高功率直流的安全闭环：故障能量、选择性与运行状态

800 V 直流系统的安全与可用性共享一个基础：故障发生后，系统需要迅速限制能量、隔离故障，并让健康支路保留工作条件。高功率电容、并联储能和受控转换器改变了故障电流的来源，也改变了保护配合方式。接地、预充、热插拔和维护状态因此需要在架构阶段共同定义，最终由保护研究、设备试验与系统状态验证闭合。S018 pp. 110–135, 188–201

初始电容放电与持续故障供能分开处理#

直流母线短路时，最早的电流来自附近电容。低电感配电路径允许电流快速上升，转换器随后能否停止供能取决于其电路和控制。故障限流型可以限制持续阶段的电流，故障馈电型则需要外部或内部保护迅速隔离。即使功率器件已经关断，母线电容和其他支路仍可能向故障释放能量。S018 pp. 110–113, 149–150

读下图时先比较两边相似的初始峰值，再比较峰值后的衰减。左图限流型的电流逐渐消失，右图馈电路径仍然维持电流。纵轴和横轴用于展示这两种定性波形，实际系统的峰值与时间由电容、线路和保护参数共同确定。

原图节选：S018，物理第 112 页，Figures 7.1–7.2。初始电容放电与后续转换器馈电的差异。

储能越分布化，故障供能路径越多。正常吸收功率的负载输入电容，在邻近母线跌落时可能反向放电；电池和 DC/DC 也可能持续供能。LVDC 白皮书的 800 V、4 MW 时域仿真展示了这一过程：一个服务器支路短路会拉低其他支路电压，并使健康支路承受反向电流。模型采用了 100 m 的源到主母线路径、70 mF 的 AC/DC 输出电容等明确参数，这类结果用于分析该参考架构的耦合机制。S018 pp. 113–120

选择性同时保护设备与健康负载#

保护选择性要求尽量由离故障最近的保护装置切除故障部分，保留健康区域。交流系统常见的延时级差，在低惯量直流网络里可能晚于健康母线的电压崩落。工程路线包括快速半导体保护、阻断支路反向电流，以及由本地储能覆盖故障隔离期间的电压跌落。选择哪种组合，要和负载保持时间、转换器耐受和线路参数一起确定。S018 pp. 121–128

阻断二极管可以防止健康支路反向馈电，同时带来正向导通损耗；具有电流方向检测的半导体断路器可以执行相应选择性策略，增加主动控制和器件要求。固态、混合、机电断路器与熔断器在速度、通态损耗、隔离、复位和认证用途上各有差别。支路保护与设备内部补充保护还属于不同用途，e-fuse 的本地快速保护需要与设施支路保护连续配合。S018 pp. 119–128

故障限流还会改变传统保护的动作条件。熔断器需要电流的焦耳积分 $\int i^2dt$ 达到相应熔化条件；电容初始峰值很高但持续很短，后续电流又被转换器限制时，峰值电流本身不足以说明能否可靠熔断。热磁式断路器也可能面对峰值过短、持续电流较低的组合。保护研究需要使用实际故障波形，验证故障切除、器件耐受与健康负载保持三者的时间关系。S018 pp. 124–128

这也影响冗余的有效性。备用节点只有在故障被隔离后才能接入健康区域，母联闭合还需要两侧电压、极性、接地条件和控制模式兼容。关断转换器功率器件用于迅速停止其贡献，断路与隔离用于划定能量边界，放电用于消除残余储能。三类动作拥有各自的判据和状态反馈。S018 pp. 198–200

极性、接地与隔离决定器件承受的电压#

±400 V 双极系统可以分布中点 M，也可以只分布两个有源极；中点承接不平衡电流，PE 承担保护连接。负载跨两极取电或跨一极与中点取电，会改变导体利用率、故障电流和保护极数。对地额定电压、电气间隙、爬电距离与冲击耐受必须与这套实际接法匹配。S018 pp. 82–86, 98–106

TN-S 采用确定的接地参考，并将正常承载电流路径与 PE 分开；IT 型浮地或高阻接地在规定监测条件下，可以在首次接地故障后短时间继续运行，给故障定位或受控停机留下空间。首次故障也可能把另一极对地电压提高到完整线间电压，器件绝缘需要按这一状态选取。首次故障检测、后续处理和第二故障切除由同一保护策略定义。S018 pp. 89–96, 129–130

多台转换器接在同一电气系统上时，绝缘监测还会受到对地电容与测量信号影响。白皮书要求同一系统只有一台主动 IMD，避免相互测量干扰；较大的 Y 电容和寄生电容也会影响接触能量和监测响应。Y 电容的 EMI 收益、系统总电容、泄漏和监测性能因此应在系统范围内核算。S018 pp. 95–97, 130

隔离位置进一步决定哪些接地体系可独立设置。中压与低压之间需要隔离，工频变压器或 SST 可以承担这项功能；从高压直流进入低压可接近电路时，机架或托盘内的加强绝缘转换还必须覆盖辅助电源、控制和遥测通道。50 V 电源框的回流与机壳连接方式已有具体产品条款，需要与上游体系保持一致的设计审查。S018 pp. 89–92, 180–182 S022 pp. 11–12

预充和热插拔是可验证的能量状态转换#

直接把未充电电容接入带电母线会产生浪涌。LVDC 托盘接口把电源、预充和在位检测分组：较长的预充触点先处理寄生电容，在位信号让 HSC 确认插入状态并在拔出时及时停止输出，HSC 再对内部大电容实施受控充电。预充针、主功率针和检测针的机械顺序，与控制器的启停条件共同形成接口规格。S018 pp. 175–179

辅助电源应在主 HSC 之外维持必要的检测与控制，使主路径异常时仍有能力记录和处理故障。主电容充电完成后，转换器才按允许条件接入负载；退出时还需要内部放电。架构评审应通过插入、未完全插入、拔出、预充失效及传感异常等状态，验证接点与控制的一致性。S018 pp. 178–181, 194–195

低压机架也有明确的接口保护。PMM 插接采用 LMFB 的 PSKILL 短针抑制其辅助供电接触电弧；50 V 输出侧限制 Oring FET 外部到机壳的 Y 电容，涉及单点故障、热插拔浪涌和静态泄漏。2,000 A 主接口则通过接触电阻、温升、振动与冲击试验验证长期连接状态。不同接口的保护目的各有对象，测试需要保持对应的组件边界。S022 pp. 10–12 S020 pp. 5, 10–11

分布储能需要把电气隔离与热传播隔离并列设计#

电池放进机架可以缩短供电路径，也让化学储能靠近 IT。电气短路、热失控传播、可燃气体和冷却失效分别进入风险分析。S025 把位置、隔离、探测、通风、消防、爆炸防控和建筑结构一起纳入 ESS 设计；UL 9540A 等试验提供热失控与传播证据，大规模火灾试验进一步评价周围暴露物和气体燃烧影响。布局与分隔应根据实际产品及系统级证据确定。S025 pp. 25–34, 38–42

通风与灭火之间存在耦合。气体灭火方案往往依赖封闭空间保持浓度，电池故障气体又需要排出以控制积聚；热管理还需要限制单元间传播。HMA 因此要检查排风、气体探测、BMS、HVAC 和通信在单点失效或热事件中能否继续发挥作用。关键安全设备的应急供电也属于 ESS 方案的一部分。S025 pp. 31–35, 38–39 S018 pp. 157–158

化学体系、材料和结构决定具体风险。水系电解液、氧化物负极、隔膜与模块封装可能改善部分失效响应，热事件传播仍需要针对实际设计验证。高能量密度、长循环和低热风险分别评价，最终通过系统试验、保护与物理布局组合形成可接受的方案。S025 pp. 21–24 S018 pp. 155–158

SOO 把安全要求写成状态和试验证据#

LVDC 的分层控制将纳秒到微秒的器件保护留在本地，设备控制器负责预充、限流和锁定，母线／区域控制负责选择性与负载准入，场站控制负责容量和能源调度。DCIM 与运维管理负责模式、维护和恢复授权。网络中断、控制器重启和通信丢失各自应进入明确的回退状态，快速保护始终具备本地执行路径。S018 pp. 190–193

维护状态还要区分“已发开断命令”“正在放电”“放电失败”“已验证放电”和“维护安全”。系统记录电压衰减、异常回升和放电器件温度，现场工作依据项目安全流程独立验证能量状态。恢复运行再经过绝缘检查、预充和分批负载准入。这样的状态定义可以让多供应商设备对同一告警、锁定与复位具有一致含义。S018 pp. 199–201

验证材料则沿这些状态逐项建立：短路和接地研究确定能量与隔离条件，阻抗稳定性研究确定源负载组合，HIL 检验状态机与失效时序，FAT／SAT 检验设备和现场系统，周期验证检查保护长期有效性。本文讨论的是这些架构和试验要求；具体接线、保护定值与现场操作由对应项目的专业设计和验证程序落实。S018 pp. 200–201 S029 pp. 17–19

高功率直流的安全设计由此与可用性形成同一套工程闭环：限制故障能量，保留健康区域，准确呈现状态，再验证恢复。相关的控制频带与能量缓冲见电力动态，储能层级和清洁备用见备用与储能，产品接口与监控职责见机架电源系统。