Boeing 787 电池起火事件使热失控遏制成为认证问责性的考验

概要

• 已确认事件：2013 年 1 月 7 日，一架停在波士顿的 Japan Airlines 787 在乘客和机组离开后发生辅助动力装置电池起火。1 月 16 日，一架正在爬升的 All Nippon Airways 787 收到电池故障指示和异常气味，改航飞往高松并疏散；四名乘客在疏散中受轻伤。两架飞机使用相同电池型号，但安装功能不同。
• 调查发现：美国国家运输安全委员会（NTSB）发现，波士顿事件始于一个电池内部短路，随后热失控蔓延至相邻电池。它将此归因于 The Boeing Company 未能针对电池内部短路的最严重后果指定缓解措施，以及 Federal Aviation Administration 未能在型号认证中发现该设计缺陷。日本运输安全委员会（JTSB）发现 6 号电池极有可能引发了高松事件的热蔓延，但未确定造成内部短路的决定性机制。
• 触发、根本及促成因素：停飞的操作触发不仅是电池故障，而是九天内的第二次严重事件，这次发生在空中。根本问责失败是系统安全假设无效，即单电池热失控不会蔓延或产生危险的飞机级影响。促成条件包括非代表性的开发测试、在关键钉刺试验中使用预生产未接地电池、发生率估计不足、需求到试验可追溯性不完整、可引入褶皱或异物的制造工艺，以及未能有效覆盖次级电池工厂的监督。
• 控制与应对：GS Yuasa 控制电池制造；Thales 控制电源转换子系统集成；Boeing 控制飞机级需求、供应商集成、安全评估和型号认证申请；授权代表和 FAA 工程师在授权范围内进行合规认定，而只有 FAA 能颁发型号证书和适航指令。航空公司控制机队使用，调查机构控制其安全发现，而非民事责任。
• 恢复：FAA 通过紧急适航指令停飞美国注册的 787 并批准在安装新电池和充电器、更严格的操作控制、增加电池隔离、密封钢制外壳和机外通风后恢复运营。2014 年 1 月成田机场事件中，一个重新设计的电池单元过热但未蔓延，周围设备舱无损坏。日本监管机构将此视为第二和第三保护层有效的证据，同时也呼吁进一步改进，因为第一层未能防止电池过热。
• 问责结论：重新设计提供了有力证据表明后果控制得到改善。但它并未追溯证明原始认证假设合理、确定每个触发机制或公开证明电池零故障。持久的保障需要在三个层面提供持续证据：电池工艺能力、电池级防蔓延性能，以及在最恶劣可信安装条件下飞机级的包容能力。

本案关乎安全边界，而非电池品牌

本案中的决定性边界应在电池内部。电池可能失效、排气或过热，但安全分析假设事件会保持有限，不会变成威胁飞机的多电池火灾。一旦波士顿电池起火，高松电池热蔓延至相邻单元，该边界在服役中被证明不可靠。因此，问责问题已超出追问哪个微观缺陷启动了哪个电池。它追问谁定义了边界、什么证据证明了边界、谁审查了证据，以及当启动机制无法重建时保留了哪些控制。

NTSB 的调查完成页面以机构术语说明了波士顿的可能原因：内部电池短路导致热失控蔓延，事件源于 Boeing 设计需求缺失和 FAA 认证审查失败。这是官方安全结论，而非诉讼方的指控或法院判决。完整的 NTSB 事件报告包含该结论背后的证据、分析、发现和建议。其精确性很重要。它并未说 Boeing 故意接受已知起火风险、FAA 雇员知道批准了未通过试验，或一个确定的微粒被证明导致了短路。

日本调查同样重要，因为它达到了另一个极限。JTSB 最终报告发现了一个可能的事件序列，涉及 6 号电池、膨胀、与支撑杆接触、大电流电弧和蔓延。它说电池发热很可能是由内部短路引起，但短路的决定性机制未确定。将两份报告视为可互换会抹去一个核心教训：调查人员可以证明升级路径和控制失败，而不必证明第一个微观行为。

本分析使用五个标签。已确认事实由官方记录或同期正式文件直接确定。调查发现是事故调查机构在其安全职责范围内采纳的结论。公司立场是 Boeing 所说或所做的证据，但不是因果性或耐久性的独立证明。有支持的推论在已确认事实之间建立联系，但不声称这种联系经过正式裁决。未解决问题在公开记录中仍然开放。反事实描述了本可中断序列的一个控制措施；它并非声称某人在当时有法律义务预见它。

法医时间线：从新技术到认证服役

2003 年 3 月 28 日至 2004 年 9 月——申请与技术选择。Boeing 于 2003 年 3 月申请 787-8 型号认证。2004 年 9 月，它通知 FAA 计划使用高容量可充电锂离子电池用于主电池和 APU 功能。该化学体系为 787 的更多电气架构提供了更轻的重量和有用的电气性能，但商用运输机对这种大型安装电池的经验有限。技术选择是合理的；创新性创造了证据义务，而非过错推定。

供应链分配了详细控制。Boeing 选择 Thales 用于电源转换子系统。Thales 选择 GS Yuasa 用于锂离子电池，Securaplane 用于电池控制单元，Boeing 参与了选择过程。GS Yuasa 制造了八个大型锂钴氧化物电池串联并组装成电池。同一电池型号用作前电子舱的主电池和后舱的 APU 电池。Boeing 仍负责飞机级集成和认证展示，即使下级层级设计和制造组件。

2005 年至 2007 年——需求与特殊条件。FAA 得出结论，常规运输机电池规则未充分应对新颖设计。官方《2007 年联邦公报》包含特殊条件 25-359-SC，指出了容易发生内部故障、热失控、可燃电解液、过充和过放。其九项条件要求，除其他外，安全温度和压力、防止自持失控温度或压力升高、控制危险气体和流体、在电池或电池短路期间防止最大热量、充电控制、警告以及持续适航指令。

这些措辞之所以强硬，是因为它们本身强硬。问题在于从顶层安全语言转化为假设、详细需求、合规方法和代表性试验的环节。一条条件说设计必须防止温度失控增长，但它本身并未指定如何引发内部短路、进行多少次试验、电池是否必须像安装时一样接地、哪个温度产生最严重后果、或试验品是否必须与最终生产设计一致。这些联系必须通过认证规划和工程证据建立。

2006 年和 2009 年——开发警告、变更与解释。JTSB 记录描述了 2006 年开发过程中由于信号线未连接导致的过充起火，随后进行了设计变更。2009 年，一个系统集成测试导致过充和电池排气；调查人员将该事件与重复过放随后大电流充电联系起来，并做了进一步修正。这些事件并非波士顿确定的相同机制，将它们称为被忽视的复现是不准确的。但它们确实表明电池系统可能进入高能故障状态，且设计配置、电气环境及控制逻辑很重要。

2006 年 GS Yuasa 的钉刺开发试验变得有影响力。它使一个电池进入热失控，但未观察到蔓延至相邻电池或起火。后来的 NTSB 分析发现，该试验未使用电池的最大工作温度，未完全代表飞机上的安装情况，未在多个电池上重复试验，且使用的开发单元与最终认证设计不同。其他声称的电池级开发试验未能提供 NTSB 可获得的文件。合格性滥用试验未驱动电池进入热失控以证明不蔓延或包容，且试验电池未像安装时一样接地。

这并非意味着认证只依赖于一次简单的试验。Boeing、供应商、授权代表和 FAA 人员使用了安全评估、故障树、失效模式分析、合格性试验和认证审查。更狭窄且更有意义的发现是，证据链在最严重的代表性条件下并未挑战那个关键假设。活动是广泛的，覆盖是不完整的。

2011 年 8 月 26 日——型号认证。FAA 授予 787-8 运输类批准。Boeing 已获得 FAA 对其电气系统认证计划的批准，FAA 审查了合格性程序、批准了型号检验授权并接受了最终报告。Boeing 于 2009 年获得组织指定授权（ODA），允许授权代表在 FAA 代表下做出特定合规认定。只有 FAA 颁发了型号证书。将其描述为 Boeing 简单地认证自己的电池会掩盖调查实际审查的分立控制和保留的公共权力。

法医时间线：2013 年 1 月的两起事件

1 月 7 日，波士顿——一架停放的飞机，活跃的电池起火。Japan Airlines 008 航班从成田抵达波士顿后停靠廊桥。APU 提供飞机电源。当地时间约 10:21，清洁人员发现后舱烟雾，维护经理看到 APU 自动关闭，一名机械师打开后电子舱发现 APU 电池连接器处浓烟和火焰。183 名乘客和 11 名机组均不在机上。维护和清洁人员未受伤；NTSB 报告一名参与扑救的消防员受轻伤。

序列记录在公开的NTSB DCA13IA037 案卷中，包括事实报告、照片、试验记录、听证展品和技术材料。电池难以接近，即使飞机空载，事件仍产生了飞机级后果。热量、烟雾、可燃电解液和火焰逸出了设想的电池级安全边界。事件发生在地面减少了人类暴露，但并未降低设计意义。

调查人员排除了波士顿事件的几种可能。记录数据显示故障前无过充、过放或外部大电流短路。检查未发现外部热源、电池电缆磨损、机械滥用或异常飞机电气瞬变。组件和集成试验未牵连充电器或相关外部组件。损伤集中在电池 5 和 6 周围，但破坏阻止了 NTSB 决定二者中哪一个启动了序列。委员会发现其中一个发生内部短路，随后蔓延。

1 月 11 日——第二起事件前宣布审查。FAA 公开宣布更广泛的设计和生产审查。在其1 月 11 日声明中，该机构表示将审查关键系统，强调电气系统并验证设计、生产和监督。当时，FAA 表示对飞机的信心，但强调需要全面了解。这是监管回应，而非已完成的安全或不安全结论。

1 月 16 日，高松——危险进入飞行。All Nippon Airways 692 航班于 08:11 从山口宇部起飞前往东京。08:27，在爬升至 32,000 英尺时，机组收到电池故障消息并检测到驾驶舱异常气味。飞机改航并于 08:47 降落在高松。机组于 08:49 通过滑梯启动疏散。137 人中四人在疏散中受轻伤。JTSB 发现受损主电池未发生外部起火，但电池热量、电解液和烟雾产生了足够严重的飞行中系统事件，导致改航和疏散。

这第二起事件改变了风险决策。波士顿显示了乘客离开后起火；高松显示了相关电池架构在飞行中失效。同一天早些时候，JAL 和 ANA 自愿暂停 787 运营。FAA 随后发布紧急 AD 2013-02-51，后作为2013 年 2 月最终规则发布。它要求修改或其他批准措施后才能继续飞行，因为电池故障可能损坏关键系统或结构，并可能在电气舱引起火灾。EASA采纳了 FAA 指令针对欧洲机队，其他机构对各自管辖的飞机采取了行动。

因此，机队停飞的操作触发是累积且跨越上下文的：两起高能电池故障，同一电池型号，两个安装功能，九天，一次确认起火和一次飞行中改航。监管机构无需等到人员死亡或完整的微观根本原因确定，即可断定不受限制的持续运营缺乏充分保障。

物理上发生了什么失败，以及什么仍未解决

对于波士顿，NTSB 发现电池 5 或 6 内的内部短路。该电池进入热失控；热量和故障蔓延至相邻电池；烟雾、电解液和起火随之而来。委员会发现过充、过放、外部短路、外部加热、安装因素和飞机环境条件均未启动故障。这是公开记录中最强的已确认技术链。

NTSB 还审查了制造过程。GS Yuasa 将电极和隔膜层卷成圆柱形组件，部分压平，分组，并在组装前最终压平。压平可能在电极箔中引入扰动。靠近内部组件的焊接可能产生金属碎屑。NTSB 发现 GS Yuasa 监测了一些卷绕前的褶皱，但未正式监测卷绕、压平和组装过程中产生的扰动；其异物碎屑处理流程不是标准化的控制措施。大量检查发生在电池完成之后，且主要依赖目视检查。

委员会的材料实验室事实报告和最终分析记录了褶皱、折叠、锂沉积物和异物材料作为相关缺陷机制。NTSB 得出结论，制造工艺允许可能引起内部短路的缺陷进入 787 电池。它并未确定一个幸存的褶皱或颗粒作为波士顿的证实启动器。这一区别防止了工艺层面的发现被转化为无根据的特定设备指控。

对于高松，JTSB 重建了电池 6 极可能为启动器。热量和压力使电池膨胀，熔化周围绝缘，并允许与支撑杆接触。通过接地电池箱的大电流产生电弧，加强了热蔓延。再现安装接地配置的测试可产生蔓延；浮动配置则不会。JTSB 发现非代表性开发测试和对内部短路影响的低估可能促成了蔓延。

内部短路本身仍未解决。JTSB 考虑了低温条件下的锂沉积、金属污染、隔膜损坏和不均匀卷绕，但明确表示无法确定机制，且不能排除其他设计或制造因素。当时已知的三起显著事件发生在 1 月，但季节相关性并非因果。低温是一个假设，而非最终结论。因此，一个可辩护的叙述止步于：内部短路很可能启动了电池 6；该短路的准确起源未知。

触发因素、根本原因与促成因素

触发事件是可观察且有时间的：波士顿 APU 电池起火和高松飞行中主电池事件。停飞触发器是信任丧失，即两个安装位置都无法安全承受已知电池故障模式。触发器并非根本原因。触发器描述了何时做出控制决策成为必要，而非系统为何脆弱。

波士顿的物理根本原因，按照 NTSB 采纳的可能原因，是电池内部短路随后热失控蔓延。系统根本原因是需求和认证失败：Boeing 的电池安全评估未考虑该短路的最严重影响或指定缓解措施，且 FAA 审查未识别该缺陷。特殊条件要求防止失控温度和压力，并防止短路热量。然而，详细的证据链将非蔓延视为一个假设，而非在最恶劣安装条件下演示的结果。

第一个主要促成因素是试验代表性。有影响的钉刺试验未使用最终电池设计、最大工作温度、安装接地或重复试验。事件后 NTSB、UL 和 JTSB 的测试表明，改变这些条件可能改变热失控是否蔓延。教训并非钉刺完美复现每个自发内部短路，而是用于否定蔓延的测试必须足够保守、代表安装且可重复，以支持该结论。

第二个是概率转移。Boeing 的安全评估使用 GS Yuasa 来自类似工业电池的数据，估计电池排气率约为每千万飞行小时一次。NTSB 发现波士顿和高松均出现在机队最初约 5.2 万小时内，远高于预测。JTSB 单独批评了来自成分不同的类似工业电池的计算，并指出所使用的置信度较低。在相邻应用中历史无故障被当作新应用的证据，但未充分考虑化学、容量、环境和工艺差异的裕度。

第三个是需求可追溯性。NTSB 发现每项特殊条件、安全评估假设、理由、低层需求和合规方法之间的联系不清晰。更好的可追溯性可能已揭示无明确的电池需求或计划的合规热失控测试未处理内部短路蔓延。委员会的2014 年锂电池认证建议呼吁在安装配置下进行诱导单电池热失控的滥用测试，条件产生最严重后果，审查在役批准，并获取独立技术专长。

第四个是制造与次级监督。Thales 于 2011 年和 2012 年审计了 GS Yuasa，但记录的不符合项未涉及后来检查的电池制造特征。Boeing 依赖 Thales 进行次级审计，事件前未审计 GS Yuasa；FAA 事件前未审计电池工厂。事件后审计识别了不符合项并采取了纠正措施。这支持监督可能更有效的发现。它并不证明每项审计都是敷衍的，或未披露的具体不符合项导致了两起事件。

第五个是监控分辨率。电池系统监控电压和温度，但未必能足够早地检测到局部内部短路以阻止热失控。NTSB 后来建议使用单电池温度监控、电压监控和超限记录，以及研究前兆和主动缓解。不能将检测视为控制了一个内部发展速度超过可用传感器和断开速度的机制。

检测、响应与恢复

检测始于人员和飞机消息，而非预测性安全监视器。在波士顿，清洁人员看到烟雾，维护经理看到 APU 关闭，机械师发现电池起火。在高松，机组收到电池故障消息并闻到异常气味。这些指标使事件进展后响应成为可能。它们未提供启动短路的可靠早期预警。

即时响应适当保守。消防人员处理了波士顿事件。高松机组改航，大约在起飞后 20 分钟内降落并疏散。JAL 和 ANA 在 FAA 指令前暂停运营。FAA 使用紧急 AD，该工具针对产品中不安全状态，而非等待最终事故报告。国际机构采用或效仿了限制。这一序列将操作风险控制与因果确定性分离开来。

调查随后扩大了检测范围。CT 扫描、破坏性物理分析、电气测试、记录数据、工厂观察和安装配置蔓延测试将隐蔽电池事件转化为证据图。NTSB 案卷保留了底层报告，而两个国家委员会根据附件 13 安全调查原则得出结论。JTSB 报告称其目的是预防，而非分摊责任或过失。该边界应指导问责分析中每项技术发现的运用。

恢复分阶段进行。Boeing 提出了认证计划；FAA 于 2013 年 3 月 12 日批准了该计划。Boeing 的认证计划公告描述了三个层级：减少故障、加强生产和测试、包容任何故障以使其不影响飞机。这是公司关于预期解决方案的立场，尚未批准恢复客运服务。

公司的详细设计公告描述了更严格的筛选、生产控制、电气和热绝缘、修订的工作电压范围、充电器更改以及钢制外壳，通过管道通到机外。Boeing 表示借鉴了 RTCA DO-311，该标准在原始基线计划时不可用。后来使用较新的标准是补救证据；不得描述为 Boeing 在早期认证中违反的标准。

2013 年 4 月 19 日，FAA 在观察测试和分析后批准了修改设计。恢复服务 AD 2013-08-12要求安装主电池和 APU 电池外壳及环境控制系统导管、更换两个电池和充电器、以及维护计划修订（外壳通风爆破片）。它取代了停飞指令，并于 4 月 26 日生效。相应的EASA 记录显示在适航持续阶段被采纳。

恢复并非基于证明一个启动缺陷已被移除。它依赖于纵深防御：降低启动概率、降低蔓延概率、即使前两个层级都失败也要防止飞机级后果。这是对未解决的启动问题的理性应对，但它创造了持久的义务来验证包容性，而非悄悄回到旧的非蔓延假设。

问责控制图

该图防止两个常见错误。第一，供应商因果性不消除集成方问责。Boeing 未卷绕电极，但控制飞机级安全主张，是生产批准持有人。第二，公共认证不消除申请方问责。FAA 单独颁发证书并保留监督职责，但 Boeing 必须证明合规并验证其提交的数据和假设。

委托使责任复杂化但不使其消失。NTSB 发现 Boeing 授权代表和 FAA 认证工程师审查的评估缺漏了最严重的内部短路影响。失败跨越了委托边界。如果共享证据模型排除了关键危险，每个参与者仅执行其指定审查是不够的。

2014 年联合Boeing 787 关键系统审查小组报告得出结论，整个飞机达到了预期安全水平，同时也识别了不一致的需求流程、验证差距、供应商沟通问题、检查委托差异和 FAA 政策未完全适应扩展的国际供应链。其范围超出了电池。它由 FAA 和 Boeing 人员共同主导和配备，因此是机构审查和纠正行动的重要证据，而非等同于 NTSB 或 JTSB 的独立事故调查。

法律与监管边界

法律起点是型号认证。49 U.S.C. 第 44704 节授予 FAA 管理局在认定产品设计制造正确、性能正常并符合适用标准后颁发型号证书的权力，并允许进行管理局认为必要的安全测试。当前文本包含 2013 年后制定的修正案。本文仅用以描述申请证据与 FAA 颁发之间的永恒分配；后期修正案不追溯适用于 787 电池认证。

适用的认证基础包括 14 CFR Part 25 和 2007 年特殊条件。特殊条件在法理上是 787-8 认证基础的一部分。它们的存在表明新颖的电池危险在机构层面被认可。后来的调查发现并非没有规则提及热失控，而是合规方法、假设和测试未能充分证明条件所要求的保护。

适航指令是强制性的产品安全规则。紧急指令停飞受影响的飞机，直到批准的修改或其他措施解决了不安全状态。4 月的指令要求特定配置才能返回。两项指令均非刑事指控、损害赔偿裁决或意图认定。这是在持续适航权限下的监管风险决策。

NTSB 和 JTSB 的报告不是民事判决。它们的任务聚焦于预防。NTSB 的可能原因语言对其安全结论具有权威性，但其本身不决定过失、合同分配、惩罚性赔偿或刑事责任。JTSB 明确拒绝分摊责任。同样，Boeing 关于重新设计全面或永久的声明是公司在补救过程中的主张。它们不是法律责任的承认，其乐观措辞不能替代监管机构和现场证据。

2013 年 6 月国会关于 787 教训的听证记录和交通部认证证词记录监督问题和 FAA 对重新设计批准的解释。证词是机构立场和审查的证据。它不是法院裁决。这里使用的公开记录不包含法院认定 Boeing、Thales、GS Yuasa 或 FAA 对特定索赔者负有的或违反特定私法义务。

标准也需要时间纪律。RTCA DO-311 在重新设计认证中使用，但在原始 787 计划开发时不可用。FAA咨询通告 AC 20-184于 2015 年发布，提供了关于安装可充电锂电池的后期指导，并表示咨询材料本身不是法规。它是有用的补救证据和现代基准。它不是证明 2015 年的咨询通告在 2005 年具有约束力或在 2011 年被违反。

反事实控制

最强的反事实是认证前的代表性蔓延测试。最终配置的电池应安装等同飞机的接地，在最严重的批准温度和电气条件下运行，并重复接受可信的单电池内部短路方法。通过标准不仅涉及一个电池是否排气，还涉及相邻电池是否蔓延、电解液和气体是否逸出、电弧路径是否形成以及飞机系统是否保持受保护。事件后测试表明，这一控制可能已暴露无效的不蔓延假设。它并不证明精确的测试会按要求复制波士顿事件。

第二个反事实是明确的假设治理。每个安全重要声明应有所有者、理由、来源、不确定性范围、验证方法以及可追溯到需求和合规工件。电池内部短路不会蔓延的假设将作为审查项目出现，而非在 GS Yuasa、Thales、Boeing 和 FAA 文件之间继承的隐性前提。独立技术小组随后可挑战其对最终化学、容量、安装和环境的适用性。

第三个是保守的概率处理。来自类似工业电池的故障数据应作为支持性背景，而非飞机电池的直接频率估计，直到证明了材料、制造、负载和环境的等效性。不确定性应传递到飞机级分析。当后果严重且数据稀疏时，无论令人安心的点估计如何，都应要求包容。

第四个是次级工艺验证。Boeing 和 Thales 可联合映射电池关键特性，观察压平和焊接操作，定义可测量的扰动和异物限值，验证 CT 分辨率和检测概率，并在批次和工艺变更中抽样记录。FAA 生产监督可将电池视为关键，尽管存在电气冗余，因为共同物理故障可能释放热量、烟雾和电解液。这一反事实涉及逃逸概率；它不保证消除每个隐藏的微观缺陷。

第五个是初始设计中的飞机级包容。如果原始安装假设一个或多个电池最终会进入热失控，那么一个密封的、机外通风的外壳和足够应对最坏事件的隔离将成为基线认证的一部分。这是最稳健的反事实，因为它不依赖于识别每个启动机制。重新设计后来基本上采用了这种基于后果的逻辑。

第六个是高分辨率现场监控和阈值审查。单电池数据、超限记录、电池拆除、充电器事件和制造批次标识符可在预先声明的触发器下聚合。年轻机队中的一个高能事件将立即触发对先前率估计和操作包线的重新评估。监控不能替代包容，但它缩短了假设失败与控制行动之间的时间。

这些反事实是工程命题。它们不应被转化为声称某个命名个人有意识地拒绝了它们，或每个元素在后来指导下的法律强制。它们的价值在于显示实际控制存在之处以及不同的证据设计可能中断序列之处。

修复证据：返回服务前改变了什么

重新设计针对三个层级。在电池和电池级，Boeing 和供应商更改了绝缘、端子硬件、排水、生产和验收流程、电压范围、过放保护、布线保护和通风路径。在蔓延级，额外的热和电气分离减少了电池之间以及电池与电池壳之间的传递。在飞机级，电池放置在一个密封的不锈钢外壳中，连接到一个钛合金管道，将热量、压力、气体和电解液排出机外。

FAA 所做的不仅仅是接受新闻稿。它批准了认证计划、观察了测试、审查了分析、批准了设计变更、通过 AD 强制要求配置，并表示将监督美国飞机的安装。Boeing 的4 月 19 日批准公告报告了一个月的监督认证测试和超过 10 万小时的工程和测试小时。这些数字来自 Boeing，不能独立证明测试完整性，但强制性 AD 确立了 FAA 接受了返回设计。

Boeing 的2013 年报称其在 50 架已交付飞机上安装了改进并第二季度恢复交付。这是机队规模的实施证据，而不仅是计划中的补救措施。运营商和外国监管机构仍控制各自管辖飞机的返回。

调查驱动的建议将修复范围扩展到硬件之外。NTSB 最终报告建议加强对生产批准持有人和次级供应商的 FAA 监督、加热源和电池监控标准、客观自热测试、明确的安全评估假设、需求到方法可追溯性以及培训。它建议 Boeing 改进供应商监督和安全评估验证，GS Yuasa 审查制造工艺和员工培训。独立的NTSB 致 Boeing 的信函记录了针对公司的建议，不暗示它们是惩罚。

JTSB 建议安装代表性测试、审查锂离子技术标准、重新检查 787 故障率估计、审查热传播、评估接触器行为、继续研究内部短路和改进电池质量。其向 FAA 的正式建议保留了已证明的蔓延与未解决启动之间的区别。JTSB 发布的FAA 响应记录是建议进入国际跟进流程的证据，尽管公开附件格式未提供简单独立的长期有效性评分。

2014 年成田事件既是成功证据也是警告

2014 年 1 月 14 日，重新设计后，一架停在成田的 Japan Airlines 787 产生可见白烟和主电池消息。检查发现电池 5 过热，其破裂盘已打开。电解液残留在外壳内并出现在外部通风口附近。周围电子舱区域清洁无损坏；其他电池保持电压，但相邻电池 6 显示有限热效应。

日本国土交通省航空局的公告和全面评估以有用的平衡处理了事件。JCAB 发现重新设计的第二层阻止了电池间蔓延，第三层保护了飞机。它得出结论，安全飞行能力本应保持。但它也观察到第一层未能阻止一个电池过热，并呼吁进一步改进可靠性和继续研究可能原因。

这一事件是公开的包容架构最佳具体案例测试。它不是阶段性的认证测试；它是修改后电池中的现场故障。结果支持重新设计实质性改变了升级的推论。一个电池失败，但整个电池和周围舱室未再现波士顿或高松的损坏。这是强有力的补救证据。

它并非证明所有可能故障都已被包容。一个事件不能覆盖每个电池位置、充电状态、气流、外壳条件、通风口阻塞、维护错误或多电池启动。JCAB 也未发现过热原因。检查了金属颗粒、可能的锂沉积、褶皱、电解液差异、冷凝和寒冷环境，但无客观证据孤立启动器。因此，该事件验证了包容的重要性，同时保留了电池启动的未解决问题。

持久的补救证据应是什么样子

电池工艺证据应包括批次级工艺能力（电极对齐、卷绕扰动、隔膜状态、焊接碎屑、污染、湿度和电解液填充）、检查检测率、校准 CT 标准、拒收和返工趋势、以及工艺变更批准记录。质量改进声明是起点，而非耐用性度量。

电池系统证据应包括跨生产变异、温度、老化、充电状态和接地安装配置的重复滥用测试。应演示隔离、布线完整性、接触器行为、监控性能和压力管理。结果应显示分布和失败，而不仅是通过样例。

飞机包容证据应包括外壳泄漏检查、通风路径检查、爆破片维护、腐蚀效应、安装一致性以及最坏情况气体、热量和压力测试。由于包容现在是最后防线，其密封和导管的维护不能被视为附带硬件保养。

机队证据应将拆除、警告、烟雾或气味报告、电池排气、充电器故障和维护发现与飞机、电池和电池批次联系起来。应使用置信区间和暴露分母重新计算比率。无新公开停飞的长期间隔支持信心，但无头条新闻不等于已发布可靠性数据集。

治理证据应显示审计发现关闭、假设的定期审查、对异常电池的独立渠道、监管机构对次级变更的可见性以及定义的升级阈值。如果已验证的配置随后出现未记录的材料、工艺、软件或维护变更，安全保证会衰减。

配置证据应将每架飞机安装与当时有效的外壳、导管、充电器、电池、电池群体、维护修订以及已批准的软件或控制逻辑精准关联。一个配置上的通过测试不能默示验证后来的材料替代、变更的检查阈值或变更的生产步骤。移除的电池如有异常电压、气味、排气或热指示，应隔离并记录充电状态和操作历史，然后进行破坏性检查。调查人员和监管机构需要访问负面发现以及灾难性失败，因为看似完整的移除可能揭示烧毁电池不再能保存的早期机制。这链条将孤立的维护事件转化为可用的前兆证据，并为型号证书持有人提供可辩护的基础，以判断趋势是否局限于一个批次、一个工艺状态或批准的设计本身。

公共证据在这些类别中分布不均。AD、认证活动、安装改造、事故报告和成田结果为飞机级危险降低提供了实质性证据。公开记录未披露完整的纵向电池批次数据、所有供应商审计结果、每个外壳测试、当前假阴性率或独立可重复的趋势分析。这一差距不证明表现不佳。它限制了外部人员验证耐用性的程度。

未解决的问题

第一个未解决问题是每个现场电池的确切微观启动器。波士顿被缩小至电池 5 或 6 的内部短路，但未确定到单个存活缺陷。高松被缩小至很可能电池 6 启动，但短路机制未知。成田被缩小至电池 5 的内部短路，但候选原因未证实。

第二个是跨组织审查为何接受不蔓延。记录识别了测试和可追溯性弱点，但未提供每个内部讨论、异议、进度决策或批准理由。在没有证据的情况下推断隐瞒、恶意或故意规避是诽谤性的过度延伸。

第三个是制造纠正措施在时间上的表现如何。事件后审计发现并关闭了不符合项，修改后设计积累服役时间。但此处审查的公开记录未提供 GS Yuasa 787 电池的持续独立工艺能力或缺陷逃脱度量。

第四个是后来的监控和标准变更是否完全关闭了建议集。FAA 2015 年指导和后续标准工作显示机构学习，但指导可以是建议性的，建议状态可能依赖于比完全消除风险更窄的记录行动。当前每个批准必须根据其自身认证基础和证据进行判断。

第五是在多重同时或维护退化故障下的确切包容极限。重新设计经过了测试，成田事件为单电池过热提供了现场确认。公开材料未披露每个最坏情况的专有合规结果。正确的结论是对实质改进的高度信心，而非声明飞机级后果在物理上不可能。

结论：认证必须能在无法解释的电池故障下生存

787 电池案例并非一个由盒子纠正的不安全化学的简单故事。锂离子技术带来了合法的性能优势，修改后的架构使机队恢复服务。更深的失败是证据性的：安全评估假设内部短路会保持受控，而支持性测试未在最严重相关条件下代表最终安装系统。制造可能引入潜在缺陷；监控可能在失控前检测不到；认证链未要求电池和飞机承受由此产生的蔓延。

调查以精确性分配了控制权。GS Yuasa 的工艺允许可能引起短路的缺陷机制。Thales 负有集成和次级责任。Boeing 拥有飞机级需求、供应商集成和合规展示。授权代表和 FAA 工程师审查了证据，FAA 保留证书和适航权力。航空公司和机组控制即时操作。NTSB 和 JTSB 提供了预防性发现，同时将民事和刑事责任留给其他机构。

恢复成功是因为它不再依赖于一个完美的解释。它降低了启动、阻止了蔓延，并在乘员和设备空间之外包容了故障。成田随后显示了该架构为何重要：第一层未能阻止电池事件，但后两层阻止了早期的级联和舱室损坏。这一结果比电池永不会失败的承诺更具说服力。

因此，持久的问责测试是直截了当的。对于一个高能组件，其启动缺陷可能罕见、微观并被事件本身摧毁，安全不能依赖于类似产品中未观察到失败或一次有利的滥用测试。申请人必须暴露假设、在最严重的可信条件下测试最终安装配置、控制次级制造、使用可用分母监控机队，并保留当预防和诊断失败时仍然有效的最后防线。监管机构必须独立挑战这一链条。当包容成为证据的一部分时，Boeing 787 返回了服务；持久的问责要求保持该证据的时效性。