TL;DR（30 秒版）
储能电池热失控（Thermal Runaway）是行业最严重的安全风险，直接指向火灾、爆炸。综合 UL 9540 测试数据与事故报告：
| 失效模式 | 建议起评 S/O/D | 证据等级 |
|---|---|---|
| 内短路（隔膜缺陷/枝晶） | 10 / 3 / 4 | 官方事故报告 |
| 过充/过放（BMS 失效） | 10 / 2 / 3 | 官方事故报告 |
| 散热不良（热管理失效） | 9 / 4 / 4 | 企业公开 |
对质量团队的直接动作：BMS 必须实现多级保护（电芯级 → 模组级 → 系统级），热失控传播测试按 UL 9540A 执行。
一、背景与范围
- 研究对象：大型储能系统（BESS）中锂离子电池（LFP / NMC）的热失控失效。
- 市场背景：全球储能装机量快速增长（>100 GWh/年），安全事故引发行业关注。
- 不在范围内：消费电子电池、动力电池（另有专题）。
二、数据来源与研究方法
- 事故报告：NHTSA/NTSB 储能/电池火灾事故报告、消防部门调查报告。
- 测试标准：UL 9540/9540A 热失控传播测试结果数据。
- 学术研究：热失控机理、BMS 保护策略的期刊文献。
三、失效模式清单
FM-1 内短路
- 失效机理：隔膜缺陷（针孔/厚度不均）或锂枝晶生长 → 正负极内部短路 → 局部高温 → 热失控链式反应。
- 失效后果：单体热失控 → 传播至相邻电芯 → 模组/系统级火灾。
- 触发场景：制造缺陷（金属异物混入）、长期循环后枝晶生长。
FM-2 过充/过放
- 失效机理：BMS 电压采样失效或均衡电路故障 → 单体过充（>4.2V）或过放（<2.5V）→ 电解液分解/铜枝晶 → 热失控。
- 失效后果：单体热失控，可能传播。
- 触发场景：BMS 硬件故障、软件 Bug、传感器断线。
FM-3 散热不良
- 失效机理：液冷系统泄漏/泵故障 / 风冷通道堵塞 → 散热能力下降 → 电芯温度不均 → 热点加速老化 → 热失控。
- 失效后果：系统级热事件。
- 触发场景：冷却液泄漏、风扇故障、环境温度极端。
四、根因分析
- BMS 架构设计（设计根因）：单级保护无冗余，采样精度不足。
- 电芯制造质量（工艺根因）：金属异物控制、隔膜涂覆一致性。
- 热管理设计（设计根因）：散热裕度按典型工况，极端工况不足。
五、对设计与工艺的要求
- BMS 多级保护：电芯级（OV/UV/OC 保护 IC）→ 模组级（BMU 主控）→ 系统级（EMS 总保护），三级独立。
- 热失控传播防护：模组间隔热材料（气凝胶/云母板），泄压阀定向排气。
- 电芯制造：洁净室等级 ≥ 10000，金属异物检测（X-Ray / 在线短路测试）。
六、对检测与控制的要求
| 控制项 | 类型 | 建议等级 |
|---|---|---|
| 电压/温度采样精度 | 来料检测 | 100% |
| BMS 保护功能验证 | 功能测试 | 100% |
| 热失控传播测试（UL 9540A） | 型式试验 | 每系统设计变更 |
| 绝缘电阻测试 | 过程检测 | 100% |
| 冷却系统密封性 | 过程检测 | 100% |
七、PFMEA / 控制计划落地建议
- 起评 SOD：热失控 S=10（安全件，火灾/爆炸后果），O/D 按上表。
- 预防控制：BMS 多级保护架构、洁净室规范写入预防控制列。
- 探测控制：100% BMS 功能测试 D=2-3，UL 9540A 型式试验 D=3-4。
- 控制计划传导：BMS 保护阈值、热失控测试结果必须归档。
八、行业影响与趋势判断
- LFP 电池因热稳定性优势在储能领域占比持续提升，但能量密度需求使 NMC 仍占一席之地。
- 固态电池从根本上消除液态电解液热失控风险，但产业化仍需 3-5 年。
九、引用与证据清单
- NHTSA/NTSB 储能电池火灾事故报告，证据等级：官方。
- UL 9540/9540A 热失控传播测试数据，证据等级：官方。
- 热失控机理与 BMS 保护策略学术文献，证据等级：学术研究。
证据说明：SOD 起评为工程分析建议，具体项目应以 UL 9540A 测试结果为准。
把本报告的建议直接用于你的 PFMEA：