Disparo de nível superior × Cascata transfronteiriça: o mesmo desafio de coordenação por trás de duas "falhas de proteção"

Resumo do incidente

• Em 25 de agosto de 2026, um alimentador de 10 kV na Subestação Dongsheng de 110 kV, na Mongólia Interior, disparou de forma não seletiva. A subestação é operada pela Hohhot Togtoh Power Supply Company da Inner Mongolia Electric Power (Group) Co., Ltd.
• Em 14 de agosto de 2026, um apagão em grande escala afetou o Sistema Elétrico Unificado da Ásia Central, envolvendo o Cazaquistão, o Uzbequistão, o Tadjiquistão e o Quirguistão.

Nota sobre as fontes: o relato factual neste artigo baseia-se em anúncios divulgados publicamente e relatórios da mídia; a análise do mecanismo reflete a lógica de engenharia geralmente aplicável em toda a indústria. As conclusões finais sobre ambos os eventos permanecem sujeitas às investigações oficiais.

Introdução: Onze dias, dois eventos — disparando onde não deveria, e permanecendo fechado onde deveria ter aberto

Na tarde de 14 de agosto de 2026, um apagão em grande escala atingiu o Sistema Elétrico Unificado da Ásia Central. Cidades no Cazaquistão, Uzbequistão, Tadjiquistão e Quirguistão foram mergulhadas na escuridão, cortando o fornecimento para milhões de residentes.

Às 15:08 do dia 25 de agosto, a proteção de sobrecorrente de terceiro estágio operou na Linha 962 Maliang de 10 kV na Subestação Dongsheng de 110 kV, na Mongólia Interior. O disjuntor realizou uma tentativa de religamento automático; a tentativa não teve sucesso e a linha foi retirada de serviço. À primeira vista, esta é apenas uma falha local em um alimentador de distribuição, afetando os clientes conectados a essa única linha.

Dois eventos, separados por cerca de 2.900 km e diferentes em escala por aproximadamente duas a três ordens de grandeza. Coloque-os lado a lado e eles apontam para a mesma questão fundamental na proteção por relés: o que, exatamente, significa "coordenação"?

Os livros didáticos ensinam como calcular os ajustes, como aplicar a coordenação graduada no tempo e como verificar a sensibilidade. Eventos reais nunca seguem o livro didático. Um desses eventos ocorreu em uma chave ao ar livre na extremidade de uma rede de distribuição; o outro, em uma linha tronco transfronteiriça de 500 kV. Eles expõem a mesma vulnerabilidade de maneiras muito diferentes: uma quebra em qualquer elo da cadeia de coordenação é ampliada pelo tamanho da rede, e o cliente paga por isso em tempo de interrupção.

1. O evento de Dongsheng: como um ajuste de chave transformou uma falha de alimentador em um disparo não seletivo

1.1 Linha do tempo

• 25 de agosto, 15:08 — A Linha 962 Maliang de 10 kV na Subestação Dongsheng de 110 kV disparou quando a proteção de sobrecorrente de terceiro estágio operou. Uma tentativa de religamento automático falhou e a linha foi retirada de serviço, deixando todos os clientes no alimentador sem fornecimento.
• Investigação no local — A equipe de trabalhos em tensão da distribuição primeiro extraiu três conjuntos de dados: registros de formas de onda de falha, registros de operação de proteção e status do canal de telecomando. Todos os três estavam normais. O circuito de sinalização da chave automatizada na subestação estava intacto, o canal de telecomando estava estável e nenhum dano foi encontrado no próprio equipamento de automação.
• A abordagem rotineira falhou — Com as causas usuais relacionadas ao canal descartadas, a equipe trabalhou com o fabricante do equipamento para verificar os registros do equipamento, ajustes de proteção e parâmetros de configuração em ordem inversa.
• Causa raiz identificada — O disjuntor inteligente ao ar livre na linha: seu ajuste de operação desviou dos parâmetros declarados na placa de identificação, e o ajuste realmente aplicado em campo estava muito alto, fora da faixa coordenada da proteção dentro da subestação.
• Remediação — Corrigir os ajustes; realizar uma verificação completa de coordenação ao longo de todo o alimentador; re-verificar a lógica de operação da chave, transmissão de sinais e funções de intertravamento; retornar a linha ao serviço.

1.2 Mecanismo: por que um ajuste "alto" produz um disparo não seletivo

Esta é a parte da história que vale a pena desacelerar. Muitas pessoas explicam um disparo não seletivo com uma frase vaga — "os ajustes não foram devidamente coordenados" — mas a cadeia física funciona assim:

A coordenação de proteção é uma cadeia de prioridade. Ela decide quem opera primeiro.

• Lógica normal — Ocorre uma falha na linha de 10 kV; o disjuntor ao ar livre do lado da linha, ajustado para operar mais rápido, a elimina; apenas o alimentador com falha é desconectado; a proteção da subestação nunca vê a corrente por tempo suficiente para operar.
• Após o ajuste do disjuntor ao ar livre ser aumentado — Ocorre uma falha; a corrente de partida e o retardo de tempo do disjuntor ao ar livre são muito altos, então ele não opera dentro do seu tempo designado; a proteção na subestação atinge seu tempo de operação primeiro; o disjuntor da subestação dispara; todo o alimentador fica sem energia.

O custo de pular um nível de proteção não é simplesmente "disparar um nível acima"; é uma expansão — potencialmente por uma ordem de grandeza — da área afetada. Um disparo do lado da linha remove um alimentador. Um disparo a montante na subestação pode desligar uma barra coletora e todos os alimentadores alimentados por ela. Neste evento, a interrupção foi limitada à única linha, mas a lógica de coordenação já havia falhado, e um resultado pior estava a apenas um passo de distância.

Há um ponto técnico aqui que é fácil de passar despercebido. Erros de ajuste e falhas de canal são dois tipos de problemas completamente diferentes. Uma falha de canal — sinais que não passam — é um problema "visível": o monitoramento remoto pode encontrá-lo. Um erro de ajuste é um problema que você pode encarar e ainda assim não ver. Os registros de forma de onda estão normais, as mensagens estão normais, o canal está saudável e o dispositivo fica no limiar errado sem fazer nada. É por isso que um defeito de ajuste latente é mais difícil de encontrar do que uma falha de canal: ele não aciona um alarme — ele simplesmente não faz nada.

1.3 Três perguntas: por que não foi notado antes?

Primeira: de onde vêm os ajustes? Disjuntores inteligentes ao ar livre são numerosos e amplamente dispersos. Seus ajustes são frequentemente pré-configurados pelo fabricante para parâmetros genéricos, e nenhuma verificação de coordenação contra a proteção dentro da subestação é realizada no comissionamento. Os padrões de fábrica não são ajustes coordenados pelo sistema; esta é a principal fonte de ajustes invertidos.

Segunda: por que o comissionamento e a aceitação não detectaram isso? Se o comissionamento incluísse uma etapa obrigatória — "verificação da coordenação de ajustes com a proteção da subestação" — na qual os ajustes do lado da linha e os ajustes da subestação são colocados na mesma tabela de comparação e seus intervalos de tempo de coordenação verificados, isso teria sido encontrado antes da energização. O fato de não ter sido encontrado significa que a etapa estava faltando na lista de verificação de aceitação ou que foi realizada apenas no papel.

Terceira: por que permaneceu invisível durante a operação? Os ajustes estão dispersos entre fabricantes, equipes de manutenção e centros de despacho, sem um sistema unificado para circular documentos de ajustes ou para retestes periódicos. Uma vez que o equipamento está em serviço, "ajustar uma vez e nunca mais mexer" não é incomum em redes de distribuição. Se os ajustes são re-verificados após manutenção, atualizações ou alterações de ajustes, muitas vezes depende da diligência da equipe e não de um procedimento.

Todas as três perguntas apontam para a mesma conclusão. Na superfície, o evento de Dongsheng foi causado por um ajuste incorreto. Em sua essência, foi causado por uma lacuna no sistema de gestão de ajustes.

2. O apagão em quatro países da Ásia Central: como os esquemas de controle de emergência transformaram um déficit de 600 MW em um apagão transfronteiriço

2.1 Linha do tempo e como a versão oficial evoluiu

• 14 de agosto, 14:37, horário do Cazaquistão (UTC+5) — Duas unidades hidrelétricas da usina hidrelétrica de Toktogul (UHE) no Quirguistão desligaram. A KEGOC relatou a perda de geração em aproximadamente 600 MW; o Ministério da Energia do Cazaquistão informou separadamente que a capacidade combinada das duas unidades era de 625 MW.
• 14:37–14:38 — Três linhas de 500 kV operadas pela KEGOC — Agadyr–Ulken L-5300 e L-5320, e Aktogay–Taldykorgan L-5400 — desligaram.
• Cascata — Os esquemas de controle de emergência então operaram um após o outro. As restrições iniciais de fornecimento aos consumidores totalizaram aproximadamente 2.810 MW; restrições que totalizavam cerca de 295 MW foram suspensas até as 14:47. O fornecimento foi perdido em Almaty, Shymkent e outras áreas do sul, e a zona sul do Cazaquistão foi separada do sistema nacional e do Sistema Unificado de Energia da Ásia Central e começou a operar de forma isolada.
• Propagação — A separação da zona sul foi acompanhada por apagões em vários países. O Quirguistão registrou uma perturbação tecnológica em seu próprio sistema às 15:37, horário do Quirguistão (UTC+6) — uma hora à frente do Cazaquistão — e relatou o retorno do sistema unificado à frequência nominal às 15:55.

A evolução da versão oficial merece ser destacada:

As discrepâncias entre as fontes permanecem, e a conclusão final está pendente da investigação oficial. Mas há um detalhe de engenharia que nenhuma das partes pode evitar: a operação em cascata dos esquemas de controle de emergência foi um contribuinte direto para a propagação deste apagão.

2.2 Mecanismo: quando uma válvula de segurança se torna um amplificador

A filosofia de design dos esquemas de controle de emergência (conhecidos na China como dispositivos automáticos de segurança) pode ser resumida em uma frase: quando algo falha, proteja a rede como um todo e sacrifique a parte local. Eles atuam como uma válvula de segurança para a rede — quando detectam uma seção de transmissão sobrecarregada, frequência anormal ou risco de perda de sincronismo, eles realizam o alívio de carga em uma ordem predefinida para evitar o colapso da rede principal.

Essa lógica é sólida e é eficaz para uma única falha. Mas quando as falhas se acumulam e as configurações de diferentes seções não são coordenadas como um todo, a válvula de segurança se transforma em um amplificador.

A essência de uma cascata é que o próprio alívio de carga se torna uma nova perturbação. Cada ação de alívio de carga redistribui o fluxo de potência por toda a rede. Se o próximo dispositivo estiver configurado para as piores condições de sua própria seção, sem levar em conta os fluxos que o alívio de carga a montante deslocou para ele, pode espalhar a falha para linhas e seções que anteriormente estavam saudáveis. Um déficit de 600 MW é uma pequena perturbação em termos de capacidade do sistema; no entanto, através da cadeia “sobrecarga → alívio de carga → transferência de fluxo → nova sobrecarga → novo alívio de carga”, pode acabar cortando o fornecimento de milhões de clientes.

Um detalhe a mais que vale a pena refletir: o próprio déficit de 600 MW não foi fatal. O que foi fatal foi a ausência de coordenação em nível de sistema entre as margens de capacidade de transferência ao longo do caminho que o déficit se propagou e as configurações dos dispositivos. Se o alívio de carga for coordenado em níveis e por seção, com o princípio de minimizar a carga total interrompida, muitas cascatas podem ser interrompidas no primeiro estágio.

2.3 Três perguntas de acompanhamento

Primeira: por que uma pequena perturbação pode se propagar em cascata por uma rede interligada? Uma rede interligada transfronteiriça existe para que seus membros compartilhem capacidade de reserva e se apoiem mutuamente. Mas isso também significa que uma perturbação pode viajar indefinidamente ao longo das interligações. Em um sistema isolado, o desligamento de uma única unidade pode não causar nada mais do que uma variação de frequência; em um interligado, torna-se uma onda de fluxo de potência transfronteiriço — um teste da margem de coordenação de cada seção e de cada dispositivo de controle.

Segunda: quão ampla deve ser a visão ao ajustar para cascatas? Tradicionalmente, os esquemas de controle de emergência eram configurados para “esta usina, esta subestação, esta linha”. Este evento mostra que, no nível de um sistema de energia integrado, eles devem ser configurados no nível do sistema e no nível da seção transfronteiriça: a estratégia de alívio de carga do País A tem que levar em conta como ela mudará os fluxos seccionais no País B. Por mais precisamente que as configurações individuais sejam ajustadas, nada se ganha se faltar a coordenação no nível do sistema.

Terceira: o relato caótico de incidentes é um assunto menor? Os primeiros relatos atribuíram o evento à carga de alta temperatura; o relato técnico posterior revisou isso para o desligamento de uma unidade hidrelétrica. Para uma resposta coordenada transfronteiriça, esse tipo de mudança brusca é uma séria interrupção: quando os centros de despacho em diferentes países executam estudos de cenários com base nesses avisos, qualquer mudança na entrada os força a refazer seus planos do zero. A governança da informação não é uma questão de relações públicas — é a infraestrutura operacional para uma resposta coordenada.

3. Dois eventos, uma pergunta: por que a cadeia de coordenação continua se rompendo?

3.1 Diferentes na superfície, iguais por baixo

Coloque os dois lado a lado e uma semelhança aparece: a fronteira entre a operação seletiva e a operação de reserva foi violada.

• Dongsheng: o disjuntor da linha (proteção principal) falhou em operar, e a proteção da subestação (reserva) pulou um nível—uma perda de seletividade.
• Ásia Central: após o primeiro estágio de descarte de carga, o sistema não se estabilizou e a cascata continuou—a ação de reserva foi além do escopo para o qual foi projetada.

O intervalo de tempo de coordenação em uma rede de distribuição é tipicamente de 0,3–0,5 s, enquanto a coordenação de intertravamento em redes principais e interligadas varia de milissegundos a segundos. As escalas diferem; a matemática é a mesma. Tudo se resume a uma regra: desconectar a menor parte possível da rede, no momento certo, com o dispositivo certo.

3.2 Duas coisas que o livro-texto não lhe contou

Primeiro: um ajuste não é escolhido "arbitrariamente"—ele é escolhido por coordenação. Por mais precisos que sejam os ajustes de um dispositivo individual, eles só têm significado em relação aos dispositivos de ambos os lados. Cada número em uma folha de ajustes deve responder a uma pergunta na cadeia de coordenação: "Por que sou 0,3 s mais rápido que o dispositivo do lado da fonte e 0,3 s mais lento que o dispositivo do lado da carga?" (A montante aqui significa o dispositivo mais próximo da fonte, que é ajustado para operar mais lentamente.) Os ajustes dos disjuntores externos em Dongsheng eram números que estavam corretos isoladamente e errados no contexto.

Segundo: quanto maior a rede, maior o custo invisível da coordenação. A coordenação dentro de uma subestação é um punhado de folhas de ajustes. A coordenação em uma rede interligada multirregional é uma matriz multidimensional: o limite de fluxo de cada seção, os estágios de descarte de carga de cada dispositivo de controle e a coordenação do controle automático de geração (AGC) e do descarte de carga por subfrequência (UFLS) entre países. Se uma única célula nessa matriz for preenchida incorretamente, a falha se manifesta no dia do evento como uma cascata.

3.3 Olhando para o futuro: as novas energias estão tornando a gestão de ajustes mais difícil

A tarefa descrita no início deste artigo é exigente, e se tornará ainda mais. À medida que a geração fotovoltaica distribuída, o armazenamento de energia e os veículos elétricos são conectados em larga escala:

• A base para os ajustes de proteção de distribuição está sendo reescrita. A contribuição de corrente de defeito da geração distribuída altera a forma como a corrente de defeito é distribuída, invalidando a premissa tradicional radial de fonte única; os ajustes de sobrecorrente podem precisar ser complementados com elementos direcionais.
• O número de configurações de proteção está aumentando. Cada ponto de conexão é um novo nó de coordenação; a cadeia de coordenação cresce de "uma linha com alguns dispositivos" para uma rede de dezenas de nós.
• Os ajustes precisam mudar com mais frequência. Mudanças no modo de operação e a conexão ou desconexão da geração distribuída exigem que os ajustes sejam revalidados; o livro de registros estático está sendo substituído pela gestão dinâmica.

Em outras palavras: em redes de distribuição com alta penetração de novas energias, o estilo de inversão de ajustes de Dongsheng está fadado a aparecer com mais frequência, e cada ocorrência custará mais para ser rastreada. Se um sistema de gestão padronizado não for construído agora, o preço será pago mais tarde, em um evento.

4. Recomendações para as equipes de operações de linha de frente e despacho

4.1 Um registro integrado para ajustes (a partir das lições de Dongsheng)

1. Construa um registro completo de comparação de ajustes. A proteção intraestação, os disjuntores inteligentes do lado da linha e os equipamentos externos devem ser todos referenciados cruzadamente em uma única tabela, para que a cadeia de coordenação possa ser vista de relance.
2. Torne a verificação de coordenação obrigatória antes do comissionamento. Antes da energização, verifique a cadeia de graduação "o lado da linha opera primeiro, a subestação fornece a reserva". Registre o resultado, assine-o e não energize sem isso.
3. Teste novamente periodicamente após o comissionamento. Mude para uma verificação anual ou por ciclo operacional dos ajustes, realizada no local, para confirmar se os ajustes dos dispositivos inteligentes externos correspondem aos registros—prestando atenção especial se as predefinições do fabricante foram colocadas em serviço exatamente como entregues.
4. Revalide os ajustes após qualquer manutenção, atualização ou alteração de ajuste. Qualquer trabalho que toque em um ajuste deve acionar uma revisão de toda a cadeia de coordenação; não há espaço para uma abordagem de "conserte e esqueça".

4.2 Definição de esquemas de controle de emergência no nível do sistema (a partir das lições da Ásia Central)

1. Amplie o escopo da coordenação. Passe de "esta usina, esta subestação, esta linha" para o nível de seção e o nível regional; projete o descarte de carga por seção e gradue-o com base no princípio de minimizar a carga total interrompida.
2. Cubra cenários combinados na simulação. Não teste apenas falhas únicas; simule N-1, N-2 e um déficit de geração combinado com uma seção sobrecarregada. As cascatas são exatamente o que os testes de cenário único falham em cobrir.
3. Construa um mecanismo de coordenação entre entidades. Para redes transfronteiriças e inter-regionais, deve haver uma estrutura coordenada para ajustes de dispositivos de controle, estágios de descarte de carga e atrasos de comunicação—alcançando, no mínimo, a visibilidade mútua.

4.3 Disciplina no relato de incidentes

1. Verifique primeiro, depois publique. Uma notificação inicial pode ser enviada rapidamente, mas a conclusão sobre a causa deve esperar até que os dados tenham sido verificados. É melhor atrasar meia hora com informações precisas do que publicar uma atribuição incorreta.
2. Gerencie as versões das notificações. Use um único ponto de divulgação externa e certifique-se de que cada correção tenha um número de versão e um registro de data e hora, para que atualizações contraditórias não interrompam a resposta coordenada.

4.4 Nível institucional

1. Torne a verificação de coordenação um sistema, e não uma questão de diligência individual. Padronizada, assinada e rastreável—cada ajuste deve ter uma pessoa nomeada responsável por ele.
2. Realize simulados de cascata rotineiramente. Incorpore "religamento com falha + disparo em cascata + contribuição da geração distribuída" aos cenários de simulados de emergência, para que a equipe enfrente o pior caso antes que o evento ocorra.

Conclusão: transforme a coordenação em um sistema, não em um slogan

O evento de Dongsheng e o apagão em quatro países da Ásia Central parecem dois eventos de rede isolados—um no final de uma rede de distribuição, o outro em uma espinha dorsal transfronteiriça; um afetando um único alimentador, o outro quatro países. Em sua essência, eles testam a mesma coisa: a coordenação de proteção e a lógica de controle de emergência podem cobrir cada disjuntor, cada linha e cada seção da rede?

A lição da prática de engenharia é que prevenir disparos não seletivos e apagões em cascata não requer uma teoria sofisticada. O que requer é:

• Um registro de ajustes integrado de ponta a ponta—equipamentos intraestação, do lado da linha e externos comparados na mesma tabela.
• Verificação de conformidade institucionalizada—verificar antes do comissionamento, testar novamente durante a operação, revalidar após qualquer alteração.
• Esquemas de controle de emergência coordenados no nível do sistema—olhar para toda a rede, não apenas para este local.
• Relato de incidentes que seja oportuno e preciso—verifique primeiro, depois fale.

Nada disso é glamoroso, e nada disso vira notícia. Mas, dia após dia, isso decide uma coisa: quando ocorre uma falha, a rede isolará a menor área possível e restaurará o maior suprimento possível — ou deixará uma falha menor evoluir para um apagão de grandes proporções?

Com a implantação em larga escala de geração fotovoltaica distribuída, armazenamento de energia e veículos elétricos, o número de dispositivos de proteção nas redes de distribuição se multiplicará, e a complexidade da gestão de ajustes só aumentará. Elaborar o cadastro agora, implementar os mecanismos e executar cenários em cascata em simulações são tarefas que todas as equipes de campo e centros de despacho devem iniciar o mais rápido possível.

As atualizações de equipamentos podem esperar; as falhas, não.

(A parte factual deste artigo baseia-se em comunicados disponíveis publicamente e reportagens da mídia; a análise dos mecanismos e as recomendações refletem a lógica de engenharia de uso geral em toda a indústria, e são oferecidas aos profissionais para discussão e uso como referência. As conclusões finais sobre ambos os eventos permanecem sujeitas às investigações oficiais dos países envolvidos.)