电化学储能电站功能安全设计指南（中文版）基于 IEC 61508 + GB-T 42288 双标准

电化学储能电站功能安全设计指南（中文版）基于IEC61508+GB/T42288双标准一、双标准定位与版本澄清标准定位说明GB/T42288—2022《电化学储能电站安全规程》电站运行安全规程2023-07-01实施；规定设备设施、运行维护、检修试验、应急处置安全要求；适用锂离子、铅酸（炭）、液流、水电解制氢/燃料电池等电化学储能电站IEC61508（GB/T20438）功能安全基础标准面向E/E/PE安全相关系统；SIL1~4；低要求模式（PFDavg）/高要求连续模式（PFH）GB/T20438IEC61508的国标等同采用作为功能安全工程方法落地依据设计要点：GB/T42288管"电站安全运行的红线"，IEC61508管"安全相关控制系统（BMS、消防联动、热管理、保护装置）的功能安全设计"，二者结合=本质安全设计+控制系统功能安全。二、储能电站功能安全总体框架双轨并行：静态安全（GB/T42288电池、电气、消防、设施）+动态安全（IEC61508控制系统安全功能）；核心安全相关系统（SRS）识别：BMS电池管理系统、消防联动控制、热管理（TMS）、直流保护/电弧检测、气体探测、远程急停；全生命周期管理：概念→需求→设计→实现→验证→确认→运行维护，覆盖IEC61508安全生命周期。三、危害分析与风险分析（HARA）识别危险源：热失控、过充、过放、短路、内短路、过流、过温、气体泄漏（氢气/CO/CO₂）、电弧、电气火灾、爆炸、电解液泄漏；工况覆盖：正常充放、异常、故障、维护检修、极端环境；风险参数与可接受准则：参照IEC61508定性/定量方法，明确安全目标与残余风险可接受准则；LOPA保护层分析：确认多道保护层（电池结构安全→BMS→消防→外部），确定哪些安全功能需按IEC61508设计。四、SIL确定与分配储能系统典型风险接受准则：基于IEC61508，常用SIL2或等效等级；关键安全功能（如热失控保护、过充保护）按风险等级定级；模式判定：区分低要求模式（PFDavg，如消防手动/定期动作）与高要求连续模式（PFH，如持续监控的BMS）；逐功能分配：SIL分配到每个安全功能（SIF），不整系统统一定级；高安全功能采用双通道/冗余架构（双电压传感器、双通道继电器等）提升诊断覆盖率DC。五、安全需求规范（SRS）——安全功能清单安全功能功能安全要求典型SIL过充保护检测过充，切断充电回路SIL2过放保护检测低电压，停止放电SIL1~2过流/短路保护快速断开直流回路SIL2热失控早期探测温度/气体（H₂/CO/CO₂）联动消防SIL2消防联动控制触发灭火、切断、隔离SIL2热管理（TMS）失效保护超温报警与降额SIL1直流电弧检测检测并切断电弧SIL1~2远程急停/隔离紧急工况快速停机SIL2每条SRS需：可测试、"shall"语句、绑定SIL、安全状态、响应时间、诊断覆盖率DC、报警与联锁逻辑。六、系统设计与实现（硬件+软件）6.1硬件（参照IEC61508-2）架构设计：考虑冗余、硬件故障裕度（HFT）、诊断覆盖率；关键元器件FMEA，区分安全失效/危险失效；计算SFF（安全失效分数）、PFDavg/PFH，验算SIL达标；共因失效（CCF）分析，β值选取有依据；选型满足储能工况（宽温、电磁兼容、隔离、防护等级）。6.2软件（参照IEC61508-3）选定开发路线（Route1/2/3），执行对应系统性失效预防措施；软件需求→架构→模块→编码逐级设计与评审；静态分析、单元测试、集成测试、系统测试证据齐全；开发与测试人员职责分离，独立验证；配置管理与变更管理闭环，禁止无记录修改。七、验证与确认（V&V）每个生命周期阶段出具阶段验证报告，不做"只做最终验收"；安全功能确认测试：模拟过充、过放、过流、热失控、气体报警、急停等故障工况，验证安全动作正确进入安全状态；确认测试覆盖全部SIF，记录测试用例与结果；出具功能安全评估（FSA）报告，高SIL项目由独立评估。八、与GB/T42288运行安全的结合点设备设施：电池无变形漏液、极柱连接牢固、裸露带电部位绝缘遮挡、直流回路快速断开、宜配直流电弧保护装置（GB/T422885.2）——这些"静态要求"需与BMS/保护控制的功能安全设计对接；运行维护：定期检修试验、安全监控与联动测试与IEC61508定期测试规程（PTI）衔接；应急处置：火灾、泄漏等应急响应流程与消防联动安全功能、远程急停联动；全生命周期：从设计、建设、并网、运维到退役，两条标准贯穿。九、全生命周期文档清单（双标准）安全计划、功能安全计划、验证与确认计划HARA/LOPA/SIL分配报告SRS安全需求规范（含安全功能清单）系统架构、硬件FMEA、SFF/HFT/PFD/PFH计算报告软件开发计划、架构/模块设计、测试证据集成/确认测试报告、SIL符合性报告功能安全评估（FSA）报告运维规程、定期测试记录、故障与变更台账符合GB/T42288的设备设施与运行安全记录、应急处置方案十、落地检查清单（SIL2储能项目典型核查项）BMS是否按IEC61508完成HARA与SIL分配？过充/过流/热失控保护是否形成冗余与诊断闭环？SFF、HFT、PFD/PFH计算底稿与参数来源是否齐全？软