Les incendies de batteries du Boeing 787 ont fait du confinement de l'emballement thermique un test de responsabilité de certification

Résumé

• Événements confirmés:Le 7 janvier 2013, un Boeing 787 de Japan Airlines garé à Boston a subi un incendie de batterie de l'unité de puissance auxiliaire après que les passagers et l'équipage eurent quitté l'appareil. Le 16 janvier, un Boeing 787 d'All Nippon Airways en montée a signalé une défaillance de batterie et une odeur inhabituelle, s'est dérouté vers Takamatsu et a évacué; quatre passagers ont subi des blessures mineures lors de cette évacuation. Les deux appareils utilisaient le même modèle de batterie pour des fonctions installées différentes.
• Conclusions des enquêtes:Le National Transportation Safety Board (NTSB) américain a constaté que l'incident de Boston avait commencé par un court-circuit interne dans une cellule, suivi d'un emballement thermique qui s'est propagé aux cellules adjacentes. Il a attribué l'incident à l'incapacité de Boeing à prévoir une atténuation pour les effets les plus graves d'un court-circuit interne de cellule et à l'incapacité de la Federal Aviation Administration (FAA) à identifier ce défaut de conception lors de la certification de type. Le Japan Transport Safety Board (JTSB) a estimé que la cellule 6 était très probablement à l'origine de la propagation à Takamatsu, mais n'a pas identifié le mécanisme concluant ayant créé le court-circuit interne.
• Déclencheur, causes racines et facteurs contributifs:Le déclencheur opérationnel de la mise à terre n'était pas seulement une batterie défaillante; c'était le deuxième incident grave en neuf jours, cette fois en vol. La défaillance racine de responsabilité était une hypothèse de sécurité du système invalidée selon laquelle l'emballement thermique d'une seule cellule ne se propagerait pas et ne produirait pas d'effets dangereux au niveau de l'avion. Les conditions contributives comprenaient des essais de développement non représentatifs, l'utilisation d'une batterie de préproduction et non mise à la terre dans un essai clé de pénétration de clou, une sous-estimation des taux d'occurrence, une traçabilité incomplète des exigences aux essais, des processus de fabrication capables d'introduire des plis ou des débris étrangers, et une surveillance qui n'atteignait pas efficacement l'usine de cellules en sous-traitance.
• Contrôle et réponse:GS Yuasa contrôlait la fabrication des cellules et des batteries; Thales contrôlait l'intégration du sous-système de conversion de puissance; Boeing contrôlait les exigences au niveau de l'avion, l'intégration des fournisseurs, l'évaluation de la sécurité et la demande de certificat de type; les représentants autorisés et les ingénieurs de la FAA rendaient des constats de conformité dans le cadre de leurs compétences déléguées et conservées, tandis que seule la FAA pouvait délivrer le certificat de type et les consignes de navigabilité. Les compagnies aériennes contrôlaient l'utilisation immédiate de la flotte, et les autorités d'enquête contrôlaient leurs propres constats de sécurité, sans responsabilité civile.
• Rétablissement:La FAA a cloué au sol les 787 immatriculés aux États-Unis par une consigne de navigabilité d'urgence et a approuvé le retour en service après l'installation de nouvelles batteries et chargeurs, des contrôles d'exploitation plus stricts, une isolation supplémentaire des cellules, un boîtier en acier scellé et une évacuation vers l'extérieur. Un incident à Narita en janvier 2014 a ensuite surchauffé une cellule de batterie reconçue sans propagation ni dommage au compartiment d'équipement environnant. Le régulateur japonais a traité cela comme une preuve que les deuxième et troisième couches de protection avaient fonctionné, tout en appelant à de nouvelles améliorations car la première couche n'avait pas empêché la surchauffe de la cellule.
• Conclusion sur la responsabilité:La refonte a fourni une preuve solide que le confinement des conséquences s'était amélioré. Elle n'a pas rendu rétrospectivement les hypothèses de certification initiales raisonnables, n'a pas identifié tous les mécanismes déclencheurs et n'a pas prouvé publiquement une batterie sans défaillance. Une assurance durable nécessite des preuves continues à trois niveaux: la capacité du processus de cellule, la résistance à la propagation au niveau de la batterie et le confinement au niveau de l'avion dans les conditions installées les plus défavorables plausibles.

Cette affaire concerne une limite de sécurité, pas une marque de batterie

La limite décisive dans cette affaire était censée se trouver à l'intérieur de la batterie. Une cellule pouvait défaillir, s'éventer ou surchauffer, mais l'analyse de sécurité supposait que l'événement resterait suffisamment limité pour ne pas devenir un incendie multi-cellules menaçant l'avion. Une fois que la batterie de Boston a produit un incendie et que celle de Takamatsu a propagé la chaleur entre les cellules, cette limite s'est avérée peu fiable en service. La question de la responsabilité dépasse donc le simple fait de savoir quel défaut microscopique a déclenché quelle cellule.

Elle demande qui a défini la limite, quelles preuves l'ont justifiée, qui a examiné ces preuves et quels contrôles subsistaient lorsque le mécanisme déclencheur n'a pas pu être reconstitué.

La page d'enquête terminée du NTSB énonce la cause probable de Boston en termes institutionnels: un court-circuit interne de cellule a conduit à un emballement thermique en cascade, et l'incident résultait de l'absence d'exigences de conception de Boeing et d'un échec de l'examen de certification de la FAA. Il s'agit d'une constatation de sécurité officielle, pas d'une allégation d'un plaideur ni d'un jugement de tribunal. Le rapport d'incident complet du NTSB contient les preuves, analyses, constatations et recommandations derrière cette déclaration. Sa précision est importante.

Il ne dit pas que Boeing a intentionnellement accepté un incendie connu, qu'un employé de la FAA a sciemment renoncé à un essai échoué, ou qu'une particule identifiée s'est avérée avoir causé le court-circuit.

L'enquête japonaise est tout aussi importante car elle a atteint une limite différente. Le rapport final du JTSB a trouvé une séquence d'événements probable autour de la cellule 6, gonflement, contact avec une barre d'attache, courants de terre importants, arc électrique et propagation. Il a déclaré que la génération de chaleur de la cellule était probablement due à un court-circuit interne, mais le mécanisme concluant de ce court-circuit n'a pas été identifié.

Traiter les deux rapports comme interchangeables effacerait une leçon centrale: les enquêteurs peuvent prouver la voie d'escalade et la défaillance de contrôle sans prouver le premier acte microscopique.

Cette analyse utilise cinq étiquettes. Unfait confirméest directement établi par un document officiel ou un dépôt formel contemporain. Uneconstatation d'enquêteest une conclusion adoptée par un organisme d'enquête sur les accidents dans le cadre de son mandat de sécurité. Uneposition de l'entrepriseest une preuve de ce que Boeing a dit ou fait, mais pas une preuve indépendante de causalité ou de durabilité. Uneinférence étayéerelie des faits établis sans prétendre que la connexion a été officiellement jugée. Unequestion non résoluereste ouverte dans le dossier public. Uncontrefactueldécrit un contrôle qui aurait pu interrompre la séquence;

ce n'est pas une affirmation qu'une personne particulière était légalement tenue de le prévoir à l'époque.

Chronologie médico-légale: de la technologie nouvelle au service certifié

28 mars 2003 à septembre 2004 - demande et choix technologique.Boeing a déposé une demande de certificat de type pour le 787-8 en mars 2003. En septembre 2004, il a informé la FAA de son intention d'utiliser des batteries lithium-ion rechargeables de grande capacité pour les fonctions principale et de l'APU. La chimie offrait un poids réduit et des performances électriques utiles pour l'architecture plus électrique du 787, mais l'expérience du transport commercial avec des batteries aussi grandes installées était limitée. Le choix technologique était légitime; la nouveauté créait une obligation de preuve, pas une présomption de faute.

La chaîne d'approvisionnement distribuait le contrôle détaillé. Boeing a sélectionné Thales pour le sous-système de conversion de puissance. Thales a sélectionné GS Yuasa pour la batterie lithium-ion et Securaplane pour l'unité de contrôle de la batterie, avec la participation de Boeing au processus de sélection. GS Yuasa a fabriqué huit grandes cellules au lithium cobalt-oxyde connectées en série et les a assemblées dans la batterie. Le même modèle de batterie servait de batterie principale dans le compartiment électronique avant et de batterie APU dans le compartiment arrière.

Boeing restait responsable de l'intégration au niveau de l'avion et de la démonstration de certification même lorsque les niveaux inférieurs concevaient et fabriquaient des composants.

2005 à 2007 - exigences et conditions spéciales.La FAA a conclu que les règles ordinaires applicables aux batteries d'avions de transport ne traitaient pas adéquatement la conception nouvelle. Le numéro officiel du Federal Register de 2007 contenant les conditions spéciales 25-359-SC a identifié la susceptibilité aux défaillances internes, à l'emballement thermique, à l'électrolyte inflammable, à la surcharge et à la décharge excessive.

Ses neuf conditions exigeaient, entre autres, des températures et pressions sûres, la prévention d'augmentations incontrôlées de température ou de pression, le contrôle des gaz et fluides dangereux, la protection contre la chaleur maximale lors d'un court-circuit de cellule ou de batterie, le contrôle de la charge, des alertes et des instructions de maintien de la navigabilité.

Ces mots semblent forts parce qu'ils le sont. Le problème résidait dans la traduction du langage de sécurité de haut niveau en hypothèses, exigences détaillées, méthodes de conformité et essais représentatifs. Une condition qui stipule que la conception doit empêcher une croissance incontrôlée de la température ne spécifie pas comment induire un court-circuit interne, combien d'essais effectuer, si la batterie doit être mise à la terre comme installée, quelle température produit le résultat le plus grave, ou si l'article testé doit correspondre à la conception de production finale.

Ces liens devaient être établis par une planification de certification et des preuves d'ingénierie.

2006 et 2009 - avertissements de développement, modifications et interprétation.Le dossier du JTSB décrit un incendie par surcharge en 2006 pendant le développement après qu'un fil de signal n'avait pas été connecté, suivi de modifications de conception. En 2009, un essai du système intégré a produit une charge excessive et une cellule éventée; les enquêteurs ont associé cet événement à une décharge excessive répétée suivie d'une recharge à courant élevé et ont apporté d'autres corrections. Ces événements n'étaient pas le même mécanisme établi à Boston, et il serait inexact de les qualifier de répliques ignorées.

Ils montraient cependant que le système de batterie pouvait entrer dans des états de défaillance énergétique et que la configuration de conception, l'environnement électrique et la logique de contrôle importaient.

Un essai de développement de pénétration de clou chez GS Yuasa en 2006 est devenu influent. Il a conduit une cellule à l'emballement thermique sans propagation observée aux cellules adjacentes ni incendie. L'analyse ultérieure du NTSB a révélé que l'essai n'utilisait pas la température de fonctionnement maximale de la batterie, ne représentait pas entièrement l'installation sur l'avion, ne répétait pas les essais sur plusieurs batteries et utilisait une unité de développement différente de la conception finale certifiée. D'autres essais de développement au niveau de la batterie manquaient de documentation disponible pour le NTSB.

Les essais de qualification de maltraitance n'ont pas conduit une cellule à l'emballement thermique pour prouver la non-propagation ou le confinement, et les batteries testées n'étaient pas mises à la terre comme installées.

Cela ne signifie pas que la certification consistait en un seul essai banal. Boeing, les fournisseurs, les représentants autorisés et le personnel de la FAA ont utilisé des évaluations de sécurité, des arbres de défaillance, des analyses de modes de défaillance, des essais de qualification et des examens de certification. La constatation plus étroite et plus importante est que la chaîne de preuves n'a pas remis en question l'hypothèse cruciale dans les conditions représentatives les plus graves. L'activité était extensive; la couverture était incomplète.

26 août 2011 - certification de type.La FAA a accordé l'approbation de catégorie transport pour le 787-8. Boeing avait obtenu l'approbation de la FAA de son plan de certification du système électrique, et la FAA a examiné les procédures de qualification, approuvé l'inspection de type et accepté les rapports finaux. Boeing avait reçu l'autorisation de désignation d'organisation en 2009, permettant aux représentants autorisés de rendre des constats de conformité spécifiés au nom de la FAA. Seule la FAA a délivré le certificat de type.

Décrire cela comme Boeing certifiant simplement sa propre batterie cacherait les contrôles divisés et l'autorité publique retenue que l'enquête a effectivement examinée.

Chronologie médico-légale: les deux événements de janvier 2013

7 janvier, Boston - un avion garé, un incendie de batterie actif.Le vol 008 de Japan Airlines est arrivé à Boston Logan en provenance de Narita et s'est garé à la porte. L'APU était la source d'alimentation de l'avion. Vers 10 h 21, le personnel de nettoyage a trouvé de la fumée dans la cabine arrière, un responsable de maintenance a vu que l'APU s'était arrêté automatiquement, et un mécanicien ouvrant le compartiment électronique arrière a trouvé une fumée épaisse et des flammes au connecteur du boîtier de la batterie APU. Aucun des 183 passagers ou 11 membres d'équipage n'était encore à bord.

Le personnel de maintenance et de nettoyage n'a pas été blessé; le NTSB a signalé une blessure mineure à un pompier intervenu.

La séquence est documentée dans le dossier public du NTSB pour DCA13IA037, qui comprend des rapports factuels, des photographies, des enregistrements d'essais, des pièces à conviction et du matériel technique. La batterie était difficile d'accès et l'événement a eu des conséquences au niveau de l'avion même si ce dernier était vide. Les dommages thermiques, la fumée, l'électrolyte inflammable et le feu ont échappé à la limite prévue au niveau de la cellule. Le fait que l'événement se soit produit au sol a réduit l'exposition humaine; il n'a pas réduit la signification conceptuelle.

Les enquêteurs ont exclu plusieurs alternatives pour l'événement de Boston. Les données enregistrées n'ont pas montré de surcharge, de décharge excessive ou de court-circuit externe à courant élevé avant la défaillance. L'examen n'a pas trouvé de source de chaleur externe, de câble de batterie abrasé, d'abus mécanique ou de transient électrique anormal de l'avion qui l'aurait initié. Les essais sur composants et intégrés n'ont pas impliqué le chargeur ou les composants externes connexes. Les dommages se sont concentrés autour des cellules 5 et 6, mais la destruction a empêché le NTSB de décider laquelle des deux a initié la séquence.

Le conseil a trouvé un court-circuit interne dans l'une d'elles, suivi d'une propagation.

11 janvier - examen annoncé avant le deuxième événement.La FAA a annoncé publiquement un examen plus large de la conception et de la production. Dans sa déclaration du 11 janvier, l'agence a déclaré qu'elle examinerait les systèmes critiques, mettrait l'accent sur les systèmes électriques et vérifierait la conception, la production et la surveillance. À ce stade, la FAA a exprimé sa confiance dans l'avion tout en déclarant avoir besoin d'une image complète. C'était une réponse réglementaire, pas une conclusion établie que la batterie était sûre ou dangereuse.

16 janvier, Takamatsu - le danger se déplace en vol.Le vol 692 d'All Nippon Airways a décollé de Yamaguchi-Ube à 08 h 11 à destination de Tokyo. À 08 h 27, alors qu'il montait à 32 000 pieds, l'équipage a reçu un message de défaillance de batterie et a détecté une odeur inhabituelle dans le cockpit. L'avion s'est dérouté et a atterri à Takamatsu à 08 h 47. L'équipage a initié une évacuation par toboggans à 08 h 49. Quatre des 137 occupants ont subi des blessures mineures lors de l'évacuation.

Le JTSB a constaté que la batterie principale endommagée n'a pas développé d'incendie externe, mais la chaleur des cellules, l'électrolyte et la fumée ont produit un événement système en vol suffisamment grave pour justifier un déroutement et une évacuation.

Ce deuxième événement a changé la décision de risque. Boston avait montré un incendie après le départ des passagers; Takamatsu montrait une architecture de batterie connexe défaillant en vol. Plus tôt ce jour-là, JAL et ANA avaient volontairement suspendu les opérations du 787. La FAA a alors émis la consigne de navigabilité d'urgence AD 2013-02-51, publiée plus tard sous forme de règle finale en février 2013.

Elle exigeait une modification ou une autre action approuvée avant tout vol supplémentaire car les défaillances de batterie pouvaient endommager les systèmes ou structures critiques et pouvaient provoquer un incendie dans un compartiment électrique. L'EASA a adopté la directive FAA pour la flotte européenne, et d'autres autorités ont agi pour les aéronefs sous leur juridiction.

Le déclencheur opérationnel de la mise à terre de la flotte était donc cumulatif et transversal: deux défaillances de batterie à haute énergie, le même modèle de batterie, deux fonctions installées, neuf jours, un incendie confirmé et un déroutement en vol. Un régulateur n'avait pas besoin d'attendre un décès ou une cause racine microscopique conclue pour conclure que l'exploitation continue sans restriction manquait d'assurance adéquate.

Ce qui a physiquement défailli, et ce qui est resté non résolu

Pour Boston, le NTSB a trouvé un court-circuit interne dans la cellule 5 ou 6. Cette cellule est entrée en emballement thermique; la chaleur et la défaillance se sont propagées aux cellules voisines; la fumée, l'électrolyte et le feu ont suivi. Le conseil a constaté que la surcharge, la décharge excessive, le court-circuit externe, le chauffage externe, les facteurs d'installation et les conditions environnementales de l'avion n'ont pas initié la défaillance. C'est la chaîne technique confirmée la plus solide dans le dossier public.

Le NTSB a également examiné la fabrication. GS Yuasa enroulait les couches d'électrodes et de séparateurs en assemblages cylindriques, les aplatissait partiellement, les regroupait et effectuait un aplatissement final avant l'assemblage de la cellule. L'aplatissement pouvait créer des perturbations dans les feuilles d'électrodes. Le soudage près de composants internes pouvait générer des débris métalliques. Le NTSB a constaté que GS Yuasa surveillait certains plis avant enroulement mais ne surveillait pas formellement les perturbations créées lors de l'enroulement, de l'aplatissement et de l'assemblage;

son processus de débris étrangers n'était pas un contrôle standardisé pour trouver, réduire et prévenir la génération de débris. Une grande partie de l'inspection avait lieu après l'achèvement de la cellule et reposait matériellement sur un examen visuel.

Le rapport factuel du laboratoire de matériaux et l'analyse finale du conseil ont documenté les plis, les replis, les dépôts de lithium et les matières étrangères comme des mécanismes de défauts pertinents. Le NTSB a conclu que le processus de fabrication permettait des défauts capables de provoquer des courts-circuits internes dans les cellules du 787. Il n'a pas identifié un pli ou une particule survivant comme l'initiateur prouvé de Boston. Cette distinction empêche qu'une constatation au niveau du processus soit convertie en une accusation spécifique à un dispositif non étayée.

Pour Takamatsu, le JTSB a reconstitué la cellule 6 comme l'initiatrice très probable. La chaleur et la pression ont gonflé la cellule, fondu l'isolation environnante et permis le contact avec une barre d'attache. Des courants importants traversant le boîtier de batterie mis à la terre ont généré un arc électrique, qui a renforcé la propagation thermique. Des essais reproduisant la configuration de mise à la terre installée pouvaient produire une propagation; une configuration flottante non.

Le JTSB a constaté que les essais de développement non représentatifs et la sous-estimation des effets de court-circuit interne avaient peut-être contribué à la propagation.

Le court-circuit interne lui-même est resté non résolu. Le JTSB a envisagé un dépôt de lithium dans des conditions de basse température, une contamination métallique, des dommages au séparateur et un enroulement non uniforme, mais a expressément déclaré ne pas pouvoir identifier de manière concluante le mécanisme et ne pas pouvoir exclure d'autres facteurs de conception ou de fabrication. Les trois événements notables alors connus s'étaient produits en janvier, mais la saisonnalité n'est pas une causalité. La température froide était une hypothèse, pas une constatation définitive.

Un récit défendable s'arrête donc à: un court-circuit interne a probablement initié la cellule 6; l'origine précise de ce court-circuit était inconnue.

Déclencheur, cause racine et facteurs contributifs

Lesévénements déclencheursétaient observables et limités dans le temps: l'incendie de la batterie APU à Boston et l'événement en vol de la batterie principale à Takamatsu. Ledéclencheur de mise à terreétait la perte de confiance que l'un ou l'autre emplacement installé pouvait tolérer en toute sécurité le mode de défaillance connu de la batterie. Le déclencheur n'est pas la cause racine. Un déclencheur décrit quand une décision de contrôle est devenue nécessaire, pas pourquoi le système était vulnérable.

Lacause racine physique pour Boston, selon la cause probable adoptée par le NTSB, était un court-circuit interne de cellule suivi d'un emballement thermique en cascade. Lacause racine systèmeétait une défaillance d'exigences et de certification: l'évaluation de sécurité de la batterie de Boeing n'avait pas pris en compte les effets les plus graves de ce court-circuit ni spécifié d'atténuation, et l'examen de la FAA n'avait pas identifié la lacune. Les conditions spéciales exigeaient la prévention des augmentations incontrôlées de température et de pression et la protection contre la chaleur de court-circuit.

Pourtant, la chaîne de preuves détaillée traitait la non-propagation comme une hypothèse plutôt que comme un résultat démontré dans les conditions installées les plus défavorables.

Le premierfacteur contributifmajeur était la représentativité des essais. L'essai de pénétration de clou influent n'utilisait pas la conception finale de la batterie, la température de fonctionnement maximale, la mise à la terre installée ou des essais répétés. Les essais post-événement du NTSB, UL et JTSB ont montré que la modification de ces conditions pouvait changer si l'emballement thermique se propageait. La leçon n'est pas que la pénétration de clou reproduit parfaitement chaque court-circuit interne spontané.

C'est qu'un essai utilisé pour écarter la propagation doit être conservateur, représentatif de l'installation et suffisamment répétable pour étayer cette conclusion.

Le deuxième était letransfert de probabilité. L'évaluation de sécurité de Boeing estimait l'éventement de cellule à environ une occurrence par dix millions d'heures de vol en utilisant les données de GS Yuasa d'une cellule industrielle avec une conception mécanique similaire. Le NTSB a constaté que Boston et Takamatsu s'étaient produits dans les premières 52 000 heures de vol environ de la flotte, bien au-dessus de la prédiction. Le JTSB a séparément critiqué les calculs dérivés de cellules industrielles similaires dont les ingrédients différaient et a noté le faible niveau de confiance utilisé.

L'absence historique de défaillance dans une application adjacente a été traitée comme une preuve pour une nouvelle application sans marge suffisante pour les différences de chimie, capacité, environnement et processus.

Le troisième était latraçabilité des exigences. Le NTSB a trouvé des liens peu clairs entre chaque condition spéciale, hypothèse d'évaluation de sécurité, justification, exigence de niveau inférieur et méthode de conformité. Une meilleure traçabilité aurait probablement révélé qu'aucune exigence explicite de batterie et qu'aucun essai de certification d'emballement thermique planifié ne traitait de la propagation d'un court-circuit interne.

Les recommandations de certification des batteries lithium-ion de 2014 du conseil appelaient à des essais de maltraitance induisant l'emballement thermique d'une seule cellule dans la configuration installée dans des conditions produisant le résultat le plus grave, à un examen des approbations en service, et à un accès à une expertise technique indépendante.

Le quatrième étaitla fabrication et la surveillance des sous-traitants. Thales a audité GS Yuasa en 2011 et 2012, mais les écarts enregistrés ne traitaient pas des caractéristiques de fabrication des cellules examinées plus tard. Boeing s'est appuyé sur Thales pour l'audit des sous-traitants et n'a pas audité GS Yuasa avant l'événement; la FAA n'a pas audité l'usine de cellules avant l'événement. Les audits post-événement ont identifié des non-conformités et des actions correctives. Cela soutient une constatation que la surveillance aurait pu être plus efficace.

Cela ne prouve pas que chaque audit était superficiel ou qu'une non-conformité spécifique non divulguée a causé l'un ou l'autre événement.

Le cinquième étaitla résolution de la surveillance. Les systèmes de batterie surveillaient les tensions et les températures mais ne pouvaient pas nécessairement détecter un court-circuit interne localisé assez tôt pour arrêter l'emballement thermique. Le NTSB a ensuite recommandé une surveillance individuelle de la température et de la tension des cellules et l'enregistrement des dépassements, ainsi que des recherches sur les précurseurs et l'atténuation active. La détection ne peut pas être créditée du contrôle d'un mécanisme qui se développe en interne plus rapidement que les capteurs et les déconnexions disponibles ne peuvent l'arrêter.

Détection, réponse et rétablissement

La détection a commencé avec des personnes et des messages d'avion, pas un moniteur de sécurité prédictif. À Boston, le personnel de nettoyage a vu de la fumée, un responsable de maintenance a vu l'arrêt de l'APU, et un mécanicien a trouvé l'incendie de la batterie. À Takamatsu, l'équipage a reçu un message de défaillance de batterie et senti une odeur inhabituelle. Ces indicateurs ont permis une réponse après que l'événement avait déjà progressé. Ils n'ont pas fourni d'alerte précoce fiable du court-circuit initiateur.

La réponse immédiate a été appropriée et conservatrice. Les pompiers ont traité l'événement de Boston. L'équipage de Takamatsu s'est dérouté, a atterri environ 20 minutes après le départ et a évacué. JAL et ANA ont suspendu leurs opérations avant la directive de la FAA. La FAA a utilisé une consigne de navigabilité d'urgence, un instrument visant une condition dangereuse dans le produit, plutôt que d'attendre un rapport d'accident final. Les autorités internationales ont adopté ou parallélisé la restriction. Cette séquence a séparé le contrôle du risque opérationnel de la certitude causale.

L'enquête a ensuite élargi la détection. La tomodensitométrie, l'analyse physique destructive, les essais électriques, les données enregistrées, l'observation en usine et les essais de propagation en configuration installée ont converti un événement de cellule caché en une carte de preuves. Le dossier du NTSB a préservé les rapports sous-jacents, tandis que les deux conseils nationaux ont tiré des conclusions selon les principes d'enquête de sécurité de l'Annexe 13. Le rapport du JTSB indique que son objectif est la prévention, non la répartition des torts ou de la responsabilité.

Cette limite devrait guider l'utilisation de chaque constatation technique dans l'analyse de responsabilité.

Le rétablissement s'est produit par étapes. Boeing a proposé un plan de certification; la FAA a approuvé le plan le 12 mars 2013. L' annonce du plan de certification de Boeing décrivait trois couches: réduire les défauts, améliorer la production et les essais, et confiner toute défaillance afin qu'elle n'affecte pas l'avion. C'était une position de l'entreprise sur la solution envisagée, pas encore une approbation pour reprendre le service passager.

L' annonce détaillée de conception de l'entreprise décrivait un contrôle plus strict, des contrôles de production, une isolation électrique et thermique, une plage de tension de fonctionnement révisée, des modifications du chargeur et un boîtier en acier ventilé à l'extérieur de l'avion. Boeing a déclaré s'être inspiré de la norme RTCA DO-311, qui n'était pas disponible pour le plan de base initial. Cette utilisation ultérieure d'une norme plus récente est une preuve de remédiation; elle ne doit pas être décrite comme une norme que Boeing aurait violée lors de la certification antérieure.

Le 19 avril, la FAA a approuvé la conception de la modification après des essais et analyses observés. La consigne de navigabilité de retour en service AD 2013-08-12 exigeait l'installation de boîtiers de batterie principale et APU et de conduits de système de contrôle environnemental, le remplacement des deux batteries et chargeurs, et une révision du programme de maintenance pour les disques de rupture des boîtiers. Elle a remplacé la directive de mise à terre et est entrée en vigueur le 26 avril. L' enregistrement EASA correspondant montre son adoption pour le maintien de la navigabilité en dehors de l'État de certification principal.

Le rétablissement ne reposait pas sur la preuve qu'un défaut initiateur avait été éliminé. Il reposait sur la défense en profondeur: réduire la probabilité d'initiation, réduire la probabilité de propagation, et empêcher les conséquences au niveau de l'avion même si les deux premières couches échouaient. C'était une réponse rationnelle à une initiation non résolue, mais elle créait une obligation durable de vérifier le confinement plutôt que de revenir silencieusement à l'ancienne hypothèse de non-propagation.

Carte de contrôle de la responsabilité

Cette carte empêche deux erreurs courantes. Premièrement, la causalité du fournisseur n'efface pas la responsabilité de l'intégrateur. Boeing n'a pas enroulé les électrodes, mais il contrôlait la proposition de sécurité au niveau de l'avion et était le détenteur de l'approbation de production. Deuxièmement, la certification publique n'efface pas la responsabilité du demandeur. La FAA seule a délivré le certificat et conservé les obligations de surveillance, mais Boeing devait démontrer la conformité et valider les données et hypothèses qu'il soumettait.

La délégation complique la responsabilité sans la faire disparaître. Le NTSB a constaté que les représentants autorisés de Boeing et les ingénieurs de certification de la FAA avaient examiné une évaluation qui omettait les effets les plus graves du court-circuit interne. La défaillance traversait la limite de délégation. Il ne suffisait pas que chaque acteur effectue son examen assigné si le modèle de preuves partagé excluait le danger qui importait.

Le rapport conjoint de 2014 de l'équipe d'examen des systèmes critiques du Boeing 787 a conclu que l'avion dans son ensemble atteignait le niveau de sécurité visé, tout en identifiant un déploiement d'exigences incohérent, des lacunes de vérification, des problèmes de communication avec les fournisseurs, des variations dans la délégation d'inspection et une politique de la FAA pas entièrement alignée sur une chaîne d'approvisionnement internationale étendue. Sa portée dépassait la batterie.

Il était codirigé et doté en personnel par la FAA et Boeing, c'est donc une preuve précieuse d'examen institutionnel et d'action corrective, pas une enquête indépendante sur les accidents équivalente au NTSB ou au JTSB.

Limites juridiques et réglementaires

Le point de départ juridique est la certification de type. Le texte officiel de 49 U.S.C. section 44704 attribue à l'administrateur de la FAA l'autorité de délivrer un certificat de type après avoir constaté qu'un produit est correctement conçu et fabriqué, fonctionne correctement et satisfait aux normes applicables, et autorise les essais que l'administrateur juge nécessaires pour la sécurité. Le texte actuel inclut des amendements promulgués après 2013. Cet article ne l'utilise que pour décrire la répartition durable entre les preuves du demandeur et la délivrance par la FAA;

les ajouts ultérieurs ne s'appliquent pas rétroactivement à la certification de la batterie du 787.

La base de certification applicable comprenait le 14 CFR Partie 25 et les conditions spéciales de 2007. Les conditions spéciales faisaient légalement partie de la base de certification du 787-8. Leur existence montre que le danger nouveau de la batterie était reconnu institutionnellement. La constatation d'enquête ultérieure n'était pas qu'aucune règle ne mentionnait l'emballement thermique. C'était que les méthodes de conformité, les hypothèses et les essais ne démontraient pas adéquatement la protection requise par les conditions.

Une consigne de navigabilité est une règle de sécurité obligatoire des produits. La directive d'urgence a cloué au sol les aéronefs concernés jusqu'à ce qu'une modification approuvée ou une autre action traite la condition dangereuse. La directive d'avril imposait une configuration spécifique pour le retour. Aucune de ces directives n'était une accusation criminelle, une attribution de dommages et intérêts ou une constatation d'intention. C'était une décision réglementaire de risque dans le cadre de l'autorité de maintien de la navigabilité.

Les rapports du NTSB et du JTSB ne sont pas des jugements civils. Leurs mandats se concentrent sur la prévention. Le langage de cause probable du NTSB fait autorité pour sa conclusion de sécurité, mais il ne décide pas en soi de la négligence, de l'attribution contractuelle, des dommages punitifs ou de la responsabilité pénale. Le JTSB exclut expressément la répartition des torts. De même, les déclarations de Boeing selon lesquelles la refonte était complète ou permanente étaient des affirmations de l'entreprise faites lors de la remédiation.

Ce ne sont pas des aveux de responsabilité juridique, et leur formulation optimiste ne peut pas remplacer les preuves du régulateur et du terrain.

Le compte rendu d'audition du Congrès de juin 2013 sur les leçons du 787 et le témoignage de certification du Département des Transports documentent les questions de surveillance et l'explication de la FAA sur l'approbation de la refonte. Les témoignages sont des preuves de position institutionnelle et d'examen. Ce n'est pas une décision de tribunal. Le dossier public utilisé ici n'établit pas une constatation judiciaire que Boeing, Thales, GS Yuasa ou la FAA devait ou a violé un devoir particulier de droit privé envers un demandeur nommé.

Les normes exigent également une discipline temporelle. La norme RTCA DO-311 a été utilisée dans la certification de la refonte mais n'était pas disponible lors du développement du plan original du 787. La circulaire consultative 20-184 de la FAA, publiée en 2015, fournit des orientations ultérieures sur les batteries lithium-ion rechargeables installées et indique que le matériel consultatif n'est pas en soi un règlement. C'est une preuve de remédiation utile et une référence moderne. Ce n'est pas la preuve qu'une circulaire consultative de 2015 était contraignante en 2005 ou violée en 2011.

Contrefactuels de contrôle

Le contrefactuel le plus fort est unessai de propagation représentatif avant certification. Une batterie de configuration finale aurait été installée avec une mise à la terre équivalente à l'avion, exploitée à la température et à la condition électrique les plus sévères approuvées, et soumise de manière répétée à une méthode crédible de court-circuit interne d'une seule cellule. Les critères de réussite auraient traité non seulement si une cellule s'éventait, mais si les cellules adjacentes propageaient, si l'électrolyte et le gaz s'échappaient, si des chemins d'arc se formaient, et si les systèmes de l'avion restaient protégés.

Les essais post-événement suggèrent que ce contrôle aurait pu exposer l'hypothèse invalide de non-propagation. Il ne prouve pas que l'essai précis aurait reproduit Boston à la demande.

Un deuxième contrefactuel est lagouvernance explicite des hypothèses. Chaque affirmation significative pour la sécurité aurait un propriétaire, une justification, une source, une plage d'incertitude, une méthode de validation et un lien vers une exigence et un artefact de conformité. L'hypothèse qu'un court-circuit interne de cellule ne pouvait pas se propager serait apparue comme un élément d'examen plutôt que comme une prémisse invisible héritée à travers les documents de GS Yuasa, Thales, Boeing et la FAA. Un panel technique indépendant pourrait alors contester son applicabilité à la chimie, capacité, installation et environnement finaux.

Un troisième est letraitement conservateur des probabilités. Les données de défaillance d'une cellule industrielle similaire seraient traitées comme un contexte de soutien, pas comme une estimation directe de fréquence pour la cellule de l'avion, jusqu'à ce que l'équivalence des matériaux, de la fabrication, de la charge et de l'environnement soit démontrée. L'incertitude serait reportée dans l'analyse au niveau de l'avion. Là où la conséquence était grave et les données rares, le confinement serait exigé indépendamment d'une estimation ponctuelle rassurante.

Un quatrième est lavérification du processus de sous-traitant. Boeing et Thales auraient pu cartographier conjointement les caractéristiques critiques des cellules, observer les opérations d'aplatissement et de soudage, définir des limites mesurables de perturbation et de matières étrangères, valider la résolution de la tomodensitométrie et la probabilité de détection, et échantillonner les dossiers sur plusieurs lots et changements de processus.

La surveillance de production de la FAA aurait pu traiter la batterie comme critique malgré la redondance électrique fonctionnelle car une défaillance physique commune pouvait libérer de la chaleur, de la fumée et de l'électrolyte. Ce contrefactuel traite de la probabilité d'échappement; il ne garantit pas l'élimination de tout défaut microscopique latent.

Un cinquième est leconfinement au niveau de l'avion dès la conception initiale. Si l'installation originale avait supposé qu'une ou plusieurs cellules finiraient par entrer en emballement thermique, un boîtier scellé ventilé vers l'extérieur et une isolation suffisante pour l'événement le plus grave auraient fait partie de la certification de base. C'est le contrefactuel le plus robuste car il ne dépend pas de l'identification de chaque mécanisme d'initiation. La refonte a ensuite adopté essentiellement cette logique basée sur les conséquences.

Un sixième est lasurveillance de terrain haute résolution et l'examen de seuil. Les données individuelles des cellules, l'enregistrement des dépassements, les retraits de batteries, les événements de chargeur et les identifiants de lots de fabrication auraient pu être agrégés sous des déclencheurs prédéclarés. Un événement énergétique dans une flotte jeune inciterait à une réévaluation immédiate de l'estimation de taux antérieure et de l'enveloppe opérationnelle. La surveillance ne remplace pas le confinement, mais elle raccourcit le temps entre la défaillance de l'hypothèse et l'action de contrôle.

Ces contrefactuels sont des propositions d'ingénierie. Ils ne doivent pas être convertis en affirmations selon lesquelles une personne nommée les a consciemment rejetés ou que chaque élément était juridiquement obligatoire selon des orientations ultérieures. Leur valeur est de montrer où un contrôle pratique existait et où une conception de preuves différente aurait pu interrompre la séquence.

Preuves de réparation: ce qui a changé avant le retour en service

La refonte a traité trois niveaux. Auniveau de la cellule et de la batterie, Boeing et ses fournisseurs ont modifié l'isolation, la quincaillerie des bornes, le drainage, les processus de production et d'acceptation, la plage de tension, la protection contre la décharge excessive, la protection du câblage et les voies d'évent. Auniveau de la propagation, une séparation thermique et électrique supplémentaire a réduit le transfert entre les cellules et entre les cellules et le boîtier de la batterie.

Auniveau de l'avion, la batterie reposait dans un boîtier scellé en acier inoxydable relié à un conduit en titane qui évacuait la chaleur, la pression, le gaz et l'électrolyte à l'extérieur.

La FAA n'a pas simplement accepté un communiqué de presse. Elle a approuvé un plan de certification, observé des essais, examiné des analyses, approuvé les modifications de conception, imposé la configuration par le biais d'une consigne de navigabilité et déclaré qu'elle surveillerait l'installation sur les aéronefs américains. L' annonce d'approbation du 19 avril de Boeing faisait état d'un mois d'essais de certification supervisés et de plus de 100 000 heures d'ingénierie et d'essais.

Ces chiffres proviennent de Boeing et n'établissent pas indépendamment l'exhaustivité des essais, mais la consigne de navigabilité obligatoire établit que la FAA a accepté la conception pour le retour.

Le rapport annuel 2013 de Boeing indique qu'il a installé les améliorations sur 50 aéronefs précédemment livrés et repris les livraisons au deuxième trimestre. C'est une preuve de mise en œuvre à l'échelle de la flotte, pas seulement un remède planifié. Les opérateurs et les régulateurs étrangers contrôlaient toujours le retour pour les aéronefs sous leur juridiction.

Les recommandations issues des enquêtes ont élargi la réparation au-delà du matériel. Le rapport final du NTSB recommandait un renforcement de la surveillance par la FAA des détenteurs d'approbation de production et des fournisseurs sous-traitants, des normes pour les sources de chauffage et la surveillance des cellules, des essais objectifs d'auto-échauffement, des hypothèses explicites d'évaluation de sécurité, une traçabilité des exigences aux méthodes et une formation.

Il recommandait que Boeing améliore la surveillance des fournisseurs et la validation des évaluations de sécurité, et que GS Yuasa examine les processus de fabrication et la formation des employés. La lettre séparée du NTSB à Boeing enregistre les recommandations axées sur l'entreprise sans impliquer qu'il s'agissait de pénalités.

Le JTSB a recommandé des essais représentatifs de l'installation, un examen des normes techniques des batteries lithium-ion, un réexamen de l'estimation du taux de défaillance du 787, un examen de la propagation thermique, une évaluation du comportement des contacteurs, une étude continue des courts-circuits internes et une amélioration de la qualité des batteries. Sa recommandation formelle à la FAA préserve la distinction entre la propagation démontrée et l'initiation non résolue.

Le dossier de réponse de la FAA publié par le JTSB prouve que la recommandation est entrée dans un processus de suivi international, bien que le format de pièce jointe publique ne fournisse pas de score indépendant simple pour l'efficacité à long terme.

L'incident de Narita en 2014 était à la fois une preuve de succès et un avertissement

Le 14 janvier 2014, après la refonte, un Boeing 787 de Japan Airlines garé à Narita a produit de la fumée blanche visible et des messages de batterie principale. L'examen a révélé que la cellule 5 avait surchauffé et que son disque de rupture s'était ouvert. Des résidus d'électrolyte sont restés dans le boîtier et sont apparus près de la sortie d'évent externe. La zone environnante du compartiment électronique était propre et non endommagée; les autres cellules conservaient leur tension, bien que la cellule adjacente 6 ait montré des effets thermiques limités.

L' annonce du Japan Civil Aviation Bureau (JCAB) et son évaluation complète ont traité l'événement avec un équilibre utile. Le JCAB a constaté que la deuxième couche de la refonte avait empêché la propagation de cellule à cellule et que la troisième couche protégeait l'avion. Il a conclu que la capacité de vol en sécurité aurait été maintenue. Mais il a également observé que la première couche n'avait pas empêché la surchauffe d'une cellule et a appelé à une amélioration supplémentaire de la fiabilité et à la poursuite des travaux sur les causes possibles.

Cet événement est le meilleur test spécifique au cas public de l'architecture de confinement. Ce n'était pas un essai de certification planifié; c'était une défaillance de terrain dans une batterie modifiée. Le résultat soutient l'inférence que la refonte a considérablement modifié l'escalade. Une cellule a défailli, mais la batterie entière et le compartiment environnant n'ont pas reproduit les dommages de Boston ou Takamatsu. C'est une preuve de remède solide.

Ce n'est pas la preuve que toutes les défaillances possibles sont confinées. Un événement ne peut pas couvrir chaque emplacement de cellule, état de charge, flux d'air, condition du boîtier, obstruction d'évent, erreur de maintenance ou initiation multi-cellules. Le JCAB n'a pas non plus trouvé la cause de la surchauffe. Des particules métalliques, un possible dépôt de lithium, des plis, une variation d'électrolyte, de la condensation et un environnement froid ont été examinés, mais aucune preuve objective n'a isolé l'initiateur.

L'événement valide donc l'importance du confinement tout en préservant la question non résolue de l'initiation des cellules.

À quoi devraient ressembler des preuves de remédiation durables

Les preuves de processus de celluledevraient inclure la capacité de process au niveau du lot pour l'alignement des électrodes, la perturbation de l'enroulement, l'état du séparateur, les débris de soudure, la contamination, l'humidité et le remplissage d'électrolyte; les taux de détection par inspection; les critères calibrés de tomodensitométrie; les tendances de rebut et de rework; et les enregistrements d'approbation des modifications de processus. Une déclaration selon laquelle le contrôle qualité s'est amélioré est un point de départ, pas une mesure de durabilité.

Les preuves du système de batteriedevraient inclure des essais de maltraitance répétés sur la variation de production, la température, l'âge, l'état de charge et la configuration installée mise à la terre. Elles devraient démontrer l'isolation, l'intégrité du câblage, le comportement du contacteur, les performances de surveillance et la gestion de la pression. Les résultats devraient montrer des distributions et des échecs, pas seulement des exemplaires réussis.

Les preuves de confinement de l'aviondevraient inclure des vérifications d'étanchéité du boîtier, des inspections des voies d'évent, des disques de rupture, des effets de corrosion, de la conformité de l'installation et des essais de gaz, chaleur et pression dans les pires conditions. Parce que le confinement est maintenant une dernière ligne de défense, l'entretien de ses joints et conduits ne peut pas être traité comme une maintenance matérielle accessoire.

Les preuves de flottedevraient relier les retraits, avertissements, rapports de fumée ou d'odeur, éventements de cellule, défauts de chargeur et constatations de maintenance aux aéronefs, batteries et lots de cellules. Les taux devraient être recalculés avec des intervalles de confiance et des dénominateurs d'exposition. Une longue période sans autre mise à terre publique soutient la confiance, mais l'absence de titre n'est pas la même chose qu'un ensemble de données de fiabilité publié.

Les preuves de gouvernancedevraient montrer la clôture des constatations d'audit, l'examen récurrent des hypothèses, l'accès indépendant aux batteries anormales, la visibilité du régulateur sur les changements de sous-traitant et des seuils d'escalade définis. L'assurance de sécurité se dégrade si une configuration validée est suivie de modifications non documentées du matériau, du processus, du logiciel ou de la maintenance.

Les preuves de configurationdevraient relier chaque installation d'aéronef au boîtier exact, conduit, chargeur, batterie, population de cellules, révision de maintenance et logiciel ou logique de contrôle approuvé en vigueur au moment considéré. Un essai réussi sur une configuration ne peut pas valider silencieusement une substitution ultérieure de matériau, un seuil d'inspection modifié ou une étape de production changée.

Les batteries retirées avec une tension, une odeur, un éventement ou des indications thermiques inhabituelles devraient être mises en quarantaine avec un état de charge et un historique de fonctionnement enregistrés avant l'examen destructif. Les enquêteurs et les régulateurs ont ensuite besoin d'accès aux constatations négatives ainsi qu'aux défaillances dramatiques, car un retrait apparemment intact peut révéler les premiers stades du mécanisme qu'une batterie brûlée ne peut plus préserver.

Cette chaîne transforme les événements de maintenance isolés en preuves précurseurs utilisables et donne au détenteur du certificat de type une base défendable pour décider si une tendance est confinée à un lot, un état de processus ou la conception approuvée elle-même.

Les preuves publiques sont inégales dans ces catégories. La consigne de navigabilité, l'activité de certification, la modernisation installée, les rapports d'accident et le résultat de Narita fournissent des preuves substantielles que le danger au niveau de l'avion a été réduit. Le dossier public ne divulgue pas les données complètes longitudinales des lots de cellules, tous les résultats d'audit des fournisseurs, chaque essai de boîtier, les taux actuels de faux négatifs ou une analyse de tendance indépendamment reproductible. Cette lacune ne prouve pas une mauvaise performance.

Elle limite la capacité des personnes extérieures à vérifier la durabilité.

Questions non résolues

La première question non résolue est l'initiateur microscopique exact dans chaque batterie de terrain. Boston a été réduit à un court-circuit interne dans la cellule 5 ou 6, mais pas à un défaut survivant. Takamatsu a été réduit à une initiation probable de la cellule 6, mais pas au mécanisme de court-circuit. Narita a été réduit à un court-circuit interne dans la cellule 5, mais les causes candidates n'ont pas été prouvées.

La deuxième est la raison pour laquelle l'examen inter-organisationnel a accepté la non-propagation. Le dossier identifie les faiblesses des essais et de la traçabilité, mais il ne fournit pas toutes les discussions internes, les dissidences, les décisions de calendrier ou les justifications d'approbation. Il serait diffamatoire d'inférer une dissimulation, une mauvaise foi ou une évasion délibérée sans preuve.

La troisième est la performance des corrections de fabrication dans le temps. Les audits post-événement ont trouvé et clôturé des non-conformités, et la conception modifiée a accumulé du service. Pourtant, le dossier public examiné ici ne fournit pas de mesures continues et indépendantes de la capacité de process ou des taux d'échappement de défauts pour les cellules 787 de GS Yuasa.

La quatrième est de savoir si la surveillance ultérieure et les changements de normes ont complètement clôturé l'ensemble des recommandations. Les orientations 2015 de la FAA et les travaux de normes ultérieurs montrent un apprentissage institutionnel, mais les orientations peuvent être consultatives et le statut de recommandation peut dépendre d'actions documentées plus restreintes que l'élimination complète du risque. Chaque approbation actuelle doit être jugée sur sa propre base de certification et ses propres preuves.

La cinquième est la limite exacte du confinement en cas de défaillances multiples simultanées ou dégradées par la maintenance. La refonte a été testée et l'événement de Narita a fourni une confirmation de terrain pour une surchauffe d'une seule cellule. Les matériaux publics n'exposent pas tous les résultats de conformité propriétaires dans le pire des cas. La conclusion correcte est une confiance élevée dans l'amélioration matérielle, pas une affirmation de conséquence physiquement impossible au niveau de l'avion.

Conclusion: la certification doit survivre à la cellule inexpliquée

L'affaire de la batterie du 787 n'est pas une simple histoire d'une chimie dangereuse corrigée par une boîte. La technologie lithium-ion apportait des avantages légitimes de performance, et l'architecture modifiée a remis la flotte en service. La défaillance la plus profonde était probatoire: une évaluation de sécurité supposait qu'un court-circuit interne resterait limité, tandis que l'essai de soutien ne représentait pas le système final installé dans les conditions pertinentes les plus sévères. La fabrication pouvait introduire des défauts latents; la surveillance pourrait ne pas les détecter avant l'emballement;

et la chaîne de certification n'exigeait pas que la batterie et l'avion survivent à la propagation résultante.

Les enquêtes ont réparti le contrôle avec précision. Le processus de GS Yuasa permettait des mécanismes de défauts capables de provoquer des courts-circuits. Thales avait des responsabilités d'intégration et de sous-traitant. Boeing possédait les exigences au niveau de l'avion, l'intégration des fournisseurs et la démonstration de conformité. Les représentants autorisés et les ingénieurs de la FAA ont examiné les preuves, et la FAA conservait l'autorité de certification et de navigabilité. Les compagnies aériennes et les équipages contrôlaient les opérations immédiates.

Le NTSB et le JTSB ont fourni des constatations préventives tout en laissant la responsabilité civile et pénale à d'autres institutions.

Le rétablissement a réussi parce qu'il a cessé de dépendre d'une explication parfaite. Il a réduit l'initiation, entravé la propagation et confiné la défaillance à l'extérieur des espaces occupés et des équipements. Narita a alors montré pourquoi cette architecture importait: la première couche n'a pas empêché un événement de cellule, mais les couches ultérieures ont empêché la cascade antérieure et les dommages au compartiment. Ce résultat est plus convaincant qu'une promesse que les cellules ne défailliront jamais.

Le test de responsabilité durable est donc simple. Pour un composant à haute énergie dont le défaut initiateur peut être rare, microscopique et détruit par l'événement, la sécurité ne peut pas reposer sur l'absence de défaillances observées dans un produit similaire ou sur un seul essai de maltraitance favorable. Le demandeur doit exposer les hypothèses, tester la configuration finale installée à des conditions sévères crédibles, contrôler la fabrication des sous-traitants, surveiller la flotte avec des dénominateurs utilisables, et préserver une dernière ligne de défense qui reste efficace lorsque la prévention et le diagnostic échouent.

Le régulateur doit remettre en question de manière indépendante cette chaîne. Le Boeing 787 est retourné en service lorsque le confinement est devenu partie de la preuve; la responsabilité durable exige de maintenir cette preuve à jour.