análise de confiabilidade do sistema de energia symmetra ... · probabilística de riscos (pra)...

Análise de confiabilidade do sistema de energia Symmetra MW da APC

Relatório interno N° 109

Por Stephen Fairfax

Neal Dowling

e Dan Healey

2005 de American Power Conversion. Todos os direitos reservados. Nenhuma parte dessa publicação pode ser usada, reproduzida, copiada, transmitida ou armazenada sem autorização escrita do proprietário dos direitos autorais. www.apc.com Rev. 2005-0

2

Resumo executivo MTechnology, Inc. (MTech) realizou uma análise quantitativa de confiabilidade do sistema No-

Break Symmetra MW da APC. Para este estudo foram utilizadas técnicas de Avaliação

probabilística de riscos (PRA) para calcular as probabilidades de mais de 680.000 possíveis

modos de falha. O método matemático contempla a incerteza das taxas de falhas e performance

dos componentes, e oferece um guia detalhado do grau em que cada componente do sistema

contribui para o risco global de falhas. Os resultados permitem que a APC empregue os recursos

de engenharia, fabricação e serviço técnico de campo nas áreas onde sejam mais eficazes para

aumentar ainda mais a confiabilidade do sistema. O estudo incluiu uma análise exaustiva da

arquitetura do sistema, a seleção de componentes, o sistema de controle, as práticas de

fabricação e a resposta a falhas internas e externas. Também abrangeu uma revisão

pormenorizada da topologia de conversão delta on-line da APC.

O estudo revelou que o tempo médio entre falhas (MTBF) do sistema pode superar o milhão de

horas quando este contempla um trecho com energia redundante. Esta cifra abrange as falhas de

todos os equipamentos, entre elas, as que podem ser atribuídas a causas fora do controle da APC,

como falhas na unidade de baterias ou na empresa de fornecimento elétrico.


3

Resultados 1. A confiabilidade de Symmetra MW é pelo menos igual à de um sistema No-Break de dupla conversão

equiparável, com regimes nominais de potência similares, e apresenta um tempo médio entre falhas

(MTBF) esperado de aproximadamente 1 milhão de horas quando contempla um trecho com energia

redundante. Esta cifra inclui os efeitos das falhas do sistema No-Break, baterias, bypass estático e

empresa de fornecimento elétrico, mesmo quando a raiz do problema estivesse fora do controle da

APC. O método de MTech para o cálculo do MTBF deveria refletir o que um cliente competente e bem

informado experimentaria ao operar um sistema Symmetra MW. Segundo a definição dada neste

estudo, uma falha abrange todos os casos em que, qualquer que for a causa, o fornecimento de

energia à carga crítica é interrompido.

2. O sistema é extremamente redundante e não apresenta pontos de falhas únicos, só em caso de

falhas catastróficas do bus de entrada, bus de saída e disjuntor de saída. Todo sistema No-Break de

grande tamanho apresenta esses modos de falha, mesmo que costumam ser obviados ou não

contemplados. O design e os testes de Symmetra reduzem em forma considerável a probabilidade

desses modos de falha, pouco comuns em si mesmos.

3. O design modular e redundante aumenta a confiabilidade e disponibilidade do sistema. O sistema é

mais confiável que seus componentes principais. O valor de MTBF calculado para os módulos de

potência e outras subestruturas importantes é similar ao que dizem ter os produtos das empresas da

concorrência.

4. Num único sistema Symmetra MW com um trecho de energia redundante, a maior contribuição à falha

surge do requisito de que a maior parte das reparações seja realizada com o sistema no modo de

bypass para manutenção, já que uma interrupção no serviço elétrico durante o tempo em que o

sistema se encontra em modo de bypass terá como conseqüência uma queda da carga crítica.

5. Ao ser diminuído o tempo de reparação, reduzindo o tempo durante o qual a carga fica exposta a

interrupções do fornecimento elétrico, este risco diminui também. O design modular permite que

possam ser substituídos praticamente todos os componentes principais em forma rápida e com baixo

risco.

6. Um trecho com inversor redundante (por exemplo, um sistema de 1 MW com uma carga inferior a 800

kW) reduz em forma considerável o risco de queda da carga, em um fator de aproximadamente 7,

respeito da configuração sem redundância.

7. Uma análise pormenorizada das objeções ao uso da conversão delta on-line revela que a maioria

delas não tem fundamento e que as restantes surgem de escolhas relacionadas com o design mais

do que da topologia. Para obter mais informação sobre este tema, consulte o Apêndice A.

8. A grande eficiência da conversão delta on-line se traduz em menor produção de calor e temperaturas

operacionais dos componentes consideravelmente reduzidas quando comparada com designs de

dupla conversão menos eficientes. Uma temperatura operacional elevada reduz consideravelmente a

confiabilidade de quase todos os componentes. No estudo não incluímos os efeitos deste fator


4

elementar, já que carecíamos de dados quantitativos sobre a temperatura típica em que operam os

componentes dos produtos da concorrência. Por isso, é provável que os resultados sejam prudentes

e, muito possivelmente, o valor de MTBF dos produtos Symmetra MW seja significativamente maior

que o de nossas predições.

Descrição do sistema Symmetra MW da APC é um sistema de fornecimento interrompido de energia (No-Break) on-line com

conversão delta. Symmetra MW pode ser configurado para oferecer suporte a cargas de entre 400 kW e 1,6 MW

como sistema único, ou a cargas superiores se conectados vários sistemas Symmetra MW em paralelo (para o

estudo não levamos em consideração as configurações em paralelo). O design é extremamente modular, com

módulos de potência, controles e a maioria das principais subestruturas colocadas em um gabinete modular

standard. A modularidade confere ao sistema vantagens sutis, porém importantes, em termos de economia,

confiabilidade e disponibilidade. Na Figura 1, é possível ver um diagrama unilinear elementar de um sistema

Symmetra MW com regime nominal de 1 MW.

Figura 1 – Diagrama unilinear de um sistema Symmetra MW com regime nominal de 1 MW

BAT -P-Q1 BAT-P-Q2 BAT-P-Q3 BAT-P-Q4 BAT-M-Q1 BAT -M-Q2 BAT -M-Q3 BAT -M-Q4

200 kVA 200 kVA 200 kVA 200 kVA 200 kVA

Gab. bat.1

Gab. bat.4

Gab. bat.5

Gab. bat. 6

Gab. bat.7

Gab. bat.8

Gab. bat.2

Gab. bat.3

Entrada ppal.

Switch estático externo

Saìda ppal .

MBB

+ 384 VCC - 384 VCC

Q1

Q5 Q6

Q4Q2

Q3

SW. EST.

PPAL.

INV 1-TREC1 INV1-TREC2 INV1-TREC3 INV 1-TREC4 INV1-TREC5INV 2-TREC1 INV2-TREC2 INV2-TREC3 INV 2-TREC4 INV2-TREC5INV 3-TREC1 INV3-TREC2 INV3-TREC3 INV 3-TREC4 INV3-TREC5

FUSÌVEL-P-Q 3

FUSÌVEL -P-Q4

FUSÌVEL -M -Q1

FUSÌVEL-M-Q 2

Q8Q7

TRECHO 1 TRECHO 1 TRECHO 1 TRECHO 1 TRECHO 1

Gab. dis j.

baterias

Gab. dis j.

bater ias

FUSÌVEL-P-Q1

FUSÌVEL-P-Q2

FUSÌVEL -M-Q3

FUSÌVEL -M-Q4

Em condições típicas, este sistema seria utilizado para alimentação de uma carga crítica de não mais de 800

kW de modo que, se falhasse qualquer módulo num dos trechos de 200 kW, o sistema poderia continuar


5

operando normalmente até o módulo ser substituído. As conseqüências de operar este sistema com cargas

críticas de entre 800 kW e 1 MW serão analisadas posteriormente neste relatório. Na figura não se mostram as

características redundantes nos sistemas de controle de No-Break e refrigeração.

Vantagens dos módulos de potência pequenos Symmetra MW se diferencia de produtos equiparáveis por ele utilizar módulos de potência monofásicos

relativamente pequenos (67 kW), com três desses módulos em cada trecho trifásico de 200 kW. Os clientes

têm a opção de adquirir uma unidade com trechos de potência de 200 kW sem ocupar. Esses trechos são

ocupados com módulos de potência à medida que aumenta a carga crítica. Esta prática oferece benefícios

econômicos aos clientes que não têm certeza da magnitude das cargas críticas futuras, mas não afeta em

forma significativa a confiabilidade do sistema, portanto não será considerada neste relatório. (A redução do

risco a partir da simplificação do processo de atualização é considerável, no entanto não será considerada no

estudo).

Muitos sistemas No-Break da concorrência utilizam unidades em paralelo para atingir maiores níveis de

potência, mas cada unidade costuma se basear num produto “autônomo”. Quer dizer que cada unidade em

paralelo conta com todos os componentes e características de um sistema No-Break trifásico completo, entre

eles, retificador, inversor, controles, bus de CC, circuitos de proteção e, à s vezes, um circuito de bypass estático.

Estes módulos tendem a ser bastante volumosos. Para atingir maiores níveis de potência, a linha de produtos

Silcon da APC oferece a capacidade de conectar em paralelo módulos com regime nominal de até 500 kW. As

soluções oferecidas pela Liebert, MGE e Powerware também utilizam módulos trifásicos em paralelo com

regime nominal de entre 100 e 500 kW ou mais para atingir maiores níveis de potência ou redundância.

Vantagens econômicas dos módulos pequenos

Existem vários argumentos financeiros para o uso de módulos menores. A análise financeira faz parte integral

de uma análise de confiabilidade fatível e que possa ser matéria de julgamento. O objetivo não é apenas atingir

o maior nível de confiabilidade possível, mas encontrar o sistema que ofereça a maior confiabilidade em função

de parâmetros relativos a custo, espaço e tem po associados. A essência de invocar argumentos financeiros

numa análise de confiabilidade é a seguinte: Se dois sistemas comparáveis apresentam confiabilidade

equivalente, deverá ser adquirido o sistema de menor custo, fazendo com que as escassas verbas fiquem

livres para serem destinadas a mais melhoras em termos de confiabilidade ou outros fins. A estimativa de

“custos” é uma arte imprecisa, no melhor dos casos, e as necessidades individuais, as preferências relativas a

tempo, as limitações orçamentárias e a tolerância aos riscos terão influência em toda decisão de compra. Os

compradores mais exigentes tendem para a aplicação de uma análise do valor futuro atualizado para calcular

os custos do produto ao longo da vida útil.


6

Os módulos menores serão produzidos em maior volume do que os módulos de maior tamanho, o qual

permitirá incorporar a automação e outras técnicas de fabricação que podem reduzir o custo unitário e, por sua

vez, diminuir a incidência de defeitos de fabricação. Em um mercado de 100 MW anuais, para um sistema No-

Break de 1 MW, com cada No-Break composto de dois módulos de 500 kW, serão construídos 200 desses

módulos, enquanto que o design de Symmetra significará uma produção de 1500 módulos de potência.

O segundo argumento financeiro á a plicado à redundância. Um sistema baseado em módulos de 500 kW pode

oferecer um sistema No-Break de 1 MW redundante se incorporar 3 módulos. Symmetra MW oferece

redundância com apenas incorporar 3 módulos adicionais em um bastidor de 200 kW, o que aumenta o total

de 15 para 18. O design de Symmetra fornece o mesmo grau de redundância com 20% de aumento na

quantidade de módulos, enquanto um produto alternativo que utiliza módulos de 500 kW exige um aumento de

50%.

O módulo de 67 kW de Symmetra MW é compacto e leve, e apenas duas pessoas treinadas são necessárias

para operá-lo com total segurança. É possível retirá-lo e substituí-lo em forma rápida, e não tem controles,

indicadores nem circuitos de bypass aos quais o usuário deva ter acesso. Um módulo de 500 kW é muito

volumoso e pesado, e é necessária assistência mecânica para operá-lo. Os módulos de potência de

Symmetra MW são extraídos e substituídos em apenas poucos minutos; já a substituição de módulos de

potência volumosos exige horas ou mesmo dias. O tempo e a dificuldade para módulos grandes serem

substituídos provoca que, na maioria dos casos, os módulos volumosos sejam reparados no estabelecimento,

em vez de serem substituídos por unidades testadas em fábrica. Os módulos de Symmetra são substituídos

no estabelecimento e sempre são reparados em fábrica. Tanto a qualidade dos reparos como a notável

disparidade quanto a tempos de reparo tem um poderoso efeito na confiabilidade do sistema.

Conseqüências da modularidade em relação à confiabilidade As considerações básicas em matéria de confiabilidade sugerem que a simplicidade é uma virtude; quer dizer,

os dispositivos com menos partes têm menos partes que falham. Ante dois dispositivos que cumprem a

mesma função, um com duas vezes mais partes que o outro, muitas pessoas usarão a intuição para apoiar a

idéia de que o dispositivo mais simples é mais confiável. Infelizmente, a intuição não é uma boa base para

compreender eventos de baixas probabilidades.

A complexidade aplicada com extremo cuidado pode aumentar a confiabilidade de um sistema, e de fato assim

faz. Praticamente todos os carros modernos têm um duplo circuito de freio e sistema antibloqueio de freios


7

controlados por computador. Estes sistemas são mais complexos que os freios hidráulicos de um único

circuito, mas são muito mais confiáveis e seguros se for preciso frear com urgência.

O acréscimo de componentes adicionais sem o devido cuidado pode reduzir a confiabilidade do sistema; no

entanto, o design e os testes minuciosos de sistemas mais complexos podem implicar numa melhora

significativa nos níveis de confiabilidade. As generalizações quanto à quantidade “ótima” de componentes ou

módulos não resistem um exame com fundamentos. Quando os argumentos oferecidos para apoiar tais

generalizações não consideram as características básicas de redundância comuns aos sistemas No-Break

modernos, perdem credibilidade.

A exaustiva análise de confiabilidade de Symmetra MW que conduziu a MTech mostra que a confiabilidade do

produto é, no mínimo, igual à dos g randes sistemas No-Break da concorrência. A definição de falha utilizada

neste estudo abrange todos os casos em que, qualquer que for a causa, o fornecimento de energia à carga

crítica é interrompido. Muitas das cifras publicadas excluem as causas “externas”, por exemplo, o

funcionamento anômalo da unidade de baterias. Alguns fabricantes excluem especificamente as falhas

produzidas durante ou depois das atividades de manutenção preventiva ou reparo, minimizando assim as

importantíssimas causas de falhas que surgem destes procedimentos que, em si mesmos, são de risco. O

fato de a definição de falha e o tipo de análise aplicado pela MTech serem prudentes implica que, ante

afirmações de igual nível de confiabilidade, Symmetra MW terá tendência a apresentar menos probabilidades

de falha.

A APC produz 15 módulos de potência por MW, enquanto que os designs dos sistemas No-Break grandes da

concorrência produzem 1 ou 2. Além das vantagens financeiras já mencionadas, esta estratégia permite à APC

ser mais eficaz no seu processo de gerenciamento do crescimento da confiabilidade. A APC é capaz de

identificar qualquer defeito nos módulos de potência de Symmetra em aproximadamente 10 vezes menos

tempo que o utilizado em qualquer linha de produtos com módulos grandes comparável. Em última instância, a

APC deveria poder identificar um defeito 10 vezes menos freqüente enquanto que para um concorrente seria

muito mais difícil fazer isto.

A APC identifica defeitos e implementa respostas adequadas para aproveitar as vantagens de maiores

volumes de produção de unidades. A APC tem um papel de destaque na indústria pela implementação do seu

programa de gerenciamento do crescimento da confiabilidade e pelo seu compromisso com esse programa, e

aproveita o mais possível esta importante vantagem competitiva.

Benefícios do design modular para os reparos

Existem importantes benefícios em termos de confiabilidade quando se trabalha com maiores volumes de

unidades, técnicas de produção em massa e práticas de gerenciamento do crescimento da confiabilidade. Os


8

efeitos do design modular sobre o processo de reparo são muito mais notáveis e tangíveis. O design modular

da APC introduz mudanças fundamentais no processo de reparo de um sistema No-Break avariado, que o

cliente bem informado poderá perceber e aproveitar logo.

As instâncias de operação, falha, reparo e nova entrada em serviço conformam um ciclo cuja complexidade rara

vez é reconhecida ou questionada. Quando a arquitetura de um sistema é baseada na substituição de módulos

se produzem mudanças profundas neste ciclo. O seguinte quadro resume as diferenças no processo de

reparo derivadas do design modular em comparação com um típico sistema No-Break grande ou monolítico,

que exige que os módulos sejam reparados no estabelecimento.


9

Figura 2 – Processo de reparo: Comparação entre os designs monolítico e modular

Passo do reparo Design monolítico Design modular Vantagem Detecção de módulos ou componentes com anomalias

Em geral, automatizado. O funcionamento de sistemas No-Break independentes em paralelo pode complicar a detecção e o isolamento.

Automatizado. Módulos desenhados com características de isolamento e auto-diagnóstico.

Possível leve vantagem do design modular.

Observação da falha por parte do operador

Resposta do operador Resposta do operador Não existe diferença considerável.

Mobilização do pessoal de reparo.

É necessário pessoal de serviço técnico muito capacitado, um recurso muito escasso que rara vez se encontra no estabelecimento.

A troca de módulos com anomalias provadas ou supostas pode ser responsabilidade de pessoal com mínima capacitação.

Vantagem significativa do design modular: pessoal menos custoso e mais numeroso; menor tempo de resposta.

Confirmação/ diagnóstico de falhas de componentes

Muitas falhas devem ser procuradas até nos componentes individuais. Costuma requerer tempo e procedimentos de testagem no estabelecimento.

As falhas devem ser procuradas só no nível dos módulos. O diagnóstico de falhas de componentes é realizado nas instalações do serviço técnico de fábrica.

O design modular oferece menor tempo de diagnóstico e menos oportunidades para introduzir defeitos latentes.

Resolução de problemas Testagem no campo e substituição de partes com anomalias supostas.

O procedimento de resolução de problemas não é aplicado no estabelecimento. Os módulos são reparados na fábrica.

O design modular apresenta um risco substancialmente menor de introduzir novos defeitos latentes e/ou realizar um diagnóstico errado.

Obtenção de peças de reposição

É necessária grande variedade de peças de reposição.

Substituição do módulo para todas as falhas de componentes.

O design modular oferece grande redução do inventário de peças de reposição e maior probabilidade de contar com as peças no estabelecimento.

Instalação de partes novas Trabalho de campo Substituição de módulos na maioria das falhas.

O design modular reduz consideravelmente as possibilidades de introdução de defeitos latentes.

Testes Habitualmente é impossível executar testes completos.

O módulo é totalmente testado em fábrica. O sistema confirma o funcionamento do módulo.

Vantagem muito significativa do design modular. Todos os reparos são testados conforme normas originais de fábrica.

Devolução ao serviço técnico (RTS)

O procedimento depende da índole do reparo.

Procedimento standard e RTS automatizado

Vantagem significativa do design modular em virtude da diminuição da margem de erro do operador.

Desmobilização (Retirar do estabelecimento os equipamentos de testes, as partes, os resíduos e o pessoal de serviço técnico)

O procedimento depende da índole do reparo.

Procedimento standard após a substituição do módulo

Leve vantagem do design modular, em virtude da diminuição das probabilidades de introduzir defeitos latentes.


10

No design do sistema modular, os passos de mobilização, resolução de problemas, obtenção de peças de

reposição, instalação, testagem e devolução ao serviço técnico são consideravelmente mais velozes,

apresentam menos riscos e/ou menos custos. Os riscos de aplicar procedimentos de resolução de problemas

segundo as necessidades, os reparos no estabelecimento e a substituição de partes com supostas

anomalias no estabelecimento são muito importantes. Fornecem numerosas oportunidades para a falha

humana e a introdução de defeitos latentes nos sistemas No-Break reparados. Costuma ser impossível

submeter uma unidade No-Break reparada no estabelecimento a todo o conjunto de testes funcionais e de

performance que os fabricantes de sistemas No-Break de alta qualidade aplicam a cada unidade nova. Pelo

contrário, o design modular praticamente elimina a necessidade de resolução de problemas e reparo no

estabelecimento. Os módulos são substituídos e devolvidos à fábrica para implementar estes procedimentos.

Antes de sair da fábrica, os módulos novos (ou reparados) são testados na íntegra.

Vantagens quanto à disponibilidade A possibilidade de substituir em forma rápida os módulos que apresentam falhas reduz os tempos de reparo. A

disponibilidade é uma medida do tempo médio de funcionamento do sistema; assim, ao ser reduzido o tempo

de reparo, aumentará a disponibilidade. Quando funciona com módulos de potência redundantes (por exemplo,

com uma carga que não supere os 800 kW em um sistema Symmetra com regime nominal de 1 MW), é

possível reduzir os tempos de reparo para apenas 15 ou 30 minutos, e completar a maior parte dos passos de

reparo que são apresentados na Figura 2 antes de a unidade ser desconectada. Neste relatório, o tempo de

reparo é definido como o tempo durante o qual a carga crítica permanece exposta ao fornecimento da

companhia de eletricidade ou à unidade geradora enquanto o sistema No-Break é fechado para realizar

reparos.

A disponibilidade deve ser definida com grande cuidado, caso se trate de fornecer uma orientação útil e

relevante aos clientes. A MTech adota o ponto de vista dos usuários finais dos equipamentos protegidos pelo

sistema No-Break. Para estes usuários, se o equipamento funciona normalmente, ele está disponível.

Definimos o sistema como disponível mesmo quando a carga seja transferida momentaneamente para o

fornecimento da companhia elétrica para poder substituir um módulo, desde que não existam alterações no

serviço elétrico durante esse período. Isto não significa que não irão se produzir falhas nos módulos ao longo

da vida útil do sistema. Os módulos podem falhar e ser substituídos, mas desde que os equipamentos

protegidos tenham alimentação e estejam protegidos, não se produz uma falha. Nosso estudo prediz que o

valor de MTBF de Symmetra MW supera o milhão de horas.


11

Resultados da análise da árvore de falhas Uma análise de árvore de falhas é realizada mediante a construção de modelos lógicos que refletem o modo

em que as combinações de falhas de componentes, em última instância, podem provocar falhas do sistema.

Por causa do design altamente redundante de Symmetra MW, as falhas de um único componente rara vez

produzem uma falha do sistema, que é definida como uma interrupção no fornecimento de energia à carga

crítica. A “lógica de falha” que contém a árvore de falhas é combinada com taxas de falhas de componentes

standard para dar como resultado estimativas da confiabilidade do sistema. As árvores de falhas são

apresentadas e analisadas no Apêndice.

A Figura 3 mostra os resultados da nossa análise para um sistema Symmetra 1 MW (de 5 trechos) que protege

uma carga crítica inferior a 800 kW. Deste modo, um trecho de energia redundante (N+1) é originado.

Figura 3 – Contribuição dos componentes à taxa de falhas do sistema em unidades Symmetra MW operadas com redundância N+1 nos módulos de potência

Os fatores que mais contribuem para as falhas são (no sentido horário):

• Reparos imprevistos (38%) : São falhas que obrigam o sistema a funcionar no modo de bypass

estático. Neste estado, qualquer falha da companhia elétrica provoca a falha do sistema. Os reparos

Carga de 800 kW /sistema de 1 MW

Outras 5%

Bateria 11%

Falhas por causa comum

5%

Buses de entrada e saída

11%

Disjuntor de saída

7% Reparos planificados

23%

Reparos imprevistos 38%


12

imprevistos foram considerados no modelo com uma duração média de 24 horas. Para o cálculo

interno da disponibilidade e confiabilidade do sistema, a APC utiliza uma taxa de falhas do serviço

elétrico relativamente alta: 3,89E-03 falhas por hora. Este valor corresponde a um tempo médio de

falhas do serviço elétrico de 257 horas, com uma média superior a 34 eventos anuais esperados. Esta

taxa de falhas do serviço elétrico é prudente (pessimista) e serve para salientar os modos de falhas de

demanda e a suscetibilidade aos tempos de reparo. Em algumas regiões dos Estados Unidos, que

contam com redes de distribuição do serviço elétrico interligadas, a taxa de falhas real pode ser 10

vezes inferior. Caso se aumente o valor de MTTF do serviço elétrico para 1000 horas, a taxa de falhas

esperada para o sistema é reduzida em um fator superior a 3.

A capacidade de planejar reparos significa que já não são aleatórias, e os métodos probabilísticos

são mais bem aplicados a eventos aleatórios. Pelo contrário, o “reparo imprevisto” é um evento

verdadeiramente aleatório, já que os reparos devem ser logo iniciados, caso se pretenda que o

sistema esteja reparado e entre novamente em serviço num prazo de 24 horas. A forma de considerar

os reparos imprevistos no modelo talvez seja um pouco otimista, já que, em muitos casos, reparar os

sistemas em 24 horas pode significar um enorme desafio.

• Reparos planejados (23%) : São as falhas nos componentes do sistema (módulos de potência,

principalmente) que não obrigam a unidade No-Break a funcionar em modo de bypass estático porque

componentes redundantes estão disponíveis. No modelo, os reparos planejados foram considerados

com uma duração média de 30 minutos na linha do serviço elétrico. Durante este lapso, a carga crítica

permanece exposta a falhas do serviço elétrico.

Nosso modelo do evento de reparo planejado é um pouco prudente (pessimista), dado que pressupõe

a mesma taxa de falhas do serviço elétrico durante o breve intervalo do reparo. Na verdade, os

operadores do sistema evitam a realização de reparos nos períodos de maior probabilidade de falhas

ou naqueles em que as conseqüências de uma falha são mais graves. As grandes empresas

financeiras costumam proibir que sejam realizados reparos no horário de negociação bursátil. Não

são realizados reparos quando há tormenta, ondas de calor ou outras condições que possam

ameaçar a confiabilidade do fornecimento elétrico público.

• Disjuntor de saída (7%) : A falsa ativação dos disjuntores (quando a corrente da carga se encontra

dentro dos valores de corrente nominal do dispositivo) implica em uma limitação considerável para a

confiabilidade de todo sistema de energia elétrica. Segundo dados obtidos na indústria da energia

nuclear dos Estados Unidos sobre uma quantidade de aproximadamente 27.000 unidades em


13

ambientes sem radiação, a taxa de falhas seria de 1,2 x 10-7 por hora, o que equivale a um MTTF de 5

milhões de horas; isto é, 57 anos.1

• Buses de entrada e saída (11%) : Uma falha catastrófica em um bus de entrada ou saída (por exemplo,

falhas persistentes linha a linha ou linha aterrada) provoca a falha do sistema. Mesmo que uma falha

no bus de entrada não provoca uma falha imediata, ela impede que as baterias da unidade No-Break

sejam carregadas; assim, é inevitável que as baterias sejam descarregadas.

As falhas nos buses de entrada e saída não são importantes por elas serem prováveis, mas porque

só uma falha deste tipo deixará o sistema inabilitado. Estes modos de falhas são comuns a todos os

sistemas No-Break de grande tamanho e não derivam do design modular de Symmetra. A única

maneira de eliminar estes modos de falhas tão importantes é utilizar uma arquitetura de centros de

dados baseada em numerosas unidades No-Break menores em vez de uma grande. Os leitores que

desejarem mais informação, podem consultar o relatório interno Nº 111 da APC, elaborado pela

MTechnology, que aplica a análise de Avaliação probabilística de riscos (PRA) a uma arquitetura desse

tipo.2

• Falhas por causa comum (5%): São falhas que implicam avarias de vários componentes devido a uma

única causa. As falhas por causa comum restringem em forma muito significativa os benefícios da

redundância. Os fatores que originam as falhas por causa comum são muito variados: defeitos de

design ou fabricação, incêndios, inundações ou outros desastres naturais, e falhas catastróficas de

um componente fazendo com que o plasma ou as lascas provoquem falhas dos componentes

adjacentes.

Um fator muito importante que provoca falhas por causa comum em ambientes de centros de dados é

a manutenção periódica quando, por procedimentos inadequados ou porque o sistema não retorna a

um estado de operação total, são inabilitadas todas as unidades No-Break ou geradores ou baterias

em forma simultânea. A revisão pormenorizada que realizamos no design, testes e unidades de

fabricação de Symmetra MW revelou que não existiam fatores específicos que pudessem provocar

falhas por causa comum. O design modular e a arquitetura redundante e com controles à prova de

falhas do sistema admitem procedimentos de testagem e manutenção simples que não apresentam

probabilidades de provocar quedas de carga, inclusive perante um erro do operador.

1 “Review of Operational Experience with Molded Case Circuit Breakers in US Commercial Nuclear Power Plants”, et al., NRC AEOD/S92-93, 1992. 2 “Análise de confiabilidade do sistema de energia InfraStruXure da APC”, Relatório interno Nº 111, MTechnology, Inc.


14

Utilizamos um valor de 10-8 falhas por hora, que corresponde a um tempo médio entre falhas (MTTF)

de 100 milhões de horas; isto é, 11.400 anos. O fato de se esperar que uma falha tão pouco comum

provoque 5% de todas as falhas coloca em destaque tanto a magnitude das falhas por causa comum

quanto a confiabilidade de Symmetra MW.

• Falhas de baterias (11%) : São principalmente falhas de demanda produzidas quando, ao ser

interrompido o fornecimento da companhia elétrica, a bateria não consegue fornecer a energia

necessária para proteger a carga durante o intervalo especificado. Nosso modelo é baseado em

várias cadeias de baterias tipo VRLA e conta com disjuntores, fusíveis, conexões e controles.

Provamos a capacidade de Symmetra para realizar testes periódicos das baterias em forma

automática e sabemos que o teste não é 100% preciso na identificação de células com anomalias. Os

testes descarregam a unidade de baterias e diminuem sua vida útil; por isso, consideramos para

nosso modelo testes programados a cada 3 meses. Uma unidade de baterias de grande tamanho,

com muitas células e conexões, tem muitas oportunidades de apresentar falhas, e a contribuição

significativa realizada pela unidade de baterias surge tanto das falhas detectáveis que se produzem

entre os testes periódicos como das falhas não detectáveis que só se manifestam durante o

funcionamento real da bateria. Sobre este resultado também influi a grande quantidade de demandas

que surgem da estimativa muito prudente (pessimista) da taxa de falhas do serviço elétrico que

considera a APC.

• Outros (5%) : Esta categoria representa toda outra causa de falha. Apesar de Symmetra MW, e nosso

modelo, terem grande quantidade de componentes, só alguns poucos provocam 95% de todas as

falhas. Deve ser levado em consideração que as falhas dos módulos de potência e os módulos de

controle não se encontram dentro dos 95% principais, já que o design redundante impede que as

falhas dos módulos provoquem falhas do sistema.

Benefícios da redundância A maioria dos clientes vai operar Symmetra MW com módulos de potência redundante N+1. Por exemplo, uma

carga crítica de 1 MW normalmente seria protegida com um sistema Symmetra com 6 trechos, que admitam 1,2

MW. Uma falha em qualquer trecho ou módulo de potência não obrigaria a fazer uma transferência para o modo

de bypass.

Em compensação, se a unidade Sym metra é configurada para operar sem módulos de potência redundantes,

a probabilidade global de falha por ano de funcionamento aumenta em um fator de 7. A distribuição das causas

de falhas sofre alterações ainda mais drásticas, como é apresentado a seguir.


15

A Figura 4 mostra os resultados da nossa análise para um sistema Symmetra 1 MW (de 5 trechos) que protege

uma carga crítica inferior a 1 MW. Não existem trechos de energia redundante.


16

Figura 4 – Contribuição dos componentes à taxa de falhas do sistema em unidades Symmetra MW operadas sem trechos de energia redundante

Agora os reparos imprevistos representam quase a totalidade das falhas. As falhas dos módulos de potência

obrigam o sistema a funcionar em modo de bypass estático. O reparo é verdadeiramente aleatório (existe a

mesma probabilidade de chamar aos operadores à s 2 horas da tarde como às 2 horas da manhã). Todo o

processo de reparo, desde o reconhecimento da falha até a mobilização do pessoal e as peças de reposição,

se produz neste lapso, que fo i contemplado no modelo com uma duração de 24 horas. Em grandes centros de

dados com procedimentos de gerenciamento de trocas bem estabelecidos, costuma ser difícil obter acesso e

licença para reparar infra-estruturas críticas em menos de 24 horas.

Conclusão A análise do sistema Symmetra MW da APC que realizou a MTech revela que os designers criaram um produto

muito confiável, de fácil manutenção e reparo. As causas de falha se distribuem de maneira uniforme entre os

sistemas No-Break e seus componentes associados, o que mostra um design cuidadoso. Se todo o risco

surgisse apenas de 1 ou 2 componentes, os designers deveriam utilizar melhor seus recursos para reduzir a

probabilidade de falha desses componentes em particular.

A natureza modular e redundante de Symmetra MW tem efeitos importantes e muito favoráveis no processo de

reparo. A qualidade dos reparos melhora enormemente e o tempo de reparo se reduz extremamente. Nenhuma

máquina é perfeita e, considerando o conjunto de unidades de um produto bem-sucedido, sempre vão se

Carga de 1 MW / Sistema de 1 MW

Reparos imprevistos 93%

Falhas por causa comum 1% Bus de entrada e saída

1%

Bateria 2%

Reparos planificados 1%

Disjuntor de entrada 1%

Outras 1%


17

produzir falhas, fora do grau de confiabilidade que esse produto apresentar. A cuidadosa engenharia e os

testes rigorosos da APC deram como resultado um sistema No-Break com uma performance tão boa como a

dos designs da concorrência, baseados em uns poucos módulos grandes que funcionam em paralelo, e,

muito possivelmente, melhor.

Acerca dos autores:

Steve Fairfax ocupa o cargo de Presidente da MTechnology, Inc. Incorporou-se à MTech em 1997, mas

trabalha com sistemas de energia de vários megawatts desde que estudava no MIT, onde ajudou a

construir e operar um sistema de energia de 200 MW para um reator de fusão Tokamak. Começou a se

ocupar plenamente do estudo da confiabilidade dos sistemas de energia quando trabalhava como

Engenheiro em chefe para a Failure Analysis Associates. Atuou como chefe de Engenharia e Operações do

reator de fusão nuclear Alcator C-MOD nas etapas de design e operação inicial no Plasma Fusion Center

do MIT, e como chefe de engenheiros em empresas da área de Boston. Fez Mestrado em Física e em

Engenharia Elétrica no MIT.

Neal Dowling é Engenheiro Sênior da MTechnology, Inc. Conduz análises de árvore de falhas e métodos de

modelagem e simulação associados, desenvolve e testa novas tecnologias de switches e fontes de

alimentação, e supervisiona a operação e a manutenção das instalações do gerador de 400 kW da MTech

com tecnologia de celas de combustível. Antes de se incorporar à MTech, trabalhou para vários fabricantes

de dispositivos médicos da área de Boston. Seu campo de especialidade abrange o desenvolvimento e

manutenção de firmware e software para funções críticas, conformidade com as normas da FDA

(Administração de Drogas e Alimentos dos Estados Unidos), e design analógico e digital. Fez Bacharelado

e Mestrado em Física e em Engenharia Elétrica no MIT.

Dan Healey é Engenheiro Sênior da MTechnology, Inc. É especialista na análise de fatores humanos e na

aplicação da Avaliação probabilística de riscos (PRA) a atividades operacionais e de manutenção. Ocupou

o cargo de Diretor de Engenharia em diversas empresas da área de Boston, onde supervisionava o

desenvolvimento de produtos para o processamento de semicondutores, equipamentos médicos, robótica

e sistemas eletro-ópticos. Recebeu o diploma de Bacharel em Engenharia Elétrica na University of

Rochester, e realizou trabalho de pós-graduação adicional em óptica e programação. Atualmente, é

estudante especial de administração de tecnologia e desenvolvimento de software em Harvard.

A MTechnology, Inc. fornece soluções de engenharia de sistemas de energia para o século XXI. Oferece

serviços de assessoramento, testagem, desenvolvimento de produtos e fabricação de protótipos.

A MTech realiza análise probabilística de riscos de sistemas de energia elétrica, críticas de designs e

análise das causas fundamentais das falhas, e oferece o serviço de peritos para processos e temas

regulamentares. Oferece assessoramento em design de sistemas, operação, manutenção, atualizações e

gerenciamento do crescimento da confiabilidade, sempre considerando a análise de riscos. Os clientes

costumam economizar substancialmente em gastos operacionais e de capital, ao mesmo tempo em que

aumentam os níveis de confiabilidade de seus sistemas. As instalações da MTech incluem uma unidade

de testes e laboratório de mais de 400 metros quadrados com capacidade para operar cargas

continuadas de 500 kW e cargas pulsadas de vários megawatts. A MTech trabalha com projetos de


19

geração distribuída de alta confiabilidade que abrangem tecnologias que vão dos motores alternativos até

as celas de combustível. Entre os seus clientes, há companhias elétricas, designers e engenheiros,

proprietários e operários de instalações críticas e fabricantes que prestam serviços na indústria de missão

crítica que opera com a modalidade 7x24.


20

Apêndices Apêndice A: Sistemas No-Break on-line com conversão delta face a sistemas No-Break com dupla

conversão

Apêndice B: Falhas da carga e falhas de coordenação

Apêndice C: Modelos de árvore de falhas


21

Apêndice A: Sistemas No-Break on-line com conversão delta face a sistemas No-Break com dupla conversão A topologia de circuitos on-line com conversão delta é mais sutil e, em primeira instância, mais difícil de

compreender que os sistemas No-Break standard com dupla conversão. O transformador delta funciona

como um transformador de corrente. A maioria dos engenheiros elétricos está familiarizada com os

transformadores de tensão, mas os poucos que trabalham com transformadores de corrente costumam

usá-los como sensores, não como fontes dependentes.

Comparação de

designs com

conversão: dupla

conversão face a

conversão delta

RET. INV .

BAT.

No-Break com dupla conversão

INV. PPAL .INV. DELTA

BAT.

TRANSF. DELTA

No-Break com conversão delta

SW. ESTÁT. PPAL ..


22

Uma crítica habitual que recebem os sistemas No-Break com conversão delta é que eles são mais

complexos. Segundo esse argumento, ao ter menos componentes, os sistemas No-Break com dupla

conversão deveriam ser mais confiáveis. Isto já foi analisado no corpo principal deste relatório, e se

mostrou que não tinha sustento. (Os carros com duplo circuito de freio são mais complexos e mais

confiáveis que os designs de circuito único).

Se partirmos do suposto de que os seguintes componentes apresentam aproximadamente a mesma taxa

de falhas (os componentes de dupla conversão em primeiro lugar):

• INV. e INV. PRINCIP.,

• BAT. e BAT.,

• INV. e INV. DELTA,

o sistema No-Break com conversão delta conta com componentes adicionais: SW. ESTÁT. PPAL. e

TRANSF. DELTA. Como os switches estáticos e os transformadores de tipo seco são componentes

relativamente confiáveis (menos de 10-6 falhas por hora), espera-se que a contribuição destes

componentes para as falhas seja relativamente pequeno. Os dois tipos de sistemas No-Break costumam

ter um circuito de energia redundante fornecido por um switch de bypass estático que vai alimentar a carga

com energia da rede pública, se os componentes do sistema No-Break falharem. O acréscimo de um

switch de bypass estático reduzirá ainda mais a diferença nos níveis de confiabilidade de ambos os tipos

de No-Break. Por último, ambos os designs são vulneráveis a falhas por causa comum. As falhas dos

sistemas de controle de grandes unidades No-Break com dupla redundância provocam uma quantidade

significativa da totalidade das quedas da carga. No funcionamento cotidiano, o grau de confiabilidade é

determinado pela arquitetura e a execução, e não unicamente pela quantidade de componentes.

A confiabilidade de produtos físicos é grandemente afetada pelas escolhas de design detalhadas, seja

que os designers apliquem ou não margens adequadamente prudentes para os componentes críticos, a

qualidade de fabricação, a qualidade dos reparos, o ambiente operacional e a eficácia do programa de

gerenciamento do crescimento da confiabilidade implementada pelo fabricante, se implementada. Estes

fatores têm muito mais peso que as conseqüências de acrescentar um ou dois elementos de circuito.

Alguns clientes em potencial oferecem resistência à conversão delta. No decorrer deste estudo, os

engenheiros da MTech escutaram os seguintes comentários relativos aos méritos da conversão delta.

É de linha interativa; não é tão boa quanto a de conversão delta on-line.

“Linha interativa” é uma expressão técnica que descreve uma configuração de No-Break em particular.

Entre outros atributos, o único inversor de um sistema No-Break de linha interativa permanece sempre

conectado à carga crítica, mas habitualmente não funciona em presença do fornecimento da rede pública,


23

exceto para a carga das baterias. Alguns modelos incluem transformadores com troca de tap ou outros

recursos para compensar as tensões altas ou baixas da rede pública. A topologia delta on-line é diferente

dos designs de linha interativa, e os inversores delta funcionam habitualmente com fornecimento da rede

pública, à diferença da maioria dos designs interativos. O sistema No-Break com conversão delta on-line

interage com a linha, como qualquer unidade No-Break, mas isto não se relaciona com o que

normalmente se entende por design de “linha interativa”.

“Não é tão boa assim” é um juízo de valor e não pode ser fundamentado nem refutado com argumentos

lógicos, científicos ou de engenharia. Fica implícito nessa frase que os designs de “dupla conversão” são

intrinsecamente superiores a qualquer outro design de circuito. Não há provas lógicas nem empíricas que

apóiem uma afirmação tão ampla. É claro que os modernos sistemas No-Break com dupla conversão são

muito mais confiáveis do que os designs de linha interativa de quarenta anos atrás, mas também são

mais confiáveis do que os primeiros produtos com dupla conversão. Através da nossa análise da topologia

de circuitos on-line com conversão delta, concluímos que a confiabilidade dos módulos de potência,

inversores e outros componentes de grande importância era essencialmente idêntica à de seus

homólogos de sistemas No-Break de dupla conversão.

A conversão delta não pode realizar conversão de freqüência e deve ser sincronizada com o serviço elétrico.

Esta afirmação é verdadeira no sentido de que a saída de um sistema No-Break com conversão delta deve

estar na mesma freqüência que a entrada. No entanto, a insinuação de que há ali um defeito é falsa por

duas razões. Em primeiro lugar, as cargas informáticas modernas não são suscetíveis à freqüência.

Praticamente todas as fontes de alimentação com comutação modernas têm um regime que lhes permite

operar a qualquer freqüência entre os 48 e os 63 Hz, e muitas funcionariam com uma faixa ainda maior.

Em segundo lugar e mais importante ainda, o requisito de manter a saída do sistema No-Break

sincronizada com a forma de onda de entrada de CA provém do uso do switch de bypass estático. Quase

todas as grandes unidades No-Break, sejam com dupla conversão ou com conversão delta ou outro

design, incluem um switch de bypass estático. Este switch fornece um circuito paralelo e resulta essencial

para atingir um alto nível de confiabilidade. Sem o switch de bypass estático, toda unidade No-Break não

seria mais do que um elemento em série e qualquer falha do sistema No-Break provocaria uma queda da

carga crítica. O switch de bypass modifica fundamentalmente esta conduta. Os trechos de energia de um

sis tema No-Break grande típico apresentam um tempo médio entre falhas de aproximadamente 150.000

horas. Só ao ser operado em paralelo com um switch de bypass estático, o valor de MTTF do sistema se

aproxima ou supera o milhão de horas.


24

As formas de onda da entrada e da saída de um sistema No-Break devem permanecer estreitamente

sincronizadas; caso contrário, o switch de bypass estático ficará desabilitado. As tentativas de transferência

sem sincronia em um sistema No-Break grande quase sem dúvida provocam um a saturação dos

transformadores downstream, o que deriva em grandes correntes e na ativação dos dispositivos de

proteção. As formas de onda de entrada e saída devem ser sincronizadas tanto para sistemas No-Break

com dupla conversão como para os de conversão delta. Como as cargas não são sensíveis à freqüência, a

tentativa de operar um sistema No-Break com dupla conversão como um conversor de freqüência

representa riscos graves (perda da proteção do bypass estático) sem benefício nenhum.

O sistema No-Break com conversão delta tem uma alta tensão de baterias. A grande quantidade de baterias em série reduz a confiabilidade das baterias e instala um problema de segurança.

A maioria dos grandes sistemas No-Break com dupla conversão utiliza entre 192 e 240 células em série,

para atingir uma tensão nominal de circuito aberto que oscila entre os 384 e os 528 volts. O sistema No-

Break Symmetra MW com conversão delta utiliza duas correntes de 192 células em uma configuração com

derivação central, que se traduz para um total de 384 células em série, para atingir uma tensão nominal de

circuito aberto de 768 volts.

A escolha da tensão do bus de CC é um parâmetro de design, e os especialistas em design, tanto dos

sistemas No-Break com dupla conversão quanto daqueles com conversão delta, escolheram a tensão das

baterias por numerosas razões. É claro que se é escolhida uma tensão de CC mais baixa, consegue-se

uma menor quantidade de células em série, mas isto significa o uso de transformadores de entrada e de

saída. Estes dispositivos em série geram perdas (que poderiam provocar um aumento significativo nos

custos operacionais dos sistemas grandes) e vários modos de falha novos. A escolha de um design de

CC de +/- 384 volts permite a eliminação de todo transformador interno, mesmo que um possa ser

acrescentado caso se deseje contar com isolamento em uma aplicação determinada. A confiabilidade de

qualquer uma das duas fontes de CC é de interesse secundário para o cliente; ele se preocupa mais com

a confiabilidade do sistema. A confiabilidade do sistema só pode ser determinada no contexto de um

estudo mais amplo de confiabilidade dos sistemas e deve recorrer a métodos analíticos (como este

documento) ou dados históricos de campo. Estabelecer que uma escolha de tensão de CC tenha notáveis

vantagens requereria muito mais que uma contagem de células.

O tema em discussão se torna irrelevante se é conectada mais de uma cadeia de baterias em paralelo. O

modo de falha mais grave é o das falhas de circuito aberto em uma única cadeia de baterias, já que estas

privam o inversor da tensão de CC por completo. Como a bateria só se descarrega quando o serviço

elétrico público é interrompido ou ele se encontra extremamente fora de tolerância, as falhas das células

do circuito aberto tenderão a provocar uma queda da carga. As cadeias em paralelo reduzem a importância

deste modo de falha até valores insignificantes. As falhas das células do circuito aberto em cadeias em


25

paralelo permitem uma redução do tempo de demora das baterias mas, desde que as cadeias restantes

possam oferecer suporte à carga até serem ativados os geradores de reserva, não se produzirá a queda da

carga. Qualquer que for o conjunto de fundamentos que apoiar os argumentos acerca da quantidade de

células em série, com freqüência perdem sentido se são utilizadas cadeias de baterias em paralelo.

O tema da segurança não resiste a menor análise. Todo banco de baterias grande é extremamente

perigoso, já que não pode ser desconectado, fornece tensões letais e é capaz de fornecer correntes de

falha extremamente grandes. Em ambos os sistemas, o potencial com relação à terra é bem amplo e pode

chegar a machucar o mesmo a matar. Os códigos e normas nacionais e internacionais não fazem

diferença entre um ou outro design. Desde que o potencial com relação à terra se mantiver em 600 volts ou

menos, os requisitos de proteção, construção e isolamento são idênticos para ambos.

A bateria conta com derivação central e está conectada ao condutor neutro de CA.

É verdade que as cadeias de baterias do sistema Symmetra MW contam com derivação central e estão

conectadas ao condutor neutro de CA, mas não encontramos provas de que este fato coloque em perigo a

segurança ou que afete a confiabilidade em modo nenhum. Ao analisar outros grandes sistemas No-

Break precisamos de eventos básicos (modos de falha) resultantes de uma grande quantidade de falhas

elétricas possíveis que provocariam falhas em cascata nos componentes chave. Ao examinar os

documentos de design da APC, notamos que os designers tinham previsto todas as falhas possíveis e

demonstravam com sucesso que os componentes não seriam submetidos a esforços excessivos.

A conversão delta é uma nova topologia ainda sem provar e não é tão confiável como a dupla conversão.

Esta crítica é baseada na crença totalmente errada de que a confiabilidade dos produtos incrementa em

forma automática com o passo dos anos. As pesquisas analíticas e históricas demonstram que a

confiabilidade é determinada pelo design, a qualidade dos componentes, a qualidade de fabricação e a

qualidade dos reparos. O fato de que, em ocasiões, aumente a confiabilidade de um conjunto de produtos

similares com o decorrer do tempo é devido ao gerenciamento do crescimento da confiabilidade, em

virtude da qual o aprendido implicitamente a partir das falhas de campo é utilizado para eliminar defeitos

do conjunto existente e é levado em consideração para novos designs. A confiabilidade do equipamento

original permanece invariável desde que sejam realizadas atualizações no campo, e até que elas sejam

realizadas.

A MTech estudou numerosos sistemas No-Break com dupla conversão, com conversão delta, rotativos,

com celas de combustível e outros designs mais exóticos. Não encontramos uma topologia de No-Break

que fosse provadamente superior à s outras. Aprendemos que a arquitetura dos sistemas com relação a

características como a modularidade e a redundância cumpre um papel muito mais relevante que a


26

topologia básica dos circuitos. As políticas de qualidade de fabricação, interface do operador e serviço

técnico de campo cumprem uma função igualmente importante. A topologia de conversão delta on-line em

si mesma não é consideravelmente mais nem menos confiável que a de dupla conversão.

A conversão delta é mais complexa que a dupla conversão, o que reduz a confiabilidade.

Este argumento parte do conceito simplista de que quantas mais partes, mais falhas. Mas se isto fosse

verdade, um sistema N+1 seria inferior a um sem redundância. O uso de redundância para atingir um alto

nível de confiabilidade demonstra que o que determina a confiabilidade de um sistema não é a quantidade

de partes, mas o modo em que ela é acrescentada.

É verdade que os conversores delta contam com mais componentes funcionais que os sistemas No-Break

com dupla conversão. Mas todos os sistemas No-Break grandes dispõem de um bypass estático que

mantém o fornecimento e evita a queda da carga crítica durante a maioria das falhas do No-Break. O

funcionamento do switch de bypass estático em paralelo reduz enormemente a relevância da quantidade

de componentes nos circuitos de energia. Ainda mais, a tolerância à s falhas que se atinge quando são

utilizados vários módulos de potência significa que as falhas de componentes não necessariamente

implicarão a ativação do bypass estático. Esta vantagem não se limita à conversão delta; os designs

modulares oferecem benefícios comparados com diversas topologias de circuitos.

O inversor principal da conversão delta não utiliza transformadores, e não há isolamento entre a carga e a bateria.

É possível acrescentar um transformador de isolamento ao sistema, caso seja necessário ou desejado. O

uso de transformadores de isolamento na maioria dos produtos da concorrência é conseqüência da

escolha de uma tensão de CC extremamente baixa para a conversão direta a níveis de CA adequados.

Este argumento pretende transformar uma necessidade em virtude, mas para qualquer uma das duas

topologias de circuitos existe a opção de adotar ou não o uso de transformadores de isolamento.

A conversão delta traz junto uma maior freqüência de descarga das baterias e uma maior ondulação na conexão de CC por causa dos dois inversores; assim a vida útil das baterias diminui.

A vida útil das baterias se reduz com cada descarga. Quanto maior for a descarga, mais dano produz. O

enfoque de conversão delta on-line oferece em forma automática certa capacidade de funcionamento com

tensão de entrada de CA fora de tolerância sem descarregar a bateria. Ao escolher as características do

transformador delta e a tensão da conexão de CC, os designers estabelecem a tolerância de tensão. Os

designers de sistemas No-Break com dupla conversão costumam utilizar funções de conversor

redutor/elevador no retificador de entrada para oferecer a mesma capacidade de redução da freqüência de


27

descarga da bateria. Em ambos os casos, os designers devem defender suas escolhas ante os diretores

e, em última instância, ante o mercado, que especifica os parâmetros. Nenhuma das duas topologias

oferece uma vantagem significativa quanto à faixa de tensão de entrada de CA e a descarga das baterias. O

tema da tensão na conexão de CC e a ondulação da corrente é controlado da mesma maneira, com

indutores, capacitores e elementos de design em ambos os circuitos.

A conversão delta não é compatível com geradores devido à incapacidade de realizar conversão de freqüência.

Como foi analisado anteriormente, o uso de sistemas No-Break com dupla conversão para contar com

conversão de freqüência constitui uma escolha com muito pouco sustento do ponto de vista da

confiabilidade e dos riscos, já que inabilita o que provavelmente seja o componente de proteção mais

importante de um sistema No-Break grande: o switch de bypass estático. As cargas dos centros de dados

modernos não são suscetíveis à s variações de freqüência razoáveis e não h á necessidade de conversão

de freqüência. A capacidade do conversor delta para fornecer um fator de potência normalizado e um baixo

nível de harmônicas em quase todas as condições operacionais oferece uma vantagem significativa para

a operação com geradores. Praticamente todos os geradores são vulneráveis a um modo de falha muito

grave, a auto-excitação, ao funcionar com uma carga com um fator de potência adiantado. A auto-excitação

produz a perda da capacidade de controle da tensão de saída do gerador. As cargas dos centros de dados

modernos com freqüência apresentam um leve fator de potência em adianto, e alguns sistemas No-Break

com dupla conversão funcionam com um importante fator de potência adiantado quando a carga é pouca.

A integração destes sistemas com os geradores deve ser realizada com extremo cuidado para evitar a

auto-excitação e a queda da carga crítica. Os sistemas que utilizam produtos com conversão delta não

precisam se preocupar com este problema em particular.

O inversor conta com um regime de potência em kW e deve ser superdimensionado para administrar a carga real.

Os especialistas em design estabelecem as capacidades de potência real (kW), reativa (kVAR) e aparente

(kVA) de ambos os tipos de No-Break. Tanto os sistemas No-Break com dupla conversão como os de

conversão delta on-line podem ser desenhados com um regime de potência aparente superior ou igual ao

regime de potência real. Um design com regime de potência em kVA superior ao regime de potência em

kW com freqüência inclui uma fonte de potência reativa. O funcionamento de geradores com equipamentos

com fontes de potência reativa pode ser traduzido em auto-excitação e perda de controle da tensão. A APC

desenhou o sistema Symmetra MW com igual regime de potência real e reativa, mas foi uma escolha, não

uma necessidade relacionada com a conversão delta on-line.

A pretensa eficiência da conversão delta on-line não é tal; a dupla conversão é mais eficiente com carga real.


28

Esta é uma afirmação referida aos fatos e pode ser provada ou desmentida por meio de provas simples. O

fato de a conversão delta apenas submeter parte do fluxo de energia a conversão mediante transistores de

potência de silício, enquanto que, na dupla conversão, todo o fluxo de energia se transforma duas vezes,

sugere que a topologia de conversão delta é intrinsecamente mais eficiente. Com certeza, as pretensões

de eficiência da APC e seus concorrentes apóiam o maior nível de eficiência da conversão delta on-line.

A conversão delta on-line não oferece suporte a cargas não lineares; provocam muita distorção na forma de onda da tensão de saída.

Os dois designs utilizam transistores de potência de silício para sintetizar uma forma de onda senoidal

quase pura. Os transistores de potência de ambos os designs têm um regime que lhes permite funcionar

em forma continuada utilizando a máxima potência nominal. Qualquer diferença na resposta a uma carga

não linear por parte de qualquer um dos dois inversores surge do design dos circuitos que medem a saída

e controlam os transistores. Nenhum dos dois designs é fundamentalmente mais ou menos suscetível à

distorção da tensão.


29

Apêndice B: Falhas da carga e falhas de coordenação Há uma quantidade de possíveis modos de falha que poderiam ter sido incluídos na árvore de falhas,

porém não foram. Ao analisar outros sistemas No-Break grandes, em especial os que utilizam módulos

trifásicos operados em paralelo, consideramos as possibilidades de que as falhas da carga ou dos

componentes dentro de um módulo provocassem a falha do sistema. Em geral, isto deriva de uma má

coordenação entre fusíveis e disjuntores, de modo que o curto-circuito em um módulo provoca que os

disjuntores ou fusíveis de vários módulos e, em ocasiões, os do bypass estático se abram. Ao examinar o

sistema Symmetra MW descobrimos que os engenheiros tinham tomado medidas específicas que faziam

com que estes modos de falha não fossem possíveis; a maioria deles requerem que se produzam várias

falhas simultâneas, em vez de uma cascata em que uma falha causa a seguinte.

A coordenação entre fusíveis e disjuntores constitui um desafio técnico para os sistemas No-Break em

geral e os grandes em particular. Pode resultar difícil e inclusive impossível garantir uma adequada

coordenação entre os dispositivos de proteção quando se trabalha com poucos módulos grandes em

paralelo. Ao falar de coordenação nos referimos ao fato de que o dispositivo mais próximo à falha funcione

primeiro, e os dispositivos upstream sejam ativados apenas se o primeiro dispositivo não consegue

liberar a falha.

Muitos designs de No-Break grandes consistem em vários produtos No-Break completos que funcionam

em paralelo. Nas suas origens, estas máquinas eram frequentemente pensadas para funcionar em

paralelo. Cada No-Break conta com seus próprios disjuntores de entrada e de saída, fusíveis internos e

outros dispositivos de proteção. O requisito adicional para o funcionamento em paralelo, em especial no

que diz respeito à coordenação de dispositivos de proteção, pode entrar em conflito com os requisitos de

um sistema No-Break autônomo.

O design de Symmetra MW reduz a probabilidade de falhas de coordenação de duas maneiras diferentes.

Em primeiro lugar, os designers consideraram fluxos de corrente de falha e os efeitos correspondentes

em cada porção do sistema, entre elas entrada, saída, módulo de potência, bus de CC, filtro de CA e

circuitos de bypass externo. Adotaram uma estratégia de uso de fusíveis de alta velocidade esperando que

eles funcionem só durante curtos-circuitos com grandes correntes de falha. Cada fusível conduzirá várias

vezes sua corrente operacional normal de maneira indefinida. Ao utilizar os fusíveis deste modo, se produz

um muito baixo nível de perda térmica; portanto, o desgaste dos fusíveis a longo prazo por causa da

temperatura seria insignificante. O fato de considerar os detalhes do funcionamento em paralelo durante a

etapa de design eliminou muitos modos de falhas possíveis.

O segundo aspecto do design de Symmetra MW que reduz a probabilidade de falhas de coordenação e

dos fusíveis é o tamanho relativamente pequeno do módulo de potência. Um sistema de 1 MW (cinco


30

trechos de 200 kW cada um) que sofre uma falha em um módulo de 67 kW contará com 4 módulos que

fornecerão energia ao módulo com anomalias. O fusível do módulo que falhou conduzirá quatro vezes

mais corrente que os módulos em condições operacionais e funcionará primeiro. Pelo contrário, um

sistema de 1 MW composto por dois módulos de 500 kW terá a mesma quantidade de corrente no fusível

do módulo avariado e no do módulo que continua funcionando. Existe uma clara possibilidade de que o

fusível do módulo em condições operacionais se libere antes que o do módulo avariado. Ainda se o fusível

do módulo avariado se abrisse primeiro, o fusível do módulo em condições operacionais pode se

degradar e ficar exposto a um falso funcionamento no futuro, como resultado de ter conduzido a corrente de

falha. Também é muito mais difícil para o sistema de controle identificar corretamente o módulo que

falhou. Muitos designs de No-Break em paralelo devem realizar uma transferência ao modo de bypass em

cada falha de módulos e depender das grandes correntes de falha da rede pública local para o

funcionamento dos dispositivos de proteção.

Apêndice C: Modelos de árvore de falhas

SYM-800KW

SIST.

BYP.

BYP. ATIV. E SERVIÇO ELÉTRICO

EMPRESA DE SERV. ELÉTRICO

SW. ESTÁT. BYPASS ATIV.

PPAL. 800KW E BYP.

BYP. DESATIV. – SERV. ELÉTRICO


SW. BYP. ESTÁT. DESATIV.

CIRC. PPAL. 800KW

BUS ENTR. BUS SAÍDA Q4 REP. PLAN-800KW REP. IMPR.-800KW FALHA POR CAUSA COMUM SYM-MW

circuito ppal. (carga de 800 kW)

Falham bypass e

Carga de 800 kW em

Symmetra MW

Falha o circuito ppal. (carga de 800 kW)

Falha do circuito ppal. /bypass

Falha bypass ativ. e falha o serv. elétrico

Falha Sw. estát. de bypass desativ. ou falha serv. elétrico

Falha Sw. estát. de bypass ativ.

Falha Sw. byp. estát. desativ.

Falha o sistema de baterias

Falha o serviço elétrico público


Carga de 800 kW em Symmetra MW


32


SW. ESTÁT. BYPASS DESATIV.

SYM-MW

SIST.

BYP. PRINCIP

BYP. ATIV. E SERV. ELÉTRICO


SW. ESTÁT. BYPASS ATIV.

PPAL. MW e BYP.

BYPASS DESATIV. – SERV. ELÉTRICO

CIRC. PPAL. MW

BUS ENTR. BUS SAÍDA Q4 REP. PLAN MW REP. IMPREV. MW FALHA POR CAUSA COMUM SYM-MW

Falham bypass e circuito

ppal. (carga de 1 MW)

Falha do circuito ppal. /bypass

Falha bypass ativ. e falha o serv. elétrico

Falha Sw. estát. de bypass desativ. ou falha serv. elétrico

Symmetra MW (carga de 1 MW)

Falha o circuito

ppal. (carga de 1 MW)

Falha Sw. estát. de bypass ativ.

Falha Sw. estát. de bypass

desativ.

Falha sist. de baterias



Carga de 1 MW em Symmetra MW

análise de confiabilidade do sistema de energia symmetra ... · probabilística de riscos (pra)...

Documents