中國儲能網(wǎng)訊：近兩年，中國儲能產(chǎn)業(yè)迎來爆發(fā)式增長。相較于其他儲能技術，由于生產(chǎn)技術的快速進步、制造成本的逐步下降等因素，鋰離子電池具備更顯著的競爭力，在儲能領域的市場滲透率越來越高。
作為對電池進行監(jiān)控和管理的電子裝置，電池管理系統(tǒng)（batterymanagementsystem，BMS）是儲能系統(tǒng)的核心部件之一，其功能安全關系到整個鋰離子儲能電站的安全穩(wěn)定運行。
為了正確高效地實現(xiàn)儲能系統(tǒng)的電池管理系統(tǒng)功能安全設計和驗證，針對鋰電池儲能系統(tǒng)BMS的產(chǎn)品特點，本工作從系統(tǒng)的危險識別和風險分析、整體安全要求確定和安全功能分配、安全完整性實現(xiàn)及驗證3個主要分析步驟，參照IEC61508、IEC60730-1等相關參考標準梳理了電池儲能系統(tǒng)BMS功能安全的分析與設計過程。
分析結果表明，選擇失效模式影響和診斷分析（FMEDA）以及風險矩陣法（RM），可靠性框圖法（RBD），適合于儲能系統(tǒng)電池管理系統(tǒng)BMS的功能安全分析和設計。
依照IEC61508、IEC60730-1等相關標準，結合儲能系統(tǒng)產(chǎn)品的特點，選擇正確的分析設計路徑，可以確保儲能系統(tǒng)BMS的功能安全完整性等級（SIL）有效達成，為儲能電站設計開發(fā)者提供參考。
1 BMS功能安全要求簡述
根據(jù)IEC61508-4的定義，功能安全（functionalsafety）是指整體安全中與受控設備（equipmentundercontrol，EUC）和EUC控制系統(tǒng)相關的部分，它取決于E/E/PE安全相關系統(tǒng)和其他風險降低措施正確執(zhí)行其功能。
要實現(xiàn)特定的安全相關系統(tǒng)，就必須有相應的安全功能（safetyfunction）實現(xiàn)。所謂安全功能，是指針對特定的危險事件，為實現(xiàn)或保持EUC的安全狀態(tài)，由E/E/PE安全相關系統(tǒng)或其他風險降低措施實現(xiàn)的功能。
對于儲能電池系統(tǒng)，充放電控制或保護設備是EUC，電池管理系統(tǒng)BMS是E/E/PE安全相關系統(tǒng)，需要對電池系統(tǒng)進行安全保護。
IEC61508所規(guī)定的安全生命周期大致可分為分析、設計、實現(xiàn)和操作維護幾個階段。本文主要研究儲能BMS安全相關系統(tǒng)的分析和設計，這兩個階段主要包括以下內容：
（1）系統(tǒng)分析，即確定系統(tǒng)的功能、結構和范圍；
（2）危險識別和風險分析，即對每個可能出現(xiàn)的危險事件進行分析和評估；
（3）確定整體安全要求，并對必要的危險事件進行安全功能的分配；
（4）安全完整性實現(xiàn)并驗證。實現(xiàn)和操作維護兩階段具體包括整體安裝調試、整體安全確認、整體運行維護和修理、退役或處置、整體修改和改型等過程，由于不是本文重點，下文將不再重點介紹。
2 系統(tǒng)分析
盡管IEC61508并沒有明確要求必須將安全相關系統(tǒng)的設計與非安全相關系統(tǒng)的設計分開，但出于獨立性要求以及便于評估等方面考慮，在實施過程中一般盡量將上述兩個過程分開。
本階段的目的是說明目標產(chǎn)品的控制功能、應用環(huán)境、可能出現(xiàn)的危害和危險以及需要遵守的安全法規(guī)。本階段可明確儲能系統(tǒng)BMS的控制范圍、實際包含設備、外部事件、事件類型和其他相關設備系統(tǒng)等，可得出如圖1所示的電池系統(tǒng)BMS的交互模塊框圖，其中HMI是人機接口，EMS是能量管理系統(tǒng)。
3 危險識別和風險分析
系統(tǒng)分析工作完成后，可根據(jù)輸出的系統(tǒng)分析文檔和確定的系統(tǒng)范圍，開展BMS危險識別和風險評估工作。
在本階段，失效模式及影響分析（failuremodeandeffectanalysis，F(xiàn)MEA）是一種較為有效和常用的風險分析方法。另外，當需考慮BMS對風險的偵查能力時，也可采用失效模式、影響及其診斷分析（failuremodeseffectsanddiagnosticanalysis，F(xiàn)MEDA）方法完成對最終數(shù)據(jù)的整理分析
FMEA的基本步驟為：
（1）列出所有部件；
（2）對每個部件，列出所有已知失效模式；
（3）對每個部件/失效模式，列出對更高層面上的影響；
（4）對每個部件/失效模式，列出影響的嚴重性/危險程度。IEC60812規(guī)定了FMEA詳細的設計過程，其附錄TableF.9提供了FMEA在一個安全相關控制系統(tǒng)中的應用實例。
需要注意的是，該方法可以分層分子系統(tǒng)進行套用，使用時需按照系統(tǒng)的復雜度對分層分子系統(tǒng)進行逐個自下而上地完成分析。元器件的失效模式和失效率數(shù)據(jù)可以從器件手冊、用戶現(xiàn)場反饋可信數(shù)據(jù)、先驗手冊等來源獲取，本文更加推薦前兩種數(shù)據(jù)來源。
此外，目前較常見的先驗手冊有以下幾種：
（1）MIL-HDBK-217F：美軍電子設備可靠性預計手冊，由美國國防部發(fā)布，主要針對軍用等級元器件[15]；
（2）TelcordiaBellcoreSR-332：可靠性測試標準，由TelcordiaTechnologies的Bellcore（貝爾通信實驗室）發(fā)布，在電信設備、醫(yī)療設備、電源燈商用電子產(chǎn)品中廣泛應用[16]；
（3）IEC61709：該標準提供了電子元器件可靠性預計的公式方法、失效模式及其分配比例等；
（4）SiemensSN29500：由Siemens發(fā)布的電子和機電元件可靠性預測的標準，可視為對IEC61709的補充。針對固定式儲能系統(tǒng)，本文給出如表1所示的電池系統(tǒng)可能發(fā)生的危險事件列表。針對識別的風險對每個功能安全相關部件進行FMEA分析，輸出分析結果，見表2。
4 整體安全要求確定及安全功能分配
整體安全要求確定環(huán)節(jié)是指為達到所要求的功能安全，根據(jù)整體安全功能要求和整體安全完整性要求，為每一個危險件建立起對應的安全功能，并對每個安全功能規(guī)定安全完整性等級要求SIL，形成整體安全要求規(guī)范。
安全功能分配環(huán)節(jié)是指將整體安全要求規(guī)范中的安全功能分配至E/E/PE安全相關系統(tǒng)和其他風險降低措施中。IEC61508-1的7.5和7.6章節(jié)提供了整體安全要求和分配的詳細執(zhí)行要求。對各個安全功能進行安全完整性等級SIL目標確定是本階段的一個核心工作。
IEC61508-5附錄B提供多種危害分析方法，如常用的有風險圖法、危險事件嚴重性矩陣、保護層分析（layerofprotectionanalysis，LOPA）等。
下文以防電擊安全功能為例，采用危險事件嚴重性矩陣，說明如何進行安全完整性等級SIL的確定。
由表1可知，防電擊安全系統(tǒng)由兩部分：
①BMS安全功能部分，具體分為絕緣故障監(jiān)測和報警兩個子功能，分別記為SF1-1、SF1-2；
②電氣安全措施部分，將電池包外殼進行接地保護。由于上述兩部分安全措施是相對獨立的，互不影響其功能的執(zhí)行結果，因此獨立的安全功能數(shù)量為2。
假設項目團隊對此危險事件的出現(xiàn)概率評估為中等可能性，嚴重性等級評估為嚴重的，則根據(jù)圖2所示的危險事件嚴重性矩陣（摘自IEC61508-5附錄G），BMS安全功能SF1的安全完整性等級SIL應是SIL1。
根據(jù)IEC61508規(guī)定，安全系統(tǒng)的運行模式分為低要求模式、高要求模式和連續(xù)模式三種。
儲能系統(tǒng)中的BMS執(zhí)行安全功能的次數(shù)每年超過一次，屬于高要求模式，因此其安全功能的需求失效概率應采用每小時危險失效平均頻率PFH指標，可根據(jù)表3（摘自IEC61508-1）確認BMS各安全功能的安全完整性等級及要求指標。
對BMS中的各個針對危險事件的安全功能進行逐個評估后，綜合得出BMS的安全完整性等級目標。通過本階段，項目團隊可形成整體功能安全要求說明書，以及系統(tǒng)、軟件、硬件安全功能分配說明書。
5 結語
BMS是鋰電池儲能系統(tǒng)的核心部件之一，其可靠性和安全性是儲能系統(tǒng)推廣應用過程中關鍵性技術難題。
基于國內外相關技術標準梳理以及實際工程經(jīng)驗，本文詳細總結了BMS功能安全分析設計的具體過程和實用方法，具體包括系統(tǒng)分析、危險識別和風險分析、整體安全要求確定及安全功能分配、安全完整性實現(xiàn)及驗證等環(huán)節(jié)。
本文研究成果填補了國內關于儲能系統(tǒng)鋰電池BMS功能安全設計研究方面的空白，為電池系統(tǒng)的安全設計、安全驗證、安全評估工程師提供參考，對我國儲能電池系統(tǒng)的功能安全標準規(guī)范的研究和制定也有參考借鑒意義。本文所提供僅是其中一種可行方案，從業(yè)工程師需要根據(jù)儲能系統(tǒng)的實際應用場景和各公司的能力進行合理選擇。
