中國儲能網(wǎng)訊：
最新白皮書：《電池儲能系統(tǒng)火災(zāi)爆炸故障樹分析》
作者：約翰·穆諾（John Munno）
亞瑟·加拉格爾公司能源風(fēng)險工程總監(jiān)
電池儲能系統(tǒng)（BESS）在電網(wǎng)中日益普及，但規(guī)模擴(kuò)大伴隨風(fēng)險攀升。集裝箱式系統(tǒng)的火災(zāi)爆炸事故仍時有發(fā)生，多數(shù)根本原因可追溯至可預(yù)防的故障：探測失效、隔離缺陷、通風(fēng)不足或固件問題。
為助力工程師、核保人與風(fēng)險管理者評估管控此類風(fēng)險，現(xiàn)發(fā)布深度技術(shù)指南：
本白皮書詳解：
熱失控、集裝箱火災(zāi)及爆燃現(xiàn)象的故障樹構(gòu)建方法
電芯級、電池簇級、集裝箱級及共因觸發(fā)的基礎(chǔ)事件庫
BESS建模中PFDavg（平均要求失效概率）、失效率與條件概率的應(yīng)用
頂層事件頻率與最小割集計算的完整案例
點火控制、暖通系統(tǒng)可靠性及保護(hù)層建模的洞見
無論您正在設(shè)計新設(shè)施、評估第三方系統(tǒng)，還是向承保方解釋MFL（最大可預(yù)見損失）情景——本方法論將提升風(fēng)險評估的透明度、一致性與決策質(zhì)量。
構(gòu)建電池儲能系統(tǒng)故障、火災(zāi)和爆炸的故障樹
摘要
本文提出了一種構(gòu)建和量化電池儲能系統(tǒng)（BESS）故障、火災(zāi)和爆炸故障樹分析（FTA）的實用方法。它定義了精確的頂層事件——熱失控傳播、集裝箱火災(zāi)和集裝箱爆燃——以及邊界、運行階段和可重用的基本事件分類法。應(yīng)用了標(biāo)準(zhǔn)邏輯門模式（或/與/k取n、優(yōu)先與門（PAND）、禁止門），并使用 平均要求時失效概率（PFDavg） 和共因因子對保護(hù)層（BMS跳閘、隔離、暖通空調(diào)/通風(fēng)、滅火）進(jìn)行建模。一個示例計算了集裝箱爆燃的數(shù)量級頻率，并演示了最小割集和重要性度量，以優(yōu)先安排工程控制措施。重點強(qiáng)調(diào)了通風(fēng)可靠性、點火控制、隔離完整性以及調(diào)試/維護(hù)狀態(tài)。本文提供了數(shù)據(jù)收集、質(zhì)量保證以及與事件樹、保護(hù)層分析（LOPA）和后果模型集成的指導(dǎo)，以支持設(shè)計決策、運行與維護(hù)（O&M）驗證測試和保險評估。
構(gòu)建電池儲能系統(tǒng)故障、火災(zāi)和爆炸的故障樹
作者：John Munno – 能源風(fēng)險工程師
（面向工程師的技術(shù)指南）
1) 目的與范圍
本文提供了一種結(jié)構(gòu)化方法來開發(fā)、量化和維護(hù)電池儲能系統(tǒng)（BESS）危害的故障樹分析（FTA）模型。我們關(guān)注三個頂層事件：
TE-1： 電芯/模組熱失控傳播超出初始電芯
TE-2： 集裝箱火災(zāi)（伴有外部火焰沖擊）
TE-3： 集裝箱爆燃或爆炸（超壓導(dǎo)致結(jié)構(gòu)損壞）
該方法適用于各種化學(xué)體系（LFP, NMC）、架構(gòu)（交流耦合和直流耦合）和布局（室內(nèi)房間、室外集裝箱/機(jī)柜）。
2) 一個優(yōu)秀的BESS故障樹必須包含的內(nèi)容
BESS是信息物理系統(tǒng)。一個可信的FTA必須體現(xiàn)硬件、軟件/固件、電力和暖通空調(diào)（HVAC）、規(guī)程以及現(xiàn)場條件。
分層結(jié)構(gòu)： 電芯 → 模組 → 電池簇/串 → 集裝箱 → 場站 → 電網(wǎng)接口
運行階段： 調(diào)試、正常運行、維護(hù)、電網(wǎng)異常條件、孤島/黑啟動
保護(hù)層： BMS功能、接觸器、熔斷器、PCS保護(hù)、氣體檢測、暖通空調(diào)（HVAC）、通風(fēng)/排氣、探測/滅火、緊急停止（E-stop）、隔離規(guī)程
依賴性/共因： 交流電源丟失、固件缺陷、通信丟失、極端環(huán)境、共享的暖通空調(diào)/風(fēng)道
人為因素： 維護(hù)引起的故障、驗證測試失效
3) 頂層事件與明確邊界
在繪制邏輯門之前，需明確定義頂層事件的含義以及范圍之外的內(nèi)容。
TE-1：熱失控傳播 (TRP)
“至少一個電芯發(fā)生熱失控，并傳播超出引發(fā)電芯至同一模組內(nèi)的相鄰電芯?！?/span>
TE-2：集裝箱火災(zāi)
“集裝箱內(nèi)持續(xù)燃燒，其熱釋放率（HRR）足以導(dǎo)致外部火焰噴出或外部熱輻射 ≥ X kW/m2 持續(xù) ≥ Y 分鐘?！?/span>
TE-3：集裝箱爆燃
“集裝箱內(nèi)積聚了可燃?xì)怏w/空氣混合物并被點燃，產(chǎn)生的超壓 > Z kPa，存在結(jié)構(gòu)損壞或面板位移的風(fēng)險。”
系統(tǒng)邊界
包括電芯、模組、電池簇電子設(shè)備、直流母線、PCS（功率轉(zhuǎn)換系統(tǒng)）、輔助設(shè)備、暖通空調(diào)/通風(fēng)、探測/滅火、集裝箱結(jié)構(gòu)、線纜貫穿件、門/面板以及軟件/通信。本文排除下游變壓器/開關(guān)設(shè)備（如有需要，在轉(zhuǎn)移故障樹中建模）。
4) 初始事件分類法（事件庫）
對基本事件（BEs）使用一致的分類法。建議如下：
電芯/模組層級
BE-C1： 制造缺陷/污染導(dǎo)致的內(nèi)部短路
BE-C2： 鋰析出/銅溶解導(dǎo)致內(nèi)部短路
BE-C3： 因BMS或PCS控制失效導(dǎo)致的電芯過充
BE-C4： 外部加熱（附近火災(zāi)、熱浪中HVAC失效）導(dǎo)致熱失控
BE-C5： 機(jī)械損壞（運輸、安裝、地震、維護(hù)）
電池簇/集裝箱層級
BE-R1： 直流電弧故障（連接器松動、電纜損壞、壓接不良）
BE-R2： 接觸器熔焊閉合/指令下無法斷開
BE-R3： 過流保護(hù)未能清除（熔斷器/繼電器不匹配）
BE-R4： 氣體檢測失效至危險狀態(tài)（卡滯在低位、被禁用）
BE-R5： 暖通空調(diào)（HVAC）失效（交流電源丟失、風(fēng)扇故障、過濾器堵塞）
BE-R6： 強(qiáng)制通風(fēng)失效（風(fēng)門關(guān)閉、執(zhí)行器故障、卡滯關(guān)閉）
BE-R7： 滅火系統(tǒng)按需失效（滅火劑釋放不足或未釋放）
BE-R8： 點火源存在且有效（火花/電弧/高溫表面）
共因 / 依賴性
BE-CC1： 多個集裝箱交流輔助電源丟失
BE-CC2： 固件缺陷在全場站范圍內(nèi)推送
BE-CC3： 網(wǎng)絡(luò)定時/服務(wù)器故障導(dǎo)致跨電池簇的保護(hù)邏輯失效
BE-CC4： 門/面板關(guān)閉 + 未啟動吹掃（維護(hù)/操作疏忽）
5) 邏輯門選擇與建模模式
或門 (OR)： 多個不同的引發(fā)因素導(dǎo)致一個失效（例如，熱失控可由C1 或 C3 或 C4引發(fā)）。
與門 (AND)： 危險狀態(tài)需要同時滿足多個條件（例如，對于TE-3，需要同時存在可燃混合物 和 有效點火 和 足夠密閉）。
k取n門 (k-out-of-n)： 跨電芯/模組的傳播（例如，≥2個相鄰電芯失效達(dá)到模組級熱失控）。
禁止門 (Inhibit)： 事件僅在特定條件下相關(guān)（例如，滅火系統(tǒng)按需失效）。
優(yōu)先與門 (PAND)： 事件順序重要（例如，爆燃需要氣體積累發(fā)生在點火之前）。
轉(zhuǎn)移門 (Transfer)： 跨集裝箱或階段重用子樹。
內(nèi)部事件 (House events)： 用于特定階段邏輯的TRUE/FALSE開關(guān)（例如，調(diào)試 = TRUE）。
TE-3 片段 ASCII 圖示：
6) 構(gòu)建故障樹：分步工作流程
定義頂層事件和邊界。
按階段劃分；創(chuàng)建階段內(nèi)部事件（調(diào)試/正常/維護(hù)）。
收集設(shè)計信息：單線圖、直流系統(tǒng)圖、網(wǎng)絡(luò)架構(gòu)、I/O列表、安全儀表功能（SIF）、暖通空調(diào)/通風(fēng)路徑、通風(fēng)面積、滅火細(xì)節(jié)、設(shè)定值、驗證測試間隔。
創(chuàng)建初始事件庫；將每個事件映射到硬件/軟件來源。
將保護(hù)層建模為按需失效，并明確測試間隔和診斷覆蓋率。
插入依賴性：交流輔助電源丟失、固件共模、網(wǎng)絡(luò)/時間同步共因失效（CCF）。
選擇合適的邏輯門并自底向上繪制子樹。
用失效率或概率參數(shù)化基本事件。
計算最小割集（MCS）、頂層事件頻率和重要性度量。
通過運行、維護(hù)、供應(yīng)商和測試證據(jù)進(jìn)行驗證。
對關(guān)鍵假設(shè)進(jìn)行應(yīng)力/敏感性測試；記錄模型局限性。
使用現(xiàn)場數(shù)據(jù)、測試結(jié)果以及固件或規(guī)程變更進(jìn)行更新。
7) 量化所需數(shù)據(jù)
混合使用失效率和按需概率：
恒定失效率 (λ)： 用于連續(xù)運行的部件（風(fēng)扇、接觸器、電源）。
平均要求時失效概率 (PFDavg)： 用于處于休眠狀態(tài)直到有需求才動作的保護(hù)措施（滅火、隔離、某些BMS跳閘）。
共因因子： 用于跨電池簇/集裝箱的相同保護(hù)措施的β因子或多元希臘字母模型（MGL）。
階段修正因子： 調(diào)試和高倍率運行時的占空比乘數(shù)。
條件概率： （例如，P[存在可燃混合物 | 通風(fēng)狀態(tài)]）。
對于一個驗證測試間隔為TI、具有恒定危險未檢測失效率 λDU 的功能（1oo1），PFDavg=λDU×TI/2。
典型數(shù)據(jù)來源： 供應(yīng)商可靠性數(shù)據(jù)、現(xiàn)場失效數(shù)據(jù)庫、測試計劃、現(xiàn)場維護(hù)記錄以及帶保守界限的工程判斷。
8) 示例計算（說明性數(shù)字）
目標(biāo)： 估算TE-3（單個包含10個電池簇的室外集裝箱發(fā)生爆燃）的數(shù)量級頻率。
每個電池簇每年的熱失控（TR）引發(fā)頻率：內(nèi)部缺陷 2×10^?5，過充 1×10^?6，外部加熱 5×10^?6 → 總和 2.6×10^?5 / 電池簇-年
10電池簇集裝箱中任一電池簇發(fā)生熱失控：10×2.6×10^?5=2.6×10^?4 / 年
P(存在可燃混合物 | TR) = 0.10； P(有效點火 | 存在混合物) = 0.30； P(密閉充分) = 0.10。
結(jié)果： 2.6×10^?4×0.10×0.30×0.10=7.8×10^?7 / 年 (= 每 130 萬個集裝箱-年發(fā)生一次)
用例： 用于篩選以優(yōu)先安排控制措施；如果通風(fēng)不可用性是主導(dǎo)因素，那么像故障安全開啟風(fēng)門和獨立的氣體觸發(fā)吹掃等設(shè)計變更可能帶來最佳的風(fēng)險降低效果。
9) 最小割集與重要性度量
最小割集 (MCS)： 導(dǎo)致頂層事件發(fā)生的最小基本事件組合。
Fussell–Vesely (FV) 重要性： 每個基本事件對頂層事件概率的貢獻(xiàn)比例。
Birnbaum 重要性： 頂層事件對基本事件概率變化的敏感性。
臨界重要性： 結(jié)合了概率和Birnbaum重要性。
示例 (TE-3 片段)：
MCS-1： {任一電池簇發(fā)生TR} & {通風(fēng)失效} & {存在有效點火} & {門關(guān)閉}
MCS-2： {無TR下的溶劑蒸發(fā)} & {通風(fēng)失效} & {存在有效點火} & {門關(guān)閉}
MCS-3： {任一電池簇發(fā)生TR} & {通風(fēng)路徑堵塞} & {存在有效點火}
10) 正確建模保護(hù)層
BMS跳閘： 建模檢測和動作；包括接觸器熔焊失效。
滅火系統(tǒng)： 視為按需PFD，條件是基于及時檢測和滅火劑有效性。
暖通空調(diào)/通風(fēng)： 區(qū)分風(fēng)扇失效、風(fēng)門失效、控制電源丟失和命令邏輯失效；包括故障安全位置。
通信/時間同步： 如果保護(hù)措施需要相同的網(wǎng)絡(luò)服務(wù)，則添加共模邏輯門。
交流輔助電源丟失： 建模為饋入多個禁止門的內(nèi)部事件；捕捉其對點火和通風(fēng)的相反影響。
11) 基于階段的修正因子（調(diào)試、維護(hù)）
調(diào)試： 風(fēng)險較高，源于臨時旁路、固件更新、打開的面板、非典型充電曲線。
維護(hù)： 打開的門可能減少密閉性但增加點火可能性（熱作業(yè)）。
使用互斥狀態(tài)或與事件樹耦合來表示后果路徑。
12) 將FTA與其他分析集成
事件樹分析 (ETA)： 分支表示初始事件后的結(jié)果（氣體積累 vs 消散；點火 vs 未點火；滅火成功 vs 失?。?/span>
蝶形圖 (Bow-Tie)： 左側(cè)是故障樹（原因），右側(cè)是事件樹（后果/屏障）。
保護(hù)層分析/安全完整性等級 (LOPA/SIL)： 轉(zhuǎn)化為儀表功能（SIF）的PFDavg目標(biāo)和驗證測試策略。
熱/流體建模： 將FTA頻率輸出與后果模型耦合，以評估對相鄰資產(chǎn)的風(fēng)險和間距充足性。
13) 質(zhì)量保證與驗證
頂層事件和邊界定義精確且可驗證。
每個引發(fā)因素和屏障都映射到設(shè)計中的帶標(biāo)簽部件/功能。
明確建模了共因機(jī)制（電源、固件、通信、環(huán)境）。
驗證測試間隔和診斷反映了實際操作。
敏感性分析覆蓋了主要貢獻(xiàn)因素和所有CCF參數(shù)。
針對固件、規(guī)程或硬件修訂建立了模型變更控制。
14) 實用工程控制措施（由重要性結(jié)果驅(qū)動）
通風(fēng)/排氣
電源丟失時風(fēng)門故障安全開啟；獨立的氣體觸發(fā)吹掃。
風(fēng)門位置反饋；卡滯/失效報警。
保持吹掃/通風(fēng)路徑暢通；定義檢查點。
點火控制
盡量減少氣體積聚區(qū)域內(nèi)的帶電電子設(shè)備；隔離或封裝。
在直流饋線上設(shè)置電弧故障檢測；消除導(dǎo)體松動并改進(jìn)應(yīng)力消除。
對表面進(jìn)行溫度分級；對部件更換實施工程變更控制。
隔離與控制
冗余隔離路徑（例如，上游直流熔斷器 + 接觸器）。
接觸器的證開測試；熔焊監(jiān)測。
BMS跳閘多樣性（獨立于CPU路徑的比較器）。
人員績效
調(diào)試檢查表需明確移除旁路；紅標(biāo)簽控制。
固件回滾計劃；分階段部署；全場站推送前在少量電池簇（預(yù)警電池簇）測試。
維護(hù)后驗證測試記錄并趨勢分析。
15) 文檔工件（交付物清單）
帶數(shù)值標(biāo)準(zhǔn)（HRR, kW/m2, kPa）的頂層事件聲明。
模型范圍/邊界和階段邏輯。
具有唯一ID、定義和數(shù)據(jù)來源的事件庫。
假設(shè)列表（占空比、驗證測試間隔、診斷覆蓋率）。
包含F(xiàn)V/Birnbaum結(jié)果的最小割集列表。
敏感性運行和龍卷風(fēng)圖。
模型變更歷史和版本控制。
與主要貢獻(xiàn)因素相關(guān)聯(lián)的行動清單及建議的設(shè)計/O&M變更。
16) 可復(fù)用的小型模板
事件庫（摘錄）：
頂層事件 TE-3 片段（偽邏輯）：
17) 需避免的常見陷阱
將“BMS跳閘存在”視為保證——應(yīng)分別建模需求、檢測、動作和隔離。
忽略階段邏輯；調(diào)試風(fēng)險通常占主導(dǎo)。
遺漏共因失效（CCF）；共享電源或固件會破壞獨立性假設(shè)。
使用未根據(jù)占空比或環(huán)境調(diào)整的通用失效數(shù)據(jù)。
未使用維護(hù)記錄驗證驗證測試間隔和“實際發(fā)現(xiàn)”的結(jié)果。
18) 如何與利益相關(guān)方使用該模型
設(shè)計工程師： 比較替代控制方案，并排序應(yīng)優(yōu)先強(qiáng)化的屏障。
運行人員： 在影響最大的地方（最高的Birnbaum重要性）設(shè)置驗證測試間隔。
項目經(jīng)理/業(yè)主： 用量化的風(fēng)險降低來論證特定設(shè)計特性的成本。
保險公司/承保人： 與后果模型結(jié)合，將頻率降低轉(zhuǎn)化為預(yù)期年度損失（EAL）。
19) 結(jié)論
BESS故障樹的可信度取決于其邊界定義、數(shù)據(jù)質(zhì)量和依賴性建模。一個實用的、具備階段意識的故障樹，若能捕捉通風(fēng)可靠性、點火控制和隔離完整性，將能持續(xù)識別出降低火災(zāi)和爆炸頻率的最佳杠桿點。
附錄 A — 快速入門檢查表
用數(shù)值標(biāo)準(zhǔn)定義TE-1/TE-2/TE-3。
建立階段內(nèi)部事件。
構(gòu)建事件庫并映射到標(biāo)簽/部件。
為交流輔助電源、固件和通信添加CCF。
將保護(hù)措施的檢測/決策/動作/隔離分開建模。
量化休眠功能的PFDavg；基于實際設(shè)定驗證測試間隔（TI）。
計算MCS和重要性；對前五大貢獻(xiàn)因素進(jìn)行敏感性分析。
發(fā)布與重要性結(jié)果相關(guān)聯(lián)的設(shè)計/O&M建議。
設(shè)定模型控制和修訂流程。
附錄 B — 向供應(yīng)商/現(xiàn)場索取數(shù)據(jù) (RFD)
BMS架構(gòu)（冗余、診斷、跳閘邏輯、動作路徑）。
接觸器/熔斷器規(guī)格和熔焊檢測特性。
暖通空調(diào)/通風(fēng)系統(tǒng)P&ID圖、風(fēng)門故障位置、執(zhí)行器類型。
氣體檢測技術(shù)、設(shè)定值、覆蓋率、驗證測試規(guī)程/結(jié)果。
滅火類型、噴嘴布局、設(shè)計依據(jù)、釋放測試、維護(hù)記錄。
固件變更管理、回滾和全場站部署規(guī)程。
交流輔助電源來源、備用安排、切換可靠性。
竣工的外殼泄漏率/通風(fēng)面積和泄壓裝置。
