Disparo de nivel superior × Cascada transfronteriza: El mismo desafío de coordinación detrás de dos "fallos de protección"

Resumen del incidente

• El 25 de agosto de 2026, un alimentador de 10 kV en la subestación Dongsheng de 110 kV en Mongolia Interior se disparó de forma no selectiva. La subestación es operada por la Compañía de Suministro de Energía Eléctrica de Hohhot Togtoh de Inner Mongolia Electric Power (Group) Co., Ltd.
• El 14 de agosto de 2026, un apagón a gran escala afectó al Sistema Eléctrico Unificado de Asia Central, involucrando a Kazajistán, Uzbekistán, Tayikistán y Kirguistán.

Nota sobre las fuentes: el relato fáctico de este artículo se basa en anuncios publicados públicamente e informes de los medios; el análisis del mecanismo refleja la lógica de ingeniería que es generalmente aplicable en toda la industria. Las conclusiones finales sobre ambos eventos siguen sujetas a las investigaciones oficiales.

Introducción: Once días, dos eventos: disparar donde no se debía, y permanecer cerrado donde se debería haber disparado

En la tarde del 14 de agosto de 2026, un apagón a gran escala afectó al Sistema Eléctrico Unificado de Asia Central. Las ciudades de Kazajistán, Uzbekistán, Tayikistán y Kirguistán quedaron sumidas en la oscuridad, cortando el suministro a millones de residentes.

A las 15:08 del 25 de agosto, la protección de sobrecorriente de tercera etapa operó en la línea Maliang 962 de 10 kV en la subestación Dongsheng de 110 kV en Mongolia Interior. El interruptor realizó un intento de reconexión automática; el intento no tuvo éxito y la línea fue retirada del servicio. A primera vista, esto es solo una falla local en un alimentador de distribución, que afecta a los clientes conectados a esa única línea.

Dos eventos, separados por unos 2.900 km y diferentes en escala en aproximadamente dos o tres órdenes de magnitud. Póngalos uno al lado del otro y apuntan a la misma pregunta fundamental en la protección de relés: ¿qué significa exactamente "coordinación"?

Los libros de texto enseñan cómo calcular los ajustes, cómo aplicar la coordinación escalonada en el tiempo y cómo verificar la sensibilidad. Los eventos reales nunca siguen el libro de texto. Uno de estos eventos ocurrió en un interruptor al aire libre en el extremo lejano de una red de distribución; el otro, en una red troncal transfronteriza de 500 kV. Exponen la misma vulnerabilidad de maneras muy diferentes: una ruptura en cualquier eslabón de la cadena de coordinación se magnifica por el tamaño de la red, y el cliente lo paga en tiempo de interrupción.

1. El evento de Dongsheng: cómo el ajuste de un interruptor convirtió una falla en el alimentador en un disparo no selectivo

1.1 Cronología

• 25 de agosto, 15:08 — La línea Maliang 962 de 10 kV en la subestación Dongsheng de 110 kV se disparó cuando operó la protección de sobrecorriente de tercera etapa. Un intento de reconexión automática falló y la línea fue retirada del servicio, dejando a todos los clientes del alimentador sin suministro.
• Investigación en el sitio — El equipo de trabajo en línea viva de distribución primero extrajo tres conjuntos de datos: registros de formas de onda de falla, registros de operación de protección y estado del canal de telecontrol. Los tres eran normales. El circuito de señalización del interruptor automatizado en la estación estaba intacto, el canal de telecontrol era estable y no se encontraron daños en el equipo de automatización en sí.
• El enfoque rutinario falló — Con las causas habituales relacionadas con el canal descartadas, el equipo trabajó con el fabricante del equipo para verificar los registros del equipo, los ajustes de protección y los parámetros de configuración en orden inverso.
• Causa raíz identificada — El interruptor de circuito inteligente al aire libre en la línea: su ajuste de operación se desvió de los parámetros indicados en la placa de características, y el ajuste realmente aplicado en el campo era demasiado alto, fuera del rango coordinado de la protección dentro de la subestación.
• Remediación — Corregir los ajustes; realizar una verificación de coordinación completa a lo largo de todo el alimentador; volver a verificar la lógica de operación del interruptor, la transmisión de señales y las funciones de enclavamiento; devolver la línea al servicio.

1.2 Mecanismo: por qué un ajuste "alto" produce un disparo no selectivo

Esta es la parte de la historia que vale la pena analizar con detalle. Muchas personas explican un disparo no selectivo con una frase vaga: "los ajustes no estaban debidamente coordinados", pero la cadena física funciona así:

La coordinación de protecciones es una cadena de prioridad. Decide quién opera primero.

• Lógica normal — Ocurre una falla en la línea de 10 kV; el interruptor al aire libre del lado de la línea, configurado para operar más rápido, la elimina; solo se desconecta el alimentador con falla; la protección de la subestación nunca ve la corriente el tiempo suficiente para operar.
• Después de que se elevó el ajuste del interruptor al aire libre — Ocurre una falla; el umbral de operación y el retardo de tiempo del interruptor al aire libre son demasiado altos, por lo que no opera dentro de su tiempo asignado; la protección en la subestación alcanza su tiempo de operación primero; el interruptor de la subestación se dispara; todo el alimentador queda sin energía.

El costo de saltarse un nivel de protección no es simplemente "disparar un nivel más arriba"; es una expansión, potencialmente de un orden de magnitud, del área afectada. Un disparo del lado de la línea elimina un alimentador. Un disparo aguas arriba en la subestación puede eliminar un juego de barras y todos los alimentadores suministrados desde él. En este evento, la interrupción se limitó a la línea única, pero la lógica de coordinación ya había fallado, y un resultado peor estaba a solo un paso de distancia.

Hay un punto técnico aquí que es fácil de pasar por alto. Los errores de ajuste y las fallas de canal son dos tipos de problemas completamente diferentes. Una falla de canal, señales que no llegan, es un problema "visible": la supervisión remota puede encontrarlo. Un error de ajuste es un problema que puedes mirar fijamente y aun así no ver. Los registros de formas de onda son normales, los mensajes son normales, el canal está sano, y el dispositivo se encuentra en el umbral incorrecto sin hacer nada. Por eso un defecto de ajuste latente es más difícil de encontrar que una falla de canal: no genera una alarma, simplemente no hace nada.

1.3 Tres preguntas: ¿por qué no se notó antes?

Primero: ¿de dónde provienen los ajustes? Los interruptores inteligentes al aire libre son numerosos y están ampliamente dispersos. Sus ajustes a menudo son preconfigurados por el fabricante con parámetros genéricos, y no se realiza ninguna verificación de coordinación contra la protección dentro de la subestación en la puesta en servicio. Los valores predeterminados de fábrica no son ajustes coordinados del sistema; esta es la fuente principal de ajustes invertidos.

Segundo: ¿por qué la puesta en servicio y la aceptación no lo detectaron? Si la puesta en servicio incluyera un paso obligatorio, la "verificación de la coordinación de ajustes con la protección de la subestación", en el cual los ajustes del lado de la línea y los ajustes de la subestación se colocan en la misma tabla de comparación y se verifican sus intervalos de tiempo de coordinación, esto se habría encontrado antes de la energización. Que no se haya encontrado significa que el paso faltaba en la lista de verificación de aceptación o que se realizó solo en el papel.

Tercero: ¿por qué permaneció invisible durante la operación? Los ajustes están dispersos entre fabricantes, equipos de mantenimiento y centros de despacho, sin un sistema unificado para circular documentos de ajustes o para realizar nuevas pruebas periódicas. Una vez que el equipo está en servicio, "ajustar una vez y no volver a tocarlo" no es inusual en las redes de distribución. Si los ajustes se vuelven a verificar después del mantenimiento, las actualizaciones o los cambios de ajuste depende con demasiada frecuencia de la diligencia del equipo en lugar de un procedimiento.

Las tres preguntas apuntan a la misma conclusión. En la superficie, el evento de Dongsheng fue causado por un ajuste incorrecto. En el fondo, fue causado por una brecha en el sistema de gestión de ajustes.

2. El apagón en cuatro países de Asia Central: cómo los esquemas de control de emergencia convirtieron un déficit de 600 MW en un corte transfronterizo

2.1 Cronología y evolución de la versión oficial

• 14 de agosto, 14:37 hora de Kazajistán (UTC+5) — Dos grupos hidroeléctricos de la central hidroeléctrica (HPP) de Toktogul en Kirguistán se desconectaron. KEGOC reportó la pérdida de generación en aproximadamente 600 MW; el Ministerio de Energía de Kazajistán estimó por separado la capacidad combinada de los dos grupos en 625 MW.
• 14:37–14:38 — Tres líneas de 500 kV operadas por KEGOC —Agadyr–Ulken L-5300 y L-5320, y Aktogay–Taldykorgan L-5400— se desconectaron.
• Cascada — Los esquemas de control de emergencia operaron entonces uno tras otro. Las restricciones iniciales de suministro a los consumidores totalizaron aproximadamente 2.810 MW; las restricciones por un monto de unos 295 MW se habían levantado a las 14:47. Se perdió el suministro en Almaty, Shymkent y otras zonas del sur, y la zona sur de Kazajistán se separó del sistema nacional y del Sistema Eléctrico Unificado de Asia Central y comenzó a operar de forma aislada.
• Propagación — La separación de la zona sur estuvo acompañada de cortes en varios países. Kirguistán registró una perturbación tecnológica en su propio sistema a las 15:37 hora de Kirguistán (UTC+6) —una hora por delante de Kazajistán— y reportó el restablecimiento de la frecuencia nominal en el sistema unificado a las 15:55.

La evolución de la versión oficial merece ser destacada:

Las discrepancias entre las fuentes persisten, y la conclusión final está pendiente de la investigación oficial. Pero hay un detalle de ingeniería que ninguna de las partes puede evitar: la operación en cascada de los esquemas de control de emergencia fue un contribuyente directo a la propagación de este apagón.

2.2 Mecanismo: cuando una válvula de seguridad se convierte en un amplificador

La filosofía de diseño de los esquemas de control de emergencia (conocidos en China como dispositivos automáticos de seguridad) puede resumirse en una frase: cuando algo falla, proteger la red en su conjunto y sacrificar la parte local. Actúan como una válvula de seguridad para la red: cuando detectan una sección de transmisión sobrecargada, una frecuencia anormal o un riesgo de pérdida de sincronismo, descargan carga en un orden preestablecido para evitar que la red troncal colapse.

Esa lógica es sólida y es eficaz para una falla única. Pero cuando las fallas se acumulan y los ajustes de las diferentes secciones no están coordinados en su conjunto, la válvula de seguridad se convierte en un amplificador.

La esencia de una cascada es que la propia descarga se convierte en una nueva perturbación. Cada acción de descarga de carga redistribuye el flujo de potencia en toda la red. Si el siguiente dispositivo está ajustado para las condiciones del peor caso de su propia sección, sin tener en cuenta los flujos que la descarga aguas arriba ha desplazado hacia él, puede propagar la falla a líneas y secciones que anteriormente estaban sanas. Un déficit de 600 MW es una perturbación pequeña en términos de capacidad del sistema; sin embargo, a través de la cadena "sobrecarga → descarga → transferencia de flujo → nueva sobrecarga → nueva descarga", puede terminar cortando el suministro a millones de clientes.

Un detalle más que vale la pena considerar: el déficit de 600 MW en sí no fue fatal. Lo que fue fatal fue la ausencia de coordinación a nivel de sistema entre los márgenes de capacidad de transferencia a lo largo de la ruta por la que se propagó el déficit y los ajustes de los dispositivos. Si la descarga de carga se coordina por niveles y por sección, bajo el principio de minimizar la carga total interrumpida, muchas cascadas pueden detenerse en la primera etapa.

2.3 Tres preguntas de seguimiento

Primero: ¿por qué una pequeña perturbación puede propagarse en cascada a través de una red interconectada? Existe una red interconectada transfronteriza para que sus miembros compartan capacidad de reserva y se apoyen mutuamente. Pero eso también significa que una perturbación puede viajar indefinidamente a lo largo de las interconexiones. En un sistema aislado, la desconexión de una sola unidad puede no causar nada más que una desviación de frecuencia; en uno interconectado, se convierte en un aumento repentino del flujo de potencia transfronterizo, una prueba del margen de coordinación de cada sección y de cada dispositivo de control.

Segundo: ¿qué tan amplia debe ser la perspectiva al ajustar para las cascadas? Tradicionalmente, los esquemas de control de emergencia se ajustaban para "esta central, esta subestación, esta línea". Este evento demuestra que, a nivel de un sistema eléctrico integrado, deben ajustarse a nivel de sistema y a nivel de sección transfronteriza: la estrategia de descarga del País A debe tener en cuenta cómo cambiará los flujos seccionales en el País B. Por muy precisamente que se ajusten las configuraciones individuales, no se gana nada si falta la coordinación a nivel de sistema.

Tercero: ¿es la notificación caótica de incidentes un asunto menor? Los primeros informes atribuyeron el evento a la carga por altas temperaturas; el informe técnico posterior lo revisó a la desconexión de una unidad hidroeléctrica. Para una respuesta coordinada transfronteriza, ese tipo de cambios repentinos es una interrupción grave: cuando los centros de despacho en diferentes países ejecutan estudios de escenarios basados en estos avisos, cualquier cambio en la entrada los obliga a rehacer sus planes desde cero. La gobernanza de la información no es un problema de relaciones públicas, es la infraestructura operativa para una respuesta coordinada.

3. Dos eventos, una pregunta: ¿por qué sigue rompiéndose la cadena de coordinación?

3.1 Diferentes en la superficie, iguales en el fondo

Si se ponen los dos uno al lado del otro, surge una similitud: se cruzó el límite entre la operación selectiva y la operación de respaldo.

• Dongsheng: el interruptor de línea (protección principal) no logró operar, y la protección de la subestación (respaldo) saltó un nivel: una pérdida de selectividad.
• Asia Central: tras la primera etapa de deslastre, el sistema no se estabilizó y la cascada continuó: la acción de respaldo fue más allá del alcance para el que fue diseñada.

El intervalo de tiempo de coordinación en una red de distribución es típicamente de 0,3 a 0,5 s, mientras que la coordinación de enclavamiento en las redes principales e interconectadas varía desde milisegundos hasta segundos. Las escalas difieren; las matemáticas son las mismas. Todo se reduce a una regla: desconectar la parte más pequeña posible de la red, en el momento adecuado, con el dispositivo correcto.

3.2 Dos cosas que el libro de texto no te dijo

Primero: un ajuste no se elige "arbitrariamente", se elige por coordinación. Por precisos que sean los ajustes de un dispositivo individual, solo tienen sentido en relación con los dispositivos a ambos lados del mismo. Cada número en una hoja de ajustes debe responder a una pregunta en la cadena de coordinación: "¿Por qué soy 0,3 s más rápido que el dispositivo del lado de la fuente y 0,3 s más lento que el dispositivo del lado de la carga?" (Corriente arriba aquí significa el dispositivo más cercano a la fuente, que está configurado para operar más lentamente). Los ajustes del interruptor exterior en Dongsheng eran números que eran correctos de forma aislada e incorrectos en contexto.

Segundo: cuanto mayor es la red, mayor es el coste invisible de la coordinación. La coordinación dentro de una subestación es un puñado de hojas de ajustes. La coordinación a través de una red interconectada multirregional es una matriz multidimensional: el límite de flujo de cada sección, los pasos de deslastre de cada dispositivo de control, y la coordinación del control automático de generación (AGC) y el deslastre de carga por baja frecuencia (UFLS) entre países. Si una sola celda en esa matriz se rellena incorrectamente, el fallo se manifiesta el día del evento como una cascada.

3.3 Mirando hacia el futuro: las nuevas energías están dificultando la gestión de los ajustes

La tarea descrita al comienzo de este artículo es exigente, y lo será aún más. A medida que la energía fotovoltaica distribuida, el almacenamiento de energía y los vehículos eléctricos se conectan a gran escala:

• La base de los ajustes de protección de distribución se está reescribiendo. La contribución de corriente de cortocircuito de la generación distribuida cambia cómo se distribuye la corriente de fallo, invalidando la suposición radial tradicional de fuente única; los ajustes de sobrecorriente pueden necesitar complementarse con elementos direccionales.
• El número de configuraciones de protección está aumentando. Cada punto de conexión es un nuevo nodo de coordinación; la cadena de coordinación crece de "una línea con unos pocos dispositivos" a una red de decenas de nodos.
• Los ajustes tienen que cambiar con más frecuencia. Los cambios en el modo de operación y la conexión o desconexión de la generación distribuida requieren que los ajustes se vuelvan a verificar; el libro de registros estático está siendo reemplazado por una gestión dinámica.

En otras palabras: en las redes de distribución con alta penetración de nuevas energías, el estilo de inversión de ajustes de Dongsheng está destinado a aparecer con más frecuencia, y cada ocurrencia costará más rastrearla. Si no se construye ahora un sistema de gestión estandarizado, se pagará más tarde, en un evento.

4. Recomendaciones para los equipos de operaciones de primera línea y despacho

4.1 Un libro de registros integrado para los ajustes (a partir de las lecciones de Dongsheng)

1. Construir un libro de registros completo de comparación de ajustes. La protección dentro de la subestación, los interruptores inteligentes del lado de la línea y los equipos exteriores deben estar todos referenciados cruzadamente en una sola tabla, para que la cadena de coordinación pueda verse de un vistazo.
2. Hacer obligatoria la verificación de coordinación antes de la puesta en servicio. Antes de la energización, verificar la cadena de gradación "el lado de la línea opera primero, la subestación proporciona respaldo". Registrar el resultado, firmarlo y no energizar sin ello.
3. Volver a probar periódicamente después de la puesta en servicio. Pasar a una verificación de ajustes anual o por ciclo de operación, realizada en el sitio, para confirmar que los ajustes de los dispositivos inteligentes exteriores coinciden con los registros, prestando especial atención a si los ajustes preestablecidos del fabricante se han puesto en servicio exactamente como se entregaron.
4. Volver a verificar los ajustes después de cualquier mantenimiento, actualización o cambio de ajuste. Cualquier trabajo que toque un ajuste debe desencadenar una revisión de toda la cadena de coordinación; no hay lugar para un enfoque de "arreglarlo y olvidarlo".

4.2 Configuración de esquemas de control de emergencia a nivel de sistema (a partir de las lecciones de Asia Central)

1. Ampliar el alcance de la coordinación. Pasar de "esta planta, esta subestación, esta línea" al nivel de sección y al nivel regional; diseñar el deslastre de carga por sección y graduarlo bajo el principio de minimizar la carga total interrumpida.
2. Cubrir escenarios combinados en la simulación. No probar solo fallos únicos; simular N-1, N-2, y un déficit de generación combinado con una sección sobrecargada. Las cascadas son exactamente lo que las pruebas de escenario único no logran cubrir.
3. Construir un mecanismo de coordinación entre entidades. Para las redes transfronterizas e interregionales debe existir un marco coordinado para los ajustes de los dispositivos de control, los pasos de deslastre de carga y los retardos de comunicación, logrando como mínimo la visibilidad mutua.

4.3 Disciplina en la notificación de incidentes

1. Verificar primero, luego publicar. Una notificación inicial puede salir rápidamente, pero la conclusión sobre la causa debe esperar hasta que se hayan comprobado los datos. Es mejor llegar media hora tarde con información precisa que publicar una atribución incorrecta.
2. Gestionar las versiones de las notificaciones. Utilizar un único punto de emisión externa, y asegurarse de que cada corrección lleve un número de versión y una marca de tiempo, para que las actualizaciones contradictorias no interrumpan la respuesta coordinada.

4.4 Nivel institucional

1. Convertir la verificación de coordinación en un sistema en lugar de una cuestión de diligencia individual. Estandarizada, firmada y trazable: cada ajuste debe tener una persona nombrada responsable del mismo.
2. Realizar simulacros de cascada de forma rutinaria. Incorporar "recierre fallido + disparo en cascada + contribución de generación distribuida" en los escenarios de simulacros de emergencia, para que el equipo se enfrente al peor caso antes de que el evento lo haga.

Conclusión: convertir la coordinación en un sistema, no en un eslogan

El evento de Dongsheng y el apagón en cuatro países de Asia Central parecen dos eventos de red aislados: uno al final de una red de distribución, el otro en una columna vertebral transfronteriza; uno afectando a un solo alimentador, el otro a cuatro países. En el fondo, ambos ponen a prueba lo mismo: ¿pueden la coordinación de protección y la lógica de control de emergencia cubrir cada interruptor, cada línea y cada sección de la red?

La lección de la práctica de ingeniería es que prevenir los disparos no selectivos y los apagones en cascada no requiere una teoría sofisticada. Lo que requiere es:

• Un libro de registros de ajustes integrado de extremo a extremo: equipos dentro de la subestación, del lado de la línea y exteriores comparados en la misma tabla.
• Verificación de cumplimiento institucionalizada: verificar antes de la puesta en servicio, volver a probar durante la operación, volver a verificar después de cualquier cambio.
• Esquemas de control de emergencia coordinados a nivel de sistema: mirar a toda la red, no solo a este sitio.
• Notificación de incidentes oportuna y precisa: verificar primero, luego hablar.

Nada de esto es glamuroso, ni sale en las noticias. Pero día tras día determina una cosa: cuando se produce un fallo, ¿aislará la red el área más pequeña posible y restaurará el mayor suministro posible, o permitirá que un fallo menor se convierta en un apagón de gran magnitud?

Con el despliegue a gran escala de la generación fotovoltaica distribuida, el almacenamiento de energía y los vehículos eléctricos, el número de dispositivos de protección en las redes de distribución se multiplicará, y la complejidad de la gestión de los ajustes no hará más que aumentar. Elaborar el inventario ahora, implementar los mecanismos y ejecutar simulaciones de escenarios de fallos en cascada son tareas que todo equipo de primera línea y centro de despacho deben abordar lo antes posible.

Las actualizaciones de equipos pueden esperar; los fallos no.

(La parte factual de este artículo se basa en comunicados de acceso público y reportes de los medios; el análisis de los mecanismos y las recomendaciones reflejan la lógica de ingeniería de uso general en toda la industria, y se ofrecen a los profesionales para su debate y consulta como referencia. Las conclusiones finales sobre ambos eventos siguen sujetas a las investigaciones oficiales de los países implicados.)