Hallo zusammen,
da das Thema "Sicherheitsanforderungen an Lithiumbatterien" in einem anderen Thread themenfremd war, möchte ich es hier noch einmal gezielt aufgreifen.
Warum?
Ich bin in meiner beruflichen Tätigkeit oft genau mit diesen Themen konfrontiert, wir entwickeln unter anderem BMS-Systeme für Lithiumakkus und Leistungselektronik für Ladetechnik.
Die normative Seite ist für uns eine große eine Eintrittshürde in den Markt, und ich finde es absolut legitim, darüber zu sprechen, was nicht-europäische Anbieter evtl. machen, oder auch nicht, um sich das Leben zu erleichtern, und welche Konsequenzen daraus für den Anwender entstehen.
Mir geht es dabei weniger um irgendwelche tollen Siegel oder Labels, die man hat oder nicht, sondern um Grundsätze bei der Konstruktion eines Energiespeichers.
Zusätzlich ist es mir ein Anliegen, solche Informationen auch an Benutzer zu tragen, die sich evtl. hier noch keine Gedanken gemacht haben und günstige Lithiumspeicher einfach benutzen. Ich wünsche mir, dass jeder der einen Lithiumspeicher hat, in der Lage ist einschätzen zu können was passieren kann, und darauf reagieren zu können.
Weshalb sollte das jetzt auf einmal wichtig sein?
Lithiumakkus haben eine deutlich höhere Energiedichte als PB, und sind nicht so tolerant gegen Fehlbehandlung. Anders als bei anderen Li-Chemien ist die Gefahr bei LiFePo4 nicht so hoch, dass sich die Zellen spontan selbst entzündet, aber unzerstörbar sind sie nicht, und im Fehlerfall geht die gespeicherte Energie unweigerlich irgendwo hin - und sei es "nur" in eine Rauchbombe, die beim Fahren unvermittelt die Sicht nimmt.
Gängige Sicherheitsanforderungen an BMS:
Einzelfehlertoleranz
Das BMS hat die Aufgabe, die Batteriezellen gegen Fehlbehandlung zu schützen. Um dieser Aufgabe nachkommen zu können, muss es sicher funktionieren, und in aller Regel auch tolerant sein gegen Einzelfehler.
Das bedeutet, man muss eine beliebige Komponente zerstören können, ohne dass das BMS einen unsicheren Zustand hervorruft.
Ein Beispiel: Man zerstört einen Widerstand, der eine einzelne Zellspannung misst so, dass die Spannung als zu hoch gemessen wird. Der Balancer fängt demzufolge an, diese Zelle zu entleeren. Der Prozessor dagegen funktioniert noch normal, erkennt den Fehler durch eine Plausibilitätsprüfung, und schaltet den Pack über den Trennschalter ab. Die betroffene Zelle wird zwar entleert, das erneute laden ist aber verhindert, also ist der Pack sicher.
Ein anderes Beispiel ist ein defekter Trennschalter. Dieser Einzelfehler ist normativ oft durch das einfügen einer Schmelzsicherung abzufangen, wo das sichere auslegen des Schalters nicht sinnvoll ist.
Sollte das BMS nicht robust sein gegen Einzelfehler, kann jeder beliebige Einzelfehler, jedes schlecht gelötete und abgefallene Bauteil, zu allen möglichen Auswirkungen führen.
Best case: Das BMS schaltet einfach ab, der Akku ist unbenutzbar. Worst case: Es ist eine Schutzfunktion ausgehebelt, ohne dass der Nutzer das bemerkt. Der Trennschalter kann zum Beispiel dauerhaft an bleiben, so dass der Tiefentladeschutz und auch der Schutz gegen erneutes laden inaktiv sind.
Software
Da die Software oft das "Fangnetz" gegen Hardware-Einzelfehler ist, muss sichergestellt sein, dass sie korrekt funktioniert. Das bedeutet, dass auch die Software Teil der Sicherheitsbetrachtung ist, und dementsprechend hohe Anforderungen diesbezüglich gelten. Das bedingt Programmiertechniken und Sicherheitsbibliotheken, die der Software erlauben, sich in Grenzen selbst zu prüfen. Dafür gibt es käuflich zu erwerbende Pakete, die zB vom TÜV im Vorfeld abgenommen sind und die Zertifizierungsprüfung erleichtern. Ohne ein solches ist es extrem schwer, wenn nicht unmöglich, die Fehlertoleranz der Firmware nachzuweisen. Falls sogar funktionale Sicherheitsanforderungen an die Software gestellt werden müssen, müssen besondere CPUs eingesetzt werden, die intern alle Komponenten doppelt haben und die Firmware doppelt ablaufen lassen, während sie permanent Gegenprüfen, ob beide Seiten zum selben Ergebnis kommen.
Ohne solche Maßnahmen kann jeder Fehler ohne weiteres dazu führen, dass sämtliche Schutzfunktionen des BMS ausgehebelt sind. Einfachstes Beispiel, die Hardware ist sorglos konstruiert und die MCU hängt sich irgendwo, wegen eines durch kosmische Strahlung gekippten Bits im RAM, in einer Dauerschleife ein. Der Schutzschalter des BMS bleibt eingeschaltet, der Nutzer bemerkt nichts.
Hardware die robust konstruiert ist, hat dagegen zum Beispiel einen externen Watchdog, der zyklisch prüft ob die MCU noch im Programmablauf ist, und wenn nicht, das BMS sperrt. Dann ist der Akku zwar nicht mehr benutzbar, aber der Fehler fällt sofort auf.
Konsequenzen
Ganz klar sind das alles Aufwände, die den Akku teurer machen. Ob diese Aufwände am Ende in ein CE-Siegel münden, oder nicht, wäre mir persönlich jetzt gar nicht mal so wichtig.
Wichtig ist, dass sich der Designer Gedanken gemacht hat, und nicht an den falschen Stellen den Rotstift ansetzt. Lithiumakkus sind eine Gefahr, alleine schon wegen der Energie die sie mitbringen. Diese Gefahr muss in einer geeigneten Weise kontrolliert werden.
Ich halte es für wichtig, dass sich jeder, der einen Lithiumakku betreibt, mit dem Gedanken auseinandersetzt, dass sein Akku eine Fehlfunktion haben kann. So kann man zumindest reagieren, wenn der Akku ein komisches Verhalten zeigt.
Vielleicht kann jemand, der Ahnung von den normativen Anforderungen an die mechanische Konstruktion von Lithiumspeichern hat, noch ein wenig Senf dazu geben...
Grüße, Tobias
