GOOSE com PRP ou HSR: supervisione o disparo e o sinal recebido

1. Redundância é apenas uma fronteira

Ethernet saudável não comprova um disparo utilizável. PRP e HSR melhoram disponibilidade, mas o publicador pode perder dados válidos, o assinante rejeitar configuração ou a saída falhar. Especifique cada fronteira. O escopo IEC 62439-3:2021 descreve redundância sem interrupção, sem garantir sobrevivência a todo modo comum. Defina primeiro o comportamento na perda de comunicação. O guia de subestações digitais oferece contexto arquitetônico.

2. Defina sinais e independência

Identifique publicador, conjunto, bloco, revisão, endereçamento, VLAN, tratamento de qualidade e supervisão de cada sinal. Separe disparo direto, permissão, bloqueio e intertravamento: a perda tem efeitos distintos. Registre alimentação, fibras, switches e caixas de redundância compartilhados. Duas portas no mesmo switch não são redes independentes. IEC 61850-8-1 referencia o mapeamento; a página informa a emenda consolidada. Use texto adquirido e documentação de implementação para aceitação, sem inventar cláusulas a partir do resumo.

3. Orçamento temporal ilustrativo

Suponha 20 ms da transição de entrada do publicador à saída do assinante. Aloque 3 ms à publicação, 2 ms ao trânsito, 4 ms ao processamento e 3 ms à saída. A soma é 12 ms, restando 8 ms.

São alocações ilustrativas, não especificações medidas nem limites IEC. Reconvergência adicional de 30 ms excede o orçamento antes da retransmissão. Não modele PRP/HSR contínuo como comutação ordinária com recuperação; ensaie entrega no caminho restante. O tempo de interrupção pertence ao orçamento total de eliminação da falta separado.

4. Escolha topologia e resposta

PRP usa redes separadas; HSR usa caminhos redundantes na topologia. Nenhum corrige perda do IED fonte. SEL mostra interação desfavorável entre reconvergência e retransmissão. Isso exige provar tempos sob falha, não estabelecer atraso universal.

5. Escreva a matriz causa-efeito

Perder bloqueio pode reduzir segurança; mantê-lo indefinidamente pode reduzir confiabilidade de atuação. Perder permissão normalmente a retira, mas não deve desabilitar silenciosamente o respaldo local. Dados obsoletos de disparo direto não são comando novo salvo definição expressa da aplicação. Acorde a decisão com o responsável e demonstre no firmware real. Inclua reinício, incompatibilidade, teste/simulação e retorno. Alarmes precisam de responsável e mensagem acionável.

6. Ensaie falhas observáveis

Use ambiente isolado ou parada aprovada. Interrompa cada caminho e comprove disparo correto e ausência de disparo indevido. Repita com perda de alimentação do publicador, reinício do assinante, tráfego de fundo e configuração incompatível de teste. Registre entrada, estado transmitido, validade e saída numa base temporal comum rastreável. Exija arquivos, objetos de supervisão, configurações de switches e desenhos. Registre tratamento de duplicados quando disponível. Relacione a perda de comunicação à revisão de falha de disjuntor e interdisparo, incluindo independência do respaldo.

7. Perguntas práticas

Recuperação zero significa latência zero?

Não. Descreve redundância. Publicação, trânsito, processamento e saída ainda levam tempo.

Alarme PRP substitui supervisão GOOSE?

Não. Saúde do caminho e validade dos dados são questões diferentes; comprove ambas.

Perder GOOSE deve sempre disparar?

Não existe resposta universal. Papel do sinal, respaldo e política operacional determinam a ação.

8. Fontes primárias

• IEC 62439-3:2021
• IEC 61850-8-1
• SEL — Arc-Flash