储能系统（ESS)是现代电力系统及智能电网的重要组成部分,也是实现可再生能源并网消纳及分布式发电高效利用的重要环节。随着电池技术的不断进步及其成本的降低,以锂离子电池为主的电化学储能系统近年来得到了迅速发展及工程应用。相比铅酸、钠硫等电池储能系统（BESS)而言,锂离子电池储能系统具有能量密度高、转换效率高、自放电率低、使用寿命长等优势。然而,锂离子电池采用沸点低、易燃的有机电解液,且材料体系热值高,在电池本体或电气设备等发生故障后,易触发电池材料的放热副反应,引致电池热失控,进而可能演化成储能系统燃烧爆炸等重大安全事故。国内外锂电池储能的工程应用中均有火灾事故发生,造成了严重的经济损失及社会影响。安全问题已逐渐成为锂电池储能电站建设及大规模应用的首要问题,探究锂电池储能系统安全事故成因,开展储能系统安全状态的评价与早期预警及事故风险的管控与防护等研究具有重要意义。
　　
　　1 韩国锂电储能电站安全事故概述
　　
　　近三年来,国内外锂电池储能系统装机增长迅速,据中关村储能产业技术联盟(CNESA)统计,仅2017～2018年间电化学储能装机由2926.6GW增长至6625.4GW,年增幅126.4%。其中,韩国锂电储能在其可再生能源证书奖励政策激励之下迅速发展,2018年全球新增电化学储能装机中,韩国几乎占据全球45%。然而,韩国储能电站发生火灾安全事故的数量和比率也处于全球首位。2017～2019年期间,报道的韩国储能电站事故已近30起。对此,韩国组织相关电池厂家及研究机构对2019年6月前其境内23起储能安全事故开展了调查及分析,表1汇总了2019年6月前韩国储能事故情况。
　　
　　在相关事故的调研及验证性测试中,调查团队将储能电站事故致因总结为以下四个方面:电池系统缺陷、应对电气故障的保护系统不周、运营环境管理不足、储能系统综合管理体系欠缺。其中,电池内部及成组问题、外部电气故障、电池保护装置(直流接触器爆炸)、水分/粉尘/盐水等造成的接触电阻增大及绝缘性能下降等问题将可能直接诱发电池热失控。而电池管理系统(BMS)、储能变流器(PCS)、能量管理系统(EMS)之间信息共享不完备或不及时,PCS和电池之间的保护配置与协调不当、PCS故障修理后电池的异常、测量装置及管理系统之间发生冲突等系统管理问题,则可能使故障不能及时有效地得到管控而演化为事故。在电池本体安全性方面,该调研报告中对模拟制作的极片折叠和切割不良电池进行充放电测试,在约180次循环过程中未发生能够导致起火的电池内部短路问题,未明确提出电池内部故障是否能触发安全事故演化。然而,从事故触发阶段的统计结果来看，充电后等待阶段的事故发生占比超过60%，如图1所示。
　　
　　在充电后等待阶段中,系统通常处于断路状态,外部电气故障等外部激源触发电池热失控的概率将显著降低。同时,该阶段中电池本体通常处于高SOC状态,一方面更易受外部滥用触发热失控,另一方面电池可能存在局部过充问题,由电池本体引发的系统安全事故概率将显著上升。事实上,韩国在2019年8月至12月间又新增5起储能电站事故,后续报道指出所有的5个BESS的电池都处在高SOC状态(>90%)下,电池逐渐过热引起起火,由电池本体触发储能系统安全事故的可能性极大。一般而言,锂离子电池本体需要工作于适宜的电压、电流、温度及SOC等参数的安全窗口内。国内外学者已对锂电池本体故障及安全演化机理进行了深入研究[],认为过充、过放、过电流、过热等滥用行为以及电池内部短路是导致电池安全状态演化至热失控的直接原因。储能系统作为一个整体,触发上述滥用过程的原因复杂且相互交叉,需要从系统层面进行分析[6]。结合韩国储能事故调查报告,我们围绕电池本体滥用机制,对报告所提四个方面因素进行了归纳和梳理，旨在从系统层面厘清锂电池储能电站安全触发及演化机制，为系统安全性评价与早期预警及安全风险的管控等提供依据。
　　
　　2 锂电池储能系统安全事故演化分析
　　
　　储能安全问题是系统性问题,事故的发生往往由多因素交互作用演化发展,最终导致电池滥用及热失控的发生。借鉴韩国储能事故报告对安全诱因的分类,本文将安全事故成因划分为电池本体、外部激源、运行环境及管理系统四类,并讨论四类诱发因素的相互作用机制及对电池滥用和失控过程的触发机制。图2归纳了四类诱发因素交互及滥用触发关系。
　　
　　(1)电池本体因素
　　
　　由电池本体诱发安全事故的来源主要包括电池制造过程的瑕疵以及电池老化带来的储能系统安全性退化两方面。电池在生产制造过程中,存在涂布过程金属污染物颗粒混入、正负极流体边缘毛刺等概率。虽然韩国储能事故调查中对该类问题进行了验证性测试,指出180次循环内未发现电池故障,但受循环次数和循环工况的限制,该结果的得出未考虑毛刺、颗粒随电池老化而发生形态演化问题。研究表明,Fe、Ni等金属颗粒污染物混入电池内后,会随着电池老化的进行逐渐分解并沉积在负极表面,形成枝晶并逐渐演化为微内短路。由于Fe、Ni等金属熔点远高于Li,形成的微内短路不像锂枝晶会熔融消退,而是逐渐扩展为硬短路,导致隔膜结构破坏及热失控的发生,其危害甚至高于锂枝晶生长造成的内短路。关于锂离子电池的老化过程性能变化,理论研究已经定性揭示了这个过程:在锂离子电池运行过程中,副反应会导致电池的阳极和阴极都发生老化。对碳基阳极来说会产生一层SEI(固体电解质界面)膜,SEI膜对电池正常运行有益且必要,但电解质分解产生的副反应会导致电池性能衰退。老化过程中SEI膜因电解质的反应产物的沉积而变厚;阴极的表面也会产生一层表面膜,在老化过程中膜的厚度变化不会很明显,但其孔隙率、电导率和扩散系数会因副反应产物的沉积堵塞已生成的表面膜微孔且随着时间发生变化。负极的SEI膜变厚,使电池阻抗增加和发生不可逆的锂损失,最终造成容量衰减;而正极的活性颗粒受到沉积物的阻塞同样会增加阻抗,导致可用活性物质和容量减少。上述论断是电池在常规使用条件(适宜温度,一般为20～40℃;低倍率放电;容量衰减小于20%)下电池内部的变化;在非常规的运行环境及管理系统因素影响下,如高温或低温环境、高倍率充放电或电池容量衰减大于20%时,电池内部发生的老化过程更加复杂多变,逐渐演化为安全问题。图3揭示了锂离子电池老化过程所有可能经历的内部变化。电池的首次充电过程使负极(一般为嵌锂碳)和电解质发生电化学反应,生成SEI膜;在电池的后续循环过程中,电化学寄生副反应使SEI沉积并变厚,电极材料的不断膨胀与收缩导致新的活性位点暴露出来,在快速充放电或电极活性物质分布不均匀的情况下,活性物质(模型中一般简化为颗粒)容易发生粉化、碎裂、脱落或结构错位;与此同时,如果电池长期在高于其额定电流的电流密度下快速充电或低温下充电,其负极表面容易形成金属锂枝晶。金属锂用作电池负极时,也容易产生枝晶,若这两种枝状晶体逐渐生长,容易刺穿隔膜,引起电池内部的短路。此外,当电池过放电时(1～2V),负极的集流体铜箔开始溶解,在电极上析出形成铜枝晶,易造成电池短路,同样,正极集流体铝的表面氧化膜长时间与电解质相互作用可能发生溶解,使得铝箔被电解质腐蚀。
　　
　　电池制造瑕疵及老化过程枝晶生长可能造成的直接后果是电池内短路,并由内部短路位置的局部过热逐渐触发电池材料的链式放热副反应。电池过热时触发的副反应带有正极金属氧化物晶格释氧的放热反应,即使在外界强制冷却或人为密封隔离(无氧)的情形下,也不能有效阻止锂离子电池的热失控发生。电池本体因素也是外部激源及管理系统失效产生的原因之一。老化严重的电池有可能产生鼓胀及排气漏液等问题,进而腐蚀铜排及连接件等部件,造成接触电阻增大、绝缘性能降低,触发外部激源。电池初始状态及老化程度的不同将造成电池系统的不一致性,在规模化成组的储能系统中,电池间的不一致性将对BMS、PCS等管理系统带来新的挑战。初始缺陷或老化程度更高的短板电池可能在实际运行过程中长期满充满放,甚至过充过放,使得内部缺陷逐渐被放大,最终导致单体及系统的失效。鉴于电池本体因素的长周期演化特征,研究如何通过电池内部老化机理、电池间不一致性演化以及对应的外部参数变化,实现对储能系统安全性演化趋势的预测和早期预警,是当前锂电池储能系统安全管理亟需突破的重点。
　　
　　(2)外部激源因素
　　
　　外部激源包括绝缘失效造成的电流冲击及外部短路等问题,也包括除电池外部件高温产热造成的热冲击,以及某电池热失控后触发的热失控蔓延过程。一般而言,储能电站通常为厂站或集装箱结构设计,电池通常处于静止状态,外部机械激源,如挤压、针刺等行为不构成储能电站安全性的主要矛盾。外部短路将直接导致电池迅速升温。常规的换热条件下(自然对流、室温发生故障),新的锂离子电池发生外部短路会发生过热和触发材料相关的副反应,老化电池因为内阻变化的原因,同一短路条件下(SOC、短路电阻相同)可能更容易过热。外部短路的危害与其作用时间直接相关,值得说明的是储能系统以及电池本体通常具备主动和被动的过流保护装置,如系统的熔断器、电池内的正温度系数热敏电阻(PTC)、电流阻断装置(CID)等,能够有效降低外部短路作用时间。在电冲击方面,韩国事故研究表明,外部电冲击可能造成电池保护装置(直流接触器等)的损坏甚至爆炸,进而造成保护装置附件的二次短路事故发生,产生火灾,并以热冲击的形式作用于电池,诱发更大规模火灾事故。热冲击将直接造成电池单体或模块过热,有可能演化为热失控。触发热冲击的原因包括连接件老化故障产生的电弧、热失控电池瞬时大量放热给附近电池等等。如果电池散热条件良好或配备有足够强度的主动热管理措施,通往热失控的路线会能够被切断,就可以避免严重的危害发生。因此,包括短路在内的故障发生时,严格监控电池表面温度,通过主动降温等热管理措施避免其超过自加热温度,是降低电池失效和过热发生热失控的有力措施。
　　
　　(3)运行环境因素
　　
　　如前文所述,锂电池需要工作于各参数的安全窗口范围,需要通过初始电热管理设计、BMS/PCS/EMS以及空调系统等管控来维持合理的运行环境。运行环境管理不善将逐渐影响电池及系统的可靠性,进而演化为事故。在韩国储能事故调查报告中,验证性测试证明了水分、盐雾及粉尘将降低电池内模块绝缘性能,从而以外部激源为路径触发电池系统火灾。环境温度对锂离子电池安全运行至关重要,将对电池本体安全因素产生重要影响。低温环境会减小电池内化学反应速率、降低电解液内离子的扩散率和电导率、使SEI膜处的阻抗增加、锂离子在固相电极内扩散速率减小、界面动力学变差,石墨负极处极化作用显著增强。低温充电时石墨负极将发生锂电镀,这会使负极被金属锂沉积物包裹,造成严重的容量损失,甚至当锂枝晶生长刺破隔膜时造成电池内短路。
　　
　　高温环境不利于电池散热,当电池内部生热量大于外部散热量时,其温度会逐渐上升至过热状态,过热电池会触发各种材料滥用反应,电池内部放热更大,触发热失控。电池间温差过大将构成各电池老化速率的不一致性,影响系统整体性能,并且不一致性增大到一定程度,将严重影响BMS管控性能[18]。尽管韩国储能事故调查报告中认为电池温差不直接造成系统事故,但在系统不一致性长期演化下,BMS对短板电池的管控将存在SOC/SOH估计误差、短板电池过充过放等问题,严重时也可能导致安全事故。
　　
　　(4)管理系统因素
　　
　　管理系统因素不仅包括BMS、PCS、EMS以及对应的联动管控逻辑,也包括管理规章制度等人的因素。前者是系统的核心控制和决策单元,主要作用是对电池系统的工作状态进行监测和管理,对保障电池安全、稳定、可靠运行有重要意义。
　　
　　韩国储能系统安全事故大都是在充电完成后的高SOC状态下发生的,存在局部过充的可能性,这与管理系统的可靠性直接相关。在韩国储能事故二期报告中,调查团队分析EMS历史记录证实了这一点,发生事故的BESS存在部分电芯的电压超过了电池企业的建议的上限充电电压(4.15V)30mV,并且连续压差超过400mV。此外,2018年6月24日的EMS记录电芯在SOC为0时放电约3min的情况。管理系统的监测误差及管控滞后甚至失效,是导致电池系统各种滥用以及电池本体非正常老化的直接原因。管理系统的可靠性、有效性一方面取决于监测数据是否准确,另一方面取决于管控系统的输入参数是否合理。随着电池本体因素演化,电池安全阈值参数都将发生变化,在强化管理系统联动设计可靠性的同时,也需要通过定期维护实现参数监测的校准及判据的更新。此外,国内外现行电池储能系统的厂内验证测试(FAT)主要针对各单体设备,电池、PCS、BMS及EMS按照各设备对应的标准进行测试验证,虽然针对各单体设备的国际、国家及行业标准均对设备提出了较为明确、严格的要求,但却难以对其组成的完整系统的控制管理性能进行测试与验证。而在现场调试或现场验证测试(SAT),电池储能系统受现场因素制约通常主要进行典型工况充放电性能、功率响应特性、系统充放电容量及效率的测试,依然难以对控制管理性能进行有效的测试与验证。
　　
　　(5)韩国储能事故经验总结
　　
　　结合韩国储能事故数据,以及四类引致安全事故因素的分析,可以对锂电池储能系统安全性管理做出以下经验总结。①电池本体因素仍然是储能系统安全的核心,受现阶段管理系统的监测管控可靠性限制,对电池本体的充放电SOC区间有必要适当收紧。一般而言,锂电池在20%~80%的SOC区间工作时充、放电内阻均较小,发热量也相应较小,并且该区间工作不容易造成电池的过充过放问题,有利于规避因此而产生的风险;②电池老化因素及运行环境因素的长期演化将可能造成腐蚀性的绝缘部件损坏,需要强化绝缘检测并进行定期维护检查,同时需要强化漏电断路装置、过电压保护装置、过电流保护装置等电气冲击保护装置的可靠性;③储能系统配置足够强度和灵活性的主动热管理系统是非常必要的。一方面,针对热失控风险单元,可以采取强化制冷、调控冷却介质流量等主动式热管理策略来减缓甚至消除滥用电池内部材料链式反应,降低或消除事故演化为火灾的概率;另一方面,当局部热失控发生时,主动热管理系统可以一定程度上阻断热失控蔓延,防止事故规模的扩大,减少损失;④电池储能系统的标准体系有待进一步完善,特别是涉及PCS、BMS、EMS之间协调、控制与管理的相关标准。对于大型电池储能系统,系统级控制管理性能测试与验证手段需要建立,可考虑依托硬件在环实时仿真实现,以使新电池储能系统在开发设计阶段及储能系统现场在调试前能实现较为完整的系统控制、保护、管理功能及性能验证;⑤目前业内重点关注和大力开展的热失控提前预警和消防安全技术,不能从根本上避免锂电储能系统的安全事故。欲达成锂电储能电站“零事故”绝对安全的目标,需要改变思路,从电池安全状态的实时评价和预测着手,针对电池本体及运行条件等多因素耦合作用的长期演化特性,研发电池安全风险的早期预警系统,从源头降低电池系统热失控风险。
　　
　　3 锂电池储能系统安全性的评价与早期预警
　　
　　理解和分析储能系统安全事故因素及其交互关系是开展安全风险早期识别的前提。电池本体因素、运行环境因素通常为长周期的渐变性演化因素。外部激源的产生一部分来自电池本体及运行环境长期作用结果,可以通过长周期演化规律预测该类外部激源产生概率,另一部分为偶发性因素,需要通过管理系统阈值判断来识别和管控。结合韩国储能电站事故分析,电池本体因素及运行环境因素逐渐演化是引起储能电站事故的根本诱因。鉴于该类因素的长周期演化特性,我们将锂电池储能系统安全性评估划分为两个层次。一是安全状态早期预警,二是热失控的提前预警，如图4所示。
　　
　　目前储能系统的安全预警均以管理系统某些特征参数的阈值判断来识别电池是否有热失控风险,其对安全管理的定义主要是指消防安全,对应的早期预警主要是指热失控的提前预警。针对锂电池热失控风险的预警包括判断各种滥用阈值是否被触发、是否监测到滥用过程副反应产气等。
　　
　　然而发展到该阶段时,电池内部链式反应已经产生,单体热失控已不可逆;预警的主要目的是提前预判热失控,给消防系统的介入争取时间,控制事故的扩大。在安全状态早期预警阶段,通过对电池运行及环境因素的历史数据分析、机理模型推演、演化趋势判断等开展安全特性演化行为预判,有望实现潜在热失控电池的更早期甄别,通过采取适当的安全管控措施可以有效避免热失控的发生。电池本体安全状态演化识别包括内短路发展估计、老化程度估计以及成组后的不一致性演化评价等方面。从系统层面来看,对电池间不一致性及其演化规律的识别,将有可能获取更多安全状态演化信息。例如某电池本体的电压异常,其有可能是与电池组内其他单体的可用容量、内阻、自放电率、荷电状态等存在明显差异而导致,往往需要结合电池内/外参数辨识技术,才能实现对引发电压故障的原因实施合理诊断。运行环境因素对安全性的影响具备时间积累特性,并受管理系统的初始设计和管控性能的直接影响,同时运行环境以边界条件的形式影响电池本体安全状态演化。综合以上特征,借助储能系统多尺度多场耦合建模仿真,并通过融合算法与实测数据动态交互,分析电池系统宏观特征表现变化的成因,进而实现不同热失控触发机制的识别和定位,是实现安全状态早期预警的关键。
　　
　　4 结束语
　　
　　基于韩国储能事故调查报告,对电池本体因素、外部激源因素、运行环境因素及管理系统因素四个方面进行了分析,梳理了四类因素对电池及系统安全事故的触发及演化规律,并探讨了四类因素间的相互影响机制,进一步从中总结了储能电站安全管理经验,包括:限制电池本体充放电SOC区间以降低电池发热及规避过充过放风险;强化绝缘检测并进行定期维护检查,提升漏电断路装置、过电压保护装置、过电流保护装置等电气冲击保护装置的可靠性,降低外部激源冲击风险;建立合理可靠的发展趋势评估及安全状态早期预警机制,从源头降低电池系统热失控风险。电池本体因素及运行环境因素属于长期演化因素,同时也是部分外部激源的产生原因,对其演化规律的分析、监测和评估有望实现系统安全状态的早期预警。通过储能系统多尺度多场耦合建模仿真并与实测数据动态交互,分析电池系统外部特征行为变化的内在诱因,诊断/辨识并定位潜在的安全风险,实现安全状态的早期预警。安全状态早期预警可以识别和定位安全状态劣化单元,通过有效的安全管控(包括状态劣化电芯的维护或更换)措施,干预电池安全特性的演化,避免电池发展到(临近)热失控阶段,有望实现锂电储能电站的“零事故”绝对安全。主动热管理措施(强化制冷、调控冷却介质流量等)将在储能系统安全管控、干预安全特性演化、阻断热失控蔓延等方面发挥作用。建议发展锂电储能系统安全风险早期预警技术/系统的同时,研发与储能系统相适配的主动热管理系统。
　　
　　作者简介
　　
　　曹文炅（1983-),男,研究方向为锂电池热和安全管理。
　　
　　郑耀东,研究方向为电网运行方式。
　　
　　编辑：Harris