T-SPSTS 010-2019 鋰離子電池儲能系統(tǒng)的功能安全規(guī)范

ICS27.180FunctionsafetyspecificationforLi-ionbatteryen深圳市電源技術(shù)學(xué)會發(fā)布I I前言 12規(guī)范性引用文件 13術(shù)語與定義 14符號和縮略語 35出廠前和出廠后的功能安全目標(biāo) 35.1風(fēng)險等級水平和殘余風(fēng)險要求 35.2設(shè)置典型的安全目標(biāo) 46出廠前功能安全設(shè)計驗證 46.1設(shè)定分析驗證流程 46.2驗證電池單體和電池包安全測試項目 56.3補(bǔ)充典型的其他失效模式分析 56.4開展FTA計算殘余風(fēng)險 56.5補(bǔ)充安全措施再次核算殘余風(fēng)險 56.6設(shè)計驗證試驗且交叉審核 56.7驗證測試及評審報告 66.8預(yù)測售后服務(wù)的測試和風(fēng)險 66.9告知相關(guān)方安全運輸存儲使用 67出廠后功能安全保養(yǎng)驗證 77.1簽訂售后服務(wù)協(xié)議 77.2開展售后服務(wù)檢測 77.3計算殘余風(fēng)險 77.4修復(fù)更換升級措施 77.5計算維修后殘余風(fēng)險 77.6告知相關(guān)方使用和維護(hù) 7附錄A（資料性附錄）安全目標(biāo)確定案例 9附錄B（資料性附錄）串聯(lián)系統(tǒng)和并聯(lián)系統(tǒng) 附錄C（資料性附錄）鋰離子電池或電池組的安全測試類型 附錄D（資料性附錄）進(jìn)行FTA分析的例子 附錄E（資料性附錄）鋰離子電池消防風(fēng)水法 本標(biāo)準(zhǔn)按照GB/T1.1—2009給出的規(guī)則起草。請注意本文件的某些內(nèi)容可能涉及專利，本文件的發(fā)布機(jī)構(gòu)不承擔(dān)識別這些專利的責(zé)任。本標(biāo)準(zhǔn)由深圳市電源技術(shù)學(xué)會提出并歸口。本標(biāo)準(zhǔn)起草單位：東莞新能源科技有限公司、深圳市尚億芯科技有限公司、華測檢測認(rèn)證集團(tuán)股份有限公司、深圳石墨烯創(chuàng)新中心有限公司、清華大學(xué)深圳國際研究生院、深圳普瑞賽思檢測技術(shù)有限公司、深圳市電源技術(shù)學(xué)會本標(biāo)準(zhǔn)主要起草人：陳朝陽、牛文斌、劉攀超、李寶華、羅丹、蘇春華、張瑞芳、朱靜、范亞飛、李康玉、蔡金、張美娟、王儷穎鋰離子電池構(gòu)成的儲能系統(tǒng)有熱失控風(fēng)險，在安裝環(huán)境內(nèi)還能引起火災(zāi)蔓延、受限空間的氣體爆炸風(fēng)險?，F(xiàn)有相關(guān)標(biāo)準(zhǔn)體系有兩大類，第一類是鋰離子電池儲能系統(tǒng)出廠前的安全檢測，都是鋰離子電池或電池包的電氣濫用測試、機(jī)械濫用測試、環(huán)境濫用測試；第二類標(biāo)準(zhǔn)是功能安全標(biāo)準(zhǔn)，但是沒有針對儲能系統(tǒng)技術(shù)的功能安全。此外，現(xiàn)有標(biāo)準(zhǔn)未考慮售后服務(wù)的檢測保養(yǎng)風(fēng)險，沒有將功能安全計算殘余風(fēng)險是多少年一遇用于鋰離子電池儲能系統(tǒng)的安全。本標(biāo)準(zhǔn)用全生命周期的觀點，在出廠前進(jìn)行測試和風(fēng)險計算，增加售后服務(wù)的測試和風(fēng)險計算；完善階段風(fēng)險因素，除鋰離子電池和電池包的三類安全濫用測試外，還增加電解液泄漏、冷凝水、泡水、電解金屬膜短路、表面高溫火焰蔓延、適用滅火裝置和滅火效能等；增加售后服務(wù)檢測維護(hù)和風(fēng)險計算，增加功能安全到鋰離子電池儲能系統(tǒng)中。本標(biāo)準(zhǔn)納入售后服務(wù)的檢測、保養(yǎng)、風(fēng)險降低計算，實現(xiàn)在十年或十五年保質(zhì)期內(nèi)定期檢測保養(yǎng)，實際驗證和更新安全知識，確保殘余風(fēng)險真正可控。改變思維和商業(yè)模式，將鋰離子電池儲能系統(tǒng)就標(biāo)準(zhǔn)只有出廠檢測的消費電子概念（如手機(jī)），轉(zhuǎn)變?yōu)橛惺酆蠓?wù)長期跟進(jìn)的工業(yè)品概念（如汽車），實現(xiàn)售后服務(wù)可增值和持續(xù)發(fā)展。將飛機(jī)、汽車用到的功能安全技術(shù)，首次用于鋰離子電池儲能系統(tǒng)，綜合使用當(dāng)前已知的知識，量化風(fēng)險分析，控制殘余風(fēng)險。1鋰離子電池儲能系統(tǒng)的功能安全規(guī)范本標(biāo)準(zhǔn)規(guī)定了鋰離子電池儲能系統(tǒng)的功能安全，包括出廠前和出廠后的功能安全目標(biāo)、出廠前功能安全設(shè)計驗證、出廠后功能安全保養(yǎng)驗證、進(jìn)行FTA分析的實施例、消防風(fēng)水法等內(nèi)容。本標(biāo)準(zhǔn)適用于家用儲能、集裝箱式移動儲能、電網(wǎng)儲能等鋰離子電池儲能系統(tǒng)。2規(guī)范性引用文件下列文件對于本文件的應(yīng)用是必不可少的。凡是注日期的引用文件，僅注日期的版本適用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改單）適用于本文件。GB/T4888故障樹名詞術(shù)語和符號GB/T20438電氣/電子/可編程電子安全相關(guān)系統(tǒng)的功能安全[IEC61508（所有部分）]GB/T34590.1—2017道路車輛功能安全第1部分：術(shù)語[ISO26262-1:2011,MOD]DB11/Z728電動汽車電能供給與保障技術(shù)規(guī)范充電站ISO13849（所有部分）Safetyofmachinery—Safety-relatedpartsofcontrolsystems—Part1:Generalprinciplesfordesign3術(shù)語與定義3.1鋰離子電池單體lithiumioncell含有鋰離子的能夠直接將化學(xué)能轉(zhuǎn)化為電能的基本單元裝置，包括電極、隔膜、電解質(zhì)、外殼和端子，并被設(shè)計成可充電。3.2鋰離子電池模塊lithiumionbatterymodule將一個以上鋰離子電池按照串聯(lián)、并聯(lián)或串并聯(lián)方式組合，且只有一對正負(fù)極輸出端子，并作為電源使用的組合體。3.3鋰離子電池包lithiumionbatterypack通常包括鋰離子電池模塊、電池管理模塊、電池箱以及相應(yīng)附件，具有從外部獲得電能并可對外輸出電能的單元。注：電池管理模塊不包含蓄電池電子單元（3.6）。3.4鋰離子電池系統(tǒng)lithiumionbatterysystem一個或一個以上鋰離子電池包及相應(yīng)附件（管理系統(tǒng)、高壓電路、低壓電路、熱管理設(shè)備以及機(jī)械總成等）構(gòu)成的能量存儲裝置。3.5電池儲能系統(tǒng)batteryenergystoragesystem;BESS2用電池構(gòu)成的電能存儲系統(tǒng)，依照規(guī)模大小包括：大型電網(wǎng)用電池儲能系統(tǒng)、集裝箱式電池儲能系統(tǒng)、企業(yè)用電池儲能系統(tǒng)、家用小型電池儲能系統(tǒng)。3.6蓄電池電子單元batterycontrolunit;BCU管理若干個電池充電、放電、監(jiān)控保護(hù)功能的電路板，監(jiān)控保護(hù)功能通常包括過充、過放、過流、過壓、過熱等功能。3.7蓄電池管理系統(tǒng)batterymanagementsystem;BMS管理若干個蓄電池電子單元（3.6）的電路板，在蓄電池電子單元（3.6）的監(jiān)控保護(hù)功能上通常增加了絕緣檢測、漏電檢測、異常電池對比檢測、充電循環(huán)壽命、放置日歷壽命、容量估計等功能。3.8功能安全functionalsafety不存在由電子電氣系統(tǒng)的功能異常表現(xiàn)引起的危害而導(dǎo)致不合理的風(fēng)險。[GB/T34590.1—2017，定義2.51]3.9安全完整性等級safetyintegratelevel;SIL在規(guī)定的條件下，規(guī)定的時間內(nèi)，安全相關(guān)系統(tǒng)成功實現(xiàn)所要求的安全功能的概率。3.10殘余風(fēng)險residualrisk實施安全措施后剩余的風(fēng)險。[GB/T34590.1—2017，定義2.97]。3.11兩次故障間平均生存時間meantimebetweenfailure;MTBF指產(chǎn)品或系統(tǒng)在兩相鄰故障間隔期內(nèi)正確工作的平均時間。3.12故障樹faulttree故障樹是一種特殊的倒立樹裝邏輯因果關(guān)系圖，它用事件符號、邏輯門符號和轉(zhuǎn)移符號描述系統(tǒng)中[修改GB/T4888—2009，定義5]3.13故障樹分析法faulttreeanalysis;FTA在系統(tǒng)設(shè)計過程中，通過對可能造成系統(tǒng)失敗的各種因素（包括硬件、軟件、環(huán)境、認(rèn)為因素）進(jìn)行分析，畫出故障樹（3.12從而確定系統(tǒng)失敗因素的各種組合可能方式或其發(fā)生概率，以計算系統(tǒng)失效概率，采用相應(yīng)的措施，以提高系統(tǒng)可靠性的一種設(shè)計分析方法。3.14安全診斷safetydiagnoise在功能安全分析中寫出發(fā)現(xiàn)失效的邏輯。3.15單點失效single-pointfailure;SPF由單點故障引起并直接導(dǎo)致違背安全目標(biāo)的失效。注1：單點失效等同于診斷覆蓋率為0%的要素的殘余失效。注2：如果為一個硬件要素（例如，微控制器的看門狗）定義了至少一個安全機(jī)制，那么，所考慮的硬件要素的故障都不是單點故障。3[GB/T34590.1—2017，定義2.121]3.16多點失效multiple-pointfailure;MPF在系統(tǒng)中多個獨立故障失效共同作用才能引起整體（系統(tǒng)）失效。4符號和縮略語SOC室溫電池）荷電狀態(tài)（StateofCharge）BESS：電池儲能系統(tǒng)（BatteryEnergyStorageSystem）BCU：蓄電池電子單元（BatteryControlUnit）BMS：電池管理系統(tǒng)（BatteryManagementSystem）SIL：安全完整性等級（SafetyIntegrateLevel）MTBF：兩次故障間平均生存時間（MeanTimeBetweenFailure）FTA：故障樹分析（FaultTreeAnalysis）SPF：單點失效（Single-pointFailure）MPF：多點失效（Multiple-pointFailure）PL：安全水平（PerformanceLevel）5出廠前和出廠后的功能安全目標(biāo)5.1風(fēng)險等級水平和殘余風(fēng)險要求5.1.1書面確認(rèn)依照GB/T20438—2017的規(guī)定或買賣雙方確定的失效后果嚴(yán)重程度即SIL和殘余風(fēng)險進(jìn)行。廠家或買賣雙方約定合理的SIL等級和要求殘余風(fēng)險見表1。表1SIL對應(yīng)殘余風(fēng)險表GB/T20438.1的SIL安全完整性等級（嚴(yán)重性）ISO13849的PL性能等級（嚴(yán)重性）最小殘余風(fēng)險最小失效率（F/h）最大殘余風(fēng)險最大失效率（F/h）無a無1b,c2d3e4無5.1.2廠家或買賣雙方應(yīng)依據(jù)銷量、保質(zhì)期來確定整批貨物的SIL水平對應(yīng)的殘余風(fēng)險的合理程度。5.1.3選擇合理的串聯(lián)電路和并聯(lián)電路模型（見圖1）來計算可靠性和失效率，選擇合理的安全冗余,轉(zhuǎn)變SPF為MPF，滿足需要的低風(fēng)險。R1R1R2R245.1.4應(yīng)使用交叉審核方式擔(dān)當(dāng)安全冗余，典型的交叉審核包括：有設(shè)計方案就有驗證方案，有測試計劃就有驗證計劃，有設(shè)計人員思路就有驗證人員思路，有設(shè)計測試結(jié)果就有審查人員核實。5.1.5應(yīng)在出廠前的各個設(shè)計制造、測試，出廠后的售后服務(wù)各個階段開展分析驗證，實現(xiàn)多個階段的交叉審查。5.2設(shè)置典型的安全目標(biāo)廠家或買賣雙方應(yīng)設(shè)置合理的安全目標(biāo)，安全目標(biāo)應(yīng)不低于以下行業(yè)典型值：a）SIL2級目標(biāo)：移動使用的BESS遇到撞車等異常斷電時間小于0.1s；b）SIL3級目標(biāo)：BESS表面溫度不超過100℃;c）SIL4級目標(biāo)：BESS釋放到環(huán)境蒸氣不超過爆炸下限LEL的10%。6出廠前功能安全設(shè)計驗證6.1設(shè)定分析驗證流程6.1.1工作流程宜分解為設(shè)計階段、制造階段、售后服務(wù)階段，依據(jù)產(chǎn)品規(guī)?？蛇m當(dāng)合并階段。6.1.2宜在設(shè)計階段進(jìn)行的工作，包括：a）收集當(dāng)前法規(guī)、標(biāo)準(zhǔn)清單并匯總要點；b）確定安全目標(biāo)；注：安全目標(biāo)的類型主要有：按運動類型區(qū)分，有移動型、固定型；按規(guī)模區(qū)分，有家c）修訂安全目標(biāo)，考慮預(yù)售數(shù)量、質(zhì)保期；d）確定產(chǎn)品系統(tǒng)級別的FTA，確定機(jī)械結(jié)構(gòu)、電池布置、電路板設(shè)置，在FTA中的頂上事件（起火、爆炸等）分解的主要失效原因和大致概率，增加安全冗余來達(dá)到安全目標(biāo)，對應(yīng)有安全設(shè)計在硬件、軟件；e）確定產(chǎn)品售后服務(wù)階段的FTA，通過開展檢測、保養(yǎng)、更換服務(wù)，實現(xiàn)保質(zhì)期內(nèi)的安全目標(biāo)和售后服務(wù)清單（項目、頻次、價格）；f）對6.1.2a)~e)設(shè)計開展交叉評審，驗證試驗數(shù)據(jù)開展交叉稽核；g）平衡商業(yè)秘密和產(chǎn)品品質(zhì)安全，在產(chǎn)品規(guī)格說明書、售后服務(wù)說明書中增加功能安全內(nèi)容；h）對電網(wǎng)用儲能系統(tǒng)、公共交通工具的儲能系統(tǒng)，應(yīng)設(shè)置遠(yuǎn)程監(jiān)控系統(tǒng)來監(jiān)測和預(yù)警；小型儲能系統(tǒng)自愿選擇遠(yuǎn)程監(jiān)控系統(tǒng)。6.1.3宜在制造階段進(jìn)行的工作，包括：a）原型驗證和修改，更新FTA，更新驗證測試報告；b）組織內(nèi)審或客戶溝通評審，形成凍結(jié)的設(shè)計結(jié)果；c）開展量產(chǎn)首批產(chǎn)品驗證FTA，包括出廠前的FTA滿足，未來售后服務(wù)階段的FTA項目可實現(xiàn)性；d）交叉審核FTA和對應(yīng)驗證測試；e）持續(xù)監(jiān)督量產(chǎn)品質(zhì)波動，變更管理，如果出現(xiàn)影響功能安全的情形，更新FTA和配套驗證測試；f）如果出現(xiàn)嚴(yán)重背離了安全目標(biāo)，F(xiàn)TA分析可中止生產(chǎn)，重新優(yōu)化設(shè)計，必要時可以對產(chǎn)品召回；g）完成產(chǎn)品出貨前的安全檢驗報告、強(qiáng)制檢驗報告；h）發(fā)布功能安全報告、產(chǎn)品說明書，產(chǎn)品說明書中應(yīng)包含售后服務(wù)內(nèi)容，開展用戶安全溝通。6.1.4宜在售后服務(wù)階段進(jìn)行的工作，包括：a）宣傳溝通售后服務(wù)內(nèi)容，列明項目頻次和費用；b）執(zhí)行售后服務(wù)，進(jìn)行檢測、保養(yǎng)、更換服務(wù)；c）已經(jīng)安裝遠(yuǎn)程監(jiān)控系統(tǒng)的儲能系統(tǒng)，應(yīng)利用監(jiān)控數(shù)據(jù)提供安全服務(wù)；5d）收集售后服務(wù)信息，綜合最新技術(shù)進(jìn)步的認(rèn)識、行業(yè)案例的借鑒，判斷是否進(jìn)行變更；再次做FTA，驗證是否符合安全目標(biāo)，開展交叉審核，確定分析到位；e）必要時，可決策和執(zhí)行召回行動，對召回產(chǎn)品進(jìn)行部件更換達(dá)到重新安全使用的目標(biāo)。6.2驗證電池單體和電池包安全測試項目6.2.1應(yīng)依照強(qiáng)制標(biāo)準(zhǔn)完成電池單體、電池包、電池儲能系統(tǒng)的安全測試項目。6.2.2應(yīng)進(jìn)行功能安全分析列出的安全測試項目，將數(shù)據(jù)用于模型分析，計算殘余風(fēng)險。6.2.3宜選擇推薦測試項目，用于預(yù)計使用場景的安全測試。6.3補(bǔ)充典型的其他失效模式分析應(yīng)依照功能安全的方法，辨識產(chǎn)品應(yīng)用環(huán)境的起火、爆炸、觸電等失效，依據(jù)收集的標(biāo)準(zhǔn)、行業(yè)案例、經(jīng)驗數(shù)據(jù)，結(jié)合FTA，補(bǔ)充其他失效模式。典型要補(bǔ)充的失效模式包括：a)電池火焰或高溫氣體噴射出來，點燃環(huán)境可燃物；b)熱失控電池釋放的氣體在設(shè)備密封容器或密封房間堆積發(fā)生氣體爆炸；c)泡水后，殘留水引發(fā)電極電解金屬膜，短路逆變器的交流電引發(fā)觸電；d)溫度劇烈變化引起冷凝水或電池本身有泄漏電解液缺陷，在電池內(nèi)部電解金屬膜短路、搭接電池外殼和極柱形成電池電解破損泄漏電解液或產(chǎn)生氣體；e)電網(wǎng)諧波造成電路板控制邏輯失效錯誤動作，造成MOS管導(dǎo)通不關(guān)閉等失效。6.4開展FTA計算殘余風(fēng)險6.4.1應(yīng)使用FTA工具來分析安全目標(biāo)達(dá)到程度，必要時可以進(jìn)行第三方專家認(rèn)證。6.4.2宜在FTA工具的頂上事件用確定的安全目標(biāo)。6.4.3宜在FTA工具的頂上事件下，依照邏輯列舉中間事件，宜分為出廠驗證階段事件和售后服務(wù)階段事件，宜在中間事件再分解為某事件發(fā)生事件、診斷連鎖抑制事件、撲滅事件等至少三方面的安全冗余，再依次向下分解中間事件直到基礎(chǔ)事件。6.4.4宜用FTA的工具符號來畫圖且可以轉(zhuǎn)化為表格計算概率。與運算為“*”號（AND單詞在文本框里面加概率6.4.5宜依照概率，及時簡化FTA圖的繪制，分析失效率大的事件，補(bǔ)充安全診斷，降低失效率。FTA分析實施例見附錄A。6.5補(bǔ)充安全措施再次核算殘余風(fēng)險6.5.1設(shè)計制造中多次刷新FTA和配套驗證測試，補(bǔ)充安全措施后再次刷新FTA。6.5.2聚焦在FTA工具中風(fēng)險概率高的事件，開展分析，核實調(diào)整失效率，增加安全診斷。6.5.3宜優(yōu)先使用軟件邏輯控制來擔(dān)當(dāng)安全措施。6.5.4宜多角度思考和轉(zhuǎn)化問題，用跨學(xué)科的技術(shù)解決問題。6.5.5宜選擇適宜的消防方法來降低火災(zāi)蔓延的風(fēng)險。6.6設(shè)計驗證試驗且交叉審核6.6.1在凍結(jié)設(shè)計前的各個階段的節(jié)點，應(yīng)開展交叉審核，保存變更記錄。6.6.2在小試、中試、首批量產(chǎn)階段，應(yīng)開展足夠的驗證測試、交叉審核，符合安全目標(biāo)。66.7驗證測試及評審報告6.7.1在各個階段的事件節(jié)點，應(yīng)開展驗證測試，記錄結(jié)果，針對結(jié)果開展交叉審核。6.7.2多次交叉審核判斷滿足安全目標(biāo)，必要時和客戶達(dá)成一致、凍結(jié)設(shè)計和確定量產(chǎn)。6.7.3執(zhí)行驗證測試，包括強(qiáng)制標(biāo)準(zhǔn)要求的產(chǎn)品安全濫用測試，用FTA分析需要配套的測試方案。6.7.4匯總功能安全分析資料，申請備案或公證，申明已經(jīng)使用了可識別的知識，辨識完畢安全風(fēng)險，采取足夠安全措施，控制風(fēng)險到可接受水平。6.7.5使用合理的公證方式，如用公證證書的方式進(jìn)行確認(rèn)。注：合理的公證方式包括：制造廠和客戶達(dá)成的交叉審核確認(rèn)，或制造廠聘用6.8預(yù)測售后服務(wù)的測試和風(fēng)險6.8.1在設(shè)計制造階段，應(yīng)考慮以下服務(wù)：a)應(yīng)考慮售后服務(wù)，讓產(chǎn)品具備可檢測、可維修、可更換部件非整體報廢。b)應(yīng)列出預(yù)設(shè)的售后服務(wù)計劃，包括檢測、保養(yǎng)、更換的易耗品部件頻次和價格等。c)應(yīng)模擬驗證售后服務(wù)，調(diào)整不適宜項目，優(yōu)化拆裝點、檢測點。d)應(yīng)考慮低壽命部件的更換方式，必要時納入易耗品清單。6.8.2在持續(xù)量產(chǎn)出貨期間，應(yīng)分析品質(zhì)表現(xiàn)、售后服務(wù)內(nèi)容，優(yōu)化售后服務(wù)計劃。6.9告知相關(guān)方安全運輸存儲使用6.9.1在凍結(jié)設(shè)計中，應(yīng)形成產(chǎn)品說明書，包括產(chǎn)品介紹、使用、存儲、安全環(huán)保警示、需要的培訓(xùn)、售后服務(wù)內(nèi)容等。6.9.2應(yīng)評估選擇重要安全內(nèi)容，對經(jīng)銷商、運輸商、最終用戶開展配套的說明、培訓(xùn)。6.9.3應(yīng)依照FTA分析運輸中存儲風(fēng)險和安全措施，使用合規(guī)包裝方式。典型電池單體包裝方式有三類：a)幾個電池用結(jié)實的木箱或膠箱運輸；b)幾個堆垛不夠?qū)＼囘\輸，要在堆垛上方增加固定的空紙箱到接近車頂高度，杜絕再放其他貨物到堆垛上，堆垛周圍增加一層紙箱皮加固耐撞；c)專車運輸，應(yīng)設(shè)置海關(guān)鎖，核對海關(guān)鎖在運輸中未私自打開，超過800km的長途運輸宜在堆垛間加氣袋加固。6.9.4典型BESS包裝方式是紙箱或木箱，依靠BESS結(jié)實的外殼加緩沖材料；非專車運輸?shù)纳倭慷讯庥眉埾渫鈿?，則在堆垛頂部加空紙箱到接近車廂頂部，杜絕再放其他貨物到堆垛上，堆垛周圍增加一層紙箱皮加固耐撞。6.9.5應(yīng)使用廂式車輛運輸，禁止使用平板車、敞篷車運輸。6.9.6應(yīng)在出貨傳遞資料中增加安全培訓(xùn)內(nèi)容，貨物有安全提示，可用二維碼掃描實現(xiàn)在線學(xué)習(xí)和在線考試。6.9.7應(yīng)在運輸車輛出發(fā)前，完成培訓(xùn)滅火器使用技能，宜攜帶水桶、噴霧器、水基滅火器。6.9.8應(yīng)在溝通同意情況下，用重量比例為5%的鹽水浸泡電池4h、鋰離子電池儲能系統(tǒng)24h放電。應(yīng)盡可能依次刺破電池讓水進(jìn)入電池內(nèi)部惰化；驗電放電完畢，瀝干，交由專業(yè)回收單位處理。6.9.9應(yīng)使用合理的低SOC狀態(tài)保存鋰離子電池和BESS,宜使用實驗室安全濫用測試不易起火的SOC值，參考典型值有航空運輸存儲用30%*SOC,一般存儲運輸用70%*SOC。6.9.10倉庫存放鋰離子電池、鋰離子電池儲能系統(tǒng)，不和其他危險化學(xué)品混放。注：應(yīng)在丙類倉庫存放正常的鋰離子電池、鋰離子電池儲能系統(tǒng)。應(yīng)在甲類倉庫6.9.11應(yīng)用三防燈檢查倉庫的電氣穿管，無亂拉電線，無超負(fù)荷使用排插，具備防鼠措施。76.9.12應(yīng)在倉庫使用消防風(fēng)水法開展安全設(shè)計和驗證，安裝抽風(fēng)排煙措施,測試作用區(qū)域的風(fēng)速不低于0.5m/s的捕獲風(fēng)速。6.9.13應(yīng)計算燃燒電池的產(chǎn)煙量、需要的抽風(fēng)量、爆炸半徑，來配置、核算風(fēng)機(jī)的風(fēng)量、房間間隔距離，樣本存儲容器尺寸等。6.9.14應(yīng)保持足夠的通風(fēng)量和適當(dāng)?shù)某轱L(fēng)排煙距離，計算通風(fēng)稀釋能力，足夠減低釋放燃?xì)鉂舛?，燃?xì)鉂舛炔怀^氣體爆炸下限的5%的區(qū)域為安全區(qū)域，可選擇普通風(fēng)機(jī)排煙。6.9.15應(yīng)配置以水為主的滅火劑，包括泡水桶和坩堝鉗、泡水池、噴霧器、洗車器、橡膠水管、消防盤管、消防水帶、水基滅火器，配置比例符合DB11/Z728，即每5萬AH配9L水或每500m2配60L水。6.9.16非正在裝卸的車輛，宜保持倉庫至少6m的安全間距。6.9.17應(yīng)培訓(xùn)叉車司機(jī)不得機(jī)械傷害電池，掌握水滅鋰離子電池火災(zāi)的技能。6.9.18對長期合做的物流供應(yīng)商，應(yīng)開展定期現(xiàn)場評審，培訓(xùn)人員應(yīng)掌握使用消防風(fēng)水法（參見附錄B），定期演練。7出廠后功能安全保養(yǎng)驗證7.1簽訂售后服務(wù)協(xié)議7.1.1應(yīng)和經(jīng)銷商、用戶簽訂售后服務(wù)協(xié)議，遞交產(chǎn)品說明書，必要時可講解售后服務(wù)內(nèi)容。7.1.2應(yīng)定期回顧、更新產(chǎn)品說明書或其中的售后服務(wù)文檔，宜網(wǎng)頁展示非商業(yè)秘密的重要安全內(nèi)容。7.2開展售后服務(wù)檢測7.2.1應(yīng)依照售后服務(wù)計劃，對簽約的經(jīng)銷商、客戶開展售后服務(wù)。7.2.2應(yīng)收集售后服務(wù)信息，檢測產(chǎn)品安全狀態(tài)，反饋制造廠家考慮驗證FTA的安全目標(biāo)。7.2.3應(yīng)在發(fā)生重大變更時主動通知經(jīng)銷商、客戶開展應(yīng)急售后服務(wù)；重大變化包括：產(chǎn)品召回、發(fā)現(xiàn)重大安全隱患等。7.3計算殘余風(fēng)險7.3.1應(yīng)使用售后服務(wù)數(shù)據(jù)、量產(chǎn)產(chǎn)品安全數(shù)據(jù)、行業(yè)安全案例等，更新FTA來驗證滿足安全目標(biāo)。7.3.2應(yīng)使用類似出廠前安全驗證的工具來計算殘余風(fēng)險；選擇工具包括：FTA、交叉審核等。7.4修復(fù)更換升級措施7.4.1應(yīng)依據(jù)售后服務(wù)的檢測結(jié)果，更新的FTA報告，開展必要的修復(fù)、更換升級措施。7.4.2應(yīng)依據(jù)售后服務(wù)協(xié)議、產(chǎn)品質(zhì)量承諾來判斷費用歸屬，收取合理服務(wù)費用。7.4.3應(yīng)對更換部件等措施，在制造廠家或第三方進(jìn)行了FTA分析、驗證、交叉審核，形成書面記錄。7.5計算維修后殘余風(fēng)險7.5.1應(yīng)計算維修后的殘余風(fēng)險，滿足安全目標(biāo)。7.5.2應(yīng)使用安全驗證、交叉審核，最終確定文檔正確性后，書面存檔。7.6告知相關(guān)方使用和維護(hù)7.6.1應(yīng)向經(jīng)銷商、用戶遞交產(chǎn)品說明書，包括使用和維護(hù)內(nèi)容。7.6.2應(yīng)向物流運輸、存儲的人員傳遞簡易版的安全信息，宜用二維碼掃描開展在線培訓(xùn)、在線考試。7.6.3應(yīng)在產(chǎn)品說明書中寫明用戶應(yīng)該做什么、不能做什么、哪些是專業(yè)售后服務(wù)團(tuán)隊進(jìn)行的工作。87.6.4應(yīng)用多種溝通途徑如說明書、網(wǎng)頁、微信、在線培訓(xùn)考試、現(xiàn)場培訓(xùn)考試等，向相關(guān)方傳遞使用、維護(hù)信息。9（資料性附錄）安全目標(biāo)確定案例A.1失效率F/H和多少年一遇的關(guān)系案例一年一遇，對應(yīng)失效率＝1.1E-4次/小時。計算方法為1次/年=1次/(每年365天*每天24小時)=1.1E-4次/小時。十年一遇即1.1E-5次/小時；百年一遇即1.1E-6次/小時;千年一遇即1.1E-7次/小時。萬年一遇即1.1E-8次/小時；十萬年一遇即1.1E-9次/小時；百萬年一遇即1.1E-10次/小時。A.2買賣雙方商量安全目標(biāo)案例A.2.1銷售20萬臺BESS，合同保質(zhì)期為十年不出現(xiàn)起火事故，不考慮中途加速損壞階段，計算出廠前每臺BESS的失效率＝1次/(20萬臺*10年*每年365天*每天24小時)＝5.7E-10次/小時。保險起見希望這些產(chǎn)品在全生命周期發(fā)生0.1次失效,則計算的失效率=5.7E-11次/小時。A.2.2銷售40萬臺BESS，合同保質(zhì)期為十五年不出現(xiàn)起火事故，不考慮中途加速損壞階段，計算出廠前每臺BESS的失效率＝1次/(40萬臺*15年*每年365天*每天24小時)＝1.9E-11次/小時。保險起見希望這些產(chǎn)品在全生命周期發(fā)生0.1次失效,則計算的失效率=1.9E-12次/小時。A.3行業(yè)安全目標(biāo)案例A.3.1正確理解BESS表面溫度不超過100℃為SIL3級別目標(biāo)的含意，包括a）任何導(dǎo)致BESS熱失控的現(xiàn)象，歸納簡化為表面溫度不超過100攝氏度，熱失控即起火等現(xiàn)象,引起熱失控的原因有機(jī)械濫用、電氣濫用、環(huán)境濫用等因素。(b)表面溫度不超過100℃即不能點燃周邊物質(zhì)（臨近電池、桌椅、布匹、紙張等不引起蔓延；有些不當(dāng)設(shè)計造成噴射火焰沖出BESS而間距不足就可能點燃周邊物品。在豪華電動汽車就使用該目標(biāo)，在UL9750標(biāo)準(zhǔn)要求表面溫度不超過97攝氏度也類似，UL用華式溫度整數(shù)轉(zhuǎn)換就產(chǎn)生了97攝氏度數(shù)值。（c）SIL3級別目標(biāo)即殘余風(fēng)險的失效率在1e-8次/小時(萬年一遇)到1E-7次/小時（千年一遇）。A.3.2正確理解BESS釋放到環(huán)境蒸氣不超過爆炸下限LEL的10%為SIL4級目標(biāo)的含意，包括：（a）當(dāng)BESS泄露或破損，釋放電解液蒸氣和電解液(分子式CxHyOz)，熱分解的烴類氣體（分子式CxHy）、CO、H2燃?xì)?，可能在環(huán)境積累形成氣體爆炸。(b)用釋放燃?xì)鉂舛炔怀^爆炸下限LEL的10%就實現(xiàn)了石油化工領(lǐng)域的不燃安全濃度，從爆炸分區(qū)角度可以劃分為安全區(qū)域。（c）SIL4級別目標(biāo)即殘余風(fēng)險的失效率在1e-9次/小時(十萬年一遇)到1E-8次/小時（萬年一遇）。A.3.3正確理解移動使用的BESS遇到撞車等異常斷電時間小于0.1秒為SIL2級目標(biāo)的含意，包括：（a）移動使用即車載BESS等需要邊移動邊充放電的型號，只移動不使用即將BESS作為貨物包裝好運輸則無需考慮此條件。（b）移動使用的BESS碰到撞車，接受到撞車傳感器硬件連接到BMS的供電部分實現(xiàn)硬件斷電，實現(xiàn)在0.1秒內(nèi)斷電。一些豪華電動汽車就用此目標(biāo)。（c）SIL2級別目標(biāo)即殘余風(fēng)險的失效率在1e-7次/小時(千年一遇)到1E-6次/小時（百年一遇）。（資料性附錄）串聯(lián)系統(tǒng)和并聯(lián)系統(tǒng)R2R1R2B.1安全冗余的串聯(lián)電路和并聯(lián)電路模型R2R1R21R1（a）串聯(lián)電路模型（b）并聯(lián)電路模型（類似多點失效）B.1.1串聯(lián)、并聯(lián)電路模型是用來理解可靠性的方法，口訣是“串聯(lián)系統(tǒng)是都成功才成功”即可靠度相乘造成系統(tǒng)可靠性下降，“并聯(lián)系統(tǒng)是都失敗才失敗”即失效率相乘造成系統(tǒng)失效率下降。B.1.2圖B.1兩個電路元件，每個元件可靠度R1=R2=0.9,則每個元件失效率F1=F2=1-0.9=0.1;兩個部件串聯(lián)，依照口訣“串聯(lián)系統(tǒng)都成功才成功”是可靠度相乘,系統(tǒng)可靠度Rs=R1*R2=0.81,系統(tǒng)失效率Fs=1-Rs＝0.19；兩個部件構(gòu)成并聯(lián)系統(tǒng)，依照口訣“并聯(lián)系統(tǒng)都失敗才失敗”是失效率相乘，系統(tǒng)失效率Fs=F1*F2=0.01,系統(tǒng)可靠度Rs=1-Fs＝0.99；計算看出并聯(lián)系統(tǒng)顯著改善可靠性，降低失效率。B.1.3并聯(lián)系統(tǒng)改善系統(tǒng)可靠性的優(yōu)點，被經(jīng)常使用，有時稱為安全冗余。B.1.4構(gòu)造安全冗余的元素，有硬件、軟件（或邏輯通常樂意選擇用軟件或邏輯的原因一是軟件和邏輯如果沒錯則壽命非常長，而硬件壽命有限；原因之二是在已有軟件上修改程序相對節(jié)約空間和硬件成本。有時將軟件或者邏輯作為并聯(lián)系統(tǒng)的元素，稱為安全診斷。B.1.5SPF發(fā)生概率高，MPF發(fā)生概率低，因為多點失效等于多個單點失效的概率相乘，多點失效通常比單點失效低幾個數(shù)量級。B.2交叉審查的安全冗余B.2.1交叉審查在基礎(chǔ)功能安全I(xiàn)EC61508或汽車功能安全I(xiàn)SO26262有時稱為V模型，V的左邊是設(shè)計則右邊是審核，V模型還包括各個階段的小V模型，在匯總到整體的大V模型。B.2.2交叉審查即有時稱為V模型，通常包括系統(tǒng)級別（硬件和軟件相互結(jié)合構(gòu)成系統(tǒng)）、硬件級別（電路硬件、機(jī)械硬件）、軟件級別的交叉審核。（資料性附錄）鋰離子電池或電池組的安全測試類型C.1現(xiàn)有標(biāo)準(zhǔn)包括的電池安全濫用測試標(biāo)準(zhǔn)類型C.1.1強(qiáng)制標(biāo)準(zhǔn)對預(yù)設(shè)的使用場景會遇到的濫用進(jìn)行三類安全濫用測試，包括機(jī)械、環(huán)境、電氣安全濫用測試：——機(jī)械安全濫用測試項目，通常包括碰撞、擠壓、跌落、翻滾、振動、個別有穿刺等測試?！h(huán)境安全濫用測試項目，通常包括高溫、低溫、高低溫、高溫高濕、鹽霧、泡水、火燒等測試。 ——電氣安全濫用測試項目，通常包括短路、過充電、過放電、電路板抗靜電或者電磁干擾等測試。C.1.2三綜合安全濫用測試項目通常包括將以上因素組合測試，如高低溫環(huán)境振動臺上的充放電測試C.2現(xiàn)有標(biāo)準(zhǔn)未辨識，應(yīng)用場景要補(bǔ)充的失效模式和安全鎧裝C.2.1鋰離子電池外殼局部和極柱之間有電壓，有些設(shè)計是外殼和負(fù)極等電位，有些如軟包裝電池的尼龍層里面的鋁箔和正極、負(fù)極電壓分別為3.9伏和0.8伏,則沾染導(dǎo)電液體如泄露的電解液、冷凝水（經(jīng)驗在劇烈變化溫度超過5℃可能形成冷凝水）搭接電壓形成電解金屬膜現(xiàn)象，正極溶解、負(fù)極形成金屬膜向正極靠攏，一段時間后金屬膜足夠長搭接到正極形成短路起火。C.2.2溶劑的電導(dǎo)率從高到低依次為：泥漿水或化雪鹽水、海水（典型類似5%的鹽水）、電解液、清澈地表水、雨水、自來水，電導(dǎo)率通?，F(xiàn)場若干個數(shù)量級。電導(dǎo)率低的自來水、雨水、清澈的地表水接觸電池造成很低的電流，毫安級別，通常數(shù)月才造成明顯損傷，因此通常用自來水滅鋰離子電池火災(zāi)。但是高電導(dǎo)率的液體會在幾小時到幾天之內(nèi)造成劇烈電解和局部破損、幾十安培的大電流放電、電池迅速膨脹或破損、搭接電池之間的導(dǎo)電排電解松動大電阻通電發(fā)熱，容易引起起火。（資料性附錄）進(jìn)行FTA分析的例子D.1FTA圖例家用家用BESS表面溫度不超過100℃目標(biāo)說明：40萬臺BESS，質(zhì)保期15年，全生命周期出現(xiàn)失效0.1次。則失效率=0.1次/(40萬臺*15年*每年365天*每天24小時)＝1.9E-12次/h↓P2↓P2頁P2頁'*BESS內(nèi)部熱失控F11=4E-100F/hP2頁'*BESS內(nèi)部熱失控F11=4E-100F/hBESS外部隔熱滅火F13=BESSBESS外部偵測抑制F12=機(jī)械因素導(dǎo)致起火F113=2E-100F/h機(jī)械因素導(dǎo)致起火F113=2E-100F/h電氣因素導(dǎo)致起火F111=2E-100F/h環(huán)境因素導(dǎo)致起火(液體電解金屬膜)F112=1E-104F/h環(huán)境因素導(dǎo)致起火(液體電解金屬膜)F112=1E-104F/h自放電偵測F1122=1E-100測量不準(zhǔn)起火F1111=1E-100存放機(jī)械損傷自放電偵測F1122=1E-100測量不準(zhǔn)起火F1111=1E-100存放機(jī)械損傷F1132=1E-100運輸機(jī)械損傷F1131=1E-100電氣故障偵測F1112=1E-100泄露電解液、冷凝水電解膜F1121=1E-4次/h測試方案01測試方案02測試方案03測試方案04測試方案05測試方案06D.2測量不準(zhǔn)導(dǎo)致的起火失效分析例子測試方案01,測量不準(zhǔn)導(dǎo)致起火。從原理分析，鋰離子電池工作電壓最大值設(shè)置在4.2V,通常要過充電到4.6伏才起火，那么假定4.5伏為起火電壓，則測量誤差最大值USL=4.5V-4.2V=0.3V=300mV;電路板測量電壓誤差平均值Mean為5mV,假定測量誤差的標(biāo)準(zhǔn)差Sigma＝Mean，那么工序能力系數(shù)Cpk=(USL-Mean)/(3*Sigma)≈(USL-Mean)/(3*Mean)=20，對應(yīng)殘余風(fēng)險Risk=1-Normsdist(3*Cpk)=1E-100，極低風(fēng)險。D.3電氣故障偵測錯誤導(dǎo)致的起火失效分析例子測試方案02為電氣故障偵測錯誤導(dǎo)致起火。電氣故障包括：接頭松動大電阻發(fā)熱點燃、電壓信號線松動導(dǎo)致過充電、電路板導(dǎo)電開關(guān)部件（如CMOS管）故障不關(guān)斷過充電起火、電網(wǎng)諧波干擾導(dǎo)致CMOS管故障不關(guān)斷過充電、電路板老化腐蝕不能工作等。電路板都沒過電池的電壓檢測、整個電池中電壓檢測（高壓檢測）、整體的電流檢測、電池包有幾個溫度檢測，使用這些電壓信號在軟件里面構(gòu)造檢測邏輯來偵測以上電氣故障，發(fā)出報警且停止充放電。設(shè)計有硬件電路在只有電路板正常工作拆接通外部電源的功能，用于電路板老化腐蝕不工作的保護(hù)。如果沒有有效的電氣故障偵測功能，只靠電路板可靠性來維持，則風(fēng)險非常高，需要改進(jìn)。D.4泄漏電解液、冷凝水、外殼破損進(jìn)水形成電解金屬膜導(dǎo)致的短路起火失效分析案例測試方案03為泄漏電解液、冷凝水、外殼破損進(jìn)水，形成電解金屬膜導(dǎo)致短路起火。機(jī)械上可以強(qiáng)化電池封裝強(qiáng)度，如加大封裝邊、焊接代替螺絲連接/鉚接、增加耐火層隔熱保溫，避免劇烈溫度變化以免形成冷凝水，設(shè)計IP等級外殼防水等來降低風(fēng)險。用假定一年一遇的高失效率為例，靠自放電偵測技術(shù)來發(fā)現(xiàn)而降低了風(fēng)險。推薦設(shè)計是：電路板在上方，噴涂覆蓋絕緣漆防潮，快關(guān)管，如CMOS管或繼電器的管腳加膠絕緣保護(hù)等。D.5自放電偵測安全措施例子測試方案04為自放電偵測。電池泄漏電解液導(dǎo)致該電池容量降低，內(nèi)阻增加；如果泄漏電解液搭接了電池外殼和正極極柱、負(fù)極極柱，造成自放電率過大，則在軟件設(shè)置檢測功能判斷某個電池容量過低可能是電池老化或單純泄漏，還沒有電解金屬膜短路放電；軟件偵測發(fā)現(xiàn)，某電池充電容量過大，放電容量很小，靜置時電壓下降快，就能判斷是泄漏電解液，形成電解金屬膜造成短路，發(fā)出報警。冷凝水的偵測可以綜合充電容量大，放電容量小，靜置時電壓下降快，溫度變化快來判斷形成了冷凝水。冷凝水的電導(dǎo)率比泄漏的電解液低2個數(shù)量級以上，自放電電流相差大，軟件可偵測區(qū)分?？梢愿鶕?jù)自放電程度不同，軟件發(fā)出不同等級的報警。成本接受的情況下，可設(shè)計絕緣電阻檢測電路來判斷泄漏電解液、冷凝水造成絕緣電阻下降，可以設(shè)置不同的電阻值等級來發(fā)出不同等級的報警。D.6運動機(jī)械損傷導(dǎo)致的失火失效分析例子測試方案05為運動機(jī)械損傷偵測。失效模式為在車載運動或搬運運動中，不當(dāng)?shù)臋C(jī)械損傷包括1）普通車載振動帶來摩擦信號線、電路線路松動大電阻發(fā)熱點燃、或短路起火、或信號異常的過充電起火；（2）撞車帶來擠壓測試級別的擠壓短路起火3）搬運的物品跌落撞擊機(jī)械損傷起火等。對應(yīng)的安全措施為:(1)合理設(shè)計信號線路、主干路的電線和導(dǎo)電銅巴的緊固方式，撞車變形緩沖位置不傷害電池包位置仿真等2）再使用滿足機(jī)械濫用的振動、跌落、擠壓、撞擊測試驗證不起火，滿足運輸安全測試UN38.3，滿足運輸可靠性測試SAE標(biāo)準(zhǔn)3）在軟件設(shè)置安全診斷功能，包括a）偵測電池信號線短路或斷開功能，安全診斷邏輯為信號線對應(yīng)的兩個電池同時異常，電壓值和其他電壓值不一樣、或充電不增加電壓、或放電不減少電壓、或高電壓值和每個電池電壓累加值差異過大、電池容量異常、個別還能帶來電池包溫度異常等，通過這些軟件診斷提前偵測異常，不惡化為燃燒事故。例如針對信號電路的因為振動或?qū)щ娨后w電解腐蝕松動異常，其失效率的計算方式為1）采取了振動仿真和測試后驗證失效率不超過1E-5次/小時（十年一遇），導(dǎo)電液體電解腐蝕造成松動的失效率不超過1E-5次/小時（十年一遇）,兩者相加為2E-5次/小時（十年二遇2）兩個電池共用一根信號線，軟件偵測共用信號線路的兩個電池同時出現(xiàn)類似測試值與眾不同的異常，該軟件診斷邏輯的失效率為1E-100秒計算方法類似信號測量誤差風(fēng)險計算，滿充電平均值Mean=4.2V,過充電上限值USL=4.6V,標(biāo)準(zhǔn)差Sigma=mv，則Cpk=（USL-Mean）/(3*Sigam)=2.67,Risk=1-Normsdist(3*Cpk)≤1E-100）;那么該失效經(jīng)過軟件診斷后失效率=2E-400次/小時為可忽略風(fēng)險。其他失效可以類似分享，量化風(fēng)險計算。D.7存放機(jī)械損傷導(dǎo)致的失火失效分析例子測試方案06為存放機(jī)械損傷偵測。失效模式為存儲場景中，不當(dāng)?shù)臋C(jī)械損傷包括室內(nèi)靜置的物品跌落撞擊機(jī)械損傷起火等。對應(yīng)的安全措施為:(1)設(shè)計合理硬度和外形的強(qiáng)度保護(hù)減少撞擊傷害2）說明書約定安裝條件減少被物品掉落、家具傾倒撞擊傷害3）例行保養(yǎng)等售后服務(wù)的檢查維護(hù)安全環(huán)境4）偵測到機(jī)械傷害帶來電路異常（如電路信號線、導(dǎo)電端子、電池外殼）的及時保護(hù)如發(fā)出告警、停止充放電等。計算失效率的例子之一如從材料硬度或抗剪切強(qiáng)度來判斷保護(hù)效果。如抗剪切強(qiáng)度（單位kgf/mm2）外殼框架碳鋼（1%的C含量）為80，外殼蒙皮的結(jié)構(gòu)鋼板SS400為38,導(dǎo)電銅巴即軟銅為20,鋁殼電池