Automação de subestações: como campo, IEDs, SCADA e operação funcionam como um único sistema

Um valor na tela parece simples: “disjuntor aberto”, “corrente de 412 A”, “proteção atuada”. Mas, antes de chegar ao operador, essa informação atravessa uma cadeia física e lógica.

Considere a posição de um disjuntor. Contatos auxiliares representam seu estado. A informação é adquirida por uma entrada, interpretada por um IED ou controlador e associada a um modelo. O dispositivo atribui estado, qualidade e tempo. A rede transporta a atualização. O servidor ou gateway processa e distribui o ponto. A IHM apresenta o resultado. Se houver integração remota, o centro de operação também o recebe.

O valor visível é apenas a última etapa. Para confiar nele, a engenharia precisa responder:

O comando percorre o caminho inverso, mas exige salvaguardas adicionais. Uma ordem de abertura ou fechamento pode envolver:

Nem todo empreendimento utiliza o mesmo modelo de comando. O essencial é que a sequência seja especificada, aplicada de forma coerente e testada de ponta a ponta.

Uma informação operacional deveria ser tratada como algo maior que um valor isolado:

É onde a automação encontra o sistema elétrico. Inclui disjuntores, seccionadoras, transformadores, sensores, TCs e TPs, contatos, atuadores e, quando adotadas, unidades de interface de processo ou merging units. Em arquiteturas convencionais, correntes, tensões e estados chegam aos painéis por cabos metálicos. Em arquiteturas com barramento de processo, parte dessas grandezas e estados pode ser digitalizada mais próxima do equipamento primário e transportada pela rede.

O nível de processo não é “apenas campo”. É o ponto em que erro de polaridade, relação, fiação, mapeamento, tempo ou atuação pode se transformar em informação incorreta ou operação indevida.

Reúne dispositivos associados a uma posição funcional da subestação: relés de proteção, controladores de bay, medidores, registradores e lógicas locais. Nesse nível podem ocorrer aquisição e validação de estados, medição, proteção, intertravamento, sequências locais, execução de comandos, publicação e assinatura de mensagens e concentração de diagnósticos do próprio equipamento.

Distribuir funções por bay pode reduzir dependência de um servidor central, mas exige coerência entre dispositivos, arquivos e versões.

É a camada de coordenação local. Pode incluir servidores de automação e SCADA, estações de operação e engenharia, gateways de telecontrole, switches e infraestrutura de rede, serviços de sincronismo, históricos, alarmes e registro de eventos, além de controladores de funções comuns da subestação. É nesse nível que muitos dados ganham uma representação operacional consolidada — e onde inconsistências de nomenclatura, prioridade de alarmes, telas, permissões e comunicação ficam mais visíveis.

Inclui centros locais ou remotos de controle, sistemas corporativos autorizados, aplicações de análise e canais de acesso remoto controlado. A comunicação pode usar protocolos e gateways definidos pelo agente ou empreendimento. O nível de operação não deve ser confundido com acesso irrestrito à rede de estação. A integração precisa de limites, responsabilidades, monitoramento e critérios de segurança claramente definidos.

Um mesmo equipamento pode acumular papéis. Isso não elimina a necessidade de descrevê-los. Quando funções diferentes residem no mesmo dispositivo, uma falha comum pode afetar todas elas; quando estão distribuídas, surgem dependências de rede, tempo e coordenação.

Selecionar equipamentos sem consolidar funções costuma produzir lacunas ou sobreposição. Antes de escolher modelos, convém mapear:

O comando mais perigoso é aquele que chega ao equipamento correto sem que o sistema tenha verificado o contexto correto. Uma arquitetura de controle deve deixar evidente:

“Local/remoto” não pode ser apenas um rótulo na IHM. A posição de chaves seletoras, estados de equipamentos, permissões de usuário e lógica interna devem resultar em um modelo de autoridade inequívoco.

Se duas origens puderem atuar simultaneamente sem regra definida, a automação cria disputa em vez de coordenação. Se a transferência de autoridade não for registrada, a investigação de uma ocorrência perde contexto.

Um intertravamento impede ou condiciona uma operação com base no estado do processo. Sua implementação pode ser elétrica, lógica, mecânica ou combinada. A escolha depende da criticidade, dos requisitos e da filosofia do empreendimento. Para cada comando, documentar:

Testar apenas o caminho “feliz” comprova pouco. É necessário verificar o bloqueio quando uma condição não é atendida, quando um dado está inválido e quando uma dependência desaparece.

Emitir uma saída não significa que o equipamento mudou de posição. A automação deve diferenciar, quando aplicável: comando aceito; comando enviado; saída acionada; movimento iniciado; posição final alcançada; tempo excedido; posição inconsistente; falha de circuito ou indisponibilidade. Essa distinção reduz ambiguidades para a operação e melhora o diagnóstico de campo.

O SCADA transforma dados distribuídos em uma visão operacional. Sua qualidade depende tanto do desenho das telas quanto da engenharia que existe por trás delas. As funções podem incluir aquisição, processamento, alarmes, eventos, históricos, comandos, cálculos, relatórios, troca de dados e supervisão da própria infraestrutura. Em instalações sujeitas aos requisitos do ONS, o escopo aplicável deve ser verificado diretamente nos Procedimentos de Rede e nos documentos do empreendimento.

Um valor precisa indicar quando não deve ser interpretado como normal. Dependendo do sistema e do protocolo, a qualidade pode refletir situações como:

Esconder a qualidade ou convertê-la indiscriminadamente em “zero” cria uma falsa certeza. Na IHM, estados inválidos devem ser perceptíveis sem competir visualmente com alarmes reais.

Evento é uma mudança registrada. Alarme é uma condição que exige atenção ou resposta do operador. Nem todo evento deve virar alarme. Um bom projeto de alarmes procura evitar:

O registro sequencial de eventos, frequentemente chamado de SOE, ajuda a reconstruir a ordem de uma ocorrência. Sua utilidade depende do timestamp na origem, do sincronismo, da resolução temporal e da preservação durante indisponibilidades de comunicação.

A tela deve ajudar o operador a perceber o estado e agir com segurança. Isso significa:

Não existe um “melhor protocolo” isolado do caso de uso. O projeto deve definir quais informações precisam circular, entre quais participantes, com que desempenho, semântica, disponibilidade e segurança.

Na IEC 61850, serviços diferentes atendem necessidades diferentes. MMS é associado à comunicação cliente-servidor e ao acesso estruturado a dados e serviços. GOOSE usa publicação/assinatura para distribuir eventos e estados com desempenho adequado a funções rápidas, conforme a engenharia. Sampled Values publica amostras de grandezas elétricas e está ligado ao uso de barramento de processo.

Uma instalação pode usar MMS e GOOSE sem adotar Sampled Values. Também pode integrar equipamentos legados por outros protocolos. Dizer que uma subestação “tem IEC 61850” ainda não descreve sua arquitetura.

Um gateway consegue transformar representações, mas a engenharia precisa decidir:

Quando essa tabela de equivalência não é controlada, a integração fica dependente do conhecimento tácito de quem a configurou.

Tratar IEC 61850 apenas como “mais um protocolo Ethernet” esconde parte importante de seu valor. A série estabelece uma estrutura comum para representar funções e dados do domínio elétrico, serviços de comunicação e uma linguagem de configuração do sistema.

Em integrações tradicionais, grande parte do significado fica em listas externas de registradores ou pontos. Na IEC 61850, os dados são organizados em modelos padronizados, com classes e atributos que ajudam ferramentas e sistemas a compreender o que está sendo representado. Isso não elimina a engenharia. Aumenta a possibilidade de consistência — desde que nomenclatura, extensão de modelos, datasets, controles e arquivos sejam tratados como entregáveis do sistema.

A linguagem SCL, definida na IEC 61850-6, permite descrever capacidades de IEDs, funções, topologia e configuração de comunicação para troca entre ferramentas. Arquivos encontrados no ciclo de engenharia incluem, conforme edição, ferramenta e processo adotado:

O arquivo SCD merece atenção especial porque coordena relações entre múltiplos participantes. Ele não deve existir apenas como exportação eventual. É necessário definir sua fonte oficial, responsável, versão, validação e processo de atualização.

Conformidade com a norma e suporte declarado a serviços são bases importantes, mas não substituem a validação da aplicação. Diferenças de edição, modelo, interpretação, opções, ferramentas e comportamento podem afetar a integração. Um FAT multimarcas deve verificar, entre outros pontos:

O barramento de estação conecta dispositivos e sistemas do nível de bay e estação. O barramento de processo leva a digitalização e a comunicação para mais perto do equipamento primário, podendo transportar estados, comandos e valores amostrados.

Barramento de processo pode reduzir fiação e ampliar possibilidades de supervisão, mas também muda a natureza das dependências. Rede, sincronismo, configuração, testes e manutenção tornam-se ainda mais determinantes. A decisão deve considerar o ciclo de vida completo, a competência disponível e o comportamento previsto em falhas — não apenas a redução de cabos.

Na topologia em estrela, dispositivos se conectam a switches centrais ou de acesso. A arquitetura é clara e pode ser facilmente segmentada, mas a disponibilidade depende de como switches, uplinks, fontes e caminhos são distribuídos. Em anéis com protocolos de recuperação, existe caminho alternativo após certas falhas. O tempo de recuperação e o efeito sobre as funções dependem do protocolo, da configuração, do tamanho da rede e dos equipamentos. Não assumir recuperação instantânea sem medição.

PRP e HSR, definidos na IEC 62439-3, são mecanismos de redundância de alta disponibilidade. Em condições e falhas contempladas pelo projeto, podem oferecer comutação sem tempo de recuperação percebido pelo tráfego protegido.

Isso não torna toda a instalação imune a falhas. Se as duas redes compartilham fonte, rota física, configuração incorreta ou outro ponto comum, o benefício pode ser reduzido. Servidores, gateways, relógios, switches, IEDs e circuitos finais precisam ser analisados dentro da arquitetura.

Segmentação lógica e priorização ajudam a controlar domínios e tráfego. Em ambientes IEC 61850, mensagens multicast exigem configuração e supervisão conscientes. VLAN e prioridade não compensam uma rede sem orçamento de tráfego, documentação ou diagnóstico. O projeto de rede deve registrar pelo menos:

Relógios desalinhados podem fazer uma sequência correta parecer contraditória. Em sistemas distribuídos, o tempo influencia eventos, oscilografias, valores amostrados, correlação entre equipamentos e investigação de ocorrências. O projeto deve definir:

Tecnologias comuns incluem NTP, IRIG-B e PTP. NTP atende muitas funções gerais, mas não deve ser presumido como solução para requisitos de alta precisão. IRIG-B permanece presente em arquiteturas convencionais. PTP, incluindo o perfil IEC/IEEE 61850-9-3, atende aplicações de sincronismo preciso em redes de automação, quando toda a cadeia é compatível e corretamente projetada. GPS ou outra fonte GNSS pode fornecer a referência primária, mas a antena não resolve sozinha a distribuição, a redundância, a supervisão e o comportamento em holdover.

Desconectar deliberadamente a fonte de tempo durante o comissionamento ajuda a verificar quais alarmes aparecem, quais dispositivos continuam sincronizados e por quanto tempo, como a qualidade temporal muda, como ocorre a recuperação e se surgem saltos ou sequências incoerentes.

Os termos descrevem escolhas de arquitetura e grau de integração. Não representam uma escala automática de confiabilidade.

Uma arquitetura convencional bem projetada e mantida pode ser mais confiável que uma arquitetura digital mal especificada. Da mesma forma, uma solução digital madura pode aumentar observabilidade, flexibilidade e padronização. O benefício vem da adequação ao requisito e da execução da engenharia.

Projetos de retrofit podem adotar etapas:

Uma arquitetura híbrida não é necessariamente improviso. Pode ser uma etapa planejada — desde que interfaces, limitações e condição final estejam documentadas.

Automação amplia conectividade e dependência de software. Isso exige defesa em profundidade e governança ao longo do ciclo de vida. Controles a considerar, conforme risco e requisitos do empreendimento:

A série IEC 62351 trata segurança de comunicações e dados em protocolos do setor elétrico, incluindo partes relacionadas à IEC 61850. Ela é uma referência importante, mas não substitui arquitetura de rede, processos, pessoas e controles operacionais.

Atualizar indiscriminadamente um sistema crítico pode introduzir indisponibilidade. Deixar software vulnerável indefinidamente também é risco. A engenharia precisa combinar avaliação de impacto, homologação, janela, rollback e evidência de teste. Da mesma forma, um acesso remoto “emergencial” sem rastreabilidade pode se tornar permanente. Toda exceção precisa de dono, prazo e condição de encerramento.

Em instalações em operação, o desafio raramente é desenhar apenas a arquitetura futura. É compreender o que existe, definir estados de transição e executar a mudança sem criar riscos ocultos.

Documentos antigos são ponto de partida, não prova do estado atual. O levantamento deve confrontar desenho e campo:

Migrar uma lista de pontos antiga sem validar nomes, qualidade, alarmes e utilidade apenas transfere passivos para a nova plataforma. O retrofit é uma oportunidade de racionalizar:

Entre o sistema atual e o futuro existe um período em que partes novas e antigas precisam coexistir. A engenharia deve representar explicitamente:

Não há estratégia universal. Disponibilidade requerida, acesso ao processo, documentação existente, capacidade de testes e risco de cada transição orientam a escolha.

Esses sinais não determinam sozinhos a substituição. Eles indicam a necessidade de diagnóstico técnico estruturado.

Um processo robusto inclui:

Projetos complexos falham silenciosamente quando existem cópias divergentes do mesmo arquivo. Definir:

O FAT deve ocorrer em ambiente suficientemente representativo para antecipar problemas antes do campo. Conforme o escopo, verificar:

O FAT não reproduz integralmente o campo. Limitações de simulação devem ser registradas e convertidas em casos obrigatórios de SAT ou comissionamento.

No local, validar a instalação real:

O teste ponta a ponta acompanha uma função completa. Exemplos:

“Comunicação OK” não é critério suficiente. Cada caso deve conter:

Depois da entrada em operação, a automação continua mudando. Há substituições, atualizações, novos pontos, revisões de tela, expansão de bays, troca de equipamentos e alterações no centro de controle. Sem gestão de ciclo de vida, o as-built perde validade e o próximo diagnóstico recomeça do zero.

Use as perguntas abaixo como roteiro inicial. Elas não substituem a análise do empreendimento.

Uma subestação automatizada é um sistema distribuído aplicado a um processo elétrico crítico. Seu desempenho não depende apenas da velocidade da rede, da marca do IED ou da aparência da IHM. Depende da coerência entre o que o campo informa, o que os dispositivos interpretam, o que a rede transporta, o que o SCADA apresenta, o que o operador pode comandar e o que permanece disponível quando algo falha.

Essa coerência é construída por engenharia: requisitos claros, responsabilidades definidas, dados com semântica e qualidade, tempo confiável, arquitetura de rede, configurações controladas, testes ponta a ponta e documentação que continue válida depois da energização.

Quando essas disciplinas se encontram, a automação deixa de ser um conjunto de equipamentos conectados e passa a cumprir seu papel: ampliar a observabilidade, reduzir ambiguidades, apoiar decisões e operar o sistema com previsibilidade.

Normas, procedimentos e requisitos contratuais evoluem. A versão aplicável deve ser confirmada para a data, o agente e o empreendimento.