3. 安全链总体架构与层级划分

风电机组安全链不是一根“急停拉线”那么简单，而是一套从整机到子系统、从传感器到执行机构逐级串联又相互冗余的保护体系。理解它的关键，是先看清层级：哪些保护属于整机级、哪些属于子系统级、信号沿什么方向流动、冗余在哪里生效、安全完整性等级（SIL）又约束了哪些环节。只有把层级和流向理清，后续的接线、测试和排障才有依据。

一、安全链的层级结构

按保护范围和动作后果，风电机组安全链通常划分为四个层级，自顶向下依次为：

• 整机级安全链（L0）：面向整台机组和人员安全，触发后执行整机安全停机。典型触发源包括机舱急停按钮、塔基急停按钮、超速保护、振动超限、变桨系统失效、主控看门狗超时等。执行结果是所有叶片顺桨至安全位置并施加机械制动。
• 子系统级安全链（L1）：面向变桨、偏航、传动链、液压等子系统，触发后先由子系统自身完成保护动作，再向整机级上报。例如变桨系统的安全链负责在失电或超速时依靠后备电源完成顺桨。
• 部件级保护（L2）：面向具体部件，如变桨驱动器过流、发电机绕组温度过高、齿轮箱油温异常。这类保护通常先由部件控制器处理，必要时再升级到子系统或整机级。
• 监测与诊断层（L3）：不直接参与停机动作，负责状态监测、趋势记录和预警，为安全链提供早期信息，但不替代安全链的硬逻辑。

需要强调的是，L0 与 L1 之间不是简单的“或”关系，而是有明确的优先级和互锁：子系统级保护动作后，必须通过硬接点或安全总线向整机级反馈“已进入安全状态”，整机级才允许复位。这种层级划分保证了任何一级失效都不会被下一级掩盖。

二、信号流向与冗余设计

安全链的信号流向遵循“传感器 → 安全逻辑 → 执行机构”的主干，但在整机与子系统之间存在双向交互。以变桨安全链为例：变桨柜内的超速开关、急停回路和后备电源状态先进入变桨安全模块，模块判断后一方面驱动变桨电机顺桨，另一方面通过安全继电器向主控安全链输出“变桨安全就绪”信号。主控只有在收到该信号且自身安全条件满足时，才允许机组并网运行。

冗余设计是安全链可靠性的核心。常见做法包括：

• 双通道冗余：急停回路采用两路独立常闭触点串联，任一路断开即触发停机，避免单点失效。
• 异构冗余：超速保护同时采用机械离心开关和编码器软件判断，两者原理不同，降低共因失效概率。
• 失电安全：安全链采用常闭回路，断电即触发，确保电源故障时系统进入安全状态。
• 后备电源：变桨系统配置超级电容或蓄电池，在主电源丢失后仍能完成一次顺桨。

三、安全完整性等级（SIL）概念

安全完整性等级用于量化安全功能在要求时的失效概率。IEC 61508 将 SIL 分为 1～4 级，风电行业常见的是 SIL 2 和 SIL 3。SIL 等级越高，对硬件故障裕度、诊断覆盖率、共因失效防护的要求越严。例如整机级急停和超速保护通常要求达到 SIL 2 及以上，而一般状态监测功能可能只需 SIL 1 或不要求 SIL。

确定 SIL 等级时，需要先做风险分析：识别危害、评估严重度和暴露频率，再确定所需的安全功能及其目标失效概率。以超速保护为例，若风险评估要求每小时危险失效概率低于 10⁻⁶，则对应 SIL 3；若允许在 10⁻⁶～10⁻⁷ 之间，则对应 SIL 2。设计时再通过冗余结构、诊断覆盖率和元件失效率数据反算是否达标。

四、层级与信号流向图解

下图给出从整机到子系统的安全链层级、信号流向与冗余关系示意。图中实线表示硬接线安全信号，虚线表示状态反馈或诊断信号，双通道以并行路径表示。

五、层级划分的工程意义

把安全链分成 L0～L3 四层，实际工程中有三个直接好处。第一，责任边界清晰：整机级只关心“是否必须整机停机”，子系统级负责“本子系统能否安全动作”，避免所有保护都堆到主控里导致逻辑臃肿。第二，测试可分层执行：整机级安全链可按月做急停回路测试，子系统级可按季度做顺桨测试，部件级可结合巡检做阈值校验，测试周期和深度与风险匹配。第三，SIL 分配有据可依：高风险功能放在高层级并赋予更高 SIL，低风险监测放在 L3，避免过度设计增加成本。

实际排障时，层级图也是快速定位的工具。若机组报“安全链断开”，先看 L0 安全继电器是否失电；若 L0 正常但机组仍停机，再查 L1 子系统反馈信号是否丢失；若反馈正常，则继续查 L2 部件级保护是否误动作。按层排查，比盲目翻图纸效率高得多。