Bezpečnostní předpisy pro systémy akumulace energie

D-Cube / D-Ocean Celá řada (komerční a průmyslové úložiště energie a velkokapacitní úložiště energie)

Číslo dokumentu: HZ-SAF-001 Verze: V1.0 Datum: 2026-09-29

0. Popis dokumentu

0.1 Účel

Tato specifikace popisuje bezpečnostní konstrukční zásady, klíčová nastavová kritéria a kritéria posuzování systému pro ukládání energie Hoenergy v pěti oblastech: elektrická bezpečnost, bezpečnost baterií a BMS, tepný únik a požární ochrana, mechanické prostředí a funkční bezpečnost. Slouží jako společný základ pro technickou komunikaci, technické odpovědi v nabídkovém řízení, návrh řešení a podání žádostí o připojení k síti.

Tato specifikace je dokumentem o bezpečnosti produktu, není právním předpisem ani normou a nenahrazuje závazné předpisy země, ve které se projekt nachází, předpisy provozovatele sítě ani požadavky požárních orgánů. V případě rozporu mají přednost předpisy země, ve které se projekt nachází, a dokumenty o povolení připojení k síti.

0.2 Čtenáři a způsob čtení

0.3 Referenční dokumenty

Parametry se řídí nejaktuálnější verzí příslušného datasheetu. Příloha C uvádí položky, které musí před externím vydáním potvrdit produktové oddělení.

1. Obecné zásady bezpečnostního návrhu

1.1 Základní principy

1. Bezpečnost jako podstata：dříve než spoléhat na kompenzaci alarmy, se nebezpečné zdroje odstraňují strukturou návrhu a volbou součástek. Články typu LFP (teplota iniciování tepelného úniku je podstatně vyšší než u systémů na bázi ternárních chemií), zapojení 1P do série bez paralelních svodových proudů, nezávislé poruchové domény na úrovni clusterů.
2. Více nezávislých linií obrany：žádná jednotlivá porucha senzoru, jednotlivé přerušení komunikace ani jednotlivá softwarová závada nesmí vést k nebezpečnému stavu. Detekce, včasné varování, potlačení a vnější koordinace musí být navzájem nezávislé.
3. Bezpečné selhání (Fail-safe)：výchozí stav při výpadku napájení, ztrátě kontroly nebo přerušení spojení je bezpečný — PCS se zastaví, nikoli aby udržoval chod; stykač se rozpojí, nikoli aby zůstal sepnutý.
4. Žádný automatický restart：po provedení hašení a potlačení se systém nesmí automaticky znovu spustit; uvedení do provozu musí předcházet ruční ověření příčiny.
5. Diagnostikovatelnost a sledovatelnost：každý ochranný zásah je zaznamenán jako událost s čitelným poruchovým kódem; nastavené hodnoty jsou dotazatelné, kalibrovatelné a auditovatelné.

1.2 Čtyři linie obrany

1.3 Klasifikace poruch a automatická odezva

Systém je organizován podle architektury třístupňové ochrany, kde každý stupeň představuje schodiště „detekce překročení limitu → snížení výkonu → vynulování → odpojení". Konkrétní prahové hodnoty viz kapitola 3.2 a příloha A.

Pravidla pro reset (základní konvence bezpečnostního návrhu):

• Ochrany procesních veličin, jako je teplota, proud a rozdíl napětí, patří do kategorie s automatickým resetem, ale všechny mají hysterezi, aby se zabránilo opakovanému spínání v blízkosti prahové hodnoty.
• Ochrany třetího stupně napětí, anomálie vzorkovacího vedení, anomálie celkového napětí, anomálie komunikace sběrnice (daisy-chain), porucha pojistky, svodový proud, přilepení/rozpojení hlavního vypínače, porucha řídicí desky, nekompatibilita softwaru patří do latchované kategorie a vyžadují odpojení napájení nebo ruční zásah pro obnovení.
• Po aktivaci hasicího systému systém nevstupuje do žádné cesty automatické obnovy.

2. Elektrická bezpečnost

2.1 Identifikace nebezpečného napětí

Jmenovité stejnosměrné napětí na DC straně řad D-Cube / D-Ocean je 832 V (D-Cube-261D, S125/261, F135/261) a 1331,2 V (F215/418, D-Ocean-5016D), střídavé napětí na AC straně je 400 V nebo 690/800 V, což ve všech případech překračuje bezpečnostní limity 60 V DC / 50 V AC a jedná se o nebezpečné napětí. Proto:

• DC i AC strana musí být navrženy pro nebezpečné napětí; skříň musí být vybavena ochrannými dveřmi se zámkem, přičemž poloha zámku musí být vyznačena ve výkresech;
• elektrické vzduchové vzdálenosti a povrchové cesty se volí podle tabulky IEC 60664-1, vstupní strana je kategorie přepětí II, stupeň znečištění 2 pro vnitřní skříně, u kontejnerového provedení se volí stupeň znečištění 3. Konkrétní hodnoty musí vypočítat konstruktér a bezpečnostní inženýr pro každý model zvlášť na základě parametrů OVC / CTI celého zařízení; tento předpis neuvádí pevné hodnoty v milimetrech.

2.2 Primární systém a konfigurace ochran

Systém uzemnění: V soustavě TN-S je PE veden souvisle po celé trase; přípojnice PE skříně je sběrným bodem pro plášť; přípojnice PE a zemnič (opakované uzemnění) jsou dvě různé koncepce. U TN-S se opakované uzemní zpravidla nevyžaduje, ale doporučuje se jej realizovat.

Nastavené hodnoty ochran sítě: PCS je z výroby nakonfigurován s obecnými nastavenými hodnotami. Před uvedením do provozu v síti je nutno tyto hodnoty znovu nastavit a potvrdit v souladu s předpisy pro připojení k síti a dokumenty o typové certifikaci příslušného provozovatele elektrické sítě v cílové zemi, včetně ochrany proti přepětí/podpětí, nadfrekvenci/podfrekvenci, anti-islandingu, impedanční ochrany apod. Systém, u něhož nebylo provedeno nastavení dle místních předpisů, nesmí být připojen k elektrické síti. Nastavené hodnoty jsou součástí konfigurace projektu a musí být zaznamenány a archivovány.

2.3 Sítíová ochrana a ochrana odpojením (klíčové)

Interní ochrana PCS a ochrana odpojením v bodě připojení k síti jsou dvě odlišné záležitosti:

• Interní ochrana PCS (přepětí, podpětí, nadfrekvence, podfrekvence, anti-islanding, impedanční ochrana, 16 typů poruchových kódů sítě) chrání samotný PCS;
• Ochrana odpojením chrání elektrickou síť a personál v místě instalace a vyžaduje nezávislost na PCS.

Přijatelnost na jednotlivých trzích:

Další síťové funkce: primární regulace frekvence, odezva AGC, sledování plánované křivky, anti-islanding, omezení činného/无功 výkonu (omezení jalového výkonu), LVRT (pokud to projekt vyžaduje).

Časová reference: přesnost dispečerského řízení a řízení výkonu závisí na časové referenci. U projektů využívajících protokol IEC 104 musí být nakonfigurován spolehlivý zdroj časového signálu a při předání musí být ověřena konzistence časových značek. Kritéria viz příloha A.

2.4 Zkrat a přetížení

• Pojistky/jističe na stejnosměrné straně se dimenzují podle maximálního zkratového proudu, přičemž vypínací schopnost nesmí být nižší než předpokládaný zkratový proud systému;
• Jmenovitý proud jističe na střídavé straně se vypočítá podle vzorce P / (√3 · U · cosφ) a je nutno ověřit jeho zkratovou odolnost;
• PCS disponuje schopností přetížení na 110 % jmenovitého výkonu, krátkodobé přetížení nesmí být považováno za běžný provozní režim.

3. Bezpečnost baterií a BMS

3.1 Konfigurace článků a systému

3.2 Ochranná okna a řetězec akcí

BMS nepřetržitě monitoruje následující veličiny, přičemž každá z nich je řízena třístupňovou eskalací s hysterezí mezi stupni, aby se zabránilo opakovanému spínání:

Autokontrola validity vzorků | BMS průběžně ověřuje vzorkování napětí (maximum > 4,5 V a minimum < 0.2 V je vyhodnoceno jako anomálie), vzorkování teploty (hodnoty mimo rozsah −40 ~ 125 °C jsou vyhodnoceny jako anomálie) a konzistenci mezi celkovým napětím a součtem napětí jednotlivých článků (odchylka > 10 % je vyhodnocena jako anomálie). Jakákoli anomálie je zpracována podle stupně L3 ve výše uvedené tabulce – v případě selhání vzorkování není povolen „provoz s poruchou“.

Důležité: Omezení nabíjení při nízké teplotě Nabíjení baterie při nízké teplotě vede k lithiování, což je nevratné poškození. Systém má pro nabíjení stanoven nezávislý a podstatně přísnější nízkoteplotní limit než pro vybíjení (v rozsahu přibližně 0 ~ 3 °C již začíná snižování výkonu až po úplný zákaz nabíjení). Dolní mez provozní teploty −25 °C u modelu D-Cube-S125/261-EU platí pouze pro vybíjecí režim. Při jakékoli teplotě prostředí pod prahovou hodnotou nabíjecí teploty musí být systém ve stavu omezeného vybíjení nebo zákazní kompletního nabíjení i vybíjení; není přípustné pokoušet se o nabíjení s odůvodněním, že se teplota nachází „v rámci provozního teplotního rozsahu“.

Hodnoty ochranných nastavení se mění v závislosti na šarži článků a verzi softwaru; typické hodnoty jsou uvedeny v příloze A.1. Závazným podkladem je „Tabulka ochranných nastavení“ dodávaná společně se skříní a nesmí být měněna uživatelem ani integrátorem.

Platforma D-Cube má konfiguraci sériového zapojení 260S / 416S, strategie vyvažování se provádí podle pevně stanovených hodnot daných návrhem produktu. Parametry jako vyrovnávací proud a ochranné hodnoty nejsou uživatelům ani integrátorům přístupné k úpravě — jakékoli změny povedou ke ztrátě souladu s certifikací a zániku záruky.

3.4 Ochrana konstrukce bateriového boxu

• Fyzické oddělení kapalinového chlazení a vysokonapěťových komponent; přívod a odvod vzduchu bateriového boxu je opatřen kryty proti dešti a prachu.
• Mezi moduly je instalována tepelná izolace a konstrukční dorazy, které potlačují šíření tepelného úniku jednoho článku na sousední moduly.
• Detektor hořlavých plynů v boxu je umístěn v horní zpětné oblasti (v cestě stoupání teplého vzduchu), aby bylo zajištěno včasné spuštění reakce.

3.5 Kontinuita vzorkování v režimu statického nízkého příkonu

Když je systém v klidovém stavu (bez nabíjení ani vybíjení), přechází do provozu s nízkým příkonem, čímž se snižuje spotřeba pomocného napájení a řídicí elektroniky. Podmínky pro vstup do tohoto režimu jsou: průměrné napětí jednoho článku nižší než přibližně 3,1 V, detekovaný proud nižší než přibližně 2 A a tento stav trvající déle než 5 minut; jakmile proud opět stoupne nad prahovou hodnotu, systém automaticky režim opustí.

V režimu nízkého příkonu: je podporováno pasivní vyvažování; vzorkovací podřízené jednotky se periodicky probouzejí pro sběr dat a komunikaci (perioda probouzení přibližně 30 minut, doba jednoho probuzení přibližně 8 sekund); v režimu spánku jsou data hlášena hlavnímu řídicímu systému.

Bezpečnostní pokyn: Režim nízkého příkonu je aktivní pouze v klidovém stavu bez nabíjení ani vybíjení; probouzení vzorkovacích podřízených jednotek pro sběr dat zajišťuje nepřeruštrou ochranných dat. Režim nízkého příkonu nesmí být používán za provozu a rovněž nemění žádné ochranné prahové hodnoty uvedené v kapitole 3.2. Podmínky pro aktivaci vyvažování v režimu nízkého příkonu jsou shodné s podmínkami v běžném klidovém stavu.

4. Tepelný únik a požární ochrana

4.1 Detekce: třístupňový předvýstražný systém

Kritérium rychlosti nárůstu teploty: Pro rychlost změny teploty jednoho článku (℃/s) je nastaven práh, který umožňuje identifikovat anomálie ještě před dosažením absolutního teplotního prahu, a zabránit tak zpoždění.

4.2 抑制：自动灭火

设计要点：

• 灭火剂释放后不做自动复位，系统进入锁存状态，必须人工查明原因后复归；
• 灭火剂为一次性消耗品，喷发后必须更换，未更换前系统不得重新投入运行；
• 喷发动作同时断开本柜直流断路器与交流总进线，并联机组的其余柜同步停止运行、系统总功率归零，防止带故障运行；
• 水消防接口只做信号与管路接口，实际喷淋由项目消防设计执行（多数消防主管部门要求外置水系统）；
• 抑制的目的是限制蔓延，不等同于"扑灭"，消防处置仍须按当地消防预案进行；
• 采用全氟己酮类卤代烃灭火剂，正常释放量下对人员无明显毒性、对精密电子设备无腐蚀，但释放后须通风。

4.3 Rozmístění, rozestupy a oddělení

• Rozestupy mezi skříněmi se určují podle požárních předpisů země, kde se projekt nachází, a stanoviska příslušného požárního úřadu. V EU neexistuje jednotná povinná vzdálenost; rozestup jednotek 1,5 m dle NFPA 855 platí pouze pro trhy, které tento standard přijaly; ve Spojeném království se postupuje dle PAS 63100; v Polsku (PSP), České republice (HOŘ), Francii/Španělsku (SDIS) se vychází ze stanoviska místního požárního úřadu;
• V citlivých lokalitách, jako jsou obytné zóny, školy či nemocnice, je nutné rozestupy zvětšit nebo instalovat protipožární bariéry;
• Při vnitřním nasazení musí vazba na hlásiče kouře současně vypnout klimatizaci a spustit nouzový odvod vzduchu (přívod vzduchu by podporoval hoření a ředil kouř); tato logika vazby musí být ověřena měřením ve fázi uvádění do provozu;
• Bateriové skříně a skříně PCS je vhodné fyzicky oddělit, aby se zabránilo koncentraci tepla.

4.4 Požární vazební matice

Časové pořadí čtyř fází – detekce, alarm, potlačení a odpojení – je následující. Alarm a potlačení jsou různé akční úrovně: alarm lze automaticky resetovat, potlačení nikoli.

Tři klíčové dohody vazebního řetězce:

1. Hardware má přednost před softwarem: Okruh nouzového zastavení a požární zpětná vazba jsou vedeny přes suché kontakty přímo k PCS a hlavnímu přívodnímu jističi; jejich činnost nezávisí na dostupnosti EMS ani cloudové platformy. Role strany EMS je přijímat zpětnou vazbu, hlásit alarmy a zobrazovat provozní stav.
2. Jednobodové spuštění znamená nulový výkon celé stanice: Pokud dojde k nouzovému zastavení nebo aktivaci hašení v libovolné skříni, všechny ostatní skříně ve stejném přípojném bodu se zastaví a celkový výkon systému je 0, čímž se vyloučí pokračování nabíjení/vybíjení v poruchové zóně. Obnovení vyžaduje individuální manuální potvrzení pro každou skříň.
3. Aktivace hašení je nevratný úkon: Jakmile se aktivuje hasicí okruh, skříň přejde do stavu uzamčení; je nutné vyměnit hasicí prostředek a provést manuální reset. Provoz nelze obnovit pouhým resetem.

Konkrétní prahové hodnoty detekce a potlačení (kouř v dB/m, teplota ve °C, plyn v % LEL) jsou specifické pro produkt a stanovují se podle modelu detektoru a závěrů bezpečnostního posouzení. Tato specifikace neuvádí konkrétní číselné hodnoty.

5. Mechanické vlastnosti, prostředí a EMC

5.1 Ochrana a konstrukce

• Dveře skříně jsou ochranné dveře s zámkem, umístění zámku je vyznačeno v materiálech produktové stránky;
• Skříně o hmotnosti 2,5 t a více musí být přepravovány vysokozdvižným vozíkem nebo jeřábem, je zakázáno je přenášet ručně;
• Při přepravě se uplatňují požadavky na vibrace a pád dle úrovně balení ISTA, SoC baterií ve skříni při výstupu z výroby je 30–40 %, během přepravy je zakázáno nabíjení a vybíjení.

5.2 Environmentální přizpůsobivost

Kontrola kondenzace: Vnitřní systémy BESS musí být vybaveny klimatizací s odvlhčováním a rekuperačním ohřevem. Rosný bod se nastavuje podle podmínek na místě (minimálně 5 °C) a musí být zaručeno, že teplota vstupního vzduchu do baterií je ≤ 28 °C; v opačném případě systém automaticky sníží výkon. Zkratování přívodu a odvodu vzduchu způsobí, že baterie nejsou skutečně chlazeny, proto je nutné zajistit uzavření nuceného chladicího kanálu.

Prostředí s vysokou prašností (například dílny na zpracování dřeva): Na vstupní a výstupní otvory pro vzduch je třeba přidat prachovou ochranu a ve spojení s teplotními daty z BMS vyhodnocovat vliv usazování prachu.

5.3 EMC

• Odolnost IEC 61000-6-2; emise IEC 61000-6-4 (průmyslové) nebo 6-3/6-1 (rezidenční/obchodní);
• Na stejnosměrné i střídavé straně jsou osazeny SPD typu II, stav SPD je hlášen prostřednictvím komunikace;
• THDi < 3 % @ jmenovitý výstup; stejnosměrná složka < 0,5 %.

6. Bezpečnost systému kapalinového chlazení

Kapalinové chlazení není pomocným systémem; jeho selhání je ekvivalentní ztrátě hlavní schopnosti odvodu tepla z baterie.

Provoz při nízkých teplotách: Pokud je okolní teplota nižší než bod tuhnutí, musí postup spuštění nejprve navázat cirkulaci a dokončit předehřev potrubí, aby se zabránilo lokálnímu zamrzání a následnému poškození způsobenému objemovou expanzí. Příslušná ochrana je do logiky systému vestavěna a nesmí být obcházena.

7. Funkční bezpečnost a systémová bezpečnost

7.1 Architektura uzavřené bezpečnostní smyčky 3S

Klíčové zásady:

1. Ochranné povely jsou vedeny přes suché kontakty (hardwire): Když BMS aktivuje ochranu nebo detekuje poruchu, informuje PCS prostřednictvím suchého kontaktu přímo, aby provedl odstavení (odpojení stejnosměrného stykače), bez přeposílání přes EMS. Role EMS v tomto řetězci je omezena na příjem zpětné vazby, hlášení alarmů a zobrazení provozního stavu.
2. Strategie EMS nesmí překročit hardwarové ochranné hranice BMS/PCS — i když jsou nadřazené povely abnormální, musí být zachyceny na úrovni hardwarové ochrany.
3. Při kaskádním provozu musí zůstat ochrana každého clusteru nezávislá; je zakázáno používat ovladač jednoho clusteru k ochraně jiného clusteru.
4. Jeden PCS odpovídá jednomu bateriovému clusteru; porucha jednoho clusteru se nešíří na ostatní clustery; když se určitý rozvaděč odstaví, systém přerozdělí výkon podle skutečného počtu funkčních PCS a celkový výstup se odpovídajícím způsobem sníží, aniž by došlo k přetížení.

7.2 Bezpečnostní omezení při provozu v režimu ostrovního provozu / mikrosítě (R1–R6)

Při ostrovním provozu musí jednotka PCS zajišťovat podporu napětí a frekvence; charakter zátěže přímo určuje bezpečnost. Ve fázi návrhu je nutno zátěže ověřit bod po bodu podle níže uvedené tabulky:

Vícemodulové připojení zátěže: Při paralelním provozu více modulů PCS nesmí první připojení překročit 40 % jmenovitého výkonu; zbývající zátěž se připojuje postupně měkkým startem s odstupem 5–10 s. Překročení povoleného množství aktivuje ochranu proti cirkulačním proudům mezi nimi a vede k vypnutí.

Omezení pro výběr STS:

Jmenovitý výkon STS ≥ nabíjecí výkon úložiště + provozní výkon zátěže

Pokud tato podmínka není splněna v žádném provozním stavu, dojde k přetížení a vypnutí jističe.

7.3 Funkční bezpečnost – integrita

Ochranný řetězec (detekce → kritérium → provedení) je vyhodnocován z hlediska úrovně PL podle principu ISO 13849-1. Cílové úrovně bezpečnosti pro klíčové bezpečnostní funkce:

Konkrétní prohlášení o úrovni PL a její ověření (FMEDA, hardwarová redundance, diagnostické pokrytí) poskytuje produktové oddělení, viz příloha C. Dříve než obdržíte písemné potvrzení od produktového oddělení, neuvádějte v nabídkové dokumentaci jménem zákazníka konkrétní úrovně PL.

7.4 Kybernetická bezpečnost

• Produkt splňuje příslušné požadavky řady IEC 62443; cílová úroveň zabezpečení (Security Level, SL) je uvedena v příloze C.
• Řídicí systém nesmí používat obecná výchozí hesla z výroby; výchozí hesla musí být při dodání povinně změněna.
• Servisní rozhraní, jako jsou ladicí porty, USB a SD karty, musí být po dodání uzavřena nebo řízena.
• Vzdálená údržba a provoz musí probíhat prostřednictvím sítě VPN; správní porty zařízení nesmí být přímo vystaveny veřejné síti.

Příloha B Terminologie

| Čínsky | Anglicky | Popis |

|---|---|---|

| Stav nabití | SoC | Procento zbývající kapacity |

| Stav zdraví | SoH | Poměr aktuální kapacity k počáteční hodnotě |

| Hloubka vybití | DoD | Poměr vybité kapacity ke jmenovité kapacitě |

| Tepelný únik | Thermal Runaway | Nekontrolovatelná řetězová reakce samozahřívání baterie |

| Ochrana proti ostrovnímu provozu | Anti-islanding | Zamezení dalšímu dodávání energie do sítě po odpojení bodu připojení |

| Oddělená ochrana | Coupling Protection | Ochranné relé nezávislé na zařízení pro připojení k síti |

| Typ B | Type B | Plně vybavená jednotka pro připojení k síti dle EN 50549 |

| Cluster | Cluster | Sada baterií spravovaná jedním PCS |

| Požární propojení | Fire Alarm Interlock | Výstup řídicího signálu do staničního požárního systému |

| Hašení aerosolem | Aerosol Extinguishing | Způsob potlačení požáru čistým halogenovaným uhlovodíkovým plynem |