Entenda os principais riscos de segurança em BESS, como ocorre o thermal runaway, o papel da UL 9540A e da NFPA 855 e quais critérios de projeto, teste e operação reduzem o risco de propagação, incêndio e explosão.
Confira!
A segurança de um BESS deve ser tratada como uma disciplina de engenharia desde a concepção. Em sistemas com baterias de íons de lítio, um dos principais perigos é o thermal runaway, ou fuga térmica: uma condição de instabilidade na célula em que reações internas liberam calor mais rapidamente do que o sistema consegue dissipar. Dependendo da química, do estado de carga, do tipo de falha e da arquitetura, o evento pode envolver aquecimento severo, liberação de gases, ignição, propagação entre células ou módulos e, em determinadas condições, risco de deflagração.
Por isso, segurança BESS não pode ser reduzida a instalar detector de fumaça ou sistema de supressão. O projeto precisa trabalhar em camadas: prevenção de falhas, BMS, controle térmico, detecção precoce, contenção e separação, ventilação e gestão de gases, proteção contra incêndio, arquitetura elétrica, resposta a emergências, testes de propagação e manutenção ao longo da vida útil.
A UL 9540A é uma referência importante porque fornece um método de ensaio para avaliar o comportamento de propagação de fuga térmica em sistemas de armazenamento. A NFPA 855, por sua vez, estabelece requisitos de instalação para sistemas estacionários de armazenamento nos Estados Unidos. Essas referências não devem ser tratadas automaticamente como legislação brasileira; precisam ser aplicadas conforme o enquadramento do projeto, requisitos contratuais, autoridade competente e demais normas locais. Seu valor técnico está em estruturar evidências de segurança em vez de depender apenas de declarações de fabricante.
O que é thermal runaway
Thermal runaway é uma condição em que o calor gerado dentro da célula desencadeia reações adicionais que, por sua vez, geram ainda mais calor. O processo pode se tornar autoacelerado e ultrapassar a capacidade de resfriamento ou dissipação do sistema.
As causas possíveis incluem defeitos internos, abuso térmico, sobrecarga, curto-circuito, dano mecânico, falhas de fabricação ou combinações de degradação e condições operacionais. O projeto não deve pressupor uma única causa; deve trabalhar com cenários de falha e barreiras independentes.
O risco não está apenas na chama
Um evento de bateria pode liberar gases inflamáveis e tóxicos antes ou durante a ignição. Isso significa que a engenharia de segurança precisa considerar concentração de gases, ventilação, volume do compartimento, fontes de ignição, caminhos de propagação e condições para intervenção.
A pesquisa de segurança do Sandia National Laboratories destaca que thermal runaway pode envolver fogo, propagação, liberação de gases tóxicos e falhas em escala de sistema. Ensaios em escala real são relevantes justamente porque o comportamento de uma célula isolada não representa necessariamente um contêiner, sala ou conjunto de racks.
Da célula à instalação: por que a escala importa
Um BESS possui múltiplas camadas: célula, módulo, rack ou unidade, contêiner/sala e instalação. Uma barreira eficaz em um nível pode impedir que a falha avance para o seguinte.
A UL 9540A estrutura testes em diferentes escalas para avaliar características de thermal runaway, propagação, liberação de calor e gases e desempenho de medidas de proteção. A edição mais recente inclui forte ênfase em avaliação em escala de instalação.
| Nível | O que a engenharia busca compreender |
| Célula | comportamento de fuga térmica e gases gerados |
| Módulo | possibilidade de propagação entre células |
| Unidade/rack | propagação entre módulos, calor e gases |
| Instalação | propagação entre unidades, separação e efetividade das proteções |
UL 9540 e UL 9540A não são a mesma coisa
UL 9540 é uma norma de segurança para sistemas e equipamentos de armazenamento de energia. UL 9540A é um método de ensaio para avaliar propagação de thermal runaway e gerar dados usados no projeto de proteção contra incêndio e explosão.
Confundir os dois conceitos pode levar a especificações imprecisas. Um projeto deve definir quais certificações de produto são exigidas, quais relatórios de ensaio precisam ser apresentados e como os resultados se relacionam com a configuração efetivamente proposta.
O papel da NFPA 855
A NFPA 855 estabelece requisitos para instalação de sistemas estacionários de armazenamento, incluindo aspectos como localização, separação, quantidade de energia, proteção contra incêndio e critérios baseados em ensaios. A edição de 2026 reforça a importância de testes em larga escala em determinados cenários.
Em projetos no Brasil, sua utilização precisa ser tecnicamente justificada e compatibilizada com legislação, Corpo de Bombeiros, códigos locais, normas ABNT aplicáveis e requisitos do proprietário. A melhor prática é declarar explicitamente quais documentos compõem a base de projeto e qual hierarquia será usada em caso de conflito.
BMS é uma barreira de prevenção, não a única proteção
O Battery Management System monitora variáveis como tensão, corrente e temperatura e executa lógicas de proteção dentro do sistema de baterias. Pode detectar condições anormais e bloquear operação antes que a célula atinja estados perigosos.
Entretanto, BMS não elimina a possibilidade de falhas internas, defeitos ou eventos fora de sua capacidade de intervenção. A segurança precisa seguir o princípio de defesa em profundidade: diferentes barreiras devem atuar antes, durante e depois de uma falha.
O artigo Arquitetura BESS mostra a relação entre BMS, PCS, EMS, SCADA, proteção elétrica e demais subsistemas.
Controle térmico e HVAC fazem parte da segurança
Temperatura influencia desempenho, degradação e segurança. O HVAC ou sistema térmico não existe apenas para aumentar vida útil; ele ajuda a manter células dentro da faixa operacional especificada e reduz condições que favorecem envelhecimento desigual ou sobretemperatura.
O projeto precisa analisar:
- carga térmica em operação normal e contingência;
- redundância de ventiladores, chillers ou unidades críticas;
- comportamento em perda de alimentação auxiliar;
- distribuição de temperatura entre racks;
- alarmes e limites;
- integração entre HVAC, BMS e sistema de emergência.
Detecção precoce
Uma arquitetura de segurança pode combinar sensores de temperatura, fumaça, gases e outros indicadores conforme tecnologia e risco. O objetivo é detectar degradação ou evento anormal antes que a situação evolua para propagação.
A escolha de sensores deve derivar dos perigos identificados e dos dados de ensaio. Instalar tecnologia de detecção sem saber quais gases ou tempos de evolução são esperados pode gerar falsa sensação de segurança.
Ventilação, gases inflamáveis e risco de deflagração
Quando células entram em thermal runaway, gases podem acumular-se dentro de compartimentos. Se a concentração atingir faixa inflamável e houver fonte de ignição, pode ocorrer deflagração.
Por isso, ventilação e gestão de gases precisam ser tratadas junto com detecção e estratégia de emergência. Dependendo do projeto, podem ser necessárias análises de ventilação, dispersão, alívio de pressão ou outras medidas de mitigação.
A decisão deve usar dados do sistema real — química, quantidade de células, volume, taxas de liberação e resultados de testes — e não valores genéricos de outro produto.
Separação e contenção reduzem propagação
Distâncias entre unidades, barreiras resistentes ao fogo e compartimentação podem limitar a propagação de um evento. Porém, os valores adequados dependem do código adotado e, em algumas situações, dos resultados de ensaios de grande escala.
A UL 9540A é particularmente relevante quando se pretende demonstrar comportamento de propagação e justificar arranjos específicos. O relatório precisa corresponder ao sistema proposto: célula, módulo, rack, espaçamento, gabinete, ventilação e proteção não devem divergir materialmente sem análise.
Supressão de incêndio não substitui prevenção e contenção
Sistemas de supressão podem limitar propagação ou proteger estruturas adjacentes, mas o thermal runaway dentro da célula possui dinâmica própria. A estratégia de combate deve ser definida com base em testes, arquitetura e orientação da autoridade competente.
O projeto precisa evitar uma especificação simplista de “agente extintor” como solução universal. Água, sistemas gasosos, sprinklers e outras abordagens possuem objetivos, limitações e requisitos distintos. A definição deve ser feita pela engenharia de incêndio em conjunto com o projeto BESS.
Segurança elétrica continua sendo crítica
Além do risco térmico, BESS envolve energia DC elevada, correntes de curto-circuito, baterias que permanecem energizadas, PCS, transformadores e sistemas auxiliares. Isolação, seccionamento, aterramento, proteção contra arco, intertravamentos e procedimentos de bloqueio precisam ser considerados.
Mesmo após desligar a rede AC, a bateria pode continuar armazenando energia. A filosofia de emergência deve indicar quais partes permanecem energizadas e quais ações podem ou não ser executadas com segurança.
Análise de perigos deve ocorrer antes do layout final
Segurança BESS precisa ser definida antes do layout e da compra. A química, a configuração de módulos, a gestão térmica, os gases liberados e a estratégia de contenção influenciam espaçamentos, ventilação, sistemas de incêndio e requisitos construtivos.
A análise de perigos é mais útil quando ainda é possível alterar arquitetura. Depois que localização, espaçamentos, contêineres e edifícios estão definidos, muitas medidas tornam-se caras ou inviáveis.
Uma análise pode considerar cenários como:
- thermal runaway em célula ou módulo;
- falha de HVAC;
- perda de alimentação auxiliar;
- falha de comunicação com BMS;
- curto-circuito DC;
- inundação ou ingresso de água;
- impacto mecânico;
- incêndio externo;
- acúmulo e ignição de gases;
- propagação entre unidades.
O Sandia utiliza abordagens de análise sistemática de perigos para transformar cenários em objetivos de projeto e requisitos verificáveis.
Segurança precisa entrar no procurement
O Procurement de BESS deve exigir documentação de segurança suficiente para equalizar propostas.
Entre os documentos e evidências que podem ser requeridos, conforme o projeto, estão:
- certificações aplicáveis;
- relatórios UL 9540A ou ensaios equivalentes previstos na base de projeto;
- química e configuração das células;
- limites operacionais do BMS;
- arquitetura térmica e redundância;
- matriz de alarmes e trips;
- dados de gases e calor liberados;
- requisitos de separação;
- filosofia de detecção e supressão;
- plano de resposta a emergências;
- requisitos de manutenção e inspeção.
Aceitar apenas uma declaração comercial de “sistema seguro” impede avaliar diferenças reais entre arquiteturas.
O relatório de UL 9540A precisa corresponder à solução ofertada
Relatório de ensaio só vale quando é rastreável à configuração ofertada. A equalização técnica precisa verificar célula, módulo, gabinete, espaçamento e proteções antes de aceitar uma referência UL 9540A como evidência.
Um risco frequente é apresentar relatório de ensaio de uma configuração e fornecer outra. Alterações de célula, módulo, espaçamento, gabinete ou proteção podem reduzir a representatividade do teste.
A equalização técnica deve verificar rastreabilidade entre relatório, modelo ofertado, versão do produto e layout proposto. Quando houver diferenças, o fornecedor deve demonstrar tecnicamente sua aceitabilidade conforme os critérios do projeto.
Comissionamento da segurança
O comissionamento deve incluir não apenas desempenho energético, mas funções de segurança e integração. Testes podem envolver alarmes, trips, falha de sensores, perda de comunicação, perda de HVAC, E-stop, intertravamentos, detecção, interfaces com sistemas de incêndio e comunicação com SCADA.
O Comissionamento de BESS deve definir critérios de aceite previamente. Não é adequado descobrir na partida que fornecedor, projetista e proprietário interpretavam de formas diferentes a sequência de emergência.
Plano de resposta a emergências
Equipes internas e bombeiros precisam entender o sistema antes de um evento. O plano deve documentar localização, meios de isolamento, perigos, contatos, acessos, condições de aproximação, monitoramento e estratégia de resposta compatível com a instalação.
Treinamento e simulações fazem parte da preparação. A presença de gases tóxicos ou inflamáveis e a possibilidade de re-ignição exigem procedimentos específicos e coordenação com autoridades locais.
Operação e manutenção ao longo da vida
Segurança não termina no SAT. Degradação, atualizações de firmware, substituição de módulos, alterações de HVAC e mudanças de setpoints podem modificar o risco.
A gestão do ativo deve acompanhar tendências de temperatura, desvios entre células, alarmes recorrentes, falhas de ventilação, estado de saúde, eventos de proteção e manutenção dos sistemas de incêndio.
Toda alteração significativa deve passar por gestão de configuração. Um BESS modificado depois do comissionamento pode deixar de corresponder aos modelos, ensaios e documentos que sustentaram a aprovação original.
Segurança e disponibilidade não são objetivos opostos
Desligar o sistema ao primeiro desvio reduz exposição, mas pode comprometer uma função crítica. Manter o sistema conectado sob condições inseguras aumenta risco. O projeto precisa equilibrar disponibilidade e segurança com estados degradados claramente definidos.
Isso exige identificar quais falhas permitem operação limitada, quais exigem bloqueio de carga, quais exigem isolamento completo e como o sistema retorna ao serviço após inspeção.
Arquitetura de segurança em camadas: prevenção, detecção, contenção e resposta
A segurança de um BESS deve ser construída como um conjunto de barreiras independentes. Nenhuma camada é infalível: o BMS pode detectar anomalias, mas depende de sensores e lógica; o HVAC controla temperatura, mas pode falhar; a compartimentação limita propagação, mas precisa ser compatível com gases e calor; sistemas de detecção e supressão atuam depois que uma condição anormal já existe.
Uma arquitetura robusta organiza essas barreiras em sequência. Primeiro, procura evitar condições que possam iniciar falha: limites elétricos, gestão térmica, qualidade de fabricação, proteção contra sobrecorrente, isolamento e monitoramento. Depois, identifica sinais precoces e isola a parte afetada. Em seguida, reduz propagação para módulos, racks, unidades ou exposições adjacentes. Por fim, estabelece resposta segura para pessoas, operação e emergência.
| Camada | Objetivo | Exemplos de funções | Evidência esperada |
|---|---|---|---|
| Prevenção | Evitar condição iniciadora | BMS, limites de tensão/corrente, HVAC, isolamento | Requisitos, certificados, lógica e testes funcionais |
| Detecção | Reconhecer anomalia precocemente | Temperatura, tensão, corrente, fumaça, gases | Setpoints, alarmes, cobertura e causa-efeito |
| Isolamento | Remover energia ou separar trecho | Contatores, disjuntores, shutdown, E-stop | Tempos, intertravamentos e estados seguros |
| Contenção | Limitar propagação | Compartimentação, espaçamento, barreiras | Dados de ensaio e compatibilidade com layout |
| Mitigação | Controlar calor, fogo ou gases | Ventilação, deflagration venting, supressão | Dimensionamento e critérios da base de projeto |
| Resposta | Proteger pessoas e restabelecer segurança | Plano de emergência, isolamento de área, comunicação | Procedimentos, treinamento e simulações |
Essa lógica é semelhante a uma abordagem bow-tie: de um lado ficam causas e barreiras preventivas; do outro, consequências e barreiras mitigadoras. O valor dessa estrutura é tornar explícito quais riscos dependem de uma única proteção e onde são necessárias redundância, diversidade ou independência funcional.
UL 9540A: entender o nível do ensaio antes de usar o relatório no projeto
UL 9540A não é um “certificado genérico de segurança”. É um método de ensaio que produz evidências sobre comportamento de thermal runaway, propagação, liberação de calor e gases e outros fenômenos relevantes. Para usar o relatório em engenharia, é necessário saber qual nível foi ensaiado, qual configuração estava presente e quais conclusões podem ser transferidas para a instalação real.
Na estrutura tradicional do método, os ensaios evoluem da célula para módulo, unidade e instalação, com objetivos diferentes em cada escala. A célula caracteriza o evento e gases; o módulo observa propagação entre células; a unidade avalia propagação e comportamento do conjunto; o nível de instalação observa o desempenho em escala maior e a interação com a proteção da instalação.
A UL Solutions informa que a sexta edição da UL 9540A foi publicada em 13 de março de 2026 e atualizou a abordagem de ensaio em grande escala, enquanto a quinta edição de 2025 continua relevante durante o período de transição. Para o projetista, isso reforça a necessidade de registrar edição, configuração, células, módulos, unidade, espaçamento e sistemas auxiliares associados ao relatório apresentado.
| Nível de ensaio | Pergunta principal | Uso típico na engenharia |
|---|---|---|
| Célula | Como a célula entra em thermal runaway e quais gases libera? | Caracterização do perigo e dados de base |
| Módulo | O evento se propaga entre células? | Avaliação de propagação interna e liberação de calor/gases |
| Unidade | Como módulos e enclosure se comportam em conjunto? | Espaçamento, contenção, re-ignição e comportamento da unidade |
| Instalação / grande escala | Como o sistema e a proteção da instalação respondem? | Layout, separação, proteção ativa e exposição entre unidades |
Um relatório só é útil quando existe rastreabilidade entre o objeto ensaiado e o objeto contratado. Alterar célula, módulo, enclosure, quantidade de módulos, ventilação, sistema de supressão ou espaçamento pode mudar a aplicabilidade das conclusões. A equalização técnica deve exigir essa correspondência de forma explícita.
Hazard analysis: transformar eventos de ensaio em cenários de projeto
Dados de ensaio não substituem análise de perigos da instalação. O relatório mostra como determinada configuração se comportou sob condições específicas; a engenharia precisa transformar essas evidências em cenários para o empreendimento real. Isso inclui localização, ocupações adjacentes, acesso de emergência, distâncias, barreiras, ventilação, drenagem, interfaces elétricas e consequências operacionais.
Uma análise de perigos pode utilizar técnicas como FMEA, What-if, HAZOP adaptado ou matriz de riscos, conforme complexidade e disciplina. O método é menos importante do que a rastreabilidade: cada cenário precisa ter causa iniciadora, consequências plausíveis, barreiras existentes, falhas dessas barreiras, ações de mitigação e responsabilidade por implementação.
- falha interna de célula ou módulo;
- sobrecarga ou sobretensão por falha de controle;
- perda de HVAC ou ventilação;
- falha de sensor ou comunicação com BMS;
- curto-circuito DC ou AC;
- incêndio externo atingindo o BESS;
- acúmulo e ignição de gases;
- propagação entre unidades;
- falha de alimentação dos sistemas auxiliares de segurança;
- erro de manutenção ou bypass indevido de proteção.
O resultado precisa alimentar layout, arquitetura de controle, proteção elétrica, sistema de incêndio, procedimentos operacionais e plano de emergência. Uma análise que permanece isolada em um relatório não reduz risco se suas recomendações não forem rastreadas até projeto e comissionamento.
Detecção de gases e risco de deflagração exigem filosofia própria
Durante falhas térmicas, células podem liberar misturas gasosas inflamáveis. A presença desses gases cria um risco diferente do incêndio aberto: antes da ignição pode existir uma atmosfera capaz de deflagrar caso encontre uma fonte de ignição. Por isso, detectar fumaça ou chama não é necessariamente equivalente a detectar a fase inicial de liberação gasosa.
O projeto deve definir quais fenômenos serão monitorados, quais sensores são tecnicamente adequados, onde serão instalados, quais alarmes e trips serão associados e como ventilação ou outros sistemas responderão. A estratégia precisa considerar densidade dos gases, circulação de ar, compartimentação e comportamento previsto pela configuração ensaiada.
Ventilação também não deve ser acionada de forma automática sem uma filosofia coerente. Dependendo do cenário, mover gases pode reduzir concentração em um volume e criar exposição em outro. O projeto deve considerar descarga para área segura, prevenção de recirculação e interação com detecção, supressão e estratégia de isolamento.
Layout e exposição: a segurança começa antes do arranjo geral ser congelado
Distâncias entre unidades, edificações, rotas de fuga, equipamentos críticos e limites de propriedade precisam ser definidas com base no perigo, nos dados de ensaio e na base de projeto. Um layout escolhido apenas por otimização de área pode criar exposições que depois exigem barreiras complexas, sistemas ativos adicionais ou redução de capacidade.
O arranjo deve considerar propagação térmica, acesso do corpo de bombeiros, possibilidade de isolamento de uma unidade, caminhos de fumaça e gases, drenagem de água de combate quando aplicável, proximidade de transformadores e equipamentos energizados e manutenção futura. Em instalações indoor, a interação com compartimentação do edifício, ventilação e supressão ganha peso ainda maior.
Essa avaliação precisa ocorrer na fase conceitual. Alterar distâncias e vias de acesso depois que fundações, eletrocalhas e rede de média tensão estão definidas costuma ser caro. Segurança, portanto, é também um requisito de implantação e CAPEX.
Matriz de causa e efeito para alarmes, trips e estados seguros
As funções de segurança precisam ser documentadas em uma matriz de causa e efeito. Para cada evento detectável, o projeto define resposta local, resposta do BMS, ação do PCS, atuação de contatores ou disjuntores, comando do HVAC, sinalização ao SCADA, E-stop, intertravamentos e necessidade de intervenção humana.
| Causa | Resposta automática possível | Validação |
|---|---|---|
| Temperatura acima de limite | Alarme, redução de potência, trip conforme filosofia | Injeção de sinal / simulação de sensor |
| Perda de HVAC | Alarme e limitação operacional | Falha controlada do equipamento auxiliar |
| Detecção de gás | Alarme, isolamento e lógica de ventilação definida | Teste funcional do sistema de detecção |
| E-stop | Estado seguro e bloqueio de rearme automático | Teste físico ponta a ponta |
| Falha de comunicação | Fallback local e alarme | Interrupção controlada de rede |
| Trip de proteção elétrica | Isolamento da fonte e registro de evento | Teste de proteção/intertravamento |
A matriz evita lacunas entre disciplinas. Sem ela, o sistema de incêndio pode gerar um alarme que o EMS não reconhece, o BMS pode solicitar shutdown sem abrir o dispositivo correto ou o SCADA pode mostrar um estado que não corresponde à condição elétrica real.
FAT e SAT de segurança precisam testar falhas, não apenas operação normal
O comissionamento de segurança deve provar o comportamento diante de condições anormais simuláveis. Testar somente partida, carga e descarga confirma funcionamento energético, mas não demonstra que as barreiras atuam quando sensores falham, temperatura sobe, comunicação é perdida ou um E-stop é acionado.
Em FAT, pode ser possível verificar lógica de BMS, EMS, alarmes, setpoints, intertravamentos e interfaces de comunicação. Em SAT, o foco se amplia para instalação real: cabeamento, dispositivos de campo, integração com incêndio, HVAC, alimentação auxiliar, SCADA, dispositivos de seccionamento e estados seguros.
- teste de alarmes e trips por injeção de sinais;
- perda de alimentação auxiliar;
- perda de comunicação entre BMS, PCS, EMS e SCADA;
- atuação de E-stop local e remoto;
- falha ou indisponibilidade de HVAC;
- intertravamento com sistema de detecção/incêndio;
- sequência de shutdown e energização;
- bloqueio de rearme após condição crítica;
- registro de eventos, timestamps e diagnóstico;
- verificação de documentação As-Built e setpoints finais.
Quando determinado ensaio destrutivo ou de grande escala não pode ser reproduzido em campo, o aceite deve usar evidências documentais e testes de funções associadas. O objetivo é manter rastreabilidade entre o perigo demonstrado em laboratório e as barreiras efetivamente implantadas.
Gestão de mudanças: segurança pode se degradar depois do comissionamento
Troca de células, firmware, estratégia de HVAC, módulo, detector, lógica de BMS ou disposição física pode alterar premissas usadas na análise de segurança. Por isso, manutenção e augmentation precisam entrar em um processo de gestão de mudanças.
Antes de aceitar uma alteração, a equipe deve verificar se ela afeta certificações, relatórios de UL 9540A, setpoints, matriz de causa e efeito, estudos elétricos, peças sobressalentes, procedimentos e treinamento. Mudanças aparentemente pequenas podem quebrar a rastreabilidade entre a configuração instalada e a configuração ensaiada.
O Data Book do BESS deve preservar versões de firmware, listas de materiais críticas, relatórios de ensaio, certificados, desenhos, matrizes de lógica, ajustes e histórico de alterações. Essa documentação transforma segurança em processo de ciclo de vida, e não em validação única na entrada em operação.
Descomissionamento e fim de vida também fazem parte da segurança
Baterias degradadas, módulos avariados e sistemas desenergizados ainda podem armazenar energia ou apresentar riscos químicos e térmicos. O planejamento de segurança deve contemplar isolamento, manuseio, armazenamento temporário, transporte e destinação conforme requisitos aplicáveis.
Projetar acesso, modularidade e capacidade de remoção desde o início reduz risco durante substituições e augmentation. A edição 2026 da NFPA 855 inclui capítulos específicos de operação, manutenção e descomissionamento, reforçando que a segurança de ESS não termina na fase de instalação.
Para o proprietário do ativo, isso significa considerar ciclo de vida já no procurement: responsabilidades, documentação de descarte, estratégia para módulos defeituosos, logística de emergência e critérios para retirada definitiva do sistema.
Considerações finais
Thermal runaway é um perigo relevante em BESS de íons de lítio, mas não deve ser tratado como argumento genérico contra armazenamento nem como risco solucionado por um único equipamento. Segurança resulta de arquitetura, prevenção, dados de ensaio, barreiras independentes, layout, detecção, gestão de gases, proteção contra incêndio, operação e resposta a emergências.
UL 9540A e NFPA 855 fornecem referências importantes para estruturar evidências e requisitos, especialmente quando adotadas pela base de projeto. O papel da engenharia é transformar esses requisitos em especificação verificável, equalizar fornecedores, validar a solução efetivamente entregue e manter rastreabilidade ao longo do ciclo de vida.
As funções de segurança precisam ser provadas no sistema construído. Alarmes, trips, intertravamentos, E-stop, HVAC e interfaces com incêndio devem ser testados contra critérios definidos antes da partida.
Referências técnicas
[1] UL SOLUTIONS. UL 9540A Test Method for Battery Energy Storage Systems (BESS). Disponível em: https://www.ul.com/services/ul-9540a-test-method.
[2] UL SOLUTIONS. Understanding UL 9540A, NFPA 855 and Large-Scale Fire Testing for Battery Energy Storage Systems. Disponível em: https://www.ul.com/thecodeauthority/knowledge/understanding-UL-9540A-NFPA-855.
[3] SANDIA NATIONAL LABORATORIES; U.S. DEPARTMENT OF ENERGY. Large-scale testing provides insights to improve energy storage systems’ safety. 2026. Disponível em: https://www.sandia.gov/ess/2026/04/05/large-scale-testing-provides-insights-to-improve-energy-storage-systems-safety.
[4] SANDIA NATIONAL LABORATORIES. Safety and Reliability — Energy Storage. Disponível em: https://energy.sandia.gov/programs/energy-storage/safety-and-reliability/.
[5] SANDIA NATIONAL LABORATORIES. Grid-scale Energy Storage Hazard Analysis & Design Objectives for System Safety. 2020. Disponível em: https://www.sandia.gov/research/publications/details/grid-scale-energy-storage-hazard-analysis-design-objectives-for-system-safe-2020-08-01/.
Perguntas frequentes
É uma condição de instabilidade em que reações internas geram calor de forma autoacelerada. O evento pode produzir gases, altas temperaturas, fogo e propagação para células ou módulos adjacentes.
UL 9540 é uma norma de segurança para sistemas e equipamentos de armazenamento. UL 9540A é um método de ensaio para avaliar propagação de thermal runaway e gerar dados usados no projeto de proteção.
Não automaticamente. Ela é uma referência norte-americana e sua aplicação depende da base de projeto, requisitos contratuais, autoridade competente e compatibilização com legislação e normas locais.
Não. Supressão é uma das camadas de defesa. Prevenção, BMS, controle térmico, detecção, contenção, ventilação, separação e resposta a emergências também precisam ser considerados.
Não. É necessário verificar rastreabilidade entre a configuração ensaiada e a solução proposta, incluindo células, módulos, gabinetes, espaçamentos e sistemas de proteção.
Sim. Alarmes, trips, E-stop, intertravamentos, perda de HVAC, falhas de comunicação, detecção e interfaces com sistemas de incêndio devem ter critérios de teste e aceite quando aplicáveis.
Materiais técnicos complementares
Conteúdos principais sobre o tema
- Arquitetura BESS: baterias, PCS, BMS, EMS e integração elétrica
- Procurement de BESS: como especificar, equalizar e contratar sistemas de armazenamento de energia
- Comissionamento de BESS: FAT, SAT, testes de desempenho e aceite técnico
- Sua instalação elétrica está preparada para receber um BESS? Como fazer o BESS Readiness
