4. 告警来源与分类

在SCADA系统中，告警不是单一来源的“报警声”，而是由多种采集通道、设备状态和系统事件汇聚而成的信息集合。理解告警来源与分类，是后续分级、抑制、关联和处置的基础。如果来源不清，就容易把“通信抖动”误判为“设备故障”，把“保护动作”降级为普通越限，导致处置优先级错位。本节从工程视角梳理七类主要告警来源，说明它们的产生机制、典型特征和识别要点。

一、遥测越限：模拟量越过阈值

遥测越限来自模拟量采集，如电压、电流、功率、温度、压力、流量等。SCADA周期性地从RTU或IED读取这些量，并与预设阈值比较。常见阈值包括上限、下限、上上限、下下限，以及变化率阈值。例如某10kV线路电流额定值为400A，设定上限告警为440A（110%）、上上限为480A（120%），当采集值连续3个周期超过440A时触发越限告警。

越限告警的关键在于“阈值+延时+死区”三要素。延时用于抑制瞬时波动，死区用于防止在阈值附近反复抖动。工程中常配置：越限延时2s、死区为量程的1%～2%。若只设阈值不设延时，雷击或负荷冲击会造成大量瞬时告警。识别越限告警时，应关注量测点、越限方向、当前值、阈值和持续时间，这些字段决定了它是否值得升级处理。

二、遥信变位：开关量状态改变

遥信变位来自开关量输入，如断路器分合位、隔离开关位置、保护硬接点、阀门开关状态等。SCADA通过双点遥信或单点遥信采集状态，当状态与上一周期不一致时产生变位事件。典型配置包括变位确认时间、抖动滤波和SOE时标。例如断路器辅助接点从“合”变为“分”，若在200ms内稳定保持，则记录为一次分闸变位，并带时标上送。

遥信变位的核心价值在于“事件顺序”。在故障分析中，SOE时标精度直接影响因果判断。若通信中断导致时标丢失，变位事件可能被批量补传，造成时间失真。因此，遥信变位告警应重点核对时标来源、是否带SOE、是否与保护动作信号关联。

三、保护动作：继电保护装置出口

保护动作是电力系统中优先级最高的告警来源之一。它来自继电保护装置的跳闸出口、保护启动、重合闸动作等信号。保护动作通常通过硬接点或GOOSE、MMS等通信方式上送。典型信号包括“保护跳闸”“重合闸动作”“保护装置告警”“CT断线”等。

保护动作与遥信变位的区别在于：遥信变位是状态变化，保护动作是保护逻辑判断后的出口行为。例如线路发生短路，保护装置检测到过流并达到整定值，经延时后出口跳闸，同时上送“过流I段动作”信号。SCADA收到后应将其标记为“保护动作”类，而不是普通遥信变位。识别要点是信号名称、保护装置地址、动作时间、是否伴随跳闸位置变位。

四、通信中断：通道或设备失联

通信中断告警来自SCADA与RTU、IED、网关之间的通信链路。常见判据包括：轮询超时、心跳丢失、TCP连接断开、串口无响应。例如SCADA每5s轮询一次RTU，若连续3次无响应，则判定该RTU通信中断，并产生“通道故障”告警。

通信中断的典型特征是“批量性”：一个RTU失联，其下所有遥测、遥信点同时变为无效或旧值。此时不应逐点告警，而应产生一条通道级告警，并抑制该通道下的派生告警。工程中常配置通信中断延时（如15s）和恢复确认，避免因短时干扰误报。识别时需区分“通道中断”与“设备故障”：通道中断是“联系不上”，设备故障是“联系上了但设备异常”。

五、设备故障：站内设备异常

设备故障告警来自变压器、断路器、GIS、直流系统等设备自身的监视信号，如“变压器轻瓦斯”“断路器弹簧未储能”“SF6气压低”“直流接地”等。这类信号通常由设备本体接点或智能终端上送，反映设备内部异常，但不一定立即跳闸。

设备故障与保护动作的区别在于：保护动作是“已经动作”，设备故障是“设备状态异常，可能发展为故障”。例如“变压器油温高”是设备故障类告警，若继续升高可能触发保护动作。识别时应关注设备类型、故障部位、严重程度和是否伴随其他信号。

六、网络安全事件：非法访问与异常行为

随着SCADA系统接入网络，网络安全事件成为独立告警来源。典型事件包括：非法登录尝试、未授权IP访问、端口扫描、协议异常、配置变更、恶意软件告警等。例如某SCADA前置机在1分钟内收到来自非信任IP的20次登录失败，触发“暴力破解尝试”告警。

网络安全事件的特点是“非物理量”，不直接对应一次设备状态，但可能预示入侵风险。识别时应关注源IP、目标资产、事件类型、频次和是否成功。此类告警通常由安全监测平台或SCADA自身安全模块产生，需与运维告警分开管理，避免被淹没。

七、环境与辅助系统告警：站内环境与辅助设施

环境与辅助系统告警来自站内环境监测和辅助设备，如温度、湿度、水浸、烟感、门禁、空调、消防、UPS等。例如电缆沟水浸传感器动作、蓄电池室温度超过35℃、UPS市电失电等。这类告警不直接反映一次设备故障，但可能影响设备运行环境，进而诱发故障。

识别要点是：告警位置、环境参数、是否影响主设备、是否需要立即处置。例如“主变室温度45℃”在夏季可能只是高温，但若伴随“主变油温高”，则需升级处理。

分类识别的工程要点

七类告警在SCADA中往往同时出现，识别时不能只看信号名称，还要结合采集通道、时标、质量码和关联关系。例如“断路器分位”既可能是正常操作，也可能是保护跳闸的结果。若同时收到“保护跳闸”信号，则应归为保护动作类；若只有遥信变位且无保护信号，则可能是人工操作或机构偷跳。

再如“通信中断”与“设备故障”容易混淆。若RTU失联，其下所有点变为无效，应产生通道级告警；若RTU在线但某设备信号异常，则应归为设备故障。工程中常通过“通道状态点”与“设备状态点”分开建模，避免逻辑交叉。

网络安全事件和环境告警虽然不直接对应一次设备，但也不能忽略。它们往往需要独立的告警窗口和处置流程，避免与电网告警混在一起，影响运行人员判断。

掌握告警来源与分类，本质上是建立“信号—来源—处置”的映射关系。只有先分清告警从哪来、属于哪一类，才能在后续分级中做出正确判断，避免“一刀切”或“误升级”。下一阶段将在此基础上，进一步讨论告警分级的依据与规则。