Veiligheidsvoorschriften voor energieopslagsystemen

D-Cube / D-Ocean Volledige Serie (Industriële en Commerciële Energieopslag en Grootschalige Energieopslag)

Documentnummer: HZ-SAF-001 Versie: V1.0 Datum: 2026-09-29

0. Documentbeschrijving

0.1 Doel

Deze specificatie beschrijft de veiligheidsontwerpprincipes, kritische instelwaarden en beoordelingscriteria van het Hoenergy-energieopslagsysteem op vijf gebieden: elektrische veiligheid, batterij- en BMS-veiligheid, thermische runaway en brandbestrijding, mechanische en omgevingsveiligheid, en functionele veiligheid. Het document dient als gemeenschappelijke basis voor technische uitwisseling, technische reacties bij aanbestedingen, ontwerp van oplossingen en aanvragen voor netaansluiting.

Deze specificatie is een veiligheidsdocumentatie van het product; het is geen wettelijke norm en vervangt niet de verplichte regelgeving van het land waar het project wordt uitgevoerd, de voorschriften van de netbeheerder of de eisen van de brandveiligheidsautoriteiten. Bij conflicten prevaleren de regelgeving van het land waar het project wordt uitgevoerd en de documenten voor de netaansluitingsvergunning.

0.2 Lezers en leesaanwijzingen

0.3 Referentiedocumenten

Parameters zijn gebaseerd op de meest recente versie van de respectievelijke datasheets. Bijlage C vermeldt de onderdelen die vóór externe publicatie door de productafdeling moeten worden bevestigd.

1. Algemene principes van veiligheidsontwerp

1.1 Kernprincipes

1. Intrinsieke veiligheid heeft voorrang: elimineer gevarenbronnen eerst via structuur en componentkeuze, in plaats van deze met waarschuwingen te compenseren. Kies LFP-cellen (de starttemperatuur van thermische runaway is aanzienlijk hoger dan bij NMC-systemen), 1P-schakeling zonder parallel-verbindingsstromen, en foutdomeinen onafhankelijk op clusterniveau.
2. Meerdere onafhankelijke verdedigingslinies: het uitvallen van één enkele sensor, één communicatieonderbreking of één softwarefout mag nooit leiden tot een gevaarlijke toestand. Detectie, vroegtijdige waarschuwing, onderdrukking en externe koppeling moeten onafhankelijk van elkaar functioneren.
3. Fail-safe (uitvalveilig): de standaardtoestand bij stroomuitval, verlies van besturing of verbindingsverbreking moet veilig zijn — de PCS stopt in plaats van door te draaien, en het schakelcontact ontkoppelt in plaats van te sluiten.
4. Geen automatisch herstel: na het activeren van brandblussing of onderdrukking mag het systeem niet automatisch herstarten; herstel mag uitsluitend plaatsvinden nadat de oorzaak door personeel is onderzocht en verholpen.
5. Diagnostisch en traceerbaar: elke beveiligingsactie is voorzien van een gebeurtenislogboek en uitleesbare foutcodes; instelwaarden moeten opvraagbaar, kalibreerbaar en auditeerbaar zijn.

1.2 Vier verdedigingslinies

1.3 Storingsclassificatie en automatische respons

Het systeem is georganiseerd volgens een architectuur met drie beschermingsniveaus, waarbij elk niveau een trapsgewijze opbouw volgt van "limietoverschrijding detecteren → vermogen verlagen → naar nul brengen → uitschakelen". De specifieke drempelwaarden worden beschreven in §3.2 en bijlage A.

Resetregels (fundamentele afspraak in het veiligheidsontwerp):

• Procesgrootheden zoals temperatuur, stroom en spanningsverschil behoren tot de automatisch resetbare categorie, maar zijn alle voorzien van hysteresis om herhaaldelijk in- en uitschakelen rond de drempelwaarde te voorkomen;
• Spanningsbeveiliging niveau 3, meetlijnstoringen, totale spanning afwijkend, fout in daisy-chain-communicatie, zekeringdefect, lekstroom, hoofdschakelaar plakken/open, besturingsprintdefect, softwareversiebotsing behoren tot de geheugen-gekoppelde (latching) klasse en vereisen uitschakeling of handmatige interventie voor herstel;
• Na activering van de brandblussing gaat het systeem niet over op een automatisch herstelproces.

2. Elektrische veiligheid

2.1 Herkenning van gevaarlijke spanning

De nominale DC-zijspanning van de series D-Cube / D-Ocean bedraagt 832 V (D-Cube-261D, S125/261, F135/261) en 1331,2 V (F215/418, D-Ocean-5016D), terwijl de AC-zijde 400 V of 690/800 V is. Al deze waarden overschrijden de veiligheidslimieten van 60 V DC / 50 V AC en worden beschouwd als gevaarlijke spanning. Daarom gelden de volgende eisen:

• Zowel de DC-zijde als de AC-zijde moeten worden ontworpen voor gevaarlijke spanning. De kast is voorzien van een vergrendelbare beschermdeur, en de positie van het deurslot moet op de tekening worden aangegeven.
• De lucht- en kruipwegen moeten worden geselecteerd volgens IEC 60664-1 tabel, waarbij de ingangszijde is gedefinieerd voor overspanningscategorie II en vervuilingsgraad 2 voor indoor kasten; voor containertoepassingen geldt vervuilingsgraad 3. De specifieke waarden worden per model berekend door de constructie- en veiligheidsingenieur op basis van de整机 OVC / CTI parameters; in deze norm worden geen vaste millimeterwaarden vastgelegd.

2.2 Primair systeem en beveiligingsconfiguratie

Aardingssysteem: In een TN-S-systeem is PE over het gehele traject continu; de PE-rail van de kast vormt het verzamelpunt van de behuizing; de PE-rail en de aardingselektrode (herhaalde aarding) zijn twee verschillende concepten. TN-S vereist over het algemeen geen herhaalde aarding, maar de implementatie ervan wordt aanbevolen.

Netbeveiligingsinstellingen: De PCS is af fabriek geconfigureerd met algemene instelwaarden. Vóór de netkoppeling moet het systeem opnieuw worden ingesteld en bevestigd volgens de netcode en de typecertificeringsdocumenten van de netbeheerder van het doelland, inclusief over-/onderspanning, over-/onderfrequentie, anti-eilandbedrijf, impedantiebeveiliging, enz. Systemen die niet volgens de lokale voorschriften zijn ingesteld, mogen niet op het net worden aangesloten. De instelwaarden behoren tot de projectconfiguratie en moeten worden geregistreerd en gearchiveerd.

2.3 Netkoppelingbeveiliging en ontkoppelingsbeveiliging (belangrijk)

De interne PCS-beveiliging en de ontkoppelingsbeveiliging op het netkoppelpunt zijn twee verschillende zaken:

• De interne PCS-beveiliging (overspanning, onderspanning, overfrequentie, onderfrequentie, anti-eilandbedrijf, impedantiebeveiliging, 16 typen netfoutcodes) beschermt de PCS zelf;
• De ontkoppelingsbeveiliging beschermt het net en het personeel ter plaatse en moet onafhankelijk van de PCS functioneren.

Acceptatie per markt:

Overige netkoppelingfuncties: primaire frequentieregeling, AGC-respons, volgen van de geprogrammeerde curve, anti-eilandbedrijf, begrenzing van actief/reactief vermogen, LVRT (indien het project dit vereist).

Tijdsreferentie: de nauwkeurigheid van dispatching en vermogensregeling is afhankelijk van de tijdsreferentie. Bij projecten die het IEC 104-protocol gebruiken moet een betrouwbare tijdsbron worden geconfigureerd; bij oplevering moet de consistentie van de tijdsmarkeringen worden geverifieerd. De beoordelingscriteria staan in bijlage A.

2.4 Kortsluiting en overbelasting

• Selecteer DC-zijdige zekeringen/vermogensschakelaars op basis van de maximale kortsluitstroom; het uitschakelvermogen mag niet lager zijn dan de verwachte kortsluitstroom van het systeem.
• Bereken de nominale stroom van de AC-zijdige vermogensschakelaar met de formule P / (√3 · U · cosφ) en controleer de kortsluitvastheid.
• De PCS beschikt over een overbelastingscapaciteit van 110% van het nominale vermogen; kortstondige overbelasting mag niet als normale bedrijfsmodus worden gebruikt.

3. Batterij- en BMS-veiligheid

3.1 Cel- en systeemconfiguratie

3.2 Beschermingsvensters en actieketen

De BMS bewaakt de volgende grootheden continu; voor elk item wordt volgens een drietraps escalatie gehandeld, met hysteresis tussen de trappen om herhaaldelijk in- en uitschakelen te voorkomen:

Zelfcontrole van de samplinggeldigheid: De BMS valideert continu de spanningssampling (hoogste > 4,5 V en laagste < 2 V wordt als afwijking beoordeeld), de temperatuursampling (buiten het bereik van −40 ~ 125 °C wordt als afwijking beoordeeld) en de consistentie tussen de totale spanning en de som van de celspanningen (afwijking > 10% wordt als afwijking beoordeeld). Bij elke afwijking wordt gehandeld volgens L3 in bovenstaande tabel — bij samplingfalen is "doorgaan met een defect" niet toegestaan.

Belangrijk: laadbeperking bij lage temperatuur Laden bij lage temperatuur veroorzaakt lithiumafzetting (plating), wat een onomkeerbare beschadiging is. Het systeem hanteert voor laden een onafhankelijke en aanzienlijk strengere lage-temperatuurdrempel dan voor ontladen (in het bereik van circa 0 ~ 3 °C wordt reeds begonnen met derating tot het laden wordt verboden). De ondergrens van de bedrijfstemperatuur van D-Cube-S125/261-EU, −25 °C, geldt uitsluitend voor het ontlaad-bedrijf. In elke omgeving beneden de laadtemperatuurdrempel moet het systeem zich in een ontlaadbeperking- of laad-/ontlaadverbod-toestand bevinden; het is niet toegestaan om op grond van "binnen het bedrijfstemperatuurbereik" toch te proberen te laden.

De beschermingsinstelwaarden variëren afhankelijk van de celbatch en softwareversie; typische waarden staan in bijlage A.1. De bij de kast geleverde "Beschermingsinstelwaardenentabel" is de definitieve referentie en mag niet door de gebruiker of integrator worden gewijzigd.

3.3 Balanceringsstrategie en instelbare parameters

Het D-Cube-platform heeft een serieschakeling van 260S / 416S; de balanceringsstrategie wordt uitgevoerd volgens de productontwerpwaarden. Parameters zoals balanceringsstroom en beveiligingswaarden zijn niet beschikbaar voor wijziging door de gebruiker of integrator — wijziging leidt tot verlies van certificeringsconformiteit en garantierecht.

3.4 Structurele bescherming van het batterijcompartiment

• Fysieke scheiding tussen vloeistofkoeling en hoogspanningscomponenten; de inlaat- en uitlaatopeningen van het batterijcompartiment zijn voorzien van regen- en stofkappen;
• Tussen de modules zijn thermische isolatie en structurele begrenzingen aangebracht om de verspreiding van thermische runaway van afzonderlijke cellen naar aangrenzende modules te beperken;
• De detector voor brandbare gassen in het compartiment bevindt zich in de bovenste recirculatiezone (het pad waarop warme lucht opstijgt), zodat een vroegtijdige respons wordt gegarandeerd.

3.5 Bemonsteringscontinuïteit in de statische energiezuinige modus

Het systeem schakelt over op energiezuinig gebruik wanneer het in rust is (geen laden of ontladen), waardoor het hulpvoedings- en regelingsverbruik worden verlaagd. De activeringssnelheid is gebaseerd op een gemiddelde celspanning lager dan ongeveer 3,1 V, een gedetecteerde stroom lager dan ongeveer 2 A en een duur van meer dan 5 minuten; zodra de stroom boven de drempel uitkomt, wordt de modus automatisch verlaten.

In de energiezuinige modus: passieve balancering kan worden ingeschakeld; bemonsteringsslaves worden periodiek gewekt voor gegevensverzameling en communicatie (wekperiode ongeveer 30 minuten, met een enkele meting van circa 8 seconden); de slaapstatus wordt naar de hoofdregelaar gerapporteerd.

Veiligheidsopmerking: De energiezuinige modus is alleen actief in de ruststand zonder laden of ontladen. Het wekken van de bemonsteringsslave voor gegevensverzameling garandeert dat de beveiligingsgegevens niet worden onderbroken. De energiezuinige modus mag niet worden gebruikt tijdens bedrijf en wijzigt geen enkele beveiligingsdrempel uit paragraaf 3.2. De voorwaarden voor het inschakelen van balancering in de energiezuinige modus zijn identiek aan die in de reguliere ruststand.

4. Thermische opwelling en brandbestrijding

4.1 Detectie: waarschuwing op drie niveaus

Criterium voor temperatuurstijgsnelheid: stel een drempelwaarde in voor de temperatuurveranderingssnelheid (°C/s) van een individuele cel, zodat afwijkingen worden herkend voordat de absolute temperatuurdrempel wordt bereikt. Hiermee wordt vertraging voorkomen.

4.2 Onderdrukking: automatische blussing

Ontwerpuitgangspunten:

• Na het vrijkomen van het blusmiddel vindt geen automatische reset plaats; het systeem gaat in een vergrendelde toestand en mag pas worden hersteld nadat de oorzaak handmatig is onderzocht.
• Het blusmiddel is een wegwerpproduct en moet na activering worden vervangen; het systeem mag niet opnieuw in bedrijf worden gesteld voordat de vervanging is uitgevoerd.
• De activering verbreekt tegelijkertijd de gelijkstroomonderbreker van de kast en de algemene wisselstroomtoevoer; bij parallel geschakelde eenheden stoppen de overige kasten synchroon en wordt het totale systeemvermogen op nul gezet, om werking met een storing te voorkomen.
• De waterbrandblusinterface dient uitsluitend als signaal- en leidinginterface; de feitelijke sproeiing wordt uitgevoerd volgens het brandbeveiligingsontwerp van het project (de meeste brandbeveiligingsautoriteiten eisen een extern watersysteem).
• Het doel van onderdrukking is het beperken van uitbreiding; dit is niet hetzelfde als "blussen". De brandbestrijding moet nog steeds worden uitgevoerd volgens het lokale brandbestrijdingsplan.
• Er wordt gebruikgemaakt van een halogeen koolwaterstof-blusmiddel op basis van perfluorhexanon; bij normale vrijgavehoeveelheden is dit niet duidelijk giftig voor personen en niet corrosief voor gevoelige elektronische apparatuur, maar na vrijgave is ventilatie vereist.

4.3 Opstelling, tussenruimte en scheiding

• De tussenruimte tussen kasten wordt bepaald volgens de brandveiligheidsvoorschriften van het land waar het project zich bevindt en de vereisten van de bevoegde brandveiligheidsautoriteiten. De EU hanteert geen uniforme verplichte tussenruimte; de celafstand van 1,5 m uit NFPA 855 is alleen van toepassing op markten die deze norm hanteren; in het Verenigd Koninkrijk wordt verwezen naar PAS 63100; in Polen (PSP), Tsjechië (HOŘ) en Frankrijk/Spanje (SDIS) is de goedkeuring van de lokale brandweer leidend;
• Bij gevoelige locaties zoals woonwijken, scholen en ziekenhuizen moet de tussenruimte worden vergroot of moeten extra brandwerende scheidingswanden worden aangebracht;
• Bij plaatsing binnenshuis moet de koppeling met de rookmelder tegelijkertijd de airconditioning uitschakelen en de noodventilatie activeren (toevoerlucht bevordert de verbranding en verdunt de rook). Deze koppelingslogica moet tijdens de inbedrijfstelling door middel van metingen worden geverifieerd;
• Batterijkasten en PCS-kasten dienen fysiek van elkaar gescheiden te worden geplaatst om warmteconcentratie te voorkomen.

4.4 Brandbestrijdings-koppelingsmatrix

De opeenvolgende relatie tussen de vier schakels — detectie, alarmering, blussing en uitschakeling — is als volgt. Alarmering en blussing zijn verschillende actieniveaus: alarmering kan zichzelf herstellen, blussing niet.

Drie kernelementen van de koppelingsketen:

1. Hardware boven software: het noodstop-circuit en de brandbestrijdingsterugkoppeling lopen via droogcontacten rechtstreeks naar de PCS en de hoofdtoevoerleiding-stroomonderbreker; de werking hiervan is niet afhankelijk van EMS of cloudplatform-online zijn. De rol aan de EMS-zijde is het ontvangen van terugkoppeling, waarschuwingsrapportage en weergave van bedrijfstoestand.
2. Enkelpuntige activering betekent volledig station wordt nul: bij een noodstop of blussingsuitstoot in willekeurig welke kast stoppen alle overige kasten binnen hetzelfde parallelle aansluitpunt en is het systeemtotaalvermogen 0, om te voorkomen dat zones met storingen blijven laden of ontladen. Herstel vereist handmatige bevestiging per kast.
3. Uitstoting is een onomkeerbare actie: zodra het blussingscircuit is geactiveerd, gaat de kast in vergrendeling; het blusmiddel moet worden vervangen en handmatig worden hersteld, doorgaan met bedrijf na een reset is niet toegestaan.

Specifieke drempelwaarden voor detectie en blussing (rookmelder dB/m, hittemelder °C, gas %LEL) zijn productafhankelijke waarden, vastgesteld op basis van het type detector en de uitkomst van de veiligheidsbeoordeling. Deze specificatie vermeldt geen specifieke waarden.

5. Mechanisch, omgeving en EMC

5.1 Bescherming en constructie

• De kastdeur is een vergrendelde beschermdeur; de positie van het slot is aangegeven op de productpagina;
• Kasten van 2,5 t of meer moeten met een heftruck of worden gehesen. Handmatig tillen is verboden;
• Het transport voldoet aan de ISTA-verpakkingsniveaus voor trillings- en valvereisten. De SoC van de batterijen bij verzending uit de fabriek bedraagt 30–40%; opladen en ontladen tijdens transport is verboden.

5.2 Omgevingsgeschiktheid

Condensatiebeheersing: Binnenshuis geïnstalleerde BESS-systemen moeten worden uitgerust met airconditioning met een ontvochtigingsfunctie en warmteterugwinning. Het dauwpunt wordt ingesteld op basis van de omstandigheden ter plaatse (niet lager dan 5 °C) en de inlaattemperatuur van de batterij moet ≤ 28 °C worden gehouden; anders verlaagt het systeem automatisch het vermogen. Kortsluiting tussen koude en warme luchtstromen zorgt ervoor dat de batterij feitelijk niet wordt gekoeld; een geforceerd gesloten koud kanaal moet worden gegarandeerd.

Omgevingen met hoge stofbelasting (zoals een zagerij): de inlaat- en uitlaatopeningen moeten worden voorzien van stofbescherming, en op basis van de temperatuurgegevens van het BMS moet de invloed van stofophoping worden beoordeeld.

5.3 EMC

• Immuniteit IEC 61000-6-2; emissie IEC 61000-6-4 (industrieel) of 6-3/6-1 (residentieel/commercieel);
• Zowel DC- als AC-zijde zijn voorzien van Type II SPD; de SPD-status wordt via communicatie gerapporteerd;
• THDi < 3% @ nominale uitgang; DC-component < 0,5%.

6. Veiligheid van het vloeistofkoelsysteem

Het vloeistofkoelsysteem is geen hulpsysteem; uitval ervan is gelijk aan het verlies van het primaire koelvermogen van de accu.

Bedrijf bij lage temperatuur: wanneer de omgevingstemperatuur lager is dan het vriespunt, moet tijdens het opstartproces eerst de circulatie worden opgebouwd en de leidingen worden voorverwarmd, om te voorkomen dat plaatselijke ijsvorming volumevergroting en schade veroorzaakt. De relevante beveiliging is in de systeemlogica ingebouwd en mag niet worden omzeild.

7. Functionele veiligheid en systeemniveau-veiligheid

7.1 3S-closed-loop veiligheidsarchitectuur

Kernprincipes:

1. Beschermingsopdrachten worden via droge-contacten op een hardwire uitgevoerd: wanneer de BMS een bescherming activeert of een storing detecteert, wordt de PCS via een droog contact direct opgedragen om uit te schakelen (de DC-contactor te openen), zonder tussenkomst van de EMS. De rol van de EMS in deze keten is beperkt tot het ontvangen van terugkoppeling, het rapporteren van alarmen en het weergeven van de bedrijfsstatus.
2. Strategiedistributie door de EMS mag de hardwarebeschermingsgrenzen van BMS/PCS niet overschrijden — zelfs afwijkende opdrachten van de bovenliggende laag moeten op het niveau van de hardwarebescherming worden afgekapt.
3. Tijdens cascadebedrijf blijft de bescherming van elke cluster onafhankelijk; het is niet toegestaan om de controller van één cluster de bescherming van een andere cluster te laten verzorgen.
4. Eén PCS behoort tot één batterijcluster; een storing in één cluster mag zich niet uitbreiden naar andere clusters. Wanneer een kast buiten bedrijf wordt gesteld, herverdeelt het systeem het vermogen op basis van het werkelijk beschikbare aantal operationele PCS'en, waarbij het totale uitgangsvermogen navenant wordt verlaagd zonder overschrijding.

7.2 Veiligheidsbeperkingen bij eilandbedrijf / microgrid (R1–R6)

Tijdens eilandbedrijf moet de PCS zowel spanning als frequentie ondersteunen; de belastingkarakteristieken bepalen rechtstreeks de veiligheid. In de planfase moet de belasting regel voor regel volgens onderstaande tabel worden geverifieerd:

Inschaing van meerdere modules: wanneer meerdere PCS-modules parallel belasten, mag een eerste inschakeling ≤ 40% van de nominale capaciteit bedragen; de overige belasting moet in batches zacht worden gestart met tussenpozen van 5–10 s. Een te grote inschakeling activeert de circulatiestroombeveiliging tussen modules, wat tot uitschakeling leidt.

STS-selectiebeperking:

STS nominaal vermogen ≥ laadvermogen van energieopslag + verbruiksvermogen van belasting

Indien dit onder welke bedrijfsomstandigheid dan ook niet wordt voldaan, treedt overbelasting en uitschakeling op.

7.3 Functionele veiligheidsintegriteit

De beschermingsketen (detectie → beslissingscriterium → uitvoering) wordt volgens de ISO 13849-1 methodiek geëvalueerd op PL, met de volgende streefniveaus voor veiligheidsfuncties:

De specifieke PL-verklaring en -verificatie (FMEDA, hardwareredundantie, diagnostische dekking) worden door de productafdeling verstrekt, zie bijlage C. Vermeld in offertedocumenten geen specifiek PL-niveau namens de klant voordat schriftelijke bevestiging van de productafdeling is ontvangen.

7.4 Netwerkbeveiliging

• Het product voldoet aan de relevante vereisten van de IEC 62443-serie; het beveiligingsdoelniveau (Security Level, SL) is te vinden in bijlage C;
• Het besturingssysteem mag geen standaard fabriekswachtwoorden hanteren. Standaardwachtwoorden moeten bij oplevering verplicht worden gewijzigd;
• Onderhoudsinterfaces zoals de debugpoort, USB en SD-kaart moeten na oplevering worden uitgeschakeld of onder beheer staan;
• Externe bediening en onderhoud moet via een VPN verlopen; het is niet toegestaan om beheerpoorten van het apparaat rechtstreeks bloot te stellen aan het openbare internet.

Bijlage B Terminologie