Příčiny a následky velkých výpadků v dodávkách elektřiny

Příčiny a následky velkých výpadků v dodávkách elektřiny

Ing. Karel Máslo, CSc., ČEPS, a. s.

Evropa i Amerika byly v minulých letech postiženy několika vážnými poruchami spojenými s přerušením zásobování rozsáhlých území elektřinou. Tyto velké výpadky neboli „blackouty„ postihly 14. srpna 2003 USA a Kanadu, 23. září 2003 Dánsko a Švédsko, 28. září 2003 Itálii a 12. července 2004 Řecko. Článek popisuje vznik těchto poruch, jejich příčiny a následky.

Výpadek v USA a v Kanadě 14. 8. 2003

Tento den dosahovala teplota na severovýchodě USA 90 oF (tj. 32,2 oC), což je více než průměr 80 oF, ale méně než maximum 100 oF. V síti převažovaly toky výkonu z jihu a západu směrem na sever (Michigan) a na východ (New York). Export z jihu a západu USA směřoval hlavně do severního Ohia, do Michiganu a do kanadského Ontaria. Porucha vznikla v severním Ohiu v důsledku zkratu při kontaktu vodiče venkovního vedení 345 kV se stromem. Přetížení vyvolalo kaskádovité šíření poruchy, postupné vypnutí přenosových vedení působením ochran, vznik ostrovního provozu a poté výpadek velké části severovýchodu USA a jihovýchodu Kanady. Celkový výpadek v šestnáct hodin představoval 61 800 MW. Událost zasáhla 265 elektráren s 508 bloky a bez elektřiny zůstalo 50 milionů obyvatel. Rozsah postiženého území okolo velkých jezer je zřejmý z obr. 1 (oblasti bez elektřiny jsou vyznačeny šedě, tlusté čáry naznačují, jak se výpadek postupně rozšiřoval).

Obr. 1. Území USA a Kanady zasažené výpadkem proudu 14. 8. 2003 (přejato z [1] a upraveno)

NERC – organizace zabývající se spolehlivostí a bezpečností provozu elektrizační soustavy v USA, ve své závěrečné zprávě [1] popsala průběh událostí toho dne takto:

• 13:31:34 – Nastal výpadek bloku č. 5 elektrárny Eastlake v severním Ohiu na východním pobřeží Erijského jezera, s výkonem 597 MW. Předtím se obsluha bloku snažila zvýšit napětí sítě, a jalový výkon se tak přiblížil maximální dovolené hodnotě. Zřejmě po výpadku kondenzátorové baterie na vedení 138 kV překročil jalový výkon dovolenou hodnotu a automatická regulace napětí se přepnula na ruční. Ta však měla chybně zadanou hodnotu a jalový výkon klesl na nulu. Obsluha se pokusila přepnout regulaci na automatickou, ale blok vypnula ochrana při ztrátě buzení.
  Vzhledem k tomu, že již bylo odstaveno více bloků v této oblasti, začínal se projevovat nedostatek jalového výkonu pro regulaci napětí (jalový výkon je potřebný jak pro krytí ztrát jalového výkonu při velkých zatíženích vedení, tak pro zajištění spotřeby asynchronních motorů využívaných v klimatizačních zařízeních). Soustava se tak dostala do výstražného stavu, kdy nebylo splněno spolehlivostní kritérium N – 1. Dispečeři společnosti FE však o této situaci nevěděli, protože ani po výpadku bloku ani později, po výpadcích dalších vedení, neprovedli žádné výpočty, včetně kontingenční analýzy, a nečinili tedy žádná korektivní opatření nutná pro návrat do bezpečného stavu.

• 14:02 – Po kontaktu vodičů se stromy došlo k výpadku 345kV vedení Stuart–Atlanta. Ten sice neměl přímý vliv na vznik celkového výpadku, ale protože nebyl monitorován ve stavovém estimátoru provozovatele přenosové soustavy MISO, dával estimátor chybné výsledky a byl po kritickou dobu před „blackoutem„ mimo provoz. (Účelem stavové estimace – odhadu stavu soustavy – je opravit chyby v měřených údajích a připravit vstupní údaje pro další výpočty.) Rovněž další diagnostický prostředek podpory dispečera, kterým je kontingenční analýza v reálném čase, nerozpoznal nebezpečnost stavu, protože dostával chybné výsledky ze stavového estimátoru. Kontingenční analýza (prováděná automaticky v pravidelných intervalech a spouštěná při změně stavu soustavy nebo na žádost dispečera) simuluje možné stavy soustavy a výpadky jednotlivých zařízení a určuje, zda soustava pracuje v bezpečném režimu při splnění kritéria N – 1. Jestliže analýza najde nebezpečný stav, do něhož se soustava dostane některým výpadkem, dostává dispečer výstrahu, takže může provést preventivní zásah, aby se soustava vrátila zpět do bezpečného stavu. V kritický den byly ještě obě aplikace – estimátor i kontingenční analýza – ve stadiu vývoje a nebyly zcela funkční. Stavový estimátor již ve 12:15 dával řešení s odchylkou mimo zadané meze a to způsobilo jeho vyřazení z provozu. Obsluha objevila příčinu chybných výsledků (chybně zadaný stav jednoho z vedení 230 kV) a v domnění, že je vše v pořádku, odešla na oběd. Zapomněla však přepnout stavový estimátor do automatického režimu spouštění po pěti minutách.

• 14:14 – V dispečinku společnosti FE nastal výpadek výstražného systému (který akusticky i opticky signalizuje, že se určité zařízení dostalo do problematického stavu) a porucha se rozšířila do celého řídicího systému GE Harris XA21. Schopnost dispečerů kontrolovat a řídit soustavu tak byla podstatně omezena. Navíc obsluha, která měla na starosti počítačovou podporu, o výpadku neinformovala dispečery, takže ti se ani nepokoušeli jinak získat informace o stavu soustavy, přestože dostávali varovné telefonáty od sousedních provozovatelů, a dokonce i od zákazníků. K selhání výstražného systému docházelo i dříve, ale zatím nikdy nenastalo úplné zablokování v důsledku chyby zdrojového kódu. Jedinou možností byl studený restart řídicího systému, z něhož měli dispečeři pochopitelné obavy, takže ho neprovedli. Ačkoliv byly k dispozici opravené verze používaného programu, nebyl program od roku 1998 aktualizován; společnost FE se již dříve rozhodla nahradit systém XA21 řídicím systémem od jiného výrobce.

• 14:27:16 – Vypnulo se a opětovně se zapnulo hraniční vedení mezi AEP a FE v úseku Star–South Canton, zatížené na 54 %. Dispečer AEP chtěl potvrdit jeho provoz, ale dispečink FE o výpadku vůbec nevěděl a popřel problémy v soustavě.

• 14:40 – Obsluha stavového estimátoru společnosti MISO zjistila, že estimace nepracuje v automatickém režimu, a přepnula ho do tohoto režimu. Vlivem chybné informace o stavu vedení Stuart–Atlanta byly výsledky estimátoru opět chybné. Stav tohoto vedení, jehož výpadek nastal ve 14:02, totiž nebyl do estimátoru stavu automaticky signalizován. O jeho skutečném stavu se obsluha dozvěděla až v 15:29. Po zadání výpadku vedení estimátor v 15:41 již poskytoval správné výsledky. V 16:04 byly obě aplikace – stavový estimátor i kontingenční analýza – přepnuty do automatického režimu, ale na včasné varování dispečerů společnosti FE už bylo pozdě.

• 15:05:41 – Nastal výpadek 345kV vedení Harding–Chamberlain (společnosti FE) v severním Ohiu, které bylo zatíženo na 43,5 % svého tepelného limitu; takovéto zatížení nemůže způsobit nedovolený průhyb lana, avšak společnost FE nechala stromy v koridoru vedení přerůst, takže došlo ke kontaktu lana se stromem, k vypnutí srovnávací ochranou (přesněji směrovým relé měřícím zemní proud), k neúspěšnému opětovnému zapnutí a k definitivnímu vypnutí. Pomocí údajů z lokátoru poruch bylo nalezeno místo zkratu se stopami spálení stromů.

• 15:32:03 – Po jednofázovém zkratu, opět způsobeném kontaktem vodičů se stromy, při proudu 2 050 A (87 % normálního i nouzového limitu) vznikl výpadek na 345kV vedení Hanna–Juniper (také společnosti FE) v severním Ohiu.

• 15:35 – Provozovatel AEP žádal PJM o zahájení tzv. procesu TLR (Transmission Loading Relief – odlehčení přenášené zátěže), který měl vést k odlehčení vedení Star–South Canton o 350 MW.

• 15:41:33 – Došlo k výpadku 345kV hraničního vedení AEP/FE mezi Star a South Cantonem v severním Ohiu při zatížení 93,2 % nouzového limitu, zatímco dispečeři AEP a PJM diskutovali o tom, jak je odlehčí. Na tomto vedení nastaly během odpoledne již dva výpadky (ve 14:27:15 a v 15:38:47), ale pokaždé bylo opětovné zapnutí úspěšné. Pracovníci AEP hovořili o vypnutí na své straně s dispečery FE, ti však o fungování ochran a o vypnutí na své straně vůbec nevěděli a považovali tuto informaci buď za nepřesnou, nebo za bezvýznamnou. Při posledním zkratu však byly dva pokusy o opětovné zapnutí neúspěšné a vedení bylo definitivně vypnuto. Vyšetřování ukázalo, že zkrat vznikl na vedení, za jehož údržbu odpovídala společnost FE. Všechny předcházející výpadky vedení byly způsobeny činností ochran po neúspěšném opětovném zapnutí po zkratu vyvolaném dotykem vedení s přerostlými stromy v jeho koridoru. Příčinou dotyku byl velký průhyb, způsobený značným zatížením vedení proudem, který se blížil nouzové mezi nebo jí dosahoval. Dispečeři FE o výpadku vedení neinformovali ani MISO ani provozovatele sousedních soustav, takže ti nevěděli o možných důsledcích. Naopak dispečeři FE z telefonických rozhovorů s personálem MISO, PJM, elektráren a sousedních soustav, ale i z telefonátů zákazníků získali množství varovných informací o zhoršování stavu soustavy, ale nedokázali rozpoznat jejich vážnost a nevěnovali jim pozornost. Když už se začali domnívat, že něco není v pořádku, nepřipustili, že problém nastal v jejich soustavě. Na rozdíl od jiných dispečinků přenosových soustav neměli dispečeři FE nástěnnou mapu s přehledem o stavu vedení a zařízení jejich soustavy. V 15:42 volala obsluha jaderné elektrárny Perry, že v průběhu měřeného napětí je mnoho špiček a kyvů, a vyjádřila obavu z toho, jak dlouho se ještě zdroje udrží v provozu.
  Dispečeři FE však dostávali i mylné informace. Například v 15:45 hlásili pracovníci klestící stromy pod vedením, že zahlédli zkraty na vedení Eastlake–Juniper. Toto vedení ale bylo v pořádku a zkraty se týkaly vedení Hanna–Juniper.

• 15:39 až 16:08 – Výpadky přenosových vedení 345 kV vyvolaly poklesy napětí a poté výpadky šestnácti distribučních vedení 138 kV. Větší zatížení vedení vyvolalo zvýšení teploty, a tím průhyb vodičů a jejich kontakty se stromy a s vedením umístěným pod nimi. To způsobilo zkraty a kaskádovité vypínání vedení v severním Ohiu.

• 15:45:41 – Na 345kV vedení Canton Central–Tidd (společnosti AEP) v severním Ohiu došlo k vypnutí a po 48 sekundách k opětovnému zapnutí. Opakované pokusy o sepnutí vypínačů na straně 138 kV vedly k poklesu tlaku vzduchu nutného k jejich ovládání a k vypnutí transformace 345/138 kV; to dále oslabilo soustavu 138 kV. Výpadky vedení 138 kV způsobily ztrátu napájení odběratelů o příkonu okolo 700 MW.

• 16:05:07 – Nastal výpadek na 345kV vedení Sammis–Star (FE) v severním Ohiu; tím se lokální poruchy v této oblasti začaly lavinovitě šířit a postihly dalších osm států USA a dvě kanadské provincie. Tentokrát nebyl příčinou výpadku zkrat, ale vedení bylo vypnuto impedanční ochranou, která naměřila malou zdánlivou impedanci (podíl zmenšeného napětí a velkého nadproudu). Přetížení bylo tak velké, že je ochrana vyhodnotila jako vzdálený třífázový zkrat. Vlivem nízkého napětí byl ve vedení velký jalový výkon, čímž se měřený bod zdánlivé impedance dostal do třetí zóny kruhové charakteristiky a ochrana vedení vypnula bez opětovného zapnutí. Po vypnutí se výrazně zhoršily podmínky napájení severního Ohia. Přenosové trasy zásobující centra spotřeby z jihu byly přerušeny a tok výkonu přetěžoval západní a východní vedení dominovým efektem.

• 16:08:59 – Po několikanásobném neúspěšném opětovném zapnutí bylo vypnuto 345kV vedení Galion–Ohio Central – Muskingum River (společnosti AEP) ve středním Ohiu.

• 16:09:06 – Působením třetí zóny impedanční ochrany vypadlo 345kV vedení AEP mezi East Lime a Fostoria Central ve středním Ohiu; tento výpadek způsobil ztrátu dynamické stability a velké výkyvy výkonu.

• 16:09:08 až 16:10:27 – Nastaly výpadky elektrárenských bloků o celkovém výkonu 947 MW a šesti 138kV vedení společnosti FE. Působilo podpěťové vypnutí zatížení, ale podpětí nebylo důsledkem napěťového kolapsu, spíše šlo o výkyvy při ztrátě dynamické stability.

• 16:10:36 – Vypadla tři 345kV vedení společnosti MECS: Argenta–Battle Creek, Argenta–Tompkins, Battle Creek–Oneida. Ochrany těchto vedení jsou vybaveny rychlým opětovným zapínáním, které po určité době (kolem 0,5 s), během níž se zkrat přeruší a vzduch deionizuje, takže nedojde k znovuzapálení oblouku, zapne vedení. Pokud je však rozdíl fází napětí na začátku a na konci vedení velký, dochází k velkým rázům činného výkonu. Tomu mohou zabránit tzv. synchrochecky, které nedovolí sepnout vedení s velkým rozdílem fází; ty však na těchto vedeních chyběly. Přesto blízké generátory nebyly poškozeny a krátce nato byly vypnuty podpěťovou ochranou.

• 16:10:38 – Severní Ohio se oddělilo od Pensylvánie, neboť nastaly výpadky 345kV vedení Pontiac–Hampton, Jewell–Thetford a Perry–Ashtabula–Erie West. Lokální zdroje nestačily pokrýt spotřebu, napětí a frekvence klesaly a to způsobilo frekvenční odlehčování výkonu ve výši asi 1 750 MW. To však bylo málo k vyrovnání výkonové bilance a frekvence dále klesala. Výkon do severního Ohia začal procházet obrovskou smyčkou z jižního Ohia přes Pensylvánii, New York, Ontario a Michigan. Část soustavy kolem Detroitu (Michigan) přestala být synchronní se zbytkem soustavy. Následovaly další výpadky vedení v Ohiu a ve východním Michiganu.

• 16:10:39 – Vypadla 345kV vedení Bayshore–Monroe a Allen Junction–Majestic–Monroe.

• 16:10:40 – Po výpadku na 345kV vedení Lemoyne–Majestic se oblast Toleda a Clevelandu ocitla v ostrovním provozu.

• 16:10:41 – Nastal výpadek na 345kV vedení Fostoria Central–Galion a Beaver–Davis Besse.

• 16:10:39 až 16:10:46 – Podfrekvenčním odlehčováním bylo vypnuto 1 754 MV·A v soustavě FE a 133 MV·A v soustavě AEP.
  Šest elektráren v Ohiu s celkovým výkonem 3 097 MW bylo vypnuto pro podfrekvenci a pět elektráren v blízkosti Detroitu se souhrnným výkonem 1 630 MW bylo vypnuto v důsledku podpětí, nadproudu, přepětí a ztráty synchronismu.

• 16:10:39 až 16:10:44 – Výpadek pěti vedení 345 kV a 230 kV způsobil ztrátu propojení mezi státy Pensylvánie a New York.

• 16:10:43 až 16:10:45 – Po výpadku dvou vedení 230 kV a jednoho vedení 500 kV se východní Kanada a severovýchodní část USA definitivně odpojily od zbytku tzv. východního propojení.

• 16:10:46 až 16:10:55 – Došlo k vnitřnímu rozdělení ostrova na menší části – stát New York a oblast Nová Anglie, kterou tvoří státy Connecticut, Maine, New Hampshire, Vermont, Rhode Island a Massachusetts.

• 16:10:50 až 16:11:22 – Oblast Ontaria se oddělila od New Yorku.

• 16:11:22 – Severovýchod Connecticutu se oddělil od New Yorku.

• 16:11:57 – Došlo k oddělení východní části Michiganu od Ontaria. Oblasti s dostatkem výkonu (části Nové Anglie a kanadské provincie New Brunswick a New Scotia) se po rozdělení udržely v provozu, deficitní části si vytvářely vlastní výkonové rovnováhy pomocí podfrekvenčního vypínání zatížení. Celkově bylo vypnuto 10 648 MW v New Yorku, 2 835 MW v Michiganu, 1 883 MW v Ohiu, 1 324 MW v severním New Jersey a 1 098 MW v Nové Anglii. To však nestačilo na stabilizaci frekvence a docházelo k výpadkům zdrojů vlivem nestabilních přechodných dějů, výkyvům a rázům výkonu, takže většina oddělené soustavy skončila „blackoutem„. Provincie Quebec zůstala připojena přes stejnosměrnou spojku, čímž byla odstíněna od výkyvů frekvence a výkonových rázů a mohla pokračovat v provozu.

Napájení postiženého území bylo na některých místech obnoveno za několik hodin, jinde až za osm dní.

Závěrečná zpráva [1] uvádí tyto příčiny výpadku:

1. Mnoho subjektů porušilo provozní pravidla a plánovací standardy NERC a toto porušení přímo přispělo ke kaskádovitému šíření poruch, které vedlo až k úplnému výpadku.

2. Přístup k monitorování stavu soustavy a kontrola plnění standardů spolehlivosti nebyly dostatečné k tomu, aby zabránily událostem, jejichž následkem byl „blackout„.

3. Subjekty zodpovědné za koordinaci spolehlivosti a řízení provozu si chybně vykládaly náplň svých funkcí, zodpovědností, kompetencí a způsobilostí potřebných ke spolehlivému provozování elektrizační soustavy.

4. V některých regionech byly ve výpočetních modelech použity nesprávné údaje o zatížení a o generátorech, neboť výsledky nebyly porovnávány se skutečným měřením a zkušebními testy.

5. Plánovací studie, projektové předpoklady a jmenovité hodnoty zařízení nebyly jednotně sdíleny a adekvátně revidovány.

6. Dostupné ochranné systémy nebyly jednotně aplikovány tak, aby zpomalily nebo zastavily šíření poruch v propojené soustavě.

7. Opakovaly se nedostatky, které byly zjištěny již dříve při velkých systémových poruchách (špatná údržba vegetace v koridorech vedení, absence školení dispečerů a nedostatek odpovídajících prostředků pro zviditelnění stavu soustavy).

Příčinou „blackoutu„ nebyly „neživé“ události, jako jsou např. poruchy výstražného procesoru nebo kontakty vodiče vedení se stromy, ale selhání jednotlivců, skupin i celých organizací. Citovaná závěrečná zpráva shrnula příčiny takto:

1. Personál společnosti FE nezaujal správný postoj k situaci po výpadcích vedení, nepochopil její vážnost a neprovedl korektivní zásahy potřebné pro návrat soustavy do normálního stavu. Rovněž neinformoval provozovatele sousedních soustav o zhoršujícím se stavu soustavy a o snížení funkčnosti svého dispečinku. Ačkoliv pracovníci, kteří měli na starosti počítačový výstražný systém, věděli o jeho závadě, neinformovali o ní dispečery, takže ti si dostatečně pozorně nevšímali jiných signálů zhoršení bezpečnosti provozu. Personál neprovedl testy funkčnosti výstražného systému po jeho „teplém„ restartu. Analýza stavu soustavy nebyla prováděna periodicky na základě aktuálního stavu (on-line) a nebyla provedena ani na pokyn dispečera.

2. Společnost FE zanedbala údržbu stromů v koridorech vedení, přerostlé větve stromů se tak dostaly do kontaktu s vodiči pod napětím a došlo k výpadku tří 345kV a jednoho 138kV vedení. Kromě toho po výpadku dvou bloků byl v soustavě nedostatek jalového výkonu, takže vzrostlo riziko napěťového kolapsu.

3. Koordinátor spolehlivosti MISO, zodpovědný za dohled nad 35 jednotlivými provozovateli soustav, neposkytoval efektivní diagnostickou podporu. Pro odhad stavu soustavy chyběly aktuální informace v reálném čase. Selhala informovanost sousedních soustav, takže ty neměly k dispozici měření v reálném čase a nemohly na vzniklou situaci včas reagovat. Oběma koordinátorům, MISO i PJM, chyběly účinné postupy k řešení porušení bezpečnostních limitů na zařízeních na rozhraních jejich soustav.

Kromě uvedených skutečností, které byly pro vznik „blackoutu„ podmínkami nutnými a postačujícími, však šetření ukázalo mnoho dalších nedostatků v provozování soustavy. Společnost FE např. neměla připraveny účinné plány redispečinku zdrojů ani vypínání zatížení, které by bylo možné použít pro odlehčení přetížených vedení. Tyto nápravné prostředky měly být použity k tomu, aby do 30 minut po výpadku vedení dispečer přetížení odstranil. V této společnosti rovněž nebyla stanovena jasná kritéria pro rozpoznání nouzového stavu.

Po zjištění příčin vedoucích k výpadku nařídila organizace NERC odstranit jmenované nedostatky a uskutečnila strategické a technické kroky ke zvýšení bezpečnosti provozu. K nim mj. patřilo zavedení právní závaznosti provozních pravidel a standardů NERC. Výpadek ze 14. srpna 2003 jasně ukázal, že dobrovolné dodržování pravidel bezpečného a spolehlivého provozu již není dostatečné, a proto musí být právně závazné a kontrolovatelné kompetentní autoritou. V technické oblasti se to týká zkvalitnění tréninku dispečerů (výcvik stavů nouze na realistických simulátorech po dobu pěti dnů za rok), zlepšení řízení U a Q, kontroly nastavení ochran (impedančních ochran vedení a podpěťového odlehčování), vyhodnocení prostředků podpory dispečera (stavové estimace a kontingenční analýzy), zavedení synchronizovaných měření (tzv. WAMS – Wide-Area Monitoring System), přezkoumání spolehlivostních kritérií (N – 1) a zlepšení modelování soustavy a postupů výměny dat (zavedení kritérií a postupů pro stanovení správnosti údajů pro výpočty chodu sítě a dynamické stability).

Výpadek v Dánsku a ve Švédsku 23. 9. 2003

Zatížení přenosové soustavy Švédska bylo 23. září 2003 okolo 15 000 MW. První i druhý blok jaderné elektrárny Barsebäck byly odstaveny (důvod k odstavení prvního bloku byl politický – odstoupení od využívání jaderné energie), takže spotřeba jižního Švédska byla hrazena jen z místních malých zdrojů a dovozem 1 883 MW ze severu Švédska a 406 MW z ostrova Zealand (který patří Dánsku a je synchronně připojen ke Švédsku podmořskými kabely). Dvě vedení 400 kV v oblasti byla odstavena pro údržbu a mimo provoz rovněž byly stejnosměrné spojky do Polska a Německa.

Zpráva o následujícím výpadku v zásobování elektřinou [2] uvádí tento sled událostí:

1. 12:30 – Výkon bloku č. 3 jaderné elektrárny Oskarshamn se snížil z 1 175 MW na 800 MW pro problémy s ventily v obvodech napájecí vody. Potíže se nepodařilo odstranit a reaktor byl odstaven, což znamenalo výpadek téměř 1 200 MW. Tento výpadek se podařilo zvládnout díky automatické regulaci frekvence ve vodních elektrárnách propojené soustavy NORDEL (tj. Norsko, Švédsko, Finsko). Rovněž napětí nevybočilo z dovolených mezí.

2. 12:35 – Nastal dvoufázový přípojnicový zkrat v rozvodně Horred na západním pobřeží. Do rozvodny jsou vyvedeny dva bloky 900 MW jaderné elektrárny Ringhals, každý na samostatnou sekci přípojnic, oddělených spínačem přípojnic. Právě porucha tohoto spínače způsobila přípojnicový zkrat a vedla k vypnutí všech vedení připojených na postižené sekce přípojnicovou ochranou. V důsledku toho byly vypnuty oba bloky o celkovém výkonu 1 750 MW a dvě přenosová vedení 400 kV. To způsobilo výkyvy výkonu a pokles frekvence až na 49 Hz, takže začalo působit podfrekvenční odlehčování zátěže. Síť byla přetížena a z nedostatku jalového výkonu klesalo napětí.

3. 12:36:30 – Systém se stabilizoval a výkyvy výkonu ustaly. Nicméně zatížení oblasti se začalo zvyšovat vlivem přepínání odboček na distribučních transformátorech ve snaze zvýšit napětí v distribuční soustavě. To však způsobilo pokles napětí ve vedení 400 kV a napěťový kolaps v celé jihozápadní části Švédska a v hlavním městě. Vlivem poklesu napětí zapůsobily distanční ochrany v postižené oblasti a vypnula přenosová vedení. Tím vznikl z jižního Švédska a východního Dánska „ostrov„, který byl deficitní (s nedostatkem činného i jalového výkonu); frekvence i napětí klesaly, až dosáhly meze pro vypínání zdrojů a na tomto území nastal „blackout„.

Obr. 2. Schéma přenosové soustavy Švédska, Dánska a Norska s vyznačením hranice výpadku v zásobování elektřinou

Celkový výpadek napájení představoval 4 500 MW ve Švédsku a 1 850 MW v Dánsku. Oblast zasažená výpadkem je vyznačena na obr. 2 (pod čárkovanou čárou). Obnova napájení postižených míst trvala jednu až šest hodin.

Příčinou rozsáhlého výpadku byl nepříznivý souběh dvou nezávislých poruch, k nimž došlo krátce po sobě, takže po prvním výpadku bloku (událost N – 1) nebylo možné obnovit bezpečný stav soustavy. Po přípojnicovém zkratu nastaly výpadky dalších zařízení (dvou bloků a dvou vedení). Při takových poruchách (N – 3 a více) soustava již není schopna zajistit napájení odběratelů.

Výpadek v Itálii 28. 9. 2003

V neděli 28. září 2003 okolo třetí hodiny v noci bylo zatížení přenosové soustavy v Itálii přibližně 24 GW a 3 638 MW na čerpání v přečerpávacích vodních elektrárnách. Celkový dovoz byl 6 651 MW, z toho (skutečně/plánovaně) 3 610/3 068 MW ze Švýcarska, 2 212/2 650 MW z Francie, 638/467 MW ze Slovinska a 191/223 MW z Rakouska. Vedení 220 kV Podlog (Slovinsko)–Obersielach (Rakousko) bylo z důvodu údržby vypnuto.

První část poruchového děje byla iniciována kaskádovitým vypínáním vedení, způsobeným jejich přetěžováním. Větší oteplení v důsledku vyššího procházejícího proudu vedlo ke zvětšování průhybu lan, a tím ke zvýšení rizika přeskoků a zkratů způsobených dotykem stromů a vedení. Následující popis událostí vychází ze závěrečné zprávy [3]:

• 03:01:42 – Nastal první výpadek na švýcarském 380kV vedení Lavorgo–Mettlen, nazývaném Lukmanier. Vlivem velkého zatížení (86 % tepelné kapacity při 2 400 A a teplotě 10 oC), větru a vlhkosti nastal jednofázový zkrat, po němž následovalo neúspěšné opětovné zapnutí. Příčinou neúspěchu při opětovném zapínání vedení byl také velký fázový rozdíl napětí na koncích vedení (42o), který byl způsoben velkými toky výkonu přes síť oslabenou výpadkem. Rázy výkonu při zapnutí vedení s tak velkým úhlem by mohly ohrozit blízké generátory a způsobit další výpadky. Po tomto výpadku žádal švýcarský provozovatel sítě Etransitalskou společnost GRTN o snížení importu o 300 MW, což bylo během 10 minut provedeno.

• 03:25:21 – Po zkratu vyvolaném dotykem vodiče a stromu nastal druhý výpadek, a to na švýcarském 380kV vedení Sils–Soazza, nazývaném San Bernardino, které bylo přetíženo na 110 %. Provoz takto přetíženého vedení je po omezenou dobu (asi 15 minut) možný, aniž by byl překročen dovolený průhyb.

• 03:25:25 – výpadek 220kV vedení Airolo–Mettlen ve Švýcarsku,

• 03:25:26 – ztráta synchronismu italské sítě (zbylá vedení nestačila přenést velký tok činného výkonu),

• 03:25:28 – výpadek 220kV vnitřního vedení Cislago–Sondrio (Itálie) a mezistátních vedení Riddes (Švýcarsko)–Avise (Itálie) a Riddes–Valpelline (Itálie); rozpojení přípojnic v rakouské rozvodně 220 kV Lienz,

• 03:25:32 – výpadek 400kV vnitřního vedení Albertville–La Coche (Francie); vypnutí přečerpávací vodní elektrárny 145 MW Malta v Rakousku,

• 03:25:33 – výpadek 220kV vedení Lienz (Rakousko)–Soverzene (Itálie) a Le Broc-Carros (Francie)–Camporosso (Itálie),

• 03:25:34 – výpadek dvojitého vedení 400 kV Albertville (Francie)–Rondissone (Itálie),

• 03:25:35 – výpadek 400kV vedení Divača (Slovinsko)–Redipuglia (Itálie) a Redipuglia–Planais (Itálie) a 220kV vedení Redipuglia–Safau (Itálie).

Obr. 3. Schéma propojení Itálie a UCTE

Posledními výpadky vedení se italská síť oddělila od zbytku první synchronní zóny UCTE a začal její ostrovní provoz. Tato situace je zřejmá z obr. 3.

Obnova soustavy trvala v průměru osm až šestnáct hodin, ale některé části jižní Itálie byly bez elektřiny až tři dny.

Nezávislá vyšetřovací komise ve své závěrečné zprávě [3] stanovila tyto čtyři hlavní příčiny výpadku:

1. Neúspěšné opětovné zapnutí vedení Lukmanier ve Švýcarsku.

2. Nerozpoznání urgentní situace při přetížení vedení San Bernardino (Sils–Soazza) ve Švýcarsku a nedostatečné opatření pro jeho odlehčení.

3. Napěťový kolaps a ztráta statické stability po přechodu Itálie do ostrovního provozu; to vedlo k úplnému výpadku.

4. Neprovádění údržby koridorů (ořezávání stromů pro udržování bezpečné vzdálenosti větví od vodičů).

Výpadek v jižním Řecku 12. 7. 2004

Od poloviny 90. let minulého století se špičkové zatížení elektrizační soustavy Řecka přesouvá ze zimy do léta, kdy se ve stále větším měřítku používá klimatizace. Největší zatížení bývá v době kolem poledne v pracovní dny před obdobím dovolených. Přenosová soustava Řecka je také náchylná k napěťové nestabilitě, jejíž příčinou je přenášení velkých výkonů ze severu a západu do míst spotřeby – do oblasti Atén. Od roku 1996, kdy se objevil první případ napěťové nestability, byla síť posilována, ale její zatížení se dále zvyšovalo, a to jednak vlivem širšího využívání klimatizace a jednak v důsledku přípravy na pořádání olympijských her. Výstavba nové 400kV rozvodny v Argyroupolii byla zrušena pro nesouhlas obyvatelstva. V kritický den 12. července 2004 byla pro poruchy a opravy odstavena dvě venkovní a dvě kabelová vedení 150 kV. Tato zařízení nebyla opravena včas i proto, že část personálu pracovala na přípravě olympiády. Důsledkem bylo velké zatížení tří autotransformátorů v rozvodně Pallini a pokles napětí v oblasti Atén. Souběh všech uvedených nepříznivých okolností způsobil, že se v tento den oddělila jižní část Řecka od zbytku přenosové soustavy a následoval úplný výpadek dodávek odběratelům. Dále jsou události z 12. července 2004 popsány podle zprávy [4]:

• 07:08 – Pro poruchu ve vlastní spotřebě přestal pracovat 300MW blok č. 2 v elektrárně Lavrio v oblasti Atén. Porucha byla opravena, ale problémy s najížděním způsobily, že blok byl synchronizován a připojen k síti až ve 12:01. Do té doby se zvyšovalo zatížení sítě a napětí klesalo až na 90 % jmenovité hodnoty. Pokles byl zastaven až po připojení opraveného bloku č. 2. Okolo poledne bylo zatížení jižní části Řecka (oblasti Attika a poloostrov Peloponés) 4 300 MW, ale místní výroba byla 2 300 MW, takže dovoz se severu činil 2 000 MW.

• 12:12 – Během zatěžování bloku č. 2 elektrárny Lavrio na technické minimum došlo k dalšímu výpadku, způsobenému vysokou hladinou vody v bubnovém kotli. Výpadek vyvolal stav nouze, protože chyběl jalový výkon pro udržení napětí. Ve snaze umožnit dodávku jalového výkonu snižovaly elektrárny v postižené oblasti činný výkon. Tím ovšem vzrostl import činného výkonu z 2 000 MW na 2 400 MW a pokles napětí se ještě zvýšil.

• 12:25 – Dispečink provozovatele přenosové soustavy požadoval odlehčení zatížení o 100 MW.

• 12:30 – Bylo ručně vypnuto 80 MW, ale to nestačilo k zastavení poklesu napětí.

• 12:35 – Požadavek na vypnutí byl zvýšen o dalších 200 MW. Zatížení soustavy však naopak rostlo, a protože komunikace mezi provozovatelem přenosové soustavy a provozovateli distribučních soustav telefonem a ruční vypínání zatížení byly pomalé, nebylo odlehčení provedeno včas a nastal napěťový kolaps.

• 12:37 – Působením ochran z dosud nezjištěných příčin nastal výpadek bloku č. 3 v elektrárně Aliverio ve středním Řecku.

• 12:38 – Byl ručně vypnut blok č. 4 téže elektrárny.
  Během napěťového kolapsu způsobila ochrana 400kV vedení, které spojuje sever a jih Řecka, rozdělení soustavy a jižní část země se ocitla v ostrovním provozu. Generátory ve vzniklém „ostrově“ byly vypnuty.

• 13:39 – Došlo k úplnému výpadku napájení, s celkovým výkonem 4 500 MW.
  Obnova soustavy začala ve 12:45 a byla ukončena v 17:30, kdy byly obnoveny dodávky všem spotřebitelům.

Obr. 4. Schéma oddělení jižní části Řecka od druhé zóny UCTE (vyznačeno čárkovaně)

Schéma 400kV přenosové sítě Řecka s vyznačením místa rozdělení je na obr. 4.

Závěrečná zpráva [4] uvádí tyto rozhodující příčiny výpadku:

1. Neudržování napětí jako výsledek vysoké spotřeby jalového výkonu (klimatizace), velkých úbytků napětí při přenosech činného výkonu ze severu na jih země, oslabení sítě a nedostatečné dodávky jalového výkonu (výpadky zdrojů, nepřipravené kompenzační prostředky).

2. Zpoždění ve výstavbě přenosových a transformačních kapacit (v letech 2003 a 2004), které by posílily síť.

3. Oslabení sítě neopravenými výpadky.

4. Pomalé nouzové vypínání zatížení.

5. Snižování činného výkonu elektráren během kolapsu, vedoucí k nárůstu toků a poklesu napětí.

Závěry

Co mají popsané výpadky společného a čím se liší? Ve všech případech přenosové soustavy přenášely velké výkony. V současných podmínkách trhu s elektřinou se sítěmi přenášejí velké objemy elektřiny i přes hranice jednotlivých soustav. To uvádí také zpráva sdružení Eurelectric [5], která konstatuje, že liberalizace trhu a vytvoření jednotného evropského trhu s elektřinou změnily podmínky, za nichž se musí uskutečňovat bezpečná dodávka elektřiny. Tradiční integrované plánování výroby a přenosu zmizelo. Evropské sítě, navržené pro vzájemnou výpomoc, v současné době slouží pro komerční přenosy na dlouhé vzdálenosti. Provozovatelé jednotlivých soustav jsou tak na jedné straně více vzájemně závislí a na druhé straně jsou vystaveni tlakům komerčních zájmů rostoucího počtu účastníků trhu. Proto je nezbytné definovat nová technická, organizační a funkční pravidla přizpůsobení a přijmout odpovídající opatření. Je potřebné vytvořit závazná pravidla koordinace činností provozovatelů soustav, a to jak pro normální, tak i pro nouzové situace. Na úrovni UCTE se tato pravidla definují v nově vytvořeném souboru dokumentů tzv. provozního manuálu (Operation handbook – viz http://www.ucte.org/ohb/cur_status.asp), který bude po schválení v tzv. procesu MLA (Multilateral Agreement – viz [6]) právně závazný pro všechny provozovatele přenosových sosutav sdružených v UCTE. Na úrovni EU byla schválena Směrnice EU a rady 2005/89/ES o opatřeních pro zabezpečení dodávek elektřiny a investic do infrastruktury, která po implementaci do národní legislativy (vlastní účinnost se má realizovat nejpozději do 28. 2. 2008) ovlivní oblast bezpečného a spolehlivého provozování sítí.

Oba největší výpadky, americký a italský, mají další společné znaky. V obou případech nebyla rychle rozpoznána běžná porucha (přeskok z vodiče vedení na větev stromu), takže nebyla včas přijata příslušná opatření k její nápravě. To vedlo ke kaskádovitému šíření poruchy a ke vzniku úplného výpadku. Chyběly podpůrné programy, jako je odhad bezpečnosti provozu v reálném čase a dynamický odhad stavu soustavy, které by včas varovaly dispečery, že soustava není v bezpečném stavu, a je tedy nutné učinit preventivní a korektivní opatření. Při šíření poruch hrály významnou roli nedostatky v komunikaci, koordinaci a výměně dat mezi provozovateli soustav. V obou případech také selhal připravený obranný plán včetně mechanismů snížení odběru pro zmenšení zatížení vedení.

Řecký výpadek byl výsledkem chyb technických (snižování činného výkonu elektráren), organizačních (pomalého odlehčování zatížení v případě nouze), a dokonce i společensko-politických (nepřesvědčení veřejnosti o nutnosti výstavby nových zařízení přenosové soustavy nebo upřednostnění přípravy olympiády před opravou rozvodných zařízení).

V případě Švédska šlo o nešťastný sled událostí, který byl tak rychlý, že výpadku nešlo zabránit ani technicky ani organizačně. Situaci v jižní části Švédska z hlediska výkonové bilance a růstu tranzitu výkonu ze severu nejspíše zhoršilo politické rozhodnutí odstavit blok jaderné elektrárny Barsebäck.

Opatření přijímaná provozovateli přenosových soustav k zajištění a zvýšení bezpečnosti provozu mohou být tématem samostatného článku.

Literatura:
[1] Technical Analysis of the August 14. 2003, Blackout. Report to the NERC Board of Trustees by the NERC Steering Group, July 2004, dostupné na http://www.nerc.com/~filez/blackout.html
[2] The black-out in southern Sweden and eastern Denmark, September 23. 2003, October 2003, dostupné na http://www.svk.se/web/Page.aspx?id=5687
[3] Final report of the Investigation Committee on the September 28. 2003 Blackout in Italy. In: UCTE Ad-hoc Investigation Committee, April 2004, dostupné na http://www.ucte.org/pdf/News/20040427_UCTE_IC_Final_report.pdf
[4] Report on 12 July 2004 Blackout in Greece prepared by Helenic Transmission Operator, dostupné na http://www.ypan.gr/docs/porisma_klp.doc (originál v řečtině).
[5] Power Outages in 2003, Task force Power Outages, June 2004, dostupné na http://public.eurelectric.org/Content/Default.asp?PageID=173
[6] UCTE Press release – 19. July 2005, dostupná na http://www.ucte.org/pdf/News/20050701_MLA_in_force_v5.pdf

Lektoroval Ing. František Vybíralík, CSc.
(Převzalo z časopisu Energetika, 2005, č. 7.)

Ing. Karel Máslo, CSc. (1956), absolvoval obor silnoproudá elektrotechnika na FEL ČVUT, kde také obhájil disertační práci Stabilita synchronního stroje. Pracoval v ČSED, v EGÚ a v ČEZ. Nyní je specialistou v sekci Strategie a bezpečnost provozu ČEPS, a. s. Zabývá se analýzou provozu elektrizační soustavy, zejména dynamickou stabilitou. ČEPS, a. s., je akciová společnost provozující ze zákona přenosovou soustavu ČR (viz http://www.ceps.cz).