NB_T11233-2023海上风力发电机组安全系统设计规范.docx

ICS27.180CCSFIlNB中华人民共和国能源行业标准NB/T112332023海上风力发电机组安全系统设计规范Designspecificationforsafetysystemofoffshorewindturbinegeneratorsystem2023-05-26发布2023-11-26实施国家能源局发布前言II1范围12规范性引用文件13术语和定义14总则25保护功能要求46设计要求67测试9附录A（规范性）安全系统功能设计流程图10附录B（规范性）性能等级评估11参考文献13扫码免费兑换电子书-X.-刖B本文件按照GB/T1.1-2020标准化工作导则第1部分：标准化文件的结构和起草规则的规定起草。请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。本文件由中国电器工业协会提出。本文件由能源行业风电标准化技术委员会风电电器设备分技术委员会(NEATCI/SC6)归口。本文件起草单位：国电联合动力技术有限公司、机械工业北京电工技术经济研究所、中广核风电有限公司、浙江运达风电股份有限公司、北京金风科创风电设备有限公司、华锐风电科技(集团)股份有限公司、哈电风能有限公司、明阳智慧能源集团股份公司、中国船舶重工集团海装风电股份有限公司、东方电气风电股份有限公司、深圳市禾望电气股份有限公司、西安热工研究院有限公司、阳光电源股份有限公司、中广核铀业发展有限公司、特变电工新疆新能源股份有限公司、维谛新能源有限公司、中国质量认证中心、中国电力科学研究院有限公司、远景能源有限公司、中车永济电机有限公司、成都阜特科技股份有限公司、上海中认尚科新能源技术有限公司、清华大学、北京源清慧虹信息科技有限公司、天津天传电控设备检测有限公司、上海电气集团股份有限公司、天津瑞源电气有限公司、北京鉴衡认证中心有限公司、长沙理工大学、中国电子工程设计院有限公司。本文件主要起草人：张欣露、王峰、果岩、董健、王小丽、何先照、郑立纹、孙长亮、侯班、邓刚、黄强、徐可、吴俊辉、王媛媛、郭燕萍、周党生、余俊琴、邹荔兵、刘杰、倪远翔、赵伟、吕一航、肖杰、李阳、赵勇、吴玉杨、孟祥志、成和样、王宝安、李少飞、白亮、侯洪强、闫东淼、刘鹏、杜慧成、陈晓杰、孔令行、苗强、付小林、王鹏军、吴蔚、王海铭、王连杰、孙今英、周静、蒋装、王帅、韩吴、尹鹏娟。本文件为首次发布。海上风力发电机组安全系统设计规范1范圉本文件规定了海上风力发电机组安全系统设计的总则、保护功能要求、设计要求、测试等内容。本文件适用于水平轴海上风力发电机组（以下简称风力发电机组）安全系统设计，不包括辅助系统（如逃生、消防等）设计。2规范性引用文件下列文件中的内容通过文中的规范性引用而构成木文件必不可少的条款.其中，注日期的引用文件，仅该日期对应的版本适用本文件：不注回期的引用文件，其最新版术（包括所有的修改单）适用于本文件。GB/T2900.532001甲工术语风力发电机组GB/T5226.1-2019机械电气要全机械电量设备第1部分：通用技术条件GB/T15706机极安拿设计通厕风险州估与风险减小GB/T16855.12018机械安全控制系统安全相关部件第1部分：设计通则GB/T16855.22015机械安全一控制系统安全相关部件第2部分：面认GB/T19069失速型风力发电机组控制系统。技术条件GB/T19292.1-2018金属和合金的腐蚀大气腐蚀性第1部分：分类、测定和评估GB/T20438.4-2017电气/电子/可编程电子安全相受系统的功能安全第4部分：定义和缩略语GB/T31517.1国定式海上风力发电机组一设计要求NB/T31017风为发电机组主控制系统技术规范NB/T31043海上已力发电机组主控制系统技末规范。NB/T31060-2014力发电设备环境条件NB/T31094-2016风力会电设各海上特殊环境条件与技果要求3术语和定义GB/T2900.532001、GB/T5226M2019、GBT15706、GB/T19069、GB/T20438.4-2017、NBT31017sNB/T31043界定的以及下列木语和声义适用工本文件C1.1安全系统safetysystem逻辑上优先于控制系统的一种系统，在超过相关安全的限值后，或者控制系统不能保证风力发电机组在正常运行限值范围内运行时，而采取保护行动的一种系统。1.2安全功能safetyfunction其失效后会立即造成风险增加的机器功能。1.3类别category（Cat.）控制系统的安全相关零部件在防止故障能力以及故障条件下后续行为方面的分类，它通过部件的结构布置、故障检测和（或）部件可靠性来达到。1.4失效failure产品执行所要求功能能力的终止。1.5危险失效dangerousfailure使控制系统安全相关部件（SRP/CS）有可能处于危险状态或功能丧失状态的失效。1.6系统失效systematicfailure原因确定的失效，只有对设计或制造过程、操作规程、文档或其他因素进行修改后，才有可能排除这种失效。1.7共因失效commoncausefailure;CCF由单一事件引发的不同产品的失效，这些失效不互为因果。1.8风险risk伤害发生概率和伤害发生的严重程度的综合。1.9性能等级performancelevel;P1.,在可预期条件下，用于规定控制系统的安全相关零部件执行安全功能的离散等级。3. 10所需的性能等级requiredperformancelevel;P1.,每种安全功能为达到所需的风险减小所应用的性能等级。4. 11平均危险失效时间meantimetodangerousfailure;MTTFo预期的危险失效平均时间。1.1.1 12诊断覆盖率diagnosticcaverage;DC诊断有效性的度量，它可以是可诊断的危险失效的失效率与所有的危险失效的失效率之间的比率。1.1.2 13每小时平均危险失效概率averageprobnbilltyoffailurewithinonehour;PFHo每小时发生危险失效的概率。4总则1.1.3 要求海上风力发电机组安全系统的设计除应满足GB/T31517.1的规定外，还应满足以下要求：a）安全系统必须独立于控制系统，逻辑优先于控制系统；b）应根据不同设计理念，由整机商对风险进行充分识别，定义所需的保护功能，见第5章；c）安全系统的设计，应保证安全功能对相应的风险有降低的作用；d）在任何故障情况下，安全系统应保障保护功能的完整性，保证风力发电机组处于安全状态：c）保护功能的完整性，应考忠在风力发电机组的全生命周期内获得保障；0安全系统宜分等级，不同等级对应不同的保护方法；g）当安全系统被触发后，应由人工进行故障确认和复位操作。1.1.4 条件1.1.5 洋条件在不同海域使用的安全系统设备应依据NB/T310942016第4章中规定的各海域海洋条件极值提出相适应的技术要求。应综合评估海洋特殊环境条件对风力发电机组的影响，并确定是否需要接入安全系统。1.1.6 环境条件海上风力发电机组的环境条件可参照NB/T31094-2016中第4章的有关规定。1.1.7 生物条件海上风力发电机组的生物条件应符合NB/T310602014表5中4B3.4B4等级要求。1.1.8 化学活性物质条件海上风力发电机组的化学活性物质条件应符合NB/T310602014表6中3Cs4、4Cs4等级要求。1.1.9 环境腐蚀性条件GB/T19292.12018中表C.1描述了各个分类对应的场景，CX适用于海洋环境。安全系统中直接暴露在机舱外部空气中的部件、装置、传感器等应满足防腐等级CX。4.3 硬件4.3.1 安全控制器安全控制器应符合以下要求：a）具备充分的安全设备可靠性设计理念，如采用非等效设计双通道IO、具备短路和同步检测功能，采用冗余设计、强制导向型触点等；b）具备故障指不功能：c）采用符合行业风险标准和相应安全等级的安全元器件；d）复位操作应受控，不应采用自复位方式；e）宜具备远程复位通道；0应配置不间断电源供电：g）采用经认证的安全产品，如含有固件，也应经过安全认证。4.3.2 输入和输出部件安全系统的输入和输出部件属于风力发电机组的关键部件，包括传感器、继电器、接触器、连接器等，对安全系统的性能都有较大的影响，设计选型时应充分考虑部件的可靠性。4.4 软件安全系统的软件应考虑如下要求：a）安全系统程序宜采用模块化和结构化编程：b）安全系统程序应具备分级访问权限，宜具备读写保护功能；c）应建立规范化的软件版本可追溯机制。5保护功能要求5.1 安全系统的保护功能5.1.1 超速保护叶轮/发甩机转速必须至少被不同的系统检测两次，获取至少两路信息，应至少有一路速度传感器连接到安全系统。转速运行保护示意图见图1,转速控制应满足：a)转速达到切出转速叫时，控制系统应执行停机：b)超过临界转速n4,直接触发安全系统执行停机；c)安全系统应保证风力发电机组不应超过最大过速mmuo说明：V切入风速：V,额定风速：V切出风速：VA一短期切出风速；mi最小运行转速：n,额定转速；n2设定转速：n2最大运行转速：H4切出转速：nA一临界转速：meu最大过速。图1转速运行保护示意图5.1.2 机舱振动保护传感器应处于机舱高度并偏离塔架轴线，持续不间断地测量风力发电机纸轴向及纵向振动。传感器灵敏度应与主要环境条件匹配，传感器应防止外界的干扰，包括未授权的人员干扰，应在风力发电机组调试过程中，完成振动传感器触发安全系统的参数设定。如振动测量值超过参数设定限值，则安全系统被触发。要求仅当复位功能触发，振动传感器触发安全系统信号才允许复位。5.1.3 过功率保护风力发电机组应配置两组相互独立的监测电能装置：变流器及电能监测模块。a) 变流器测量的电能参数发送至风力发电机组控制系统：b) 电能监测模块用于监测网侧的电能参数。独立于控制系统的电能监测装置可以在风力发电机组超过临界功率PA时立即触发安全系统，过功率触发限值只能通过电脑连接模块本身的调试接口或通过控制面板设定，风力发电机组控制系统不能通过P过载功率；PA临界功率。图2功率保护示意图5.1.4 偏航超跟保护偏航限位开关应独立于摇制系统史用于测量偏航位置的传感器在没力控制系统任何影响的情况下，在柔性电缆扭转达到安全限值时。偏航限位开关触发安全系统，安全系统被触发后可防止机舱进行更大程度的转动。5.1.5 急停保护急停保护是一种补充保护措施，不是降低风力发电机组风险的主要手段。急停保护装置应满足如下要求：a) 应至少在塔底和机舱各配置一个急停保护装置，并根据维护作业的空间分布及频率特点，考虑在不同维护空间增加急停保护装置.：b) 任意一个急停保护装置应能够立即触发安全系统，触发急停装置的保护功能必须优先于风力发电机组所有模式下的运行功能；c) 急停保护装置被按下后应一直维持触发状态，直到人工释放急停保护装置。5.1.6 短路保护风力发电机组应在主电力路径上配置短路保护设备，如保护设备检测到短路情况，应迅速响应同时触发安全系统。即当变流器网侧或发电机侧发生短路时，应立即触发风力发电机组安全系统。5.1.7 控制系统状态监测风力发电机组控制系统正常工作时，应发出一路看门狗信号至安全模块。当看门狗信号丢失或异常时，应立即触发风力发电机组安全系统。5.1.8 变桨系统状态监测安全系统应监测叶片桨距角和变桨系统的状态，当桨距角超出安全限值或者变桨系统状态异常时，应立即触发安全系统。5.1.9 制动系统制动系统山风力发电机组控制系统和安全系统共同控制。安全系统应至少接入两套相互独立的制动系统。a）变桨距制动系统。安全系统应有一路信号输出至变桨距制动系统。当安全系统被触发时，变桨距制动系统应确保风力发电机组完成顺桨动作。b）机械制动系统。机械制动系统应满足急停保护装置触发时完成风力发电机组停机动作。制动系统的工作状态应被有效监测，以保证在任何情况下制动系统都具备可靠的保护功能，如变桨距制动系统的工作状态监测、机械制动系统的磨损状态监测等。5.2安全系统的复位功能安全系统被触发后，该状态应保持到安全复位被触发为止。通过复位解除触发状态后，风力发电机组才能恢复正常功能。宜采用如下复位方案：a）机舱和塔底应各设置一个复位按钮。需要特别注意：风力发电机组故障后应由有权限的人员现场评估，确认可执行复位操作后由专业人员进行复位。b）由于海上风力发电机组具有维护不便的突出特点，宜配置远程监控设备和远程复位功能，风力发电机组故障后应由专业人员根据故障数据和设备状态评估机组状态，并根据评估结果决定是否可以远程复位。6设计要求6.1 风险识别应对风力发电机组的系统性风险进行识别，识别过程应基于风力发电机组设计理念中的各种运行工况及限制条件。不论使用何种工程方法进行风险识别，应能够确认风力发电机组可能发生的故障。风险一般应考忠风力发电机组的：a）部件的失效；b）功能/任务的失效；c）可能的失效原因/模式：d）故障发生的频率；C）故障影响及危险程度（结合使用工况）O6.2 安全功能设计安全系统功能设计是一个迭代的过程，设计过程应符合附录A的要求。主要过程包括：a）识别系统包含的安全功能项：b）明确每项安全功能的特性；c）确定每项安全功能所需的性能等级P1.;d）安全功能设计及技术实现；c）计算评估性能等级：0验证是否达到所需性能等级，如达到进行下一项安全功能的设计评估验证，如达不到应重新进行该项安全功能设计，直到达到为止。1.1.1 全功能分配典型安全系统模块图如图3所示，一般分为输入装置、逻辑处理装置和输出装置/动力控制单元。说明：m监控：1-相述接的方法,图3安全系统模块图1.1.2 确定所需性能等级P1.,确定安全功能P1.,的指南见图4。该风险评估方法基于GB/T15706,系统的每个安全功能都宜考虑本图。高风险说明：Si轻微伤害（通常是可恢复的伤害）；S2一一严重伤害（通常是不可恢复的伤害或死亡）；Fl很少、不常和/或暴露时间短：F2-频繁、连续和/或暴露时间长；PI在特定条件下可能避免危险或限制伤寿：P2几乎不可能避免危险或限制伤害。图4用于确定安全功能要求的P1.,的风险图1.1.3 划分结构类别结构类别参数描述了风力发电机组安全系统发生失效时机组的运行状况，是实现P1.,的基本参数。各结构类别要求和示意图见表1。应根据每个功能块的结构将其归入表1的结构类别之一，系统中MTTFp、DC、CCF参数应满足该系统结构类别的要求。结构类别要求总结系统行为结构类别B3年WMTTF2<30年发生单一故障则系统或子系统失效输入装置逻辑输出设备1满足B的要求：必须使用经验证的元器件和安全原则：30年WMTTF,<100年发生单一故障则系统或子系统失效。比类别B失效概率低输入装置m逻辑输出设备2满足B的要求；采川试验效果良好的安全原则：必须应用系统/子系统的功能测试进行诊断监控：3年WMTTFO<100年：60%DC<99%通过检查可以检查出功能安全丢失。如果单一故障发生在两次功能测试期间，系统或子系统失效，但失效概率低于类别1输入装置逻辑输出设备州测试设备m测试设备的输出3满足B的要求；采用试验效果良好的安全原则：安全相关部件设计成系统发生任何单一故障时，系统子系统安全功能不能失效：应能检测到单一故障：3年WMTTFP<100年60%DC<99%;CCF465实现单一故障的容错功能。最常用的实现方法是应用双通道架构。要求可以检测出一些但不是所有故障。未检测到的积累故障可能导致安全功能失效。系统的MTTFP越大，所需的DC就会越小输入装置输入装置Im逻辑输出设备交叉监控逻输出设备n4满足B的要求：采用试验效果良好的安全原则：安全相关部件设计成系统发生任何单一故障时，系统子系统安全功能不能失效：下次需要安全功能之时或之前可检测出单个故障，一个累积的故障不会导致安全功能丢失：DC299%;CCF*265;30年WMTTF,<100年需要的监控力度题大划诊断覆盖率越高，图中通过虚线表示监控功能。类别4检测范围必须覆盖到所有单一故障。在故障组合条件下也不能导致危险失效输入装置输入裂置且逻辑.一输出设备交义监理辑/.输出设备CCF计算可参照GB/T16855.12018中表FI的方法进行计算。6.24性能等级评估性能等级评估按照附录B进行。6.3 安全功能评估安全功能和要求的性能等级评估方法及步骤见6.2。6.4 安全功能验证安全验证主要包括两个方面：a)确认安全系统是否满足设计方案中所规定的安全功能和安全特性。b)确认安全系统是否满足其结构类别的要求。应验证的项目要求见表2。«2映证项目要求确认项目结构类别备注B1234基本安全原则电气设备食考GB/T16855.22015中表D.1经验证的部件电气取备参通GB/T16855.22015中表D.3经验证的安全屋则V电气设备参考GB/T16855.22015中表D.2可预测的单一故障和检测方法已识别的共模失效的防止方法预见的单一故障的推除电气设备参考GBTI6855.22015中表D.5待检查的故隙各种故障的需积效果非关联故障情况下可靠实现安全功能-故障并发时可靠实现安金功能注：“J”表示需要鼎证：“一”表示不需要验证。7测试安全系统测试应满足CE6855.22015中第6章的要求。应制订合理的测试方案及测试计划，能够有效检验安全系统保护环能的分整性和实现度。7.1 单元测试单元测试应满足以下要求：a)单元测试应采用真实或等效模拟的测读方具过行安全系统逻辑功能的验证：b)应将输出的响应结果与规定的输出结果进行比较，并根据测试结果优化设计，确保达到预定的功能，编制单元测试记录表。7.2 余凭谢我系统测试应满足以下要求：a)系统测试应搭建完整的安全系统回路，包括安全系统、传感机构、测量机构和执行机构等。b)应依据安全系统功能分别触发安全链，观察并记录安全链的输入和输出状态，判断安全链动作是否符合安全逻辑预定功能。应编制系统测试记录表，宜包括测试日期、测试人员、测试环境、测试程序版木和测试结果等。附录A（规范性）安全系统功能设计流程图安全系统设计过程是一个迭代的过程，主要过程如下：确定故障顶、风险评估、风险减小、设计验证，设计迭代过程，见图A.I.确定故障项风险评估风险减小设计验证否图A.1安全系统功能设计流程图附录B(规范性)性能等级评估B.1计算MTTF。值平均危险失效时间(MTTFP)表示导致安全功能失效的平均时间，以年为单位表示。参照下述三个方法确认单个元件的MTTFp:a)使用制造商数据表中的数据；b)使用GBzTI6855.12018中附录C的方法；c)使用10年值。单通道MnR是该通道组件MTiF。的平均值，系统或子系统单通道MTlF。的平均值可通过公式(B.D计算。式中：MTTFp针对整个通道；MrlPPx、MTrFPyTl成安全功能的每个元件的MTTFp:mMTTF0相同元件的个数。每个通道的平均危险失效时间用3个等级划分，具体划分情况见表B.U表B.1单通道MTTK指标划分单个通道指标单个通道范围低3年WMTTFPqo年中10年WMTTFP<30年高30年WMTTFo<100年B.2计算诊断覆盖率端无益率为百分比，表示渊出的危的失效群(Am)占总危检失效慨率(EA)的百分比.如公式(B.2)所示。注：可采用GBT16855l-2018附录E中的表格得出DC数值，该标准将DC分成了四个等级，见表B.2.表B.2DC指标分级指标DC范用无DC<60%低60%DC<90%中90%DC<99%高DC299%B3子麴曲PFHo值GB/T16855.12018附录K中描述了结构类别、DC、MTTFo和PFH2的关系，根据上述各子系统类别、N11TFo和DC数据查表得出各子系统PFn2。B.4计算整个回路的PFH7值各子系统的PFH1相加得到整个回路的PFH值，如公式(B.3)所示。PFH=PFH+PFH+PFHo.+PFH(B.3)R5安全性能等级P1.值对照表B.3,得出系统的安全性能等级值。表B.3PFHO与P1.对应关系P1.PFHpa10-jPFHo<10-*b3×106PFIIp<10CIO4WPFH,<3×10d107PFHp<10-*e104PFHo<10,参卷文献ll?NB/T103192019风力娘顺机飙发全案教慢讲技术规范