微物联研究院
直接回答
联动该本地做还是等平台做？答案是：越致命的动作越靠近设备本地。毫秒级的短路与人身保护必须硬接线执行，秒级的减载排风交给本地控制器，分钟级的通知工单才交给平台——网络只承担优化与可视化，不承担保命。
某园区把配电柜的变压器过流跳闸做成了"平台远程指令"：值班室点击"分闸"，平台下发指令给网关，网关再驱动断路器。听起来很智能，直到一次施工挖断光纤——通信中断的 3 分钟里，一台变压器恰好内部短路，本地没有任何动作，全靠上游总开关越级跳闸，变压器烧损过半。复盘结论只有一句：保命动作不能等平台。
因为：
- 毫秒级动作必须本地硬接线：保护继电器固有动作时间 5~20ms，断路器全开断 40~80ms，网络根本追不上；
- 秒级动作交给本地控制器：减载、排风、消防联动 1~5s 内完成，靠网关/PLC 本地逻辑，不依赖通信；
- 分钟级动作才交给平台：通知、工单、统计、优化，断网半小时也无所谓；
- 致命动作永远最高优先级：任何远程指令都不得覆盖本地保护。
关键认知：联动不是"能不能做"，而是"该在哪一层做"。把关键联动放到网络层，等于把安全冗余建立在最不稳定的环节上。
某港口配电房做过一次"双保险"改造：把所有跳闸都做了本地硬接线联锁，同时把动作记录上送平台。半年后一次雷击导致通信交换机烧毁，本地保护依然 80ms 内完成开断——值班室第二天才看到告警，但设备毫发无损。
一、三层联动：响应速度决定执行位置
联动的核心约束是时间。从事件发生到动作完成，可用时间决定了该用哪一层执行。
第一层：本地硬接线（毫秒级）
- 保护继电器固有动作时间 5~20ms，加断路器机构开断 30~60ms，全链路 40~80ms；
- 典型动作：短路跳闸、人身安全（急停、弧光保护）、母线失压联跳；
- 实现方式：电流/电压/弧光信号 → 继电器 → 硬接线直接驱动分闸回路，全程无软件、无通信、无处理器参与；
- 可靠性来源：无源、无程序、无依赖——即使控制电源消失，跳闸回路靠电容储能或机械保持仍能动作。
第二层：本地控制器逻辑（秒级）
- PLC/边缘网关扫描周期 10~100ms，加上判断与出口延时，动作在 1~5s 内完成；
- 典型动作：过载减载、排风启动、电容器自动投切、备自投切换；
- 实现方式：控制器本地程序判断，出口继电器驱动，同一台设备内闭环；
- 可靠性来源：不依赖上位机与网络，单机自治。
第三层：平台远程（分钟级）
- 局域网指令往返 10~50ms，跨厂区 50~200ms，云平台 200ms~2s，加上人为确认，实际动作分钟级；
- 典型动作：远程分合闸（人工确认后）、参数下发、联动预案切换、工单派发；
- 实现方式：平台 → 网关 → 设备，链路长、环节多；
- 定位：优化与可视化，不是保护。
三层之间的分工原则：可用时间越短的动作，越往设备本地放。能用硬接线绝不用软件，能本地绝不上平台。
二、为什么硬接线不能被软件替代
很多人觉得"继电器逻辑太落后，用程序更灵活"。这是把可靠性当成了灵活性。
硬接线的四个不可替代特性：
- 无软件故障面：没有程序就没有死循环、没有内存泄漏、没有版本升级出 bug；
- 无通信依赖：信号从互感器到继电器到分闸线圈，全程铜线，断网断电都不影响（前提是电源独立）；
- 确定性时延：继电器 5~20ms 是物理特性，可验收、可复测；软件时延受负载和调度影响，波动大；
- 可现场验证：用测试按钮就能验证整条回路，不需要依赖任何平台在线。
软件的适用边界：灵活逻辑（多条件组合、时序调整、趋势判断）属于控制器与平台。但"最终动作出口"必须有一道硬接线兜底——程序判断再聪明，出口继电器和分闸回路必须物理存在。
典型错误：把"过流跳闸"做成纯软件逻辑（网关读电流→判断→发指令给断路器），控制器死机或通信断，跳闸就没了。正确做法是：保护继电器硬接线跳闸为主，软件记录和告警为辅。
三、通信中断时的降级行为
联动方案必须回答一个问题：通信断了，系统怎么办？
正常状态：三层各司其职，平台实时监控、下发优化指令、推送告警。
通信中断状态（降级行为）：
- 第一层（硬接线）：完全不受影响，继续毫秒级保护；
- 第二层（本地逻辑）：继续执行本地程序——减载、备自投、排风照常，只是不向平台上报；
- 第三层（平台）：所有远程指令失效，平台侧显示"通信中断"；
- 关键：降级不是"瘫痪"，而是回到"本地自治"——这正是分层设计的目的。
降级设计的三条硬规则：
- 通信中断时，本地逻辑必须维持原有保护与联锁功能，不得因"收不到平台指令"而停止动作；
- 任何依赖平台的联动（远程分合闸、预案切换）在中断期间必须闭锁，防止"半路指令"误动；
- 恢复通信后，状态自动同步，但不自动执行中断期间积压的指令——由人工确认后执行，防止补刀误动。
案例：某数据中心 UPS 供电的联动回路，通信交换机故障 40 分钟，本地备自投逻辑照常完成 3 次切换，机房无感；恢复后平台自动同步了 40 分钟的状态曲线，值班人员核对无异常。如果当时把备自投也做成平台指令，这 40 分钟就是灾难窗口。
四、本地逻辑与平台指令的优先级
优先级不是"谁说了算"，而是谁更接近安全底线。
优先级从高到低：
- 本地保护（继电器硬接线）：最高，任何指令不得覆盖；
- 本地联锁（控制器逻辑）：次高，平台指令不得越过它执行；
- 平台联动（远程指令）：仅在本地逻辑允许的范围内生效；
- 通知与记录：最低，只影响"人知不知道"。
冲突处理原则：
- 平台下发"合闸"，本地逻辑判断"母线有压、接地信号存在"→ 拒绝执行并上报；
- 平台下发"减载"，本地逻辑判断"该馈线正在带重要负荷"→ 提示人工确认；
- 平台下发"退出保护"→ 本地必须拒绝，除非有双重授权且现场确认。
常见错误：把平台远程指令的优先级设计得高于本地联锁，比如"远程急停"直接绕过本地安全条件。结果一次误操作，平台一个指令直接跳掉整条母线。正确做法：远程指令必须经过本地逻辑的安全校验，本地安全条件是远程指令的"门卫"，不是"摆设"。
五、联动回路的电源独立性设计
联动执行得再快，电源没了全是空谈。电源独立性是联动可靠性的最后一道物理保障。
三层电源设计：
- 主控电源：控制母线 DC 220V / DC 110V，负责控制器、网关、指示；
- 联动执行电源：独立 24V DC 或与保护回路共用控制母线，负责出口继电器、联动线圈——关键：联动电源不得与通信设备共用同一路，通信交换机烧毁不应影响联动出口；
- 后备电源：UPS / 电池，后备时间至少 30 分钟（消防联动等关键回路按规范更长），保证通信中断+市电失压时本地逻辑仍有电可动。
防跳与保持：断路器分闸线圈按"短时通电+防跳"设计，防止合分反复；联锁回路加保持继电器，动作后保持状态，避免电源抖动导致误复归。
案例：某工厂联动改造，把减载出口继电器和通信交换机接在同一路 24V 电源。一次浪涌烧了交换机电源模块，减载联动同时失电，两台电机过载未减载烧毁。改造后联动电源独立，交换机随便坏，减载照常。
六、产品怎么落地：数字化电气智能监管系统的分层实现
微物联的数字化电气智能监管系统正是按"三层联动"架构落地：
- 本地保护与硬接线联锁：作为独立物理层，不依赖平台，保障毫秒级动作；
- 边缘计算网关（FEXLINK 边缘计算网关）：承担秒级本地逻辑——减载、备自投判断、排风联动，断网自治；
- 千知告警引擎：承担分钟级通知与工单——分级推送、闭环跟踪，通信恢复后自动补发；
- 天衍引擎（趋势预警算法）：提前发现隐患，把"突发故障"变成"计划处理"——给本地保护争取时间，而不是替代本地保护。
设计原则一句话：平台让联动更聪明，本地让联动更可靠。 天衍发现趋势、千知负责通知、网关执行本地动作、硬接线兜底保命——四层各司其职，任何一层失效，其余照常。
七、现场常见错误
- 把跳闸做成平台软件指令：通信断就失效。后果：故障时保护不动作，设备烧损、越级跳闸扩大停电。正确做法：保护继电器硬接线跳闸，平台只记录。
- 联动回路与主控共用电源：主控故障或电源浪涌，联动全瘫。后果：减载、备自投全部失电失效。正确做法：联动执行电源独立，后备 UPS 至少 30 分钟。
- 通信中断无降级策略：默认"等平台指令"。后果：中断窗口内所有联动停摆，等于裸奔。正确做法：预先定义降级行为，本地自治兜底。
- 远程指令优先级高于本地联锁：平台一个误指令绕过安全条件。后果：误跳母线、误并网、人身风险。正确做法：远程指令必须过本地安全校验。
- 联动回路无防跳设计：合分反复，机构磨损、系统振荡。正确做法：分闸回路加防跳继电器。
适用范围与限制
本文讨论工业/建筑配电的联动分层设计原则，适用于低压至中压配电系统。具体继电器选型、回路参数以工程设计和设备手册为准；消防联动等受强制规范约束的回路，必须满足 GB 50116 等相关要求；案例均已脱敏（某园区/某港口/某数据中心），不指向任何具体客户。