Incêndios nas baterias do Boeing 787 tornaram a contenção de runaway térmico um teste de responsabilidade de certificação

Resumo

• Eventos confirmados:Em 7 de janeiro de 2013, um Boeing 787 da Japan Airlines estacionado em Boston sofreu um incêndio na bateria da unidade de potência auxiliar depois que passageiros e tripulação haviam saído. Em 16 de janeiro, um Boeing 787 da All Nippon Airways em subida recebeu uma indicação de falha da bateria e um odor incomum, desviou para Takamatsu e evacuou; quatro passageiros sofreram ferimentos leves durante essa evacuação. As duas aeronaves usaram o mesmo modelo de bateria para funções instaladas diferentes.
• Conclusões da investigação:O National Transportation Safety Board dos EUA concluiu que o evento em Boston começou com um curto interno em uma célula, seguido por runaway térmico que se propagou para células adjacentes. Ele atribuiu o incidente à falha da Boeing em especificar mitigação para os efeitos mais severos de um curto interno de célula e à falha da Federal Aviation Administration em identificar essa deficiência de projeto na certificação de tipo. O Japan Transport Safety Board concluiu que a célula 6 muito provavelmente iniciou a propagação em Takamatsu, mas não identificou o mecanismo conclusivo que criou o curto interno.
• Gatilho, causas raiz e fatores contribuintes:O gatilho operacional para o aterramento não foi apenas uma bateria com falha; foi o segundo evento grave em nove dias, desta vez em voo. A falha de responsabilidade raiz foi uma premissa de segurança do sistema não validada de que o runaway térmico de uma única célula não se propagaria nem produziria efeitos perigosos no nível da aeronave. Condições contribuintes incluíram testes de desenvolvimento não representativos, uso de uma bateria de pré-produção e não aterrada em um teste-chave de penetração de prego, subestimação das taxas de ocorrência, rastreabilidade incompleta de requisitos para testes, processos de fabricação capazes de introduzir rugas ou detritos estranhos e supervisão que não alcançou efetivamente a fábrica de células subcontratada.
• Controle e resposta:A GS Yuasa controlava a fabricação de células e baterias; a Thales controlava a integração do subsistema de conversão de potência; a Boeing controlava os requisitos no nível da aeronave, integração de fornecedores, avaliação de segurança e pedido de certificação de tipo; representantes autorizados e engenheiros da FAA fizeram constatações de conformidade dentro de escopos delegados e retidos, enquanto apenas a FAA podia emitir o certificado de tipo e as diretivas de aeronavegabilidade. As companhias aéreas controlavam o uso imediato da frota, e as autoridades investigativas controlavam suas próprias conclusões de segurança, não a responsabilidade civil.
• Recuperação:A FAA aterrou os 787 registrados nos EUA através de uma diretiva de aeronavegabilidade de emergência e aprovou o retorno após a instalação de novas baterias e carregadores, controles operacionais mais rigorosos, isolamento adicional de células, um invólucro de aço selado e um respiro externo. Um evento em Narita em janeiro de 2014 superaqueceu uma célula da bateria reprojetada sem propagação ou danos ao compartimento de equipamentos ao redor. O regulador do Japão tratou isso como evidência de que as segunda e terceira camadas de proteção funcionaram, ao mesmo tempo em que pediu melhorias adicionais porque a primeira camada não impediu o superaquecimento da célula.
• Conclusão sobre responsabilidade:O redesenho forneceu fortes evidências de que a contenção de consequências havia melhorado. Ele não tornou retrospectivamente razoáveis as premissas originais de certificação, não identificou todos os mecanismos iniciadores e não provou publicamente uma bateria com zero falhas. Garantia duradoura requer evidências contínuas em três níveis: capacidade do processo de células, resistência à propagação no nível da bateria e contenção no nível da aeronave sob as piores condições instaladas críveis.

O caso é sobre um limite de segurança, não uma marca de bateria

O limite decisivo neste caso deveria estar dentro da bateria. Uma célula podia falhar, ventilar ou superaquecer, mas a análise de segurança assumiu que o evento permaneceria limitado o suficiente para não se tornar um incêndio de múltiplas células ameaçando a aeronave. Uma vez que a bateria de Boston produziu fogo e a bateria de Takamatsu propagou calor entre as células, esse limite mostrou-se não confiável em serviço. A questão de responsabilidade, portanto, vai além de perguntar qual defeito microscópico iniciou qual célula.

Pergunta quem definiu o limite, que evidência o justificou, quem revisou essa evidência e que controles permaneceram quando o mecanismo iniciador não pôde ser reconstruído.

A página de investigação concluída do NTSB declara a causa provável de Boston em termos institucionais: um curto interno de célula levou a runaway térmico em cascata, e o incidente resultou da falta de requisitos de projeto da Boeing e de uma falha na revisão de certificação da FAA. Essa é uma conclusão oficial de segurança, não uma alegação de um litigante e não um julgamento judicial. O relatório completo do incidente do NTSB contém as evidências, análise, conclusões e recomendações por trás dessa declaração. Sua precisão importa.

Não diz que a Boeing aceitou intencionalmente um incêndio conhecido, que um funcionário da FAA conscientemente dispensou um teste reprovado ou que uma partícula identificada foi comprovada como tendo causado o curto.

A investigação do Japão é igualmente importante porque alcançou um limite diferente. O relatório final do JTSB encontrou uma sequência provável de eventos em torno da célula 6, inchaço, contato com uma barra de suporte, grandes correntes de terra, arco elétrico e propagação. Disse que a geração de calor da célula foi provavelmente causada por um curto interno, mas o mecanismo conclusivo desse curto não foi identificado. Tratar os dois relatórios como intercambiáveis apagaria uma lição central: os investigadores podem provar o caminho de escalada e a falha de controle sem provar o primeiro ato microscópico.

Esta análise usa cinco rótulos. Umfato confirmadoé diretamente estabelecido por um registro oficial ou arquivo formal contemporâneo. Umaconclusão investigativaé uma conclusão adotada por um órgão de investigação de acidentes dentro de seu mandato de segurança. Umaposição da empresaé evidência do que a Boeing disse ou fez, mas não prova independente de causalidade ou durabilidade. Umainferência apoiadaconecta fatos estabelecidos sem afirmar que a conexão foi formalmente julgada. Umaquestão não resolvidapermanece em aberto no registro público. Umcontrafactualdescreve um controle que poderia ter interrompido a sequência;

não é uma afirmação de que uma pessoa específica era legalmente obrigada a prevê-lo na época.

Linha do tempo forense: da tecnologia inovadora ao serviço certificado

28 de março de 2003 a setembro de 2004 – pedido e escolha tecnológica.A Boeing solicitou um certificado de tipo para o 787-8 em março de 2003. Em setembro de 2004, informou à FAA que pretendia usar baterias recarregáveis de íon-lítio de alta capacidade para funções principais e da APU. A química oferecia menor peso e desempenho elétrico útil para a arquitetura mais elétrica do 787, mas a experiência em transporte comercial com baterias tão grandes instaladas era limitada. A escolha tecnológica foi legítima; a novidade criou uma obrigação de evidência, não uma presunção de culpa.

A cadeia de fornecedores distribuiu o controle detalhado. A Boeing selecionou a Thales para o subsistema de conversão de potência. A Thales selecionou a GS Yuasa para a bateria de íon-lítio e a Securaplane para a unidade de controle da bateria, com a Boeing participando do processo de seleção. A GS Yuasa fabricou oito grandes células de óxido de cobalto-lítio conectadas em série e as montou na bateria. O mesmo modelo de bateria serviu como bateria principal no compartimento de eletrônicos dianteiro e bateria da APU no compartimento traseiro.

A Boeing permaneceu responsável pela integração no nível da aeronave e pela demonstração de certificação, mesmo quando níveis inferiores projetaram e fabricaram componentes.

2005 a 2007 – requisitos e condições especiais.A FAA concluiu que as regras comuns de baterias para aeronaves de transporte não abordavam adequadamente o projeto inovador. O Registro Federal de 2007 contendo as Condições Especiais 25-359-SC identificou suscetibilidade a falha interna, runaway térmico, eletrólito inflamável, sobrecarga e descarga excessiva.

Suas nove condições exigiam, entre outras coisas, temperaturas e pressões seguras, prevenção de aumentos descontrolados e autossustentáveis de temperatura ou pressão, controle de gases e fluidos perigosos, proteção contra calor máximo durante um curto de célula ou bateria, controle de carga, avisos e instruções de aeronavegabilidade continuada.

Essas palavras parecem fortes porque são fortes. O problema surgiu na tradução da linguagem de segurança de alto nível para premissas, requisitos detalhados, métodos de conformidade e testes representativos. Uma condição que diz que o projeto deve impedir o crescimento descontrolado de temperatura não especifica por si só como induzir um curto interno, quantos testes realizar, se a bateria deve ser aterrada como instalada, qual temperatura produz o resultado mais severo ou se o artigo testado deve corresponder ao projeto de produção final.

Esses vínculos tiveram que ser feitos através do planejamento de certificação e evidências de engenharia.

2006 e 2009 – avisos, mudanças e interpretação do desenvolvimento.O registro do JTSB descreve um incêndio por sobrecarga em 2006 durante o desenvolvimento após um fio de sinal não estar conectado, seguido por mudanças de projeto. Em 2009, um teste de sistema integrado produziu carga excessiva e uma célula ventilada; os investigadores associaram esse evento a descarga excessiva repetida seguida por recarga de alta corrente e fizeram correções adicionais. Esses eventos não foram o mesmo mecanismo estabelecido em Boston, e seria impreciso chamá-los de réplicas ignoradas.

Eles mostraram, no entanto, que o sistema de bateria podia entrar em estados de falha energética e que a configuração do projeto, o ambiente elétrico e a lógica de controle eram importantes.

Um teste de desenvolvimento de penetração de prego da GS Yuasa em 2006 tornou-se influente. Ele levou uma célula a runaway térmico sem propagação observada para células adjacentes ou fogo. A análise posterior do NTSB descobriu que o teste não usou a temperatura máxima de operação da bateria, não representou totalmente a instalação na aeronave, não repetiu os ensaios em múltiplas baterias e usou uma unidade de desenvolvimento diferente do projeto final certificado. Outros testes de desenvolvimento no nível da bateria alegados careciam de documentação disponível ao NTSB.

Testes de abuso de qualificação não levaram uma célula a runaway térmico para provar não propagação ou contenção, e as baterias testadas não foram aterradas como instaladas.

Isso não significa que a certificação consistiu em um teste casual. A Boeing, fornecedores, representantes autorizados e funcionários da FAA usaram avaliações de segurança, árvores de falhas, análises de modos de falha, testes de qualificação e revisões de certificação. A constatação mais restrita e consequente é que a cadeia de evidências não desafiou a premissa crucial nas condições representativas mais severas. A atividade foi extensa; a cobertura foi incompleta.

26 de agosto de 2011 – certificação de tipo.A FAA concedeu aprovação de categoria de transporte para o 787-8. A Boeing obteve aprovação da FAA de seu plano de certificação do sistema de energia elétrica, e a FAA revisou procedimentos de qualificação, aprovou a inspeção de autorização de tipo e aceitou relatórios finais. A Boeing recebeu a Autorização de Designação de Organização em 2009, permitindo que representantes autorizados fizessem constatações específicas de conformidade em nome da FAA. Somente a FAA emitiu o certificado de tipo.

Descrever isso como a Boeing simplesmente certificando sua própria bateria ocultaria os controles divididos e a autoridade pública retida que a investigação realmente examinou.

Linha do tempo forense: os dois eventos de janeiro de 2013

7 de janeiro, Boston – uma aeronave estacionada, um incêndio ativo na bateria.O voo 008 da Japan Airlines chegou a Boston Logan vindo de Narita e estacionou no portão. A APU era a fonte de energia da aeronave. Por volta das 10h21, horário local, funcionários de limpeza encontraram fumaça na cabine traseira, um gerente de manutenção viu que a APU havia desligado automaticamente e um mecânico abrindo o compartimento de eletrônicos traseiro encontrou fumaça pesada e chamas no conector do estojo da bateria da APU. Nenhum dos 183 passageiros ou 11 tripulantes permaneceu a bordo. Funcionários de manutenção e limpeza não ficaram feridos;

o NTSB relatou um ferimento leve em um bombeiro que respondeu.

A sequência está documentada no dossiê público do NTSB para DCA13IA037, que inclui relatórios factuais, fotografias, registros de teste, exposições de audiência e material técnico. A bateria era de difícil acesso e o evento teve consequências no nível da aeronave, embora a aeronave estivesse vazia. Dano por calor, fumaça, eletrólito inflamável e fogo escaparam do limite pretendido no nível da célula. O fato de o evento ter ocorrido no solo reduziu a exposição humana; não reduziu a importância do projeto.

Os investigadores excluíram várias alternativas para o evento de Boston. Dados registrados não mostraram sobrecarga, descarga excessiva ou curto externo de alta corrente antes da falha. O exame não encontrou fonte externa de calor, cabo de bateria desgastado, abuso mecânico ou transitório elétrico anormal da aeronave que o iniciasse. Testes de componentes e integrados não implicaram o carregador ou componentes externos relacionados. O dano concentrou-se em torno das células 5 e 6, mas a destruição impediu o NTSB de decidir qual dessas duas iniciou a sequência. O conselho encontrou um curto interno em uma delas, seguido de propagação.

11 de janeiro – revisão anunciada antes do segundo evento.A FAA anunciou publicamente uma revisão mais ampla de projeto e produção. Em seu comunicado de 11 de janeiro, a agência disse que revisaria sistemas críticos, enfatizaria sistemas elétricos e verificaria projeto, produção e supervisão. Naquele momento, a FAA expressou confiança na aeronave, embora tenha dito que precisava do quadro completo. Essa foi uma resposta regulatória, não uma conclusão de que a bateria era segura ou insegura.

16 de janeiro, Takamatsu – o perigo se move para o voo.O voo 692 da All Nippon Airways partiu de Yamaguchi-Ube às 08h11 com destino a Tóquio. Às 08h27, enquanto subia através de 32.000 pés, a tripulação recebeu uma mensagem de falha da bateria e detectou um odor incomum no cockpit. A aeronave desviou e pousou em Takamatsu às 08h47. A tripulação iniciou uma evacuação por escorregadores às 08h49. Quatro dos 137 ocupantes sofreram ferimentos leves durante a evacuação.

O JTSB descobriu que a bateria principal danificada não desenvolveu um incêndio externo, mas o calor da célula, eletrólito e fumaça produziram um evento de sistema em voo grave o suficiente para desviar e evacuar.

Este segundo evento mudou a decisão de risco. Boston mostrou um incêndio após os passageiros saírem; Takamatsu mostrou uma arquitetura de bateria relacionada falhando durante o voo. No início daquele dia, JAL e ANA suspenderam voluntariamente as operações do 787. A FAA então emitiu a Diretiva de Aeronavegabilidade de Emergência AD 2013-02-51, posteriormente publicada como a regra final de fevereiro de 2013. Exigiu modificação ou outra ação aprovada antes de novos voos, porque falhas de bateria podiam danificar sistemas ou estruturas críticos e podiam causar incêndio em um compartimento elétrico.

A EASA adotou a diretiva da FAA para a frota europeia, e outras autoridades agiram para aeronaves sob sua jurisdição.

O gatilho operacional para o aterramento da frota foi, portanto, cumulativo e transversal: duas falhas de bateria de alta energia, o mesmo modelo de bateria, duas funções instaladas, nove dias, um incêndio confirmado e um desvio em voo. Um regulador não precisava esperar por uma fatalidade ou uma causa raiz microscópica completa para concluir que a operação contínua irrestrita carecia de garantia adequada.

O que falhou fisicamente e o que permaneceu não resolvido

Para Boston, o NTSB encontrou um curto interno dentro da célula 5 ou 6. Essa célula entrou em runaway térmico; calor e falha se propagaram para células vizinhas; fumaça, eletrólito e fogo seguiram. O conselho descobriu que sobrecarga, descarga excessiva, curto externo, aquecimento externo, fatores de instalação e condições ambientais da aeronave não iniciaram a falha. Esta é a cadeia técnica confirmada mais forte no registro público.

O NTSB também examinou a fabricação. A GS Yuasa enrolava camadas de eletrodo e separador em montagens cilíndricas, achatava-as parcialmente, agrupava-as e realizava achatamento final antes da montagem da célula. O achatamento podia criar perturbações nas folhas do eletrodo. A soldagem perto de componentes internos podia gerar detritos metálicos. O NTSB descobriu que a GS Yuasa monitorava algumas rugas pré-enrolamento, mas não monitorava formalmente perturbações criadas durante o enrolamento, achatamento e montagem; seu processo de detritos estranhos não era um controle padronizado para encontrar, reduzir e prevenir a geração de detritos.

Grande parte da inspeção ocorria após a conclusão da célula e dependia materialmente da revisão visual.

O relatório factual do laboratório de materiais e a análise final do conselho documentaram rugas, dobras, depósitos de lítio e material estranho como mecanismos de defeito relevantes. O NTSB concluiu que o processo de fabricação permitia defeitos capazes de causar curtos internos em células do 787. Não identificou uma ruga ou partícula sobrevivente como o iniciador comprovado em Boston. Essa distinção impede que uma conclusão no nível do processo seja convertida em uma acusação específica ao dispositivo sem suporte.

Para Takamatsu, o JTSB reconstruiu a célula 6 como a iniciadora muito provável. Calor e pressão incharam a célula, derreteram o isolamento ao redor e permitiram contato com uma barra de suporte. Grandes correntes através do estojo de bateria aterrado geraram arco elétrico, que fortaleceu a propagação térmica. Testes que reproduziram a configuração de aterramento instalada podiam produzir propagação; uma configuração flutuante não produziu. O JTSB descobriu que testes de desenvolvimento não representativos e subestimação dos efeitos de curto interno possivelmente contribuíram para a propagação.

O curto interno em si permaneceu não resolvido. O JTSB considerou deposição de lítio sob condições de baixa temperatura, contaminação metálica, danos ao separador e enrolamento não uniforme, mas expressamente disse que não pôde identificar conclusivamente o mecanismo e não pôde excluir outros fatores de projeto ou fabricação. Os três eventos notáveis então conhecidos ocorreram em janeiro, mas sazonalidade não é causalidade. Temperatura fria foi uma hipótese, não uma conclusão final. Um relato defensável, portanto, para em: curto interno provavelmente iniciou a célula 6; a origem precisa desse curto era desconhecida.

Gatilho, causa raiz e fatores contribuintes

Oseventos desencadeadoresforam observáveis e delimitados no tempo: o incêndio da bateria da APU em Boston e o evento da bateria principal em voo em Takamatsu. Ogatilho do aterramentofoi a perda de confiança de que qualquer localização instalada podia tolerar com segurança o modo de falha conhecido da bateria. Gatilho não é causa raiz. Um gatilho descreve quando uma decisão de controle se tornou necessária, não por que o sistema era vulnerável.

Acausa raiz física para Boston, usando a causa provável adotada pelo NTSB, foi um curto interno de célula seguido por runaway térmico em cascata. Acausa raiz do sistemafoi uma falha de requisitos e certificação: a avaliação de segurança da bateria da Boeing não considerou os efeitos mais severos desse curto nem especificou mitigação, e a revisão da FAA não identificou a deficiência. As condições especiais exigiam prevenção de temperatura e pressão descontroladas e proteção contra calor de curto-circuito.

No entanto, a cadeia de evidências detalhada tratou a não propagação como uma premissa, em vez de um resultado demonstrado nas piores condições instaladas.

O primeiro grandefator contribuintefoi a representatividade dos testes. O influente teste de penetração de prego não usou o projeto final da bateria, temperatura máxima de operação, aterramento instalado ou ensaios repetidos. Testes pós-evento do NTSB, UL e JTSB mostraram que mudar essas condições podia alterar se o runaway térmico se propagava. A lição não é que a penetração de prego reproduz perfeitamente todo curto interno espontâneo. É que um teste usado para descartar a propagação deve ser conservador, representativo da instalação e repetível o suficiente para apoiar essa conclusão.

O segundo foi atransferência de probabilidade. A avaliação de segurança da Boeing estimou a ventilação de células em aproximadamente uma ocorrência por dez milhões de horas de voo usando dados da GS Yuasa de uma célula industrial com projeto mecânico semelhante. O NTSB descobriu que tanto Boston quanto Takamatsu ocorreram dentro das primeiras aproximadamente 52.000 horas de frota, muito acima da previsão. O JTSB criticou separadamente os cálculos derivados de células industriais semelhantes cujos ingredientes diferiam e observou o baixo nível de confiança usado.

A ausência histórica de falha em uma aplicação adjacente foi tratada como evidência sobre uma nova aplicação sem margem suficiente para diferenças de química, capacidade, ambiente e processo.

O terceiro foi arastreabilidade de requisitos. O NTSB encontrou vínculos pouco claros entre cada condição especial, premissa da avaliação de segurança, fundamentação, requisito de nível inferior e método de conformidade. Melhor rastreabilidade provavelmente teria revelado que nenhum requisito explícito de bateria e nenhum teste de certificação de runaway térmico planejado abordava a propagação de um curto interno.

As recomendações de certificação de baterias de lítio de 2014 do conselho pediam testes de abuso que induzem runaway térmico de célula única na configuração instalada sob condições que produzem o resultado mais severo, revisão de aprovações em serviço e acesso a experiência técnica independente.

O quarto foi afabricação e supervisão de subfornecedores. A Thales auditou a GS Yuasa em 2011 e 2012, mas as discrepâncias registradas não abordaram características de fabricação de células posteriormente examinadas. A Boeing dependia da Thales para auditoria de subfornecedores e não auditou a GS Yuasa antes do evento; a FAA não auditou a instalação de células antes do evento. Auditorias pós-evento identificaram não conformidades e ações corretivas. Isso apoia a conclusão de que a supervisão poderia ter sido mais eficaz.

Não prova que cada auditoria foi superficial ou que uma não conformidade específica não divulgada causou qualquer um dos eventos.

O quinto foi aresolução do monitoramento. Os sistemas de bateria monitoravam tensões e temperaturas, mas não podiam necessariamente detectar um curto interno localizado cedo o suficiente para interromper o runaway térmico. O NTSB posteriormente recomendou monitoramento de temperatura e tensão de células individuais e registro de excedências, juntamente com pesquisa sobre precursores e mitigação ativa. A detecção não pode ser creditada por controlar um mecanismo que se desenvolve internamente mais rápido do que os sensores e desconectadores disponíveis podem interrompê-lo.

Detecção, resposta e recuperação

A detecção começou com pessoas e mensagens da aeronave, não com um monitor de segurança preditivo. Em Boston, funcionários de limpeza viram fumaça, um gerente de manutenção viu o desligamento da APU e um mecânico encontrou o incêndio da bateria. Em Takamatsu, a tripulação recebeu uma mensagem de falha da bateria e sentiu um odor incomum. Esses indicadores permitiram a resposta após o evento já ter progredido. Eles não forneceram um aviso prévio confiável do curto iniciador.

A resposta imediata foi adequadamente conservadora. Bombeiros atenderam o evento de Boston. A tripulação de Takamatsu desviou, pousou cerca de 20 minutos após a partida e evacuou. JAL e ANA suspenderam as operações antes da diretiva da FAA. A FAA usou uma AD de emergência, um instrumento direcionado a uma condição insegura no produto, em vez de esperar por um relatório final de acidente. Autoridades internacionais adotaram ou acompanharam a restrição. Essa sequência separou o controle de risco operacional da certeza causal.

A investigação então ampliou a detecção. Tomografia computadorizada, análise física destrutiva, testes elétricos, dados registrados, observação de fábrica e testes de propagação em configuração instalada converteram um evento de célula oculto em um mapa de evidências. O dossiê do NTSB preservou relatórios subjacentes, enquanto os dois conselhos nacionais chegaram a conclusões sob os princípios de investigação de segurança do Anexo 13. O relatório do JTSB afirma que seu propósito é prevenção, não atribuição de culpa ou responsabilidade. Esse limite deve guiar o uso de cada conclusão técnica na análise de responsabilidade.

A recuperação ocorreu em etapas. A Boeing propôs um plano de certificação; a FAA aprovou o plano em 12 de março de 2013. O anúncio do plano de certificação da Boeing descreveu três camadas: reduzir falhas, melhorar produção e testes, e conter qualquer falha para que não pudesse afetar a aeronave. Essa era uma posição da empresa sobre a solução pretendida, ainda não uma aprovação para retomar o serviço de passageiros.

O anúncio detalhado de projeto da empresa descreveu triagem mais rigorosa, controles de produção, isolamento elétrico e térmico, uma faixa de tensão operacional revisada, mudanças no carregador e um invólucro de aço ventilado para fora da aeronave. A Boeing disse que se baseou no RTCA DO-311, que não estava disponível para o plano básico original. Esse uso posterior de um padrão mais novo é evidência de remediação; não deve ser descrito como um padrão que a Boeing violou durante a certificação anterior.

Em 19 de abril, a FAA aprovou o projeto de modificação após testes e análises observados. A AD de retorno ao serviço AD 2013-08-12 exigiu a instalação de invólucros de bateria principal e da APU e dutos do sistema de controle ambiental, substituição de ambas as baterias e carregadores e uma revisão do programa de manutenção para discos de ruptura de ventilação do invólucro. Ela substituiu a diretiva de aterramento e tornou-se efetiva em 26 de abril. O registro correspondente da EASA mostra adoção para aeronavegabilidade continuada fora do estado primário de certificação.

A recuperação não se baseou em provar que um defeito iniciador havia sido removido. Baseou-se em defesa em profundidade: reduzir a chance de iniciação, reduzir a chance de propagação e evitar consequências no nível da aeronave, mesmo se ambas as camadas anteriores falhassem. Essa foi uma resposta racional à iniciação não resolvida, mas criou uma obrigação duradoura de verificar a contenção, em vez de retornar silenciosamente à antiga premissa de não propagação.

Mapa de controle de responsabilidade

Este mapa previne dois erros comuns. Primeiro, a causalidade do fornecedor não apaga a responsabilidade do integrador. A Boeing não enrolou eletrodos, mas controlava a proposição de segurança no nível da aeronave e era a detentora da aprovação de produção. Segundo, a certificação pública não apaga a responsabilidade do requerente. A FAA sozinha emitiu o certificado e reteve deveres de supervisão, mas a Boeing tinha que demonstrar conformidade e validar os dados e premissas que submeteu.

A delegação complica a responsabilidade sem fazê-la desaparecer. O NTSB descobriu que representantes autorizados da Boeing e engenheiros de certificação da FAA revisaram uma avaliação que omitia os efeitos mais severos do curto interno. A falha atravessou o limite de delegação. Não bastava que cada ator realizasse sua revisão designada se o modelo de evidência compartilhado excluía o perigo que importava.

O relatório conjunto de 2014 da Equipe de Revisão de Sistemas Críticos do Boeing 787 concluiu que a aeronave como um todo atingia seu nível de segurança pretendido, ao mesmo tempo em que identificava fluxo inconsistente de requisitos, lacunas de verificação, problemas de comunicação com fornecedores, variação na delegação de inspeção e política da FAA não totalmente alinhada com uma cadeia de suprimentos internacional estendida. Seu escopo se estendia além da bateria.

Foi coliderado e composto por pessoal da FAA e da Boeing, portanto é evidência valiosa de revisão institucional e ação corretiva, não uma investigação de acidente independente equivalente ao NTSB ou JTSB.

Limites legais e regulatórios

O ponto de partida legal é a certificação de tipo. O texto oficial do 49 U.S.C. seção 44704 atribui ao Administrador da FAA a autoridade para emitir um certificado de tipo após constatar que um produto é adequadamente projetado e fabricado, funciona adequadamente e atende aos padrões aplicáveis, e permite testes que o Administrador considerar necessários para a segurança. O texto atual inclui emendas promulgadas após 2013. Este artigo o utiliza apenas para descrever a alocação duradoura entre evidência do requerente e emissão da FAA; adições posteriores não são aplicadas retroativamente à certificação da bateria do 787.

A base de certificação aplicável incluía a 14 CFR Parte 25 e as condições especiais de 2007. As condições especiais eram legalmente parte da base de certificação do 787-8. Sua existência mostra que o perigo inovador da bateria foi reconhecido institucionalmente. A conclusão investigativa posterior não foi que nenhuma regra mencionava runaway térmico. Foi que métodos de conformidade, premissas e testes não demonstraram adequadamente a proteção que as condições exigiam.

Uma diretiva de aeronavegabilidade é uma regra de segurança de produto obrigatória. A diretiva de emergência aterrou as aeronaves afetadas até que uma modificação aprovada ou outra ação abordasse a condição insegura. A diretiva de abril determinou uma configuração específica para o retorno. Nenhuma das diretivas foi uma acusação criminal, uma sentença de indenização ou uma constatação de intenção. Foi uma decisão regulatória de risco sob autoridade de aeronavegabilidade continuada.

Os relatórios do NTSB e JTSB não são julgamentos civis. Seus mandatos focam na prevenção. A linguagem de causa provável do NTSB é autoritativa para sua conclusão de segurança, mas por si só não decide negligência, alocação contratual, danos punitivos ou responsabilidade criminal. O JTSB expressamente rejeita a atribuição de culpa. Da mesma forma, as declarações da Boeing de que o redesenho foi abrangente ou permanente foram afirmações da empresa feitas durante a remediação. Elas não são admissões de responsabilidade legal, e sua redação otimista não pode substituir evidências do regulador e de campo.

O registro de audiência congressional de junho de 2013 sobre lições do 787 e o depoimento de certificação do Departamento de Transportes documentam questões de supervisão e a explicação da FAA sobre a aprovação do redesenho. Depoimentos são evidência de posição institucional e escrutínio. Não são uma disposição judicial. O registro público usado aqui não estabelece uma conclusão judicial de que a Boeing, Thales, GS Yuasa ou a FAA deviam ou violaram um dever específico de direito privado para um reclamante nomeado.

Os padrões também exigem disciplina temporal. O RTCA DO-311 foi usado na certificação do redesenho, mas não estava disponível quando o plano original do 787 foi desenvolvido. A Circular Consultiva 20-184 da FAA, emitida em 2015, fornece orientação posterior sobre baterias recarregáveis de íon-lítio instaladas e afirma que o material consultivo não é em si um regulamento. É evidência de remediação útil e uma referência moderna. Não é prova de que uma circular consultiva de 2015 era vinculante em 2005 ou foi violada em 2011.

Contrafactuais de controle

O contrafactual mais forte é umteste de propagação representativo antes da certificação. Uma bateria de configuração final teria sido instalada com aterramento equivalente ao da aeronave, operada na condição de temperatura e elétrica mais severa aprovada e submetida repetidamente a um método crível de curto interno de célula única. Critérios de aprovação teriam abordado não apenas se uma célula ventilou, mas se as células adjacentes propagaram, se eletrólito e gás escaparam, se caminhos de arco elétrico se formaram e se os sistemas da aeronave permaneceram protegidos.

Testes pós-evento sugerem que esse controle poderia ter exposto a premissa inválida de não propagação. Não prova que o teste preciso teria reproduzido Boston sob demanda.

Um segundo contrafactual é agovernança explícita de premissas. Toda alegação significativa para a segurança teria um proprietário, fundamentação, fonte, faixa de incerteza, método de validação e rastreio para um requisito e artefato de conformidade. A premissa de que um curto interno de célula não poderia se propagar teria aparecido como um item de revisão, em vez de uma premissa invisível herdada entre documentos da GS Yuasa, Thales, Boeing e FAA. Um painel técnico independente poderia então desafiar sua aplicabilidade à química, capacidade, instalação e ambiente finais.

Um terceiro é otratamento conservador de probabilidade. Dados de falha de uma célula industrial semelhante seriam tratados como contexto de apoio, não como uma estimativa direta de frequência para a célula da aeronave, até que a equivalência em materiais, fabricação, carga e ambiente fosse demonstrada. A incerteza seria transportada para a análise no nível da aeronave. Onde a consequência era severa e os dados escassos, a contenção seria exigida independentemente de uma estimativa pontual tranquilizadora.

Um quarto é averificação de processo de subfornecedor. A Boeing e a Thales poderiam ter mapeado conjuntamente as características críticas da célula, observado operações de achatamento e soldagem, definido limites mensuráveis de perturbação e material estranho, validado a resolução e probabilidade de detecção da TC e amostrado registros entre lotes e mudanças de processo. A supervisão de produção da FAA poderia ter tratado a bateria como crítica, apesar da redundância elétrica funcional, porque uma falha física comum podia liberar calor, fumaça e eletrólito. Este contrafactual aborda a probabilidade de escape;

não garante a eliminação de todo defeito microscópico latente.

Um quinto é acontenção no nível da aeronave desde o projeto inicial. Se a instalação original tivesse assumido que uma ou mais células eventualmente entrariam em runaway térmico, um invólucro selado com respiro externo e isolamento suficiente para o pior evento teria sido parte da certificação básica. Este é o contrafactual mais robusto porque não depende da identificação de todo mecanismo de iniciação. O redesenho posterior adotou essencialmente essa lógica baseada em consequências.

Um sexto é omonitoramento de campo de alta resolução e revisão de limites. Dados de células individuais, registro de excedências, remoções de baterias, eventos de carregador e identificadores de lote de fabricação poderiam ter sido agregados sob gatilhos predeclarados. Um evento energético em uma frota jovem levaria a uma reavaliação imediata da estimativa de taxa anterior e do envelope operacional. O monitoramento não substitui a contenção, mas encurta o tempo entre a falha da premissa e a ação de controle.

Esses contrafactuais são proposições de engenharia. Não devem ser convertidos em alegações de que um indivíduo nomeado os rejeitou conscientemente ou que cada elemento era legalmente obrigatório sob orientação posterior. Seu valor é mostrar onde existia controle prático e onde um projeto de evidência diferente poderia ter interrompido a sequência.

Evidência de reparo: o que mudou antes do retorno ao serviço

O redesenho abordou três níveis. Nonível da célula e da bateria, a Boeing e os fornecedores mudaram isolamento, hardware de terminal, drenagem, processos de produção e aceitação, faixa de tensão, proteção contra descarga excessiva, proteção de fiação e caminhos de ventilação. Nonível de propagação, separação térmica e elétrica adicional reduziu a transferência entre células e entre células e o estojo da bateria. Nonível da aeronave, a bateria ficava em um invólucro selado de aço inoxidável conectado a um duto de titânio que ventilava calor, pressão, gás e eletrólito para fora.

A FAA fez mais do que aceitar um comunicado de imprensa. Aprovou um plano de certificação, observou testes, revisou análises, aprovou as mudanças de projeto, determinou a configuração através de uma AD e disse que monitoraria a instalação em aeronaves dos EUA. O anúncio de aprovação de 19 de abril da Boeing relatou um mês de testes de certificação supervisionados e mais de 100.000 horas de engenharia e teste. Esses números vêm da Boeing e não estabelecem de forma independente a completude dos testes, mas a AD obrigatória estabelece que a FAA aceitou o projeto para retorno.

O relatório anual de 2013 da Boeing diz que instalou as melhorias em 50 aeronaves anteriormente entregues e retomou as entregas no segundo trimestre. Isso é evidência de implementação em escala de frota, não apenas um remédio planejado. Operadores e reguladores estrangeiros ainda controlavam o retorno de aeronaves sob suas jurisdições.

As recomendações impulsionadas pela investigação ampliaram o reparo além do hardware. O relatório final do NTSB recomendou supervisão mais forte da FAA sobre detentores de aprovação de produção e subfornecedores, padrões para fontes de aquecimento e monitoramento de células, testes de autoaquecimento objetivos, premissas explícitas de avaliação de segurança, rastreabilidade de requisitos para métodos e treinamento. Recomendou que a Boeing melhorasse a supervisão de fornecedores e a validação da avaliação de segurança e que a GS Yuasa revisasse os processos de fabricação e o treinamento de funcionários.

A carta separada do NTSB para a Boeing registra as recomendações focadas na empresa sem implicar que eram penalidades.

O JTSB recomendou testes representativos da instalação, revisão dos padrões técnicos de íon-lítio, reexame da estimativa de taxa de falha do 787, revisão da propagação de calor, avaliação do comportamento do contator, estudo contínuo de curtos internos e melhoria da qualidade da bateria. Sua recomendação formal à FAA preserva a distinção entre propagação demonstrada e iniciação não resolvida. O registro de resposta da FAA publicado pelo JTSB é evidência de que a recomendação entrou em um processo de acompanhamento internacional, embora o formato público do anexo não forneça uma pontuação independente simples para eficácia de longo prazo.

O evento de Narita em 2014 foi evidência de sucesso e um aviso

Em 14 de janeiro de 2014, após o redesenho, um Boeing 787 da Japan Airlines estacionado em Narita produziu fumaça branca visível e mensagens de bateria principal. O exame descobriu que a célula 5 havia superaquecido e seu disco de ruptura havia aberto. Resíduo de eletrólito permaneceu no invólucro e apareceu perto da saída de ventilação externa. A área circundante do compartimento de eletrônicos estava limpa e sem danos; as outras células mantiveram tensão, embora a célula adjacente 6 mostrasse efeitos térmicos limitados.

O anúncio do Japan Civil Aviation Bureau e a avaliação completa trataram o evento com equilíbrio útil. O JCAB descobriu que a segunda camada do redesenho impediu a propagação célula a célula e sua terceira camada protegeu a aeronave. Concluiu que a capacidade de voo seguro teria sido mantida. Mas também observou que a primeira camada não impediu uma célula de superaquecer e pediu melhoria adicional de confiabilidade e trabalho contínuo sobre possíveis causas.

Este evento é o melhor teste público específico do caso da arquitetura de contenção. Não foi um teste de certificação encenado; foi uma falha de campo em uma bateria modificada. O resultado apoia a inferência de que o redesenho mudou materialmente a escalada. Uma célula falhou, mas toda a bateria e o compartimento circundante não reproduziram o dano de Boston ou Takamatsu. Isso é evidência de remediação forte.

Não é prova de que todas as falhas possíveis estão contidas. Um evento não pode cobrir toda localização de célula, estado de carga, fluxo de ar, condição do invólucro, obstrução de ventilação, erro de manutenção ou iniciação de múltiplas células. Tampouco o JCAB encontrou a causa do superaquecimento. Partículas metálicas, possível depósito de lítio, rugas, variação de eletrólito, condensação e ambiente frio foram examinados, mas nenhuma evidência objetiva isolou o iniciador. O evento, portanto, valida a importância da contenção enquanto preserva a questão não resolvida da iniciação da célula.

Como deve ser a evidência de remediação duradoura

Evidência de processo de céluladeve incluir capacidade de processo em nível de lote para alinhamento de eletrodo, perturbação de enrolamento, condição do separador, detritos de soldagem, contaminação, umidade e preenchimento de eletrólito; taxas de detecção de inspeção; critérios calibrados de TC; tendências de rejeição e retrabalho; e registros de aprovação para mudanças de processo. Uma declaração de que o controle de qualidade melhorou é um ponto de partida, não uma medida de durabilidade.

Evidência de sistema de bateriadeve incluir testes de abuso repetidos em toda a variação de produção, temperatura, idade, estado de carga e configuração instalada aterrada. Deve demonstrar isolamento, integridade da fiação, comportamento do contator, desempenho de monitoramento e gerenciamento de pressão. Os resultados devem mostrar distribuições e falhas, não apenas exemplares aprovados.

Evidência de contenção da aeronavedeve incluir verificações de vazamento do invólucro, inspeções do caminho de ventilação, manutenção de discos de ruptura, efeitos de corrosão, conformidade de instalação e testes de gás, calor e pressão no pior caso. Como a contenção é agora uma última linha de defesa, a manutenção de seus selos e dutos não pode ser tratada como manutenção incidental de hardware.

Evidência de frotadeve conectar remoções, avisos, relatos de fumaça ou odor, ventilação de células, falhas de carregador e constatações de manutenção a aeronaves, baterias e lotes de células. As taxas devem ser recalculadas com limites de confiança e denominadores de exposição. Um longo período sem outro aterramento público apoia a confiança, mas ausência de manchete não é o mesmo que um conjunto de dados de confiabilidade publicado.

Evidência de governançadeve mostrar fechamento de constatações de auditoria, revisão recorrente de premissas, acesso independente a baterias anômalas, visibilidade do regulador sobre mudanças em subfornecedores e limites de escalação definidos. A garantia de segurança decai se uma configuração validada é seguida por mudanças não documentadas de material, processo, software ou manutenção.

Evidência de configuraçãodeve conectar cada instalação de aeronave ao invólucro, duto, carregador, bateria, população de células, revisão de manutenção e software ou lógica de controle aprovados exatos em vigor no momento. Um teste aprovado em uma configuração não pode validar silenciosamente uma substituição posterior de material, limite de inspeção alterado ou etapa de produção modificada. Baterias removidas com tensão, odor, ventilação ou indicações térmicas incomuns devem ser colocadas em quarentena com estado de carga e histórico operacional registrados antes do exame destrutivo.

Investigadores e reguladores precisam então de acesso a constatações negativas, bem como a falhas dramáticas, porque uma remoção aparentemente intacta pode revelar os estágios iniciais do mecanismo que uma bateria queimada não pode mais preservar. Essa cadeia transforma eventos de manutenção isolados em evidência precursora utilizável e dá ao detentor do certificado de tipo uma base defensável para decidir se uma tendência está confinada a um lote, um estado de processo ou o próprio projeto aprovado.

A evidência pública é desigual entre essas categorias. A AD, a atividade de certificação, o retrofit instalado, os relatórios de acidentes e o resultado de Narita fornecem evidências substanciais de que o perigo no nível da aeronave foi reduzido. O registro público não divulga dados longitudinais completos de lotes de células, todos os resultados de auditoria de fornecedores, todos os testes de invólucro, taxas atuais de falso negativo ou uma análise de tendências independentemente reproduzível. Essa lacuna não prova baixo desempenho. Limita o quanto externos podem verificar a durabilidade.

Questões não resolvidas

A primeira questão não resolvida é o iniciador microscópico exato em cada bateria de campo. Boston foi reduzido a um curto interno na célula 5 ou 6, mas não a um defeito sobrevivente. Takamatsu foi reduzido a provável iniciação da célula 6, mas não ao mecanismo de curto. Narita foi reduzido a um curto interno na célula 5, mas as causas candidatas não foram comprovadas.

A segunda é por que a revisão interorganizacional aceitou a não propagação. O registro identifica as fraquezas de teste e rastreabilidade, mas não fornece todas as discussões internas, discordâncias, decisões de cronograma ou fundamentação de aprovação. Seria extrapolação difamatória inferir ocultação, má-fé ou evasão deliberada sem evidência.

A terceira é o quão bem as correções de fabricação se saíram ao longo do tempo. Auditorias pós-evento encontraram e fecharam não conformidades, e o projeto modificado acumulou serviço. No entanto, o registro público revisado aqui não fornece métricas independentes contínuas de capacidade de processo ou escape de defeitos para as células do 787 da GS Yuasa.

A quarta é se o monitoramento posterior e as mudanças nos padrões fecharam completamente o conjunto de recomendações. A orientação de 2015 da FAA e o trabalho posterior de padrões mostram aprendizado institucional, mas a orientação pode ser consultiva e o status da recomendação pode depender de ações documentadas mais restritas do que a eliminação completa do risco. Cada aprovação atual deve ser julgada com base em sua própria base de certificação e evidência.

A quinta é o limite exato da contenção sob múltiplas falhas simultâneas ou degradadas por manutenção. O redesenho foi testado e o evento de Narita forneceu confirmação de campo para um superaquecimento de célula única. Materiais públicos não expõem todos os resultados de conformidade proprietários do pior caso. A conclusão correta é alta confiança em melhoria material, não uma afirmação de consequência fisicamente impossível no nível da aeronave.

Conclusão: a certificação deve sobreviver à célula inexplicada

O caso da bateria do 787 não é uma história simples de uma química insegura corrigida por uma caixa. A tecnologia de íon-lítio trouxe benefícios legítimos de desempenho, e a arquitetura modificada devolveu a frota ao serviço. A falha mais profunda foi probatória: uma avaliação de segurança assumiu que um curto interno permaneceria limitado, enquanto o teste de apoio não representava o sistema final instalado sob as condições relevantes mais severas. A fabricação podia introduzir defeitos latentes; o monitoramento podia não detectá-los antes do runaway;

e a cadeia de certificação não exigia que a bateria e a aeronave sobrevivessem à propagação resultante.

As investigações atribuíram o controle com precisão. O processo da GS Yuasa permitiu mecanismos de defeito capazes de causar curtos. A Thales tinha responsabilidades de integração e subfornecedores. A Boeing possuía os requisitos no nível da aeronave, integração de fornecedores e a demonstração de conformidade. Representantes autorizados e engenheiros da FAA revisaram as evidências, e a FAA reteve autoridade de certificado e aeronavegabilidade. Companhias aéreas e tripulações controlaram as operações imediatas. NTSB e JTSB forneceram conclusões preventivas, deixando responsabilidade civil e criminal para outras instituições.

A recuperação foi bem-sucedida porque parou de depender de uma explicação perfeita. Reduziu a iniciação, impediu a propagação e conteve a falha fora dos espaços ocupados e de equipamentos. Narita então mostrou por que essa arquitetura era importante: a primeira camada não impediu um evento de célula, mas as camadas posteriores impediram a cascata anterior e o dano ao compartimento. Esse resultado é mais persuasivo do que uma promessa de que as células nunca falharão.

O teste duradouro de responsabilidade é, portanto, direto. Para um componente de alta energia cujo defeito iniciador pode ser raro, microscópico e destruído pelo evento, a segurança não pode repousar na ausência de falhas observadas em um produto similar ou em um único teste de abuso favorável. O requerente deve expor premissas, testar a configuração final instalada em condições críveis severas, controlar a fabricação de subfornecedores, monitorar a frota com denominadores utilizáveis e preservar uma última linha de defesa que permaneça eficaz quando a prevenção e o diagnóstico falharem.

O regulador deve desafiar independentemente essa cadeia. O Boeing 787 retornou ao serviço quando a contenção se tornou parte da prova; a responsabilidade duradoura requer manter essa prova atualizada.