060 电力二次系统选型 20 问：设备选型·协议对接·27号令4区·验收取证

060 二次系统选型 20 问：技术交流、方案评审、招标答疑里会被真问出来的硬问题

一句话定位：这不是一份选型手册，而是一份答问底稿 ------把客户在技术交流、方案评审、招标答疑三种场合里真的会问出口的 20 个硬问题，逐题按「现象 → 根因 → 领祺方案」三段拆开，每题末尾标可信度分级（A 官方 / B 推导 / C 参考待核 / D 竞品）。

本篇只讨论选型口径与接口边界，不涉及商业条件。所有涉及分区、协议、时标、取证的内容，都以「能被现场复现」为写作标准；凡是需要靠推测才能成立的句子，一律降级到 C 并写明「待核」。

〇为什么是 20 个问题，而不是又一份手册

手册体的写法是「先讲体系、再讲产品、最后给清单」。这套写法在会议室里站不住，原因很现实：技术交流的现场节奏是客户问一句、你答三十秒。客户不会按你的目录提问，他会从他昨天在现场踩到的那个坑问起------「你们这个网关能不能顶网闸」「104 通了点表对不上算谁的」「剪一根网线算不算断网试验」。

所以本篇的组织单位不是「章节」，是「问题」。20 个问题按客户提问的真实分布切成五类，每类 4 题：

类别	问题区间	客户在这类问题上真正想确认的东西
设备选型	Q1--Q4	到底买几台、买哪几样、哪些是重复投入、哪些不能省
协议对接	Q5--Q8	谁跟谁说话、说到什么程度算通、点表与模型谁负责
27 号令 4 区合规	Q9--Q12	什么东西必须放在哪个区、跨区靠什么装置、测评与远程运维怎么过
验收取证	Q13--Q16	凭什么说它是好的、三个数不一致听谁的、报告谁出
断网自治	Q17--Q20	断多久算够、断的时候听谁的、恢复时会不会把主站冲掉

答题纪律三条（本稿 20 题全部照此执行，读者也可以拿这三条来挑毛病）：

先拆隐含假设。客户问「能不能」的时候，八成的分歧不在答案，而在「能」字底下藏着的那个前提------是能通、能控、还是能过测评，是三回事。
把「能不能」翻译成三个具体坐标：在哪个安全区、走哪个接口与端口、用什么时标与周期。三个坐标定不下来，任何回答都是空话。
结论后面必须跟证据物。没有证据物的结论，在本稿里只允许出现在标 C 的段落里，并且必须写「待核」。

读法：赶时间去答疑现场的，直接翻到对应类别；要拿去改方案的，看每题末尾的「判据」小节；要判断某句话能不能对外讲的，看附 A 的分级口径。

0.1 本篇覆盖的场合与不覆盖的场合

本篇服务于三种场合，但每种场合的用法不同：

技术交流（30--60 分钟，对方是运维与专业工程师）：按五类顺序过，重点在 Q1、Q2、Q9、Q10 停留，因为它们直接决定后续工作量。每题答完顺手把该题的「判据」念一遍，让对方知道我方交付的验收形态，而不是只听结论。
方案评审（对方是设计院与集成商，重点是接口与分区）：优先 Q5、Q6、Q7、Q8 与 Q10，这五题决定接口表与分区图怎么画。评审的输出物应当是「点表主表 + 边界表」两张纸，不该是口头结论。
招标答疑与评标问答（对方是业主与监理，问的是边界与责任）：优先 Q2、Q3、Q12、Q13、Q16、Q20，这几题决定「谁做什么、谁出证明、谁担责任」。答疑纪要里应逐题落一句结论与一句依据，避免事后口径漂移。

本篇不覆盖三类内容：装置以外的商业条件；聚合商准入与结算口径（边界指向见 057）；四可测试域的定义与签收判据（边界指向见 059）。遇到这三类问题，本篇的做法是给出边界指向，而不是展开。

0.2 20 题的来源分布

来源场合	题号	题数	典型问法
技术交流现场	Q1、Q2、Q5、Q6、Q9、Q17	6	「这个能不能做」「为什么不是一次装好」
方案评审现场	Q3、Q7、Q8、Q10、Q14、Q19	6	「这一栏谁来填」「这条边摆什么」
招标答疑与评标问答	Q4、Q11、Q12、Q13、Q15、Q16、Q18、Q20	8	「凭什么说合格」「出了事谁负责」

分布不均是有意的：答疑与评标问答占比最高，因为那类场合一旦答不上来就直接影响结果；技术交流的问题大多可以在现场用图和表当场说清，反而不需要长篇。

0.3 一条贯穿全篇的答题模板

20 题问法不同，答案结构是同一套，四步：

复述问题里的隐含假设------一句话把「能不能通」拆成「在哪一区、走哪条链路、以什么周期、谁来判合格」。
给出判断边界------在什么条件下成立、在什么条件下不成立，避免把条件性结论说成绝对结论。
给出落位------型号、接口、参数、时序、取证物，五项里至少落到前三项。
给出可信度分级------说明这句话的依据属于哪一级；若为 C，当场说明待核项、核实的责任方与时限。

这个模板也是读者检验本稿的尺子：任何一题如果走完四步后还落不到具体型号与具体接口上，说明那一题的答案尚未成型，宁可先空着。

一设备选型类（Q1--Q4）

这一类的共同结构是：客户手里已经有一张「功能清单」，缺的是一张「数量清单」和一张「不能省清单」。选型失败的现场表现，几乎都不是「买错了型号」，而是「型号对了、数量不对、位置不对」。

Q1 12 台 PCS、4 组 BMS 的站，你们的设备到底每样配几台？

客户原话：「清单上七个型号我认了，可我就一个 100MW/200MWh 的站，每样到底配几台？能不能用一台服务器把这些功能全干了，柜子实在摆不下。」

现象：可研阶段的设备表通常按「功能」列------EMS、边缘网关、保护管理机、协调控制器、PCS 协调、聚合器、自治主控，七行功能七个型号，数量栏写「1 套」或「按需」。真到出图阶段，七行变成七个柜子，业主回头问「为什么一台不够」，答复往往是「厂家就这么配的」。另一头是反向的：为了压柜位，把七个功能塞进一台高性能服务器，跑得起来，但接口数不够、实时性不保、分区也过不去。

根因：数量不是由「功能个数」决定的，是由接口数、回路数、并发会话数三个硬约束反推出来的。功能可以合并在软件上，接口与回路不能合并：一台设备能接 8 个 GOOSE 收发块就是 8 个，多出来的开关量必须落到另一台；一台设备能维持 8 个调度 APPC 会话就是 8 个，多一条链路就要加设备或加通道。厂家给「1 套」其实是「1 个型号」，不是「1 台设备」。

领祺方案 ：把七个型号各自的数量推导规则先定死，再按工程参数代入。规则如下（同一型号在不同站型下数量不同，规则不变）：

型号	角色	数量推导依据	100MW/200MWh 典型值
PEMS300	EMS 协调器 + AGC/AVC 执行器（含本地 AGC/AVC 断网自治与纵向加密模块集成）	调度主站链路的可用性要求 → 主/备双机	2 台（主/备）
PBox848F	储能专用边缘计算网关（IT/OT 协议转换 + 边缘计算 + 本地协调）	按 PCS 分组数与 BMS 堆数，单台覆盖 8--16 台 PCS 的采集与本地协调	1--2 台（12 台 PCS 落在单台上限内，按双电源与分区再核）
PBox6218E	保护管理机 + 远动通信 + 调度数据网接入	按保护装置与断路器间隔数，单台覆盖 4--8 套保护	2 台（12 台 PCS 对应 4--8 面保护屏，按间隔拆分）
PBox6220-PQCT	储能协调控制器（PCS + BMS + EMS 三方协调，AGC/AVC <200ms）	按储能单元数，单台覆盖 4--8 个单元	2 套（12 台 PCS 约 3--4 个单元，双套配置）
PBox6219A	PCS 协调控制（构网型，覆盖 GB/T 47968-2026 构网型变流器通用技术规范）	按 PCS 台数与并列机群分组	2 台（机群分组协调，单台覆盖 8--16 台）
PFCS-3000B	VPP 聚合器 + 一次调频执行器	按聚合资源分组与上级平台接入通道数	2 套（主/备）
PBox8620	场站级断网自治主控	按场站数（一站一套，主/备）	1 套（主/备各 1）

三条硬约束必须在出图前算清，否则数量一定返工：

GOOSE 收发块：单台设备可承载 8 个发送/接收块，跳闸、联闭锁、检修压板状态各占块，跨间隔的联闭锁每多一对就多一块。
调度会话：单台设备可维持 8 个 APPC 会话，A/B 双平面各一条主用加一条备用就已经用掉 4 个，再叠一个集控或一个备用通道就吃掉预算。
MMS 报告控制块：单台设备可承载 8 个 RC 块，遥测、遥信、告警、电能量、工况各一组，组数超了要拆设备。

判据（评审会上可以直接对）：出图前提交一张「接口---回路---会话」三列表，每一行都能指到具体间隔编号与 IED 实例名；任何一台设备的 GOOSE 块、APPC 会话、MMS 报告块占用率不得高于 70%，留 30% 给后期扩建与调试临时占用。

可信度：B（推导。台数由接口数与回路数反推，属工程推导口径；七型号的角色划分与端口能力见附 B，可与设备手册逐条比对。）

现场追问（答疑现场的高频补问）：「那 8 块 GOOSE 是不是就满了？我们间隔有 12 面屏。」------追问落在占用率红线：12 面保护屏意味着 12 套保护装置的跳闸与联闭锁块，8 块/台意味着一台装不下第二台 PBox6218E；同时提醒不要把同一间隔的「跳闸」「合闸允许」「远跳」「闭锁」拆成四个独立块，能并入同一数据集的就并，块数才降得下来。占用率的算式要写进出图说明，不能口头讲。

Q2 既然是网关又做本地协调，I 区和 III 区之间能不能就用它当隔离？

客户原话：「你们这个 PBox848F 又能转协议又能本地协调，还带管理口，那我在生产控制大区和信息大区之间摆一台，是不是就不用再买网闸了？反正数据也是它转的。」

现象：这句话在评审会上出现的频次极高，而且往往伴随一个看起来很成立的论据------「数据本来就是从它这里出去的，我在它上面做白名单不就行了」。落地之后通常出现三种后果：数据确实通了，测评时被判边界装置缺失；或者临时用软件策略顶了一阵，扩建时被要求补装硬件，柜位与停电窗口都要重排；最坏的一种是两侧网络因为同一个管理口被桥接，等于把生产控制大区的边界打通了一个洞，而现场没人知道。

根因：把「应用层的协议转换」和「网络层的单向隔离」当成了一件事。协议转换的本质是拆包---解析---重新组包 ，它天然是双向的、有会话的、可被远端的报文诱导的；横向隔离的本质是在物理或强单向链路上只让约定的数据形态单方向通过，它要求的是转发模型的可证明性，不是策略表的完备性。两者的测评对象也不同：一个查功能与性能，一个查装置型式与边界完整性。

领祺方案：这条必须讲死，不留余地------

PBox848F 是储能专用边缘计算网关，不是横向隔离装置 ；27 号令要求的横向隔离必须由电力专用网闸承担。两者在转发模型（应用层代理 vs 物理/强单向摆渡）、失效模式（软件崩溃 vs 链路物理断）、测评对象（功能与性能测试 vs 装置型式与边界检查）上完全不同，任何一方都不能替代另一方。

工程上按这个顺序落：

PBox848F 的位置：安全区 I（生产控制大区内），面向 PCS、BMS、能量表做下行采集与本地协调，向上以 IEC 61850 MMS 报告与 Modbus TCP 汇聚到 PEMS300。它的出口是「区内出口」，不是「跨区出口」。
跨区位置：生产控制大区（I/II）与管理信息大区（III/IV）之间的那道口子，只允许电力专用网闸占位；正向数据（生产侧 → 管理侧）与反向数据（管理侧 → 生产侧，如有）各自独立的装置与策略，不得共用同一台设备的同一组端口。
接口口径：网闸两侧不落 IP 路由，中间只走约定的报文形态（IEC 61850 MMS 只读、Modbus TCP 只读、文件摆渡），任何一侧都不能通过网闸建立交互式会话。
不许出现的三种替代：用防火墙策略替代、用软件网关加白名单替代、用带管理口的多宿主主机替代。这三种在评审阶段通常看不出问题，在测评阶段几乎必然被判边界不成立。

判据：边界清单里每一个跨区点都能指到一台独立硬件的型式与序列号；旁路排查表证明「除这三道关口之外不存在第二条通路」（含调试口、无线备份、厂家远程口）；网闸两侧的策略表版本号与生效时间可查。

可信度：A（官方。安全区划分与横向隔离要求见国家发展和改革委员会令第 27 号《电力监控系统安全防护规定》；产品定位属我方口径，可与设备铭牌与说明书核对。）

现场追问（答疑现场的高频补问）：「那网闸的策略表谁来写、谁来审？」------策略表由现场安全责任人起草、双方运维会签，版本号与生效时间必须落在台账里；变更走「申请---评估---审批---实施---回读」五步，其中「回读」最容易被省，省了就等于没人说得清现在跑的是哪一版。策略还要覆盖反向：管理侧向生产侧的回写是旁路高发区，默认拒绝、逐条开通、逐条设到期时间。

Q3 PEMS300 里已经带了加密模块，为什么还要单独买纵向加密认证装置？

客户原话：「你们 EMS 内置了加密模块，那我这条上调度数据网的链路是不是就密态了？再买一台加密装置，功能不是重复了吗？」

现象：配置表里出现两个与加密相关的条目，评审时被问到「重复配置」，答不上来就容易被砍掉一项；砍掉之后通常砍的是独立装置，因为它是外购件、看起来「不是你们的」。等到调度侧联调，加密隧道建立不起来或者证书不被受理，回头补装要走停电与二次进场。

根因：把「链路上有加密算法在跑」当成了「纵向加密链路成立」。纵向加密链路的成立需要三件事同时为真：密码边界在受控装置内 （密钥不出装置）、对端身份可鉴别 （调度侧证书与场站侧证书互相验证）、链路的运维责任主体明确（谁换证、谁做密钥更新、谁在失效时承担停机窗口）。内置模块能满足前者的算法部分，但密钥管理与证书生命周期的责任边界仍然落在独立装置与调度侧证书体系上。

领祺方案：分工讲清楚，两个都在，各干各的活：

PEMS300 集成加密模块 ：定位是场站侧辅助------在站内数据上行的短链路上提供加密能力，覆盖「站内设备 → EMS」这一段；它不能替代独立装置，因为它的密钥与证书不在独立密码边界内，也不承担与调度侧的双向身份鉴别。
电力专用纵向加密认证装置 ：定位是跨边界主用------部署在安全区 I/II 向调度数据网上行的边界上，主/备各一套，与调度数据网 A/B 双平面一一对应；它承担隧道建立、证书互验、密钥更新、以及链路失效时的可审计记录。
证书台账：场站侧证书的有效期、签发主体、更新记录、失效告警接收人，四项必须落在同一张台账上，且台账的更新动作与装置日志能对上号。
时钟：加密装置与站内时钟同源（IEEE 1588v2 优先，NTP 兜底），否则隧道重建时的时间戳校验会周期性失败，表现为「每隔一段时间链路自己断一下」。

判据：A 平面与 B 平面各有一条独立隧道，各自有建立时间与证书序列号记录；断开其中一条，另一条不受影响且切换过程无指令丢失；证书到期前 30 天有告警记录；隧道重建次数与时钟偏差在同一张时序表上可对照。

可信度：A（官方。安全区边界上的纵向加密要求见国家发展和改革委员会令第 27 号；「集成模块不替代独立装置」为我方工程口径，A 级仅覆盖分区与装置要求部分。）

现场追问（答疑现场的高频补问）：「加密装置和 EMS 的时钟不一致会怎样？」------现象是隧道每隔一段时间自己断一次、重连后恢复，现场常被当成「链路质量差」去查光缆。根因是双方时标源不同步，隧道重建时的时间戳校验失败。做法是站内统一 1588v2 源、加密装置与 EMS 同源，并把「隧道重建次数」与「时钟偏差」放在同一张时序表上看趋势，偏差超限先查交换机透传与主时钟源状态。

Q4 我们 PCS 本身就带构网功能，再上 PBox6219A 是不是重复投入？

客户原话：「PCS 厂家说他们的机器本身就是构网型，电压源、惯量模拟都有，你们再加一层 PCS 协调控制，功能不就重叠了吗？」

现象：这条在设备招标阶段最容易砍。砍掉之后，站级调试阶段会出现一类很典型的现象：单台 PCS 单独测试时构网特性良好，多台并列运行后出现功率振荡、机群之间无功环流、一次调频动作不同步；PCS 厂家说自己机器没问题，集成方说协调层缺失，最后停在场站层面反复调参。

根因：构网能力有两层，被混成了一层。单机层 解决的是「这台变流器对外呈现电压源特性、能提供惯量与阻尼」；站级层解决的是「多台并列时惯量与一次调频如何在机群之间分配、谁跟随谁、并列环流怎么抑制、离网转并网时相位怎么对齐」。单机层的功能再强，也不会自动产生站级协同时序------因为站级协调要看的是全站的频率、并网点电压与各机群的可用容量，这些量单台 PCS 拿不到。

领祺方案：按三层把职责切开，避免「重复」这个词被误用：

层	谁承担	解决什么	关键参数
单机层	PCS 本体（构网型变流器）	电压源外特性、单机惯量与阻尼、单机保护	由 PCS 厂家给出，按 GB/T 47968-2026 构网型变流器通用技术规范核对
站级协调层	PBox6219A	并网点频率/电压采样、机群惯量分配、一次调频指令下发与回执、并列环流抑制、离并网相位预同步	一次调频检测 <100ms、响应 <200ms；协调周期与 GOOSE/MMS 混合下发
站级决策层	PEMS300 + PBox6220-PQCT	AGC/AVC 目标分解、SOC 约束下的功率分配、三方（PCS/BMS/EMS）闭锁	AGC/AVC 协调 <200ms

现场必须验的四件事（也是这条问题真正的答案）：多机并列时的功率振荡是否在 2 个周波内收敛；一次调频动作时各机群出力偏差是否落在分配比例内；离网转并网时相位差是否在合闸允许窗口内；某一台 PCS 退出运行时，剩余机群能否在协调周期内重新分配而不触发保护。

判据：站级协调记录里能看到「指令---下发---回执---实际值」四段，且四段时标连续；任一台 PCS 通信中断后，PBox6219A 在一个协调周期内标记该机群不可用并重分配。

可信度：D（竞品对照。PCS 侧构网功能的能力边界取自厂家公开资料与招标答复口径，未经我方实测；站级协调的必要性判断为工程推导，实际以现场并列试验数据为准。）

现场追问（答疑现场的高频补问）：「构网型 PCS 自己能不能兼做站级协调？」------能做站内单机协调的很多，但站级机群协调需要的三个量------并网点频率、全站可用容量、并列机群实时出力------单台 PCS 取不到。PBox6219A 不是替代 PCS，而是把 PCS 的单机能力组织成站级能力。若站级协调由 PCS 厂家以「站控单元」形式提供，站级仲裁与主控唯一性仍要有人在全站层面负责，责任不能随功能外包而消失。

二协议对接类（Q5--Q8）

这一类的共同结构是：客户已经「通了」，但没「对」。通与对之间差三样东西------点表冻结、模型一致、时序可追。三者缺一，联调期就会陷入「你说你的报文到了、我说我的曲线不对」的循环。

Q5 104 链路通了、总召也有数据，调度说点表对不上，算谁的？

客户原话：「链路是 UP 的，总召一按就上来一大片数据，可调度那边说遥信位置串了、遥测对不上设备。这到底是我们的问题还是主站的问题？」

现象：IEC 60870-5-104 链路建立正常，测试帧有来有回，总召（C_IC_NA_1）能触发全量上送，但上来的数据在语义上错位：1 号间隔的断路器位置显示在 3 号间隔、遥测值落在相邻点号上、SOE 时标整体偏移几十毫秒。双方各执一词，因为没有一份共同的「点号---对象---语义」对照表。

根因：点表在三个地方各存一份，且从来没有被冻结过------装置侧点表 （保护/测控装置的信息对象地址）、规约配置表 （远动或网关里的 ASDU 映射）、主站信息表（调度侧的数据库点号）。三份表的生成时间不同、维护人不同、改动没有版本号，任何一方改一个点，另两方不知道。更深一层：即使点号对上了，传送原因（COT）与类型标识（TI）的用法不一致，也会让「数据到了但被判为无效」。

领祺方案 ：把「点表冻结」当成一个交付动作，而不是一个文档。四步：

三表合一：出一张主表，列头为「主站点号 / 信息对象地址 / ASDU 类型标识 / 传送原因 / 语义描述 / 变比与系数 / 单位 / 时标来源 / 品质位定义 / 责任方」。三份表任何一方的改动，都必须先改这张主表并升版本号。
类型与原因对齐 ：遥信走类型标识 1（单点）或 3（双点），遥测走 9（归一化）或 13（短浮点），累计量走 15/37，电能量走 101/103 一类带时标的长整型，总召走 100，时钟同步走 103。传送原因统一：周期上送用 1（周期）、总召响应用 20（响应站召唤）、变化上送用 3（突发）、命令回应用 7/10。遥测优先用短浮点（13），避免归一化带来的二次换算误差被当成「设备不准」。
地址规划：公共地址按「站---间隔」两级编，信息对象地址按「间隔号 × 1000 + 序号」编，留出扩展段；不允许出现跨间隔复用同一地址的情况。
SOE 与时标：站内事件时标由装置本地产生，网关只做透传不做重打；主站侧接收后按站内时标入库，不用接收时刻替代。

判据（104 联调 6 条，可逐条打勾）：链路建立与保持 30 分钟无中断；总召返回帧数与主表条目数一致；变化上送的事件在 3 秒内到达主站；遥控「选择---执行---确认」三段完整且传送原因正确；遥调值与下发值的偏差在约定范围内；同一事件在站内记录与主站记录中的时标差不超过 10ms。

可信度：B（推导。ASDU 类型与传送原因的组合用法属规约惯例与工程约定；具体项目以调度侧下发的接口规范为准，若规范与本表冲突，以规范为准并回写主表。）

现场追问（答疑现场的高频补问）：「点表到底以谁为准？」------裁决原则是：装置侧点表是物理事实（设备实际有几个点），主站信息表是业务事实（调度需要哪些量），两者不一致时不是改装置而是改映射。主表由集成方维护、调度方与设备方会签，任何一方的改动都要升版本号并通知另外两方。再留一条硬规矩：主表之外的任何点号都不许出现在报文里，出现即判不通过。

Q6 61850 的 MMS 能读会写，为什么 GOOSE 一跳闸联锁就不通？

客户原话：「用客户端连上去，MMS 读数据一切正常，模型也能浏览，可一到 GOOSE 联锁就不动作。是不是你们设备不支持 GOOSE？」

现象：MMS 侧完全正常------能读、能写、能订阅报告；GOOSE 侧表现为三种之一：订阅端收不到报文；收得到报文但数据集内容为空或全部为默认值；收得到正确内容但动作时间远超预期（几十毫秒甚至上百毫秒）。现场常用「重启一下试试」来应付，重启后有时能用，过一阵又不行。

根因：MMS 与 GOOSE 走的是两套完全不同的机制，用 MMS 通来推断 GOOSE 通，是一个典型的跨机制误推 。GOOSE 是发布/订阅、无连接、二层组播、靠重复发送维持可靠性；它的通不通取决于五件事：控制块是否被使能 、APPID 与目的 MAC 是否与订阅端一致 、VLAN 优先级是否在交换机上被正确处理 、数据集成员顺序是否与订阅端 FCDA 逐项对齐 、检修压板状态是否使两侧处于同一检修区。任何一件错了，MMS 都还是好的。

领祺方案：按「配置---网络---时间---压板」四个面排查，每个面给可执行的检查动作：

配置面：以 SCD 文件为唯一真源，逐项核对 GOOSE 控制块的 goID、APPID、数据集 FCDA 顺序、confRev 版本号、minTime/maxTime。网关侧（PBox6218E）承担 8 个发送/接收块，块与块之间的数据集不得交叉复用同一成员，避免改一处影响两处。
网络面：过程层交换机开 IGMP Snooping 并按组播地址做过滤；GOOSE 报文打 VLAN 优先级（通常取高优先级队列），并确认交换机上行口没有把优先级标记剥掉；跨交换机的 GOOSE 链路要确认生成树收敛时间小于 GOOSE 的 maxTime，否则收敛期间报文丢失会被订阅端判为通信中断。
时间面 ：GOOSE 自身不依赖对时，但动作时序的记录依赖对时。站内统一 IEEE 1588v2，交换机逐跳透传，PBox6218E 与保护装置同源；否则事后无法证明「跳闸命令在 4ms 内到达」。
压板面：检修压板是 GOOSE 联锁最常被忽略的一项。两侧检修状态不一致时，接收端会按规约丢弃报文，表现就是「报文有、动作无」。

判据：在过程层交换机做端口镜像抓包，能看到完整的 GOOSE 帧序列且 stNum/sqNum 递增正常；从发布到订阅的动作时延 <4ms（同一交换机内），跨两级交换机 <8ms；检修压板置位/复归时，接收端的处理行为与设计一致并有记录；SCD 与装置内实际配置的 CRC 一致。

可信度：B（推导。GOOSE 机制与控制块参数属 IEC 61850 体系内公开内容；4ms/8ms 为工程验收常用阈值，不同项目以设计文件与调度批复为准。）

现场追问（答疑现场的高频补问）：「GOOSE 抓包能抓到什么？」------端口镜像能看到帧的目的 MAC、APPID、VLAN 优先级、stNum/sqNum 与数据内容；看不到「接收端为什么没动作」------那要查控制块是否使能、数据集成员是否与订阅端 FCDA 逐项对齐、检修压板状态，以及接收端自身的联锁条件。所以抓包只能证明「报文到了」，不能证明「动作应发生」，两侧都得查。

Q7 我们 BMS 是 CAN 私有协议、平台要 MQTT，你们网关接得住吗？

客户原话：「储能舱里 BMS 走 CAN，厂家协议还是他们自己那一套；集团平台又要 MQTT。你们网关是不是只认 Modbus？要是接不住，我们中间还得再找一家做转换。」

现象：一个站里同时存在至少五种「语言」：PCS 说 Modbus TCP，BMS 说 CAN 2.0B（部分厂家私有扩展），能量表说 Modbus RTU 走 485，动环与算力侧说 IPMI/Redfish 与 gRPC/HTTP，集团平台说 MQTT。每两种语言之间拉一条线，最后站内出现一堆小盒子，每个盒子一个厂家、一本手册、一套点表，故障时互相推。

根因：把网关当成「协议翻译器」，而不是「语义映射器」。翻译器只换语法------把 CAN 帧换成 MQTT 报文，内容还是原始字节，语义（这个字节是 SOC 还是 SOH、单位是 0.1% 还是 1%、坏值怎么表示）没有统一。语义不统一，上层平台拿到的就是一串「能显示但不能计算」的数。

领祺方案：分两层做，语法层在网关，语义层在点表。

语法层（PBox848F 的 IT/OT 转换矩阵）：下行接 Modbus TCP（502）、Modbus RTU（485）、CAN 2.0B；对算力侧接 IPMI/Redfish、gRPC/HTTP REST、Prometheus/SNMP；统一向上转成 IEC 61850 MMS 报告模型与 Modbus TCP，供 PEMS300 与站内其他 I 区设备消费。转换在安全区 I 内完成，不跨区。
语义层（点表）：每个量必须有六件事写清楚------量纲与单位、变比与系数、数据类型与取值范围、坏值与无效值的表示、采样周期与上送周期、时标来源。CAN 私有协议里常见的「0xFFFF 表示无效」这类约定，必须在点表里显式声明，否则上层会把无效值当成满量程。
上行到平台（PFCS-3000B）：以 MQTT 向聚合平台/集团平台发布，QoS 按数据等级选：控制回执与告警用 QoS 1（至少一次），周期遥测用 QoS 0（最多一次，允许丢但必须带时标），配置下发用 QoS 2（恰好一次）。主题命名按「站---设备---测点」三级，禁止用设备序列号直接当主题层级（换设备就断订阅）。
不许做的两件事：不在网关里做业务计算（SOC 估算、收益核算一类），网关只做采集与转换；不让上层平台直接读 CAN（等于把控制网暴露给管理侧）。

判据：点表交付物里每个测点六项属性齐全；用一个已知量（例如标准表注入 50% 额定功率）在三个位置读数一致（装置本地、网关、平台）；CAN 侧断开任一节点，网关上该节点的所有测点在一个采集周期内被标记为无效而不是保持旧值。

可信度：D（竞品对照。接入能力清单为我方产品口径；「通用协议转换软件 + 工控机」这一路线的对比结论取自同类方案的公开资料，未做同台实测，选型时以现场联调结果为准。）

现场追问（答疑现场的高频补问）：「CAN 私有协议的扩展帧怎么办？」------常见做法是按 29 位扩展 ID 逐个解析，本质是把厂家的私有编码规则抄进点表。更稳的做法是让 BMS 厂家提供 DBC 或等价描述文件，把扩展 ID 与信号名、量纲、系数、无效值绑定成一张可校验的表；没有描述文件就先做一轮全帧录包加人工标注，把映射关系固化下来再上线，避免上线后靠记忆维护。

Q8 调度数据网双平面，我们只做 A 平面，验收能不能过？

客户原话：「双平面听起来就是冗余，我们预算紧，先做 A 平面，B 平面留到二期，验收的时候说明一下应该能过吧？」

现象：只配一套通信设备与一条链路。单平面运行期间一切正常，直到某次链路中断或加密装置重启，全站与调度侧失联；恢复后调度侧要求说明「为什么没有备用通道」，而此时补装要重新申请链路、重新做加密装置接入、重新走停电窗口。

根因：把双平面理解成「同一套东西买两份」，而不是「两条独立的、可切换的、各自可鉴别的通道」。双平面的价值不在设备数量，在于三件独立：物理路由独立 （不同沟道/不同光缆/不同传输设备）、加密边界独立 （A/B 各一套纵向加密认证装置）、地址与路由规划独立（两套 IP 规划互不冲突，切换时不产生路由环路）。

领祺方案：双平面按「三独立 + 一可切」落：

三独立：A/B 平面各自独立的通信接口与通道；各自独立的纵向加密认证装置（主/备对应平面，不交叉）；各自独立的地址规划（同一站内 A/B 平面不使用同一网段）。
一可切：切换判据要写死------链路层中断、加密隧道中断、心跳超时三者任一成立即触发切换，切换时间目标在秒级；切换后必须校验「遥控选择」是否仍然可用（有些实现切换后只恢复了遥测，遥控要重新握手）。
PEMS300 侧：以双通道方式同时维持 A/B 两个 APPC 会话来承载上行；同一时刻只有一条承载业务、另一条待命，待命通道要保持心跳，不能「断着等」。
PBox6218E 侧：远动通信具备双通道透传能力，且两通道的点表映射同源，避免切换后点表对不上。

判据：拔掉 A 平面链路，B 平面在秒级内接管且总召正常；恢复后回切不发生双通道同时承载（避免重复上送）；两套加密装置的证书与日志各自独立可查；切换全过程有带时标的记录。

可信度：A（官方。调度数据网双平面与纵向加密装置配置要求见国家发展和改革委员会令第 27 号及电力调度数据网相关技术规范；秒级切换目标为我方工程口径，具体指标以调度侧批复为准。）

现场追问（答疑现场的高频补问）：「切换的时候正在执行的调节怎么办？」------切换必须处理在途指令：远调已下发但未回执的指令，在切到另一平面后要重新走选择---执行---确认三段，不能凭旧平面的未确认状态直接执行；站端要在切换记录里写清「未确认指令数」与「处理方式」。这条不做，切换瞬间就是一次没有回执的控制，风险会在 AGC 侧被放大成积分饱和。

三 27 号令 4 区合规类（Q9--Q12）

这一类的共同结构是：客户把「合规」当成一次性的验收动作，而它其实是一条周期性的检查链。四个问题的答案，本质上都是在回答同一句话------边界不是画出来的，是被证明出来的。

Q9 能不能把 EMS 放到云上，省一套机房？

客户原话：「现在什么都上云，你们的 EMS 能不能也放云上？我们就不用在站里单独建机房了，运维也省事。」

现象：云化诉求通常从两个方向提出来：一是新建站想省机房与配电；二是集团想把多站数据集中，做集中监视与集中决策。若直接把 EMS 部署在公有云，站内控制回路要么断（云到站时延不稳），要么为了通而把生产控制大区的口子打开。

根因：把「访问方式」当成了「部署位置」。云能解决的是「看」和「算」，解决不了「控」------控制的实时性、可用性与安全边界，都要求控制逻辑与受控对象处在同一个安全区、同一条低时延链路内。27 号令的分区要求约束的是功能落在哪个区，不是「服务器放在哪个楼」。

领祺方案：按功能拆开上云，控制不下云：

功能	落在哪	说明
AGC/AVC 执行、PCS/BMS 协调、保护联闭锁、断网自治	安全区 I，站内本地	时延要求与安全边界共同决定不能离开站内
集中监视、报表、告警归集、指标计算	安全区 III 或 IV（管理信息大区侧）	数据经电力专用网闸单向上行，只读
预测、寻优、策略生成	安全区 III/IV，结果以「策略建议」形态回传	回传经网闸反向通道，且必须在站内 I 区做一次合法性校验后才可执行
数据库与档案	站内 I/III 各一份，云侧只做镜像	镜像丢失不影响站内运行

三条红线：云侧不下发直接控制命令 （只能是建议或经站内校验的目标值）；云侧不持有站内设备的写权限 ；网闸两侧不建交互式会话（数据摆渡，不是远程桌面）。

判据：从云侧发起一次「目标功率修改」，记录显示该指令在站内 I 区被校验、被赋予操作员工号、才进入执行链；断开机房外网，站内 AGC/AVC 与本地协调不受影响；网闸日志能证明两侧不存在持续会话。

可信度：A（官方。安全区划分与控制功能落位要求见国家发展和改革委员会令第 27 号；「控制不下云」的分工为对该要求的工程化落位，属推导部分，A 级仅覆盖分区要求本身。）

现场追问（答疑现场的高频补问）：「云上算出来的目标值怎么落地？」------路径是：云侧生成建议值 → 经网闸反向通道送到安全区 III → 站内 I 区做合法性校验（限值、速率、与当前运行方式的相容性）→ 校验通过才转成可执行目标 → 由站内执行并回执。关键是「云侧不能直接写目标值」以及「每一步都要有回执、回执里带校验结果」。只做前半段不做校验，等于把控制权搬到了区外。

Q10 I 区和 II 区之间要不要加隔离装置？我们理解四个区两两都要隔离

客户原话：「图纸上四个区，我理解是两两之间都得隔离。那 I 区和 II 区之间是不是也得摆一台网闸？这样四区之间六条边，是不是要六台？」

现象：这句话背后的图纸通常有两种错法：一种是把四个安全区画成四个并列的框，然后在每条边上都摆一台装置，柜位与预算都失控；另一种是反过来，把 I 区和 II 区当同一个区，只在大区外沿做一道，结果 II 区里的聚合器直接读到了 I 区的实时控制数据，边界形同虚设。

根因：把「大区」与「安全区」两个层级混成一个层级。27 号令的框架是两个大区 ------生产控制大区（内含安全区 I 控制区与安全区 II 非控制区）与管理信息大区（内含安全区 III 生产管理区与安全区 IV 管理信息区）。横向隔离的强制要求落在两个大区之间 ；大区内部的 I 区与 II 区之间是逻辑隔离（访问控制、单向数据流、最小权限），III 区与 IV 区之间同理。

领祺方案：按两级边界分别落装置：

边界	性质	靠什么实现	典型配置
安全区 I ↔ 安全区 II	逻辑隔离（同一大区内）	访问控制策略 + 单向数据流 + 应用层代理；不摆网闸	由 PEMS300 与 PFCS-3000B 之间的接口策略承担，I 区数据向 II 区单向发布
生产控制大区 ↔ 管理信息大区	横向隔离（强制）	电力专用网闸（独立硬件）	正向一台；若确有必要反向数据，反向独立一台，策略各自独立
安全区 II ↔ 调度数据网	纵向加密	纵向加密认证装置 + 调度证书	主/备各一套，对应 A/B 双平面
安全区 III ↔ 安全区 IV	逻辑隔离	访问控制 + 数据分级	通常由管理侧的防火墙与账号权限承担

再强调一次边界上最容易出错的一句：PBox848F 是储能专用边缘计算网关，不是横向隔离装置 ；它部署在安全区 I 内做采集与本地协调，跨大区的那道口子必须由电力专用网闸占位，二者不可互换。

判据：边界清单按上表四行逐行落地，每行有装置型号、序列号、策略版本；I 区与 II 区之间不存在任何三层路由直达；旁路排查能证明「I 区不存在通往 III/IV 区的第二条通路」。

可信度：A（官方。大区与安全区的两层结构、横向隔离强制要求见国家发展和改革委员会令第 27 号；「I↔II 为逻辑隔离」为对该框架的工程化解读，属推导部分。）

现场追问（答疑现场的高频补问）：「I 区到 II 区的数据流应该长什么样？」------形态上是 I 区向 II 区的单向发布：I 区把经过聚合的、允许发布的数据以只读方式推给 II 区接口，II 区不得反向写回 I 区。判据不是看拓扑图，而是看数据流：抓包或读审计日志，确认 II 区侧发起的会话在 I 区侧没有对应响应。方向判据写成「反向无响应」，比「拓扑画得对」有用得多。

Q11 等保测评已经过了，27 号令这边是不是就不用再做了？

客户原话：「我们上个月刚做完等级保护测评，报告都拿到了。27 号令是不是就在等保里涵盖了？还要不要单独再做一轮？」

现象：把等保报告当成电力监控系统安全防护的合规证明，评审时被追问「横向隔离装置的型式与边界完整性怎么证明」「纵向加密的证书链怎么证明」，答不上来。等保报告里通常有「边界防护」章节，但它的检查对象与 27 号令的检查对象不是同一组。

根因：两套评价体系的对象、周期、证据形态 都不同。等保评价的是信息系统的安全保护能力（按等级分项打分）；27 号令评价的是电力监控系统的分区、隔离、加密三条边界是否成立，以及边界上的装置是否符合电力行业的专门要求。等保可以覆盖一部分主机加固与访问控制，覆盖不了「网闸是不是电力专用网闸」「纵向加密装置的证书是不是调度侧签发」。

领祺方案：三层合规检查，与等保并行不替代：

层	检查什么	证据物	周期
层 1 横向隔离	大区边界的装置型式、策略、单向性	装置型式证明、策略表版本、单向性测试记录	建设期 + 年度复核
层 2 纵向加密 + 证书	隧道、证书链、双平面	隧道建立日志、证书台账、切换记录	建设期 + 证书有效期驱动
层 3 网闸专项 + 旁路排查	除三道关口外是否存在第二条通路	网络拓扑核查记录、端口开放清单、无线与远程口清单	建设期 + 变更驱动

每一层都走「五列闭环」：检查项 / 证据 / 测评方式 / 整改 / 可审计。整改列不写「已整改」，写「整改前后的配置差异 + 复测时间 + 复测人」。

判据：三层各自的证据物能在同一份台账里按日期串联；任一层的「证据」列不允许出现「口头确认」；旁路排查至少有两条负向证据（例如「调试口已封堵」的封堵照片与端口扫描记录）。

可信度：B（推导。两层体系的差异为制度层面的工程解读；27 号令条文本身为 A 级，但与等保的对应关系没有官方逐条映射表，故整条按推导处理。）

现场追问（答疑现场的高频补问）：「旁路到底怎么查？」------按四条路径逐条查并留证：物理层（未登记的无线设备、移动介质、光纤直连）；网络层（未登记的路由与端口、临时网线、调试用交换机）；运维层（厂家自带远程通道、共享账号、跳板机绕行）；策略层（网闸策略里的临时放行与到期未回收的例外）。每条路径要有「查了什么、怎么查的、结果」三栏，负向结论也要有证据------端口扫描结果为空，也要把扫描范围与工具版本记上。

Q12 第三方运维要远程看数据，能不能直接开个 VPN 口给我们？

客户原话：「设备厂家说要做远程诊断，让我们在站里开个 VPN 口，他们连进来就能看数据。这样最省事，是不是可以？」

现象：远程运维口一旦开通，通常长期不关；账号共享；没有任何访问记录。测评或检查时，这个口就是「旁路」的证据------它绕过了所有三道关口，直接进到生产控制大区。

根因：把「人的通道」与「系统的通道」混为一谈。系统的通道要走分区与装置；人的通道要走「只读、可审计、可中断」的运维面。二者若不分开，运维便利一定优先于分区合规，这是所有现场的共同规律。

领祺方案：远程运维按「看得到、摸不着、留得下」三条落：

看得到：需要看的数据，经电力专用网闸单向上行到安全区 III 的镜像库，第三方只看镜像；镜像的刷新周期按数据类型分级（告警秒级、遥测分钟级、电能量小时级）。
摸不着：第三方在任何情况下不持有安全区 I/II 的账号与写权限；确需操作时，由站内运行人员在其监督下执行，操作账号是站内账号。
留得下：所有远程访问经过统一的运维审计入口，记录「谁、何时、从哪个地址、看了什么、导出了什么」；审计记录本地留存，且不能被被审计方删除。
无线与备份通道：站内若存在无线备份、厂家自带 4G 模块、调试用随身热点，必须列入旁路排查清单，纳入同一套审计。

判据：安全区 I/II 对外的开放端口清单里不存在任何面向第三方的交互式入口；镜像库的数据流向是单向的（有反向阻断测试记录）；运维审计记录可按人、按时间检索，且导出行为有独立告警。

可信度：A（官方。生产控制大区不得与外部建立非受控连接的要求见国家发展和改革委员会令第 27 号；镜像与审计的具体实现为工程口径。）

现场追问（答疑现场的高频补问）：「镜像数据会不会过期到不能用于分析？」------会，所以镜像要分级刷新且标注数据时点：告警与状态类秒级、遥测分钟级、电能量按结算周期回填。每条镜像数据在库里必须带「源时标」而不是「入库时刻」，否则事后对账会算出一段根本不存在的时间。凡是把镜像当实时源用的功能需求，设计阶段就要挡掉。

四验收取证类（Q13--Q16）

这一类的共同结构是：客户手里有一张签满字的验收单，但没有一份能在被质疑时拿出来的证据。验收的本质不是「确认它能用」，而是「证明它在这个状态下能用，并且这个状态被记录下来了」。

Q13 验收单上全是「正常」，专家问「凭什么说正常」，我们拿什么回答？

客户原话：「验收单每一项都打了勾，写的都是正常。可上次评审，专家问了一句『你这个正常是怎么测出来的』，我们现场没人答得上来。」

现象：验收单的典型形态是三列------项目、结论、签字。结论列全部是「正常」「符合」「满足」。被追问时，现场只能回忆「当时试过，是好的」。再过半年，连「当时是谁试的」都查不到。

根因：把「功能可用」当成了「能力可验」。功能可用是主观判断（我看它动了），能力可验是客观判据（在什么条件下、注入什么量、观察到什么、与什么比较、偏差多少、谁记录）。验收单承载的是结论，不是证据；而结论一旦离开证据，就只是一句意见。

领祺方案：每个验收项配「证据四件套」，四件缺一不算通过：

证据	形态	作用
配置快照	装置配置文件 + 版本号 + 校验值 + 导出时间	证明「当时是这套参数」
报文/数据抓包	端口镜像抓包文件或平台侧原始数据导出	证明「链路上真的跑了这些报文」
时序记录	带统一时标的事件序列（下发---执行---回执---实际值）	证明「动作是按顺序发生的，且花了多久」
签字确认	执行人、见证人、时间、所用仪器编号	证明「谁做的、用什么做的」

配套两条纪律：判据必须可复现 （同一命令、同一注入量，换个人能重跑出同样结果）；不通过项必须留痕（写清偏差值与原因，不许改成「正常」）。

判据：抽查任意三条验收项，都能在 10 分钟内调出对应四件套；任一条目的「结论」列后面能指到证据编号；验收单上不存在「正常」但无证据编号的行。

可信度：B（推导。证据四件套为我方交付口径，非条文规定；其必要性由验收场景的追问逻辑推导而来。）

现场追问（答疑现场的高频补问）：「证据存哪里、存多久？」------证据随项目归档，验收时冻结一个版本，之后只增不改。建议把配置快照、原始抓包、时序记录一起打包，附一份索引（证据编号 → 结论项 → 复现命令）。保存年限按项目档案要求与运行档案规定执行，各项目口径不同，需在合同或档案要求里写死，本稿不对年限做判断。

Q14 同一个功率值，PCS 显示、EMS 显示、主站显示三个数不一样，验收算谁的？

客户原话：「PCS 屏上是 48.6 兆瓦，EMS 上是 48.2，调度主站显示 47.9。三个数都『差不多』，可验收要对一个数，到底以哪个为准？」

现象：三个位置的同一个物理量出现系统性偏差，且偏差方向固定（不是随机抖动）。现场常见的处理方式是「取中间那个」或者「以主站为准」，理由是「调度看主站」。之后做 AGC 闭环时，偏差被放大成积分饱和或持续小幅超调。

根因：量测口径没有在联调前冻结。同一个功率值在链路上至少经过四次变换：互感器变比 （一次到二次）→ 装置系数 （二次到工程量）→ 规约传输 （归一化还是短浮点、有无取整）→ 主站显示（小数位、正负号约定、功率方向定义）。四次变换里任何一次的系数、取整方式、方向定义不一致，都会产生固定偏差。此外还有时标不同步：三个数如果不在同一时刻采样，比较本身就不成立。

领祺方案：先冻口径，再谈偏差。

口径冻结表：每个关键量（有功、无功、电压、电流、频率、SOC、可用容量）逐项写清：变比、装置系数、规约类型与量程、取整规则、正负方向定义（尤其是有功的「充电为正」还是「放电为正」）、采样周期、时标来源。
同源比对：比对必须在同一时标下进行。站内统一 IEEE 1588v2 对时，三个位置的采样时标差控制在毫秒级；比对时取同一时标窗口内的瞬时值，不用一段时间的平均值掩盖偏差。
偏差判据：以装置侧的关口计量为基准（它同时是结算与考核的依据），EMS 与主站的显示值与基准的偏差不超过该量程的 0.5%；超差时先查系数与取整，再查方向定义。
坏值与无效值：定义清楚「通信中断」「装置故障」「越限」三种状态在三个位置各自怎么显示，禁止用 0 表示无效（0 是一个合法值）。

判据：口径冻结表在联调开始前签字生效；同一时标窗口内三点偏差 ≤0.5% 量程；人为注入一次 50% 额定功率，三点同步上升且稳态偏差在限值内；断开一侧通信，另两侧对该点的状态标记为「无效」而不是保持旧值。

可信度：B（推导。偏差阈值 0.5% 量程为工程常用值，具体项目以关口计量精度要求与调度考核口径为准；GB/T 21359-2025 电力计量技术规范可作为精度侧的对照依据。）

现场追问（答疑现场的高频补问）：「如果偏差本来就是设备精度问题呢？」------那要靠「注入已知量」分辨：注入一个可溯源的标准量（现场校验仪或大功率负荷），三个位置同时读，比的是一致性而不是绝对值；绝对精度看各自的检验报告与误差限。验收关心的是「闭环能不能成立」，闭环成立的前提是偏差小且稳定，因此口径一致排在设备精度之前。

Q15 断网试验就剪一根网线看看能不能撑住，行不行？

客户原话：「断网试验不就是把上行网线拔了，看它还能不能跑？我们上次拔了五分钟，站里一切正常，就算通过了吧。」

现象：拔网线五分钟，画面正常、功率没掉、告警没响，验收单写「断网自治通过」。真正的断网发生在凌晨，同时伴随上级指令中断、对时丢失、备用通道不可用，站内表现与试验时完全不同。

根因：把「链路中断」当成了「断网」。断网是一个组合故障 ，至少包含四类中断：上行数据链中断 （与调度/集控失联）、对时中断 （失去 IEEE 1588v2 与 NTP 源）、上级指令中断 （AGC/AVC 目标值不再更新）、站内局部通信中断（某台 PCS 或某个 BMS 堆失联）。只拔一根网线，通常只覆盖了第 1 类，而且往往是相对容易恢复的那一类。

领祺方案：把断网试验做成矩阵，四类中断 × 三档时长，逐格给判据：

中断类型	注入方式	30 分钟	2 小时	4 小时
上行数据链	断开至调度的通信通道（A/B 同时断）	本地协调接管，功率波动 <5%	策略表持续执行，SOC 不越限	自治主控仍持有控制权
对时	断开 1588v2 与 NTP 源	时标偏差 <10ms	时标偏差 <100ms 且事件仍可排序	进入守时模式并告警
上级指令	停止目标值刷新	保持最后有效目标并标记「指令失效」	转入预置离线策略	策略按 SOC 与电价时段自动切换
站内局部	断开单台 PCS / 单堆 BMS	机群重分配，一个协调周期内完成	不影响其余单元	不触发保护误动

每一格都要记录：注入时刻、系统响应时刻、响应动作、恢复时刻、恢复后的补传行为。三档时长的意义在于------4 小时档验证的是「控制能力持续」，不是「电量够用」（见 Q17）。

判据：矩阵 12 格全部有记录；任一格出现「无响应」即判不通过；恢复后不出现数据风暴（见 Q19）；试验期间的站内事件记录与注入记录时间线能对齐。

可信度：B（推导。中断类型划分为工程分解，四类覆盖了现场绝大多数断网形态；具体项目的试验时长与判据以调度批复的涉网试验方案为准。）

现场追问（答疑现场的高频补问）：「4 小时试验要不要把上行通道真的断掉？」------要真断，且断的方式要写进试验方案（拔纤、断开交换机端口、停用接口三种方式对设备行为可能不同）。另外，试验期间不要只盯着画面，要同步记录站内频率与电压曲线、SOC 变化、指令来源标记、事件日志条数。画面「看起来正常」与数据「证明正常」是两件事。

Q16 并网前的涉网试验报告，你们出不出？

客户原话：「一次调频、AGC、AVC 这些涉网试验，报告是我们出还是你们出？招标文件里写『由投标方提供』，这个我们能接吗？」

现象：责任边界不清导致两种后果：一种是设备方承诺「报告我们出」，实际做不了（试验需要具备资质的机构与电网侧配合），节点前交不出；另一种是互相推，等到并网窗口临近才发现试验没排上。

根因：把「设备侧的测试记录」与「并网侧的涉网试验报告」当成同一份文件。前者是设备在出厂与现场调试阶段的性能记录，设备方可以提供且应当提供；后者是由具备相应资质的试验机构，在电网调度侧见证下按试验方案实施并出具的报告，其签署主体不是设备供方。

领祺方案：分三份文件，责任各自明确：

文件	出具方	内容	领祺承担
设备性能测试记录	设备供方	一次调频响应时间、调节精度、AGC/AVC 接口时序、通信中断行为	提供，含测试条件、注入量与原始记录
接口一致性证明	设备供方 + 集成方	104 点表一致性、61850 模型一致性、加密隧道建立记录	提供
涉网试验报告	具备资质的试验机构（调度侧见证）	一次调频、AGC、AVC、无功电压控制等并网性能	配合实施、提供设备侧配合与数据，不代签

标准侧的对照依据可用 GB/T 36547-2018《电化学储能系统接入电网技术规定》与 GB/T 36548-2018《电化学储能系统接入电网测试规范》；构网型相关性能对照 GB/T 47968-2026《构网型变流器通用技术规范》。具体项目的试验项目清单、试验机构资质要求、见证方式，各省细则不同，须按项目所在地的并网管理要求确认（待核）。

判据：三份文件在并网节点前齐备且签署主体正确；设备侧记录里每项都有测试条件与原始数据，不是结论式描述；涉网报告里的实测值与设备侧记录不矛盾，若矛盾有说明。

可信度：C（参考待核。设备侧与试验侧的责任划分为行业惯例；试验项目清单与机构资质要求各地不同，本稿不给出具体清单，实际以项目所在地并网管理要求为准。）

现场追问（答疑现场的高频补问）：「试验时间窗口怎么申请？」------涉网试验通常要提前向调度提出申请，内容包含试验方案、试验项目、预期扰动范围、配合方式与应急措施；涉及储能主动出力的项目还要说明功率变化速率限制与恢复条件。申请周期与所需材料各地不同，属地方并网管理要求，标为待核，本稿不给周期。

五断网自治类（Q17--Q20）

这一类的共同结构是：客户把「断网自治」理解成一个时长指标（能撑几个小时），而它其实是一组控制权与数据权的交接规则。时长只是结果，规则才是内容。

Q17 断网自治 4 小时是谁定的？我们储能只有 2 小时电量怎么办？

客户原话：「方案里写断网自治不少于 4 小时，可我们这套储能的满功率时长就只有 2 小时。那这个 4 小时是不是根本做不到？」

现象：把「自治时长」与「储能时长」画等号，于是得出「做不到」的结论；或者反过来，为了凑 4 小时把放电深度放宽，牺牲电池寿命。

根因：两个「时长」测的不是同一件事。储能时长 是能量指标------满功率能放多久；自治时长是控制能力指标------在与上级失联的情况下，站内能否持续完成「感知---决策---执行---记录」这个闭环。自治期间站内完全可以让功率跟随 SOC 与预置策略下降，甚至在 SOC 触底时按策略停机；这期间自治能力仍然成立，因为它守的是控制链，不是电量。

领祺方案：三级自治，按能力分层，时长与 SOC 解耦：

级	承担者	断网期做什么	与 SOC 的关系
级 1 本地控制闭环	PBox6219A + PBox6220-PQCT	维持并网点电压频率支撑、机群功率分配、AGC/AVC 目标由本地策略生成	与 SOC 无关，只要设备带电就成立
级 2 本地协调	PBox848F（安全区 I 内）	PCS + BMS + 能量表的本地协调，SOC 约束下重分配	随 SOC 下降调整出力上限
级 3 本地保护与安全	PBox6218E + PBox8620	联闭锁、保护配合、越限停机、事件记录	SOC 触底时执行有序停机

时长怎么定：按「最不利恢复时间」反推 ------从上级失联到通信恢复的典型时长，加上恢复后重新同步与接管所需的时间。工程上常用 4 小时作为设计目标（覆盖多数通信故障的抢修窗口），但它是设计取值 ，不是条文里的强制数字；有些项目按 2 小时或 8 小时设计，取决于通道条件与调度要求（具体取值依据待核）。

判据：三级自治的接管顺序与切换时延可测；SOC 从 100% 降到 10% 的全过程中，三级能力逐级降级且每一级降级有记录；SOC 触底时执行有序停机而不是直接跳闸；4 小时档试验期间控制链从未中断（见 Q15 矩阵）。

可信度：C（参考待核。「4 小时」为工程惯用设计值，本稿未查到将其写入强制条文的依据，故不按 A 级引用；三级自治的划分与降级逻辑为工程推导。）

现场追问（答疑现场的高频补问）：「4 小时自治和电池 SOC 到底是什么关系？」------自治时长决定「控制链不中断多久」，SOC 决定「能以多大功率运行多久」，两者相乘才是站能撑多久。常见做法是设一条 SOC 下限（例如 10%）：到下限之前自治能力完整，之后进入受控降功率自治，再之后执行有序停机------整个降级过程仍然是自治，因为它仍在做决策与执行，只是不再追求原来的功率水平。

Q18 断网期间调度下不了令，储能自己动作，出了事谁负责？

客户原话：「断网的时候站里自己调，万一调错了，责任算谁的？我们运行人员要不要手动干预？」

现象：断网期站内行为分两种极端：一种是完全冻结（保持最后指令不变，直到通信恢复），风险是失去电压频率支撑；另一种是自由发挥（本地逻辑按自己的判断大幅动作），风险是与恢复后的调度指令冲突。两种都会在事后追责时说不清「当时为什么这么动」。

根因：断网期的控制权归属没有事先定义。控制权是一个状态，不是一个默认值------它需要在「远方」「本地自动」「本地手动」三态之间明确迁移条件，并且每次迁移都要留痕。没有状态机，就没有责任链。

领祺方案：控制权状态机 + 离线策略表 + 全量记录，三件套：

状态机 ：定义四态------远方控制、本地自动（断网自治）、本地手动、停运。迁移条件写死：通信中断持续超过设定阈值 → 远方转本地自动；运行人员操作把手 → 本地自动转本地手动；通信恢复且校验通过 → 本地自动回远方（回切必须由运行人员确认，不自动回切）。
离线策略表：断网期不是「随便调」，而是执行一张事先审批过的策略表------按 SOC 区间、并网点电压频率区间、时段（峰谷）三维查表，得到出力目标与充放电方式。策略表要有版本号、审批人、生效日期。
全量记录：断网期间的所有量测、指令、动作、状态迁移写入本地循环存储，掉电不丢；恢复后按 Q19 的规则补传，形成完整时间线。
责任落点：断网期的动作责任落在「策略表的审批人 + 状态机的设计者」，而不是当班运行人员；运行人员的责任是「按规程确认状态迁移」。这一点在运维规程里要写清楚。

判据：状态机的四态与所有迁移条件有文档且与实现一致；断网试验中能看到状态迁移记录（含时间戳与触发原因）；策略表能按三维输入复现出与现场一致的目标值；断网期数据在恢复后可完整回放。

可信度：B（推导。控制权状态机与离线策略表为工程实践口径，非条文规定；责任划分属管理约定，需与业主运维规程一并确认。）

现场追问（答疑现场的高频补问）：「策略表审批要走到什么层级？」------至少要审三件事：策略表本身（每个区间的目标值与跳变限制）、状态机的迁移条件、断网期的责任说明。审批人与执行人分离，策略表的每次修改留版本。运行人员在断网期能做的只有两类操作：确认状态迁移、按规程手动接管；手动接管要留记录并在恢复后纳入复盘。

Q19 网络恢复了，断网期间的数据怎么补？会不会把调度主站冲掉？

客户原话：「断了两个小时，攒了一堆数据。一恢复就往主站推，会不会把主站打死？还是干脆不补了？」

现象：恢复瞬间出现两种情况之一：大量带时标的历史数据与实时数据一起上送，主站通道拥塞、实时数据延迟、甚至触发主站的流量保护；或者干脆丢弃断网期数据，事后无法解释那两个小时的功率曲线为什么是平的。

根因：补传没有分级、没有节流、没有时间窗。补传的本质是一次「历史数据的受控注入」，它必须回答三个问题：哪些先补 （优先级）、补多快 （速率）、补到哪一段为止（时间窗）。三个问题不答，补传就变成攻击自己主站的行为。

领祺方案：队列 + 分级 + 限速 + 窗口，四件事一起做：

本地队列：断网期数据按类型分别入队（事件/SOE、告警、遥测、电能量），队列落盘，掉电不丢，容量按最长断网时长的 2 倍设计。
分级补传：SOE 与告警优先（它们承载因果），其次电能量（它承载结算），遥测最后（它承载趋势）。同一优先级内按时间正序，不允许乱序上送。
限速：补传速率不超过实时通道带宽的 30%，且与实时数据共用通道时给实时数据让路；补传期间若实时数据延迟超过阈值，自动降速。
时间窗：只补最近 N 小时（按调度要求的考核窗口定），超出窗口的数据留在本地存档，不上送；上送的数据必须带原始时标，禁止用上送时刻替代。
压缩：遥测类按「变化上送 + 定时基准点」压缩，不允许把两小时的高频采样逐点推送。

判据：断开两小时后恢复，实时数据延迟不增加（或增加不超过阈值）；SOE 与告警在恢复后 5 分钟内补齐且时序正确；补传总量与本地队列记录一致；主站侧不出现因补传导致的通道保护动作。

可信度：B（推导。补传分级与 30% 带宽限制为我方工程口径；具体窗口与考核要求以调度侧规定为准。）

现场追问（答疑现场的高频补问）：「补传时主站要求实时性怎么办？」------有条件时把补传放到与实时不同的通道或不同时段（按调度允许的窗口）；无条件时按限速与让路规则挤占，并提前向调度报备补传计划（起止时间、量级）。最忌讳的是不报备直接灌------主站侧看到的不是「历史数据」，是一段无法解释的流量。

Q20 PBox8620 和 PEMS300 都能做本地协调，断网时到底听谁的？

客户原话：「你们说 PBox8620 是做断网自治的，可 PEMS300 里也有本地 AGC/AVC。真断了网，这两个谁说了算？会不会打架？」

现象：两个都能做本地协调的设备同时在线，断网瞬间各自按自己的逻辑计算目标值，下发到同一批 PCS。表现为出力在两个目标之间来回跳、AGC 指令频繁反向、SOC 快速抖动。现场常用的处理方式是「关掉一个」，但关哪个、什么时候关，没有规则。

根因：本地协调主控没有唯一化。冗余设计与双主控是两件事：冗余是「一个主控 + 一个待命，待命的随时可以接管但不主动下发」；双主控是「两个都主动下发」。前者需要心跳与仲裁，后者只需要运气。

领祺方案：唯一主控 + 明确降级 + 仲裁判据：

唯一主控 ：断网期以 PBox8620 为唯一本地协调主控，它持有「调度指令失效」这一事实并据此生成站级目标值；PEMS300 在断网期降级为「执行 + 监视」------它继续做数据汇聚与记录，但不再生成站级目标值，只接受 PBox8620 的目标并向下分解。
在线期的分工：通信正常时，站级目标来自调度（经 PEMS300 落地），PBox8620 处于「热备用」，它持续计算本地策略但不输出，只把「如果现在断网我会怎么调」的结果写入影子寄存器，便于切换时无缝接管。
仲裁判据：切换由三条同时成立的判据触发------调度通道心跳超时、加密隧道中断、上级目标值在设定周期内未刷新。任一不成立则不切换（避免单点抖动导致频繁切换）。
回切：通信恢复后不自动回切，由运行人员确认；回切前先比对「本地策略目标」与「调度下发目标」的差值，差值超限时先按斜率限幅过渡，避免功率阶跃。
PBox848F 的位置：在安全区 I 内做采集与边缘执行，接收主控目标、下发给 PCS/BMS，它不生成站级目标，避免出现第三个「主控」。

判据：断网试验中，同一时刻只有一台设备在向 PCS 下发站级目标（抓包可证）；切换过程中功率变化率不超过设定斜率；回切后十分钟内无反向指令；两台设备的心跳记录能对齐同一时间轴。

可信度：B（推导。唯一主控与降级关系为我方设计口径；仲裁判据中的超时阈值需按项目实际通道质量标定。）

现场追问（答疑现场的高频补问）：「为什么不是让两台都算、取个平均值？」------两个主控各自依据的采样时标、模型参数与目标版本可能不同，取平均既不可复现也不可追责；更要命的是两个目标同时下发到 PCS，机群会在两个目标之间来回摇摆。通行做法是「一主一备、备侧影子计算」：备侧一直在算但不输出，切主时用影子值起跳，把切换瞬态的功率阶跃压到最小。

六与既往 5 篇的边界声明（逐篇非重叠）

这一节的作用是防止读者拿旧稿来对照时产生「这篇是不是把某篇重讲了一遍」的疑问。每一行都对一篇既有稿件声明非重叠的边界，并写清「它讲什么、本篇讲什么」。五篇都是只读参照，未做任何改动。

既有稿件	它回答的问题	本篇与之非重叠的边界
040 二次系统选型手册（87,809 字节）	按「功能 / 分区 / 协议 / 调度 / 断网」五个维度做选型决策树，给配置清单与部署矩阵	040 是决策树体（给定维度往下走，得到型号）；本篇是问答体（给定客户原话往上拆，得到现象、根因与口径）。本篇非重叠之处在于不重画决策树、不重列配置主表，只回答「已经被问到的那 20 句」，且每题给出判据与证据物
052 27 号令 4 区横向隔离合规检查清单（40,979 字节）	三层合规装置（横向隔离 / 纵向加密 + 证书 / 网闸专项 + 旁路）的周期检查清单与五列闭环	052 是检查表（周期性、逐项打勾、面向测评与整改）；本篇非重叠之处在于选型期的边界装置归属判定------回答「这个装置该不该买、摆在哪个区」，不重列检查项、不重做整改台账。Q10 只解决「哪条边该摆什么」，不解决「怎么查」
055 五件套联调（IEC 104 / 61850 / 纵向加密 / 边缘控制 / 4 区）（70,259 字节）	接入层五件套的联调层：协议栈分层、点对点联调、6 条验收判据	055 是联调执行手册（怎么一步步调通）；本篇非重叠之处在于协议类问题只回答「为什么通了却没对」这一个提问角度（点表冻结、机制误推、语义映射），不复述联调步骤与抓包方法。Q5--Q8 的落点是责任划分与口径冻结，不是操作步骤
057 VPP 聚合商市场准入与结算（67,789 字节）	聚合商侧的准入卡口、调度对接时序、结算口径、分区落位四步法	057 面向市场主体身份侧（谁能入市、怎么对账）；本篇非重叠之处在于只在 Q7 提到聚合器作为协议出口（MQTT QoS 分级），不涉及准入材料、代理关系与结算口径。两篇的对象不同：057 的对象是聚合商，本篇的对象是站内二次系统
059 「四可」联调测试与签收判据（83,127 字节）	可观/可测/可调/可控四个测试域的签收判据与验收链	059 是测试域划分 + 判据表；本篇非重叠之处在于验收类四题（Q13--Q16）谈的是证据形态与责任主体（证据四件套、三点读数口径、断网试验矩阵、报告归属），不谈四可的定义与四域划分，也不重列签收判据表

一句话概括五条边界：040 给决策树、052 给检查表、055 给联调步骤、057 给准入与结算、059 给签收判据；本篇给的是「被问到时的答法」以及「答完之后拿什么证明」。

附 A 可信度分级口径（A / B / C / D）

四级的分法不是按「重要程度」，是按这句话的依据从哪里来、错了谁负责：

级	名称	判据	使用场景	对外表述纪律
A	官方	有公开发布的法规、部门规章、国家标准原文可查，且本稿引用的是其明确规定的内容	分区归属、横向隔离、纵向加密、装置强制要求	可直接引用，需带文号
B	推导	由条文或物理约束推导得出，无逐条明文；或为工程惯用阈值	台数推导、接口占用率、偏差限值、时序判据	引用时写明「按此推导」，不作绝对表述
C	参考待核	依据来自行业惯例、项目经验或他处引用，本稿未能核到原文	4 小时自治取值、试验项目清单、地方细则	必须写「待核」，不得作为承诺
D	竞品	结论来自同类产品或他方方案的公开资料，未做同台实测	与 PCS 自带功能的边界、与通用转换方案的路线对比	只作对照，不作优劣结论，需注明「以现场实测为准」

20 题分级分布（可逐条回查上文的「可信度：」行）：

题号	分级	一句话依据
Q1	B	台数由接口数与回路数反推
Q2	A	横向隔离要求见 27 号令
Q3	A	安全区边界纵向加密要求见 27 号令
Q4	D	与 PCS 侧构网功能口径对比，未同台实测
Q5	B	ASDU 类型与传送原因的工程组合
Q6	B	GOOSE 机制与 4ms 阈值属工程验收值
Q7	D	与通用协议转换路线的对比，未同台实测
Q8	A	双平面与纵向加密装置要求
Q9	A	控制功能落位要求见 27 号令
Q10	A	大区与安全区两层结构见 27 号令
Q11	B	与等保体系的差异为制度解读
Q12	A	非受控外部连接要求见 27 号令
Q13	B	证据四件套为交付口径
Q14	B	0.5% 量程为工程常用值
Q15	B	四类中断划分为工程分解
Q16	C	试验项目清单各地不同，待核
Q17	C	4 小时无条文依据，待核
Q18	B	控制权状态机为工程实践
Q19	B	补传分级与限速为工程口径
Q20	B	唯一主控为设计口径

统计：A 级 6 条（Q2、Q3、Q8、Q9、Q10、Q12）；B 级 10 条（Q1、Q5、Q6、Q11、Q13、Q14、Q15、Q18、Q19、Q20）；C 级 2 条（Q16、Q17）；D 级 2 条（Q4、Q7）。

附 B 名词与接口口径速查

B.1 20 问一句话索引（答疑现场速查表）

题号	一句话答案	落点
Q1	数量由接口数、回路数、会话数反推，不由功能个数决定	出图前的三张占用率表
Q2	网关不是隔离装置，跨大区必须由电力专用网闸占位	边界清单 + 旁路排查
Q3	内置加密模块管站内段，独立装置管跨边界与证书	证书台账 + A/B 双平面
Q4	构网分单机层与站级层，站级协调另有其人	并列试验 + 四项现场验证
Q5	点表不冻结，三份表各说各话	三表合一 + 版本号
Q6	MMS 通不代表 GOOSE 通，五件事决定 GOOSE	SCD + 抓包 + 压板
Q7	网关要转语义，不能只转语法	点表六项属性 + MQTT QoS 分级
Q8	双平面要三独立一可切，不等于买两份	A/B 独立组网 + 切换判据
Q9	控制不下云，监视可以上云	镜像单向 + 站内校验
Q10	横向隔离落在大区之间，区内是逻辑隔离	四条边界逐行落装置
Q11	等保过了不代表 27 号令不用再做	三层合规 + 五列闭环
Q12	远程运维看镜像、留审计、不碰 I 区	单向镜像 + 审计入口
Q13	验收单要挂证据，证据四件套缺一不算过	配置 + 抓包 + 时序 + 签字
Q14	三个数不一样是口径问题，先冻口径再谈偏差	口径冻结表 + 偏差判据
Q15	剪一根网线不算断网试验，四类中断 × 三档时长	断网试验矩阵 12 格
Q16	设备记录我方出，涉网报告由有资质机构出	三份文件分工表
Q17	自治时长是控制能力指标，与电量时长解耦	三级自治 + SOC 下限策略
Q18	断网期的责任落在策略表审批人与状态机设计者	控制权状态机 + 离线策略表
Q19	补传要分级、限速、有时间窗	本地队列 + 带宽占比上限
Q20	主控必须唯一，冗余不等于双主控	唯一主控 + 影子计算 + 仲裁判据

B.2 安全区命名（双重表述，全文统一）：27 号令的框架是「生产控制大区（内含安全区 I 控制区、安全区 II 非控制区）+ 管理信息大区（内含安全区 III 生产管理区、安全区 IV 管理信息区）」。不同场合另有「生产控制 I 区 / 管理信息 II 区 / 互联网 III 区 / 涉密 IV 区」的等价说法。本稿统一用「安全区 I / II / III / IV」，首次出现处标注所属大区，避免在两种命名之间换算出错。

常用端口与参数（工程口径，需与设备手册逐条比对）：

项	取值	备注
IEC 60870-5-104	TCP 2404	双平面各一条，主用与待命各自保持心跳
Modbus TCP	TCP 502	站内 PCS、能量表常用
Modbus RTU	485 串口	老设备与部分表计
CAN	CAN 2.0B	BMS 常用，注意私有扩展帧
GOOSE	二层组播，无连接	单台设备 8 个发送/接收块，<4ms（同一交换机内）
SV	采样值，每工频周波 80 点或 256 点两档	需与合并单元同步
对时	IEEE 1588v2 优先，NTP 兜底	站内统一源，交换机逐跳透传
MQTT	QoS 0/1/2 按数据等级	回执与告警 1，周期遥测 0，配置下发 2

「三个不能替代」（现场最高频的三处误用，逐条背下来）：

PBox848F 是储能专用边缘计算网关，不是横向隔离装置，不能替代电力专用网闸。
PEMS300 集成的加密模块是场站侧辅助，不能替代独立的电力专用纵向加密认证装置。
普通 NTP 对时不能替代 IEEE 1588v2 的站内同步精度（尤其是 GOOSE 与 SV 的动作时序记录）。

术语速查：

断网自治：与上级失联时，站内维持「感知---决策---执行---记录」闭环的能力，与储能电量时长不是同一件事。
点表冻结：把装置侧、规约配置侧、主站侧三份点表合成一份带版本号的主表，改动走版本。
唯一主控：同一时刻只有一台设备生成站级目标值；冗余不等于双主控。
证据四件套：配置快照、报文抓取、时序记录、签字确认，验收项缺一不算通过。
五列闭环：检查项 / 证据 / 测评方式 / 整改 / 可审计。

B.4 答复口径速记卡（贴在工位上的十条）

型号怎么答：先说角色，再说数量推导依据，最后报接口占用率。三步缺一，业主就会追问「到底几台」。
边界怎么答：先说落在哪个大区、哪个安全区，再说跨区靠哪一台装置。反过来先说型号，等于让人自己去推分区。
协议怎么答：先说这条链路上跑什么报文、多久一轮、用什么时标，再说对不上时该查哪三张表。上来就讲规约编号，对方接不住。
加密怎么答：站内段与跨边界段分开答，不要合成一句「都有加密」。合成一句，等于没答。
时延怎么答：任何时延承诺都要挂「统一时标源」这个前提；没有统一时标源的时延数字，现场一测就散。
验收怎么答：结论后面必须跟证据编号；没有证据的项写「未测」，不写「正常」------写了「正常」就要能被复现。
偏差怎么答：先分清是「口径不一致」还是「设备精度不够」，再谈限值。顺序反了，就会把改点表的事说成换设备。
断网怎么答：先定控制权归属，再谈自治时长。顺序反了，话题一定会在「谁负责」上谈崩。
补传怎么答：先答会不会冲击实时，再答补什么、多快、补到哪一段。对方最担心的是主站被打挂，不是历史数据缺失。
越界怎么答：遇到超出本篇范围的题，给出边界指向，不硬答。硬答出来的口径，日后会被拿来对条款。

本稿不覆盖的内容：不给出任何装置选型以外的商业条件；不给出试验机构与地方细则的具体清单（相关条目已标 C 待核）；不涉及聚合商准入与结算口径（见 057 的边界），不涉及四可测试域划分（见 059 的边界），不重列配置主表（见 040 的边界）。