Пожары аккумуляторов Boeing 787 сделали сдерживание теплового разгона проверкой ответственности при сертификации

Резюме

• Подтверждённые события:7 января 2013 года в припаркованном в Бостоне самолёте Boeing 787 авиакомпании Japan Airlines после ухода пассажиров и экипажа произошло возгорание аккумулятора вспомогательной силовой установки. 16 января Boeing 787 авиакомпании All Nippon Airways в наборе высоты получил сигнал об отказе аккумулятора и необычный запах, ушёл на запасной аэродром в Такамацу и провёл эвакуацию; четыре пассажира получили лёгкие травмы. На двух самолётах использовалась одна и та же модель аккумулятора для разных бортовых функций.
• Выводы расследований:Национальный совет по безопасности на транспорте США установил, что бостонское событие началось с внутреннего короткого замыкания в одной ячейке, за которым последовал тепловой разгон, распространившийся на соседние ячейки. Он отнёс инцидент к тому, что Boeing не определил меры по смягчению наиболее тяжёлых последствий внутреннего короткого замыкания ячейки, а Федеральное управление гражданской авиации США не выявило этот недостаток проекта при сертификации типа. Японский совет по безопасности на транспорте установил, что с высокой вероятностью инициатором распространения в Такамацу стала ячейка 6, но не определил окончательный механизм, вызвавший внутреннее короткое замыкание.
• Триггер, коренная и сопутствующие причины:Операционным триггером приостановки полётов стал не просто отказ аккумулятора, а второе серьёзное событие за девять дней, на этот раз в полёте. Коренной причиной с точки зрения ответственности было неподтверждённое допущение о безопасности системы: считалось, что тепловой разгон одной ячейки не распространится и не приведёт к опасным последствиям на уровне самолёта. Сопутствующими условиями стали нерепрезентативные испытания при разработке, использование предсерийного и незаземлённого аккумулятора в ключевом испытании на прокол гвоздём, заниженная оценка частоты событий, неполная прослеживаемость от требований к испытаниям, производственные процессы, способные создавать складки или посторонние частицы, а также надзор, который недостаточно эффективно достигал завода-изготовителя ячеек нижнего уровня.
• Контроль и реагирование:GS Yuasa контролировала производство ячеек и аккумуляторов; Thales контролировала интеграцию подсистемы преобразования энергии; Boeing контролировал требования самолётного уровня, интеграцию поставщиков, оценку безопасности и заявку на сертификат типа; уполномоченные представители и инженеры FAA делали заключения о соответствии в рамках делегированных и сохранённых полномочий, при этом только FAA могла выдать сертификат типа и директивы лётной годности. Авиакомпании контролировали немедленную эксплуатацию парка, а органы расследования контролировали собственные выводы о безопасности, но не гражданско-правовую ответственность.
• Восстановление:FAA приостановила полёты зарегистрированных в США Boeing 787 экстренной директивой лётной годности и одобрила возврат в эксплуатацию после установки новых аккумуляторов и зарядных устройств, ужесточения эксплуатационных ограничений, дополнительной изоляции ячеек, герметичного стального корпуса и вентиляции за борт. В январе 2014 года событие в Нарите привело к перегреву одной ячейки модернизированного аккумулятора без распространения и без повреждения окружающего оборудования. Японский регулятор расценил это как доказательство того, что второй и третий уровни защиты сработали, но одновременно потребовал дальнейших улучшений, поскольку первый уровень не предотвратил перегрев ячейки.
• Вывод об ответственности:Модернизация дала убедительные доказательства улучшения локализации последствий. Она не сделала задним числом разумными исходные сертификационные допущения, не выявила все механизмы инициирования и не доказала публично, что аккумулятор стал абсолютно безотказным. Устойчивая гарантия требует постоянных доказательств на трёх уровнях: возможности технологического процесса изготовления ячеек, устойчивости аккумулятора к распространению разгона и локализации последствий на уровне самолёта при наихудших достоверных условиях установки.

Дело о границе безопасности, а не о бренде аккумулятора

Решающая граница в этом деле должна была находиться внутри аккумулятора. Ячейка могла отказать, выпустить газы или перегреться, но анализ безопасности предполагал, что событие останется достаточно ограниченным и не перерастёт в многоячеечный пожар, угрожающий самолёту. Когда бостонский аккумулятор дал пожар, а аккумулятор в Такамацу распространил тепло по ячейкам, эта граница оказалась ненадёжной в эксплуатации. Поэтому вопрос ответственности выходит за рамки того, какой микроскопический дефект запустил ту или иную ячейку.

Он спрашивает, кто определил эту границу, какие доказательства её обосновали, кто эти доказательства проверял и какие средства контроля остались, когда инициирующий механизм не удалось восстановить.

Настранице завершённого расследования NTSBвероятная причина бостонского события сформулирована в институциональных терминах: внутреннее короткое замыкание ячейки привело к каскадному тепловому разгону, а инцидент стал следствием отсутствия у Boeing проектных требований и недостатка проверки сертификации со стороны FAA. Это официальный вывод о безопасности, а не утверждение истца и не судебное решение. Вполном отчёте NTSB об инцидентесодержатся доказательства, анализ, выводы и рекомендации, стоящие за этой формулировкой. Её точность имеет значение.

Там не говорится, что Boeing сознательно принял известный риск пожара, что сотрудник FAA сознательно пропустил неудачное испытание или что одна обнаруженная частица доказанно вызвала короткое замыкание.

Японское расследование не менее важно, поскольку достигло другого предела. Витоговом отчёте JTSBописана вероятная последовательность событий вокруг ячейки 6: вспучивание, контакт с распорной шиной, большие токи заземления, электрическая дуга и распространение. В отчёте говорится, что выделение тепла ячейкой, вероятно, было вызвано внутренним коротким замыканием, но окончательный механизм этого короткого замыкания не установлен. Рассматривать два отчёта как взаимозаменяемые означало бы стереть главный урок: следователи могут доказать путь эскалации и отказ контроля, не доказав первый микроскопический акт.

В этом анализе используются пять обозначений.Подтверждённый фактнапрямую установлен официальным документом или одновременным формальным заявлением.Вывод расследования— это заключение, принятое органом по расследованию происшествий в рамках его мандата по безопасности.Позиция компании— это свидетельство того, что Boeing говорил или делал, но не независимое доказательство причинности или долговечности.Обоснованное умозаключениесвязывает установленные факты, не утверждая, что эта связь была формально доказана.Нерешённый вопросостаётся открытым в публичных материалах.

Контрфактический сценарийописывает средство контроля, которое могло бы прервать последовательность; это не утверждение о том, что конкретное лицо было юридически обязано предвидеть его в тот момент.

Криминалистическая хронология: от новой технологии к сертифицированной эксплуатации

28 марта 2003 — сентябрь 2004 года: заявка и выбор технологии.В марте 2003 года Boeing подал заявку на сертификат типа Boeing 787-8. В сентябре 2004 года компания сообщила FAA о намерении использовать литий-ионные перезаряжаемые аккумуляторы высокой ёмкости для основной батареи и батареи ВСУ. Такая химия обеспечивала меньшую массу и полезные электрические характеристики для более электрифицированной архитектуры 787, но опыт коммерческой транспортной авиации с такими крупными установленными аккумуляторами был ограничен. Выбор технологии был правомерным; новизна создавала обязательство по доказательствам, а не презумпцию вины.

Цепочка поставщиков распределяла детальный контроль. Boeing выбрал Thales для подсистемы преобразования энергии. Thales выбрал GS Yuasa для литий-ионного аккумулятора и Securaplane для блока управления аккумулятором, при этом Boeing участвовал в процессе выбора. GS Yuasa изготовил восемь крупных литий-кобальт-оксидных ячеек, соединённых последовательно, и собрал их в аккумулятор. Одна и та же модель аккумулятора использовалась как основная батарея в переднем отсеке электроники и как батарея ВСУ в заднем отсеке.

Boeing оставался ответственным за интеграцию на уровне самолёта и сертификационное подтверждение, даже когда нижние уровни проектировали и изготавливали компоненты.

2005–2007 годы: требования и специальные условия.FAA пришло к выводу, что обычные правила для аккумуляторов транспортных самолётов недостаточно учитывают новую конструкцию. В официальномвыпуске Федерального реестра 2007 года со специальными условиями 25-359-SCуказаны подверженность внутреннему отказу, тепловой разгон, воспламеняемый электролит, перезаряд и глубокий разряд.

Девять условий требовали, среди прочего, безопасных температур и давлений, предотвращения самоподдерживающегося неконтролируемого роста температуры или давления, контроля опасных газов и жидкостей, защиты от максимального нагрева при коротком замыкании ячейки или аккумулятора, управления зарядом, предупреждений и инструкций по поддержанию лётной годности.

Эти формулировки выглядят строгими, потому что они строгие. Проблема возникла при переводе верхнеуровневого языка безопасности в допущения, детальные требования, методы соответствия и репрезентативные испытания. Условие, требующее исключить неконтролируемый рост температуры, само по себе не указывает, как вызвать внутреннее короткое замыкание, сколько испытаний провести, должен ли аккумулятор быть заземлён как в установке, какая температура даёт наиболее тяжёлый результат и должен ли испытуемый образец соответствовать окончательной серийной конструкции.

Эти связи необходимо было установить через планирование сертификации и инженерные доказательства.

2006 и 2009 годы: предупреждения при разработке, изменения и интерпретация.Материалы JTSB описывают пожар при перезаряде в 2006 году во время разработки после того, как сигнальный провод не был подключён, за которым последовали изменения конструкции. В 2009 году комплексное испытание системы вызвало чрезмерный заряд и разгерметизацию ячейки; следователи связали это событие с повторяющимся глубоким разрядом и последующим зарядом большим током и внесли дальнейшие исправления. Эти события не были тем же механизмом, который установлен в Бостоне, и называть их проигнорированными копиями было бы неточно.

Однако они показали, что аккумуляторная система может переходить в энергетические отказные состояния и что конфигурация конструкции, электрическая среда и логика управления имеют значение.

Влиятельным стало разработочное испытание GS Yuasa 2006 года на прокол гвоздём. Оно довело одну ячейку до теплового разгона без наблюдаемого распространения на соседние ячейки или пожара. Позднейший анализ NTSB установил, что испытание не использовало максимальную рабочую температуру аккумулятора, не полностью отражало установку на самолёте, не повторяло опыты на нескольких аккумуляторах и использовало разработочный образец, отличный от окончательной сертифицированной конструкции. Другие заявленные испытания аккумулятора на уровне разработки не имели документации, доступной NTSB.

Квалификационные испытания на аварийные воздействия не доводили ячейку до теплового разгона, чтобы доказать отсутствие распространения или локализацию, а испытуемые аккумуляторы не были заземлены как в установке.

Это не означает, что сертификация состояла из одного небрежного испытания. Boeing, поставщики, уполномоченные представители и сотрудники FAA использовали оценки безопасности, деревья отказов, анализы видов отказов, квалификационные испытания и сертификационные проверки. Более узкий и значимый вывод состоит в том, что цепочка доказательств не оспаривала ключевое допущение в наиболее тяжёлых репрезентативных условиях. Активность была обширной; охват был неполным.

26 августа 2011 года — сертификация типа.FAA выдало одобрение транспортной категории для Boeing 787-8. Boeing ранее получил одобрение FAA плана сертификации системы электроснабжения, FAA рассмотрело квалификационные процедуры, одобрило разрешение на инспекцию типа и приняло итоговые отчёты. В 2009 году Boeing получил разрешение на делегирование полномочий организации, позволяющее уполномоченным представителям делать определённые заключения о соответствии от имени FAA. Сертификат типа выдало только FAA.

Описывать это как то, что Boeing просто сертифицировал собственный аккумулятор, означало бы скрыть разделённый контроль и сохранённые публичные полномочия, которые фактически рассматривались в расследовании.

Криминалистическая хронология: два события января 2013 года

7 января, Бостон: припаркованный самолёт, активный пожар аккумулятора.Рейс 008 авиакомпании Japan Airlines прибыл в бостонский аэропорт Логан из Нариты и был припаркован у гейта. Источником электропитания самолёта была ВСУ. Около 10:21 по местному времени уборщики обнаружили дым в хвостовой части салона, менеджер по техническому обслуживанию увидел, что ВСУ автоматически отключилась, а механик, открывший задний отсек электроники, обнаружил сильный дым и пламя у разъёма корпуса аккумулятора ВСУ. Никого из 183 пассажиров и 11 членов экипажа на борту не оставалось. Персонал обслуживания и уборки не пострадал; NTSB сообщил о лёгкой травме одного прибывшего пожарного.

Последовательность документирована в публичномреестре NTSB по делу DCA13IA037, который включает фактические отчёты, фотографии, записи испытаний, материалы слушаний и техническую документацию. Аккумулятор был труднодоступен, а событие имело последствия на уровне самолёта, хотя самолёт был пуст. Повреждение от нагрева, дым, воспламеняемый электролит и пожар вышли за пределы предусмотренной границы на уровне ячейки. То, что событие произошло на земле, снизило воздействие на людей; оно не снизило значимость для конструкции.

Следователи исключили несколько альтернатив для бостонского события. Записанные данные не показали перезаряда, глубокого разряда или внешнего короткого замыкания большим током до отказа. Осмотр не выявил внешнего источника тепла, повреждённого кабеля аккумулятора, механического воздействия или аномального электрического переходного процесса самолёта, которые могли бы инициировать событие. Испытания компонентов и комплексные испытания не указали на зарядное устройство или связанные внешние компоненты. Повреждения сконцентрированы вокруг ячеек 5 и 6, но разрушение не позволило NTSB определить, какая из них инициировала последовательность.

Совет установил внутреннее короткое замыкание в одной из них с последующим распространением.

11 января: объявление проверки до второго события.FAA публично объявило более широкую проверку конструкции и производства. Взаявлении от 11 январяагентство сообщило, что проверит критические системы, уделит особое внимание электрическим системам и проверит конструкцию, производство и надзор. На тот момент FAA выразило уверенность в самолёте, отметив необходимость полной картины. Это был регуляторный ответ, а не завершённый вывод о безопасности или небезопасности аккумулятора.

16 января, Такамацу: опасность переходит в полёт.Рейс 692 авиакомпании All Nippon Airways вылетел из Ямагути-Убе в Токио в 08:11. В 08:27, в наборе высоты на эшелоне 32 000 футов, экипаж получил сообщение об отказе аккумулятора и почувствовал необычный запах в кабине. Самолёт изменил маршрут и приземлился в Такамацу в 08:47. Экипаж начал эвакуацию по надувным трапам в 08:49. Четверо из 137 находившихся на борту получили лёгкие травмы при эвакуации. JTSB установил, что повреждённая основная батарея не дала внешнего пожара, но нагрев ячеек, электролит и дым вызвали серьёзное бортовое событие, потребовавшее ухода на запасной аэродром и эвакуации.

Второе событие изменило решение о риске. Бостон показал пожар после ухода пассажиров; Такамацу показал отказ связанной архитектуры аккумуляторов в полёте. Ранее в тот же день JAL и ANA добровольно приостановили эксплуатацию Boeing 787. Затем FAA выпустило экстренную директиву AD 2013-02-51, позднее опубликованную какитоговое правило февраля 2013 года. Она требовала модификации или иного одобренного действия до дальнейших полётов, поскольку отказы аккумуляторов могли повредить критически важные системы или конструкцию и вызвать пожар в электрическом отсеке. EASAприняла директиву FAAдля европейского парка, а другие органы приняли меры для самолётов в своей юрисдикции.

Операционный триггер приостановки полётов был, таким образом, кумулятивным и межконтекстным: два высокоэнергетических отказа аккумуляторов, одна и та же модель, две функции установки, девять дней, один подтверждённый пожар и один уход на запасной аэродром в полёте. Регулятору не нужно было ждать гибели людей или завершённого микроскопического определения корневой причины, чтобы сделать вывод, что продолжение неограниченной эксплуатации не имеет достаточных гарантий.

Что физически отказало и что осталось нерешённым

Для Бостона NTSB установил внутреннее короткое замыкание в ячейке 5 или 6. Эта ячейка перешла в тепловой разгон; тепло и отказ распространились на соседние ячейки; последовали дым, электролит и пожар. Совет установил, что перезаряд, глубокий разряд, внешнее короткое замыкание, внешний нагрев, факторы установки и условия окружающей среды самолёта не инициировали отказ. Это самая надёжно подтверждённая техническая цепочка в публичных материалах.

NTSB также изучил производство. GS Yuasa наматывал электродные и сепараторные слои в цилиндрические сборки, частично сплющивал их, группировал и выполнял окончательное сплющивание перед сборкой ячейки. Сплющивание могло создавать возмущения в электродной фольге. Сварка вблизи внутренних компонентов могла создавать металлические частицы. NTSB установил, что GS Yuasa контролировал некоторые складки до намотки, но формально не контролировал возмущения, создаваемые при намотке, сплющивании и сборке; процесс контроля посторонних частиц не был стандартизированным средством обнаружения, сокращения и предотвращения их образования.

Значительная часть контроля выполнялась после завершения сборки ячейки и существенно опиралась на визуальный осмотр.

Вфактическом отчёте материаловедческой лабораториисовета и итоговом анализе задокументированы складки, загибы, отложения лития и посторонние материалы как значимые механизмы дефектов. NTSB пришёл к выводу, что производственный процесс допускал попадание в ячейки 787 дефектов, способных вызывать внутренние короткие замыкания. Он не определил одну сохранившуюся складку или частицу как доказанного инициатора бостонского события. Это различие не позволяет превращать вывод о процессе в необоснованное обвинение конкретного устройства.

Для Такамацу JTSB реконструировал ячейку 6 как наиболее вероятного инициатора. Нагрев и давление вызвали вспучивание ячейки, расплавили окружающую изоляцию и допустили контакт с распорной шиной. Большие токи через заземлённый корпус аккумулятора вызвали электрическую дугу, которая усилила тепловое распространение. Испытания, воспроизводившие установленную конфигурацию заземления, могли вызвать распространение; незаземлённая конфигурация — нет. JTSB установил, что нерепрезентативные испытания при разработке и недооценка последствий внутреннего короткого замыкания, возможно, способствовали распространению.

Само внутреннее короткое замыкание осталось нерешённым. JTSB рассмотрел отложение лития при низких температурах, металлическое загрязнение, повреждение сепаратора и неравномерную намотку, но прямо указал, что не может окончательно определить механизм и не может исключить другие конструктивные или производственные факторы. Три известных на тот момент заметных события произошли в январе, но сезонность не является причинностью. Низкая температура была гипотезой, а не окончательным выводом.

Поэтому обоснованный вывод останавливается на следующем: внутреннее короткое замыкание, вероятно, инициировало ячейку 6; точное происхождение этого короткого замыкания неизвестно.

Триггер, коренная причина и сопутствующие факторы

Триггерные событиябыли наблюдаемыми и ограниченными во времени: пожар аккумулятора ВСУ в Бостоне и бортовое событие основной батареи в Такамацу.Триггером приостановки полётовстала потеря уверенности в том, что любое из мест установки способно безопасно выдержать известный режим отказа аккумулятора. Триггер не является коренной причиной. Триггер описывает, когда стало необходимо контрольное решение, а не почему система была уязвима.

Физическая коренная причина для Бостона, согласно принятой вероятной причине NTSB, — внутреннее короткое замыкание ячейки с последующим каскадным тепловым разгоном.Системная коренная причина— недостаток требований и сертификации: оценка безопасности аккумулятора Boeing не учитывала наиболее тяжёлые последствия этого короткого замыкания и не определяла меры по смягчению, а проверка FAA не выявила недостаток. Специальные условия требовали предотвращения неконтролируемого роста температуры и давления и защиты от тепла короткого замыкания. Однако детальная цепочка доказательств рассматривала отсутствие распространения как допущение, а не как результат, продемонстрированный при наихудших условиях установки.

Первым значимымсопутствующим факторомбыла репрезентативность испытаний. Влиятельное испытание на прокол гвоздём не использовало окончательную конструкцию аккумулятора, максимальную рабочую температуру, установленное заземление или повторные опыты. Постсобытийные испытания NTSB, UL и JTSB показали, что изменение этих условий могло изменить, распространится ли тепловой разгон. Урок не в том, что прокол гвоздём идеально воспроизводит любое спонтанное внутреннее короткое замыкание. Урок в том, что испытание, используемое для отклонения распространения, должно быть консервативным, отражать установку и быть достаточно повторяемым, чтобы подтверждать такой вывод.

Вторым былперенос вероятности. Оценка безопасности Boeing оценивала выход газов из ячейки примерно как одно событие на десять миллионов лётных часов на основе данных GS Yuasa по промышленной ячейке со схожей механической конструкцией. NTSB установил, что и Бостон, и Такамацу произошли в течение первых примерно 52 000 часов налёта парка, что намного выше прогноза. JTSB отдельно раскритиковал расчёты, основанные на похожих промышленных ячейках с иным составом, и отметил использованный низкий уровень достоверности.

Историческое отсутствие отказов в смежном применении считалось доказательством для нового применения без достаточного запаса на различия в химии, ёмкости, среде и процессе.

Третьим былапрослеживаемость требований. NTSB обнаружил нечёткие связи между каждым специальным условием, допущением оценки безопасности, обоснованием, требованием нижнего уровня и методом соответствия. Лучшая прослеживаемость, вероятно, показала бы, что ни одно явное требование к аккумулятору и ни одно запланированное сертификационное испытание на тепловой разгон не касались распространения от внутреннего короткого замыкания.

Врекомендациях совета 2014 года по сертификации литиевых аккумуляторовпредлагались испытания на аварийные воздействия, вызывающие тепловой разгон одной ячейки в установленной конфигурации при условиях, дающих наиболее тяжёлый результат, пересмотр одобрений, выданных в эксплуатации, и доступ к независимой технической экспертизе.

Четвёртым былипроизводство и надзор за поставщиками нижнего уровня. Thales провёл аудиты GS Yuasa в 2011 и 2012 годах, но зафиксированные несоответствия не касались особенностей производства ячеек, рассмотренных позднее. Boeing полагался на Thales в аудите нижнего уровня и не проводил аудит GS Yuasa до события; FAA не проводило аудит завода ячеек до события. Постсобытийные аудиты выявили несоответствия и корректирующие действия. Это подтверждает вывод, что надзор мог быть более эффективным. Это не доказывает, что каждый аудит был формальным или что конкретное нераскрытое несоответствие вызвало одно из событий.

Пятым былоразрешение мониторинга. Аккумуляторные системы контролировали напряжения и температуры, но не обязательно могли обнаружить локализованное внутреннее короткое замыкание достаточно рано, чтобы остановить тепловой разгон. NTSB позднее рекомендовал индивидуальный контроль температуры и напряжения каждой ячейки и регистрацию превышений, а также исследование предвестников и активных мер смягчения. Обнаружению нельзя приписывать контроль механизма, который развивается внутри быстрее, чем доступные датчики и разъединители способны его остановить.

Обнаружение, реагирование и восстановление

Обнаружение началось с людей и сообщений самолёта, а не с прогнозирующего монитора безопасности. В Бостоне уборщики увидели дым, менеджер по обслуживанию увидел отключение ВСУ, а механик обнаружил пожар аккумулятора. В Такамацу экипаж получил сообщение об отказе аккумулятора и почувствовал необычный запах. Эти признаки позволили отреагировать после того, как событие уже развилось. Они не давали надёжного раннего предупреждения об инициирующем коротком замыкании.

Немедленное реагирование было надлежаще консервативным. Пожарные ликвидировали бостонское событие. Экипаж в Такамацу изменил маршрут, приземлился примерно через 20 минут после вылета и провёл эвакуацию. JAL и ANA приостановили эксплуатацию до директивы FAA. FAA использовало экстренную директиву лётной годности — документ, направленный на небезопасное состояние изделия, — а не ожидание итогового отчёта о происшествии. Международные органы приняли или повторили ограничение. Эта последовательность отделила операционный контроль риска от причинной определённости.

Затем расследование расширило обнаружение. Компьютерная томография, разрушающий физический анализ, электрические испытания, записанные данные, наблюдение за производством и испытания распространения в установленной конфигурации превратили скрытое событие ячейки в карту доказательств. Реестр NTSB сохранил базовые отчёты, а два национальных совета сделали выводы в соответствии с принципами расследования безопасности по Приложению 13. В отчёте JTSB указано, что его цель — предотвращение, а не распределение вины или ответственности. Эта граница должна направлять использование каждого технического вывода в анализе ответственности.

Восстановление происходило поэтапно. Boeing предложил план сертификации; FAA одобрило план 12 марта 2013 года. Вобъявлении Boeing о плане сертификацииописаны три уровня: снизить количество отказов, улучшить производство и испытания, а также локализовать любой отказ так, чтобы он не мог повлиять на самолёт. Это была позиция компании о предполагаемом решении, а не одобрение возобновления пассажирских перевозок.

Вподробном объявлении компании о конструкцииописаны ужесточённый отбор, производственный контроль, электрическая и тепловая изоляция, пересмотренный рабочий диапазон напряжения, изменения зарядного устройства и стальной корпус с вентиляцией за борт. Boeing сообщил, что опирался на RTCA DO-311, который не был доступен для исходного базового плана. Это последующее использование более нового стандарта является доказательством исправления; его нельзя описывать как стандарт, который Boeing нарушил во время более ранней сертификации.

19 апреля FAA одобрило изменённую конструкцию после наблюдаемых испытаний и анализа.Директива о возврате в эксплуатацию AD 2013-08-12требовала установки корпусов основной батареи и батареи ВСУ и воздуховодов системы управления средой, замены обоих аккумуляторов и зарядных устройств и пересмотра программы технического обслуживания для разрывных мембран вентиляции корпуса. Она заменила директиву о приостановке полётов и вступила в силу 26 апреля. Соответствующаязапись EASAпоказывает принятие для поддержания лётной годности за пределами основного сертифицирующего государства.

Восстановление не опиралось на доказательство устранения одного инициирующего дефекта. Оно опиралось на эшелонированную защиту: снизить вероятность инициирования, снизить вероятность распространения и предотвратить последствия на уровне самолёта, даже если оба предыдущих уровня откажут. Это был рациональный ответ на нерешённое инициирование, но он создал долгосрочное обязательство проверять локализацию, а не тихо возвращаться к старому допущению об отсутствии распространения.

Карта контроля ответственности

Эта карта предотвращает две распространённые ошибки. Во-первых, причинность у поставщика не снимает ответственность с интегратора. Boeing не наматывал электроды, но контролировал предложение о безопасности на уровне самолёта и был держателем одобрения производства. Во-вторых, публичная сертификация не снимает ответственность с заявителя. Только FAA выдало сертификат и сохранило надзорные обязанности, но Boeing должен был продемонстрировать соответствие и подтвердить данные и допущения, которые он представил.

Делегирование усложняет ответственность, но не устраняет её. NTSB установил, что уполномоченные представители Boeing и сертификационные инженеры FAA рассмотрели оценку, в которой были опущены наиболее тяжёлые последствия внутреннего короткого замыкания. Отказ пересёк границу делегирования. Недостаточно, чтобы каждый субъект выполнил назначенную проверку, если общая модель доказательств исключала значимую опасность.

Совместныйотчёт группы проверки критических систем Boeing 787 2014 годапришёл к выводу, что самолёт в целом соответствовал целевому уровню безопасности, но также выявил непоследовательное каскадирование требований, пробелы в верификации, проблемы коммуникации с поставщиками, различия в делегировании инспекций и неполное соответствие политики FAA расширенной международной цепочке поставок. Его охват выходил за пределы аккумулятора. Отчёт был совместно возглавлен и укомплектован персоналом FAA и Boeing, поэтому он является ценным доказательством институциональной проверки и корректирующих действий, а не независимым расследованием происшествия, эквивалентным NTSB или JTSB.

Правовые и регуляторные границы

Правовая отправная точка — сертификация типа. Официальный текстраздела 44704 титула 49 Свода законов СШАнаделяет администратора FAA полномочиями выдать сертификат типа после установления того, что изделие правильно спроектировано и изготовлено, функционирует надлежащим образом и соответствует применимым стандартам, и разрешает испытания, которые администратор сочтёт необходимыми для безопасности. Действующий текст включает поправки, принятые после 2013 года. В этой статье он используется только для описания сохраняющегося распределения между доказательствами заявителя и выдачей FAA; позднейшие дополнения не применяются задним числом к сертификации аккумуляторов 787.

Применимый сертификационный базис включал часть 25 Свода федеральных нормативных актов и специальные условия 2007 года. Специальные условия юридически были частью сертификационного базиса Boeing 787-8. Их существование показывает, что новая опасность аккумулятора была признана институционально. Позднейший вывод расследования состоял не в том, что ни одно правило не упоминало тепловой разгон, а в том, что методы соответствия, допущения и испытания недостаточно продемонстрировали защиту, требуемую условиями.

Директива лётной годности — это обязательное правило безопасности изделия. Экстренная директива приостановила полёты затронутых самолётов до тех пор, пока одобренная модификация или иное действие не устранит небезопасное состояние. Апрельская директива предписала конкретную конфигурацию для возврата в эксплуатацию. Ни одна из директив не была уголовным обвинением, присуждением ущерба или выводом о намерении. Это было регуляторное решение о риске в рамках полномочий по поддержанию лётной годности.

Отчёты NTSB и JTSB не являются гражданскими судебными решениями. Их мандаты сосредоточены на предотвращении. Формулировка вероятной причины NTSB авторитетна для его вывода о безопасности, но сама по себе не решает вопросы небрежности, договорного распределения, штрафной компенсации или уголовной ответственности. JTSB прямо отказывается от распределения вины. Аналогично, заявления Boeing о том, что модернизация была всеобъемлющей или постоянной, были утверждениями компании, сделанными в ходе исправления.

Они не являются признанием юридической ответственности, а их оптимистичные формулировки не могут заменить доказательства регулятора и эксплуатационные данные.

Протокол слушаний в Конгрессеиюня 2013 года об уроках 787ипоказания Министерства транспорта о сертификациидокументируют вопросы надзора и объяснение FAA одобрения модернизации. Показания являются доказательством институциональной позиции и проверки. Они не являются судебным решением. Использованные здесь публичные материалы не устанавливают судебного вывода о том, что Boeing, Thales, GS Yuasa или FAA имели или нарушили какую-либо конкретную частноправовую обязанность перед названным истцом.

Стандарты также требуют временной дисциплины. RTCA DO-311 использовался при сертификации модернизации, но был недоступен при разработке исходного плана 787.Консультативный циркуляр FAA 20-184, выпущенный в 2015 году, даёт позднейшие указания по установленным перезаряжаемым литиевым аккумуляторам и отмечает, что консультативный материал сам по себе не является нормативным актом. Это полезное доказательство исправления и современный ориентир. Это не доказательство того, что консультативный циркуляр 2015 года был обязательным в 2005 году или нарушен в 2011 году.

Контрфактические средства контроля

Наиболее сильный контрфактический сценарий —репрезентативное испытание распространения до сертификации. Аккумулятор окончательной конфигурации был бы установлен с эквивалентным самолёту заземлением, эксплуатировался при наиболее тяжёлых одобренных температуре и электрических условиях и многократно подвергался достоверному методу внутреннего короткого замыкания одной ячейки. Критерии прохождения касались бы не только того, выпустила ли одна ячейка газы, но и того, распространился ли отказ на соседние ячейки, вышли ли электролит и газ, образовались ли пути дуги и остались ли системы самолёта защищёнными. Постсобытийные испытания показывают, что такое средство контроля могло бы выявить недействительное допущение об отсутствии распространения.

Это не доказывает, что точное испытание воспроизвело бы Бостон по заказу.

Второй контрфактический сценарий —явное управление допущениями. Каждое значимое для безопасности утверждение имело бы владельца, обоснование, источник, диапазон неопределённости, метод валидации и прослеживаемость до требования и артефакта соответствия. Допущение о том, что внутреннее короткое замыкание ячейки не может распространяться, появилось бы как пункт проверки, а не как невидимая предпосылка, унаследованная в документах GS Yuasa, Thales, Boeing и FAA. Независимая техническая группа могла бы затем оспорить его применимость к окончательной химии, ёмкости, установке и среде.

Третий —консервативная обработка вероятности. Данные об отказах похожей промышленной ячейки считались бы вспомогательным контекстом, а не прямой оценкой частоты для самолётной ячейки до доказательства эквивалентности материалов, производства, нагрузки и среды. Неопределённость учитывалась бы в анализе на уровне самолёта. При тяжёлых последствиях и скудных данных локализация требовалась бы независимо от обнадёживающей точечной оценки.

Четвёртый —проверка процессов нижнего уровня. Boeing и Thales могли бы совместно составить карту критических характеристик ячеек, наблюдать операции сплющивания и сварки, определить измеримые пределы возмущений и посторонних материалов, подтвердить разрешение КТ и вероятность обнаружения, а также выборочно проверить записи по партиям и изменениям процессов. Производственный надзор FAA мог бы рассматривать аккумулятор как критически важный, несмотря на функциональное электрическое резервирование, поскольку общий физический отказ мог выделять тепло, дым и электролит. Этот контрфактический сценарий касается вероятности ускользания; он не гарантирует устранения каждого скрытого микроскопического дефекта.

Пятый —локализация на уровне самолёта с исходной конструкции. Если бы исходная установка исходила из того, что одна или несколько ячеек в конечном итоге перейдут в тепловой разгон, герметичный корпус с вентиляцией за борт и достаточная изоляция для наихудшего события были бы частью базовой сертификации. Это самый надёжный контрфактический сценарий, поскольку он не зависит от выявления каждого механизма инициирования. Позднее модернизация фактически приняла эту логику, основанную на последствиях.

Шестой —мониторинг поля высокого разрешения и пороговый обзор. Данные по отдельным ячейкам, регистрация превышений, снятия аккумуляторов, события зарядных устройств и идентификаторы производственных партий могли бы агрегироваться по заранее объявленным триггерам. Одно энергетическое событие в молодом парке немедленно запускало бы переоценку прежней оценки частоты и эксплуатационного диапазона. Мониторинг не заменяет локализацию, но сокращает время между отказом допущения и контрольным действием.

Эти контрфактические сценарии являются инженерными положениями. Их не следует превращать в утверждения о том, что конкретное лицо сознательно отвергло их или что каждый элемент был юридически обязателен согласно позднейшим указаниям. Их ценность в том, чтобы показать, где существовал практический контроль и где иная схема доказательств могла бы прервать последовательность.

Доказательства исправления: что изменилось до возврата в эксплуатацию

Модернизация затронула три уровня. На уровнеячейки и аккумулятораBoeing и поставщики изменили изоляцию, выводы, дренаж, процессы производства и приёмки, диапазон напряжения, защиту от глубокого разряда, защиту проводки и пути вентиляции. На уровнераспространениядополнительное тепловое и электрическое разделение снизило перенос между ячейками и между ячейками и корпусом аккумулятора. На уровнесамолётааккумулятор размещался в герметичном стальном корпусе, соединённом с титановым воздуховодом, отводящим тепло, давление, газ и электролит наружу.

FAA сделало больше, чем приняло пресс-релиз. Оно одобрило план сертификации, наблюдало испытания, рассмотрело анализ, одобрило изменения конструкции, предписало конфигурацию директивой и заявило, что будет контролировать установку на самолётах США. Вобъявлении Boeing от 19 апрелясообщается о месяце контролируемых сертификационных испытаний и более чем 100 000 инженерных и испытательных часов. Эти цифры исходят от Boeing и сами по себе не подтверждают полноту испытаний, но обязательная директива устанавливает, что FAA приняло конструкцию для возврата в эксплуатацию.

Вгодовом отчёте Boeing за 2013 годговорится, что компания установила улучшения на 50 ранее поставленных самолётах и возобновила поставки во втором квартале. Это доказательство внедрения в масштабе парка, а не только запланированное исправление. Эксплуатанты и иностранные регуляторы по-прежнему контролировали возврат самолётов в своей юрисдикции.

Рекомендации, выработанные расследованиями, расширили исправление за пределы оборудования. В итоговом отчёте NTSB рекомендовано усилить надзор FAA за держателями одобрений производства и поставщиками нижнего уровня, разработать стандарты для источников нагрева и мониторинга ячеек, объективные испытания на самонагрев, явные допущения оценки безопасности, прослеживаемость от требований к методам и обучение. Boeing рекомендовано улучшить надзор за поставщиками и валидацию оценки безопасности, а GS Yuasa — пересмотреть производственные процессы и обучение сотрудников. Отдельноеписьмо NTSB компании Boeingфиксирует рекомендации, адресованные компании, не подразумевая, что они были наказанием.

JTSB рекомендовал испытания, отражающие установку, пересмотр технических стандартов по литий-ионным аккумуляторам, повторную оценку частоты отказов 787, анализ распространения тепла, оценку поведения контакторов, продолжение изучения внутренних коротких замыканий и повышение качества аккумуляторов. Егоформальная рекомендация FAAсохраняет различие между продемонстрированным распространением и нерешённым инициированием.Запись ответа FAA, опубликованная JTSB, является доказательством того, что рекомендация вошла в международный процесс последующих действий, хотя публичный формат приложения не даёт простой независимой оценки долгосрочной эффективности.

Событие в Нарите 2014 года стало и доказательством успеха, и предупреждением

14 января 2014 года, после модернизации, припаркованный в Нарите Boeing 787 авиакомпании Japan Airlines произвёл видимый белый дым и сообщения основной батареи. Осмотр установил, что ячейка 5 перегрелась и её разрывная мембрана открылась. Остатки электролита остались в корпусе и появились у наружного вентиляционного выхода. Окружающая зона отсека электроники была чистой и неповреждённой; остальные ячейки сохранили напряжение, хотя соседняя ячейка 6 показала ограниченные тепловые эффекты.

Объявлениеиполная оценкаБюро гражданской авиации Японии рассмотрели событие с полезной сбалансированностью. JCAB установило, что второй уровень модернизации предотвратил распространение между ячейками, а третий уровень защитил самолёт. Был сделан вывод, что способность к безопасному полёту сохранялась бы. Но также отмечено, что первый уровень не предотвратил перегрев одной ячейки, и потребованы дальнейшее повышение надёжности и продолжение работы над возможными причинами.

Это событие — лучшая публичная проверка архитектуры локализации в конкретном случае. Это не было постановочным сертификационным испытанием; это был полевой отказ модифицированного аккумулятора. Исход подтверждает умозаключение о том, что модернизация существенно изменила эскалацию. Одна ячейка отказала, но весь аккумулятор и окружающий отсек не воспроизвели повреждения Бостона или Такамацу. Это сильное доказательство исправления.

Это не доказательство того, что все возможные отказы локализованы. Одно событие не может охватить каждое расположение ячейки, уровень заряда, обдув, состояние корпуса, засорение вентиляции, ошибку обслуживания или многоячеечное инициирование. JCAB также не установило причину перегрева. Рассматривались металлические частицы, возможное отложение лития, складки, изменение электролита, конденсация и холодная среда, но ни одно объективное доказательство не выделило инициатор. Событие, таким образом, подтверждает важность локализации, сохраняя нерешённый вопрос инициирования ячейки.

Как должны выглядеть долговечные доказательства исправления

Доказательства процесса изготовления ячеекдолжны включать возможности процесса по партиям для выравнивания электродов, возмущений намотки, состояния сепаратора, сварочных частиц, загрязнения, влажности и заливки электролита; вероятности обнаружения при контроле; калиброванные критерии КТ; тенденции отбраковки и доработки; записи одобрения изменений процесса. Заявление о том, что контроль качества улучшился, — это отправная точка, а не мера долговечности.

Доказательства аккумуляторной системыдолжны включать повторные испытания на аварийные воздействия при вариациях производства, температуры, возраста, уровня заряда и заземлённой установленной конфигурации. Они должны демонстрировать изоляцию, целостность проводки, поведение контакторов, работу мониторинга и управление давлением. Результаты должны показывать распределения и отказы, а не только успешные образцы.

Доказательства локализации на уровне самолётадолжны включать проверки герметичности корпуса, осмотры путей вентиляции, обслуживание разрывных мембран, воздействие коррозии, соответствие установки и испытания наихудших газа, тепла и давления. Поскольку локализация теперь является последней линией защиты, обслуживание её уплотнений и воздуховода нельзя считать второстепенным обслуживанием оборудования.

Доказательства паркадолжны связывать снятия аккумуляторов, предупреждения, сообщения о дыме или запахе, выход газов из ячеек, отказы зарядных устройств и выводы обслуживания с самолётами, аккумуляторами и партиями ячеек. Частоты следует пересчитывать с доверительными границами и знаменателями экспозиции. Длительный период без новой публичной приостановки полётов укрепляет уверенность, но отсутствие заголовков не равно опубликованному набору данных о надёжности.

Доказательства управлениядолжны показывать закрытие выводов аудитов, периодический пересмотр допущений, независимый доступ к аномальным аккумуляторам, видимость для регулятора изменений нижнего уровня и определённые пороги эскалации. Гарантия безопасности ослабевает, если за подтверждённой конфигурацией следуют недокументированные изменения материалов, процессов, программного обеспечения или обслуживания.

Доказательства конфигурациидолжны связывать каждую установку на самолёте с точным корпусом, воздуховодом, зарядным устройством, аккумулятором, составом ячеек, редакцией обслуживания и одобренным программным обеспечением или логикой управления, действовавшими в тот момент. Прошедшее испытание в одной конфигурации не может молчаливо подтверждать более позднюю замену материала, изменённый порог контроля или изменённый производственный шаг. Снятые аккумуляторы с необычным напряжением, запахом, выходом газов или тепловыми признаками следует помещать на карантин с записью уровня заряда и истории эксплуатации до разрушающего исследования.

Следователям и регуляторам затем нужен доступ и к отрицательным выводам, а не только к драматическим отказам, поскольку внешне целое снятие может выявить ранние стадии механизма, который сгоревший аккумулятор уже не может сохранить. Эта цепочка превращает разрозненные события обслуживания в пригодные данные о предвестниках и даёт держателю сертификата типа обоснованную базу для решения, ограничена ли тенденция одной партией, одним состоянием процесса или самим одобренным проектом.

Публичные доказательства неравномерны по этим категориям. Директива лётной годности, сертификационная деятельность, установленное дооснащение, отчёты о происшествиях и исход в Нарите дают существенные доказательства снижения опасности на уровне самолёта. Публичные материалы не раскрывают полные продольные данные по партиям ячеек, все результаты аудитов поставщиков, каждое испытание корпуса, текущие уровни ложноотрицательных результатов или независимо воспроизводимый анализ тенденций. Этот пробел не доказывает плохую работу. Он ограничивает, насколько уверенно внешние наблюдатели могут проверять долговечность.

Нерешённые вопросы

Первый нерешённый вопрос — точный микроскопический инициатор в каждом полевом аккумуляторе. Бостон сужен до внутреннего короткого замыкания в ячейке 5 или 6, но не до одного сохранившегося дефекта. Такамацу сужен до вероятного инициирования ячейкой 6, но не до механизма короткого замыкания. Нарита сужен до внутреннего короткого замыкания в ячейке 5, но возможные причины не доказаны.

Второй — почему межорганизационная проверка приняла отсутствие распространения. Материалы выявляют слабости испытаний и прослеживаемости, но не дают всех внутренних обсуждений, возражений, решений по срокам или обоснований одобрения. Без доказательств делать выводы о сокрытии, недобросовестности или преднамеренном уклонении было бы клеветническим преувеличением.

Третий — насколько хорошо производственные исправления работали с течением времени. Постсобытийные аудиты выявили и закрыли несоответствия, а модифицированная конструкция накопила налёт. Однако рассмотренные публичные материалы не дают непрерывных независимых показателей возможностей процесса или ускользания дефектов для ячеек 787 производства GS Yuasa.

Четвёртый — полностью ли закрыли набор рекомендаций позднейшие изменения мониторинга и стандартов. Руководство FAA 2015 года и последующая работа над стандартами показывают институциональное обучение, но руководство может быть рекомендательным, а статус рекомендации может зависеть от задокументированных действий, более узких, чем полное устранение риска. Каждое текущее одобрение должно оцениваться по собственному сертификационному базису и доказательствам.

Пятый — точный предел локализации при нескольких одновременных отказах или отказах, вызванных ухудшением обслуживания. Модернизация испытана, а событие в Нарите дало полевое подтверждение для перегрева одной ячейки. Публичные материалы не раскрывают все наихудшие патентованные результаты соответствия. Правильный вывод — высокая уверенность в существенном улучшении, а не утверждение о физически невозможных последствиях на уровне самолёта.

Заключение: сертификация должна пережить необъяснённую ячейку

Дело об аккумуляторах 787 — это не простая история небезопасной химии, исправленной корпусом. Литий-ионная технология принесла законные эксплуатационные преимущества, а модифицированная архитектура вернула парк в эксплуатацию. Более глубокий отказ был доказательным: оценка безопасности предполагала, что внутреннее короткое замыкание останется ограниченным, тогда как подтверждающее испытание не отражало окончательную установленную систему в наиболее тяжёлых значимых условиях.

Производство могло создавать скрытые дефекты; мониторинг мог не обнаружить их до разгона; а сертификационная цепочка не требовала, чтобы аккумулятор и самолёт выдерживали возникающее распространение.

Расследования точно распределили контроль. Процесс GS Yuasa допускал механизмы дефектов, способные вызывать короткие замыкания. Thales нёс обязанности по интеграции и нижнему уровню. Boeing владел требованиями самолётного уровня, интеграцией поставщиков и подтверждением соответствия. Уполномоченные представители и инженеры FAA проверяли доказательства, а FAA сохраняло полномочия по сертификату и лётной годности. Авиакомпании и экипажи контролировали непосредственную эксплуатацию. NTSB и JTSB дали профилактические выводы, оставив гражданскую и уголовную ответственность другим институтам.

Восстановление удалось, потому что перестало зависеть от одного идеального объяснения. Оно снизило инициирование, затруднило распространение и локализовало отказ вне занятых людьми и оборудованием пространств. Нарита затем показала, почему эта архитектура важна: первый уровень не предотвратил событие ячейки, но последующие уровни предотвратили прежний каскад и повреждение отсека. Такой исход убедительнее обещания, что ячейки никогда не откажут.

Постоянная проверка ответственности поэтому проста. Для высокоэнергетического компонента, инициирующий дефект которого может быть редким, микроскопическим и уничтоженным событием, безопасность не может опираться на отсутствие наблюдаемых отказов в похожем изделии или на одно благоприятное испытание на аварийное воздействие. Заявитель должен раскрывать допущения, испытывать окончательную установленную конфигурацию при тяжёлых достоверных условиях, контролировать производство нижнего уровня, мониторить парк с пригодными знаменателями и сохранять последнюю линию защиты, которая остаётся эффективной, когда предотвращение и диагностика отказывают.

Регулятор должен независимо оспаривать эту цепочку.

Boeing 787 вернулся в эксплуатацию, когда локализация стала частью доказательства; долговечная ответственность требует поддерживать это доказательство актуальным.