Intervento a livello superiore × Cascata transfrontaliera: la stessa sfida di coordinamento dietro due "fallimenti della protezione"

Riepilogo dell'incidente

• Il 25 agosto 2026, una partenza da 10 kV presso la Sottostazione Dongsheng a 110 kV in Mongolia Interna è intervenuta in modo non selettivo. La sottostazione è gestita dalla Società di Fornitura di Energia Elettrica di Hohhot Togtoh della Inner Mongolia Electric Power (Group) Co., Ltd.
• Il 14 agosto 2026, un blackout su larga scala ha colpito il Sistema Elettrico Unificato dell'Asia Centrale, coinvolgendo Kazakistan, Uzbekistan, Tagikistan e Kirghizistan.

Nota sulle fonti: il resoconto fattuale di questo articolo si basa su annunci pubblicati pubblicamente e report dei media; l'analisi del meccanismo riflette una logica ingegneristica generalmente applicabile in tutto il settore. Le conclusioni finali su entrambi gli eventi rimangono soggette alle indagini ufficiali.

Introduzione: Undici giorni, due eventi: intervento dove non doveva avvenire e mancata apertura dove avrebbe dovuto scattare

Nel pomeriggio del 14 agosto 2026, un blackout su larga scala ha colpito il Sistema Elettrico Unificato dell'Asia Centrale. Le città di Kazakistan, Uzbekistan, Tagikistan e Kirghizistan sono state piombate nel buio, interrompendo l'alimentazione a milioni di residenti.

Alle 15:08 del 25 agosto, la protezione di massima corrente di terza soglia è intervenuta sulla linea Maliang 962 da 10 kV presso la Sottostazione Dongsheng a 110 kV in Mongolia Interna. L'interruttore ha effettuato un tentativo di richiusura automatica; il tentativo non è andato a buon fine e la linea è stata messa fuori servizio. A prima vista, si tratta solo di un guasto locale su una partenza di distribuzione, che colpisce i clienti collegati a quella singola linea.

Due eventi, a circa 2.900 km di distanza e diversi per ordine di grandezza di circa due o tre ordini di grandezza. Mettendoli a confronto, puntano entrambi alla stessa domanda fondamentale nella protezione a relè: cosa significa esattamente "coordinamento"?

I manuali insegnano come calcolare le impostazioni, come applicare il coordinamento temporale graduato e come verificare la sensibilità. Gli eventi reali non seguono mai il manuale. Uno di questi eventi si è verificato presso un interruttore esterno all'estremità di una rete di distribuzione; l'altro, su una dorsale transfrontaliera a 500 kV. Entrambi espongono la stessa vulnerabilità in modi molto diversi: un'interruzione in un singolo anello della catena di coordinamento viene amplificata dalle dimensioni della rete, e il cliente ne paga le conseguenze in termini di durata dell'interruzione.

1. L'evento di Dongsheng: come l'impostazione di un interruttore ha trasformato un guasto su una partenza in un intervento non selettivo

1.1 Cronologia

• 25 agosto, 15:08 — La linea Maliang 962 da 10 kV presso la Sottostazione Dongsheng a 110 kV è intervenuta quando è scattata la protezione di massima corrente di terza soglia. Un tentativo di richiusura automatica è fallito e la linea è stata messa fuori servizio, lasciando tutti i clienti sulla partenza senza alimentazione.
• Indagine sul posto — La squadra di intervento sulla linea di distribuzione ha inizialmente estratto tre serie di dati: registrazioni delle forme d'onda di guasto, registrazioni degli interventi delle protezioni e stato del canale di telecontrollo. Tutti e tre erano nella norma. Il circuito di segnalazione dell'interruttore automatizzato in stazione era integro, il canale di telecontrollo era stabile e non sono stati riscontrati danni sull'apparecchiatura di automazione stessa.
• L'approccio routine è fallito — Escluse le solite cause legate al canale, la squadra ha collaborato con il produttore delle apparecchiature per verificare in ordine inverso i registri delle apparecchiature, le impostazioni di protezione e i parametri di configurazione.
• Causa radice identificata — L'interruttore automatico intelligente esterno sulla linea: la sua impostazione di intervento deviava dai parametri indicati sulla targhetta e l'impostazione effettivamente applicata sul campo era troppo alta, al di fuori dell'intervallo coordinato della protezione all'interno della sottostazione.
• Rimedio — Correggere le impostazioni; eseguire un controllo completo del coordinamento lungo l'intera partenza; verificare nuovamente la logica di intervento dell'interruttore, la trasmissione dei segnali e le funzioni di interblocco; rimettere la linea in servizio.

1.2 Meccanismo: perché un'impostazione "alta" produce un intervento non selettivo

Questa è la parte della storia che merita di essere esaminata con calma. Molte persone spiegano un intervento non selettivo con una frase vaga: "le impostazioni non erano adeguatamente coordinate", ma la catena fisica funziona così:

Il coordinamento delle protezioni è una catena di priorità. Decide chi interviene per primo.

• Logica normale — Si verifica un guasto sulla linea da 10 kV; l'interruttore esterno lato linea, impostato per intervenire per primo, lo elimina; viene disconnessa solo la partenza in guasto; la protezione in sottostazione non vede mai la corrente abbastanza a lungo da intervenire.
• Dopo l'innalzamento dell'impostazione dell'interruttore esterno — Si verifica un guasto; la soglia di intervento e il ritardo temporale dell'interruttore esterno sono troppo alti, quindi non interviene entro il tempo assegnato; la protezione in sottostazione raggiunge per prima il suo tempo di intervento; l'interruttore di sottostazione scatta; l'intera partenza va fuori tensione.

Il costo del salto di un livello di protezione non è semplicemente "intervenire un livello più a monte"; è un'espansione, potenzialmente di un ordine di grandezza, dell'area colpita. Un intervento lato linea rimuove una singola partenza. Un intervento a monte in sottostazione può rimuovere un gioco di barre e tutte le partenze da esso alimentate. In questo evento, l'interruzione è stata limitata alla singola linea, ma la logica di coordinamento era già fallita e un esito peggiore era a un solo passo di distanza.

C'è un punto tecnico qui che è facile trascurare. Gli errori di impostazione e i guasti al canale sono due tipi di problemi completamente diversi. Un guasto al canale, ovvero segnali che non passano, è un problema "visibile": il monitoraggio remoto può individuarlo. Un errore di impostazione è un problema che puoi fissare senza comunque vederlo. Le registrazioni delle forme d'onda sono normali, i messaggi sono normali, il canale è sano e il dispositivo rimane alla soglia sbagliata senza fare nulla. Ecco perché un difetto latente di impostazione è più difficile da trovare di un guasto al canale: non genera alcun allarme, semplicemente non fa nulla.

1.3 Tre domande: perché non è stato notato prima?

Prima: da dove provengono le impostazioni? Gli interruttori automatici intelligenti esterni sono numerosi e ampiamente dispersi. Le loro impostazioni sono spesso preconfigurate dal produttore con parametri generici e in fase di messa in servizio non viene eseguito alcun controllo di coordinamento rispetto alle protezioni all'interno della sottostazione. I valori predefiniti di fabbrica non sono impostazioni coordinate a livello di sistema; questa è la fonte primaria di impostazioni invertite.

Seconda: perché la messa in servizio e il collaudo non l'hanno rilevato? Se la messa in servizio avesse incluso un passaggio obbligatorio, la "verifica del coordinamento delle impostazioni con la protezione di sottostazione", in cui le impostazioni lato linea e quelle di sottostazione vengono inserite nella stessa tabella di confronto e i loro intervalli di tempo di coordinamento verificati, questo sarebbe stato trovato prima dell'energizzazione. Il fatto che non sia stato trovato significa che il passaggio mancava nella lista di controllo del collaudo o che è stato eseguito solo sulla carta.

Terza: perché è rimasto invisibile durante il funzionamento? Le impostazioni sono disperse tra produttori, squadre di manutenzione e centri di dispacciamento, senza un sistema unificato per la circolazione dei documenti di impostazione o per le prove periodiche. Una volta che le apparecchiature sono in servizio, "imposta una volta e non toccarle mai più" non è insolito nelle reti di distribuzione. Il fatto che le impostazioni vengano rivereficate dopo manutenzione, aggiornamenti o modifiche alle impostazioni dipende troppo spesso dalla diligenza della squadra piuttosto che da una procedura.

Tutte e tre le domande puntano alla stessa conclusione. In superficie, l'evento di Dongsheng è stato causato da un'impostazione errata. Nel suo nucleo, è stato causato da una lacuna nel sistema di gestione delle impostazioni.

2. Il blackout in quattro paesi dell'Asia centrale: come gli schemi di controllo di emergenza hanno trasformato un deficit di 600 MW in un'interruzione transfrontaliera

2.1 Cronologia e evoluzione della versione ufficiale

• 14 agosto, 14:37 ora del Kazakistan (UTC+5) — Due unità idroelettriche della centrale idroelettrica di Toktogul in Kirghizistan sono scattate. KEGOC ha riportato la perdita di generazione a circa 600 MW; il Ministero dell'Energia del Kazakistan ha stimato separatamente la capacità combinata delle due unità a 625 MW.
• 14:37–14:38 — Tre linee a 500 kV gestite da KEGOC — Agadyr–Ulken L-5300 e L-5320, e Aktogay–Taldykorgan L-5400 — sono scattate.
• Cascata — Gli schemi di controllo di emergenza sono quindi intervenuti uno dopo l'altro. Le restrizioni iniziali sull'alimentazione dei consumatori hanno totalizzato circa 2.810 MW; le restrizioni per un totale di circa 295 MW erano state revocate entro le 14:47. L'alimentazione è stata persa ad Almaty, Shymkent e in altre aree meridionali, e la zona meridionale del Kazakistan è stata separata dal sistema nazionale e dal Sistema Elettrico Unificato dell'Asia Centrale e ha iniziato a operare in modalità isola.
• Diffusione — La separazione della zona meridionale è stata accompagnata da interruzioni in diversi paesi. Il Kirghizistan ha registrato un disturbo tecnologico sul proprio sistema alle 15:37 ora del Kirghizistan (UTC+6) — un'ora avanti rispetto al Kazakistan — e ha riportato il sistema unificato alla frequenza nominale entro le 15:55.

L'evoluzione della versione ufficiale merita attenzione:

Permangono discrepanze tra le fonti e la conclusione finale è in attesa dell'indagine ufficiale. Ma c'è un dettaglio ingegneristico che nessuna delle parti può ignorare: il funzionamento a cascata degli schemi di controllo di emergenza ha contribuito direttamente alla diffusione di questo blackout.

2.2 Meccanismo: quando una valvola di sicurezza diventa un amplificatore

La filosofia progettuale degli schemi di controllo di emergenza (noti in Cina come dispositivi automatici di sicurezza) può essere riassunta in una frase: quando qualcosa fallisce, proteggere l'intera rete e sacrificare la parte locale. Agiscono come una valvola di sicurezza per la rete: quando rilevano una sezione di trasmissione sovraccarica, una frequenza anomala o un rischio di perdita di sincronismo, scaricano il carico in un ordine preimpostato per evitare il collasso della dorsale.

Questa logica è solida ed è efficace per un singolo guasto. Ma quando i guasti si accumulano e le impostazioni delle diverse sezioni non sono coordinate a livello globale, la valvola di sicurezza si trasforma in un amplificatore.

L'essenza di una cascata è che lo scarico stesso diventa una nuova perturbazione. Ogni azione di scarico del carico ridistribuisce il flusso di potenza sull'intera rete. Se il dispositivo successivo è impostato per le condizioni di peggiore caso della propria sezione, senza tenere conto dei flussi che lo scarico a monte ha spostato su di esso, può propagare il guasto a linee e sezioni che in precedenza erano sane. Un deficit di 600 MW è una piccola perturbazione in termini di capacità del sistema; eppure, attraverso la catena "sovraccarico → scarico → trasferimento di flusso → nuovo sovraccarico → nuovo scarico", può finire per interrompere l'alimentazione a milioni di clienti.

Un ulteriore dettaglio su cui riflettere: il deficit stesso di 600 MW non è stato fatale. Ciò che è stato fatale è stata l'assenza di coordinamento a livello di sistema tra i margini di capacità di trasferimento lungo il percorso di propagazione del deficit e le impostazioni dei dispositivi. Se lo scarico del carico è coordinato a livelli e per sezione, secondo il principio di minimizzare il carico totale interrotto, molte cascate possono essere arrestate già alla prima fase.

2.3 Tre domande di follow-up

Primo: perché una piccola perturbazione può propagarsi a cascata attraverso una rete interconnessa? Una rete interconnessa transfrontaliera esiste affinché i suoi membri condividano la capacità di riserva e si supportino a vicenda. Ma ciò significa anche che una perturbazione può viaggiare indefinitamente lungo le interconnessioni. In un sistema isolato, l'intervento di una singola unità può causare nient'altro che un'escursione di frequenza; in uno interconnesso, diventa un'impennata del flusso di potenza transfrontaliero, un test del margine di coordinamento di ogni sezione e di ogni dispositivo di controllo.

Secondo: quanto deve essere ampia la visione quando si regolano le impostazioni per le cascate? Tradizionalmente, gli schemi di controllo di emergenza erano impostati per "questa centrale, questa sottostazione, questa linea". Questo evento dimostra che, a livello di un sistema elettrico integrato, devono essere impostati a livello di sistema e a livello di sezione transfrontaliera: la strategia di scarico del Paese A deve tenere conto di come cambierà i flussi di sezione nel Paese B. Per quanto precisamente vengano regolate le singole impostazioni, non si ottiene nulla se manca il coordinamento a livello di sistema.

Terzo: la segnalazione caotica degli incidenti è una questione di poco conto? Le prime segnalazioni hanno attribuito l'evento al carico dovuto alle alte temperature; il successivo resoconto tecnico ha revisionato questa causa in un intervento di un'unità idroelettrica. Per una risposta coordinata transfrontaliera, questo tipo di dietrofront è una grave interruzione: quando i centri di dispacciamento in diversi paesi eseguono studi di scenario basati su questi avvisi, qualsiasi modifica nei dati di input li costringe a rifare i loro piani da zero. La governance delle informazioni non è una questione di pubbliche relazioni, è un'infrastruttura operativa per una risposta coordinata.

3. Due eventi, una domanda: perché la catena di coordinamento continua a spezzarsi?

3.1 Diversi in superficie, identici nella sostanza

Mettendo i due casi fianco a fianco emerge una comunanza: il confine tra il funzionamento selettivo e il funzionamento di backup è stato violato.

• Dongsheng: l'interruttore di linea (protezione principale) non è intervenuto e la protezione della sottostazione (backup) è saltata di un livello: una perdita di selettività.
• Asia Centrale: dopo il primo stadio di distacco del carico, il sistema non si è stabilizzato e la cascata è continuata: l'azione di backup è andata oltre l'ambito per cui era stata progettata.

L'intervallo di tempo di coordinamento in una rete di distribuzione è tipicamente di 0,3-0,5 s, mentre il coordinamento a incastro nelle reti principali e interconnesse varia da millisecondi a secondi. Le scale sono diverse; la matematica è la stessa. Tutto si riduce a una regola: disconnettere la parte più piccola possibile della rete, al momento giusto, con il dispositivo giusto.

3.2 Due cose che il manuale non vi ha detto

Primo: un'impostazione non viene scelta "arbitrariamente", viene scelta per coordinamento. Per quanto siano precise le impostazioni di un singolo dispositivo, hanno senso solo in relazione ai dispositivi ai suoi lati. Ogni numero su un foglio di impostazione deve rispondere a una domanda nella catena di coordinamento: "Perché sono 0,3 s più veloce del dispositivo lato sorgente e 0,3 s più lento del dispositivo lato carico?" (A monte qui significa il dispositivo più vicino alla sorgente, che è impostato per intervenire più lentamente.) Le impostazioni degli interruttori esterni a Dongsheng erano numeri corretti se isolati, ma errati nel contesto.

Secondo: più la rete è grande, maggiore è il costo invisibile del coordinamento. Il coordinamento all'interno di una singola sottostazione richiede una manciata di fogli di impostazione. Il coordinamento attraverso una rete interconnessa multiregionale è una matrice multidimensionale: il limite di flusso di ogni sezione, i gradini di distacco del carico di ogni dispositivo di controllo e il coordinamento del controllo automatico della generazione (AGC) e del distacco del carico a sottofrequenza (UFLS) tra i paesi. Se una singola cella di quella matrice viene compilata in modo errato, il guasto si manifesta il giorno dell'evento come una cascata.

3.3 Guardando al futuro: le nuove energie stanno rendendo più difficile la gestione delle impostazioni

Il compito descritto all'inizio di questo articolo è impegnativo e lo diventerà ancora di più. Con la connessione su larga scala di fotovoltaico distribuito, sistemi di accumulo di energia e veicoli elettrici:

• Le basi per le impostazioni di protezione della distribuzione stanno venendo riscritte. Il contributo di corrente di guasto dalla generazione distribuita modifica il modo in cui la corrente di guasto si distribuisce, invalidando la tradizionale ipotesi radiale a singola sorgente; le impostazioni di sovracorrente potrebbero dover essere integrate con elementi direzionali.
• Il numero di configurazioni di protezione sta aumentando. Ogni punto di connessione è un nuovo nodo di coordinamento; la catena di coordinamento cresce da "una linea con pochi dispositivi" a una rete di decine di nodi.
• Le impostazioni devono cambiare più spesso. Le modifiche alla modalità di funzionamento e la connessione o disconnessione della generazione distribuita richiedono entrambe la verifica delle impostazioni; il registro statico viene sostituito da una gestione dinamica.

In altre parole: nelle reti di distribuzione con un'elevata penetrazione di nuove energie, lo stile di inversione delle impostazioni di Dongsheng è destinato a manifestarsi più spesso, e ogni occorrenza costerà di più da rintracciare. Se non si costruisce ora un sistema di gestione standardizzato, se ne pagherà il prezzo in seguito, in occasione di un evento.

4. Raccomandazioni per le operazioni in prima linea e i team di dispacciamento

4.1 Un registro integrato per le impostazioni (dalle lezioni di Dongsheng)

1. Costruire un registro completo di confronto delle impostazioni. La protezione in stazione, gli interruttori intelligenti lato linea e le apparecchiature esterne devono essere tutti incrociati in un'unica tabella, in modo che la catena di coordinamento possa essere vista a colpo d'occhio.
2. Rendere obbligatoria la verifica del coordinamento prima della messa in servizio. Prima dell'energizzazione, verificare la catena di gradazione "intervenga prima il lato linea, la sottostazione fornisce il backup". Registrare il risultato, firmarlo e non energizzare senza di esso.
3. Rieseguire i test periodicamente dopo la messa in servizio. Passare a una verifica annuale o per ciclo operativo delle impostazioni, effettuata in loco, per confermare che le impostazioni dei dispositivi intelligenti esterni corrispondano ai registri, prestando particolare attenzione al fatto che i preset del produttore siano stati messi in servizio esattamente come consegnati.
4. Riverificare le impostazioni dopo qualsiasi manutenzione, aggiornamento o modifica delle impostazioni. Qualsiasi lavoro che tocchi un'impostazione dovrebbe innescare una revisione dell'intera catena di coordinamento; non c'è spazio per un approccio "risolvi e dimentica".

4.2 Impostazione degli schemi di controllo di emergenza a livello di sistema (dalle lezioni dell'Asia Centrale)

1. Ampliare l'ambito del coordinamento. Passare da "questa centrale, questa sottostazione, questa linea" al livello di sezione e al livello regionale; progettare il distacco del carico per sezione e gradarlo secondo il principio di minimizzare il carico totale interrotto.
2. Coprire scenari combinati nella simulazione. Non testare solo guasti singoli; simulare N-1, N-2 e un deficit di generazione combinato con una sezione sovraccarica. Le cascate sono esattamente ciò che i test a scenario singolo non riescono a coprire.
3. Costruire un meccanismo di coordinamento tra entità. Per le reti transfrontaliere e interregionali deve esistere un quadro coordinato per le impostazioni dei dispositivi di controllo, i gradini di distacco del carico e i ritardi di comunicazione, raggiungendo come minimo la visibilità reciproca.

4.3 Disciplina nella segnalazione degli incidenti

1. Verificare prima, poi pubblicare. Una notifica iniziale può essere inviata rapidamente, ma la conclusione sulla causa deve attendere fino a quando i dati non sono stati controllati. Meglio essere in ritardo di mezz'ora con informazioni accurate che pubblicare un'attribuzione errata.
2. Gestire le versioni delle notifiche. Utilizzare un unico punto di rilascio esterno e assicurarsi che ogni correzione rechi un numero di versione e un timestamp, in modo che gli aggiornamenti altalenanti non interrompano la risposta coordinata.

4.4 Livello istituzionale

1. Rendere la verifica del coordinamento un sistema piuttosto che una questione di diligenza individuale. Standardizzato, firmato e tracciabile: ogni impostazione dovrebbe avere una persona nominata responsabile.
2. Eseguire regolarmente esercitazioni sulle cascate. Integrare "mancata richiusura + intervento a cascata + contributo della generazione distribuita" negli scenari di esercitazione di emergenza, in modo che la squadra incontri il caso peggiore prima che si verifichi l'evento.

Conclusione: trasformare il coordinamento in un sistema, non in uno slogan

L'evento di Dongsheng e il blackout in quattro paesi dell'Asia Centrale sembrano due eventi di rete isolati: uno alla fine di una rete di distribuzione, l'altro su una dorsale transfrontaliera; uno che colpisce una singola linea, l'altro quattro paesi. Nel loro nucleo testano la stessa cosa: il coordinamento delle protezioni e la logica di controllo di emergenza possono coprire ogni interruttore, ogni linea e ogni sezione della rete?

La lezione derivata dalla pratica ingegneristica è che prevenire gli interventi non selettivi e i blackout a cascata non richiede teorie sofisticate. Ciò che richiede è:

• Un registro delle impostazioni integrato end-to-end: apparecchiature in stazione, lato linea ed esterne confrontate nella stessa tabella.
• Verifica di conformità istituzionalizzata: verificare prima della messa in servizio, rieseguire i test durante il funzionamento, riverificare dopo qualsiasi modifica.
• Schemi di controllo di emergenza coordinati a livello di sistema: guardare all'intera rete, non solo a questo sito.
• Segnalazione degli incidenti tempestiva e accurata: verificare prima, poi parlare.

Nulla di tutto questo è affascinante, e nulla di tutto questo finisce sui giornali. Ma giorno dopo giorno decide una cosa: quando si verifica un guasto, la rete isolerà l'area più piccola possibile e ripristinerà la fornitura più ampia possibile, oppure lascerà che un guasto minore si trasformi in un blackout di grandi dimensioni?

Con il fotovoltaico distribuito, l'accumulo di energia e i veicoli elettrici che vengono implementati su larga scala, il numero di dispositivi di protezione nelle reti di distribuzione aumenterà notevolmente e la complessità della gestione delle impostazioni non farà che crescere. Redigere il registro ora, mettere in atto i meccanismi ed eseguire scenari a cascata in simulazione sono compiti che ogni squadra in prima linea e ogni centro di dispacciamento dovrebbero iniziare il prima possibile.

Gli aggiornamenti delle apparecchiature possono attendere; i guasti no.

(La parte fattuale di questo articolo si basa su annunci pubblicamente disponibili e report dei media; l'analisi dei meccanismi e le raccomandazioni riflettono la logica ingegneristica di uso generale in tutto il settore e sono offerte agli operatori del settore per discussione e come riferimento. Le conclusioni finali su entrambi gli eventi rimangono soggette alle indagini ufficiali dei paesi interessati.)