IEC 63487-2025 中文版（电力储能系统功能安全要求）

IEC63487:2025中文版（电力储能系统功能安全要求）前言本文件为IEC63487:2025《Electrochemicalenergystoragesystems–Functionalsafetyrequirementsforpowerenergystorage》官方完整中文版规范，由国际电工委员会（IEC）正式发布，是全球首部专门针对电力储能全场景制定的专项功能安全国际标准。本标准彻底弥补了传统储能安全标准偏重设备本体物理安全、缺失系统功能安全管控体系的行业短板，打破了以往电力储能功能安全套用通用工控、电力设备功能安全标准的粗放合规模式，充分适配电化学储能双向功率调节、频繁工况切换、并网离网动态运行、多设备协同联动、全生命周期性能衰减的独有技术特征，构建了储能专属的功能安全分级、失效防控、生命周期管控、验证评价标准化体系。相较于通用电力功能安全标准，本文件针对性解决电力储能场景下功能失效引发的电网扰动、设备停运、安全事故、经济损失等核心风险，重点规范储能系统安全功能完整性、软硬件失效容错、系统性失效防控、风险分级管控、安全冗余设计、运维功能保障等核心要求。标准体系覆盖功能安全基础总则、风险评估与安全目标、全生命周期功能管控、硬件功能安全、软件功能安全、系统协同功能安全、失效模式与防控、验证与确认、运维功能安全、不合格处置十大核心维度，全面适配电网侧、工商业、户用、新能源配套、微网等全场景电力储能设备，实现储能从“设备安全”向“系统功能安全”的标准化升级。本文件为2025年度全新发布电力储能功能安全专属国际标准，是全球储能项目功能安全设计、产品研发、工程建设、并网验收、运维管控、风险评估、合规认证的法定技术依据。本标准与IEC62933储能通用安全标准、IEC63380户用储能安全标准、IEC63428热失控预警测试标准、IEC63529电网适应性标准形成完整闭环合规体系，补齐了储能标准体系中功能安全的核心短板，构建起本体安全、运行安全、功能安全、预警安全、并网安全五位一体的储能安全标准化框架，为全球各国电力储能功能安全规范制修订、储能安全风险分级管控提供统一底层技术支撑。1范围本文件规定了电力电化学储能系统的功能安全通用总则、术语与定义、风险评估与安全目标制定、全生命周期功能安全管控要求、硬件功能安全要求、软件功能安全要求、系统协同功能安全要求、失效模式识别与防控、安全完整性分级要求、功能安全验证与确认、运维阶段功能安全保障、停用报废功能安全管控、结果评价判定准则、质量管控与不合格处置规范，构建全球统一的电力储能系统功能安全标准化体系，填补了电力储能专项功能安全标准空白。本文件适用对象覆盖所有并网型、离网型、并离网切换型电化学储能系统，包含电网侧大容量储能电站、新能源场站配套储能、工商业用户侧储能、户用分布式储能、微网储能、高压直挂储能等全场景电力储能设备。管控范围涵盖储能电池模组、储能变流器、能量管理系统、电池管理系统、配电单元、控制保护系统、通讯交互单元、联动防护系统等所有参与功率调控、状态监测、故障保护、并网运行、系统协同的核心软硬件单元，覆盖储能全生命周期功能安全管控流程。本文件适配磷酸铁锂、三元锂、锰铁锂等主流电化学储能电芯体系，兼容恒功率充放电、峰谷调节、调频调压、备用应急、平滑出力、消纳新能源等全功能运行场景，覆盖设备调试、稳态运行、动态工况切换、故障扰动、老化衰减、极端工况等全阶段运行状态。标准充分结合电力储能并网运行的电网约束特性、多设备集群协同特性、长期无人值守运行特性、循环老化性能衰减特性，针对性制定差异化功能安全管控要求。本文件为电力储能系统功能安全基础性强制要求标准，聚焦系统功能失效引发的安全风险与运行风险，不替代设备本体物理安全、热安全、防火安全、环境适应性、电磁兼容等专项标准，相关性能需结合对应IEC专项标准协同合规。本文件不适用于机械式储能、电化学试验设备、便携式移动储能电源、车载储能设备，此类设备功能逻辑与电力并网运行属性不适用本标准功能安全管控体系。2规范性引用文件下列规范性文件包含的条款，通过本文引用构成本文件的强制性或资料性约束要求。对于标注日期的引用文件，仅对应版本适用本文件；未标注日期的引用文件，其最新修订版本（含所有修改单、勘误、增补条款）均适用于本文件。IEC62933-1:2022电化学储能系统通用术语与定义IEC62933-5-1:2024电化学储能系统通用安全总则IEC61508:2024电气/电子/可编程电子安全相关系统功能安全基础标准IEC61511:2023过程工业领域功能安全系统安全要求IEC62619:2024固定式储能锂电池安全通用要求IEC63056:2024电力储能电池系统安全测试规范IEC63380:2024户用储能系统安全要求IEC63428:2025电化学储能系统热失控预警系统测试方法IEC63529:2025电力储能系统电网适应性测试方法IEC63530:2025电力储能系统环境适应性测试方法IEC61000-6-2:2024电磁兼容工业环境抗扰度通用要求ISO31000:2023风险管理通用指南ISO9001:2024质量管理体系生产质控通用规范3术语和定义3.1电力储能系统功能安全指电力储能系统通过完整的设计、验证、运维管控，保障功率调节、并网运行、故障保护、状态监测、协同联动等核心安全功能持续有效，规避因功能失效、功能异常、功能紊乱引发的人身安全、设备安全、电网安全风险的系统性安全能力，区别于设备本体物理防护安全，属于系统级主动安全管控范畴。3.2安全功能储能系统为规避或降低安全风险、电网运行风险所配置的专属功能，包含过压欠压保护、过流短路保护、孤岛保护、功率超限保护、热故障联动保护、并网脱网安全切换、故障闭锁停机、状态监测告警等所有具备安全防控属性的软硬件功能。3.3功能失效储能系统预设安全功能或运行功能无法正常执行、执行偏差超标、触发逻辑错乱、响应时延超限的异常状态，分为硬件随机失效、软件系统性失效、环境诱发失效、运维不当失效四大类型，是本标准核心管控对象。3.4安全完整性等级用于量化评价储能系统安全功能完整性与可靠性的分级指标，依据失效概率、风险降低能力划分对应等级，不同容量、不同应用场景的电力储能设备需匹配对应等级的安全完整性要求，保障风险可控。3.5硬件随机失效因硬件器件老化、磨损、性能衰减、随机故障引发的功能失效，具备随机性、偶发性、不可逆特征，包含功率器件损坏、传感器采样失效、回路器件故障、通讯硬件异常等失效模式。3.6软件系统性失效因程序逻辑漏洞、算法缺陷、参数配置不当、软件兼容异常、升级故障引发的功能失效，具备系统性、重复性、可批量复现特征，无硬件损坏，可通过软件迭代、参数优化整改闭环。3.7功能冗余设计为规避单一功能失效引发安全风险，针对核心安全功能配置的多重备份机制，包含硬件冗余、算法冗余、逻辑冗余、监测冗余，单一通道失效不影响整体安全功能正常执行，实现功能安全兜底防护。3.8全生命周期功能安全覆盖储能系统设计研发、生产制造、调试验收、并网运行、日常运维、老化迭代、报废停用全流程的功能安全管控体系，兼顾全新设备初始功能完整性与长期老化后的功能可靠性。4通用功能安全总则4.1风险可控原则电力储能系统所有功能安全设计以风险识别、风险分级、风险消减为核心导向，针对不同失效模式的风险等级制定差异化管控策略，高风险安全功能采用高完整性、高冗余设计，确保所有功能失效风险均可预判、可防控、可兜底，杜绝不可控系统性安全风险。4.2全生命周期闭环原则功能安全管控贯穿储能设备从设计到报废的全生命周期，摒弃传统仅关注出厂静态功能合格的管控模式，重点强化运行阶段动态功能稳定性、老化阶段功能衰减防控、运维阶段功能容错保障，实现全流程、全场景、全时段功能安全闭环管控。4.3分层冗余防护原则核心安全功能必须采用多层冗余防护设计，实现主动功能防护、被动硬件兜底、系统联动防控的分层管控，单一功能模块失效、单一逻辑错乱、单一硬件故障不会导致整体安全功能失效，最大限度提升储能系统运行可靠性与安全性。4.4场景适配差异化原则依据储能容量等级、并网场景、运行模式、风险等级实施差异化功能安全管控，电网侧大容量储能、新能源配套储能等高风险场景提升安全完整性等级与冗余配置要求，户用小型储能简化适配民用场景管控逻辑，兼顾安全性与经济性。4.5可验证可溯源原则所有功能安全设计、风险评估报告、冗余配置、验证测试数据、故障处置记录均可全程溯源、可重复验证，功能安全变更、软件升级、参数调整必须留存完整记录，杜绝无溯源、无验证的随意改动，保障功能安全管控标准化、规范化。5风险评估与安全目标5.1通用风险评估要求储能系统研发与工程落地阶段必须开展系统性功能安全风险评估，全面识别硬件失效、软件失效、系统协同失效、环境诱发失效、运维失效等各类失效模式，逐一分析失效发生概率、影响范围、危害等级，明确人身安全、设备安全、电网安全、运行经济损失四类风险后果，形成完整的风险评估清单与管控台账。风险评估需覆盖稳态运行、动态工况切换、故障扰动、极端气候、设备老化等全场景工况，无风险识别盲区。5.2风险分级判定结合失效发生频率与危害程度，将储能功能安全风险划分为三级，一级为重大不可接受风险，包含并网失效、孤岛失控、保护拒动、热故障联动失效等可引发电网事故、设备起火爆炸、人身伤害的高危失效模式；二级为可管控一般风险，包含小幅功能偏差、偶发信号扰动、轻微响应滞后等无重大危害的功能异常；三级为可接受轻微风险，包含不影响安全运行的非核心功能波动。所有一级风险必须通过冗余设计、逻辑优化、硬件升级实现完全消减，二级风险需配置监测与容错机制，三级风险可常规管控。5.3安全目标制定基于风险评估结果制定量化功能安全目标，明确各核心安全功能的失效概率上限、响应时延阈值、容错能力指标、冗余有效性要求。针对一级重大风险功能，严格限定年均失效概率，强制配置多重冗余防护；针对二级风险功能，限定故障频次与偏差范围，配置自动修正与告警机制；所有安全目标必须可量化、可测试、可验证，作为产品设计与工程验收的核心依据。5.4风险动态更新机制储能系统运行过程中需动态更新风险评估清单，针对软件版本升级、硬件部件迭代、运行工况变化、老化性能衰减、新型故障模式，及时补充风险识别、更新安全目标、优化管控策略，保障功能安全管控持续适配设备全生命周期运行状态。6全生命周期功能安全管控要求6.1设计研发阶段功能安全产品设计阶段需同步完成功能安全架构设计，明确各子系统功能边界、安全接口、联动逻辑、冗余方案，规避设计性系统性失效。软件算法需完成故障注入测试、边界工况测试、逻辑遍历测试，杜绝程序漏洞与逻辑缺陷；硬件选型需匹配功能安全等级要求，核心安全器件选用高可靠性、低失效概率型号，从源头降低硬件随机失效风险，形成完整的设计阶段功能安全档案。6.2生产制造阶段功能安全生产过程中需严格落实功能安全质控要求，核心安全回路、保护逻辑、冗余模块需逐台检测，杜绝生产工艺偏差、装配失误、参数错配引发的批量性功能缺陷。软件程序固化、参数配置、版本管控需标准化，禁止私自篡改安全逻辑与防护阈值，出厂前完成全功能安全验证测试，确保每台设备初始功能安全性能达标、批次一致性可靠。6.3调试验收阶段功能安全设备安装完成后，需开展全场景功能安全调试与验收，覆盖并网、离网、功率调节、故障保护、联动响应、冗余切换等所有核心安全功能，模拟各类失效工况验证容错能力与兜底防护能力。调试过程需完整记录功能响应数据、逻辑执行状态、冗余切换效果，验收不合格设备禁止并网投运，确保工程落地功能安全合规。6.4运行运维阶段功能安全设备长期运行阶段需建立常态化功能安全巡检机制，定期校验保护阈值、算法逻辑、冗余模块、通讯交互功能，及时修复功能漂移、性能衰减、逻辑偏差问题。针对工况波动、环境变化、设备老化引发的功能安全隐患，提前预判、主动优化，杜绝长期微小功能缺陷累积引发重大安全失效。软件升级、参数修改必须经过功能安全验证，避免升级引入系统性漏洞。6.5停用报废阶段功能安全设备停运、拆机、报废过程中，需保障停机闭锁、断电防护、残余能量释放等安全功能有效，杜绝拆机过程中功能失效引发触电、短路、热失控风险。报废设备需锁定安全逻辑，禁止带病功能模块二次复用，规避二手设备功能安全隐患，实现全生命周期闭环管控。7硬件系统功能安全要求7.1核心硬件可靠性要求储能系统安全相关硬件包含功率变换器件、采样传感器、保护继电器、开关器件、通讯硬件、监测终端等，所有核心硬件需满足对应安全完整性等级的可靠性指标，具备低失效概率、高稳定性、长寿命衰减特性。硬件长期运行无频繁故障、性能漂移、参数失真问题，在高低温、湿热、电磁干扰等复杂工况下保持功能稳定，杜绝环境诱发的硬件功能失效。7.2硬件冗余功能安全并网保护、孤岛检测、过温保护、漏电保护、紧急停机等一级风险核心功能，必须采用双硬件冗余架构，双路独立采样、独立判定、独立执行，单一硬件通道故障时，冗余通道可无缝接替工作，安全功能不中断、不失效。冗余模块需定期自动自检、交替运行，避免长期待机失效，冗余切换过程无功率突变、无保护盲区、无安全漏洞。7.3硬件失效容错能力系统具备完善的硬件失效自诊断与容错逻辑，可实时识别传感器失效、回路故障、器件损坏、通讯中断等硬件异常，精准定位故障点位，针对非致命硬件故障，执行降功率运行、局部闭锁、告警提示等容错策略，保障系统核心安全功能持续有效；针对致命硬件失效，立即触发紧急停机、脱网闭锁，杜绝故障扩散。7.4硬件老化功能保障针对硬件长期循环老化、性能衰减特性，系统具备老化自适应修正能力，可根据硬件性能变化微调采样参数、保护阈值、响应逻辑，补偿老化带来的功能偏差。同时建立硬件寿命预警机制，提前预判核心器件老化失效风险，提示运维更换，杜绝硬件超期服役引发的功能安全失效。8软件与算法功能安全要求8.1软件逻辑完整性储能系统嵌入式控制软件、能量管理算法、保护逻辑程序需具备完整的逻辑闭环，无死循环、无逻辑冲突、无边界漏洞、无判断盲区。全工况边界条件、故障场景、工况切换场景均已完成逻辑覆盖，针对极端工况、异常输入、数据缺失可合理判定、规范处置，不出现程序崩溃、逻辑错乱、功能拒动、误动等软件失效问题。8.2软件冗余与容错核心安全判定算法需采用多算法交叉验证冗余机制，单一算法判定偏差不触发错误保护动作；系统具备数据容错能力，针对短时数据缺失、数据跳变、通讯延迟可自动滤波、合理补全，不引发功能误触发、误保护。软件运行具备watchdog容错机制，程序异常可自动复位、恢复正常运行，同时留存故障日志，保障软件系统长期稳定可靠。8.3软件版本与参数管控所有涉及功能安全的软件版本、保护阈值、控制参数需建立严格的版本管控与权限管控机制，关键安全参数禁止普通权限随意修改，软件升级必须经过功能安全全项验证，杜绝版本兼容异常、参数错配、升级失败引发的系统性功能失效。升级过程具备断点续传、回滚机制，升级失败可自动恢复原始稳定版本，避免设备瘫痪。8.4软件失效防控针对软件系统性失效特征，建立常态化软件巡检机制，定期校验算法精度、逻辑有效性、数据交互稳定性，及时修复隐性逻辑漏洞。针对批量设备同版本软件缺陷，具备快速迭代整改、远程升级闭环能力，杜绝批量性软件功能安全隐患，保障全量设备软件功能安全一致性。9系统协同功能安全要求9.1子系统协同安全电池管理系统、储能变流器、能量管理系统、配电保护系统、热预警系统、消防联动系统之间需实现安全协同交互，各子系统功能边界清晰、数据交互可靠、联动逻辑匹配，无交互盲区、指令冲突、时序错乱问题。单一子系统功能异常时，其他子系统可协同容错、联动防护，避免子系统孤立失效引发整体安全风险。9.2并网运行功能安全储能并网运行过程中，需精准执行电网调频、调压、限功率、低电压穿越、孤岛防护等并网安全功能，响应速度、调节精度、保护动作完全匹配电网安全要求。电网扰动、电压频率波动、故障穿越工况下，系统功能不失效、不脱网、不误动，保障电网稳定运行，杜绝储能功能异常引发电网波动、并网事故。9.3工况切换功能安全系统并网、离网、充放电切换、功率阶跃调节、启停切换等动态工况转换过程中，功能逻辑平稳过渡，无瞬时失效、保护误触发、功率突变问题。工况切换时序合理、闭锁逻辑完善，切换过程全程可控，杜绝工况切换盲区引发的设备损坏与安全风险。9.4集群协同功能安全大容量多簇集群储能电站需具备集群协同功能安全管控能力，单簇设备功能异常时，集群系统可精准识别、隔离故障单元、优化集群运行策略，避免单点故障扩散为全站功能失效。集群调度指令、本地保护逻辑双向校验，杜绝调度异常、指令错乱引发的集群功能安全事故。10失效模式识别与防控要求10.1硬件随机失效防控针对硬件老化、器件损坏、采样失效等随机失效，通过硬件冗余设计、实时故障诊断、寿命预警、定期校验、老化更换实现全流程防控。建立硬件失效数据库，统计失效频次、失效模式、失效诱因，持续优化硬件选型与质控标准，逐年降低硬件随机失效概率。10.2软件系统性失效防控针对软件逻辑漏洞、算法偏差、版本缺陷等系统性失效，通过全场景逻辑遍历、故障注入测试、版本严格验证、批量设备监测复盘实现防控。建立软件缺陷闭环整改机制，发现隐性漏洞立即迭代优化，杜绝同类系统性失效重复发生。10.3环境诱发失效防控针对温湿度交变、电磁干扰、粉尘凝露、振动冲击等环境应力引发的功能失效，优化设备环境适配设计，强化硬件抗干扰、软件滤波容错能力，适配复杂电站运行环境。实时监测环境参数，环境应力超限及时告警、优化运行策略，规避环境诱发的功能异常。10.4运维人为失效防控针对运维误操作、参数误改、调试失误、维护遗漏等人为失效，建立权限管控、操作复核、操作日志溯源机制，关键操作双人复核、全程记录。完善运维培训与操作规范，简化高危操作流程，强化误操作容错设计，从制度与技术双重维度规避人为功能失效风险。11功能安全验证与确认11.1验证通用要求储能系统功能安全验证需覆盖设计、生产、调试、运行全阶段，采用故障注入测试、边界工况测试、长期稳态测试、极端工况测试、冗余切换测试等多种验证方式，全面核验安全功能完整性、失效容错能力、冗余有效性、响应精度、时序合规性。所有验证项目可复现、可量化、可溯源，验证数据完整留存。11.2硬件功能安全验证逐一对核心硬件功能、冗余切换、失效容错、老化性能进行验证，模拟硬件单点失效、多点失效场景，核验冗余模块可有效接替、系统可精准识别故障、防护动作可靠有效。验证硬件在高低温、电磁干扰、长期运行工况下的功能稳定性，确保硬件功能安全达标。11.3软件功能安全验证开展软件逻辑全覆盖遍历测试、边界工况测试、异常数据注入测试、版本兼容性测试，核验算法判定精准、逻辑无漏洞、容错能力达标、升级回滚可靠。针对历史软件缺陷场景专项复现验证，确保问题彻底闭环，无隐性软件功能安全隐患。11.4系统协同验证模拟全场景并网运行、工况切换、集群协同、故障联动场景，核验各子系统协同逻辑匹配、数据交互可靠、联动响应及时。验证系统在复杂动态工况、多重干扰叠加、多级故障耦合场景下的功能安全稳定性，确保整体系统功能安全合规。11.5确认与归档所有验证项目完成后，开展功能安全整体确认，形成完整的功能安全验证报告、风险评估报告、合规性说明，归档至设备全生命周期技术档案，作为产品认证、工程验收、运维核查、合规判定的法定依据。12运维阶段功能安全保障12.1常态化巡检校准建立储能功能安全定期巡检机制，周期性校验保护阈值、采样精度、算法逻辑、冗余功能、通讯交互、联动逻辑，及时校准参数漂移、修复功能缺陷、清理隐性故障。针对季节环境变化、设备老化周期，开展专项功能安全核查，保障长期运行功能完整有效。12.2故障复盘与迭代设备出现功能异常、保护动作、失效隐患后，必须开展专项复盘，定位失效根因、评估风险等级、落实整改措施、验证整改效果。同类故障重复发生需优化设计与算法，实现故障闭环迭代，持续提升系统功能安全可靠性。12.3软件版本管控更新建立软件版本迭代台账，定期推送安全优化版本，修复隐性逻辑漏洞、优化容错能力、适配新型工况。所有版本更新前完成功能安全全项验证，更新后开展现场复核，杜绝版本更新引入新的功能安全风险。12.4运维权限与操作管控分级设置设备操作与参数修改权限，区分普通运维、高级运维、管理员权限，核心安全参数、保护逻辑、联动策略仅允许高级权限操作，所有操作全程日志记录、可溯源复核，杜绝随意修改引发的功能安全失效。13功能安全评价判定准则13.1设计与生命周期判定设备全生命周期功能安全管控体系完整，风险评估全面无遗漏，安全目标量化合理，分层冗余设计合规，生命周期各阶段管控流程规范、档案完整，无设计性、制度性功能安全漏洞，判定生命周期管控合格。13.2硬件功能安全判定核心硬件可靠性达标，冗余功能切换可靠，硬件失效自诊断、自容错、自防护能力有效，老化适配性能良好，复杂工况下硬件功能稳定无失效，无单点硬件故障引发安全风险问题，判定硬件功能安全合格。13.3软件功能安全判定软件逻辑完整无漏洞，算法判定精准，容错冗余能力达标，版本与参数管控规范，升级回滚可靠，无系统性软件失效、逻辑错乱、误动拒动问题，长期运行软件稳定，判定软件功能安全合格。13.4系统协同功能判定各子系统协同交互可靠，并网运行、工况切换、集群协同功能稳定，故障联动逻辑精准，复杂动态工况下系统功能无失效、无紊乱、无盲区，整体运行安全可控，判定系统协同功能安全合格。13.5运维保障能力判定常态化巡检、校准、复盘、版本管控机制完善，运维权限管控规范，故障闭环迭代有效，可长期保障设备功能安全完整性，适配全生命周期运行需求，判定运维功能安全保障合格。13.6综合不合格判定规则核心安全功能失效、冗余防护失效、并网保护拒动、系统性软件漏洞、重大风险未管控、故障无法闭环整改列为一票否决严重不合格项；轻微参数漂移、偶发非核心功能波动、记录不完善为轻微不合格。任意一级重大风险功能不合格，直接判定设备整体功能安全不合格，禁止并网运行与市场流通。14测试质量管控与校准14.1测试设备校准要求所有功能安全验证所用的故障注入设备、工况模拟设备、数据采集设备、电网模拟设备需具备有效计量校准证书，定期开展精度复核，时序控制、参数输出、信号模拟精准可控，保障功能安全测试结果真实、客观、可复现。14.2测试过程质控要求功能安全测试需全程标准化、流程化，严格按照工况梯度、故障模式、验证流程开展测试，杜绝随意简化测试项目、降低测试工况等级。全程留存测试数据、时序日志、过程影像、验证报告，实现测试全流程可溯源、可复核。14.3型式试验与抽检管控产品软硬件重大变更、结构迭代、逻辑升级后，需重新开展全套功能安全型式试验；量产产品定期开展抽样功能安全验证，排查批量性功能缺陷，保障量产设备功能安全一致性、稳定性。15不合格处置与整改要求15.1不合格分级处置轻微不合格可通过参数校准、日志完善、局部优化完成闭环整改；一般不合格需优化软件算法、调整冗余逻辑、校准硬件性能并专项复测；严重功能安全不合格需重构功能安全设计、升级软硬件体系、完善风险管控机制，完成全套型式试验复测。15.2批量风险管控出现系统性软件缺陷、批量硬件功能失效、设计性功能漏洞等批量性不合格问题，需立即暂停产品量产、销售与并网投运，全面开展批量排查与整改，追溯设计、生产、质控环节根源漏洞，整改验证合格后方可恢复流通运行。15.3整改复测闭环所有不合格项目整改后，必须针对对应功能安全核心项目开展专项复测，高风险项目需增加多轮重复验证，确保问题彻底闭环、无残留隐患，完整留存整改方案、测试数据、验证报告，实现全流程溯源闭环。附录A（规范性）储能功能安