Samsung Galaxy Note7: квалификация заменяющих аккумуляторов стала глобальным тестом ответственности при отзыве

Краткое содержание

• Samsung выпустила Galaxy Note7 в августе 2016 года и 2 сентября объявила о глобальной программе замены после того, как по всему миру было зарегистрировано 35 случаев и была выявлена, по формулировке компании, проблема в аккумуляторных ячейках. Комиссия по безопасности потребительских товаров США (CPSC) 15 сентября оформила отзыв, который охватывал около миллиона телефонов и прямо предлагал в качестве одного из способов решения новый Note7 с другим аккумулятором.
• Первый способ решения опирался на тезис о безопасности: пострадавшую исходную популяцию можно отделить от популяции заменяющих устройств, пригодных к использованию. Сообщения об инцидентах с заменёнными аппаратами опровергли этот тезис. Samsung и американские операторы 10 октября прекратили продажи и обмен Note7, а CPSC 13 октября расширила отзыв на все исходные и заменённые устройства.
• Заказанные Samsung расследования Exponent и UL выявили разные механизмы отказов. В ячейках производителя A наблюдались повреждения угла, связанные с недостаточным объёмом пакета, деформацией электродов и возможным нарушением целостности сепаратора. В ячейках производителя B обнаружены выступы сварки выводов, отсутствующая или смещённая изоляция и пути внутреннего короткого замыкания. Отчёты не выявили дефекта зарядки на уровне устройства, который объяснял бы отказы в полевых условиях.
• Спусковым событием окончательного снятия с продаж стало появление перегрева и возгораний в заменённых телефонах. Более глубокая неудача в сфере ответственности состояла в том, что сквозная квалификация не исключила два существенно разных дефекта ячеек до запуска и до выпуска заменяющих устройств. К способствующим условиям относятся ограниченная устойчивость к производственным отклонениям, неполные доказательства зрелости процессов и способ решения, который вернул клиентов к той же продуктовой линейке до завершения публичного расследования первопричин.
• Контроль был распределён, но не равномерно. Производители аккумуляторов контролировали конструкцию ячеек и производственные процессы. Samsung контролировала целевые спецификации, приёмку поставщиков, интеграцию в устройство, финальный выпуск, решение о глобальной замене и коммуникации с потребителями. CPSC контролировала официальную процедуру отзыва в США, тогда как операторы и розничные сети контролировали значительную часть физического канала обмена. Авиационные регуляторы контролировали ограничения на перевозку. Потребители несли риск, но не могли проверять ячейки, проводить аудит поставщиков или валидировать партии заменяющих устройств.
• Доказательства исправления значимы, но неполны. Samsung внедрила восьмипунктовую проверку безопасности аккумулятора, дополнительные запасы в конструкции, программную защиту зарядки, центры анализа ответственности за продукт и внешнюю консультативную группу. CPSC позднее совместно с отраслью работала над пересмотром стандарта для мобильных аккумуляторов, а действующая программа CTIA описывает сертификацию на уровне системы и контроль производственных площадок. Публичные материалы не раскрывают долгосрочные показатели ложноотрицательных результатов, все выводы аудитов поставщиков, каждое одобрение изменений процессов или продолжающиеся независимые результаты, достаточные для доказательства того, что реформы остаются одинаково эффективными по продуктам и годам.

Неудавшаяся замена — определяющее событие

Самое важное решение в хронологии Note7 — не окончательное прекращение выпуска. К тому моменту доступные варианты резко сузились. Более показательным стало решение заменить небезопасный Note7 другим Note7 до того, как был опубликован полный механизм полевых инцидентов и до того, как партия замен накопила достаточный полевой опыт. Этот способ решения представлял собой новое определение безопасности продукта. На операционном языке он означал, что риск можно ограничить идентифицируемой популяцией аккумуляторов, а телефоны вне этой популяции приемлемы для обычного использования.

Взаявлении Samsung от 2 сентября 2016 годасообщалось о 35 случаях по всему миру по состоянию на 1 сентября; компания заявила, что расследование выявило проблему в аккумуляторных ячейках, остановила продажи и пообещала заменить телефоны клиентам. В заявлении не были опубликованы механизм дефекта, критерии затронутых партий, протокол испытаний, объём выборки или порог допуска к выпуску новых устройств. Это упущение не доказывает, что таких механизмов контроля не было внутри компании. Но оно означало, что клиенты и внешние исследователи не могли оценить, устраняло ли решение о замене известный механизм или лишь меняло источник аккумуляторов.

Это различие важно, потому что сам способ отзыва должен быть квалифицирован. Устранение опасного устройства снижает риск только в том случае, если замена не несёт ту же или иную неприемлемую опасность. В действующемконтрольном списке отзыва CPSCэтот принцип сформулирован прямо: компаниям, проводящим отзыв, предписывается испытывать замену или ремонт, перепроектировать будущее производство для устранения опасности, усиливать контроль качества и отличать переработанные изделия от дефектных. Список — это действующее руководство, а не доказательство точного протокола, применённого в 2016 году.

И всё же он фиксирует вопрос контроля, который вскрыл этот случай: какие доказательства превратили только что произведённый телефон из логистической замены в проверенный способ обеспечения безопасности?

Ответ оказался недостаточным. 10 октября после сообщений о перегреве и возгораниях заменённых устройств Samsung попросила операторов и розничные сети по всему миру прекратить продажи и обмен и попросила владельцев и исходных, и заменённых телефонов выключить их. CPSC расширила отзыв в США тремя днями позже. Клиенту, выполнившему первый отзыв, пришлось выполнять требования снова — теперь уже без возможности получить другой Note7. Первый обмен снизил экспозицию к одной популяции аккумуляторов, но ввёл экспозицию ко второй популяции с другим дефектом.

Эту последовательность не следует упрощать до утверждения, что испытания не проводились. Samsung, поставщики, сертификационные лаборатории и регуляторы проводили или требовали разные формы испытаний. Защищаемый вывод уже: совокупная система квалификации не смогла выявить механизмы отказов, которые позднее проявились в обеих популяциях поставщиков, а доказательства, использованные для допуска замен к выпуску, не предотвратили второй отзыв. Прохождение испытания и демонстрация безопасности — не одно и то же, когда испытуемая популяция, состояние процесса или механизм отказа отличаются от того, что попадает к пользователям.

Кто контролировал какую часть безопасности

Samsung Electronics контролировала решение на уровне продукта. Она выбирала или утверждала источники аккумуляторов, задавала целевые спецификации, интегрировала аккумуляторный блок в телефон, управляла программным обеспечением зарядки и терморегулирования, принимала готовые компоненты, разрешала отгрузку, выбирала форму первого способа решения и координировала последующую глобальную остановку. Её дочерняя компания в США работала с CPSC, операторами и розничными сетями над коммуникациями с потребителями и логистикой обмена.

Даже если физический дефект создал поставщик ячеек, Samsung контролировала, станет ли эта ячейка частью телефона, представленного потребителю как безопасный.

Два производителя ячеек контролировали разные технические слои. Они контролировали намотку электродов, конструкцию пакета, размещение сепаратора, сварку выводов, изоляцию, настройку линий, инспекцию и выпуск партий. Эти механизмы контроля ближе всего к физическим источникам, выявленным после событий. Производитель может обнаружить выступы сварки, отсутствие изоляционной ленты, деформацию и отклонения размеров до того, как ячейка покинет завод. Он также может внести риск через изменение процесса, которое не стабилизировалось.

Контроль поставщика, таким образом, реален, но он не снимает с системного производителя обязанности определять критерии приёмки и независимо проверять критически важные характеристики.

В материалах расследования Samsung используются нейтральные обозначения «производитель A» и «производитель B». Такое именование полезно, потому что анализ ответственности не зависит от привязки вины к коммерческому названию. Проблема производителя A была в основном связана с механическим размещением сборки электродов внутри пакета. Проблема производителя B была связана с качеством производства вокруг положительного вывода и изоляции. Два поставщика, два механизма и один конечный продукт показывают, почему диверсификация сама по себе не создаёт резервирования безопасности.

Отдельные источники могут отказывать по-разному, если системный барьер не способен обнаружить ни один из отказов.

Организации по испытаниям и сертификации имели более узкие полномочия. Они могли оценивать представленные образцы, производственные площадки или соответствие системы в рамках определённой программы. Они не контролировали каждую производственную партию или коммерческий выпуск Samsung. В описании IEEEСтандарта 1725говорится об анализе конструкции для квалификации, качества и надёжности на уровне ячейки, блока, управления и всей системы. Действующаяпрограмма сертификации аккумуляторов CTIAдобавляет авторизацию производственных площадок, признание компонентов, системные испытания и декларации соответствия.

Эти структуры важны, но сертификат не может увидеть непереданное изменение, низкочастотный дефект за пределами испытанной выборки или состояние наращивания производства, которое складывается после квалификации.

CPSC обладала правовым и нормативным контролем в США. Согласноразделу 2064 Свода законов США (15 U.S.C.), производитель, дистрибьютор или розничный продавец, получивший информацию, которая разумно подтверждает определённые выводы о дефекте или серьёзном риске, должен немедленно уведомить Комиссию, если ему не известно, что Комиссия уже должным образом проинформирована. Закон также наделяет Комиссию полномочиями, связанными с уведомлением и корректирующими действиями. Ничто в изученных здесь публичных материалах не устанавливает, что Samsung нарушила требование об уведомлении, и отзывы проводились совместно с CPSC.

Закон определяет обязанность и регулятора; он не передаёт повседневную квалификацию продукта от производителя агентству.

Операторы и розничные сети контролировали значительную часть «последней мили». Они прекращали продажи, держали запасы, связывались с клиентами, проводили обмены и обрабатывали возвраты. Их участие сделало возможным быстрое распределение замен и позднее — широкий возврат устройств. Они не проектировали ячейки и не знали внутренних производственных доказательств. Когда возник риск от замен, участники каналов тем не менее могли снизить экспозицию до того, как были разрешены все технические неопределённости.

В заявлении CPSC от 10 октября операторы и розничные сети были отдельно отмечены за прекращение продаж и отказ от предоставления Note7 в качестве замен.

Авиационные регуляторы осуществляли отдельный контроль после того, как способ решения на уровне потребительского продукта провалился. DOT, FAA и PHMSA могли ограничить перевозку, потому что перегревающийся телефон в самолёте создаёт последствия, выходящие за пределы владельца. EASA могла выпускать операционные рекомендации для европейской авиации. Эти органы не решали, может ли телефон продаваться как потребительский продукт, но они могли отказать устройству в доступе к среде с высокими последствиями.

Их вмешательство показывает, как провал квалификации у одного производителя переложил операционную нагрузку на авиакомпании, аэропорты, экипажи и пассажиров.

Потребители обладали наименьшим техническим контролем. Они могли выключить телефон, вернуть его, выбрать возврат денег или принять замену. Они не могли осмотреть намотанную сборку электродов, узнать, присутствует ли изоляционная лента, увидеть возможности процесса поставщика, оценить партию замен или определить, означает ли зелёный значок батареи нечто большее, чем отличие в источнике поставки. Первый отзыв просил потребителей довериться тому, что новый значок и другой аккумулятор соответствуют обоснованной границе безопасности.

Когда эта граница рухнула, цена включила не только ещё один поход в магазин, но и потерю доверия к институту, который эту границу определил.

От запуска до первого отзыва

В отчёте Samsung об устойчивом развитии за 2017 год запуск Note7 указан 19 августа 2016 года. Между запуском и объявлением о глобальной замене прошло примерно две недели. 2 сентября компания сообщила, что по всему миру зарегистрировано 35 случаев и что она проверяет поставщиков для выявления возможно затронутых аккумуляторов. Она остановила продажи и объявила о добровольной замене, но в США процесс ещё не был официальным отзывом CPSC.

Этот разрыв стал виден 9 сентября. CPSC выпустилапубличное предупреждение, в котором советовала всем владельцам Note7 выключить устройства и прекратить зарядку или использование. Комиссия заявила, что она и Samsung работают над официальным отзывом и что она изучает, является ли заменяющий Note7 приемлемым способом решения. Это заявление — доказательство того, что приемлемость замены была живым регуляторным вопросом, а не предрешённой административной деталью.

10 сентября Samsung призвала владельцев выключить телефоны и обменять их, заявив, что выявила затронутые запасы и ускоряет замены. Пять дней спустяпервый отзыв CPSCохватил около миллиона устройств, проданных в США до 15 сентября. В нём зафиксировано 92 сообщения из США о перегреве аккумуляторов, включая 26 сообщений об ожогах и 55 сообщений об имущественном ущербе. Способами решения были Note7 с другим аккумулятором, возврат денег или другое заменяющее устройство. Эти цифры описывают полученные сообщения, а не установленную ответственность, подтверждённое число уникальных дефектов или общемировое число инцидентов.

Оформление улучшило отзыв в нескольких отношениях. Оно дало единое описание опасности, определило затронутую популяцию, велело потребителям прекратить использование и установило способы решения при участии CPSC. Оно также сделало заменяющий Note7 частью официального корректирующего действия. Samsung объявила, что новые заменяющие телефоны в США будут широко доступны к 21 сентября, а вобновлении от 20 сентябрясообщила, что более 500 000 замен поступило в магазины операторов и розничных сетей.

В обновлении были представлены зелёный значок батареи и отметка на упаковке для отличия новых телефонов. Также на устройства, подлежащие отзыву, стали приходить повторяющиеся предупреждающие сообщения. Это были эффективные механизмы идентификации и коммуникации. Они не были техническим доказательством. Значок кодировал классификацию Samsung устройства как имеющего незатронутый аккумулятор. Он не отслеживал качество сварки, целостность сепаратора или предвестники внутреннего короткого замыкания.

Данные об обмене показывают, как быстро новая классификация повлияла на экспозицию. 22 сентября Samsung сообщила, что обменяно около половины отозванных телефонов в США и что 90 % участвующих владельцев выбирают другой Note7. Вглобальном обновлении от 27 сентябрясообщалось, что в США и Корее обменяно более 60 % отозванных телефонов, и снова приводилась цифра около 90 % пользователей, выбирающих новый Note7. Это были данные компании, и они могли быстро измениться. Они устанавливают, что заменяющие телефоны не были маргинальным способом решения. По данным Samsung, это был доминирующий выбор пользователей.

У скорости была законная цель. Каждый день использования отозванного исходного телефона продлевал экспозицию к известной опасности. Розничным сетям нужны были запасы, потребителям — работающие телефоны, компании — масштабируемый способ решения. Но скорость создавала и проблему квалификации. Популяция замен, произведённая и распределённая быстро, оставляет меньше календарного времени на стабилизацию процесса, накопление жизненного цикла и полевые наблюдения. Публичные доказательства не подтверждают, что именно давление сроков вызвало дефекты сварки и изоляции у производителя B.

Они поддерживают более ограниченный вывод: решение о замене несло риск зрелости процесса, который требовал необычно сильных доказательств и мониторинга.

Сигналы от заменённых устройств и крах первой границы безопасности

Первый публично значимый сигнал в США после поступления замен в оборот пришёл из авиации. 5 октября председатель CPSC выпустилзаявление об инциденте на самолёте Southwest Airlines в Луисвилле. Агентство сообщило, что пассажиры покинули борт без вреда и что сотрудники собирают факты от FAA, Samsung и потребителя. Само заявление не устанавливало источник аккумулятора в телефоне или окончательную причину, поэтому его не следует использовать как завершённый технический вывод. Оно показывает, что к началу октября CPSC расследовала серьёзное событие в операционной среде, где возгорание аккумулятора могло затронуть многих людей.

Дальнейшие сообщения изменили решение о контроле. 10 октября CPSC заявила, что активно расследует случаи перегрева и возгорания телефонов в нескольких штатах, и посоветовала владельцам и исходных, и заменённых устройств прекратить использование. Комиссия назвала приостановку продаж и обменов Samsung правильным действием. Впараллельном заявлении о прекращении продажSamsung предписала глобальным операторам и розничным партнёрам прекратить продажу и обмен продукта, а всем владельцам — выключить устройства.

Это было спусковым событием окончательного снятия с продаж: доказательства опасного нагрева и возгорания больше не ограничивались популяцией, изъятой первым отзывом. Замена имела не просто неоднозначный косметический или эксплуатационный дефект. Она проявляла ту же опасность верхнего уровня через другой внутренний путь. После того как предпосылка первого способа решения рухнула, продолжение выдачи Note7 в качестве замен подвергало бы дополнительных клиентов экспозиции на основании недействительной классификации.

13 октябрярасширенный отзыв CPSCохватил около 1,9 млн телефонов в США, включая миллион из первого отзыва. Он прямо включал все устройства, предоставленные в качестве замен, и устройства с зелёным значком батареи. Потребителям было велено прекратить использование любого Note7 и потребовать возврат денег или другую модель. В соответствующем уведомлении Samsung говорилось, что включение замен последовало за остановкой производства, продаж и обмена 10 октября.

В расширенном уведомлении сообщалось о 96 сообщениях о перегреве из США, включая 23 новых сообщения после объявления о первом отзыве, а также о 13 сообщениях об ожогах и 47 сообщениях об имущественном ущербе, связанных с телефонами Note7. Эти категории не следует механически складывать с цифрами первого уведомления. Позднее уведомление не объясняет, почему его счётчики ожогов и имущественного ущерба ниже, чем в более ранних категориях, были ли случаи переклассифицированы, дедуплицированы или оценены в других рамках.

Безопасный подход — приводить каждое уведомление с его датой и формулировкой, а не создавать совокупную сумму из несопоставимых срезов.

Способ решения теперь структурно изменился. Клиент мог получить возврат денег или другую модель, но не якобы исправленный Note7. Samsung также использовала сотрудничество операторов и программные средства контроля, чтобы ограничить или отключить оставшиеся устройства. Эти меры были принудительными в узком техническом смысле, потому что они ограничивали то, что владелец мог делать с уже купленным имуществом. Они также были мерами контроля риска для продукта, который владельцев многократно просили вернуть.

Ответственность требует признать и то, и другое: дистанционное ограничение снижало остаточный риск возгорания, а сама необходимость в нём показала, что одного объявления об отзыве недостаточно для изъятия каждой опасной единицы.

Что вышло из строя в ячейках производителя A

Samsung объявила о выводах о первопричинах в январе 2017 года после испытаний устройств, аккумуляторов и процессов. Наиболее полезные технические доказательства содержатся в отдельных презентациях Exponent, UL и TUV Rheinland, привлечённых в связи с расследованием Samsung. Их участие добавляет технической независимости в анализе, но не полной институциональной независимости: работу заказала Samsung, она предоставила по крайней мере образцы, описанные UL, и контролировала значительную часть среды доказательств. Их выводы следует читать с учётом этих границ.

Впрезентации Exponent о первопричинахсделан вывод, что наиболее вероятной причиной теплового отказа в некоторых ячейках производителя A было непреднамеренное повреждение намоток отрицательного электрода у угла, ближайшего к отрицательному выводу. Это повреждение было отнесено к конструкции пакета, в которой не хватало объёма для сборки электродов. Обычные циклы заряда и разряда могли затем превратить геометрическое вмешательство в нарушение сепаратора, отложение лития или иной путь внутреннего дефекта.

Архитектура ячейки объясняет, почему малые решения о размерах имеют значение. Слои положительного и отрицательного электродов разделены тонким материалом и скручены в сборку, которую часто называют рулонной намоткой. Сепаратор должен предотвращать электрический контакт, обеспечивая при этом перенос ионов. Скрученная сборка находится в гибком пакете. Если корпус не обеспечивает достаточного пространства, сжатие или деформация угла могут концентрировать механическое напряжение. Если сепаратор повреждён и противоположные токопроводящие слои соприкасаются, ток может течь внутри ячейки вне предусмотренной цепи.

Локальный нагрев может запустить самоусиливающуюся тепловую реакцию.

Впрезентации UL по анализу отказовсообщалось о признаках внутреннего короткого замыкания в верхнем правом углу шести повреждённых устройств производителя A и в четырёх вздувшихся ячейках. Компьютерная томография и разборка дополнительных ячеек показали повторяющиеся картины деформации. UL описала сочетание деформации угла, тонкого сепаратора и повторяющихся механических нагрузок от циклирования как вероятный основной механизм, отметив при этом, что для понимания первопричины деформаций угла нужно больше работы.

Эта оговорка важна. Exponent выразила более конкретный вывод об объёме пакета; UL описала несколько вкладов конструкции и производства и сохранила неопределённость вокруг происхождения деформации. Отчёты сходятся в локализации и пути внутреннего короткого замыкания, не совпадая дословно в формулировке причины. Аккуратный вывод: популяция A имела недостаточные допуски вокруг намотанной сборки и сепаратора в углу, при наличии доказательств в пользу механизма нехватки пространства пакета. Преувеличением было бы утверждать, что каждый инцидент A следовал одной идеально наблюдаемой последовательности.

Плотность энергии влияла на последствия, но не обязательно на инициацию. UL отметила, что более тонкий сепаратор может снижать устойчивость к производственным дефектам, а более высокая плотность энергии может усугублять тяжесть отказа. Ни одно из этих наблюдений не означает, что высокая ёмкость сама по себе вызвала инциденты Note7. Конструкция с высокой энергией повышает требования к запасам по размерам, защите сепаратора и возможностям процесса. Ответственность лежит в валидации комбинации, а не в трактовке широко используемой химии аккумуляторов как непредвиденной опасности.

Механизм A должен был быть проверен на нескольких барьерах. Анализ конструкции ячейки мог сравнить размеры электродов с объёмом пакета с учётом допусков, вспучивания и срока службы. Компьютерная томография или разрушающая выборка могли выявить деформацию угла. Данные о возможностях производства могли показать, остаётся ли предусмотренный зазор стабильным. Ускоренное циклирование на уровне устройства могло выявить повторяющееся напряжение в углу. Прослеживаемость партий могла связать полевые инциденты с записями конструкции и процессов.

Публичное расследование описывает часть этих методов после отказа; оно не публикует полные результаты до запуска, которые допустили выпуск.

Производитель B отказал иначе

Производитель B — это то место, где отзыв становится делом о квалификации, а не только об исходной конструкции. Exponent сообщила, что её первоначальный анализ ячеек B не выявил недостатков пакета, конструкции или производства. Ячейки, произведённые после завершения этого первоначального анализа, позднее оказались с совершенно другим дефектом. Эта хронология означает, что выборка, достоверная для одного состояния производства, не могла установить качество более позднего выпуска.

Exponent выявила плохо контролируемую сварку положительного вывода, создававшую острые относительно высокие элементы. Обычное вспучивание и сжатие электродов могло прижимать эти элементы к противоположному отрицательному электроду. В некоторых изученных ячейках защитная лента над положительным выводом отсутствовала. Выступ сварки, перекрывающий физическое разделение, особенно без изоляции, мог создать внутреннее короткое замыкание, нагреть ячейку и перейти в тепловой разгон при высокой степени заряда.

UL обнаружила признаки внутреннего короткого замыкания в пяти повреждённых устройствах B, включая следы в местах выводов. Она сообщила об отсутствии изоляционной ленты, острых выступах сварки, плохом совмещении и непостоянных размерах вывода или ленты в изученных ячейках. Её оценка описала сочетание отсутствующей ленты, острых выступов и тонкого сепаратора как вероятный основной механизм отказа. Она также не нашла в своей работе доказательств того, что проблемы совместимости на уровне устройства вызвали полевые отказы.

Отсутствие общего спускового механизма устройства сужает объяснение, но не снимает ответственности с системного производителя. Exponent сообщила, что система аккумулятора Note7 имела несколько уровней защиты и что испытания не выявили электронный дефект, способный вызвать наблюдаемые отказы. UL обнаружила, что ток зарядки, напряжение ячеек и температура находились в пределах спецификаций Samsung в испытанных условиях.Обзор сборки и логистики TUV Rheinlandне выявил существенных слабостей в проверенных сборочных линиях Samsung или в имитациях автомобильных перевозок, а его образцы прошли применимые испытания безопасности.

Это ограниченные отрицательные выводы. Они показывают, что исследователи не нашли причины в системе зарядки, сборке телефона или автомобильной перевозке в рамках своих областей и выборок. Они не доказывают, что каждое зарядное устройство, поставка, условие сборки или среда пользователя были безвредны. Важнее то, что они оставляют принятую аккумуляторную ячейку как отказавший компонент внутри контролируемой Samsung системы. Ответственность на уровне продукта сохраняется, потому что защитная схема не может надёжно остановить короткое замыкание, образующееся внутри между электродами.

Механизм B поднимает прямой вопрос контроля процессов: что изменилось между первоначально исследованными ячейками и более поздним производством замен? Публичные презентации не дают полной истории инженерных изменений, записей о возможностях по каждой линии, изменений инструкций оператора, истории обслуживания сварочного оборудования или плана приёмочного контроля. Они выявляют дефект, но не публикуют организационный путь, по которому он попал в производство и прошёл через него. Без этого пути отнесение события к обобщённой производственной ошибке остановило бы анализ слишком рано.

Средства контроля, способные предотвратить дефекты B, включают ограничения высоты сварки, привязанные к зазору сепаратора, автоматизированную инспекцию каждого вывода, положительную проверку наличия и положения изоляционной ленты, разрушающее сечение по партиям, трёхмерную визуализацию, мониторинг состояния оборудования, одобрение изменений процессов и карантин партий при отклонении контрольных пределов. Ключевой вопрос допуска к выпуску — считались ли эти характеристики критически важными для безопасности и получила ли Samsung доказательства из фактических партий наращивания производства, а не из более ранних образцов.

Первопричина, спусковой механизм и способствующие условия

Непосредственные физические причины — внутренние короткие замыкания, возникавшие разными путями в двух популяциях ячеек. Для производителя A доказательства поддерживают деформацию угла и нарушение сепаратора, связанные с недостаточным размещением в пакете и допусками. Для производителя B — выступы сварки выводов и дефекты изоляции, способные замкнуть на отрицательный электрод. Эти механизмы объясняют возгорание на уровне ячейки.

Организационная первопричина находится на уровень выше. Сквозная квалификация не выявила и не исключила ни один из механизмов до того, как соответствующие телефоны попали к пользователям. Первый барьер запуска принял ячейки A с недостаточным геометрическим допуском. Барьер способа решения принял ячейки B, более позднее производство которых содержало дефекты сварки и изоляции. Система безопасности, которая полагается на поставщиков, но выпускает интегрированный продукт, должна уметь валидировать запас конструкции, возможности процесса, контроль изменений и поведение конечной системы по каждому утверждённому источнику.

Спусковым механизмом окончательного прекращения выпуска было не обнаружение проблемы угла у A. Им стало появление опасных инцидентов в заменённых устройствах, которое аннулировало границы первого отзыва. Этот спусковой механизм превратил способ решения, привязанный к поставщику, в остановку всех устройств. Он также изменил бремя доказательств: после отказа двух разных популяций другая замена той же модели не могла разумно опираться на одну лишь смену поставщика.

Несколько способствующих условий подтверждаются материалами. Конструкция ячейки давала ограниченный допуск к деформации и производственным отклонениям. Популяция замен быстро ушла в широкое распространение. Samsung публично укрепляла доверие к новой классификации аккумуляторов до публикации полной картины первопричин. Состояние производства у производителя B изменилось после первоначальных ячеек, изученных Exponent. Существующие квалификация и сертификация не обеспечивали продолжающегося наблюдения, способного предотвратить прошедшие дефекты.

Другие предполагаемые факторы остаются недоказанными. Публичные доказательства не устанавливают, что конкретный дедлайн руководителей вызвал небезопасный выпуск, что сотрудники скрывали известные дефекты B, что поставщик намеренно ослабил стандарты или что конкуренция с другим смартфоном продиктовала конкретный компромисс в безопасности. График продукта и рыночное давление — правдоподобные контекстуальные риски для любого флагманского запуска, но правдоподобие — не доказательство причинности в этом случае.

Обнаружение отказало более чем на одной стадии. Испытания конструкции и процессов до запуска не остановили ячейки A. Квалификация замен и контроль партий не остановили ячейки B. Полевые инциденты стали решающим детектором для обеих популяций. Реагирование улучшилось после распознавания второй картины: продажи, обмен и производство были остановлены, все телефоны отозваны, последовали ограничения перевозки, а программное обеспечение постепенно снижало остаточное использование. Восстановление затем зависело от миллионов владельцев, многих операторов, розничных сетей и регуляторов, действовавших в разных юрисдикциях.

Воздействие оказалось шире, чем число сгоревших телефонов

Американские отзывы дают наиболее конкретные публичные цифры об инцидентах и популяциях. Около миллиона устройств попали в первый отзыв, а около 1,9 млн были охвачены расширенным отзывом, включая первую популяцию. Эти числа измеряют единицы, подлежащие корректирующим действиям, а не число отказавших. Приведённые счётчики перегрева, ожогов и имущественного ущерба устанавливают реализованный вред и правдоподобную опасность, но не позволяют оценивать вероятность отказа на устройство без надёжного времени экспозиции, обработки дубликатов и валидации случаев.

В отчёте Samsung об устойчивом развитии за 2017 год сказано, что по всему миру продано 3,06 млн телефонов Note7 и что к апрелю 2017 года возвращено 97 %.Оценка CPSC от января 2017 годатакже отметила ответную реакцию потребителей в 97 % со стороны Samsung и американских операторов. Это необычно высокие сигналы участия в отзыве, но знаменатели различаются: одно — корпоративное раскрытие по всему миру, другое — заявление американского регулятора о реакции на отзыв. Ни то, ни другое не доказывает, что каждый возвращённый телефон был безопасно перевезён, обработан или переработан.

Владельцы несли прямые неудобства и риск. Им приходилось прекращать использование дорогого коммуникационного устройства, делать резервные копии и переносить данные, посещать магазин или организовывать возврат, получать возврат денег или другой телефон, заменять аксессуары и повторять процесс, если они уже обменяли исходное устройство. Люди, зависевшие от телефона в работе, столкнулись с перебоями в обслуживании. Домочадцы и окружающие разделяли риск возгорания, не выбирая продукт. Сообщения об имущественном ущербе и ожогах показывают, что последствия не ограничивались обманутыми ожиданиями.

Розничные сети и операторы стали инфраструктурой восстановления. Сотрудникам приходилось идентифицировать модели, обрабатывать опасные возвраты, объяснять меняющиеся инструкции, расторгать контракты или финансирование, оформлять кредиты и поддерживать запас заменяющих устройств. Малые розничные предприятия и сервисные бизнесы несли операционные издержки, не проектируя и не квалифицируя продукт. Отзыв, таким образом, затронул непрерывность МСП через нагрузку на каналы, споры с клиентами и управление запасами, хотя полного публичного распределения издержек нет.

Авиационные последствия были глобальными и непропорциональными числу подтверждённых событий в полёте, потому что среда меняет расчёт тяжести. Вобъявлении DOT о запрете от 14 октябрякаждый Note7 запрещался для воздушной перевозки в США с полудня по восточному времени 15 октября. Пассажиры не могли провозить его при себе, в ручной клади или в зарегистрированном багаже, и телефоны не могли перевозиться как авиагруз. Авиакомпаниям приходилось предупреждать пассажиров, при необходимости отказывать в посадке и управлять непреднамеренной перевозкой.

Официальныйчрезвычайный приказ FAAотносил устройство к запрещённым опасным материалам.Бюллетень EASA от 13 октябряприменял меры предосторожности ко всем телефонам Note7, включая замены. Разные юрисдикции выбрали разные правовые формы, но обе устранили различие, на котором держался первый способ решения. Зелёный значок не мог быть транспортным удостоверением безопасности после инцидентов с заменами.

Финансовое воздействие было существенным, но требует аккуратных формулировок. Впересмотренном прогнозе за третий кварталSamsung снизила ожидаемую консолидированную операционную прибыль примерно с 7,8 трлн вон до 5,2 трлн вон после остановки Note7 — пересмотр на 2,6 трлн вон. Компания сообщила, что пересмотр отражает влияние этого решения. Это не рассчитанная судом компенсация и не чистая стоимость отзыва в денежном выражении.

Samsungотдельно оценила негативное влияние на операционную прибыль примерно в 3 трлн вонв четвёртом квартале 2016 года и первом квартале 2017 года из-за потери продаж, после того как сообщила, что прямые издержки прекращения выпуска уже отнесены на прогноз третьего квартала. Эти цифры касаются разных периодов и эффектов, и их не следует без разбора складывать. Они показывают, что полное снятие продукта повлекло издержки, достаточные для влияния на публичные раскрытия рынку, оставляя издержки потребителей, каналов, поставщиков, юридические и утилизационные лишь частично видимыми.

Регулирование, полномочия по отзыву и правовая защита

Роль CPSC имела две фазы. До 15 сентября она предупреждала потребителей и оценивала, приемлема ли предлагаемая замена. Затем она участвовала в первом официальном отзыве. Когда появились инциденты с заменами, она расследовала, поддержала остановку и расширила отзыв. Агентство не публиковало окончательного правоприменительного вывода, распределяющего юридическую вину между Samsung и производителями ячеек, в использованных здесь материалах.

Заявление председателя CPSC от января 2017 года необычно откровенно об институциональных возможностях. В нём сказано, что Samsung выделила на расследование больше людей, чем работает во всём агентстве, и что сотрудники CPSC продолжают независимое расследование со значительно меньшими ресурсами. Этот дисбаланс важен. Регулятор может принудить к корректирующим действиям и координировать их, но сложный физический анализ отказов может оставаться в значительной степени зависимым от доказательств, созданных регулируемой компанией и её подрядчиками.

Публичная подотчётность улучшается, когда сырые методы, отбор выборок и ограничения доступны для независимой проверки.

Юридическая обязанность уведомлять шире, чем финальное признание дефекта. Раздел 2064 срабатывает при наличии информации, разумно подтверждающей определённые выводы о безопасности, при этом закон также защищает уведомление от трактовки как признания для определённых целей. Это поощряет раннее уведомление в условиях неопределённости. Хронология Note7 демонстрирует почему: ожидание идеального физического объяснения продлило бы экспозицию. Из этого не следует, что каждое предварительное решение должно действовать с той же степенью неопределённости.

Предупреждение о прекращении использования может быть превентивным; замена тем же продуктом требует утвердительных доказательств безопасности.

Частные судебные иски создали ещё один путь ответственности, но публичные судебные акты следует читать с учётом того, что именно они решили. В делеSchmidt v. Samsung Electronics Americaпокупатели Note7 предъявили иски о соответствии товара и ответственности за продукт после отзывов. Приказ федерального окружного суда 2017 года в основном касался условий арбитража и коллективных исков: часть споров была направлена в арбитраж, коллективные иски отклонены. Он не рассматривал механизм отказа ячеек, не определял совокупный ущерб и не устанавливал, что каждое заявленное обстоятельство истинно.

Дело тем не менее вскрывает практическую границу средств правовой защиты. Ответственность за безопасность потребителей и компенсация не проходят через один форум. CPSC может координировать меры по отзыву, тогда как индивидуальные экономические или деликтные требования могут сталкиваться с контрактами, арбитражем, юрисдикцией и требованиями доказывания. Полный возврат денег урегулирует сделку покупки. Он может не разрешить имущественный ущерб, вред здоровью, перерыв в бизнесе или временные издержки повторных обменов. И наоборот, существование судебного иска не устанавливает вину.

Транспортное право налагало обязательства, выходящие за пределы отзыва продукта. Впредупреждении о безопасности FAA от сентябряоператорам напоминалось, что отозванные или дефектные литиевые аккумуляторы подпадают под ограничения грузовых и пассажирских перевозок по правилам опасных материалов. Позднейший приказ, касающийся Note7, сделал контроль недвусмысленным. Авиационный запрет не был выводом, что каждая единица воспламенится. Это было решение о риске: сочетание неопределённого статуса устройства, известного опасного нагрева и последствий в самолёте делало перевозку неприемлемой.

Прекращение выпуска и возврат устройств снизили экспозицию

Финальный ответ имел четыре эффективных элемента. Во-первых, Samsung прекратила производство, продажи и обмен, а не попыталась сформировать третью популяцию аккумуляторов Note7. Во-вторых, CPSC расширила официальный отзыв, стерев различие между исходными и заменёнными устройствами. В-третьих, операторы, розничные сети и транспортные власти затруднили продолжение использования и перемещение устройств. В-четвёртых, обновления программного обеспечения постепенно ограничивали зарядку или использование сети на невозвращённых устройствах.

Эти меры затрагивали разные точки отказа. Остановка производства предотвратила новую экспозицию. Возврат денег и заменяющие модели дали владельцам выход. Контроль розничных сетей и операторов достигал клиентов через существующие коммерческие отношения. Авиационные ограничения защищали общую среду с высокими последствиями. Программные средства контроля снижали остаточную экспозицию среди людей, которые игнорировали, пропускали или сопротивлялись требованиям о возврате.

Показатели возврата дают доказательства, что программа охватила большинство пользователей. Впозднейшем бюллетене безопасности EASA 2017 годаприведена информация Samsung о показателе возврата 94 % в Европе и 96,5 % в мире к началу февраля 2017 года, а также описаны обновления, которые ограничивали зарядку и позднее отключали мобильную работу. Бюллетень отозвал рекомендацию по конкретному устройству в пользу общих рекомендаций по повреждённым, дефектным и отозванным аккумуляторам, отметив прогресс мер и отсутствие недавних сообщений о возгораниях на борту.

Этот отзыв рекомендации — доказательство снижения транспортной экспозиции, а не заявление, что невозвращённые Note7 безопасны. Аналогично, ответ в 97 % оставляет остаточную популяцию. В масштабе миллионов даже небольшой процент может представлять многие устройства, хотя публичные цифры не дают единого знаменателя и даты для точного расчёта остатка. Программное отключение было поэтому средством контроля возврата, а не просто коммерческой блокировкой.

Ответ также уместно сохранял неопределённость в ключевые моменты. CPSC расследовала событие в Луисвилле, а не объявляла немедленную причину. Samsung остановила обмен, пока продолжалось расследование. Финальное расследование сравнивало гипотезы об устройстве, аккумуляторе, сборке и логистике. Сильнейшая критика — не в том, что лица, принимавшие решения, действовали до того, как узнали всё. Она в том, что первый способ решения восстановил обычное использование до того, как опубликованные доказательства смогли объяснить и исключить соответствующие механизмы отказа на протяжении фактического процесса замены.

Что доказали расследования и чего они не доказали

Совокупная техническая картина убедительно поддерживает дефекты аккумуляторных ячеек как источник изученных тепловых событий Note7. Exponent и UL нашли физические пути внутреннего короткого замыкания в обеих популяциях. Их механизмы согласуются с собственным изложением Samsung. Испытания зарядки на уровне устройства не выявили спускового механизма, соответствующего полевым отказам, а ограниченная работа TUV не выявила деградации сборки или автомобильной перевозки как причины.

Отчёты также показывают, почему такая фраза, как «дефект аккумулятора», недостаточна. Проблема конструкции и допусков у A и проблема сварки и изоляции у B требовали разных средств контроля. Замена одного источника могла устранить первый механизм, ничего не сделав для контроля второго. Утверждение о первопричине, полезное для предотвращения, должно выявлять и физический механизм, и средство контроля, которое должно было его задержать.

Расследования не раскрывают каждое решение об отборе образцов. UL прямо заявила, что все образцы в её презентации предоставлены Samsung. Публичные наборы слайдов не перечисляют всю совокупность возвращённых устройств, цепочку хранения для каждого полевого образца, метод слепого отбора, частоту отказов по партиям или статистическую уверенность. Они не показывают, отличались ли систематически сильно повреждённые устройства, которые не удалось диагностировать, от проанализированных.

Они также не реконструируют полностью внутреннюю хронологию решений. Публичная картина не показывает пакет доказательств, представленный руководителю, санкционировавшему выпуск замен, точные критерии приёмки, особые инженерные мнения, исключения аудитов поставщиков, результаты визуализации по партиям или момент, когда Samsung впервые узнала о каждом дефекте процесса B. Поэтому невозможно установить, был ли известный сигнал проигнорирован или дефект действительно не обнаруживался до полевых событий.

Публичных доказательств также недостаточно для распределения всех экономических потерь. Счётчики отзывов, прогнозы прибыли и сообщённые инциденты измеримы. Совокупное время потребителей, потерянные данные, имущественный ущерб, издержки операторов, удержания поставщиков, обработка отходов и страховые возмещения не раскрыты в одном согласованном своде. Исковые утверждения и частные урегулирования нельзя считать подтверждёнными итогами без судебного разбирательства или полных записей.

Наконец, материалы не устанавливают контрфактическое число инцидентов. Они не могут сказать, сколько ячеек A в итоге отказало бы без первого отзыва, сколько отказов B предотвратил второй отзыв или как более длительный период квалификации изменил бы производство. Это важные вопросы, но необходимые данные об экспозиции и процессах не публичны.

Доказательства исправления после Note7

Основным техническим исправлением Samsung сталавосьмипунктовая проверка безопасности аккумулятора. Компания добавила или усилила испытания заряда-разряда, испытания на долговечность, визуальный осмотр, рентгеновский контроль, разборку, испытание на общее содержание летучих органических соединений, ускоренное использование и проверки дельты напряжения разомкнутой цепи. Компания также описала многоуровневые меры безопасности, охватывающие конструкцию, аппаратную защиту и алгоритмы зарядки, и создала внешнюю консультативную группу по аккумуляторам.

Эти средства контроля разумно соответствуют наблюдаемым дефектам. Рентген и разборка могут выявить деформацию электродов, положение сварки и отсутствие изоляции. Заряд-разряд и ускоренное использование могут создавать циклическое напряжение. Изменения напряжения разомкнутой цепи и летучие соединения могут указывать на утечку или ненормальные внутренние условия. Испытания на долговечность проверяют допуски за пределами обычной эксплуатации. Программное обеспечение на уровне устройства ограничивает температуру, ток и длительность зарядки, хотя не может устранить внутренний разрыв сепаратора.

Samsung позднее описала, как применяла процесс к Galaxy S8. Винженерном описании от апреля 2017 годакомпания сообщила, что создала больше физического пространства вокруг аккумулятора, добавила защитный кронштейн, изменила конструкцию аккумулятора для снижения давления на электроды, использовала более безопасные алгоритмы зарядки и подвергала аккумуляторы и готовые устройства повторным проверкам. Также сообщалось, что UL и Exponent оценили аккумулятор S8 на соответствие применимым требованиям. Это доказательство внедрения, но в основном это корпоративное описание собственного продукта-преемника.

Более широкая система стандартов также изменилась. Вотчёте CPSC о состоянии высокоэнергетических аккумуляторов за 2020 финансовый годсказано, что сотрудники начали обсуждения с CTIA после отзыва Note7 о пересмотре IEEE 1725-2011 и связанного стандарта для многоэлементных аккумуляторов. IEEE утвердила новую редакцию 1725 в 2021 году. Действующая программа CTIA описывает аудиты производственных площадок, признанные ячейки и блоки, системные испытания и декларации поставщиков.

Эти доказательства поддерживают вывод о существенном исправлении. Меры не сводились к призыву поставщиков быть внимательнее. Они добавили контроль на уровне продукта, разрушающий анализ, запас конструкции, ускоренное использование, прослеживаемость и системные стандарты. Работа CPSC по стандартам указывает, что событие повлияло и на отраслевые рамки.

Чего не хватает — доказательств устойчивости с той же степенью конкретности, что и расследование отказов. Публичные материалы не дают годовых показателей ускользнувших дефектов, анонимизированных выводов консультативной группы, несоответствий аудитов, данных об отклонении изменений процессов у поставщиков, независимых повторных испытаний или чувствительности каждой проверки к механизмам A и B. То, что более поздний телефон прошёл требования, показывает, что определённая выборка прошла испытание. Это не измеряет, как часто продолжающая действовать система ловит редкий производственный уход.

Отсутствие другого публичного отзыва Samsung масштаба Note7 — значимая операционная история, но не доказательство причинности. Конструкции продуктов, объёмы, поставщики, практика сообщений и время экспозиции различаются. Тихий период может быть следствием эффективного исправления, более низкого скрытого риска или необнаруженных низкочастотных событий. Надёжная уверенность сочетает полевые показатели с прозрачными данными контроля.

Лучшие контрфактические сценарии начинаются до первой замены

Простейший контрфактический сценарий — отменить запуск до выяснения всех возможных дефектов аккумулятора. Это нереалистично как универсальное правило, потому что никакая квалификация не может перечислить все будущие отказы. Полезный сценарий спрашивает, какие доказательства, доступные через осуществимые средства контроля, могли изменить решение.

Для производителя A анализ размерной цепи в диапазоне максимального размера электродов, минимального объёма пакета, вспучивания и циклической деформации мог поставить под сомнение запас в углу. Трёхмерная визуализация и разрушающие сечения производственных партий могли проверить, выдерживает ли предусмотренный зазор производственные отклонения. Ускоренное циклирование в конечном устройстве могло искать повторяющееся напряжение в углу. Если бы эти средства выявили деформацию, Samsung могла потребовать большего объёма пакета, изменить геометрию электродов или отложить выпуск.

Для первого отзыва более безопасный сценарий не обязательно означал оставить опасные исходные устройства в использовании на месяцы. Samsung уже предлагала возврат денег и обмен на устройства семейства Galaxy S7. Она могла сделать эти альтернативы основным немедленным способом решения и отложить замену на ту же модель до установления механизма A, созревания процесса B и прохождения усиленных проверок партиями, репрезентативными для масштабного производства. Это повлекло бы коммерческие издержки и издержки для клиентов, но избежало бы перевода большого числа пользователей во вторую непроверенную популяцию.

Поэтапная замена была ещё одним вариантом. Ограниченные партии могли пройти более интенсивную разрушающую выборку, более длительное ускоренное использование и усиленный полевой мониторинг до национального выпуска. Критерии выпуска могли требовать стабильной геометрии сварки, подтверждённого наличия ленты, прослеживаемости партий и отсутствия необъяснимых тепловых аномалий. Публичные доказательства не могут доказать, что поэтапность поймала бы дефекты B, особенно если релевантное изменение процесса произошло позже. Она создала бы больше возможностей обнаружить меняющийся процесс до отгрузки сотен тысяч единиц.

Диверсификацию поставщиков следовало трактовать как новый анализ опасностей, а не как доказательство независимости. Инженеры могли спросить, чем альтернативный поставщик может отказать иначе, какие характеристики, критически важные для безопасности, общие, какие средства контроля специфичны для поставщика и какой системный тест поймал бы новый тип внутреннего короткого замыкания. Факт, что B не разделял дефект пакета A, был необходимым, но недостаточным доказательством.

Когда появились сообщения об инцидентах с заменами, правильный порог для остановки был ниже, чем при запуске. Популяция замен была представлена как безопасный ответ на отзыв из-за возгораний. Достоверное сообщение о возгорании поэтому бросало вызов центральному утверждению о контроле. Samsung и партнёры по каналам действительно остановили продажи и обмен 10 октября до публикации финального механизма. Публичные материалы не позволяют точно судить, должно ли это было произойти после первого же сообщения о замене или было ли время расследования неразумным.

Программное ограничение зарядки могло снизить остаточную экспозицию, но не было адекватной заменой отзыву. Более низкая степень заряда может уменьшить доступную энергию, а отключение телефона может предотвратить обычное циклирование, но ни то, ни другое не устраняет внутренний выступ сварки, отсутствующую изоляцию или деформированный сепаратор. Samsung использовала программное обеспечение уместно как инструмент восстановления после прекращения выпуска, а не объявляла дефектное оборудование отремонтированным.

Устойчивый тест ответственности при квалификации заменяющих устройств

Первый тест — точная граница опасности. Прежде чем предлагать замену той же модели, может ли производитель сформулировать, какие физические, процессные и трассировочные признаки отличают затронутые и незатронутые единицы? Имя поставщика, значок или дата производства полезны, только если они сопоставляются с подтверждёнными данными контроля.

Второй тест — полнота механизма. Выявило ли расследование механизм отказа достаточно уверенно, чтобы знать, что именно должно изменить решение? Если механизм остаётся неизвестным, решение должно избегать восстановления той же экспозиции, если независимые доказательства не устанавливают безопасность другим надёжным путём.

Третий тест — репрезентативная квалификация. Происходят ли испытуемые образцы из фактических заводов, инструментов, операторов, материалов, партий и темпов производства, которые будут поставлять замены? Прототип или ранняя партия не могут доказать состояние позднейшего наращивания. Изменения процессов после квалификации должны запускать пересмотр, пропорциональный значимости для безопасности.

Четвёртый тест — допуски, а не номинальное соответствие. Остаётся ли конструкция безопасной при наихудших размерах пакета, совмещении электродов, высоте сварки, толщине сепаратора, вспучивании, старении и физическом напряжении? Высокоэнергетической ячейке нужен запас к комбинациям малых отклонений, а не только номинальный экземпляр, прошедший испытание.

Пятый тест — обнаружение ухода. Какие средства контроля могут найти деформацию угла, отсутствующую ленту, смещённый вывод или высокий выступ сварки до отгрузки? Что осматривается в каждой ячейке, что выборочно, что разрушается и какова предполагаемая частота ложноотрицательных результатов? Список средств без чувствительности и логики выборки не может продемонстрировать покрытие.

Шестой тест — владение системой. Уполномочен ли один ответственный владелец безопасности продукта останавливать и исходный запуск, и выпуск замен через закупки, инжиниринг, производство и коммерческие команды? Сертификаты поставщиков и сотрудничество регуляторов должны информировать это решение, а не размывать его.

Седьмой тест — полевая эскалация. Отделяются ли инциденты с заменами и эскалируются ли немедленно, потому что они бросают вызов самому способу решения? Могут ли Samsung, операторы, розничные сети и регуляторы согласовать серийный номер, партию аккумулятора, состояние использования, условия зарядки и доказательства повреждения на общей временной шкале?

Восьмой тест — непрерывность отзыва. Могут ли клиенты получать возврат денег, замены и безопасную упаковку для возврата без остаточной экспозиции или потери необходимого коммуникационного обслуживания? Получают ли розничные сети и малые партнёры каналов финансирование и обучение для опасных возвратов? Измеряет ли программа восстановление по регионам, каналам и статусу устройств, а не объявляет один глобальный процент?

Девятый тест — публичные доказательства. Публикует ли компания методы, ограничения выборок, конкурирующие гипотезы и то, что исследователи не смогли определить? Отличимы ли выводы компании от выводов регулятора и заказных лабораторных работ? Подробный механизм более достоверен, когда цепочка доказательств и неопределённость видны.

Десятый тест — гарантия исправления. Показывают ли более поздние аудиты, что восьмипунктовые проверки, запасы конструкции, надзор за поставщиками и контроль изменений остаются активными? Сообщаются ли уходы дефектов, провалы испытаний и корректирующие действия в совокупности? Сертификация продукта-преемника и долгий тихий период — полезные сигналы, но их следует дополнять воспроизводимыми доказательствами.

Ответ на Note7 в итоге стал достаточно широким и дорогим, чтобы сдержать риск. Samsung прекратила выпуск флагманского продукта, поддержала возвраты денег и альтернативные устройства, использовала канальные и программные средства для высокой доли возвратов, заказала обширную техническую работу и изменила свою систему безопасности аккумуляторов. Регуляторы превратили потребительскую опасность в официальные отзывы и транспортные ограничения. Эти действия важны, и их не должна стирать более ранняя неудача.

Они также не валидируют задним числом первое решение о замене. Устойчивый урок этого случая: замена — это новое заявление о безопасности. Оно должно опираться на доказательства из фактического состояния конструкции и производства, включая то, чем новый источник может отказать иначе, чем старый. Когда клиенты выполняют требования отзыва, институт, контролирующий способ решения, берёт на себя ответственность за то, чтобы это выполнение не обменяло известную опасность на неузнанную.