Normes de sécurité des systèmes de stockage d'énergie

Numéro de document : HZ-SAF-001 Version : V1.0 Date : 2026-09-29

0. Présentation du document

0.1 Objet

La présente spécification décrit les principes de conception de sécurité, les valeurs de réglage clés et les critères de jugement du système de stockage d'énergie Hoenergy dans cinq domaines : sécurité électrique, sécurité des batteries et du BMS, emballement thermique et protection incendie, environnement mécanique, et sécurité fonctionnelle. Elle sert de référence commune pour les échanges techniques, les réponses techniques aux appels d'offres, la conception de solutions et les déclarations de raccordement au réseau.

La présente spécification est un document de description de la sécurité du produit. Elle ne constitue ni une norme réglementaire, ni un substitut aux réglementations obligatoires du pays hôte du projet, aux règles de l'opérateur du réseau ni aux exigences des autorités compétentes en matière de protection incendie. En cas de conflit, les réglementations du pays hôte du projet et les documents d'autorisation de raccordement au réseau font foi.

0.2 Lecteurs et méthodes de lecture

0.3 Documents de référence

Les paramètres prévalent sur la dernière version respective des fiches techniques (datasheet). L'annexe C énumère les éléments qui doivent être confirmés par le service Produits avant toute publication externe.

1. Principes généraux de conception de sécurité

1.1 Principes fondamentaux

1. Priorité à la sécurité intrinsèque : éliminer les sources de danger dès la conception par la structure et le choix des composants, plutôt que de compenser par des alarmes. Sélectionner des cellules LFP (température de début d'emballement thermique nettement supérieure à celle des systèmes ternaires), configuration 1P en série sans courants de circulation parallèles, domaine de défaut isolé au niveau du cluster.
2. Lignes de défense multiples et indépendantes : la défaillance d'un capteur unique, l'interruption d'une communication unique ou un défaut logiciel unique ne doivent jamais conduire à un état dangereux. La détection, l'alerte précoce, l'inhibition et l'actionnement externe sont mutuellement indépendants.
3. Sécurité en cas de défaillance (Fail-safe) : l'état par défaut lors d'une coupure d'alimentation, d'une perte de contrôle ou d'une déconnexion doit être sûr — arrêt du PCS plutôt que maintien du fonctionnement, relâchement des contacteurs plutôt que fermeture.
4. Pas de redémarrage automatique : après l'exécution d'une action d'extinction ou d'inhibition, le système ne doit pas redémarrer automatiquement ; il doit être réarmé manuellement après identification de la cause.
5. Diagnostic et traçabilité : toutes les actions de protection doivent être accompagnées d'un enregistrement d'événements et de codes d'erreur lisibles ; les valeurs de consigne doivent être consultables, étalonnables et auditables.

1.2 Quatre lignes de défense

1.3 Classification des défauts et réponse automatique

Le système est organisé selon une architecture de protection à trois niveaux ; chaque niveau constitue un escalier « détection de dépassement → réduction → mise à zéro → coupure ». Les seuils détaillés sont fournis à la section 3.2 et à l'annexe A.

Règles de réinitialisation (convention fondamentale de conception de sécurité) :

• Les protections sur les grandeurs de processus telles que température, courant et écart de tension appartiennent à la catégorie à réinitialisation automatique, mais comportent toutes une hystérésis afin d'éviter les commutations répétées à proximité du seuil ;
• La protection de tension niveau 3, les anomalies de lignes d'échantillonnage, les anomalies de tension totale, les anomalies de communication en chaîne Daisy, les défauts de fusible, les courants de fuite, le collage/ouverture du disjoncteur principal, les défauts de carte de contrôle, les incompatibilités logicielles appartiennent à la catégorie à verrouillage et nécessitent une mise hors tension ou une intervention manuelle avant réinitialisation ;
• Après une décharge d'extinction, le système ne s'engage dans aucune voie de réinitialisation automatique.

2. Sécurité électrique

2.1 Identification des tensions dangereuses

Les tensions nominales côté courant continu des séries D-Cube / D-Ocean sont de 832 V (D-Cube-261D, S125/261, F135/261) et 1331,2 V (F215/418, D-Ocean-5016D), tandis que le côté courant alternatif est de 400 V ou 690/800 V, toutes dépassant les seuils de sécurité de 60 V DC / 50 V AC et sont donc considérées comme des tensions dangereuses. Par conséquent :

• Les côtés courant continu et courant alternatif doivent tous deux être conçus pour des tensions dangereuses ; les armoires doivent être équipées de portes de protection verrouillables, et la position du verrou de porte doit être indiquée sur les plans ;
• Les distances d'isolement électrique et les lignes de fuite doivent être sélectionnées conformément au tableau de la norme IEC 60664-1. L'extrémité d'entrée correspond à une catégorie de surtension II et à un degré de pollution 2 pour les armoires intérieures ; pour les scénarios en conteneur, le degré de pollution 3 doit être appliqué. Les valeurs spécifiques doivent être calculées modèle par modèle par les ingénieurs en structure et en sécurité, conformément aux paramètres globaux OVC / CTI de l'appareil. La présente spécification ne fixe pas de valeurs en millimètres précises.

2.2 Système principal et configuration de protection

Système de mise à la terre : Dans un système TN-S, le PE est continu sur l'ensemble du parcours, et la barre PE de l'armoire constitue le point de rassemblement du châssis ; la barre PE et l'électrode de terre (mise à la terre répétée) sont deux concepts distincts. La mise à la terre répétée n'est généralement pas imposée en TN-S, mais sa mise en œuvre est recommandée.

Valeurs de réglage de la protection réseau : Le PCS est configuré en usine avec des valeurs de réglage génériques. Avant la mise en service en réseau, il est impératif de procéder à un nouveau réglage et à une validation conformes aux règlements de raccordement et aux documents de certification de type de l'opérateur réseau du pays cible, notamment les protections de surtension/sous-tension, de surfréquence/sous-fréquence, anti-îlotage et d'impédance. Tout système non réglé selon les règlements locaux ne doit pas être raccordé au réseau. Les valeurs de réglage relèvent de la configuration du projet et doivent être consignées et archivées.

2.3 Protection de couplage au réseau et protection de découplage (point clé)

La protection interne du PCS et la protection de découplage au point de couplage au réseau sont deux choses différentes :

• La protection interne du PCS (surtension, sous-tension, surfréquence, sous-fréquence, anti-îlotage, protection d'impédance, 16 types de défauts réseau) protège le PCS lui-même ;
• La protection de découplage protège le réseau et le personnel sur site, et doit être indépendante du PCS.

Acceptation par marché :

Autres fonctions de couplage au réseau : réglage primaire de fréquence, réponse AGC, suivi de courbe programmée, anti-îlotage, limitation de puissance active/réactive, LVRT (si requis par le projet).

Base de temps : la précision du dispatching et du contrôle de puissance dépend de la base de temps. Pour les projets utilisant le protocole IEC 104, une source d'horloge fiable doit être configurée et la cohérence des horodatages doit être vérifiée lors de la livraison ; les critères figurent à l'annexe A.

2.4 Court-circuit et surcharge

• Le fusible / disjoncteur côté courant continu doit être dimensionné en fonction du courant de court-circuit maximal, avec un pouvoir de coupure au moins égal au courant de court-circuit présumé du système ;
• Le courant assigné du disjoncteur côté courant alternatif doit être calculé selon la formule P / (√3 · U · cosφ) et vérifié vis-à-vis de la tenue aux courts-circuits ;
• Le PCS dispose d'une capacité de fonctionnement en surcharge de 110 % de sa puissance assignée, la surcharge de courte durée ne doit pas être utilisée comme mode de fonctionnement normal.

3. Sécurité des batteries et du BMS

3.1 Configuration des cellules et du système

3.2 Fenêtre de protection et chaîne d'actions

Le BMS assure une surveillance continue des grandeurs suivantes, chacune étant gérée selon une cascade à trois niveaux, avec une hystérésis entre les niveaux afin d'éviter les basculements répétés :

Auto-diagnostic de validité des acquisitions : le BMS vérifie en permanence la cohérence des acquisitions de tension (maximum > 4,5 V et minimum < 2 V jugés anormaux), des acquisitions de température (hors plage −40 à 125 °C jugées anormales), ainsi que la cohérence entre la tension totale et la somme des tensions par cellule (écart > 10 % jugé anormal). Toute anomalie déclenche le traitement de niveau N3 selon le tableau ci-dessus — un fonctionnement « en mode dégradé » n'est pas autorisé en cas de défaillance d'acquisition.

Important : restriction de charge à basse température Charger la batterie à basse température entraîne un dépôt de lithium métallique, qui constitue un dommage irréversible. Le système applique à la charge un seuil basse température indépendant et nettement plus strict que pour la décharge (la réduction débute puis l'interdiction de charge intervient dès la plage d'environ 0 à 3 °C). La température minimale de fonctionnement de −25 °C du D-Cube-S125/261-EU ne s'applique qu'au régime de décharge. Pour tout environnement inférieur au seuil de température de charge, le système doit impérativement se trouver en état de décharge limitée ou d'interdiction charge/décharge ; toute tentative de charge au motif que la température se situerait « dans la plage de fonctionnement » est exclue.

Les consignes de protection varient selon les lots de cellules et les versions logicielles ; les valeurs typiques figurent en annexe A.1. Le « Tableau des consignes de protection » fourni avec l'armoire fait foi et ne doit être modifié ni par l'utilisateur ni par l'intégrateur.

3.3 Stratégie d'équilibrage et paramètres réglables

Le nombre de cellules en série de la plateforme D-Cube est de 260S / 416S, et la stratégie d'équilibrage est exécutée selon les valeurs définies par la conception du produit. Les paramètres tels que le courant d'équilibrage et les seuils de protection ne sont pas ouverts à la modification par l'utilisateur ou l'intégrateur — toute modification entraînera la perte de la conformité aux certifications et du droit à la garantie.

3.4 Protection structurelle du compartiment batterie

• Séparation physique entre le refroidissement liquide et les composants haute tension, les entrées et sorties d'air du compartiment batterie sont équipées de capots de protection contre la pluie et la poussière ;
• Des dispositifs d'isolation thermique et de limitation structurelle sont installés entre les modules afin d'empêcher l'emballement thermique d'une cellule de se propager aux modules adjacents ;
• Le détecteur de gaz combustibles à l'intérieur du compartiment est situé dans la zone de retour en partie haute (trajet de montée des gaz chauds), garantissant une détection précoce.

3.5 Continuité de l'échantillonnage en mode basse consommation statique

Le système passe en fonctionnement basse consommation à l'état de repos (sans charge ni décharge), réduisant ainsi la consommation de l'alimentation auxiliaire et de la commande. Les conditions d'entrée sont : tension moyenne par cellule inférieure à environ 3,1 V, courant détecté inférieur à environ 2 A, le tout maintenu pendant plus de 5 minutes ; le mode se désactive automatiquement lorsque le courant remonte au-dessus du seuil.

En mode basse consommation : la prise en charge de l'équilibrage passif est activée ; les esclaves d'échantillonnage se réveillent périodiquement pour effectuer l'acquisition et la communication (période de réveil d'environ 30 minutes, durée unitaire d'environ 8 secondes) ; l'état de veille est signalé au contrôleur principal.

Consigne de sécurité : le mode basse consommation n'est actif qu'à l'état de repos sans charge ni décharge ; le réveil des esclaves d'échantillonnage garantit la non-interruption des données de protection. Le mode basse consommation ne doit pas être utilisé en état de fonctionnement et ne modifie aucun seuil de protection défini à la section 3.2. Les conditions d'activation de l'équilibrage en mode basse consommation restent identiques à celles de l'état de repos classique.

4. Embardée thermique et protection incendie

4.1 Détection : alerte à trois niveaux

Critère de taux d'élévation de température : un seuil est défini sur le taux de variation de température d'un élément (°C/s) afin d'identifier les anomalies avant que le seuil absolu de température ne soit atteint, évitant tout délai.

4.2 Suppression : extinction automatique d'incendie

Points clés de conception :

• Après le déclenchement de l'agent extincteur, aucune réinitialisation automatique n'est effectuée ; le système passe dans un état verrouillé et ne peut être réarmé qu'après identification manuelle de la cause ;
• L'agent extincteur est un consommable à usage unique et doit être remplacé après décharge ; le système ne doit pas être remis en service tant qu'il n'a pas été remplacé ;
• L'action de décharge ouvre simultanément le disjoncteur DC de l'armoire concernée et l'arrivée générale AC, et les autres armoires des unités en parallèle s'arrêtent simultanément, la puissance totale du système retombe à zéro, afin d'empêcher tout fonctionnement en condition de défaut ;
• L'interface d'extinction à eau assure uniquement la signalisation et le raccordement des tuyauteries ; l'arrosage effectif est réalisé selon la conception incendie du projet (la plupart des autorités incendie exigent un système d'eau externe) ;
• L'objectif de la suppression est de limiter la propagation, ce qui n'est pas équivalent à une « extinction » ; les opérations de lutte contre l'incendie doivent toujours suivre le plan d'intervention incendie local ;
• Utilisation d'un agent extincteur halogéné de type cétone perfluorée (perfluorohexanone) ; aux doses normales de décharge, il ne présente pas de toxicité significative pour les personnes ni de corrosivité pour les équipements électroniques de précision, mais une ventilation est nécessaire après décharge.

4.3 Disposition, espacement et séparation

• L'espacement entre les armoires est déterminé selon la réglementation incendie du pays où se situe le projet et les avis des autorités compétentes en matière de sécurité incendie. Il n'existe pas d'espacement minimal unifié et obligatoire au sein de l'Union européenne ; l'espacement de 1,5 m entre unités selon la norme NFPA 855 ne s'applique qu'aux marchés adoptant cette norme ; le Royaume-Uni se réfère à la norme PAS 63100 ; la Pologne (PSP), la République tchèque (HOŘ), la France et l'Espagne (SDIS) se conforment à l'avis d'approbation des services d'incendie territoriaux ;
• Pour les sites sensibles tels que les zones résidentielles, les écoles et les hôpitaux, il convient d'augmenter les espacements ou d'installer des barrières coupe-feu ;
• En cas de déploiement en intérieur, le couplage avec les détecteurs de fumée doit impérativement couper simultanément la climatisation et activer la ventilation d'extraction en cas d'accident (l'air soufflé alimenterait la combustion et diluerait la fumée) ; cette logique de couplage doit être vérifiée par des essais réels lors de la phase de mise en service ;
• Les armoires de batteries et les armoires PCS doivent être physiquement séparées afin d'éviter la concentration de chaleur.

4.4 Matrice d'interverrouillage incendie

La relation séquentielle entre les quatre maillons — détection, alarme, suppression et coupure — est la suivante. L'alarme et la suppression sont des niveaux d'action différents : l'alarme peut s'auto-réinitialiser, la suppression est irréversible.

Trois conventions clés de la chaîne d'interverrouillage :

1. Le câblage physique prime sur le logiciel : la boucle d'arrêt d'urgence et les retours incendie transitent par contacts secs directement vers le PCS et le disjoncteur d'arrivée principale ; leur action ne dépend pas de la disponibilité de l'EMS ou de la plateforme cloud. Le rôle côté EMS est de recevoir les retours, de remonter les alarmes et d'afficher l'état de fonctionnement.
2. Tout déclenchement ponctuel entraîne la mise à zéro de toute la station : en cas d'arrêt d'urgence ou de décharge d'extinction sur une armoire, toutes les autres armoires du même point de connexion parallèle s'arrêtent immédiatement et la puissance totale du système passe à 0, afin d'interdire toute charge/décharge dans une zone en défaut. La reprise exige une confirmation manuelle armoire par armoire.
3. La décharge est une action irréversible : une fois la boucle d'extinction déclenchée, l'armoire passe en état verrouillé ; l'agent extincteur doit être remplacé et une réinitialisation manuelle effectuée ; aucune remise en service n'est autorisée après un simple reset.

Les seuils précis de détection et de suppression (fumée en dB/m, chaleur en °C, gaz en %LIE) relèvent des valeurs produit, déterminées en fonction du modèle de détecteur et des conclusions de l'évaluation de sécurité. La présente spécification n'en indique pas les valeurs numériques.

5. Mécanique, environnement et CEM

5.1 Protection et structure

• Les portes de l'armoire sont des portes de protection verrouillables, la position de la serrure est indiquée dans la documentation de la page produit ;
• Les armoires de 2,5 t et plus doivent être déplacées au chariot élévateur ou par levage, le transport manuel est interdit ;
• Le transport est conforme au niveau d'emballage ISTA pour les exigences de vibration et de chute, l'état de charge (SoC) des batteries en sortie d'usine est de 30 à 40 %, toute charge et décharge est interdite pendant le transport.

5.2 Adaptabilité environnementale

Contrôle de la condensation : les BESS intérieurs doivent être munis d'une climatisation équipée d'un déshumidificateur à post-chauffage, avec un point de rosée défini selon les conditions du site (au minimum 5 °C), et garantissant une température de l'air entrant dans les batteries ≤ 28 °C ; à défaut, le système réduit automatiquement sa puissance. Un court-circuit entre l'air froid et l'air chaud empêcherait effectivement le refroidissement des batteries : il convient donc de veiller au cloisonnement hermétique du couloir de refroidissement forcé.

Environnements très poussiéreux (par exemple les ateliers de sciage) : les entrées et sorties d'air doivent être équipées de protections anti-poussière, et l'impact de l'accumulation de poussière doit être évalué en corrélant avec les données de température du BMS.

5.3 EMC

• Immunité IEC 61000-6-2 ; émissions IEC 61000-6-4 (environnement industriel) ou 6-3/6-1 (résidentiel/tertiaire) ;
• Des parafoudres (SPD) de Type II sont installés côté courant continu et côté courant alternatif ; l'état du SPD est remonté via la communication ;
• THDi < 3 % à la puissance de sortie nominale ; composante continue < 0,5 %.

6. Sécurité du système de refroidissement liquide

Le refroidissement liquide n'est pas un système auxiliaire ; sa défaillance équivaut à une perte de la capacité principale de dissipation thermique de la batterie.

Fonctionnement à basse température : lorsque la température ambiante est inférieure au point de congélation, la procédure de démarrage doit d'abord établir la circulation et effectuer le préchauffage des tuyauteries afin d'éviter les dommages causés par la dilatation volumique due à une prise en glace locale. La logique du système intègre déjà les protections correspondantes et ne doit pas être contournée.

7. Sécurité fonctionnelle et sécurité au niveau du système

7.1 Architecture de sécurité en boucle fermée 3S

Principes essentiels :

1. Les consignes de protection transitent par un contact sec câblé : lorsque le BMS déclenche une protection ou détecte un défaut, il notifie directement le PCS via le contact sec pour exécuter l'arrêt (ouverture du contacteur DC), sans transit par l'EMS. Le rôle de l'EMS dans cette chaîne se limite à la réception du retour d'information, au signalement des alarmes et à l'affichage de l'état de fonctionnement.
2. L'envoi des stratégies par l'EMS ne peut pas franchir les limites de protection matérielles du BMS/PCS — même si une consigne de la couche supérieure est anormale, elle doit être interceptée au niveau de la protection matérielle.
3. En fonctionnement en cascade, maintenir l'indépendance de la protection de chaque cluster, il est interdit d'utiliser le contrôleur d'un cluster pour protéger un autre cluster.
4. Un PCS correspond à un cluster de batteries ; un défaut sur un cluster unique ne se propage pas aux autres clusters ; lorsqu'une armoire se retire du fonctionnement, le système redistribue la puissance en fonction du nombre réel de PCS opérationnels, la puissance totale est réduite en conséquence sans dépasser les limites.

7.2 Contraintes de sécurité en fonctionnement hors réseau / microréseau (R1–R6)

En fonctionnement hors réseau, le PCS doit assurer le soutien en tension et en fréquence ; les caractéristiques de la charge déterminent directement la sécurité. Lors de la phase de conception, les charges doivent être vérifiées une par une conformément au tableau suivant :

Mise en charge multi-modules : lors de la mise en charge en parallèle de plusieurs modules PCS, la première mise en charge ne doit pas dépasser 40 % de la puissance nominale ; les charges restantes doivent être démarrées progressivement par lots, avec un intervalle de 5 à 10 s. Une mise en charge excessive déclenche la protection contre les courants de circulation entre modules et provoque un déclenchement.

Contraintes de sélection du STS :

Puissance nominale STS ≥ Puissance de charge du stockage + Puissance consommée par la charge

Toute condition de fonctionnement ne respectant pas cette règle entraîne une surcharge et un déclenchement.

7.3 Intégrité de la sécurité fonctionnelle

La chaîne de protection (détection → critère → exécution) est évaluée selon l'approche ISO 13849-1 en termes de PL, avec les niveaux cibles pour les fonctions de sécurité essentielles :

Les déclarations et vérifications détaillées du PL (FMEDA, redondance matérielle, taux de couverture diagnostique) sont fournies par le département Produit, voir Annexe C. Tant que vous n'avez pas obtenu la confirmation écrite du département Produit, veuillez ne pas vous engager au nom du client sur un niveau de PL spécifique dans les documents d'appel d'offres.

7.4 Sécurité réseau

• Le produit est conforme aux exigences pertinentes de la série IEC 62443 ; le niveau d'objectif de sécurité (SL — Security Level) est indiqué à l'Annexe C ;
• Le système de contrôle ne doit pas utiliser de mots de passe génériques d'usine ; les mots de passe par défaut doivent être obligatoirement modifiés lors de la livraison ;
• Les interfaces de maintenance telles que le port de débogage, l'USB et la carte SD doivent être désactivées ou contrôlées après la livraison ;
• La maintenance à distance doit s'effectuer via un VPN ; il est interdit d'exposer directement les ports de gestion de l'équipement au réseau public.

Annexe B Glossaire