Ein vollständiger Leitfaden für Tests für Energiesysteme Ingenieur:innen

Wichtigste Erkenntnisse

• Die Schutzeinstellungen werden überprüft, bevor ein DER-Regler in den Regelkreis eintritt; daher ist eine Koordinationsreserve, die sich beim zweiten Durchlauf verschiebt, ausschließlich auf den DER zurückzuführen und auf nichts anderes.
• Die Zuständigkeiten für die einzelnen Phasen und die versionsverwalteten Übergabepakete zwischen Planung, Schutztechnik und Betrieb entscheiden darüber, wie weit ein HIL-Programm eines Energieversorgers tatsächlich kommt.
• Durch die Ausführung von IEC 61850 und IEEE C37.118 auf einem einzigen Netzmodell können die Gruppen in der Schutz- und Leitwarte einen einzigen Ereignisdatensatz auslesen, anstatt zwei Rekonstruktionen.

Versorgungsunternehmen erhalten zuverlässigen Schutz und Lösungen für den Netzanschluss dezentraler Energiequellen (DER), wenn „ hardware “ in den Prozess einbezogen wird und „ Tests “ als aufeinander aufbauendes Programm statt als eine Reihe isolierter Laborversuche durchgeführt wird.

Die Warteschlange wird immer länger. Ende 2025 warteten in den Vereinigten Staaten rund 2.060 GW an Erzeugungs- und Speicherkapazitäten aktiv auf einen Netzanschluss. Jedes Projekt wird schließlich zu einer Einstellung, die überprüft werden muss, zu einem Modell, das validiert werden muss, oder zu einem Regler, der akzeptiert werden muss. Die Prüfzeit lässt sich nicht in gleichem Maße skalieren wie die Warteschlange, sodass die Reihenfolge der Vorgänge zur einschränkenden Größe wird.

Eine Relaisbank beantwortet Fragen zu einem einzelnen Gerät. Ein HIL-Workflow für den Betrieb beantwortet Fragen zu einer Studie, die in der Planungsphase begann, über die Schutztechnik führte und mit der Inbetriebnahme einer neuen Einspeisungsquelle durch den Betrieb endet. Ein einziges Simulationsmodell deckt alle drei Aspekte ab, und die korrekte Abwicklung der Übergänge trägt mehr zur Einhaltung des Zeitplans bei als jeder einzelne ausgeklügelte Testfall.

Was ein HIL-Programm für Versorgungsunternehmen über einen einfachen Relaistest hinaus abdeckt

Ein HIL-Programm für Versorgungsunternehmen deckt vier Aspekte ab, die bei einem einzelnen Relaistest nicht berücksichtigt werden. Es validiert das Netzmodell, die darauf angewendeten Schutzparameter, die Reaktionen der dezentralen Energiequellen-Steuerung (DER) bei demselben Fehlerfall sowie die Betriebsabläufe nach einer Auslösung. Alle vier Aspekte werden anhand einer einzigen Echtzeitsimulation derselben Zuleitung geprüft.

Eine Gruppe für die Verteilungsplanung beginnt in der Regel mit einer Kurzschlussstudie einer 12,47-kV-Zuleitung, an die eine neue 5-MW-Solaranlage angeschlossen ist. Daraus geht hervor, dass der Fehlerstrom am Wiedereinschalter sinkt, sobald die Anlage in Betrieb ist. Um dies in ein Referenzszenario umzusetzen, muss die Zuleitung als elektromagnetisches Transientenmodell nachgebildet werden. Dabei werden die Steuerung des Wiedereinschalters und das Relais der Anlage in den Regelkreis eingebunden, um anschließend die Fehlerfälle sowohl bei online als auch bei offline geschalteter Anlage zu simulieren.

Diese vier Ziele weisen unterschiedliche Fehlermuster auf und gehören verschiedenen Personen. Ein Modellfehler äußert sich in einem Fehlerstrom, der nicht mit den Feldmesswerten übereinstimmt. Ein Einstellungsfehler äußert sich darin, dass ein Relais zwar korrekt, aber zu langsam auslöst. Ein Reglerfehler tritt nur dann auf, wenn die dezentrale Energiequelle (DER) einen Spannungseinbruch übersteht. Wenn man all dies auf einem Prüfstand testet, lassen sich diese Fehler voneinander unterscheiden.

Validierung des Sequenzschutzes und Netzanbindung dezentraler Energiequellen auf einem Prüfstand

Die Validierung der Schutzfunktionen hat Vorrang vor der Validierung der DER-Anbindung, da die DER-Fälle auf bereits erprobten Einstellungen basieren. Würde man die Reihenfolge umkehren, würde jedes DER-Ergebnis auf einer ungeprüften Annahme hinsichtlich der Einstellungen beruhen, und ein fehlgeschlagener Fall würde keinen Aufschluss darüber geben, auf welcher Ebene der Fehler aufgetreten ist.

Stellen Sie sich ein Umspannwerk vor, bei dem eine neue 20-MW-Batterieanlage hinter demselben 25-kV-Sammelschienenpunkt liegt wie drei bestehende Abzweige. In der Schutzsimulation werden Nah- und Fernfehler gegen die Sammelschienen-Differentialschutz- und die Abzweig-Überstromschutzelemente ohne Beitrag der dezentralen Energiequellen (DER) durchgespielt, wodurch bestätigt wird, dass die Koordinationsreserven eingehalten werden. Erst nachdem dieser Durchlauf erfolgreich abgeschlossen ist, wird der Batterieregler in den Regelkreis eingebunden. Jede Margenverschiebung, die beim zweiten Durchlauf auftritt, ist auf die dezentrale Energiequelle (DER) zurückzuführen – was den zusätzlichen Tag an Testzeit rechtfertigt.

„Die Validierung der Schutzmaßnahmen hat Vorrang, die Validierung des Netzanschlusses dezentraler Energiequellen (DER) kommt an zweiter Stelle, da die DER-Fälle von bereits erprobten Einstellungen abhängen.“

Wem gehört die jeweilige Etappe und was wird zwischen den Gruppen weitergegeben?

Die Planungsabteilung ist für das Netzwerkmodell zuständig, die Schutztechnik für die Einstellungen und die Fehlerkonstellationen und der Betrieb für die Abnahmekriterien und die Umschaltverfahren. Jede Gruppe übergibt der nächsten ein definiertes Paket statt einer einfachen Dateiübertragung, und genau an diesen Übergabepunkten kommen HIL-Programme von Versorgungsunternehmen in der Regel ins Stocken.

Ein praktikables Übergabepaket zwischen diesen Gruppen umfasst fünf Punkte.

• Das validierte Netzmodell mit Quellenimpedanzen und Leitungsparametern, die an die Feldmessdaten angepasst wurden
• Die vereinbarte Fehlerliste mit Angabe von Orten, Arten und Dauer, die vor Beginn der Prüfzeit genehmigt wurde
• Die Relais-Einstellungsdatei genau so, wie sie in das Feldgerät geladen wird
• Die Konfiguration des DER-Reglers einschließlich der Ride-Through-Kurven und der zu testenden Firmware-Version
• Die Prüfkriterien, ausgedrückt als Messgrößen wie Auslösezeit und Spannungswiederherstellung

Die Firmware-Version ist der Punkt, der am häufigsten außer Acht gelassen wird, und genau dieser Punkt sorgt für die schlimmsten Überraschungen. Eine Einstellungsdatei, die im März noch einwandfrei funktionierte, verhält sich auf einem Gerät, das im Juli mit einer neueren Version ausgeliefert wurde, anders. Die Planung ist dem Upstream-Bereich dieselbe Rücksichtnahme schuldig und muss die verwendete Quellenimpedanz weitergeben, damit die Schutztechnik später keinen Fehlerstrom rückentwickeln muss.

„Jede Gruppe übergibt der nächsten ein festgelegtes Paket anstelle einer einfachen Dateiübertragung, und genau an diesen Übergabepunkten kommen HIL-Programme in der Regel ins Stocken.“

Wo sich die Leistungs hardware -in-the-Loop-Methode in das HIL-Regelsystem einfügt

Der Hauptunterschied zwischen Power- hardware -in-the-Loop und Controller- hardware -in-the-Loop besteht darin, was die Schnittstelle überquert. Beim Controller-HIL werden Low-Level-Signale und Nachrichten mit einem Relais oder einer Steuerung ausgetauscht, während beim Power-HIL tatsächliche Strom- und Spannungswerte über einen Verstärker in physische Geräte geleitet werden. Energieversorger setzen beide Verfahren in unterschiedlichen Phasen ein.

Die Abnahmeprüfung von Relais und DER-Steuerungen erfolgt fast ausschließlich über HIL-Steuerungen. Ein Schutz Ingenieur:innen , das ein Distanzelement validiert, sendet analoge Sekundärgrößen und Statuspunkte an das Relais und liest anschließend den Auslösekontakt zurück. Power-HIL kommt zum Einsatz, wenn das zu prüfende Bauteil echte Leistung liefert oder aufnimmt, wie beispielsweise ein vollwertiger Umrichter, bei dem das Verhalten unter Last untersucht werden soll.

Die Kosten entscheiden über die Aufteilung. Für Power-HIL sind ein auf die Anlage abgestimmter Verstärker sowie Sicherheitsverriegelungen und Stellfläche erforderlich, weshalb die meisten Energieversorger über einen leistungsfähigen Schaltbereich und mehrere Steuerungsplätze verfügen. Die meisten Fragen zu Schutzmaßnahmen und dezentralen Energiequellen (DER) werden auf Signalebene geklärt.

Wie IEC 61850 und IEEE C37.118 den Datenverkehr von Relais und PMUs übertragen

IEC 61850 überträgt den Schutzdatenverkehr und IEEE C37.118 den Synchrophasor-Datenverkehr. GOOSE-Nachrichten übertragen Auslöse- und Sperrsignale innerhalb von Millisekunden zwischen dem Simulator und dem Relais, Abtastwerte übertragen die digitalisierten Strom- und Spannungswerte, und C37.118 überträgt zeitgestempelte Phasoren an die zu testende Weitbereichsanwendung.

Eine um einen Prozessbus herum aufgebaute Schaltanlage sorgt für einen übersichtlichen Aufbau des Prüfstands. Der Simulator übermittelt Abtastwerte an diesen Bus, das Relais abonniert diese genau wie im Feld, und das GOOSE-Auslösesignal wird an den Simulator zurückgesendet, um den modellierten Leistungsschalter zu öffnen. An der Relaiskonfiguration ändert sich zwischen Prüfstand und Schaltanlage nichts – und genau darum geht es.

Der PMU-Datenverkehr erfüllt auf derselben Plattform einen anderen Zweck. Mit C37.118-Streams können Sie eine Störung oder eine DER-Auslösung in einem Zustandsschätzer nachstellen und sehen, was das Personal in der Leitwarte gesehen hätte. „ HYPERSIM “ enthält das Netzmodell, während diese beiden Protokollstacks die Relais- und PMU-Schnittstellen übernehmen, sodass die Schutz- und Betriebstechnik ein einziges Ereignis lesen und nicht zwei Rekonstruktionen davon.

Häufige Fehlerarten, die erst in einer späten Phase von HIL-Programmen für Versorgungsunternehmen zutage treten

Fehler, die erst spät auftreten, sind auf Einstellungen zurückzuführen, die nie anhand der Leistungsfähigkeit der Geräte überprüft wurden, auf Modelle, die nicht den tatsächlichen Gegebenheiten entsprechen, und auf Übergaben, bei denen eine Versionsnummer verloren gegangen ist. Alle drei Fehler lassen sich im Labor kostengünstig erkennen, sind aber nach der Inbetriebnahme nur mit hohem Aufwand zu beheben.

Am deutlichsten wird dies anhand der Schutzeinstellungen der Wechselrichter. Ein einzelner 500-kV-Phasen-Erdungsfehler im März 2024 führte zu einem Ausfall von 1.046 MW Solar- und Windleistung in 28 Anlagen im Western Interconnection, und die anschließende Überprüfung ergab, dass weniger als ein Drittel der gemeldeten Wechselrichtereinstellungen der tatsächlichen Leistungsfähigkeit der Anlagen entsprachen. Ein Ride-Through-Test im Vergleich zum tatsächlichen Regler zeigt sofort, ob eine Einheit bereits deutlich innerhalb ihrer Nennbelastbarkeit ausfällt.

Modellabweichungen treten erst später zutage und verursachen dann umso größere Schäden. Eine zu optimistisch simulierte Quellenimpedanz führt dazu, dass alle auf dem Prüfstand nachgewiesenen Koordinationsreserven in dieselbe Richtung falsch sind – und das merkt man erst, wenn ein echter Fehler auftritt. Versionsabweichungen sind der dritte Punkt. Eine Einstellungsdatei, eine Controller-Konfiguration und ein Firmware-Build haben jeweils eine eigene Version, und ein Programm, das nicht alle drei erfasst, validiert etwas, das im Feld niemals zum Einsatz kommt.

Sicherstellen, dass der Arbeitsablauf über aufeinanderfolgende Projektzyklen hinweg funktioniert

Ein HIL-Workflow für Versorgungsunternehmen bewährt sich über Jahre hinweg, wenn das Modell, die Fehlermenge und die Bestehenskriterien als feste Bestände und nicht als Projektreste gepflegt werden. Jede neue Netzanbindung beginnt dann auf einer validierten Grundlage statt mit einer Neuentwicklung, wodurch sich der Zeitaufwand für Testläufe pro Projekt verringert.

Versorgungsunternehmen, die dies richtig umsetzen, führen nicht mehr Tests durch. Sie führen dieselben Tests anhand eines Modells durch, das immer besser wird, mit Übergabepaketen, die Versionsnummern enthalten, und einem gemeinsamen Ereignisprotokoll. Diese Disziplin zahlt sich bereits im zweiten Jahr aus, wenn die Bearbeitung eines neuen DER-Antrags nur noch zwei Wochen statt zwei Monate dauert.

Das ist das Argument dafür, das Programm auf einer einzigen Simulationsplattform aufzubauen, anstatt auf einer Reihe voneinander getrennter Teststände. OPAL-RT-Anwender kommen in der Regel mit einer Frage zu Relais und bleiben, weil dasselbe Modell und dieselben Protokollschnittstellen auch die nächsten Fragen beantworten. Der Mehrwert liegt nicht in einem einzelnen Test. Er liegt darin, dass man nicht bei jedem Projektstart die Grundlage neu aufbauen muss.