Normativa de seguridad del sistema de almacenamiento de energía

Serie D-Cube / D-Ocean (Almacenamiento de energía comercial e industrial y almacenamiento de energía a gran escala)

Número de documento: HZ-SAF-001 Versión: V1.0 Fecha: 2026-09-29

0. Descripción del documento

0.1 Propósito

Esta especificación describe los principios de diseño de seguridad, los valores de consigna clave y las bases de判定 del sistema de almacenamiento de energía de Hoenergy en cinco aspectos: seguridad eléctrica, seguridad de baterías y BMS, embalamiento térmico y protección contra incendios, entorno mecánico y seguridad funcional, sirviendo como referencia común para el intercambio tecnológico, las respuestas técnicas en licitaciones, el diseño de soluciones y la declaración de conexión a la red.

Esta especificación es un documento de descripción de seguridad del producto, no constituye una norma ni un estándar regulatorio, y no sustituye a las normativas obligatorias del país donde se ejecute el proyecto, los reglamentos de la compañía eléctrica ni los requisitos de las autoridades competentes en materia de protección contra incendios. En caso de conflicto, prevalecerán las regulaciones del país del proyecto y los documentos de autorización de conexión a la red.

0.2 Lectores y forma de lectura

0.3 Documentos de referencia

Los parámetros se rigen por la última versión disponible de la ficha técnica (datasheet) correspondiente. En el Anexo C se enumeran los elementos que deben ser confirmados por el Departamento de Producto antes de su publicación externa.

1. Principios generales del diseño de seguridad

1.1 Principios Fundamentales

1. Seguridad intrínseca como prioridad: primero eliminar las fuentes de peligro mediante la estructura y la selección de componentes, en lugar de compensar mediante alarmas. Selección de celdas LFP (temperatura de inicio de thermal runaway significativamente superior a la de los sistemas ternarios), configuración 1P en serie sin corrientes circulantes por paralelismo y dominios de fallo independientes a nivel de clúster.
2. Múltiples líneas de defensa independientes: el fallo de un único sensor, la interrupción de una única comunicación o un único fallo de software no deben provocar un estado peligroso. La detección, la alerta temprana, la supresión y la actuación externa son mutuamente independientes.
3. A prueba de fallos (Fail-safe): el estado por defecto ante corte de alimentación, pérdida de control o desconexión debe ser seguro: parada del PCS en lugar de mantener el funcionamiento, liberación del contactor en lugar de su cierre.
4. Sin recuperación automática: tras ejecutar la supresión de extinción, el sistema no debe rearrancar de forma automática; es preciso que el personal investigue la causa y efectúe el rearmado manualmente.
5. Diagnosticable y trazable: todas las actuaciones de protección deben contar con registro de eventos y códigos de fallo legibles; los valores de ajuste deben ser consultables, calibrables y auditables.

1.2 Cuatro líneas de defensa

1.3 Clasificación de fallos y respuesta automática

El sistema se organiza según una arquitectura de protección de tres niveles, donde cada nivel sigue la escalera "detección de تجاوز → ejecución de логика → comparación → desconexión". Los umbrales específicos se detallan en la sección 3.2 y en el apéndice A.

Reglas de restablecimiento (acuerdos básicos del diseño de seguridad):

• Las protecciones de variables de proceso como temperatura, corriente y diferencia de tensión pertenecen a la categoría de restablecimiento automático, pero todas cuentan con histéresis para evitar conmutaciones repetidas cerca del umbral;
• La protección de tensión nivel 3, las anomalías en líneas de muestreo, anomalías de tensión total, anomalías de comunicación en cadena margarita, fallos de fusibles, corriente de fuga, adherencia/apertura del interruptor principal, fallos de la placa de control, incompatibilidad de software pertenecen a la categoría bloqueada (latch-lock), y deben restablecerse tras cortar la alimentación o mediante intervención manual;
• Tras la descarga del agente extintor, el sistema no ingresa en ninguna ruta de recuperación automática.

2. Seguridad eléctrica

2.1 Identificación de tensiones peligrosas

La tensión nominal del lado de corriente continua (DC) de las series D-Cube / D-Ocean es de 832 V (D-Cube-261D, S125/261, F135/261) y 1331.2 V (F215/418, D-Ocean-5016D), y la del lado de corriente alterna (AC) es de 400 V o 690/800 V, superando todas ellas los límites de seguridad de 60 V DC / 50 V AC, por lo que se consideran tensiones peligrosas. Por lo tanto:

• Tanto el lado de corriente continua como el de corriente alterna deben diseñarse como tensión peligrosa; el armario debe disponer de una puerta de protección con cerradura cuya posición debe indicarse en los planos.
• Las distancias de aislamiento en aire y las líneas de fuga deben seleccionarse conforme a la IEC 60664-1, con categoría de sobretensión II en la entrada y grado de contaminación 2 para armarios de interior; en el caso de contenedores, se aplicará el grado de contaminación 3. Los valores concretos serán calculados por los ingenieros de estructura y de seguridad eléctrica para cada modelo, según los parámetros OVC/CTI del conjunto. Esta norma no especifica valores fijos en milímetros.

2.2 Sistema primario y configuración de protección

Sistema de puesta a tierra: en un sistema TN-S, la PE se mantiene continua en todo el recorrido, siendo la barra PE del armario el punto de confluencia de la carcasa; la barra PE y el electrodo de puesta a tierra (puesta a tierra repetida) son dos conceptos diferentes. En TN-S generalmente no se exige obligatoriamente la puesta a tierra repetida, aunque se recomienda implementarla.

Valores de ajuste de protección de red: el PCS se configura de fábrica con valores de ajuste universales. Antes de la operación en paralelo con la red, es obligatorio re ajustar y confirmar conforme a los reglamentos de conexión a la red y a los documentos de certificación de tipo de la compañía eléctrica del país de destino, incluyendo sobretensión / subtensión, sobrefrecuencia / subfrecuencia, anti-isla, protección de impedancia, etc. Los sistemas que no hayan sido ajustados conforme a los reglamentos locales no deben conectarse a la red. Los valores de ajuste pertenecen a la configuración del proyecto y deben registrarse y archivarse.

2.3 Protección de interconexión y protección de desacople (punto clave)

La protección interna del PCS y la protección de desacople en el punto de interconexión a la red son dos cosas distintas:

• La protección interna del PCS (sobretensión, subtensión, sobrefrecuencia, subfrecuencia, anti-isla, protección de impedancia, 16 tipos de códigos de fallo de red) protege al propio PCS;
• La protección de desacople protege a la red eléctrica y al personal en sitio, y debe ser independiente del PCS.

Aceptación por mercado:

Otras funciones de interconexión: regulación primaria de frecuencia, respuesta AGC, seguimiento de la curva de consigna, anti-isla, limitación de potencia activa/reactiva, LVRT (si lo requiere el proyecto).

Referencia horaria: la precisión del despacho y del control de potencia depende de la referencia horaria. En los proyectos que utilizan el protocolo IEC 104, se debe configurar una fuente de reloj fiable y, en la entrega, se debe verificar la consistencia de las marcas de tiempo; los criterios se indican en el Anexo A.

2.4 Cortocircuito y sobrecarga

• Los fusibles/interruptores del lado de CC se seleccionan según la corriente máxima de cortocircuito, y su capacidad de corte no debe ser inferior a la corriente de cortocircuito prevista del sistema;
• La corriente nominal del interruptor del lado de CA se calcula como P / (√3 · U · cosφ) y se verifica la resistencia al cortocircuito;
• El PCS cuenta con capacidad de funcionamiento en sobrecarga del 110 % de la potencia nominal; la sobrecarga de corta duración no debe considerarse un modo de funcionamiento habitual.

3. Seguridad de la batería y el BMS

3.1 Configuración de celdas y del sistema

3.2 Ventanas de protección y cadenas de actuación

El BMS realiza una monitorización continua de las siguientes magnitudes, actuando cada una de ellas conforme a una escalera de tres niveles, con histéresis entre los niveles para evitar conmutaciones repetidas:

Autochequeo de validez del muestreo: el BMS verifica de forma continua el muestreo de tensión (se juzga como anómalo si el valor máximo > 4,5 V y el mínimo < 2 V), el muestreo de temperatura (se juzga como anómalo si queda fuera del rango de −40 ~ 125 °C) y la coherencia entre la tensión total y la suma de las celdas individuales (se juzga como anómalo si la desviación > 10 %). Cualquier anomalía se trata conforme al nivel L3 de la tabla anterior — no se permite el funcionamiento «con fallos» cuando el muestreo está degradado.

Importante: restricción de carga a baja temperatura Cargar la batería a baja temperatura produce litiación, un daño irreversible. El sistema aplica a la carga un umbral de baja temperatura independiente y mucho más estricto que el de descarga (la desclasificación comienza ya en el rango aproximado de 0 ~ 3 °C, hasta llegar a la prohibición de carga). El límite inferior de temperatura de funcionamiento del D-Cube-S125/261-EU de −25 °C se aplica únicamente al régimen de descarga. En cualquier ambiente por debajo del umbral de temperatura de carga, el sistema debe encontrarse en estado de limitación de descarga o de prohibición de carga/descarga, y no debe intentarse la carga amparándose en que la temperatura está «dentro del rango de funcionamiento».

Los valores de ajuste de protección varían según el lote de celdas y la versión de software; los valores típicos se indican en el anexo A.1. La «Tabla de valores de ajuste de protección» adjunta con cada armario es la referencia definitiva, y no debe ser modificada por el usuario ni por el integrador.

3.3 Estrategia de equilibrado y parámetros ajustables

El número de celdas en serie de la plataforma D-Cube es de 260S / 416S, y la estrategia de equilibrado se ejecuta según los valores establecidos en el diseño del producto. Los parámetros como la corriente de equilibrado y los valores de protección no se abren a la modificación por parte del usuario ni del integrador — cualquier modificación provocará la pérdida de la conformidad con la certificación y de la garantía.

3.4 Protección estructural del compartimento de baterías

• Separación física entre los componentes de refrigeración líquida y de alta tensión; las entradas y salidas de aire del compartimento de baterías están equipadas con cubiertas protectoras contra lluvia y polvo;
• Se dispone de aislamiento térmico y limitación estructural entre los módulos para evitar que el embalamiento térmico de una sola celda se propague a los módulos adyacentes;
• El detector de gases combustibles en el interior del compartimento se sitúa en la zona de retorno superior (siguiendo la trayectoria de ascenso del aire caliente), lo que garantiza una respuesta temprana.

3.5 Continuidad del muestreo en el modo de bajo consumo estático

El sistema entra en un funcionamiento de bajo consumo en estado de reposo (sin carga ni descarga), reduciendo el consumo de energía auxiliar y de control. Las condiciones de entrada son: tensión media de celda inferior a aproximadamente 3,1 V, corriente detectada inferior a aproximadamente 2 A y mantenimiento de estas condiciones durante más de 5 minutos; el sistema sale automáticamente de este modo cuando la corriente vuelve a superar el umbral.

En el modo de bajo consumo: se admite la activación del equilibrado pasivo; los esclavos de muestreo se activan periódicamente para la adquisición y la comunicación (periodo de activación de aproximadamente 30 minutos, duración de cada activación de aproximadamente 8 segundos); el estado de reposo se notifica al controlador maestro.

Nota de seguridad: el modo de bajo consumo solo es efectivo en estado de reposo sin carga ni descarga, y la activación periódica del muestreo por parte de los esclavos garantiza la continuidad de los datos de protección. El modo de bajo consumo no debe utilizarse en estado de funcionamiento y tampoco modifica ningún umbral de protección de la sección 3.2. Las condiciones para activar el equilibrado en el modo de bajo consumo son las mismas que en el estado de reposo convencional.

4. Thermal runaway y protección contra incendios

4.1 Detección: alerta de tres niveles

Criterio de tasa de aumento de temperatura: se establece un umbral para la tasa de variación de temperatura de una celda individual (°C/s), lo que permite identificar anomalías antes de alcanzar el umbral de temperatura absoluto y evitar retrasos.

4.2 Supresión: extinción automática de incendios

Aspectos clave del diseño:

• Una vez liberado el agente extintor, no se realiza un reinicio automático; el sistema entra en estado latch (bloqueado) y es necesario que personal identifique la causa antes de rearmarlo manualmente;
• El agente extintor es un consumible de un solo uso y debe sustituirse tras su descarga; el sistema no debe reincorporarse al funcionamiento hasta que haya sido reemplazado;
• La actuación de descarga desconecta simultáneamente el interruptor de corriente continua (DC) del propio armario y la acometida general de corriente alterna (AC), provocando que el resto de armarios de las unidades en paralelo se detengan de forma sincronizada y que la potencia total del sistema se reduzca a cero, para evitar el funcionamiento en condiciones de fallo;
• La interfaz de agua contra incendios actúa únicamente como interfaz de señal y de tuberías; la pulverización real la ejecuta el diseño contra incendios del proyecto (la mayoría de las autoridades locales de protección contra incendios exigen un sistema externo de agua);
• La supresión tiene como objetivo limitar la propagación, lo cual no equivale a "apagar" el fuego; la actuación contra incendios debe seguir el plan de emergencia contra incendios local;
• Se utiliza un agente extintor halocarbonado de tipo perfluorohexanona; en condiciones normales de liberación, no presenta toxicidad significativa para las personas ni corrosión para los equipos electrónicos de precisión, aunque tras su liberación es necesario ventilar el recinto.

4.3 Disposición, distancias y separaciones

• La distancia entre armarios se determinará conforme a la normativa contra incendios del país del proyecto y el criterio del organismo competente en materia de bomberos. En la UE no existe una distancia mínima obligatoria común; la separación entre unidades de 1,5 m de la NFPA 855 solo aplica a los mercados que adoptan esta norma; en el Reino Unido se toma como referencia la PAS 63100; en Polonia (PSP), Chequia (HOŘ) y Francia/España (SDIS) prevalecerá el criterio de aprobación del departamento de bomberos local;
• En zonas sensibles como áreas residenciales, colegios y hospitales se deberán aumentar las distancias o instalar barreras cortafuegos adicionales;
• En instalaciones en interiores, la interlock con los detectores de humo debe cerrar simultáneamente el aire acondicionado y activar la extracción de aire de emergencia (el aire impulsado favorece la combustión y diluye el humo); esta lógica de interlock deberá verificarse mediante pruebas reales durante la fase de puesta en servicio;
• Es conveniente separar físicamente los armarios de baterías de los armarios de PCS para evitar la concentración de calor.

4.4 Matriz de actuación coordinada contra incendios

La relación secuencial entre los cuatro eslabones —detección, alarma, supresión y desconexión— es la siguiente. La alarma y la supresión corresponden a niveles de actuación distintos: la alarma puede rearmarse automáticamente, la supresión no.

Tres convenios clave de la cadena de actuación coordinada:

1. El cableado físico tiene prioridad sobre el software: el bucle de parada de emergencia y la realimentación contra incendios se transmiten mediante contactos secos directamente al PCS y al interruptor de la línea general de entrada; su actuación no depende de que el EMS ni la plataforma en la nube estén en línea. El papel del lado del EMS es recibir la realimentación, notificar alarmas y mostrar el estado de funcionamiento.
2. Un único punto de disparo lleva toda la estación a cero: si se produce una parada de emergencia o una descarga del agente extintor en cualquier armario, todos los demás armarios dentro del mismo punto de interconexión paralelo se detendrán y la potencia total del sistema será 0, impidiendo que cualquier zona en avería continúe cargando o descargando. La recuperación debe realizarse tras la confirmación manual uno por uno en cada armario.
3. La descarga es una actuación irreversible: una vez que el bucle de extinción se activa, el armario queda enclavado; es necesario sustituir el agente extintor y realizar un rearmado manual, sin que se pueda reanudar el funcionamiento tras un simple reset.

Los umbrales concretos de detección y supresión (dB/m del detector de humo, °C del detector de temperatura, %LEL del gas) son valores definidos por el producto, determinados según el modelo del detector y las conclusiones de la evaluación de seguridad. Esta especificación no incluye valores concretos.

5. Mecánica, entorno y EMC

5.1 Protección y estructura

• La puerta del armario es una puerta de protección con cerradura; la posición de la cerradura se indica en la documentación de la ficha técnica individual;
• Los armarios de 2.5 t o más deben transportarse mediante carretilla elevadora o izaje; queda prohibido levantarlos a mano;
• El transporte cumple con los requisitos de vibración y caída del nivel de embalaje ISTA; el SoC de fábrica de las baterías en el armario es del 30–40 %, y queda prohibido cargar o descargar durante el transporte.

5.2 Adecuación ambiental

Control de la condensación: los BESS instalados en interiores deben equiparse con un sistema de aire acondicionado con deshumidificación y recalentamiento. El punto de rocío se configurará en función de las condiciones del emplazamiento (no inferior a 5 °C), y se garantizará que la temperatura del aire de entrada de las baterías sea ≤ 28 °C; de lo contrario, el sistema reducirá automáticamente la potencia. Un cortocircuito entre el aire frío y el aire caliente impedirá que las baterías se enfríen de forma efectiva, por lo que es imprescindible asegurar el sellado del conducto de refrigeración forzada.

Entornos con alto nivel de polvo (como talleres de aserrado): en las entradas y salidas de aire se deberá añadir protección antipolvo, y se evaluará el impacto de la acumulación de polvo combinándolo con los datos de temperatura del BMS.

5.3 EMC

• Inmunidad IEC 61000-6-2; emisiones IEC 61000-6-4 (industrial) o 6-3/6-1 (residencial/comercial);
• Tanto el lado de CC como el de CA están equipados con SPD de Tipo II, y el estado del SPD se comunica mediante comunicación;
• THDi < 3 % a la salida nominal; componente de CC < 0,5 %.

6. Seguridad del sistema de refrigeración líquida

La refrigeración líquida no es un sistema auxiliar; su fallo equivale a que la batería pierda su capacidad principal de disipación de calor.

Funcionamiento a baja temperatura: cuando la temperatura ambiente es inferior al punto de congelación, el proceso de arranque debe establecer primero la circulación y completar el precalentamiento de las tuberías para evitar la congelación局部 que provoque daños por expansión de volumen. La lógica del sistema ya incorpora las protecciones pertinentes y no se debe sortear.

7. Seguridad funcional y seguridad a nivel de sistema

7.1 Arquitectura de seguridad en bucle cerrado 3S

Principios clave:

1. Las consignas de protección se transmiten por cableado físico de contactos secos: cuando el BMS activa una protección o detecta una falla, notifica directamente al PCS a través de contactos secos para que ejecute la parada (desconexión del contactor de CC), sin pasar por el EMS. El papel del EMS en este enlace se limita a recibir realimentación, reportar alarmas y mostrar el estado de operación.
2. El envío de estrategias por parte del EMS no puede rebasar los límites de protección hardware del BMS/PCS; por muy anómala que sea una instrucción del nivel superior, debe ser interceptada en la protección hardware.
3. Durante el funcionamiento en cascada se mantiene la independencia de la protección de cada clúster; está prohibido que el controlador de un clúster proteja a otro.
4. Un PCS corresponde a un clúster de baterías; una falla en un único clúster no se propaga a los demás clústeres; cuando un armario queda fuera de servicio, el sistema redistribuye la potencia según la cantidad real de PCS en funcionamiento, reduciendo la salida total en consecuencia sin generar excedentes.

7.2 Restricciones de seguridad para funcionamiento en isla / microrred (R1–R6)

Durante el funcionamiento en isla, el PCS debe asumir el soporte de tensión y frecuencia, y las características de la carga determinan directamente la seguridad. Durante la fase de diseño, las cargas deben verificarse una por una conforme a esta tabla:

Carga escalonada en varios módulos: cuando varios módulos de PCS operan en paralelo alimentando cargas, la primera aplicación de carga no debe superar el 40 % de la capacidad nominal; el resto de las cargas debe arrancarse por etapas con arranque suave, con intervalos de 5–10 s. Una aplicación de carga excesiva provocará la actuación de la protección contra corrientes circulantes entre módulos y el disparo del sistema.

Restricciones de selección del STS:

Potencia nominal del STS ≥ potencia de carga del almacenamiento + potencia consumida por la carga

Si no se cumple bajo cualquier condición de operación, se producirá una sobrecarga y el disparo del interruptor.

7.3 Integridad de la seguridad funcional

La cadena de protección (detección → criterio → actuación) se evalúa según el enfoque de ISO 13849-1 para determinar el PL (Performance Level), con los siguientes niveles objetivo para las funciones de seguridad principales:

La declaración específica de PL y la verificación (FMEDA, redundancia de hardware, cobertura de diagnóstico) las proporciona el departamento de producto; consulte el anexo C. Antes de obtener confirmación por escrito del departamento de producto, no asuma compromisos de un nivel de PL específico en nombre del cliente en los documentos de la licitación.

7.4 Seguridad de red

• El producto cumple con los requisitos pertinentes de la serie IEC 62443; el nivel objetivo de seguridad (SL, por sus siglas en inglés) se indica en el Anexo C;
• El sistema de control no debe utilizar contraseñas genéricas de fábrica; las contraseñas predeterminadas deben modificarse obligatoriamente en el momento de la entrega;
• Los interfaces de mantenimiento, como los puertos de puesta en servicio, USB y tarjetas SD, deben cerrarse o quedar bajo control después de la entrega;
• Las operaciones de mantenimiento remoto deben realizarse a través de una VPN; queda prohibido exponer directamente los puertos de gestión del dispositivo a la red pública.

Apéndice B Glosario