حرائق بطارية Boeing 787 جعلت احتواء الانفلات الحراري اختبارًا للمساءلة في التصديق

الملخص

• الأحداث المؤكدة:في 7 يناير 2013، اشتعلت بطارية وحدة الطاقة المساعدة في طائرة Boeing 787 تابعة لـ Japan Airlines متوقفة في بوسطن بعد مغادرة الركاب والطاقم. وفي 16 يناير، تلقت طائرة Boeing 787 تابعة لـ All Nippon Airways أثناء الصعود إشارة فشل البطارية ورائحة غير عادية، وتحولت إلى تاكاماتسو وقامت بالإخلاء؛ وأصيب أربعة ركاب بإصابات طفيفة أثناء الإخلاء. استخدمت الطائرتان نفس طراز البطارية لوظائف مختلفة مثبتة.
• نتائج التحقيق:وجد المجلس الوطني لسلامة النقل الأمريكي أن حادث بوسطن بدأ بقصر داخلي في إحدى الخلايا، تبعه انفلات حراري متتالي إلى الخلايا المجاورة. وأرجع الحادث إلى فشل Boeing في تحديد تخفيف لأخطر آثار القصر الداخلي للخلية وفشل إدارة الطيران الفيدرالية في تحديد هذا العيب التصميمي في التصديق النوعي. وجد مجلس سلامة النقل الياباني أن الخلية 6 هي المرجح جدًا أن تكون البادئة في انتشار تاكاماتسو، لكنه لم يحدد الآلية القاطعة التي سببت القصر الداخلي.
• المحفز والأسباب الجذرية والعوامل المساهمة:لم يكن المحفز التشغيلي لوقف التشغيل مجرد فشل بطارية؛ بل كان الحدث الخطير الثاني في تسعة أيام، وهذه المرة أثناء الطيران. وكان فشل المساءلة الجذري افتراض سلامة منظومي غير مثبت بأن الانفلات الحراري لخلية واحدة لن ينتشر أو ينتج آثارًا خطيرة على مستوى الطائرة. تضمنت الظروف المساهمة اختبارات تطوير غير تمثيلية، واستخدام بطارية ما قبل الإنتاج وغير مؤرضة في اختبار رئيسي لاختراق المسمار، وتقليل معدلات الحدوث، وعدم اكتمال تتبع المتطلبات إلى الاختبار، وعمليات تصنيع قادرة على إدخال تجاعيد أو حطام أجنبي، وإشراف لم يصل بشكل فعال إلى مصنع الخلايا الفرعي.
• السيطرة والاستجابة:تحكمت GS Yuasa في تصنيع الخلايا والبطاريات؛ وتحكمت Thales في تكامل نظام تحويل الطاقة؛ وتحكمت Boeing في متطلبات مستوى الطائرة، وتكامل الموردين، وتقييم السلامة، وطلب شهادة النوع؛ وقام الممثلون المعتمدون ومهندسو FAA بإيجاد الامتثال ضمن النطاقات المفوضة والمحتفظ بها، بينما كانت FAA وحدها هي التي يمكنها إصدار شهادة النوع وتوجيهات صلاحية الطيران. تحكمت شركات الطيران في الاستخدام الفوري للأسطول، وتحكمت سلطات التحقيق في نتائج السلامة الخاصة بها، وليس المسؤولية المدنية.
• التعافي:أوقفت FAA طائرات 787 المسجلة في الولايات المتحدة من خلال توجيه صلاحية طيران طارئ ووافقت على العودة بعد تركيب بطاريات وشواحن جديدة، وضوابط تشغيل أكثر صرامة، وعزل إضافي للخلايا، وغطاء فولاذي محكم، ومخرج إلى الخارج. ثم حدث في يناير 2014 حادث في ناريتا أدى إلى ارتفاع درجة حرارة خلية واحدة في بطارية معاد تصميمها دون انتشار أو تلف في حجرة المعدات المحيطة. تعامل المنظم الياباني مع ذلك كدليل على أن طبقتَي الحماية الثانية والثالثة عملتا، بينما دعا أيضًا إلى مزيد من التحسين لأن الطبقة الأولى لم تمنع ارتفاع حرارة الخلية.
• استنتاج المساءلة:قدمت إعادة التصميم دليلًا قويًا على أن احتواء العواقب قد تحسن. لم تجعل بأثر رجعي افتراضات التصديق الأصلية معقولة، أو تحدد كل آلية بدء، أو تثبت علنًا بطارية خالية من الفشل. يتطلب الضمان الدائم أدلة مستمرة على ثلاثة مستويات: قدرة عملية الخلية، ومقاومة الانتشار على مستوى البطارية، والاحتواء على مستوى الطائرة تحت أسوأ الظروف المعقولة المثبتة.

القضية تتعلق بحدود السلامة، وليس علامة تجارية للبطاريات

كان من المفترض أن تقع الحدود الحاسمة في هذه القضية داخل البطارية. قد تفشل خلية أو تطلق غازات أو ترتفع حرارتها، لكن تحليل السلامة افترض أن الحدث سيبقى محدودًا بما يكفي لئلا يصبح حريقًا متعدد الخلايا يهدد الطائرة. وبمجرد أن أنتجت بطارية بوسطن حريقًا وأن بطارية تاكاماتسو نشرت الحرارة عبر الخلايا، تبين أن تلك الحدود غير موثوقة في الخدمة. لذلك، فإن قضية المساءلة تتجاوز السؤال عن أي عيب مجهري بدأ أي خلية. إنها تسأل من حدد الحدود، وما الأدلة التي بررتها، ومن راجع تلك الأدلة، وما الضوابط التي بقيت عندما تعذر إعادة بناء الآلية البادئة.

تذكر صفحة التحقيق المكتملة لـ NTSB السبب المحتمل لحادث بوسطن من الناحية المؤسسية: قصر داخلي في الخلية أدى إلى انفلات حراري متتالي، وكان الحادث ناتجًا عن متطلبات تصميم مفقودة من Boeing وفشل في مراجعة التصديق من FAA. هذا هو استنتاج سلامة رسمي، وليس ادعاءً من قبل خصم أو حكم محكمة. يحتوي تقرير حادث NTSB الكامل على الأدلة والتحليل والنتائج والتوصيات وراء هذا البيان. دقته مهمة. لا يقول إن Boeing قبلت عن علم حريقًا معروفًا، أو أن موظفًا في FAA تخلى عن علم عن اختبار فاشل، أو أن جسيمًا معينًا ثبت أنه تسبب في القصر.

التحقيق الياباني مهم بنفس القدر لأنه وصل إلى حد مختلف. وجد التقرير النهائي لـ JTSB تسلسلًا محتملاً للأحداث حول الخلية 6، انتفاخ، تلامس مع قضيب دعم، تيارات أرضية كبيرة، تقوس وانتشار. قال إن توليد الحرارة في الخلية ربما كان ناتجًا عن قصر داخلي، لكن الآلية القاطعة لذلك القصر لم يتم تحديدها. معاملة التقريرين على أنهما قابلان للتبادل ستمحو درسًا رئيسيًا: يمكن للمحققين إثبات مسار التصعيد وفشل السيطرة دون إثبات أول فعل مجهري.

يستخدم هذا التحليل خمسة تصنيفات.حقيقة مؤكدةهي ما يثبت مباشرة بسجل رسمي أو تقديم رسمي معاصر.نتيجة تحققهي استنتاج تم تبنيه من قبل هيئة تحقيق الحوادث ضمن ولايتها للسلامة.موقف الشركةهو دليل على ما قالته أو فعلته Boeing، لكنه ليس دليلًا مستقلًا على السببية أو المتانة.استدلال مدعوميربط الحقائق المؤكدة دون ادعاء أن الارتباط قد تم الفصل فيه رسميًا.سؤال غير محلوليظل مفتوحًا في السجل العام.افتراض مضاديصف سيطرة كان يمكن أن تقطع التسلسل؛ إنه ليس ادعاءً بأن شخصًا معينًا كان ملزمًا قانونًا بتوقعه في ذلك الوقت.

الجدول الزمني للطب الشرعي: من التكنولوجيا الجديدة إلى الخدمة المعتمدة

28 مارس 2003 إلى سبتمبر 2004 - التطبيق واختيار التكنولوجيا.تقدمت Boeing بطلب للحصول على شهادة النوع لـ 787-8 في مارس 2003. في سبتمبر 2004 أبلغت FAA أنها تنوي استخدام بطاريات ليثيوم أيون قابلة لإعادة الشحن عالية السعة لوظائف المحرك الرئيسية ووحدة الطاقة المساعدة. قدمت الكيمياء وزنًا أخف وأداء كهربائيًا مفيدًا لهندسة 787 الأكثر كهربة، لكن الخبرة في النقل التجاري مع مثل هذه البطاريات الكبيرة المثبتة كانت محدودة. كان اختيار التكنولوجيا مشروعًا؛ الخلق الجديد خلق التزامًا بالأدلة، وليس افتراضًا بالخطأ.

وزعت سلسلة الموردين السيطرة التفصيلية. اختارت Boeing شركة Thales لنظام تحويل الطاقة. اختارت Thales شركة GS Yuasa للبطارية الليثيوم أيون و Securaplane لوحدة التحكم في البطارية، مع مشاركة Boeing في عملية الاختيار. صنعت GS Yuasa ثماني خلايا كبيرة من أكسيد الكوبالت الليثيوم متصلة على التوالي وجمعتها في البطارية. عمل نفس طراز البطارية كبطارية رئيسية في حجرة الإلكترونيات الأمامية وبطارية APU في الحجرة الخلفية. ظلت Boeing مسؤولة عن التكامل على مستوى الطائرة وإظهار التصديق حتى عندما صممت وصنعت المستويات الأدنى المكونات.

2005 إلى 2007 - المتطلبات والشروط الخاصة.استنتجت FAA أن القواعد العادية لبطاريات طائرات النقل لم تعالج بشكل كاف التصميم الجديد. حدد إصدار السجل الفيدرالي لعام 2007 الذي يحتوي على الشروط الخاصة 25-359-SC القابلية للفشل الداخلي، والانفلات الحراري، والإلكتروليت القابل للاشتعال، والشحن الزائد والتفريغ الزائد. تطلبت شروطه التسعة، من بين أمور أخرى، درجات حرارة وضغوطًا آمنة، ومنع الزيادات غير المنضبطة في درجة الحرارة أو الضغط، والتحكم في الغازات والسوائل الخطرة، والحماية من أقصى حرارة أثناء قصر الخلية أو البطارية، والتحكم في الشحن، والتحذيرات، وتعليمات استمرارية صلاحية الطيران.

تظهر هذه الكلمات قوية لأنها قوية. نشأت المشكلة في الانتقال من لغة السلامة عالية المستوى إلى الافتراضات والمتطلبات التفصيلية وطرق الامتثال والاختبارات التمثيلية. الشرط الذي يقول إن التصميم يجب أن يمنع نمو درجة الحرارة غير المنضبط لا يحدد في حد ذاته كيفية تحفيز قصر داخلي، أو عدد التجارب التي يجب إجراؤها، أو ما إذا كانت البطارية يجب أن تكون مؤرضة كما هي مثبتة، أو درجة الحرارة التي تنتج النتيجة الأكثر شدة، أو ما إذا كان العنصر المختبر يجب أن يتطابق مع تصميم الإنتاج النهائي. كان لابد من ربط هذه الروابط من خلال تخطيط التصديق والأدلة الهندسية.

2006 و 2009 - تحذيرات التطوير والتغييرات والتفسير.يصف سجل JTSB حريق شحن زائد عام 2006 أثناء التطوير بعد عدم توصيل سلك إشارة، تلته تغييرات في التصميم. في عام 2009، أنتج اختبار نظام متكامل شحنًا زائدًا وخلية أطلقت الغازات؛ ربط المحققون ذلك الحدث بتفريغ زائد متكرر يتبعه إعادة شحن عالية التيار وقاموا بتصحيحات إضافية. لم تكن هذه الأحداث نفس الآلية المثبتة في بوسطن، وسيكون من غير الدقيق وصفها بنسخ متجاهلة. لكنها أظهرت، مع ذلك، أن نظام البطارية يمكن أن يدخل حالات فشل نشطة وأن تكوين التصميم والبيئة الكهربائية ومنطق التحكم كانت مهمة.

أصبح اختبار تطوري لاختراق المسمار عام 2006 من قبل GS Yuasa مؤثرًا. دفع خلية واحدة إلى انفلات حراري دون انتشار ملحوظ إلى الخلايا المجاورة أو حريق. وجد تحليل NTSB اللاحق أن الاختبار لم يستخدم درجة حرارة التشغيل القصوى للبطارية، ولم يمثل بالكامل التركيب على الطائرة، ولم يكرر التجارب عبر بطاريات متعددة، واستخدم وحدة تطوير مختلفة عن التصميم النهائي المعتمد. افتقرت اختبارات التطوير الأخرى المزعومة على مستوى البطارية إلى التوثيق المتاح لـ NTSB. لم تدفع اختبارات الإساءة للتأهيل خلية إلى انفلات حراري لإثبات عدم الانتشار أو الاحتواء، ولم تكن البطاريات المختبرة مؤرضة كما هي مثبتة.

هذا لا يعني أن التصديق تألف من اختبار واحد عابر. استخدمت Boeing والموردون والممثلون المعتمدون وموظفو FAA تقييمات السلامة، وأشجار الأعطال، وتحليلات أنماط الفشل، واختبارات التأهيل، ومراجعات التصديق. النتيجة الأكثر تضييقًا وأهمية هي أن سلسلة الأدلة لم تتحدى الافتراض الحاسم تحت أشد الظروف التمثيلية. كان النشاط واسعًا؛ التغطية كانت غير كاملة.

26 أغسطس 2011 - شهادة النوع.منحت FAA موافقة فئة النقل لـ 787-8. كانت Boeing قد حصلت على موافقة FAA على خطة التصديق لنظام الطاقة الكهربائية، وراجعت FAA إجراءات التأهيل، ووافقت على تفويض فحص النوع وقبلت التقارير النهائية. كانت Boeing قد حصلت على تفويض تعيين المنظمة في عام 2009، مما سمح للممثلين المعتمدين بإصدار نتائج امتثال محددة نيابة عن FAA. فقط FAA أصدرت شهادة النوع. وصف هذا بأن Boeing ببساطة تصدق بطاريتها الخاصة سيخفي الضوابط المقسمة والسلطة العامة المحتفظ بها التي فحصها التحقيق بالفعل.

الجدول الزمني للطب الشرعي: حدثا يناير 2013

7 يناير، بوسطن - طائرة متوقفة، حريق بطارية نشط.وصلت رحلة خطوط اليابان الجوية 008 من ناريتا إلى بوسطن وركنت عند البوابة. كان APU مصدر طاقة الطائرة. في حوالي الساعة 10:21 بالتوقيت المحلي، وجد عمال النظافة دخانًا في المقصورة الخلفية، ورأى مدير الصيانة أن APU قد توقف تلقائيًا، ووجد ميكانيكي يفتح حجرة الإلكترونيات الخلفية دخانًا كثيفًا ولهيبًا في موصل بطارية APU. لم يكن أي من الركاب البالغ عددهم 183 أو أفراد الطاقم البالغ عددهم 11 موجودًا على متنها. لم يصب عمال الصيانة والتنظيف؛ ذكر NTSB إصابة طفيفة لأحد رجال الإطفاء المستجيبين.

التسلسل موثق في ملف NTSB العام لـ DCA13IA037، الذي يتضمن تقارير واقعية وصورًا وسجلات اختبار ومعروضات جلسة استماع ومواد تقنية. كان الوصول إلى البطارية صعبًا وكان للحدث عواقب على مستوى الطائرة على الرغم من أن الطائرة كانت فارغة. تسربت الحرارة والحرائق والدخان والإلكتروليت القابل للاشتعال من حدود الخلية المقصودة. حقيقة أن الحدث وقع على الأرض قللت من التعرض البشري؛ لم تقلل من أهمية التصميم.

استبعد المحققون عدة بدائل لحادث بوسطن. لم تظهر البيانات المسجلة شحنًا زائدًا أو تفريغًا زائدًا أو قصرًا خارجيًا عالي التيار قبل الفشل. لم يكشف الفحص عن مصدر حرارة خارجي، أو كابل بطارية متآكل، أو إساءة استخدام ميكانيكية، أو عابر كهربائي غير طبيعي للطائرة هو الذي بدأه. لم تستدعي اختبارات المكونات والمتكاملة الشاحن أو المكونات الخارجية ذات الصلة. تركز الضرر حول الخلايا 5 و 6، لكن التدمير منع NTSB من تحديد أي من هاتين الخليتين بدأ التسلسل. وجد المجلس قصرًا داخليًا في إحداهما، تبعه انتشار.

11 يناير - مراجعة أعلنت قبل الحدث الثاني.أعلنت FAA علنًا عن مراجعة أوسع للتصميم والإنتاج. في بيان 11 يناير، قالت الوكالة إنها ستراجع الأنظمة الحرجة، وستركز على الأنظمة الكهربائية، وستتحقق من التصميم والإنتاج والإشراف. في تلك المرحلة، أعربت FAA عن ثقتها في الطائرة بينما قالت إنها بحاجة إلى الصورة الكاملة. كان هذا استجابة تنظيمية، وليس نتيجة مكتملة بأن البطارية آمنة أو غير آمنة.

16 يناير، تاكاماتسو - الخطر ينتقل إلى الطيران.غادرت رحلة All Nippon Airways 692 ياماغوتشي-أوبي في الساعة 08:11 متجهة إلى طوكيو. في الساعة 08:27، أثناء الصعود عبر 32,000 قدم، تلقى الطاقم رسالة فشل البطارية واكتشفوا رائحة غير عادية في قمرة القيادة. انحرفت الطائرة وهبطت في تاكاماتسو في الساعة 08:47. بدأ الطاقم الإخلاء بالمنزلقات في الساعة 08:49. أصيب أربعة من بين 137 راكبًا بإصابات طفيفة أثناء الإخلاء. وجد JTSB أن البطارية الرئيسية التالفة لم تتسبب في حريق خارجي، لكن حرارة الخلية والإلكتروليت والدخان أنتجت حدثًا في نظام الطائرة أثناء الطيران خطيرًا بما يكفي لتحويل المسار والإخلاء.

هذا الحدث الثاني غير قرار المخاطر. أظهرت بوسطن حريقًا بعد مغادرة الركاب؛ أظهرت تاكاماتسو بنية بطارية ذات صلة تفشل أثناء الطيران. في وقت سابق من ذلك اليوم، أوقفت JAL و ANA طائرات 787 طواعية. ثم أصدرت FAA توجيه صلاحية طيران طارئ 2013-02-51، الذي نُشر لاحقًا كقاعدة نهائية في فبراير 2013. يتطلب تعديلًا أو إجراء معتمدًا آخر قبل مزيد من الطيران لأن فشل البطارية يمكن أن يتلف الأنظمة أو الهياكل الحرجة ويمكن أن يسبب حريقًا في حجرة كهربائية. اعتمدت EASA توجيه FAA للأسطول الأوروبي، وتصرفت سلطات أخرى للطائرات الخاضعة لولايتها.

المحفز التشغيلي لوقف الأسطول كان تراكميًا وعبر السياق: فشلان للبطارية عالي الطاقة، نفس طراز البطارية، وظيفتان مثبتتان، تسعة أيام، حريق مؤكد وتحويل أثناء الطيران. لم يكن بحاجة المنظم انتظار وفاة أو سبب جذري مجهري مكتمل لاستنتاج أن الاستمرار غير المقيد يفتقر إلى الضمان الكافي.

ما فشل جسديًا، وما بقي غير محلول

بالنسبة لبوسطن، وجد NTSB قصرًا داخليًا داخل الخلية 5 أو 6. دخلت تلك الخلية في انفلات حراري؛ انتشرت الحرارة والفشل إلى الخلايا المجاورة؛ تبعه الدخان والإلكتروليت والحريق. وجد المجلس أن الشحن الزائد، التفريغ الزائد، القصر الخارجي، التسخين الخارجي، عوامل التركيب والظروف البيئية للطائرة لم تبدأ الفشل. هذه هي أقوى سلسلة تقنية مؤكدة في السجل العام.

بحث NTSB أيضًا في التصنيع. قامت GS Yuasa بلف طبقات الإلكترود والفاصل في تجمعات أسطوانية، وتسوية جزئية، وتجميعها، وتسوية نهائية قبل تجميع الخلية. يمكن أن تخلق التسوية اضطرابات في رقائق الإلكترود. يمكن أن يولد اللحام بالقرب من المكونات الداخلية حطامًا معدنيًا. وجد NTSB أن GS Yuasa راقبت بعض التجاعيد قبل اللف ولكنها لم تراقب رسميًا الاضطرابات الناتجة أثناء اللف والتسوية والتجميع؛ عملية الحطام الأجنبي لم تكن سيطرة موحدة لإيجاد وتقليل ومنع توليد الحطام. تم الكثير من الفحص بعد اكتمال الخلية واعتمد بشكل كبير على الفحص البصري.

وثق التقرير الواقعي لمختبر المواد والتحليل النهائي التجاعيد، الطيات، رواسب الليثيوم والمواد الأجنبية كآليات عيب ذات صلة. استنتج NTSB أن عملية التصنيع سمحت بعيوب قادرة على التسبب في قصور داخلي في خلايا 787. لم يحدد تجعدًا أو جسيمًا ناجيًا كمبادئ مثبت في بوسطن. هذا التمييز يمنع تحويل النتيجة على مستوى العملية إلى اتهام غير مدعوم بجهاز معين.

بالنسبة لتاكاماتسو، أعاد JTSB بناء الخلية 6 كبادئ محتمل جدًا. تسببت الحرارة والضغط في تورم الخلية، وذوبان العزل المحيط، والسماح بالتلامس مع قضيب دعم. أدت التيارات الكبيرة عبر صندوق البطارية المؤرض إلى توليد تقوس، مما عزز الانتشار الحراري. يمكن لاختبارات أعادت تكوين تكوين التأريض المثبت إنتاج الانتشار؛ تكوين عائم لم يفعل. وجد JTSB أن اختبارات التطوير غير التمثيلية والتقليل من تقدير تأثيرات القصر الداخلي ربما ساهمت في الانتشار.

ظل القصر الداخلي نفسه غير محلول. نظر JTSB في ترسب الليثيوم في ظروف درجات حرارة منخفضة، التلوث المعدني، تلف الفاصل، واللف غير المنتظم، لكنه قال صراحة إنه لم يستطع تحديد الآلية بشكل قاطع ولا يمكنه استبعاد عوامل تصميم أو تصنيع أخرى. حدثت الأحداث الثلاثة البارزة المعروفة آنذاك في يناير، لكن الموسمية ليست سببية. كانت درجة الحرارة الباردة فرضية، وليست نتيجة نهائية. لذلك يتوقف الحساب القابل للدفاع عنه عند: قصر داخلي بدأ على الأرجح الخلية 6؛ الأصل الدقيق لذلك القصر كان غير معروف.

المحفز، السبب الجذري والعوامل المساهمة

كانتالأحداث المحفزةقابلة للملاحظة ومحددة زمنيًا: حريق بطارية APU في بوسطن وحدث البطارية الرئيسية أثناء الطيران في تاكاماتسو. كانمحفز الإيقاففقدان الثقة بأن أيًا من الموقعين المثبتين يمكن أن يتحمل بأمان نمط فشل البطارية المعروف. المحفز ليس السبب الجذري. يصف المحفز متى أصبح قرار السيطرة ضروريًا، وليس لماذا كان النظام ضعيفًا.

كانالسبب الجذري المادي لبوسطن، باستخدام السبب المحتمل المعتمد من NTSB، قصرًا داخليًا في الخلية يتبعه انفلات حراري متتالي. كانالسبب الجذري للنظامفشلًا في المتطلبات والتصديق: لم يأخذ تقييم سلامة بطارية Boeing في الاعتبار أشد آثار ذلك القصر أو يحدد التخفيف، ولم تحدد مراجعة FAA النقص. طالبت الشروط الخاصة بمنع درجة الحرارة والضغط غير المنضبطين والحماية من حرارة القصر. ومع ذلك، تعاملت سلسلة الأدلة التفصيلية مع عدم الانتشار كافتراض بدلاً من نتيجة تم إثباتها عبر الظروف المثبتة الأسوأ.

كان أولعامل مساهمرئيسي هو تمثيلية الاختبار. لم يستخدم اختبار اختراق المسمار المؤثر تصميم البطارية النهائي، أو درجة حرارة التشغيل القصوى، أو التأريض المثبت، أو تجارب متكررة. أظهرت اختبارات ما بعد الحدث من NTSB و UL و JTSB أن تغيير هذه الظروف يمكن أن يغير ما إذا كان الانفلات الحراري ينتشر. الدرس ليس أن اختراق المسمار يعيد إنتاج كل قصر داخلي تلقائي بشكل مثالي. هو أن الاختبار المستخدم لرفض الانتشار يجب أن يكون متحفظًا وتمثيليًا للتركيب وقابلًا للتكرار بما يكفي لدعم ذلك الاستنتاج.

الثاني كاننقل الاحتمال. قدر تقييم سلامة Boeing انبعاث الخلية بحوالي مرة واحدة لكل عشرة ملايين ساعة طيران باستخدام بيانات GS Yuasa من خلية صناعية ذات تصميم ميكانيكي مماثل. وجد NTSB أن كلاً من بوسطن وتاكاماتسو حدثا خلال أول حوالي 52,000 ساعة أسطول، أعلى بكثير من التوقع. انتقد JTSB بشكل منفصل الحسابات المستمدة من خلايا صناعية مماثلة اختلفت مكوناتها ولاحظت مستوى الثقة المنخفض المستخدم. تم التعامل مع الغياب التاريخي للفشل في تطبيق مجاور كدليل حول تطبيق جديد دون هامش كافٍ لاختلافات الكيمياء والسعة والبيئة والعملية.

الثالث كانتتبع المتطلبات. وجد NTSB روابط غير واضحة بين كل شرط خاص وافتراض تقييم السلامة والأساس المنطقي والمتطلبات الأدنى وطريقة الامتثال. كان من المحتمل أن يكشف التتبع الأفضل أنه لا يوجد متطلب صريح للبطارية ولا اختبار تصديق مخطط للانفلات الحراري يعالج الانتشار من قصر داخلي. دعت توصيات تصديق بطارية الليثيوم لعام 2014 إلى اختبارات إساءة تحفز انفلات حراري لخلية واحدة في التكوين المثبت في ظل ظروف تنتج النتيجة الأشد، ومراجعة الموافقات في الخدمة، والوصول إلى الخبرة التقنية المستقلة.

الرابع كانالتصنيع والإشراف على المستوى الفرعي. قامت Thales بمراجعة GS Yuasa في عامي 2011 و 2012، لكن التناقضات المسجلة لم تعالج ميزات تصنيع الخلايا التي تم فحصها لاحقًا. اعتمدت Boeing على Thales لمراجعة المستوى الفرعي ولم تراجع GS Yuasa قبل الحدث؛ لم تراجع FAA منشأة الخلايا قبل الحدث. حددت مراجعات ما بعد الحدث حالات عدم مطابقة وإجراءات تصحيحية. هذا يدعم نتيجة أن الإشراف كان يمكن أن يكون أكثر فعالية. لا يثبت أن كل مراجعة كانت شكلية أو أن عدم مطابقة معينة غير معلنة تسببت في أي من الحدثين.

الخامس كاندقة المراقبة. رصدت أنظمة البطارية الفولتية ودرجات الحرارة لكنها لم تستطع بالضرورة الكشف عن قصر داخلي موضعي مبكرًا بما يكفي لوقف الانفلات الحراري. أوصى NTSB لاحقًا بمراقبة درجة حرارة الخلية الفردية والجهد وتسجيل التجاوزات، إلى جانب البحث في السلائف والتخفيف النشط. لا يمكن أن يُنسب إلى الكشف الفضل في السيطرة على آلية تتطور داخليًا أسرع مما يمكن لأجهزة الاستشعار والفصل المتاحة إيقافها.

الكشف والاستجابة والتعافي

بدأ الكشف مع الأشخاص ورسائل الطائرات، وليس مراقب سلامة تنبؤي. في بوسطن، رأى عمال النظافة دخانًا، ورأى مدير الصيانة إيقاف APU، ووجد ميكانيكي حريق البطارية. في تاكاماتسو، تلقى الطاقم رسالة فشل البطارية وشم رائحة غير عادية. مكنت هذه المؤشرات من الاستجابة بعد أن تقدم الحدث بالفعل. لم توفر تحذيرًا مبكرًا موثوقًا للقصر البادئ. كانت الاستجابة الفورية متحفظة بشكل مناسب. عالج رجال الإطفاء حادث بوسطن. قام طاقم تاكاماتسو بالتحويل، وهبط في غضون حوالي 20 دقيقة من المغادرة، وأخلوا. أوقفت JAL و ANA العمليات قبل توجيه FAA. استخدمت FAA توجيه صلاحية طيران طارئ، وهو أداة موجهة نحو حالة غير آمنة في المنتج، بدلاً من انتظار تقرير حادث نهائي.

اعتمدت السلطات الدولية القيود أو وازتها. فصل هذا التسلسل التحكم في المخاطر التشغيلية عن اليقين السببي.

ثم وسع التحقيق الكشف. حول التصوير المقطعي، التحليل الفيزيائي المدمر، الاختبارات الكهربائية، البيانات المسجلة، مراقبة المصنع واختبارات الانتشار في التكوين المثبت حدث الخلية المخفي إلى خريطة أدلة. حافظ ملف NTSB على التقارير الأساسية، بينما وصل المجلسان الوطنيان إلى استنتاجات في إطار مبادئ التحقيق في السلامة في الملحق 13. ينص تقرير JTSB على أن غرضه هو الوقاية، وليس توزيع اللوم أو المسؤولية. هذه الحدود يجب أن توجه استخدام كل نتيجة تقنية في تحليل المساءلة.

حدث التعافي على مراحل. اقترحت Boeing خطة تصديق؛ وافقت FAA على الخطة في 12 مارس 2013. وصف إعلان خطة التصديق من Boeing ثلاث طبقات: تقليل الأعطال، تعزيز الإنتاج والاختبار، واحتواء أي فشل حتى لا يؤثر على الطائرة. كان هذا موقفًا للشركة حول الحل المقصود، وليس بعد الموافقة على استئناف خدمة الركاب.

وصف إعلان التصميم التفصيلي للشركة فحصًا أكثر صرامة، ضوابط إنتاج، عزل كهربائي وحراري، نطاق جهد تشغيل منقح، تغييرات في الشاحن، وغطاء فولاذي يخرج خارج الطائرة. قالت Boeing إنها استفادت من RTCA DO-311، الذي لم يكن متاحًا لخطة الأساس الأصلية. هذا الاستخدام اللاحق لمعيار أحدث هو دليل على المعالجة؛ يجب ألا يوصف بأنه معيار انتهكته Boeing أثناء التصديق السابق.

في 19 أبريل، وافقت FAA على تصميم التعديل بعد الاختبار والتحليل المرصود. يتطلب توجيه صلاحية الطيران للعودة إلى الخدمة 2013-08-12 تركيب أغلفة البطارية الرئيسية و APU وقنوات نظام التحكم البيئي، واستبدال كل من البطاريات والشواحن، ومراجعة برنامج الصيانة لأقراص انفجار الغلاف. حل محل توجيه الإيقاف وسريانه في 26 أبريل. يُظهر سجل EASA المقابل اعتمادًا لاستمرار صلاحية الطيران خارج حالة التصديق الأولية.

لم يستند التعافي على إثبات إزالة عيب بدء واحد. استند على الدفاع في العمق: تقليل فرصة البدء، تقليل فرصة الانتشار، ومنع العواقب على مستوى الطائرة حتى لو فشلت الطبقتان الأوليان. كانت هذه استجابة عقلانية لبدء غير محلول، لكنها خلقت التزامًا دائمًا بالتحقق من الاحتواء بدلاً من العودة بهدوء إلى افتراض عدم الانتشار القديم.

خريطة التحكم في المساءلة

تمنع هذه الخريطة خطأين شائعين. أولاً، سبب المورد لا يمحو مساءلة المدمج. لم تقم Boeing بلف الأقطاب الكهربائية، لكنها سيطرت على اقتراح السلامة على مستوى الطائرة وكانت حامل موافقة الإنتاج. ثانيًا، التصديق العام لا يمحو مساءلة مقدم الطلب. أصدرت FAA الشهادة وحدها واحتفظت بواجبات الإشراف، لكن كان على Boeing إظهار الامتثال والتحقق من صحة البيانات والافتراضات التي قدمتها.

التفويض يعقد المسؤولية دون جعلها تختفي. وجد NTSB أن الممثلين المعتمدين لـ Boeing ومهندسي تصديق FAA راجعوا تقييمًا حذف أشد تأثيرات القصر الداخلي. عبر الفشل حدود التفويض. لم يكن كافيًا أن يؤدي كل جهة مراجعته المخصصة إذا استبعد نموذج الأدلة المشترك الخطر الذي يهم.

خلص تقرير فريق مراجعة الأنظمة الحرجة لـ Boeing 787 لعام 2014 المشترك إلى أن الطائرة الإجمالية تلقت مستوى السلامة المقصود، مع تحديد أيضًا تدفق متطلبات غير متسق، فجوات في التحقق، قضايا اتصال الموردين، تباين تفويض التفتيش، وسياسة FAA غير متوافقة تمامًا مع سلسلة توريد دولية ممتدة. تجاوز نطاقه البطارية. كان مشترك القيادة والموظفين من FAA و Boeing، لذا فهو دليل قيم على المراجعة المؤسسية والإجراء التصحيحي، وليس تحقيق حادث مستقل مكافئ لـ NTSB أو JTSB.

الحدود القانونية والتنظيمية

نقطة البداية القانونية هي شهادة النوع. يمنح النص الرسمي لـ 49 U.S.C. section 44704 لإدارة FAA سلطة إصدار شهادة النوع بعد التأكد من أن المنتج مصمم ومُصنع بشكل صحيح، ويؤدي بشكل صحيح، ويلبي المعايير المطبقة، ويسمح بإجراء اختبارات تراها الإدارة ضرورية للسلامة. يتضمن النص الحالي تعديلات سُنَّت بعد عام 2013. تستخدم هذه المقالة هذا النص فقط لوصف التوزيع الدائم بين أدلة مقدم الطلب وإصدار FAA؛ لا يتم تطبيق الإضافات اللاحقة بأثر رجعي على تصديق بطارية 787.

شمل أساس التصديق المطبق الجزء 25 من اللوائح الفيدرالية 14 والشروط الخاصة لعام 2007. كانت الشروط الخاصة قانونيًا جزءًا من أساس تصديق 787-8. وجودها يظهر أن خطر البطارية الجديد تم التعرف عليه مؤسسيًا. لم تكن نتيجة التحقيق اللاحقة أنه لا توجد قاعدة تذكر الانفلات الحراري. بل كانت أن طرق الامتثال والافتراضات والاختبارات لم تظهر بشكل كافٍ الحماية التي تطلبها الشروط.

توجيه صلاحية الطيران هو قاعدة سلامة منتج إلزامي. أوقف توجيه الطوارئ الطائرات المتضررة حتى يعالج تعديل معتمد أو إجراء آخر الحالة غير الآمنة. أمر توجيه أبريل بتكوين محدد للعودة. لم يكن أي من التوجيهين اتهامًا جنائيًا، أو حكمًا بالتعويضات، أو نتيجة نية. كان قرار مخاطر تنظيمي بموجب سلطة استمرارية صلاحية الطيران.

تقارير NTSB و JTSB ليست أحكامًا مدنية. تركز ولاياتها على الوقاية. لغة السبب المحتمل لـ NTSB موثوقة لاستنتاج السلامة الخاص بها، لكنها لا تحدد في حد ذاتها الإهمال، أو التوزيع التعاقدي، أو التعويضات العقابية، أو المسؤولية الجنائية. يرفض JTSB صراحةً توزيع اللوم. وبالمثل، فإن تصريحات Boeing بأن إعادة التصميم كانت شاملة أو دائمة كانت ادعاءات من الشركة تمت أثناء المعالجة. إنها ليست اعترافات بالمسؤولية القانونية، ولا يمكن لكلماتها المتفائلة أن تحل محل أدلة المنظم والميدان.

يسجل محضر جلسة الاستماع في الكونغرس ليونيو 2013 حول الدروس المستفادة من 787 و شهادة التصديق لوزارة النقل أسئلة الإشراف وشرح FAA لموافقة إعادة التصميم. الشهادة دليل على الموقف المؤسسي والتدقيق. إنها ليست حكم محكمة. السجل العام المستخدم هنا لا يثبت نتيجة قضائية بأن Boeing أو Thales أو GS Yuasa أو FAA كانت مدينة أو انتهكت واجبًا معينًا في القانون الخاص تجاه مدعٍ معين.

تتطلب المعايير أيضًا انضباطًا زمنيًا. تم استخدام RTCA DO-311 في تصديق إعادة التصميم ولكن لم يكن متاحًا عند تطوير خطة 787 الأصلية. يوفر التعميم الاستشاري FAA AC 20-184، الصادر في 2015، إرشادات لاحقة حول بطاريات الليثيوم أيون القابلة لإعادة الشحن المثبتة وينص على أن المواد الاستشارية ليست في حد ذاتها لائحة. إنه دليل مفيد على المعالجة ومعيار حديث. إنه ليس دليلاً على أن تعميمًا استشاريًا لعام 2015 كان ملزمًا في 2005 أو تم انتهاكه في 2011.

ضوابط افتراضية مضادة

أقوى افتراض مضاد هواختبار انتشار تمثيلي قبل التصديق. كان سيتم تركيب بطارية بالتكوين النهائي مع تأريض مكافئ للطائرة، وتشغيلها عند درجة الحرارة والحالة الكهربائية الأكثر شدة المعتمدة، وتعريضها بشكل متكرر لطريقة قصر داخلي معقولة لخلية واحدة. كانت معايير النجاح ستعالج ليس فقط ما إذا كانت إحدى الخلايا قد أطلقت الغازات ولكن ما إذا كانت الخلايا المجاورة انتشرت، وما إذا كان الإلكتروليت والغاز قد هربا، وما إذا تشكلت مسارات تقوس، وما إذا ظلت أنظمة الطائرة محمية. تشير اختبارات ما بعد الحدث إلى أن هذه السيطرة كان يمكن أن تكشف افتراض عدم الانتشار غير الصحيح. لا تثبت أن الاختبار الدقيق كان سيعيد إنتاج بوسطن عند الطلب.

الافتراض المضاد الثاني هوحوكمة افتراضات صريحة. كل ادعاء مهم للسلامة سيكون له مالك، وأساس منطقي، ومصدر، ونطاق عدم يقين، وطريقة تحقق، وتتبع إلى متطلب وأداة امتثال. كان سيظهر افتراض أن القصر الداخلي للخلية لا يمكن أن ينتشر كعنصر مراجعة بدلاً من فرضية غير مرئية موروثة عبر وثائق GS Yuasa و Thales و Boeing و FAA. كان يمكن لفريق خبرة مستقل بعد ذلك تحدي قابليته للتطبيق على الكيمياء النهائية والسعة والتركيب والبيئة.

الثالث هومعالجة الاحتمال المحافظة. سيتم التعامل مع بيانات الفشل من خلية صناعية مماثلة كسياق داعم، وليس تقدير تردد مباشر لخلية الطائرة، حتى يتم إثبات التكافؤ في المواد والتصنيع والتحميل والبيئة. سيتم ترحيل عدم اليقين إلى تحليل مستوى الطائرة. حيث كانت العواقب شديدة والبيانات نادرة، سيكون الاحتواء مطلوبًا بغض النظر عن تقدير نقطة مطمئنة.

الرابع هوالتحقق من عملية المستوى الفرعي. كان يمكن لـ Boeing و Thales معًا رسم خريطة للخصائص الحرجة للخلية، وملاحظة عمليات التسوية واللحام، وتحديد حدود الاضطراب والمواد الأجنبية القابلة للقياس، والتحقق من دقة التصوير المقطعي واحتمالية الكشف، وأخذ عينات من السجلات عبر الدُفعات وتغييرات العملية. كان يمكن للإشراف الإنتاجي لـ FAA التعامل مع البطارية على أنها حرجة على الرغم من التكرار الكهربائي الوظيفي لأن الفشل المادي المشترك يمكن أن يطلق حرارة ودخانًا وإلكتروليت. يعالج هذا الافتراض المضاد احتمالية الهروب؛ لا يضمن القضاء على كل عيب مجهري كامن.

الخامس هواحتواء على مستوى الطائرة من التصميم الأولي. إذا كان التركيب الأصلي قد افترض أن خلية واحدة أو أكثر ستدخل في النهاية في انفلات حراري، لكان الغلاف المحكم المخرج للخارج والعزل الكافي لأسوأ حدث جزءًا من التصديق الأساسي. هذا أقوى افتراض مضاد لأنه لا يعتمد على تحديد كل آلية بدء. تبنت إعادة التصميم لاحقًا هذا المنطق القائم على العواقب بشكل أساسي.

السادس هوالمراقبة الميدانية عالية الدقة ومراجعة العتبة. يمكن تجميع بيانات الخلية الفردية، وتسجيل التجاوزات، وعمليات إزالة البطارية، وأحداث الشاحن، ومعرفات دفعة التصنيع تحت مشغلات معلنة مسبقًا. كان من شأن حدث نشط في أسفل شاب أن يدفع إلى إعادة تقييم فورية لتقدير المعدل السابق وغلاف التشغيل. المراقبة ليست بديلاً عن الاحتواء، لكنها تقصر الوقت بين فشل الافتراض وإجراء السيطرة.

هذه الافتراضات المضادة هي مقترحات هندسية. لا ينبغي تحويلها إلى ادعاءات بأن شخصًا معينًا رفضها بوعي أو أن كل عنصر كان إلزاميًا قانونيًا بموجب إرشادات لاحقة. قيمتها هي إظهار مكان وجود السيطرة العملية وأين كان يمكن لتصميم أدلة مختلف أن يقطع التسلسل.

أدلة الإصلاح: ما تغير قبل العودة إلى الخدمة

عالج إعادة التصميم ثلاثة مستويات. علىمستوى الخلية والبطارية، غيرت Boeing والموردون العزل، وتركيبات الأطراف، والصرف، وعمليات الإنتاج والقبول، ونطاق الجهد، والحماية من التفريغ الزائد، وحماية الأسلاك، ومسارات التهوية. علىمستوى الانتشار، قلل الفصل الحراري والكهربائي الإضافي من الانتقال بين الخلايا وبين الخلايا وعلبة البطارية. علىمستوى الطائرة، جلست البطارية في غلاف فولاذي مقاوم للصدأ محكم متصل بقناة من التيتانيوم تفرغ الحرارة والضغط والغاز والإلكتروليت إلى الخارج.

لم تفعل FAA أكثر من قبول بيان صحفي. وافقت على خطة التصديق، ولاحظت الاختبارات، وراجعت التحليل، ووافقت على تغييرات التصميم، وأمرت بالتكوين من خلال AD، وقالت إنها ستراقب التركيب على الطائرات الأمريكية. ذكر إعلان الموافقة في 19 أبريل من Boeing شهرًا من اختبارات التصديق الخاضعة للإشراف وأكثر من 100,000 ساعة هندسية واختبار. تأتي هذه الأرقام من Boeing ولا تثبت بشكل مستقل اكتمال الاختبار، لكن AD الإلزامي يثبت أن FAA قبلت التصميم للعودة.

يقول التقرير السنوي لـ Boeing لعام 2013 إنها قامت بتركيب التحسينات على 50 طائرة تم تسليمها مسبقًا واستأنفت التسليم في الربع الثاني. هذا دليل على التنفيذ على نطاق الأسطول، وليس مجرد علاج مخطط. ظل المشغلون والمنظمون الأجانب يسيطرون على العودة للطائرات الخاضعة لولايتهم.

وسعت التوصيات المدفوعة بالتحقيق الإصلاح إلى ما بعد الأجهزة. أوصى التقرير النهائي لـ NTSB بإشراف أقوى من FAA على حاملي موافقات الإنتاج والموردين من المستوى الفرعي، ومعايير لمصادر الحرارة ومراقبة الخلايا، واختبارات التسخين الذاتي الموضوعية، وافتراضات تقييم السلامة الصريحة، وتتبع المتطلبات إلى الطريقة، والتدريب. أوصت بتحسين Boeing لإشراف الموردين والتحقق من صحة تقييم السلامة، وأن تراجع GS Yuasa عمليات التصنيع وتدريب الموظفين. يسجل خطاب NTSB المنفصل إلى Boeing التوصيات الموجهة للشركة دون الإيحاء بأنها عقوبات.

أوصى JTSB باختبارات تمثيلية للتركيب، ومراجعة معايير تقنية الليثيوم أيون، وإعادة فحص تقدير معدل فشل 787، ومراجعة انتشار الحرارة، وتقييم سلوك الملامس، ودراسة مستمرة للقصور الداخلي، وتحسين جودة البطارية. يحافظ توصيته الرسمية إلى FAA على التمييز بين الانتشار المثبت والبدء غير المحلول. سجل استجابة FAA المنشور من قبل JTSB هو دليل على أن التوصية دخلت عملية متابعة دولية، على الرغم من أن تنسيق المرفق العام لا يوفر درجة مستقلة بسيطة للفعالية على المدى الطويل.

كان حدث ناريتا عام 2014 دليل نجاح وتحذيرًا في آن واحد

في 14 يناير 2014، بعد إعادة التصميم، أنتجت طائرة Boeing 787 تابعة لـ Japan Airlines متوقفة في ناريتا دخانًا أبيض مرئيًا ورسائل البطارية الرئيسية. وجد الفحص أن الخلية 5 قد ارتفعت حرارتها وفتح قرص تمزقها. بقيت بقايا الإلكتروليت في الغلاف وظهرت بالقرب من مخرج التهوية الخارجي. كانت منطقة حجرة الإلكترونيات المحيطة نظيفة وغير تالفة؛ احتفظت الخلايا الأخرى بالجهد، على الرغم من أن الخلية المجاورة 6 أظهرت تأثيرات حرارية محدودة.

تعامل إعلان مكتب الطيران المدني الياباني و التقييم الكامل مع الحدث بتوازن مفيد. وجد JCAB أن الطبقة الثانية من إعادة التصميم منعت الانتشار من خلية إلى أخرى وأن الطبقة الثالثة حمت الطائرة. وخلص إلى أن قدرة الطيران الآمن كانت ستظل محفوظة. لكنه لاحظ أيضًا أن الطبقة الأولى لم تمنع ارتفاع حرارة إحدى الخلايا ودعا إلى مزيد من تحسين الموثوقية والعمل المستمر على الأسباب المحتملة.

هذا الحدث هو أفضل اختبار محدد للقضية العامة لهندسة الاحتواء. لم يكن اختبار تصديق مرحلي؛ كان فشلًا ميدانيًا في بطارية معدلة. تدعم النتيجة الاستدلال على أن إعادة التصميم غيرت التصعيد بشكل مادي. فشلت خلية واحدة، لكن البطارية بأكملها والحجرة المحيطة لم تعيد إنتاج أضرار بوسطن أو تاكاماتسو. هذا دليل قوي على العلاج.

إنه ليس دليلاً على أن جميع حالات الفشل المحتملة محتواة. لا يمكن لحدث واحد أن يغطي كل موقع خلية، وحالة شحن، وتدفق هواء، وحالة غلاف، وانسداد تهوية، وخطأ صيانة، أو بدء متعدد الخلايا. كما لم يجد JCAB سبب ارتفاع الحرارة. تم فحص الجسيمات المعدنية، ورواسب الليثيوم المحتملة، والتجاعيد، وتباين الإلكتروليت، والتكثيف، والبيئة الباردة، لكن لا يوجد دليل موضوعي عزل البادئ. لذلك يؤكد الحدث على أهمية الاحتواء مع الحفاظ على السؤال غير المحلول لبدء الخلية.

ما يجب أن تبدو عليه أدلة المعالجة الدائمة

يجب أن تشملأدلة عملية الخليةقدرة العملية على مستوى الدفعة لمحاذاة الإلكترود، اضطراب اللف، حالة الفاصل، حطام اللحام، التلوث، الرطوبة، وملء الإلكتروليت؛ معدلات اكتشاف الفحص؛ معايير التصوير المقطعي المعايرة؛ اتجاهات الرفض وإعادة العمل؛ وسجلات الموافقة على تغييرات العملية. بيان أن مراقبة الجودة تحسنت هو نقطة بداية، وليس مقياسًا للمتانة.

يجب أن تشملأدلة نظام البطاريةاختبارات إساءة متكررة عبر تباين الإنتاج ودرجة الحرارة والعمر وحالة الشحن والتكوين المثبت المؤرض. يجب أن توضح العزل، وسلامة الأسلاك، وسلوك الملامس، وأداء المراقبة، وإدارة الضغط. يجب أن تظهر النتائج التوزيعات والإخفاقات، وليس فقط النماذج الناجحة.

يجب أن تشملأدلة احتواء الطائرةفحوصات تسرب الغلاف، وعمليات تفتيش مسار التهوية، وصيانة قرص الانفجار، وتأثيرات التآكل، ومطابقة التركيب، واختبار الغاز والحرارة والضغط في أسوأ الحالات. نظرًا لأن الاحتواء أصبح الآن خط الدفاع الأخير، لا يمكن التعامل مع صيانة أختامه وقناته على أنها صيانة عرضية للمعدات.

يجب أن يربطدليل الأسطولعمليات الإزالة والتحذيرات وتقارير الدخان أو الرائحة وانبعاث الخلايا وأخطاء الشاحن ونتائج الصيانة بالطائرة والبطارية ودُفعات الخلايا. يجب إعادة حساب المعدلات بفواصل الثقة ومقامات التعرض. الفترة الطويلة دون إيقاف عام آخر تدعم الثقة، لكن غياب العنوان الرئيسي ليس هو نفسه مجموعة بيانات موثوقية منشورة.

يجب أن يُظهردليل الحوكمةإغلاق نتائج المراجعة، والمراجعة الدورية للافتراضات، والوصول المستقل إلى البطاريات الشاذة، ورؤية المنظم للتغييرات من المستوى الفرعي، وعتبات التصعيد المحددة. يتلاشى ضمان السلامة إذا تبع تكوينًا تم التحقق منه تغييرات غير موثقة في المواد أو العملية أو البرامج أو الصيانة.

يجب أن يربطدليل التكوينكل تركيب طائرة بالغلاف الدقيق، والقناة، والشاحن، والبطارية، ومجموعة الخلايا، ومراجعة الصيانة، والبرامج المعتمدة أو منطق التحكم الساري في ذلك الوقت. لا يمكن للاختبار الناجح على تكوين واحد أن يتحقق بصمت من استبدال مواد لاحق، أو عتبة فحص معدلة، أو خطوة إنتاج متغيرة. يجب عزل البطاريات التي تمت إزالتها ذات الجهد غير المعتاد أو الرائحة أو الانبعاث أو المؤشرات الحرارية مع تسجيل حالة الشحن وتاريخ التشغيل قبل الفحص المدمر. يحتاج المحققون والمنظمون بعد ذلك إلى الوصول إلى النتائج السلبية وكذلك الإخفاقات الدراماتيكية، لأن الإزالة السليمة ظاهريًا قد تكشف المراحل المبكرة من الآلية التي لم تعد البطارية المحترقة قادرة على الحفاظ عليها.

تحول هذه السلسلة أحداث الصيانة المعزولة إلى أدلة سابقة قابلة للاستخدام وتعطي لحامل شهادة النوع أساسًا يمكن الدفاع عنه لتقرير ما إذا كان الاتجاه مقتصرًا على دفعة واحدة، أو حالة عملية واحدة، أو التصميم المعتمد نفسه.

الأدلة العامة غير متساوية عبر هذه الفئات. توفر AD ونشاط التصديق والتعديل التحديثي المثبت وتقارير الحوادث ونتيجة ناريتا دليلاً كبيرًا على أن خطر مستوى الطائرة قد انخفض. لا يكشف السجل العام عن بيانات كاملة لدفعة الخلايا طوليًا، أو جميع نتائج مراجعة الموردين، أو كل اختبار غلاف، أو معدلات سلبية كاذبة حالية، أو تحليل اتجاه قابل للتكرار بشكل مستقل. لا تثبت هذه الفجوة أداءً ضعيفًا. إنها تحد من قوة التحقق الخارجي من المتانة.

أسئلة غير محلولة

السؤال الأول غير المحلول هو البادئ المجهري الدقيق في كل بطارية ميدانية. تم تضييق بوسطن إلى قصر داخلي في الخلية 5 أو 6، ولكن ليس إلى عيب ناجٍ واحد. تم تضييق تاكاماتسو إلى بدء الخلية 6 المحتمل، ولكن ليس آلية القصر. تم تضييق ناريتا إلى قصر داخلي في الخلية 5، ولكن لم تثبت الأسباب المرشحة.

الثاني هو لماذا قبلت المراجعة عبر المنظمات عدم الانتشار. يحدد السجل نقاط الضعف في الاختبار والتتبع، لكنه لا يقدم كل نقاش داخلي، أو معارضة، أو قرار جدول زمني، أو أساس منطقي للموافقة. سيكون من التجاوز التشهيري استنتاج الإخفاء أو سوء النية أو التهرب المتعمد دون دليل.

الثالث هو مدى أداء التصحيحات التصنيعية مع مرور الوقت. وجدت مراجعات ما بعد الحدث وأغلقت حالات عدم مطابقة، وجمع التصميم المعدل الخدمة. ومع ذلك، فإن السجل العام الذي تمت مراجعته هنا لا يوفر مقاييس مستقلة مستمرة لقدرة العملية أو هروب العيوب لخلايا 787 من GS Yuasa.

الرابع هو ما إذا كانت المراقبة اللاحقة وتغييرات المعايير أغلقت مجموعة التوصيات بالكامل. تظهر إرشادات FAA لعام 2015 وعمل المعايير اللاحق تعلمًا مؤسسيًا، لكن الإرشادات يمكن أن تكون استشارية ويمكن أن تتوقف حالة التوصية على إجراءات موثقة أضيق من القضاء الكامل على المخاطر. يجب الحكم على كل موافقة حالية بناءً على أساس التصديق والأدلة الخاصين بها.

الخامس هو الحد الدقيق للاحتواء في ظل حالات فشل متعددة متزامنة أو متدهورة الصيانة. تم اختبار إعادة التصميم وقدم حدث ناريتا تأكيدًا ميدانيًا لارتفاع حرارة خلية واحدة. لا تعرض المواد العامة كل نتيجة امتثال خاصة في أسوأ الحالات. الاستنتاج الصحيح هو ثقة عالية في التحسين المادي، وليس ادعاءً باستحالة عواقب على مستوى الطائرة.

الخلاصة: يجب أن ينجو التصديق من الخلية غير المفسرة

قضية بطارية 787 ليست قصة بسيطة لكيمياء غير آمنة تم تصحيحها بصندوق. جلبت تقنية الليثيوم أيون فوائد أداء مشروعة، وأعادت الهندسة المعدلة الأسطول إلى الخدمة. كان الفشل الأعمق evidenciary: افترض تقييم السلامة أن القصر الداخلي سيبقى محصوراً، بينما لم يمثل الاختبار الداعم النظام النهائي المثبت في ظل أشد الظروف ذات الصلة. يمكن للتصنيع إدخال عيوب كامنة؛ قد لا تكتشفها المراقبة قبل الانفلات؛ ولم تتطلب سلسلة التصديق بقاء البطارية والطائرة على الانتشار الناتج.

قسمت التحقيقات السيطرة بدقة. سمحت عملية GS Yuasa بآليات عيب قادرة على التسبب في قصور. كان لدى Thales مسؤوليات التكامل والمستوى الفرعي. امتلكت Boeing متطلبات مستوى الطائرة، وتكامل الموردين، وإظهار الامتثال. راجع الممثلون المعتمدون ومهندسو FAA الأدلة، واحتفظت FAA بسلطة الشهادة وصلاحية الطيران. سيطرت شركات الطيران وأطقم الطائرة على العمليات الفورية. قدمت NTSB و JTSB نتائج وقائية مع ترك المسؤولية المدنية والجنائية لمؤسسات أخرى.

نجح التعافي لأنه توقف عن الاعتماد على تفسير واحد مثالي. قلل البدء، وأعاق الانتشار، واحتوى الفشل خارج الأماكن المشغولة ومعدات الحجرات. ثم أظهرت ناريتا سبب أهمية تلك الهندسة: لم تمنع الطبقة الأولى حدث الخلية، لكن الطبقات اللاحقة منعت التتالي السابق والضرر في الحجرة. هذه النتيجة أكثر إقناعًا من الوعد بأن الخلايا لن تفشل أبدًا.

لذلك فإن اختبار المساءلة الدائم واضح ومباشر. بالنسبة لمكون عالي الطاقة قد يكون عيبه البادئ نادرًا ومجهريًا ومدمرًا بالحدث، لا يمكن للسلامة أن تعتمد على غياب حالات الفشل المرصودة في منتج مماثل أو على اختبار إساءة واحد مناسب. يجب على مقدم الطلب كشف الافتراضات، واختبار التكوين النهائي المثبت في ظل ظروف معقولة شديدة، والتحكم في تصنيع المستوى الفرعي، ومراقبة الأسطول بمقامات قابلة للاستخدام، والحفاظ على خط الدفاع الأخير الذي يظل فعالاً عندما تفشل الوقاية والتشخيص. يجب على المنظم تحدي تلك السلسلة بشكل مستقل. عادت Boeing 787 إلى الخدمة عندما أصبح الاحتواء جزءًا من الإثبات؛ تتطلب المساءلة الدائمة إبقاء هذا الإثبات محدثًا.