Proteção contra incêndios em centros de dados (CPD): como se decide realmente a estratégia de proteção

Um incêndio num datacenter não se mede em metros quadrados queimados, mas em horas de interrupção do serviço e no valor da informação comprometida. Na casuística de sinistros que a FM Global recolhe para esta ocupação, o incêndio lidera o custo das perdas enquanto os danos por líquidos escapados lideram a frequência: dois factos que já antecipam que um centro de dados não se protege como um edifício qualquer.

A pergunta que se coloca em quase todos os projetos —«gás ou água?»— está mal formulada. A estratégia de proteção de um datacenter não se escolhe: deduz-se das condições que a sala reúne.

Neste artigo percorremos como se determina essa estratégia, que condições habilitam cada tecnologia, e os dois aspetos que com mais frequência faltam nas especificações que recebemos: o isolamento da alimentação elétrica e o tratamento das baterias de lítio. Fazemo-lo a partir da prática de Pefipresa, especialistas em Proteção Contra Incêndios, para o perfil que mais decide nestes projetos: o Facility Manager ou responsável de instalações de CPD.

Porque é que o fogo num datacenter exige uma abordagem diferente

O fogo num centro de dados tem três traços diferenciais que condicionam todo o projeto PCI:

• Combustão incipiente prolongada: a origem mais provável é uma falha elétrica —arco em série, ligação solta, arco paralelo de alta resistência— que a proteção elétrica convencional nem sempre deteta nem elimina. Antes de haver chama, passam minutos, às vezes horas, de pirólise de plásticos e isolantes, com fumo de muito baixa densidade ótica.
• Fluxos de ar forçados: a climatização de precisão movimenta grandes volumes de ar que diluem o fumo, o transportam para longe do foco e atrasam a resposta da deteção pontual convencional.
• Sensibilidade extrema a resíduos: uma descarga não controlada de água, ou o fumo corrosivo de um cabo com bainha de PVC, podem inutilizar o equipamento eletrónico de forma equivalente ao próprio incêndio.

Por isso o projeto PCI de salas de racks e centros de dados nunca se resolve com um único sistema, mas com uma proteção por camadas que deteta antes e atua minimizando o dano colateral.

A decisão-chave: que condições habilitam cada tecnologia

A Data Sheet 5-32 da FM Global, na sua edição em vigor, resolve o debate através de uma árvore de decisão que transforma uma discussão de preferências numa verificação de condições. Simplificando a sua lógica para a proteção sobre o piso da sala, o agente gasoso ou o sistema híbrido só são admissíveis como proteção autónoma se se cumprirem todas estas condições:

1. A sala é de construção não combustível ou de materiais aprovados.
2. Os armários e os painéis de preenchimento são não combustíveis.
3. O confinamento de corredor frio ou quente é não combustível ou de material aprovado.
4. Os cabos são não propagantes e as calhas e canalizações são não combustíveis.
5. Não há baterias de ião-lítio distribuídas nos armários.
6. Pode ser fornecido isolamento automático da alimentação elétrica, ou um plano manual que cumpra condições muito exigentes.

Se qualquer uma delas falhar, as opções reduzem-se: primeiro desaparecem o gás e o híbrido, depois a água nebulizada, e no cenário mais desfavorável —com bandejas de cabo multinível presentes— só restam sprinklers ou água nebulizada com critérios específicos. Existe uma árvore equivalente para os espaços ocultos: piso técnico e câmara sobre teto falso.

O valor desta abordagem para um cliente é que substitui uma negociação por uma lista de verificação. Se quer gás, há condições que a sua sala deve cumprir; se não as cumpre, a conversa deixa de ser sobre o agente extintor e passa a ser sobre os materiais da sala.

Um pormenor que surpreende quem está habituado ao critério comercial habitual: a ordem de preferência dos sprinklers é húmida, pré-ação sem interbloqueio, pré-ação de interbloqueio simples e, em último lugar, pré-ação de duplo interbloqueio. O motivo é o atraso na aplicação da água, a maior complexidade do equipamento da válvula e a menor disponibilidade do conjunto. A pré-ação dupla não é a solução mais segura por defeito: é a mais lenta.

Deteção de muito alta sensibilidade: a primeira camada crítica

A deteção por aspiração de fumo (ASD) resolve simultaneamente o problema da baixa densidade ótica do fumo incipiente e o dos fluxos de ar forçados. Uma rede de tubagens recolhe amostras de ar de forma contínua a partir do teto falso, piso técnico, câmara de retorno e, quando interessa localizar o evento, do interior dos próprios armários rack.

Como se especifica corretamente no enquadramento europeu

A sensibilidade especifica-se mediante a classificação de UNE-EN 54-20 (classe A, muito alta sensibilidade; classe B, alta; classe C, normal), e o projeto da instalação de deteção desenvolve-se em conformidade com a UNE 23007-14, à qual remete o RIPCI. Em áreas críticas especifica-se classe A. O conceito anglo-saxónico equivalente, a deteção de muito alerta precoce (VEWFD), procede da NFPA 76, sobre instalações de telecomunicação, não da NFPA 75, sobre equipamentos de tecnologia da informação, que remete para deteção à NFPA 72.

Três parâmetros que decidem se o sistema funciona

• Velocidade do ar. A ventilação forçada deve manter-se abaixo de cerca de 1,5 m/s, ou ser interbloqueada para se reduzir a esse valor em condição de pré-alarme. O interbloqueio deve ser submetido a ensaio de receção na entrada em serviço: não basta deixá-lo programado.
• Ajuste do painel face à sensibilidade por orifício. É o erro de arranque mais frequente e quase nunca se explica. A sensibilidade útil em cada ponto de amostragem não é a que se programa na central: o ajuste deve dividir-se pelo número de orifícios, porque só um deles aspira fumo enquanto o resto aspira ar limpo. Com cinquenta pontos, um limiar de alerta de 0,2 %/pé por orifício exige programar a central em 0,004 %/pé.
• Tempo de transporte. Não deve ser ultrapassado um tempo de transporte de 60 segundos desde o ponto de amostragem mais afastado até à unidade de deteção.

A isto acrescem os critérios de cobertura por ponto de amostragem —da ordem dos 18,6 m² com um único nível de deteção, ou 37,2 m² por nível quando se empregam dois— e o escalonamento de limiares em alerta, pré-alarme e alarme, que permite investigar, reencaminhar carga e reduzir a ventilação antes de qualquer supressão atuar. Estes valores devem ser verificados na edição em vigor da Data Sheet 5-32 no momento do projeto.

As opções de supressão, e o que condiciona cada uma

Agentes gasosos: o que permite hoje o enquadramento dos gases fluorados

Antes de falar de desempenho, convém esclarecer que agentes são comercializáveis. O Regulamento (UE) 2024/573 sobre gases fluorados inclui os HFC no seu anexo I, e o seu anexo IV, ponto 11.c), fixa 1 de janeiro de 2025 como data de proibição de introdução no mercado de equipamentos de proteção contra incêndios que contenham estes gases ou deles dependam, salvo se forem necessários para cumprir requisitos de segurança na zona de operação. Na prática, o HFC-227ea e o HFC-125 não são hoje a opção de referência para uma instalação nova na UE.

O FK-5-1-12 figura no anexo III, pelo que não é afetado por essa proibição nem pelo controlo de fugas do anexo I, embora fique sujeito às obrigações de certificação, formação e notificação; deve acompanhar-se a sua situação na proposta de restrição de PFAS em tramitação no âmbito do REACH. Convém ainda especificar pela designação técnica e não pela marca: “Novec 1230” é uma marca comercial da 3M, que anunciou o abandono do fabrico de substâncias PFAS no final de 2025; o agente é hoje fornecido por vários fabricantes.

Os gases inertes (IG-01, IG-55, IG-100 e IG-541) atuam por redução do oxigénio, têm PAG e PDO nulos, não são afetados pelo enquadramento dos gases fluorados e a sua vida útil é indefinida, à custa de maior volume de garrafas. Partilham um NOAEL de 43 % e LOAEL de 52 %, e a UNE-EN 15004-1 limita o tempo máximo de exposição segundo a concentração de projeto: cinco minutos abaixo de 43 %, três minutos entre 43 % e 52 %, trinta segundos e só em salas não ocupadas entre 52 % e 62 %, e exposição não permitida acima disso. Como as concentrações de projeto habituais se situam na ordem dos 40-48 %, o sistema exige sempre temporização, pré-aviso ótico e acústico, sinalização, botão de bloqueio e evacuação prévia.

Água nebulizada: condições de aplicação limitadas

Regulada pela UNE-EN 14972 e admitida para salas de processamento de dados, mas apenas dentro de limites estritos quando se emprega um sistema aprovado especificamente para esta aplicação: velocidade ascendente máxima da ordem de 1 m/s através do piso perfurado, fluxo horizontal máximo da ordem de 1,2 m/s, ausência de bandejas multinível de cabo propagante e ausência de UPS e de baterias de lítio na sala. Não existe uma metodologia geral de projeto para água nebulizada: cada sistema assenta em ensaios à escala real do fabricante, pelo que só é válido o sistema aprovado para a aplicação concreta.

Sistemas híbridos de água e gás inerte

Contemplados para salas de processamento de dados com condições análogas às da água nebulizada, incluindo a ausência de UPS e de baterias de lítio.

O isolamento da alimentação: a condição que quase ninguém especifica

Este é o ponto que separa uma especificação completa de uma incompleta, e raramente aparece nos cadernos de encargos que recebemos.

Um agente gasoso extingue, mas não arrefece nem desenergiza. A concentração mantém-se um tempo limitado —tipicamente dez minutos— porque construir um recinto mais estanque é exponencialmente mais difícil à medida que esse tempo se alarga. Quando a concentração cai, por fuga natural ou simplesmente porque se abre a porta para entrarem as equipas de intervenção, o foco volta a encontrar a sua fonte de ignição se o equipamento continuar alimentado.

Se um sistema de agente limpo é a única proteção do recinto e o equipamento não é desenergizado dentro do tempo de retenção, o resultado esperável não é um foco controlado: é um incêndio não controlado que se propaga até ao limite do combustível presente.

Daí que o critério não seja manter a concentração dez minutos, mas mantê-la dez minutos ou até o equipamento poder ser desenergizado, o que for maior. E daí que o isolamento automático da alimentação, com desligamento ordenado num máximo de dez minutos, seja a opção preferencial.

Quando a continuidade de negócio impede o corte automático, admite-se um plano de corte manual, mas só se se cumprirem todas as condições exigidas: deteção de muito alta sensibilidade em todas as salas, supervisão permanente com comunicação imediata às equipas de intervenção, pessoal qualificado no local 24 horas com autorização para executar o corte e resposta num máximo de dez minutos, construção não combustível, programas de gestão da instalação excelentes, e um plano acordado pela direção, revisto anualmente, simulado pelo menos uma vez por ano e cronometrado em cada simulacro. Não é uma alternativa cómoda: é uma alternativa exigente.

Baterias de ião-lítio: o cenário que muda as regras

A substituição de baterias de chumbo por ião-lítio em UPS, e sobretudo o aparecimento de unidades de backup distribuídas dentro dos próprios armários de servidores, introduz uma fonte de ignição que antes não existia na sala.

O critério aqui é uma proibição explícita: não devem empregar-se sistemas de agente limpo nem híbridos para proteger salas com unidades de backup de lítio distribuídas. As razões são três. Não há evidência de que a proteção gasosa extinga ou controle uma fuga térmica em cadeia (thermal runaway); o agente pode interromper a reação, mas apenas durante o tempo de retenção, insuficiente para impedir a propagação térmica a módulos adjacentes. A proteção gasosa não arrefece, e o arrefecimento do ambiente é o fator crítico. E a descarga é única, enquanto estes incêndios podem reacender-se horas depois do evento inicial.

O critério de projeto é claro: em salas com lítio distribuído, a estratégia de supressão decide-se por água, não por gás. Nenhum volume de agente limpo substitui o arrefecimento sustentado.

Os critérios associados afetam a disposição da sala: barreiras verticais de chapa com pelo menos 0,9 mm de espessura a cada três armários ao longo de toda a fila, corredor mínimo de 1,2 m entre filas, e um limiar de 20 kWh por armário acima do qual a instalação deixa de ser tratada como backup distribuído e passa a considerar-se um sistema de armazenamento de energia, com o seu próprio enquadramento de proteção.

Condições críticas de projeto de um sistema por gás

• Tempo de descarga e concentração. Deve alcançar-se 95 % da concentração de projeto num máximo da ordem dos 10 segundos para halocarbonados e 60 segundos para gases inertes. A concentração de projeto não é a de extinção: incorpora um fator de segurança consoante a classe de fogo.
• Estanqueidade do recinto. O ensaio de integridade do recinto (door fan test, anexo E da UNE-EN 15004-1) verifica que se mantém a concentração durante o tempo de retenção. Deve repetir-se: a cada 36 meses se existir um programa documentado de controlo das penetrações da envolvente, e pelo menos a cada 12 meses se não existir.
• Alívio de sobrepressão. A descarga gera um transitório de pressão capaz de danificar o cerramento. Requer comportas de alívio dimensionadas e orientadas, que não devem confundir-se nem partilhar conduta com a extração de fumo.
• Vaporização e distância a obstáculos. Os halocarbonados requerem distância de vaporização e os inertes de afastamento. Se o agente atingir uma superfície antes de vaporizar produz-se gelo e a concentração entregue fica abaixo da de projeto.
• Ventilação pós-descarga. Deve existir um plano e meios para ventilar o recinto após a descarga, incluindo os produtos de decomposição dos halocarbonados, sem contaminar outras áreas.

O ruído de descarga e os discos rígidos

É um risco real e documentado: num sinistro conhecido, a descarga de um sistema de gás inerte após o sobreaquecimento de um condensador de climatização danificou os discos dos sistemas de armazenamento. As vibrações deslocam as cabeças de leitura e escrita fora de pista, que embatem na superfície do disco e tornam os dados ilegíveis.

Os critérios de mitigação são específicos: difusores redutores de ruído aprovados como componente do sistema, sistemas de pressão regulada para os gases inertes, distância radial mínima calculada a partir do limiar de dano do disco —e, quando esse limiar não é conhecido, 100 dB como valor de cálculo—, distâncias de referência da ordem dos 2 m para difusores de orifício pequeno e 3 m para orifício grande, e proibição de empregar sirenes pneumáticas como aviso.

Evacuação de fumo: dois critérios de projeto radicalmente distintos

Numa sala protegida por agente gasoso, um sistema de evacuação de fumo que funcione durante o incêndio anula a extinção: se se estiver a renovar ar ativamente, a concentração de projeto não chega a alcançar-se ou perde-se de imediato. O critério da FM é coerente com isto —não instalar evacuação de fumo de operação automática em salas de processamento de dados e, quando a regulamentação local a imponha, interbloqueá-la com o alarme de fluxo de água e nunca com o sistema de deteção—, mas deixa ao projetista português ou espanhol a dúvida de como compatibilizar isto com uma exigência regulamentar.

A resposta está no próprio regulamento espanhol, e com frequência passa despercebida. O ponto 13 do Anexo I do RIPCI não impõe um único critério de projeto para os sistemas de controlo de fumo: enumera várias estratégias possíveis. A da sua alínea a) é o controlo de fumo durante o incêndio —flutuabilidade térmica e altura livre de fumo, desenvolvido em conformidade com a UNE 23585. Mas a sua alínea d) contempla expressamente o emprego destes sistemas para a extração do fumo após o incêndio, quando se instala um sistema de supressão incompatível com os demais tipos de controlo de fumo.

Consideram-se sistemas de supressão incompatíveis os que requerem um alto grau de estanqueidade do recinto para funcionar corretamente: exatamente o caso da extinção por gás e dos aerossóis.

A mudança de critério não é um pormenor de redação, é uma mudança de instalação. Um sistema projetado segundo a alínea a) dimensiona-se pelo caudal mássico de fumo que é preciso extrair para sustentar uma camada livre em pleno desenvolvimento do incêndio. Um sistema projetado segundo a alínea d) dimensiona-se, como orientação, para uma capacidade equivalente de 2 a 10 renovações por hora. A diferença em potência de ventilação, secção de condutas e custo de instalação é de uma ordem de grandeza.

E há uma consequência que resolve o conflito na raiz: um sistema concebido para atuar depois do incêndio não precisa de interbloqueio com a deteção, porque não deve arrancar durante o evento. É, aliás, o mesmo sistema que serve o plano de ventilação pós-descarga exigido pela prática de seguradora. Uma única instalação cobre as duas necessidades.

Em projeto, isto traduz-se em quatro decisões: declarar e justificar em memória a estratégia de extração após o incêndio, comprovando a incompatibilidade do sistema de supressão; dimensionar no intervalo orientativo de 2 a 10 renovações por hora; dotar as condutas de comportas motorizadas com posição de falha em fechado, interbloqueadas com a central de extinção; e registar a sequência completa na matriz causa-efeito, com a extração inibida durante a descarga e o tempo de retenção.

Arrefecimento líquido: o risco que chega com a IA

O arrefecimento direto ao chip, as portas traseiras de permuta e a imersão estão a entrar nos datacenters de alta densidade, e trazem consigo um risco patrimonial que não é de incêndio mas de líquido: a classe de sinistro que, segundo a casuística recolhida pela FM, lidera a frequência.

Os critérios básicos afetam o projeto mecânico: fluidos não inflamáveis, tubagem não combustível ou aprovada, uniões soldadas como disposição preferencial, proibição expressa de ligações por interferência do tipo a pressão, traçado que não passe sobre equipamento sensível, contenção de fugas não combustível com capacidade e drenagem suficientes, deteção de fuga endereçável com alarme num ponto permanentemente vigiado, isolamento de cada alimentação para que uma fuga não comprometa o resto, e inspeção mensal da tubagem dentro da sala.

Proteção dedicada de armários elétricos e armários rack

Os sistemas de proteção contra incêndios para armários elétricos integram deteção linear por cabo termossensível ou por microaspiração com extinção autónoma dentro do próprio cerramento do quadro, de modo que a atuação ocorre antes de o evento ter efeito sobre a sala. Para ambientes em que os armários alojam equipamento crítico, os sistemas de extinção automática para racks acrescentam uma camada integrada em cada armário, com deteção própria e descarga pontual.

Deve ter-se presente que esta camada não substitui a proteção da sala nem resolve o cenário das baterias de lítio, e que a instalação de deteção por aspiração diretamente em armários está expressamente contemplada quando se pretende localizar o evento ou apoiar o corte manual de alimentação no ponto de origem.

Como tudo se integra: a matriz causa-efeito

• Camada 1 — Deteção de muito alta sensibilidade em sala: amostragem em teto falso, piso técnico e câmara de retorno, com limiares escalonados.
• Camada 2 — Deteção dentro de ativos críticos: cabo termossensível ou microaspiração em quadros e armários de alta densidade.
• Camada 3 — Supressão ao nível da sala: a que as condições da sala habilitem, não a que se prefira a priori.
• Camada 4 — Isolamento da alimentação elétrica: automático ou mediante plano manual cronometrado, sem o qual as camadas anteriores não fecham o cenário.
• Camada 5 — Coordenação com operações: pré-alarmes integrados com o centro de controlo, plano de corte de potência, plano de resposta e plano de ventilação pós-descarga.

O documento que articula tudo isto é a matriz causa-efeito entre deteção, supressão, climatização, comportas e corte de alimentação. A sua verificação funcional na entrada em serviço, testando cada linha, é o que distingue um projeto correto de um que só cumpre no papel. A sua ausência é, quase sempre, a origem material dos conflitos de interbloqueio.

Normativa aplicável: o quadro comum

• RIPCI (RD 513/2017), na sua versão consolidada após o RD 164/2025, para instalação e manutenção dos sistemas ativos, incluindo as periodicidades do seu Anexo II. O seu Anexo I, ponto 13, define as estratégias admissíveis de controlo de fumo, entre elas a extração posterior ao incêndio para recintos com sistemas de supressão que exigem estanqueidade.
• CTE DB-SI ou RSCIEI, consoante a classificação do uso. A determinação deve justificar-se expressamente em projeto. O RSCIEI em vigor é o RD 164/2025, que revogou o RD 2267/2004 com efeitos desde 10 de maio de 2025 e é de cumprimento obrigatório desde 10 de novembro de 2025.
• Exigência expressa para recintos com equipamentos eletrónicos. O RSCIEI tem vindo a estabelecer a instalação de sistemas de extinção por agentes gasosos em setores de estabelecimentos industriais que constituam recintos com equipamentos eletrónicos, centros de cálculo, bancos de dados, centros de controlo ou medição e análogos, quando a proteção com água possa danificar esses equipamentos. Deve confirmar-se a sua numeração exata no texto em vigor do RD 164/2025.
• UNE-EN 15004 (equivalente à ISO 14520) para agentes gasosos, UNE-ISO 6183 para CO₂, UNE-EN 14972 para água nebulizada, UNE-EN 54-20 e UNE 23007-14 para deteção, UNE 23585 e UNE-EN 12101 para controlo de fumo.
• Reação ao fogo dos cabos em euroclasses conforme o Regulamento (UE) 305/2011, com impacto direto na carga de fogo de bandejas e piso técnico.
• Gases fluorados: Regulamento (UE) 2024/573.
• Referências internacionais: NFPA 75 e NFPA 76; e, quando exigido pela seguradora, as Data Sheets da FM Global, em particular a 5-32 para datacenters, a 4-9 para agentes limpos, a 4-2 para água nebulizada, a 4-6 para híbridos, a 5-48 para deteção e a 5-28 para sistemas de baterias.

Como material divulgativo em espanhol, mantém-se útil a NTP 975 do então INSHT (hoje INSST), de 2013, tendo sempre presente a sua data: apoia-se no RIPCI de 1993, revogado, e na edição de 2009 da UNE-EN 15004, e as suas considerações sobre agentes halocarbonados foram superadas pelo enquadramento em vigor dos gases fluorados. Não é um critério de projeto.

As edições de todos estes documentos são revistas periodicamente. Qualquer especificação deve confirmar a versão em vigor no momento do projeto.

A arquitetura PCI de um datacenter deduz-se em projeto, não se escolhe em catálogo. Por isso abordamos cada CPD a partir de uma fase de consultoria técnica prévia, anterior a qualquer definição de equipamentos, na qual se verificam as condições da sala, se acorda a estratégia de corte de alimentação e se levanta a matriz causa-efeito. Solicite um estudo técnico da sua instalação sem compromisso e trabalharemos consigo a solução que o perfil de risco da sua instalação realmente habilita.

Perguntas Frequentes sobre proteção contra incêndios em datacenters

Posso proteger a minha sala só com gás e prescindir da água?

Só se a sala reunir todas as condições habilitantes: construção, armários, confinamento e cabos não combustíveis ou não propagantes, ausência de baterias de lítio distribuídas e capacidade de isolar a alimentação elétrica. Se faltar qualquer uma delas, a proteção por água —sprinklers de pré-ação ou água nebulizada— deixa de ser uma alternativa e passa a ser a opção disponível.

Porque é tão importante cortar a alimentação elétrica?

Porque o gás extingue mas não elimina a fonte de ignição. A concentração sustenta-se um tempo limitado, tipicamente dez minutos, e quando cai —por fuga ou porque se abre uma porta— o equipamento alimentado volta a iniciar o fogo. Se não houver corte de potência dentro desse prazo, o sistema de gás não fecha o cenário.

Tenho baterias de lítio nos racks. O sistema de gás que já tenho serve?

Não para esse risco. O agente gasoso não arrefece, não impede a propagação térmica entre módulos e só dispõe de uma descarga, enquanto estes incidentes podem reacender-se horas depois. A abordagem deve ser revista por completo: barreiras verticais entre armários, separação entre filas, verificação do limiar de energia por armário e estratégia de supressão baseada em água.

O que é o ensaio de integridade do recinto e de quanto em quanto tempo se repete?

É a prova de estanqueidade que verifica se o recinto consegue manter a concentração de agente durante o tempo de retenção de projeto. Deve repetir-se a cada 36 meses se existir um programa documentado de controlo das penetrações da envolvente, e pelo menos a cada 12 meses se não existir: qualquer obra ou passagem de instalações posterior altera a estanqueidade.

Posso instalar evacuação automática de fumo na sala protegida por gás?

A pergunta correta é outra: que estratégia das que o RIPCI admite corresponde a esse recinto. Quando a sala está protegida por um sistema que exige alto grau de estanqueidade, como a extinção por gás, o regulamento contempla o emprego do sistema para a extração do fumo após o incêndio, com uma capacidade orientativa de 2 a 10 renovações por hora, em vez do controlo de fumo durante o incêndio conforme a UNE 23585. Ao atuar depois do evento, não é necessário interbloqueio com a deteção e a ativação é manual.