2022海上风力发电机组安全系统设计规范

海上风力发电机组安全系统设计规范目 次前 言 Ⅱ范围 1规范引文件 1术语定义 1总则 3保护能求 4设计求 77测试 10附录A（范）全统功设流图 11附录B（范）全能等计算 12参考献 13I海上风力发电机组安全系统设计规范范围系统（如逃生、消防等）设计。（GB/T2900.53—2001 GB/T5226.1—2019 1GB/T15706 GB/T16855.1—2018 械安全制统全部件第1部：计则GB/T16855.2—2015 械安全制统全部件第2部：认GB/T19069 失型风发机组制统技条件GB/T19292.1—2018 1GB/T20438.4—2017 4GB/T31517—2015 NB/T31017 NB/T31043 NB/T31060—2014 NB/T31094—2016 GB/T2900.53—2001、GB/T5226.1—2019、GB/T15706、GB/T19069、GB/T20438.4—2017、NB/T31017、NB/T31043界定的以及下列术语和定义适用于本文件。3.1安全系统safetysystem13.2安全功能safetyfunction其失效后会立即造成风险增加的机器功能。3.3类别category（Cat.）（）3.4失效failure产品执行所要求功能能力的终止。3.5危险失效dangerousfailure使控制系统安全相关部件（SRP/CS）有可能处于危险状态或功能丧失状态的失效。3.6系统失效systematicfailure3.7共因失效commoncausefailure；CCF由单一事件引发的不同产品的失效，这些失效不互为因果。3.8风险risk伤害发生概率和伤害发生的严重程度的综合。3.9性能等级performancelevel；PL在可预期条件下，用于规定控制系统的安全相关零部件执行安全功能的离散等级。3.10所需的性能等级requiredperformancelevel；PLr每种安全功能为达到所需的风险减小所应用的性能等级（PL）。3.112平均危险失效时间meantimetodangerousfailure；MTTFD预期的危险失效平均时间。3.12诊断覆盖率diagnosticcoverage；DC诊断有效性的度量，它可以是可诊断的危险失效的失效率与所有的危险失效的失效率之间的比率。3.13每小时平均危险失效概率averageprobabilityoffailurewithinonehour；PFHD每小时发生危险失效的概率。总则海上风力发电机组安全系统的设计应该满足GB/T31517—2015的规定，还应满足以下要求：5在不同海域使用的安全系统设备应依据NB/T31094—2016中规定的各海域极值提出相适应的技术要求。应综合评估海洋特殊环境条件对海上风电机组的影响，并确定是否需要接入安全系统。环境气温范围：b）100%；c）d）空气密度：1.225kg/m3；e）1.025kg/m3；f）水温范围：0℃~+35℃。海上风电机组的生物条件应符合NB/T31060—2014表5中4B3、4B4等级要求。3海上风电机组的化学活性物质条件应符合NB/T31060—2014表6中3Cs4、4Cs4等级要求。GB/T19292.1—2018中表C.1描述了各个分类对应的场景，CX适用于海洋环境。安全系统中直接暴露在机舱外部空气中的部件、装置、传感器等应满足防腐等级CX。安全控制器应符合以下要求：IO软件安全系统的软件应考虑如下要求：叶轮/发电机转速必须至少被不同的系统检测两次，获取至少两路信息，需至少有一路速度传感器连接到安全系统。转速运行保护示意图见图1，转速控制应满足：n4nAnmax。4说明：Vin——切入风速；Vr——额定风速；Vout——切出风速；VA——短期切出风速；n1——最小运行转速；nr——额定转速；n2——设定转速；n3——最大运行转速；n4——切出转速；nA——临界转速；nmax——最大过速。图1转速运行保护示意图风力发电机组应配置两组相互独立的监测电能装置：变流器及电能监测模块。a）变流器测量的电能参数发送至风力发电机组控制系统；b）电能监测模块用于监测网侧的电能参数。PA5说明：Vin——切入风速；Vr——额定风速；Vout——切出风速；VA——短期切出风速；Pr——额定功率；PT——过载功率；PA——临界功率。图2功率保护示意图偏航限位开关应独立于控制系统中用于测量偏航位置的传感器。在没有控制系统任何影响的情况风力发电机组应在主电力路径上配置短路保护设备，如保护设备检测到短路情况，须迅速响应同时触发安全系统。即当变流器网侧或发电机侧发生短路时，需立即触发风力发电机组安全系统。6功能//（）。安全系统功能设计是一个迭代的过程，设计过程应符合附录A要求。主要过程包括：确定每项安全功能所需的性能等级d）7典型安全系统模块图如图3所示，一般分为输入装置、逻辑处理装置和输出装置/动力控制单元。说明：m——监控；Im——互相连接的方法。图3安全系统模块图确定所需性能等级PLr确定安全功能PLrGB/T说明：S——伤害的严重度；S1——轻微（通常是可恢复的伤害）；S2——严重（F——暴露于危险的频率和/F2——频繁、连续和/或暴露时间长；P——避免危险或限制伤害的可能性；P1——在特定条件下可能；P2——几乎不可能避免。图4用于确定安全功能要求的PLr的风险图8PLr11MTTFD、DCCCF表1结构类别结构类别要求总结系统行为结构类别B3年≤MTTFD＜30年发生单一故障则系统或子系统失效1满足B的要求；必须使用经验证的元器件和安全原则；30年≤MTTFD＜100年发生单一故障则系统或子系统失效。比类别B失效概率低2满足B的要求；采用试验效果良好的安全原则；必须应用系统/子系统的功能测试进行诊断监控；3年≤MTTFD＜100；60%≤DC＜99%通过检查可以检查出功能安全丢失。如果单一故障发生在两次功能测试期间，系统或子系统失效，但失效概率低于类别13满足B的要求；采用试验效果良好的安全原则；安全相关部件设计成系统发生任何单一故障时，系统/子系统安全功能不能失效；应能检测到单一故障；3年≤MTTFD＜100年；60%≤DC＜99%；CCFa≥65实现单一故障的容错功能。最常用的实现方法是应用双通道架构。要求可以检测出一些但不是所有故障。未检测到的积累故障可能导致安全功能失效。系统的MTTFD越大，所需的DC就会越小4满足B的要求；采用试验效果良好的安全原则；安全相关部件设计成：系统发生任何单一故障时，系统/子系统安全功能不能失效；下次需要安全功能之时或个累积的故障不会导致安全功能丢失；DC≥99%；CCFa≥65；30年≤MTTFD＜100年需要的监控力度越大则诊断覆盖率越高，图中通过虚线表示监控功能。类别4检测范围必须覆盖到所有单一故障。在故障组合条件下也不能导致危险失效a CCF计算可参照GBT16855.1—2018安全等级计算按照附录B进行。9安全功能等级评估方法及步骤见6.2。安全验证主要包括两个方面：a）2。表2验证项目要求确认项目结构类别备注B1234基本安全原则√√√√√电气设备参考GBT16855.2—2015中表D.1经验证的部件—√———电气设备参考GBT16855.2—2015中表D.3经验证的安全原则—√√√√电气设备参考GBT16855.2—2015中表D.2可预测的单一故障和检测方法——√√√已识别的共模失效的防止方法———√√预见的单一故障的排除———√√电气设备参考GBT16855.2—2015中表D.5待检查的故障——√√√各种故障的累积效果————√非关联故障情况下可靠实现安全功能———√√故障并发时可靠实现安全功能————√测试安全系统测试应满足GB/T16855.2—2015中第6章的要求。需制订合理的测试方案及测试计划，能够有效检验安全系统保护功能的完整性和实现度。单元测试应满足以下要求：10系统测试应满足以下要求：a）11附录A（规范性）安全系统功能设计流程图安全系统设计过程是一个迭代的过程，主要过程如下：确定风力发电机组故障项、故障风险评估、风险减小、设计验证，设计迭代过程见图A.1。图A.1安全系统功能设计流程图12附录B（）MTTFD值平均危险失效时间（MTTFD）表示导致安全功能失效的平均时间，以年为单位表示。参照下述三个方法确认单个元件的MTTFD：使用GB/T16855.1—2018中附录C10单通道MTTFD是该通道组件MTTFD的平均值，系统或子系统单通道MTTFD的平均值可通过式（B.1）计算。 1 =N 1 =N n

（B.1）式中：MTTFD——针对整个通道；

11MTTFDi、MTTFDj——组成安全功能的每个元件的MTTFD；nj——MTTFD相同元件的个数。每个通道的平均危险失效时间用3个等级划分，具体划分情况见表B.1。表B.1单通道MTTFD指标划分单个通道指标单个通道范围低3年≤MTTFD＜10年中10年≤MTTFD＜30年高30年≤MTTFD＜100年（（Dtotal比，用以下公式。

ttl

（B.2）注：可采用GB/T16855.1—2018附录E中的表格得出DC数值，该标准将DC分成了四个等级，见表B.2。13表B.2 DC标级指标DC范围无DC˂60%低60%≤DC<90%中90%≤DC<99%高DC≥99%PFHD值GBT16855.1—2018KDCMTTFDPFHDMTTFDDC