Boeing 787: Batteriebrände machten die Eindämmung von Thermal Runaway zu einem Verantwortlichkeitstest für die Zertifizierung

Zusammenfassung

• Bestätigte Ereignisse:Am 7. Januar 2013 geriet die Hilfstriebwerksbatterie einer am Bostoner Flughafen geparkten Japan-Airlines-787 in Brand, nachdem Passagiere und Besatzung das Flugzeug verlassen hatten. Am 16. Januar zeigte eine All-Nippon-Airways-787 im Steigflug eine Batteriestörung an und einen ungewöhnlichen Geruch; sie wich nach Takamatsu aus und wurde evakuiert; vier Passagiere erlitten bei dieser Evakuierung leichte Verletzungen. In beiden Flugzeugen wurde dasselbe Batteriemodell für unterschiedliche Funktionen verwendet.
• Ermittlungsergebnisse:Das US-amerikanische National Transportation Safety Board (NTSB) stellte fest, dass das Boston-Ereignis mit einem internen Kurzschluss in einer Zelle begann, gefolgt von einem thermischen Durchgehen, das auf benachbarte Zellen übergriff. Es führte den Vorfall auf Boeings Versäumnis zurück, die schwerwiegendsten Auswirkungen eines internen Kurzschlusses zu mildern, und auf das Versäumnis der Federal Aviation Administration (FAA), diesen Konstruktionsmangel bei der Typzertifizierung zu erkennen. Die Japan Transport Safety Board (JTSB) fand heraus, dass Zelle 6 höchstwahrscheinlich die Ausbreitung in Takamatsu auslöste, konnte jedoch den endgültigen Mechanismus, der den internen Kurzschluss verursachte, nicht identifizieren.
• Auslöser, Grund- und beitragende Faktoren:Der operative Auslöser für die Flugzeugflotte war nicht nur eine defekte Batterie; es war der zweite schwerwiegende Vorfall innerhalb von neun Tagen, diesmal während des Fluges. Der grundlegende Verantwortungsfehler war eine ungültige System-Sicherheitsannahme, dass ein thermisches Durchgehen einer einzelnen Zelle nicht zu einer Ausbreitung oder gefährlichen Flugzeugauswirkungen führen würde. Zu den beitragenden Bedingungen gehörten nicht repräsentative Entwicklungstests, die Verwendung einer Vorserien- und nicht geerdeten Batterie in einem wichtigen Nageldurchstoßtest, die Unterschätzung der Eintrittsraten, eine unvollständige Anforderungs-Test-Rückverfolgbarkeit, Herstellungsprozesse, die Falten oder Fremdkörper einführen konnten, und eine Aufsicht, die die Unternetzebene der Zellenfabrik nicht effektiv erreichte.
• Kontrolle und Reaktion:GS Yuasa kontrollierte die Zellen- und Batterieherstellung; Thales kontrollierte die Integration des Stromumwandlungs-Subsystems; Boeing kontrollierte die Anforderungen auf Flugzeugebene, die Lieferantenintegration, die Sicherheitsbewertung und den Antrag auf Typzertifizierung; bevollmächtigte Vertreter und FAA-Ingenieure trafen Compliance-Feststellungen in delegierten und vorbehaltenen Bereichen, während nur die FAA die Typzertifizierung und Lufttüchtigkeitsanweisungen erteilen konnte. Die Fluggesellschaften kontrollierten die sofortige Flottennutzung, und die Ermittlungsbehörden kontrollierten ihre eigenen Sicherheitsfeststellungen, nicht die zivilrechtliche Haftung.
• Behebung:Die FAA groundete die in den USA registrierten 787er durch eine Notfall-Lufttüchtigkeitsanweisung und genehmigte die Rückkehr nach dem Einbau neuer Batterien und Ladegeräte, strengeren Betriebskontrollen, zusätzlicher Zellenisolierung, einem versiegelten Stahlgehäuse und einem Überbord-Ablass. Ein Vorfall in Narita im Januar 2014 überhitzte dann eine Zelle der neu konstruierten Batterie ohne Ausbreitung oder Schäden im umgebenden Geräteraum. Die japanische Aufsichtsbehörde wertete dies als Beweis dafür, dass die zweite und dritte Schutzschicht funktionierten, forderte jedoch gleichzeitig weitere Verbesserungen, da die erste Schicht die Überhitzung der Zelle nicht verhindert hatte.
• Verantwortlichkeitsschlussfolgerung:Die Neukonstruktion lieferte starke Beweise dafür, dass die Folgenbegrenzung verbessert wurde. Sie machte die ursprünglichen Zertifizierungsannahmen nicht rückwirkend vernünftig, identifizierte nicht jeden Auslösemechanismus oder bewies öffentlich eine fehlerfreie Batterie. Dauerhafte Sicherheit erfordert kontinuierliche Nachweise auf drei Ebenen: Zellenprozessfähigkeit, Ausbreitungswiderstand auf Batterieebene und Eindämmung auf Flugzeugebene unter den denkbar schlimmsten eingebauten Bedingungen.

Bei dem Fall geht es um eine Sicherheitsgrenze, nicht um eine Batteriemarke

Die entscheidende Grenze in diesem Fall sollte innerhalb der Batterie liegen. Eine Zelle könnte ausfallen, entlüften oder überhitzen, aber die Sicherheitsanalyse ging davon aus, dass das Ereignis begrenzt bleiben würde, so dass es nicht zu einem Mehrzellenbrand werden würde, der das Flugzeug gefährdet. Nachdem die Boston-Batterie Feuer fing und die Takamatsu-Batterie Hitze über die Zellen hinweg ausbreitete, erwies sich diese Grenze im Betrieb als unzuverlässig. Die Verantwortungsfrage geht daher über die Frage hinaus, welcher mikroskopische Defekt welche Zelle auslöste.

Sie fragt, wer die Grenze definierte, welche Beweise sie rechtfertigten, wer diese Beweise überprüfte und welche Kontrollen übrig blieben, als der auslösende Mechanismus nicht rekonstruiert werden konnte.

Die Seite zum abgeschlossenen NTSB-Untersuchungsbericht gibt die wahrscheinliche Ursache für Boston in institutionellen Begriffen an: Ein interner Kurzschluss führte zu einem kaskadierenden thermischen Durchgehen, und der Vorfall war die Folge fehlender Boeing-Konstruktionsanforderungen und eines Versagens der FAA-Zertifizierungsprüfung. Dies ist eine offizielle Sicherheitsfeststellung, keine Behauptung eines Prozessbeteiligten und kein Gerichtsurteil. Der vollständige NTSB-Untersuchungsbericht enthält die Beweise, Analysen, Feststellungen und Empfehlungen, die dieser Aussage zugrunde liegen. Seine Präzision ist wichtig.

Es heißt nicht, dass Boeing wissentlich einen bekannten Brand akzeptierte, dass ein FAA-Mitarbeiter wissentlich einen fehlgeschlagenen Test übersah oder dass ein identifiziertes Partikel nachweislich den Kurzschluss verursachte.

Die japanische Untersuchung ist ebenso wichtig, da sie eine andere Grenze erreichte. Der JTSB-Abschlussbericht fand eine wahrscheinliche Ereigniskette um Zelle 6, Schwellung, Kontakt mit einem Strebenbügel, große Erdrückströme, Lichtbogenbildung und Ausbreitung. Es hieß, die Wärmeentwicklung der Zelle sei wahrscheinlich durch einen internen Kurzschluss verursacht worden, der endgültige Mechanismus dieses Kurzschlusses sei jedoch nicht identifiziert worden.

Die beiden Berichte als austauschbar zu behandeln, würde eine zentrale Lehre auslöschen: Ermittler können den Eskalationspfad und das Kontrollversagen beweisen, ohne die erste mikroskopische Handlung zu beweisen.

Diese Analyse verwendet fünf Bezeichnungen. Einebestätigte Tatsachewird direkt durch eine offizielle Aufzeichnung oder eine zeitgenössische förmliche Einreichung belegt. EinErmittlungsergebnisist eine Schlussfolgerung, die von einer Unfalluntersuchungsbehörde im Rahmen ihres Sicherheitsmandats angenommen wurde. EineUnternehmenspositionist ein Beleg dafür, was Boeing gesagt oder getan hat, aber kein unabhängiger Beweis für Kausalität oder Dauerhaftigkeit. Einegestützte Schlussfolgerungverbindet festgestellte Tatsachen, ohne zu behaupten, dass die Verbindung formell festgestellt wurde. Eineungeklärte Fragebleibt in der öffentlichen Akte offen.

EinKontrafaktisches Szenariobeschreibt eine Kontrolle, die die Abfolge hätte unterbrechen können; es ist keine Behauptung, dass eine bestimmte Person rechtlich verpflichtet war, dies zum damaligen Zeitpunkt vorherzusehen.

Forensische Zeitleiste: Von der neuen Technologie zum zertifizierten Betrieb

28. März 2003 bis September 2004 - Antrag und Technologiewahl.Boeing beantragte im März 2003 die Typzertifizierung für die 787-8. Im September 2004 teilte es der FAA mit, dass es Hochleistungs-Lithium-Ionen-Akkus für die Haupt- und Hilfstriebwerksfunktionen einsetzen wolle. Die Chemie bot geringeres Gewicht und nützliche elektrische Leistung für die stärker elektrifizierte Architektur der 787, aber die Erfahrung im kommerziellen Transport mit so großen eingebauten Batterien war begrenzt. Die Technologiewahl war legitim; Neuheit begründete eine Beweisverpflichtung, keine Schuldvermutung.

Die Lieferkette verteilte die detaillierte Kontrolle. Boeing wählte Thales für das Stromumwandlungs-Subsystem. Thales wählte GS Yuasa für die Lithium-Ionen-Batterie und Securaplane für die Batteriesteuerungseinheit, wobei Boeing am Auswahlprozess beteiligt war. GS Yuasa stellte acht große Lithium-Kobaltoxid-Zellen in Serie her und montierte sie zu einer Batterie. Das gleiche Batteriemodell diente als Hauptbatterie im vorderen Elektronikschacht und als APU-Batterie im hinteren Schacht.

Boeing blieb verantwortlich für die Integration auf Flugzeugebene und den Zertifizierungsnachweis, auch wenn untergeordnete Ebenen Komponenten entwarfen und herstellten.

2005 bis 2007 - Anforderungen und Sonderbedingungen.Die FAA kam zu dem Schluss, dass die üblichen Batterievorschriften für Transportflugzeuge das neuartige Design nicht ausreichend abdeckten. Der offizielle Bundesregistereintrag von 2007 mit den Sonderbedingungen 25-359-SC identifizierte die Anfälligkeit für internes Versagen, thermisches Durchgehen, brennbaren Elektrolyt, Überladung und Tiefentladung.

Seine neun Bedingungen verlangten unter anderem sichere Temperaturen und Drücke, die Verhinderung selbstunterhaltender unkontrollierter Temperatur- oder Druckanstiege, die Kontrolle gefährlicher Gase und Flüssigkeiten, den Schutz vor maximaler Hitze während eines Zellen- oder Batteriekurzschlusses, Ladesteuerung, Warnungen und Anweisungen zur Aufrechterhaltung der Lufttüchtigkeit.

Diese Worte erscheinen stark, weil sie stark sind. Das Problem entstand bei der Übersetzung von Sicherheitssprache auf höchster Ebene in Annahmen, detaillierte Anforderungen, Nachweismethoden und repräsentative Tests. Eine Bedingung, die besagt, dass die Konstruktion unkontrollierten Temperaturanstieg ausschließen muss, spezifiziert nicht selbst, wie ein interner Kurzschluss herbeizuführen ist, wie viele Versuche durchzuführen sind, ob die Batterie wie eingebaut geerdet sein muss, welche Temperatur das schwerwiegendste Ergebnis liefert oder ob der geprüfte Artikel dem endgültigen Produktionsdesign entsprechen muss.

Diese Verbindungen mussten durch Zertifizierungsplanung und technische Nachweise hergestellt werden.

2006 und 2009 - Entwicklungswarnungen, Änderungen und Interpretation.Die JTSB-Aufzeichnungen beschreiben einen Überhitzungsbrand während der Entwicklung im Jahr 2006, nachdem ein Signalkabel nicht angeschlossen war, gefolgt von Konstruktionsänderungen. Im Jahr 2009 verursachte ein integrierter Systemtest übermäßiges Laden und eine entlüftete Zelle; die Ermittler brachten dieses Ereignis mit wiederholter Tiefentladung gefolgt von hoher Stromladung in Verbindung und nahmen weitere Korrekturen vor. Diese Ereignisse waren nicht der gleiche Mechanismus wie in Boston, und es wäre ungenau, sie als ignorierte Nachbildungen zu bezeichnen.

Sie zeigten jedoch, dass das Batteriesystem in energiereiche Fehlerzustände geraten konnte und dass die konstruktive Konfiguration, die elektrische Umgebung und die Steuerlogik eine Rolle spielten.

Ein 2006 von GS Yuasa durchgeführter Nageldurchstoß-Entwicklungstest wurde einflussreich. Er trieb eine Zelle in thermisches Durchgehen, ohne dass eine beobachtete Ausbreitung auf benachbarte Zellen oder Feuer erfolgte. Die spätere NTSB-Analyse ergab, dass der Test nicht die maximale Betriebstemperatur der Batterie verwendete, nicht vollständig den Einbau im Flugzeug repräsentierte, keine Wiederholungen über mehrere Batterien hinweg durchführte und ein Entwicklungsgerät verwendete, das sich vom endgültigen zertifizierten Design unterschied.

Andere behauptete Batterietests auf Entwicklungsebene entbehrten der der NTSB zugänglichen Dokumentation. Qualifikations-Missbrauchstests trieben keine Zelle in thermisches Durchgehen, um Nicht-Ausbreitung oder Eindämmung zu beweisen, und die getesteten Batterien waren nicht wie eingebaut geerdet.

Das bedeutet nicht, dass die Zertifizierung aus einem einzigen beiläufigen Test bestand. Boeing, Lieferanten, bevollmächtigte Vertreter und FAA-Mitarbeiter verwendeten Sicherheitsbewertungen, Fehlerbäume, Fehlermodusanalysen, Qualifikationstests und Zertifizierungsüberprüfungen. Der engere und folgenreichere Befund ist, dass die Beweiskette die entscheidende Annahme nicht unter den schwerwiegendsten repräsentativen Bedingungen in Frage stellte. Die Aktivität war umfangreich; die Abdeckung war unvollständig.

26. August 2011 - Typzertifizierung.Die FAA erteilte die Zulassung für die Transportkategorie für die 787-8. Boeing hatte die FAA-Zustimmung für seinen Zertifizierungsplan für das elektrische Stromversorgungssystem erhalten, und die FAA überprüfte die Qualifikationsverfahren, genehmigte die Typinspektionsermächtigung und akzeptierte die Abschlussberichte. Boeing hatte 2009 die Organization Designation Authorization erhalten, die es bevollmächtigten Vertretern erlaubte, bestimmte Compliance-Feststellungen im Namen der FAA zu treffen. Nur die FAA erteilte die Typzertifizierung.

Dies als eine einfache Selbstzertifizierung der Batterie durch Boeing zu beschreiben, würde die geteilten Kontrollen und die zurückbehaltene öffentliche Autorität verschleiern, die die Untersuchung tatsächlich prüfte.

Forensische Zeitleiste: Die beiden Ereignisse im Januar 2013

7. Januar, Boston - Ein geparktes Flugzeug, ein aktiver Batteriebrand.Japan Airlines Flug 008 traf von Narita in Boston Logan ein und parkte am Gate. Die APU war die Stromquelle des Flugzeugs. Gegen 10:21 Uhr Ortszeit entdeckte Reinigungspersonal Rauch im hinteren Teil der Kabine, ein Wartungsleiter sah, dass die APU automatisch abgeschaltet hatte, und ein Mechaniker, der den hinteren Elektronikschacht öffnete, fand starken Rauch und Flammen am Steckverbinder des APU-Batteriegehäuses. Keiner der 183 Passagiere oder 11 Besatzungsmitglieder befand sich noch an Bord. Wartungs- und Reinigungspersonal wurden nicht verletzt;

das NTSB berichtete von einer leichten Verletzung eines Feuerwehrmannes, der eingesetzt wurde.

Die Abfolge ist im öffentlichen NTSB-Dossier für DCA13IA037 dokumentiert, das Tatsachenberichte, Fotos, Testaufzeichnungen, Anhörungsmaterialien und technisches Material enthält. Die Batterie war schwer zugänglich, und das Ereignis hatte Auswirkungen auf Flugzeugebene, obwohl das Flugzeug leer war. Hitze, Rauch, brennbarer Elektrolyt und Feuer entkamen der beabsichtigten Begrenzung auf Zellebene. Die Tatsache, dass das Ereignis am Boden stattfand, verringerte die Exposition von Menschen; es verringerte nicht die konstruktive Bedeutung.

Die Ermittler schlossen mehrere Alternativen für das Boston-Ereignis aus. Aufgezeichnete Daten zeigten vor dem Ausfall keine Überladung, Tiefentladung oder einen externen Kurzschluss mit hohem Strom. Die Untersuchung ergab keine externe Wärmequelle, kein scheuerndes Batteriekabel, keine mechanische Misshandlung oder einen abnormalen elektrischen Transienten des Flugzeugs, der es auslöste. Komponenten- und Integrationstests belasteten das Ladegerät oder zugehörige externe Komponenten nicht.

Die Schäden konzentrierten sich auf die Zellen 5 und 6, aber die Zerstörung verhinderte, dass das NTSB entscheiden konnte, welche dieser beiden die Abfolge auslöste. Die Behörde fand einen internen Kurzschluss in einer von ihnen, gefolgt von einer Ausbreitung.

11. Januar - Überprüfung angekündigt vor dem zweiten Ereignis.Die FAA kündigte öffentlich eine breitere Design- und Produktionsüberprüfung an. In ihrer Erklärung vom 11. Januar sagte die Behörde, sie werde kritische Systeme überprüfen, den Schwerpunkt auf elektrische Systeme legen und die Konstruktion, Produktion und Aufsicht verifizieren. Zu diesem Zeitpunkt äußerte die FAA Vertrauen in das Flugzeug, sagte aber, sie brauche das vollständige Bild. Dies war eine regulatorische Reaktion, keine abgeschlossene Feststellung, dass die Batterie sicher oder unsicher sei.

16. Januar, Takamatsu - Die Gefahr verlagert sich in den Flug.All Nippon Airways Flug 692 startete um 08:11 Uhr von Yamaguchi-Ube nach Tokio. Um 08:27 Uhr, während des Steigflugs durch 32.000 Fuß, erhielt die Besatzung eine Batteriefehlermeldung und nahm einen ungewöhnlichen Geruch im Cockpit wahr. Das Flugzeug wich aus und landete um 08:47 Uhr in Takamatsu. Die Besatzung leitete um 08:49 Uhr eine Evakuierung über Rutschen ein. Vier der 137 Insassen erlitten bei der Evakuierung leichte Verletzungen.

Die JTSB stellte fest, dass die beschädigte Hauptbatterie kein externes Feuer entwickelte, aber Zellenhitze, Elektrolyt und Rauch führten zu einem Systemereignis während des Fluges, das schwerwiegend genug war, um auszuweichen und zu evakuieren.

Dieses zweite Ereignis änderte die Risikoentscheidung. Boston hatte einen Brand gezeigt, nachdem die Passagiere ausgestiegen waren; Takamatsu zeigte ein Versagen der verwandten Batteriearchitektur während des Fluges. Am frühen Morgen desselben Tages stellten JAL und ANA den 787-Betrieb freiwillig ein. Die FAA erließ dann die Notfall-Lufttüchtigkeitsanweisung (Emergency AD) 2013-02-51, die später als endgültige Regelung vom Februar 2013 veröffentlicht wurde.

Sie erforderte eine Modifikation oder eine andere genehmigte Maßnahme vor dem weiteren Flug, da Batterieausfälle kritische Systeme oder Strukturen beschädigen und einen Brand in einem elektrischen Fach verursachen könnten. Die EASA übernahm die FAA-Richtlinie für die europäische Flotte, und andere Behörden handelten für die Flugzeuge unter ihrer Zuständigkeit.

Der operative Auslöser für die Flottengroundung war daher kumulativ und kontextübergreifend: zwei energiereiche Batterieausfälle, dasselbe Batteriemodell, zwei installierte Funktionen, neun Tage, ein bestätigter Brand und eine Umleitung während des Fluges. Eine Aufsichtsbehörde musste nicht auf einen Todesfall oder eine abgeschlossene mikroskopische Ursachenermittlung warten, um zu dem Schluss zu kommen, dass der weitere uneingeschränkte Betrieb keine ausreichende Sicherheit bot.

Was physisch versagte und was ungeklärt blieb

Für Boston stellte das NTSB einen internen Kurzschluss in Zelle 5 oder 6 fest. Diese Zelle geriet in thermisches Durchgehen; Hitze und Versagen breiteten sich auf benachbarte Zellen aus; Rauch, Elektrolyt und Feuer folgten. Die Behörde stellte fest, dass Überladung, Tiefentladung, externer Kurzschluss, externe Erwärmung, Einbaufaktoren und Umgebungsbedingungen des Flugzeugs den Fehler nicht auslösten. Dies ist die stärkste bestätigte technische Kette in der öffentlichen Akte.

Das NTSB untersuchte auch die Herstellung. GS Yuasa wickelte Elektroden- und Separatorschichten zu zylindrischen Baugruppen, flachte sie teilweise ab, gruppierte sie und führte vor der Zellenmontage eine endgültige Abflachung durch. Das Abflachen konnte Störungen in den Elektrodenfolien verursachen. Schweißarbeiten in der Nähe interner Komponenten konnten metallische Rückstände erzeugen. Das NTSB stellte fest, dass GS Yuasa einige Vorwickelfalten überwachte, aber Störungen, die während des Wickelns, Abflachens und der Montage entstanden, nicht formell überwachte;

sein Prozess für Fremdkörper war keine standardisierte Kontrolle zum Auffinden, Reduzieren und Verhindern von Fremdkörpern. Ein Großteil der Inspektion erfolgte nach Abschluss der Zelle und beruhte wesentlich auf Sichtprüfung.

Der Materiallabor-Tatsachenbericht und die abschließende Analyse der Behörde dokumentierten Falten, Knicke, Lithiumablagerungen und Fremdmaterial als relevante Defektmechanismen. Das NTSB kam zu dem Schluss, dass der Herstellungsprozess Defekte zuließ, die interne Kurzschlüsse in 787-Zellen verursachen konnten. Es identifizierte keine einzelne überlebende Falte oder ein Partikel als nachgewiesenen Auslöser in Boston. Diese Unterscheidung verhindert, dass ein Befund auf Prozessebene in eine ungestützte gerätespezifische Anschuldigung umgewandelt wird.

Für Takamatsu rekonstruierte die JTSB Zelle 6 als sehr wahrscheinlichen Auslöser. Hitze und Druck ließen die Zelle anschwellen, schmolzen die umgebende Isolierung und ermöglichten den Kontakt mit einem Strebenbügel. Große Ströme durch das geerdete Batteriegehäuse erzeugten Lichtbögen, die die thermische Ausbreitung verstärkten. Tests, die die eingebaute Erdungskonfiguration reproduzierten, konnten eine Ausbreitung erzeugen; eine schwebende Konfiguration tat dies nicht.

Die JTSB stellte fest, dass nichtrepräsentative Entwicklungstests und die Unterschätzung der Auswirkungen interner Kurzschlüsse möglicherweise zur Ausbreitung beigetragen haben.

Der interne Kurzschluss selbst blieb ungeklärt. Die JTSB erwog Lithiumablagerung unter Niedrigtemperaturbedingungen, metallische Verunreinigungen, Separatorkontaminationen, Separatorschäden und ungleichmäßige Wicklung, sagte aber ausdrücklich, dass sie den endgültigen Mechanismus nicht schlüssig identifizieren konnte und andere Konstruktions- oder Herstellungsfaktoren nicht ausschließen konnte. Die drei damals bekannten bemerkenswerten Ereignisse hatten sich im Januar ereignet, aber Saisonalität ist keine Kausalität. Kälte war eine Hypothese, kein endgültiger Befund.

Ein vertretbarer Bericht endet daher bei: Ein interner Kurzschluss löste höchstwahrscheinlich Zelle 6 aus; der genaue Ursprung dieses Kurzschlusses war unbekannt.

Auslöser, Grundursache und beitragende Faktoren

DieAuslöserereignissewaren beobachtbar und zeitlich begrenzt: der APU-Batteriebrand in Boston und das Hauptbatterieereignis während des Fluges in Takamatsu. DerGrounding-Auslöserwar der Verlust des Vertrauens, dass einer der eingebauten Orte den bekannten Batteriefehlermodus sicher tolerieren konnte. Auslöser ist nicht die Grundursache. Ein Auslöser beschreibt, wann eine Kontrollentscheidung notwendig wurde, nicht warum das System anfällig war.

Diephysische Grundursache für Bostonwar nach der angenommenen wahrscheinlichen Ursache des NTSB ein interner Zellenkurzschluss, gefolgt von einem kaskadierenden thermischen Durchgehen. DieSystemgrundursachewar ein Anforderungs- und Zertifizierungsversagen: Boeings Batteriesicherheitsbewertung berücksichtigte nicht die schwerwiegendsten Auswirkungen dieses Kurzschlusses oder spezifizierte keine Abhilfemaßnahmen, und die FAA-Überprüfung identifizierte das Defizit nicht. Die Sonderbedingungen verlangten die Verhinderung unkontrollierter Temperatur- und Druckanstiege und den Schutz vor Kurzschlusshitze.

Dennoch behandelte die detaillierte Beweiskette die Nicht-Ausbreitung eher als eine Annahme denn als ein Ergebnis, das unter den schlimmsten eingebauten Bedingungen nachgewiesen wurde.

Der erste großebeitragende Faktorwar die Testrepräsentativität. Der einflussreiche Nageldurchstoßtest verwendete nicht das endgültige Batteriedesign, die maximale Betriebstemperatur, die eingebaute Erdung oder wiederholte Versuche. Nach dem Ereignis durchgeführte Tests des NTSB, von UL und der JTSB zeigten, dass die Änderung dieser Bedingungen beeinflussen konnte, ob sich das thermische Durchgehen ausbreitete. Die Lehre ist nicht, dass der Nageldurchstoß jeden spontanen internen Kurzschluss perfekt reproduziert.

Es ist, dass ein Test, der verwendet wird, um eine Ausbreitung auszuschließen, konservativ, installationsrepräsentativ und wiederholbar genug sein muss, um diese Schlussfolgerung zu stützen.

Der zweite war dieWahrscheinlichkeitsübertragung. Boeings Sicherheitsbewertung schätzte das Zellenentlüften auf etwa einmal pro zehn Millionen Flugstunden unter Verwendung von GS-Yuasa-Daten einer Industriezelle mit ähnlichem mechanischem Design. Das NTSB stellte fest, dass sowohl Boston als auch Takamatsu innerhalb der ersten etwa 52.000 Flottenflugstunden auftraten, weit über der Vorhersage. Die JTSB kritisierte separat Berechnungen, die von ähnlichen Industriezellen mit unterschiedlichen Inhaltsstoffen abgeleitet wurden, und bemerkte das niedrige verwendete Konfidenzniveau.

Das historische Ausbleiben von Fehlern in einer angrenzenden Anwendung wurde als Beweis für eine neue Anwendung behandelt, ohne ausreichende Marge für Chemie, Kapazität, Umgebung und Prozessunterschiede.

Der dritte war dieAnforderungsrückverfolgbarkeit. Das NTSB fand unklare Verbindungen zwischen jeder Sonderbedingung, Sicherheitsbewertungsannahme, Begründung, niedrigeren Anforderung und Nachweismethode. Eine bessere Rückverfolgbarkeit hätte wahrscheinlich aufgedeckt, dass keine explizite Batterieanforderung und kein geplanter Zertifizierungstest für thermisches Durchgehen die Ausbreitung durch einen internen Kurzschluss adressierten.

Die Empfehlungen des NTSB zur Zertifizierung von Lithiumbatterien von 2014 forderten Missbrauchstests, die ein thermisches Durchgehen einer einzelnen Zelle in der eingebauten Konfiguration unter Bedingungen, die das schwerwiegendste Ergebnis erzeugen, die Überprüfung von Betriebsgenehmigungen und den Zugang zu unabhängiger technischer Expertise fordern.

Der vierte war dieHerstellungs- und Unternetzkontrolle. Thales auditierte GS Yuasa in den Jahren 2011 und 2012, aber die aufgezeichneten Abweichungen betrafen nicht die Zellenfertigungsmerkmale, die später untersucht wurden. Boeing verließ sich auf Thales für das Audit auf Unternetzebene und auditierte GS Yuasa vor dem Ereignis nicht; die FAA auditierte die Zellenfabrik vor dem Ereignis nicht. Nach dem Ereignis durchgeführte Audits identifizierten Nichtkonformitäten und Korrekturmaßnahmen. Dies stützt die Feststellung, dass die Aufsicht wirksamer hätte sein können.

Es beweist nicht, dass jedes Audit oberflächlich war oder dass eine bestimmte nicht offengelegte Nichtkonformität eines der beiden Ereignisse verursachte.

Der fünfte war dieÜberwachungsauflösung. Batteriesysteme überwachten Spannungen und Temperaturen, konnten aber nicht unbedingt einen lokalisierten internen Kurzschluss früh genug erkennen, um ein thermisches Durchgehen zu stoppen. Das NTSB empfahl später die Überwachung der Zellentemperatur und -spannung sowie die Aufzeichnung von Überschreitungen, zusammen mit der Erforschung von Vorläufern und aktiven Abhilfemaßnahmen. Der Erkennung kann nicht zugeschrieben werden, einen Mechanismus zu kontrollieren, der sich intern schneller entwickelt, als die verfügbaren Sensoren und Trennungen ihn stoppen können.

Erkennung, Reaktion und Wiederherstellung

Die Erkennung begann mit Personen und Flugzeugmeldungen, nicht mit einem prädiktiven Sicherheitsmonitor. In Boston sah Reinigungspersonal Rauch, ein Wartungsleiter sah die APU-Abschaltung, und ein Mechaniker fand den Batteriebrand. In Takamatsu erhielt die Besatzung eine Batteriefehlermeldung und roch einen ungewöhnlichen Geruch. Diese Indikatoren ermöglichten eine Reaktion, nachdem das Ereignis bereits fortgeschritten war. Sie lieferten keine zuverlässige Frühwarnung vor dem auslösenden Kurzschluss.

Die sofortige Reaktion war angemessen konservativ. Die Feuerwehr kümmerte sich um das Boston-Ereignis. Die Takamatsu-Besatzung wich aus, landete etwa 20 Minuten nach dem Start und evakuierte. JAL und ANA stellten den Betrieb vor der FAA-Richtlinie ein. Die FAA verwendete eine Notfall-Lufttüchtigkeitsanweisung, ein Instrument, das auf einen unsicheren Zustand im Produkt abzielt, anstatt auf den endgültigen Unfallbericht zu warten. Internationale Behörden übernahmen oder parallelen die Beschränkung. Diese Abfolge trennte die operative Risikosteuerung von der kausalen Gewissheit.

Die Untersuchung weitete dann die Erkennung aus. CT-Scans, zerstörende physikalische Analysen, elektrische Tests, aufgezeichnete Daten, Fabrikbesichtigungen und Ausbreitungstests in installierter Konfiguration verwandelten ein verborgenes Zellenereignis in eine Beweiskarte. Das NTSB-Dossier bewahrte die zugrunde liegenden Berichte, während die beiden nationalen Behörden Schlussfolgerungen nach den Grundsätzen der Sicherheitsuntersuchung nach Annex 13 zogen. Der JTSB-Bericht stellt fest, dass sein Zweck die Prävention ist, nicht die Zuweisung von Schuld oder Haftung.

Diese Grenze sollte die Verwendung jeder technischen Feststellung in der Verantwortlichkeitsanalyse leiten.

Die Wiederherstellung erfolgte schrittweise. Boeing legte einen Zertifizierungsplan vor; die FAA genehmigte den Plan am 12. März 2013. Boeings Ankündigung des Zertifizierungsplans beschrieb drei Schichten: Fehler reduzieren, Produktion und Tests verbessern und jedes Versagen so eindämmen, dass es das Flugzeug nicht beeinträchtigen konnte. Dies war eine Unternehmensposition zur beabsichtigten Lösung, noch keine Genehmigung zur Wiederaufnahme des Passagierdienstes.

Die detaillierte Designankündigung des Unternehmens beschrieb strengere Prüfungen, Produktionskontrollen, elektrische und thermische Isolierung, einen überarbeiteten Betriebsspannungsbereich, Änderungen am Ladegerät und ein Stahlgehäuse mit Ablass nach außen. Boeing sagte, es habe von RTCA DO-311 profitiert, das für den ursprünglichen Basisplan nicht verfügbar gewesen war. Diese spätere Verwendung eines neueren Standards ist ein Sanierungsnachweis; es darf nicht als ein Standard beschrieben werden, den Boeing während der früheren Zertifizierung verletzt hat.

Am 19. April genehmigte die FAA den Modifikationsentwurf nach beobachteten Tests und Analysen. Die Rückkehr-zum-Dienst AD 2013-08-12 verlangte den Einbau von Haupt- und APU-Batteriegehäusen und Kanälen des Umweltkontrollsystems, den Austausch beider Batterien und Ladegeräte sowie eine Überarbeitung des Wartungsprogramms für die Berstscheiben der Gehäuseentlüftung. Sie ersetzte die Grounding-Richtlinie und wurde am 26. April wirksam. Der entsprechende EASA-Eintrag zeigt die Übernahme für die Aufrechterhaltung der Lufttüchtigkeit außerhalb des primären Zertifizierungsstaates.

Die Wiederherstellung beruhte nicht auf dem Nachweis, dass ein auslösender Defekt beseitigt worden war. Sie beruhte auf einer abgestuften Verteidigung: die Wahrscheinlichkeit der Initiierung verringern, die Wahrscheinlichkeit der Ausbreitung verringern und Auswirkungen auf Flugzeugebene verhindern, selbst wenn die beiden früheren Schichten versagten. Dies war eine rationale Reaktion auf ungeklärte Initiierung, begründete aber eine dauerhafte Verpflichtung, die Eindämmung zu überprüfen, anstatt stillschweigend zur alten Nicht-Ausbreitungsannahme zurückzukehren.

Kontrollkarte der Verantwortlichkeit

Diese Karte verhindert zwei häufige Fehler. Erstens löscht die Kausalität des Lieferanten nicht die Verantwortlichkeit des Integrators. Boeing hat die Elektroden nicht gewickelt, aber es kontrollierte das Sicherheitsversprechen auf Flugzeugebene und war der Inhaber der Produktionszulassung. Zweitens löscht die öffentliche Zertifizierung nicht die Verantwortlichkeit des Antragstellers. Die FAA allein erteilte das Zertifikat und behielt Aufsichtspflichten, aber Boeing musste die Konformität nachweisen und die von ihm vorgelegten Daten und Annahmen validieren.

Die Delegation erschwert die Verantwortung, ohne sie verschwinden zu lassen. Das NTSB stellte fest, dass Boeing-bevollmächtigte Vertreter und FAA-Zertifizierungsingenieure eine Bewertung überprüften, die die schwerwiegendsten Auswirkungen eines internen Kurzschlusses ausließ. Das Versagen überschritt die Delegationsgrenze. Es reichte nicht aus, dass jeder Akteur seine zugewiesene Überprüfung durchführte, wenn das gemeinsame Beweismodell die relevante Gefahr ausschloss.

Der gemeinsame Bericht des Boeing 787 Critical Systems Review Teams von 2014 kam zu dem Schluss, dass das Gesamtflugzeug seine beabsichtigte Sicherheitsstufe erreichte, während gleichzeitig eine inkonsistente Anforderungsweitergabe, Überprüfungslücken, Probleme in der Lieferantenkommunikation, Abweichungen bei der Inspektionsdelegation und eine FAA-Richtlinie, die nicht vollständig auf eine erweiterte internationale Lieferkette abgestimmt war, identifiziert wurden. Sein Umfang ging über die Batterie hinaus.

Es wurde von FAA- und Boeing-Personal gemeinsam geleitet und besetzt, daher ist es ein wertvoller Beleg für institutionelle Überprüfung und Korrekturmaßnahmen, aber kein unabhängiger Unfalluntersuchungsbericht, der dem NTSB oder der JTSB gleichkommt.

Rechtliche und regulatorische Grenzen

Der rechtliche Ausgangspunkt ist die Typzertifizierung. Der offizielle Text von 49 U.S.C. § 44704 weist der FAA-Administratorin die Befugnis zu, eine Typzertifizierung zu erteilen, nachdem sie festgestellt hat, dass ein Produkt ordnungsgemäß konstruiert und hergestellt ist, ordnungsgemäß funktioniert und die anwendbaren Standards erfüllt, und nachdem sie Tests zugelassen hat, die die Administratorin für die Sicherheit für notwendig hält. Der aktuelle Text enthält Änderungen, die nach 2013 erlassen wurden. Dieser Artikel verwendet ihn nur, um die dauerhafte Aufteilung zwischen Antragstellernachweisen und FAA-Erteilung zu beschreiben;

spätere Ergänzungen werden nicht rückwirkend auf die 787-Batteriezertifizierung angewendet.

Die anwendbare Zertifizierungsbasis umfasste 14 CFR Part 25 und die Sonderbedingungen von 2007. Die Sonderbedingungen waren rechtlich Teil der Zertifizierungsbasis der 787-8. Ihre Existenz zeigt, dass die neuartige Batteriegefahr institutionell erkannt wurde. Der spätere Ermittlungsbefund war nicht, dass keine Regel das thermische Durchgehen erwähnte. Es war, dass die Nachweismethoden, Annahmen und Tests den Schutz, den die Bedingungen erforderten, nicht ausreichend demonstrierten.

Eine Lufttüchtigkeitsanweisung ist eine verbindliche Produktsicherheitsregel. Die Notfallanweisung groundete betroffene Flugzeuge, bis eine genehmigte Modifikation oder eine andere Maßnahme den unsicheren Zustand behob. Die April-Anweisung schrieb eine spezifische Konfiguration für die Rückkehr vor. Keine der Anweisungen war eine strafrechtliche Anklage, eine Schadensersatzforderung oder eine Feststellung der Absicht. Es war eine regulatorische Risikoentscheidung im Rahmen der Befugnis zur Aufrechterhaltung der Lufttüchtigkeit.

Die Berichte von NTSB und JTSB sind keine Zivilurteile. Ihre Mandate konzentrieren sich auf Prävention. Die Sprache der wahrscheinlichen Ursache des NTSB ist maßgeblich für seine Sicherheitsschlussfolgerung, aber sie entscheidet nicht selbst über Fahrlässigkeit, vertragliche Zuweisung, Strafschadenersatz oder strafrechtliche Haftung. Die JTSB lehnt die Zuweisung von Schuld ausdrücklich ab. Ebenso waren Boeings Aussagen, dass die Neukonstruktion umfassend oder dauerhaft sei, Unternehmensbehauptungen, die während der Sanierung aufgestellt wurden.

Sie sind kein Eingeständnis rechtlicher Haftung, und ihre optimistische Formulierung kann nicht die Regulierungs- und Feldnachweise ersetzen.

Die Anhörungsaufzeichnung des Kongresses vom Juni 2013 zu den Lehren aus der 787 und die Zertifizierungsaussage des Verkehrsministeriums dokumentieren Aufsichtsfragen und die Erläuterung der FAA zur Genehmigung der Neukonstruktion. Aussagen sind Belege für institutionelle Positionen und Prüfung. Sie sind keine Gerichtsentscheidung. Die hier verwendete öffentliche Akte begründet keine gerichtliche Feststellung, dass Boeing, Thales, GS Yuasa oder die FAA eine bestimmte privatrechtliche Pflicht gegenüber einem namentlich genannten Anspruchsteller geschuldet oder verletzt haben.

Normen erfordern auch zeitliche Disziplin. RTCA DO-311 wurde bei der Neuzertifizierung verwendet, war aber zum Zeitpunkt der Entwicklung des ursprünglichen 787-Plans nicht verfügbar. Der Advisory Circular 20-184 der FAA, der 2015 herausgegeben wurde, liefert spätere Leitlinien zu eingebauten wiederaufladbaren Lithiumbatterien und stellt fest, dass Beratungsmaterial selbst keine Vorschrift ist. Es ist ein nützlicher Sanierungsnachweis und ein moderner Maßstab. Es ist kein Beweis dafür, dass ein Rundschreiben von 2015 im Jahr 2005 verbindlich oder im Jahr 2011 verletzt wurde.

Kontrafaktische Kontrollen

Das stärkste kontrafaktische Szenario ist einrepräsentativer Ausbreitungstest vor der Zertifizierung. Eine Batterie in endgültiger Konfiguration wäre mit flugzeugäquivalenter Erdung eingebaut, unter der höchsten genehmigten Temperatur- und elektrischen Bedingung betrieben und wiederholt einer glaubwürdigen Methode eines internen Kurzschlusses einer einzelnen Zelle ausgesetzt worden. Bestehenskriterien hätten nicht nur behandelt, ob eine Zelle entlüftete, sondern ob benachbarte Zellen sich ausbreiteten, ob Elektrolyt und Gas entkamen, ob Lichtbogenpfade entstanden und ob Flugzeugsysteme geschützt blieben.

Nach dem Ereignis durchgeführte Tests legen nahe, dass diese Kontrolle die ungültige Nicht-Ausbreitungsannahme hätte aufdecken können. Es beweist nicht, dass der genaue Test Boston auf Abruf reproduziert hätte.

Ein zweites kontrafaktisches Szenario ist dieexplizite Annahmen-Governance. Jede sicherheitsrelevante Behauptung hätte einen Eigentümer, eine Begründung, eine Quelle, eine Unsicherheitsspanne, eine Validierungsmethode und eine Rückverfolgung zu einer Anforderung und einem Compliance-Artefakt. Die Annahme, dass sich ein interner Kurzschluss nicht ausbreiten könnte, wäre als Prüfpunkt erschienen, nicht als unsichtbare Prämisse, die über GS Yuasa, Thales, Boeing und FAA-Dokumente hinweg vererbt wurde.

Ein unabhängiges technisches Gremium hätte dann deren Anwendbarkeit auf die endgültige Chemie, Kapazität, Installation und Umgebung in Frage stellen können.

Ein drittes ist diekonservative Wahrscheinlichkeitsbehandlung. Ausfalldaten einer ähnlichen Industriezelle würden als unterstützender Kontext behandelt, nicht als direkte Häufigkeitsschätzung für die Flugzeugzelle, bis die Gleichwertigkeit in Materialien, Herstellung, Belastung und Umgebung nachgewiesen ist. Die Unsicherheit würde in die Analyse auf Flugzeugebene getragen. Wo die Folge schwerwiegend und die Daten spärlich waren, wäre eine Eindämmung unabhängig von einer beruhigenden Punktschätzung erforderlich.

Ein viertes ist dieProzessverifikation der Unternetzebene. Boeing und Thales hätten gemeinsam die kritischen Zellmerkmale kartieren, Abflachungs- und Schweißvorgänge beobachten, messbare Störungs- und Fremdstoffgrenzwerte definieren, die CT-Auflösung und Erkennungswahrscheinlichkeit validieren und Aufzeichnungen über Chargen und Prozessänderungen hinweg stichprobenartig prüfen können. Die FAA-Produktionsaufsicht hätte die Batterie trotz funktionaler elektrischer Redundanz als kritisch behandeln können, da ein gemeinsames physikalisches Versagen Hitze, Rauch und Elektrolyt freisetzen konnte.

Dieses kontrafaktische Szenario adressiert die Entkommenswahrscheinlichkeit; es garantiert nicht die Beseitigung jedes latenten mikroskopischen Defekts.

Ein fünftes ist dieEindämmung auf Flugzeugebene ab dem ursprünglichen Design. Wenn die ursprüngliche Installation angenommen hätte, dass eine oder mehrere Zellen schließlich in thermisches Durchgehen geraten würden, wären ein versiegeltes, über Bord entlüftendes Gehäuse und eine Isolation, die für das schlimmste Ereignis ausreicht, Teil der Basiszertifizierung gewesen. Dies ist das robusteste kontrafaktische Szenario, da es nicht von der Identifizierung jedes Auslösemechanismus abhängt. Die Neukonstruktion übernahm später im Wesentlichen diese konsequenzbasierte Logik.

Ein sechstes ist diehochauflösende Feldüberwachung und Schwellenwertprüfung. Daten einzelner Zellen, Überschreitungsaufzeichnungen, Batterieausbauten, Ladegerätvorfälle und Fertigungschargen-Identifikatoren hätten unter vorher festgelegten Auslösern aggregiert werden können. Ein energiereiches Ereignis in einer jungen Flotte würde eine sofortige Neubewertung der vorherigen Raten- und Betriebshüllkurve auslösen. Überwachung ist kein Ersatz für Eindämmung, aber sie verkürzt die Zeit zwischen Annahmeversagen und Kontrollmaßnahme.

Diese kontrafaktischen Szenarien sind technische Vorschläge. Sie sollten nicht in Behauptungen umgewandelt werden, dass eine namentlich genannte Person sie bewusst abgelehnt hat oder dass jedes Element nach späteren Leitlinien rechtlich zwingend war. Ihr Wert besteht darin, zu zeigen, wo praktische Kontrolle existierte und wo ein anderer Nachweisaufbau die Abfolge hätte unterbrechen können.

Reparaturnachweise: Was sich vor der Rückkehr in den Dienst änderte

Die Neukonstruktion adressierte drei Ebenen. Auf derZellen- und Batterieebeneänderten Boeing und die Lieferanten die Isolierung, die Anschlusshardware, die Entwässerung, die Produktions- und Abnahmeprozesse, den Spannungsbereich, den Tiefentladeschutz, den Kabel- und Leitungsschutz. Auf derAusbreitungsebenereduzierten zusätzliche thermische und elektrische Trennungen die Übertragung zwischen den Zellen und zwischen den Zellen und dem Batteriegehäuse. Auf derFlugzeugebenesaß die Batterie in einem versiegelten Edelstahlgehäuse, das an einen Titanabzugskanal angeschlossen war, der Hitze, Druck, Gas und Elektrolyt nach außen leitete.

Die FAA akzeptierte nicht nur eine Pressemitteilung. Sie genehmigte einen Zertifizierungsplan, beobachtete Tests, überprüfte Analysen, genehmigte die Designänderungen, schrieb die Konfiguration durch eine AD vor und sagte, sie werde die Installation in US-Flugzeugen überwachen. Boeings Genehmigungsankündigung vom 19. April berichtete von einem Monat überwachter Zertifizierungstests und mehr als 100.000 Ingenieurs- und Teststunden. Diese Zahlen stammen von Boeing und belegen nicht unabhängig die Vollständigkeit der Tests, aber die verbindliche AD belegt, dass die FAA das Design für die Rückkehr akzeptierte.

Boeings Jahresbericht 2013 besagt, dass es die Verbesserungen an 50 zuvor ausgelieferten Flugzeugen installierte und die Auslieferungen im zweiten Quartal wieder aufnahm. Dies ist ein Implementierungsnachweis auf Flottenebene, nicht nur ein geplantes Heilmittel. Betreiber und ausländische Aufsichtsbehörden kontrollierten weiterhin die Rückkehr für Flugzeuge unter ihrer Zuständigkeit.

Durch die Untersuchung motivierte Empfehlungen erweiterten die Reparatur über die Hardware hinaus. Der Abschlussbericht des NTSB empfahl eine stärkere FAA-Aufsicht über Inhaber von Produktionszulassungen und Unternetzlieferanten, Normen für Wärmequellen und Zellüberwachung, objektive Selbsterwärmungstests, explizite Annahmen in Sicherheitsbewertungen, Rückverfolgbarkeit von Anforderungen zu Methoden und Schulungen. Es empfahl Boeing, die Lieferantenaufsicht und die Validierung von Sicherheitsbewertungen zu verbessern, und GS Yuasa, die Herstellungsprozesse und die Mitarbeiterschulung zu überprüfen.

Der separate NTSB-Brief an Boeing dokumentiert die unternehmensspezifischen Empfehlungen, ohne zu implizieren, dass es sich um Strafen handelte.

Die JTSB empfahl installationsrepräsentative Tests, die Überprüfung technischer Normen für Lithium-Ionen, eine erneute Prüfung der Fehlerratenschätzung der 787, eine Überprüfung der Wärmeausbreitung, eine Bewertung des Verhaltens von Schützen, die fortgesetzte Untersuchung interner Kurzschlüsse und eine verbesserte Batteriequalität. Ihre formelle Empfehlung an die FAA bewahrt die Unterscheidung zwischen nachgewiesener Ausbreitung und ungeklärter Initiierung.

Der von der JTSB veröffentlichte Antwortdatensatz der FAA ist ein Beleg dafür, dass die Empfehlung in einen internationalen Nachverfolgungsprozess einging, obwohl das öffentliche Anhangformat keinen einfachen unabhängigen Wert für die langfristige Wirksamkeit liefert.

Das Narita-Ereignis 2014 war sowohl ein Erfolgsnachweis als auch eine Warnung

Am 14. Januar 2014, nach der Neukonstruktion, produzierte eine am Flughafen Narita geparkte Japan-Airlines-787 sichtbaren weißen Rauch und Hauptbatteriemeldungen. Die Untersuchung ergab, dass Zelle 5 überhitzt war und ihre Berstscheibe geöffnet hatte. Elektrolytrückstände blieben im Gehäuse und traten in der Nähe des äußeren Auslassstutzens auf. Der umgebende Geräteraum war sauber und unbeschädigt; die anderen Zellen behielten ihre Spannung, obwohl die benachbarte Zelle 6 begrenzte thermische Auswirkungen aufwies.

Die Ankündigung des japanischen Zivilluftfahrtbüros (JCAB) und die vollständige Bewertung behandelten das Ereignis mit nützlicher Ausgewogenheit. Das JCAB stellte fest, dass die zweite Schicht der Neukonstruktion eine Zell-zu-Zell-Ausbreitung verhinderte und ihre dritte Schicht das Flugzeug schützte. Es kam zu dem Schluss, dass die Fähigkeit für einen sicheren Flug aufrechterhalten worden wäre. Es stellte jedoch auch fest, dass die erste Schicht nicht verhindert hatte, dass eine Zelle überhitzte, und forderte weitere Zuverlässigkeitsverbesserungen und fortgesetzte Arbeiten an möglichen Ursachen.

Dieses Ereignis ist der beste öffentliche fallspezifische Test der Eindämmungsarchitektur. Es war kein inszenierter Zertifizierungstest; es war ein Feldversagen in einer modifizierten Batterie. Das Ergebnis stützt die Schlussfolgerung, dass die Neukonstruktion die Eskalation wesentlich veränderte. Eine Zelle versagte, aber die gesamte Batterie und der umgebende Schacht reproduzierten nicht die Schäden von Boston oder Takamatsu. Dies ist ein starker Sanierungsnachweis.

Es ist kein Beweis dafür, dass alle möglichen Fehler eingedämmt sind. Ein Ereignis kann nicht jeden Zellenort, Ladezustand, Luftstrom, Gehäusezustand, Ablassverstopfung, Wartungsfehler oder Mehrzelleninitiierung abdecken. Das JCAB fand auch nicht die Ursache der Überhitzung. Metallische Partikel, mögliche Lithiumablagerungen, Falten, Elektrolytschwankungen, Kondensation und kalte Umgebung wurden untersucht, aber keine objektiven Beweise isolierten den Auslöser. Das Ereignis bestätigt daher die Bedeutung der Eindämmung, während es die ungeklärte Frage der Zelleninitiierung bestehen lässt.

Wie dauerhafte Sanierungsnachweise aussehen sollten

Zellenprozessnachweisesollten Chargen-Prozessfähigkeit für Elektrodenausrichtung, Wicklungsstörungen, Separatorenzustand, Schweißrückstände, Verunreinigungen, Feuchtigkeit und Elektrolytbefüllung; Inspektionserkennungsraten; kalibrierte CT-Kriterien; Ausschuss- und Nacharbeitstrends; und Genehmigungsnachweise für Prozessänderungen umfassen. Eine Aussage, dass sich die Qualitätskontrolle verbessert habe, ist ein Ausgangspunkt, aber keine Dauerhaftigkeitskennzahl.

Batteriesystemnachweisesollten wiederholte Missbrauchstests über Produktionsvarianz, Temperatur, Alter, Ladezustand und geerdete Einbaukonfiguration hinweg umfassen. Sie sollten Isolation, Kabelintegrität, Schützverhalten, Überwachungsleistung und Druckmanagement demonstrieren. Ergebnisse sollten Verteilungen und Fehler zeigen, nicht nur erfolgreiche Beispiele.

Flugzeugeindämmungsnachweisesollten Gehäusedichtheitsprüfungen, Inspektionen von Ablasswegen, Wartung von Berstscheiben, Korrosionseinwirkungen, Einbaukonformität und Tests für schlimmste Gas-, Hitze- und Druckbedingungen umfassen. Da die Eindämmung nun eine letzte Verteidigungslinie ist, kann die Wartung ihrer Dichtungen und Kanäle nicht als nebensächliche Hardwarepflege behandelt werden.

Flottennachweisesollten Ausbauten, Warnungen, Rauch- oder Geruchsmeldungen, Zellenentlüftungen, Ladegerätfehler und Wartungsbefunde mit Flugzeugen, Batterie- und Zellenchargen verknüpfen. Raten sollten mit Konfidenzintervallen und Expositionsnennern neu berechnet werden. Ein langer Zeitraum ohne weitere öffentliche Groundung unterstützt das Vertrauen, aber das Fehlen einer Schlagzeile ist nicht dasselbe wie ein veröffentlichter Zuverlässigkeitsdatensatz.

Governance-Nachweisesollten den Abschluss von Auditfeststellungen, die regelmäßige Überprüfung von Annahmen, den unabhängigen Zugang zu anomalen Batterien, die Sichtbarkeit der Aufsichtsbehörde für Änderungen auf Unternetzebene und definierte Eskalationsschwellen zeigen. Die Sicherheitssicherung verfällt, wenn eine validierte Konfiguration von undokumentierten Material-, Prozess-, Software- oder Wartungsänderungen gefolgt wird.

Konfigurationsnachweisesollten jede Flugzeuginstallation mit dem genauen Gehäuse, Kanal, Ladegerät, der Batterie, der Zellenpopulation, der Wartungsrevision und der genehmigten Software oder Steuerlogik verbinden, die zu diesem Zeitpunkt in Kraft waren. Ein bestandener Test einer Konfiguration kann nicht stillschweigend einen späteren Materialersatz, eine geänderte Inspektionsschwelle oder einen veränderten Produktionsschritt validieren.

Ausgebaute Batterien mit ungewöhnlicher Spannung, Geruch, Entlüftung oder thermischen Anzeichen sollten unter Aufzeichnung des Ladezustands und der Betriebshistorie vor der zerstörenden Untersuchung sichergestellt werden. Ermittler und Aufsichtsbehörden benötigen dann Zugang zu negativen Befunden ebenso wie zu dramatischen Fehlern, da eine scheinbar intakte Entnahme die frühen Stadien des Mechanismus offenbaren kann, den eine verbrannte Batterie nicht mehr bewahren kann.

Diese Kette verwandelt isolierte Wartungsereignisse in nutzbare Vorläuferbeweise und gibt dem Typzertifikatsinhaber eine vertretbare Grundlage für die Entscheidung, ob ein Trend auf eine Charge, einen Prozesszustand oder das genehmigte Design selbst beschränkt ist.

Die öffentlichen Nachweise sind über diese Kategorien hinweg ungleichmäßig. Die AD, die Zertifizierungsaktivität, die installierte Nachrüstung, die Unfallberichte und das Narita-Ergebnis liefern substanzielle Beweise dafür, dass die Gefahr auf Flugzeugebene verringert wurde. Die öffentliche Akte offenbart keine vollständigen Längsschnittdaten zu Zellenchargen, alle Lieferantenauditergebnisse, jeden Gehäusetest, aktuelle Falsch-Negativ-Raten oder eine unabhängig reproduzierbare Trendanalyse. Diese Lücke beweist keine schlechte Leistung. Sie schränkt ein, wie stark Außenstehende die Dauerhaftigkeit überprüfen können.

Ungeklärte Fragen

Die erste ungeklärte Frage ist der genaue mikroskopische Auslöser in jeder Feldbatterie. Boston wurde auf einen internen Kurzschluss in Zelle 5 oder 6 eingegrenzt, aber nicht auf einen überlebenden Defekt. Takamatsu wurde auf eine wahrscheinliche Initiierung von Zelle 6 eingegrenzt, aber nicht auf den Kurzschlussmechanismus. Narita wurde auf einen internen Kurzschluss in Zelle 5 eingegrenzt, aber die Kandidatenursachen wurden nicht nachgewiesen.

Die zweite ist, warum die organisationsübergreifende Überprüfung die Nicht-Ausbreitung akzeptierte. Die Akte identifiziert die Test- und Rückverfolgbarkeitsschwächen, liefert aber nicht jede interne Diskussion, abweichende Meinung, Planungsentscheidung oder Genehmigungsbegründung. Es wäre eine verleumderische Übertreibung, ohne Beweise auf Vertuschung, Böswilligkeit oder bewusste Umgehung zu schließen.

Die dritte ist, wie gut die Herstellungskorrekturen im Laufe der Zeit funktionierten. Nach dem Ereignis durchgeführte Audits fanden und schlossen Nichtkonformitäten, und das modifizierte Design sammelte Betriebserfahrung. Dennoch liefert die hier überprüfte öffentliche Akte keine kontinuierlichen unabhängigen Prozessfähigkeits- oder Defektentkommensmetriken für die 787-Zellen von GS Yuasa.

Die vierte ist, ob spätere Überwachungs- und Normenänderungen den Empfehlungssatz vollständig schlossen. Die FAA-Leitlinien von 2015 und spätere Normenarbeit zeigen institutionelles Lernen, aber Leitlinien können beratend sein, und der Status von Empfehlungen kann von dokumentierten Handlungen abhängen, die enger sind als die vollständige Risikobeseitigung. Jede aktuelle Genehmigung muss anhand ihrer eigenen Zertifizierungsbasis und Nachweise beurteilt werden.

Die fünfte ist die genaue Grenze der Eindämmung unter mehreren gleichzeitigen oder wartungsbedingten Verschlechterungen. Die Neukonstruktion wurde getestet, und das Narita-Ereignis lieferte Feldbestätigung für eine Einzelzellenüberhitzung. Öffentliche Materialien legen nicht jedes worst-case proprietäre Compliance-Ergebnis offen. Die richtige Schlussfolgerung ist ein hohes Vertrauen in eine materielle Verbesserung, nicht die Behauptung einer physikalisch unmöglichen Folge auf Flugzeugebene.

Schlussfolgerung: Zertifizierung muss die ungeklärte Zelle überleben

Der Fall der 787-Batterie ist keine einfache Geschichte einer unsicheren Chemie, die durch eine Box korrigiert wurde. Die Lithium-Ionen-Technologie brachte legitime Leistungsvorteile, und die modifizierte Architektur brachte die Flotte zurück in den Dienst. Das tiefere Versagen war evidenzieller Natur: Eine Sicherheitsbewertung ging davon aus, dass ein interner Kurzschluss begrenzt bleiben würde, während der unterstützende Test nicht das endgültige eingebaute System unter den schwerwiegendsten relevanten Bedingungen repräsentierte. Die Herstellung konnte latente Defekte einführen;

die Überwachung konnte sie möglicherweise nicht vor dem Durchgehen erkennen; und die Zertifizierungskette verlangte nicht, dass die Batterie und das Flugzeug die daraus resultierende Ausbreitung überleben.

Die Untersuchungen teilten die Kontrolle mit Präzision zu. Der Prozess von GS Yuasa erlaubte Defektmechanismen, die Kurzschlüsse verursachen konnten. Thales hatte Integrations- und Unternetzverantwortung. Boeing besaß die Anforderungen auf Flugzeugebene, die Lieferantenintegration und den Compliance-Nachweis. Bevollmächtigte Vertreter und FAA-Ingenieure überprüften die Nachweise, und die FAA behielt die Zertifikats- und Lufttüchtigkeitsbefugnis. Fluggesellschaften und Besatzungen kontrollierten den unmittelbaren Betrieb. NTSB und JTSB lieferten präventive Feststellungen und überließen zivil- und strafrechtliche Haftung anderen Institutionen.

Die Wiederherstellung gelang, weil sie aufhörte, von einer perfekten Erklärung abzuhängen. Sie reduzierte die Initiierung, behinderte die Ausbreitung und hielt das Versagen außerhalb der belegten und Ausrüstungsräume fest. Narita zeigte dann, warum diese Architektur wichtig war: Die erste Schicht verhinderte kein Zellenereignis, aber spätere Schichten verhinderten die frühere Kaskade und den Schachtsschaden. Dieses Ergebnis ist überzeugender als das Versprechen, dass Zellen niemals versagen werden.

Der dauerhafte Verantwortlichkeitstest ist daher einfach. Für eine energiereiche Komponente, deren auslösender Defekt selten, mikroskopisch und durch das Ereignis zerstört sein kann, kann Sicherheit nicht auf dem Ausbleiben beobachteter Fehler in einem ähnlichen Produkt oder auf einem einzigen günstigen Missbrauchstest beruhen.

Der Antragsteller muss Annahmen offenlegen, die endgültige eingebaute Konfiguration unter schwerwiegenden glaubwürdigen Bedingungen testen, die Unternetzherstellung kontrollieren, die Flotte mit nutzbaren Nennern überwachen und eine letzte Verteidigungslinie aufrechterhalten, die wirksam bleibt, wenn Prävention und Diagnose versagen. Der Regulierer muss diese Kette unabhängig hinterfragen. Die Boeing 787 kehrte in den Dienst zurück, als die Eindämmung Teil des Nachweises wurde; dauerhafte Verantwortlichkeit erfordert, diesen Nachweis aktuell zu halten.