中國儲能網訊：7月9-10日，由中國化學與物理電源行業(yè)協(xié)會儲能應用分會聯(lián)合江蘇省電機工程學會、國網江蘇省電力公司電力科學研究院、國網四川綜合能源服務有限公司、國網浙江綜合能源服務有限公司、中國能源建設集團江蘇省電力設計院有限公司、中國科學院電工研究所儲能技術組等單位共同主辦的“第五屆全國電網側暨用戶側儲能技術應用高層研討會”在江蘇南通文峰酒店召開。
在本次會議上，杭州高特電子設備股份有限公司總經理徐劍虹分享了主題報告《儲能電池管理系統(tǒng)安全技術探討》?，F(xiàn)在，小編經過授權，將演講內容整理如下：
徐劍虹：各位專家，各位同仁，大家下午好！
儲能電站近期最熱門的一個話題就是安全。今天我聽了很多專家的演講，很多宏觀的，我可能要拉回來，可能會講一些稍微微觀一點的東西。我的題目是“儲能電池管理系統(tǒng)安全技術探討”。
儲能系統(tǒng)安全的設計現(xiàn)狀現(xiàn)在主要體現(xiàn)在幾個方面，一個是儲能系統(tǒng)缺少頂層安全設計，沒有安全標準。剛才我聽到了認證中心人員講了，講了很多標準，但唯一缺少的就是安全標準。剛才講后面要起草安全標準，我認為這個是非常及時，我也非常感興趣來參與這個標準。
儲能系統(tǒng)的集成設計缺少安全系統(tǒng)的考慮，變成多個功能部件的堆積，相互間缺少聯(lián)系，成為了信息孤島。儲能系統(tǒng)運行的策略保護機制不完善，各自也各不相同，缺少冗余的安全保護及長壽命的管理策略。儲能系統(tǒng)的熱管理和一致性管理非常粗糙，缺少儲能系統(tǒng)及電池系統(tǒng)綜合分析及診斷，缺少運維支撐等等。
我們來看什么是系統(tǒng)安全，在世界上沒有一件事是絕對安全的，我們所謂指的安全就是我們要把潛伏的危險可能發(fā)生事故的概率降到最低，把可能發(fā)生的危險所造成的損害控制到可以接受的程度，安全是有成本和代價的。系統(tǒng)安全主要通過三個方面來做，一個是辨識系統(tǒng)中可能的安全隱患，第二個是安全的設計，預防安全隱患發(fā)生的安全事故，第三個是事故發(fā)生的保護，預防安全事故的擴大。
我們來看儲能的安全，首先是識別安全隱患有哪些。我們可以看到在儲能系統(tǒng)當中由很多部件構成，比方說有電池堆、BMS、PCS、EMS，空調、動環(huán)、機架附件等等，除了PCS、空調動環(huán)等等電氣安全事故之外，電池堆成為最大的安全隱患點。這是電池堆的安全隱患點，比方說電池的老化、過充、過放，過流，內短路、過熱等等。
在一個儲能系統(tǒng)中，由大量的電池堆積在一起，在一個有限空間當中，比如20尺、40尺的集裝箱，幾個兆瓦時的電池堆積在一起是一個能量非常密集的系統(tǒng)，一旦發(fā)生電池燃燒反應，損失就會非常大。其次它也是一個高壓系統(tǒng)，目前系統(tǒng)基本上在700伏，現(xiàn)在已經有1500伏的發(fā)展趨勢，在一個高壓系統(tǒng)當中，它的絕緣、電器老化等等都有可能引起安全事故，這就是電氣安全事故。
還有在整個控制系統(tǒng)中，由于惡劣的電磁環(huán)境，有可能導致整個系統(tǒng)管理動作的誤動作、誤報警，產生不可預期的安全事故。最最主要的還是電池系統(tǒng)發(fā)生的過充、過放、過流、過溫、短路、失控等等，這已經成為儲能系統(tǒng)最大的安全隱患，我們就這個問題作一個展開。
什么是電池失控呢？英文thermal runaway字面的意思非常清楚，就是電池的熱產生超出了系統(tǒng)的控制范圍，也就是說產生的熱量超過了散熱能力的時候，熱量就會堆積，逐步產生高溫，直至產生不可控的現(xiàn)象，這就是熱失控。
由于鋰離子電池存在正極的高氧化性，負極的還原性，鋰化的負極反應以及內部短路等各種風險，鋰離子電池都存在熱失控的可能性。熱失控可以分為熱失控的誘因、熱失控的發(fā)生和熱失控的擴散三個階段。
我們來看什么是的熱失控誘因。
首先，在電池的制造過程當中，由于混入了雜質，或者材料的不穩(wěn)定性導致電池長期使用產生結構破壞，在充放電過程中發(fā)生局部的熱量積累，從雜質混入到內短路發(fā)生，這個演化時間非常長，存在于電池整個生命周期，這一現(xiàn)象被稱為自引發(fā)內短路，也就是電池本身由于制造過程中的缺陷導致內短路的潛在風險。
第二，長期的高于額定電流下的快充，或者低溫充電，導致其極板表面形成金屬鋰的枝晶，這種枝晶容易刺破隔膜，導致電池內部的短路。
第三，過放可能使得銅在負極電極發(fā)生集流體的溶解，即發(fā)生負極析銅。這種銅枝晶也容易刺破隔膜，導致電池內部的短路。
第四，不合理的結構設計，或者連接條的熱阻增加，導致了局部熱量無法耗散。比方接點沒有焊好，產生了熱量，比如散熱沒有做好，局部產生了熱量，以至于所產生的熱量無法耗散出去，產生了熱失控。
這是我們目前在儲能系統(tǒng)當中可能遇到的四種產生熱失控的誘因。當然汽車可能遇到的碰撞、擠壓等等就排除掉，我們認為在儲能系統(tǒng)中不會發(fā)生這種情況。
電池在溫度不斷升高的積累過程中觸發(fā)了熱失控，這個過程，如高溫容量衰減，SEI膜的分解、負極電極的反應，隔膜熔化過程，正極反應、電極溶液的分解反應，負極粘連，在高溫下隔膜可能收縮導致的正負極的短路等。這是非常嚴重的過程，整個熱失控發(fā)展的過程分了幾個階段，我們看到有很多發(fā)熱的反應。同樣可以看到，幾種電池相比，磷酸鐵鋰電池放熱的速率是最低的，也就說磷酸鐵鋰在正極由于磷跟氧的分解而產生氧氣的電極電位會更高，所以產生氧的過程是最低的，需要更高的電位，更高的溫度，所以磷酸鐵鋰相對來說是更安全的電池。
電池熱失控的擴展，當鋰離子電池發(fā)生熱失控之后，局部電池熱失控釋放的熱量作為傳播，形成了熱失控的擴展。由于實際使用中儲能電池系統(tǒng)最小單元一般為電池模組，也就是我們所說的電池插箱，當某一個電池發(fā)生熱失控的時候，加熱了周圍的電池并造成周圍電池的熱失控，這一反應稱之為熱失控在電池組內的擴展。大家可以看到這是一個電池模組，其中有一個6號電池發(fā)生熱失控的時候，就可以把它的熱量傳遞到5號、7號、3號電池，導致這三個電池發(fā)生熱失控，隨即再傳到更遠的電池，這個過程是一個加速的過程。
以一個12串200安的電池模組為例，所具有的能量為7.68千瓦時，就是7.68度電。在熱失控釋放全部能量的情況下，1度電是3.6兆焦耳的能量，對應算下來大概等于6公斤左右的TNT當量的炸藥。大家可以想象一下，這是一個非?？膳碌倪^程，當我們12串電池的插箱，完全釋放能量的時候相當于6公斤左右的TNT炸藥，所釋放的能量是非常的巨大、危險。
我們要做的工作就是要把熱失控局限于某一個單體，也就是當一個單體發(fā)生熱失控的時候，不能蔓延到其它的電池，這也是UL9540A規(guī)定的熱失控發(fā)生時火蔓延的測試方法。
當我們發(fā)生熱失控的時候，同時它還可能發(fā)生一個次生災害。在電池發(fā)生熱失控后，電池的安全閥被打開，或者電池被爆炸，電池放出大量的可燃氣體，在達到一定濃度比的時候，可能發(fā)生燃爆，引起次生災害。這次北京416事件中，我們消防隊員沖到里面的時候實際上發(fā)生了二次爆炸，這個爆炸導致了人員的傷亡。在美國發(fā)生的事件中，是消防隊員把艙門打開的時候發(fā)生了二次爆炸，當時那個消防員沒有死，但是中國有兩名消防隊員犧牲。
我們可以看到三種不同鋰離子電池釋放氣體的比例，在磷酸鐵鋰中可以看到最大的比例是53%的二氧化碳，跟30.9%的氫氣。也就是說第一個過程是電池內部發(fā)生熱失控，熱失控發(fā)生之后安全閥被打開，可燃氣體沖了出來，這個過程中有可能發(fā)生可燃物的燃燒。
第二個過程，一部分釋放出來的氣體是可燃氣體，氫氣、一氧化碳等等氣體，當空氣中積累可燃氣體之后可能發(fā)生二次燃爆。所以當電池發(fā)生熱失控的時候不僅僅單個電池的熱失控所造成的危害，更多是整個電池系統(tǒng)發(fā)生的鏈式反應，以及這個鏈式反應發(fā)生的二次災害，所以造成損害是非常大、非常嚴重的。
電池的熱失控試驗和判定，這個在我們國標里面GB/T 36276-2018中已經規(guī)定了的熱失控和熱失控擴散試驗，在IEC 62133-2012中，模擬了電池內短路的測試方法，也就是說我們在電池內部放了一顆金屬鎳粒來模擬內部的短路，這是一個測試方法，國內可能不太常見。當然，UL9540A已經定義了當發(fā)生熱失控之后火蔓延的測試方法。
我們來看，儲能系統(tǒng)的安全設計如何來做，我們認為主要做三個方面的工作，第一個電池本身的安全設計，我們最好選用一個電池本身不會燃燒的電池，當然剩下的問題就迎刃而解了，可惜的很，目前的鋰電池熱失控的發(fā)生還是一個大概率的安全隱患，所以目前第一步，希望電池廠能夠研發(fā)不會燃燒、不會發(fā)生熱失控的電池。
第二，我們已經用了鋰電池做儲能系統(tǒng)的時候，我們如何從電池模組的安全設計與系統(tǒng)設計、BMS的設計、安全臨界值和系統(tǒng)控制策略安全性設計，電池安全狀態(tài)的評估及預警，電池及其模組的熱管理，也就是讓熱量不會積聚，熱失控的管理，熱隔離，讓熱失控不會蔓延等等，這是一個非常重要的點。
第三，當發(fā)生了熱失控，燃燒了，如何做消防。今天第一點、第三點就不談，我們來看一下第二點，也就是我們BMS能做什么。我們認為儲能安全系統(tǒng)設計，對于BMS來說大概要做四件事情：
1.參數(shù)的監(jiān)測，對電池及其參數(shù)的準確監(jiān)測，我這里加了準確兩個字，大家可能會覺得測一個電壓或者溫度誰不會呢，但是里面還是有很多問題和難點。
2.狀態(tài)的診斷，如何對電池的狀態(tài)進行診斷。
3.儲能系統(tǒng)電池的保護策略。
4.BMS本身的安全性設計，功能安全有沒有做到。
從四個方面去做，我們看一下，電池管理系統(tǒng)BMS參數(shù)監(jiān)測的要求。大家認為可能測一個電壓的溫度很簡單，其實不簡單，因為這里有一個很大的問題，在儲能系統(tǒng)中是一個高壓大電流的系統(tǒng)，具有非常強干擾的電磁環(huán)境，所以要求BMS采用具有很好的EMC抗擾能力和電壓隔離的能力。一般會采用專用集成電路芯片，具有高速的電平切換、AD轉換、數(shù)據處理等等電路，我們不太建議采用光耦器件外加AD器件來完成采樣，因為它的抗干擾能力相對較弱，也不太建議采用菊花鏈的方案，因為菊花鏈的方案成本會比較低，但是它的抗干擾能力相對也較弱，它也無法做到電池單體的數(shù)據保存、追溯跟邊緣端的計算，這個我們認為是有問題的。
第二，為了保證每一節(jié)電池的溫度都能監(jiān)測到要求溫度的監(jiān)測點和電源的監(jiān)測點為1:1，推薦+2，也就是我們要求每一節(jié)電池都能被檢測到，+2就是測試接插件的溫度。因為現(xiàn)在接插件老化導致的溫升，也是一個安全的隱患。然后要求溫度的監(jiān)測點安裝到電池極柱上，盡可能減少溫度監(jiān)測的延時和溫度差，提高準確性，對容易發(fā)生發(fā)熱的關鍵點，比方動力母線的連接點、繼電器等等添加溫度的監(jiān)測。
要求BMS的模塊提高整體的抗干擾能力，因為現(xiàn)在有些為了降低成本，可能做一個雙層板就應對一下，我認為這些成本還是必須要花的。
其次是狀態(tài)診斷，我們一般關心它的SOC、SOH，當然我們也添加了SOS，也就是說我們要關心電池的安全狀態(tài)，我們認為需要有一個電池安全狀態(tài)的評估，我們現(xiàn)在看到電池發(fā)生熱失控是一個過程。但是非常遺憾，我們現(xiàn)在無法識別到這個過程，原因就是我們不能及時的監(jiān)測電壓的變化和溫度的變化，現(xiàn)在國際上已經有報道，可以在熱失控發(fā)生之前，提前30分鐘預警，我們現(xiàn)在參加一個項目，我們把這個指標提高到45分鐘。也就是說我們的目標是未來實現(xiàn)電池發(fā)生熱失控之前45分鐘或者更早給出電池可能發(fā)生熱失控的預警，我們認為這是非常有意義的一件事情。
這個是電池安全狀態(tài)的評估，目前這個事情我們正在做，但是目前為止還沒有一個非常好的結果。
電池等效短路內組，我把它叫RSS，已有的數(shù)據表明由于雜質混入造成的引發(fā)內短路初期現(xiàn)象并不是很顯著，但是后期可能引發(fā)熱失控。同樣，過充過放所產生的枝晶導致的內短路發(fā)生過程中，電池的等效內短路電阻將逐步變小。本來我昨天花點時間把內短路的圖給畫出來，但是由于時間關系就沒來得及畫，本來是可以表達出來，就是電池發(fā)生內短路的時候整個等效電路是怎么樣的。
等效內短路電阻在電池循環(huán)過程中逐步減小，內短路的電阻越小對應的產熱功率越大，產生熱失控的可能性就越大。自引發(fā)內短路從發(fā)生開始到發(fā)展為熱失控需要很長的時間，這個時間大概在數(shù)百小時。
我這引用的一些圖和數(shù)據來自于歐陽明高團隊做的熱失控實驗，在此表示感謝。
因此，測量電池等效內短路電阻可能成為電池管理系統(tǒng)能夠具有較長反應時間來檢驗早期內短路的方法，當然目前也在探索當中。
我們講溫度，同樣實驗結果表明，在高溫濫用的實驗中，電池表面溫度達到100度左右的時候，34秒時間內溫度升高到250度，電池最大的溫度會到接近400度，這個溫升的速率大概在每秒鐘7.36度，這個溫度是非常高的。我們可以看到這么一個過程，而且我們在自己家里也做的過驗證，我們人為對一組模組進行過充試驗，我們把BMS監(jiān)測保留著，保護動作去掉，我們會發(fā)現(xiàn)大約經過了兩個多小時，電池就發(fā)生了燃燒，而且燃燒的非常厲害，這個數(shù)據我沒有把它放出來，但是數(shù)據曲線我們都有，如果有興趣，大家可以來交流。
電池溫度監(jiān)測存在的問題，我們的溫度檢測點跟實際電池內部測量到的溫度點差異非常大，還會有延遲。我們可以看到電池內部的溫度遠遠高于外部的，而且存在很大的時延。我們看這個圖，這是我們做的其中一個PACK，大家看到白的點是溫度的檢測點，我們這里有8串電池，有8個檢測點。大家有沒有注意到，這是一個銅排，實際上就是一個散熱片，如果說某一個電芯內部發(fā)生熱失控或者短路的話，里面的溫度跟外面銅片的溫度差異會非常大，實際測到的溫度是一個虛假的溫度，不是一個真實的電池內部溫度。目前所有的儲能電站的溫度檢測都是存在非常嚴重的安全隱患，因為你根本測不到里面的電芯溫度，你看到的都是假的。
我這里給出一個建議，電池并聯(lián)最好不要超過兩個，最好只有一個，一個可以直接在極柱上測量。如果兩個怎么測，沒有辦法測，我只能測到匯流條上，而這個匯流條就是一個散熱片，所以這點我們希望在未來的電池模組設計的時候，各個廠家需要特別的關注。大家可以看到，現(xiàn)在測的溫度點是什么樣的，我們希望未來會考慮如何測整個電池面，在整個電池面中，打個比方，在這個地方發(fā)生熱失控，那上面測的點和這個點完全不一樣，所以我們可能會做一個所謂溫度的矩陣來進行測量，這是我們未來考慮的。
還有一個就是絕緣檢測，我們現(xiàn)在實際的系統(tǒng)中絕緣檢測也是一個難點。
目前儲能系統(tǒng)中BMS的絕緣電阻測量采用了乒乓原理加輔助電阻測量的，這個測量存在一定的問題，當PCS有大量的Y電容或者有接地點時，其實絕緣電阻是測不準的。在很多應用場景，用戶可能把絕緣電阻監(jiān)測給關閉了，或者告警閥值設到很小，這也是一個非常大的安全隱患。
采用新技術監(jiān)測絕緣已經成為了一個亟待解決的問題，這是我們未來可能會采取的技術，檢測漏電流，而不是測它的電壓，因為測電壓確實存在很大的誤報可能性。
這是保護策略，我就不多講了，BMS的安全預警，我們認為安全預警需要BMS廠家花大力氣做的事情，預警跟告警還是不一樣的，預警是提前告知可能會發(fā)生的隱患，還是有區(qū)別的。尤其是對一些安全方面，比方電池的內短路電阻和安全狀態(tài)的預警等等。
再講一下BMS本身的功能安全，在汽車里面BMS有功能安全的要求，就是ISO 26262，到了儲能之后，好像就不存在這個問題，所以從來沒有人提儲能BMS功能安全的問題，我認為還是很有必要的，需要對BMS本身提出一些功能安全的要求，我這里簡單寫了幾個點。
本身的性能和功能安全的一些要求，包括一些故障的測試，當然這些測試主要是靠設計保證的，而這些設計主要來源于：一個是開發(fā)流程的保證，比方說V型的開發(fā)模型，具有各個環(huán)節(jié)的驗證測試。當然我們建議能否在BMS的開發(fā)中引入CMMI軟件的成熟度認證。能不能引進IEC61508的功能安全認證。我認為BMS的可靠性，設計是源頭，這些認證更規(guī)范，是它的保證。
還有故障追溯的要求，全球到目前為止已經發(fā)生了38起已經公開有報道的事故，可能沒有報道的更多。但是迄今為止，真正找到原因的幾乎沒有，很大一個問題是，我們現(xiàn)在的數(shù)據都是到了EMS保存，而發(fā)給EMS的數(shù)據顆粒非常大，基本上是幾秒鐘，甚至到1分鐘，一旦事故發(fā)生，其實根本無法追溯。所以我們認為有必要建立故障記錄的功能，我們公司在2018年的時候開發(fā)了一個黑匣子，目前正在把它商品化。
我們在黑匣子存儲介質采用了SSD，就是筆記本電腦的固態(tài)硬盤，現(xiàn)在的起步就是240G，所以基本上可以做到10年數(shù)據的存儲，一旦發(fā)生故障的時候，我們可能前面10分鐘到后面10分鐘的數(shù)據保存下來，這個存的時間間隔，整體的數(shù)據我們是500毫秒，關鍵數(shù)據，比如整組的電壓、整組的電流，關鍵的溫度點，繼電器的動作等等，我們小于50毫秒，對一些特別的控制點會控制到20毫秒。繼電器的動作時間基本上在20毫秒，也就我的分辨率做到20毫秒可以還原，當然我們也做了一些特別的處理，可以做到耐高溫和防水。
系統(tǒng)安全事故頻發(fā)已經對產業(yè)發(fā)展產生了嚴重的負面影響，416之后很多儲能電站都已經停止了運行，很多在建的項目要重新審查，新項目也會延誤，今年下半年大家都會感受壓力非常大。這個產業(yè)不成熟，相關的標準嚴重缺乏，包括電池管理系統(tǒng)的國標正在修訂中，我們也參與其中。當然安全標準沒有，所以剛才提到的安全標準是一個非常好的事情。
第二，行業(yè)的無序競爭問題，在低成本的錯誤導向下，大家招標的時候都是誰的價格低就用誰的，但是把安全忽略掉了，沒有想到安全是最大的成本。
謝謝大家！
