The Iberian Blackout: A Black Swan or a Gray Rhino? A Protection-Aware Dynamic Voltage Security Assessment

Resumen Técnico: Una Evaluación de Seguridad de Voltaje Dinámica con Conciencia de la Protección

Planteamiento del Problema
El artículo aborda una clase específica de vulnerabilidades del sistema expuestas por el apagón ibérico del 28 de abril de 2025: cascadas de sobrevoltaje impulsadas por la protección. A diferencia de los problemas clásicos de estabilidad de voltaje que se centran en la dinámica de carga a largo plazo o curvas $QV$, este mecanismo involucra un estado operativo de alto voltaje donde eventos plausibles (por ejemplo, disparos de generadores, rampas de factor de potencia fijo, conmutación de reactores) causan un aumento rápido del voltaje en los puntos de medición de la protección (buses colectores, lados de baja tensión de transformadores o buses internos de plantas) antes de que los controles disponibles puedan responder.

La pregunta operativa central es: ¿Puede una herramienta de tiempo real o de planificación detectar que un sistema se está volviendo "frágil ante la protección", donde el siguiente evento plausible (disparo o rampa) empujará los voltajes protegidos por encima de los umbrales de los relés, conduciendo a una cascada de desconexiones autorreforzada debido a la pérdida de absorción de reactivos? El artículo argumenta que las comprobaciones estáticas convencionales y las simulaciones no lineales lentas son insuficientes para esta capa de cribado de tiempo crítico.

Metodología
Los autores proponen una Evaluación de Seguridad de Voltaje Dinámica con Conciencia de la Protección que opera como una capa de cribado entre los Sistemas de Gestión de Energía (EMS)/Análisis de Contingencias en Tiempo Real (RTCA) y la Simulación de Dominio del Tiempo (TDS) no lineal completa. La metodología se basa en tres pilares:

1. Modelado Híbrido DAE y Mapas de Ventana Finita:

   • El sistema se modela utilizando un marco de ecuaciones diferenciales-algebraicas (DAE) híbridas no lineales que incluye explícitamente Reguladores Automáticos de Voltaje (AVR), Recursos Basados en Inversores (IBR), STATCOMs, enlaces HVDC y lógica de protección.
   • La evaluación es por modo: los estados discretos (topología, estado de reactores, posiciones de tomas, activación de limitadores) se mantienen fijos para una ventana de evaluación específica, mientras que se retienen las dinámicas continuas.
   • Los autores derivan mapas de voltaje de ventana finita que computan la respuesta de voltaje en el lado de medición del relé (no solo en el bus de transmisión) sobre el horizonte de tiempo específico relevante para el relé (típicamente de sub-segundo a pocos segundos).

2. Erosión de Margen Normalizada y Cribado de Cascada:

   • El método define una erosión de margen de sobrevoltaje normalizada ($K_{ij}$) para cada activo protegido $i$ relativo a un evento candidato $j$. Esta métrica cuantifica cuánto del margen restante ($h_i = V_{trip} - V_{current}$) es consumido por el evento.
   • Se desarrolla un cribado de cascada de disparo monótono utilizando un mapa de umbral aditivo. Si la suma de las erosiones de margen de un evento semilla y los disparos subsecuentes excede la unidad, se predice una cascada.
   • Se generan certificados robustos bajo incertidumbre. Cuando los ajustes de los relés, las posiciones de las tomas o los voltajes del lado protegido son inciertos o faltan, el método utiliza intervalos acotados para emitir veredictos de "datos limitados" en lugar de certificados de seguridad falsos.

3. Optimización de Mitigación:

   • Para escenarios de alto riesgo, el método resuelve un problema de optimización lineal para calcular la acción reactiva rápida mínima requerida para mantener los voltajes protegidos por debajo de los umbrales dentro de la ventana del relé.
   • Crucialmente, esta optimización clasifica los controles por su autoridad de ventana finita útil (por ejemplo, STATCOMs, inversores en modo voltaje) en lugar de su capacidad nominal, excluyendo explícitamente controles lentos (por ejemplo, reactores manuales) que no pueden actuar dentro del tiempo de permanencia del relé.

Contribuciones Clave

1. Síntesis del Mecanismo: El artículo traduce los hallazgos del informe final de ENTSO-E en un mecanismo generalizado a nivel de sistema, identificando cómo las rampas de factor de potencia fijo, la pérdida de absorción de reactivos y los ajustes de protección interactúan para erosionar los márgenes.
2. Evaluación con Conciencia de la Protección: A diferencia de las herramientas tradicionales, este método evalúa la seguridad de voltaje específicamente en el lado de medición del relé sobre ventanas de tiempo relevantes para el relé, considerando la naturaleza discreta de los disparos de protección y la dinámica específica de los controladores (AVR, IBR, HVDC).
3. Flujo de Trabajo Operativo: Se formula un flujo de trabajo de cribado completo que clasifica eventos semilla, predice puntos fijos de cascada, gestiona la falta de datos mediante límites robustos y computa acciones de control preventivo rápido.
4. Validación y Replicación: Los autores replicaron el mecanismo de cascada de sobrevoltaje ibérico en un sistema de 2000 buses y validaron el cribado frente a la TDS no lineal en cuatro sistemas de referencia (Kundur, IEEE 39, NPCC, GBnetwork).

Resultos

• Desempeño de Seguridad: A través de 140 eventos semilla validados, el cribado produjo cero falsos negativos inseguros. Todos los casos peligrosos de TDS no lineal fueron predichos como disparos o marcados como "datos limitados" (debido a la incertidumbre).
• Falsos Positivos Conservadores: El cribado generó falsos positivos conservadores (marcando eventos seguros como riesgosos) en aproximadamente el 18% de los casos, principalmente en familias de rampas de factor de potencia fijo y disparos de plantas. Estos están destinados a activar una validación adicional en lugar de ser descartados.
• Eficiencia de Triaje: El cribado es de 2.4 a 9 veces más rápido que los barridos de TDS completos. Más importante aún, permite el triaje: en el benchmark de GBnetwork, el cribado identificó el 9 de cada 10 eventos peligrosos enviando solo el 50% de la librería de candidatos a la simulación no lineal.
• Mitigación: La optimización identificó con éxito acciones reactivas rápidas (por ejemplo, absorción de STATCOM, cambio de IBRs a modo voltaje) que restauraron los márgenes en los casos de referencia. Identificó correctamente escenarios donde los controles disponibles eran insuficientes (slack positivo en la optimación).
• Impacto de la Observabilidad: El estudio demostró que, si bien la telemetría completa del lado protegido es ideal, una reconstrucción acotada de los voltajes protegidos (usando relaciones de transformación y límites de error) es suficiente para convertir los veredictos de "datos limitados" en certificados de seguridad deterministas.

Significancia y Reivindicaciones
El artículo sostiene que el apagón ibérico fue un Rinoceronte Gris (una amenaza visible y de alta probabilidad) en lugar de un Cisne Negro, ya que las debilidades estructurales (márgenes bajos, operación de factor de potencia fijo, desalineación de la protección) eran identificables.

La significancia de este trabajo radica en transformar estas debilidades estáticas en una capacidad de cribado dinámica y operativa. Los autores argumentan que los límites de voltaje del lado de la transmisión son necesarios pero insuficientes; la seguridad contra este mecanismo requiere evaluar simultáneamente los márgenes del lado protegido, el impacto del evento en esos márgenes y la respuesta de control de ventana finita.

El marco proporciona una herramienta práctica para que los operadores:

1. Detecten cuándo un sistema se está acercando a un estado de fragilidad de protección.
2. Clasifiquen las acciones del operador (por ejemplo, conmutación, rampas) según su riesgo de desencadenar una cascada.
3. Computen acciones de mitigación reactiva rápida específicas antes de que ocurra un disparo.
4. Gestionen la incertidumbre distinguiendo entre estados "seguros", "riesgosos" y "de datos limitados", asegurando que la falta de datos no conduzca a una falsa confianza.

Los autores concluyen que, si bien la trayectoria ibérica específica fue compleja, la clase de vulnerabilidad subyacente es generalizable y puede ser cribada y mitigada utilizando la evaluación de conciencia de protección propuesta.