SNPTEE

SEMINÁRIO NACIONAL
DE PRODUÇÃO E GTL - 02
TRANSMISSÃO DE 16 a 21 Outubro de 2005
ENERGIA ELÉTRICA Curitiba - Paraná

GRUPO XVI
GRUPO DE ESTUDO DE SISTEMAS DE INFORMAÇÃO E TELECOMUNICAÇÃO PARA SISTEMAS
ELÉTRICOS - GTL

MELHORANDO O DESEMPENHO DA PROTEÇÃO EM SISTEMAS DE POTÊNCIA

JUSSARA A. P. AGUIAR S. WARDT T. DAHLIN W. HIGINBOTHAM

NANSEN S.A. RFL ELECTRONICS INC

RESUMO
O desempenho é sempre uma preocupação nos sistemas de proteção. O impacto no sistema de potência, se um
dispositivo de proteção não estiver funcionando quando necessário, será muito menos severo se existir um
dispositivo redundante que assuma a função. Se os dois dispositivos redundantes tiverem mesmo desempenho,
não haverá degradação na operação do sistema de potência, e um dispositivo inoperante somente necessita ser
reparado ou substituído.
O método preferido para atender aos requisitos de desempenho tem sido o uso de dispositivos de proteção
redundantes e fisicamente separados. Entretanto, canais independentes não são sempre justificáveis
economicamente, devido ao alto custo de um segundo enlace de comunicação.
Este trabalho examina os requisitos de redundância para teleproteção e apresenta uma nova idéia. O trabalho
explica como um único dispositivo com módulos redundantes pode atingir uma redundância igual ou maior que
aquela com dispositivos fisicamente separados. O trabalho também apresenta um meio prático e econômico de
realizar canais de comunicação redundantes.

PALAVRAS CHAVE
Proteção, Redundância, Desempenho, Segurança, Confiabilidade

1.0 - INTRODUÇÃO
O desempenho é um produto de dois fatores: segurança e confiabilidade. Para um sistema de proteção, a
confiabilidade é definida como a capacidade de enviar comando para uma falha dentro da sua zona de proteção,
enquanto a segurança é a capacidade de não enviar comando quando não houver falha dentro de sua zona de
proteção.
Apesar de não ser de uso prático, é interessante ilustrar os conceitos observando os dois extremos; 100% de
confiabilidade e 100% de segurança. 100% de confiabilidade seria atingido por um sistema de proteção que
estivesse permanentemente no estado de trip, não havendo possibilidade de existir uma falha que não fosse
detectada. 100% de segurança seria atingido desabilitando totalmente o sistema de proteção de modo que ele não
pudesse dar trip. Pode-se então concluir que, apesar de serem desejadas alta confiabilidade e segurança, as duas
terão que ser menores que 100%. Geralmente, um aumento na confiabilidade diminui a segurança e vice-versa.
Entretanto, as medidas para aumentar a confiabilidade podem não penalizar a segurança na mesma proporção, e
o objetivo do projeto de um sistema de proteção é achar a combinação ótima dos dois fatores, para prover o
desempenho adequado do sistema de proteção.
A redundância é definida como “a existência de mais de um meio para execução de uma dada função” [1]. É obvio
que a confiabilidade de um sistema de proteção pode ser aumentada com a adição de redundância, pois se um
sistema não der trip para uma falha interna, o sistema redundante pode atuar. Por outro lado, a segurança
normalmente diminui com a redundância, pois existem dispositivos adicionais que podem não dar trip quando
solicitados. Entretanto, a redundância não influencia a confiabilidade e a segurança com o mesmo grau.
Para ilustrar como a redundância influencia a confiabilidade e a segurança, tomamos dados de uma norma de
teleproteção, a IEC 60834-1 (1999) [3]. Ela não somente especifica os requisitos de confiabilidade e segurança
como também especifica como eles devem ser determinados através de testes. A segurança da teleproteção é
medida como o número de falsos trips para um dado número de “surtos de ruído” ou erros de bit no canal de
comunicação. A confiabilidade é medida como o número de comandos perdidos para um dado número de “surtos
 2

de ruído” ou erros de bit no canal de comunicação. Apesar de não poderem ser expressas em algo relevante para
um relé único, elas podem ser usadas para ilustrar a influência da redundância na confiabilidade e na segurança.
Nas discussões abaixo, “redundante” refere-se a sistemas ou componentes completamente independentes. A taxa
de falhas para cada sistema ou componente é independente da taxa de falhas do sistema redundante. Uma falha
em um dispositivo não influencia o outro e as falhas não são geradas por uma causa comum.
Para nossas considerações de redundância, são usados os requisitos dados para um sistema de teleproteção de
transfer trip direto:
• Segurança de 99.9999% (probabilidade de falso trip de 10-6 ou 1/1.000.000)
• Confiabilidade de 99.99% (probabilidade de perda de trip de 10-4 ou 1/10.000)

2.0 - SEGURANÇA E CONFIABILIDADE NUM SISTEMA REDUNDANTE

Se adicionarmos um sistema redundante, e os sistemas forem iguais e independentes, a probabilidade de um trip
falso será a soma das probabilidades de cada sistema:
• Probabilidade de trip falso para um sistema redundante = 2/1.000.000 (segurança: 99.9998%)

FIGURA 1. Probabilidade de falso trip em um sistema redundante

A segurança é reduzida de 99.9999% para 99.9998% com a redundância, o que não é uma alteração significativa.
A probabilidade de uma perda de trip, entretanto, será muito reduzida, resultando em grande aumento da
confiabilidade. Se os sistemas forem iguais e independentes, ambos precisam falhar ao mesmo tempo para
ocorrer uma perda de trip. Portanto, a probabilidade resultante é o produto das probabilidades individuais.
• Probabilidade de perda de trip para um sistema redundante = 1/10.000 x 1/10.000 = 1/100.000.000
(confiabilidade: 99.999999%)

FIGURA 2. Probabilidade de perda de trip em um sistema redundante

Conseqüentemente, a confiabilidade aumenta da 99.99% para 99.999999%.

O exemplo acima explica porque a redundância é importante para o desempenho do sistema de proteção.
Adicionando um segundo sistema redundante, a probabilidade de falso trip aumenta por um fator de 2, mas a
probabilidade de perda de trip diminui por um fator de 10.000.

3.0 - DESEMPENHO DE UM SISTEMA DE PROTEÇÃO

A maioria das novas instalações são feitas com relés microprocessados multi-função. Comparados aos relés
eletromecânicos, estes dispositivos oferecem redundância funcional muito grande, mas freqüentemente uma
redundância de hardware reduzida. Um dispositivo multifuncional normalmente inclui um grande número de
funções de backup além do algoritmo principal de proteção. Apesar da probabilidade de falsos trips causados por
falhas de hardware não aumentar, a probabilidade devido a configuração incorreta ou aplicação indevida aumenta
com cada função utilizada.
O relé é somente um componente que precisa funcionar corretamente para o sistema operar como desejado.
Outros componentes são: disjuntores, transformadores de medição, sistema de alimentação, circuitos de controle,
dispositivos de teleproteção e canais de comunicação. Apesar de ser interessante examinar o desempenho de
todos esses componentes, este trabalho discutirá somente os aspectos dos relés e da teleproteção para o
desempenho do sistema.
Operações inadequadas dos relés e dispositivos de teleproteção podem ter várias causas: falha de hardware,
limitações das medições dos relés, defeitos em software, configuração incorreta ou aplicação inadequada,
problemas da fiação de controle

3.1 Falha de hardware

O uso de sistemas de proteção redundantes aumenta muito a confiabilidade quanto a falhas em equipamento.
Medidas simples como fontes de alimentação redundantes conectadas a sistemas de baterias independentes são
também úteis.
 3

3.2 Limitações das medições dos relés

A redundância não melhora a confiabilidade devido a limitações de medição dos relés, a menos que eles tenham
projetos diferentes, ou usem configurações diferentes, eliminando a possibilidade de limitações idênticas em
ambos os dispositivos. Este fato influenciou a prática de aplicar princípios de medição, e/ou projetos diferentes,
para os esquemas de proteção 1 e 2. Como é difícil projetar um esquema de proteção que cubra todas as
condições possíveis de falha, é comum aplicar dois esquemas complementares. Como a eliminação da falha
requer a operação correta de somente uma proteção principal, esta prática mostrou-se bem efetiva.

3.3 Defeitos em software

Embora defeitos em software nos dispositivos de proteção sejam raros, se comparados a outros equipamentos de
computação, eles podem ainda ocorrer. Com a complexidade dos dispositivos, existe um número infinito de
combinações de configurações que devem ser testadas. Parece inevitável que alguns defeitos não sejam
detectados até que o dispositivo seja colocado em serviço. Infelizmente, a redundância somente torna a situação
pior. Os dispositivos e/ou funções redundantes podem melhorar a confiabilidade, mas o mais notável é a perda na
segurança. Cada dispositivo ou função adicionada ao esquema aumentará a probabilidade de trips falsos.

3.4 Configurações incorretas ou aplicação inadequada

Configurações incorretas e aplicação inadequada afetam tanto a confiabilidade quanto a segurança. Um

dispositivo ou função redundante aumenta a confiabilidade e diminui a segurança. O grande numero de funções
adicionais existentes em dispositivos multifuncionais pode ter um impacto negativo maior na segurança do que
uma melhoria marginal na confiabilidade. Muitas dessas funções são de backup e raramente operam, mas uma
configuração incorreta pode causar um trip falso. Além disso, o grande número de funções a serem configuradas e
testadas pela engenharia aumenta a possibilidade de erro humano.

3.5 Problemas na fiação de controle

Os problemas na fiação podem ser divididos em várias categorias diferentes: bateria, transformador de medição,
disjuntor e circuitos de comunicação. Algumas delas podem ser redundantes, enquanto para outras isto pode ser
muito caro. Por exemplo, um disjuntor pode ser equipado com dois enrolamentos de trip redundantes mas o
disjuntor em si não é duplicado. Um segundo canal de comunicação aumenta sensivelmente a confiabilidade mas
pode ser de difícil implementação.

4.0 - REDUNDÂNCIA NO SISTEMA DE PROTEÇÃO

A filosofia mais comum de proteção é usar dois sistemas separados (primário e backup). A redundância é também
aplicada em outras partes críticas do sistema quando economicamente viável:
• Enrolamentos de trip duais são comumente usados, seja com as duas proteções operando em
enrolamentos separados ou conectados de modo que ambos os relés disparem os dois
enrolamentos.
• Sistemas de bateria da estação redundantes são comuns mas poucos relés são fornecidos com
fontes redundantes, de modo que uma falha em um sistema pode retirar de serviço uma das
proteções.
• Núcleos de transformadores de medição separados são usados, dependendo da disponibilidade.
• Canais de comunicação redundantes podem ser usados quando disponíveis. O uso de um canal
comum para dois esquemas de relés redundantes é também utilizado. Menos comum é o uso de dois
canais para um esquema de proteção.
• Proteção de backup, tal como proteção de falha de disjuntor, é usualmente um dispositivo separado,
mas vem sendo incluído no esquema principal de proteção ou em ambos os esquemas.
• Um canal de comunicação para a proteção principal é usado para duas finalidades: trip direto e
comandos de controle, que antes usavam canal separado. Esta diminuição na redundância é
normalmente compensada com a adição de um segundo enlace de comunicação.

4.1 Projeto do hardware do relé microprocessado

A Figura 3 mostra um diagrama em blocos de um relé microprocessado multifuncional típico. Dependendo do

projeto, esses blocos podem ser combinados em uma única placa física ou podem ser um único módulo ou placa
cada. Tipicamente, este tipo de dispositivo não possui muita redundância de hardware, com exceção das fontes
de alimentação redundantes e das interfaces de comunicação redundantes.
Todos esses blocos precisam estar funcionais todo o tempo para a operação adequada do relé.
Conseqüentemente, a taxa de falhas total é a soma das taxas de falha de cada bloco.
 4

As taxas de falha abaixo são baseadas em número de componentes. Isto é uma avaliação teórica para o bloco,
somando as taxas de falha de cada componente existente. Este cálculo por número de componentes é uma figura
pessimista, pois não leva em consideração a qualidade do projeto ou as falhas de componentes detectadas antes
do embarque, durante os testes na produção. Entretanto, para comparação, não é de muita importância se o valor
real é menor, pois assume-se que a relação entre os blocos permanece a mesma.

FIGURA 3. Blocos do relé microprocessado

Os números de componentes da abaixo são baseados no cálculo do MTBF (Tempo Médio Entre Falhas) usando o
Método 5 da Bellcore. O MTBF pode ser convertido para taxa de falhas usando a fórmula:

Taxa de falhas = Número de falhas por ano ≈ 1 / MTBF (em anos)

Unidade Taxa de falhas baseada no No. de componentes

Fonte de alimentação 0.008
Unidade de entrada 0.005
Unidade de saída 0.005
Processador principal 0.011
Processador da IMH 0.006
Transformadores de entrada e conversão A/D 0.010
Taxa de falhas total 0.045

Apesar da taxa de falhas não ser idêntica à perda de confiabilidade (nem todas as falhas causarão
necessariamente uma perda de trip), pode-se assumir que a maioria delas resultará no relé ficar inoperante. Para
simplificar, a discussão a seguir assume que a taxa de falhas é igual à perda de confiabilidade, e cada falha
resultará numa perda de trip.
Quando se adiciona um segundo sistema redundante independente, a probabilidade resultante de perda de trip do
sistema combinado é o produto da taxas de falha dos sistema individuais:

Taxa de falhas do sistema redundante = 0.045 x 0.045 = 0.002

Voltando a expressar a taxa de falhas em MTBF, pode-se ver que o MTBF do sistema com redundância é de 500
anos, comparado a 22 anos para o sistema simples.

5.0 - UMA NOVA VISÃO DA REDUNDÂNCIA

A redundância de um sistema de proteção é convencionalmente feita adicionando outro sistema de relés
redundante. Num campo conexo, a industria de telecomunicações, os requisitos de redundância são atingidos não
com blocos fisicamente separados, mas com módulos funcionais redundantes dentro do mesmo sistema.
Claramente, esta tendência é dirigida por restrições de custo, sendo mais barato adicionar um módulo do que um
sistema inteiro.
Foi determinado acima que a taxa de falhas para um sistema baseado em dois relés redundantes separados era
de 0.002 falhas por ano, ou um MTBF de 500 anos. Faremos a mesma avaliação para a nova configuração
redundante:
Este sistema é constituído de módulos redundantes em cada nível. Cada bloco de proteção tem acesso a duas
fontes de alimentação redundantes, entradas redundantes, saídas redundantes e processadores da IMH
redundantes. Como esses módulos são compartilhados com o blocos de proteção redundantes, a solução é
eficiente em custo e provê um grau muito alto de confiabilidade para falhas de hardware.
Pode-se estimar a taxa de falhas para este sistema.
A estimativa da taxa de falhas foi feita usando a “Árvore de Falhas” [4]. Um circuito AND representa a
probabilidade de ambos os módulos falharem ao mesmo tempo para haver falha na saída. Um circuito OR
 5

representa a probabilidade de que, se qualquer módulo conectado a ele falhar, a saída irá falhar. A taxa de falhas
para um circuito AND é o produto das entradas, e a taxa de falhas para um circuito OR é a soma das entradas.

FIGURA 4. Novo sistema de proteção redundante

FIGURA 5. Taxa de falhas para o novo sistema redundante

Todos os módulos redundantes do sistema são conectados através de ANDs e as saídas destes são combinadas
num OR. Os módulos de proteção redundantes compreendem o circuito do transformador de entrada e o módulo
microprocessador. Estes dois módulos são então combinados num OR antes de entrar no AND da proteção.
A taxa de falhas resultante do novo sistema redundante é 0.0006, ou um MTBF de 1667 anos, o que é
significativamente maior do que aquele de um sistema redundante convencional.
As taxas de falha para os três sistemas são mostradas na tabela abaixo.
Sistema Taxa de falhas (por ano) MTBF (anos)
Simples 0.045 22
Redundante convencional 0.002 500
Redundante novo 0.0006 1667

Um leitor atento pode argumentar que existem partes no “novo sistema” que não foram levadas em consideração
para a taxa de falhas: o chassis e a placa traseira (neste caso uma placa intermediária). Isto é verdade, mas o
motivo é que a taxa de falhas para estes dispositivos passivos é desprezível. O chassis é uma estrutura metálica
sem qualquer componente. A placa intermediária, por outro lado, tem conectores que podem falhar. Esta taxa foi
adicionada ao módulo que usa o conector e, portanto, foi levada em consideração para a taxa total.

6.0 - COMPARAÇÃO ENTRE SISTEMAS

Para avaliar os sistemas de proteção redundantes, incluindo canais de comunicação redundantes, vamos reutilizar
as taxas de falha usadas nos exemplos acima. Considerando que muitos relés atualmente possuem interfaces de
comunicação embutidas, será adicionada somente a taxa de falhas desta interface à taxa de falhas total. Uma
taxa de falhas típica para uma interface de comunicação a fibra óptica é de 0.024. A taxa de falhas para a fibra é
 6

ignorada no cálculo pois este componente é externo aos dispositivos do sistema de proteção e será igual para as
diferentes configurações de redundância apresentadas.
6.1 Relé único, canal único

A taxa de falhas para um esquema de proteção constituído de um relé e um canal de comunicação é a soma das
taxas de falha do relé e da interface de comunicação, como mostrado na tabela abaixo. Para a proteção de uma
linha, os equipamentos em ambas as pontas devem estar operacionais, o que é mostrado na coluna 3 da tabela.

Sistema Taxa de falhas p/ terminal Taxa de falhas p/ proteção MTBF

(por ano) (dois terminais) (anos)
Relé 0.045 0.090 11
Interface de comunicação 0.024 0.048 21
Relé e interface de comunicação 0.069 0.138 7

6.2 Relés redundantes, canais redundantes

Adicionando-se um canal redundante a relés redundantes resultará um alto grau de melhoria, se comparado a um
único relé com um canal. Para um sistema convencional de relés, a redundância é atingida adicionando um relé
completo e um canal de comunicação. No exemplo usado, cada relé tem uma interface de fibra direta e necessita
dois pares de fibra para comunicação entre as pontas.

Taxa de falhas do sistema redundante = 0.138 x 0.138 = 0.019

6.3 Novo sistema redundante com comunicação

O novo sistema redundante apresentado anteriormente também pode incorporar interfaces de comunicação.
Pode-se usar o mesmo princípio de redundância tornando cada módulo de comunicação disponível para ambos
os módulos de proteção.

FIGURA 6. Árvore de falhas para o novo sistema redundante com comunicação redundante

O resumo dos resultados é o seguinte:

Sistema Taxa de falhas p/ proteção de linha (dois terminais) MTBF (anos)
Relé único canal único 0.138 7
Relé redundante canal redundante 0.019 53
Novo sistema redundante 2 x 0.001 = 0.002 500
Pode-se observar que o novo sistema aumenta o MTBF por um fator de 10, se comparado ao sistema redundante
convencional.
 7

7.0 - CANAIS DE COMUNICAÇÃO REDUNDANTES

Foi mostrado anteriormente que um canal redundante reduz drasticamente a taxa de falhas total do sistema.
Entretanto, uma fibra dedicada para um canal de comunicação pode ser difícil de se justificar economicamente. A
fibra tem uma largura de banda capaz de transportar muito mais dados. Uma fibra monomodo usada para
proteção a 64 ou 19.2 kb/s pode transportar 9953.28 Mb/s (SONET OC-192) se multiplexada. Além disso, os
engenheiros de proteção preferem um enlace de comunicação dedicado, seja por fibra ou por outro meio. Serão
apresentados exemplos de como um canal redundante pode ser feito sem requerer um par adicional de fibras.

7.1 Aplicações com linhas de circuito duplo

Caso existir uma fibra dedicada para cada proteção de linha primária, um canal redundante para o esquema
secundário pode ser realizado usando o novo Sistema de Proteção e Comunicação com funcionalidade “pass-
through”.

FIGURA 7. Canais redundantes em um único par de fibras numa linha de circuito duplo

A proteção da linha A-B se comunica de modo convencional entre o terminal A e o terminal B. Além disso, o relé
em A passa informação através de outra porta de comunicação para o terminal C na mesma subestação. O relé C
não usa estes dados, somente embute a informação no feixe de dados que envia para o terminal D. Isto provê
uma operação “pass-through”. Quando os dados são recebidos no terminal D, o relé D os envia para o terminal B.
Conseqüentemente, a proteção da linha A-B tem dois caminhos alternativos para comunicação entre relés;
diretamente entre A e B e através de C e D para B.
A multiplexação é transparente para os relés. Para todos os fins práticos, os relés ainda têm uma conexão direta
ponto a ponto. A função “pass-through” transporta os dados de entrada de uma interface de comunicação
diretamente para outro canal em outra interface de comunicação. Como não há processamento dos dados, o
“pass-through” é feito sem retardo significativo (< 250 μs). A comunicação permanece síncrona durante o processo
e pode ser usada com a maioria dos canais de relé diferencial, canais de teleproteção e proteção de distância.

7.2 Aplicações em linhas de três terminais

O novo sistema de relés pode prover também percursos redundantes de comunicação em linhas de três terminais.
Se já existir um par de fibras entre cada terminal, isto é realizado sem qualquer interface de comunicação
adicional. A função “pass-through” usa as mesmas entradas de comunicação do percurso direto. Do mesmo modo
que na aplicação de circuito duplo, os dados de A para B são enviados também no canal redundante de A para C
para B.

FIGURA 8. Linha de três terminais

7.3 Instalações de fibra dedicada existentes

Além de usar as funções embutidas de releamento, os enlaces de fibra dedicados podem ser roteados através do
novo Sistema de Proteção e Comunicação usando qualquer dos canais de 64 kb/s disponíveis. Estes canais
 8

podem ser usados para transfer trip ou comunicação de alta velocidade para proteção diferencial de corrente ou
de distância.

FIGURA 9. Otimizando a instalação existente

Não são necessárias mudanças no esquema existente. Uma proteção com comunicação RS-232 de baixa
velocidade ou relés diferenciais de corrente usando 64 kb/s em fibra ainda podem usar a funcionalidade de uma
conexão dedicada ponto a ponto.

8.0 - VISÃO GERAL DO SISTEMA

O novo sistema de proteção e comunicação é um dispositivo constituído de módulos funcionais independentes. Os
dispositivos de proteção, tais como proteção de distância, proteção diferencial de corrente e teleproteção são
aplicados com redundância selecionada. Estes dispositivos compartilham módulos comuns, tais como a fonte de
alimentação, o processador principal, placas de entrada/saída e interfaces de comunicação. Todos os módulos
comuns podem ser aplicados com redundância e, como mostrado anteriormente, a redundância total resultante é
maior que aquela conseguida com dois sistemas redundantes completamente separados.
O novo sistema é totalmente modular e os módulos funcionais podem ser adicionados sempre que necessário. As
placas de entrada e saída e os módulos de interface de comunicação podem ser selecionados para se adequarem
à aplicação e ao grau de redundância desejado.
Os problemas de manutenção não foram esquecidos no projeto do novo sistema. Novamente, tomando
emprestadas soluções da indústria de telecomunicações, todos os módulos podem ser trocados com o
equipamento energizado. Isto significa que um sistema de proteção pode ser colocado fora de serviço para teste
sem afetar o segundo sistema, que continuará a proteger a linha.
Este trabalho teve como foco as aplicações em comunicação sobre fibra óptica. Entretanto, o sistema pode usar
qualquer meio de comunicação disponível. Canais convencionais de voz ou Equipamentos de Ondas Portadoras
podem ser usados em combinação com meios digitais, operando em paralelo ou em rotas de backup.

9.0 - CONCLUSÕES
• O desempenho é uma medida de como um sistema de proteção irá operar, sendo uma combinação de
segurança e confiabilidade. A adição de redundância aumenta muito a confiabilidade.
• Apesar dos exemplos de cálculos de redundância neste trabalho serem baseados num número
conservativo de componentes, eles ainda são úteis para ilustrar a diferença relativa entre as
configurações de redundância. Os exemplos mostram como um alto grau de redundância é atingido
usando o novo sistema apresentado.
• O novo sistema redundante melhora as taxas de falha por um fator de 10, se comparado com um
sistema de proteção e comunicação redundante convencional.
• Canais redundantes podem ser implementados em um único par de fibras sem perder as
características funcionais ponto a ponto do canal de comunicação para proteção.
• O novo Sistema de Proteção e Comunicação satisfaz os requisitos de redundância de modo eficiente
em termos de custo, fornecendo um método econômico e simples de melhorar o desempenho do
sistema de proteção.

10.0 REFERÊNCIAS

[1] IEEE Standard Dictionary of Electrical and Electronics Terms, IEEE Std 100-1996
[2] Transmission Protective Relay System Performance Measuring Methodology IEEE/PSRC Working
Group 13, 9/16/1999
[3] IEC 60834-1, 1999-10. Teleprotection equipment of power systems - Performance and testing
[4] Reliability Analysis of Transmission Protection Using Fault Tree Methods, E. O. Schweitzer III et. Al.
www.selinc.com
Improve Your Protection Quality by Mining Historical Microprocessor Relay Data, Lawrence C. Gross, Jr.,
Scott L. Hayes, 28th Annual Western Protective Relay Conference, 2001.
Protective Relaying Theory and Applications, Second Edition, Walter A. Elmore, 2004