要約

  • 確認された事象： 2013年1月7日、乗客と乗員が降機した後、ボストンに駐機中の日本航空787で補助動力装置用バッテリーの火災が発生した。1月16日には、上昇中の全日本空輸787にバッテリー故障表示と異臭が生じ、同機は高松へ目的地外着陸して緊急脱出を行った。この脱出時に乗客4人が軽傷を負った。2機は、搭載上の用途が異なるものの、同じ型式のバッテリーを使用していた。
  • 調査結果： 米国国家運輸安全委員会は、ボストン事象が1個のセルの内部短絡で始まり、熱暴走が隣接セルへ連鎖したと認定した。同委員会は、セル内部短絡がもたらす最も深刻な影響への緩和策をボーイングが規定しなかったこと、および型式証明で米国連邦航空局がその設計上の欠陥を特定できなかったことに起因する事象だと判断した。運輸安全委員会は、高松での伝播はセル6から始まった可能性が極めて高いと認定したが、内部短絡を生じさせた決定的な機序は特定しなかった。
  • 引き金、根本原因、寄与要因： 運航停止の引き金は、単なるバッテリー故障ではなく、9日間に起きた2件目の重大事象が今度は飛行中だったことである。説明責任上の根本的な失敗は、単一セルの熱暴走は伝播せず、航空機レベルの危険な影響も生じないというシステム安全上の前提が覆されたことにあった。寄与した状況には、実態を代表しない開発試験、重要な釘刺し試験での量産前かつ非接地のバッテリーの使用、発生率の過小評価、要求事項から試験までのトレーサビリティ不足、しわや異物片を混入させ得る製造工程、下位階層のセル工場まで有効に届かなかった監督が含まれる。
  • 統制と対応： GS ユアサはセルとバッテリーの製造を、タレスは電力変換サブシステムの統合を、ボーイングは航空機レベルの要求事項、サプライヤー統合、安全性評価、型式証明申請を管理した。認定代理人と FAA の技術者は、委任された範囲と FAA に留保された範囲の中で適合性を認定し、型式証明と耐空性改善命令を発行できるのは FAA だけだった。航空会社は当面の機材運用を管理し、調査当局は民事責任ではなく、自らの安全上の調査結果を所管した。
  • 回復： FAA は緊急耐空性改善命令によって米国登録の787を運航停止とし、新しいバッテリーと充電器、より厳格な動作制御、セル間の隔離強化、密閉鋼製容器、機外排気口を取り付けた後に運航復帰を承認した。2014年1月に成田で発生した事象では、再設計後のバッテリーの1セルが過熱したものの、伝播も周囲の機器室の損傷も生じなかった。日本の規制当局は、第2層と第3層の保護が機能した証拠と評価する一方、第1層がセルの過熱を防げなかったため、さらなる改善も求めた。
  • 説明責任に関する結論： 再設計は、影響の封じ込めが改善したことを示す有力な証拠となった。しかし、当初の認証上の前提を遡及的に合理化したわけでも、発端となり得るすべての機序を特定したわけでも、故障率ゼロのバッテリーを公に立証したわけでもない。持続的な保証には、セル工程の能力、バッテリーレベルの伝播耐性、想定し得る最悪の搭載条件下での航空機レベルの封じ込めという3つの階層で、継続的な証拠が必要である。

この事案が問うのはバッテリーのブランドではなく、安全境界である

この事案で決定的だった境界は、本来バッテリー内部にあるはずだった。セルが故障、ガス放出、過熱を起こすことはあっても、その事象は十分限定され、航空機を脅かす複数セルの火災には至らないと安全性解析は想定していた。ボストンのバッテリーが火災を起こし、高松のバッテリーで熱がセル間を伝播した時点で、その境界が実運用では信頼できないことが示された。したがって、説明責任の問題は、どの微細な欠陥がどのセルの故障を引き起こしたかという問いを超える。その境界を誰が定義し、どの証拠がそれを正当化し、誰がその証拠を審査し、発端となる機序を再構築できないときにどの統制が残っていたのかが問われる。

NTSB の調査完了ページは、ボストン事象の推定原因を組織的な観点から示している。すなわち、セルの内部短絡が連鎖的な熱暴走を引き起こし、ボーイングの設計要求の欠落と FAA の認証審査の失敗がこの事象につながったというものである。これは当事者による主張でも裁判所の判断でもなく、公的な安全調査の結論である。NTSB の事故調査報告書全文には、この結論の根拠となった証拠、分析、認定事項、勧告が収められている。その厳密さは重要である。報告書は、ボーイングが既知の火災を意図的に容認したとも、FAA 職員が不合格の試験を承知で免除したとも、特定された1個の粒子が短絡を引き起こしたと立証されたとも述べていない。

日本の調査も、異なる限界に達した点で同様に重要である。JTSB の最終報告書は、セル6を中心に、膨張、補強材との接触、大きな接地電流、アーク放電、伝播へ至る可能性の高い事象の流れを認定した。セルの発熱は内部短絡によって生じた可能性が高いとした一方、その短絡の決定的な発生機序は特定されなかった。2つの報告書を同一視すれば、中心的な教訓が失われる。調査機関は、最初の微視的な現象を立証できなくても、事象が深刻化した経路と統制の失敗を立証できるのである。

本分析では5つの区分を用いる。確認された事実とは、公的記録または同時期の正式な提出資料によって直接裏付けられる事項である。調査機関の認定とは、事故調査機関が安全に関する権限の範囲内で採択した結論である。企業の見解とは、ボーイングが何を述べ、何を行ったかを示す証拠ではあるが、因果関係や持続性についての独立した証明ではない。裏付けのある推論とは、正式に裁定された関係だと主張せず、確立した事実同士を結び付けるものである。未解決の問いとは、公開記録上なお決着していない事項である。反実仮想とは、事象の流れを断ち切り得た統制を記述するものであり、特定の人物が当時それを予見する法的義務を負っていたという主張ではない。

法科学的時系列：新技術から認証を受けた運航まで

2003年3月28日から2004年9月 - 申請と技術選定。 ボーイングは2003年3月に787-8の型式証明を申請した。2004年9月、同社は主バッテリーと APU 用バッテリーに大容量の充電式リチウムイオンバッテリーを使用する意向を FAA へ通知した。この化学系は、787の電動化を進めたアーキテクチャに軽量化と有用な電気性能をもたらしたが、これほど大型の搭載バッテリーを民間輸送機で使用した経験は限られていた。この技術選択自体は正当であり、新規性が生んだのは証拠を示す義務であって、過失の推定ではない。

詳細な統制はサプライチェーンに分散していた。ボーイングは電力変換サブシステムにタレスを選定した。タレスはリチウムイオンバッテリーに GS ユアサ、バッテリー制御装置にセキュラプレーンを選び、ボーイングも選定過程に参加した。GS ユアサは大型のコバルト酸リチウムセル8個を直列接続して製造し、バッテリーに組み立てた。同じ型式のバッテリーが、前方電子機器室では主バッテリー、後方機器室では APU 用バッテリーとして使用された。下位のサプライヤーが部品を設計・製造した場合でも、航空機レベルの統合と認証適合性の立証については、引き続きボーイングが責任を負った。

2005年から2007年 - 要求事項と特別条件。 FAA は、輸送機に関する通常のバッテリー規則では、この新規設計に十分対応できないと判断した。特別条件25-359-SC を収録した2007年の連邦官報は、内部故障、熱暴走、可燃性電解液、過充電、過放電への脆弱性を特定した。9項目の条件では、とりわけ、安全な温度と圧力、自己持続的で制御不能な温度または圧力上昇の防止、危険なガスと液体の管理、セルまたはバッテリー短絡時の最大発熱からの保護、充電制御、警告、継続耐空性指示が求められた。

これらの文言は強く見えるが、実際に強い要求である。問題は、最上位の安全要求を、前提、詳細要求、適合性を示す方法、代表性のある試験へ落とし込む過程で生じた。設計が制御不能な温度上昇を防がなければならないとする条件だけでは、内部短絡をどう発生させるか、何回試験するか、実機搭載時と同様にバッテリーを接地する必要があるか、どの温度で最も厳しい結果となるか、供試品を最終量産設計と一致させるべきかまでは規定されない。こうしたつながりは、認証計画と技術的証拠を通じて構築する必要があった。

2006年と2009年 - 開発段階の警告、変更、解釈。 JTSB の記録には、信号線が接続されていなかったため2006年の開発中に過充電火災が発生し、その後設計変更が行われたことが記されている。2009年には、統合システム試験で過大な充電が生じ、セルがガスを放出した。調査機関は、この事象を、過放電の反復後に大電流で再充電したことと関連付け、追加の是正が行われた。これらの事象は、ボストンで確認された機序と同一ではなく、無視された同種事象と呼ぶのは不正確である。しかし、バッテリーシステムが高エネルギーの故障状態に入り得ること、そして設計構成、電気的環境、制御ロジックが重要であることは示していた。

2006年に GS ユアサが実施した開発段階の釘刺し試験は、大きな影響力を持つことになった。1個のセルを熱暴走させたが、隣接セルへの伝播や火災は確認されなかった。後の NTSB の分析では、この試験はバッテリーの最高動作温度で行われず、航空機への搭載状態を完全には再現せず、複数のバッテリーで試験を繰り返さず、最終認証設計とは異なる開発品を使用していたことが判明した。実施されたとされる他のバッテリーレベルの開発試験には、NTSB が利用できる文書がなかった。認定用の耐久・乱用試験では、非伝播または封じ込めを実証するためにセルを熱暴走させておらず、供試バッテリーも搭載時のように接地されていなかった。

だからといって、認証が1回の安易な試験だけで構成されていたわけではない。ボーイング、サプライヤー、認定代理人、FAA 職員は、安全性評価、フォルトツリー、故障モード解析、認定試験、認証審査を用いた。より限定的だが重大な認定は、証拠の連鎖が、最も厳しい代表的条件下で重要な前提を検証しなかったということである。実施された活動は広範だったが、網羅性を欠いていた。

2011年8月26日 - 型式証明。 FAA は787-8に輸送カテゴリーの承認を与えた。ボーイングは電力システムの認証計画について FAA の承認を取得し、FAA は認定試験手順を審査し、型式検査承認を認め、最終報告書を受理した。ボーイングは2009年に組織指定承認を取得し、認定代理人が FAA に代わって指定範囲の適合性を認定できるようになっていた。型式証明を発行したのは FAA だけである。これを、ボーイングが自社のバッテリーを単純に自己認証したと表現すれば、調査が実際に検証した統制の分担と、公的機関に留保された権限を覆い隠すことになる。

法科学的時系列：2013年1月の2つの事象

1月7日、ボストン - 駐機中の航空機で発生した実火災。 日本航空008便は成田からボストン・ローガン空港に到着し、ゲートに駐機した。航空機の電力源は APU だった。現地時間10時21分ごろ、清掃員が後部客室で煙を発見し、整備責任者が APU の自動停止を確認し、後方電子機器室を開けた整備士が APU 用バッテリーケースのコネクター付近で濃煙と炎を発見した。乗客183人と乗員11人は全員すでに降機していた。整備員と清掃員に負傷者はなく、NTSB は対応した消防士1人が軽傷を負ったと報告した。

事象の流れは、事実調査報告書、写真、試験記録、公聴会資料、技術資料を収めた公開のNTSB DCA13IA037 ドケットに記録されている。バッテリーへの接近は困難で、航空機が無人だったにもかかわらず、事象は航空機レベルの影響を及ぼした。熱損傷、煙、可燃性電解液、火炎が、想定されていたセルレベルの境界を越えた。地上で発生したため人の曝露は軽減されたが、設計上の重大性が低下したわけではない。

調査機関は、ボストン事象について複数の代替原因を除外した。記録データには、故障前の過充電、過放電、大電流の外部短絡は示されなかった。検査では、発端となり得る外部熱源、擦れたバッテリーケーブル、機械的損傷、航空機電気系統の異常過渡現象は見つからなかった。部品試験と統合試験でも、充電器や関連外部部品が原因とは認められなかった。損傷はセル5と6の周辺に集中していたが、焼損のため、NTSB はどちらが事象を開始したか判断できなかった。同委員会は、そのどちらかに内部短絡が生じ、その後に伝播したと認定した。

1月11日 - 2件目の事象前に審査を発表。 FAA は、より広範な設計・製造審査を公表した。1月11日の声明で、FAA は重要システムを審査し、電気システムを重視して、設計、製造、監督を検証すると述べた。この時点で FAA は、全体像を把握する必要があるとしながらも、航空機への信頼を表明していた。これは規制上の対応であり、バッテリーが安全または危険だとする確定的な認定ではなかった。

1月16日、高松 - 危険が飛行中に移る。 全日本空輸692便は08時11分、東京へ向けて山口宇部を離陸した。08時27分、高度32,000フィートを上昇中、乗員はバッテリー故障メッセージを受け、操縦室で異臭を感じた。航空機は目的地外着陸を決め、08時47分に高松へ着陸した。乗員は08時49分、脱出スライドによる緊急脱出を開始した。搭乗者137人のうち4人が脱出時に軽傷を負った。JTSB は、損傷した主バッテリーから外部火災は発生しなかったものの、セルの熱、電解液、煙によって、目的地外着陸と緊急脱出を要するほど重大な飛行中のシステム事象が生じたと認定した。

この2件目の事象が、リスク判断を変えた。ボストンでは乗客の降機後に火災が発生し、高松では関連するバッテリー構造が飛行中に故障した。同日これに先立ち、JAL と ANA は787の運航を自主的に停止した。その後 FAA は緊急 AD 2013-02-51を発行し、後に2013年2月の最終規則として公表した。この規則は、バッテリー故障が重要なシステムまたは構造を損傷し、電気機器室で火災を引き起こす可能性があるとして、今後の飛行前に改修または他の承認済み措置を要求した。EASA は欧州の運航機にFAA の命令を採用し、他の当局も管轄下の航空機に対して措置を取った。

したがって、運航停止を引き起こした運用上の要因は、累積的で、異なる状況にまたがるものだった。すなわち、高エネルギーのバッテリー故障が2件、同じ型式のバッテリー、2つの搭載用途、9日間、確認された火災が1件、飛行中の目的地外着陸が1件である。規制当局は、死亡事故や微視的な根本原因の解明を待たなくても、制限なしの運航継続には十分な保証がないと結論付けることができた。

物理的に何が故障し、何が未解決のまま残ったのか

ボストンについて NTSB は、セル5または6の内部で短絡が生じたと認定した。そのセルが熱暴走に入り、熱と故障が隣接セルへ伝播し、煙、電解液、火災が続いた。同委員会は、過充電、過放電、外部短絡、外部加熱、搭載要因、航空機の環境条件は故障の発端ではなかったと認定した。これは公開記録にある最も確実に確認された技術的因果の連鎖である。

NTSB は製造についても調査した。GS ユアサは電極とセパレーターの層を円筒状の集合体に巻き、部分的に扁平化し、まとめた後、セル組立前に最終的な扁平化を行っていた。扁平化によって電極箔に乱れが生じる可能性があった。内部部品付近での溶接によって金属片が発生する可能性もあった。NTSB は、GS ユアサが巻き取り前の一部のしわを監視していた一方、巻き取り、扁平化、組立中に生じる乱れを正式には監視しておらず、異物片に関する工程も、異物の発生を発見、低減、防止するための標準化された統制ではなかったと認定した。検査の多くはセル完成後に行われ、相当程度、目視確認に依存していた。

同委員会の材料研究所事実調査報告書と最終分析は、しわ、折れ、リチウム析出、異物を関連する欠陥機序として記録した。NTSB は、その製造工程では、内部短絡を引き起こし得る欠陥が787用セルに混入し得たと結論付けた。ボストンで発端となったことが立証されたしわや粒子が1つ残存していたと特定したわけではない。この区別により、工程レベルの認定を、裏付けのない個別製品への非難へすり替えることを防げる。

高松について、JTSB はセル6が事象を開始した可能性が極めて高いと再構築した。熱と圧力でセルが膨張し、周囲の絶縁材が溶け、補強材との接触が可能になった。接地されたバッテリーボックスを通じて大電流が流れ、アーク放電が発生して、熱伝播を強めた。実機の接地構成を再現した試験では伝播が生じ得たが、電気的に浮いた構成では生じなかった。JTSB は、代表性のない開発試験と内部短絡の影響の過小評価が、伝播に寄与した可能性があると認定した。

内部短絡自体は未解決のまま残った。JTSB は、低温条件下でのリチウム析出、金属汚染、セパレーター損傷、不均一な巻き取りを検討したが、その機序を決定的には特定できず、他の設計または製造要因も排除できないと明記した。当時までに判明していた3件の注目すべき事象はいずれも1月に発生していたが、季節性は因果関係ではない。低温は仮説であり、最終認定ではなかった。したがって、擁護可能な説明はここまでにとどまる。すなわち、内部短絡がセル6で事象を開始した可能性が高いが、その短絡の正確な原因は不明だったということである。

引き金、根本原因、寄与要因

発端となった事象は観測可能で、発生時期も明確だった。ボストンの APU 用バッテリー火災と、高松で飛行中に発生した主バッテリー事象である。運航停止の引き金は、いずれの搭載位置でも既知のバッテリー故障モードに安全に耐えられるという信頼が失われたことだった。引き金は根本原因ではない。引き金が示すのは、いつ統制上の決定が必要になったかであり、なぜシステムが脆弱だったかではない。

NTSB が採択した推定原因に基づくボストンの物理的根本原因は、セル内部短絡とそれに続く連鎖的な熱暴走だった。システム上の根本原因は、要求事項と認証の失敗である。ボーイングのバッテリー安全性評価は、その短絡がもたらす最も深刻な影響を考慮せず、緩和策も規定しなかった。また FAA の審査は、その不備を特定できなかった。特別条件は、制御不能な温度と圧力の防止、および短絡時の発熱からの保護を要求していた。それにもかかわらず、詳細な証拠の連鎖は、想定し得る最悪の搭載条件全般で実証すべき結果ではなく、非伝播を前提として扱った。

第1の主要な寄与要因は、試験の代表性だった。影響力を持った釘刺し試験では、最終バッテリー設計、最高動作温度、搭載時の接地、反復試験が採用されていなかった。事象後に NTSB、UL、JTSB が行った試験では、これらの条件を変えると、熱暴走が伝播するか否かも変わり得ることが示された。教訓は、釘刺しがあらゆる自発的内部短絡を完全に再現するということではない。伝播を否定するために用いる試験は、その結論を支えられるだけの保守性、実機搭載状態の代表性、反復可能性を備えなければならないということである。

第2は確率の転用だった。ボーイングの安全性評価は、機械設計が類似する産業用セルについての GS ユアサのデータを用い、セルのガス放出を約1,000万飛行時間に1回と推定した。NTSB は、ボストンと高松の両事象が、787の全機累計で最初の約52,000飛行時間以内に発生し、予測を大きく上回ったと認定した。JTSB も別途、材料構成の異なる類似の産業用セルから導いた計算を批判し、使用された信頼水準の低さを指摘した。隣接分野で過去に故障がなかったことが、化学組成、容量、環境、工程の差に十分な余裕を持たせないまま、新たな用途の証拠として扱われた。

第3は要求事項のトレーサビリティだった。NTSB は、各特別条件、安全性評価上の前提、根拠、下位要求事項、適合性を示す方法のつながりが不明確だったと認定した。トレーサビリティが改善されていれば、内部短絡からの伝播に対処する明示的なバッテリー要求も、計画された熱暴走認証試験も存在しないことが明らかになった可能性が高い。同委員会の2014年のリチウムバッテリー認証に関する勧告は、最も厳しい結果をもたらす条件下で、搭載構成の単一セルに熱暴走を発生させる乱用試験、運用中の承認の見直し、独立した技術的専門知識の活用を求めた。

第4は製造と下位サプライヤーの監督だった。タレスは2011年と2012年に GS ユアサを監査したが、記録された不一致は、後に調査対象となったセル製造上の特徴を扱っていなかった。事象前、ボーイングは下位サプライヤーの監査をタレスに依存し、GS ユアサを監査していなかった。FAA も事象前にはセル工場を監査していなかった。事象後の監査では不適合が特定され、是正措置が講じられた。これは、監督がより有効であり得たという認定を裏付ける。すべての監査が形式的だったことや、開示されていない特定の不適合がいずれかの事象を引き起こしたことを立証するものではない。

第5は監視の分解能だった。バッテリーシステムは電圧と温度を監視していたが、局所的な内部短絡を、熱暴走を止められるほど早期に検出できるとは限らなかった。その後 NTSB は、個々のセルの温度と電圧を監視し、制限超過を記録することに加え、前兆と能動的な緩和策の研究を勧告した。使用可能なセンサーと遮断装置で阻止できるより速く内部で進行する機序を、検出によって制御できたと評価することはできない。

検知、対応、回復

検知は、予測的な安全監視装置ではなく、人と航空機のメッセージから始まった。ボストンでは、清掃員が煙を発見し、整備責任者が APU 停止を確認し、整備士がバッテリー火災を発見した。高松では、乗員がバッテリー故障メッセージを受け、異臭を感じた。これらの兆候は、事象がすでに進行した後の対応を可能にしたが、発端となった短絡を確実に早期警告するものではなかった。

初動対応は適切に保守的だった。消防士がボストン事象に対処した。高松の乗員は目的地外着陸を決め、離陸から約20分以内に着陸して緊急脱出を行った。JAL と ANA は FAA の命令前に運航を停止した。FAA は、最終事故報告書を待つのではなく、製品の危険な状態を対象とする手段である緊急 AD を用いた。各国当局はこの制限を採用、または同様の措置を取った。この流れにより、運用リスクの統制と、原因の確定とが切り分けられた。

その後、調査によって検知の範囲が広がった。CT スキャン、破壊を伴う物理分析、電気試験、記録データ、工場視察、搭載構成での伝播試験により、隠れていたセル事象が証拠の見取り図へ変換された。NTSB のドケットは基礎資料を保存し、日米両国の委員会は、国際民間航空条約第13附属書の安全調査原則に基づいて結論を導いた。JTSB の報告書は、その目的が責任や過失の配分ではなく、事故防止にあると明記している。この境界を、説明責任の分析であらゆる技術的認定を用いる際の指針とすべきである。

回復は段階的に進んだ。ボーイングが認証計画を提案し、FAA は2013年3月12日に承認した。ボーイングの認証計画に関する発表は、故障を減らすこと、製造と試験を強化すること、いかなる故障も航空機に影響しないよう封じ込めることの3層を説明した。これは意図する解決策についての企業の見解であり、旅客運航再開の承認ではまだなかった。

同社による設計詳細の発表は、より厳格な選別、製造管理、電気・熱絶縁、動作電圧範囲の見直し、充電器の変更、機外へ排気する鋼製容器を説明した。ボーイングは、当初の基準計画策定時には利用できなかった RTCA DO-311 を参考にしたと述べた。後に新しい規格を使用したことは是正措置の証拠であり、それ以前の認証時にボーイングが違反した規格として記述してはならない。

4月19日、FAA は立ち会い試験と分析を経て改修設計を承認した。運航復帰 AD 2013-08-12は、主バッテリーと APU 用バッテリーの容器および環境制御システムのダクトの取り付け、両バッテリーと充電器の交換、容器の排気用破裂板に関する整備プログラムの改訂を要求した。この命令は運航停止命令を置き換え、4月26日に発効した。対応するEASA の記録は、主要認証国以外でも継続耐空性のために採用されたことを示している。

回復は、発端となった1つの欠陥が除去されたことの立証には依存しなかった。発生確率を下げ、伝播確率を下げ、先の2層がともに失敗しても航空機レベルの影響を防ぐという、多層防御に基づいていた。発端が未解決である以上、これは合理的な対応だったが、従来の非伝播という前提へひそかに戻るのではなく、封じ込めを検証し続ける恒久的な義務も生んだ。

説明責任に関する統制の対応表

主体 事象前の実務上の統制 検知後の統制 提示すべき証拠
ボーイング 航空機レベルの要求事項、システム統合、サプライヤーへの要求展開、安全性評価、認証計画、最終製品の出荷、継続的な運航安全 3層の是正策の設計、整備指示、改修支援、サプライヤーの是正措置、運航機の監視 トレース可能な要求事項、保守的な前提、代表性のある乱用試験、サプライヤー監査の完了、構成とロットのトレーサビリティ、実運用事象の傾向
GS ユアサ セル材料、巻き取り、扁平化、溶接、電解液注入、バッテリー組立、検査、受入試験、製造変更管理 工程改訂、受入基準の厳格化、訓練、欠陥防止 工程能力、校正された検査、異物管理、CT 判定基準、不合格データ、変更の有効性が持続している証拠
タレス 電力変換サブシステムの統合、バッテリー・充電器サプライヤーへの要求展開、サプライヤー監査、インターフェース保証 変更後のバッテリー、充電器、要求事項の調整 検証済みインターフェース要求、下位サプライヤー監査の深度、変更承認、システム上の前提が部品の統制まで届いている証拠
セキュラプレーンおよび充電器・制御装置サプライヤー 割り当てられた仕様内でのバッテリー監視・制御装置の設計 充電器と監視機能の改修、試験支援 検出限界、遮断動作、電圧・温度余裕、異常状態試験の結果
FAA 認証基準、特別条件、留保された適合性認定、ODA 監督、型式証明発行、製造監督、継続耐空性に関する権限 緊急運航停止、認証計画と再設計の承認、強制 AD、取り付け監視、方針変更 前提への独立した検証、権限委任の境界、適合性を示す方法のトレーサビリティ、検査記録、継続的な安全審査
ボーイング認定代理人 FAA 承認範囲内で委任された適合性認定、適合性報告書と試験の審査 委任範囲内での再設計証拠の審査 判断の独立性の文書化、不明確な事項の上申、認定の完全性、FAA 要求事項へのトレーサビリティ
航空会社 整備、事象報告、運航可否判断、自主運航停止 機体の隔離、乗員の対応、運航機材の停止、改修実施、現地当局の承認後に限った復帰 正確な不具合報告、証拠保全、整備構成、適合記録、運用傾向データ
NTSB および JTSB 設計承認権限も運航権限も持たず、事象後の独立した安全調査権限を持つ 証拠保全、試験、認定、安全勧告 事実、分析、確率、未解決の機序を明確に区別すること
乗客と乗員 危険に曝されるが、設計、サプライヤー、認証の証拠にはほぼアクセスできない 乗員による目的地外着陸と緊急脱出、乗客による指示の遵守 統制権限を持つ組織からの明確な運航手順と率直なリスク情報

この対応表は、よくある2つの誤りを防ぐ。第1に、サプライヤー側に原因があっても、統合者の説明責任は消えない。ボーイングは電極を巻いていなかったが、航空機レベルの安全性の命題を管理し、製造承認保有者だった。第2に、公的な認証が申請者の説明責任を消すわけではない。証明書を発行し、監督義務を保持したのは FAA だけだったが、ボーイングには、適合性を実証し、提出するデータと前提を検証する義務があった。

権限委任は責任を複雑にするが、消滅させるものではない。NTSB は、ボーイングの認定代理人と FAA の認証担当技術者が、内部短絡の最も深刻な影響を欠いた評価を審査したと認定した。この失敗は委任の境界をまたいでいた。共有された証拠モデルが重要な危険を除外しているなら、各主体が割り当てられた審査を行うだけでは不十分だった。

2014年の共同ボーイング787重要システム審査チーム報告書は、航空機全体として意図された安全水準を満たしていると結論付ける一方、要求事項の展開の不整合、検証の欠落、サプライヤー間の意思疎通の問題、検査権限委任のばらつき、拡大した国際サプライチェーンに完全には適合していない FAA 方針も特定した。その対象範囲はバッテリーを超えていた。FAA とボーイングの人員が共同で指揮し、参加した報告書であるため、組織的審査と是正措置を示す有用な証拠ではあるが、NTSB や JTSB と同等の独立事故調査ではない。

法的・規制上の境界

法的な出発点は型式証明である。合衆国法典第49編44704条の公式文は、製品が適切に設計・製造され、適切に機能し、適用基準を満たすと認定した後に型式証明を発行する権限を FAA 長官に付与し、安全のため必要と考える試験を行わせることを認めている。現行条文には2013年以降に制定された改正が含まれる。本稿では、申請者が提出する証拠と FAA による発行との間の恒久的な役割分担を説明するためだけに用い、後年の追加規定を787のバッテリー認証へ遡及適用しない。

適用された認証基準には、14 CFR Part 25と2007年の特別条件が含まれた。特別条件は法的に787-8の認証基準の一部だった。その存在は、この新規バッテリーの危険が組織的に認識されていたことを示す。後の調査結果は、熱暴走に言及する規則がなかったというものではない。適合性を示す方法、前提、試験では、その条件が求める保護を十分に実証できなかったというものだった。

耐空性改善命令は、製品安全に関する強制規則である。緊急命令は、危険な状態に対処する承認済み改修または他の措置が取られるまで、対象機を運航停止とした。4月の命令は、復帰のための具体的な構成を義務付けた。いずれの命令も、刑事告発、損害賠償裁定、故意の認定ではない。継続耐空性に関する権限に基づく規制上のリスク判断だった。

NTSB と JTSB の報告書は民事判決ではない。両機関の任務は事故防止に重点を置く。NTSB の推定原因に関する文言は、その安全上の結論として権威を持つが、それ自体で過失、契約上の配分、懲罰的損害賠償、刑事責任を判断するものではない。JTSB は責任配分を行わないと明記している。同様に、再設計が包括的または恒久的だとするボーイングの声明は、是正過程での企業の主張だった。法的責任を認めたものではなく、その楽観的な文言で規制当局や実運用の証拠を代替することはできない。

2013年6月に開かれた787の教訓に関する議会の公聴会記録と、運輸省の認証に関する証言は、監督をめぐる問いと、再設計承認についての FAA の説明を記録している。証言は組織の見解と精査を示す証拠だが、裁判所の処分ではない。本稿が用いた公開記録は、ボーイング、タレス、GS ユアサ、FAA のいずれかが、特定の請求者に対する私法上の特定の義務を負い、またはそれに違反したとする司法判断を裏付けていない。

規格にも、時間軸を厳密に扱う必要がある。RTCA DO-311 は再設計の認証には使用されたが、当初の787計画が策定された時点では利用できなかった。2015年発行の FAAアドバイザリー・サーキュラー20-184は、搭載型充電式リチウムバッテリーに関する後年の指針を示し、助言資料自体は規則ではないと述べている。これは是正措置を示す有用な証拠であり、現代的な基準でもある。2015年のアドバイザリー・サーキュラーが2005年に拘束力を持っていた、または2011年に違反されたという証拠ではない。

反実仮想としての統制

最も有力な反実仮想は、認証前の代表性ある伝播試験である。最終構成のバッテリーを、航空機と同等に接地して搭載し、承認された温度と電気的条件のうち最も厳しい状態で動作させ、信頼性のある単一セル内部短絡手法を繰り返し適用する。合格基準では、1個のセルがガスを放出したかだけでなく、隣接セルへ伝播したか、電解液やガスが漏出したか、アーク放電経路が形成されたか、航空機システムが保護されたかも評価する。事象後の試験は、この統制によって誤った非伝播の前提が露呈した可能性を示唆する。ただし、その試験でボストン事象を意図どおり正確に再現できたと立証するものではない。

第2の反実仮想は、前提を明示的に統治することである。安全上重要な各主張に、責任者、根拠、情報源、不確実性の範囲、検証方法を定め、要求事項と適合性資料まで追跡可能にする。セル内部短絡は伝播しないという前提を、GS ユアサ、タレス、ボーイング、FAA の文書間で暗黙に継承される見えない前提ではなく、審査項目として提示する。そうすれば、独立技術委員会が、最終的な化学組成、容量、搭載状態、環境への適用可能性を検証できる。

第3は、保守的な確率の扱いである。類似する産業用セルの故障データは、材料、製造、負荷、環境の同等性が実証されるまで、航空機用セルの発生頻度を直接推定する値ではなく、参考情報として扱う。不確実性は航空機レベルの分析まで引き継ぐ。影響が深刻でデータが乏しい場合には、安心感を与える一点推定値にかかわらず、封じ込めを要求する。

第4は、下位サプライヤー工程の検証である。ボーイングとタレスが共同でセルの重要特性を対応付け、扁平化と溶接工程を観察し、乱れと異物について測定可能な限界値を定め、CT の分解能と検出確率を検証し、ロットや工程変更をまたいで記録を抽出確認することもできた。FAA の製造監督は、機能上の電気的冗長性があっても、共通の物理的故障で熱、煙、電解液が放出され得るため、バッテリーを重要部品として扱うことができた。この反実仮想は欠陥流出の確率に対処するものであり、潜在的な微細欠陥をすべて除去できると保証するものではない。

第5は、当初設計から航空機レベルの封じ込めを組み込むことである。1個以上のセルがいずれ熱暴走に至ると当初の搭載設計で想定していれば、最悪事象にも十分耐える密閉型の機外排気容器と隔離構造が、基準となる認証に組み込まれていただろう。発端となるすべての機序の特定に依存しないため、これは最も堅牢な反実仮想である。後の再設計は、本質的にこの影響重視の論理を採用した。

第6は、高分解能の実運用監視と閾値の見直しである。個々のセルのデータ、制限超過の記録、バッテリーの取り外し、充電器事象、製造ロット識別情報を、あらかじめ定めた発動条件の下で集約できた。運航開始間もない機材で高エネルギー事象が1件発生すれば、従前の発生率推定と運用範囲を直ちに再評価する。監視は封じ込めの代わりにはならないが、前提の破綻から統制措置までの時間を短縮する。

これらの反実仮想は工学上の命題である。特定の人物が意識的にこれらを拒んだ、または後年の指針の全要素が当時も法的に義務付けられていたという主張へ変えてはならない。その価値は、実務上の統制がどこに存在し、異なる証拠設計ならどこで事象の流れを断ち切れたかを示すことにある。

是正の証拠：運航復帰前に何が変わったか

再設計は3つの階層に対処した。セルとバッテリーの階層では、ボーイングとサプライヤーが、絶縁、端子金具、排液、製造・受入工程、電圧範囲、過放電保護、配線保護、排気経路を変更した。伝播の階層では、熱的・電気的な隔離を追加し、セル間およびセルとバッテリーケース間の伝達を低減した。航空機の階層では、バッテリーを密閉ステンレス鋼製容器に収め、熱、圧力、ガス、電解液を機外へ排出するチタン製ダクトに接続した。

FAA は、プレスリリースを受け入れただけではない。認証計画を承認し、試験に立ち会い、分析を審査し、設計変更を承認し、AD によってその構成を義務付け、米国機への取り付けを監視すると述べた。ボーイングの4月19日の承認発表は、1か月に及ぶ監督下の認証試験と、10万時間を超える技術・試験作業を報告した。これらの数値はボーイングによるもので、試験の完全性を独立に立証するものではないが、強制 AD は、FAA が運航復帰に向けて設計を受け入れたことを裏付ける。

ボーイングの2013年年次報告書は、すでに引き渡していた50機に改良を実施し、第2四半期に納入を再開したと記している。これは、計画段階の是正策にとどまらず、運航機全体の規模で実施された証拠である。ただし、各管轄下の航空機については、運航会社と外国規制当局が引き続き復帰を管理した。

調査を受けた勧告は、是正をハードウェアの範囲外にも広げた。NTSB の最終報告書は、製造承認保有者と下位サプライヤーに対する FAA 監督の強化、発熱源とセル監視の規格、客観的な自己発熱試験、安全性評価の前提の明示、要求事項から適合性を示す方法までのトレーサビリティ、訓練を勧告した。また、ボーイングにはサプライヤー監督と安全性評価の検証の改善、GS ユアサには製造工程と従業員訓練の見直しを勧告した。別のNTSB からボーイングへの書簡は、企業に向けた勧告を記録しているが、それが制裁だったと示唆するものではない。

JTSB は、実機搭載状態を代表する試験、リチウムイオン技術規格の見直し、787の故障率推定の再検討、熱伝播の見直し、接触器の挙動評価、内部短絡の継続研究、バッテリー品質の改善を勧告した。JTSB のFAA への正式勧告は、実証された伝播と未解決の発端とを区別している。JTSB が公表した FAA の回答記録は、勧告が国際的なフォローアップ過程に入った証拠である。ただし、公開された添付資料の形式からは、長期的な有効性を独立に示す単純な評価値は得られない。

2014年の成田事象は、成功の証拠であると同時に警告でもあった

2014年1月14日、再設計後、成田に駐機していた日本航空の787から白煙が目視され、主バッテリーに関するメッセージが表示された。調査では、セル5が過熱し、その破裂板が開いていたことが判明した。電解液の残留物は容器内にとどまり、外部排気口付近にも見られた。周囲の電子機器室は清浄で損傷がなく、隣接するセル6には限定的な熱影響が見られたものの、他のセルは電圧を維持していた。

国土交通省航空局の発表と評価書全文は、均衡の取れた評価を示した。航空局は、再設計の第2層がセル間伝播を防ぎ、第3層が航空機を保護したと認定した。安全な飛行能力は維持されたと結論付けた一方、第1層が1個のセルの過熱を防げなかったことも指摘し、信頼性の一層の向上と考えられる原因に関する継続的な取り組みを求めた。

この事象は、封じ込め構造について公に確認できる、この事案に固有の最良の試験となった。計画された認証試験ではなく、改修済みバッテリーで実運用中に起きた故障だった。その結果は、再設計が事象の深刻化を実質的に変えたという推論を裏付ける。1個のセルは故障したが、バッテリー全体と周囲の機器室は、ボストンや高松の損傷を再現しなかった。これは是正の有力な証拠である。

ただし、考え得るすべての故障を封じ込められる証明ではない。1件の事象だけでは、すべてのセル位置、充電状態、気流、容器の状態、排気口の閉塞、整備ミス、複数セルでの同時発生を網羅できない。また、航空局も過熱原因を認定しなかった。金属粒子、リチウム析出の可能性、しわ、電解液のばらつき、結露、低温環境が検討されたが、発端を特定する客観的証拠はなかった。したがって、この事象は、セル故障の発端に関する問いを未解決のまま保ちつつ、封じ込めの重要性を実証している。

持続的な是正の証拠はどのようなものであるべきか

セル工程の証拠には、電極位置、巻き取り時の乱れ、セパレーターの状態、溶接片、汚染、水分、電解液充填に関するロット単位の工程能力、検査の検出率、校正された CT 判定基準、不合格と手直しの傾向、工程変更の承認記録が含まれるべきである。品質管理を改善したという声明は出発点にすぎず、持続性の尺度ではない。

バッテリーシステムの証拠には、製造上のばらつき、温度、経年、充電状態、接地された搭載構成を横断した反復乱用試験が含まれるべきである。隔離、配線の健全性、接触器の挙動、監視性能、圧力管理を実証しなければならない。結果は、合格した代表例だけでなく、分布と故障も示すべきである。

航空機の封じ込めに関する証拠には、容器の漏れ検査、排気経路の点検、破裂板の整備、腐食の影響、取り付け適合性、想定し得る最悪のガス・熱・圧力試験が含まれるべきである。封じ込めは現在、最後の防御線であるため、その密閉部とダクトの整備を付随的なハードウェア保守として扱うことはできない。

運航機の証拠では、取り外し、警告、煙または異臭の報告、セルのガス放出、充電器故障、整備所見を、航空機、バッテリー、セルのロットに結び付けるべきである。発生率は、信頼区間と曝露量の分母を用いて再計算すべきである。新たな公的運航停止が長期間ないことは信頼を支えるが、大きく報道されないことと、信頼性データセットが公表されることは同じではない。

ガバナンスの証拠では、監査所見の完了、前提の定期的な見直し、異常なバッテリーへの独立したアクセス、下位サプライヤーの変更に対する規制当局の可視性、明確な上申閾値を示すべきである。検証済み構成の後に、文書化されていない材料、工程、ソフトウェア、整備の変更が続けば、安全保証は劣化する。

構成の証拠では、各航空機への搭載を、その時点で有効な容器、ダクト、充電器、バッテリー、セル群、整備改訂版、承認済みソフトウェアまたは制御ロジックと正確に結び付けるべきである。ある構成で合格した試験が、後の材料変更、検査閾値の変更、製造工程の変更を暗黙に正当化することはできない。異常な電圧、異臭、ガス放出、熱の兆候を示して取り外したバッテリーは、破壊検査前に充電状態と運用履歴を記録して隔離すべきである。そのうえで調査機関と規制当局は、重大な故障だけでなく、異常なしという所見にもアクセスする必要がある。外見上は損傷のない取り外し品に、焼損したバッテリーではもはや保存できない機序の初期段階が現れている可能性があるためである。この連鎖によって、個別の整備事象を利用可能な前兆証拠へ変換でき、傾向が特定のロット、特定の工程状態、承認済み設計そのもののいずれに限定されるかを型式証明保有者が判断するための、擁護可能な根拠が得られる。

これらの区分について、公開されている証拠には偏りがある。AD、認証活動、実施済み改修、事故調査報告書、成田事象の結果は、航空機レベルの危険が低減されたことを示す相当な証拠である。一方、公開記録では、長期にわたるセルロットの完全なデータ、サプライヤー監査の全結果、すべての容器試験、現在の偽陰性率、独立に再現可能な傾向分析は開示されていない。この欠落は、性能が低いことを立証するものではない。外部の者が持続性を検証できる確度を制限するものである。

未解決の問い

第1の未解決の問いは、実運用で故障した各バッテリーの微視的な発端を正確に特定することである。ボストンではセル5または6の内部短絡まで絞り込まれたが、残存する1つの欠陥までは特定されなかった。高松ではセル6が発端である可能性が高いところまで絞り込まれたが、短絡の機序は特定されなかった。成田ではセル5の内部短絡まで絞り込まれたが、考えられる原因は立証されなかった。

第2は、組織横断的な審査がなぜ非伝播を受け入れたのかである。記録は試験とトレーサビリティの弱点を特定しているが、内部でのすべての議論、異論、日程上の決定、承認理由を示してはいない。証拠なしに隠蔽、悪意、意図的な回避を推論することは、名誉を毀損しかねない行き過ぎである。

第3は、製造上の是正が時間の経過とともにどの程度機能したかである。事象後の監査では不適合が発見されて是正され、改修後の設計は運航実績を積んだ。しかし、本稿で検討した公開記録には、GS ユアサの787用セルについて、独立した工程能力や欠陥流出指標の連続的なデータはない。

第4は、その後の監視と規格変更によって一連の勧告が完全に解決されたかどうかである。FAA の2015年の指針とその後の規格策定作業は、組織的な学習を示す。しかし、指針には助言的なものもあり、勧告の対応状況は、リスクの完全な除去より狭い範囲の文書化された措置によって決まる場合がある。現在の各承認は、それぞれの認証基準と証拠に照らして判断しなければならない。

第5は、複数の故障が同時発生した場合、または整備不良で封じ込め機能が低下した場合の正確な限界である。再設計は試験され、成田事象は単一セルの過熱に対する実運用上の裏付けを与えた。公開資料は、専有情報である想定し得る最悪条件の適合性試験結果をすべて開示してはいない。適切な結論は、実質的な改善に高い確信があるということであり、航空機レベルの影響が物理的にあり得ないという主張ではない。

結論：認証は、原因を説明できないセル故障にも耐えなければならない

787のバッテリー事案は、危険な化学系を箱で是正したという単純な話ではない。リチウムイオン技術は正当な性能上の利点をもたらし、改修後のアーキテクチャによって運航機は復帰した。より根深い失敗は証拠にあった。安全性評価では内部短絡が限定的な範囲にとどまると想定したが、それを支える試験は、最も厳しい関連条件下での最終搭載システムを再現していなかった。製造工程は潜在的欠陥を混入させる可能性があり、監視では熱暴走前に検出できない場合があり、認証の連鎖は、結果として生じる伝播にバッテリーと航空機が耐えることを要求しなかった。

調査機関は統制を厳密に割り当てた。GS ユアサの工程では、短絡を引き起こし得る欠陥機序が混入する可能性があった。タレスは統合と下位サプライヤーに関する責任を負っていた。ボーイングは航空機レベルの要求事項、サプライヤー統合、適合性の立証を担っていた。認定代理人と FAA の技術者が証拠を審査し、FAA は証明と耐空性に関する権限を保持した。航空会社と乗員は当面の運航を管理した。NTSB と JTSB は、民事・刑事責任を他の機関に委ねたまま、事故防止を目的とする調査結果を示した。

回復が成功したのは、完全な説明を1つ得ることに依存しなくなったからである。発生を減らし、伝播を妨げ、故障を客室と機器室の外に封じ込めた。その後の成田事象は、このアーキテクチャが重要である理由を示した。第1層はセル事象を防げなかったが、後段の層が以前のような連鎖と機器室の損傷を防いだ。この結果は、セルは決して故障しないという約束より説得力がある。

したがって、持続的な説明責任を問う基準は明快である。発端となる欠陥がまれで、微視的で、事象によって焼失し得る高エネルギー部品について、安全性を、類似製品で故障が観測されなかったことや、1回の好ましい乱用試験の結果に委ねることはできない。申請者は、前提を明らかにし、最終搭載構成を想定し得る厳しい条件で試験し、下位サプライヤーの製造を管理し、利用可能な曝露量の分母を用いて運航機を監視し、防止と診断が失敗しても有効な最後の防御線を維持しなければならない。規制当局は、その連鎖を独立して検証しなければならない。ボーイング787が運航に復帰できたのは、封じ込めが立証の一部になったときであり、持続的な説明責任には、その立証を常に最新の状態に保つことが求められる。