锂离子动力电池事故主要表现为因热失控带来的起火燃烧
。起火燃烧是令人担忧的安全性问题，但事实上，目前发生的事故所造成的危害有限，除电池组燃烧、损坏车辆本体、引燃周围车辆之外，发生人员伤亡的情况较为罕见。大部分事故中，人员能够及时得到危险警示并安全撤离事故现场。事故4 中的人员伤亡主要是由于高速碰撞造成车内乘员昏厥而无法逃生，事故 6中的人员受伤是由于飞机紧急降落后的疏散过程中发生的摔伤。
研究锂离子动力电池的安全特性，并揭示安全事故的产生机理，对于解决动力电池系统安全性问题十分必要。
一方面，这有助于消除民众对于「锂电池是否安全」的疑问；另一方面，从机理出发，制定对应的策略，可以有效地改进电池系统设计，保证锂离子动力电池系统的安全。
图 2 动力电池系统安全性问题的层次
锂离子动力电池系统由多节电池组成，实际的车载工作条件复杂，其安全性问题表现为 3 个层次（图 2）。
1）
电池系统安全性的「演变」
。安全性事故发生前，有两种情况。
一种是电池系统长期老化带来的可靠性降低，也称之为安全性「演化」
比如表 1 中的事故 1、2、3、5、7；
另一种是突发事件造成电池系统损坏并引发电池热失控与起火燃烧，也称之为安全性「突变」
比如表 1 中的事故 4 和 6。安全性的「演化」与「突变」统称为「演变」。
2）
电池系统安全性事故的「触发」
。电池系统长期老化与突发事件造成的电池系统损坏，可能会「演变」为锂离子动力电池的热失控与起火燃烧。
锂离子动力电池从正常工作到发生热失控与起火燃烧的转折点称为「触发」
。
3）
电池系统安全性事故的「扩展」
。单体电池或电池组内部分电池发生热失控「触发」之后，热失控与燃烧短时间内放出大量的热量。这些热量向周围电池与电池系统附件传递，会带来相应的次生危害，如周围电池依次发生热失控与燃烧，或火焰传播点燃车内线束与内饰等。
这类热失控与起火向周围传播的现象称为事故的「扩展」
2. 动力电池安全性演变
2.1 「演化」与「突变」
安全性事故发生前有两种情况。
如表 1 中的事故 1、2、3、5、7；
如表 1 中的事故 4 和 6。
从时间尺度上看，安全性演化的耗时很长，而安全性突变的耗时很短
。例如，
事故 1 属于安全性演化，因装配问题造成的接头松动之前，电池经受了长期的车载振动 [7]；
事故 5 中属于安全性演化，从设计缺陷到内短路触发之前，电池需要经历长期的内短路「生长孕育期」及长期的不合理使用[8，9]；
事故 6 属于安全性突变，动力电池组受到瞬间撞击后机械变形，电池不仅受到挤压并且发生位置移动，从而造成短路与热失控[10]。
相比而言，安全性突变难以预测，可以通过既有事故的形式来改进电池系统的设计；而安全性演化耗时长，伴随有电池系统的老化，可以通过检测电池系统的老化程度来评估电池系统安全性的变化。
2.2 安全性演化机理
电池系统任何部件的老化都可能带来安全事故的触发
。事故 1中，错误的装配顺序使得电池连接线接头在长期车载振动条件下发生松动，继而导致接头处电阻增大。而混合动力电动车行驶过程中，电池充放电的电流在松动的接头处产生大量的热量，加热了部分电池，终导致电池热失控事故的发生。事故7 中，电池管理系统的失效，造成电池组长期持续过充电，终导致热失控事故的发生。
需要注意的是，以上事故中，电池系统部件从老化到发展为终的热失控事故，经历了较长时间。例如，对于有预紧力的螺纹接头，少量松动对于接头处的电阻影响并不是很大[11]；而有研究表明，少量的电池过充对于电池的性能也并不会有太大的影响 [12]。
除了电池系统其他部件的老化之外，
电池本身的安全性演化主要表现为内短路的发展
。内短路被认为是系列事故 5 的主要原因 [8，9]。内短路在终发生之前，会经历相当长的「生长孕育期」[13]。
锂离子动力电池发生内短路的原因很多，其中电池内部的金属枝晶生长是造成内短路的主要原因之一
金属枝晶生长可以来自电池正极中的过渡金属（铜、铁等）的溶解与再生长，也可以来自锂金属的析出与生长[14]。电池设计与生产过程中的缺陷会有利于金属枝晶的生长，比如电池在制造过程中混入的杂质，或者电池极片由于装配应力作用发生的褶皱，金属枝晶在杂质和褶皱附近更容易生长。锂金属的析出与生长还与充电倍率，充电温度相关。大倍率充电或低温充电都可能增加锂金属析出的可能[15]。
图 3 锂离子电池内部金属枝晶的生长与隔膜的刺穿
如图 3 所示，
金属枝晶的长期生长可能会挤入隔膜的孔隙，并终刺穿隔膜，造成内短路甚至热失控事故
[16，17]。需要注意的是，锂枝晶生长刺穿隔膜导致热失控之前，老化电池的安全性相对新鲜电池而言已经发生了变化：一方面，由于能量密度的降低，电池热失控造成的危害可能会降低；但另一方面，由于内部金属枝晶的存在，老化后的电池可能更容易发生热失控[18，19]。
3. 电池安全事故触发
3.1 热失控机理
经过演变过程，电池事故将会进入「触发」阶段。一般在进入触发阶段之后，锂离子动力电池内部的能量将会在瞬间集中释放，此过程不可逆且不可控，也称之为热失控
（Thermal Runaway）。热失控后的电池发生剧烈升温，温度可高达 1000℃，并可以观察到冒烟、起火与爆炸等现象。
当然，从「安全性」的广义定义来看，电池安全事故中，也可能不发生热失控。如电池发生碰撞事故后并不一定发生热失控；而电池组绝缘失效造成人员高电压触电，电池漏液产生异味造成车载人员身体不适等情况下，电池也不会发生热失控。在动力电池系统的安全设计当中，以上情况都需要考虑。而
热失控则是安全性事故常见的事故原因，也是锂离子动力电池安全性事故特有的特点，故本文以热失控为核心进行了专门介绍。
图 4 某款三元锂离子动力电池热失控实验数据
（实验仪器为大型加速绝热量热仪，EV-ARC）
图 5 某款三元锂离子动力电池热失控不同阶段的机理
大量实验研究表明，热失控后的电池不一定会发生冒烟、起火与爆炸，也可能都不发生，这取决于电池材料发生热失控的机理。图 4、图5 与表 2 展示了某款具有三元正极/PE 基质的陶瓷隔膜/石墨负极的 25 A·h 锂离子动力电池的热失控机理。图4为该款锂离子动力电池绝热热失控实验中的温度与电压曲线，根据其热失控温度变化的特征，将热失控过程分为了7个阶段。在不同阶段，电池材料发生了不同的变化，图 5 通过一系列的图片解释了各个阶段电池材料的变化情况。
表 2 某款锂离子动力电池热失控的分阶段特征与机理
表 2 [20，21] 列出了该款锂离子动力电池热失控的 7 个分阶段的特征及相应的机理。结合图 5 与表2，可以解释热失控后电池冒烟、起火与爆炸的情况。
对于冒烟的情况
在阶段 V，如果电池内部温度低于正极集流体铝箔的熔化温度 660℃，电池正极涂层就不会随着反应产生的气体喷出，此时观察到的会是白烟；而如果电池内部温度高于 660℃，正极集流体铝箔熔化，电池正极涂层随着反应产生的气体大量喷出，此时观察到的会是黑烟。
对于起火的情况，热失控事故中的起火一般是由于电解液及其分解产物被点燃造成的
。从阶段 II 开始，从安全阀泄漏出来的电解液就有可能被点燃而起火。从燃烧反应的3要素（可燃物、氧气、引燃物）来看，可燃物主要是电解液；氧气在电池内部存在不足，电解液需要泄漏出来才会发生起火；引燃的主要原因是喷出的气体温度高于其闪点。
对于爆炸的情况，爆炸一般表现为高压气体瞬间扩散造成的冲击。
电池内部具有高压气体积聚的条件，而
安全阀则是及时释放高压积聚气体的关键
。安全阀体如能在电池壳体破裂之前开启，并释放足够多在热失控过程中产生的高压气体，电池就不会发生爆炸；安全阀体如不能及时开启，就可能会发生爆炸事故。
3.2 事故触发的分类
造成锂离子动力电池热失控事故的触发原因很多，根据触发的特征，可以分为机械触发、电触发和热触发 3 类
[22]。如图 6 所示，3 类触发形式具有一定的内在联系。一般地，
机械触发会引发短路并造成电触发，而电触发产热造成了热触发，热触发造成的热失控是事故触发的核心
。其他触发形式的机理分析都离不开对于热触发机理的研究。对于热触发机理的研究，为理想的研究仪器是绝热量热仪，对于大型动力电池而言，需要采用大型动力电池量热仪（EV-ARC）来进行热失控特性的测试。
图 6 事故触发的分类
机械触发
包括挤压、针刺、跌落等，主要特征是电池受力发生形变；
电触发
包括外短路、内短路、过充电、过放电等，主要特征是触发过程中存在电流流动；
热触发
包括异常加热、火焰加热等，主要特征是电池持续吸收环境中的热量而温度升高。
安全性测试标准中规定了根据事故分析所获得的详尽的各类事故触发因素。通过了安全性测试标准的电池发生触发事故的概率也大大降低。由于实际工况非常复杂，事故触发的原因可能与安全性测试标准中的规定的情况有所出入。这解释了为什么表1 中所列的各类动力电池系统均通过了安全性测试标准，事故仍然可能发生。
4 热失控在电池系统内的扩展
4.1 热失控扩展的危害
热失控触发后，局部单体热失控后释放的热量向周围传播，将可能加热周围电池并造成周围电池的热失控，也称之为热失控在电池组内的「扩展」。
单体电池热失控所释放的能量是有限的，如果发生链式反应造成热失控的扩展，整个电池组的能量通过热失控释放出来，将会造成极大的危害。
图 4、图 5 所示的 25 A·h 三元锂离子电池（具有约 0.1kW·h 的电能）热失控时释放出的能量约为 630kJ，相当于0.15 kg TNT当量。对于一个具有 60 kW·h的纯电动车的动力电池系统而言，如果所有单体由于热失控扩展而释放出全部能量，将会相当于释放出 90 kgTNT当量的能量。也就是说，热失控扩展一旦发生，造成的危害将会很大。人们需要防范热失控扩展的发生，把热失控局限于部分单体。
4.2 热失控扩展的机理
从能量守恒的角度而言，当热失控单体的周围电池受到的热失控扩展造成的加热功率大于其本身的散热功率时，受到加热的周围电池的温度就会升高，继而发生热失控触发。如图7（a）所示的方形电池模块内，热失控扩展过程中的热量传递有 3条可能的主要路径：1）相邻电池壳体之间的导热；2）通过电池极柱的导热；3）单体电池起火对周围电池的炙烤。
图 7 热失控扩展的几条可能路径
壳体导热与极柱导热的两条路径主要作用于相邻电池之间，容易分析与控制[23]。对于方形电池而言，在壳体与壳体之间接触良好的情况下，通过壳体的导热要远大于极柱的导热[23]。而对于圆柱形电池模块而言，如图 7（b）所示，单体与单体之间的传热还可能需要考虑热辐射的影响 [24]。
而起火炙烤既可以作用于相邻电池，也可以作用于周围的电池系统附件，评估其对于电池系统造成的危害会更加复杂与困难[25，26]。有研究表明，电池起火燃烧放出的热量要高于不起火时单纯热失控放出的热量[27]。发生起火后，火焰一般附着在热失控电池阀体周围。由于火焰的外焰温度高，阀体开启方向上的电池及附件受到的加热为剧烈。
从设计角度看，电池系统本身具有一定的密闭性，热失控产生的高温气体来不及扩散，也可能会加热周围的电池。
4.3 防范热失控扩展与电池系统设计的矛盾
根据热失控扩展的机理，可以有针对性地设计防范热失控扩展的方案。
需要防止火焰的发生。
可以通过阀体喷射方向的设计，来引导火焰的生成方向；也可以加入灭火剂来进行灭火。当然，动力电池系统通过了安全性测试标准，火焰发生的概率已经得到降低；动力电池系统密封性良好使电池系统内部氧气含量不足，也不利于火焰的生成与发展。要考虑高温气体扩散对电池系统其他部件的影响。部分电池已经具有能够及时排出高温气体的系统。
要适当阻隔电池之间的传热路径，如在单体电池之间设置隔热层
[28]。需要注意的是，在热管理中，电池壳体间可能预留有空气空隙以供风冷，并将相邻电池隔开。在热失控扩展过程中，热失控电池膨胀，空气空隙将因为电池的膨胀而消失。此时，电池与电池之间的传热仍然是快速导热，用单纯预留空气空隙的方法防范热失控扩展是行不通的。
可以通过在单体热失控触发之后，增强电池系统内部的散热；将故障电池周围的电池进行放电；在电池之间填充相变材料吸收热量等方法来抑制热失控的扩展。
防范热失控扩展的设计与电池系统的其他功能设计存在一定的矛盾
。阻隔传热路径的方法可能造成电池组内部温度不均匀程度的加剧，这与电池组热管理设计中，温度一致性的设计目标相矛盾。
增加灭火、排气、隔热等措施，均会降低电池系统比能量，增加电池系统的设计成本。
如何合理地配置安全性措施，以防范热失控扩展的发生，考虑电池系统性能指标和设计成本，是电池系统安全性设计的重要议题之一。
5. 电池事故防范与安全性监控
除热失控扩展的防范之外，动力电池系统需要全方位的事故防范措施与安全性监控措施。
5.1 安全性测试标准
锂离子动力电池在大规模生产销售之前，必须要通过相关的安全性测试标准的认证。安全性测试标准针对不同的热失控触发与扩展的情况而制定，能够获得认证的锂离子动力电池发生安全性事故的概率也会大大降低。
中国于 2015 年 5 月发布了一系列安全性测试标准，如 GB/T31485-2015、GB/T31467.3-2015、GB/T 31498-2015 等 。国外相关的标准包括 ISO 12405-2014、IEC62133-2015、US 2580-2010、SAE J1929-2011、JIS-C 8715-2-2012 等。
5.2 动力电池系统安全性设计
以防范热失控事故为核心，动力电池系统的安全性设计需要考虑事故的「演变」、「触发」与「扩展」等因素。防范热失控事故的触发，可以通过改善单体电池材料的安全性实现[29]，也可以利用电流断路器、正温度系数电阻（PTC）等安全器件实现 [30]。
地，动力电池系统安全性设计除了关注以热失控为核心的问题之外，还要对于各个部件的失效模式有清楚的认识，从而全方位地防范动力电池安全性事故的发生。实际设计过程中，应充分借鉴系统安全工程相关理论，从功能安全设计出发，进行故障类型与影响分析（FMEA）[31]，分析所有可能的事故起因，并针对各种故障进行有针对性的设计。
5.3 动力电池系统安全性监控
除了进行安全性设计以外，动力电池系统在运行过程中需要进行妥善的管理，以防止电池系统遭到滥用，并对于可能的事故触发倾向进行监测与预警。
动力电池管理系统（BMS）的一个重要功能即是对于动力电池系统的安全性进行监控
[32]。
动力电池管理系统设定了动力电池组的安全工作范围。
动力电池在输出功率时，应工作在设定的安全工作范围之内。动力电池管理系统对于各节动力电池单体，进行包括荷电状态（SOC）、电池寿命状态（SOH）、电池剩余能量状态（SOE）、电池功能状态（SOF）及电池安全状态（SOS）在内的状态估计。对于异常的单体进行关注，对于出现的一致性问题进行合理的均衡。
电池管理系统基于电池系统的热管理设计，对于电池温度进行监控，保证电池系统温度的合理与一致性。
随着电池单体寿命的延长，人们逐渐意识到动力电池事故存在长期「演化」的问题，设计动力电池管理系统时，还应开发相应的算法，对于可能的事故「演化」过程，如内短路等进行监控。对于超出安全阈值的事件，动力电池管理系统应具有主动的报警功能，保证人员能够有充足的时间撤离[32]。
6. 结论
动力电池系统安全性问题主要分为 3 个层次，即「演变」、「触发」与「扩展」
。动力电池安全性事故发生之前，应通过系统算法对安全事故进行预警。
热失控触发发生后，应防止热失控扩展的发生
。热失控扩展过程机理的认识有助于优化设计方案，降低安全性事故造成的损害。深入研究安全性问题各个层次的机理及其演变过程，提出有效的事故防范措施和安全性监控措施，是下一步研究的工作重点。
现有的锂离子动力电池经过了安全性标准测试，在电池系统中也具有对应的安全措施，其动力电池系统的安全性已经有了很大的提高。现有的安全性事故造成的危害有限，随着锂离子动力电池的比能量的提高，单次安全性事故造成的危害会增大；电动汽车的大规模普及也将使安全性事故发生的频率增多。
相关厂家必须重视锂离子动力电池系统的安全性问题，绝不能通过牺牲电池系统的安全性来降低生产成本。因为，
安全性事故一旦发生，危害的是消费者的生命财产安全，当然也意味着企业产品信誉的损失。
