⚡ electrical engineering

Fire Safety Engineering of Battery Energy Storage Systems: Barrier Degradation, Emergency Response Interfaces, and Community Exposure in Documented Failure Incidents

Cette étude analyse 80 incidents de défaillance de BESS documentés afin de proposer un cadre complet d'ingénierie de la sécurité incendie qui traite de l'interaction entre la dégradation des barrières, les contraintes d'intervention d'urgence et l'exposition de la communauté, plaidant ultimement pour des exigences de sécurité de conception et d'exploitation renforcées.

Auteurs originaux : Karim Hardy

Publié 2026-07-10

📖 7 min de lecture🧠 Analyse approfondie

CC BY 4.0

Auteurs originaux : Karim Hardy

Article original sous licence CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). ✨ Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète

Imaginez une immense ferme de batteries de haute technologie, non pas comme une seule brique géante, mais comme une ville bourdonnante de cellules minuscules et énergiques vivant à l'intérieur de conteneurs métalliques. Quand les choses tournent mal, il est rare qu'une seule cellule passe une mauvaise journée ; c'est plutôt comme un effet domino où tout le quartier se retrouve pris dans le chaos. C'est la vision globale que Karim Hardy brosse dans cette étude portant sur 80 incidents d'incendie de batteries documentés (dont 25 ont fait l'objet d'un examen très approfondi).

L'article suggère que nous avons analysé ces incendies de batteries de la mauvaise manière. Au lieu de simplement demander : « La batterie a-t-elle pris feu ? », nous devons demander : « Pourquoi le filet de sécurité a-t-il échoué ? »

Le « filet de sécurité » qui s'est emmêlé

Considérez un système de batteries comme un château doté de plusieurs couches de défense : des alarmes d'alerte précoce, des gicleurs anti-incendie, des murs pour empêcher la propagation du feu, et une carte claire pour les pompiers. L'étude a révélé que dans la plupart de ces 80 incidents, le château n'est pas tombé parce que le dragon (le feu) était trop fort. Il est tombé parce que les filets de sécurité étaient dégradés, retardés ou totalement absents.

C'est comme essayer d'éteindre un incendie de cuisine, mais l'alarme incendie est cassée, l'extincteur est coincé, la porte de la cuisine est verrouillée et les pompiers arrivent sans plan de l'emplacement des conduites de gaz. L'article soutient que ces « dégradations de barrières » sont les véritables méchants. Par exemple, l'étude note que la détection était souvent retardée ou peu claire, ce qui signifie que l'« alarme incendie » n'a retenti que lorsque le feu était déjà trop important. Les systèmes de ventilation ont parfois échoué à évacuer les gaz dangereux, transformant un petit incendie en un pièat potentiel à l'explosion. Et l'isolation — la capacité de couper l'alimentation et d'arrêter le flux d'énergie — était souvent floue ou inaccessible aux personnes tentant de sauver la situation.

Le problème de la « boîte noire » des pompiers

L'une des conclusions les plus frappantes concerne l'« Interface de Réponse d'Urgence ». Imaginez un pompier arrivant devant un bâtiment en feu. Dans une maison normale, il sait où se trouvent les escaliers et où se trouve le compteur de gaz. Mais avec ces systèmes de batteries, l'article suggère que les intervenants ont souvent été confrontés à une « boîte noire ». Ils ne savaient pas :

Quel type de « carburant » se trouvait à l'intérieur (la chimie spécifique de la batterie).
Quelle quantité d'« énergie » était encore stockée (l'état de charge).
Si le bâtiment allait exploser en raison des gaz piégés.
Comment éteindre le système en toute sécurité.

L'étude souligne que dans de nombreux cas, comme le célèbre incident de McMicken en Arizona, les intervenants ont dû deviner ou attendre des spécialistes car l'information n'était pas disponible. Cela les a forcés à jouer la prudence, restant souvent à l'extérieur pour simplement asperger de l'eau à distance (une stratégie « défensive »), plutôt que d'entrer pour stopper le feu à la source. L'article suggère qu'il ne s'agit pas seulement d'un problème de formation ; c'est un défaut de conception. Les systèmes de batteries doivent être accompagnés d'un « manuel d'utilisation » clair et facile à lire pour les urgences, indiquant précisément aux pompiers ce à quoi ils sont confrontés.

L'effet de ricochet : Ce n'est pas seulement un incendie d'usine

C'est ici que l'enjeu devient majeur. L'article soutient qu'un incendie de batterie n'est pas seulement un problème pour le propriétaire de l'usine ; c'est un événement communautaire. Lorsque ces batteries brûlent, elles ne produisent pas seulement de la fumée ; elles peuvent libérer des gaz toxiques qui dérivent sur les quartiers voisins.

L'étude met en lumière des cas comme celui de Moss Landing en Californie, où l'incendie est devenu un problème de santé publique régional. Il ne s'agissait pas seulement d'éteindre les flammes ; il s'agissait de dire aux écoles proches de fermer leurs fenêtres, d'ordonner des évacuations et de surveiller l'air pendant des jours. L'article suggère que nous ne pouvons pas traiter ces incendies comme des accidents industriels normaux. Nous devons planifier pour le « panache de fumée » et le « nuage toxique » aussi soigneusement que nous planifions pour le feu lui-même. Dans certains des 25 cas examinés en profondeur, la communauté a dû faire face à des fermetures de routes, des ordres de confinement et des préoccupations liées au nettoyage à long terme.

Ce que l'article dit que nous devrions faire (et ce qu'il ne dit pas)

Les auteurs prennent soin de ne pas dire : « Nous avons trouvé le remède miracle ». Au lieu de cela, ils suggèrent une nouvelle façon de construire et de planifier. Ils proposent que la sécurité ne repose pas uniquement sur le fait que les cellules de batterie passent un test. Elle doit être un contrôle de l'ensemble du système.

Ils suggèrent que nous avons besoin de meilleurs systèmes d'« alerte précoce » qui recherchent la chaleur et les gaz avant qu'un incendie ne commence, et pas seulement la fumée une fois qu'il brûle.
Ils suggèrent que nous devons concevoir les batteries de sorte que si une partie tombe en panne, elle n'entraîne pas tout le bâtiment dans sa chute (contrôle de la propagation).
Ils suggèrent que le « manuel d'urgence » pour les pompiers doit être intégré à la conception du site, et non être une réflexion après coup.
Ils suggèrent que nous devons planifier l'impact sur la communauté, y compris la surveillance de l'air et les itinéraires d'évacuation, dès le départ.

Ce qu'ils écartent : L'article s'oppose explicitement à l'idée que le simple fait d'avoir un système de suppression d'incendie (comme des gicleurs) soit suffisant. Ils ont constaté que dans de nombreux cas, les gicleurs ont éteint les flammes visibles, mais les batteries continuaient de « cuire » à l'intérieur, générant du gaz et de la chaleur, ce qui entraînait un réamorçage ou des explosions plus tard. Ainsi, « éteindre le feu » n'est pas la même chose que « stopper le danger ».

À quel point sont-ils sûrs ? Les auteurs sont prudents dans leurs propos. Ils précisent que leurs conclusions sont basées sur des incidents documentés, et non sur une base de données mondiale parfaite. Ils notent qu'ils ne peuvent pas calculer la probabilité exacte qu'une batterie tombe en panne car nous n'avons pas de données sur chaque batterie du monde. Cependant, ils sont très sûrs des schémas qu'ils observent : quand ces choses tournent mal, c'est généralement parce que plusieurs couches de sécurité ont échoué simultanément, et que les personnes tentant de résoudre le problème n'avaient pas les bonnes informations.

La conclusion

En résumé, cet article est un appel à cesser de traiter les fermes de batteries comme de simples boîtes d'énergie. Ce sont des systèmes complexes et à enjeux élevés qui nécessitent une « ville de sécurité » construite autour d'eux. Si nous voulons maintenir la lumière allumée et les quartiers en sécurité, nous devons réparer les filets de sécurité brisés, donner aux pompiers les cartes dont ils ont besoin, et planifier pour la fumée avant même qu'elle ne s'élève. L'étude ne promet pas que les incendies de batteries disparaîtront, mais elle suggère que si nous comblons ces lacunes spécifiques, nous pourrons empêcher de petits problèmes de devenir de grandes catastrophes.

Résumé technique : Ingénierie de la sécurité incendie des systèmes de stockage d'énergie par batterie

Énoncé du problème

Les systèmes de stockage d'énergie par batterie (BESS) sont essentiels pour la flexibilité du réseau et l'intégration des énergies renouvelables, pourtant leur déploiement s'est accompagné d'un nombre croissant d'incidents d'incendie, d'explosion et d'emballement thermique. La littérature existante traite souvent ces événements comme des défaillances de composants isolés (au niveau de la cellule ou du module) ou se concentre étroitement sur la chimie de l'emballement thermique. Cependant, un fossé existe entre la science du feu au niveau des composants et l'ingénierie de sécurité au niveau du système, requise pour les installations BESS stationnaires réelles. Les résultats de sécurité actuels dépendent non seulement de l'inflammation, mais aussi de l'interaction complexe de la détection, de l'extinction, de la ventilation, de l'isolation et des capacités d'intervention d'urgence. De plus, les preuves d'incidents existantes sont fragmentées entre rapports techniques, documents réglementaires et sources médiatiques, manquant d'un ensemble de données structuré pour analyser les schémas de défaillance récurrents, la dégradation des barrières et l'exposition des communautés.

Méthodologie

Cette étude emploie une méthodologie basée sur un ensemble de données d'incidents structuré pour analyser 80 incidents documentés de défaillance de BESS stationnaires impliquant un incendie, une explosion, de la fumée ou un emballement thermique. Les données ont été agrégées à partir de sources publiques, notamment la base de données d'incidents de défaillance BESS de l'EPRI, des rapports d'agences, des enquêtes de services d'incendie, des analyses de causes racines par les opérateurs et des documents de groupes de travail réglementaires.

L'analyse distingue deux niveaux :

Incidents de base (n=55) : Événements documentés fournissant suffisamment d'informations pour un codage de base de la localisation, de la date, du contexte du système et de la classe de conséquence.
Cas d'étude approfondis (n=25) : Incidents avec une documentation source enrichie permettant une analyse étendue de la performance des barrières et des interfaces d'intervention d'urgence.

Le cadre de codage évalue trois dimensions analytiques primaires :

Performance des barrières : Évaluer si les barrières techniques ou organisationnelles (détection, extinction, ventilation, isolation, etc.) étaient présentes, efficaces, retardées, dépassées ou non documentées.
Interface d'intervention d'urgence : Évaluer les conditions informationnelles et opérationnelles disponibles pour les intervenants, y compris les plans pré-incendie, les données chimiques, les procédures d'isolation et les voies d'accès.
Exposition de la communauté : Documenter les conséquences hors site telles que les évacuations, les avis de confinement, les panaches de fumée et la surveillance de la santé publique.

L'étude évite explicitement d'estimer les probabilités de défaillance absolues en raison de l'incohérence des rapports mondiaux, se concentrant plutôt sur l'identification des scénarios récurrents et la dérivation des exigences d'ingénierie.

Principales contributions

Le document apporte trois contributions spécifiques au domaine de la sécurité des BESS :

Ensemble de données d'incidents structuré : Il fournit un ensemble de données codées et organisées de 80 incidents BESS, conçu spécifiquement pour l'analyse de l'ingénierie de la sécurité incendie, comblant le fossé entre les rapports publics fragmentés et une revue de sécurité systématique.
Analyse de défaillance au niveau du système : Il recadre les défaillances des BESS non pas simplement comme des défauts de composants, mais comme des événements de niveau système pilotés par la dégradation de multiples barrières de sécurité et les limitations de l'interface d'intervention d'urgence.
Dérivation des exigences d'ingénierie : Il traduit les schémas d'incidents en exigences spécifiques d'ingénierie de sécurité incendie pour la conception, l'implantation, l'exploitation et la planification d'urgence, allant au-delà de la simple conformité des composants.

Principaux résultats

1. Scénarios d'incidents et conséquences

L'ensemble de données révèle que les incidents BESS impliquent fréquemment des mécanismes couplés plutôt que des défaillances isolées. Les classes d'événements dominantes incluent les incendies et la propagation de l'emballement thermique, les événements de fumée/surchauffe, et les événements de déflagration/explosion. Bien que les explosions soient moins fréquentes que les incendies, elles sont opérationnellement significatives en raison des blessures des intervenants et de la nécessité de stratégies de lutte contre l'incendie défensives.

2. Schémas de dégradation des barrières

Une conclusion centrale est que les incidents résultent rarement d'une seule défaillance catastrophique, mais de la dégradation progressive ou de l'absence de multiples barrières. Les barrières dégradées récurrentes incluent :

Détection : Identification retardée ou ambiguë de conditions thermiques ou électriques anormales.
Contrôle de la propagation : Résistance inefficace à la propagation de l'emballement thermique entre les modules, les racks ou les conteneurs.
Ventilation/Déflagration : Gestion inadéquate de l'accumulation de gaz, entraînant des risques d'explosion.
Extinction : Systèmes qui contrôlent les flammes visibles mais ne parviennent pas à arrêter la génération de chaleur interne ou le réamorçage.
Isolation : Procédures d'arrêt d'urgence peu claires ou inaccessibles.
Surveillance post-incendie : Absence de critères définis pour la terminaison de l'incident et la gestion du risque de réamorçage.

3. Limitations de l'interface d'intervention d'urgence

Les intervenants ont fréquemment été confrontés à des contraintes opérationnelles et informationnelles importantes, menant à des postures opérationnelles défensives. Les principales limitations comprenaient :

Lacunes d'information : Données manquantes ou peu claires sur la chimie de la batterie, l'état de charge (SOC) et la configuration du système.
Restrictions d'accès : Incapacité d'entrer en toute sécurité dans les conteneurs ou les salles en raison des risques d'explosion ou de fumée.
Incertitude : Manque de visibilité sur l'état interne des modules et incertitude concernant le délai de réentrée.
Coordination : Retards dans l'accès au support technique spécialisé ou aux données du fabricant pendant l'incident.

4. Exposition de la communauté

L'exposition de la communauté est une conséquence fréquente et significative, même lorsque les victimes directes sont limitées. Les incidents déclenchent souvent des évacuations préventives, des ordres de confinement, des fermetures de routes et une surveillance étendue de la qualité de l'air. L'étude souligne que les événements BESS de grande ampleur (ex. : Moss Landing, McMicken) peuvent évoluer en enjeux régionaux de santé publique et de communication environnementale, nécessitant des protocoles de surveillance de panache et de communication prédéfinis.

5. Aperçus des cas d'étude approfondis

L'analyse des 25 cas d'étude approfondis (incluant McMicken, Moss Landing et Victorian Big Battery) a confirmé que les voies d'escalade sont souvent couplées : conditions anormales $\rightarrow$ détection retardée $\rightarrow$ accumulation de gaz $\rightarrow$ propagation $\rightarrow$ limites d'extinction $\rightarrow$ surveillance prolongée. Ces cas ont souligné que l'efficacité de l'intervention d'urgence dépend fortement de la coordination pré-incident et de la disponibilité des informations techniques.

Signification et cadre proposé

Le document soutient que l'ingénierie de la sécurité incendie des BESS doit passer d'une logique centrée sur l'extinction à une approche plus large de performance du système. La portée de ce travail réside dans la proposition d'un Cadre d'Ingénierie de la Sécurité Incendie qui lie quatre éléments :

Scénario d'incident : (ex. : emballement thermique, explosion).
Dégradation des barrières : (ex. : détection retardée, extinction dépassée).
Interface d'intervention d'urgence : (ex. : accès des intervenants, disponibilité de l'information).
Exigences de sécurité dérivées : (ex. : détection multiparamétrique, dispositions de lutte incendie défensive, seuils d'exposition de la communauté).

L'étude conclut que les exigences de sécurité doivent être dérivées de l'apprentissage par les incidents pour répondre aux conditions dégradées et aux interfaces d'urgence. Elle préconise des exigences plus strictes dans les codes et les processus d'autorisation, soulignant que l'approbation des BESS devrait être basée sur la performance des scénarios d'incidents et la résilience du système, et non seulement sur la certification des composants. Les conclusions soutiennent l'intégration de la gestion de l'exposition de la communauté dans les étapes de conception et d'autorisation, traitant la sécurité publique comme une exigence d'ingénierie intrinsèque plutôt que comme une question secondaire de gestion d'urgence.