseite sendet sie einen digitalen Strom von Momentanwerten, den jedes Gerät nach IEC 61850 lesen kann.

Der Name beschreibt die Aufgabe. Eine Merging Unit tastet die Leiter- und Sternpunktströme und die Leiter- und Verlagerungsspannungen im selben Moment ab und führt sie zu einem zeitlich zusammenhängenden Datensatz zusammen. Der Begriff stammt aus IEC 60044-8, der Norm für elektronische Stromwandler von 2002. Dort war die Merging Unit das Gerät, das die Ausgänge mehrerer elektronischer Messwandler zu einer digitalen Schnittstelle zusammenführt. IEC 61869-9 hat diese Schnittstelle inzwischen abgelöst.

Merging Unit und Remote-I/O: welches Gerät was macht

In Prozessbusprojekten tauchen dafür mehrere Gerätebezeichnungen auf, und die Hersteller verwenden Namen und Funktionsumfang nicht einheitlich. Normativ beschrieben sind die Merging Unit in IEC 61869-9 und die Stand-alone Merging Unit in IEC 61869-13. Die digitale Schnittstelle von Hochspannungsschaltgeräten auf Basis von IEC 61850 behandelt IEC 62271-3.

Dieser Artikel hält die beiden Funktionen auseinander. Die Kernaufgabe einer Merging Unit ist das Messen, die einer Remote-I/O das Schalten. Beides kann in einem Gerät stecken, dann spricht dieser Artikel von einer Merging Unit mit Binär-E/A. IEC 61869-9 zieht bei den Kommunikationsdiensten eine ähnliche Linie: Konformitätsklasse a umfasst nur die Dienste zum Senden von Sampled Values, GOOSE, auf das die Remote-I/O angewiesen ist, kommt erst mit Klasse b hinzu.

Die Remote-I/O verkürzt auch das Steuerkabel des Leistungsschalters. Es führt je AUS-Spule zwei Adern (Leistungsschalter in der Hoch- und Höchstspannung haben oft zwei AUS-Spulen), dazu den Einschaltkreis, die Hilfskontakte für die Stellungsmeldung und meist die Auslösekreisüberwachung. Mit der Remote-I/O im Freiluftschrank endet dieses Kupfer wenige Meter vom Schalter entfernt. Damit gehört auch die Auslösekreisüberwachung in das Feldgerät, denn nur dort liegen die AUS-Spulen noch auf Kupfer. Eine Schutzfunktion auf einem Server kann diesen Kreis nicht selbst überwachen. Die Abbildungen zeichnen es als zwei Bündel: Auslösekreis und Stellungsmeldung.

Merging Units im deutschen und europäischen Netz

Ganz Europa arbeitet mit 50 Hz, und das hat unmittelbare Folgen für die Merging Unit. Nach 9-2LE entstehen im 50-Hz-Netz 4.000 statt 4.800 Abtastwerte pro Sekunde, und ein Zeitfehler von 1 ms entspricht 18 statt 21,6 elektrischen Grad. Beide Zahlen tauchen weiter unten wieder auf.

Wo eine Merging Unit eingesetzt wird, bestimmt auch, welche Messgrößen sie liefern muss. Die folgende Tabelle ordnet die deutschen Spannungsebenen ein; ÜNB steht für Übertragungsnetzbetreiber, VNB für Verteilnetzbetreiber.

In anderen europäischen Ländern gelten andere Nennspannungen. Im europäischen Sprachgebrauch heißt die höchste Ebene meist 400 kV, Frankreich betreibt zusätzlich 225 kV sowie 90 und 63 kV, Großbritannien 275 und 132 kV.

Im gelöschten 110-kV-Netz, also bei Resonanzsternpunkterdung, verdient die Erdschlusserfassung besondere Aufmerksamkeit. Dort ist der Sternpunkt über eine Erdschlusslöschspule (Petersen-Spule) geerdet, die den kapazitiven Erdschlussstrom weitgehend kompensiert. Der Lichtbogen erlischt oft von selbst, und das Netz kann mit einem stehenden Erdschluss weiterlaufen, bis der Fehler gefunden ist.

Transiente Verfahren wie das Erdschlusswischerverfahren werten kurzzeitige, höherfrequente Ausgleichsvorgänge unmittelbar nach dem Erdschlusseintritt aus. Ob ein Schutzdatenstrom mit 4.000 oder 4.800 Werten pro Sekunde dafür reicht, hängt von Algorithmus, analoger Bandbreite, Anti-Aliasing-Filter und Herstellerfreigabe ab. Lassen Sie sich die Eignung des konkreten Verbunds aus Merging Unit und Schutzgerät nachweisen, und klären Sie, ob die Merging Unit bei Bedarf einen schneller abgetasteten Datenstrom liefert, etwa mit 14.400 Werten pro Sekunde. Stationäre Verfahren wie das wattmetrische Verfahren (cos φ) oder die Auswertung höherer Harmonischer kommen mit dem Schutzdatenstrom aus.

Der VDE FNN hat 2021 einen Hinweis zur Stationsautomatisierung veröffentlicht, einen Leitfaden zur Anwendung der IEC 61850 in Schaltanlagen. Den Prozessbus klammert er ausdrücklich aus und bereitet ihn nur in der Modellierung vor. Für Merging Units bleiben damit die IEC-Normen, der UCA-Leitfaden 9-2LE und das Lastenheft des Netzbetreibers die Grundlage.

Wie eine Merging Unit das Umspannwerk verändert

Abbildung 1. Im konventionellen Umspannwerk ist jeder Sekundärkreis eine eigene Kupferverbindung.

Im konventionellen Umspannwerk läuft jeder Wandlerkreis als Steuerkabel durch den Kabelkanal zu den Prüfklemmen und in den Schutz- und Steuerschrank im Schalthaus. Stellungsmeldung und Auslösekreis nehmen denselben Weg, gespeist aus der Stationsbatterie mit typisch 110 oder 220 V DC. Ein Stromwandlerkreis läuft in Reihe durch jedes Gerät, das an diesem Wandlerkern hängt, und jedes Gerät erhöht die Bürde. Abbildung 1 zeichnet vereinfacht nur einen Kern; in der Praxis hängt das Messgerät meist an einem eigenen Messkern. Wer später einen Störschreiber ergänzt, muss den Stromwandlerkreis auftrennen und neu verdrahten.

Das Schutzgerät in Abbildung 1 vereint die üblichen Funktionen eines 110-kV-Leitungsfelds: Distanzschutz (21), gerichteten Erdfehlerschutz (67N), automatische Wiedereinschaltung (AWE, 79) und Schalterversagerschutz (50BF).

Abbildung 2. Die Merging Unit verlegt die Analog-Digital-Grenze ins Feld. Die Remote-I/O im selben Freiluftschrank übernimmt den Leistungsschalter. Vereinfacht mit einem Switch; in der Praxis ist der Prozessbus redundant aufgebaut, meist mit PRP (Abbildung 7).

Mit der Merging Unit wandert die Analog-Digital-Grenze ins Feld. Sie sitzt im Freiluftschrank neben dem Leistungsschalter, die Kupferwege schrumpfen von mehreren hundert Metern auf wenige Meter. Lichtwellenleiter (LWL) bringen die Sampled Values zu den Prozessbus-Switches im Schalthaus, wo das Schutzgerät sie abonniert. Ein Störschreiber oder eine PMU kommt später hinzu, ohne dass jemand den Stromwandlerkreis anfasst.

Auch der Auslöseweg ändert sich. Das Schutzgerät sendet eine GOOSE-Auslösung über den Prozessbus. Die Remote-I/O im selben Freiluftschrank empfängt sie und steuert über einen Auslöseausgang die AUS-Spule an. Außerdem liest sie die Hilfskontakte und meldet die Schalterstellung per GOOSE.

Dazu kommt ein Sicherheitsgewinn. Ein offener Stromwandlerkreis, eine der gefährlicheren Situationen im Schutz- und Steuerschrank, kann nur noch auf einem kurzen Weg im Freiluftschrank entstehen, und die Prüfklemmen vor der SAMU erlauben es, die Stromwandlerkreise dort gefahrlos kurzzuschließen. Und weil die Verbindung ins Schalthaus aus Lichtwellenleitern besteht, verschleppen keine Kupferadern bei Erdfehlern Potentialunterschiede zwischen Schaltanlage und Schalthaus. Störeinkopplungen in lange Steuerkabel, in Höchstspannungsanlagen ein bekanntes EMV-Thema, betreffen nur noch die kurzen Kupferwege im Feld.

Wie eine Merging Unit funktioniert

Abbildung 3. Die Signalkette in einer Merging Unit. Die PTP-Zeit gibt den Abtasttakt vor. Die Remote-I/O ist eine eigene Funktion und hier nicht dargestellt.

Innen folgt eine Merging Unit einer festen Abfolge:

• Eingangswandler trennen die Wandlersekundärkreise galvanisch und passen sie auf elektronische Signalpegel an.
• Ein Anti-Aliasing-Filter entfernt Frequenzanteile, die die Abtastrate nicht mehr abbilden kann.
• Ein Analog-Digital-Wandler digitalisiert jeden Kanal im Takt der Stationszeit. Die Abtastzeitpunkte liegen phasenstarr auf dem Sekundenraster der PTP-Zeit, entweder weil der Wandlertakt direkt an die PTP-Zeit gekoppelt ist oder weil die MU intern schneller abtastet und exakt auf diese Zeitpunkte umrechnet. Digitale Filterung und Kalibrierung korrigieren Betrags- und Phasenfehler der analogen Stufen.
• Die MU nummeriert jeden Abtastwertsatz mit dem Abtastzähler (SmpCnt) und zeigt mit der Synchronisationskennung (SmpSynch), ob und woher sie synchronisiert ist.
• Der SV-Publisher packt die Werte in ein Ethernet-Telegramm und sendet es über beide Netzwerkports.

Über den Abtastzähler ordnen Schutzgeräte die Daten verschiedener Merging Units einander zu. Eine synchronisierte MU setzt SmpCnt zu Beginn jeder Sekunde auf null und zählt bei 4.800 Werten pro Sekunde bis 4.799, nach 9-2LE im 50-Hz-Netz bis 3.999. Nach 9-2LE trägt das Telegramm keinen Zeitstempel; diese Aufgabe übernimmt der Zähler. Das funktioniert nur, weil schon die Abtastung selbst im Takt der PTP-Zeit erfolgt. Ein Zeitstempel, der erst nach der Wandlung vergeben wird, könnte einen Fehler im Abtastzeitpunkt nicht mehr korrigieren, und jeder solche Fehler erscheint als Phasenfehler.

Wandlerauflösung und Filterauslegung unterscheiden sich je nach Hersteller. Ins Lastenheft gehören der veröffentlichte Datenstrom und seine Genauigkeitsklasse.

Sampled Values: IEC 61850-9-2LE und IEC 61869-9 im 50-Hz-Netz

IEC 61850-9-2 legt fest, wie Abtastwerte auf Ethernet-Telegramme abgebildet werden, lässt aber viele Parameter offen. Was eine Merging Unit tatsächlich sendet, regeln deshalb zwei ergänzende Dokumente. An dieser Stelle gehen viele Lastenhefte schief.

Vorab ein Begriff. Eine ASDU (Application Service Data Unit) ist ein Abtastwertsatz: die Werte aller Kanäle des Datensatzes zu einem Abtastzeitpunkt, zusammen mit Abtastzähler und Synchronisationskennung. Ein Ethernet-Telegramm kann eine ASDU oder mehrere tragen, und genau darin unterscheiden sich die beiden Profile.

Abbildung 4. Im 50-Hz-Netz unterscheiden sich nicht nur die Telegramme, sondern auch die Abtastraten.

IEC 61850-9-2LE ist ein Umsetzungsleitfaden der UCA International Users Group, und die meisten frühen Prozessbusprojekte haben ihn verwendet. Er koppelt die Abtastrate an die Netzfrequenz (80 Werte je Periode, im 50-Hz-Netz also 4.000 pro Sekunde) und legt den Datensatz auf vier Ströme und vier Spannungen fest. IEC 61869-9 hat dieses Profil als Norm für die digitale Schnittstelle von Messwandlern weiterentwickelt; die Übertragung der Sampled Values selbst basiert weiterhin auf IEC 61850-9-2. Ihre Vorzugsrate für den Schutz beträgt 4.800 Werte pro Sekunde bei 50 und 60 Hz, bei 50 Hz also 96 je Periode, und die Datensätze lassen sich über SCL konfigurieren. Die Bezeichnung F4800S2I4U4 bedeutet 4.800 Werte pro Sekunde, zwei ASDUs je Telegramm, vier Ströme und vier Spannungen.

Aus der Telegrammbildung folgen zwei Dinge. Bei F4800S2 reisen zwei aufeinanderfolgende Abtastwertsätze in einem Telegramm. Für den ersten entsteht dadurch eine zusätzliche Verzögerung von bis zu einem Abtastintervall, also bis zu 208,3 µs; wie groß sie genau ist, hängt von der Implementierung ab. Schutzalgorithmen kommen damit problemlos zurecht. Im Laufzeitbudget der Schutzkette sollte die Verzögerung trotzdem stehen.

Wichtiger ist die Telegrammrate. Im 50-Hz-Netz fällt der Unterschied kleiner aus als bei 60 Hz, weil 9-2LE hier nur 4.000 Telegramme pro Sekunde erzeugt, aber die Rate sinkt immer noch um 40 Prozent, während die Abtastrate von 4.000 auf 4.800 Werte pro Sekunde steigt. Ein Umspannwerk mit 12 Feldern und zweifachem Schutz hat 24 Datenströme: 96.000 Telegramme pro Sekunde nach 9-2LE, 57.600 nach IEC 61869-9. Die Bandbreite ändert sich dabei kaum; ein 9-2LE-Schutzdatenstrom belegt bei 50 Hz grob 4 bis 5 Mbit/s auf der Leitung. Für ein Hardware-Schutzgerät spielt die Telegrammrate kaum eine Rolle. Auf einem Server mit Schutzfunktionen kostet jedes Telegramm Interrupt- und Rechenzeit, und davon hängt ab, wie viele Felder ein Rechner schützen kann.

In 9-2LE zeigt SmpSynch nur an, ob die Merging Unit synchronisiert ist. IEC 61869-9 nennt zusätzlich die Zeitquelle: 0 heißt nicht synchronisiert, 1 lokale Uhr, 2 globale Uhr mit Rückführung auf UTC, und 5 bis 254 kennzeichnen bestimmte lokale Uhren. So erkennt ein Schutzgerät, ob zwei Datenströme dieselbe Zeitquelle haben.

Im 50-Hz-Netz lauert dabei eine Falle. „80 Werte je Periode“ und „4.800 Werte pro Sekunde“ beschreiben hier zwei verschiedene Datenströme, und beide Formulierungen finden sich in Lastenheften. Nennen Sie das Profil ausdrücklich.

Messung und Netzqualitätsanalyse brauchen einen eigenen Datenstrom. Der Schutzdatenstrom genügt Schutzgeräten und Störschreibern. Auch PMUs können ihn nutzen, sofern Zeitbezug, Genauigkeit und Filterung zur jeweiligen PMU-Anwendung passen. Für genaue Messwerte braucht es eine höhere Rate und vor allem ein genaueres Signal, und diese Genauigkeit entscheidet sich vor der Merging Unit. Ein Schutzkern (zum Beispiel 5P20 nach IEC 61869-2) bleibt auch beim Kurzschlussstrom genau. Ein Messkern (zum Beispiel Klasse 0,2S) ist beim Betriebsstrom genau. Eine Merging Unit am Schutzkern liefert keine Messwerte in Verrechnungsqualität, egal wie schnell sie abtastet. Der Messdatenstrom kommt deshalb von Eingängen am Messkern und geht getrennt hinaus, mit 14.400 Werten pro Sekunde nach IEC 61869-9 oder 256 je Periode nach 9-2LE. Viele Merging Units senden beide Datenströme gleichzeitig.

Für die Verrechnungsmessung kommt in Deutschland das Mess- und Eichrecht hinzu. Messwandler und Zähler für die Verrechnung fallen unter das Mess- und Eichgesetz, und die gesamte Messkette muss seine Anforderungen erfüllen. In der Praxis bleibt die Verrechnungsmessung deshalb heute meist auf einem eigenen Messkern der Klasse 0,2S mit direkt verdrahtetem Zähler, und die Merging Unit übernimmt den Schutzkern und bei Bedarf die Netzqualitätsmessung. Wer die Verrechnung über eine Merging Unit führen will, sollte die eichrechtliche Konformität früh mit Hersteller und Messstellenbetreiber klären.

Bauformen von Merging Units

Abbildung 5. Die Bauform ergibt sich daraus, wo digitalisiert wird.

Eine Stand-alone Merging Unit (SAMU) wird an konventionelle Strom- und Spannungswandler angeschlossen. IEC 61869-13 beschreibt sie. Sie nimmt die üblichen Sekundärgrößen konventioneller Messwandler auf, in Deutschland also 1 A oder 5 A und 100/√3 V, und ihr Ausgang folgt IEC 61869-9. Die SAMU passt zum Retrofit, denn die vorhandenen Messwandler bleiben, wo sie sind.

Kleinsignal-Messwandler (LPIT) wie Rogowski-Spulen, Spannungsteiler und optische Stromwandler liefern statt 1 A oder 100/√3 V nur ein Kleinsignal oder ein optisches Signal und bringen die Merging Unit meist gleich mit. Die Anforderungen stehen in IEC 61869-6, für passive Kleinsignal-Messwandler zusätzlich in den Teilen -10 und -11. Luftspulen gehen nicht in Sättigung, das hilft dem Schutz bei hohen Kurzschlussströmen mit Gleichstromanteil. Solche Messwandler passen am besten zu Neubauten und zu gasisolierten Schaltanlagen (GIS), denn sie ersetzen die konventionellen Messwandler selbst. In gasisolierten Mittelspannungsschaltanlagen sind sie bereits verbreitet.

Manche Schutzgeräte senden Sampled Values aus ihren eigenen Wandlereingängen. So lassen sich an einem vorhandenen Wandlerkreis weitere Teilnehmer anschließen, ohne ihn neu zu verdrahten.

Schaltanlagenintegrierte Merging Units werden werkseitig in metallgekapselte Mittelspannungsschaltanlagen oder in ein GIS-Feld eingebaut. Die Verdrahtung ist bei Auslieferung fertig und geprüft.

Eine Merging Unit mit Binär-E/A enthält zusätzlich die Funktionen einer Remote-I/O. Sie spart ein Gerät je Feld und passt überall dort, wo ein Gerät im Feld messen und schalten soll.

Zeitsynchronisation: Warum Mikrosekunden zählen

Abbildung 6. Schutzgeräte paaren Abtastwerte über den Zählerstand. Ein Versatz von 1 ms zwischen zwei Merging Units erscheint als Differenzstrom, den es nicht gibt.

Ein Schutzgerät, das Ströme aus zwei Merging Units verrechnet, etwa ein Sammelschienenschutz (87B), geht davon aus, dass Werte mit gleichem Zählerstand im selben Moment entstanden sind. Das stimmt nur, wenn beide Merging Units im selben Moment zu zählen begonnen haben, und im SV-Telegramm gibt es nichts, woran das Schutzgerät einen Versatz erkennen könnte.

Die Toleranzen sind eng. Im 50-Hz-Netz entspricht ein Zeitfehler von 1 ms 18 elektrischen Grad, genug für einen deutlichen falschen Differenzstrom. Eine Mikrosekunde entspricht 0,018 Grad. Deshalb ist die Zeitgenauigkeitsklasse T5 nach IEC 61850, also ±1 µs, das Ziel für Prozessbusanwendungen.

Der Leitfaden 9-2LE ging ursprünglich von einem Sekundenimpuls (1PPS) über eigene Lichtwellenleiter aus. Heutige Konzepte verteilen das Precision Time Protocol (PTP, IEEE 1588) über den Prozessbus selbst, nach dem Power Utility Profile in IEC/IEEE 61850-9-3. In nordamerikanischen Spezifikationen taucht zusätzlich IEEE C37.238-2017 auf, das auf IEC/IEEE 61850-9-3 aufbaut und zusätzlich die Zeitungenauigkeit entlang des Pfads laufend überwacht. Beide Profile nutzen Layer-2-Multicast und das Peer-Delay-Verfahren. Um ±1 µs zu halten, sollte jeder Switch im Zeitpfad als Boundary Clock oder Transparent Clock arbeiten.

Auch die Teilnehmer brauchen diese Zeit. Ein Schutzgerät versieht seine Ereignismeldungen damit und prüft SmpSynch, bevor es einem Datenstrom vertraut, und eine PMU kann ohne Zeitbezug auf UTC keine Synchrophasoren bilden. Alle Merging Units und alle Anwendungen, die ihre Datenströme verrechnen, brauchen deshalb denselben PTP-Zeitbezug. Auch Remote-I/Os werden meist synchronisiert, damit ihre Ereignismeldungen konsistente Zeitstempel tragen. Für die Ausführung eines GOOSE-Befehls selbst ist die PTP-Zeit nicht nötig.

Planen Sie den Zeitverlust ein. Setzen Sie zwei Grandmaster mit unabhängigen GNSS-Antennen ein, räumlich getrennt und jeweils redundant an den Prozessbus angebunden; ein Rubidium-Oszillator verlängert die Zeit, die eine Uhr ohne GNSS-Signal genau bleibt. Prüfen Sie vor der Inbetriebnahme, dass die Zeitungenauigkeit im Netz tatsächlich unter 1 µs bleibt. Nach IEC 61869-9 geht eine Merging Unit, die ihre Referenz verliert, in den Holdover und meldet ihren Zustand über SmpSynch. Was dann passiert, hängt vom Schutzkonzept und von der Freigabe des Herstellers ab. Eine Funktion, die alle Eingänge aus einer Merging Unit bezieht, kann in der Regel weiterarbeiten. Für Funktionen, die Datenströme verschiedener Merging Units verrechnen, muss festgelegt sein, ob sie bei Verlust des gemeinsamen Zeitbezugs blockieren, in einen sicheren Zustand wechseln oder innerhalb einer spezifizierten Holdover-Zeit weiterarbeiten. Legen Sie das vor der Inbetriebnahme für jede Schutzfunktion fest.

Das Prozessbusnetzwerk: PRP, HSR und Datenverkehr

Abbildung 7. PRP sendet jedes Telegramm über zwei unabhängige Netze. Fällt in LAN A eine Verbindung aus, endet Kopie A an der Störstelle, und jeder Empfänger dahinter nutzt einfach Kopie B.

Am Prozessbus gehört das Ethernet-Netzwerk zum Schutzsystem. Verliert ein Switch SV-Telegramme, verliert das Schutzgerät seine Ströme, und deshalb verdient das Netzwerk dieselbe Sorgfalt bei der Redundanz wie die Stationsbatterie oder der Auslösekreis. Wie sich Prozessbus und Stationsbus in IEC 61850 insgesamt aufteilen, beschreibt unser Artikel zu IEC 61850 in der Stationsautomatisierung.

Parallel Redundancy Protocol (PRP, IEC 62439-3) ist die häufigste Antwort. Eine Merging Unit mit zwei Ports, ein Doubly Attached Node (DAN), sendet jedes Telegramm über zwei vollständig getrennte Netze, LAN A und LAN B. Der Empfänger behält die erste Kopie und verwirft das Duplikat, ein Fehler in einem LAN verursacht also weder eine Unterbrechung noch eine Umschaltzeit. Geräte mit nur einem Port, Singly Attached Nodes (SANs), werden über eine Redundancy Box (RedBox) angebunden. LAN A und LAN B dürfen nicht über gewöhnliche Switch- oder Bridge-Verbindungen miteinander gekoppelt werden; nur RedBoxes und ähnliche PRP-Geräte haben definierte Anschlüsse an beide Netze.

High-availability Seamless Redundancy (HSR) wendet dasselbe Prinzip auf einen Ring an und sendet jedes Telegramm in beide Richtungen. Das spart Switches, dafür liegt jeder Teilnehmer im Weiterleitungspfad.

Einige Regeln für den Datenverkehr gelten unabhängig von der Topologie:

• SV (EtherType 0x88BA) und GOOSE (EtherType 0x88B8) sind reine Ethernet-Telegramme ohne IP, IGMP-Snooping wirkt deshalb nicht auf sie. Begrenzen Sie den Multicast-Verkehr mit VLANs und statischer Multicast-Filterung.
• Versehen Sie SV und GOOSE mit einer hohen Priorität nach IEEE 802.1Q, damit sie nie hinter Massendaten warten.
• Planen Sie Bandbreite und Telegrammrate je Verbindung für den ungünstigsten Fall, einschließlich Multicast-Verteilung und Redundanz. Ein Gigabit-Uplink trägt viele SV-Datenströme, ein 100-Mbit/s-Port zu einem einzelnen Schutzgerät ist dagegen schneller voll, als viele erwarten.
• Halten Sie Stationsbusverkehr wie MMS, Engineering-Zugriffe und Dateiübertragungen vom Prozessbus fern oder trennen Sie ihn strikt.

Vorteile und Herausforderungen

Die Vorteile sind bekannt. Die Herausforderungen bekommen weniger Aufmerksamkeit und gehören von Anfang an in die Planung.

Zwei dieser Punkte verdienen einen genaueren Blick.

Zuerst die Prüfung. Ein Prüfer trennt ein konventionelles Schutzgerät, indem er an den Prüfklemmen Strom-, Spannungs- und Auslösekreise auftrennt. Ein Schutzgerät am Prozessbus hat keine solchen Kreise mehr, die Trennung wird logisch: Geräte nach IEC 61850 Edition 2 kennen die Betriebsarten Test und Test/blockiert, und SV- und GOOSE-Telegramme tragen eine Simulationskennung, sodass ein Prüfgerät Signale einspeisen kann, die nur ein Schutzgerät im Testmodus annimmt. Das funktioniert, und Prüfer werden es im Labor sehen wollen, bevor sie ihm bei der Inbetriebnahme vertrauen.

Die Prüfklemmen für die Wandlerkreise entfallen trotzdem nicht. Sie wandern aus dem Schutz- und Steuerschrank in den Freiluftschrank vor die Eingänge der SAMU. Dort lassen sich die Stromwandlerkreise bei Instandhaltung oder Tausch der SAMU gefahrlos kurzschließen und trennen, und ein Prüfgerät kann analog einspeisen. Prüfumfang und Prüfzyklen für Schutzeinrichtungen legen die Netzbetreiber in Deutschland weitgehend in eigenen Instandhaltungsvorgaben fest. Nehmen Sie Merging Units und Remote-I/O dort ausdrücklich auf, denn sie gehören zur Schutzkette.

Dann die Regulierung. Seit dem 6. Dezember 2025 ist das NIS-2-Umsetzungsgesetz in Kraft. Die IT-Sicherheitsanforderungen an Netzbetreiber stehen jetzt in § 5c EnWG, und die Bundesnetzagentur überarbeitet ihren IT-Sicherheitskatalog; bis der neue Katalog veröffentlicht ist, gelten die bisherigen Kataloge weiter. Merging Units und Remote-I/O sind Teil der digitalen Schutz- und Automatisierungskette. Berücksichtigen Sie sie deshalb samt Engineering-, Update- und Wartungsprozessen im Geltungsbereich und in der Risikoanalyse Ihres Managementsystems für Informationssicherheit (ISMS). Für die Hersteller kommt der Cyber Resilience Act der EU hinzu: Seit dem 11. September 2026 gelten seine Meldepflichten für aktiv ausgenutzte Schwachstellen, und ab dem 11. Dezember 2027 müssen neu in Verkehr gebrachte Produkte mit digitalen Elementen seine Anforderungen erfüllen. Fragen Sie in der Ausschreibung nach dem CRA-Fahrplan des Herstellers.

Merging Units und vPAC

Abbildung 8. Drei Generationen desselben Leitungsfelds mit denselben drei Kreisen: Auslösekreis, Stellungsmeldung und Stromwandlerkreis. In den beiden digitalen Zeilen sendet die SAMU Sampled Values, und die Remote-I/O empfängt die GOOSE-Auslösung. Zwischen diesen beiden Zeilen ändert sich nur, wo 21 und 50BF laufen.

Virtual Protection, Automation and Control (vPAC) verlagert Schutzfunktionen aus der Schutzgerätehardware in Software auf Stationsservern. Centralized Protection and Control (CPC) ist der Oberbegriff für den Schutz vieler Felder auf einer Plattform, ob virtualisiert oder nicht.

Schutzfunktionen auf einem Server haben weder Analogeingänge noch Kontakte. Alles, was sie über das Netz wissen, kommt als Sampled Values an, und jede Auslösung verlässt sie als GOOSE-Telegramm. Zwei Funktionen im Feld sind deshalb Voraussetzung für vPAC: eine Merging Unit für die Messseite und eine Remote-I/O für die Schaltseite. Das können getrennte Geräte sein wie in den Abbildungen 8 und 9 oder eine Merging Unit mit Binär-E/A. In jedem Fall rechnen Sie mit einem Satz je Feld, bei zweifachem Schutz mit zwei. Die Schutzfunktionen selbst, in Abbildung 8 der Distanzschutz (21) und der Schalterversagerschutz (50BF), laufen gemeinsam in einer virtuellen Maschine, so wie sie sich heute ein Schutzgerät teilen. Eine VM je Funktion ist weder nötig noch üblich.

Damit ändert sich, wie ein Umspannwerk wächst. Ein neues Feld bringt Schutzfunktionsinstanzen auf bereits installierten Servern und dazu eine Merging Unit und eine Remote-I/O im Feld. Diese Feldgeräte sind der Teil des Schutzsystems, der mit jedem Feld wächst, ihre Anzahl und Qualität bestimmen also einen großen Teil von Kosten und Zuverlässigkeit.

Abbildung 9. Eine vereinfachte vPAC-Architektur. Jedes Feld behält SAMU und Remote-I/O im Feld. Feldschutz, Sammelschienenschutz und das Gateway zur Netzleitstelle nach IEC 60870-5-104 laufen als drei VMs auf jedem der beiden redundanten Server.

Der Server braucht:

• einen Echtzeit-Kernel oder -Hypervisor mit deterministischem Scheduling und CPU-Isolation für die Schutzfunktionen,
• Netzwerkschnittstellen mit PTP-Zeitstempeln in Hardware,
• PRP-Unterstützung auf der Netzwerkkarte oder über eine RedBox,
• schnelle Paketverarbeitung, zum Beispiel über SR-IOV oder PCI-Passthrough, für Zehntausende SV-Telegramme pro Sekunde,
• eine Auslegung nach IEC 61850-3 für die Umgebung im Umspannwerk.

Heute im Einsatz sind KVM auf Echtzeit-Linux, etwa LF Energy SEAPATH oder RHEL RT, sowie VMware ESXi. SEAPATH ist ein europäisch geprägtes Open-Source-Projekt, das Netzbetreiber wie RTE und Alliander auch aus Gründen der Lieferkettensicherheit vorantreiben; seit 2026 gibt es zusätzlich eine von SUSE validierte Echtzeitvariante. Wie der gesamte Software-Stack aussieht, erklärt unser technischer Hintergrund zu vPAC, und wie die Begriffe zusammenhängen, zeigt unser Überblick zu vPAC, vPAC Alliance, LF Energy und SEAPATH.

Auch die Lebenszyklen entkoppeln sich, denn Server und Feldgeräte lassen sich unabhängig voneinander tauschen. Diese Trennung funktioniert aber nur, wenn die SV- und GOOSE-Schnittstellen genormt und im Lastenheft sauber festgelegt sind.

Was Welotec und Westermo beitragen

Welotec, Teil der Westermo-Gruppe, ist Mitglied der vPAC Alliance. Gemeinsam liefern Welotec und Westermo die Netzwerk- und Rechnerebene zwischen der Merging Unit und der Schutzanwendung.

Für den Prozessbus bietet der Westermo RedFox-5728 28 Gigabit-Ports, davon 24 SFP, und ist nach IEC 61850-3 und IEEE 1613 Klasse 2 zertifiziert. Er unterstützt IEEE 1588v2 PTP und leitet mit dem aktuellen WeOS PRP-, GOOSE-, SV- und MMS-Verkehr transparent weiter, eignet sich also als Switch innerhalb von LAN A oder LAN B. Das Duplizieren und das Verwerfen der Duplikate übernehmen die Endgeräte oder eine RedBox.

Für die Rechnerebene ist der Welotec RSAPC Mk2 ein lüfterloser 19-Zoll-Rechner mit 2 HE, zertifiziert nach IEC 61850-3 und IEEE 1613. Er arbeitet von −40 °C bis +70 °C, nutzt Intel-Xeon-Prozessoren der 11. Generation und hat ein TPM 2.0. Zu den Betriebssystemoptionen gehören ein vorinstalliertes LF Energy SEAPATH, RHEL for Real Time mit Red-Hat-Zertifizierung und VMware ESXi.

Für die PRP-Anbindung von Servern verbindet die Welotec HSR/PRP Time-aware RedBox-DAN PCIe-Netzwerkkarte einen Stationsserver mit LAN A und LAN B und arbeitet dabei als PTP Ordinary Clock oder Boundary Clock.

Checkliste für das Lastenheft einer Merging Unit

Bevor ein Lastenheft für Merging Units in die Ausschreibung geht, sollte es diese Punkte abdecken:

• SV-Profil: IEC 61850-9-2LE, IEC 61869-9 oder beides, mit Abtastraten und Datensätzen, für Neuanlagen vorzugsweise IEC 61869-9; im 50-Hz-Netz ausdrücklich 4.000 oder 4.800 Werte pro Sekunde nennen
• Eingänge: Stromwandler mit 1 A oder 5 A, Spannungswandler mit 100/√3 V, die e-n-Wicklung mit 100/3 V oder Kleinsignal-Messwandler (LPIT), dazu die Anzahl der Analogeingänge, etwa wenn ein Gerät zwei Felder oder Schutz- und Messkern zugleich erfasst
• Genauigkeitsklasse für den Schutz und, wo nötig, ein eigener Messdatenstrom von einem Messkern
• Erdschlusserfassung: Verlagerungsspannung im Datensatz, Freigabe der gewünschten Verfahren im gelöschten Netz und die dafür nötige Abtastrate
• Zeitsynchronisation: PTP nach IEC/IEEE 61850-9-3, Dauer des Holdovers und Verhalten von SmpSynch
• Redundanz: PRP, HSR oder beides und die Porttypen
• Schnittstellen: getrennte Ports für Prozessbus und für Engineering und Firmware-Updates, damit Engineering-Verkehr den Prozessbus nicht belastet
• Binär-E/A, falls die Merging Unit auch schalten soll: Anzahl der Meldeeingänge und Auslöseausgänge, ihre Bemessung für 110 oder 220 V DC und die Auslösekreisüberwachung
• Prüfklemmen: Wandlertrennklemmen und Prüfsteckdosen für Strom- und Spannungswandlerkreise im Freiluftschrank vor der SAMU
• Umgebung: IEC 61850-3 und ein Temperaturbereich, der zum Freiluftschrank passt
• Prüfung: Testmodus und Simulationskennung nach IEC 61850 Edition 2
• IT-Sicherheit: IEC 62351-6, rollenbasierter Zugriff, Protokollierung sicherheitsrelevanter Ereignisse (IEC 62351-14), signierte Firmware-Updates und der CRA-Fahrplan des Herstellers
• Interoperabilität: Prüfnachweise mit den geplanten Schutzgeräten oder der vPAC-Plattform
• Engineering: vollständige SCL-Dateien (ICD und CID) und ein brauchbares Konfigurationswerkzeug

Von Kupfer zu Code

Eine Merging Unit sieht aus wie ein kleiner Kasten im Freiluftschrank. Von ihrer Spezifikation hängt ab, wie genau Ihre Messwerte sind und wie weit Ihr Schutz in die Software wandern kann. Wer diese Ebene richtig auslegt, macht alles darüber leichter, vom Netzwerk bis zur Schutzsoftware.

Glossar Deutsch/Englisch

Viele Unterlagen zu Merging Units erscheinen nur auf Englisch. Die Tabelle ordnet die Begriffe dieses Artikels den in nordamerikanischen Unterlagen üblichen englischen Begriffen zu.