Правила безпеки систем зберігання енергії

D-Cube / D-Ocean Повна серія (промислово-комерційне зберігання енергії та великомасштабне зберігання енергії)

Номер документа: HZ-SAF-001 Версія: V1.0 Дата: 2026-09-29

0. Опис документа

0.1 Мета

Ця специфікація описує принципи безпечного проєктування, ключові уставки та критерії оцінки системи зберігання енергії Hoenergy за п'ятьма напрямками: електрична безпека, безпека акумуляторів і BMS, тепловий розгін і протипожежний захист, механічні та кліматичні умови, функціональна безпека. Вона слугує спільною основою для технічних комунікацій, технічних відповідей на тендери, проєктування рішень та подання документів на підключення до мережі.

Ця специфікація є документом з безпеки продукту, а не нормативним стандартом, і не замінює обов'язкові нормативні акти країни реалізації проєкту, правила енергетичних компаній та вимоги протипожежних органів. У разі розбіжностей пріоритет мають нормативні акти країни реалізації проєкту та документи дозволу на підключення до мережі.

0.2 Читачі та порядок читання

0.3 Посилання на документи

Параметри визначаються відповідно до найновіших версій datasheet. У Додатку C наведено перелік позицій, які мають бути підтверджені відділом продукції до публікації.

1. Загальні принципи безпечного проектування

1.1 Основні принципи

1. Пріоритет внутрішньої безпеки: небезпечні фактори усуваються насамперед за рахунок конструкції та вибору компонентів, а не компенсуються сигналізацією. Використовуються комірки LFP (температура початку теплового розгону суттєво вища, ніж у систем на основі нікель-марганець-кобальтових хімічних складів), послідовне з'єднання 1P без кільцевих струмів від паралельного з'єднання, незалежні домени відмов на рівні кластерів.
2. Множинні незалежні лінії захисту: відмова будь-якого окремого датчика, переривання будь-якого окремого каналу зв'язку чи збій будь-якого окремого програмного компонента не повинні спричиняти небезпечний стан. Виявлення, раннє попередження, придушення та зовнішня взаємодія реалізовані незалежно одна від одної.
3. Безпечне відмовлення (Fail-safe): типовий стан у разі знеструмлення, виходу з-під контролю чи обриву з'єднання є безпечним — PCS зупиняється, а не продовжує роботу; контактори розмикаються, а не замикаються.
4. Без автоматичного відновлення: після виконання придушення пожежі система не повинна автоматично перезапускатися; повторне введення в експлуатацію здійснюється лише після з'ясування причини персоналом.
5. Діагностичність та відстежуваність: усі захисні дії супроводжуються записами подій і зчитуваними кодами несправностей; уставки можуть бути запитані, відкалібровані та перевірені аудитом.

1.2 Чотири лінії захисту

1.3 Класифікація несправностей та автоматичне реагування

Система організована за архітектурою трирівневого захисту, де кожен рівень є послідовністю «виявлення перевищення → зниження потужності → нульове значення → роз'єднання». Конкретні порогові значення наведено в розділі 3.2 та Додатку A.

Правила скидання (базова угода проєктування безпеки):

• Захист за процесними величинами (температура, струм, різниця напруг) належить до категорії з автоматичним скиданням, але для всіх встановлено гістерезис, щоб уникнути багаторазових вмикань/вимикань поблизу порогових значень;
• Захист за перенапругою рівня 3, аномалії лінії вибірки, аномалії загальної напруги, аномалії послідовного зв'язку (daisy-chain), несправності запобіжника, струм витоку, залипання/розмикання головного вимикача, несправність плати керування, невідповідність програмного забезпечення належать до класу з фіксацією стану і потребують зняття живлення або ручного втручання для відновлення;
• Після спрацьовування пожежогасіння система не входить у жоден шлях автоматичного відновлення.

2. Електробезпека

2.1 Розпізнавання небезпечної напруги

Номінальна напруга постійного струму серій D-Cube / D-Ocean становить 832 В (D-Cube-261D, S125/261, F135/261), 1331,2 В (F215/418, D-Ocean-5016D), а напруга змінного струму — 400 В або 690/800 В, що перевищує безпечні граничні значення 60 В DC / 50 В AC і належить до небезпечної напруги. Тому:

• Як бік постійного, так і бік змінного струму повинні бути спроєктовані відповідно до вимог для небезпечної напруги; шафи повинні мати захисні дверцята із замком, а розташування замків має бути зазначено на кресленнях;
• Повітряні проміжки та шляхи витоку слід обирати відповідно до таблиці IEC 60664-1. Для внутрішніх шаф з категорією перенапруги II та ступенем забруднення 2 на вхідних клемах; для контейнерного виконання — зі ступенем забруднення 3. Конкретні значення повинні розраховуватися інженерами з механічної конструкції та нормативної безпеки для кожної моделі з урахуванням параметрів OVC / CTI всього виробу; у цій специфікації фіксовані значення в міліметрах не наводяться.

2.2 Первинна система та конфігурація захисту

Система заземлення: у системі TN-S провідник PE є безперервним на всьому протязі, шина PE шафи є точкою збирання для корпусу; шина PE та заземлювач (повторне заземлення) — це два різних поняття. У TN-S, як правило, повторне заземлення не є обов'язковим, але рекомендується його виконувати.

Уставки захисту мережі: PCS постачається із заводськими загальними уставками. Перед введенням в експлуатацію в мережі необхідно переналаштувати та підтвердити уставки відповідно до правил приєднання до мережі та документів про сертифікацію типу, що діють у цільовій країні, зокрема уставки захисту від перенапруги/зниженої напруги, захисту від підвищеної/зниженої частоти, захисту від острівного режиму (anti-islanding), імпедансного захисту тощо. Систему, не налаштовану відповідно до місцевих правил, заборонено підключати до електромережі. Уставки належать до проєктної конфігурації та повинні бути задокументовані та архівовані.

2.3 Захист при підключенні до мережі та розв'язувальний захист (ключовий момент)

Внутрішній захист PCS та розв'язувальний захист у точці підключення до мережі — це дві різні речі:

• Внутрішній захист PCS (перенапруга, знижена напруга, перевищення частоти, знижена частота, антиострівний захист, імпедансний захист, 16 типів мережевих несправностей) захищає сам PCS;
• Розв'язувальний захист захищає електромережу та персонал на об'єкті і повинен бути незалежним від PCS.

Рівень прийнятності на різних ринках:

Інші функції приєднання до мережі: первинне регулювання частоти, відгук AGC, відстеження планового графіка, антиострівний захист, обмеження активної/реактивної потужності, LVRT (якщо вимагає проект).

Часова основа: диспетчеризація та точність керування потужністю залежать від часової основи. Для проєктів, що використовують протокол IEC 104, необхідно налаштувати надійне джерело синхронізації часу; під час введення в експлуатацію слід перевірити узгодженість часових міток, критерії наведено в Додатку A.

2.4 Коротке замикання та перевантаження

• Запобіжники/автоматичні вимикачі постійного струму вибираються відповідно до максимального струму короткого замикання, а їхня здатність до розмикання має бути не нижчою за очікуваний струм короткого замикання в системі;
• Номінальний струм автоматичного вимикача змінного струму розраховується за формулою P / (√3 · U · cosφ) і перевіряється на стійкість до короткого замикання;
• PCS має можливість роботи з перевантаженням 110% від номінальної потужності, короткочасне перевантаження не повинно використовуватися як штатний режим роботи.

3. Безпека акумуляторів і BMS

3.1 Конфігурація комірок та системи

3.2 Захисні вікна та ланцюги дій

BMS здійснює безперервний моніторинг наступних величин, кожна з яких обробляється за трирівневою каскадною схемою дій, з гістерезисом між каскадами для уникнення багаторазових спрацьовувань:

Самоперевірка достовірності вимірювань: BMS безперервно перевіряє вимірювання напруги (максимальна > 4,5 В та мінімальна < 2 В вважаються аномальними), вимірювання температури (вихід за межі діапазону від −40 до 125 °C вважається аномальним), а також узгодженість загальної напруги та суми напруг окремих елементів (відхилення > 10% вважається аномальним). Будь-яка аномалія обробляється за рівнем L3 з наведеної вище таблиці — у разі відмови вимірювань «експлуатація з несправністю» не допускається.

Важливо: обмеження заряджання за низьких температур Заряджання акумулятора за низьких температур призводить до літієвого покриття (плакування літієм), що є незворотним пошкодженням. Система має для заряджання окремий та значно суворіший низькотемпературний поріг, ніж для розряджання (зниження номіналу розпочинається приблизно в діапазоні 0–3 °C аж до повної заборони заряджання). Нижня межа робочої температури −25 °C для D-Cube-S125/261-EU стосується лише режиму розряджання. У будь-якому середовищі з температурою нижче порогу заряджання система повинна перебувати в стані обмеження розряджання або заборони заряджання/розряджання; спроби заряджання з посиланням на «робочий діапазон температур» неприпустимі.

Уставки захисту змінюються залежно від партії елементів та версії програмного забезпечення; типові значення наведено в Додатку А.1. Остаточним документом є «Таблиця уставок захисту», що постачається разом із шафою, і її заборонено змінювати користувачу або інтегратору.

3.3 Стратегія балансування та параметри, що налаштовуються

Кількість послідовно з'єднаних комірок на платформі D-Cube становить 260S / 416S, стратегія балансування виконується відповідно до заданих знань, визначених у конструкції продукту. Струм балансування, уставки захисту та інші параметри не відкриваються для зміни користувачем або інтегратором — внесення змін призведе до втрати відповідності сертифікації та гарантійних прав.

3.4 Захист конструкції акумуляторного відсіку

• Фізичне розділення рідинного охолодження та високовольтних компонентів; вхідні та вихідні вентиляційні отвори акумуляторного відсіку оснащені кожухами для захисту від дощу та пилу;
• Між модулями передбачено теплоізоляцію та конструктивне обмеження переміщення, що запобігає поширенню теплового розгону окремого елемента на сусідні модулі;
• Детектор горючих газів у відсіку розташований у верхній зоні рециркуляції (шлях підйому гарячого повітря), що забезпечує раннє реагування.

3.5 Безперервність вибірки у режимі статичного низького енергоспоживання

Коли система перебуває у стані спокою (без заряджання та розряджання), вона переходить у режим низького енергоспоживання, що знижує енергоспоживання допоміжних джерел живлення та систем керування. Умови входу: середня напруга окремого елемента нижча за приблизно 3,1 В, виявлений струм нижчий за приблизно 2 А, і ці умови повинні зберігатися протягом понад 5 хвилин; автоматичний вихід відбувається, коли струм перевищує порогове значення.

У режимі низького енергоспоживання: підтримується увімкнення пасивного балансування; відомі підлеглі пристрої вибірки періодично прокидаються для збору даних та зв'язку (період прокидання — приблизно 30 хвилин, тривалість одного сеансу — приблизно 8 секунд); стан сну передається до головного контролера.

Інструкція з безпеки: режим низького енергоспоживання діє лише у стані спокою без заряджання та розряджання; прокидання підлеглих пристроїв вибірки для збору даних гарантує безперервність даних захисту від впливу. Режим низького енергоспоживання не повинен використовуватися у робочому стані, а також не змінює жодних порогових значень захисту, наведених у розділі 3.2. Умови увімкнення балансування в режимі низького енергоспоживання збігаються з умовами у звичайному стані спокою.

4. Тепловий розгін і протипожежний захист

4.1 Виявлення: трирівневе попередження

Критерій швидкості підвищення температури: встановлюється поріг на швидкість зміни температури окремого елемента (℃/с), що дозволяє виявити аномалію до досягнення абсолютного температурного порога, уникаючи затримок.

4.2 Придушення: автоматичне пожежогасіння

Ключові принципи проєктування:

• Після спрацювання системи пожежогасіння автоматичне скидання не виконується — система переходить у заблокований стан, і для повернення в робочий режим потрібне ручне підтвердження після встановлення причини;
• Вогнегасна речовина є одноразовим витратним матеріалом і після спрацювання підлягає заміні; до завершення заміни заборонено повторно вводити систему в експлуатацію;
• Спрацювання системи одночасно розмикає автоматичний вимикач постійного струму шафи та головну лінію вхідного живлення змінного струму, інші шафи паралельно ввімкнених агрегатів синхронно зупиняються, а загальна потужність системи скидається до нуля, що запобігає роботі у несправному стані;
• Інтерфейс водяного пожежогасіння слугує лише сигнальним та трубопровідним інтерфейсом; фактичне подавання води виконується відповідно до проєкту пожежогасіння об'єкта (більшість місцевих органів пожежного нагляду вимагають зовнішню водяну систему);
• Мета придушення — обмежити поширення полум'я, а не повне «гасіння»; подальші протипожежні заходи мають виконуватися згідно з місцевим планом пожежної безпеки;
• Використовується галогеновуглеводнева вогнегасна речовина на основі перфторгексанону (Novec 1230); за нормального об'єму викиду вона не чинить помітної токсичної дії на персонал і не спричиняє корозії прецизійного електронного обладнання, проте після спрацювання необхідно виконати провітрювання приміщення.

4.3 Розміщення, відстані та розділення

• Відстані між шафами визначаються відповідно до протипожежних норм країни, де реалізується проєкт, та приписів органів пожежного нагляду. У Європейському Союзі немає єдиних обов'язкових відстаней; відстань між блоками 1,5 м згідно з NFPA 855 застосовується лише на ринках, де використовується цей стандарт; у Великій Британії орієнтуються на PAS 63100; у Польщі (PSP), Чехії (HOŘ), Франції/Іспанії (SDIS) — відповідно до приписів місцевих пожежних органів;
• У житлових зонах, біля шкіл, лікарень та інших чутливих об'єктів відстані необхідно збільшувати або встановлювати протипожежні бар'єри;
• У разі внутрішнього розміщення при спрацьовуванні димових датчиків обов'язково одночасно вимикати кондиціонування та активувати аварійну витяжну вентиляцію (припливне повітря підтримує горіння та розбавляє дим); ця логіка автоматичного керування повинна бути перевірена практичними випробуваннями на етапі пусконалагодження;
• Батарейні шафи та шафи PCS рекомендується фізично розділяти, щоб уникнути концентрації тепла.

4.4 Матриця пожежної взаємодії

Послідовність чотирьох етапів — виявлення, оповіщення, придушення, відключення — є наступною. Оповіщення та придушення є різними рівнями дій: оповііщення може автоматично скидатися, придушення — ні.

Три ключові домовленості ланцюга взаємодії:

1. Апаратна лінія має пріоритет над програмним забезпеченням: контур аварійної зупинки та зворотний зв'язок пожежної сигналізації надходять через сухі контакти безпосередньо до PCS та вимикача головної лінії, і їхня дія не залежить від того, чи знаходяться в мережі EMS або хмарна платформа. Роль сторони EMS полягає у прийомі зворотного зв'язку, передачі сповіщень і відображенні робочого стану.
2. Тригер однієї точки призводить до обнуління всієї станції: у разі аварійної зупинки або спрацювання пожежогасіння будь-якої шафи всі інші шафи в межах того ж паралельного вузла зупиняються, а загальна потужність системи дорівнює 0, що унеможливлює продовження заряджання/розряджання несправної секції. Відновлення можливе лише після підтвердження персоналом кожної шафи окремо.
3. Спрацювання системи пожежогасіння є незворотною дією: після спрацювання контуру пожежогасіння шафа переходить у заблокований стан; необхідно замінити вогнегасну речовину та виконати ручне скидання. Продовження роботи після скидання заборонено.

Конкретні порогові значення виявлення та придушення (дим dB/m, температура °C, газ %LEL) є заводськими налаштуваннями продукту та визначаються відповідно до моделі датчика та результатів оцінки безпеки. У цій специфікації конкретні числові значення не наводяться.

5. Механічні, екологічні та EMC характеристики

5.1 Захист і конструкція

• Дверцята шафи — це захисні дверцята із замком, розташування замка зазначено на сторінці продукту;
• Шафи масою 2,5 t і більше повинні переміщуватися навантажувачем або підіймальним обладнанням, перенесення вручну заборонено;
• Транспортування виконується відповідно до пакувального рівня ISTA з дотриманням вимог до вібрації та падіння; SoC акумуляторів шафи на момент відвантаження становить 30–40 %, під час транспортування зарядження та розрядження заборонено.

5.2 Екологічна адаптація

Контроль конденсації: для внутрішніх BESS необхідно встановити кондиціонер з функцією осушення повтор'ям нагріву; точка росидро визначається відповідно до умов об'єкта (не нижче 5 °C), а температура повітря на вході в батарею повинна підтримуватися ≤ 28 °C, інакше система автоматично знизить потужність. Коротке замикання потоків холодного та гарячого повітря призводить до того, що батарея фактично не охолоджується — необхідно забезпечити герметичність примусового охолоджувального каналу.

Середовище з високою запиленістю (наприклад, деревообробні цехи): на вхідних та вихідних вентиляційних отворах слід встановити пилозахисні елементи, а вплив накопичення пилу оцінювати на основі даних BMS про температуру.

5.3 EMC

• Стійкість до перешкод IEC 61000-6-2; емісія IEC 61000-6-4 (промислова) або 6-3/6-1 (житлова/комерційна);
• Як на стороні постійного, так і на стороні змінного струму встановлено пристрої захисту від перенапруги (SPD) типу II, стан SPD передається через систему зв'язку;
• THDi < 3% @ номінальна вихідна потужність; складова постійного струму < 0,5%.

6. Безпека рідинної системи охолодження

Рідинне охолодження не є допоміжною системою; його відмова рівнозначна втраті акумулятором основної здатності розсіювання тепла.

Робота за низьких температур: якщо температура навколишнього середовища нижча за температуру замерзання, процедура запуску повинна спочатку встановити циркуляцію та виконати прогрів трубопроводів, щоб уникнути локального замерзання, яке може призвести до пошкоджень внаслідок розширення об'єму. Відповідний захист уже вбудовано в логіку системи; його заборонено обходити.

7. Функціональна безпека та системна безпека

7.1 3S замкнена архітектура безпеки

Ключові принципи:

1. Команди захисту передаються апаратно через сухі контакти: коли BMS ініціює захист або виявляє несправність, вона через сухі контакти безпосередньо сповіщає PCS про виконання зупинки (розімкнення контактора постійного струму), без пересилання через EMS. Роль EMS у цьому ланцюзі обмежується прийомом зворотного зв'язку, передачею тривог та відображенням робочого стану.
2. Відправлення стратегій з EMS не може перетинати межі апаратного захисту BMS/PCS — навіть якщо верхні команди є аномальними, вони мають бути перехоплені на рівні апаратного захисту.
3. Під час каскадної роботи зберігати незалежність захисту кожного кластера, заборонено використовувати контролер одного кластера для захисту іншого.
4. Один PCS відповідає одному акумуляторному кластеру, несправність одного кластера не поширюється на інші кластери; коли певна шафа виводиться з експлуатації, система перерозподіляє потужність відповідно до фактичної кількості робочих PCS, а загальна видача відповідно знижується без перевищення номіналу.

7.2 Обмеження безпеки при роботі в автономному режимі / мікромережі (R1–R6)

Під час роботи в автономному режимі PCS повинен забезпечувати підтримку напруги та частоти, а характеристики навантаження безпосередньо визначають безпеку. На стадії розроблення рішення необхідно перевірити навантаження за кожним пунктом цієї таблиці:

Багатомодульне увімкнення навантаження: при паралельній роботі декількох модулів PCS на навантаження одноразове увімкнення ≤ 40% від номінальної потужності, а інше навантаження вмикається поетапно з плавним пуском з інтервалом 5–10 с. Перевищення допустимого навантаження призведе до спрацьовування захисту від циркуляційних струмів між модулями та їхнього вимкнення.

Обмеження щодо вибору STS:

Номінальна потужність STS ≥ Потужність заряджання накопичувача + Потужність споживання навантаження

Якщо за будь-яких умов експлуатації ця умова не виконується, спрацьовує захист від перевантаження.

7.3 Функціональна безпека та цілісність

Ланцюг захисту (виявлення → критерій → виконання) оцінюється за методологією ISO 13849-1 щодо рівня продуктивності (PL). Цільові рівні для основних функцій безпеки:

Конкретні декларації щодо PL та їх верифікація (FMEDA, апаратне резервування, діагностичне покриття) надаються продуктовим відділом — див. Додаток C. Без письмового підтвердження від продуктового відділу, будь ласка, не обіцяйте конкретних рівнів PL від імені клієнта в тендерній документації.

7.4 Мережева безпека

• Виріб відповідає вимогам серії IEC 62443, рівень цілей безпеки (SL) наведено в Додатку C;
• У системі керування заборонено використовувати заводські паролі за замовчуванням, паролі за замовчуванням повинні бути обов'язково змінені під час введення в експлуатацію;
• Інтерфейси обслуговування, такі як сервісні порти, USB та SD-карти, після введення в експлуатацію повинні бути закриті або перебувати під контролем;
• Віддалене обслуговування повинно здійснюватися через VPN, заборонено відкривати порти керування пристроєм напряму в загальнодоступну мережу (Інтернет).

Додаток B Термінологія