Fehleranalyse bei stationären Batteriespeichern

Überblick

Stationäre Batteriespeichersysteme für Photovoltaik-Anlagen spielen eine zunehmend kritische Rolle in der dezentralen Energieversorgung und Netzstabilität. Sie stellen jedoch komplexe elektrotechnische Systeme dar, deren Sicherheit und Zuverlässigkeit von präzise funktionierenden Batteriemanagementsystemen (BMS) abhängt. Aus sachverständigenperspektivischer Sicht offenbaren sich bei der praktischen Umsetzung jedoch systematische Fehlerquellen und Ausfallmoden, die zu schwerwiegenden Konsequenzen führen können – von Kapazitätsverlust bis hin zu thermalen Notfällen. Diese Analyse behandelt typische BMS-Probleme, funktionale Sicherheitsanforderungen nach internationalem Standard und methodische Fehleranalyseverfahren, um Ingenieurinnen und Ingenieuren sowie Projektverantwortlichen einen praxisorientierten Überblick zu geben.

BMS-Fehlerquellen

Das Batteriemanagementsystem überwacht zentrale Batteriegrößen und koordiniert je nach System Schutz- und Betriebsfunktionen [8]. Bei der Fehleranalyse sind Messung, Kommunikation, Steuerung und Leistungspfad getrennt zu betrachten.

Zellspannungsüberwachung und Messfehler

Ungenaue Zellspannungsmessung kann die Erkennung von Über- und Unterspannung beeinträchtigen. Das BMS erfasst Einzelzellspannungen mit dafür vorgesehenen Messschaltungen; Messgenauigkeit und Abschaltschwellen sind anhand der Zell- und Bauteilvorgaben festzulegen [2]. Mögliche Fehlermechanismen sind:

• Offset-Fehler und Kalibrierdrift: Messketten und Temperatursensoren können abhängig von Bauteil, Einbau und Betriebsbedingungen abweichen. Ob eine relevante Drift vorliegt, lässt sich nur mit dokumentierten Referenzmessungen und den Herstellervorgaben beurteilen; aus der hier vorliegenden Quellenlage folgt kein konkreter Schadensfall.
• Messfehler in der Messkette: Leitungsführung, elektromagnetische Störungen und Transienten können die Erfassung von Zellspannungen beeinträchtigen. Ob und in welchem Ausmaß dies bei einer Anlage auftritt, ist durch Messung am konkreten System zu klären [3].
• ADC-Quantisierungsfehler: Die Auflösung eines Messwandlers begrenzt, wie fein Zellspannungen digital abgebildet werden können. Der tatsächliche Messfehler hängt zusätzlich von Referenz, Eingangsbereich, Kalibrierung und Temperatur ab; ein allgemeiner Wert von ±0,5 mV lässt sich für BMS nicht angeben.

IEC 62619:2022 behandelt Sicherheitsanforderungen und Prüfungen für Lithium-Zellen und -Batterien in industriellen und stationären Anwendungen. Aus der öffentlich zugänglichen Normbeschreibung lassen sich weder eine allgemeine Kalibrierfrist noch ein universeller Sensordriftwert nach einer bestimmten Anzahl von Betriebszyklen ableiten [4].

Temperatursensorik: Ausfallmoden und thermische Trägheit

Die Temperaturüberwachung ist die zweite Säule des BMS-Schutzsystems, dient jedoch nicht nur zur Prävention von Thermal Runaway, sondern auch zur Optimierung der Ladedynamik und Lebensdauerprognose. Typische Fehlerquellen sind:

• Sensor-Ausfälle und offene Leitungen: Temperaturmessungen können durch Leitungsbruch, Kontaktfehler oder defekte Sensoren unplausibel werden. Ob und wie das BMS darauf mit einer Abschaltung oder anderen Schutzreaktion antwortet, ist für das konkrete System zu spezifizieren und zu testen.
• Kalibrierungsabweichungen: Temperaturmesswerte sind nur mit Kenntnis von Sensortyp, Einbauort und zulässiger Messabweichung aussagekräftig. Ein pauschaler Offset oder ein konkreter Degradationsfall lässt sich daraus nicht ableiten; bei Verdacht sind Messkette und Schutzreaktion gegen unabhängige Referenzen zu prüfen.
• Thermische Trägheit und räumliche Erfassung: Ein Sensor misst nur an seinem Einbauort. Für die Bewertung lokaler Erwärmung sind Sensorposition, thermische Kopplung und Systemauslegung zu berücksichtigen. IEC TS 62933-2-2:2022 behandelt Anwendung und Leistungsprüfung von EES-Systemen, nicht eine allgemeine Mindestzahl von Temperatursensoren [5].
• Temperatur-Offset und Drift: Abweichungen müssen für den eingesetzten Sensor und die konkrete Messkette anhand von Herstellerangaben und Referenzmessungen bewertet werden. Eine allgemeine jährliche Drift von 0,1–0,3 °C ist hier nicht belegt.

Kommunikationsfehler: CAN-Bus und Master-Slave-Ausfälle

In modularen Speichersystemen können verteilte Messmodule ihre Daten an eine zentrale BMS-Einheit übertragen. CAN ist eine mögliche, nicht die einzige Kommunikationsarchitektur; die konkrete Schnittstelle und Isolation sind anhand der Herstellerdokumentation zu prüfen [6].

• CAN-Bus-Unterbrechungen und Timing-Fehler: Bei einer CAN-Verbindung können etwa Leitungsunterbrechungen, fehlende oder fehlerhafte Terminierung und elektromagnetische Störungen die Übertragung beeinträchtigen. Für High-Speed-CAN mit Linienstruktur empfiehlt CAN in Automation 120-Ω-Abschlüsse an beiden Busenden; dies ist keine pauschale Vorgabe für jede BMS-Schnittstelle [7].
• Single-Point-Failure im CAN-Transceiver: Je nach Architektur kann der Ausfall eines Kommunikationsbausteins die Übertragung von Messwerten unterbrechen. Ob dadurch eine Sicherheitsfunktion beeinträchtigt wird, muss für das konkrete System per Fehleranalyse und Funktionstest nachgewiesen werden; eine Redundanz- oder SIL-Stufe folgt nicht allein aus der CAN-Topologie.
• Datenverlust und Nachrichtenpriorisierung: CAN vergibt den Bus anhand der Nachrichtenpriorität und erkennt Übertragungsfehler. Bei Störungen oder hoher Last können sich Nachrichten verzögern; für eine Sicherheitsfunktion sind deshalb erlaubte Verzögerung, Timeout und Fehlerreaktion systemspezifisch festzulegen [19]. Die für Straßenfahrzeuge entwickelte ISO 26262 ist keine pauschale Vorgabe für stationäre Speicher.
• Latenz und Echtzeit-Anforderungen: Zeitkritische BMS-Meldungen müssen innerhalb der für die konkrete Schutzfunktion festgelegten Frist verarbeitet werden. Eine allgemeine 100-ms-Grenze für stationäre Speicher ist hier nicht belegt.

Softwarefehler: Charge-Control-Algorithmen und Cell-Balancing

Die BMS-Firmware steuert komplexe Algorithmen zur Ladungsverwaltung, Zellausgleich und Zustandsschätzung. Typische Ausfallmoden sind:

• Fehlerhafte Ladealgorithmen: Übergänge zwischen Laden, Entladen und Ruhezustand sind mit definierten Eingangs- und Grenzbedingungen zu testen. Ein unbestätigter Firmware-Vorfall wird nicht als dokumentierte Fallstudie angeführt.
• Cell-Balancing-Probleme: Ungleichgewichte zwischen Zellen können Anlass zur Prüfung von Messung und Balancing-Logik sein. Ob ein bestimmter Spannungsunterschied ein Fehler ist, hängt von Zellchemie, Betriebszustand und Herstellervorgaben ab; ein allgemeiner Schwellenwert von 100 mV ist nicht belegt.
• Firmware-Bugs bei Übergangszuständen: Zustandswechsel wie Laden, Entladen und Fehlerreaktion müssen für das konkrete BMS definiert und getestet werden. Gleichzeitige Grenzwertverletzungen verdienen besondere Aufmerksamkeit; aus der angeführten herstellerspezifischen Softwaredokumentation folgt keine pauschale IEC-61508-Testvorgabe.
• State-of-Charge (SOC) und State-of-Health (SOH): Diese Schätzgrößen unterstützen Betriebsführung und Zustandsbewertung. Fehler können etwa aus Strommessung, Integrationsdrift oder nicht passenden Modellannahmen entstehen; unmittelbar sicherheitsrelevante Grenzwerte sind davon zu unterscheiden [8].

Komponenten-Ausfälle: Relais, Schütze, MOSFETs und Strommessung

Das BMS steuert ein Array von Leistungsschaltern (Relais, Schütze oder MOSFETs) zur Aktivierung/Deaktivierung von Lade- und Entladepfaden. Typische Ausfälle sind:

• Relais- und Schützfehler: Kontaktverschleiß oder Verschweißen kann die vorgesehene Trennung beeinträchtigen. Halbleiterschalter haben andere Verlust-, Ansteuer- und Fehlereigenschaften; ob sie eine geeignete Alternative sind, muss für den konkreten Stromkreis und das Schutzkonzept bewertet werden.
• Strommessfehler: Hall- und Shunt-basierte Lösungen unterscheiden sich in Messbereich, Isolation, Temperaturverhalten und Kalibrierbedarf. Die erreichbare Genauigkeit hängt von Bauteil und Messkette ab; ein pauschaler Driftwert von ±5–10 % ist nicht belegt [9].
• Isolationsfehler: Zwischen Hochvolt- und Niedervolt-Stromkreisen können definierte Isolationsbarrieren erforderlich sein. Die konkrete Fehleranalyse muss Bauteile, Verschaltung und Prüfbedingungen berücksichtigen; unzureichende Schirmung von Signalleitungen ist nicht mit einer fehlenden galvanischen Isolationsbarriere gleichzusetzen.

Funktionale Sicherheit

Die funktionale Sicherheit ist nicht nur ein regulatorisches Thema, sondern eine ingenieurtechnische Disziplin, die systematisch verankert werden muss, um Risiken sicherheitskritischer Funktionen zu quantifizieren und zu mindern. Der internationale Standard IEC 61508 „Functional Safety of Electrical/Electronic/Programmable Electronic Safety-Related Systems" definiert ein lebenszyklusbasiertes Konzept, das von der Anforderungsanalyse bis zur betrieblichen Wartung reicht [10].

Safety Integrity Levels (SIL) und quantitative Anforderungen

IEC 61508 beschreibt SIL 1 bis 4 als Anforderungsstufen für einzelne Sicherheitsfunktionen, nicht als pauschales Label einer Speichergröße oder eines gesamten BMS. Ob und mit welcher Sicherheitsintegrität eine konkrete Schutzfunktion auszulegen ist, folgt aus Gefährdungs- und Risikobeurteilung sowie gegebenenfalls einschlägigen Produkt- und Sektornormen [1].

SIL-Stufen im Grundsatz:

• SIL 1 bezeichnet die niedrigste der vier SIL-Anforderungsstufen. Daraus folgt keine automatische Eignung für eine bestimmte Speichergröße [1].
• SIL 2 verlangt eine höhere Integrität der jeweiligen Sicherheitsfunktion als SIL 1; es ist kein allgemeiner Standard für mittlere PV-Speicher [1].
• SIL 3 bezeichnet eine nochmals höhere Anforderungsstufe, ist aber keine generelle Pflicht allein wegen hoher Speicherkapazität oder Gebäudenutzung [1].
• SIL 4 ist die höchste der vier Stufen. Eine Zuordnung zu einer konkreten Anwendung setzt auch hier eine funktionsbezogene Risikobeurteilung voraus [1].

Quantitative Zielwerte und der passende Ausfallkennwert werden für die definierte Sicherheitsfunktion und ihren Anforderungsmodus festgelegt. Aus einer SIL-Zahl allein lässt sich weder eine allgemeine BMS-Ausfallrate noch eine statistische Ausfallzeit des gesamten Speichers berechnen [1].

Lebenszykluskonzept und V-Modell

Ein funktionaler Sicherheitsnachweis verknüpft Anforderungen, Entwurf, Prüfungen und Validierung über den Lebenszyklus. IEC 61508 beschreibt dafür Sicherheitslebenszyklen; eine einzige schematische V-Modell-Darstellung ersetzt keine Prüfung der tatsächlich anwendbaren Anforderungen [1].

• Linke Seite des V (Anforderungen): Konzept/Umfang → Hazard-Analyse und Risikobewertung → Safety Requirements Specification (SRS) → System- und Architektur-Design → Detailliertes Hardware- und Software-Design → Implementierung.
• Rechte Seite des V (Verifikation/Validierung): Unit-Tests → Integrationstests → Systemtests → Validierung gegen Anforderungen → Funktionale Sicherheitsbewertung (FSA).

Für jede relevante Sicherheitsanforderung sind geeignete Prüf- und Nachweise zu planen. Eine Zuordnung von Anforderung und Nachweis unterstützt die Rückverfolgbarkeit, belegt aber für sich allein noch keine vollständige Testabdeckung [1].

Systematic Capability und Design-Reviews

Systematische Fehler können unter anderem durch unzutreffende Anforderungen, Entwurfsfehler oder Softwarefehler entstehen. IEC 61508 behandelt sie über den Sicherheitslebenszyklus; welche konkreten Maßnahmen erforderlich sind, muss anhand der anwendbaren Anforderungen geprüft werden [10].

• Design-Reviews: Fachliche Überprüfungen können Entwurfsannahmen, Schnittstellen und Sicherheitsanforderungen hinterfragen. Der nötige Grad der Unabhängigkeit und die Termine ergeben sich aus dem konkreten Sicherheitsprozess; eine allgemeine Pflicht zu unabhängigen Reviews nach jeder Designphase wird hier nicht behauptet.
• Code-Standards und statische Analyse: Geeignete Entwicklungsregeln und Werkzeuge können systematische Softwarefehler vermindern. Ihr Einsatz und die erforderliche Tiefe sind aus der jeweiligen Sicherheitsanforderung abzuleiten; statische Analyse allein beweist keine Fehlerfreiheit.
• Architectural Constraints: Eine festgelegte Sicherheitsfunktion benötigt einen nachvollziehbaren Architektur- und Fehlernachweis. Redundanz, Fehlertoleranz und diagnostische Abdeckung sind mögliche Bausteine, aber keine pauschalen Merkmale jeder Speichergröße [1].

Architectural Constraints: Redundanz und Diagnostic Coverage

Die geeignete Architektur hängt von den definierten Schutzfunktionen und der jeweiligen Risikobeurteilung ab [1]:

• Hardware Fault Tolerance (HFT): Sie beschreibt, ob eine Sicherheitsfunktion bei bestimmten Hardwarefehlern weiter ausgeführt werden kann. Welche Fehlertoleranz erforderlich und nachgewiesen ist, muss für die konkrete Funktion und Architektur geprüft werden.
• Diagnostic Coverage (DC): Diagnosen können gefährliche Fehler erkennen und eine vorgesehene Reaktion auslösen. Ein hoher Prozentwert allein belegt jedoch weder die Wirksamkeit der gesamten Schutzfunktion noch eine bestimmte SIL-Stufe; Fehlerannahmen und Tests sind zu dokumentieren.
• Single-Point-Failures: Ob der Ausfall eines einzelnen Bauteils eine Schutzfunktion unwirksam macht, ist anhand der konkreten Verschaltung, Diagnostik und Reaktion zu analysieren. Eine allgemeine Redundanzpflicht lässt sich daraus nicht ohne Risikobeurteilung ableiten.

Aus der Nennkapazität von 100 kWh allein folgt weder eine bestimmte SIL-Stufe noch eine feste Zahl von Strom- oder Temperatursensoren oder eine vorgegebene CAN-Architektur [1].

Safe Failure Fraction (SFF) und FMEDA

Die SFF beschreibt den Anteil der Ausfallraten sicherer sowie gefährlicher, automatisch erkannter Fehler an der gesamten betrachteten Ausfallrate [11]:

SFF = (λS + λDD) / (λS + λDD + λDU)

Wobei λS = sichere Ausfallrate, λDD = gefährliche erkannte Ausfallrate, λDU = gefährliche unerkannte Ausfallrate.

Die Safe Failure Fraction kann Teil eines Hardware-Sicherheitsnachweises sein. Ob und mit welchen Grenzwerten sie im konkreten Bewertungsweg anzuwenden ist, muss anhand der einschlägigen Normfassung und der tatsächlichen Gerätearchitektur geprüft werden; daraus folgt keine allgemeine SIL-Einstufung eines BMS.

FMEA und FTA

Für die Analyse möglicher Fehler eignen sich unter anderem FMEA (Fehlerarten- und Einflussanalyse) und FTA (Fehlerbaumanalyse). Beide betrachten das System aus unterschiedlichen Richtungen; welche Methode angemessen ist, hängt von Fragestellung und Systemgrenzen ab [12] [13].

FMEA: Bottom-up-Fehleranalyse

Die FMEA ist ein induktives, komponentenorientiertes Verfahren, das von unten nach oben arbeitet [12]:

• Ansatz: Für ausgewählte Komponenten und Funktionen, etwa Messung, Kommunikation oder Abschaltung, werden relevante Fehlerarten und ihre möglichen Auswirkungen untersucht. Eine FMEA kann nicht ohne Weiteres sämtliche denkbaren Fehler vollständig erfassen.
• Prozess: Für jede Komponente werden dokumentiert:
• Fehlerart (Failure Mode): z. B. „ADC-Offset-Drift außerhalb der für das konkrete System festgelegten Toleranz"
• Fehlerursache: z. B. „Alterung, Temperaturgradienten"
• Fehlerauswirkung: z. B. „Unerkannte Überspannung einzelner Zelle"
• Häufigkeit (Occurrence, O): beispielhafte 1–10-Skala (1 = sehr selten, 10 = häufig)
• Schweregrad (Severity, S): beispielhafte 1–10-Skala (1 = unbedeutend, 10 = kritisch/sicherheitsgefährdend)
• Erkennbarkeit (Detection, D): beispielhafte 1–10-Skala (1 = sicher erkannt, 10 = nicht erkannt)
• Risikoprioritätszahl (RPN): In manchen FMEA-Verfahren werden Auftreten, Bedeutung und Entdeckbarkeit multipliziert. Die Zahl kann intern bei der Priorisierung helfen, ersetzt aber keine Sicherheitsbewertung und ist ohne definierte Skalen nicht zwischen Projekten vergleichbar.
• Vorteil: Eine FMEA strukturiert bekannte und plausibel betrachtete Fehlerarten. Ihre Vollständigkeit hängt von Systemabgrenzung, Erfahrung und Datenlage ab; eine lückenlose Erfassung ist nicht automatisch gewährleistet.
• Begrenzung: Die FMEA zeigt nicht, wie verschiedene Fehler kombiniert zu kritischen Systemversagen führen können.

FTA: Top-down-Fehleranalyse

Die FTA ist ein deduktives, systemorientiertes Verfahren, das von oben nach unten arbeitet [13]:

• Ansatz: Man beginnt mit einem klar definierten unerwünschten Ereignis, etwa „Die vorgesehene Abschaltung bei Übertemperatur bleibt aus“, und untersucht, welche Kombination von Teilfehlern dazu führen kann.
• Logische Zerlegung: Das Top-Event wird durch logische UND/ODER-Gatter in Sub-Events zerlegt, bis auf Komponentenausfalleben herabgestiegen wird.
• Vereinfachtes Beispiel einer Fehlerbaumanalyse (kein Nachweis für eine reale Anlage):
• Top-Event: Vorgesehene Abschaltung bei Übertemperatur bleibt aus.
• ODER-Verknüpfung: Übertemperatur wird nicht erkannt, ein Abschaltbefehl bleibt aus oder das Trennelement öffnet nicht.
• Erkennungspfad: Sensor defekt oder Messwert falsch interpretiert.
• Befehlspfad: Übertragung gestört oder Steuerlogik löst die Abschaltung nicht aus.
• Trennpfad: Schütz öffnet nicht oder dessen Ansteuerung versagt.
• Quantifizierung: Eine belastbare Wahrscheinlichkeit setzt geeignete Ausfalldaten, die tatsächliche logische Verknüpfung, Abhängigkeiten und diagnostische Abdeckung voraus. Aus einer schematischen Fehlerliste kann keine verlässliche Thermal-Runaway-Wahrscheinlichkeit berechnet werden.
• Vorteil: Eine Fehlerbaumanalyse kann Fehlerkombinationen und kritische Pfade sichtbar machen. Sie kann einen Sicherheitsnachweis unterstützen, ersetzt aber weder die Risikoanalyse noch einen vollständigen SIL-Nachweis.
• Begrenzung: Die Aussagekraft einer FTA hängt vom gewählten Top-Event, den Modellannahmen, Daten und gemeinsam verursachten Fehlern ab.

Kombinierter Ansatz: Rekursive FTA-FMEA

Kombinierter Ansatz: FMEA kann relevante Fehlerarten sammeln [12]; FTA kann für ausgewählte unerwünschte Ereignisse deren Zusammenwirken untersuchen [13]. Beide Methoden ergänzen sich, ohne allein einen vollständigen System- oder Sicherheitsnachweis zu liefern.

Illustratives Prüfszenario: Wenn eine Fehleranalyse den Verlust der CAN-Kommunikation als kritischen Pfad identifiziert, können FMEA und Fehlerbaumanalyse gemeinsam helfen, Ausfallursachen, Erkennung und sichere Reaktionen zu prüfen. Ob zusätzliche Kommunikationswege sinnvoll sind, ist für die konkrete Sicherheitsfunktion und Architektur zu bewerten; dies ist kein dokumentierter Herstellerfall.

Sicherheitsaspekte

Für netzintegrierte Energiespeichersysteme beschreiben IEC 62933-5-1:2024 allgemeine Sicherheitsbetrachtungen und IEC 62933-5-2:2025 zusätzliche Anforderungen für elektrochemische Speichersysteme [14] [16]. IEC TS 62933-2-2:2022 behandelt dagegen Anwendungen und Leistungsprüfungen, nicht die hier behaupteten spezifischen BMS-Schutzfunktionen [5].

Thermal Runaway-Prävention

Thermal Runaway ist eine sich selbst verstärkende exotherme Reaktion. Welche Maßnahmen zur Risikominderung erforderlich sind, muss für Zellchemie, Batterie, Einbauort und Gesamtsystem bewertet werden; IEC 62933-5-1/-5-2 behandeln Sicherheitsbetrachtungen auf Systemebene [14] [16].

• Zellspannungsüberwachung: Die zulässigen Spannungen und Reaktionen auf eine Überschreitung müssen aus Zell- und Systemdaten sowie den Herstellervorgaben festgelegt werden. Ein allgemeiner Überladegrenzwert für alle LFP-Zellen wird hier nicht angegeben. Ein veröffentlichter CATL-LFP-Datensatz nennt für eine konkrete Zelle einen Betriebsbereich von 2,5 bis 3,6 V; auch dieser Produktwert darf nicht auf alle Zellen übertragen werden [18].
• Fehlerreaktion: Erkannte kritische Zustände müssen die im Schutzkonzept festgelegte Reaktion auslösen. Eine Abschaltung über Schütz oder Halbleiter kann Teil davon sein; nicht jede solche Abschaltung ist eine galvanische Trennung.
• Thermisches Management: Sensorik, Kühlung und Grenzwerte sind aus Zellchemie, Packdesign und Risikobeurteilung abzuleiten. Aus den öffentlich zugänglichen IEC-Beschreibungen lässt sich keine allgemeine Pflicht zu redundanten Temperatursensoren für jeden Speicher ableiten [14] [16].

Elektrische Sicherheit der Leistungselektronik

IEC 62477-1:2022 erfasst Sicherheitsanforderungen für leistungselektronische Umrichtersysteme und bestimmte zugehörige Komponenten. Daraus folgt nicht automatisch, dass jede Einzelanforderung unverändert für Batteriepack und BMS gilt; für die konkrete Prüfung sind Anwendungsbereich, Produktnorm und Herstellerunterlagen maßgeblich [15].

• Isolations- und Spannungsfestigkeitsprüfungen: Ob sie erforderlich sind und mit welchem Verfahren beziehungsweise welcher Prüfspannung sie durchgeführt werden dürfen, muss für das konkrete Gerät und die einschlägige Normfassung festgelegt werden. Dieser Artikel gibt keine pauschale Prüfanweisung für stationäre Speicher.
• Fehlerstromschutz und Schutzleiter: Erforderliche Schutzmaßnahmen hängen von Netzform, Umrichter, Installation und anwendbaren Installationsregeln ab. Eine pauschale EN-62423-Pflicht für sämtliche RCDs oder ein angeblicher konkreter Schadensfall wird hier nicht behauptet.
• Systemebene: Schnittstellen zwischen Batterie, Umrichter, Steuerung und Netz sind im Sicherheitskonzept zu betrachten [14] [16]. IEC TS 62933-3-2:2023 betrifft dagegen Planung und Leistungsbewertung bestimmter EES-Anwendungen, nicht eine pauschale Not-Aus- oder Netzfreischaltungspflicht [17].

Hochvolt-Prüfungen

Prüfungen können helfen, Annahmen über Isolation und Schutzfunktionen am konkreten Speichersystem zu überprüfen. Prüfverfahren, Grenzwerte und Zuständigkeiten sind vorab aus der anwendbaren Normfassung, der Geräteauslegung und den Herstellerunterlagen festzulegen.

Isolationsprüfungen: Isolationswiderstandsmessung und Durchschlag

Eine Spannungsfestigkeitsprüfung (Hipot-Test) prüft unter festgelegten Bedingungen, ob die Isolation einer definierten Beanspruchung standhält. Prüfaufbau und -spannung dürfen nicht aus der bloßen Bezeichnung der Prüfung abgeleitet werden:

• Isolationswiderstandsprüfung: Messverfahren, Prüfspannung und zulässiger Widerstand hängen vom konkreten System und den anwendbaren Anforderungen ab. Eine pauschale Prüfspannung oder ein allgemeiner Mindestwert für alle stationären Speicher wäre irreführend; die Prüfung gehört in qualifizierte Hände.
• Spannungsfestigkeitsprüfung: Ob sie im konkreten System erforderlich und zulässig ist, welche Stromkreise getrennt werden müssen und welche Prüfspannung gilt, muss aus den einschlägigen Vorgaben und Herstellerunterlagen abgeleitet werden. Ungeeignete Prüfspannungen können Komponenten beschädigen; dieser Artikel gibt keine pauschale Prüfanweisung.
• Schirmung, Leitungsführung und Massebezüge können Messergebnisse beeinflussen. Bei auffälligen Werten sind Prüfaufbau und Systemdokumentation zu kontrollieren; ein konkreter Großanlagenfall ist hier nicht nachgewiesen.

Funktionale Sicherheitsprüfungen: Diagnostic Coverage und Fault Injection

Elektrische Prüfungen und Tests der definierten Schutzfunktionen sind getrennt zu planen und gemäß der konkreten Systemauslegung auszuwerten:

• Verifikation und Validierung definierter Schutzfunktionen: BMS-Software und Hardware sind gegen die jeweils festgelegten Anforderungen zu testen. Prüfgrenzen, Auslösebedingungen und sichere Reaktionen müssen aus der konkreten Systemauslegung stammen; ein pauschaler Zellspannungsgrenzwert oder eine bestimmte SIL-Stufe ist hier nicht vorgegeben.
• Diagnosetests: Es ist zu prüfen, ob das BMS definierte Fehler erkennt und die vorgesehene sichere Reaktion auslöst. Wird etwa ein Messfehler simuliert, darf die Prüfung nicht allein das Erkennen, sondern muss auch die tatsächlich spezifizierte Schutzreaktion bewerten; ein unspezifiziertes Freigeben des Ladens ist kein sicherer Standardzustand.
• Fault-Injection-Tests: Geeignete Fehler können in einer kontrollierten Testumgebung simuliert werden, um Annahmen aus der Fehleranalyse zu überprüfen. Art, Umfang und Akzeptanzkriterien richten sich nach der Sicherheitsfunktion; eine einzelne Simulation belegt weder die gesamte diagnostische Abdeckung noch eine SIL-Einstufung.

Betriebsprüfungen: Temperaturzyklierung und Lebensdauer-Tests

Betriebs- und Umwelttests sind abhängig von Zelltyp, Batterieanwendung, Normausgabe und Herstellerfestlegungen zu planen. Aus den hier geprüften öffentlich zugänglichen Quellen lässt sich kein einheitliches Prüfprogramm für alle stationären Speicher ableiten.

• Temperaturprüfungen: Der zulässige Bereich und die Zyklen müssen aus der konkreten Prüfspezifikation stammen. Eine feste Spanne von −10 °C bis +60 °C wird hier nicht als allgemeine Normvorgabe behauptet.
• Alterungsprüfungen: Lade-/Entladezyklen und BMS-Schutzfunktionen können über definierte Prüfprogramme beobachtet werden. Zahl und Bedingungen der Zyklen sind projektspezifisch festzulegen; eine pauschale Mindestzahl wird hier nicht behauptet.

Diagnose im Betrieb

Im Betrieb können Messwerte und Fehlermeldungen zur Zustandsbewertung herangezogen werden. Welche Überwachung kontinuierlich erfolgt und welche Diagnosefunktionen vorhanden sind, hängt vom konkreten Speichersystem ab.

Echtzeit-Monitoring: Kontinuierliche Erfassung und Anomalieerkennung

Je nach Produkt und Ausstattung können BMS oder angeschlossene Überwachungssysteme folgende Größen erfassen oder schätzen:

• Zellspannungen, Modul-Spannungen, Gesamtpackspannung erfassen
• Lade-, Entlade- und Standby-Ströme messen
• Zell- und Modul-Temperaturen überwachen
• State-of-Charge (SOC) und State-of-Health (SOH) schätzen

Ob Messdaten das BMS verlassen und an ein Portal oder eine Cloud übertragen werden, hängt vom Produkt und der Betreiberkonfiguration ab. Für eine Diagnose sind Herkunft, Zeitstempel und Verfügbarkeit der tatsächlich erhobenen Daten zu prüfen.

Anomalieerkennung und Prognose

Messwerte und Fehlerhistorie können eine Auffälligkeit sichtbar machen. Ob Regeln, Trendanalyse oder statistische Modelle eingesetzt werden, hängt vom konkreten BMS und der verfügbaren Datenqualität ab; eine automatische Fehlerprognose ist nicht allgemein vorauszusetzen.

• Abweichungsanalyse: Gemessene Parameter werden mit geeigneten Referenzwerten unter vergleichbaren Betriebsbedingungen betrachtet. Eine Abweichung ist zunächst ein Prüfhinweis, kein eindeutiger Nachweis eines Defekts.
• Trendanalyse: Wiederholte Messungen können eine Änderung der Zellspannungsdifferenzen zeigen. Ohne vergleichbare Ladezustände, Temperaturen und Messbedingungen lässt sich daraus zu keinem pauschalen Zeitpunkt ein Balancing-Fehler ableiten.
• Prognosen: Einige Systeme können aus geeigneten Messreihen Hinweise für Wartung oder weiterführende Prüfungen ableiten. Eine belastbare Ausfallwahrscheinlichkeit benötigt ein validiertes Modell und passende Daten; sie wird hier nicht pauschal für jedes BMS behauptet.

Fehlerreaktionen und Grenzen automatischer Diagnose

Ein BMS kann auf erkannte Fehler nach seiner spezifizierten Schutzlogik reagieren. Welche Schritte automatisiert möglich und sicher sind, hängt von der tatsächlichen Hardware und Systemarchitektur ab.

• Modultrennung: Manche Architekturen können ein betroffenes Modul vom übrigen System trennen. Eine selektive Trennung einzelner Zellen oder ein Weiterbetrieb des restlichen Packs ist dagegen keine allgemeine BMS-Funktion und muss für das konkrete Gerät nachgewiesen werden.
• Angepasste Betriebsgrenzen: Ein System kann unter definierten Bedingungen Strom oder Leistung begrenzen. Solche Maßnahmen müssen herstellerseitig vorgesehen und geprüft sein; sie ersetzen keine sichere Abschaltung bei kritischen Fehlern.

Illustrative Prüfszenarien

Illustratives Prüfszenario 1: Temperatursensor-Drift

Angenommen, ein Temperatursensor liefert abweichende Werte. Dann sind Sensortyp, Einbauort, Vergleichsmessung, Grenzwerte und die Reaktion des BMS zu prüfen. Dieses Prüfszenario beschreibt keinen belegten 100-kWh-Schadensfall und keine nachgewiesene Kalibrierfrist.

Illustratives Prüfszenario 2: Ausfall eines CAN-Transceivers

Angenommen, die Verbindung zwischen Master und Slave-Modulen fällt aus. Die Fehleranalyse muss klären, ob die Schutzfunktion weiter arbeitet oder ein sicherer Zustand erreicht wird. Redundante Kommunikation ist eine mögliche Entwurfsoption, aber weder eine pauschale SIL-Voraussetzung noch ein belegter Zuverlässigkeits- oder Kostengewinn.

Illustratives Prüfszenario 3: Firmware-Änderung beim Ladealgorithmus

Eine Änderung des Ladealgorithmus kann als Testfall für Lastwechsel, Zellspannungsüberwachung und Zustandsübergänge dienen. Erforderlich sind definierte Eingangsgrößen, erwartete Reaktionen und Regressionstests. Das ist kein nachgewiesener Schadensfall eines bestimmten Herstellers.

Architekturvergleich: zentralisiertes und Master-Slave-BMS

Die folgende Gegenüberstellung beschreibt mögliche Entwurfsprinzipien, keinen gemessenen Vergleich zweier realer 100-kWh-Systeme.

• Zentralisiertes System: Eine zentrale Einheit bündelt die Überwachung. Ein Ausfall dieser Einheit kann viele Funktionen gleichzeitig betreffen; die tatsächliche Fehlertoleranz hängt von Schutzkonzept, Diagnostik und getesteter Reaktion ab.
• Master-Slave-System: Verteilte Messmodule übermitteln Daten an eine Master-Einheit. Die Aufteilung kann Wartung und Skalierung beeinflussen, bringt aber Kommunikations- und Koordinationsfehler als zusätzliche Prüfthemen mit sich. Eine bestimmte SIL-Stufe folgt daraus nicht.

Die Wahl einer BMS-Architektur kann nicht allein aus einer Schwelle von 50 kWh abgeleitet werden. Maßgeblich sind die definierten Schutzfunktionen, Systemgrenzen, Fehleranalysen und Nachweise.

Illustratives Prüfszenario: Schirmung und unerwartete Ableitströme

Bei auffälligen Messwerten sind Messaufbau, Isolationskonzept, Leitungsführung und zulässige Grenzwerte systematisch zu prüfen. Ohne zugänglichen Originalbericht wird hier weder ein konkreter 500-kWh-Fall noch ein gemessener Stromwert oder eine Abhilfemaßnahme behauptet.

Fazit

Fehleranalysen bei stationären Batteriespeichern betreffen Sensorik, Kommunikation, Software und Leistungskomponenten. Schon ein einzelner Fehler kann eine Schutzfunktion kritisch beeinträchtigen; Kombinationen und gemeinsame Ursachen müssen ebenfalls berücksichtigt werden. Ob ein konkretes Problem vorliegt, erfordert Messungen und eine systembezogene Bewertung.

IEC 61508 und die IEC-62933-Reihe bieten unterschiedliche, jeweils anwendungsabhängige Rahmen für funktionale Sicherheit und Energiespeichersysteme. Nachvollziehbare Anforderungen, Tests und Fehleranalysen können die Bewertung unterstützen; FMEA und Fehlerbaumanalyse ergänzen sich, ersetzen aber keinen vollständigen Sicherheitsnachweis.

Redundanz, Diagnose und Überwachung können zur Risikominderung beitragen, wenn sie für konkrete Schutzfunktionen ausgelegt und geprüft sind. Eine bestimmte BMS-Architektur garantiert weder SIL 2/3 noch eine allgemeine Verbesserung der Zuverlässigkeit; Kosten- und Wirksamkeitsangaben benötigen einen projektspezifischen Nachweis [1].

Weiterentwicklungen können die Auswertung von Messdaten und die Kommunikation zwischen BMS-Modulen betreffen. Ob eine neue Diagnosemethode oder Architektur einen Sicherheitsgewinn bringt, ist jedoch am konkreten System nachzuweisen.

Bei der Auswahl eines Speichers sollten Betreiber und Fachkräfte Schutzkonzept, dokumentierte Prüfungen, Wartbarkeit und Herstellerangaben vergleichen. Höherer Aufwand für Sensorik oder Tests kann sinnvoll sein, belegt aber ohne projektspezifische Daten weder längere Lebensdauer noch geringere Kosten oder einen bestimmten wirtschaftlichen Erfolg.

Literaturverzeichnis