2. 风电机组安全风险与保护需求分析

安全链不是一组孤立的急停按钮和继电器，它本质上是把风电机组各类风险源映射成可检测、可判断、可执行的保护动作。要设计或审查一条安全链，第一步不是选继电器型号，而是把机组可能遭遇的风险按来源分类，明确每一类风险需要被哪些信号覆盖、触发后应达到什么保护目标。本节围绕机械、电气、环境、电网四类风险源展开，并给出从风险到保护需求的转化方法。

一、四类风险源与典型故障

机械风险主要来自旋转部件、传动链和结构件。典型故障包括：主轴或齿轮箱轴承温度超限、齿轮箱油温过高、振动烈度超标、发电机轴承过热、叶轮超速、液压系统压力异常导致制动失效、偏航或变桨机构卡滞。机械风险的共同特点是发展相对缓慢（超速除外），因此保护需求偏向"阈值检测+延时确认"，避免瞬时扰动误停机，但超速必须走快速通道。

电气风险集中在变流器、发电机、变压器、电缆和接地系统。典型故障有：变流器直流母线过压/欠压、IGBT模块过温或短路、发电机绕组温度过高、绝缘电阻下降、相间或对地短路、电缆接头过热、防雷器失效。电气故障往往发展极快，保护需求偏向"快速切断+故障锁定"，并要求安全链在切断后不允许自动重合闸。

环境风险来自机组外部自然条件。典型情况包括：风速超过切出限值、风向突变导致偏航载荷过大、低温导致润滑失效或材料脆化、结冰造成叶片不平衡、雷击、沙尘或盐雾腐蚀、地震。环境风险的特点是"可预测但不可控"，保护需求偏向"分级降载或停机"，例如先限功率、再顺桨、最后停机，而不是一律急停。

电网风险来自并网点及外部电网。典型故障有：电网电压跌落或骤升、频率偏移、三相不平衡、电网失电、谐波超标、并网点开关跳闸。电网风险的特殊性在于，机组既是受害者也可能成为扰动源，因此保护需求要区分"穿越"与"脱网"：低电压穿越期间应维持并网并按曲线输出无功，超出穿越边界才触发脱网停机。

二、从风险到保护需求的转化

识别风险源之后，需要把每一类风险转化为可执行的安全链需求。转化过程可以按四个问题推进：用什么信号检测、判断条件是什么、触发后执行什么动作、动作后如何恢复。以齿轮箱油温过高为例：检测信号是齿轮箱油温PT100；判断条件是温度超过85℃持续10秒；执行动作是先降功率至50%，若继续升至95℃则触发安全链停机；恢复条件是温度降至70℃以下且人工复位。这样一条需求就同时定义了传感器、阈值、延时、动作和复位逻辑。

再以电网低电压穿越为例：检测信号是并网点三相电压有效值；判断条件是电压跌落至额定值的20%～90%区间且持续时间在穿越曲线以内；执行动作是维持并网并按曲线注入无功电流；若电压低于20%或超出曲线边界，则触发脱网停机。这里的关键是"穿越边界"必须用曲线而非单一阈值描述，安全链需要能读取电压-时间曲线并实时比较。

三、保护目标的优先级与冲突处理

不同风险对应的保护目标可能冲突。例如电网要求机组在电压跌落时尽量不脱网，但机组自身变流器在直流母线过压时又必须快速停机。处理原则是：人身安全优先于设备安全，设备安全优先于发电可用率。当电网穿越需求与设备保护冲突时，以设备保护边界为准，超出边界立即停机；边界以内则按电网要求执行穿越。

另一个冲突是环境风险中的"低温停机"与"结冰降载"。低温可能同时触发润滑失效和叶片结冰，此时应取更严格的保护动作：若温度低于-30℃且润滑压力不足，直接停机；若仅结冰导致振动上升，则先降载并启动除冰，振动继续上升再停机。安全链需要支持多条件组合判断，而不是单信号触发。

四、安全链覆盖范围检查表

完成风险分析后，可用下表逐项核对安全链是否覆盖了关键故障类型。表中"检测方式"和"保护动作"为示例配置，实际项目应根据机型、电网导则和场址条件调整。

五、需求分析中的常见遗漏

实际项目中，安全链需求分析容易遗漏三类情况。第一是传感器共因失效：如果超速保护只依赖一个转速传感器，传感器本身故障时保护失效，因此关键信号需要冗余并做一致性比较。第二是复位条件不明确：只写"故障消除后自动恢复"可能导致带病重启，应明确哪些故障必须人工复位。第三是电网穿越与设备保护的边界未量化：只写"按电网要求穿越"而不给出电压-时间曲线和直流母线上限，现场调试时无法判断动作是否正确。

综上，风电机组安全风险与保护需求分析的核心，是把机械、电气、环境、电网四类风险源逐一映射为"检测信号—判断条件—保护动作—恢复方式"四要素齐全的安全链需求，并按人身、设备、可用率的优先级处理冲突。只有需求本身完整、可测试，后续的安全链硬件选型、逻辑组态和现场验证才有可靠依据。