Los incendios de baterías del Boeing 787 convirtieron la contención del descontrol térmico en una prueba de responsabilidad de certificación

Resumen

• Eventos confirmados:El 7 de enero de 2013, un Boeing 787 de Japan Airlines estacionado en Boston experimentó un incendio en la batería de la unidad de potencia auxiliar después de que pasajeros y tripulación hubieran desembarcado. El 16 de enero, un Boeing 787 de All Nippon Airways en ascenso recibió una indicación de falla de batería y un olor inusual, desvió a Takamatsu y evacuó; cuatro pasajeros sufrieron lesiones menores durante esa evacuación. Las dos aeronaves usaron el mismo modelo de batería para diferentes funciones instaladas.
• Hallazgos de la investigación:La Junta Nacional de Seguridad en el Transporte de EE. UU. determinó que el evento de Boston comenzó con un cortocircuito interno en una celda, seguido de fuga térmica que se propagó a las celdas adyacentes. Lo atribuyó a la falta de especificación por parte de Boeing de medidas de mitigación para los efectos más graves de un cortocircuito interno de celda y a la incapacidad de la Administración Federal de Aviación para identificar esa deficiencia de diseño en la certificación de tipo. La Junta de Seguridad en el Transporte de Japón encontró que la celda 6 fue muy probablemente la iniciadora de la propagación en Takamatsu, pero no identificó el mecanismo concluyente que creó el cortocircuito interno.
• Desencadenante, causas raíz y factores contribuyentes:El desencadenante operativo de la suspensión no fue simplemente una batería fallida; fue el segundo evento grave en nueve días, esta vez en vuelo. La falla de responsabilidad raíz fue una suposición de seguridad del sistema no validada de que la fuga térmica de una sola celda no se propagaría ni produciría efectos peligrosos a nivel de aeronave. Las condiciones contribuyentes incluyeron pruebas de desarrollo no representativas, uso de una batería de preproducción y sin conexión a tierra en una prueba clave de penetración de clavos, subestimación de las tasas de ocurrencia, trazabilidad incompleta de requisitos a pruebas, procesos de fabricación capaces de introducir arrugas o desechos de objetos extraños, y supervisión que no alcanzó efectivamente la fábrica de celdas del subnivel.
• Control y respuesta:GS Yuasa controló la fabricación de celdas y baterías; Thales controló la integración del subsistema de conversión de potencia; Boeing controló los requisitos a nivel de aeronave, la integración de proveedores, la evaluación de seguridad y la solicitud de certificación de tipo; los representantes autorizados y los ingenieros de la FAA realizaron hallazgos de cumplimiento dentro de los alcances delegados y retenidos, mientras que solo la FAA podía emitir el certificado de tipo y las directivas de aeronavegabilidad. Las aerolíneas controlaron el uso inmediato de la flota, y las autoridades investigadoras controlaron sus propios hallazgos de seguridad, no la responsabilidad civil.
• Recuperación:La FAA suspendió los 787 registrados en EE. UU. mediante una directiva de aeronavegabilidad de emergencia y aprobó el regreso después de la instalación de nuevas baterías y cargadores, controles operativos más estrictos, aislamiento adicional de celdas, un gabinete sellado de acero y un respiradero al exterior. Un evento en Narita en enero de 2014 sobrecalentó una celda de batería rediseñada sin propagación ni daño al compartimiento de equipos circundante. El regulador de Japón trató eso como evidencia de que la segunda y tercera capas de protección funcionaron, mientras que también pidió mejoras adicionales porque la primera capa no había evitado el sobrecalentamiento de la celda.
• Conclusión sobre responsabilidad:El rediseño proporcionó una fuerte evidencia de que la contención de consecuencias había mejorado. No hizo que las suposiciones originales de certificación fueran razonables retrospectivamente, no identificó cada mecanismo iniciador, ni probó públicamente una batería sin fallas. La garantía duradera requiere evidencia continua en tres niveles: capacidad del proceso de celdas, resistencia a la propagación a nivel de batería y contención a nivel de aeronave en las peores condiciones instaladas creíbles.

El caso trata sobre un límite de seguridad, no sobre una marca de batería

El límite decisivo en este caso se suponía que estaba dentro de la batería. Una celda podría fallar, ventilarse o sobrecalentarse, pero el análisis de seguridad asumió que el evento permanecería lo suficientemente limitado como para no convertirse en un incendio de varias celdas que amenazara la aeronave. Una vez que la batería de Boston produjo fuego y la batería de Takamatsu propagó calor entre las celdas, ese límite demostró no ser confiable en servicio. Por lo tanto, la cuestión de responsabilidad va más allá de preguntar qué defecto microscópico inició qué celda.

Pregunta quién definió el límite, qué evidencia lo justificó, quién revisó esa evidencia y qué controles permanecieron cuando el mecanismo iniciador no pudo reconstruirse.

La página de investigación completada de la NTSB establece la causa probable de Boston en términos institucionales: un cortocircuito interno de celda condujo a fuga térmica en cascada, y el incidente resultó de la falta de requisitos de diseño de Boeing y una falla en la revisión de certificación de la FAA. Ese es un hallazgo oficial de seguridad, no una alegación de un litigante ni un fallo judicial. El informe completo del incidente de la NTSB contiene la evidencia, el análisis, los hallazgos y las recomendaciones detrás de esa declaración. Su precisión importa.

No dice que Boeing aceptó intencionalmente un fuego conocido, que un empleado de la FAA renunció conscientemente a una prueba fallida, o que una partícula identificada demostró haber causado el cortocircuito.

La investigación de Japón es igualmente importante porque alcanzó un límite diferente. El informe final de la JTSB encontró una secuencia probable de eventos alrededor de la celda 6, hinchazón, contacto con una barra de refuerzo, grandes corrientes de tierra, arco eléctrico y propagación. Dijo que la generación de calor de la celda probablemente fue causada por un cortocircuito interno, pero no se identificó el mecanismo concluyente de ese cortocircuito. Tratar los dos informes como intercambiables borraría una lección central: los investigadores pueden probar la ruta de escalada y la falla de control sin probar el primer acto microscópico.

Este análisis utiliza cinco etiquetas. Unhecho confirmadoestá directamente establecido por un registro oficial o una presentación formal contemporánea. Unhallazgo de investigaciónes una conclusión adoptada por un organismo de investigación de accidentes dentro de su mandato de seguridad. Unaposición de la empresaes evidencia de lo que Boeing dijo o hizo, pero no prueba independiente de causalidad o durabilidad. Unainferencia respaldadaconecta hechos establecidos sin afirmar que la conexión fue formalmente adjudicada. Unapregunta no resueltapermanece abierta en el registro público.

Uncontrafácticodescribe un control que podría haber interrumpido la secuencia; no es una afirmación de que una persona en particular estaba legalmente obligada a preverlo en ese momento.

Cronología forense: de la tecnología novedosa al servicio certificado

28 de marzo de 2003 a septiembre de 2004: solicitud y elección de tecnología.Boeing solicitó un certificado de tipo para el 787-8 en marzo de 2003. En septiembre de 2004 informó a la FAA que pretendía utilizar baterías recargables de iones de litio de alta capacidad para funciones principales y de APU. La química ofrecía menor peso y rendimiento eléctrico útil para la arquitectura más eléctrica del 787, pero la experiencia en transporte comercial con baterías grandes instaladas era limitada. La elección de tecnología fue legítima; la novedad creó una obligación de evidencia, no una presunción de culpa.

La cadena de suministro distribuyó el control detallado. Boeing seleccionó a Thales para el subsistema de conversión de potencia. Thales seleccionó a GS Yuasa para la batería de iones de litio y a Securaplane para la unidad de control de la batería, con participación de Boeing en el proceso de selección. GS Yuasa fabricó ocho celdas grandes de óxido de cobalto y litio conectadas en serie y las ensambló en la batería. El mismo modelo de batería sirvió como batería principal en el compartimiento de electrónica delantero y como batería de APU en el compartimiento trasero.

Boeing siguió siendo responsable de la integración a nivel de aeronave y de la demostración de certificación incluso cuando los niveles inferiores diseñaron y fabricaron componentes.

2005 a 2007: requisitos y condiciones especiales.La FAA concluyó que las reglas ordinarias de baterías para aeronaves de transporte no abordaban adecuadamente el diseño novedoso. La edición oficial del Registro Federal de 2007 que contiene las Condiciones Especiales 25-359-SC identificó susceptibilidad a falla interna, fuga térmica, electrolito inflamable, sobrecarga y sobredescarga.

Sus nueve condiciones requerían, entre otras cosas, temperaturas y presiones seguras, prevención de aumentos incontrolados de temperatura o presión, control de gases y fluidos peligrosos, protección contra el calor máximo durante un cortocircuito de celda o batería, control de carga, advertencias e instrucciones de aeronavegabilidad continua.

Esas palabras parecen fuertes porque lo son. El problema surgió en la traducción del lenguaje de seguridad de alto nivel a suposiciones, requisitos detallados, métodos de cumplimiento y pruebas representativas. Una condición que dice que el diseño debe evitar el crecimiento incontrolado de temperatura no especifica por sí misma cómo inducir un cortocircuito interno, cuántos ensayos realizar, si la batería debe estar conectada a tierra como instalada, qué temperatura produce el resultado más severo, o si el artículo probado debe coincidir con el diseño de producción final.

Esos vínculos debían establecerse a través de la planificación de certificación y la evidencia de ingeniería.

2006 y 2009: advertencias de desarrollo, cambios e interpretación.El registro de la JTSB describe un incendio por sobrecarga en 2006 durante el desarrollo después de que un cable de señal no estuviera conectado, seguido de cambios de diseño. En 2009, una prueba de sistema integrado produjo carga excesiva y una celda ventilada; los investigadores asociaron ese evento con sobredescarga repetida seguida de recarga de alta corriente e hicieron correcciones adicionales. Estos eventos no fueron el mismo mecanismo establecido en Boston, y sería inexacto llamarlos réplicas ignoradas.

Sin embargo, mostraron que el sistema de batería podía entrar en estados de falla energética y que la configuración de diseño, el entorno eléctrico y la lógica de control importaban.

Una prueba de desarrollo de penetración de clavos de GS Yuasa en 2006 se volvió influyente. Condujo una celda a fuga térmica sin propagación observada a celdas adyacentes ni fuego. El análisis posterior de la NTSB encontró que la prueba no utilizó la temperatura máxima de operación de la batería, no representó completamente la instalación en la aeronave, no repitió ensayos en múltiples baterías y usó una unidad de desarrollo diferente del diseño certificado final. Otras pruebas de desarrollo a nivel de batería carecían de documentación disponible para la NTSB.

Las pruebas de abuso de calificación no condujeron una celda a fuga térmica para probar la no propagación o contención, y las baterías probadas no estaban conectadas a tierra como instaladas.

Eso no significa que la certificación consistiera en una prueba casual. Boeing, los proveedores, los representantes autorizados y el personal de la FAA utilizaron evaluaciones de seguridad, árboles de fallas, análisis de modos de falla, pruebas de calificación y revisiones de certificación. El hallazgo más limitado y consecuente es que la cadena de evidencia no desafió la suposición crucial bajo las condiciones representativas más severas. La actividad fue extensa; la cobertura fue incompleta.

26 de agosto de 2011: certificación de tipo.La FAA otorgó la aprobación de categoría de transporte para el 787-8. Boeing había obtenido la aprobación de la FAA de su plan de certificación del sistema de energía eléctrica, y la FAA revisó los procedimientos de calificación, aprobó la inspección de autorización de tipo y aceptó los informes finales. Boeing había recibido la Autorización de Designación de Organización en 2009, lo que permitía a los representantes autorizados hacer hallazgos de cumplimiento específicos en nombre de la FAA. Solo la FAA emitió el certificado de tipo.

Describir esto como que Boeing simplemente certificó su propia batería ocultaría los controles divididos y la autoridad pública retenida que la investigación examinó realmente.

Cronología forense: los dos eventos de enero de 2013

7 de enero, Boston: un avión estacionado, un incendio activo de batería.El vuelo 008 de Japan Airlines llegó a Boston Logan desde Narita y se estacionó en la puerta de embarque. La APU era la fuente de energía de la aeronave. Aproximadamente a las 10:21 hora local, el personal de limpieza encontró humo en la cabina trasera, un gerente de mantenimiento vio que la APU se había apagado automáticamente, y un mecánico que abría el compartimiento de electrónica trasero encontró humo denso y llamas en el conector de la caja de la batería de la APU. Ninguno de los 183 pasajeros ni los 11 tripulantes permanecía a bordo.

El personal de mantenimiento y limpieza no resultó herido; la NTSB reportó una lesión menor a un bombero que respondió.

La secuencia está documentada en el expediente público de la NTSB para DCA13IA037, que incluye informes de hechos, fotografías, registros de pruebas, exhibiciones de audiencias y material técnico. La batería era de difícil acceso y el evento tuvo consecuencias a nivel de aeronave aunque la aeronave estuviera vacía. El calor, el humo, el electrolito inflamable y el fuego escaparon del límite previsto a nivel de celda. El hecho de que el evento ocurriera en tierra redujo la exposición humana; no redujo la importancia del diseño.

Los investigadores excluyeron varias alternativas para el evento de Boston. Los datos registrados no mostraron sobrecarga, sobredescarga ni cortocircuito externo de alta corriente antes de la falla. El examen no encontró una fuente de calor externa, cable de batería desgastado, abuso mecánico ni un transitorio eléctrico anormal de la aeronave que lo iniciara. Las pruebas de componentes e integradas no implicaron al cargador ni a otros componentes externos relacionados. El daño se concentró alrededor de las celdas 5 y 6, pero la destrucción impidió que la NTSB decidiera cuál de esas dos inició la secuencia.

La junta encontró un cortocircuito interno en una de ellas, seguido de propagación.

11 de enero: revisión anunciada antes del segundo evento.La FAA anunció públicamente una revisión más amplia de diseño y producción. En su declaración del 11 de enero, la agencia dijo que revisaría los sistemas críticos, enfatizaría los sistemas eléctricos y verificaría el diseño, la producción y la supervisión. En ese momento, la FAA expresó confianza en la aeronave mientras decía que necesitaba la imagen completa. Esta fue una respuesta regulatoria, no un hallazgo completo de que la batería fuera segura o insegura.

16 de enero, Takamatsu: el peligro se traslada al vuelo.El vuelo 692 de All Nippon Airways despegó de Yamaguchi-Ube a las 08:11 con destino a Tokio. A las 08:27, mientras ascendía a través de 32,000 pies, la tripulación recibió un mensaje de falla de batería y detectó un olor inusual en la cabina de mando. La aeronave se desvió y aterrizó en Takamatsu a las 08:47. La tripulación inició una evacuación por toboganes a las 08:49. Cuatro de los 137 ocupantes sufrieron lesiones menores durante la evacuación.

La JTSB encontró que la batería principal dañada no desarrolló un incendio externo, pero el calor de la celda, el electrolito y el humo produjeron un evento del sistema en vuelo lo suficientemente grave como para desviar y evacuar.

Este segundo evento cambió la decisión de riesgo. Boston había mostrado un incendio después de que los pasajeros se fueran; Takamatsu mostró una arquitectura de batería relacionada fallando durante el vuelo. Ese mismo día, JAL y ANA suspendieron voluntariamente las operaciones del 787. La FAA emitió entonces la AD de emergencia 2013-02-51, publicada posteriormente como la regla final de febrero de 2013. Requería modificación u otra acción aprobada antes de continuar el vuelo porque las fallas de batería podían dañar sistemas o estructuras críticos y podían causar incendio en un compartimiento eléctrico.

EASA adoptó la directiva de la FAA para la flota europea, y otras autoridades actuaron para las aeronaves bajo su jurisdicción.

El desencadenante operativo de la suspensión de la flota fue, por lo tanto, acumulativo y de contexto cruzado: dos fallas de batería de alta energía, el mismo modelo de batería, dos funciones instaladas, nueve días, un incendio confirmado y una desviación en vuelo. Un regulador no necesitaba esperar una fatalidad o una causa raíz microscópica completa para concluir que la operación continua sin restricciones carecía de garantía adecuada.

Qué falló físicamente y qué quedó sin resolver

Para Boston, la NTSB encontró un cortocircuito interno dentro de la celda 5 o 6. Esa celda entró en fuga térmica; el calor y la falla se propagaron a las celdas vecinas; siguieron humo, electrolito y fuego. La junta encontró que la sobrecarga, la sobredescarga, el cortocircuito externo, el calentamiento externo, los factores de instalación y las condiciones ambientales de la aeronave no iniciaron la falla. Esta es la cadena técnica confirmada más sólida en el registro público.

La NTSB también examinó la fabricación. GS Yuasa enrollaba capas de electrodo y separador en conjuntos cilíndricos, los aplanaba parcialmente, los agrupaba y realizaba un aplanado final antes del ensamblaje de la celda. El aplanado podía crear perturbaciones en las láminas de electrodo. La soldadura cerca de componentes internos podía generar desechos metálicos. La NTSB encontró que GS Yuasa monitoreaba algunas arrugas previas al enrollado pero no monitoreaba formalmente las perturbaciones creadas durante el enrollado, el aplanado y el ensamblaje;

su proceso de desechos de objetos extraños no era un control estandarizado para encontrar, reducir y prevenir la generación de desechos. Gran parte de la inspección ocurría después de la finalización de la celda y se basaba materialmente en la revisión visual.

El informe fáctico del laboratorio de materiales y el análisis final de la junta documentaron arrugas, pliegues, depósitos de litio y material extraño como mecanismos de defecto relevantes. La NTSB concluyó que el proceso de fabricación permitía defectos capaces de causar cortocircuitos internos en las celdas del 787. No identificó una arruga o partícula sobreviviente como el iniciador probado en Boston. Esa distinción evita que un hallazgo a nivel de proceso se convierta en una acusación específica de dispositivo no respaldada.

Para Takamatsu, la JTSB reconstruyó la celda 6 como la iniciadora muy probable. El calor y la presión hincharon la celda, fundieron el aislamiento circundante y permitieron el contacto con una barra de refuerzo. Grandes corrientes a través de la caja de batería conectada a tierra generaron arco eléctrico, lo que fortaleció la propagación térmica. Las pruebas que reprodujeron la configuración de conexión a tierra instalada podían producir propagación; una configuración flotante no.

La JTSB encontró que las pruebas de desarrollo no representativas y la subestimación de los efectos de cortocircuito interno posiblemente contribuyeron a la propagación.

El cortocircuito interno en sí permaneció sin resolver. La JTSB consideró la deposición de litio en condiciones de baja temperatura, contaminación metálica, daño al separador y enrollado no uniforme, pero expresó explícitamente que no podía identificar concluyentemente el mecanismo y no podía excluir otros factores de diseño o fabricación. Los tres eventos notables entonces conocidos habían ocurrido en enero, pero la estacionalidad no es causalidad. La temperatura fría era una hipótesis, no un hallazgo final. Por lo tanto, un relato defendible se detiene en: cortocircuito interno probablemente inició la celda 6;

se desconocía el origen preciso de ese cortocircuito.

Desencadenante, causa raíz y factores contribuyentes

Loseventos desencadenantesfueron observables y acotados en el tiempo: el incendio de la batería de APU en Boston y el evento de la batería principal en vuelo en Takamatsu. Eldesencadenante de la suspensiónfue la pérdida de confianza en que cualquiera de las ubicaciones instaladas pudiera tolerar de manera segura el modo de falla conocido de la batería. El desencadenante no es la causa raíz. Un desencadenante describe cuándo una decisión de control se volvió necesaria, no por qué el sistema era vulnerable.

Lacausa raíz física para Boston, según la causa probable adoptada por la NTSB, fue un cortocircuito interno de celda seguido de fuga térmica en cascada. Lacausa raíz del sistemafue una falla de requisitos y certificación: la evaluación de seguridad de la batería de Boeing no consideró los efectos más graves de ese cortocircuito ni especificó mitigación, y la revisión de la FAA no identificó la deficiencia. Las condiciones especiales exigían la prevención de temperatura y presión incontroladas y la protección contra el calor del cortocircuito.

Sin embargo, la cadena de evidencia detallada trató la no propagación como una suposición en lugar de un resultado demostrado en las condiciones instaladas más desfavorables.

El primerfactor contribuyenteimportante fue la representatividad de las pruebas. La influyente prueba de penetración de clavos no utilizó el diseño final de la batería, la temperatura máxima de operación, la conexión a tierra instalada ni ensayos repetidos. Las pruebas posteriores al evento de la NTSB, UL y la JTSB mostraron que cambiar estas condiciones podía cambiar si la fuga térmica se propagaba. La lección no es que la penetración de clavos reproduzca perfectamente cada cortocircuito interno espontáneo.

Es que una prueba utilizada para descartar la propagación debe ser conservadora, representativa de la instalación y lo suficientemente repetible para respaldar esa conclusión.

El segundo fue latransferencia de probabilidad. La evaluación de seguridad de Boeing estimó la ventilación de celdas en aproximadamente una ocurrencia por cada diez millones de horas de vuelo utilizando datos de GS Yuasa de una celda industrial con diseño mecánico similar. La NTSB encontró que tanto Boston como Takamatsu ocurrieron dentro de las primeras aproximadamente 52,000 horas de flota, muy por encima de la predicción. La JTSB criticó por separado los cálculos derivados de celdas industriales similares cuyos ingredientes diferían y señaló el bajo nivel de confianza utilizado.

La ausencia histórica de fallas en una aplicación adyacente se trató como evidencia sobre una nueva aplicación sin suficiente margen para las diferencias en química, capacidad, entorno y proceso.

El tercero fue latrazabilidad de requisitos. La NTSB encontró vínculos poco claros entre cada condición especial, la suposición de la evaluación de seguridad, la justificación, el requisito de nivel inferior y el método de cumplimiento. Una mejor trazabilidad probablemente habría revelado que ningún requisito explícito de batería y ninguna prueba de certificación de fuga térmica planificada abordaban la propagación desde un cortocircuito interno.

Las recomendaciones de certificación de baterías de litio de 2014 de la junta pidieron pruebas de abuso que induzcan fuga térmica de una sola celda en la configuración instalada en condiciones que produzcan el resultado más severo, revisión de aprobaciones en servicio y acceso a experiencia técnica independiente.

El cuarto fue lafabricación y supervisión de subniveles. Thales auditó a GS Yuasa en 2011 y 2012, pero las discrepancias registradas no abordaron las características de fabricación de celdas examinadas posteriormente. Boeing dependía de Thales para la auditoría de subniveles y no auditó a GS Yuasa antes del evento; la FAA no auditó la instalación de celdas antes del evento. Las auditorías posteriores al evento identificaron no conformidades y acciones correctivas. Esto respalda un hallazgo de que la supervisión podría haber sido más efectiva.

No prueba que cada auditoría fuera superficial o que una no conformidad no divulgada específica causara cualquiera de los eventos.

El quinto fue laresolución de monitoreo. Los sistemas de batería monitoreaban voltajes y temperaturas pero no podían detectar necesariamente un cortocircuito interno localizado lo suficientemente temprano como para detener la fuga térmica. La NTSB recomendó posteriormente el monitoreo de temperatura y voltaje de celdas individuales y el registro de excedencias, junto con investigación sobre precursores y mitigación activa. La detección no puede atribuirse el mérito de controlar un mecanismo que se desarrolla internamente más rápido de lo que los sensores y desconectadores disponibles pueden detenerlo.

Detección, respuesta y recuperación

La detección comenzó con personas y mensajes de la aeronave, no con un monitor de seguridad predictivo. En Boston, el personal de limpieza vio humo, un gerente de mantenimiento vio la parada de la APU, y un mecánico encontró el incendio de la batería. En Takamatsu, la tripulación recibió un mensaje de falla de batería y olió un olor inusual. Estos indicadores permitieron la respuesta después de que el evento ya había progresado. No proporcionaron una alerta temprana confiable del cortocircuito iniciador.

La respuesta inmediata fue apropiadamente conservadora. Los bomberos atendieron el evento de Boston. La tripulación de Takamatsu se desvió, aterrizó aproximadamente 20 minutos después de la salida y evacuó. JAL y ANA suspendieron operaciones antes de la directiva de la FAA. La FAA utilizó una AD de emergencia, un instrumento dirigido a una condición insegura en el producto, en lugar de esperar un informe final de accidente. Las autoridades internacionales adoptaron o paralelizaron la restricción. Esta secuencia separó el control del riesgo operativo de la certeza causal.

Luego, la investigación amplió la detección. La tomografía computarizada, el análisis físico destructivo, las pruebas eléctricas, los datos registrados, la observación en fábrica y las pruebas de propagación en configuración instalada convirtieron un evento de celda oculto en un mapa de evidencia. El expediente de la NTSB preservó los informes subyacentes, mientras que las dos juntas nacionales alcanzaron conclusiones bajo los principios de investigación de seguridad del Anexo 13. El informe de la JTSB establece que su propósito es la prevención, no la atribución de culpa o responsabilidad.

Ese límite debe guiar el uso de cada hallazgo técnico en el análisis de responsabilidad.

La recuperación ocurrió en etapas. Boeing propuso un plan de certificación; la FAA aprobó el plan el 12 de marzo de 2013. El anuncio del plan de certificación de Boeing describió tres capas: reducir fallas, mejorar la producción y las pruebas, y contener cualquier falla para que no pudiera afectar a la aeronave. Esta era una posición de la empresa sobre la solución prevista, no aún una aprobación para reanudar el servicio de pasajeros.

El anuncio de diseño detallado de la empresa describió controles de selección más estrictos, controles de producción, aislamiento eléctrico y térmico, un rango de voltaje de operación revisado, cambios en el cargador y un gabinete de acero ventilado al exterior. Boeing dijo que se basó en RTCA DO-311, que no había estado disponible para el plan base original. Ese uso posterior de un estándar más nuevo es evidencia de remediación; no debe describirse como un estándar que Boeing violó durante la certificación anterior.

El 19 de abril, la FAA aprobó el diseño de modificación después de pruebas y análisis observados. La AD de regreso al servicio 2013-08-12 requirió la instalación de gabinetes de batería principal y de APU y conductos del sistema de control ambiental, reemplazo de ambas baterías y cargadores, y una revisión del programa de mantenimiento para los discos de ruptura de ventilación del gabinete. Reemplazó la directiva de suspensión y entró en vigencia el 26 de abril. El registro correspondiente de la EASA muestra la adopción para la aeronavegabilidad continua fuera del estado de certificación principal.

La recuperación no se basó en probar que se había eliminado un defecto iniciador. Se basó en la defensa en profundidad: reducir la probabilidad de iniciación, reducir la probabilidad de propagación y prevenir consecuencias a nivel de aeronave incluso si ambas capas anteriores fallaban. Esta fue una respuesta racional a la iniciación no resuelta, pero creó una obligación duradera de verificar la contención en lugar de volver silenciosamente a la antigua suposición de no propagación.

Mapa de control de responsabilidad

Este mapa previene dos errores comunes. Primero, la causalidad del proveedor no elimina la responsabilidad del integrador. Boeing no enrolló electrodos, pero controló la propuesta de seguridad a nivel de aeronave y era el titular de la aprobación de producción. Segundo, la certificación pública no elimina la responsabilidad del solicitante. Solo la FAA emitió el certificado y retuvo los deberes de supervisión, pero Boeing tuvo que demostrar el cumplimiento y validar los datos y suposiciones que presentó.

La delegación complica la responsabilidad sin hacerla desaparecer. La NTSB encontró que los representantes autorizados de Boeing y los ingenieros de certificación de la FAA revisaron una evaluación que omitía los efectos más graves del cortocircuito interno. La falla cruzó el límite de delegación. No fue suficiente que cada actor realizara su revisión asignada si el modelo de evidencia compartida excluía el peligro que importaba.

El informe conjunto de 2014 del Equipo de Revisión de Sistemas Críticos del Boeing 787 concluyó que la aeronave en general cumplía con su nivel de seguridad previsto, aunque también identificó flujo descendente de requisitos inconsistente, brechas de verificación, problemas de comunicación con proveedores, variación en la delegación de inspección y política de la FAA no completamente alineada con una cadena de suministro internacional extendida. Su alcance se extendió más allá de la batería.

Fue codirigido y compuesto por personal de la FAA y Boeing, por lo que es evidencia valiosa de revisión institucional y acción correctiva, no una investigación de accidentes independiente equivalente a la NTSB o la JTSB.

Límites legales y regulatorios

El punto de partida legal es la certificación de tipo. El texto oficial de 49 U.S.C. sección 44704 asigna a la Administradora de la FAA la autoridad para emitir un certificado de tipo después de determinar que un producto está adecuadamente diseñado y fabricado, funciona correctamente y cumple con los estándares aplicables, y permite las pruebas que la Administradora considere necesarias para la seguridad. El texto actual incluye enmiendas promulgadas después de 2013. Este artículo lo utiliza solo para describir la asignación duradera entre la evidencia del solicitante y la emisión de la FAA;

las adiciones posteriores no se aplican retroactivamente a la certificación de la batería del 787.

La base de certificación aplicable incluía 14 CFR Parte 25 y las condiciones especiales de 2007. Las condiciones especiales eran legalmente parte de la base de certificación del 787-8. Su existencia muestra que el peligro novedoso de la batería fue reconocido institucionalmente. El hallazgo posterior de la investigación no fue que ninguna regla mencionara la fuga térmica. Fue que los métodos de cumplimiento, las suposiciones y las pruebas no demostraron adecuadamente la protección que las condiciones requerían.

Una directiva de aeronavegabilidad es una regla obligatoria de seguridad del producto. La directiva de emergencia suspendió las aeronaves afectadas hasta que una modificación u otra acción aprobada abordara la condición insegura. La directiva de abril ordenó una configuración específica para el regreso. Ninguna de las directivas fue un cargo penal, una adjudicación de daños o un hallazgo de intención. Fue una decisión regulatoria de riesgo bajo la autoridad de aeronavegabilidad continua.

Los informes de la NTSB y la JTSB no son juicios civiles. Sus mandatos se centran en la prevención. El lenguaje de causa probable de la NTSB es autorizado para su conclusión de seguridad, pero no decide por sí mismo negligencia, asignación contractual, daños punitivos o responsabilidad penal. La JTSB rechaza explícitamente la atribución de culpa. Del mismo modo, las declaraciones de Boeing de que el rediseño fue integral o permanente fueron afirmaciones de la empresa durante la remediación. No son admisiones de responsabilidad legal, y su redacción optimista no puede sustituir la evidencia del regulador y de campo.

El registro de la audiencia congressional de junio de 2013 sobre las lecciones del 787 y el testimonio de certificación del Departamento de Transporte documentan preguntas de supervisión y la explicación de la FAA sobre la aprobación del rediseño. El testimonio es evidencia de posición institucional y escrutinio. No es una disposición judicial. El registro público utilizado aquí no establece un hallazgo judicial de que Boeing, Thales, GS Yuasa o la FAA debían o incumplieron un deber particular de derecho privado hacia un demandante nombrado.

Los estándares también requieren disciplina temporal. RTCA DO-311 se utilizó en la certificación del rediseño pero no estaba disponible cuando se desarrolló el plan original del 787. La Circular Asesora 20-184 de la FAA, emitida en 2015, proporciona orientación posterior sobre baterías recargables de iones de litio instaladas y establece que el material asesor no es en sí mismo un reglamento. Es evidencia de remediación útil y un punto de referencia moderno. No es prueba de que una circular asesora de 2015 fuera vinculante en 2005 o violada en 2011.

Controles contrafácticos

El contrafáctico más fuerte es unaprueba de propagación representativa antes de la certificación. Se habría instalado una batería de configuración final con conexión a tierra equivalente a la de la aeronave, operada a la temperatura y condición eléctrica aprobadas más severas, y sometida repetidamente a un método creíble de cortocircuito interno de una sola celda. Los criterios de aprobación habrían abordado no solo si una celda se ventilaba sino si las celdas adyacentes se propagaban, si el electrolito y el gas escapaban, si se formaban rutas de arco eléctrico y si los sistemas de la aeronave permanecían protegidos.

Las pruebas posteriores al evento sugieren que este control podría haber expuesto la suposición inválida de no propagación. No prueba que la prueba precisa habría reproducido Boston bajo demanda.

Un segundo contrafáctico es lagobernanza explícita de suposiciones. Cada afirmación significativa para la seguridad tendría un propietario, justificación, fuente, rango de incertidumbre, método de validación y trazabilidad a un requisito y artefacto de cumplimiento. La suposición de que un cortocircuito interno de celda no podía propagarse habría aparecido como un elemento de revisión en lugar de una premisa invisible heredada a través de los documentos de GS Yuasa, Thales, Boeing y la FAA. Un panel técnico independiente podría entonces desafiar su aplicabilidad a la química, capacidad, instalación y entorno finales.

Un tercero es eltratamiento conservador de la probabilidad. Los datos de fallas de una celda industrial similar se tratarían como contexto de apoyo, no como una estimación directa de frecuencia para la celda de la aeronave, hasta que se demostrara equivalencia en materiales, fabricación, carga y entorno. La incertidumbre se llevaría al análisis a nivel de aeronave. Donde la consecuencia era grave y los datos escasos, se requeriría contención independientemente de una estimación puntual tranquilizadora.

Un cuarto es laverificación del proceso de subnivel. Boeing y Thales podrían haber mapeado conjuntamente las características críticas de las celdas, observado las operaciones de aplanado y soldadura, definido límites medibles de perturbación y material extraño, validado la resolución de TC y la probabilidad de detección, y muestreado registros a través de lotes y cambios de proceso. La supervisión de producción de la FAA podría haber tratado la batería como crítica a pesar de la redundancia eléctrica funcional porque una falla física común podría liberar calor, humo y electrolito. Este contrafáctico aborda la probabilidad de escape;

no garantiza la eliminación de cada defecto microscópico latente.

Un quinto es lacontención a nivel de aeronave desde el diseño inicial. Si la instalación original hubiera asumido que una o más celdas eventualmente entrarían en fuga térmica, un gabinete sellado y ventilado al exterior y un aislamiento suficiente para el peor evento habrían sido parte de la certificación base. El rediseño adoptó posteriormente esta lógica basada en consecuencias.

Un sexto es elmonitoreo de campo de alta resolución y revisión de umbrales. Los datos de celdas individuales, el registro de excedencias, las remociones de baterías, los eventos del cargador y los identificadores de lotes de fabricación podrían haberse agregado bajo desencadenantes predeclarados. Un evento energético en una flota joven provocaría una reevaluación inmediata de la estimación de tasa anterior y el entorno operativo. El monitoreo no es un sustituto de la contención, pero acorta el tiempo entre la falla de la suposición y la acción de control.

Estos contrafácticos son proposiciones de ingeniería. No deben convertirse en afirmaciones de que una persona nombrada los rechazó conscientemente o que cada elemento era legalmente obligatorio bajo una guía posterior. Su valor es mostrar dónde existía control práctico y dónde un diseño de evidencia diferente podría haber interrumpido la secuencia.

Evidencia de reparación: qué cambió antes del regreso al servicio

El rediseño abordó tres niveles. A nivel decelda y batería, Boeing y los proveedores cambiaron el aislamiento, el hardware de terminales, el drenaje, los procesos de producción y aceptación, el rango de voltaje, la protección contra sobredescarga, la protección del cableado y las rutas de ventilación. A nivel depropagación, una separación térmica y eléctrica adicional redujo la transferencia entre celdas y entre las celdas y la caja de la batería. A nivel deaeronave, la batería se colocó en un gabinete sellado de acero inoxidable conectado a un conducto de titanio que ventilaba calor, presión, gas y electrolito al exterior.

La FAA hizo más que aceptar un comunicado de prensa. Aprobó un plan de certificación, observó pruebas, revisó análisis, aprobó los cambios de diseño, ordenó la configuración a través de una AD y dijo que supervisaría la instalación en las aeronaves estadounidenses. El anuncio de aprobación del 19 de abril de Boeing informó un mes de pruebas de certificación supervisadas y más de 100,000 horas de ingeniería y pruebas. Esas cifras provienen de Boeing y no establecen independientemente la integridad de las pruebas, pero la AD obligatoria establece que la FAA aceptó el diseño para el regreso.

El informe anual de 2013 de Boeing dice que instaló las mejoras en 50 aeronaves previamente entregadas y reanudó las entregas en el segundo trimestre. Esta es evidencia de implementación a escala de flota, no solo un remedio planificado. Los operadores y reguladores extranjeros aún controlaban el regreso de las aeronaves bajo sus jurisdicciones.

Las recomendaciones impulsadas por la investigación ampliaron la reparación más allá del hardware. El informe final de la NTSB recomendó una supervisión más fuerte por parte de la FAA de los titulares de aprobaciones de producción y proveedores de subniveles, estándares para fuentes de calentamiento y monitoreo de celdas, pruebas objetivas de autocalentamiento, suposiciones explícitas de evaluación de seguridad, trazabilidad de requisitos a métodos y capacitación.

Recomendó que Boeing mejore la supervisión de proveedores y la validación de evaluaciones de seguridad y que GS Yuasa revise los procesos de fabricación y la capacitación de empleados. La carta separada de la NTSB a Boeing registra las recomendaciones centradas en la empresa sin implicar que fueran sanciones.

La JTSB recomendó pruebas representativas de la instalación, revisión de los estándares técnicos de iones de litio, reexamen de la estimación de tasa de fallas del 787, revisión de la propagación de calor, evaluación del comportamiento del contactor, estudio continuo de cortocircuitos internos y mejora de la calidad de la batería. Su recomendación formal a la FAA preserva la distinción entre propagación demostrada e iniciación no resuelta.

El registro de respuesta de la FAA publicado por la JTSB es evidencia de que la recomendación entró en un proceso de seguimiento internacional, aunque el formato de archivo adjunto público no proporciona una puntuación independiente simple para la efectividad a largo plazo.

El evento de Narita en 2014 fue tanto evidencia de éxito como una advertencia

El 14 de enero de 2014, después del rediseño, un Boeing 787 de Japan Airlines estacionado en Narita produjo humo blanco visible y mensajes de batería principal. El examen encontró que la celda 5 se había sobrecalentado y su disco de ruptura se había abierto. El residuo de electrolito permaneció en el gabinete y apareció cerca de la salida de ventilación externa. El área circundante del compartimiento de electrónica estaba limpia y sin daños; las otras celdas retuvieron voltaje, aunque la celda adyacente 6 mostró efectos térmicos limitados.

El anuncio de la Oficina de Aviación Civil de Japón (JCAB) y la evaluación completa trataron el evento con un equilibrio útil. La JCAB encontró que la segunda capa del rediseño evitó la propagación de celda a celda y su tercera capa protegió a la aeronave. Concluyó que la capacidad de vuelo seguro se habría mantenido. Pero también observó que la primera capa no había evitado que una celda se sobrecalentara y pidió una mejora adicional de confiabilidad y trabajo continuo sobre las causas posibles.

Este evento es la mejor prueba pública específica del caso de la arquitectura de contención. No fue una prueba de certificación escenificada; fue una falla de campo en una batería modificada. El resultado respalda la inferencia de que el rediseño cambió materialmente la escalada. Una celda falló, pero toda la batería y el compartimiento circundante no reprodujeron el daño de Boston o Takamatsu. Esa es una fuerte evidencia de remedio.

No es prueba de que todas las fallas posibles estén contenidas. Un evento no puede cubrir cada ubicación de celda, estado de carga, flujo de aire, condición del gabinete, obstrucción de ventilación, error de mantenimiento o iniciación de múltiples celdas. Tampoco encontró la JCAB la causa del sobrecalentamiento. Se examinaron partículas metálicas, posible depósito de litio, arrugas, variación de electrolito, condensación y ambiente frío, pero ninguna evidencia objetiva aisló el iniciador. Por lo tanto, el evento valida la importancia de la contención mientras preserva la pregunta no resuelta de la iniciación de la celda.

Cómo debería ser la evidencia de remediación duradera

Laevidencia del proceso de celdadebería incluir la capacidad del proceso a nivel de lote para la alineación de electrodos, perturbación de enrollado, condición del separador, desechos de soldadura, contaminación, humedad y llenado de electrolito; tasas de detección de inspección; criterios de TC calibrados; tendencias de rechazo y retrabajo; y registros de aprobación de cambios de proceso. Una declaración de que el control de calidad mejoró es un punto de partida, no una medida de durabilidad.

Laevidencia del sistema de bateríadebería incluir pruebas de abuso repetidas a través de la variación de producción, temperatura, edad, estado de carga y configuración instalada con conexión a tierra. Debería demostrar aislamiento, integridad del cableado, comportamiento del contactor, rendimiento del monitoreo y gestión de presión. Los resultados deberían mostrar distribuciones y fallas, no solo ejemplares que pasan.

Laevidencia de contención de la aeronavedebería incluir verificaciones de fugas del gabinete, inspecciones de la ruta de ventilación, mantenimiento de los discos de ruptura, efectos de corrosión, conformidad de instalación y pruebas de gas, calor y presión en el peor caso. Debido a que la contención es ahora una última línea de defensa, el mantenimiento de sus sellos y conductos no puede tratarse como un mantenimiento incidental del hardware.

Laevidencia de flotadebería conectar las remociones, advertencias, informes de humo u olor, ventilación de celdas, fallas de cargador y hallazgos de mantenimiento a la aeronave, la batería y los lotes de celdas. Las tasas deberían recalcularse con límites de confianza y denominadores de exposición. Un largo período sin otra suspensión pública respalda la confianza, pero la ausencia de un titular no es lo mismo que un conjunto de datos de confiabilidad publicado.

Laevidencia de gobernanzadebería mostrar el cierre de hallazgos de auditoría, la revisión recurrente de suposiciones, el acceso independiente a baterías anómalas, la visibilidad del regulador sobre los cambios de subniveles y los umbrales de escalamiento definidos. La garantía de seguridad se deteriora si una configuración validada es seguida por cambios no documentados de material, proceso, software o mantenimiento.

Laevidencia de configuracióndebería conectar cada instalación de aeronave con el gabinete, conducto, cargador, batería, población de celdas, revisión de mantenimiento y lógica de control o software aprobado exactos vigentes en ese momento. Una prueba que pasa en una configuración no puede validar silenciosamente una sustitución de material posterior, un umbral de inspección alterado o un paso de producción cambiado. Las baterías retiradas con voltaje, olor, ventilación o indicaciones térmicas inusuales deben ponerse en cuarentena con el estado de carga y el historial operativo registrados antes del examen destructivo.

Los investigadores y reguladores necesitan entonces acceso a hallazgos negativos así como a fallas dramáticas, porque una extracción aparentemente intacta puede revelar las etapas tempranas del mecanismo que una batería quemada ya no puede preservar. Esta cadena convierte eventos de mantenimiento aislados en evidencia precursora utilizable y le da al titular del certificado de tipo una base defendible para decidir si una tendencia se limita a un lote, un estado de proceso o el diseño aprobado mismo.

La evidencia pública es desigual en estas categorías. La AD, la actividad de certificación, la modernización instalada, los informes de accidentes y el resultado de Narita proporcionan evidencia sustancial de que el peligro a nivel de aeronave se redujo. El registro público no revela datos longitudinales completos de lotes de celdas, todos los resultados de auditorías de proveedores, cada prueba de gabinete, las tasas actuales de falsos negativos ni un análisis de tendencias reproducible de forma independiente. Esa brecha no prueba un rendimiento deficiente. Limita cuán fuertemente los externos pueden verificar la durabilidad.

Preguntas no resueltas

La primera pregunta no resuelta es el iniciador microscópico exacto en cada batería de campo. Boston se redujo a un cortocircuito interno en la celda 5 o 6, pero no a un defecto sobreviviente. Takamatsu se redujo a una iniciación probable de la celda 6, pero no al mecanismo de cortocircuito. Narita se redujo a un cortocircuito interno en la celda 5, pero las causas candidatas no se probaron.

La segunda es por qué la revisión interorganizacional aceptó la no propagación. El registro identifica las pruebas y las debilidades de trazabilidad, pero no proporciona cada discusión interna, disidencia, decisión de cronograma o justificación de aprobación. Sería un exceso difamatorio inferir ocultamiento, mala fe o evasión deliberada sin evidencia.

La tercera es qué tan bien se desempeñaron las correcciones de fabricación a lo largo del tiempo. Las auditorías posteriores al evento encontraron y cerraron no conformidades, y el diseño modificado acumuló servicio. Sin embargo, el registro público revisado aquí no proporciona métricas continuas independientes de capacidad de proceso o escape de defectos para las celdas del 787 de GS Yuasa.

La cuarta es si el monitoreo posterior y los cambios de estándares cerraron completamente el conjunto de recomendaciones. La guía de 2015 de la FAA y el trabajo posterior de estándares muestran aprendizaje institucional, pero la guía puede ser consultiva y el estado de las recomendaciones puede depender de acciones documentadas más limitadas que la eliminación completa del riesgo. Cada aprobación actual debe juzgarse por su propia base de certificación y evidencia.

La quinta es el límite exacto de la contención bajo múltiples fallas simultáneas o degradadas por mantenimiento. El rediseño fue probado y el evento de Narita proporcionó confirmación de campo para un sobrecalentamiento de una sola celda. Los materiales públicos no exponen cada resultado de cumplimiento propietario del peor caso. La conclusión correcta es una alta confianza en la mejora material, no una afirmación de una consecuencia físicamente imposible a nivel de aeronave.

Conclusión: la certificación debe sobrevivir a la celda inexplicada

El caso de la batería del 787 no es una historia simple de una química insegura corregida por una caja. La tecnología de iones de litio trajo beneficios legítimos de rendimiento, y la arquitectura modificada devolvió la flota al servicio. La falla más profunda fue probatoria: una evaluación de seguridad asumió que un cortocircuito interno permanecería acotado, mientras que la prueba de apoyo no representaba el sistema final instalado en las condiciones relevantes más severas. La fabricación podía introducir defectos latentes; el monitoreo podría no detectarlos antes de la fuga;

y la cadena de certificación no exigía que la batería y la aeronave sobrevivieran a la propagación resultante.

Las investigaciones asignaron el control con precisión. El proceso de GS Yuasa permitió mecanismos de defecto capaces de causar cortocircuitos. Thales tenía responsabilidades de integración y subnivel. Boeing era propietario de los requisitos a nivel de aeronave, la integración de proveedores y la demostración de cumplimiento. Los representantes autorizados y los ingenieros de la FAA revisaron la evidencia, y la FAA retuvo la autoridad de certificación y aeronavegabilidad. Las aerolíneas y las tripulaciones controlaron las operaciones inmediatas.

La NTSB y la JTSB proporcionaron hallazgos preventivos mientras dejaban la responsabilidad civil y penal a otras instituciones.

La recuperación tuvo éxito porque dejó de depender de una explicación perfecta. Redujo la iniciación, impidió la propagación y contuvo la falla fuera de los espacios ocupados y de equipos. Narita mostró entonces por qué esa arquitectura importaba: la primera capa no evitó un evento de celda, pero las capas posteriores evitaron la cascada y el daño al compartimiento anteriores. Ese resultado es más persuasivo que una promesa de que las celdas nunca fallarán.

Por lo tanto, la prueba de responsabilidad duradera es directa. Para un componente de alta energía cuyo defecto iniciador puede ser raro, microscópico y destruido por el evento, la seguridad no puede descansar en la ausencia de fallas observadas en un producto similar o en una sola prueba de abuso favorable. El solicitante debe exponer las suposiciones, probar la configuración final instalada en condiciones severas creíbles, controlar la fabricación del subnivel, monitorear la flota con denominadores utilizables y preservar una última línea de defensa que siga siendo efectiva cuando la prevención y el diagnóstico fallen.

El regulador debe desafiar independientemente esa cadena. El Boeing 787 regresó al servicio cuando la contención se convirtió en parte de la prueba; la responsabilidad duradera requiere mantener esa prueba actualizada.