在中国风电的快速发展时期，不少风电场出现了机组飞车、倒塌事故。事故原因多种多样。在事故分析时，只有遵从风电机组运行的基本原理、设计理念，方能找出事故产生的真实原因，以避免类似事故的再次发生。下面就某风电场的飞车、倒塌事故进行分析。
某风电场机组的飞车倒塌事故
一、事故现象
某风电场监控人员发现监控系统报发电机超速，在短暂的停机后，风电机组的叶片又再次不明原因运转。事故机组发生飞车以后，机舱已经全部烧毁，不能从监控软件和控制器获取信息，除了事故现象和烧毁机组外，能够得到的有用信息很少，这给事故分析带来了一定的困难。而事发过程留下了很多谜团，通过剖析事发时诸多特殊的现象，可找到事故发生时的确切原因。
该机组使用的是LUST直流变桨系统，Mita控制器WP3100，后台为Getway软件，由于事发时机组控制器数据没有传到后台，机组全部烧毁，数据无法读取。只能从现场人员那里知道当时的一些现象和细节。
事发时风速大约在10m/s左右。一方面，现场维修人员在事发时看到，事故机组在机舱冒烟后完全停下来了，其后又迅速启机，并飞速旋转，迅速倒塌;另一方面，控制室的监控人员从监控软件上看到，机组达到的最高转速在2700rpm以上。由于厂家维修人员和业主监控人员离出事机组距离较近，当第一次停机时，机组的机舱部分已经冒烟，所以引起了他们的特别关注，第二次启机的旋转速度又与平常机组启机有明显的区别，因此，所有现场人员都一致地描述到：“机组是完全停下来之后，经过短暂停机，机组又再次迅速启机”。
机组全部烧毁后，现场勘查发现，三支叶片都没有顺桨;在第二节塔筒的中部位置折断;主轴刹车器处于制动状态，刹车盘和主轴刹车片严重磨损。而其他部位没有卡死和剧烈磨损的现象。
从以上的现象和现场勘测留下的疑问有：当时机组是因什么故障而停机的;在机组停下来的同时，机舱因何冒烟、火源来自何方;而停机之后，没有人复位，又怎么会自动迅速启机(在正常情况下，只有当机组故障消除后，才能自动复位);是主轴刹车器刹不住还是自动解开了?如果主轴刹车器自动解开，又因何而解开等众多疑问。
然而，此次事故最为关键的是：事后三支叶片都在零度位置，没有任何收桨的痕迹。为何三支桨叶都没有顺桨?
二、事故的思考与问题
是否因屏蔽状态码造成飞车倒塌事故
该机组使用的是Mita公司所生产的风电机组控制器，其设计较为完善。该控制器把风电机组所处的状态都用与之对应代码表示，可以表明风电机组的运行状态、故障信息以及刹车等级等，这就是状态码。
对于绝大部分的状态码，根据维修人员的技术水平与当时的需要可以屏蔽(使其失效);而有的状态码则由程序设定不能屏蔽，即使是用最高权限也不能屏蔽，例如：手动停机(13)、电池检测(95)、轮毂电池故障(57)、电池电压低(1182、1184、1186)、变桨速度太慢(1919、1920、1921)、刹车反馈(429、455)、刹车磨损(415)以及与安全链有关的状态码等。也就是说，任何现场人员都不能对这些状态码进行操作。这样，既能保证机组安全和人身安全，又能在处理故障时采取灵活多变的措施，根据维修人员的经验、判断和处理故障能力，在保证部件安全的前提下，以达到迅速分析、判断、确认并排除故障。
经过以上分析，此次事故不可能是因现场人员屏蔽状态码造成，而事故原因何在?
有多道超速保护机组为何没有停下来
当机组第二次启机时，机组转速从0rpm一直飞升到2700rpm，中间顺利通过了多道超速保护，而没有顺桨，则是交、直流顺桨均没有起作用。
该控制器为限制机组超速而设置的状态码有：213、1905、1411、310、311、312、317、328、319、320。除状态码213是只报警不停机之外，其他的9道超速保护均为停机保护。
以上状态码,除213、1905、1411之外，其他超速状态码都由机组控制器的程序设定不能屏蔽。虽然状态码1905能够屏蔽，但是，它的执行是完全由变桨控制器控制的，即使在机组控制器中被屏蔽了，只要满足触发条件，叶轮顺桨依然是要执行的。
第一，状态码213(极端阵风)，限制超速，只报警不停机。
在出现瞬时飓风时，报状态码213是降低额定转速，把机组的额定转速降至安全转速，即：机组在达到1960rpm，时间超过0.2秒，叶片以5°/s顺桨，通过软件把机组的额定转速由1780rpm降到1720rpm，使机组转速迅速下降。当转速下降后，机组的额定转速还可以再次上升且不停机。这样，既保证发电又降低转速，不至于超速。
第二，状态码1905(变桨自主运行)，刹车程序BP52，交流供电顺桨。
顺桨速度为5°/s。当机组转速达到1950rpm时，硬件WP2135动作，通过滑环传到轮毂控制器，轮毂控制器接到信号后超过300ms，轮毂控制器不再接收机组控制器的任何命令，只按轮毂控制器程序设定进行顺桨。在执行顺桨的同时，轮毂控制器通过变桨通讯传给机组控制器，由机组控制器报出故障，叶片顺桨到90°。如果存在变桨通讯故障，实际顺桨没有执行，则控制器不报此1905状态码故障。
第三，BP75限制超速状态码：1411(变频器超速)、310(齿轮箱超速)、311(转子超速)、312(发电机超速)均为交流供电收桨。
顺桨速度为8°/s。1411是变频器超速，达到2000rpm，变频器发出信号通过Mita控制发出信号使机组安全停机。
310、311、312分别是齿轮箱、转子、发电机软件超速保护。机组达到相应转速，如2178rpm时，Mita控制器通过软件，给轮毂控制发出指令，让叶轮顺桨使机组停机。
第四，BP200限制超速的状态码：317(转子超速超过最大值)、328(齿轮超速超过最大值)、319(发电机WP2035超速)、320(转子WP2035超速)均为电池顺桨，同时，主轴刹车器参与制动。
顺桨速度理论上应为15°/s，其实际速度要与电池电压、电流、变桨电机、变桨齿轮箱有关，通常在10s之内，三支叶片均能顺桨到92°，主轴刹车器制动，安全链断开。
状态码317、328分别是转子、齿轮箱转速超过最大设置值。机组达到相应转速，如2400rpm时，Mita控制器通过软件控制，使机组控制器断开安全链。
状态码319、320分别是转子、发电机硬件超速保护。机组达到相应转速，如2400rpm时，通过超速模块内的继电器动作断安全链，使机组停机，而与机组控制器程序设定无关。
从上面可以看出，在绝大多数的超速停机中，只采取交流供电收桨方式，不触及安全链，主轴刹车器不参与制动。而这10道超速保护，无论是在并网状态，或者是非并网条件都能使叶轮顺桨。
不管是交流供电顺桨，还是直流供电顺桨方式，只要在顺桨过程中出现问题，会报BP190故障，电池顺桨再辅助以主轴刹车器，从而保证风电机组能安全停下来。在主轴刹车器参与制动的30s后，主轴刹车器自动解开。
当顺桨存在问题时，主轴刹车器参与制动也能使机组安全停下来。在此次事故的第二次启机后，机组转速超过了2700rpm，为什么没有顺桨?只要以上的超速保护设置有一道保护能起作用，就不可能出现三支桨叶同时停在零度位置的现象。
主轴刹车器制动是否有问题
低级别刹车BP50、BP52、BP60、BP75采用交流供电进行顺桨;高级别刹车BP180、BP190、BP200采用电池供电顺桨;BP190、BP200除了电池供电顺桨外，还要辅助以主轴刹车器参与制动。由于主轴刹车器参与停机制动会产生巨大的冲击载荷，对机组不利。因此，在一般情况下，机组只采用顺桨来执行停机，主轴刹车器不参与制动。
机组停机，顺桨起主要作用，即：交流供电顺桨或电池顺桨，主轴刹车器一般不参与停机制动，主要在维护时使用;但是，当出现交流供电顺桨和电池顺桨都不能使机组停下来时，例如：三桨叶同时不能顺桨，主轴刹车器作为最后一道保护，参与制动保证机组安全。
该机组是采用的是两个被动式(常闭)主轴刹车器，总的制动扭矩为两倍满负荷扭矩。在三桨叶不能收回的条件下，风电机组也可以安全停下来。机组在第一次停机时，三支桨叶同时不能顺桨，应该是主轴刹车器参与制动，从而使叶轮停止转动，机组完全停了下来。而第二次启机后，主轴刹车器为何不能进行有效地制动?
是否轮毂电池故障造成三支叶片同时不能顺桨
从现场实践来看，对于当时所用的LUST轮毂，当机组报轮毂电池故障时，一般都能顺桨到92°限位开关位置(安全位置)。而因轮毂电池故障造成有一支叶片不能顺桨到预定位置的情况都很少，也就是说，叶片大都能顺桨到安全位置，至多由于电池电压太低，电池没有足够的能量使叶片到达92°，而能顺桨几度，或几十度。在现场的机组运行中，对于这种轮毂，当电池检测或高级别刹车时，因轮毂电池故障，又有一支叶片停在零度位置的情况极其罕见。
再者，对于Mita控制器WP3100来说，无论是由于高级别刹车，还是电池检测时，每当报过“轮毂电池故障”后，按照控制器程序的设定，在8h以后，必然还会进行电池检测。如果电池电压真低，机组还会报“轮毂电池故障”故障。此状态码不能屏蔽，一般情况下，只有将故障处理后才会再次正常运行。
一般情况下，在报“轮毂电池故障”之前，电池检测或高级别刹车时，会报“变桨速度太慢”。按照设定一周一次电池检测，在前一次电测检测时，三支桨叶都没有报“变桨速度太慢”，也没有报“轮毂电池故障”故障(从现场人员了解，事故机组运行很好)，而在需要电池顺桨时，不只是一支桨叶在零度位置不能顺桨，而是三支叶片都因轮毂电池故障不能顺桨，从概率来讲也是很难讲得通。
假设，因轮毂电池故障有一支叶片停在零度位置不能顺桨的概率为：1×10-3
那么，三支叶片同时在零度位置的概率为：1×10-9
因此，在轮毂的其他元器件没问题且接线正确的情况下，三支叶片同时因电池供电不足停在零度位置不能顺桨的概率极低。从概率来讲，这样的事件低到不可能发生的程度。
再从现场实践来讲，当时所使用的LUST直流变桨系统，因轮毂电池故障而造成两支叶片同时出现顺桨问题，并保持在零度位置，至今还没有发生过。所以，当电池顺桨时，因轮毂电池故障而造成三支桨叶同时在零度位置，既没有理论依据，也没有实践依据。
机组飞车、烧毁和倒塌原因分析
一、该风电机组的刹车原理分析
采用直流变桨系统的Mita控制器WP3100，每一个状态码都对应一个刹车程序。当一个状态码激活时就会执行与之相对应的刹车程序。当有多个状态码激活时，刹车级别最高的状态码优先执行。在刹车过程中刹车程序不能降低，在执行刹车程序期间，即使是具有最高刹车程序的状态码复位了，也要执行完这个高级别刹车。
三支桨叶同时不能收桨时，当转速上升到2400rpm时，则执行硬件超速BP200刹车。此时完全通过硬件动作执行。在这种情况下，只与硬件有关，而与风电机组控制器和轮毂软件程序无关，也跟风电机组外部供电与否及人为参与无关。
当主轴刹车器在叶轮高速旋转时进行制动，要使机组停下来，一方面，叶片有巨大的惯性，主轴刹车制动减速会产生很大的翻转扭矩，有使塔筒沿叶轮旋转方向折断的趋势，当翻转扭矩足够大时，就会从塔筒的应力集中点折断;另一方面，要使叶轮停止转动，叶轮的动能、势能和叶轮继续吸收的风能都消耗在主轴刹车器和刹车盘上，会释放巨大的热量，同时可能产生剧烈的火花。因此，主轴刹车器上设计有主轴刹车器罩壳，避免火花飞溅造成机舱起火。但是，当叶轮的能量足够大时，刹车器产生的剧烈火花还是会烧穿刹车器罩壳，或者引燃周围的可燃物着火导致机舱起火。
二、三支桨叶同时不能顺桨原理分析
该机组使用的直流变桨系统，其安全性很高。在正常情况下，电池顺桨电路是：电池→接触器→变桨电机，其顺桨方式与机组的控制软件无关，包括轮毂控制软件和机组控制软件。
依据LUST电路图，如果电池顺桨控制回路，或旁路限位开关回路被强行供上24V直流，那么，需要执行电池顺桨时，电池顺桨控制回路就不能断电，不可能切换到电池顺桨。在执行高级别刹车(需要电池供电顺桨)或电池检测时，机组会报“限位开关故障”(1159)故障。
在轮毂交流400V供电，以及机组控制器与轮毂控制器通讯正常的条件下，还可以通过：交流400V→接触器→轮毂驱动器→变桨电机顺桨，按照控制器WP3100程序控制，三叶片都准确回到90度，保证机组安全。
但是，如果存在以上的线路故障(1159)，在机组运行过程中，又报变桨通讯故障，则必然导致机组的三支叶片同时不能顺桨。这将严重危及机组安全，也许正是由于这个原因，Mita控制器WP3100的状态码1159，由程序设定不能屏蔽。
在上述情况下，如果机组在运行过程中，没有变桨通讯故障，轮毂驱动器供电的交流400V断开，或不正常，对于LUST轮毂，能解开变桨电机的电器刹车，但是，轮毂驱动器内部不能切换到直流供电状态，三支叶片不能完全顺桨，在风能和重力的作用下使叶片在一定程度上顺桨，且三支叶片收桨的程度很难保持一致，从而使叶轮旋转困难，有利于降低叶轮转速，保证机组安全。
当存在以上的线路故障(1159)，在变桨通讯和轮毂驱动器的交流400V供电都正常的情况下，运行机组在紧急顺桨，或电池检测时，由机组控制器程序设定使三支叶片回都到90度位置。由于机组故障不能切换到正常的电池顺桨回路，此时，在变桨通讯和变桨电机的交流供电都正常的情况下，机组通过外界供电，按照Mita控制器WP3100的程序设定使三支叶片同时回到90位置。也就是说，此时，机组执行交流供电顺桨，保证机组安全。
通过以上分析可以看出，即便是存在1159故障，在轮毂与机组控制器通讯正常时也能保证机组安全，造成三支桨叶同时不能顺桨的概率很低。
如果电池顺桨控制回路，或旁路限位开关回路被强行供上24V直流，报此故障后不作任何处理，采用一定的方法机组又可以顺利启机并网，不影响机组运行。如果没有出现高级别刹车和电池检测，机组则不会报任何故障。因此，这种飞车、倒塌事故往往发生在“运行得很好”的机组上。
如果没有认识到此故障的严重性，即便是机组在电池检测时报出来了，也大都不会引起足够的重视;从现场的故障处理来看，因涉及器件及电路较多，分析和处理此故障较为困难，这又进一步增加了这种安全隐患存在的概率。
从故障的产生原因来看，这个故障也容易产生。在风电机组厂内生产调试时，一般都没有把轮毂与机舱放在一起加以调试，因此，在出厂之前很难发现这种故障;在现场调试时，有不少风电场存在以赶工期、赶进度、多发电为根本目标，只求并网、不求质量的现象，不能及时排除此故障也在所难免;另外，当维护叶片螺钉时，需要手动变桨，如果机组控制柜的没有维护开关钥匙，不能利用钥匙对机组进行操控时，有的维护人员，通过给电池顺桨控制回路，或旁路开关回路强行供电，以达到叶片维护叶片的目的，而在叶片维护之后又忘记了把线路还原，致使机组埋藏了这样的安全隐患。
三、事故现象还原
由于某种原因，事故机组的电池顺桨控制回路，或旁路限位开关回路被强行提供24V直流，事故发生时，风速较大，发电功率在1MW以上。由于没有达到满负荷发电功率，机组在事故之前叶轮的三支叶片都处在零度位置。此时，由于某种原因机组报“变桨通讯故障”(1157)，刹车180，机组脱网、甩负荷，因存线路问题，不能切换到电池顺桨，三支叶片同时不能顺桨，机组控制器因不能接收到应有的变桨角度值，于是报“变桨速度太慢”，刹车190。在正常情况下，此时会电池顺桨，同时主轴刹车器动作，因电池顺桨控制回路存在故障，不能切换到电池顺桨，三支桨叶维持在零度位置。由于机组已经脱网，叶轮储存的势能转化为动能，叶轮飞升转速很高，主轴刹车器参与制动，以两倍满负荷扭矩进行制动。由于三支桨叶同时不能顺桨，机组已处于完全失控状态，轮毂吸收的巨大能量全部消耗在主轴刹车器和刹车盘上，机组具有很大的火灾和倒塌风险。当时主轴刹车器的罩壳没有盖上，主轴刹车器制动产生的大量飞溅火花引燃了机舱罩壳、周围的油污和其他可燃物，机组冒烟。
主轴刹车的制动力矩最终使机组停了下来，机组报“变桨速度太慢(BP190)”之后超过30s，主轴刹车器自动松开，此时，由于风的作用，风轮再次迅速旋转起来，转速快速上升(类似再次自动启机)，叶轮旋转起来的角加速度远超过正常启机时的加速度。
在第二次叶轮转速从0rpm旋转起来后，因机组存在故障，到达并网转速时，不能并网，叶轮所吸收的风能完全转化为机组的转速和角加速度，旋转到1950rpm时，超速模块动作，机组可能执行状态码1905，三支桨叶本应该以5°/s的速度进行交流供电顺桨，但是，由于叶轮的转速很高，还没等到300ms延时，叶轮转速已经到了硬件超速的设定值，或者，由于某种原因机舱的轮毂400V交流供电开关已经跳闸，机组没能顺桨;当机组到达软件超速值1960rpm时，可以执行状态码213;在2000rpm时，可以执行变频器超速;到2178rpm时，还可以执行软件超速顺桨，但是，因存在变桨通讯故障，机组控制器不能通过软件对轮毂变桨进行控制，这些顺桨都不能执行;最后到达2400rpm时，触及硬件超速值，松开后的主轴刹车器再次参与制动。
此时，由于机组采用的是两个被动式主轴刹车器，靠弹簧压力对机组进行制动，而前一次停机制动时，刹车片已经磨损严重，使得主轴刹车器的弹簧形变减小，制动扭矩大大降低。机组第二次转动后巨大的势能和很高的旋转速度，主轴轴刹车器已不可能使机组的旋转速度迅速降低，转速继续上升，机组旋转速度超过2700rpm。此时，主轴刹车器制动产生的剧烈火花加剧了机舱可燃物着火，发生火灾，并且，在主轴刹车器制动时，产生了巨大的翻转扭矩，最终使机组沿叶轮的旋转方向倒塌，在塔筒的应力集中点，即第二节塔筒处断裂。
从机组设计和现场实践来看，如果只是空转到2700rpm，而主轴刹车器不参与制动，机组能在较长时间旋转，而不至于很快倒塌，塔筒的折断是由于叶轮高速旋转时，主轴刹车器在制动产生了巨大翻转力矩所致。本次事故，机组本有多次顺桨的机会，由于多种偶然如存在1159故障，同时在运行过程中又发生了变桨通讯故障、且风能量足够大等，才促成了机组倒塌的必然。
从本次事故来看，要排除机组存在的安全隐患，才是减少和避免机组飞车倒塌的关键。
总结与建议
从以上分析可以看出，此次事故的原因主要是由于引进技术的时间很短，没有充分地消化和吸收国外技术，对风电机组的运行经验不足，加之，在风电快速发展期，业内人士普遍对机组的安全问题缺乏足够的认识和了解，甚至人为地改动线路制造安全隐患。
在通常情况下，机组控制器按照设定的电池检测时间，定时按程序自检，自检通过以后自动启机，在机组定期的电池检测时能发现1159故障;另外，为了便捷地检查机组安全系统，检查并排除1159故障，可以人为地在后台软件上启动自检程序，对每台机组的安全系统进行远程检测，检查机组是否存在安全性故障。只要对此故障有足够的重视，并采取适当的措施，此类事故是完全可以避免的。
虽然，风电机组倒塌、烧毁事故的损失很大，但是，需认真分析事故发生的真实原因，检查和排除三支桨叶同时不能顺桨的安全隐患，从根本上消除起火点，而试图防止机组着火事故的发生，并不是简单地添加消防系统就能解决问题的。从以上分析可知，对于这种因长时间剧烈摩擦起火而造成的机组烧毁事故来说，增加消防系统必定会使机组的生产成本增加，而不能对此类火灾事故起到杜绝的作用，更不能避免类似倒塌事故的再次发生。
如果把此次事故归结为因“轮毂电池故障”造成，因此而过分地关注轮毂电池、无原则地更换电池，这样，既增加了成本，又不能取得预防该类事故的效果。由于电池寿命不仅跟使用时间有关，更与电池的使用环境、方法和条件等有关，对于类似质量合格轮毂系统来说，当机组报轮毂电池故障时，再检查和更换电池可能更科学一些。
结语
为了减少机组故障，避免重大事故的再次发生，应该对国外风电技术充分理解、消化和吸收，取长补短、结合国内风电机组生产及运行状况，重点检查事故发生的关键部位，以达到减少、甚至避免极端事故发生的目的。
风电机组的运行环境恶劣，在控制器程序设定的条件下自主、自动运行。我们要以预防为主，不仅要防止机组烧毁、倒塌事故的发生，而且，还要考虑到生产、运行和维护成本，最终达到机组在20年内是盈利的，甚至在更长时间内达到度电成本最低。
