Resumen
- Samsung lanzó el Galaxy Note7 en agosto de 2016 y anunció un programa global de reemplazo el 2 de septiembre después de reportar 35 casos a nivel mundial e identificar lo que llamó un problema de celda de batería. La Comisión de Seguridad de Productos de Consumo de EE. UU. (CPSC) formalizó una retirada el 15 de septiembre que cubría aproximadamente un millón de teléfonos y ofrecía expresamente un nuevo Note7 con una batería diferente como uno de los remedios.
- El primer remedio se basó en una proposición de seguridad: la población original afectada podía separarse de una población de reemplazo que era apta para su uso. Los informes que involucraban reemplazos invalidaron esa proposición. Samsung y los operadores estadounidenses detuvieron las ventas e intercambios del Note7 el 10 de octubre, y la CPSC amplió la retirada el 13 de octubre a todos los dispositivos originales y de reemplazo.
- Las investigaciones encargadas por Samsung a Exponent y UL encontraron diferentes modos de falla. Las celdas del Fabricante A mostraron daños en las esquinas asociados con un volumen de bolsa insuficiente, deformación de electrodos y posible compromiso del separador. Las celdas del Fabricante B mostraron protuberancias de soldadura de lengüetas, aislamiento faltante o desalineado y caminos de cortocircuito interno. Los informes no encontraron una falla de carga a nivel de dispositivo que explicara las fallas en el campo.
- El evento desencadenante de la retirada final fue la aparición de sobrecalentamiento y quemaduras en los teléfonos de reemplazo. La falla de responsabilidad más profunda fue que la calificación de extremo a extremo no excluyó dos defectos de celda materialmente diferentes antes del lanzamiento y la liberación del reemplazo. Las condiciones contribuyentes incluyen tolerancia limitada a la variación de fabricación, evidencia incompleta sobre la madurez del proceso y un remedio que devolvió a los clientes a la misma familia de productos antes de que se completara la investigación pública de la causa raíz.
- El control estaba distribuido pero no era igual. Los fabricantes de baterías controlaban el diseño de las celdas y los procesos de producción. Samsung controlaba las especificaciones objetivo, la aceptación de proveedores, la integración del dispositivo, la liberación final, la decisión global de reemplazo y las comunicaciones con los clientes. La CPSC controlaba el proceso formal de retirada en EE. UU., mientras que los operadores y minoristas controlaban gran parte del canal de intercambio físico. Las autoridades de aviación controlaban las restricciones de transporte. Los consumidores asumían el peligro pero no podían inspeccionar las celdas, auditar a los proveedores ni validar los lotes de reemplazo.
- La evidencia de reparación es significativa pero incompleta. Samsung introdujo una verificación de seguridad de la batería de ocho puntos, márgenes de diseño adicionales, protecciones de carga de software, centros de análisis de responsabilidad del producto y un grupo asesor externo. La CPSC luego trabajó con la industria en la revisión del estándar de baterías móviles, y el programa actual de CTIA describe la certificación a nivel de sistema y los controles del sitio de fabricación. Los materiales públicos no divulgan tasas de falsos negativos longitudinales, todos los hallazgos de auditorías a proveedores, cada aprobación de cambio de proceso ni resultados independientes continuos suficientes para probar que las reformas siguen siendo igualmente efectivas en todos los productos y años.
El remedio fallido es el evento definitorio
La decisión más importante en la cronología del Note7 no fue la eventual descontinuación. Para entonces las opciones disponibles se habían reducido drásticamente. La decisión más reveladora fue reemplazar un Note7 inseguro con otro Note7 antes de que se hubiera publicado el mecanismo completo detrás de los incidentes de campo y antes de que el suministro de reemplazo hubiera acumulado mucha exposición en el campo. Ese remedio representó una nueva determinación de seguridad del producto.
Dijo, en términos operativos, que el riesgo podía limitarse a una población de baterías identificable y que los teléfonos fuera de esa población eran aceptables para uso ordinario.
El comunicado de Samsung del 2 de septiembre de 2016 reportó 35 casos a nivel mundial hasta el 1 de septiembre, dijo que su investigación había encontrado un problema de celda de batería, detuvo las ventas y prometió reemplazar los teléfonos de los clientes. El comunicado no publicó el mecanismo del defecto, los criterios de lote afectado, el protocolo de prueba, el tamaño de la muestra ni el umbral de liberación para los nuevos dispositivos. Esa omisión no demostró que esos controles estuvieran ausentes internamente.
Sí significó que los clientes y los investigadores externos no pudieran evaluar si la decisión de reemplazo abordaba un mecanismo conocido o simplemente cambiaba la fuente de la batería.
La distinción importa porque un remedio de retirada debe estar calificado por sí mismo. Eliminar una unidad peligrosa reduce el riesgo solo si el sustituto no conlleva el mismo u otro peligro inaceptable. La lista de verificación de retirada actual de la CPSC hace explícito el principio al decir a las empresas que retiran productos que prueben un reemplazo o reparación, rediseñen la producción futura para eliminar el peligro, fortalezcan los controles de calidad y distingan los productos reelaborados de los defectuosos. La lista de verificación es una guía actual, no una prueba del protocolo exacto aplicado en 2016.
No obstante, captura la cuestión de control expuesta por el caso: ¿qué evidencia transformó un teléfono recién fabricado de un reemplazo logístico a un remedio de seguridad validado?
La respuesta resultó insuficiente. El 10 de octubre, después de informes de dispositivos de reemplazo sobrecalentándose y quemándose, Samsung pidió a los operadores y minoristas de todo el mundo que detuvieran las ventas e intercambios y dijo a los propietarios de teléfonos originales y de reemplazo que los apagaran. La CPSC amplió la retirada estadounidense tres días después. Por lo tanto, se pidió a un cliente que había cumplido con la primera retirada que cumpliera nuevamente, esta vez sin la opción de otro Note7.
El primer intercambio había reducido la exposición a una población de baterías mientras introducía exposición a una segunda población con otro defecto.
Esta secuencia no debe simplificarse en una afirmación de que no se realizaron pruebas. Samsung, los proveedores, los laboratorios de certificación y los reguladores realizaron o exigieron formas de prueba. La conclusión defendible es más estrecha: el sistema de calificación combinado no logró identificar los modos de falla que luego aparecieron en ambas poblaciones de proveedores, y la evidencia utilizada para la liberación del reemplazo no previno una segunda retirada. Pasar una prueba y demostrar seguridad no son sinónimos cuando la población de prueba, el estado del proceso o el mecanismo de falla difieren de lo que llega a los usuarios.
Quién controló qué parte de la seguridad
Samsung Electronics controló la decisión a nivel de producto. Seleccionó o aprobó las fuentes de baterías, estableció las especificaciones objetivo, integró el paquete de baterías con el teléfono, controló el software de carga y gestión térmica, aceptó los componentes terminados, aprobó el envío, eligió la forma del primer remedio y coordinó la posterior parada global. Su subsidiaria estadounidense trabajó con la CPSC, los operadores y los minoristas en las comunicaciones con los clientes y la logística de intercambio.
Incluso si un proveedor de celdas creó el defecto físico, Samsung controlaba si esa celda se convertía en parte de un teléfono presentado a un consumidor como seguro.
Los dos fabricantes de celdas controlaban diferentes capas técnicas. Controlaban el bobinado de electrodos, el diseño de la bolsa, la colocación del separador, la soldadura de lengüetas, el aislamiento, los ajustes de línea, la inspección y la liberación de lotes. Esos controles están más cerca de los orígenes físicos identificados después del evento. Un fabricante puede detectar protuberancias de soldadura, cinta de aislamiento ausente, deformación y variación dimensional antes de que una celda salga de su planta. También puede introducir riesgo a través de un cambio de proceso que no se ha estabilizado.
El control del proveedor es, por lo tanto, real, pero no elimina el deber del vendedor del sistema de definir criterios de aceptación y verificar de forma independiente las características de alta consecuencia.
Los materiales de investigación de Samsung utilizan las etiquetas neutrales Fabricante A y Fabricante B. Ese nombre es útil porque el análisis de responsabilidad no depende de atribuir culpa a un nombre comercial. El problema del Fabricante A se asoció principalmente con la acomodación mecánica del conjunto de electrodos dentro de la bolsa. El problema del Fabricante B se asoció con la calidad de producción alrededor de la lengüeta positiva y el aislamiento. Dos proveedores, dos mecanismos y un producto final muestran por qué la diversificación por sí sola no proporciona redundancia de seguridad.
Fuentes separadas pueden fallar de manera diferente si la puerta a nivel de sistema no puede detectar ninguna de las fallas.
Las organizaciones de pruebas y certificación tenían una autoridad más limitada. Podían evaluar muestras presentadas, sitios de fabricación o conformidad del sistema dentro de un programa definido. No controlaban cada lote de producción ni la liberación comercial de Samsung. La descripción de IEEE del Estándar 1725 cubre el análisis de diseño para la calificación, calidad y confiabilidad en toda la celda, el paquete, los controles y el sistema general. El programa de cumplimiento de baterías de CTIA actual añade autorización de sitios de fabricación, reconocimiento de componentes, pruebas de sistema y declaraciones de cumplimiento.
Esas estructuras son importantes, pero un certificado no puede ver un cambio no presentado, un defecto de baja frecuencia fuera de la muestra probada o una condición de rampa que se desarrolla después de la calificación.
La CPSC tenía control legal y regulatorio en Estados Unidos. Bajo 15 U.S.C. sección 2064, un fabricante, distribuidor o minorista que obtiene información que respalda razonablemente conclusiones específicas de defecto o riesgo grave debe informar inmediatamente a la Comisión a menos que sepa que la Comisión ya está adecuadamente informada. La ley también otorga a la Comisión poderes relacionados con el aviso y la acción correctiva. Nada en los registros públicos revisados aquí establece que Samsung violó la disposición de informe, y las retiradas se realizaron con la CPSC. La ley identifica un deber y un regulador;
no transfiere la calificación diaria del producto del fabricante a la agencia.
Los operadores y minoristas controlaban gran parte de la última milla. Detuvieron las ventas, mantuvieron inventario, contactaron a los clientes, realizaron intercambios y procesaron reembolsos. Su participación hizo posible la rápida distribución de teléfonos de reemplazo y, más tarde, una amplia recuperación. No diseñaron las celdas ni conocían la evidencia interna de fabricación. Sin embargo, cuando surgió el riesgo de reemplazo, los operadores del canal pudieron reducir la exposición antes de que se resolviera cada incertidumbre técnica.
La declaración de la CPSC del 10 de octubre creditó específicamente a los operadores y minoristas por detener las ventas y ya no suministrar teléfonos Note7 como reemplazos.
Los reguladores de aviación ejercieron un control separado después de que falló el remedio del producto de consumo. DOT, FAA y PHMSA pudieron restringir el transporte porque un teléfono sobrecalentado en una aeronave crea consecuencias más allá del propietario. EASA pudo emitir recomendaciones operativas en toda la aviación europea. Estos organismos no decidieron si un teléfono podía venderse como producto de consumo, pero pudieron negar el acceso del dispositivo a un entorno de alta consecuencia.
Su intervención ilustra cómo la falla de calificación de un fabricante transfirió cargas operativas a aerolíneas, aeropuertos, tripulaciones de vuelo y pasajeros.
Los consumidores tenían el menor control técnico. Podían apagar un teléfono, devolverlo, elegir un reembolso o aceptar un sustituto. No podían inspeccionar el conjunto de electrodos bobinado, saber si la cinta de aislamiento estaba presente, ver la capacidad del proceso de un proveedor, evaluar un lote de reemplazo ni determinar si un ícono de batería verde representaba más que una distinción de abastecimiento. La primera retirada pidió a los consumidores que confiaran en que el nuevo ícono y la batería diferente correspondían a un límite de seguridad válido.
Cuando ese límite falló, el costo incluyó no solo otro viaje a un minorista sino la pérdida de confianza en la institución que lo había definido.
Desde el lanzamiento hasta la primera retirada
El informe de sostenibilidad de Samsung de 2017 sitúa el lanzamiento del Note7 el 19 de agosto de 2016. El intervalo entre el lanzamiento y el anuncio global de reemplazo fue de aproximadamente dos semanas. La compañía dijo el 2 de septiembre que se habían reportado 35 casos a nivel mundial y que estaba inspeccionando a los proveedores para identificar posibles baterías afectadas. Detuvo las ventas y anunció un reemplazo voluntario, pero el proceso estadounidense aún no era una retirada formal de la CPSC.
Esa brecha se hizo visible el 9 de septiembre. La CPSC emitió una advertencia pública aconsejando a todos los propietarios del Note7 que apagaran y dejaran de cargar o usar el dispositivo. La Comisión dijo que ella y Samsung estaban trabajando hacia una retirada oficial y que estaba trabajando para determinar si un Note7 de reemplazo era un remedio aceptable. La declaración es evidencia de que la aceptabilidad del reemplazo era una cuestión regulatoria viva, no un detalle administrativo predeterminado.
El 10 de septiembre, Samsung instó a los propietarios a apagar y cambiar sus teléfonos, diciendo que había identificado el inventario afectado y estaba acelerando los reemplazos. Cinco días después, la primera retirada de la CPSC cubrió aproximadamente un millón de unidades estadounidenses vendidas antes del 15 de septiembre. Registró 92 informes estadounidenses de sobrecalentamiento de baterías, incluyendo 26 informes de quemaduras y 55 informes de daños a la propiedad. Los remedios eran un Note7 con batería diferente, un reembolso u otro dispositivo de reemplazo.
Esas cifras describen informes recibidos, no responsabilidad adjudicada, recuentos de defectos únicos confirmados ni un total global de incidentes.
La formalización mejoró la retirada en varios aspectos. Proporcionó una descripción única del peligro, identificó la población afectada, dijo a los consumidores que dejaran de usar y estableció remedios con la participación de la CPSC. También hizo del Note7 de reemplazo parte de una acción correctiva oficial. Samsung anunció que los nuevos teléfonos de reemplazo estadounidenses estarían ampliamente disponibles para el 21 de septiembre, y su actualización del 20 de septiembre dijo que más de 500,000 reemplazos habían llegado a las tiendas de operadores y minoristas.
La actualización introdujo un ícono de batería verde y una marca de empaque para distinguir los teléfonos nuevos. También envió indicaciones de advertencia recurrentes a los dispositivos retirados. Estos fueron controles efectivos de identificación y comunicación. No constituyeron prueba técnica. El ícono codificaba la clasificación de Samsung de un dispositivo como que tenía una batería no afectada. No monitoreaba la calidad de la soldadura, la integridad del separador ni los precursores de cortocircuito interno.
Los datos de intercambio muestran cuán rápidamente la nueva clasificación influyó en la exposición. Samsung dijo el 22 de septiembre que aproximadamente la mitad de los teléfonos estadounidenses retirados habían sido intercambiados y que el 90 por ciento de los propietarios participantes estaban eligiendo otro Note7. Una actualización global del 27 de septiembre dijo que más del 60 por ciento de los teléfonos retirados en Estados Unidos y Corea habían sido intercambiados y nuevamente reportó que aproximadamente el 90 por ciento de los usuarios estaban seleccionando un nuevo Note7.
Estas eran cifras de la compañía y pueden haber cambiado rápidamente. Establecen que los teléfonos de reemplazo no fueron un remedio marginal. Fueron la opción dominante reportada por Samsung.
La velocidad tenía un propósito legítimo. Cada día que un teléfono retirado original permanecía en uso prolongaba la exposición al peligro conocido. Los minoristas necesitaban inventario, los consumidores necesitaban teléfonos funcionales y la compañía necesitaba un remedio escalable. Pero la velocidad también creó un problema de calificación. Una población de reemplazo producida y distribuida rápidamente ofrece menos tiempo calendario para la estabilización del proceso, la acumulación del ciclo de vida y la observación en el campo.
La evidencia pública no prueba que la presión del cronograma causara los defectos de soldadura y aislamiento del Fabricante B. Apoya la inferencia más limitada de que la decisión de reemplazo conllevaba un riesgo de madurez del proceso que requería evidencia y monitoreo inusualmente sólidos.
La señal de reemplazo y el colapso del primer límite de seguridad
La primera señal pública prominente en EE. UU. después de que los reemplazos entraran en circulación provino de la aviación. El 5 de octubre, el presidente de la CPSC emitió una declaración sobre un incidente en una aeronave de Southwest Airlines en Louisville. La agencia dijo que los pasajeros habían salido sin daños y que el personal estaba recopilando datos de la FAA, Samsung y el consumidor. La declaración por sí misma no estableció la fuente de la batería del teléfono ni la causa final, por lo que no debe usarse como un hallazgo técnico completo.
Muestra que a principios de octubre, la CPSC estaba investigando un evento grave en un entorno operativo donde un incendio de batería podría afectar a muchas personas.
Informes adicionales cambiaron la decisión de control. El 10 de octubre, la CPSC dijo que estaba investigando activamente teléfonos que se sobrecalentaban y quemaban en múltiples estados y aconsejó a los propietarios de teléfonos originales y de reemplazo que dejaran de usarlos. La Comisión calificó la suspensión de ventas e intercambios por parte de Samsung como la acción correcta. La declaración paralela de detención de ventas de Samsung dijo a los socios operadores y minoristas globales que detuvieran la venta o el intercambio del producto y dijo a todos los propietarios que apagaran el dispositivo.
Este fue el evento desencadenante de la retirada final: la evidencia de calor peligroso y fuego ya no estaba limitada a la población eliminada por la primera retirada. El reemplazo no solo tenía un defecto cosmético o de rendimiento ambiguo. Presentaba el mismo peligro de alto nivel a través de otra vía interna. Una vez que falló la premisa del primer remedio, continuar emitiendo reemplazos del Note7 habría expuesto a clientes adicionales bajo una clasificación invalidada.
El 13 de octubre, la retirada ampliada de la CPSC cubrió aproximadamente 1.9 millones de teléfonos estadounidenses, incluyendo el millón de la primera retirada. Incluyó expresamente todos los dispositivos suministrados como reemplazos y los dispositivos que mostraban el ícono de batería verde. Se dijo a los consumidores que dejaran de usar todos los Note7 y buscaran un reembolso u otro modelo. El aviso correspondiente de Samsung dijo que la inclusión de reemplazos siguió a su detención de producción, venta e intercambio del 10 de octubre.
El aviso ampliado reportó 96 informes de sobrecalentamiento en EE. UU., incluyendo 23 nuevos informes después del anuncio de la primera retirada, así como 13 informes de quemaduras y 47 informes de daños a la propiedad asociados con los teléfonos Note7. Estas categorías no deben sumarse mecánicamente a las cifras del primer aviso. El aviso posterior no explica por qué sus recuentos de quemaduras y daños a la propiedad son más bajos que las categorías anteriores, si los casos fueron reclasificados, deduplicados o evaluados bajo un alcance diferente.
El uso seguro es reportar cada aviso con su fecha y redacción, no fabricar un total acumulado a partir de instantáneas incompatibles.
El remedio ahora era estructuralmente diferente. Un cliente podía recibir un reembolso u otro modelo, pero no un Note7 supuestamente corregido. Samsung también utilizó la cooperación de los operadores y controles de software para limitar o deshabilitar los dispositivos restantes. Esas medidas eran coercitivas en un sentido técnico estricto porque reducían lo que un propietario podía hacer con una propiedad ya comprada. También eran controles de riesgo dirigidos a un producto que los propietarios habían sido instados repetidamente a devolver.
La responsabilidad requiere reconocer ambas: la limitación remota redujo la exposición residual al fuego, mientras que la necesidad de ella mostró que un anuncio de retirada por sí solo no podía recuperar cada unidad peligrosa.
Qué falló dentro de las celdas del Fabricante A
Samsung anunció sus hallazgos de causa raíz en enero de 2017 después de probar dispositivos, baterías y procesos. La evidencia técnica más útil proviene de presentaciones separadas de Exponent, UL y TUV Rheinland, todas contratadas en relación con la investigación de Samsung. Su participación añade independencia técnica en el análisis, pero no independencia institucional completa: Samsung encargó el trabajo, suministró al menos las muestras descritas por UL y controló gran parte del entorno de evidencia. Sus hallazgos deben leerse con ese alcance visible.
La presentación de causa raíz de Exponent concluyó que la causa más probable de falla térmica en ciertas celdas del Fabricante A era un daño no intencionado en los bobinados del electrodo negativo cerca de la esquina más cercana a la lengüeta negativa. Atribuyó ese daño a un diseño de bolsa que proporcionaba un volumen inadecuado para el conjunto de electrodos. Los ciclos normales de carga y descarga podían entonces convertir la interferencia geométrica en compromiso del separador, recubrimiento de litio u otra vía de falla interna.
La arquitectura de la celda explica por qué las pequeñas decisiones dimensionales importan. Las capas de electrodos positivo y negativo están separadas por material delgado y enrolladas en un conjunto a menudo llamado bobina. El separador debe evitar el contacto eléctrico mientras permite el transporte iónico. El conjunto enrollado se asienta en una bolsa flexible. Si el recinto no proporciona suficiente espacio, la compresión o deformación en las esquinas puede concentrar el estrés mecánico. Si el separador se daña y las capas conductoras opuestas contactan, la corriente puede fluir dentro de la celda fuera del circuito previsto.
El calentamiento local puede iniciar una reacción térmica auto-reforzante.
La presentación de análisis de fallas de UL reportó signos de cortocircuito interno en la esquina superior derecha en seis dispositivos dañados del Fabricante A y en cuatro celdas hinchadas. Las tomografías computarizadas y la desensamblaje de celdas adicionales mostraron patrones de deformación repetidos. UL describió una combinación de deformación en la esquina, un separador delgado y estrés mecánico repetido del ciclado como un mecanismo principal probable, mientras declaró que se necesitaba más trabajo para comprender la causa raíz de las deformaciones en las esquinas.
Esa calificación es importante. Exponent expresó una conclusión más específica sobre el volumen de la bolsa; UL describió múltiples contribuyentes de diseño y fabricación y retuvo incertidumbre en torno al origen de la deformación. Los informes convergen en la ubicación y la vía de cortocircuito interno sin ser idénticos en la redacción causal. Por lo tanto, un hallazgo cuidadoso es que la población A tenía una tolerancia inadecuada alrededor del conjunto enrollado y el separador en la esquina, con evidencia que respalda un mecanismo de espacio de bolsa.
Sería exagerar el registro afirmar que cada incidente A siguió una secuencia perfectamente observada.
La densidad de energía influyó en la consecuencia, no necesariamente en la iniciación. UL señaló que un separador más delgado podría reducir la tolerancia a defectos de fabricación y que una mayor densidad de energía puede empeorar la gravedad de una falla. Ninguna observación significa que la alta capacidad por sí sola causara los incidentes del Note7. Un diseño de alta energía eleva la demanda de margen dimensional, protección del separador y capacidad del proceso. La responsabilidad radica en validar la combinación, no en tratar una química de batería ampliamente utilizada como un peligro imprevisible.
El mecanismo A debería haberse abordado en varias puertas. El análisis del diseño de la celda podría comparar las dimensiones del electrodo con el volumen de la bolsa en tolerancias, hinchazón y vida útil. La tomografía computarizada o el muestreo destructivo podrían identificar la deformación en la esquina. Los datos de capacidad de fabricación podrían mostrar si el espacio libre previsto se mantenía estable. El ciclado acelerado a nivel de dispositivo podría exponer el estrés mecánico repetido. La trazabilidad de lotes podría vincular los incidentes de campo con los registros de diseño y proceso.
La investigación pública describe algunos de estos métodos después de la falla; no publica los resultados completos previos al lanzamiento que permitieron la liberación.
El Fabricante B falló de manera diferente
El Fabricante B es donde la retirada se convierte en un caso de calificación en lugar de solo un caso de diseño original. Exponent dijo que su análisis inicial de las celdas B no encontró defectos de bolsa, diseño o fabricación. Las celdas fabricadas después de que esa investigación inicial estuviera completa resultaron contener un defecto claramente diferente. Esa cronología significa que una muestra válida para un estado de producción no podía establecer la calidad de la producción posterior.
Exponent identificó una soldadura de lengüeta positiva mal controlada que producía características afiladas y relativamente altas. La hinchazón y contracción normales de los electrodos podían forzar esas características hacia el electrodo negativo opuesto. En algunas celdas examinadas, la cinta protectora sobre la lengüeta positiva estaba ausente. Una protuberancia de soldadura que puenteaba la separación física, particularmente sin aislamiento, podía crear un cortocircuito interno, calentar la celda y progresar a un descontrol térmico con alto estado de carga.
UL encontró signos de cortocircuito interno en cinco dispositivos B dañados, incluyendo evidencia en ubicaciones de lengüetas. Reportó cinta de aislamiento faltante, protuberancias de soldadura afiladas, mala alineación y dimensiones inconsistentes de lengüeta o cinta en las celdas examinadas. Su evaluación describió la combinación de cinta faltante, protuberancias afiladas y un separador delgado como un mecanismo de falla principal probable. También encontró que, en su trabajo, no había evidencia de que problemas de compatibilidad a nivel de dispositivo causaran las fallas de campo.
La ausencia de un desencadenante común del dispositivo estrecha la explicación pero no absuelve al vendedor del sistema. Exponent reportó que el sistema de batería del Note7 tenía múltiples capas de protección y que las pruebas no identificaron una falla electrónica capaz de desencadenar las fallas observadas. UL encontró que la corriente de carga, el voltaje de la celda y la temperatura estaban dentro de las especificaciones de Samsung en las condiciones probadas.
La revisión de ensamblaje y logística de TUV Rheinland no encontró debilidad relevante en las líneas de ensamblaje de Samsung inspeccionadas ni en las simulaciones de transporte por carretera, y sus muestras pasaron las pruebas de seguridad aplicables.
Estas son negativas acotadas. Muestran que los investigadores no encontraron una causa del sistema de carga, ensamblaje del teléfono o transporte por carretera dentro de sus alcances y muestras. No prueban que cada cargador, envío, condición de ensamblaje o entorno de usuario fuera inofensivo. Más importante aún, dejan la celda de batería aceptada como el componente fallido dentro de un sistema controlado por Samsung. La responsabilidad a nivel de producto persiste porque un circuito de protección no puede detener de manera confiable un cortocircuito que se forma internamente entre electrodos.
El mecanismo B plantea una pregunta directa de control de proceso: ¿qué cambió entre las celdas inicialmente investigadas y la producción posterior de reemplazo? Las presentaciones públicas no proporcionan un historial completo de cambios de ingeniería, registro de capacidad línea por línea, cambio de instrucciones del operador, historial de mantenimiento del equipo de soldadura ni plan de muestreo de aceptación. Identifican el defecto pero no publican la vía organizativa por la cual entró y escapó de la producción. Sin esa vía, atribuir el evento a un error genérico de fabricación detendría el análisis demasiado pronto.
Los controles capaces de prevenir defectos B incluyen límites de altura de soldadura vinculados al espacio libre del separador, inspección automatizada de cada lengüeta, verificación positiva de la presencia y posición de la cinta de aislamiento, seccionamiento destructivo por lote, imágenes tridimensionales, monitoreo del estado del equipo, aprobación de cambios de proceso y cuarentena de lotes cuando los límites de control se desvían. La pregunta crucial de liberación es si estas características fueron tratadas como críticas para la seguridad y si Samsung recibió evidencia de los lotes de rampa reales, en lugar de ejemplares anteriores.
Causa raíz, desencadenante y condiciones contribuyentes
Las causas físicas directas fueron cortocircuitos internos que surgieron a través de diferentes vías en dos poblaciones de celdas. Para el Fabricante A, la evidencia respalda la deformación en la esquina y el compromiso del separador asociados con una acomodación y tolerancia inadecuadas de la bolsa. Para el Fabricante B, respalda protuberancias de soldadura de lengüeta y defectos de aislamiento que podían puentear hacia el electrodo negativo. Estos mecanismos explican la ignición a nivel de celda.
La causa raíz organizativa se sitúa un nivel por encima. La calificación de extremo a extremo no identificó ni excluyó ninguno de los mecanismos antes de que los teléfonos relevantes llegaran a los usuarios. La primera puerta de lanzamiento aceptó celdas A con tolerancia geométrica inadecuada. La puerta de remedio aceptó celdas B cuya producción posterior contenía defectos de soldadura y aislamiento. Un sistema de seguridad que depende de proveedores pero libera un producto integrado debe poder validar el margen de diseño, la capacidad del proceso, el control de cambios y el comportamiento del sistema final en cada fuente aprobada.
El desencadenante de la descontinuación final no fue el descubrimiento del problema de esquina de A. Fue la aparición de incidentes peligrosos en los reemplazos, lo que invalidó el alcance de la primera retirada. Ese desencadenante convirtió un remedio específico del proveedor en una parada de todos los dispositivos. También cambió la carga probatoria: después de que dos poblaciones distintas fallaron, otro reemplazo del mismo modelo no podía basarse razonablemente solo en la sustitución del proveedor.
Varias condiciones contribuyentes están respaldadas por el registro. El diseño de la celda ofrecía tolerancia limitada a la deformación y la variación de producción. El suministro de reemplazo se movió rápidamente hacia una distribución amplia. Samsung promovió públicamente la confianza en la nueva clasificación de baterías antes de publicar un relato completo de la causa raíz. El estado de producción del Fabricante B cambió después de las celdas iniciales revisadas por Exponent. La calificación y certificación existentes no proporcionaron una vigilancia continua capaz de prevenir los defectos escapados.
Otros contribuyentes propuestos siguen sin probarse. La evidencia pública no establece que un plazo ejecutivo particular causara una liberación insegura, que empleados ocultaran defectos conocidos de B, que un proveedor relajara intencionalmente los estándares, o que la competencia con otro teléfono dictara un compromiso de seguridad específico. El cronograma del producto y la presión del mercado son riesgos contextuales plausibles en cualquier lanzamiento insignia, pero la plausibilidad no es evidencia de causalidad en este caso.
La detección falló en más de una etapa. Las pruebas de diseño y proceso previas al lanzamiento no detuvieron las celdas A. La calificación del reemplazo y los controles de lote no detuvieron las celdas B. Los incidentes de campo se convirtieron en el detector decisivo para ambas poblaciones. La respuesta mejoró una vez que se reconoció el segundo patrón: se detuvieron las ventas, intercambios y producción, se retiraron todos los teléfonos, siguieron restricciones de transporte y el software redujo progresivamente el uso residual.
La recuperación dependió entonces de millones de propietarios, muchos operadores, minoristas y reguladores actuando a través de jurisdicciones.
El impacto fue más amplio que el recuento de teléfonos quemados
Las retiradas estadounidenses proporcionan las cifras públicas de incidentes y población más específicas. Aproximadamente un millón de dispositivos estaban en la primera retirada y aproximadamente 1.9 millones estaban cubiertos por la retirada ampliada, incluyendo la primera población. Esos números miden unidades sujetas a acción correctiva, no el número que falló.
Los recuentos reportados de sobrecalentamiento, quemaduras y daños a la propiedad establecen un daño realizado y un peligro creíble, pero no respaldan la estimación de una probabilidad de falla por dispositivo sin un tiempo de exposición confiable, manejo de duplicados y validación de casos.
El informe de sostenibilidad de Samsung de 2017 dijo que se habían vendido 3.06 millones de teléfonos Note7 a nivel mundial y que el 97 por ciento se había recuperado para abril de 2017. La evaluación de enero de 2017 de la CPSC también creditó a Samsung y los operadores estadounidenses con una tasa de respuesta del consumidor del 97 por ciento. Estas son señales de participación en la retirada inusualmente altas, pero los denominadores difieren: uno es una divulgación global de la compañía y el otro es una declaración de un regulador estadounidense sobre la respuesta a la retirada.
Ninguno prueba que cada teléfono devuelto haya sido transportado, procesado o reciclado de manera segura.
Los propietarios absorbieron inconvenientes y riesgos directos. Tuvieron que dejar de usar un costoso dispositivo de comunicación, hacer copias de seguridad y migrar datos, visitar una tienda o organizar la devolución, obtener un reembolso o un teléfono diferente, reemplazar accesorios y repetir el proceso si ya habían intercambiado un original. Las personas que dependían del teléfono para trabajar enfrentaron interrupciones en el servicio. Los miembros del hogar y los transeúntes compartieron la exposición al fuego sin elegir el producto.
Los informes de daños a la propiedad y quemaduras muestran que los efectos no se limitaron a expectativas decepcionadas.
Los minoristas y operadores se convirtieron en infraestructura de recuperación. El personal tuvo que identificar modelos, manejar devoluciones peligrosas, explicar instrucciones cambiantes, revertir contratos o financiamiento, emitir créditos y mantener inventario sustituto. Los pequeños minoristas y negocios de servicios enfrentaron costos operativos sin haber diseñado ni calificado el producto. Por lo tanto, la retirada afectó la continuidad de las PYME a través de la carga de trabajo del canal, disputas con clientes y gestión de inventario, aunque no hay una asignación completa de costos públicos disponible.
Las consecuencias para la aviación fueron globales y desproporcionadas al número de eventos confirmados en vuelo porque el entorno cambia el cálculo de la gravedad. La orden de anuncio del DOT del 14 de octubre prohibió todos los Note7 en el transporte aéreo de EE. UU. a partir del mediodía del 15 de octubre. Los pasajeros no podían llevar uno en su persona, en el equipaje de cabina o facturado, y los teléfonos no podían moverse como carga aérea. Las aerolíneas tuvieron que advertir a los pasajeros, denegar el embarque cuando fuera necesario y manejar el transporte inadvertido.
La orden de emergencia de la FAA trató el dispositivo como material peligroso prohibido. El boletín de EASA del 13 de octubre aplicó precauciones a todos los teléfonos Note7, incluyendo reemplazos. Diferentes jurisdicciones eligieron diferentes formas legales, pero ambas eliminaron la distinción de la que dependía el primer remedio. Un ícono verde no podía ser una credencial de seguridad para el transporte después de los incidentes de reemplazo.
El impacto financiero fue material pero requiere etiquetas cuidadosas. La guía revisada del tercer trimestre de Samsung redujo la ganancia operativa consolidada esperada de aproximadamente KRW 7.8 billones a KRW 5.2 billones después de detener el Note7, una revisión de KRW 2.6 billones. La compañía dijo que la revisión reflejaba el impacto de la decisión. Eso no es un premio por daños calculado por un tribunal ni un costo puro de retirada en efectivo.
Samsung estimó por separado un efecto negativo en la ganancia operativa de aproximadamente KRW 3 billones durante el cuarto trimestre de 2016 y el primer trimestre de 2017 por ventas perdidas, después de decir que el costo directo de descontinuación ya se había asignado a la guía del tercer trimestre. Las cifras se refieren a diferentes períodos y efectos y no deben sumarse indiscriminadamente. Muestran que la retirada completa impuso un costo lo suficientemente grande como para afectar la divulgación pública en el mercado, mientras que los costos de consumidores, canales, proveedores, legales y de eliminación solo son parcialmente visibles.
Regulación, autoridad de retirada y remedio legal
El papel de la CPSC tuvo dos fases. Antes del 15 de septiembre, advirtió a los consumidores y evaluó si el reemplazo propuesto era aceptable. Luego participó en la primera retirada formal. Cuando surgieron los incidentes de reemplazo, investigó, apoyó la detención y amplió la retirada. La agencia no publicó un hallazgo de cumplimiento final que asigne culpa legal entre Samsung y los fabricantes de celdas en los materiales utilizados aquí.
La declaración del presidente de la CPSC de enero de 2017 es inusualmente franca sobre la capacidad institucional. Dijo que Samsung había dedicado más personas a la investigación de las que empleaba toda la agencia y que el personal de la CPSC continuaba una investigación independiente con recursos mucho más pequeños. Ese desequilibrio importa. Un regulador puede obligar y coordinar acciones correctivas, pero el análisis complejo de fallas físicas puede seguir dependiendo en gran medida de la evidencia generada por la empresa regulada y sus contratistas.
La responsabilidad pública mejora cuando los métodos brutos, la selección de muestras y las limitaciones están disponibles para un desafío independiente.
El deber legal de informar es más amplio que una admisión final de defecto. La Sección 2064 se activa mediante información que respalda razonablemente conclusiones de seguridad específicas, mientras que la ley también protege un informe de ser tratado como una admisión para ciertos fines. Esto fomenta el aviso temprano bajo incertidumbre. La cronología del Note7 demuestra por qué: esperar una explicación física perfecta habría prolongado la exposición. No se sigue que todo remedio provisional deba proceder con el mismo nivel de incertidumbre. Una advertencia de dejar de usar puede ser precautoria;
un reemplazo del mismo producto requiere evidencia afirmativa de seguridad.
El litigio privado creó otra vía de responsabilidad, pero las órdenes judiciales públicas deben leerse por lo que decidieron. En Schmidt v. Samsung Electronics America, los compradores del Note7 presentaron reclamaciones de comerciabilidad y responsabilidad del producto después de las retiradas. La orden del tribunal de distrito federal de 2017 abordó principalmente los términos de arbitraje y las reclamaciones de clase, obligando a algunas disputas a arbitraje y desestimando las reclamaciones de clase. No adjudicó el mecanismo de falla de la celda, determinó daños agregados ni estableció que cada alegato presentado fuera cierto.
El caso aún revela un límite práctico del remedio. La responsabilidad por la seguridad del consumidor y la compensación no transitan por un solo foro. La CPSC puede coordinar remedios de retirada, mientras que las reclamaciones económicas o por lesiones individuales pueden enfrentar contratos, arbitraje, jurisdicción y requisitos de prueba. Un reembolso completo aborda la transacción de compra. Puede no resolver daños a la propiedad, lesiones personales, interrupción del negocio o el costo de tiempo de los intercambios repetidos. Por el contrario, la existencia de una demanda no establece responsabilidad.
La ley de transporte impuso obligaciones más allá de la retirada del producto. La alerta de seguridad de la FAA de septiembre recordó a los operadores que las baterías de litio retiradas o defectuosas enfrentan restricciones de carga y pasajeros bajo las reglas de materiales peligrosos. La orden posterior específica del Note7 hizo el control inequívoco. La prohibición de las aerolíneas no fue un hallazgo de que cada unidad se encendería. Fue una decisión de riesgo de que la combinación de estado incierto de la unidad, calor peligroso conocido y consecuencias en la aeronave hacía inaceptable el transporte.
La descontinuación y la recuperación redujeron la exposición
La respuesta final tuvo cuatro elementos efectivos. Primero, Samsung detuvo la producción, ventas e intercambios en lugar de intentar una tercera población de baterías Note7. Segundo, la CPSC amplió la retirada formal para borrar la distinción original-reemplazo. Tercero, los operadores, minoristas y autoridades de transporte hicieron más difícil el uso y movimiento continuos. Cuarto, las actualizaciones de software limitaron progresivamente la carga o el uso de la red en dispositivos no recuperados.
Estas medidas abordaron diferentes puntos de falla. Una orden de detener la producción previno nueva exposición. Los reembolsos y modelos sustitutos dieron a los propietarios una salida. Los controles de minoristas y operadores alcanzaron a los clientes a través de relaciones comerciales existentes. Las restricciones de aviación protegieron un entorno compartido de alta consecuencia. Los controles de software redujeron la exposición residual entre personas que ignoraron, perdieron o resistieron las solicitudes de devolución.
Las tasas de recuperación proporcionan evidencia de que el programa llegó a la mayoría de los usuarios. El boletín de seguridad de EASA de 2017 registró información de Samsung que indicaba una tasa de retirada del 94 por ciento en Europa y del 96.5 por ciento a nivel mundial para principios de febrero de 2017, y describió actualizaciones que limitaban la carga y luego deshabilitaban la operación móvil. El boletín retiró la recomendación específica del dispositivo en favor de una guía general sobre baterías dañadas, defectuosas y retiradas después de señalar el progreso de la mitigación y la ausencia de informes recientes de incendios a bordo.
Esa retirada es evidencia de una exposición reducida al transporte, no una declaración de que los teléfonos Note7 no recuperados eran seguros. De manera similar, una respuesta del 97 por ciento deja una población residual. A una escala de millones, un pequeño porcentaje aún puede representar muchos dispositivos, aunque las cifras públicas no proporcionan un denominador y una fecha consistentes para un recuento residual exacto. La desactivación por software fue, por lo tanto, un control de recuperación, no solo un bloqueo comercial.
La respuesta también preservó la incertidumbre de manera apropiada en momentos clave. La CPSC investigó el evento de Louisville en lugar de anunciar una causa inmediata. Samsung detuvo los intercambios mientras se realizaban más investigaciones. La investigación final comparó hipótesis de dispositivo, batería, ensamblaje y logística. La crítica más fuerte no es que los tomadores de decisiones actuaron antes de saberlo todo. Es que el primer remedio restauró el uso ordinario antes de que la evidencia publicada pudiera explicar y excluir los modos de falla relevantes en todo el proceso de reemplazo real.
Lo que las investigaciones probaron y lo que no
El registro técnico combinado respalda firmemente los defectos de las celdas de batería como la fuente de los eventos térmicos del Note7 estudiados. Exponent y UL encontraron vías físicas de cortocircuito interno en ambas poblaciones. Sus mecanismos son consistentes con el propio relato de Samsung. Las pruebas de carga a nivel de dispositivo no revelaron un desencadenante que coincidiera con las fallas de campo, y el trabajo acotado de TUV no identificó la degradación del ensamblaje o del transporte por carretera como la causa.
Los informes también muestran por qué una frase única como defecto de batería es inadecuada. El problema de diseño y tolerancia de A y el problema de soldadura y aislamiento de B requirieron controles diferentes. Reemplazar una fuente podía abordar el primer mecanismo sin hacer nada para controlar el segundo. Una declaración de causa raíz útil para la prevención debe identificar tanto el mecanismo físico como el control que debería haberlo detectado.
Las investigaciones no divulgan cada decisión de selección de muestra. UL dijo expresamente que todas las muestras en su presentación fueron suministradas por Samsung. Los documentos públicos no enumeran el universo completo de dispositivos devueltos, la cadena de custodia para cada muestra de campo, el método de selección ciega, la tasa de falla por lote ni la confianza estadística. No muestran si las unidades gravemente dañadas que no pudieron diagnosticarse diferían sistemáticamente de las unidades analizadas.
Tampoco reconstruyen toda la línea de tiempo interna de decisiones. El registro público no muestra el paquete de evidencia presentado al ejecutivo que autorizó la liberación del reemplazo, los criterios de aceptación precisos, las opiniones de ingeniería disidentes, las excepciones de auditoría a proveedores, los resultados de imágenes lote por lote ni cuándo Samsung supo por primera vez de cada defecto de proceso B. Por lo tanto, no puede establecer si se ignoró una advertencia conocida o si el defecto fue genuinamente no detectado hasta los eventos de campo.
La evidencia pública también es insuficiente para asignar todas las pérdidas económicas. Los recuentos de retiradas, las guías de ganancias y los incidentes reportados son mensurables. El tiempo agregado del consumidor, los datos perdidos, los daños a la propiedad, los costos de los operadores, los contracargos a proveedores, el manejo de desechos y las recuperaciones de seguros no se divulgan en una cuenta conciliada. Las alegaciones de reclamaciones y los acuerdos privados no pueden tratarse como totales confirmados sin adjudicación o registros completos.
Finalmente, el registro no establece un recuento de incidentes contrafactual. No puede decir cuántas celdas A eventualmente habrían fallado sin la primera retirada, cuántas fallas B se evitaron con la segunda, o cómo un período de calificación más largo habría cambiado la producción. Estas son preguntas importantes, pero los datos necesarios de exposición y proceso no son públicos.
Evidencia de reparación después del Note7
La principal reparación técnica de Samsung fue una verificación de seguridad de la batería de ocho puntos. Añadió o fortaleció las pruebas de carga-descarga, pruebas de durabilidad, inspección visual, inspección por rayos X, desensamblaje, pruebas totales de compuestos orgánicos volátiles, uso acelerado y verificación delta de voltaje de circuito abierto. La compañía también describió medidas de seguridad multicapa que cubren diseño, protección de hardware y algoritmos de carga, y creó un grupo asesor externo de baterías.
Estos controles se corresponden razonablemente bien con los defectos observados. Los rayos X y el desensamblaje pueden revelar deformación de electrodos, posición de soldadura y aislamiento faltante. Las pruebas de carga-descarga y uso acelerado pueden aplicar estrés de ciclo. Los cambios de voltaje de circuito abierto y los compuestos volátiles pueden indicar fugas o condiciones internas anormales. Las pruebas de durabilidad exploran la tolerancia más allá de la operación ordinaria. El software a nivel de dispositivo limita la temperatura, la corriente y la duración de la carga, aunque no puede reparar una brecha interna del separador.
Samsung luego describió cómo aplicó el proceso al Galaxy S8. Su relato de ingeniería de abril de 2017 dijo que la compañía creó más espacio físico alrededor de la batería, añadió un soporte protector, cambió el diseño de la batería para reducir la presión de los electrodos, usó algoritmos de carga más seguros y sometió las baterías y los dispositivos terminados a controles repetidos. También dijo que UL y Exponent evaluaron la batería del S8 según los requisitos aplicables. Esta es evidencia de implementación, pero es principalmente un relato de la compañía sobre su propio producto sucesor.
El sistema de estándares más amplio también cambió. El informe de estado de baterías de alta densidad energética del año fiscal 2020 de la CPSC dijo que el personal comenzó discusiones con CTIA después de la retirada del Note7 para revisar y revisar IEEE 1725-2011 y el estándar multicelda relacionado. IEEE aprobó una nueva edición 1725 en 2021. El programa actual de CTIA describe auditorías de sitios de fabricación, celdas y paquetes reconocidos, pruebas de sistema y declaraciones de proveedores.
Esta evidencia respalda un hallazgo de remediación material. Los controles no se limitaron a decir a los proveedores que fueran más cuidadosos. Añadieron inspección a nivel de producto, análisis destructivo, margen de diseño, uso acelerado, trazabilidad y estándares de sistema. El trabajo de normas de la CPSC indica que el evento también influyó en el marco de la industria.
Lo que sigue faltando es evidencia de durabilidad al mismo nivel de especificidad que la investigación de fallas. Los materiales públicos no proporcionan tasas anuales de escape de defectos, hallazgos anonimizados del grupo asesor, no conformidades de auditoría, datos de rechazo de cambios de proceso de proveedores, pruebas repetidas independientes ni la sensibilidad de cada verificación a los mecanismos A y B. Que un teléfono posterior pase los requisitos muestra que una muestra definida cumplió con una prueba. No mide con qué frecuencia el sistema continuo atrapa un escape de producción raro.
La ausencia de otra retirada pública de un teléfono inteligente Samsung a la escala del Note7 es un historial operativo relevante, pero no una prueba de causalidad. Los diseños de productos, volúmenes, proveedores, prácticas de reporte y tiempo de exposición difieren. Un período de tranquilidad puede ser consistente con una reparación efectiva, un riesgo latente más bajo o eventos de baja frecuencia no detectados. Una garantía sólida combinaría el rendimiento de campo con datos de control transparentes.
Mejores contrafactuales comienzan antes del primer intercambio
El contrafactual más simple es cancelar el lanzamiento hasta que todos los posibles defectos de batería fueran conocidos. Eso es poco realista como regla universal porque ninguna calificación puede enumerar cada falla futura. Un contrafactual útil pregunta qué evidencia, disponible a través de controles factibles, podría haber cambiado la decisión.
Para el Fabricante A, un análisis de apilamiento dimensional en el tamaño máximo de electrodo, el volumen mínimo de bolsa, la hinchazón y la deformación por ciclo podría haber desafiado el margen de la esquina. Las imágenes tridimensionales y las secciones destructivas de lotes de producción podrían haber probado si el espacio libre de diseño sobrevivía a la variación de fabricación. El ciclado acelerado en el dispositivo final podría haber buscado estrés repetido en la esquina. Si esos controles revelaban deformación, Samsung podría haber requerido más volumen de bolsa, cambiado la geometría del electrodo o retrasado el lanzamiento.
Para la primera retirada, el contrafactual más seguro no era necesariamente dejar los originales peligrosos en uso mientras se esperaban meses. Samsung ya ofrecía reembolsos e intercambios de la familia Galaxy S7. Podría haber hecho de esas alternativas el remedio inmediato principal y retrasado el reemplazo del mismo modelo hasta que se estableciera el mecanismo A, el proceso B hubiera madurado y los lotes representativos de la producción escalada pasaran controles mejorados. Eso habría impuesto costos comerciales y para el cliente, pero evitado mover a un gran número de usuarios a una segunda población no probada.
Un reemplazo por etapas era otra opción. Lotes limitados podrían haber sido sometidos a un mayor muestreo destructivo, uso acelerado más prolongado y monitoreo de campo mejorado antes del lanzamiento nacional. Los criterios de liberación podrían haber requerido una geometría de soldadura estable, presencia verificada de cinta, trazabilidad de lotes y ninguna anomalía térmica inexplicada. La evidencia pública no puede probar que el escalonamiento hubiera detectado los defectos B, particularmente si el cambio de proceso relevante ocurrió más tarde.
Habría creado más oportunidades para detectar un proceso cambiante antes de que se enviaran cientos de miles de unidades.
La diversidad de proveedores debería haberse tratado como un nuevo análisis de peligros, no como una prueba de independencia. Los ingenieros podrían preguntar cómo el proveedor alternativo podría fallar de manera diferente, qué características críticas de seguridad eran comunes, qué controles eran específicos del proveedor y qué prueba a nivel de sistema detectaría un nuevo cortocircuito interno. El hecho de que B no compartiera el defecto de bolsa de A era necesario pero no suficiente como evidencia.
Una vez que llegaron los informes que involucraban reemplazos, el umbral correcto para una detención era más bajo que en el lanzamiento. La población de remedio se había presentado como la respuesta segura a una retirada por incendio. Por lo tanto, un informe creíble de incendio desafiaba la afirmación central de control. Samsung y los socios del canal detuvieron las ventas e intercambios el 10 de octubre antes de publicar el mecanismo final. Los registros públicos no permiten un juicio preciso sobre si eso debería haber ocurrido después del primer informe de reemplazo o si el tiempo de investigación fue irrazonable.
El software que limita la carga podría mitigar la exposición residual, pero no era un sustituto adecuado de la retirada. Un estado de carga más bajo puede reducir la energía disponible y deshabilitar un teléfono puede prevenir el ciclo ordinario, pero ninguno elimina una protuberancia interna de soldadura, aislamiento faltante o separador deformado. Samsung usó el software de manera apropiada como una herramienta de recuperación después de la descontinuación, en lugar de declarar reparado el hardware defectuoso.
Una prueba duradera de responsabilidad en la calificación de reemplazos
La primera prueba es un límite de peligro preciso. Antes de ofrecer un reemplazo del mismo modelo, ¿puede el fabricante afirmar qué diferencia las unidades afectadas y no afectadas en términos físicos, de proceso y de trazabilidad? Un nombre de proveedor, ícono o fecha de fabricación es útil solo si se asigna a evidencia de control verificada.
La segunda prueba es la integridad del mecanismo. ¿La investigación ha identificado un mecanismo de falla lo suficientemente fuerte como para saber qué debe cambiar el remedio? Si el mecanismo sigue siendo desconocido, el remedio debe evitar restaurar la misma exposición a menos que una evidencia independiente establezca la seguridad a través de otra vía robusta.
La tercera prueba es la calificación representativa. ¿Las muestras de prueba provienen de las fábricas, herramientas, operadores, materiales, lotes y tasas de producción reales que suministrarán los reemplazos? Un prototipo o lote temprano no puede probar un estado de rampa posterior. Los cambios de proceso después de la calificación deben desencadenar una revisión proporcional a la importancia para la seguridad.
La cuarta prueba es la tolerancia, no el cumplimiento nominal. ¿El diseño sigue siendo seguro en las dimensiones de bolsa en el peor caso, alineación de electrodos, altura de soldadura, espesor del separador, hinchazón, envejecimiento y estrés físico? Una celda de alta energía necesita margen contra combinaciones de pequeñas variaciones, no solo una unidad nominal que pasa.
La quinta prueba es la detección de escapes. ¿Qué controles pueden encontrar una deformación en la esquina, cinta ausente, lengüeta desalineada o soldadura alta antes del envío? ¿Qué se inspecciona en cada celda, qué se muestrea, qué se destruye y cuál es la tasa estimada de falsos negativos? Una lista de controles sin sensibilidad y lógica de muestreo no puede demostrar cobertura.
La sexta prueba es la propiedad del sistema. ¿Un propietario de seguridad del producto responsable está autorizado para detener tanto el lanzamiento original como la liberación del remedio en todos los equipos de adquisición, ingeniería, fabricación y comerciales? Los certificados de proveedores y la cooperación regulatoria deben informar esa decisión, no difuminarla.
La séptima prueba es la escalada de campo. ¿Los incidentes de reemplazo se segregan y escalan inmediatamente porque desafían el remedio en sí? ¿Pueden Samsung, los operadores, los minoristas y los reguladores conciliar el número de serie, el lote de batería, el estado de uso, la condición de carga y la evidencia de daños en un cronograma común?
La octava prueba es la continuidad de la retirada. ¿Pueden los clientes recibir reembolsos, sustitutos y empaques de devolución seguros sin permanecer expuestos o perder el servicio de comunicaciones esencial? ¿Están los minoristas y pequeños socios del canal financiados y capacitados para devoluciones peligrosas? ¿El programa mide la recuperación por región, canal y estado del dispositivo en lugar de anunciar un porcentaje global?
La novena prueba es la evidencia pública. ¿Publica la compañía métodos, limitaciones de muestra, hipótesis competidoras y lo que los investigadores no pudieron determinar? ¿Son distinguibles los hallazgos de la compañía de los hallazgos del regulador y del trabajo de laboratorio encargado? Un mecanismo detallado es más creíble cuando la cadena de evidencia y la incertidumbre son visibles.
La décima prueba es la garantía de reparación. ¿Las auditorías posteriores muestran que las verificaciones de ocho puntos, los márgenes de diseño, la vigilancia de proveedores y el control de cambios siguen activos? ¿Se reportan en conjunto los escapes de defectos, las fallas de prueba y las acciones correctivas? La certificación del producto sucesor y un largo período de tranquilidad son señales útiles, pero deben complementarse con evidencia repetible.
La respuesta del Note7 eventualmente se volvió lo suficientemente amplia y costosa como para contener el riesgo. Samsung descontinuó un producto insignia, apoyó reembolsos y dispositivos alternativos, utilizó controles de canal y software para lograr una alta tasa de devolución, encargó un trabajo técnico extenso y alteró su sistema de seguridad de baterías. Los reguladores convirtieron el peligro del consumidor en retiradas formales y restricciones de transporte. Esas acciones importan y no deben ser borradas por la falla anterior.
Tampoco validan retroactivamente la primera decisión de reemplazo. La lección duradera del caso es que un reemplazo es una nueva afirmación de seguridad. Debe estar respaldado por evidencia del diseño real y del estado de producción, incluyendo las formas en que la nueva fuente puede fallar de manera diferente a la anterior. Cuando los clientes cumplen con una retirada, la institución que controla el remedio asume la responsabilidad de garantizar que el cumplimiento no intercambie un peligro conocido por uno no reconocido.