Reloj GNSS de subestación: holdover, redundancia y riesgos

Respuesta corta

El reloj de una subestación toma la hora de los satélites GNSS. Cuando pierde la señal entra en retención (holdover): sigue entregando tiempo con su oscilador interno, que deriva poco a poco. Cuánto aguanta depende del oscilador y de la exactitud que exijan las aplicaciones. Para no depender de un solo receptor se usan dos relojes, selección automática del mejor maestro en PTP, antenas protegidas y alarmas que lleguen al SCADA.

Por qué importa el reloj

Todos los equipos de una subestación necesitan la misma hora. Para ordenar eventos basta una exactitud del orden de un milisegundo; para valores muestreados, sincrofasores y localización de fallas por onda viajera se necesita del orden de un microsegundo. La sincronización de tiempo en subestaciones explica las clases de exactitud y los métodos de distribución (IRIG-B, SNTP y PTP).

La referencia casi siempre es un reloj con receptor GNSS (GPS y otras constelaciones) y su antena en el techo de la casa de control. Esa dependencia de una señal de radio muy débil, que llega desde el espacio, es el punto débil del sistema.

Holdover: lo que pasa cuando se pierden los satélites

Si la antena se daña, el cable se corta, una obra tapa el cielo o hay interferencia, el reloj deja de recibir la señal. No se apaga: entra en retención (holdover) y sigue entregando tiempo con su oscilador interno, que fue disciplinado por el GNSS mientras había señal.

A partir de ese momento el oscilador deriva. Cuánto deriva depende de su tecnología: un cuarzo básico deriva más rápido que un cuarzo compensado en horno (OCXO), y este más que un oscilador de rubidio. La hoja de datos del reloj expresa ese desempeño como el error acumulado al cabo de un tiempo dado sin señal.

Lo que define si la retención es aceptable es la aplicación más exigente:

Registro de eventos: tolera una deriva de milisegundos, que un buen oscilador tarda mucho en acumular.
Valores muestreados y sincrofasores: necesitan microsegundos. Con un oscilador modesto, ese margen se agota en mucho menos tiempo.

Estados del reloj al perder la señal GNSS

01SincronizadoEl oscilador sigue al GNSS y el error es mínimo
02Retención dentro de especificaciónSin satélites, el oscilador mantiene la exactitud declarada
03Retención fuera de especificaciónLa deriva acumulada supera lo que exigen las aplicaciones
04Equipos sincronizadosMarcan el tiempo como no confiable y las funciones que comparan muestras se bloquean

En PTP, el reloj maestro avisa su estado cambiando su clase de reloj. Según el perfil de potencia IEC/IEEE 61850-9-3, un maestro sincronizado anuncia la clase 6; en retención dentro de especificación pasa a 7, y al salir de ella pasa a una clase degradada. Los IED y las unidades de fusión lo ven y actúan según su configuración.

Relojes redundantes y selección del mejor maestro

Un solo reloj es un punto único de falla. En subestaciones de alta y extra alta tensión, y en toda subestación digital, se instalan dos relojes con antenas independientes.

Con PTP, los dos relojes anuncian su calidad y la red aplica el algoritmo de selección del mejor maestro (BMCA, best master clock algorithm) de IEEE 1588. Si el principal pierde los satélites y su clase empeora, los equipos pasan a seguir al otro sin intervención manual.
Con IRIG-B, la redundancia exige conmutación física de la salida o equipos con dos entradas de tiempo, porque cada relé suele tener una sola entrada.
Con PRP, el reloj puede conectarse a las dos LAN, de modo que la falla de una red no interrumpe el tiempo.

Dos relojes con la antena en el mismo mástil y el mismo cable comparten la falla. La redundancia real pide antenas separadas y, si es posible, receptores que usen varias constelaciones.

Interferencia y suplantación

La señal GNSS llega muy débil, por debajo del ruido. Eso la expone a dos amenazas:

Interferencia (jamming): una señal de radio más fuerte en la misma banda impide recibir los satélites. Puede ser intencional o accidental. El efecto es el mismo que perder la antena: el reloj entra en retención.
Suplantación (spoofing): un transmisor imita las señales de los satélites para que el receptor calcule una hora falsa. Es más peligrosa, porque el reloj puede seguir reportándose sincronizado.

La guía de buenas prácticas del Departamento de Seguridad Nacional de los Estados Unidos (DHS) para fuentes de tiempo en instalaciones fijas, publicada hoy por CISA, recomienda, en términos generales, proteger la ubicación y el cableado de la antena, contar con una fuente de respaldo con retención suficiente para las interrupciones esperadas, supervisar las alarmas del receptor y registrar cada interrupción. Algunos relojes de subestación incluyen además detección de saltos de tiempo o de posición y comparación entre constelaciones.

Tiempo por la red de área amplia como respaldo

Cuando dos subestaciones están unidas por fibra, el tiempo puede distribuirse por la red de área amplia como referencia de respaldo. El informe técnico IEC TR 61850-90-12, guía de ingeniería de redes de área amplia, incluye la sincronización de relojes entre los temas de diseño de esas redes. El punto delicado es la asimetría del camino: si el retardo de ida y el de vuelta no son iguales, el error se traslada al tiempo recibido.

Qué alarmas llevar al SCADA

Un reloj en retención puede pasar días sin que nadie lo note si la alarma solo aparece en su panel. Lo mínimo que debe llegar al sistema SCADA y al centro de control:

Pérdida de señal GNSS y número de satélites bajo.
Entrada en retención y salida de especificación.
Cambio de clase de reloj del maestro PTP y cambio de maestro activo.
Falla del equipo o de su fuente.
Estado de sincronización reportado por los IED críticos.

Si el reloj ya perdió la sincronización y no está claro por qué, el diagnóstico está en pérdida de sincronización de tiempo PTP o IRIG-B.

Le ayudamos con la sincronización

En Tiza Group diseñamos y configuramos la sincronización de tiempo de subestaciones de alta y extra alta tensión y de plantas industriales: relojes redundantes, perfiles PTP, distribución IRIG-B, alarmas al SCADA y pruebas de retención. Conozca nuestro servicio de configuración de IEC 61850 o, si un relé no toma la hora correcta, la configuración remota de relés. Escríbanos.

Guías relacionadas

Referencias

IEC/IEEE 61850-9-3:2016, Precision time protocol profile for power utility automation.
IEEE C37.238-2017, Standard Profile for Use of IEEE 1588 Precision Time Protocol in Power System Applications.
IEEE 1588, Standard for a Precision Clock Synchronization Protocol for Networked Measurement and Control Systems.
IEC TR 61850-90-12:2020, Wide area network engineering guidelines.
U.S. Department of Homeland Security, Best Practices for Improved Robustness of Time and Frequency Sources in Fixed Locations, 2015 (publicado por CISA).

Preguntas frecuentes

¿Cuánto tiempo puede trabajar un reloj de subestación sin señal GNSS?

Depende del oscilador y de la exactitud que se necesite. Un oscilador de cuarzo básico mantiene la exactitud de milisegundos de los eventos durante mucho más tiempo que la de microsegundos que piden los valores muestreados o los sincrofasores. El dato se toma de la hoja de datos del reloj, que lo expresa como deriva en un periodo dado.

¿Qué es la suplantación (spoofing) GNSS y por qué afecta a una subestación?

Es la transmisión de señales falsas que imitan a los satélites para que el receptor calcule una hora o una posición equivocadas. El reloj seguiría reportándose sincronizado con una hora incorrecta, lo que afecta los sellos de tiempo, los sincrofasores y las protecciones que dependen de muestras sincronizadas.

¿Qué alarmas del reloj deben llegar al SCADA?

Como mínimo, la pérdida de señal GNSS, la entrada en retención, la salida de especificación de la retención y la falla del equipo. En PTP, además, el cambio de clase de reloj del maestro. Una alarma que solo se ve en el panel del reloj puede pasar días sin que nadie la atienda.