Odolnost proti blackoutu – základní pilíř lidské bezpečnosti

Riziko je součástí života. Navíc je silně dynamickým faktorem, jak ukazuje například porovnání desáté edice zprávy World Economic Forum „Global Risk 2015“ s předchozími devíti. Z tohoto rozboru vyplývá, že nejenže se někdy pravděpodobnost a dopad jednotlivých hrozeb z roku na rok výrazně mění, ale dokonce se na čele nejvážnějších hrozeb mohou objevit nové, které nebyly v předcházejících zprávách doposud vůbec pojmenovány. Pokud podnikatelské subjekty a veřejné instituce tato rizika nebudou vnímat a nezahrnou je do svých strategií a koncepcí, může pro daný podnik, či v daném území, při ignoranci rizik vzniknout krizová situace. Krizová situace velkého rozsahu může pro podnikatele vyústit v zánik podniku, pro společnost může vyústit v humanitární katastrofu, občanské nepokoje, nebo i zánik státu.

Přístup z hlediska lidské bezpečnosti

Lidská bezpečnost zahrnuje jak svobodu od strachu, tak i svobodu od nedostatku. Převažující pojetí lidské bezpečnosti kombinuje bezpečnost jedinců (jejich fyzické bezpečí, ekonomický a sociální blahobyt, ochranu lidských práv) a tradiční pohled – bezpečnost státu. Zahrnuje celé spektrum přístupů pro prevenci a řešení násilných konfliktů, pro ochranu civilistů v případě konfliktu a pro posílení kapacity státu pro zajištění bezpečnosti vlastního obyvatelstva. Takto chápaná lidská bezpečnost posiluje legitimitu a stabilitu státu.(1)

Lidská bezpečnost vychází z faktu  odolnosti lidského organismu. Ta souvisí zejména s uspokojením základních fyziologických potřeb. K jejich uspokojení jsou nezbytné voda, potraviny a teplo. Zásobování těmito komoditami je ovšem závislé na energii. Nejen to - výjimečnou roli zde hraje jedna z forem energie, a tou je elektřina. S nadsázkou lze konstatovat, že v dnešním světě západní společnosti si můžeme dovolit skoro všechno, avšak bez elektřiny nemůžeme dělat skoro nic. Představme si, jaký chaos vznikne při „zmizení“ elektřiny – při blackoutu.

První minuty

‒     nastává dopravní chaos, protože vypadne světelná signalizace a zastaví se veškerá elektrifikovaná doprava;

‒     tisíce lidí uvíznou ve výtazích;

‒     tisíce lidí uvíznou v metru;

‒     tisíce lidí uvíznou ve vlacích mimo stanice;

‒     tisíce lidí uvíznou v autech na ucpaných komunikacích a zvýší se četnost dopravních nehod;

‒     zmnohonásobí se tísňová volání a zahltí se jeho linky.

První hodiny

–        Bez elektřiny přestanou fungovat všechny způsoby vytápění s výjimkou jednoduchých kamen, která nemají řídící jednotku.

‒     Po vyprázdnění vodojemů je přerušeno zásobování pitnou vodou.

‒     Značné problémy nastanou v zásobování potravinami a v provozu restaurací z důvodu nefunkčnosti chladících a mrazících zařízení.

‒     Většina obchodů uzavře, protože nebude schopna kvůli nefunkčnosti pokladen zajišťovat prodej.

‒     Bude ochromena ambulantní péče ve zdravotních zařízeních a lékárnické služby.

‒     Většina výrobních podniků a služeb zavře své provozovny.

‒     Po několika hodinách se vybijí baterie v přístrojích, mobilních telefonech, systémech UPS i baterie nouzového osvětlení.

‒     Bude ochromeno bankovnictví, finanční trhy a elektronický platební styk, protože klienti nebudou schopni zadávat platby.

‒     V provozu zůstanou pouze ty elektrocentrály, které budou mít zajištěn dostatečný přísun paliva.

Více než 24 hodin

Po 24 hodinách se kaskádově ochromí činnost všech služeb a výrobních procesů na nich závislých. Bez veřejného osvětlení bude docházet k rabování obchodů. Lze konstatovat, že po 24 hodinách je ohroženo poskytování základních fyziologických potřeb člověka (voda, potraviny, teplo, léky). Trvá-li taková situace několik dnů, hrozí společenský rozklad, protože lidé berou v zoufalosti osud a právo do svých rukou, jak ukázal případ New Orleans v roce 2005, i když příčina krizové situace byla jiná.

Vybavení individuálními generátory není řešením pro zajištění základních funkcí města, protože bývají navrženy pro zásobování jen vybraných zařízení, a ne všechny jsou dimenzovány na trvalý provoz.

Závěr, který z toho vyplývá, zní: samospráva je v případě rozsáhlého (národního) blackoutu v současnosti bezmocná. Krizová situace národního blackoutu by nebyla zvládnutelná složkami Integrovaného záchranného systému, protože by mnohonásobně překročila jeho kapacitu. V podstatě, kromě zajišťování základních funkcí hašení požárů, zdravotní záchranné služby a zajištění veřejného pořádku, by se čekalo na to, až energetické společnosti obnoví provoz elektrizační soustavy. Proto (i podle požadavku nově přijaté aktualizace státní energetické koncepce) by větší města měla být schopna hrozbě blackoutu čelit.

Odolnost – resilience – společnosti spočívá ve spolupráci soukromého a veřejného sektoru s cílem dosažení schopnosti udržovat přijatelnou úroveň služeb systémů (Minimal Service Level) i ve světě hrozeb. Tyto hrozby mohou být různého druhu: technologické havárie, přírodní pohromy, antropogenní činy (zejména úmyslné cílené útoky). Odolné systémy jsou schopné čelit rizikům, pokud zahrnují, kromě normálního provozu, též odpovídající nouzové a alternativní procesy s ohledem na potřebu zajištění lidské bezpečnosti.

Odolnost proti blackoutu

Současná města jsou otevřená, nesoběstačná, neschopná přežít několikadenní přerušení provozu kritické infrastruktury. Funkční městská infrastruktura zajišťuje dodávky nezbytných komodit (zejména elektřiny, plynu a vody) převážně z externích zdrojů. Dnešní město lze tedy „dobýt“ narušením infrastruktury. Blackout hlavního města může vést navíc až k dezintegraci státu, neboť je obvykle i hlavním správním centrem, kde působí řada centrálních institucí zabezpečujících řízení státu. Proto je ochranu hlavního města proti blackoutu třeba chápat jako součást vojenské obrany státu.

Z pohledu krizového řízení se odstupňování závažnosti blackoutu odvíjí jednak od odolnosti lidského organismu při deficitu základních fyziologických potřeb, jednak od akumulační schopnosti (existence zásob) infrastruktury, které tyto bazální funkce zajišťují.

Je tedy možné z pohledu krizového řízení definovat 3 stupně časové závažnosti blackoutu:

  1. „Blackout prvního stupně“ je několikahodinový rozpad provozu přenosové soustavy (bez poškození, anebo pouze s menší destrukcí - rychle opravitelnou);
  2. „Blackout druhého stupně“ může trvat dny až týdny, pokud by došlo k větší destrukci více než jednoho vedení přenosové soustavy;
  3. „Blackout třetího stupně“ by mohl trvat ještě déle, pokud by byly cíleným a synchronizovaným útokem vyřazeny najednou vazební transformátory propojující přenosovou soustavu s distribučními soustavami (v Praze se jedná o 3 napájecí uzly).

Příčiny způsobující blackout  zpravidla určují i délku výpadku zásobování elektřinou. Pokud dojde k blackoutu v důsledku nerovnováhy výroby a spotřeby elektřiny (například při nedostatku podpůrných služeb, které by zajistily stabilitu sítě při náhlém zvýšení výkonu větrných elektráren na severu Evropy), pak by doba eliminace takového blackoutu a obnova provozu přenosové soustavy měla být záležitostí několika hodin. Jedná se v tomto případě o blackout 1. stupně ve smyslu kategorizace z pohledu krizového řízení.

Blackout druhého stupně bývá spojen s poškozením části přenosové soustavy. Typickým případem je blackout způsobený extrémními hydrometeorologickými jevy. Obvykle se jedná o bouře a orkány, které mohou způsobit pády stromů na vedení, či přímo destrukci stožárů přenosové soustavy, nebo o extrémní námrazu, která rovněž může způsobit stržení stožárů a vedení (např. Slovinsko 2013).  Dojde-li k poškození (vyřazení z provozu) více než jednoho kritického prvku přenosové soustavy, může oprava poškozených vedení a zprovoznění dodávky elektřiny trvat i několik dnů až týdnů.

Blackout třetího stupně, lze vyvolat úmyslným činem, kdy se vyřadí ty prvky elektrizační soustavy, jejichž oprava, či výroba a výměna trvá měsíce. Typickým příkladem takového prvku jsou transformátory přenosové soustavy. Jedná se o finančně nákladná zařízení velkého výkonu, jejichž doprava a výměna není snadná. Transformátory lze z provozu vyřadit i ručními střelnými zbraněmi. Při jejich destrukci může dojít k požáru, neboť obsahují poměrně velké množství chladícího transformátorového oleje. Výroba nového transformátoru od objednávky trvá cca 2 roky, přičemž provozovatelé drží pouze omezený počet kusů v rezervě.

Cíleným útokem na klíčové elektrické stanice (transformovny) může být vyřazena celá přenosová soustava na dobu delší než měsíc.  Například zpráva amerického úřadu Federal Energy Regulatory Commission (FERC), jejíž závěry byly publikovány v tisku v březnu 2014, konstatuje, že takový útok (sabotáž či teroristický útok) provedený na 9 klíčových elektrických stanic, z celkového počtu 55 000 stanic zásobujících území USA, může nechat zemi bez elektřiny po dobu několika týdnů až měsíců.

Blackout přenosové soustavy nelze vyloučit. Krizové situace pak nastávají na koncích vedení distribuční sítě, kde spotřebitelům chybí elektrický proud. Strategie prevence spočívá v tom, že v případě trvalé poruchy přenosové sítě lze distribuční sítě rozdělit na určitý počet autonomních ostrovů zásobovaných z místních zdrojů. Záměrné vytváření ostrovních provozů se provádí adaptivní rekonfigurací sítě automaticky v závislosti na stavu místní výroby, zatížení a na době výpadku.

Zkušenosti ze světa

Nejzávažnějším případem, který by mohl způsobit backout 3. stupně, byl noční útok 16. dubna 2013 na elektrickou stanici přenosové soustavy „PG&E Metcalf Transmission substation“. Tato stanice napájí významnou průmyslovou aglomeraci Sillicon Valley. Dlouhodobému blackoutu se podařilo zabránit jen díky operativní změně konfigurace sítě a schopnosti elektráren umístěných v území Sillicon Valley zvýšit výrobu na potřebnou úroveň. Jednalo se o dosud nejzávažnější domácí teroristický útok proti severoamerické elektrizační soustavě v historii. Oprava elektrické stanice a obnova provozu trvala 27 dnů.

Geneze útoku 16. 4. 2013:

00:58 – 01:07 Útočník přeřezal telekomunikační kabely.

01:31  Útočník zahájil palbu, která trvala 19 minut a byla cílena proti transformátorům.

01:41   Po 10 minutách od zahájení palby bylo přijato první tísňové volání (911) operátora elektrické stanice (stanice je dálkově ovládána).

01:45   Počala postupná havárie všech 17 transformátorů ve stanici.

01:50   Útočník ukončil palbu a minutu před příjezdem policie zmizel ve tmě.

01:51   K elektrické stanici přijela policie, ale nemohla se dostat dovnitř, protože bezobslužná stanice byla uzamčena.

03:15   Příjezd pracovníků provozovatele PG&E ke stanici.

V USA existuje obava o zranitelnost elektrické sítě zejména od roku 2003, kdy se relativně banální porucha rozvinula v rozsáhlý blackout (Northeast Blackout) a odstavila 55 milionů lidí v USA a Kanadě na desítky hodin od elektřiny.

V roce 2009 konstatovalo Ministerstvo energetiky USA, že fyzické zničení transformátorů přenosové soustavy ve velkém rozsahu může výrazně prodloužit dobu blackoutu, neboť obstarání (výrobní cyklus) těchto zařízení trvá měsíce až roky.

Zpráva amerického úřadu Federal Energy Regulatory Commission (FERC), zpracovaná na základě útoku na stanici PG&E v dubnu 2013 konstatuje, že elektrické sítě budované po desetiletí v „benigním“ prostředí nyní čelí hrozbám, které nebyly při jejich návrhu uvažovány, což je problém, na který je třeba se nyní zaměřit.

Přístup se mění na proaktivní prevenci namísto reaktivního zmírňování následků. Potřeba zvýšení odolnosti zesílila i po výpadcích způsobených superbouří Sandy v roce 2012, která kromě materiálních škod, převyšujících 68 miliard USD, vyřadila více než 6 milionů spotřebitelů od dodávek elektřiny. Jako hlavní preventivní opatření proti blackoutu se zdůrazňuje schopnost přechodu městské distribuční sítě do nezávislých (krizových) ostrovních provozů s využitím místních výroben elektřiny.

Protože po odstranění příčiny rozpadu přenosové soustav trvá několik hodin, než se obnoví její provoz, a dalších nejméně 24 hodin, než se postupně obnoví provoz navazujících distribučních soustav, zvýšila se ve světě aktivita směřující ke zkrácení této doby. Příkladem může být Itálie, která byla postižena národním blackoutem v roce 2003. V důsledku poškození vedení mezi Švýcarskem a Itálií došlo 28. září 2003 k rozsáhlému blackoutu, který kromě ostrovů Sardinie a Elby postihl celou Itálii. Výpadek elektřiny zasáhl 56 milionů obyvatel a obnova normálního provozu přesáhla 24 hodin.

Následně byly zkoumány možnosti efektivních opatření na zkrácení doby a rozsahu blackoutu. Soustava je dovybavována zdroji elektřiny schopných startů ze tmy, z nichž některé jsou koncipovány i jako zdroje vytvářených krizových ostrovních provozů ve velkých sídelních či průmyslových aglomeracích.

Italské prameny poukazují na vhodnost plynových turbín jako možných zdrojů ostrovního provozu, které pracují v jednoduchém cyklu (nové nebo existující), anebo mohou být využity i paroplynové zdroje, pokud existují, kde se doplní by-pass parní části, aby mohly plnit tuto nouzovou funkci.

Rychlost obnovy provozu italské soustavy formou vytváření dílčích ostrovních provozů závisí na vodních elektrárnách a plynových turbínách. Podle pramenu z roku 2008 se v italské elektrizační soustavě objevila řada plynových turbín, které zvyšují schopnost obnovy provozu soustavy po blackoutu. Při vytváření ostrova postupným připojováním rozvoden je typická hodnota zatížení každého kroku od 10 do 30 MW. Aby se udržela frekvence v rozumných mezích a zabránilo se selhání tvorby ostrova, uvádí se, že pro napájení dílčích ostrovů je potřeba zdroj o výkonu minimálně 100 až 120 MW. Za "maximálně spolehlivé" a "optimální" se považuje, aby bylo pro napájení ostrova k dispozici několik jednotek.

Prevencí proti blackoutu se zabývají i další státy. Například ve druhém největším švédském městě Göteborgu (487 tis. obyvatel) je místní teplárna s plynovými turbínami o celkovém elektrickém výkonu 261 MW schopna v případě blackoutu přenosové soustavy zásobovat část města v nezávislém ostrovním provozu jak elektřinou, tak i teplem. Je rovněž vybavena startem ze tmy.

Domácí aktivity – cvičení BLACKOUT 2014

Snad největším (a mediálně značně sledovaným) počinem bylo pražské štábní cvičeni BLACKOUT 2014, které se konalo 26. února 2014. Jeho hlavním cílem bylo:

‒     ověřit připravenost orgánů hl. m. Prahy, základních a ostatních složek IZS, vybraných subjektů kritické infrastruktury a dalších vybraných subjektů;

‒     ověřit zajištění dodávek elektrické energie, tepla, plynu, pitné vody apod. pro zabezpečení základních životních potřeb obyvatelstva na území hl. m. Prahy v případě přerušení dodávek elektrické energie velkého rozsahu, včetně jejich obnovení.

Dalšími dílčími cíli cvičení bylo:

‒     ověřit funkčnost systému předávání informací (vyrozumění) mezi základními a ostatními složkami IZS a připravenost systému varování obyvatelstva;

‒     procvičit svolání a činnost krizového štábu hl. m. Prahy;

‒     motivovat spoluobčany k pocitu zodpovědnosti za svou vlastní připravenost na zvládání takovýchto situací.

Cvičení simulovalo blackout Prahy a části Středočeského kraje trvající méně než 3 dny. Po něm následovala postupná obnova provozu. Z hlediska úplnosti pokrytí hlavních očekávaných problémů lze konstatovat, že cvičení BLACKOUT 2014 tento rozsah pokrylo.

Cvičení prověřilo nejpravděpodobnější druh blackoutu, který by nastal v důsledku systémové poruchy vzniklé v přenosové soustavě, nebo vlivem ztráty její dynamické stability (přetížení vedení, nedostupnost podpůrných služeb apod.) trvající řádově jednotky až desítky hodin.

Cvičení neřešilo méně pravděpodobný, avšak možný stav, kdyby byl blackout způsoben závažnější destrukcí části přenosové soustavy (vedení, transformátory), kdy by obnova provozu trvala řádově stovky hodin. V tomto případě by dopady blackoutu přešly z kritické do katastrofické úrovně, neboť aktivované složky integrovaného záchranného systému by nebyly schopny zajistit základní funkce území/města. V důsledku toho by mohly nastat sociální nepokoje destabilizující politický systém pražské metropole i celého státu.

Cvičení potvrdilo odhad, že obnova kompletní dodávky elektrické energie na celém území Prahy se pohybuje v řádu 24 až 26 hodin poté, co by ČEPS byla schopna obnovit dodávku elektrické energie do příslušných rozvoden na okrajích metropole.

Subjekty kritické infrastruktury a subjekty jejichž fungování je nezbytné pro zachování funkcí hl. m. Prahy konkrétně prověřily, jak jsou ve stávajících podmínkách připraveny na výpadek elektrické energie, a jak bude ovlivněna jejich schopnost tyto funkce zajistit. Přitom cvičení přispělo k uvědomění si vzájemných závislostí infrastruktury a skutečnosti, že její plná funkce nemusí být obnovena současně s obnovou zásobování elektřinou.

Například dodávka pitné vody bude obnovena v kvalitě „užitkové“ cca do 24 hod od úplného obnovení dodávek elektrické energie, ale obnova v kvalitě pitné vody až za cca týden. Je totiž nutné provést rozbory vzorků pitné vody, které znamenají časově 2 dny pro náběr vzorků z cca 90 úseků a vyprázdněných vodojemů, a další 3 až 4 dny budou trvat vlastní rozbory.

Ještě složitější je situace u čištění odpadních vod. Po obnovení dodávek elektrické energie budou zprovozněny jednotlivé čerpací stanice odpadních vod a čistírny odpadních vod, ale odpadní voda bude vypouštěna pouze mechanicky předčištěná. Proces čištění je totiž závislý na rychlosti oživení mikrobiologické kultury v biologickém stupni čištění a jeho obnovení by trvalo cca 2 týdny až 1 měsíc.

Cvičení také ukázalo šíři a provázanost dopadů dlouhodobého výpadku dodávek elektrické energie na fungování širokého spektra zdravotních služeb. Připravenost na blackout je nutno řešit komplexně, protože v případě blackoutu budou mít všichni poskytovatelé zdravotních služeb větší či menší problémy se zásobováním naftou pro elektorcentrály, vodou a teplem. Zdravotnická zařízení proto začínají aktualizovat vlastní typové plány.

Podobné analýzy probíhaly i u dalších organizací. Vzhledem k faktu, že cvičení bylo realizováno pouze jako „štábní“, nebylo možné plně ověřit reálnost plnění všech stanovených úkolů. Ale i tak ze cvičení vyplynula řada námětů na zlepšení připravenosti a interoperability. Všichni účastníci hodnotili cvičení jako užitečné a potřebné, nicméně poukazovali na skutečnost, že blackout trvající déle než 3 dny by patrně vedl ke kolapsu. Praha totiž nemá v současné době na svém území žádný vhodný zdroj veřejného krizového ostrovního provozu, který by byl schopen zajistit nouzové zásobování elektřinou v případě déletrvajícího výpadku přenosové soustavy ČR. Tato skutečnost znamená i zranitelnost integrity státu.

Přitom vybudovaný krizový ostrovní provoz pražské distribuční soustavy se zdrojem/zdroji na území hl. m. Prahy by byl schopen zajistit dodávku elektřiny pro fungování subjektů zajišťujících základní chod státu a města, orgánů krizového řízení, subjektů zajišťujících chod kritické infrastruktury a všech subjektů či objektů zajišťujících alespoň základní životní potřeby obyvatel města a osob na území města se nacházejících.

(1) Freedom from fear (S. l.). Canada’s foreign policy for human security. Department of Foreign Affairs and International Trade, www.humansecurity.gc.ca (1. 4. 2003).

 

Ing. Ivan Beneš, místopředseda Výboru pro udržitelnou energetiku při Radě vlády pro udržitelný rozvoj