是什么引起汽车锂电池热失控的？
新能源车汽车的电池，是一个复杂系统。可以分3个层面简单理解：
1. 电芯：正极材料、负极材料、电解液，构成了电芯。
2. 电池包：数百至数千个电芯，组合起来成了电池包，俗称Pack。
3. 系统：加上传感器(眼睛与耳朵)测电压、电流、温度；用BMS(大脑)来思考决策；加上执行器(手脚)来控制开关，就成了系统。
自然而然地，电池系统的安全性也可从电芯、电池包、系统这3个层面来理解。
一、电芯层面的安全性
锂离子电池的危险性，主要体现在热失控，俗称失火。关于热失控的分类与机理，@姚昌晟 曾有详细论述：特斯拉自燃的幕后黑手——说说锂电池热失控。
简单地说，汽油再牛逼，燃烧也依赖氧气；而锂离子电池不一样，封闭空间中既有还原剂又有氧化剂，不需要外界空气就可以充分自燃 —— 燃烧，是锂离子电池的固有癖好，我们必须阻止它。
或者，也许我们可以选用那些更为稳定、不易燃烧的电芯？一般来说：
· 磷酸铁锂(LFP)比三元锂更稳定。
· 在三元锂中，镍钴锰酸锂(NCM)比镍钴铝酸锂(NCA)更稳定。
· 在NCM中，NCM622比NCM811更稳定。
天不如人愿的是，能量密度越高的电池，越不稳定。正如张无忌的妈妈所说，漂亮的女人都更会骗人。
能量密度越高的电池，越不稳定 [1]
若天意如此，我们只能尽力而为。在电池原理上未有突破的情况下，我们短期能做的就是尽可能地提高电芯稳定性、安全性。
大牛博士冯旭宁，曾在他的博士论文[2]中概括过主要思路：
· 正极材料：对正极材料进行掺杂和包覆[3]，或金属原子替代的方式[4]来以提高正极材料的热稳定性。
· 负极材料：对负极材料进行包覆[5]，或通过电解液添加剂提高负极SEI膜的稳定性[6]。以及采用新型负极，如钛酸锂(Li4Ti5O12, LTO)负极[7]，合金负极[8]等材料提高负极的安全性能。
· 电解液：对于电解液采用阻燃添加剂，将液体电解质换成固体聚合物电解质，采用离子液体，电解质盐的替代等方式提高电解液热安全特性，也可以通过在电解液中采用过充保护添加剂来提高电池抗过充的能力。
· 隔膜：采用高安全性隔膜，通过陶瓷包覆等手段，降低隔膜热收缩率、提高隔膜崩溃温度[9].
· 保护装置：某电芯企业设计了针刺安全保护装置(NSD, Nail Safety Device)与过充安全保护装置(OSD, Overcharge Safety Device),来降低针刺与过充下热失控的可能性。
总之，在电池往高能量密度前进的道路上，如何提高电芯稳定性、安全性，是一个涉及到材料学、电化学的问题。对于一名汽车工程师来说，透彻理解材料与电化学很困难，若您还是有兴趣，推荐去看专家 @土豆泥 的文章，例如：土豆泥：如何评价法拉第未来 FF91 的首辆预产车下线？。
二、PACK层面的安全性
如果说电芯层面是在关注电池本身的特性，那么PACK层面则重在关注电池与环境的关系，包括加热、挤压、针刺、浸水、振动等等。
PACK层面的安全性，主要由国家/国际标准来保证。
· 国家标准：如GB/T 31485-2015，GB/T 31467.3-2015，GB/T 31498-2015等。
· 国际标准：国外相关的标准包括ISO 12405-2014，IEC 62133-2015, UL 2580-2010，SAE J1929-2011，JIS-C 8715-2-2012等。
· 核心：以GB/T 31485-2015，IEC 62133，SAE J2464为核心。
注：这些测试标准，其实不仅测了PACK，也测了单体。所以，上述“电芯层面”与“PACK层面”的分类仅是为了科普方便，并不严谨，也许以“电池特性”、“电池与环境的关系”划分更好。
为了给大家一个直观的印象，下表是各标准的一个简单对比：
为了满足严苛的测试标准，需要在机械与电气方面做一些安全设计：
· 机械安全设计：防护结构、防水设计、防呆设计、防火阻燃设计等。
· 电气安全设计：接触防护、外短路防护、过流保护设计、高压互锁检测、绝缘检测等。
总体上来说，在PACK层面的国标挺全面、挺严格的，国内的电池包，能过国标测试的，都是英雄好汉。
然而，由于电池包并没有年检规定，三五年之后，老化的电池包是否还满足国标呢？那是另外一个故事了。
三、系统层面的安全性
电芯组成了电池包，虽然可以抗得住水火等各种严苛测试了，但它仍然是一个死物。
BMS，则赋予了它耳目(传感器)、大脑(决策)、手脚(执行器)，才能为新能源汽车提供功能。功能分两大类：
· 本职功能：例如，输出与接收能量(从而驱动车辆行驶)，为是电池的基本功能。
· 监控功能：例如，国家标准GB/T-27930在规定非车载充电时电池管理系统与充电机的通讯协议时，就设计了过流、过压、通讯中断等故障下的安全措施，实际上就是电池系统的一种安全监控设计。
如果对自己、对充电桩的本职功能特别有信心，这些“非本职功能”可以不做，车也能充电、能行驶。当然，没有任何厂家会有这样的盲目自信。
这些安全监控功能做得是否充分、是否全面，就决定了电池系统应对故障、将热失控扼杀在摇篮之中的能力。因为热失控常常发生在满电、过充状态下，所以特别关键的环节就是充电，已经做成了国家标准GB/T-27930。
四、还有第4个层面吗？—— ISO26262与功能安全
请大家思考一下，若电芯、PACK、系统3个层面都做到位，还有哪些可能导致热失控呢？
· 不可抗力：恶劣的交通事故导致电池剧烈变形；新能源车驶入大火；驶入水中浸泡1个月；去街边小店随意拆卸……
· 老化：上文已提到，由于没有年检，所以有可能出厂时还是金刚葫芦娃，三五年后就成了年迈的老爷爷了。
来想去，这应该是最主要的两个因素了吧。
然而，调查结果却是大跌眼镜：如今已经2018年了，充电事故依然占据近1/3的比例，这还是国家专门针对充电环节制定了标准的情况下。
是无良厂家无视国家标准吗？并不是，大多数厂家是规规矩矩按照GB/T-27930来设计的。那为什么按标准做，还是会出事故呢？
原因很简单：任何硬件都可能会失效；任何软件都是人写的，是人就可能犯错误。具体来可能是：
· 系统架构不合理 ：对外部系统有依赖、所设计的架构开发难度过高
· 可靠性未达标 ：硬件的可靠性未达到相应风险的严格程度
· 开发流程不合理 ：软件开发流程、开发人员资质、测试验证的独立性
美国国家工程、耗材数十亿美元哥伦比亚号都可能失事，更何况十几万、几十万一辆的汽车呢？
哥伦比亚号
针对此情况，航天领域的对策是： 不惜代价保证硬件的可靠性；不惜代价保证软件的可靠性。
汽车也是复杂工程，与航天很相似，也有不同：
· 相似点在于：汽车也想提高硬件与软件的可靠性。
· 不同点在于：汽车不能不惜代价。
不让马吃草，又想马儿跑……
于是，汽车领域使用了略有不同的思路：
· 在成本可控的情况下，尽可能地提高可靠性。
· 若可靠性保证不了，则需要在故障发生时，保证人身安全(驾驶员、乘客与车外的人)。
这就是所谓的第4个层面：功能安全(function safety)。注意，功能安全并不是“保证功能是安全运行的”，则是“在功能失效的情况下保证安全”。
为了方便大家理解，举个例子。
大家都知道，“不踩油门但车子疯狂加速”是一件很危险的事情，大家评一评，下面两种方案，哪种更适合汽车呢？
· 采用航空级的芯片，保证永远不会发生“不踩油门但车子疯狂加速”的情况。
· 采用汽车级的芯片，尽可能避免“不踩油门但车子疯狂加速”的情况；并做诊断设计，保证一旦这种情况发生，立刻中断动力(譬如断开电池)并提示驾驶员靠边行驶。
国际标准ISO 26262与国家标准GB/T 34590，规定了功能安全工作的开展方式。这是一个大话题，限于篇幅不再展开。若有兴趣，可以看 @木城 这个科普：知乎用户：ISO26262 中 ASIL 与 DFMEA 有什么区别？
功能安全在国内开展的如何了？ 刚刚起步，稳步进步。
结语
个人浅见，电池的安全性，需要从电芯、PACK、系统、功能安全这4个层面去考察。
以一个比喻，作为本文的结尾：
· 在不出意外的情况下：电芯是细胞、PACK是骨骼、系统是神经系统，这3个层面就构成了完整的功能。
· 而凡事皆有意外：第4个层面的功能安全，则是善于反省来规避错误、凡事都要有Plan B、危机情况果断止损的思维习惯。