储能系统安全规范

D-Cube / D-Ocean 全系列（工商业储能与大型储能）

文档编号：HZ-SAF-001 版本：V1.0 日期：2026-09-29

0. 文档说明

0.1 目的

本规范说明 Hoenergy 储能系统在电气安全、电池与 BMS 安全、热失控与消防、机械环境、功能安全五个方面的安全设计原则、关键定值与判定依据，作为技术交流、投标技术应答、方案设计与并网申报的共同依据。

本规范是产品安全说明文件，不是法规标准，也不替代项目所在国的强制性法规、电网公司规程和消防主管部门要求。发生冲突时，以项目所在国法规与并网许可文件为准。

0.2 读者与读法

0.3 引用文件

参数以各自最新版本 datasheet 为准。附录 C 列出对外发布前须由产品部确认的条目。

1. 安全设计总则

1.1 核心原则

1. 本质安全优先：先用结构与器件选型消除危险源，而非靠报警补偿。电芯选 LFP（热失控起始温度显著高于三元体系）、1P 串联无并联环流、簇级独立故障域。
2. 多重独立防线：任何单一传感器失效、单一通信中断、单一软件故障都不应导致危险状态。探测、预警、抑制、外部联动相互独立。
3. 失效安全（Fail-safe）：断电、失控、断线时的默认状态是安全——PCS 停机而非维持运行，接触器释放而非闭合。
4. 不可自动恢复：执行灭火抑制后系统不得自动重启，必须由人工查明原因后复归。
5. 可诊断、可追溯：所有保护动作有事件记录与可读取故障码；定值可查询、可校准、可审计。

1.2 四道防线

1.3 故障分级与自动响应

系统按三级保护架构组织，每一级都是"检测越限 → 降额 → 归零 → 断开"的阶梯，具体阈值见第 3.2 节与附录 A。

复位规则（安全设计的基本约定）：

• 温度、电流、压差等过程量保护属可自动复位类，但均设回差（hysteresis），避免阈值附近反复投切；
• 电压三级保护、采样线异常、总压异常、菊花链通讯异常、保险丝故障、漏电流、主开关粘连/开路、控制板故障、软件不匹配属锁存类，必须下电或人工干预后恢复；
• 灭火喷发后系统不进入任何自动恢复路径。

2. 电气安全

2.1 危险电压识别

D-Cube / D-Ocean 系列直流侧标称电压 832 V（D-Cube-261D、S125/261、F135/261）、1331.2 V（F215/418、D-Ocean-5016D），交流侧 400 V 或 690/800 V，均超过 60 V DC / 50 V AC 安全限值，属危险电压。因此：

• 直流侧与交流侧均须按危险电压设计，柜体设带锁防护门，门锁位置须在图纸中标注；
• 电气间隙与爬电距离按 IEC 60664-1 表选取，输入端为过电压类别 II、污染等级 2 的室内柜，集装箱场景按污染等级 3 选取。具体数值由结构与安规工程师按整机 OVC / CTI 参数逐型号核算，本规范不列固定毫米值。

2.2 一次系统与保护配置

接地体系：TN-S 系统中 PE 全程连续，柜体 PE 排是外壳汇集点；PE 排与接地极（重复接地）是两个不同概念。TN-S 一般不强制重复接地，但建议实施。

电网保护定值：PCS 出厂配置为通用整定值。并网运行前必须按目标国电网公司的并网规程与型式认证文件重新整定并确认，包括过压/欠压、过频/欠频、防孤岛、阻抗保护等。未按当地规程整定的系统不得接入电网。整定值属项目配置，须记录归档。

2.3 并网保护与解耦保护（重点）

PCS 内部保护与并网点解耦保护是两件事：

• PCS 内部保护（过压、欠压、过频、欠频、防孤岛、阻抗保护、16 类电网故障字）保护的是 PCS 自己；
• 解耦保护保护的是电网和现场人员，要求独立于 PCS。

各市场接受度：

其他并网功能：一次调频、AGC 响应、计划曲线跟踪、防孤岛、有功/无功限幅、LVRT（如项目要求）。

时间基准：调度与功率控制精度依赖时间基准。IEC 104 协议项目须配置可靠时钟源，交付时须验证时标一致性，判据见附录 A。

2.4 短路与过载

• 直流侧熔断器/断路器按最大短路电流选型，分断能力不低于系统预期短路电流；
• 交流侧断路器额定电流按 P / (√3 · U · cosφ) 计算并校验短路耐受；
• PCS 具备 110% 额定功率的过载运行能力，短时过载不得作为常态运行方式。

3. 电池与 BMS 安全

3.1 电芯与系统配置

3.2 保护窗口与动作链

BMS 对以下量实施连续监测，每项均按三级阶梯动作，阶梯之间设回差避免反复投切：

采样有效性自检：BMS 持续校验电压采样（最高 > 4.5 V 且最低 < 2 V 判为异常）、温度采样（超出 −40 ~ 125 °C 量程判为异常）、总压与单体累加一致性（偏差 > 10% 判为异常）。任一项异常即按上表 L3 处理——采样失效时不允许"带病运行"。

重要：低温充电限制 电池在低温下充电会导致析锂，属不可逆损伤。系统对充电设有独立且比放电严格得多的低温门槛（约 0 ~ 3 °C 区间即开始降额直至禁止充电）。D-Cube-S125/261-EU 的工作温度下限 −25 °C 仅适用于放电工况。任何低于充电温度门槛的环境，系统必须处于放电限制或禁止充放电状态，不得以"工作温度范围内"为由尝试充电。

保护定值随电芯批次与软件版本变化，典型值见附录 A.1。随柜发布的《保护定值表》为最终依据，不得由用户或集成商修改。

3.3 均衡策略与可调参数

D-Cube 平台串联数为 260S / 416S，均衡策略按产品设计定值执行。均衡电流、保护定值等参数不开放给用户或集成商修改——修改将导致失去认证符合性与质保资格。

3.4 电池舱结构防护

• 液冷与高压部件物理分隔，电池舱进排风带防雨防尘罩；
• 模组间设隔热与结构限位，抑制单体热失控向相邻模组蔓延；
• 舱内可燃气体探测器位于顶部回流区（热气上升路径），确保早期响应。

3.5 静态低功耗模式下的采样连续性

系统在静置状态（无充放电）下进入低功耗运行，降低辅电与控制功耗。进入条件为平均单体电压低于约 3.1 V、检测电流低于约 2 A 且持续 5 分钟以上；电流回升超过阈值时自动退出。

低功耗模式下：支持开启被动均衡；采样从机周期性唤醒采集与通信（唤醒周期约 30 分钟、单次约 8 秒）；休眠状态向主控上报。

安全说明：低功耗模式仅在无充放电静置状态下生效，采样从机的唤醒采集保证保护数据不中断。低功耗模式不得用于运行状态，也不改变第 3.2 节任何保护阈值。均衡在低功耗模式下的开启条件与常规静置状态一致。

4. 热失控与消防

4.1 探测：三级预警

温升速率判据：对单体温度变化率（℃/s）设阈值，在达到绝对温度阈值前识别异常，避免延误。

4.2 抑制：自动灭火

设计要点：

• 灭火剂释放后不做自动复位，系统进入锁存状态，必须人工查明原因后复归；
• 灭火剂为一次性消耗品，喷发后必须更换，未更换前系统不得重新投入运行；
• 喷发动作同时断开本柜直流断路器与交流总进线，并联机组的其余柜同步停止运行、系统总功率归零，防止带故障运行；
• 水消防接口只做信号与管路接口，实际喷淋由项目消防设计执行（多数消防主管部门要求外置水系统）；
• 抑制的目的是限制蔓延，不等同于"扑灭"，消防处置仍须按当地消防预案进行；
• 采用全氟己酮类卤代烃灭火剂，正常释放量下对人员无明显毒性、对精密电子设备无腐蚀，但释放后须通风。

4.3 布置、间距与分隔

• 柜间距按项目所在国消防法规与消防主管部门意见确定。欧盟无统一强制间距；NFPA 855 的 1.5 m 单元间距仅适用于采用该标准的市场；英国参考 PAS 63100；波兰（PSP）、捷克（HOŘ）、法国/西班牙（SDIS）以属地消防部门审批意见为准；
• 住宅区、学校、医院等敏感场所须增加间距或加装防火屏障；
• 室内部署时，烟感联动必须同时关闭空调并启动事故排风（送风会助燃并稀释烟气），该联动逻辑须在调试阶段实测验证；
• 电池柜与 PCS 柜宜物理分隔，避免热量集中。

4.4 消防联动矩阵

探测、报警、抑制、断开四个环节的先后关系如下。报警与抑制是不同的动作层级：报警可自复位，抑制不可。

联动链的三个关键约定：

1. 硬线优先于软件：急停回路与消防反馈经干接点直达 PCS 与总进线断路器，其动作不依赖 EMS 或云平台在线。EMS 侧的角色是接收反馈、告警上报与运行状态显示。
2. 单点触发即全站归零：任一柜体发生急停或灭火喷发，同一并网点内其余柜体一律停止运行、系统总功率为 0，杜绝带故障分区继续充放电。恢复须逐柜人工确认后进行。
3. 喷发为不可逆动作：灭火回路一旦动作，柜体进入锁存，须更换灭火剂并人工复归，不得复位后继续运行。

探测与抑制的具体阈值（烟感 dB/m、温感 ℃、气体 %LEL）属产品定值，随探测器型号与安全评估结论确定。本规范不列具体数值。

5. 机械、环境与 EMC

5.1 防护与结构

• 柜门为带锁防护门，锁具位置在单页资料中标注；
• 2.5 t 及以上柜体必须叉车或吊装搬运，禁止人工抬运；
• 运输按 ISTA 包装等级执行振动与跌落要求，柜内电池出厂 SoC 30–40%，运输中禁止充放电。

5.2 环境适应性

凝露控制：室内 BESS 须配置带再热除湿的空调，露点按现场条件设定（不低于 5 °C），并保证电池进风温度 ≤ 28 °C，否则系统自动降功率。冷热风短路会使电池实际得不到冷却，须保证强制冷通道封闭。

高粉尘环境（如锯木车间）：进排风口须增加防尘防护，并结合 BMS 温度数据判断积尘影响。

5.3 EMC

• 抗扰度 IEC 61000-6-2；发射 IEC 61000-6-4（工业）或 6-3/6-1（住宅/商业）；
• 直流侧与交流侧均配 Type II SPD，SPD 状态通过通信上报；
• THDi < 3% @ 额定输出；直流分量 < 0.5%。

6. 液冷系统安全

液冷不是辅助系统，其失效等同于电池失去主要散热能力。

低温运行：环境温度低于冰点时，启动流程须先建立循环并完成管路预热，避免局部结冰造成体积膨胀损坏。系统逻辑已内置相关保护，不得绕过。

7. 功能安全与系统级安全

7.1 3S 闭环安全架构

关键原则：

1. 保护指令走干接点硬线：BMS 触发保护或检测到故障时，经干接点直接通知 PCS 执行停机（断开直流接触器），不经 EMS 转发。EMS 在此链路中的角色限于接收反馈、告警上报与运行状态显示。
2. EMS 的策略下发不能越过 BMS/PCS 的硬件保护边界——上层指令再异常，也必须在硬件保护处被截断。
3. 级联运行时保持各簇保护独立，禁止用一个簇的控制器保护另一个簇。
4. 一个 PCS 对应一个电池簇，单簇故障不扩散至其他簇；某柜退出工作时，系统按实际可工作 PCS 数量重新分配功率，总出力相应下调而不超发。

7.2 离网 / 微网运行安全约束（R1–R6）

离网运行时 PCS 需承担电压与频率支撑，负载特性直接决定安全性。方案阶段必须按此表逐条核算负载：

多模块投载：多 PCS 模块并联带载时，一次投载 ≤ 40% 额定容量，其余负载分批软启动，间隔 5–10 s。超量投载会触发模块间环流保护而跳机。

STS 选型约束：

STS 额定功率 ≥ 储能充电功率 + 负载使用功率

任何工况下不满足即会过载跳闸。

7.3 功能安全完整性

保护链（探测 → 判据 → 执行）按 ISO 13849-1 思路评估 PL，核心安全功能目标等级：

具体 PL 声明与验证（FMEDA、硬件冗余、诊断覆盖率）由产品部提供，见附录 C。取得产品部书面确认前，请勿在投标文件中代客户承诺具体 PL 等级。

7.4 网络安全

• 产品符合 IEC 62443 系列相关要求，安全目标等级（SL）见附录 C；
• 控制系统不得使用出厂通用口令，默认口令须在交付时强制修改；
• 调试口、USB、SD 卡等维护接口在交付后须关闭或受控；
• 远程运维须经 VPN，禁止将设备管理端口直接暴露于公网。

附录 B 术语