Redes de Componentes

10.1. Introdução

Redes elétricas e outros processos industriais são formados pela interligação de muitos componentes, distribuídos por extensas áreas geográficas, os quais formam subconjuntos que realizam uma ou mais funções interdependentes, de interesse social e industrial. Além do comportamento intrínseco dos componentes, as redes elétricas de alta tensão e as instalações industriais de grande porte dependem também de complexos sistemas de proteção e automação, que também formam redes distribuídas, as quais possuem comportamentos próprios que afetam o desempenho da rede primária e de todo o processo automatizado.

Este capítulo desenvolve modelos de redes industriais e sistemas de automação, utilizando árvores de falha e grafos topológicos (LIMNIOS [152]), adequados ao estudo do risco de grandes acidentes em processos industriais. A complexidade destas árvores desafia a capacidade dos métodos tradicionais de análise de risco, pela dimensão e diversidade de relações entre os componentes.

10.2. Redes Industriais

As grandes instalações dos sistemas elétricos de potência evoluíram ditadas principalmente por fatores econômicos e tecnológicos. Instalações gigantescas, com transformadores, geradores e linhas de transmissão de grande capacidade são construídas e interligadas por redes de alta e extra-alta tensão, cobrindo extensas áreas geográficas. Esta tendência aumentou as chances e consequências de grandes acidentes, com impactos significantes na economia, meio ambiente e seres humanos.

Para avaliar o desempenho e risco destes sistemas, é necessário identificar as partes sujeitas a falhas ou danos. Neste aspecto, é instrutivo particionar a rede em zonas possíveis de isolamento em caso de acidente. Nas indústrias de processo, que lidam com fluídos (líquidos ou gasosos), o isolamento é feito por válvulas que interrompem o fluxo em canalizações. Na indústria elétrica, o isolamento é obtido por disjuntores ou válvulas tiristorizadas que interrompem a corrente elétrica. O critério de zoneamento corresponde aproximadamente ao alcance e ajuste dos dispositivos de proteção primários, cujo sinal de disparo (trip) atua sobre os disjuntores e válvulas delimitadoras de sua zona de proteção. O exemplo a seguir ilustra este conceito.

180

Para o sistema exemplo utilizado nesta pesquisa, as zonas de risco são mostradas hachuradas na Figura 47, delimitadas pelos disjuntores representados por quadrados escuros. Nota-se a sobreposição intencional de algumas zonas para proteger também os disjuntores nas zonas de fronteira. Esta é uma prática usual na engenharia de proteção de sistemas elétricos, garantindo que defeitos nos próprios disjuntores provocarão o desligamento das duas zonas superpostas.

Figura 47 – Zonas de Proteção

■

Cada unidade de risco ou zona de proteção é monitorada por um conjunto de relés, sensores e transformadores de instrumentos (corrente e tensão) que atuam sobre seus disjuntores, quando a grandeza monitorada excede uma faixa permitida e ajustada. Idealmente, cada zona deveria ser delimitada por seus próprios disjuntores, para permitir o isolamento de outras zonas em caso de defeito. Limitações de custo podem determinar uma topologia diferente deste critério. O seguinte exemplo mostra como a proteção delimita as zonas de risco de um sistema elétrico.

Exemplo 34 – Sistemas de Proteção

A Figura 48 é um desenho unifilar de localização dos sistemas de proteção da rede elétrica exemplo utilizada nesta pesquisa. Cada função de proteção é identificada por um número em uma caixa preta, representando o equipamento protegido. Linhas de transmissão são representadas por duas proteções de mesmo número, localizadas nos terminais da linha e interligadas por canais de comunicação, indicados por linhas pontilhadas. Os transformadores de instrumentos (TI) são representados por pequenos círculos e os sinais secundários de corrente e tensão são representados por setas, direcionadas dos TIs para os sistemas de proteção. Nota-se a localização dos transformadores de instrumentos e dispositivos de proteção, e como eles são conectados. A sobreposição das zonas é obtida pelo cruzamento dos transformadores de corrente de unidades adjacentes. Embora não mostrado nesta figura, a maioria dos dispositivos de proteção é duplicada nas

181

instalações de alta tensão, para aumentar sua confiabilidade. O caminho de trip dos relés para cada disjuntor foi omitido neste exemplo para não complicar o desenho.

Figura 48 – Sistemas de Proteção

■

Definidas as zonas de atuação de cada proteção, pode-se iniciar a modelagem e análise de risco do sistema, pesquisando-se os modos de falha preponderantes e os níveis de risco resultantes.

10.3. Níveis de Risco e Modos de Falha

A análise de riscos inicia-se pela identificação dos modos de falha significantes de cada instalação interligada. Duas fontes principais de defeitos podem originar danos em uma planta elétrica: falhas primárias nos equipamentos de alta tensão, ou falhas secundárias nos equipamentos de controle, proteção e auxiliares. Sistemas de alta tensão podem falhar devido à perda natural de isolamento ou devido a eventos acidentais (naturais ou humanos), resultando principalmente em curtos-circuitos, e eventualmente em incêndios ou explosões. Devido às altas tensões utilizadas, estas faltas estão associadas a grandes capacidades de curto-circuito, resultando na liberação descontrolada de enormes quantidades de energia. Esta liberação, além da potência destrutiva própria, pode atuar como ignição ou fonte de calor para incêndios ou explosões na instalação, e resultar em mortes ou danos ambientais. Nas usinas nucleares ou movidas a combustíveis fósseis, a contaminação de rios e a própria atmosfera podem resultar em desastres ambientais. Falhas em usinas hidrelétricas podem inundar extensas áreas geográficas. Por outro lado, sistemas de proteção automáticos podem falhar devido a defeitos internos em relés, transformadores de instrumentos, disjuntores e circuitos auxiliares, ou erros humanos em sua configuração. De acordo com sua extensão e localidade, estes defeitos podem afetar a missão do sistema de proteção, dando origem a dois modos de falhas sintomáticos destes sistemas:

182

(a) vulnerabilidade: se desligam desnecessariamente, na ausência de falha; (b) inatividade: se não desligam na presença de uma falha primária.

O modo (a) tem a ver com a perda de segurança (dependability) do sistema de proteção, resultando em transitórios e desligamentos desnecessários, com perdas de carga e receitas para os proprietários, mas usualmente não afetam a segurança da instalação ou sistema, sendo menos severos que o modo (b), determinado pela perda de confiabilidade (reliability) do sistema de proteção, que, além destes efeitos, tem impacto na segurança de pessoas, equipamentos e meio ambiente. O modo (b) é o principal sintoma de falha crítica na avaliação de risco. O modo (a) é de interesse principalmente em estudos de confiabilidade e desempenho do serviço prestado pela rede elétrica (BILLINTON e ALLAN [41]). Ambos são detalhados nos capítulos seguintes desta pesquisa.

Para minimizar o risco, é prática corrente na indústria elétrica proteger cada equipamento com um segundo conjunto de relés, conhecido como proteção secundária, usado normalmente também como proteção primária de equipamentos adjacentes ou estações vizinhas. Para aumentar a segurança, normalmente eles atuam em disjuntores diferentes daqueles acionados pela proteção primária. Cada unidade tem tantas proteções secundárias quantas são as unidades ou subestações adjacentes, para as quais exista um caminho elétrico como fonte de potência. Estes conceitos permitem desenhar a árvore de eventos principal de uma falha crítica, conforme mostrado na Figura 49.

Figura 49 – Modelo de Níveis de Falha e Árvore de Eventos

Iniciando pela ocorrência de uma falha primária, chamada de primeiro nível de falha, é possível limitar o perigo ou risco a uma falha de unidade ou zona de proteção, pela ação de sua proteção primária, isolando apenas a unidade sob falha. Caso haja recusa da proteção primária, as consequências podem evoluir para uma falha da planta ou estação, com desconexão da instalação completa ou grande parte dela, pela atuação da proteção secundária ou de retaguarda (backup). Uma falha subsequente de qualquer das proteções de retaguarda, poderá resultar em uma falha crítica do sistema, assim definida: