The Boeing Company

九天内的两次锂离子电池事件暴露了 Boeing 787 认证的安全主张与其安装电池行为之间的差距。第一次事件导致一架停在波士顿的 Japan Airlines 飞机起火；第二次事件迫使一架 All Nippon Airways 787 改航并疏散。调查发现单个电池内部短路可导致热失控蔓延，而起始缺陷可能被破坏或无法确认。该机队通过三层重新设计恢复运营，降低了起火风险、阻止了蔓延并隔离排除故障。这是一次有效的运营恢复，但也改变了问责问题：认证不能再依赖假设不蔓延，必须证明即使无法解释的电池故障也不会威胁飞机。

波音 737 MAX MCAS 是一个风险与问责案例，因为两次致命空难、全球停飞、公开调查、刑事和解记录、监管机构复飞行动以及持续的安全治理审查表明，安全关键自动化如何在实际控制上在制造商、监管者、航空公司、飞行员和乘客之间转移。公开记录之所以重要，是因为认证证据不仅仅是文书工作，而是证明设计假设、人因因素、培训、委托和修复决策保护了无法检查运载他们的自动化装置的人们。