Samsung Galaxy Note7 transformou a qualificação de bateria de substituição em um teste global de responsabilidade de recall

Resumo

• A Samsung lançou o Galaxy Note7 em agosto de 2016 e anunciou um programa global de substituição em 2 de setembro, após relatar 35 casos globalmente e identificar o que chamou de problema na célula da bateria. A Comissão de Segurança de Produtos de Consumo dos EUA (CPSC) formalizou um recall em 15 de setembro que cobriu cerca de um milhão de telefones e ofereceu expressamente um novo Note7 com uma bateria diferente como uma das soluções.
• A primeira solução baseava-se em uma proposta de segurança: a população original afetada poderia ser separada de uma população substituta que era adequada para uso. Relatórios envolvendo substituições invalidaram essa proposta. A Samsung e as operadoras dos EUA interromperam as vendas e trocas do Note7 em 10 de outubro, e a CPSC expandiu o recall em 13 de outubro para todos os dispositivos originais e substitutos.
• Investigações encomendadas pela Samsung realizadas pela Exponent e UL encontraram diferentes modos de falha. As células do Fabricante A apresentavam danos nos cantos associados a volume insuficiente da bolsa, deformação do eletrodo e possível comprometimento do separador. As células do Fabricante B apresentavam protrusões de soldagem de guia, isolamento ausente ou desalinhado e caminhos de curto-circuito interno. Os relatórios não encontraram uma falha de carregamento em nível de dispositivo que explicasse as falhas de campo.
• O evento desencadeador da retirada final foi o aparecimento de superaquecimento e queima em telefones substitutos. A falha mais profunda de responsabilidade foi que a qualificação de ponta a ponta não excluiu dois defeitos de célula materialmente diferentes antes do lançamento e da liberação da substituição. As condições contribuintes incluem tolerância limitada à variação de fabricação, evidência incompleta sobre a maturidade do processo e uma solução que devolveu os clientes à mesma família de produtos antes que a investigação de causa raiz pública estivesse completa.
• O controle estava distribuído, mas não igual. Os fabricantes de baterias controlavam o design das células e os processos de produção. A Samsung controlava as especificações alvo, aceitação de fornecedores, integração do dispositivo, liberação final, a decisão global de substituição e as comunicações com o cliente. A CPSC controlava o processo formal de recall nos EUA, enquanto operadoras e varejistas controlavam grande parte do canal de troca física. As autoridades de aviação controlavam as restrições de transporte. Os consumidores carregavam o perigo, mas não podiam inspecionar células, auditar fornecedores ou validar lotes de substituição.
• As evidências de reparo são significativas, mas incompletas. A Samsung introduziu uma verificação de segurança de bateria de oito pontos, margens de design adicionais, proteções de carregamento por software, centros de análise de responsabilidade de produto e um grupo consultivo externo. A CPSC posteriormente trabalhou com a indústria na revisão do padrão de baterias móveis, e o programa atual da CTIA descreve certificação em nível de sistema e controles de locais de fabricação. Os materiais públicos não divulgam taxas de falso negativo longitudinais, todas as descobertas de auditoria de fornecedores, todas as aprovações de mudanças de processo ou resultados independentes contínuos suficientes para provar que as reformas permanecem igualmente eficazes entre produtos e anos.

A solução fracassada é o evento definidor

A decisão mais importante na cronologia do Note7 não foi a descontinuação eventual. A essa altura, as opções disponíveis haviam se reduzido drasticamente. A decisão mais reveladora foi substituir um Note7 inseguro por outro Note7 antes que o mecanismo completo por trás dos incidentes de campo tivesse sido publicado e antes que o estoque de substituição tivesse acumulado muita exposição de campo. Essa solução representou uma nova determinação de segurança do produto.

Ela dizia, em termos operacionais, que o risco poderia ser limitado a uma população de baterias identificável e que os telefones fora dessa população eram aceitáveis para uso comum.

O comunicado de 2 de setembro de 2016 da Samsung relatou 35 casos globalmente até 1º de setembro, disse que sua investigação havia encontrado um problema na célula da bateria, interrompeu as vendas e prometeu substituir os telefones dos clientes. O comunicado não publicou o mecanismo do defeito, os critérios do lote afetado, o protocolo de teste, o tamanho da amostra ou o limite de liberação para os novos dispositivos. Essa omissão não provou que esses controles estavam ausentes internamente.

Significou que os clientes e investigadores externos não podiam avaliar se a decisão de substituição abordava um mecanismo conhecido ou apenas mudava a fonte da bateria.

A distinção é importante porque uma solução de recall deve ser qualificada por si só. Remover uma unidade perigosa reduz o risco apenas se o substituto não carregar o mesmo perigo inaceitável ou um diferente. A lista de verificação de recall atual da CPSC torna o princípio explícito ao dizer às empresas que realizam recalls para testar uma substituição ou reparo, redesenhar a produção futura para eliminar o perigo, fortalecer os controles de qualidade e distinguir produtos retrabalhados dos defeituosos. A lista de verificação é uma orientação atual, não uma prova do protocolo exato aplicado em 2016.

No entanto, ela captura a questão de controle exposta pelo caso: que evidência transformou um telefone recém-fabricado de uma substituição logística em uma solução de segurança validada?

A resposta provou ser insuficiente. Em 10 de outubro, após relatos de dispositivos substitutos superaquecendo e queimando, a Samsung pediu que operadoras e varejistas em todo o mundo parassem as vendas e trocas e disse aos proprietários de telefones originais e substitutos para desligá-los. A CPSC expandiu o recall dos EUA três dias depois. Um cliente que havia cumprido o primeiro recall foi, portanto, solicitado a cumprir novamente, desta vez sem a opção de outro Note7. A primeira troca reduziu a exposição a uma população de baterias enquanto introduzia exposição a uma segunda população com outro defeito.

Esta sequência não deve ser simplificada em uma alegação de que nenhum teste ocorreu. A Samsung, fornecedores, laboratórios de certificação e reguladores todos conduziram ou exigiram formas de teste. A conclusão defensável é mais restrita: o sistema de qualificação combinado falhou em identificar modos de falha que mais tarde apareceram em ambas as populações de fornecedores, e as evidências usadas para a liberação da substituição não impediram um segundo recall. Passar em um teste e demonstrar segurança não são sinônimos quando a população de teste, o estado do processo ou o mecanismo de falha diferem do que chega aos usuários.

Quem controlou qual parte da segurança

A Samsung Electronics controlou a decisão em nível de produto. Ela selecionou ou aprovou as fontes da bateria, definiu as especificações alvo, integrou o pacote de baterias ao telefone, controlou o software de carregamento e gerenciamento térmico, aceitou os componentes acabados, aprovou o embarque, escolheu a forma da primeira solução e coordenou a parada global posterior. Sua subsidiária nos EUA trabalhou com a CPSC, operadoras e varejistas nas comunicações com o cliente e na logística de troca.

Mesmo que um fornecedor de células tenha criado o defeito físico, a Samsung controlava se aquela célula se tornava parte de um telefone apresentado a um consumidor como seguro.

Os dois fabricantes de células controlavam diferentes camadas técnicas. Eles controlavam o enrolamento do eletrodo, o design da bolsa, o posicionamento do separador, a soldagem da guia, o isolamento, as configurações da linha, a inspeção e a liberação do lote. Esses controles estão mais próximos das origens físicas identificadas após o evento. Um fabricante pode detectar protrusões de solda, ausência de fita isolante, deformação e variação dimensional antes que uma célula saia de sua fábrica. Também pode introduzir risco por meio de uma mudança de processo que não se estabilizou.

O controle do fornecedor é, portanto, real, mas não remove o dever do vendedor do sistema de definir critérios de aceitação e verificar independentemente as características de alta consequência.

Os materiais de investigação da Samsung usam os rótulos neutros Fabricante A e Fabricante B. Essa nomeação é útil porque a análise de responsabilidade não depende de atribuir culpa a um nome comercial. O problema do Fabricante A estava associado principalmente à acomodação mecânica do conjunto do eletrodo dentro da bolsa. O problema do Fabricante B estava associado à qualidade da produção em torno da guia positiva e do isolamento. Dois fornecedores, dois mecanismos e um produto final mostram por que a diversificação sozinha não fornece redundância de segurança.

Fontes separadas podem falhar de forma diferente se a porta de nível de sistema for incapaz de detectar qualquer uma das falhas.

As organizações de teste e certificação tinham autoridade mais restrita. Elas podiam avaliar amostras submetidas, locais de fabricação ou conformidade do sistema dentro de um programa definido. Elas não controlavam todos os lotes de produção ou a liberação comercial da Samsung. A descrição do Padrão 1725 do IEEE cobre análise de design para qualificação, qualidade e confiabilidade em toda a célula, pacote, controles e sistema geral. O programa atual de conformidade de baterias da CTIA adiciona autorização de local de fabricação, reconhecimento de componentes, testes de sistema e declarações de conformidade.

Essas estruturas são importantes, mas um certificado não pode ver uma mudança não submetida, um defeito de baixa frequência fora da amostra testada ou uma condição de rampa que se desenvolve após a qualificação.

A CPSC detinha o controle legal e regulatório nos Estados Unidos. Sob 15 U.S.C. seção 2064, um fabricante, distribuidor ou varejista que obtiver informações que razoavelmente apoiem conclusões especificadas de defeito ou risco grave deve informar imediatamente a Comissão, a menos que saiba que a Comissão já está adequadamente informada. O estatuto também concede à Comissão poderes relacionados a aviso e ação corretiva. Nada nos registros públicos revisados aqui estabelece que a Samsung violou a disposição de relato, e os recalls foram conduzidos com a CPSC. A lei identifica um dever e um regulador;

ela não transfere a qualificação diária do produto do fabricante para a agência.

Operadoras e varejistas controlavam grande parte da última milha. Eles interromperam as vendas, mantiveram estoque, contataram clientes, realizaram trocas e processaram reembolsos. A participação deles tornou possível a distribuição rápida de telefones substitutos e, mais tarde, a recuperação ampla. Eles não projetaram as células nem conheciam as evidências internas de fabricação. Quando o risco de substituição surgiu, no entanto, os operadores do canal puderam reduzir a exposição antes que toda incerteza técnica fosse resolvida.

A declaração de 10 de outubro da CPSC creditou especificamente as operadoras e varejistas por interromper as vendas e não fornecer mais telefones Note7 como substituições.

Os reguladores de aviação exerceram um controle separado após a falha da solução do produto de consumo. DOT, FAA e PHMSA puderam restringir o transporte porque um telefone superaquecido em uma aeronave cria consequências além do proprietário. A EASA pôde emitir recomendações operacionais em toda a aviação europeia. Esses órgãos não decidiram se um telefone poderia ser vendido como produto de consumo, mas puderam negar ao dispositivo acesso a um ambiente de alta consequência.

Sua intervenção ilustra como a falha de qualificação de um fabricante transferiu encargos operacionais para companhias aéreas, aeroportos, tripulações de voo e passageiros.

Os consumidores tinham o menor controle técnico. Eles podiam desligar um telefone, devolvê-lo, escolher um reembolso ou aceitar um substituto. Eles não podiam inspecionar o conjunto do eletrodo enrolado, saber se a fita isolante estava presente, ver a capacidade do processo de um fornecedor, avaliar um lote de substituição ou determinar se um ícone de bateria verde representava mais do que uma distinção de fornecimento. O primeiro recall pediu que os consumidores confiassem que o novo ícone e a bateria diferente correspondiam a um limite de segurança válido.

Quando esse limite falhou, o custo incluiu não apenas outra viagem a um varejista, mas a perda de confiança na instituição que o havia definido.

Do lançamento ao primeiro recall

O relatório de sustentabilidade de 2017 da Samsung coloca o lançamento do Note7 em 19 de agosto de 2016. O intervalo entre o lançamento e o anúncio global de substituição foi de aproximadamente duas semanas. A empresa disse em 2 de setembro que 35 casos haviam sido relatados globalmente e que estava inspecionando fornecedores para identificar baterias possivelmente afetadas. Ela interrompeu as vendas e anunciou substituição voluntária, mas o processo nos EUA ainda não era um recall formal da CPSC.

Essa lacuna tornou-se visível em 9 de setembro. A CPSC emitiu um aviso público aconselhando todos os proprietários do Note7 a desligar e parar de carregar ou usar o dispositivo. A Comissão disse que ela e a Samsung estavam trabalhando para um recall oficial e que estava trabalhando para determinar se um Note7 de substituição era uma solução aceitável. A declaração é evidência de que a aceitabilidade da substituição era uma questão regulatória viva, não um detalhe administrativo resolvido.

Em 10 de setembro, a Samsung instou os proprietários a desligar e trocar seus telefones, dizendo que havia identificado o estoque afetado e estava acelerando as substituições. Cinco dias depois, o primeiro recall da CPSC cobriu cerca de um milhão de unidades nos EUA vendidas antes de 15 de setembro. Registrou 92 relatos nos EUA de superaquecimento da bateria, incluindo 26 relatos de queimaduras e 55 relatos de danos à propriedade. As soluções eram um Note7 com bateria diferente, um reembolso ou outro dispositivo de substituição.

Esses números descrevem relatos recebidos, não responsabilidade adjudicada, contagens de defeitos únicos confirmados ou um total global de incidentes.

A formalização melhorou o recall de várias maneiras. Forneceu uma descrição única do perigo, identificou a população afetada, disse aos consumidores para parar de usar e estabeleceu soluções com a participação da CPSC. Também tornou o Note7 de substituição parte de uma ação corretiva oficial. A Samsung anunciou que novos telefones substitutos nos EUA estariam amplamente disponíveis até 21 de setembro, e sua atualização de 20 de setembro disse que mais de 500.000 substituições haviam chegado às lojas de operadoras e varejistas.

A atualização introduziu um ícone de bateria verde e uma marca na embalagem para distinguir novos telefones. Também enviou avisos recorrentes para dispositivos recolhidos. Esses foram controles eficazes de identificação e comunicação. Eles não constituíram prova técnica. O ícone codificava a classificação da Samsung de um dispositivo como tendo uma bateria não afetada. Ele não monitorava a qualidade da solda, a integridade do separador ou os precursores de curto-circuito interno.

Os dados de troca mostram o quão rapidamente a nova classificação influenciou a exposição. A Samsung disse em 22 de setembro que cerca de metade dos telefones recolhidos nos EUA haviam sido trocados e que 90% dos proprietários participantes estavam escolhendo outro Note7. Uma atualização global em 27 de setembro disse que mais de 60% dos telefones recolhidos nos Estados Unidos e na Coreia haviam sido trocados e novamente relatou que cerca de 90% dos usuários estavam selecionando um novo Note7. Esses eram números da empresa e podem ter mudado rapidamente. Eles estabelecem que os telefones substitutos não eram uma solução marginal.

Eles eram a escolha dominante relatada pela Samsung.

A velocidade tinha um propósito legítimo. Cada dia que um telefone original recolhido permanecia em uso prolongava a exposição ao perigo conhecido. Os varejistas precisavam de estoque, os consumidores precisavam de telefones funcionais e a empresa precisava de uma solução escalável. Mas a velocidade também criou um problema de qualificação. Uma população substituta produzida e distribuída rapidamente oferece menos tempo de calendário para estabilização do processo, acumulação de ciclo de vida e observação de campo. A evidência pública não prova que a pressão do cronograma causou os defeitos de soldagem e isolamento do Fabricante B.

Ela suporta a inferência mais limitada de que a decisão de substituição carregava risco de maturidade do processo que exigia evidências e monitoramento extraordinariamente fortes.

O sinal de substituição e o colapso do primeiro limite de segurança

O primeiro sinal publicamente proeminente nos EUA após as substituições entrarem em circulação veio da aviação. Em 5 de outubro, a presidente da CPSC emitiu uma declaração sobre um incidente em uma aeronave da Southwest Airlines em Louisville. A agência disse que os passageiros saíram sem ferimentos e que a equipe estava coletando fatos da FAA, Samsung e do consumidor. A declaração não estabeleceu por si só a fonte da bateria do telefone ou a causa final, portanto não deve ser usada como uma conclusão técnica completa.

Ela mostra que no início de outubro a CPSC estava investigando um evento grave em um ambiente operacional onde um incêndio de bateria poderia afetar muitas pessoas.

Mais relatos mudaram a decisão de controle. Em 10 de outubro, a CPSC disse que estava investigando ativamente telefones superaquecendo e queimando em vários estados e aconselhou os proprietários de originais e substitutos a parar de usar. A Comissão chamou a suspensão de vendas e trocas da Samsung de ação correta. A declaração paralela de parada de venda da Samsung disse aos parceiros globais de operadoras e varejistas para parar de vender ou trocar o produto e disse a todos os proprietários para desligar.

Este foi o evento desencadeador para a retirada final: evidências de calor e fogo perigosos não estavam mais limitadas à população removida pelo primeiro recall. A substituição não tinha apenas um defeito cosmético ou de desempenho ambíguo. Ela apresentava o mesmo perigo de alto nível através de outro caminho interno. Uma vez que a premissa da primeira solução falhou, continuar emitindo substituições do Note7 teria exposto clientes adicionais sob uma classificação invalidada.

Em 13 de outubro, o recall expandido da CPSC cobriu cerca de 1,9 milhão de telefones nos EUA, incluindo o milhão do primeiro recall. Incluiu expressamente todos os dispositivos fornecidos como substitutos e dispositivos exibindo o ícone de bateria verde. Os consumidores foram instruídos a parar de usar todos os Note7 e buscar um reembolso ou outro modelo. O aviso correspondente da Samsung disse que a inclusão da substituição seguiu sua parada de produção, venda e troca em 10 de outubro.

O aviso expandido relatou 96 relatos de superaquecimento nos EUA, incluindo 23 novos relatos após o anúncio do primeiro recall, bem como 13 relatos de queimaduras e 47 relatos de danos à propriedade associados a telefones Note7. Essas categorias não devem ser adicionadas mecanicamente aos números do primeiro aviso. O aviso posterior não explica por que suas contagens de queimaduras e danos à propriedade são menores do que as categorias anteriores, se os casos foram reclassificados, deduplicados ou avaliados sob um escopo diferente.

O uso seguro é relatar cada aviso com sua data e texto, não fabricar um total cumulativo a partir de instantâneos incompatíveis.

A solução agora era estruturalmente diferente. Um cliente podia receber um reembolso ou outro modelo, mas não um Note7 supostamente corrigido. A Samsung também usou cooperação de operadoras e controles de software para limitar ou desativar dispositivos restantes. Essas medidas foram coercitivas em um sentido técnico restrito porque reduziram o que um proprietário podia fazer com a propriedade já adquirida. Elas também eram controles de risco direcionados a um produto que os proprietários foram repetidamente solicitados a devolver.

A responsabilidade exige reconhecer ambos: a limitação remota reduziu a exposição residual a incêndios, enquanto a necessidade dela mostrou que um anúncio de recall sozinho não podia recuperar todas as unidades perigosas.

O que falhou dentro das células do Fabricante A

A Samsung anunciou suas conclusões de causa raiz em janeiro de 2017 após testar dispositivos, baterias e processos. As evidências técnicas mais úteis vêm de apresentações separadas da Exponent, UL e TUV Rheinland, todas contratadas em conexão com a investigação da Samsung. Seu envolvimento adiciona independência técnica na análise, mas não independência institucional completa: a Samsung encomendou o trabalho, forneceu pelo menos as amostras descritas pela UL e controlou grande parte do ambiente de evidências. Suas conclusões devem ser lidas com esse escopo visível.

A apresentação de causa raiz da Exponent concluiu que a causa mais provável de falha térmica em certas células do Fabricante A era dano não intencional aos enrolamentos do eletrodo negativo próximo ao canto mais próximo da guia negativa. Ela atribuiu esse dano a um design de bolsa que fornecia volume inadequado para o conjunto do eletrodo. Ciclos normais de carga e descarga poderiam então transformar a interferência geométrica em comprometimento do separador, deposição de lítio ou outro caminho de falha interna.

A arquitetura da célula explica por que pequenas decisões dimensionais são importantes. As camadas do eletrodo positivo e negativo são separadas por material fino e enroladas em um conjunto frequentemente chamado de rolo de gelatina. O separador deve impedir o contato elétrico enquanto permite o transporte iônico. O conjunto enrolado fica em uma bolsa flexível. Se o invólucro não fornecer espaço suficiente, a compressão ou deformação do canto pode concentrar o estresse mecânico. Se o separador for danificado e camadas condutoras opostas entrarem em contato, a corrente pode fluir dentro da célula fora do circuito pretendido.

O aquecimento local pode iniciar uma reação térmica auto-reforçada.

A apresentação de análise de falhas da UL relatou sinais de curto-circuito interno no canto superior direito em seis dispositivos danificados do Fabricante A e em quatro células inchadas. Tomografias computadorizadas e desmontagem de células adicionais mostraram padrões repetidos de deformação. A UL descreveu uma combinação de deformação do canto, um separador fino e estresse mecânico repetido dos ciclos como um provável mecanismo principal, ao mesmo tempo em que afirmou que mais trabalho era necessário para entender a causa raiz das deformações do canto.

Essa qualificação é importante. A Exponent expressou uma conclusão mais específica sobre o volume da bolsa; a UL descreveu múltiplos contribuintes de design e fabricação e manteve incerteza em torno da origem da deformação. Os relatórios convergem na localização e no caminho do curto-circuito interno sem serem idênticos na redação causal. Uma conclusão cuidadosa é, portanto, que a população A tinha tolerância inadequada em torno do conjunto enrolado e do separador no canto, com evidências apoiando um mecanismo de espaço da bolsa. Seria exagerar o registro afirmar que todo incidente A seguiu uma sequência perfeitamente observada.

A densidade de energia influenciou a consequência, não necessariamente a iniciação. A UL observou que um separador mais fino poderia reduzir a tolerância a defeitos de fabricação e que uma maior densidade de energia pode piorar a gravidade de uma falha. Nenhuma dessas observações significa que a alta capacidade por si só causou os incidentes do Note7. Um design de alta energia eleva a demanda por margem dimensional, proteção do separador e capacidade de processo. A responsabilidade está em validar a combinação, não em tratar uma química de bateria amplamente usada como um perigo imprevisível.

O mecanismo A deveria ter sido abordado em vários portões. A análise do design da célula poderia comparar as dimensões do eletrodo com o volume da bolsa entre tolerâncias, inchaço e vida útil do ciclo. A tomografia computadorizada ou amostragem destrutiva poderia identificar deformação do canto. Os dados de capacidade de fabricação poderiam mostrar se a folga pretendida permaneceu estável. O ciclo acelerado em nível de dispositivo poderia expor o estresse mecânico repetido. A rastreabilidade do lote poderia ligar incidentes de campo a registros de design e processo. A investigação pública descreve alguns desses métodos após a falha;

ela não publica os resultados completos pré-lançamento que permitiram a liberação.

O Fabricante B falhou de forma diferente

O Fabricante B é onde o recall se torna um caso de qualificação, e não apenas um caso de design original. A Exponent disse que sua análise inicial das células B não encontrou deficiências na bolsa, design ou fabricação. Células fabricadas após a conclusão dessa investigação inicial foram posteriormente encontradas contendo um defeito nitidamente diferente. Essa cronologia significa que uma amostra válida para um estado de produção não podia estabelecer a qualidade da produção posterior.

A Exponent identificou soldagem de guia positiva mal controlada que produzia características afiadas e relativamente altas. O inchaço e a contração normais do eletrodo podiam forçar essas características em direção ao eletrodo negativo oposto. Em algumas células examinadas, a fita protetora sobre a guia positiva estava ausente. Uma protrusão de solda que atravessasse a separação física, particularmente sem isolamento, poderia criar um curto-circuito interno, aquecer a célula e progredir para fuga térmica em alto estado de carga.

A UL encontrou sinais de curto-circuito interno em cinco dispositivos B danificados, incluindo evidências nos locais das guias. Ela relatou fita isolante ausente, protrusões de solda afiadas, mau alinhamento e dimensões inconsistentes da guia ou fita em células examinadas. Sua avaliação descreveu a combinação de fita ausente, protrusões afiadas e um separador fino como um provável mecanismo de falha principal. Também não encontrou evidências em seu trabalho de que problemas de compatibilidade em nível de dispositivo causaram as falhas de campo.

A ausência de um gatilho comum do dispositivo restringe a explicação, mas não absolve o vendedor do sistema. A Exponent relatou que o sistema de bateria do Note7 tinha múltiplas camadas de proteção e que os testes não identificaram uma falha eletrônica capaz de desencadear as falhas observadas. A UL encontrou corrente de carregamento, tensão da célula e temperatura dentro das especificações da Samsung nas condições testadas.

A revisão de montagem e logística da TUV Rheinland não encontrou fraqueza relevante nas linhas de montagem da Samsung inspecionadas ou nas simulações de transporte rodoviário, e suas amostras passaram nos testes de segurança aplicáveis.

Estes são negativos limitados. Eles mostram que os investigadores não encontraram uma causa no sistema de carregamento, montagem do telefone ou transporte rodoviário dentro de seus escopos e amostras. Eles não provam que todos os carregadores, embarques, condições de montagem ou ambientes de usuário eram inofensivos. Mais importante, eles deixam a célula de bateria aceita como o componente falho dentro de um sistema controlado pela Samsung. A responsabilidade em nível de produto persiste porque o circuito de proteção não pode parar de forma confiável um curto que se forma internamente entre os eletrodos.

O mecanismo B levanta uma questão direta de controle de processo: o que mudou entre as células inicialmente investigadas e a produção de substituição posterior? As apresentações públicas não fornecem um histórico completo de mudanças de engenharia, registro de capacidade linha por linha, mudança de instrução do operador, histórico de manutenção do equipamento de solda ou plano de amostragem de aceitação. Elas identificam o defeito, mas não publicam o caminho organizacional pelo qual ele entrou e escapou da produção. Sem esse caminho, atribuir o evento a um erro genérico de fabricação interromperia a análise cedo demais.

Os controles capazes de prevenir defeitos B incluem limites de altura de solda vinculados à folga do separador, inspeção automatizada de cada guia, verificação positiva da presença e posição da fita isolante, seccionamento destrutivo por lote, imagem tridimensional, monitoramento do estado do equipamento, aprovação de mudança de processo e quarentena do lote quando os limites de controle se desviam. A questão crucial da liberação é se essas características foram tratadas como críticas para a segurança e se a Samsung recebeu evidências dos lotes reais de produção, em vez de exemplares anteriores.

Causa raiz, gatilho e condições contribuintes

As causas físicas diretas foram curto-circuitos internos surgindo através de diferentes caminhos em duas populações de células. Para o Fabricante A, as evidências suportam deformação do canto e comprometimento do separador associados a acomodação e tolerância inadequadas da bolsa. Para o Fabricante B, elas suportam protrusões de solda de guia e defeitos de isolamento que poderiam fazer ponte para o eletrodo negativo. Esses mecanismos explicam a ignição em nível de célula.

A causa raiz organizacional está um nível acima. A qualificação de ponta a ponta não identificou e excluiu nenhum dos mecanismos antes que os telefones relevantes chegassem aos usuários. O primeiro portão de lançamento aceitou células A com tolerância geométrica inadequada. O portão de solução aceitou células B cuja produção posterior continha defeitos de solda e isolamento. Um sistema de segurança que depende de fornecedores, mas libera um produto integrado, deve ser capaz de validar a margem de design, a capacidade do processo, o controle de mudanças e o comportamento final do sistema em cada fonte aprovada.

O gatilho para a descontinuação final não foi a descoberta do problema de canto de A. Foi o aparecimento de incidentes perigosos em substituições, o que invalidou o escopo do primeiro recall. Esse gatilho converteu uma solução específica de fornecedor em uma parada de todos os dispositivos. Também mudou o ônus da evidência: após duas populações distintas falharem, outra substituição do mesmo modelo não poderia razoavelmente basear-se apenas na substituição do fornecedor.

Várias condições contribuintes são suportadas pelo registro. O design da célula oferecia tolerância limitada à deformação e variação de produção. O estoque de substituição foi distribuído rapidamente. A Samsung promoveu publicamente a confiança na nova classificação da bateria antes de publicar um relato completo da causa raiz. O estado de produção do Fabricante B mudou após as células iniciais revisadas pela Exponent. A qualificação e certificação existentes não forneceram vigilância contínua capaz de prevenir os defeitos escapados.

Outros contribuintes propostos permanecem não comprovados. A evidência pública não estabelece que um prazo executivo específico causou a liberação insegura, que funcionários ocultaram defeitos conhecidos de B, que um fornecedor relaxou intencionalmente os padrões, ou que a concorrência com outro aparelho ditou um compromisso específico de segurança. O cronograma do produto e a pressão do mercado são riscos contextuais plausíveis em qualquer lançamento principal, mas plausibilidade não é evidência de causalidade neste caso.

A detecção falhou em mais de um estágio. Os testes de design e processo pré-lançamento não pararam as células A. A qualificação da substituição e os controles de lote não pararam as células B. Os incidentes de campo se tornaram o detector decisivo para ambas as populações. A resposta melhorou uma vez que o segundo padrão foi reconhecido: vendas, trocas e produção pararam, todos os telefones foram recolhidos, restrições de transporte seguiram e o software reduziu progressivamente o uso residual. A recuperação então dependeu de milhões de proprietários, muitas operadoras, varejistas e reguladores agindo entre jurisdições.

O impacto foi mais amplo do que a contagem de telefones queimados

Os recalls nos EUA fornecem os números de incidentes e população pública mais específicos. Cerca de um milhão de dispositivos estavam no primeiro recall e cerca de 1,9 milhão foram cobertos pelo recall expandido, incluindo a primeira população. Esses números medem unidades sujeitas a ação corretiva, não o número que falhou. As contagens relatadas de superaquecimento, queimaduras e danos à propriedade estabelecem danos realizados e um perigo crível, mas não suportam estimar uma probabilidade de falha por dispositivo sem tempo de exposição confiável, tratamento de duplicatas e validação de caso.

O relatório de sustentabilidade de 2017 da Samsung disse que 3,06 milhões de telefones Note7 foram vendidos globalmente e que 97% foram recuperados até abril de 2017. A avaliação de janeiro de 2017 da CPSC também creditou a Samsung e as operadoras dos EUA com uma taxa de resposta do consumidor de 97%. Estes são sinais de participação em recall excepcionalmente altos, mas os denominadores diferem: um é uma divulgação global da empresa e o outro é uma declaração de um regulador dos EUA sobre a resposta ao recall. Nenhum prova que cada telefone devolvido foi transportado, processado ou reciclado com segurança.

Os proprietários absorveram inconveniência e risco diretos. Eles tiveram que parar de usar um dispositivo de comunicação caro, fazer backup e migrar dados, visitar uma loja ou providenciar a devolução, obter um reembolso ou telefone diferente, substituir acessórios e repetir o processo se já tivessem trocado um original. Pessoas que dependiam do telefone para o trabalho enfrentaram interrupção do serviço. Membros da família e espectadores compartilharam a exposição ao fogo sem escolher o produto. Os relatos de danos à propriedade e queimaduras mostram que os efeitos não se limitaram a expectativas frustradas.

Varejistas e operadoras se tornaram infraestrutura de recuperação. A equipe teve que identificar modelos, lidar com devoluções perigosas, explicar instruções em mudança, reverter contratos ou financiamentos, emitir créditos e manter estoque substituto. Pequenos varejistas e empresas de serviços enfrentaram custos operacionais sem ter projetado ou qualificado o produto. O recall, portanto, afetou a continuidade das PMEs através da carga de trabalho do canal, disputas com clientes e gerenciamento de estoque, embora nenhuma alocação de custos públicos completa esteja disponível.

As consequências para a aviação foram globais e desproporcionais ao número de eventos confirmados em voo porque o ambiente altera o cálculo da gravidade. O anúncio de ordem de 14 de outubro do DOT proibiu todos os Note7 do transporte aéreo nos EUA a partir do meio-dia, horário do leste, em 15 de outubro. Os passageiros não podiam carregar um consigo, na cabine ou na bagagem despachada, e os telefones não podiam se mover como carga aérea. As companhias aéreas tiveram que alertar os passageiros, negar embarque quando necessário e gerenciar o transporte inadvertido.

A ordem de emergência da FAA tratou o dispositivo como material perigoso proibido. O boletim de 13 de outubro da EASA aplicou precauções a todos os telefones Note7, incluindo substitutos. Diferentes jurisdições escolheram formas legais diferentes, mas ambas removeram a distinção da qual a primeira solução dependia. Um ícone verde não podia ser uma credencial de segurança de transporte após incidentes de substituição.

O impacto financeiro foi material, mas requer rótulos cuidadosos. A orientação revisada de terceiro trimestre da Samsung reduziu o lucro operacional consolidado esperado de aproximadamente KRW 7,8 trilhões para KRW 5,2 trilhões após interromper o Note7, uma revisão de KRW 2,6 trilhões. A empresa disse que a revisão refletia o impacto da decisão. Isso não é um prêmio de danos calculado pelo tribunal ou um custo de recall em dinheiro puro.

A Samsung estimou separadamente um impacto negativo no lucro operacional de cerca de KRW 3 trilhões ao longo do quarto trimestre de 2016 e primeiro trimestre de 2017 devido a vendas perdidas, depois de dizer que o custo direto da descontinuação já havia sido alocado à orientação do terceiro trimestre. Os números dizem respeito a diferentes períodos e efeitos e não devem ser adicionados indiscriminadamente. Eles mostram que a retirada total impôs um custo grande o suficiente para afetar a divulgação pública do mercado, deixando os custos do consumidor, canal, fornecedor, legais e de descarte apenas parcialmente visíveis.

Regulação, autoridade de recall e solução legal

O papel da CPSC teve duas fases. Antes de 15 de setembro, ela alertou os consumidores e avaliou se a substituição proposta era aceitável. Em seguida, participou do primeiro recall formal. Quando os incidentes de substituição surgiram, ela investigou, apoiou a parada e expandiu o recall. A agência não publicou uma conclusão de fiscalização final que aloque culpa legal entre a Samsung e os fabricantes de células nos materiais usados aqui.

A declaração do presidente da CPSC em janeiro de 2017 é excepcionalmente franca sobre a capacidade institucional. Disse que a Samsung dedicou mais pessoas à investigação do que a agência inteira emprega e que a equipe da CPSC estava continuando uma investigação independente com recursos muito menores. Esse desequilíbrio é importante. Um regulador pode compelir e coordenar ações corretivas, mas a análise complexa de falhas físicas pode permanecer fortemente dependente de evidências geradas pela empresa regulada e seus contratados.

A responsabilidade pública melhora quando os métodos brutos, a seleção da amostra e as limitações estão disponíveis para desafio independente.

O dever legal de relatar é mais amplo do que uma admissão final de defeito. A Seção 2064 é acionada por informações que razoavelmente apoiem conclusões de segurança especificadas, enquanto o estatuto também protege um relato de ser tratado como uma admissão para certos fins. Isso incentiva o aviso precoce sob incerteza. A cronologia do Note7 demonstra por que: esperar por uma explicação física perfeita teria prolongado a exposição. Não se segue que toda solução provisória deva prosseguir com o mesmo nível de incerteza. Um aviso de parar de usar pode ser preventivo; uma substituição do mesmo produto requer evidência afirmativa de segurança.

O litígio privado criou outra rota de responsabilidade, mas as ordens judiciais públicas devem ser lidas pelo que decidiram. Em Schmidt v. Samsung Electronics America, compradores do Note7 entraram com ações de comercialidade e responsabilidade pelo produto após os recalls. A ordem do tribunal distrital federal de 2017 abordou principalmente os termos de arbitragem e as reivindicações de classe, compelindo algumas disputas à arbitragem e rejeitando reivindicações de classe. Não adjudicou o mecanismo de falha da célula, determinou danos agregados ou estabeleceu que toda alegação apresentada era verdadeira.

O caso ainda revela um limite prático de solução. A responsabilidade pela segurança do consumidor e a compensação não viajam por um único foro. A CPSC pode coordenar soluções de recall, enquanto reivindicações econômicas ou de danos individuais podem encontrar contratos, arbitragem, jurisdição e requisitos de prova. Um reembolso total aborda a transação de compra. Pode não resolver danos à propriedade, danos pessoais, interrupção de negócios ou o custo de tempo de trocas repetidas. Inversamente, a existência de um processo não estabelece responsabilidade.

A lei de transporte impôs obrigações além do recall do produto. O alerta de segurança de setembro da FAA lembrou os operadores de que baterias de lítio recolhidas ou defeituosas enfrentam restrições de carga e passageiros sob as regras de materiais perigosos. A ordem posterior específica do Note7 tornou o controle inequívoco. A proibição das companhias aéreas não foi uma conclusão de que cada unidade inflamaria. Foi uma decisão de risco de que a combinação de status incerto da unidade, calor perigoso conhecido e consequência da aeronave tornava o transporte inaceitável.

A descontinuação e a recuperação reduziram a exposição

A resposta final teve quatro elementos eficazes. Primeiro, a Samsung interrompeu a produção, vendas e trocas em vez de tentar uma terceira população de baterias do Note7. Segundo, a CPSC expandiu o recall formal para apagar a distinção original-substituto. Terceiro, operadoras, varejistas e autoridades de transporte dificultaram o uso e movimento contínuos. Quarto, atualizações de software limitaram progressivamente o carregamento ou o uso da rede em dispositivos não recuperados.

Essas medidas abordaram diferentes pontos de falha. Uma ordem de parada de produção preveniu nova exposição. Reembolsos e modelos substitutos deram uma saída aos proprietários. Os controles de varejo e operadora alcançaram clientes através de relacionamentos comerciais existentes. As restrições de aviação protegeram um ambiente compartilhado de alta consequência. Os controles de software reduziram a exposição residual entre pessoas que ignoraram, perderam ou resistiram aos pedidos de devolução.

As taxas de recuperação fornecem evidência de que o programa alcançou a maioria dos usuários. O boletim de segurança de 2017 da EASA registrou informações da Samsung indicando uma taxa de recall de 94% na Europa e 96,5% mundialmente no início de fevereiro de 2017, e descreveu atualizações que limitavam o carregamento e depois desativavam a operação móvel. O boletim retirou a recomendação específica do dispositivo em favor de orientação geral sobre baterias danificadas, defeituosas e recolhidas após observar o progresso da mitigação e a ausência de relatos recentes de incêndio a bordo.

Essa retirada é evidência de exposição reduzida ao transporte, não uma declaração de que os telefones Note7 não recuperados eram seguros. Similarmente, uma resposta de 97% deixa uma população residual. Numa escala de milhões, uma pequena porcentagem ainda pode representar muitos dispositivos, embora os números públicos não forneçam um denominador consistente e uma data para uma contagem residual exata. A desativação por software foi, portanto, um controle de recuperação, não apenas um bloqueio comercial.

A resposta também preservou a incerteza apropriadamente em momentos-chave. A CPSC investigou o evento de Louisville em vez de anunciar uma causa imediata. A Samsung interrompeu as trocas enquanto a investigação prosseguia. A investigação final comparou hipóteses de dispositivo, bateria, montagem e logística. A crítica mais forte não é que os tomadores de decisão agiram antes de saber tudo. É que a primeira solução restaurou o uso comum antes que a evidência publicada pudesse explicar e excluir os modos de falha relevantes em todo o processo de substituição real.

O que as investigações provaram e o que não provaram

O registro técnico combinado suporta fortemente defeitos nas células da bateria como a fonte dos eventos térmicos do Note7 estudados. A Exponent e a UL encontraram caminhos físicos de curto-circuito interno em ambas as populações. Seus mecanismos são consistentes com o relato da própria Samsung. Os testes de carregamento em nível de dispositivo não revelaram um gatilho correspondente às falhas de campo, e o trabalho com escopo da TUV não identificou degradação de montagem ou transporte rodoviário como a causa.

Os relatórios também mostram por que uma única frase como defeito de bateria é inadequada. O problema de design e tolerância de A e o problema de soldagem e isolamento de B exigiram controles diferentes. Substituir uma fonte poderia abordar o primeiro mecanismo enquanto não fazia nada para controlar o segundo. Uma declaração de causa raiz útil para prevenção deve identificar tanto o mecanismo físico quanto o controle que deveria tê-lo detectado.

As investigações não divulgam todas as decisões de seleção de amostras. A UL disse expressamente que todas as amostras em sua apresentação foram fornecidas pela Samsung. As apresentações públicas não listam o universo completo de dispositivos devolvidos, cadeia de custódia para cada amostra de campo, método de seleção cega, taxa de falhas por lote ou confiança estatística. Elas não mostram se unidades severamente danificadas que não puderam ser diagnosticadas diferiam sistematicamente das unidades analisadas.

Tampouco reconstroem toda a linha do tempo interna de decisões. O registro público não mostra o pacote de evidências apresentado ao executivo que autorizou a liberação da substituição, os critérios de aceitação precisos, opiniões divergentes de engenharia, exceções de auditoria de fornecedores, resultados de imagem lote por lote ou quando a Samsung soube de cada defeito de processo B. Portanto, não pode estabelecer se um aviso conhecido foi ignorado ou se o defeito foi genuinamente não detectado até eventos de campo.

A evidência pública também é insuficiente para alocar todas as perdas econômicas. As contagens de recall, orientação de lucros e incidentes relatados são mensuráveis. O tempo agregado do consumidor, dados perdidos, danos à propriedade, custos da operadora, estornos de fornecedores, manuseio de resíduos e recuperações de seguros não são divulgados em uma conta reconciliada. Alegações de ações judiciais e acordos privados não podem ser tratados como totais confirmados sem adjudicação ou registros completos.

Finalmente, o registro não estabelece uma contagem contrafactual de incidentes. Não pode dizer quantas células A eventualmente falhariam sem o primeiro recall, quantas falhas B foram prevenidas pelo segundo, ou como um período de qualificação mais longo teria mudado a produção. Estas são questões importantes, mas os dados necessários de exposição e processo não são públicos.

Evidências de reparo após o Note7

O principal reparo técnico da Samsung foi uma verificação de segurança de bateria de oito pontos. Ela adicionou ou fortaleceu testes de carga-descarga, testes de durabilidade, inspeção visual, inspeção por raio-X, desmontagem, teste de composto orgânico volátil total, uso acelerado e verificações de diferença de tensão de circuito aberto. A empresa também descreveu medidas de segurança em múltiplas camadas cobrindo design, proteção de hardware e algoritmos de carregamento, e criou um grupo consultivo externo de baterias.

Esses controles se mapeiam razoavelmente bem para os defeitos observados. O raio-X e a desmontagem podem revelar deformação do eletrodo, posição da solda e isolamento ausente. Os testes de carga-descarga e uso acelerado podem aplicar estresse de ciclo. As mudanças na tensão de circuito aberto e compostos voláteis podem indicar vazamento ou condições internas anormais. O teste de durabilidade investiga a tolerância além da operação comum. O software em nível de dispositivo limita a temperatura, corrente e duração do carregamento, embora não possa reparar uma ruptura interna do separador.

A Samsung posteriormente descreveu como aplicou o processo ao Galaxy S8. Seu relato de engenharia de abril de 2017 disse que a empresa criou mais espaço físico ao redor da bateria, adicionou um suporte protetor, mudou o design da bateria para reduzir a pressão do eletrodo, usou algoritmos de carregamento mais seguros e submeteu baterias e dispositivos acabados a verificações repetidas. Também disse que a UL e a Exponent avaliaram a bateria do S8 em relação aos requisitos aplicáveis. Esta é evidência de implementação, mas é principalmente um relato da empresa sobre seu próprio produto sucessor.

O sistema de padrões mais amplo também mudou. O relatório de status de baterias de alta densidade de energia do ano fiscal de 2020 da CPSC disse que a equipe iniciou discussões com a CTIA após o recall do Note7 para revisar e revisar o IEEE 1725-2011 e o padrão multicélula relacionado. O IEEE aprovou uma nova edição 1725 em 2021. O programa atual da CTIA descreve auditorias de locais de fabricação, células e pacotes reconhecidos, testes de sistema e declarações de fornecedores.

Esta evidência suporta uma conclusão de remediação material. Os controles não se limitaram a dizer aos fornecedores para serem mais cuidadosos. Eles adicionaram inspeção em nível de produto, análise destrutiva, margem de design, uso acelerado, rastreabilidade e padrões de sistema. O trabalho de padrões da CPSC indica que o evento também influenciou a estrutura da indústria.

O que ainda falta é evidência de durabilidade no mesmo nível de especificidade que a investigação de falhas. Os materiais públicos não fornecem taxas anuais de escape de defeitos, conclusões anonimizadas do grupo consultivo, não conformidades de auditoria, dados de rejeição de mudanças de processo do fornecedor, testes independentes repetidos ou a sensibilidade de cada verificação aos mecanismos A e B. Um telefone posterior que passa nos requisitos mostra que uma amostra definida atendeu a um teste. Não mede com que frequência o sistema contínuo captura um escape de produção raro.

A ausência de outro recall público de smartphone da Samsung na escala do Note7 é história operacional relevante, mas não prova de causalidade. Designs de produto, volumes, fornecedores, práticas de relato e tempo de exposição diferem. Um período tranquilo pode ser consistente com reparo eficaz, menor risco latente ou eventos de baixa frequência não detectados. Uma garantia forte combinaria desempenho de campo com dados de controle transparentes.

Contrafactuais melhores começam antes da primeira troca

O contrafactual mais simples é cancelar o lançamento até que todos os possíveis defeitos da bateria fossem conhecidos. Isso é irrealista como regra universal porque nenhuma qualificação pode enumerar todas as falhas futuras. Um contrafactual útil pergunta qual evidência, disponível através de controles viáveis, poderia ter mudado a decisão.

Para o Fabricante A, a análise de acumulação dimensional entre o tamanho máximo do eletrodo, o volume mínimo da bolsa, o inchaço e a deformação do ciclo poderia ter desafiado a margem do canto. Imagens tridimensionais e seções destrutivas de lotes de produção poderiam ter testado se a folga do design sobrevivia à variação de fabricação. O ciclo acelerado no dispositivo final poderia ter procurado estresse repetido no canto. Se esses controles revelassem deformação, a Samsung poderia ter exigido mais volume da bolsa, mudado a geometria do eletrodo ou adiado o lançamento.

Para o primeiro recall, o contrafactual mais seguro não era necessariamente deixar originais perigosos em uso enquanto esperava meses. A Samsung já oferecia reembolsos e trocas da família Galaxy S7. Ela poderia ter feito dessas alternativas a solução imediata principal e adiado a substituição do mesmo modelo até que o mecanismo A fosse estabelecido, o processo B tivesse amadurecido e lotes representativos da produção em escala passassem em verificações aprimoradas. Isso teria imposto custos comerciais e ao cliente, mas evitado mover grandes números de usuários para uma segunda população não comprovada.

Uma substituição em fases era outra opção. Lotes limitados poderiam ter passado por amostragem destrutiva maior, uso acelerado mais longo e monitoramento de campo aprimorado antes da liberação nacional. Os critérios de liberação poderiam ter exigido geometria de solda estável, presença de fita verificada, rastreabilidade de lote e nenhuma anomalia térmica inexplicada. A evidência pública não pode provar que o faseamento teria detectado defeitos B, particularmente se a mudança de processo relevante ocorreu mais tarde.

Teria criado mais oportunidades para detectar um processo em mudança antes que centenas de milhares de unidades fossem enviadas.

A diversidade de fornecedores deveria ter sido tratada como uma nova análise de perigo, não como prova de independência. Os engenheiros poderiam perguntar como o fornecedor alternativo poderia falhar de forma diferente, quais características críticas de segurança eram comuns, quais controles eram específicos do fornecedor e qual teste em nível de sistema pegaria um novo curto interno. O fato de B não compartilhar o defeito de bolsa de A era evidência necessária, mas não suficiente.

Uma vez que relatos envolvendo substituições chegaram, o limiar correto para uma parada era menor do que no lançamento. A população de solução havia sido apresentada como a resposta segura a um recall de incêndio. Um relato crível de incêndio, portanto, desafiou a afirmação central de controle. A Samsung e os parceiros de canal pararam vendas e trocas em 10 de outubro antes de publicar o mecanismo final. Os registros públicos não permitem um julgamento preciso sobre se isso deveria ter acontecido após o primeiro relato de substituição ou se o tempo de investigação foi irrazoável.

O software limitando o carregamento poderia mitigar a exposição residual, mas não era um substituto adequado para o recall. Um estado de carga mais baixo pode reduzir a energia disponível e desativar um telefone pode prevenir o ciclo comum, mas nenhum remove uma protrusão de solda interna, isolamento ausente ou separador deformado. A Samsung usou o software apropriadamente como uma ferramenta de recuperação após a descontinuação, em vez de declarar o hardware defeituoso reparado.

Um teste durável de responsabilidade na qualificação de substituição

O primeiro teste é um limite de perigo preciso. Antes de oferecer uma substituição do mesmo modelo, o fabricante pode afirmar o que diferencia unidades afetadas e não afetadas em termos físicos, de processo e rastreabilidade? Um nome de fornecedor, ícone ou data de fabricação é útil apenas se mapear para evidência de controle verificada.

O segundo teste é a completude do mecanismo. A investigação identificou um mecanismo de falha forte o suficiente para saber o que a solução deve mudar? Se o mecanismo permanece desconhecido, a solução deve evitar restaurar a mesma exposição, a menos que evidência independente estabeleça segurança através de outra rota robusta.

O terceiro teste é a qualificação representativa. As amostras de teste vêm das fábricas, ferramentas, operadores, materiais, lotes e taxas de produção reais que fornecerão as substituições? Um protótipo ou lote inicial não pode provar um estado de rampa posterior. Mudanças de processo após a qualificação devem desencadear revisão proporcional à significância da segurança.

O quarto teste é a tolerância, não a conformidade nominal. O design permanece seguro nas dimensões de pior caso da bolsa, alinhamento do eletrodo, altura da solda, espessura do separador, inchaço, envelhecimento e estresse físico? Uma célula de alta energia precisa de margem contra combinações de pequenas variações, não apenas uma unidade nominal que passa.

O quinto teste é a detecção de escape. Quais controles podem encontrar uma deformação de canto, fita ausente, guia desalinhada ou solda alta antes do embarque? O que é inspecionado em cada célula, o que é amostrado, o que é destruído e qual é a taxa de falso negativo estimada? Uma lista de controle sem sensibilidade e lógica de amostragem não pode demonstrar cobertura.

O sexto teste é a propriedade do sistema. Um proprietário de segurança do produto responsável está autorizado a parar tanto o lançamento original quanto a liberação da solução através das equipes de compras, engenharia, fabricação e comercial? Certificados de fornecedores e cooperação do regulador devem informar essa decisão, não difundi-la.

O sétimo teste é a escalada de campo. Os incidentes de substituição são segregados e escalados imediatamente porque desafiam a própria solução? A Samsung, operadoras, varejistas e reguladores podem reconciliar número de série, lote de bateria, estado de uso, condição de carregamento e evidência de dano em uma linha do tempo comum?

O oitavo teste é a continuidade do recall. Os clientes podem receber reembolsos, substitutos e embalagem segura de devolução sem permanecer expostos ou perder serviço de comunicação essencial? Os varejistas e pequenos parceiros de canal são financiados e treinados para devoluções perigosas? O programa mede a recuperação por região, canal e status do dispositivo em vez de anunciar uma porcentagem global?

O nono teste é a evidência pública. A empresa publica métodos, limitações da amostra, hipóteses concorrentes e o que os investigadores não puderam determinar? As conclusões da empresa são distinguíveis das conclusões do regulador e do trabalho de laboratório contratado? Um mecanismo detalhado é mais crível quando a cadeia de evidência e a incerteza estão visíveis.

O décimo teste é a garantia de reparo. Auditorias posteriores mostram que as verificações de oito pontos, margens de design, vigilância do fornecedor e controle de mudanças permanecem ativos? Os escapes de defeitos, falhas de teste e ações corretivas são relatados em agregado? A certificação do produto sucessor e um longo período tranquilo são sinais úteis, mas devem ser suplementados por evidência repetível.

A resposta do Note7 eventualmente se tornou ampla e custosa o suficiente para conter o risco. A Samsung descontinuou um produto principal, apoiou reembolsos e dispositivos alternativos, usou controles de canal e software para impulsionar uma alta taxa de devolução, encomendou trabalho técnico extenso e alterou seu sistema de segurança de baterias. Os reguladores converteram o perigo ao consumidor em recalls formais e restrições de transporte. Essas ações importam e não devem ser apagadas pela falha anterior.

Elas também não validam retroativamente a primeira decisão de substituição. A lição duradoura do caso é que uma substituição é uma nova afirmação de segurança. Ela deve ser apoiada por evidência do design e estado de produção reais, incluindo as maneiras pelas quais a nova fonte pode falhar de forma diferente da antiga. Quando os clientes cumprem um recall, a instituição que controla a solução assume a responsabilidade de garantir que o cumprimento não troque um perigo conhecido por um não reconhecido.