IEC-60870-Befehle: Auswahl, Ausführung und Bestätigung

Eine Leitstelle sendet einen Doppelbefehl, um den Leistungsschalter CB-1 zu öffnen. Die RTU antwortet mit einer positiven Aktivierungsbestätigung. Das Leitsystem markiert den Schalter als geöffnet. Sein Doppelpunktstatus zeigt jedoch weiterhin „geschlossen“, weil eine Verriegelung im Schalter die Auslösung verhindert hat, nachdem die RTU den Befehl angenommen hatte. Die Bestätigung war richtig; ihre Deutung im Leitsystem war falsch.

In IEC 60870-5-101 und -104 sind Transportquittung, Befehlsbestätigung, Aktivierungsabschluss und tatsächlicher Anlagenzustand getrennte Nachrichten. Diese Anleitung verfolgt einen Befehl durch alle Phasen und benennt, was jede Nachricht belegt.

Diese Anleitung gehört zur Reihe über IEC 60870 und IEC 61850.

Phasen eines Befehls

Die Außenstation spiegelt die Befehls-ASDU in ihren Antworten. Typ, gemeinsame Adresse, Objektadresse und Befehlswert bleiben gleich; nur Ursache und P/N-Bit ändern sich. Anhand dieser Felder ordnet der Empfänger Antworten den Befehlen zu.

Direktes Ausführen und Select-before-operate

Einzelbefehle (Typ 45), Doppelbefehle (Typ 46) und Sollwerte (Typen 48, 49 und 50: normiert, skaliert und kurzer Gleitkommawert) können auf zwei Arten gesendet werden. Das S/E-Bit in Bit 8 des Befehlsqualifikator-Bytes (SCO, DCO oder QOS) bestimmt den Modus: 1 bedeutet Auswahl, 0 Ausführung.

Bei direkter Ausführung geht eine einzige Nachricht mit nicht gesetztem S/E-Bit ab. Die Außenstation prüft den Befehl und führt ihn unmittelbar aus.

Bei Select-before-operate (SBO) ist in der ersten Nachricht das S/E-Bit gesetzt. Die Außenstation prüft den Befehl, reserviert den Punkt und bestätigt mit Ursache 7. Die zweite Nachricht enthält denselben Befehl mit nicht gesetztem S/E-Bit. Die Außenstation führt ihn nur aus, wenn Objektadresse und Wert der Auswahl entsprechen. Bei einer Abweichung sendet sie eine negative Bestätigung.

SBO prüft, ob der Ausführungsbefehl zum ausgewählten Objekt und Befehlswert passt und vor Ablauf der Auswahl eintrifft. Dieser Austausch allein garantiert keinen Schutz vor fehlgeleiteter oder durch Datenfehler ausgelöster Betätigung. Steuerhoheit am Standort, Verriegelungen und Anlagenrückmeldungen sind separate Prüfungen, die für die Anlage projektiert und verifiziert werden müssen. Die Außenstation kann Verriegelungen und den Ort/Fern-Schalter während der Auswahl prüfen; diese Prüfungen hängen jedoch von ihrer Implementierung und Konfiguration ab.

Das Auswahlzeitlimit ist eine Einstellung der Außenstation und variiert stark. Der IEC-104-Server von PcVue verwendet standardmäßig 5 s. Beim ABB-Relais RER620 beträgt der Standardwert 30 s; einstellbar sind 1 bis 65 s. Trifft die Ausführung nach Ablauf des Zeitlimits ein, ist die Auswahl verfallen und die Außenstation lehnt sie ab.

Um eine ausstehende Auswahl aufzuheben, sendet die Leitstelle denselben Befehl mit Ursache 8 (Deaktivierung). Die Außenstation antwortet mit Ursache 9 (Deaktivierungsbestätigung). Nicht jede Außenstation unterstützt das Deaktivieren von Befehlen; prüfen Sie die Interoperabilitätsliste. Manche Außenstationen lehnen auch eine zweite Auswahl für einen bereits ausgewählten Punkt ab.

Prüfen Sie die Fernwirkspezifikation des Netzbetreibers und die Interoperabilitätsliste auf den geforderten Modus. SBO ist bei Leistungsschalter- und Trennschalterbefehlen üblich. Tragen Sie den Modus für jeden Befehlspunkt in die Punktliste ein.

Befehlsqualifikatoren

Einzel- und Doppelbefehle tragen einen Befehlsqualifikator (QU) in Bit 3 bis 7 desselben Bytes:

Die Dauer des kurzen und langen Impulses ist jeweils ein Systemparameter der Außenstation und wird nicht in der Nachricht übertragen. QU 0 ist üblich; das Verhalten des Ausgangs ist für die Leitstelle dann oft nicht erkennbar. Dokumentieren Sie den tatsächlichen Ausgang jedes Punkts in der Punktliste.

Ein Doppelbefehl verwendet den zwei Bit breiten Doppelbefehlszustand (DCS): 1 bedeutet Aus, 2 Ein. Die Werte 0 und 3 sind unzulässig und werden von Außenstationen abgelehnt. Ein einzelner Bitfehler im DCS erzeugt dadurch einen abgelehnten Befehl statt des gegenteiligen Befehls. Ein Einzelbefehl hat diesen Schutz nicht, weil sein einziges Bit zwischen Aus und Ein wechselt. Wie die Außenstation einen Doppelbefehl auf Relais verdrahtet, etwa auf getrennte Öffnungs- und Schließspulen, ist eine Implementierungsfrage und nicht Teil des Protokolls.

Durchgerechneter SBO-Ablauf

Die Leitstelle schließt einen Leistungsschalter mit einem Doppelbefehl über IEC 104. Gemeinsame Adresse ist 12, Objektadresse 2001 (hexadezimal D1 07 00, niederwertigstes Byte zuerst), QU 1 steht für einen kurzen Impuls. Der Schalterstatus liegt als Doppelpunkt unter Objektadresse 1001, Typ 31 mit CP56Time2a-Zeitmarke. In diesem Beispiel hat die RTU ein Auswahlzeitlimit von 30 s und einen kurzen Impuls von 500 ms.

Das Ursachenbyte enthält auch das P/N-Bit (hexadezimal 40) und das Testbit (hexadezimal 80). Eine abgelehnte Ausführung kommt daher mit Ursachenbyte 47 statt 07 zurück. Ein Befehl an eine der RTU unbekannte Objektadresse kommt als 6F zurück (Ursache 47 mit gesetztem P/N-Bit).

Beachten Sie die Reihenfolge: Bei dieser RTU trifft der Statuswechsel vor dem Aktivierungsabschluss ein, weil der Schalter während des Impulses geschlossen hat. Bei einer anderen RTU oder einem dauerhaften Ausgang kann der Abschluss zuerst eintreffen. Die Zuordnung muss beide Reihenfolgen zulassen.

Ablehnungen und Zeitüberschreitungen

Eine negative Bestätigung ist eine eindeutige Antwort: Die Außenstation hat den Befehl abgelehnt und nichts ausgeführt. Das Protokoll nennt den Grund nicht. Das Handbuch des ABB RER620 nennt mögliche Gründe: falsche Steuerrichtung, DCS 0 oder 3, ein nur als Status konfigurierter Punkt, eine Verriegelung im Schalter oder fehlende Fernsteuerfreigabe. Keiner davon hat einen eigenen Protokollcode; alle erscheinen als negative Ursache 7. Der Grund steht nur im Ereignisprotokoll der Außenstation.

Die Ursachen 44 bis 47 sind andere Fälle: Die Außenstation kennt Typ, Ursache, gemeinsame Adresse oder Objektadresse nicht. Hersteller wenden sie unterschiedlich an. Das RER620 beantwortet etwa einen Einzelbefehl an einen Doppelpunkt mit Ursache 47, obwohl die Objektadresse existiert.

Eine Zeitüberschreitung lässt das Ergebnis offen. Die Außenstation könnte den Befehl ausgeführt haben, während ihre Antwort verloren ging. Lesen Sie vor einem erneuten Versuch den Statuspunkt und die zugehörigen Messwerte. Wiederholen Sie einen Befehl nicht automatisch.

Master-Implementierungen unterscheiden diese Fälle. Der IEC-60870-5-10x-Treiber von Beckhoff meldet negative Bestätigung (IEC870_COMMERR_NEGACTCON), unbekannte Objektadresse (IEC870_COMMERR_UNKNOWNOBJADDR), Auswahl-/Ausführungszeitüberschreitung (IEC870_COMMERR_SELEXECTIMEOUT) und fehlenden Aktivierungsabschluss (IEC870_COMMERR_ACTTERMTIMEOUT) getrennt. Das Leitsystem sollte sie ebenfalls getrennt protokollieren.

Bei IEC 104 sind Verbindungsquittierungen und anwendungsseitige Befehlszeitlimits getrennt. Quittiert die RTU einen I-Frame nicht innerhalb von t1 (standardmäßig 15 s), schließt der Sender die Verbindung. Ein I-Frame der RTU, etwa die Aktivierungsbestätigung, quittiert in seiner Empfangssequenznummer. Hat die RTU keinen I-Frame zu senden, sendet sie nach w empfangenen Frames (standardmäßig 8) oder nach t2 (standardmäßig 10 s) einen S-Frame. Eine S-Frame-Quittierung bestätigt weder die Befehlsannahme (ACTCON) noch den Abschluss (ACTTERM). Legen Sie diese Anwendungszeitlimits anhand der dokumentierten Antworten der Unterstation und der Betriebszeiten der Anlage fest, nicht allein anhand von t1. Bei Select-before-operate muss der Ausführungsbefehl die RTU erreichen, bevor ihre Auswahl abläuft. Senden Sie nach einer Wiederverbindung eine Generalabfrage und lesen Sie den Status, bevor Sie über den letzten Befehl urteilen. Die Anleitung zu IEC 101 und 104 erklärt k, w und die Timer.

Befehle mit Zeitmarke

IEC 104 ergänzt die Befehlstypen 58 bis 64 mit CP56Time2a-Zeitmarke. Typ 58 ist beispielsweise ein Einzelbefehl, Typ 59 ein Doppelbefehl mit Zeitmarke. Eine Außenstation, die diese Typen unterstützt, vergleicht die Zeitmarke mit ihrer eigenen Uhr und kann einen Befehl ablehnen, wenn er älter als die konfigurierte Höchstgrenze ist. Eine abweichende Uhr oder langsame Verbindung kann so Befehle scheitern lassen. Vereinbaren und testen Sie das Höchstalter, die Zeitquelle und das Verhalten der Außenstation bei einem alten Befehl.

Tatsächlichen Zustand prüfen

Der Anlagenzustand kommt über einen getrennten Überwachungspunkt zurück: bei einem Leistungsschalter als Doppelpunktstatus (Typ 31 mit Zeitmarke), bei einem Sollwert als Messwert. Ursache 11 bedeutet „Rückmeldung aufgrund eines Fernbefehls“, Ursache 12 eine Änderung durch einen lokalen Befehl. Ordnen Sie Befehl und Änderung anhand der Zeitmarke der Außenstation und nicht anhand der Empfangszeit. Die Anleitung zu Zeitstempeln und Qualität erklärt CP56Time2a.

Der Statuspunkt belegt nur, was die Kontakteingänge der Außenstation melden. Prüfen Sie bei einem Sollwert oder Lastschalter zusätzlich eine Prozessmessung: Der Strom sinkt, die Leistung ändert sich oder die Frequenzantwort folgt dem Sollwert. Die Anleitung zur BESS-Befehlsprüfung wendet dies auf Batterie-Sollwerte an.

Steuerbefehle sicher in Betrieb nehmen

1. Vereinbaren Sie für jeden Befehlspunkt mit dem Anlagenbetreiber Typ, Modus (direkt oder SBO), QU-Wert und tatsächliche Impulsdauer, ob ACTTERM gesendet wird, Auswahlzeitlimit, Rückmeldepunkt und dessen Ursachen.
2. Halten Sie diese Angaben in Interoperabilitäts- und Punktliste fest. Die Interoperabilitätsliste des ABB REC 523 hat beispielsweise getrennte Einträge für direkte und Auswahl-/Ausführungsbefehle, „ACTTERM verwendet“ und jeden QU-Wert.
3. Testen Sie zuerst mit einem Simulator. Prüfen Sie negative Bestätigung, unbekannte Objektadresse, verfallene Auswahl, Deaktivierung und Verbindungsverlust zwischen Auswahl und Ausführung.
4. Testen Sie vor Ort jeweils nur einen Befehl, im Beisein des Anlagenbetreibers und bei sicherem Anlagenzustand.
5. Protokollieren Sie jeden Frame mit Zeit, Ursachenbyte, P/N-Bit, Objektadresse und Wert sowie dem physischen Ergebnis.
6. Starten Sie beide Enden nacheinander neu und prüfen Sie, dass keine Auswahl und kein Befehl unerwartet einen Neustart überdauert.

Die Anleitung zur lokalen Steuerung nennt die Fehlerfälle, die für jede automatische Steuerung einzuplanen sind.

Fernwirken und EpiSensor-Systeme

Edge implementiert IEC 60870-5 nicht. Wenn ein Netzbetreiber einen Standort über eine Fernwirk-RTU steuert, führt die RTU diese Befehle aus und meldet ihren Status.

Ein EpiSensor-Zähler im selben Stromkreis liefert für die letzte Prüfphase eine unabhängige Messung: Strom und Leistung nach dem Befehl, aufgezeichnet von Edge. Sie hängt nicht von den Kontakten oder Zeitmarken der RTU ab.

Ein ZDR-Lastmanagementregler reagiert lokal auf die Netzfrequenz, über sein eigenes Relais oder einen Modbus-Sollwert. Seine Aktionen erscheinen nicht im Befehlsprotokoll der RTU. Können RTU und ZDR dieselbe Last schalten, müssen sie getrennte Ausgänge haben und die Priorität muss vereinbart sein.