风力发电机组安全保护技术分析评价

陈苏声 张全成 杨涛 林钧斌 张倚

(上海市质量监督检验技术研究院，上海 200072)

0 引言

本文首先介绍了风力发电机组安全保护系统，接着探讨了IEC61511标准在风力发电机组安全保护系统的应用，并以风轮超速保护功能为例，结合举例系统的工艺背景，说明如何确定安全保护系统中的SIF(安全功能)，安全保护系统组成、分析和改进，最后总结了风力发电机组安全保护系统的设计原则。

1 安全保护系统介绍

风力发电机组控制系统是一个综合性系统。尤其是对于并网运行的风力发电机组，控制系统不仅要监视电网、风况和机组运行数据，对机组进行并网与脱网控制，以确保运行过程中的安全性和可靠性，还需要根据风速和风向的变化对机组进行优化控制，以提高机组的运行效率和发电质量。［1］

中国的风能资源较丰富的地区，主要分布在北部和沿海近海岛屿两个带状范围内，分布区域的自然环境较恶劣，且远离主要的人口聚集区，因而获得人工的检查维护的机会较少，一旦发生故障或事故，及时获得修理的可能也较少。因此风力发电机组的运行需要连续而且安全的控制系统，而且不能够被严酷的外部环境所影响。

在风力发电机组控制系统中，安全保护系统是最高层的防护措施，虽然其在控制系统中的工作时间与频率最少，但是优先级却是最高的，一旦安全保护系统进入运行状态，整个控制系统的其他各个子系统的控制功能则自动服从于安全保护系统。

风力发电机组安全保护系统需要实现的功能主要有

· 超速保护

· 电网失电保护

· 电气保护

· 机械装置保护

· 控制器保护

· 防雷击保护

· 抗干扰保护

· 接地保护

· 紧急停车保护［1，2］

2 安全保护系统安全功能分析

以下是风力发电机组安全保护系统的实例。

以超速保护为例，假设一台定浆距风力发电机组，其常规控制系统的控制功能为:当转速传感器检测到发电机或风轮装束超过额定转速的110%时，控制器将给出正常停机指令。

因此可以确定风力发电机组安全保护系统中与该控制功能相对应的超速保护安全功能:在低速轴处设置风轮转速传感器，信号传入紧急停车系统(ESD)，一旦风轮转速超出ESD中所设置的超速上限，引发安全保护系统动作，即启动制动器，整个风力发电机组得以安全停车。

在风力发电机组的实际运行过程中，发电机或风轮的转速应保持在一定的限制之下，否则会导致发电机组过载，齿轮、转轴、叶片受到损伤，产生不可修复的形变，甚至导致风机起火甚至叶片飞出、风机塔架倒塌等严重的事故。对整个风电场乃至并网电网都产生一定的影响。

因此，根据SIL的定性描述(表1)，确定该系统的安全完整性等级应该达到SIL2。

表1 SIL的定性描述

SIL事件后果4引起社会灾难性的影响3人员伤亡和对社会造成影响2引起财产损失，可能伤害人员1轻微的财产损失。

3 安全保护系统技术分析和改进建议

一个正常的安全保护系统通常由三个部分组成，传感器、逻辑控制器和最终执行元件组成。传感器对一个或数个参数进行监测，并将信号传输至逻辑控制器，逻辑控制器接受到信号后，判断是否要启动安全功能，判断需要启动安全功能后，逻辑控制器发送启动信号至最终执行元件，最终执行元件接收到信号之后启动安全功能。

根据前文所述，风机超速保护安全系统的传感部分为风轮转速传感器。风轮转速传感器检测出风轮的转速后之后，将测量信号分为两路:一路信号去常规控制系统，参与常规的风力发电机组的运行控制;另一路信号去逻辑控制器。逻辑控制器是整个紧急停车系统(ESD)的一部分，通常选用高可靠性的安全PLC。输入信号经过逻辑控制器运算处理后，输出信号传送到执行器，即为制动器。若输出为启动信号，则制动器工作，从而对风机叶轮进行制动。从整个信号的流向可以看到，这个安全保护系统的传感器、逻辑控制器和最终执行元件三个部分都是串联关系，任何一个环节的故障都会导致该安全功能的失效。

初始设计完成之后，根据安全生命周期需要对其SIL是否达到目标SIL进行验证。之前已经说明，该安全保护系统的传感器、逻辑控制器和最终执行元件三个部分都是串联关系，任何一个环节的故障都会导致该安全功能的失效。因此，该系统的可靠性框图如图1所示。

图1 风机超速保护安全系统1的实现框图

各部件PFD(Probability of Failure on Demand，失效率)如表2所示:

表2 风机超速保护安全系统1中各部件的PFD

在风机超速保护安全系统中，看到安全PLC(逻辑控制器)本身的失效率是符合SIL2标准的，但是正如之前所言，要考虑整个安全保护系统的所有部分并纳入计算范畴。那么整个风机超速保护安全系统的PFDSIS则为:

根据IEC61511得到这个风机超速保护安全系统的安全完整性等级只有SIL1，没有达到确定的目标SIL2，但是这个系统还是有一定地提升余地。

考虑为风机超速保护安全系统增加一个安全功能。对于定浆距风力发电机组，风轮超速时，液压缸中的压力会迅速升高。因此可以在液压缸中设置一个压力传感器，信号传入紧急停车系统(ESD)。当液压缸中的压力达到设定值时，引发安全保护系统动作，即开启液压缸上的电磁阀，压力油泄回油箱，叶尖扰流器旋转90°成为阻尼板，使得整个风力发电机组得以安全停车。

从整个信号的流向可以看到，传感器(压力传感器)、逻辑控制器(安全PLC)和最终执行元件(电磁阀)三个部分都是串联关系，任何一个环节的故障都会导致该安全功能的失效。

根据安全保护系统的三要素(传感器、逻辑控制器和最终执行元件)对风机超速保护安全系统进行分析，现在这个安全保护系统拥有两个并联的逻辑回路。其中一个逻辑回路是风轮转速传感器——逻辑控制器A——制动器，另一个是压力传感器——逻辑控制器B——电磁阀。两个逻辑回路互相独立。因此，该系统的可靠性框图因如图2所示。

图2 风机超速保护安全系统2的实现框图

各部件PFD如表3所示:

表3 风机超速保护安全系统2中各部件的PFD

整个风机超速保护安全系统的PFDSIS则为:

因此，可以认为，对原有防护系统进行改进后，风机超速保护安全系统的安全完整性等级可以达到SIL2。

从风机超速保护安全系统的设计与改进过程中可以看到，如果需要对改进安全保护系统，提高其安全完整性等级，首先可以考虑采用冗余配置。当然如果因为成本或安装的原因不适合采用冗余配置，则应该采用比较更为可靠的部件。

在风力发电机组安全保护系统的设计中，对于安全完整性等级要求较高的场合，应该使用多个逻辑回路来确保整个安全保护系统的安全完整性等级，而且在使用中应注意使各逻辑回路间相互独立，否则将会导致安全系统的SIL等级只能成为其最佳性能而非可靠的性能。［3］

结合IEC61511和风力发电机组的实际运行功能及需求，可以总结出风力发电机组安全保护系统设计的几个原则:

· 安全保护系统应与控制系统完全分开

· 控制系统处于常开状态，安全保护系统处于常闭状态

· 当控制系统失效时，安全保护系统启动

· 当安全保护系统启动时，控制系统应自行降至服从低位

· 与安全保护系统有关的单个元器件的失效，应不会导致安全保护系统失效

· 根据“水桶理论”，整个安全保护系统的完整性等级取决于其中可靠性最差的某个元器件，因此必须综合考虑每个元器件的可靠性，而并非片面追求单一部件的高可靠性

· 对于安全等级较高的场合，应该使用多个相对独立的逻辑回路来实现整个安全保护系统的安全等级

在风力发电机组的安全保护系统中，由于电子元器件的成本较低、安装和更换也较为简易，因此传感器部分较多地采用冗余配置。而执行器部分，由于工业用的机械设备的价格较高，体积较大，安装繁复，因而进行冗余配置的难度较大，因此需要采用可靠性较高设备。而逻辑控制器更是整个安全保护系统的心脏，因而更需要采用高可靠性的部件。

4 结束语

IEC61511标准为风力发电机组安全保护系统的设计和改造提供了很好的指导作用，遵循IEC61511的设计指导，可以使风力发电机组安全保护系统在规范、设计、安装、运行和维护的全生命周期的流程得到不断的完善，是确保风力发电机组运行安全的重要技术手段。

在风力发电机组安全保护系统设计和改造的过程中，仅仅关注传感器或逻辑控制器或执行器各个部分是否能够达到安全需求是不够的，需要对执行器的冗余配置、各个逻辑回路是否独立，风机保护功能是否合适等各方面进行系统考虑，才可以达到较好的防护效果，减少安全事故发生。

［1］姚兴佳，宋俊.风力发电机组原理与应用［M］.北京:机械工业出版社，2009.

［2］任清晨.风力发电机组工作原理和技术基础［M］.北京:.机械工业出版社，2010.

［3］Alan King.A process industry view of IEC 61508［J］.Computing ＆Control Engineering Journal，2000，11(1):19-23

［4］阳宪惠，郭海涛.安全系统的功能安全［M］.北京:清华大学出版社，2007.