典型的安全系统回路结构设计见图1。应定义清晰的安全系统结构组成，以便于设计实施及风险 价。 安全系统组成结构中，完整的保护功能应由输入、逻辑、输出三个单元组成。同一项输入可触发不 的输出的设计理念，应分别定义不同的保护功能回路结构。安全系统结构设计的一般组成特点： a 输入单元，一般采用过程传感器，如机械限位传感器、急停装置、编码器等，以及信号预处理 设备等。 b） 逻辑单元，应用独立的安全控制器或等效的安全控制技术实现安全系统控制逻辑部分。 c 输出单元，应包含叶轮制动系统，以及其他纳入安全系统保护功能的执行单元，如偏航系统、 液压系统、安全通道的闭锁设备。 d 选择安全通信方式，保证信息安全传递。 若输入、逻辑、输出包含复杂的电路系统，一般应单独考虑其设计及风险评估，安全系统不宜 采用复杂的系统设计，包括逻辑中的固件部分。 控制系统与安全系统的分层保护功能应实时交互验证

I1(n)—输入单元；L1(n)1/L1(n)2——逻辑单元；O1(n)—制动系统； in(ia）—输入单元通信方式；i2(iz2）——穴余输入单元通信方式；i(ion）—输出单元通信方式： 控制系统与安全系统交互验证。

图1典型的安全系统回路结构设计示意图

安全系统的软件设计应符合GB/T16855. 2018、GB28526、GB/T20438.3的相关要求。对于含 天入式软件的安全系统，应避免在风力发电机组全生命周期内发生软件故障。软件应具备可读性、可 式性、维护性，具备授权机制并采取措施防止软件被非法算改。

供暖标准NB/T10319—201

3/T10319—2019 应建立规范化的软件版本管理体系，建立健全软件相关版本命名规则、内容记录、测试流程、审批 程等管理体系，以及实施过程的历史追溯机制。

安全系统的通信方式可采用总线通信或干触点通信方式。安全系统的总线通信除满足本标准5.1.2 独立性要求外，还应符合GB/T34040的规定

安全控制器应考虑如下要求： a）应充分使用安全设计原则，如采用非等效设计I/O通信通道、强制导向型触点等。 b）应具备高性能等级，如PLe（按照GB/T16855.1一2018中第4章的规定进行分类） c）应具备远程复位通道。 d）安全控制器应采用经认证的安全产品，如含有固件，也应经过安全认证。 设计寿命应符合风力发电机组的全生命周期需要。 f 应配置不间断电源供电

5.3.4其他相关设备

安全系统其他相关设备包括传感器、继电器、电源、连接器等，一般应满足： a）使用经验证、可靠的设备，如凸轮开关、电磁阀等；或考虑在敏感保护功能回路中使用安全设 备（同本标准5.3.3的要求），如过速传感器、制动系统驱动器等。 b）如需采用非标准安装方式，需充分考虑安装的可靠性。 c）应具备充分的使用裕量。 d）宜采用失效模式确定的设备。 e）设计寿命应符合风力发电机组的全生命周期需要。

风力发电机组的安全要求应符合GB/T18451.1的相关规定。 5思伯人 限于以下风险： a） 机械载荷增大（转速、振动、功率等）。 b) 短路、电网异常。 c) 动力电缆过扭转。 d） 控制系统故障。 e) 制动系统故障。 f) 偏航系统故障。 g 维护作业中的安全。

叶轮/发电机转速必须至少被不同的系统检测两次，获取至少两路转速信息。至少有一路速度传感器 的检测原理直接作用于叶轮旋转部件。 转速运行保护曲线见图2，转速监测应满足： a）当转速达到 n.值时，则控制系统应执行停机。

图2转速运行保护曲线示意图

如果振动测量值超过安全限值，应触发安全系统， 使风力发电机组停机并处于安全状态。具体要求 如下： a) 振动的监测应连续进行。 b 振动传感器应处于机舱高度，并偏离塔架轴线。 c 采用感知整体振动的测量技术。 d) 安全限值的确定应与结构载荷适应性相匹配。

应由相互独立的系统连续对功率进行至少两次测量，或通过与功率有明确关联的物理量获得等效 余监测。功率运行保护曲线见图3，具体要求如下：

图3功率运行保护曲线示意图

a) 如果功率超过过载功率Pr，则控制系统应采取相应的保护措施。所采取的措施取决于系统设计 理念，功率应随之降低，或者通过控制系统执行停机。 6） 根据系统设计理念，可由安全系统连续监测功率是否超过临界功率PA，由安全系统执行保护停 机并处于安全停机状态。

风力发电机组主电力路径上必须装备合适的短路保护设备，并执行以下保护功能： a）如保护装置检测到短路情况，应迅速响应，切断短路回路。 b）根据设计理念，由控制系统或安全系统执行保护停机，并使之处于安全状态下。使用不能自动 复位保护设备（如发生熔断）时，如果通过保护设备达到安全状态，可由控制系统执行停机。

若运行会引起柔性电缆扭转，尤其是旋转部件和固定结构部件（如机舱与塔架）之间的连接电缆 需要采取防止由于过渡扭转而引起电缆损坏的技术措施 应由控制系统执行合理的解缆策略及保护机制，当电缆扭转达到安全限值后，安全系统触发执行停 机，同时禁止旋转部件沿电缆扭转方向进一步偏转。安全限值应考虑柔性电缆的最大可承受扭转角度。

安全系统应连续监测叶片桨距角（变桨距制动系统），若超出安全限值，应触发安全系统执行停机

安全系统应采用看门狗或等效的技术措施监测控制器的运行状态。控制系统故障时，应触发安全系 统执行停机。

急停装置应符合GB/T16754及GB/T5226.1一2019中10.7的技术原则，并满足如下要求： a 应至少在塔底和机舱各配置一个急停装置，并根据维护作业的空间分布及频率特点，考虑在不 同维护空间增加急停装置。 b） 急停装置应能够触发安全系统，触发急停装置的保护功能必须优先于风力发电机组所有模式下 的运行功能 c） 急停装置触发，风力发电机组所有可能移动并造成危险的部件（如叶轮、偏航系统）应进入安 全状态。 d）急停装置应保证便于触发操作，同时应采取措施避免误触碰造成错误触发。

制动系统的设计应满足JB/T10426.1及GB/T18451.1的有关要求。 制动系统工作状态应被有效监测，能包括可能的部件失效及渐进式缺陷，以保证在任何情况下制 系统都具备可靠的保护功能。制动系统至少应包括但不限于以下相关量： a）能量状态。 1）应自动连续监测储能设备是否有足够的能量，以保证制动系统的急停要求。 2）如果不能连续自动监测能量储存，则必须定期进行自动试验，以验证有足够的能量。 b）桨距角（变桨距制动系统）。 c）温度（系统环境温度、后备电源温度、驱动器温度等）。

d）机械制动器磨损状态（机械制动系统）。

安全系统需要对其设计性能进行综合评价，以确认其功能的完整性，即对安全系统设计（由本标准 第4章风险分析确定）是否达到预期风险减小的确认过程。 按照GB/T16855.1一2018规定的安全原则实施风险评价，并结合GB/T16855.2一2015的确认过程 通过分析与计算，获得安全系统的性能等级PL。安全系统设计完整性应满足： a)PL≥PLr b）充分考虑防止共因失效（CCF）的措施。 c）充分考虑预防系统性失效的措施。 若评估结果未能达到上述要求，应重新考虑安全系统的设计，直至满足评价要求。附录C提供了 项风力发电机组安全系统设计应用举例

防共因失效的设计分析，并进行充 CCF）措施的打分（≥65）。

7.4预防系统性失效措放

基于GB/T16855.1一2018第9章、GB/T16855.2一2015第11章的基本原则，以及GB/T35792的要 求制定合理的测试方案及测试计划，能够有效检验安全系统的功能完整性，并有以下要求： a）安全系统回路可采用真实性测试方式或等效的模拟测试方式实施验证过程。 b）测试范围应包括安全相关部件及保护功能，如传感设备、逻辑单元及制动系统。 C）制动系统应满足紧急停机制动过程需求，应考察：

B/T103192019

1）制动系统响应时间 2）紧急制动速度； 3）后备能量损耗。 d） 测试范围还应包括控制系统与安全系统的交叉监测部分。 e）应定义合理的测试条件，包括环境条件及风力发电机组运行条件。 测试计划。 1）风力发电机组首次安装完成，应进行安全系统的保护功能测试。 2 风力发电机组全生命周期内，安全系统相关部件（含固件）发生更换或技术升级后，应进 行保护功能测试。 3 风力发电机组正式投运后，应制定合理的定期（或不定期）测试计划，最长测试间隔周期 不应超过1年。 g）安全系统的定期测试结果，应以正式文档形式记录在案，并作为风力发电机组的运维管理计划 档案的组成部分，便于查询，

风力发电机组在不同的使用环境和状态下，存在诸多的风险。开发人员需要对风力发电机组全生命 周期内的运行过程，进行全面的归纳、分析，总结全部的系统性风险，对风险水平有合理的判别，并通 过控制系统、安全系统实施可靠的设计措施，以及其他预防系统性失效的辅助措施，有效降低风险水平， 保证风力发电机组始终处于安全状态

可靠的故障监测，保证风力发电机组工 运行限值范围内。控制系统应能够获取风力发电机组所有的运行信息，异常状态（设备故障或环境 必须能够被控制系统检测，并由控制系统采取适当的措施进行保护。

安全系统作为第二层保护单元，提供面向风力发电机组系统性风险，或预期损失较大的局部风险的 保护功能。这类风险应由制造商根据产品设计理念对风险水平及风险的经济性进行评价，并根据评价结 果确立安全系统的设计理念，本标准第6章有关要求内容应作为安全系统设计的基本要求考虑。 风力发电机组运行过程参数超过安全限值后，应触发安全系统的保护功能，并使用最高优先级的制 动过程。制动系统应在最短的时间内启动制动过程，并以最快的速度实施制动，使风力发电机组旋转部 件减速至安全范围或完全静止，制动过程应与风力发电机组部件的强度相适应。

A.4控制系统与安全系统的相互作用

控制系统与安全系统在设计上应相辅相成，建立分层保护机制。控制系统作为风力发电机组过程控 枢，应对运行过程的全部风险进行保护。安全系统一般仅对机组的系统性风险进行保护，其保护的 级高于控制系统。 控制系统与安全系统的相互作用还体现在如下方面： a）均应能够触发至少两套制动系统。若两套系统均启动制动系统实施不同的制动过程，则应执行 安全系统指令。 b） 安全系统应具有独立性，控制系统（即使发生故障）不允许影响安全系统的保护功能。 c）控制系统与安全系统运行过程中可实施交叉监测，相互验证功能的完整性。 d）同一风险，安全系统不应作为唯一保护措施，应同时在控制系统中设置保护功能，并先于安全 系统触发保护。 e） 安全系统触发保护动作后，控制系统仍能够保持在工作状态，辅助完成其他保护需求，例如， 仍需维持运行的部件（散热、照明等）、故障数据存储、就地及远程警示等。 风力发电机组控制系统与安全系统相互作用如图A.1所示。

NB/T103192019

图A.1风力发电机组控制系统与安全系统相互作

附录B （规范性附录） 安全系统设计流程 风力发电机组安全系统设计流程如图B.1所示。

NB/T103192019

附录B （规范性附录） 安全系统设计流程

图B.1风力发电机组安全系统设计流程

NB/T103192019

作为风险评价流程及文档编制的指导性说明，不压 .1所示风险举例

附录C （资料性附录） 基于风险评估的安全系统设计示例

桥梁工程表C.1保护功能列表示例

以PF1叶轮过速保护功能为例，绘制保护功能框图，如图C.1所示。如果保护功能不便于进行整体 性的确认，可按照子系统划分分别进行PL确认，并根据GB/T16855.1一2018中6.3进行保护功能整体 的PL确认

图C.1过速保护功能安全框图示例

以图C.1中子系统2为例，根据GB/T16855.1一2018分别评估子系统部件/整体的类别 DCav、CCF 结果, 见表 C.2。

市政常用表格表C.2子系统2的SRP/CS列表示例

同样的方式完成子系统1的评估结果，过速及其他保护功能的整体结果见表C.3，完成整体的 系统确认。

表C.3保护功能/子系统及其参数列表示例