软件定义保护与控制：变电站 PAC 如何摆脱专用硬件

核心判断：软件定义 PAC 的关键不是“把继电保护搬进虚拟机”，而是让保护、自动化与控制功能拥有可移植、可部署、可验证和可持续维护的软件生命周期。虚拟化只是实现手段；实时性、高可用、工程一致性、安全隔离和变更验证，才决定它能否进入生产系统。

传统变电站通常把一种或一组功能固化在专用智能电子设备（IED）中。设备、固件、通信接口和工程工具彼此绑定，可靠性边界清楚，却也带来设备型号繁多、备件分散、升级缓慢和跨厂商工程困难。

软件定义保护、自动化与控制（Protection, Automation and Control，PAC）试图改变的，是功能与计算硬件之间的关系：应用不再必须依附某一台专用设备，而能在满足约束的通用平台上部署和迁移。CIGRE 将这种方向讨论为虚拟 IED 和虚拟化 PAC，并特别把接口、服务器结构、配置、测试和维护列为需要共同解决的问题。

若要沿着 Siemens 产品和原始架构图阅读这条路线，可先看《西门子变电站自动化架构图谱：从 SICAM PAS 到 SIPROTEC V》。

一、先分清目标和手段

现场材料反复出现 FIH（Function Independent from Hardware，功能独立于硬件）。它描述的是目标状态，不是一种具体产品：

• PAC 功能拥有明确的软件包、资源需求和接口契约；
• 功能可以在合格硬件平台之间迁移，而不是随设备退役一起重做；
• 平台升级与保护逻辑变更可以被区分、评估和验证；
• 工程配置、版本、测试证据和运行状态能够贯穿全生命周期。

虚拟机、容器、实时 Linux、边缘服务器和集群是实现这一目标的候选手段。两者不能画等号：把旧应用封装进虚拟机，如果接口、许可、工程工具和验证仍锁在单一硬件上，只完成了部署形态变化，并没有实现真正的功能独立。

二、一套可落地的分层架构

这套架构可以拆成五层，依赖方向应尽量由上向下保持清楚：

层级	主要责任	不能向上泄漏的复杂性
一次设备与过程接口	采集电流、电压和开关状态，执行跳合闸	具体传感器或执行器差异
网络、时间与数据模型	确定性传输、时钟同步、IEC 61850 语义	私有点表和临时映射
实时高可用平台	隔离、调度、资源监控、冗余与故障恢复	服务器型号和虚拟化细节
PAC 应用	保护、间隔控制、站级自动化、录波与监测	平台管理逻辑
工程与运维治理	配置、版本、测试、安全、部署与回滚	人工不可追溯的现场修改

最容易被低估的是最上面的治理层。专用 IED 时代，一次固件升级通常对应一台设备；服务器化以后，一个平台变更可能影响多个功能实例。系统因此需要更精细的影响分析、分区升级、自动化回归和回滚机制。

三、Siemens Energy：从参考架构和工程生命周期切入

Siemens Energy 的公开 Noedra Node 资料把重点放在变电站数字化的协调层：感知、分析、保护、自动化与控制被组织进同一套 Node 生态，同时强调 PAC 工程与集成服务从概念设计延伸到投运。

结合现场材料，可以把这条路线概括为三点：

1. 先定义参考架构：区分现场接口、边缘计算、服务器化应用和站级工程环境。
2. 把工程平台放到核心位置：应用模型、配置、测试和部署不是产品附件，而是跨生命周期的主线。
3. 保留渐进迁移路径：专用 IED、服务器化 PAC 和虚拟化应用可以在同一站内共存，避免一次性替换全部二次系统。

这条路线的优势是贴近变电站工程现实。它提示用户：软件定义不只是一组运行时能力，还必须回答“谁配置、如何测试、怎样交付、升级后怎样证明保护功能没有被意外改变”。

四、GE Vernova：从产品化平台和独立固件切入

GE Vernova 在 2026 年公开推出 GridBeats APS，将其定义为软件定义的自动化与保护平台。公开页面显示，平台允许在一台设备上组合保护控制、故障录波、通信、网络安全、监测诊断等不同应用包，并通过“独立固件”把保护控制核心与平台通信、安全更新区分开。

这个设计针对一个具体痛点：如果安全补丁或通信栈更新必然触发全部保护逻辑重测，软件化后的升级频率会被传统验证成本拖住。把变化域隔离后，理论上可以缩小再验证范围，但前提是隔离边界本身经过证明，版本依赖和回退路径也可审计。

GE Vernova 还公开给出“硬件种类减少 80%”“总体运维成本降低 40%”“再验证减少 54%”“设备重测减少 73%”等数字。这些是厂商对其方案效益的主张，适合用来理解产品目标，不应直接外推为所有项目都能实现的结果。项目评估仍需看到基线、站型、冗余方案、测试范围和长期运行数据。

五、开放平台路线：SEAPATH 提供另一种边界

LF Energy 的 SEAPATH 不是某一家 PAC 应用，而是面向数字变电站的开源实时高可用虚拟化平台。它以 KVM、libvirt、集群、分布式存储、时间同步和自动化配置等能力承载 vPAC/vIED，并强调硬件与厂商中立。

它把行业问题推进了一步：即使应用与硬件能够分离，应用是否还能与某一家平台深度绑定？开放平台试图提供共同的宿主层，让多个厂商的虚拟应用在受控边界内共存。与此同时，系统集成责任也更突出——平台、应用、网络、时间同步和工程工具来自不同主体时，兼容性矩阵与责任接口必须提前写进验收方案。

六、真正困难的是工程化

1. 实时性不能只看平均延迟

保护关注的是最坏情况。需要验证调度抖动、网络拥塞、虚拟机争用、存储活动和故障迁移期间的尾部延迟，而不是只给出空载平均值。采样值、GOOSE、PTP 时间同步和跳闸链路要作为端到端系统一起测试。

2. 高可用不等于故障不会发生

冗余的目标是让故障可检测、可隔离、可恢复。必须明确单点故障、双重故障、网络分区、时钟异常、平台升级和应用崩溃时的状态转移，以及切换期间保护功能是否连续、是否会重复动作。

3. IEC 61850 语义要贯穿工程链

虚拟 IED 仍需进入现有系统工程。名称、逻辑节点、数据集、控制块、订阅关系和 SCL 文件不能只在运行时“能通信”，还要支持设计、校验、投运和变更后的配置一致性检查。

4. 网络安全要覆盖供应链和运维面

宿主平台集中承载多项关键功能，会提高管理面的价值。安全边界应覆盖安全启动、镜像签名、最小权限、身份与角色、漏洞处理、日志、远程访问、平台与应用隔离，以及离线恢复介质。

5. 测试必须跟着变化域走

最合理的测试策略不是每次都全量重测，也不是相信隔离后可以不测，而是依据变化域分层：

• 应用逻辑变化：保护算法、定值、联锁和功能回归；
• 平台变化：实时性能、资源隔离、驱动、网络和故障恢复；
• 接口变化：IEC 61850 模型、订阅关系和端到端链路；
• 安全变化：攻击面、权限、签名、补丁与回滚；
• 组合变化：对实际部署矩阵执行系统级验证。

七、三条路线应该怎样比较

维度	Siemens Energy 路线	GE Vernova 路线	SEAPATH 开放平台路线
主要切入点	参考架构、工程与集成	产品化应用平台、固件分区	中立的实时高可用宿主平台
价值主张	生命周期一致、渐进迁移	减少硬件种类与重测范围	降低平台锁定、承载多厂商应用
用户应重点验证	工程工具互操作与迁移路径	隔离边界、应用组合和量化基线	兼容矩阵、集成责任和整体认证
公开证据边界	框架和服务描述为主	产品页与厂商量化主张	项目文档、测试与部署案例逐步增加

这不是一场只比较虚拟化技术的比赛。最终竞争单位会是“应用 + 实时平台 + 工程工具 + 网络安全 + 验证服务”的完整交付栈。

八、给业主和产品团队的落地顺序

1. 先选低耦合功能试点：从录波、监测、网关或非关键自动化开始，建立平台运维经验，再进入主保护。
2. 先写故障与变更模型，再选产品：明确允许的停机时间、冗余级别、最坏延迟和升级边界。
3. 用开放接口约束采购：要求应用包、IEC 61850 模型、资源声明、版本清单、日志和回滚接口可交付。
4. 建立可复现测试环境：把仿真、硬件在环、配置校验、性能压力和网络安全测试纳入持续验证。
5. 保留混合架构和退出路径：迁移期允许专用 IED 与 vPAC 共存，并确保平台或供应商变化时数据和配置可带走。

结论

软件定义 PAC 的方向已经清楚：保护、自动化与控制会逐步从“功能等于设备”转向“功能作为受约束的软件部署”。但生产级价值不会自动来自服务器数量减少，而来自更短且可证明的工程周期、更清晰的变化域，以及在故障和升级时仍能守住确定性与安全边界。

因此，判断一个方案是否成熟，最重要的问题不是“用了虚拟机还是容器”，而是：功能能否脱离硬件而不脱离责任，变化能否更快而不失去验证，集中化能否降低复杂度而不制造新的共同失效点。

主要来源

• CIGRE：Use of Virtual Intelligent Electronic Devices for substation protection and control
• CIGRE WG B5.84：虚拟 IED 的建议与约束（工作组任务书）
• Siemens Energy：Substation EPC / Noedra Node
• GE Vernova：GridBeats APS
• GE Vernova：GridBeats APS 产品发布
• LF Energy：SEAPATH

证据边界

本文综合了 2026 年 CIGRE 现场展示资料与截至 2026 年 9 月 4 日可访问的一手公开资料。现场材料用于识别产品路线，没有作为独立认证或长期运行证明；文中的 GE 量化收益均明确保留厂商主张属性。