Samsung Galaxy Note7 a fait de la qualification des batteries de remplacement un test mondial de responsabilité en matière de rappel

Résumé

• Samsung a lancé le Galaxy Note7 en août 2016 et a annoncé un programme mondial de remplacement le 2 septembre après avoir signalé 35 cas dans le monde et identifié ce qu'elle a appelé un problème de cellule de batterie. La Commission américaine de sécurité des produits de consommation a officialisé un rappel le 15 septembre couvrant environ un million de téléphones et offrant expressément un nouveau Note7 avec une batterie différente comme l'une des solutions.
• La première solution reposait sur une proposition de sécurité: la population originale affectée pouvait être séparée d'une population de remplacement apte à l'usage. Des rapports impliquant les remplacements ont invalidé cette proposition. Samsung et les opérateurs américains ont cessé les ventes et échanges du Note7 le 10 octobre, et la CPSC a élargi le rappel le 13 octobre à tous les appareils originaux et de remplacement.
• Les enquêtes commanditées par Samsung menées par Exponent et UL ont révélé différents modes de défaillance. Les cellules du fabricant A présentaient des dommages aux coins associés à un volume de poche insuffisant, une déformation des électrodes et une possible compromission du séparateur. Les cellules du fabricant B présentaient des protubérances de soudure de languette, une isolation manquante ou mal alignée et des chemins de court-circuit internes. Les rapports n'ont pas trouvé de défaut de charge au niveau de l'appareil expliquant les défaillances sur le terrain.
• L'événement déclencheur du retrait final a été l'apparition de surchauffe et de brûlures dans les téléphones de remplacement. L'échec plus profond de responsabilité était que la qualification de bout en bout n'a pas exclu deux défauts de cellule matériellement différents avant le lancement et la sortie des remplacements. Les conditions contributives incluent une tolérance limitée à la variation de fabrication, des preuves incomplètes sur la maturité des processus et une solution qui a renvoyé les clients à la même famille de produits avant que l'enquête publique sur la cause racine ne soit terminée.
• Le contrôle était distribué mais pas égal. Les fabricants de batteries contrôlaient la conception des cellules et les processus de production. Samsung contrôlait les spécifications cibles, l'acceptation des fournisseurs, l'intégration des appareils, la sortie finale, la décision de remplacement mondial et les communications avec les clients. La CPSC contrôlait le processus de rappel formel aux États-Unis, tandis que les opérateurs et les détaillants contrôlaient une grande partie du canal d'échange physique. Les autorités aéronautiques contrôlaient les restrictions de transport. Les consommateurs supportaient le danger mais ne pouvaient pas inspecter les cellules, auditer les fournisseurs ou valider les lots de remplacement.
• Les preuves de réparation sont significatives mais incomplètes. Samsung a introduit un contrôle de sécurité de la batterie en huit points, des marges de conception supplémentaires, des protections logicielles de charge, des centres d'analyse de responsabilité produit et un groupe consultatif externe. La CPSC a ensuite travaillé avec l'industrie sur la révision de la norme pour batteries mobiles, et le programme actuel de la CTIA décrit une certification au niveau du système et des contrôles des sites de fabrication. Les documents publics ne divulguent pas les taux de faux négatifs longitudinaux, tous les résultats d'audit des fournisseurs, chaque approbation de changement de processus ou des résultats indépendants continus suffisants pour prouver que les réformes restent également efficaces à travers les produits et les années.

La solution échouée est l'événement déterminant

La décision la plus importante dans la chronologie du Note7 n'était pas l'arrêt définitif. À ce moment-là, les options disponibles s'étaient considérablement réduites. La décision la plus révélatrice a été de remplacer un Note7 dangereux par un autre Note7 avant que le mécanisme complet derrière les incidents de terrain n'ait été publié et avant que l'offre de remplacement n'ait accumulé beaucoup d'exposition sur le terrain. Cette solution représentait une nouvelle détermination de sécurité du produit.

Elle disait, en termes opérationnels, que le risque pouvait être limité à une population de batteries identifiable et que les téléphones en dehors de cette population étaient acceptables pour une utilisation normale.

Le communiqué de Samsung du 2 septembre 2016 rapportait 35 cas dans le monde au 1er septembre, indiquait que son enquête avait trouvé un problème de cellule de batterie, arrêtait les ventes et promettait de remplacer les téléphones des clients. Le communiqué n'a pas publié le mécanisme du défaut, les critères des lots affectés, le protocole de test, la taille de l'échantillon ou le seuil de sortie pour les nouveaux appareils. Cette omission ne prouvait pas que ces contrôles étaient absents en interne.

Cela signifiait que les clients et les enquêteurs externes ne pouvaient pas évaluer si la décision de remplacement répondait à un mécanisme connu ou changeait simplement la source de la batterie.

Cette distinction est importante car une solution de rappel doit elle-même être qualifiée. Retirer une unité dangereuse réduit le risque seulement si le substitut ne présente pas le même danger inacceptable ou un autre. La liste de contrôle actuelle de la CPSC pour les rappels rend explicite ce principe en disant aux entreprises de rappel de tester un remplacement ou une réparation, de reconcevoir la production future pour éliminer le danger, de renforcer les contrôles de qualité et de distinguer les produits retravaillés des produits défectueux.

La liste de contrôle est une directive actuelle, pas une preuve du protocole exact appliqué en 2016. Elle capture néanmoins la question de contrôle exposée par le cas: quelles preuves ont transformé un téléphone nouvellement fabriqué d'un remplacement logistique en une solution de sécurité validée?

La réponse s'est avérée insuffisante. Le 10 octobre, après des rapports de surchauffe et de brûlures des appareils de remplacement, Samsung a demandé aux opérateurs et aux détaillants du monde entier d'arrêter les ventes et les échanges et a dit aux propriétaires des téléphones originaux et de remplacement de les éteindre. La CPSC a élargi le rappel américain trois jours plus tard. Un client qui avait obtempéré au premier rappel a donc été invité à obtempérer à nouveau, cette fois sans l'option d'un autre Note7.

Le premier échange avait réduit l'exposition à une population de batteries tout en introduisant une exposition à une deuxième population avec un autre défaut.

Cette séquence ne doit pas être simplifiée en affirmant qu'aucun test n'a eu lieu. Samsung, les fournisseurs, les laboratoires de certification et les régulateurs ont tous effectué ou exigé des formes de tests. La conclusion défendable est plus étroite: le système de qualification combiné n'a pas réussi à identifier les modes de défaillance qui sont ensuite apparus dans les deux populations de fournisseurs, et les preuves utilisées pour la sortie du remplacement n'ont pas empêché un second rappel.

Réussir un test et démontrer la sécurité ne sont pas synonymes lorsque la population testée, l'état du processus ou le mécanisme de défaillance diffère de ce qui atteint les utilisateurs.

Qui contrôlait quelle partie de la sécurité

Samsung Electronics contrôlait la décision au niveau du produit. Il sélectionnait ou approuvait les sources de batteries, fixait les spécifications cibles, intégrait le bloc-batterie au téléphone, contrôlait les logiciels de charge et de gestion thermique, acceptait les composants finis, approuvait l'expédition, choisissait la forme de la première solution et coordonnait l'arrêt mondial ultérieur. Sa filiale américaine travaillait avec la CPSC, les opérateurs et les détaillants sur les communications avec les clients et la logistique des échanges.

Même si un fournisseur de cellules créait le défaut physique, Samsung contrôlait si cette cellule devenait une partie d'un téléphone présenté au consommateur comme sûr.

Les deux fabricants de cellules contrôlaient différentes couches techniques. Ils contrôlaient l'enroulement des électrodes, la conception de la poche, le placement du séparateur, la soudure des languettes, l'isolation, les réglages de la ligne, l'inspection et la libération des lots. Ces contrôles sont les plus proches des origines physiques identifiées après l'événement. Un fabricant peut détecter des protubérances de soudure, l'absence de ruban isolant, la déformation et les variations dimensionnelles avant qu'une cellule ne quitte son usine.

Il peut également introduire un risque par un changement de processus qui n'est pas encore stabilisé. Le contrôle du fournisseur est donc réel, mais il ne supprime pas le devoir du vendeur du système de définir des critères d'acceptation et de vérifier indépendamment les caractéristiques à haute conséquence.

Les documents d'enquête de Samsung utilisent les étiquettes neutres Fabricant A et Fabricant B. Cette dénomination est utile car l'analyse de responsabilité ne dépend pas de l'attribution du blâme à un nom commercial. Le problème du fabricant A était principalement associé à l'adaptation mécanique de l'ensemble d'électrodes à l'intérieur de la poche. Le problème du fabricant B était associé à la qualité de production autour de la languette positive et de l'isolation. Deux fournisseurs, deux mécanismes et un produit final montrent pourquoi la diversification seule ne fournit pas de redondance de sécurité.

Des sources séparées peuvent échouer différemment si la porte au niveau du système est incapable de détecter l'un ou l'autre échec.

Les organismes de test et de certification avaient une autorité plus restreinte. Ils pouvaient évaluer des échantillons soumis, des sites de fabrication ou la conformité du système dans le cadre d'un programme défini. Ils ne contrôlaient pas chaque lot de production ou la sortie commerciale de Samsung. La description de la norme IEEE 1725 par l'IEEE couvre l'analyse de conception pour la qualification, la qualité et la fiabilité à travers la cellule, le bloc, les contrôles et le système global.

Le programme actuel de certification des batteries de la CTIA ajoute l'autorisation du site de fabrication, la reconnaissance des composants, les tests du système et les déclarations de conformité. Ces structures sont importantes, mais un certificat ne peut pas voir un changement non soumis, un défaut de faible fréquence en dehors de l'échantillon testé ou une condition de montée en charge qui se développe après la qualification.

La CPSC détenait le contrôle légal et réglementaire aux États-Unis. En vertu du 15 U.S.C. section 2064, un fabricant, distributeur ou détaillant qui obtient des informations raisonnablement étayant des conclusions spécifiques de défaut ou de risque grave doit immédiatement informer la Commission à moins qu'il ne sache que la Commission est déjà suffisamment informée. La loi donne également à la Commission des pouvoirs concernant l'avis et les mesures correctives. Rien dans les dossiers publics examinés ici n'établit que Samsung a violé la disposition de signalement, et les rappels ont été effectués avec la CPSC.

La loi identifie un devoir et un régulateur; elle ne transfère pas la qualification quotidienne du produit du fabricant à l'agence.

Les opérateurs et les détaillants contrôlaient une grande partie du dernier kilomètre. Ils ont arrêté la vente, détenu les stocks, contacté les clients, effectué les échanges et traité les remboursements. Leur participation a rendu possible la distribution rapide des téléphones de remplacement et plus tard une récupération large. Ils n'ont pas conçu les cellules ni connu les preuves de fabrication internes. Lorsque le risque de remplacement a émergé, cependant, les opérateurs de canaux ont pu réduire l'exposition avant que chaque incertitude technique ne soit résolue.

La déclaration de la CPSC du 10 octobre a spécifiquement crédité les opérateurs et les détaillants d'avoir arrêté les ventes et de ne plus fournir de téléphones Note7 comme remplacement.

Les régulateurs aéronautiques ont exercé un contrôle séparé après l'échec de la solution pour les produits de consommation. Le DOT, la FAA et la PHMSA pouvaient restreindre le transport car un téléphone en surchauffe dans un avion crée des conséquences au-delà du propriétaire. L'AESA pouvait émettre des recommandations opérationnelles dans l'aviation européenne. Ces organismes n'ont pas décidé si un téléphone pouvait être vendu comme produit de consommation, mais ils pouvaient refuser l'accès de l'appareil à un environnement à haute conséquence.

Leur intervention illustre comment l'échec de qualification d'un fabricant a transféré des charges opérationnelles aux compagnies aériennes, aux aéroports, aux équipages et aux passagers.

Les consommateurs avaient le moins de contrôle technique. Ils pouvaient éteindre un téléphone, le retourner, choisir un remboursement ou accepter un substitut. Ils ne pouvaient pas inspecter l'ensemble d'électrodes enroulé, savoir si le ruban isolant était présent, voir la capacité de processus d'un fournisseur, évaluer un lot de remplacement ou déterminer si une icône de batterie verte représentait plus qu'une distinction d'approvisionnement. Le premier rappel demandait aux consommateurs de faire confiance au fait que la nouvelle icône et la batterie différente correspondaient à une limite de sécurité valide.

Lorsque cette limite a échoué, le coût comprenait non seulement un autre voyage chez un détaillant mais une perte de confiance dans l'institution qui l'avait définie.

Du lancement au premier rappel

Le rapport de développement durable 2017 de Samsung place le lancement du Note7 au 19 août 2016. L'intervalle entre le lancement et l'annonce du remplacement mondial était d'environ deux semaines. La société a déclaré le 2 septembre que 35 cas avaient été signalés dans le monde et qu'elle inspectait les fournisseurs pour identifier les batteries possiblement affectées. Elle a arrêté les ventes et annoncé un remplacement volontaire, mais le processus américain n'était pas encore un rappel formel de la CPSC.

Cet écart est devenu visible le 9 septembre. La CPSC a émis un avertissement public conseillant à tous les propriétaires de Note7 d'éteindre et de cesser de charger ou d'utiliser l'appareil. La Commission a déclaré qu'elle et Samsung travaillaient à un rappel officiel et qu'elle s'efforçait de déterminer si un Note7 de remplacement était une solution acceptable. La déclaration est la preuve que l'acceptabilité du remplacement était une question réglementaire en cours, et non un détail administratif acquis.

Le 10 septembre, Samsung a exhorté les propriétaires à éteindre et à échanger leurs téléphones, affirmant qu'il avait identifié le stock affecté et qu'il accélérait les remplacements. Cinq jours plus tard, le premier rappel de la CPSC couvrait environ un million d'unités américaines vendues avant le 15 septembre. Il enregistrait 92 signalements américains de surchauffe de batterie, incluant 26 signalements de brûlures et 55 de dommages matériels. Les solutions étaient un Note7 avec une batterie différente, un remboursement ou un autre appareil de remplacement.

Ces chiffres décrivent les signalements reçus, pas la responsabilité établie, le nombre confirmé de défauts uniques ou un total mondial d'incidents.

La formalisation a amélioré le rappel de plusieurs manières. Elle a fourni une description unique du danger, identifié la population affectée, dit aux consommateurs de cesser l'utilisation et établi des solutions avec la participation de la CPSC. Elle a également fait du Note7 de remplacement une partie d'une action corrective officielle. Samsung a annoncé que les nouveaux téléphones de remplacement américains seraient largement disponibles d'ici le 21 septembre, et sa mise à jour du 20 septembre indiquait que plus de 500 000 remplacements avaient atteint les magasins des opérateurs et des détaillants.

La mise à jour a introduit une icône de batterie verte et une marque d'emballage pour distinguer les nouveaux téléphones. Elle a également envoyé des invites d'avertissement récurrentes aux appareils rappelés. C'étaient des contrôles efficaces d'identification et de communication. Ils ne constituaient pas une preuve technique. L'icône encodait la classification par Samsung d'un appareil comme ayant une batterie non affectée. Elle ne surveillait pas la qualité de la soudure, l'intégrité du séparateur ou les précurseurs de court-circuit interne.

Les données d'échange montrent à quelle vitesse la nouvelle classification a influencé l'exposition. Samsung a déclaré le 22 septembre qu'environ la moitié des téléphones américains rappelés avaient été échangés et que 90 % des propriétaires entités choisissaient un autre Note7. Une mise à jour mondiale le 27 septembre indiquait que plus de 60 % des téléphones rappelés aux États-Unis et en Corée avaient été échangés et rapportait à nouveau qu'environ 90 % des utilisateurs sélectionnaient un nouveau Note7. C'étaient des chiffres de l'entreprise et ils ont pu changer rapidement.

Ils établissent que les téléphones de remplacement n'étaient pas une solution marginale. C'était le choix dominant rapporté par Samsung.

La vitesse avait un objectif légitime. Chaque jour où un téléphone original rappelé restait en usage prolongeait l'exposition au danger connu. Les détaillants avaient besoin de stocks, les consommateurs de téléphones fonctionnels et l'entreprise d'une solution évolutive. Mais la vitesse créait aussi un problème de qualification. Une population de remplacement produite et distribuée rapidement offre moins de temps calendaire pour la stabilisation du processus, l'accumulation du cycle de vie et l'observation sur le terrain.

Les preuves publiques ne prouvent pas que la pression du calendrier a causé les défauts de soudure et d'isolation du fabricant B. Elles soutiennent l'inférence plus limitée que la décision de remplacement comportait un risque de maturité du processus qui nécessitait des preuves et une surveillance exceptionnellement solides.

Le signal du remplacement et l'effondrement de la première frontière de sécurité

Le premier signal américain publiquement important après la mise en circulation des remplacements est venu de l'aviation. Le 5 octobre, la présidente de la CPSC a publié une déclaration concernant un incident sur un avion de Southwest Airlines à Louisville. L'agence a indiqué que les passagers étaient sortis sans dommage et que le personnel recueillait des faits auprès de la FAA, de Samsung et du consommateur. La déclaration n'établissait pas elle-même la source de la batterie du téléphone ou la cause finale, elle ne doit donc pas être utilisée comme une conclusion technique achevée.

Elle montre qu'au début d'octobre, la CPSC enquêtait sur un événement grave dans un cadre opérationnel où un incendie de batterie pourrait affecter de nombreuses personnes.

D'autres rapports ont modifié la décision de contrôle. Le 10 octobre, la CPSC a déclaré qu'elle enquêtait activement sur des téléphones qui surchauffaient et brûlaient dans plusieurs États et conseillait aux propriétaires d'originaux et de remplacements de cesser l'utilisation. La Commission a qualifié la suspension des ventes et des échanges par Samsung de bonne action. La déclaration d'arrêt parallèle de Samsung a dit aux partenaires opérateurs et détaillants mondiaux d'arrêter de vendre ou d'échanger le produit et a dit à tous les propriétaires d'éteindre l'appareil.

C'était l'événement déclencheur du retrait final: la preuve de chaleur et de feu dangereux n'était plus limitée à la population retirée par le premier rappel. Le remplacement n'avait pas simplement un défaut cosmétique ou de performance ambigu. Il présentait le même danger de haut niveau par un autre chemin interne. Une fois que la prémisse de la première solution a échoué, continuer à émettre des remplacements du Note7 aurait exposé des clients supplémentaires sous une classification invalidée.

Le 13 octobre, le rappel élargi de la CPSC couvrait environ 1,9 million de téléphones américains, y compris le million du premier rappel. Il incluait expressément tous les appareils fournis comme remplacements et ceux affichant l'icône de batterie verte. Les consommateurs ont été invités à cesser d'utiliser tout Note7 et à demander un remboursement ou un autre modèle. L'avis correspondant de Samsung a déclaré que l'inclusion des remplacements faisait suite à son arrêt de la production, de la vente et de l'échange le 10 octobre.

L'avis élargi rapportait 96 signalements américains de surchauffe, incluant 23 nouveaux signalements après l'annonce du premier rappel, ainsi que 13 signalements de brûlures et 47 de dommages matériels associés aux téléphones Note7. Ces catégories ne doivent pas être mécaniquement ajoutées aux chiffres du premier avis. Le second avis n'explique pas pourquoi ses comptes de brûlures et de dommages matériels sont inférieurs aux catégories précédentes, si les cas ont été reclassifiés, dédupliqués ou évalués sous un champ différent.

L'utilisation sûre est de rapporter chaque avis avec sa date et son libellé, sans fabriquer un total cumulatif à partir d'instantanés incompatibles.

La solution était maintenant structurellement différente. Un client pouvait recevoir un remboursement ou un autre modèle, mais pas un Note7 soi-disant corrigé. Samsung a également utilisé la coopération des opérateurs et des contrôles logiciels pour limiter ou désactiver les appareils restants. Ces mesures étaient coercitives dans un sens technique étroit car elles réduisaient ce qu'un propriétaire pouvait faire avec des biens déjà achetés. C'étaient aussi des contrôles de risque dirigés vers un produit que les propriétaires avaient été invités à plusieurs reprises à retourner.

La responsabilité exige de reconnaître les deux: la limitation à distance a réduit l'exposition résiduelle au feu, tandis que le besoin de celle-ci montrait qu'une annonce de rappel seule ne pouvait pas récupérer chaque unité dangereuse.

Ce qui a échoué à l'intérieur des cellules du fabricant A

Samsung a annoncé ses conclusions sur la cause racine en janvier 2017 après avoir testé des appareils, des batteries et des processus. Les preuves techniques les plus utiles proviennent de présentations séparées d'Exponent, UL et TUV Rheinland, tous retenus dans le cadre de l'enquête de Samsung. Leur participation ajoute une indépendance technique dans l'analyse, mais pas une indépendance institutionnelle complète: Samsung a commandité le travail, fourni au moins les échantillons décrits par UL et contrôlé une grande partie de l'environnement des preuves. Leurs conclusions doivent être lues avec cette portée visible.

La présentation de la cause racine d'Exponent a conclu que la cause la plus probable de défaillance thermique dans certaines cellules du fabricant A était un dommage involontaire aux enroulements de l'électrode négative près du coin le plus proche de la languette négative. Elle a attribué ce dommage à une conception de poche qui fournissait un volume inadéquat pour l'ensemble d'électrodes. Les cycles normaux de charge et décharge pouvaient alors transformer l'interférence géométrique en compromission du séparateur, placage au lithium ou autre chemin de défaut interne.

L'architecture de la cellule explique pourquoi les petites décisions dimensionnelles comptent. Les couches d'électrodes positives et négatives sont séparées par un matériau fin et enroulées dans un ensemble souvent appelé jelly roll. Le séparateur doit empêcher le contact électrique tout en permettant le transport ionique. L'ensemble enroulé repose dans une poche flexible. Si le boîtier ne fournit pas suffisamment d'espace, la compression ou la déformation du coin peut concentrer la contrainte mécanique.

Si le séparateur est endommagé et que des couches conductrices opposées entrent en contact, le courant peut circuler à l'intérieur de la cellule en dehors du circuit prévu. Un échauffement local peut initier une réaction thermique auto-entretenue.

La présentation d'analyse de défaillance d'UL a rapporté des signes de court-circuit interne au coin supérieur droit dans six appareils endommagés du fabricant A et dans quatre cellules gonflées. Les tomodensitogrammes et le désassemblage de cellules supplémentaires ont montré des motifs de déformation répétés. UL a décrit une combinaison de déformation du coin, d'un séparateur fin et de contrainte mécanique répétée due au cyclage comme un mécanisme majeur probable, tout en déclarant que davantage de travail était nécessaire pour comprendre la cause racine des déformations du coin.

Cette qualification est importante. Exponent a exprimé une conclusion plus spécifique sur le volume de la poche; UL a décrit plusieurs contributeurs de conception et de fabrication et a conservé une incertitude autour de l'origine de la déformation. Les rapports convergent sur l'emplacement et le chemin de court-circuit interne sans être identiques dans le libellé causal. Une conclusion prudente est donc que la population A avait une tolérance inadéquate autour de l'ensemble enroulé et du séparateur au coin, avec des preuves soutenant un mécanisme d'espace de poche.

Il serait exagéré de prétendre que chaque incident A a suivi une séquence parfaitement observée.

La densité énergétique a influencé la conséquence, pas nécessairement l'initiation. UL a noté qu'un séparateur plus fin pourrait réduire la tolérance aux défauts de fabrication et qu'une densité énergétique plus élevée peut aggraver la gravité d'une défaillance. Aucune de ces observations ne signifie que la capacité élevée à elle seule a causé les incidents du Note7. Une conception à haute énergie augmente la demande de marge dimensionnelle, de protection du séparateur et de capacité de processus.

La responsabilité réside dans la validation de la combinaison, pas dans le traitement d'une chimie de batterie largement utilisée comme un danger imprévisible.

Le mécanisme A aurait dû être traité à plusieurs portes. L'analyse de la conception de la cellule pourrait comparer les dimensions des électrodes avec le volume de la poche en tenant compte des tolérances, du gonflement et de la durée de vie. La tomodensitométrie ou l'échantillonnage destructif pourrait identifier la déformation du coin. Les données sur la capacité de fabrication pourraient montrer si le jeu prévu restait stable. Le cyclage accéléré au niveau de l'appareil pourrait exposer une contrainte mécanique répétée. La traçabilité des lots pourrait relier les incidents de terrain aux enregistrements de conception et de processus.

L'enquête publique décrit certaines de ces méthodes après la défaillance; elle ne publie pas les résultats complets avant le lancement qui ont permis la sortie.

Le fabricant B a échoué différemment

Le fabricant B est l'endroit où le rappel devient un cas de qualification plutôt que seulement un cas de conception originale. Exponent a déclaré que son analyse initiale des cellules B n'avait trouvé aucun défaut de poche, de conception ou de fabrication. Les cellules fabriquées après la conclusion de cette enquête initiale se sont révélées contenir un défaut nettement différent. Cette chronologie signifie qu'un échantillon valide pour un état de production ne pouvait pas établir la qualité de la production ultérieure.

Exponent a identifié un soudage de languette positive mal contrôlé produisant des caractéristiques pointues et relativement hautes. Le gonflement et la contraction normaux des électrodes pouvaient pousser ces caractéristiques vers l'électrode négative opposée. Dans certaines cellules examinées, le ruban protecteur sur la languette positive était absent. Une protubérance de soudure qui comblait la séparation physique, en particulier sans isolation, pouvait créer un court-circuit interne, chauffer la cellule et progresser vers un emballement thermique à un état de charge élevé.

UL a trouvé des signes de court-circuit interne dans cinq appareils B endommagés, y compris des preuves aux emplacements des languettes. Il a rapporté l'absence de ruban isolant, des protubérances de soudure pointues, un mauvais alignement et des dimensions de languette ou de ruban incohérentes dans les cellules examinées. Son évaluation a décrit la combinaison de ruban manquant, de protubérances pointues et d'un séparateur fin comme un mécanisme de défaillance majeur probable. Il n'a également trouvé aucune preuve dans son travail que des problèmes de compatibilité au niveau de l'appareil aient causé les défaillances sur le terrain.

L'absence d'un déclencheur commun au niveau de l'appareil réduit l'explication mais n'absout pas le vendeur du système. Exponent a rapporté que le système de batterie du Note7 avait plusieurs couches de protection et que les tests n'avaient pas identifié de défaut électronique capable de provoquer les défaillances observées. UL a trouvé que le courant de charge, la tension de la cellule et la température étaient dans les spécifications de Samsung dans les conditions testées.

L'examen de l'assemblage et de la logistique de TUV Rheinland n'a trouvé aucune faiblesse pertinente dans les chaînes d'assemblage de Samsung inspectées ou les simulations de transport routier, et ses échantillons ont passé les tests de sécurité applicables.

Ce sont des négatifs bornés. Ils montrent que les enquêteurs n'ont pas trouvé de cause liée au système de charge, à l'assemblage du téléphone ou au transport routier dans leurs périmètres et échantillons. Ils ne prouvent pas que chaque chargeur, expédition, condition d'assemblage ou environnement utilisateur était inoffensif. Plus important encore, ils laissent la cellule de batterie acceptée comme le composant défaillant à l'intérieur d'un système contrôlé par Samsung.

La responsabilité au niveau du produit persiste car un circuit de protection ne peut pas arrêter de manière fiable un court-circuit qui se forme à l'intérieur entre les électrodes.

Le mécanisme de B soulève une question directe de contrôle de processus: qu'est-ce qui a changé entre les cellules initialement étudiées et la production ultérieure de remplacement? Les présentations publiques ne fournissent pas d'historique complet des modifications d'ingénierie, de registre de capacité ligne par ligne, de modification des instructions des opérateurs, d'historique de maintenance des équipements de soudure ou de plan d'échantillonnage d'acceptation. Elles identifient le défaut mais ne publient pas le chemin organisationnel par lequel il est entré et a échappé à la production.

Sans ce chemin, attribuer l'événement à une erreur de fabrication générique arrêterait l'analyse trop tôt.

Les contrôles capables de prévenir les défauts B incluent les limites de hauteur de soudure liées à l'espace du séparateur, l'inspection automatisée de chaque languette, la vérification positive de la présence et de la position du ruban isolant, le sectionnement destructif par lot, l'imagerie tridimensionnelle, la surveillance de l'état des équipements, l'approbation des modifications de processus et la quarantaine des lots lorsque les limites de contrôle dérivent.

La question cruciale de la sortie est de savoir si ces caractéristiques ont été traitées comme critiques pour la sécurité et si Samsung a reçu des preuves des lots réels de montée en charge, plutôt que d'exemplaires antérieurs.

Cause racine, déclencheur et conditions contributives

Les causes physiques directes étaient des court-circuits internes survenus par différents chemins dans deux populations de cellules. Pour le fabricant A, les preuves soutiennent la déformation du coin et la compromission du séparateur associées à un logement et une tolérance de poche inadéquats. Pour le fabricant B, elles soutiennent des protubérances de soudure de languette et des défauts d'isolation qui pouvaient créer un pont vers l'électrode négative. Ces mécanismes expliquent l'inflammation au niveau de la cellule.

La cause racine organisationnelle se situe un niveau au-dessus. La qualification de bout en bout n'a pas identifié et exclu l'un ou l'autre mécanisme avant que les téléphones concernés n'atteignent les utilisateurs. La première porte de lancement a accepté les cellules A avec une tolérance géométrique inadéquate. La porte de la solution a accepté les cellules B dont la production ultérieure contenait des défauts de soudure et d'isolation.

Un système de sécurité qui s'appuie sur les fournisseurs mais qui sort un produit intégré doit être capable de valider la marge de conception, la capacité du processus, le contrôle des modifications et le comportement final du système pour chaque source approuvée.

Le déclencheur de l'arrêt définitif n'était pas la découverte du problème de coin de A. C'était l'apparition d'incidents dangereux dans les remplacements, qui a invalidé la portée du premier rappel. Ce déclencheur a transformé une solution spécifique à un fournisseur en un arrêt de tous les appareils. Il a également modifié la charge de la preuve: après l'échec de deux populations distinctes, un autre remplacement du même modèle ne pouvait raisonnablement reposer sur la seule substitution de fournisseur.

Plusieurs conditions contributives sont étayées par le dossier. La conception de la cellule offrait une tolérance limitée à la déformation et à la variation de production. L'offre de remplacement a été mise en distribution large rapidement. Samsung a publiquement promu la confiance dans la nouvelle classification de la batterie avant de publier un compte rendu complet de la cause racine. L'état de production du fabricant B a changé après les cellules initiales examinées par Exponent. La qualification et la certification existantes n'ont pas fourni une surveillance continue capable de prévenir les défauts échappés.

D'autres contributeurs proposés restent non prouvés. Les preuves publiques n'établissent pas qu'une échéance exécutive particulière a causé la sortie dangereuse, que des employés ont caché des défauts connus de B, qu'un fournisseur a intentionnellement relâché les normes, ou que la concurrence avec un autre terminal a dicté un compromis de sécurité spécifique. Le calendrier du produit et la pression du marché sont des risques contextuels plausibles dans tout lancement phare, mais la plausibilité n'est pas une preuve de causalité dans ce cas.

La détection a échoué à plus d'un stade. Les tests de conception et de processus avant le lancement n'ont pas arrêté les cellules A. La qualification des remplacements et les contrôles de lots n'ont pas arrêté les cellules B. Les incidents sur le terrain sont devenus le détecteur décisif pour les deux populations. La réponse s'est améliorée une fois le second motif reconnu: les ventes, les échanges et la production ont été arrêtés, tous les téléphones ont été rappelés, des restrictions de transport ont suivi et les logiciels ont progressivement réduit l'utilisation résiduelle.

La récupération a ensuite dépendu de millions de propriétaires, de nombreux opérateurs, détaillants et régulateurs agissant dans différentes juridictions.

L'impact était plus large que le nombre de téléphones brûlés

Les rappels américains fournissent les chiffres d'incidents et de population publics les plus spécifiques. Environ un million d'appareils ont été concernés par le premier rappel et environ 1,9 million par le rappel élargi, y compris la première population. Ces chiffres mesurent les unités soumises à une action corrective, pas le nombre de défaillances. Les signalements de surchauffe, de brûlures et de dommages matériels établissent un préjudice réel et un danger crédible, mais ils ne permettent pas d'estimer une probabilité de défaillance par appareil sans un temps d'exposition fiable, un traitement des doublons et une validation des cas.

Le rapport de développement durable 2017 de Samsung indiquait que 3,06 millions de téléphones Note7 avaient été vendus dans le monde et que 97 % avaient été récupérés en avril 2017. L'évaluation de la CPSC de janvier 2017 créditait également Samsung et les opérateurs américains d'un taux de réponse des consommateurs de 97 %. Ces taux de participation au rappel sont inhabituellement élevés, mais les dénominateurs diffèrent: l'un est une divulgation mondiale de l'entreprise et l'autre une déclaration d'un régulateur américain sur la réponse au rappel.

Aucun ne prouve que chaque téléphone retourné a été transporté, traité ou recyclé en toute sécurité.

Les propriétaires ont subi des inconvénients directs et des risques. Ils ont dû cesser d'utiliser un appareil de communication coûteux, sauvegarder et migrer des données, se rendre dans un magasin ou organiser le retour, obtenir un remboursement ou un téléphone différent, remplacer les accessoires et répéter le processus s'ils avaient déjà échangé un original. Les personnes qui dépendaient du téléphone pour le travail ont subi une interruption de service. Les membres du ménage et les passants ont partagé l'exposition au feu sans choisir le produit.

Les rapports de dommages matériels et de brûlures montrent que les effets n'étaient pas confinés à des attentes déçues.

Les détaillants et les opérateurs sont devenus une infrastructure de récupération. Le personnel a dû identifier les modèles, gérer les retours dangereux, expliquer des instructions changeantes, annuler des contrats ou des financements, émettre des crédits et maintenir un stock de substitution. Les petits détaillants et les entreprises de services ont subi des coûts opérationnels sans avoir conçu ou qualifié le produit. Le rappel a donc affecté la continuité des PME par la charge de travail des canaux, les litiges avec les clients et la gestion des stocks, bien qu'aucune répartition complète des coûts publics ne soit disponible.

Les conséquences aéronautiques ont été mondiales et disproportionnées par rapport au nombre d'événements confirmés en vol car l'environnement modifie le calcul de la gravité. L'ordre du DOT du 14 octobre interdisait tout Note7 dans le transport aérien américain à compter de midi, heure de l'Est, le 15 octobre. Les passagers ne pouvaient pas en avoir sur eux, en cabine ou dans les bagages en soute, et les téléphones ne pouvaient pas être transportés comme fret aérien. Les compagnies aériennes devaient avertir les passagers, refuser l'embarquement si nécessaire et gérer le transport involontaire.

L' ordonnance d'urgence de la FAA traitait l'appareil comme une matière dangereuse interdite. Le bulletin de l'AESA du 13 octobre appliquait des précautions à tous les téléphones Note7, y compris les remplacements. Différentes juridictions ont choisi des formes juridiques différentes, mais toutes ont supprimé la distinction sur laquelle reposait la première solution. Une icône verte ne pouvait pas être un titre de transport sûr après les incidents de remplacement.

L'impact financier était significatif mais nécessite des étiquettes prudentes. Les prévisions révisées de Samsung pour le troisième trimestre 2016 ont réduit le bénéfice d'exploitation consolidé attendu d'environ 7,8 billions de wons à 5,2 billions après l'arrêt du Note7, une révision de 2,6 billions de wons. La société a déclaré que la révision reflétait l'impact de la décision. Ce n'est pas un montant de dommages calculé par un tribunal ou un coût de rappel en espèces pur.

Samsung a estimé séparément un impact négatif de l'ordre de 3 billions de wons sur le bénéfice d'exploitation sur les quatrième trimestre 2016 et premier trimestre 2017 en raison des ventes perdues, après avoir déclaré que le coût direct de l'arrêt avait déjà été alloué aux prévisions du troisième trimestre. Les chiffres concernent différentes périodes et effets et ne doivent pas être additionnés sans discernement.

Ils montrent que le retrait complet a imposé un coût suffisamment important pour affecter les informations publiques sur le marché, tout en laissant les coûts pour les consommateurs, les canaux, les fournisseurs, les frais juridiques et d'élimination seulement partiellement visibles.

Réglementation, autorité de rappel et recours juridique

Le rôle de la CPSC a eu deux phases. Avant le 15 septembre, elle a averti les consommateurs et évalué si le remplacement proposé était acceptable. Elle a ensuite participé au premier rappel formel. Lorsque des incidents de remplacement ont émergé, elle a enquêté, soutenu l'arrêt et élargi le rappel. L'agence n'a pas publié de conclusion exécutoire finale attribuant la faute juridique entre Samsung et les fabricants de cellules dans les documents utilisés ici.

La déclaration de la présidente de la CPSC de janvier 2017 est inhabituellement franche sur la capacité institutionnelle. Elle indiquait que Samsung avait consacré plus de personnes à l'enquête que l'ensemble de l'agence n'en employait et que le personnel de la CPSC poursuivait une enquête indépendante avec des ressources beaucoup plus limitées. Ce déséquilibre compte. Un régulateur peut contraindre et coordonner des mesures correctives, mais une analyse complexe de défaillance physique peut rester fortement dépendante des preuves générées par l'entreprise réglementée et ses sous-traitants.

La responsabilité publique s'améliore lorsque les méthodes brutes, la sélection des échantillons et les limitations sont disponibles pour une contestation indépendante.

L'obligation légale de signaler est plus large qu'un aveu final de défaut. La section 2064 est déclenchée par des informations raisonnablement étayant des conclusions de sécurité spécifiques, tandis que la loi protège également un rapport d'être traité comme un aveu à certaines fins. Cela encourage un signalement précoce en situation d'incertitude. La chronologie du Note7 démontre pourquoi: attendre une explication physique parfaite aurait prolongé l'exposition. Il ne s'ensuit pas que toute solution provisoire devrait se poursuivre avec le même niveau d'incertitude. Un avertissement de cessation d'utilisation peut être préventif;

un remplacement du même produit nécessite une preuve de sécurité affirmative.

Les litiges privés ont créé une autre voie de responsabilité, mais les ordonnances judiciaires publiques doivent être lues pour ce qu'elles ont décidé. Dans l'affaire Schmidt v. Samsung Electronics America, des acheteurs de Note7 ont intenté des actions pour violation de garantie et responsabilité du fait des produits après les rappels. L'ordonnance du tribunal de district fédéral de 2017 traitait principalement des termes d'arbitrage et des recours collectifs, renvoyant certains litiges à l'arbitrage et rejetant les recours collectifs.

Elle n'a pas statué sur le mécanisme de défaillance des cellules, déterminé les dommages globaux ou établi que chaque allégation était vraie.

L'affaire révèle néanmoins une limite pratique de la solution. La responsabilité en matière de sécurité des consommateurs et l'indemnisation ne transitent pas par un seul forum. La CPSC peut coordonner les solutions de rappel, tandis que les réclamations économiques ou pour dommages corporels individuels peuvent se heurter à des contrats, à l'arbitrage, à la compétence et à des exigences de preuve. Un remboursement complet couvre la transaction d'achat. Il peut ne pas résoudre les dommages matériels, les blessures corporelles, l'interruption d'activité ou le coût en temps des échanges répétés.

Inversement, l'existence d'un procès n'établit pas la responsabilité.

Le droit des transports a imposé des obligations au-delà du rappel du produit. L' alerte de sécurité de la FAA de septembre rappelait aux opérateurs que les batteries au lithium rappelées ou défectueuses sont soumises à des restrictions de fret et de passagers en vertu des règles relatives aux matières dangereuses. L'ordonnance ultérieure spécifique au Note7 a rendu le contrôle sans équivoque. L'interdiction des compagnies aériennes n'était pas une constatation que chaque unité s'enflammerait.

C'était une décision de risque que la combinaison d'un statut d'unité incertain, d'une chaleur dangereuse connue et de conséquences en avion rendait le transport inacceptable.

L'arrêt et la récupération ont réduit l'exposition

La réponse finale a eu quatre éléments efficaces. Premièrement, Samsung a arrêté la production, les ventes et les échanges plutôt que de tenter une troisième population de batteries Note7. Deuxièmement, la CPSC a élargi le rappel formel pour effacer la distinction original-remplacement. Troisièmement, les opérateurs, les détaillants et les autorités de transport ont rendu l'utilisation et le déplacement continus plus difficiles. Quatrièmement, les mises à jour logicielles ont progressivement limité la charge ou l'utilisation du réseau sur les appareils non récupérés.

Ces mesures répondaient à différents points de défaillance. Un ordre d'arrêt de production a empêché une nouvelle exposition. Les remboursements et les modèles de substitution ont donné une issue aux propriétaires. Les contrôles des détaillants et des opérateurs ont atteint les clients par le biais des relations commerciales existantes. Les restrictions aéronautiques ont protégé un environnement partagé à haute conséquence. Les contrôles logiciels ont réduit l'exposition résiduelle parmi les personnes qui ignoraient, manquaient ou résistaient aux demandes de retour.

Les taux de récupération fournissent des preuves que le programme a atteint la plupart des utilisateurs. Un bulletin de sécurité ultérieur de l'AESA en 2017 enregistrait des informations de Samsung indiquant un taux de rappel de 94 % en Europe et de 96,5 % dans le monde début février 2017, et décrivait des mises à jour qui limitaient la charge puis désactivaient l'exploitation mobile. Le bulletin a retiré la recommandation spécifique à l'appareil en faveur de directives générales sur les batteries endommagées, défectueuses et rappelées après avoir noté les progrès de l'atténuation et l'absence de rapports récents de feu à bord.

Ce retrait est la preuve d'une exposition réduite au transport, pas une déclaration que les téléphones Note7 non récupérés étaient sûrs. De même, un taux de réponse de 97 % laisse une population résiduelle. À une échelle de millions, un petit pourcentage peut encore représenter de nombreux appareils, bien que les chiffres publics ne fournissent pas un dénominateur et une date cohérents pour un décompte résiduel exact. La désactivation logicielle était donc un contrôle de récupération, pas simplement un verrouillage commercial.

La réponse a également préservé l'incertitude de manière appropriée à des moments clés. La CPSC a enquêté sur l'événement de Louisville plutôt que d'annoncer une cause immédiate. Samsung a arrêté les échanges pendant que l'enquête se poursuivait. L'enquête finale a comparé les hypothèses sur l'appareil, la batterie, l'assemblage et la logistique. La critique la plus forte n'est pas que les décideurs ont agi avant de tout savoir. C'est que la première solution a rétabli l'usage normal avant que les preuves publiées ne puissent expliquer et exclure les modes de défaillance pertinents dans le processus de remplacement réel.

Ce que les enquêtes ont prouvé et ce qu'elles n'ont pas prouvé

Le dossier technique combiné soutient fortement les défauts des cellules de batterie comme source des événements thermiques du Note7 étudiés. Exponent et UL ont trouvé des chemins physiques de court-circuit interne dans les deux populations. Leurs mécanismes sont cohérents avec le propre compte rendu de Samsung. Les tests de charge au niveau de l'appareil n'ont pas révélé de déclencheur correspondant aux défaillances de terrain, et le travail circonscrit de TUV n'a pas identifié une dégradation de l'assemblage ou du transport routier comme cause.

Les rapports montrent également pourquoi une expression unique telle que défaut de batterie est inadéquate. Le problème de conception et de tolérance de A et le problème de soudure et d'isolation de B nécessitaient des contrôles différents. Remplacer une source pouvait résoudre le premier mécanisme tout en ne faisant rien pour contrôler le second. Une déclaration de cause racine utile pour la prévention doit identifier à la fois le mécanisme physique et le contrôle qui aurait dû l'attraper.

Les enquêtes ne divulguent pas chaque décision de sélection d'échantillons. UL a expressément déclaré que tous les échantillons de sa présentation étaient fournis par Samsung. Les présentations publiques ne listent pas l'univers complet des appareils retournés, la chaîne de possession pour chaque échantillon de terrain, la méthode de sélection aveugle, le taux de défaillance par lot ou la confiance statistique. Elles ne montrent pas si les unités gravement endommagées qui n'ont pas pu être diagnostiquées différaient systématiquement des unités analysées.

Elles ne reconstituent pas non plus la chronologie complète des décisions internes. Le dossier public ne montre pas le dossier de preuves présenté au dirigeant qui a autorisé la sortie du remplacement, les critères d'acceptation précis, les avis d'ingénierie dissidents, les exceptions d'audit des fournisseurs, les résultats d'imagerie lot par lot ou quand Samsung a appris pour la première fois chaque défaut de processus de B. Il ne peut donc pas établir si un avertissement connu a été ignoré ou si le défaut était véritablement non détecté jusqu'aux événements de terrain.

Les preuves publiques sont également insuffisantes pour attribuer toutes les pertes économiques. Les décomptes de rappels, les prévisions de bénéfices et les incidents signalés sont mesurables. Le temps agrégé des consommateurs, les données perdues, les dommages matériels, les coûts des opérateurs, les refacturations aux fournisseurs, le traitement des déchets et les recouvrements d'assurance ne sont pas divulgués dans un compte rendu consolidé. Les allégations de réclamation et les règlements privés ne peuvent pas être traités comme des totaux confirmés sans jugement ou dossiers complets.

Enfin, le dossier n'établit pas un décompte contrefactuel des incidents. Il ne peut pas dire combien de cellules A auraient finalement échoué sans le premier rappel, combien de défaillances B ont été évitées par le second, ou combien une période de qualification plus longue aurait changé la production. Ce sont des questions importantes, mais les données d'exposition et de processus nécessaires ne sont pas publiques.

Preuves de réparation après le Note7

La principale réparation technique de Samsung a été un contrôle de sécurité de la batterie en huit points. Il a ajouté ou renforcé les tests de charge-décharge, les tests de durabilité, l'inspection visuelle, l'inspection aux rayons X, le désassemblage, les tests de composés organiques volatils totaux, l'utilisation accélérée et les vérifications delta de la tension en circuit ouvert. La société a également décrit des mesures de sécurité multicouches couvrant la conception, la protection matérielle et les algorithmes de charge, et a créé un groupe consultatif externe sur les batteries.

Ces contrôles correspondent raisonnablement bien aux défauts observés. Les rayons X et le désassemblage peuvent révéler la déformation des électrodes, la position de la soudure et l'isolation manquante. Les tests de charge-décharge et d'utilisation accélérée peuvent appliquer une contrainte de cyclage. Les changements de tension en circuit ouvert et les composés volatils peuvent indiquer une fuite ou des conditions internes anormales. Les tests de durabilité sondent la tolérance au-delà du fonctionnement normal.

Les logiciels au niveau de l'appareil limitent la température, le courant et la durée de charge même s'ils ne peuvent pas réparer une brèche interne du séparateur.

Samsung a ensuite décrit comment il avait appliqué le processus au Galaxy S8. Son compte rendu d'ingénierie d'avril 2017 indiquait que la société avait créé plus d'espace physique autour de la batterie, ajouté un support de protection, modifié la conception de la batterie pour réduire la pression des électrodes, utilisé des algorithmes de charge plus sûrs et soumis les batteries et les appareils finis à des contrôles répétés. Il indiquait également qu'UL et Exponent avaient évalué la batterie du S8 par rapport aux exigences applicables.

C'est une preuve de mise en œuvre, mais c'est principalement un compte rendu de l'entreprise sur son propre produit successeur.

Le système de normes plus large a également changé. Le rapport d'état des batteries à haute densité énergétique de la CPSC pour l'exercice 2020 indiquait que le personnel avait entamé des discussions avec la CTIA après le rappel du Note7 pour examiner et réviser la norme IEEE 1725-2011 et la norme multicellulaire connexe. L'IEEE a approuvé une nouvelle édition de la norme 1725 en 2021. Le programme actuel de la CTIA décrit des audits de sites de fabrication, des cellules et blocs reconnus, des tests du système et des déclarations des fournisseurs.

Cette preuve soutient une constatation de réparation matérielle. Les contrôles ne se sont pas limités à dire aux fournisseurs d'être plus prudents. Ils ont ajouté une inspection au niveau du produit, une analyse destructive, une marge de conception, une utilisation accélérée, une traçabilité et des normes système. Le travail de normalisation de la CPSC indique que l'événement a également influencé le cadre industriel.

Ce qui manque encore, c'est une preuve de durabilité au même niveau de spécificité que l'enquête sur les défaillances. Les documents publics ne fournissent pas de taux annuels d'échappement de défauts, de conclusions anonymisées du groupe consultatif, de non-conformités d'audit, de données de rejet de modifications de processus des fournisseurs, de tests indépendants répétés ou de sensibilité de chaque contrôle aux mécanismes A et B. Un téléphone ultérieur qui satisfait aux exigences montre qu'un échantillon défini a répondu à un test. Il ne mesure pas la fréquence à laquelle le système continu détecte une échappée de production rare.

L'absence d'un autre rappel public de smartphone Samsung à l'échelle du Note7 est un historique opérationnel pertinent mais pas une preuve de causalité. Les conceptions de produits, les volumes, les fournisseurs, les pratiques de déclaration et les temps d'exposition diffèrent. Une période calme peut être compatible avec une réparation efficace, un risque latent plus faible ou des événements de faible fréquence non détectés. Une assurance solide combinerait les performances sur le terrain avec des données de contrôle transparentes.

De meilleurs contrefactuels commencent avant le premier échange

Le contrefactuel le plus simple est d'annuler le lancement jusqu'à ce que tous les défauts de batterie possibles soient connus. Cela n'est pas réaliste comme règle universelle car aucune qualification ne peut énumérer toutes les défaillances futures. Un contrefactuel utile demande quelles preuves, disponibles via des contrôles réalisables, auraient pu changer la décision.

Pour le fabricant A, une analyse de l'empilement dimensionnel sur la taille maximale des électrodes, le volume minimum de la poche, le gonflement et la déformation cyclique aurait pu remettre en question la marge du coin. Une imagerie tridimensionnelle et des sections destructives de lots de production auraient pu tester si le jeu de conception survivait à la variation de fabrication. Un cyclage accéléré dans l'appareil final aurait pu rechercher une contrainte de coin répétée. Si ces contrôles révélaient une déformation, Samsung aurait pu exiger plus de volume de poche, modifier la géométrie des électrodes ou retarder la sortie.

Pour le premier rappel, le contrefactuel plus sûr n'était pas nécessairement de laisser les originaux dangereux en service en attendant des mois. Samsung proposait déjà des remboursements et des échanges avec la famille Galaxy S7. Il aurait pu faire de ces alternatives la principale solution immédiate et retarder le remplacement du même modèle jusqu'à ce que le mécanisme A soit établi, le processus B ait mûri et que des lots représentatifs de la production à grande échelle aient passé des contrôles renforcés.

Cela aurait imposé des coûts commerciaux et pour les clients mais évité de déplacer un grand nombre d'utilisateurs vers une deuxième population non éprouvée.

Un remplacement par étapes était une autre option. Des lots limités auraient pu subir un échantillonnage destructif plus élevé, une utilisation accélérée plus longue et une surveillance renforcée sur le terrain avant la sortie nationale. Les critères de sortie auraient pu exiger une géométrie de soudure stable, une présence de ruban vérifiée, une traçabilité des lots et aucune anomalie thermique inexpliquée. Les preuves publiques ne peuvent pas prouver qu'un étagement aurait attrapé les défauts B, en particulier si le changement de processus pertinent s'est produit plus tard.

Cela aurait créé plus d'opportunités de détecter un processus changeant avant l'expédition de centaines de milliers d'unités.

La diversité des fournisseurs aurait dû être traitée comme une nouvelle analyse de danger, pas comme une preuve d'indépendance. Les ingénieurs pouvaient se demander comment le fournisseur alternatif pourrait échouer différemment, quelles caractéristiques critiques pour la sécurité étaient communes, quels contrôles étaient spécifiques au fournisseur et quel test au niveau du système attraperait un nouveau court-circuit interne. Le fait que B ne partageait pas le défaut de poche de A était nécessaire mais pas suffisant comme preuve.

Une fois les rapports impliquant des remplacements arrivés, le seuil correct pour un arrêt était plus bas qu'au lancement. La population de la solution avait été présentée comme la réponse sûre à un rappel pour incendie. Un rapport d'incendie crédible remettait donc en cause l'affirmation centrale de contrôle. Samsung et les partenaires de canal ont effectivement arrêté les ventes et les échanges le 10 octobre avant de publier le mécanisme final. Les documents publics ne permettent pas de jugement précis quant à savoir si cela aurait dû se produire après le premier rapport de remplacement ou si le temps d'enquête était déraisonnable.

La limitation logicielle de la charge pouvait atténuer l'exposition résiduelle mais n'était pas un substitut adéquat au rappel. Un état de charge plus faible peut réduire l'énergie disponible et désactiver un téléphone peut empêcher le cyclage normal, mais ni l'un ni l'autre ne supprime une protubérance de soudure interne, une isolation manquante ou un séparateur déformé. Samsung a utilisé les logiciels de manière appropriée comme outil de récupération après l'arrêt plutôt que de déclarer le matériel défectueux réparé.

Un test durable de responsabilité pour la qualification des remplacements

Le premier test est une frontière de danger précise. Avant de proposer un remplacement du même modèle, le fabricant peut-il énoncer ce qui distingue les unités affectées des unités non affectées en termes physiques, de processus et de traçabilité? Un nom de fournisseur, une icône ou une date de fabrication n'est utile que s'il correspond à une preuve de contrôle vérifiée.

Le deuxième test est l'exhaustivité du mécanisme. L'enquête a-t-elle identifié un mécanisme de défaillance suffisamment fort pour savoir ce que la solution doit changer? Si le mécanisme reste inconnu, la solution devrait éviter de rétablir la même exposition à moins que des preuves indépendantes n'établissent la sécurité par une autre voie robuste.

Le troisième test est la qualification représentative. Les échantillons de test proviennent-ils des usines, outils, opérateurs, matériaux, lots et cadences de production réels qui fourniront les remplacements? Un prototype ou un lot précoce ne peut pas prouver un état de montée en charge ultérieur. Les modifications de processus après la qualification doivent déclencher un examen proportionné à l'importance pour la sécurité.

Le quatrième test est la tolérance, pas la conformité nominale. La conception reste-t-elle sûre dans le pire cas des dimensions de la poche, de l'alignement des électrodes, de la hauteur de soudure, de l'épaisseur du séparateur, du gonflement, du vieillissement et de la contrainte physique? Une cellule à haute énergie nécessite une marge contre les combinaisons de petites variations, pas simplement une unité nominale qui réussit.

Le cinquième test est la détection des échappées. Quels contrôles peuvent trouver une déformation du coin, un ruban absent, une languette mal alignée ou une soudure haute avant l'expédition? Qu'est-ce qui est inspecté sur chaque cellule, qu'est-ce qui est échantillonné, qu'est-ce qui est détruit et quel est le taux de faux négatifs estimé? Une liste de contrôle sans sensibilité et logique d'échantillonnage ne peut pas démontrer la couverture.

Le sixième test est la propriété du système. Un responsable unique de la sécurité du produit est-il autorisé à arrêter à la fois le lancement original et la sortie de la solution à travers les équipes d'approvisionnement, d'ingénierie, de fabrication et commerciales? Les certificats des fournisseurs et la coopération des régulateurs devraient éclairer cette décision, pas la diluer.

Le septième test est l'escalade sur le terrain. Les incidents de remplacement sont-ils isolés et escaladés immédiatement parce qu'ils remettent en cause la solution elle-même? Samsung, les opérateurs, les détaillants et les régulateurs peuvent-ils concilier les numéros de série, les lots de batteries, l'état d'utilisation, les conditions de charge et les preuves de dommages sur une chronologie commune?

Le huitième test est la continuité du rappel. Les clients peuvent-ils recevoir des remboursements, des substituts et un emballage de retour sûr sans rester exposés ou perdre un service de communication essentiel? Les détaillants et les petits partenaires de canal sont-ils financés et formés pour les retours dangereux? Le programme mesure-t-il la récupération par région, canal et état de l'appareil plutôt que d'annoncer un pourcentage mondial unique?

Le neuvième test est la preuve publique. L'entreprise publie-t-elle les méthodes, les limites des échantillons, les hypothèses concurrentes et ce que les enquêteurs n'ont pas pu déterminer? Les conclusions de l'entreprise sont-elles distinguables des conclusions du régulateur et des travaux de laboratoire commandités? Un mécanisme détaillé est plus crédible lorsque la chaîne de preuves et l'incertitude sont visibles.

Le dixième test est l'assurance de réparation. Des audits ultérieurs montrent-ils que les contrôles en huit points, les marges de conception, la surveillance des fournisseurs et le contrôle des modifications restent actifs? Les échappées de défauts, les échecs de test et les actions correctives sont-ils rapportés en agrégat? La certification des produits successeurs et une longue période calme sont des signaux utiles, mais ils devraient être complétés par des preuves répétables.

La réponse au Note7 est finalement devenue suffisamment large et coûteuse pour contenir le risque. Samsung a abandonné un produit phare, soutenu des remboursements et des appareils alternatifs, utilisé des contrôles de canal et logiciels pour atteindre un taux de retour élevé, commandité un travail technique approfondi et modifié son système de sécurité des batteries. Les régulateurs ont converti le danger pour les consommateurs en rappels formels et restrictions de transport. Ces actions comptent et ne doivent pas être effacées par l'échec antérieur.

Elles ne valident pas non plus rétroactivement la première décision de remplacement. La leçon durable de ce cas est qu'un remplacement est une nouvelle affirmation de sécurité. Il doit être soutenu par des preuves issues de l'état réel de la conception et de la production, y compris les façons dont la nouvelle source peut échouer différemment de l'ancienne. Lorsque les clients obtempèrent à un rappel, l'institution qui contrôle la solution assume la responsabilité de veiller à ce que l'obtempération n'échange pas un danger connu contre un danger non reconnu.