高 陽

（上海中廣核工程科技有限公司，上海 200241）

0 引言

安全是在人類生產(chǎn)過程中，將系統(tǒng)的運(yùn)行狀態(tài)對(duì)人類的生命、財(cái)產(chǎn)、環(huán)境可能產(chǎn)生的損害控制在人類能接受水平以下的狀態(tài)[1]。在大型風(fēng)力發(fā)電機(jī)組中，通過安全系統(tǒng)來保障機(jī)組中電氣、機(jī)械設(shè)備的安全運(yùn)行，保護(hù)從業(yè)人員的人身安全。安全系統(tǒng)是獨(dú)立于控制系統(tǒng)的硬件保護(hù)措施，安全系統(tǒng)的響應(yīng)動(dòng)作優(yōu)先于控制系統(tǒng)，即使控制系統(tǒng)發(fā)生異常，也不會(huì)影響安全系統(tǒng)的正常動(dòng)作，從而最大限度地保證大型風(fēng)力發(fā)電機(jī)組的安全。

目前，在設(shè)計(jì)大型風(fēng)力發(fā)電機(jī)組的安全系統(tǒng)時(shí)缺少一套標(biāo)準(zhǔn)化的方法，這就導(dǎo)致了在安全系統(tǒng)設(shè)計(jì)完成后，其能夠達(dá)到的安全等級(jí)不明確的問題，給機(jī)組的安全運(yùn)行埋下了隱患。

為了解決這一問題，本文提出了一種針對(duì)大型風(fēng)力發(fā)電機(jī)組安全系統(tǒng)的設(shè)計(jì)方法。首先，對(duì)大型風(fēng)力發(fā)電機(jī)組進(jìn)行風(fēng)險(xiǎn)要素分析；其次，通過安全完整性等級(jí)賦值法與性能等級(jí)流程法相結(jié)合的方式確定消除各風(fēng)險(xiǎn)要素需要達(dá)到的安全等級(jí)，進(jìn)而在此基礎(chǔ)上設(shè)計(jì)了滿足安全等級(jí)要求的硬件電路與安全系統(tǒng)，最后介紹了按此方法設(shè)計(jì)完成的安全系統(tǒng)的應(yīng)用情況。

1 大型風(fēng)力發(fā)電機(jī)組的風(fēng)險(xiǎn)要素分析

影響大型風(fēng)力發(fā)電機(jī)組安全的要素，可以分為3類：

一是風(fēng)力發(fā)電機(jī)組中的傳動(dòng)鏈。傳動(dòng)鏈一般由風(fēng)輪、主軸承、齒輪箱和發(fā)電機(jī)等部件組成。傳動(dòng)鏈部件超速會(huì)導(dǎo)致部件自身乃至整個(gè)風(fēng)機(jī)的損毀，因此一般選取傳動(dòng)鏈上一個(gè)部件的轉(zhuǎn)速作為風(fēng)險(xiǎn)要素進(jìn)行評(píng)估，并在設(shè)計(jì)安全系統(tǒng)時(shí)將該部件的超速情況作為安全系統(tǒng)的輸入，其中選用較多的是風(fēng)輪超速信號(hào)或發(fā)電機(jī)超速信號(hào)。

二是風(fēng)力發(fā)電機(jī)組中的重要子系統(tǒng)。重要子系統(tǒng)包含偏航系統(tǒng)、變槳系統(tǒng)、變流器和振動(dòng)監(jiān)測系統(tǒng)4個(gè)部件[2]。偏航系統(tǒng)中的扭纜限位開關(guān)保護(hù)著電纜不過度扭纜，否則將導(dǎo)致機(jī)組電氣系統(tǒng)的損毀和失效。變槳系統(tǒng)作為風(fēng)力發(fā)電機(jī)組的氣動(dòng)剎車機(jī)構(gòu)，如果失效將引起機(jī)組的嚴(yán)重?fù)p毀。變流器作為機(jī)組并網(wǎng)的電力電子界面，如果失效將導(dǎo)致機(jī)組無法運(yùn)行發(fā)電乃至變流器等部件的損毀。振動(dòng)監(jiān)測系統(tǒng)檢測機(jī)組的振動(dòng)情況，其失效可能導(dǎo)致機(jī)組的嚴(yán)重?fù)p毀。因此，重要子系統(tǒng)是安全系統(tǒng)的必需輸入，也是需要著重考慮的風(fēng)險(xiǎn)要素。

三是風(fēng)力發(fā)電機(jī)組中的控制系統(tǒng)。由于安全系統(tǒng)是風(fēng)力發(fā)電機(jī)組控制系統(tǒng)中的最后一道保護(hù)，處于機(jī)組的邏輯控制保護(hù)之后，當(dāng)控制器（如PLC）失效時(shí)，安全系統(tǒng)應(yīng)當(dāng)動(dòng)作確保機(jī)組停機(jī)。因此，控制器的失效也應(yīng)作為安全系統(tǒng)的輸入，也是一個(gè)風(fēng)險(xiǎn)要素。

2 適用于大型風(fēng)力發(fā)電機(jī)組安全系統(tǒng)設(shè)計(jì)的標(biāo)準(zhǔn)

目前常用于指導(dǎo)工業(yè)控制系統(tǒng)中安全系統(tǒng)設(shè)計(jì)的標(biāo)準(zhǔn)有兩個(gè)，分別是IEC 62061和ISO 13849。IEC 62061是IEC（國際電工委員會(huì)）頒布的標(biāo)準(zhǔn)，主要是對(duì)安全相關(guān)的電氣、電子、可編程電子控制系統(tǒng)的功能安全要求；ISO 13849-1是ISO（國際標(biāo)準(zhǔn)化組織）頒布的標(biāo)準(zhǔn)，主要是對(duì)控制系統(tǒng)安全相關(guān)部件的要求。

IEC 62061[3]《機(jī)械安全--與安全有關(guān)的電氣、電子和可編程電子控制系統(tǒng)的功能安全》是一個(gè)應(yīng)用于機(jī)械領(lǐng)域的國際功能安全標(biāo)準(zhǔn)，IEC 62061主要參考了IEC 61508的第二、第三部分，也就是軟、硬件開發(fā)的部分，IEC 61508標(biāo)準(zhǔn)定義了安全完整性等級(jí)（Safety Integrity Level，縮寫為SIL）。安全完整性等級(jí)表示一個(gè)系統(tǒng)的安全功能性能等級(jí)，共分4個(gè)等級(jí)：SIL1、SIL2、SIL3和SIL4。其中SIL1為最低等級(jí)，SIL4為最高等級(jí)。在機(jī)器安全中只用到了SIL1、SIL2和SIL3這3個(gè)等級(jí)。

ISO 13849-1[4]《機(jī)械安全--控制系統(tǒng)安全相關(guān)部件》繼承了EN 954-1的基本原則，側(cè)重于分析控制回路的結(jié)構(gòu)，并按照控制回路結(jié)構(gòu)將控制回路分成B、1、2、3、4共5個(gè)類別，再配合平均無危險(xiǎn)故障時(shí)間MTTFd（Mean Time To dangerous Failures）和系統(tǒng)診斷檢測范圍DC（Diagnostic Coverage），劃分出PL a、PL b、PL c、PL d、PL e 5個(gè)性能等級(jí)（Performance Level，縮寫為PL）。其中PL a為最低等級(jí)，PL e為最高等級(jí)[5]。

安全完整性等級(jí)（SIL）與性能等級(jí)（PL）具有如表2所示的對(duì)照關(guān)系。在設(shè)計(jì)大型風(fēng)力發(fā)電機(jī)組的安全控制系統(tǒng)時(shí)，可以同時(shí)參考IEC 62061和ISO 13849-1兩個(gè)標(biāo)準(zhǔn)。

表2 安全完整性等級(jí)與性能等級(jí)對(duì)照關(guān)系Table 2 The relationship between safety integrity level and performance level

3 安全等級(jí)評(píng)估

將風(fēng)險(xiǎn)要素作為評(píng)估對(duì)象，通過安全完整性等級(jí)賦值法與性能等級(jí)流程法可以分別評(píng)估出各項(xiàng)風(fēng)險(xiǎn)要素的安全完整性等級(jí)與性能等級(jí)。

在上述評(píng)估過程中使用的風(fēng)險(xiǎn)評(píng)估參數(shù)有4個(gè)，分別是：①Se（Severity of damage），損壞的嚴(yán)重性；②Fr（Frequency and duration of exposure to hazard），暴 露 在 危險(xiǎn)下的頻率；③Pr（Occurrence probability of hazardous situation），危險(xiǎn)情形發(fā)生的幾率；④Av（Probability of avoiding or limiting harm），避免或限制損害的可能性。

3.1 安全完整性等級(jí)賦值法

某一風(fēng)險(xiǎn)要素風(fēng)險(xiǎn)等級(jí)的評(píng)估，首先需確定該風(fēng)險(xiǎn)要素發(fā)生時(shí)導(dǎo)致風(fēng)力發(fā)電機(jī)組“損壞的嚴(yán)重性”，其次對(duì)該風(fēng)險(xiǎn)要素“暴露在危險(xiǎn)下的頻率”“危險(xiǎn)情形發(fā)生的幾率”和“避免或限制損害的可能性”進(jìn)行分項(xiàng)評(píng)估打分，再將三項(xiàng)評(píng)估得分加和，結(jié)合“損壞的嚴(yán)重性”一項(xiàng)評(píng)分確定出該風(fēng)險(xiǎn)要素的安全完整性等級(jí)。

圖1 安全完整性等級(jí)賦值法結(jié)構(gòu)Fig.1 SIL Assignment method structure

以表1中的9項(xiàng)風(fēng)險(xiǎn)要素作為輸入，通過安全完整性等級(jí)賦值法進(jìn)行風(fēng)險(xiǎn)評(píng)估，得到各項(xiàng)風(fēng)險(xiǎn)要素的安全完整性等級(jí)評(píng)估結(jié)果見表3。

表1 大型風(fēng)力發(fā)電機(jī)組的風(fēng)險(xiǎn)要素Table 1 The relationship between safety integrity level and performance level

表3 安全完整性等級(jí)賦值法評(píng)估結(jié)果Table 3 The results of SIL assessment method

3.2 性能等級(jí)流程法

性能等級(jí)流程法通過評(píng)估過程中使用了Se、Fr和Av 3個(gè)評(píng)估參數(shù)，與安全完整性等級(jí)評(píng)估法相比較舍棄了Pr這個(gè)參數(shù)。同時(shí)采用了分支流程的評(píng)估方法，不在需要具體分?jǐn)?shù)的評(píng)定與加和，使得評(píng)估更為快捷流暢。性能等級(jí)評(píng)估流程圖如圖3。

圖3 性能等級(jí)流程法評(píng)估體系Fig.3 Evaluation system of PL flow

其中，各分支走向的判斷條件見表4。

表4 性能等級(jí)評(píng)估判斷分支Table 4 PL level assessment judging branches

以表1中的9項(xiàng)風(fēng)險(xiǎn)要素作為輸入，通過性能等級(jí)流程法進(jìn)行風(fēng)險(xiǎn)評(píng)估，得到各項(xiàng)風(fēng)險(xiǎn)因素的性能等級(jí)評(píng)估結(jié)果，見表5。

3.3 評(píng)估結(jié)果差異分析

綜合表3和表5，可以得到表6，對(duì)通過安全完整性等級(jí)賦值法與性能等級(jí)流程法兩種方法評(píng)估得到的結(jié)果進(jìn)行對(duì)比分析。

表5 性能等級(jí)流程法評(píng)估結(jié)果Table 5 The results of PL assessment method

圖2 安全完整性等級(jí)賦值法評(píng)估體系Fig.2 Evaluation system of SIL assignment

從表6中可以看出，風(fēng)輪轉(zhuǎn)速、偏航系統(tǒng)、變槳系統(tǒng)和振動(dòng)等風(fēng)險(xiǎn)要素通過安全完整性等級(jí)評(píng)估法與性能等級(jí)流程法的評(píng)估結(jié)果是相匹配的。但變流器這一風(fēng)險(xiǎn)要素的安全完整性等級(jí)評(píng)估法的評(píng)估結(jié)果為SIL1，而性能等級(jí)流程法的評(píng)估結(jié)果為PL d，兩個(gè)評(píng)估結(jié)果是不匹配的，通過PL方式評(píng)估的等級(jí)高于通過安全完整性等級(jí)方式評(píng)估的等級(jí)。一般導(dǎo)致出現(xiàn)此類情況的原因有以下3個(gè)方面：

表6 兩種評(píng)估方法結(jié)果的對(duì)比Table 6 Comparison of the results of the two assessment methods

1）安全完整性等級(jí)賦值法與PL流程法的評(píng)估參數(shù)在數(shù)量上不一致，安全完整性等級(jí)賦值法需要通過4個(gè)評(píng)估參數(shù)完成評(píng)估，PL通過3個(gè)評(píng)估參數(shù)進(jìn)行評(píng)估。評(píng)估參數(shù)的數(shù)量會(huì)導(dǎo)致評(píng)估結(jié)果的偏差。

2）安全完整性等級(jí)賦值法與PL流程法的評(píng)估參數(shù)在粒度劃分上的細(xì)致程度不同，安全完整性等級(jí)賦值法采用打分的形式，每個(gè)評(píng)估參數(shù)對(duì)應(yīng)3～5個(gè)具體的分值，最終的評(píng)估結(jié)果也是通過具體的分?jǐn)?shù)累加而來。PL流程法采用分支流程的方式，每個(gè)評(píng)估參數(shù)對(duì)應(yīng)2個(gè)分支，最終的評(píng)估結(jié)果為選擇分支流程的終點(diǎn)。

3）評(píng)估人員的主觀因素，無論是安全完整性等級(jí)賦值法中各項(xiàng)風(fēng)險(xiǎn)要素分?jǐn)?shù)的給定，還是PL流程法中各項(xiàng)風(fēng)險(xiǎn)要素分支的選擇，其中都必然包含了評(píng)估人員的主觀判斷。對(duì)各項(xiàng)風(fēng)險(xiǎn)要素的認(rèn)知程度以及對(duì)大型風(fēng)力發(fā)電機(jī)組系統(tǒng)的認(rèn)知程度，都會(huì)影響評(píng)估人員的判斷，導(dǎo)致出現(xiàn)差異性的安全等級(jí)評(píng)估結(jié)果。因此，為了評(píng)估結(jié)果盡可能的客觀且能夠被廣泛地認(rèn)同，一般需要一個(gè)由認(rèn)證機(jī)構(gòu)、整機(jī)廠商、部件供應(yīng)商和業(yè)主共同組成的評(píng)估團(tuán)隊(duì)來完成風(fēng)險(xiǎn)要素的識(shí)別與安全等級(jí)評(píng)估。

3.4 安全等級(jí)的確定

對(duì)于變流器這一風(fēng)險(xiǎn)因素，由于在PL流程法中“Se2-->Fr2-->Av1-->PL d”的評(píng)估路徑是清晰確定的，在SIL賦值法中評(píng)估參數(shù)Pr的賦值根據(jù)不同變流器的運(yùn)行情況是可商榷的，因而對(duì)變流器的安全等級(jí)要求可以確定為PL d，在SIL等級(jí)中對(duì)應(yīng)為SIL 2，詳見表7。

接下來，以表7中確定的安全等級(jí)來設(shè)計(jì)安全系統(tǒng)電路。

表7 設(shè)計(jì)安全系統(tǒng)時(shí)采用的安全等級(jí)Table 7 The safety level used when designing the safety system

4 安全系統(tǒng)電路設(shè)計(jì)

在評(píng)估完了各個(gè)風(fēng)險(xiǎn)要素的等級(jí)之后，接下來就是按照評(píng)估結(jié)果進(jìn)行安全系統(tǒng)的電路設(shè)計(jì)。

4.1 SIL 1/ PL c安全等級(jí)電路的設(shè)計(jì)

對(duì)SIL 1/ PL c安全等級(jí)的電路，設(shè)計(jì)有如下要求：1） 電路中使用安全單元。

2） 具有反饋回路。

對(duì)于安全等級(jí)要求為SIL 1/PL c的電路，偏航扭纜限位開關(guān)接入主控系統(tǒng)安全鏈的信號(hào)可以是單通道的。

4.2 SIL 2/ PL d安全等級(jí)電路的設(shè)計(jì)

對(duì)SIL 2/ PL d安全等級(jí)的電路，設(shè)計(jì)上有如下要求：

1）電路中使用安全單元。

2）輸入與輸出信號(hào)均使用冗余設(shè)計(jì)。

3）具有反饋回路。為了實(shí)現(xiàn)SIL 2/PL d安全等級(jí)的電路，要求諸如測量風(fēng)輪轉(zhuǎn)速的過速模塊接入安全系統(tǒng)的信號(hào)、變槳通過滑環(huán)接入安全系統(tǒng)的信號(hào)、變流器接入安全系統(tǒng)的信號(hào)，以及振動(dòng)監(jiān)測系統(tǒng)接入安全系統(tǒng)的信號(hào)都是雙通道的。

4.3 典型安全電路設(shè)計(jì)

以表7中的變槳系統(tǒng)為例，對(duì)其實(shí)現(xiàn)SIL 2/ PL d安全等級(jí)電路的設(shè)計(jì)。首先，選用由安全CPU、安全輸入模塊及安全輸出模塊組成安全控制系統(tǒng)，滿足電路中使用安全單元的要求。

對(duì)于變槳系統(tǒng)而言，觸發(fā)安全停機(jī)的變槳系統(tǒng)故障有兩個(gè)，分別為“變槳系統(tǒng)故障1”與“變槳系統(tǒng)故障2”。這兩個(gè)信號(hào)占用不同的電氣滑環(huán)通道，接入安全輸入模塊中，形成輸入信號(hào)的冗余。

圖5 一種典型的獨(dú)立安全系統(tǒng)Fig.5 A typical independent safety system

當(dāng)安全CPU中的安全邏輯判定變槳系統(tǒng)需要進(jìn)入緊停模式時(shí)，將通過安全輸出模塊控制繼電器K1和K2輸出“變槳系統(tǒng)緊停1”和“變槳系統(tǒng)緊停2”兩路信號(hào)，各自通過獨(dú)立的電氣滑環(huán)通道輸出給變槳系統(tǒng)，形成輸出信號(hào)的冗余。同時(shí)，繼電器K1和K2動(dòng)作的信號(hào)也通過各自另外一個(gè)觸點(diǎn)反饋到安全輸入模塊，形成反饋回路的冗余。

典型的電路設(shè)計(jì)如圖4。

圖4 典型安全電路示意圖Fig.4 Typical safety circuit schematic

在實(shí)際設(shè)計(jì)中，如果上述硬件無法支持雙通道輸出，則其所在電路的安全等級(jí)則降低到SIL 1/ PL c，安全系統(tǒng)中的電路設(shè)計(jì)是安全等級(jí)評(píng)估結(jié)果與實(shí)際采用的元器件相互平衡后的結(jié)果。

5 安全系統(tǒng)的實(shí)現(xiàn)與應(yīng)用

在安全系統(tǒng)電路設(shè)計(jì)完成之后，配合安全控制器就可以構(gòu)成大型風(fēng)力發(fā)電機(jī)組的安全系統(tǒng)。

在大型風(fēng)力發(fā)電機(jī)組中，常用的安全控制器有3種：一是安全繼電器，二是集成安全控制器，三是具有可編程功能的安全繼電器。下面以具有可編程功能的安全繼電器為例，介紹一種可應(yīng)用于大型風(fēng)力發(fā)電機(jī)組的獨(dú)立安全系統(tǒng)。

獨(dú)立安全系統(tǒng)是使用具有可編程功能的安全繼電器構(gòu)建的安全系統(tǒng)，其特點(diǎn)如下[6]：

1）通用性好，可編程安全繼電器的品牌可以靈活選用。

2）功能獨(dú)立，不參加主控系統(tǒng)中PLC控制器的組態(tài)。

3）支持邏輯編程，可以實(shí)現(xiàn)較為復(fù)雜的安全邏輯。

獨(dú)立安全系統(tǒng)在硬件結(jié)構(gòu)上由安全CPU、安全數(shù)字量輸入模塊、安全數(shù)字量輸出模塊和安全系統(tǒng)電路構(gòu)成。獨(dú)立安全系統(tǒng)采用了通用化的與主控系統(tǒng)PLC不緊密相關(guān)的總線通訊協(xié)議，如PROFIBUS DP或CANOPEN。同時(shí)安全CPU、安全數(shù)字量輸入模塊、安全數(shù)字量輸出模塊不參與主控系統(tǒng)PLC模塊的組態(tài)。

安全系統(tǒng)與主控系統(tǒng)PLC通過PROFIBUS DP總線進(jìn)行數(shù)據(jù)交互，將安全系統(tǒng)的狀態(tài)信號(hào)和主控系統(tǒng)的復(fù)位信號(hào)等進(jìn)行傳遞。

目前，該安全系統(tǒng)配合中廣核國產(chǎn)化PLC構(gòu)成的主控系統(tǒng)，已應(yīng)用于內(nèi)蒙古某風(fēng)場25臺(tái)2MW風(fēng)力發(fā)電機(jī)組中，守護(hù)著中廣核風(fēng)力發(fā)電機(jī)組的運(yùn)行安全。

6 結(jié)語

安全系統(tǒng)保障了大型風(fēng)力發(fā)電機(jī)組的安全運(yùn)行，也保護(hù)了風(fēng)力發(fā)電行業(yè)從業(yè)人員的人身安全。本文從風(fēng)險(xiǎn)要素識(shí)別、安全標(biāo)準(zhǔn)的運(yùn)用、安全等級(jí)的評(píng)估、安全電路與安全系統(tǒng)的設(shè)計(jì)等方面闡述了大型風(fēng)力發(fā)電機(jī)組安全系統(tǒng)的設(shè)計(jì)方法。在實(shí)際的設(shè)計(jì)中，還需要考慮系統(tǒng)成本的約束、系統(tǒng)的可擴(kuò)展性以及施工工藝的可操作性等因素，同時(shí)隨著安全技術(shù)的發(fā)展，智能化也必將成為大型風(fēng)力發(fā)電機(jī)組安全系統(tǒng)的發(fā)展趨勢(shì)。