INtime 实时扩展技术在高压直流输电控制和保护系统中的应用

鲁 江，沈 刚，张少波，吕 行

（南京南瑞继保电气有限公司, 江苏省南京市 211106）

摘要：介绍了基于INtime软件的Windows实时扩展技术，结合高压直流输电控制和保护系统的特点分析了该技术对提高系统实时性和可靠性的作用，给出了该技术在高压直流输电控制和保护系统开发中的实现方法以及测试结果，验证了该技术对高压直流输电控制和保护系统的适用性。

关键词：实时操作系统；实时扩展；高压直流输电；直流控制和保护系统

中图分类号： TM721.1

0 引言

近年来，由于在长距离输电和大交流系统联网中的优势，高压直流输电技术在国内得到了快速应用。未来若干年，±800kV 特高压直流输电工程也将建成投运。由于高压直流输电系统的传输容量很大，一旦系统发生故障会对两侧的交流系统产生较大的影响，因此其运行的可靠性和安全性就显得极为重要。

高压直流输电控制和保护系统是直流输电系统安全、可靠、稳定运行的保障，而软硬件平台技术则是其中的关键技术，先进、可靠、扩展性强的软硬件平台可以最大限度地保证系统运行的可靠性，并减少庞大系统的维护工作量。

本文研究的高压直流输电控制和保护系统采用基于工业PC的技术方案，其硬件系统以多处理器的工业PC 作为主计算机，通过PCI 总线灵活扩展高性能外围控制板卡构成，其软件系统采用Windows XP Embedded（以下简称XPE）＋INtime实时扩展，该方案能充分发挥多处理器系统强大的并行运算能力，具有处理速度快、功能强大、稳定可靠、易于进行功能扩展的优点。

1 系统实时性要求及操作系统平台

1.1 直流控制保护主机的任务及实时响应要求

高压直流输电控制和保护主机上的任务主要包括控制保护功能和管理监视功能两大类。

控制保护包括直流系统的控制功能和直流保护功能，它是直流系统最核心的任务，它要对一次系统信号的变化进行快速响应，其中实时性要求最高的任务响应时间要求不超过1毫秒，才能保证逻辑运算的正确性。管理监视功能主要包括与后台系统的通讯、数据更新、事件记录保存和故障录波数据保存等任务，这类任务实时性要求不高。

在直流控制保护系统工作过程中，必须同时执行多个任务，各功能处理都是在同时进行的。

以上这些特点要求直流控制保护主机的操作系统必须是多任务操作系统，同时具备足够的实时任务处理能力。

1.2 直流控制保护系统的操作系统平台

采用XPE＋INtime 实时扩展方案作为操作系统平台是基于对操作系统的实时处理能力、系统的可靠性、软件开发手段的高效成熟，以及系统维护的便利性等各方面的综合考虑和评估。

采用XPE 系统作为基础操作系统，可以快速地在系统中集成各种成熟的应用功能，如SQL事件记录、图形化就地控制操作、与后台系统的数据通讯、对就地I/O装置的图形化监视管理等，为系统提供强大的对外信息交互能力，方便系统的日常管理、监视和维护。

在XPE系统上增加INtime实时扩展，将实时性要求苛刻的任务交由INtime实时系统来管理，确保了实时任务运行的实时性和可靠性。

2 系统实时性能分析

2.1 实时操作系统及其要求

实时操作系统是指计算机能及时响应外部事件的请求，在规定的严格时间内完成对该事件的处理，并控制所有实时设备和实时任务协调一致工作的操作系统，其行为必须具有确定性和可预测性，并且与系统当前的运行负载无关。它至少应满足以下几个方面的基本要求[1～2]：

1) 操作系统必须是多任务和可抢先的；

2) 任务必须支持优先级概念并具有足够多的优先级别；

3) 任务间的同步与切换必须是可预测的，支持可预测的同步机制；

4) 操作系统的性能（中断延迟、线程切换延迟等）必须是已知的或可预测的。

2.2 XPE 系统实时性能

XPE 系统以组件化的形式提供 Windows XP操作系统的功能，它采用与Windows XP Professional相同的二进制代码，通过对操作系统的裁剪配置，选择系统所需的定制化特性功能，既能充分利用Windows 平台提供的最新技术，同时能减少内存占用，有效提高系统运行的效率和可靠性。

XPE 是具有抢先式多任务处理能力的操作系统，其具有实时操作系统的一些基本特性，近年来在计算机控制领域有大量应用，很多商业公司和科研机构对其实时性能进行了研究和测试。XPE可用于软实时控制已基本达成共识，但在硬实时控制领域，多数研究者认为需要对其进行实时扩展才能满足要求[3]。

2.3 INtime实时扩展

INtime是由美国TenAsys公司开发的基于Windows操作系统的实时解决方案，是唯一资源受到完全保护，并且当Windows发生故障时仍能独立运行的解决方案[4]。

2.3.1 INtime体系结构

INtime 软件所采取的方法是在加载 Windows操作系统的同时加载一个实时操作系统，以便它们共享相同的 CPU 和中断硬件，但在其他方面相互独立。每个操作系统都被封装为一个虚拟机，各自具有自己的描述符表、内存管理等。

INtime和它的应用都是运行在完全独立于Windows的环境中，这种方式的优点是安全和可靠，可使实时应用免受Windows系统故障的影响。

其体系结构如图1所示：

INtime使用x86架构CPU的硬件多任务机制来实现Windows和INtime之间的切换。Windows系统的进程和线程都成为了INtime的一个低优先级线程。当实时活动发生时，计算机上下文将切换到INtime实时操作系统。当这些活动完成后，计算机上下文将切换回 Windows操作系统。

2.3.2 对于外部事件的响应

外部事件被转化为实时中断请求，当在INtime 上下文中时，任何实时中断都被直接处理，并且所有其他中断都在中断控制器被屏蔽。当上下文返回到 Windows时，这些中断将被解除屏蔽，以使其可以被Windows 正常处理。当在Windows 上下文中发生实时中断时，将插入Windows 中断描述符表 （IDT）以引起到 INtime上下文的上下文切换，以便可以处理实时中断。由此可见INtime 对实时中断的处理不会受到Windows 系统的影响。

INtime对实时中断的处理采用与Windows XP类似的方式，使用基于中断请求级别（IRQL）的可抢先中断服务例程（ISR）及中断服务线程（IST）进行响应处理。为了避免长期阻塞优先级较低的外部中断，对中断分为两个阶段来进行处理：首先使用一个尽量短小的ISR 保存硬件状态并确认中断，将剩下的工作放入随后执行的IST 中。在ISR中只完成尽可能少的工作，剩下的工作由IST 来完成。虽然IST 类似于Windows XP中的延迟过程调用（DPC）处理，但其采用优先级方式来代替DPC 的先进先出队列（FIFO）处理方式，高优先级的IST 总是能被优先执行，从而避免了Windows 系统的中断处理随机和不确定延迟问题，保证了中断处理的确定性[5]。

2.3.3 线程调度

INtime 的任务执行与调度的单位是线程，它实现了一个基于优先级的抢先式多任务调度系统。INtime实时内核支持256 个线程优先级，调度系统总是运行优先级最高的就绪线程，对于具有相同优先级的线程，采用时间片时钟算法进行调度。丰富的优先级别可以用来对一个复杂实时系统的各任务线程进行细致的划分，保证其执行的先后次序严格确定。

它还提供了一套完整的进程间通信（IPC）和同步机制，通过采用优先级继承机制来避免优先级倒置的发生，对于信号量则提供FIFO 队列和优先级队列两种方式，优先级方式保证了信号量在请求、释放中的确定性。

2.3.4 时钟分辨率

INtime实时内核可以提供最小达100微秒的时钟分辨率，保证了苛刻的实时响应要求。

由前面的分析可知，INtime 中运行的实时任务的行为是可预知的，它保证了实时任务处理的确定性和实时性，可满足大多数要求苛刻的应用程序的高端实时需求。

3 INtime 在直流控制保护系统中的应用

3.1 直流控制保护任务的调度

直流控制保护主机上有各种控制保护功能在同时运行，各功能的执行采用一个由外部定时中断驱动的任务调度来实现。控制保护功能的各功能块根据实时响应的要求被划分成若干个任务等级，各等级的任务块必须在要求的时间周期内得到执行运算，不能因任务负荷较重而出现调度延迟的情况。

因此对于直流控制保护主机程序的开发而言，一个重要的工作是按照控制保护各功能的实时响应要求将其合理拆分到若干个任务级别上，每个任务级别按照其调度周期安排合适的任务量，通过INtime的内核调度机制保证各任务级别上的任务在其对应的时间周期内完成。

任务调度结构如图2所示，类似于一个三维矩阵，X 轴代表任务级别，Y 轴代表不同的控制保护功能，Z 轴代表每个功能中的子功能块。最高任务级别任务一的执行周期为1毫秒，其它级别为其整数倍。

3.2 系统软件结构

由于该系统的操作系统平台由XPE和INtime两部分组成，因此控制保护主机的功能可根据其实时性要求进行分配，实时性要求高的控制保护功能安排在INtime中完成，实时性要求不高的功能安排在XPE 中完成。运行在XPE 环境下的进程和运行在实时操作系统环境下的进程各自独立运行，相互之间通过共享数据区进行数据交换。

系统的功能划分如图3 所示，各进程的功能说明如下：

1）录波处理进程：该进程负责从共享数据区中读出故障录波数据，生成录波文件；

2）事件处理进程：该进程负责从共享数据区中读出事件数据，并保存到数据库中；

3) 外部监视处理进程：该进程负责更新后台数据，接收从后台发来的各种命令，并返回适当的处理结果。

4) 实时进程：该进程负责INtime 环境下的控制保护功能的调度执行，搜集各类事件，响应后台发来的各种命令等。

3.3 Windows 失败检测

Intime 实时系统的一个重要优点是它能够检测到 Windows 平台何时失败，而其自身的运行不受该故障的影响[6]。

如果出现这种故障情况，INtime 内核将通知所有运行的进程 Windows 已经失败，并且还将负责调度 Windows的线程挂起。此时，INtime 内核可以继续无限期地执行这些进程，而不受Windows 系统故障的影响。除了损失部分Windows部分的功能外，不影响实时系统中控制保护功能的继续运行。

在稍后某个适当的时刻，关闭或重启计算机，以排除Windows 引起的主机故障，恢复到正常运行状态。

这一特性使系统运行的可靠性得到了有效保证，避免因Windows故障导致直流输电系统运行

的不稳定。

3.4 测试结果

经过对在该操作系统平台上开发的直流控制保护主机软件进行的测试表明，该平台很好地满足了直流控制保护系统稳定可靠的要求。主要表现为：

1) 最苛刻的1 毫秒级别的任务能在要求的时间周期内完成全部工作，未出现调度延迟的现象。

2) 在主机上模拟Windows 系统蓝屏故障，INtime中的控制保护功能继续正常运行，直流动模的一次系统运行工况保持稳定，未出现有功无功波动、极闭锁停运等情况，控制系统仍可以对外部信号变化作出正确的响应，相关的直流保护功能能够正确动作。

4 结语

基于XPE＋INtime 实时扩展的直流控制保护软件平台既保证了直流控制保护系统对实时性能的高要求，又结合了Windows XP系统易于功能扩展，拥有丰富的功能支持的优点，提供了性能可靠、功能强大、易于维护的解决方案，很好地适应了庞大复杂的高压直流输电控制和保护系统的要求。

参 考 文 献

[1] Martin T, Jean C M. Windows NT as Real-Time OS. Real-Time Magazine, 1997,（2）：6～13

[2] Microsoft Corporation. Real-Time system and Microsoft Windows NT [CD/OL]. MSDN，1995-7-29

[3] Andreas Harnesk, David Tenser. Real-Time Performance of Windows XP Embedded. ABB Corporate Research Technical report, April 30, 2006

[4] TenAsys Corporation. INtime? Software User Guide. Technical Paper,May 2005

[5] TenAsys Corporation. INtime Interrupt Latency Report. TechnicalPaper, November, 1998

[6] TenAsys Corporation. Real-time Recovery After a Windows NT Crash.Technical Paper, May, 1998

鲁 江（1979－）, 男，硕士，研究方向为高压直流输电控制和保护系统。

沈 刚（1972－）, 男，高工，主要从事电力系统及其自动化的研究和开发工作。

张少波（1975－）, 男，硕士，主要从事嵌入式系统的研究和开发。

吕 行（1975－）, 男，工程师，主要从事电力系统通信和监控软件的开发工作。

Application of INtime on HVDC Control and Protection System

LU Jiang, SHEN Gang, ZHANG Shaobo, LV Xing (Nanjing NARI-Relays Electric Co Ltd, Nanjing 211106, China)

Abstract: This document indroduces the Windows real-time extension technology based on the INtime software, and analyses the effect on improving the real-time performance and reliability of the HVDC control and protection system by using this technology. The realization method and the test results about the use of this technology in the development of the HVDC control and protection system are described. The applicability of this technology on the HVDC control and protection system has been validated by tests.

Key words: real-time operation system；real-time extension；HVDC transmission；HVDC control and protection system