近兩年，中國儲能產業迎來爆發式增長。相較于其他儲能技術，由于生產技術的快速進步、制造成本的逐步下降等因素，鋰離子電池具備更顯著的競爭力，在儲能領域的市場滲透率越來越高。

作為對電池進行監控和管理的電子裝置，電池管理系統（batterymanagementsystem，BMS）是儲能系統的核心部件之一，其功能安全關系到整個鋰離子儲能電站的安全穩定運行。

為了正確高效地實現儲能系統的電池管理系統功能安全設計和驗證，針對鋰電池儲能系統BMS的產品特點，本工作從系統的危險識別和風險分析、整體安全要求確定和安全功能分配、安全完整性實現及驗證3個主要分析步驟，參照IEC61508、IEC60730-1等相關參考標準梳理了電池儲能系統BMS功能安全的分析與設計過程。

分析結果表明，選擇失效模式影響和診斷分析（FMEDA）以及風險矩陣法（RM），可靠性框圖法（RBD），適合于儲能系統電池管理系統BMS的功能安全分析和設計。

依照IEC61508、IEC60730-1等相關標準，結合儲能系統產品的特點，選擇正確的分析設計路徑，可以確保儲能系統BMS的功能安全完整性等級（SIL）有效達成，為儲能電站設計開發者提供參考。

1BMS功能安全要求簡述

根據IEC61508-4的定義，功能安全（functionalsafety）是指整體安全中與受控設備（equipmentundercontrol，EUC）和EUC控制系統相關的部分，它取決于E/E/PE安全相關系統和其他風險降低措施正確執行其功能。

要實現特定的安全相關系統，就必須有相應的安全功能（safetyfunction）實現。所謂安全功能，是指針對特定的危險事件，為實現或保持EUC的安全狀態，由E/E/PE安全相關系統或其他風險降低措施實現的功能。

對于儲能電池系統，充放電控制或保護設備是EUC，電池管理系統BMS是E/E/PE安全相關系統，需要對電池系統進行安全保護。

IEC61508所規定的安全生命周期大致可分為分析、設計、實現和操作維護幾個階段。本文主要研究儲能BMS安全相關系統的分析和設計，這兩個階段主要包括以下內容：

（1）系統分析，即確定系統的功能、結構和范圍；

（2）危險識別和風險分析，即對每個可能出現的危險事件進行分析和評估；

（3）確定整體安全要求，并對必要的危險事件進行安全功能的分配；

（4）安全完整性實現并驗證。實現和操作維護兩階段具體包括整體安裝調試、整體安全確認、整體運行維護和修理、退役或處置、整體修改和改型等過程，由于不是本文重點，下文將不再重點介紹。

2系統分析

盡管IEC61508并沒有明確要求必須將安全相關系統的設計與非安全相關系統的設計分開，但出于獨立性要求以及便于評估等方面考慮，在實施過程中一般盡量將上述兩個過程分開。

本階段的目的是說明目標產品的控制功能、應用環境、可能出現的危害和危險以及需要遵守的安全法規。本階段可明確儲能系統BMS的控制范圍、實際包含設備、外部事件、事件類型和其他相關設備系統等，可得出如圖1所示的電池系統BMS的交互模塊框圖，其中HMI是人機接口，EMS是能量管理系統。

3危險識別和風險分析

系統分析工作完成后，可根據輸出的系統分析文檔和確定的系統范圍，開展BMS危險識別和風險評估工作。

在本階段，失效模式及影響分析（failuremodeandeffectanalysis，FMEA）是一種較為有效和常用的風險分析方法。另外，當需考慮BMS對風險的偵查能力時，也可采用失效模式、影響及其診斷分析（failuremodeseffectsanddiagnosticanalysis，FMEDA）方法完成對最終數據的整理分析

FMEA的基本步驟為：

（1）列出所有部件；

（2）對每個部件，列出所有已知失效模式；

（3）對每個部件/失效模式，列出對更高層面上的影響；

（4）對每個部件/失效模式，列出影響的嚴重性/危險程度。IEC60812規定了FMEA詳細的設計過程，其附錄TableF.9提供了FMEA在一個安全相關控制系統中的應用實例。

需要注意的是，該方法可以分層分子系統進行套用，使用時需按照系統的復雜度對分層分子系統進行逐個自下而上地完成分析。元器件的失效模式和失效率數據可以從器件手冊、用戶現場反饋可信數據、先驗手冊等來源獲取，本文更加推薦前兩種數據來源。

此外，目前較常見的先驗手冊有以下幾種：

（1）MIL-HDBK-217F：美軍電子設備可靠性預計手冊，由美國國防部發布，主要針對軍用等級元器件[15]；

（2）TelcordiaBellcoreSR-332：可靠性測試標準，由TelcordiaTechnologies的Bellcore（貝爾通信實驗室）發布，在電信設備、醫療設備、電源燈商用電子產品中廣泛應用[16]；

（3）IEC61709：該標準提供了電子元器件可靠性預計的公式方法、失效模式及其分配比例等；

（4）SiemensSN29500：由Siemens發布的電子和機電元件可靠性預測的標準，可視為對IEC61709的補充。針對固定式儲能系統，本文給出如表1所示的電池系統可能發生的危險事件列表。針對識別的風險對每個功能安全相關部件進行FMEA分析，輸出分析結果，見表2。

4整體安全要求確定及安全功能分配

整體安全要求確定環節是指為達到所要求的功能安全，根據整體安全功能要求和整體安全完整性要求，為每一個危險件建立起對應的安全功能，并對每個安全功能規定安全完整性等級要求SIL，形成整體安全要求規范。

安全功能分配環節是指將整體安全要求規范中的安全功能分配至E/E/PE安全相關系統和其他風險降低措施中。IEC61508-1的7.5和7.6章節提供了整體安全要求和分配的詳細執行要求。對各個安全功能進行安全完整性等級SIL目標確定是本階段的一個核心工作。

IEC61508-5附錄B提供多種危害分析方法，如常用的有風險圖法、危險事件嚴重性矩陣、保護層分析（layerofprotectionanalysis，LOPA）等。

下文以防電擊安全功能為例，采用危險事件嚴重性矩陣，說明如何進行安全完整性等級SIL的確定。

由表1可知，防電擊安全系統由兩部分：

①BMS安全功能部分，具體分為絕緣故障監測和報警兩個子功能，分別記為SF1-1、SF1-2；

②電氣安全措施部分，將電池包外殼進行接地保護。由于上述兩部分安全措施是相對獨立的，互不影響其功能的執行結果，因此獨立的安全功能數量為2。

假設項目團隊對此危險事件的出現概率評估為中等可能性，嚴重性等級評估為嚴重的，則根據圖2所示的危險事件嚴重性矩陣（摘自IEC61508-5附錄G），BMS安全功能SF1的安全完整性等級SIL應是SIL1。

根據IEC61508規定，安全系統的運行模式分為低要求模式、高要求模式和連續模式三種。

儲能系統中的BMS執行安全功能的次數每年超過一次，屬于高要求模式，因此其安全功能的需求失效概率應采用每小時危險失效平均頻率PFH指標，可根據表3（摘自IEC61508-1）確認BMS各安全功能的安全完整性等級及要求指標。

對BMS中的各個針對危險事件的安全功能進行逐個評估后，綜合得出BMS的安全完整性等級目標。通過本階段，項目團隊可形成整體功能安全要求說明書，以及系統、軟件、硬件安全功能分配說明書。

5結語

BMS是鋰電池儲能系統的核心部件之一，其可靠性和安全性是儲能系統推廣應用過程中關鍵性技術難題。

基于國內外相關技術標準梳理以及實際工程經驗，本文詳細總結了BMS功能安全分析設計的具體過程和實用方法，具體包括系統分析、危險識別和風險分析、整體安全要求確定及安全功能分配、安全完整性實現及驗證等環節。

本文研究成果填補了國內關于儲能系統鋰電池BMS功能安全設計研究方面的空白，為電池系統的安全設計、安全驗證、安全評估工程師提供參考，對我國儲能電池系統的功能安全標準規范的研究和制定也有參考借鑒意義。本文所提供僅是其中一種可行方案，從業工程師需要根據儲能系統的實際應用場景和各公司的能力進行合理選擇。

審核編輯：湯梓紅