1. 课程导入与安全链认知

风电机组是典型的无人值守、高空、大惯量旋转设备。塔筒高度可达 80～120 m，叶轮直径常超过 150 m，一旦发生飞车、倒塔、火灾或人员误入，后果往往是设备全损甚至人身伤亡。因此，风电机组的安全设计不能依赖"操作员及时发现并处理"，而必须依赖一条独立、可靠、可被强制触发的保护通道——这就是安全链（Safety Chain）。

安全链的本质，是一条串联的硬件安全回路：把机组上所有"一旦异常就必须立即停机"的保护触点串接在一起，形成一个闭合的低压回路。回路闭合时，安全继电器得电吸合，机组被允许运行；回路中任意一个触点断开，安全继电器立即失电，触发紧急停机。它的核心特征有三个：串联结构（任一点断开即全链断开）、失效安全（断线、失电、触点氧化都导向停机而非放行）、独立于主控（不经过 PLC 软件判断，直接作用于变桨、制动等执行机构）。

安全链在保护体系中的位置

要理解安全链，必须把它和"保护逻辑"区分开。保护逻辑是主控 PLC 中的软件判断，例如：风速超过 25 m/s 持续 10 s 触发切出、发电机绕组温度超过 145 ℃ 触发降载、振动超限触发停机。它灵活、可调、能分级处理，但依赖传感器、PLC 扫描周期和软件正确性。安全链则是硬件兜底，只在保护逻辑失效、或出现必须"无条件立即停机"的极端工况时才动作。

两者的关系可以概括为：保护逻辑负责"日常调节与分级保护"，安全链负责"最后一道硬防线"。正常停机、限功率、偏航对风由保护逻辑完成；而急停按钮按下、超速开关动作、扭缆极限、变桨系统失电、塔基/机舱急停、UPS 失效等，则直接串入安全链。安全链动作后，变桨系统依靠备用电源将叶片顺桨至 90°，机械制动器随后投入，机组在数十秒内完成安全停机。

安全链的组成环节

一条完整的安全链通常包含以下环节，从触发端到执行端依次为：

• 触发元件：塔基急停按钮、机舱急停按钮、轮毂急停按钮、超速开关（离心式或编码器冗余判断）、振动开关、扭缆限位开关、变桨系统故障触点、UPS/备用电源状态触点、消防系统触点、门禁开关等。
• 传输回路：24 V DC 低压串联回路，通常采用双回路冗余或带断线检测的常闭触点结构，确保断线也能触发停机。
• 安全继电器：接收回路状态，输出干接点信号，直接驱动变桨系统安全顺桨回路和机械制动器释放回路。
• 执行机构：变桨系统（依靠备用电源顺桨）、机械制动器、偏航制动器，以及向主控上报的"安全链动作"状态位。

需要特别注意的是，安全链的触点必须使用常闭触点。这样当线路断开、触点氧化、电源丢失时，回路自然断开，机组停机——这就是"失效安全"原则。如果使用常开触点，断线时回路反而保持闭合，保护就失效了。

典型事故案例的启示

历史上多起风电机组倒塔事故的调查结论都指向同一个问题：安全链被绕过或失效。例如某机组在维护期间，为方便调试将机舱急停触点短接，维护结束后未恢复，随后机组在超速工况下无法触发急停，最终导致飞车倒塔。另一类案例是变桨系统备用电源（UPS）长期未检测，安全链动作后叶片无法顺桨，机械制动器单独承受全部制动能量而失效。

这些案例给出三条设计启示：第一，安全链必须独立于主控软件，不能由 PLC 输出决定是否允许停机；第二，安全链必须可测试、可验证，每次维护后应执行安全链功能测试并记录；第三，安全链的执行端必须有独立能量来源，变桨备用电源、制动器液压蓄能器都要纳入定期检测。

本节要点回顾

安全链是风电机组保护体系的硬件兜底，由触发元件、传输回路、安全继电器和执行机构串联组成，遵循失效安全原则，独立于主控保护逻辑。保护逻辑负责日常分级调节，安全链负责极端工况下的无条件停机。理解这条"串联—断开—顺桨—制动"的因果链，是后续学习具体保护逻辑、测试方法和故障排查的基础。