摘要
- 三星于 2016 年 8 月推出 Galaxy Note7，并在全球报告 35 起案例并认定电池电芯问题后，于 9 月 2 日宣布全球更换计划。美国消费品安全委员会于 9 月 15 日正式召回约 100 万部手机，并明确提供搭载不同电池的新 Note7 作为补救措施之一。
- 首次补救措施基于一个安全假设：受影响的原始批次可与适合使用的替换批次区分。涉及替换机的报告推翻了这一假设。三星与美国运营商于 10 月 10 日停止 Note7 销售和更换，CPSC 于 10 月 13 日将召回扩大至所有原始和替换设备。
- 三星委托 Exponent 和 UL 进行的调查发现了不同的故障模式。制造商 A 的电芯出现角部损伤，与 pouch 容量不足、电极变形及可能的隔膜受损相关。制造商 B 的电芯出现极耳焊接突起、绝缘缺失或错位以及内部短路路径。报告未发现可解释现场故障的设备级充电问题。
- 最终退市的触发事件是替换手机出现过热和燃烧。更深层的问责失败在于，端到端认证在发布和更换前未能排除两种截然不同的电芯缺陷。促成条件包括对制造变异的容忍度有限、工艺成熟度证据不完整，以及一项在公开根本原因调查完成前就让用户返回同一产品系列的补救措施。
- 控制权分布不均。电池制造商控制电芯设计和生产过程。三星控制目标规格、供应商验收、设备集成、最终发布、全球更换决策和客户沟通。CPSC 控制美国正式召回流程，运营商和零售商控制物理更换渠道。航空当局控制运输限制。消费者承担风险，但无法检查电芯、审计供应商或验证替换批次。
- 修复证据有意义但不完整。三星引入了八点电池安全检查、额外设计余量、软件充电保护、产品责任分析中心和外部咨询小组。CPSC 随后与行业合作修订移动电池标准，当前 CTIA 计划描述系统级认证和制造现场控制。公开材料未披露长期误报率、所有供应商审计结果、每项工艺变更批准或持续的独立结果，不足以证明改革在所有产品和年份中同样有效。
失败的补救措施是决定性事件
Note7 时间线中最重要的决定并非最终停产。当时可用选项已大幅收窄。更具揭示性的决定是在现场事故完整机制尚未公布、替换品积累的现场暴露有限之前，用另一部 Note7 替换不安全的 Note7。该补救措施代表了一项新的产品安全决定。它从操作上表明，风险可限定于可识别的电池批次，而该批次之外的手机可正常使用。
三星 2016 年 9 月 2 日的声明报告截至 9 月 1 日全球 35 起案例，称调查发现电池电芯问题，停止销售并承诺更换。声明未公布缺陷机制、受影响批次标准、测试协议、样本量或新设备放行阈值。这一遗漏并不证明内部缺乏这些控制，但意味着客户和外部调查者无法评估更换决定是针对已知机制还是仅更换了电池来源。
这一区别至关重要，因为召回补救措施本身必须合格。移除危险单元仅在替代品不携带相同或不同不可接受风险时降低风险。CPSC 当前的召回检查表明确体现了这一原则，要求召回企业测试替换或修复、重新设计未来生产以消除危险、加强质量控制并区分返工产品与缺陷产品。该检查表是当前指南，并非 2016 年具体协议的证明。但它抓住了该案例暴露的控制问题：什么证据将一部新制造手机从物流替换品转变为经过验证的安全补救措施？
答案证明是不充分的。10 月 10 日，在替换设备过热燃烧的报告后，三星要求全球运营商和零售商停止销售和更换，并告知原始和替换手机用户关机。CPSC 三天后扩大了美国召回。因此，遵守首次召回的客户被要求再次遵守，而这次没有另一部 Note7 可选。首次更换减少了对一个电池批次的暴露，同时引入了对另一个存在不同缺陷批次的暴露。
不应将此序列简化为未进行任何测试的说法。三星、供应商、认证实验室和监管机构均进行或要求了各种测试。可辩护的结论更为狭窄：组合认证系统未能识别后来在两个供应商批次中出现的故障模式，并且用于替换放行的证据未能阻止第二次召回。当测试群体、工艺状态或故障机制与用户实际遇到的情况不同时，通过测试与证明安全并非同义词。
谁控制安全的哪部分
三星电子控制产品级决策。它选择或批准电池来源、设定目标规格、将电池包集成到手机、控制充电和热管理软件、接受成品组件、批准出货、选择首次补救形式并协调后来的全球停止。其美国子公司与 CPSC、运营商和零售商合作进行客户沟通和更换物流。即使电芯供应商创造了物理缺陷，三星控制该电芯是否成为以安全名义呈现给消费者的手机的一部分。
两家电芯制造商控制不同的技术层面。它们控制电极卷绕、pouch 设计、隔膜放置、极耳焊接、绝缘、生产线设置、检查和批次放行。这些控制最接近事后识别的物理起源。制造商可在电芯离开工厂前检测焊接突起、绝缘胶带缺失、变形和尺寸偏差。它也可能通过尚未稳定的工艺变更引入风险。因此供应商控制是真实的，但并未免除系统供应商定义验收标准并独立检查高后果特性的责任。
三星的调查材料使用中性标签制造商 A 和制造商 B。这种命名有助于问责分析不依赖于将责任归咎于商业名称。制造商 A 的问题主要与电极组件在 pouch 内的机械容纳相关。制造商 B 的问题与正极极耳和绝缘的生产质量相关。两个供应商、两种机制、一个最终产品表明，仅靠多元化并不能提供安全冗余。如果系统级关卡无法检测任一故障，不同来源可能以不同方式失效。
测试和认证组织权限更窄。它们可在定义的程序内评估提交的样品、制造现场或系统符合性。它们并不控制每一个生产批次或三星的商业发布。IEEE1725 标准描述电芯、电池包、控制和整个系统的设计分析、质量和可靠性。当前CTIA 电池合规计划增加了制造现场授权、组件认可、系统测试和合规声明。这些结构很重要，但证书无法看到未提交的变更、测试样本之外的低频缺陷或认证后出现的爬坡条件。
CPSC 在美国拥有法律和监管控制权。根据《美国法典》第 15 卷第 2064 条，获得合理支持特定缺陷或严重风险结论信息的制造商、分销商或零售商必须立即通知委员会，除非已知委员会已充分了解。该法还赋予委员会通知和纠正措施权力。此处审查的公开记录中没有任何内容证明三星违反了报告规定，召回是在 CPSC 参与下进行的。法律规定了义务和监管机构；它并未将日常产品认证从制造商转移到机构。
运营商和零售商控制大部分最后一公里。它们停止销售、持有库存、联系客户、进行更换和处理退款。它们的参与使快速分发替换手机成为可能，后来也使广泛回收成为可能。它们未设计电芯或了解内部制造证据。然而，当替换风险出现时，渠道运营商可在每个技术不确定性解决前减少暴露。CPSC 10 月 10 日的声明特别感谢运营商和零售商停止销售并不再提供 Note7 作为替换机。
航空监管机构在消费品补救措施失败后行使了单独的控制权。美国运输部、联邦航空管理局和管道与危险材料安全管理局可限制携带，因为手机过热在飞机上会产生超出机主的后果。欧洲航空安全局可发布覆盖欧洲航空的运行建议。这些机构并未决定手机是否可作为消费品销售，但它们可拒绝设备进入高后果环境。它们的干预说明一家制造商的认证失败如何将运营负担转移给航空公司、机场、机组人员和乘客。
消费者拥有的技术控制最少。他们可以关机、退货、选择退款或接受替代品。他们无法检查卷绕的电极组件，不知道绝缘胶带是否存在，看不到供应商的工艺能力，无法评估替换批次或确定绿色电池图标是否仅代表来源区分。首次召回要求消费者相信新图标和不同电池对应一个有效的安全边界。当该边界失败时，成本不仅包括再次前往零售商，还包括对定义该边界的机构的信心丧失。
从上市到首次召回
三星 2017 年可持续发展报告将 Note7 上市日期定为 2016 年 8 月 19 日。上市到全球更换公告之间的间隔约为两周。公司于 9 月 2 日表示全球报告 35 起案例，并正在检查供应商以确定可能受影响的电池。它停止销售并宣布自愿更换，但美国流程尚未成为正式 CPSC 召回。
这一差距在 9 月 9 日变得明显。CPSC 发布公开警告，建议所有 Note7 用户关机并停止充电或使用设备。委员会表示它与三星正在努力达成正式召回，并正确定替换 Note7 是否为可接受补救措施。该声明证明替换可接受性是一个活跃的监管问题，而非形式上的行政细节。
9 月 10 日，三星敦促用户关机并更换手机，称已确定受影响库存并正在加快更换。五天后，首次 CPSC 召回涵盖约 100 万部 9 月 15 日前在美国销售的设备。它记录了 92 起美国电池过热报告，包括 26 起烧伤和 55 起财产损失。补救措施是不同电池的 Note7、退款或其他替代设备。这些数字描述收到的报告，而非裁定的责任、经确认的独特缺陷数量或全球事件总数。
正式化在几个方面改进了召回。它提供了统一的危险描述，确定了受影响群体，告知消费者停止使用，并在 CPSC 参与下制定了补救措施。它还使替换 Note7 成为官方纠正措施的一部分。三星宣布新的美国替换手机将于 9 月 21 日起广泛供应，其9 月 20 日更新称超过 50 万部替换机已送达运营商和零售店。
更新引入了绿色电池图标和包装标记以区分新手机。它还向已召回设备发送重复警告提示。这些是有效的识别和沟通控制。它们不构成技术证据。图标编码了三星对设备使用未受影响电池的分类。它并未监测焊接质量、隔膜完整性或内部短路前兆。
更换数据显示新分类对暴露的影响有多快。三星 9 月 22 日称约一半已召回美国手机已被更换，90% 的参与用户选择另一部 Note7。9 月 27 日的全球更新称美国和韩国超过 60% 的已召回手机已被更换，并再次报告约 90% 用户选择新 Note7。这些是公司数据，可能迅速变化。它们表明替换手机并非边缘补救措施，而是三星报告的主要选择。
速度有合理目的。原始召回手机每天继续使用会延长已知危险的暴露。零售商需要库存，消费者需要可用的手机，公司需要可扩展的补救措施。但速度也创造了认证问题。快速生产和分发的替换群体提供了更少的日历时间用于工艺稳定、生命周期积累和现场观察。公开证据并未证明时间压力导致了制造商 B 的焊接和绝缘缺陷。它支持更有限的推断：更换决定携带了需要异常强证据和监控的工艺成熟度风险。
替换信号与首个安全边界的崩溃
替换品进入流通后的首个美国公开信号来自航空。10 月 5 日，CPSC 主席发布关于路易斯维尔西南航空公司飞机事件的声明。机构称乘客安全离开，工作人员正从 FAA、三星和消费者收集事实。声明本身未确定手机电池来源或最终原因，因此不应视为完成的技术结论。它表明到 10 月初，CPSC 正在调查一个在运营环境中发生的严重事件，其中电池火灾可能影响多人。
进一步报告改变了控制决定。10 月 10 日，CPSC 称正在积极调查多州手机过热燃烧事件，并建议原始和替换手机用户停止使用。委员会称三星暂停销售和更换是正确的行动。三星的并行停止销售声明告知全球运营商和零售合作伙伴停止销售或更换该产品，并告知所有用户关机。
这是最终退市的触发事件：危险发热和火灾的证据不再局限于首次召回移除的群体。替换品不仅存在模糊的外观或性能缺陷。它通过另一内部路径呈现了相同顶层危险。一旦首次补救措施的前提失败，继续发放 Note7 替换品将在无效分类下使更多客户暴露。
10 月 13 日，扩大后的 CPSC 召回涵盖约 190 万部美国手机，包括首次召回的 100 万部。它明确包括所有作为替换品提供的设备和显示绿色电池图标的设备。消费者被告知停止使用所有 Note7 并寻求退款或其他型号。三星的对应通知称替换包含是在 10 月 10 日停止生产、销售和更换之后。
扩大通知报告了 96 起美国过热报告，包括首次召回公告后的 23 起新报告，以及 13 起烧伤和 47 起与 Note7 相关的财产损失报告。这些类别不应机械地与首次通知的数字相加。后一通知未解释为何其烧伤和财产损失计数低于先前类别，是否重新分类、去重或在不同范围内评估。安全做法是按日期和措辞报告每份通知，而非从不可比的快照中制造累积总数。
此时补救措施在结构上不同。客户可获得退款或其他型号，但不能再获得所谓的已修正 Note7。三星还利用运营商合作和软件控制来限制或禁用剩余设备。这些措施在狭义技术意义上是强制性的，因为它们减少了所有者对已购买财产的操作。它们也是针对所有者被反复要求退回的产品的风险控制。问责需要承认两者：远程限制减少了残留火灾暴露，而对其的需求表明仅召回公告无法回收每个危险单元。
制造商 A 电芯内部出了什么问题
三星在 2017 年 1 月宣布根本原因调查结果，测试了设备、电池和工艺。最有用的技术证据来自 Exponent、UL 和 TUV Rheinland 的独立报告，均受聘于三星的调查。它们的参与增加了技术独立性，但并非完全机构独立：三星委托工作，提供了至少 UL 描述的样品，并控制了大部分证据环境。应在可见范围内解读其发现。
Exponent 的根本原因报告得出结论，某些制造商 A 电芯热故障最可能的原因是在靠近负极极耳的角部负极电极绕组意外受损。它将该损伤归因于为电极组件提供的容积不足的 pouch 设计。正常充放电循环随后可将几何干涉转化为隔膜受损、锂枝晶或其他内部故障路径。
电芯结构解释了为什么小尺寸决定很重要。正负极层被薄材料隔开并卷绕成通常称为卷芯的组件。隔膜必须防止电气接触同时允许离子传输。卷芯位于柔性 pouch 中。如果外壳未提供足够空间，角部压缩或变形可集中机械应力。如果隔膜受损且相对的导电层接触，电流可在电芯内部预期电路之外流动。局部发热可引发自强化热反应。
UL 的故障分析报告在六台受损制造商 A 设备和四块膨胀电芯的右上角报告了内部短路迹象。CT 扫描和额外电芯拆解显示了重复变形模式。UL 描述了角部变形、薄隔膜和来自循环的重复机械应力组合为可能的主要机制，同时表示需要更多工作来理解角部变形的根本原因。
这一限定很重要。Exponent 表达了更具体的 pouch 容积结论；UL 描述了多个设计和制造贡献因素，并保留了关于变形起源的不确定性。报告在位置和内部短路路径上趋同，但因果表述不完全相同。因此审慎的结论是 A 群体在角部卷芯和隔膜周围容忍度不足，有证据支持 pouch 空间机制。过度陈述记录，声称每起 A 事件都遵循了一个完美观察的序列。
能量密度影响后果而非必然起因。UL 指出更薄的隔膜可减少对制造缺陷的容忍度，更高能量密度可加剧故障严重程度。这两个观察并不意味着高容量本身导致了 Note7 事件。高能量设计提高了对尺寸余量、隔膜保护和工艺能力的要求。问责在于验证组合，而非将广泛使用的电池化学视为不可预见的危险。
A 机制本应在多个关卡被处理。电芯设计分析可比较电极尺寸与 pouch 容积在公差、膨胀和循环寿命下的关系。计算机断层扫描或破坏性取样可识别角部变形。制造能力数据可显示预期空隙是否保持稳定。设备级加速循环可暴露重复机械应力。批次可追溯性可将现场事件链接到设计和工艺记录。公开调查在故障后描述了其中一些方法；未公布允许放行的完整上市前结果。
制造商 B 以不同方式失效
制造商 B 是召回成为认证案例而非仅设计案例的地方。Exponent 表示对 B 电芯的初步分析未发现 pouch、设计或制造缺陷。在该初步调查完成后制造的电芯后来被发现含有明显不同的缺陷。这一时间线意味着对一个生产状态有效的样品不能确立后续输出的质量。
Exponent 识别了控制不良的正极极耳焊接，产生尖锐、相对高的特征。正常电极膨胀和收缩可将这些特征推向对向负极。在某些检查的电芯中，正极极耳上的保护胶带缺失。一个桥接物理隔离的焊接突起，尤其是在绝缘缺失情况下，可形成内部短路、加热电芯并在高荷电状态下进展为热失控。
UL 在五台受损 B 设备中发现了内部短路迹象，包括在极耳位置的证据。它报告了检查电芯中绝缘胶带缺失、尖锐焊接突起、对齐不良以及极耳或胶带尺寸不一致。其评估将胶带缺失、尖锐突起和薄隔膜的组合描述为可能的主要故障机制。它还发现其工作中没有设备级兼容性问题导致现场故障的证据。
没有常见设备触发器缩小了解释范围，但未免除系统供应商。Exponent 报告 Note7 电池系统有多个保护层，且测试未发现能够触发观察故障的电子故障。UL 在测试条件下发现充电电流、电芯电压和温度在三星规格内。TUV Rheinland 的组装和物流审查在检查的三星组装线或公路运输模拟中未发现相关弱点，其样品通过适用安全测试。
这些是有限否定。它们表明调查人员未在其范围和样本内发现充电系统、手机组装或公路运输原因。它们未证明每个充电器、货件、组装条件或用户环境均无害。更重要的是，它们将接受的电池电芯留作三星控制系统中失效的组件。产品级问责持续存在，因为保护电路无法可靠阻止电极间内部形成的短路。
B 的机制提出了直接的过程控制问题：在最初检查的电芯和后来的替换生产之间发生了什么变化？公开报告未提供完整的工程变更历史、逐线能力记录、操作员指令变更、焊接设备维护历史或验收采样计划。它们识别了缺陷，但未公布其进入并逃过生产的组织路径。缺乏该路径，将事件归因于通用制造错误会过早停止分析。
能够防止 B 缺陷的控制包括连接到隔膜间隙的焊接高度限制、每个极耳的自动检查、绝缘胶带存在和位置的正面验证、按批次破坏性切片、三维成像、设备状态监控、工艺变更批准以及在控制限漂移时批次隔离。关键的放行问题是这些特性是否被视为安全关键，以及三星是否从实际爬坡批次而非早期样品收到证据。
根本原因、触发因素和促成条件
直接物理原因是两个电芯群体中通过不同路径形成的内部短路。对于制造商 A，证据支持角部变形和隔膜受损，与 pouch 容纳和公差不足相关。对于制造商 B，证据支持极耳焊接突起和绝缘缺陷，可桥接到负极。这些机制解释了电芯层面的点火。
组织根本原因位于其上一层。端到端认证在相关手机到达用户前未能识别和排除任一机制。首次上市关卡接受了具有不足几何公差的 A 电芯。补救关卡接受了后续生产含有焊接和绝缘缺陷的 B 电芯。依赖供应商但发布集成产品的安全系统必须能够验证每个批准来源的设计余量、工艺能力、变更控制和最终系统行为。
最终退市的触发因素并非发现 A 的角部问题。而是替换品中出现危险事件，使首次召回的范围无效。该触发将特定供应商的补救转化为全设备停止。它也改变了证据负担：在两个不同群体失败后，另一款同型号替换品不能合理仅依赖供应商替换。
记录支持几个促成条件。电芯设计对变形和生产变化的容忍度有限。替换品迅速进入广泛分销。三星在公布完整根本原因说明前公开宣传对新电池分类的信心。制造商 B 的生产状态在 Exponent 审查的初始电芯后发生了变化。现有认证和鉴定未能提供能够防止逃逸缺陷的持续监控。
其他提出的促成因素仍未被证实。公开证据未确定某个高管截止日期导致不安全发布，员工隐瞒已知的 B 缺陷，供应商故意放松标准，或与另一款手机竞争决定了特定的安全妥协。产品时间表和市场压力在任何旗舰发布中都是合理的情境风险，但合理性在此案例中不是因果关系的证据。
检测在多个阶段失败。上市前设计和工艺测试未阻止 A 电芯。替换认证和批次控制未阻止 B 电芯。现场事件成为两个群体的决定性检测器。一旦识别了第二种模式，响应得到改善：销售、更换和生产停止，所有手机被召回，运输限制随之而来，软件逐步减少残留使用。回收随后依赖于数百万所有者、众多运营商、零售商和监管机构跨司法管辖区的行动。
影响比烧毁手机数量更广
美国召回提供了最具体的公开事件和群体数字。首次召回涵盖约 100 万部设备，扩大召回涵盖约 190 万部，包括首次群体。这些数字衡量受纠正措施影响的单元，而非失效数量。报告的过热、烧伤和财产损失计数确立了实际伤害和可信危险，但如果没有可靠的暴露时间、重复案例处理和案例验证，它们不支持估计每台设备故障概率。
三星 2017 年可持续发展报告称全球已售出 306 万部 Note7，截至 2017 年 4 月已回收 97%。CPSC 2017 年 1 月的评估也称赞三星和美国运营商实现了 97% 的消费者响应率。这些是非常高的召回参与信号，但分母不同：一个是公司全球披露，另一个是美国监管机构关于召回响应的声明。两者均未证明每部退回手机均安全运输、处理或回收。
所有者承担了直接不便和风险。他们必须停止使用昂贵的通信设备，备份和迁移数据，访问商店或安排退回，获得退款或不同手机，更换配件，并在已更换原始机的情况下重复该过程。依赖手机工作的人面临服务中断。家庭成员和旁观者未选择产品却共享了火灾暴露。财产损失和烧伤报告表明影响不限于失望的期望。
零售商和运营商成为回收基础设施。员工必须识别型号，处理危险退货，解释不断变化的指示，撤销合同或融资，发放积分，并维护替代库存。小型零售商和服务企业面临运营成本，而未设计或认证产品。因此召回通过渠道工作量、客户争议和库存管理影响了中小企业连续性，尽管没有完整的公开成本分配可用。
航空后果是全球性的且与确认的空中事件数量不成比例，因为环境改变了严重性计算。美国运输部 10 月 14 日的命令公告自东部时间 10 月 15 日中午起禁止所有 Note7 在美国航空运输。乘客不得随身携带、放在机舱或托运行李中，手机也不能作为航空货物运输。航空公司必须警告乘客，必要时拒绝登机，并处理无意携带。
正式的FAA 紧急命令将该设备视为违禁危险材料。EASA 10 月 13 日的公告对所有 Note7 手机（包括替换品）适用预防措施。不同司法管辖区选择了不同法律形式，但两者都消除了首次补救措施依赖的区别。绿色图标在替换事件后不能成为运输安全凭证。
财务影响重大，但需谨慎标签。三星修订后的第三季度指引在停止 Note7 后，将预期合并营业利润从约 7.8 万亿韩元降至 5.2 万亿韩元，修正额为 2.6 万亿韩元。公司称该修正反映了该决定的影响。这不是法院计算的损害赔偿金或纯现金召回成本。
三星单独估计了 2016 年第四季度和 2017 年第一季度因销售损失导致的约 3 万亿韩元负面营业利润影响，此前表示直接停产成本已分配至第三季度指引。这些数字涉及不同时期和影响，不应不加选择地相加。它们表明全面退出带来了足够大的成本以影响公开市场披露，同时消费者、渠道、供应商、法律和处置成本仅部分可见。
监管、召回权限和法律补救
CPSC 的角色有两个阶段。9 月 15 日前，它警告消费者并评估拟议的替换是否可接受。随后它参与了首次正式召回。当替换事件出现时，它进行了调查，支持停止并扩大了召回。机构未公布分配三星和电芯制造商之间法律责任的最终执法结论，在使用材料中。
CPSC 主席 2017 年 1 月的声明在机构能力上异常坦诚。它称三星投入调查的人数超过了整个机构的雇员，CPSC 工作人员正用更少的资源继续进行独立调查。这种失衡很重要。监管机构可强制和协调纠正措施，但复杂的物理故障分析可能仍然高度依赖受监管公司及其承包商生成的证据。当原始方法、样本选择和限制可供独立质疑时，公共问责得以改善。
报告的法律义务比最终缺陷承认更广。第 2064 条由合理支持特定安全结论的信息触发，而该法也保护报告不被视为某些目的的承认。这鼓励了不确定性下的早期通知。Note7 时间线证明了原因：等待完美的物理解释将延长暴露。这并不意味着每项临时补救措施都应在相同的不确定性水平下进行。停止使用警告可以是预防性的；同产品替换需要肯定的安全证据。
私人诉讼创造了另一问责途径，但公开法院命令必须根据其裁决内容来解读。在Schmidt v. Samsung Electronics America中，Note7 购买者在召回后提出了适销性和产品责任索赔。联邦地区法院 2017 年的命令主要涉及仲裁条款和集体诉讼，强制部分争议仲裁并驳回集体诉讼。它未裁决电芯故障机制、确定总损害赔偿或认定每项指控属实。
该案仍揭示了实际的补救边界。消费者安全问责和赔偿并不通过一个论坛进行。CPSC 可协调召回补救，而个人经济或伤害索赔可能遇到合同、仲裁、司法管辖和证明要求。全额退款处理了购买交易。它可能未解决财产损失、人身伤害、业务中断或重复更换的时间成本。反之，诉讼的存在并不确立责任。
运输法施加了超出召回范畴的义务。FAA 9 月的安全警报提醒运营商，召回或有缺陷的锂离子电池受危险材料规则下的货物和乘客限制。后来的 Note7 特定命令使控制明确无误。航空禁令并非认定每个单元都会起火。它是一个风险决定，即不确定单元状态、已知危险发热和飞机后果的组合使携带不可接受。
停产和回收减少了暴露
最终响应有四个有效要素。第一，三星停止生产、销售和更换，而非尝试第三款 Note7 电池群体。第二，CPSC 扩大正式召回以消除原始-替换区分。第三，运营商、零售商和运输当局使继续使用和移动更加困难。第四，软件更新逐步限制未回收设备的充电或网络使用。
这些措施针对不同故障点。停止生产命令防止了新暴露。退款和替代型号为所有者提供了出路。零售和运营商控制通过现有商业关系接触客户。航空限制保护了共享的高后果环境。软件控制在忽视、错过或抗拒退回请求的人群中减少了残留暴露。
回收率提供了计划触及大多数用户的证据。EASA 后来的2017 年安全公告记录了来自三星的信息，显示截至 2017 年 2 月初欧洲召回率为 94%，全球为 96.5%，并描述了限制充电和后来禁用移动操作的更新。公告在注意到缓解进展且近期机上火灾报告缺失后，撤回了设备特定建议，转而采用一般性损坏、缺陷和召回电池指南。
该撤回是运输暴露减少的证据，而非未回收 Note7 手机安全的声明。同样，97% 的响应留下了残留群体。在百万规模下，小百分比仍可代表众多设备，尽管公开数字未提供一致的分母和日期用于精确残留计数。因此软件禁用是回收控制，而非仅仅是商业锁定。
响应也在关键时刻恰当地保留了不确定性。CPSC 调查了路易斯维尔事件，而非宣布直接原因。三星在进一步调查进行中停止了更换。最终调查比较了设备、电池、组装和物流假设。最强烈的批评并非决策者在了解一切之前采取了行动。而是首次补救措施在公开证据能够解释和排除实际替换过程中相关故障模式之前恢复了正常使用。
调查证明了什么，未证明什么
综合技术记录强烈支持电池电芯缺陷是所研究 Note7 热事件来源。Exponent 和 UL 在两个群体中发现了物理内部短路路径。其机制与三星自己的描述一致。设备级充电测试未揭示匹配现场故障的触发器，TUV 定范围内的工作未将组装或公路运输退化识别为原因。
报告也显示了为什么“电池缺陷”这样的单一短语不足够。A 的设计和公差问题与 B 的焊接和绝缘问题需要不同的控制。替换一个来源可解决第一个机制，同时对控制第二个机制毫无作用。对预防有用的根本原因陈述必须识别物理机制和本应捕获它的控制。
调查未披露每个样本选择决定。UL 明确表示其展示的所有样品由三星提供。公开文件未列出全部退回设备范围、每个现场样品的保管链、盲选方法、按批次的故障率或统计置信度。它们未显示严重损坏无法诊断的设备是否与分析设备系统性不同。
它们也未重建完整的内部决策时间线。公开记录未显示提交给授权替换放行的高管的一揽子证据、精确验收标准、持异议的工程观点、供应商审计例外、逐批次成像结果或三星首次了解每个 B 工艺缺陷的时间。因此它不能确定已知警告是否被忽略，或缺陷是否直到现场事件才被真正检测到。
公开证据也不足以分配所有经济损失。召回计数、盈利指引和报告事件是可衡量的。总体消费者时间、数据丢失、财产损失、运营商成本、供应商退款、废物处理和保险赔偿未在一个一致账户中披露。索赔指控和私人和解在没有裁决或完整记录的情况下不能视为确认总额。
最后，记录未确立反事实事件计数。它不能说明如果没有首次召回，多少 A 电芯最终会失效；第二次召回防止了多少 B 故障；或更长的认证期将如何改变生产。这些都是重要问题，但必要的暴露和工艺数据未公开。
Note7 事件后的修复证据
三星的主要技术修复是八点电池安全检查。它新增或加强了充放电测试、耐久性测试、目视检查、X 射线检查、拆解、总挥发性有机化合物测试、加速使用和开路电压差检查。公司还描述了涵盖设计、硬件保护和充电算法的多层安全措施，并创建了外部电池咨询小组。
这些控制合理映射到观察到的缺陷。X 射线和拆解可揭示电极变形、焊接位置和绝缘缺失。充放电和加速使用可施加循环应力。开路电压变化和挥发性化合物可指示泄漏或异常内部条件。耐久性测试超出常规操作探测容忍度。设备级软件限制温度、电流和充电持续时间，尽管它不能修复内部隔膜破裂。
三星后来描述了如何将该流程应用于 Galaxy S8。其 2017 年 4 月的工程说明称公司围绕电池创造了更多物理空间，添加了保护支架，更改了电池设计以减少电极压力，使用了更安全的充电算法，并对电池和成品设备进行重复检查。它还称 UL 和 Exponent 评估了 S8 电池是否符合适用要求。这是实施证据，但主要是公司对其后继产品的说明。
更广泛的标准体系也发生了变化。CPSC 的2020 财年高能量密度电池状态报告称，工作人员在 Note7 召回后开始与 CTIA 讨论，审查和修订 IEEE 1725-2011 及相关多电芯标准。IEEE 在 2021 年批准了新 1725 版本。CTIA 当前计划描述了制造现场审计、认可的电芯和电池包、系统测试和供应商声明。
该证据支持实质性补救的认定。控制不限于告知供应商更小心。它们增加了产品级检查、破坏性分析、设计余量、加速使用、可追溯性和系统标准。CPSC 的标准工作表明该事件也影响了行业框架。
仍然缺失的是与故障调查相同级别的耐久性证据。公开材料未提供年度缺陷逃逸率、匿名咨询小组发现、审计不符合项、供应商工艺变更拒绝数据、独立重复测试或每种检查对 A 和 B 机制的灵敏度。后继手机通过要求表明定义样本满足了测试。它不衡量持续系统捕获稀有生产逃逸的频率。
没有另一款公开的三星智能手机召回达到 Note7 规模是相关的操作历史，但不是因果关系的证明。产品设计、体积、供应商、报告实践和暴露时间各不相同。安静时期可与有效修复、较低潜在风险或未检测到的低频事件一致。强有力的保证将结合现场性能与透明控制数据。
更好的反事实从首次更换前开始
最简单的反事实是取消上市直到所有可能的电池缺陷已知。作为通用规则这不现实，因为没有认证能列举每个未来故障。有用的反事实询问哪些通过可行控制获得的证据本可改变决定。
对于制造商 A，在最大电极尺寸、最小 pouch 容积、膨胀和循环变形范围内的尺寸链分析本可挑战角部余量。来自生产批次的三维成像和破坏性截面本可测试设计间隙是否经受住制造变异。在最终设备中的加速循环本可搜索重复角部应力。如果这些控制揭示了变形，三星可以要求更多 pouch 容积、改变电极几何或延迟发布。
对于首次召回，更安全的反事实不一定是让危险原始机在使用中等待数月。三星已提供退款和 Galaxy S7 系列更换。它可使这些替代品成为主要立即补救措施，并延迟同型号替换直到 A 机制确立、B 工艺成熟且代表规模化生产的批次通过增强检查。这将带来商业和客户成本，但避免将大量用户移入第二个未经验证的群体。
分阶段更换是另一种选择。有限批次可在全国发布前接受更高破坏性采样、更长加速使用和增强现场监控。发布标准可要求稳定的焊接几何、验证的胶带存在、批次可追溯性和无法解释的热异常。公开证据不能证明分阶段会捕捉 B 缺陷，特别是如果相关工艺变更发生在后期。它将创造更多机会在数十万部设备出货前检测变化中的工艺。
供应商多样性应被视为新的危险分析，而非独立性的证明。工程师可询问替代供应商如何以不同方式失效，哪些安全关键特性是共同的，哪些控制是供应商特定的，以及哪个系统级测试会捕捉新颖的内部短路。B 没有共享 A 的 pouch 缺陷是必要但不充分的证据。
一旦涉及替换品的报告到达，停止的正确阈值应低于上市时。补救群体已被呈现为火灾召回的安全答案。因此可信的火灾报告挑战了核心控制声明。三星和渠道合作伙伴在 10 月 10 日发布最终机制前确实停止了销售和更换。公开记录不允许精确判断这是否应在第一份替换报告后发生，或调查时间是否不合理。
软件限制充电可减轻残留暴露，但不是召回的充分替代。较低荷电状态可减少可用能量，禁用手机可防止正常循环，但两者都不能移除内部焊接突起、缺失绝缘或变形的隔膜。三星在停产后恰当地将软件用作回收工具，而非宣布缺陷硬件已修复。
持久的替换认证问责测试
第一个测试是精确的危险边界。在提供同型号替换前，制造商能否在物理、工艺和可追溯性方面说明受影响和未受影响单元的区别？供应商名称、图标或制造日期仅当映射到验证的控制证据时才有用。
第二个测试是机制完整性。调查是否已充分识别故障机制以知道补救措施必须改变什么？如果机制仍然未知，补救措施应避免恢复相同暴露，除非独立证据通过另一稳健途径确立了安全性。
第三个测试是代表性认证。测试样品是否来自将提供替换的实际工厂、工具、操作员、材料、批次和生产速率？原型或早期批次不能证明后续爬坡状态。认证后的工艺变更必须触发与安全重要性相称的审查。
第四个测试是公差而非名义符合性。设计在最坏情况下的 pouch 尺寸、电极对齐、焊接高度、隔膜厚度、膨胀、老化和物理应力下是否仍然安全？高能量电芯需要针对小变异组合的余量，而不仅仅是合格的标称单元。
第五个测试是逃逸检测。哪些控制可以在发货前发现角部变形、胶带缺失、极耳对齐不良或焊接过高？每个电芯检查什么，取样什么，破坏什么，估计假阴性率是多少？没有灵敏度和采样逻辑的控制列表不能展示覆盖范围。
第六个测试是系统所有权。是否有一个负责的产品安全所有者被授权在采购、工程、制造和商业团队中停止原始上市和补救发布？供应商证书和监管机构合作应通知该决定，而非分散它。
第七个测试是现场升级。替换事件是否被隔离并立即升级，因为它们挑战了补救措施本身？三星、运营商、零售商和监管机构能否在共同时间线上协调序列号、电池批次、使用状态、充电条件和损坏证据？
第八个测试是召回连续性。客户是否可以获得退款、替代品和安全回收包装，而不会保持暴露或失去基本通信服务？零售商和小渠道合作伙伴是否获得危险退回的资金和培训？计划是否按地区、渠道和设备状态衡量回收率，而非宣布一个全球百分比？
第九个测试是公开证据。公司是否公布方法、样本限制、竞争假设和调查者无法确定的内容？公司发现是否可与监管机构发现和委托实验室工作区分？详细的机制在证据链和不确定性可见时更可信。
第十个测试是修复保证。后续审计是否显示八点检查、设计余量、供应商监控和变更控制仍然活跃？缺陷逃逸、测试失败和纠正措施是否以汇总方式报告？后继产品认证和长期安静期是有用信号，但应辅以可重复证据。
Note7 响应最终变得足够广泛和昂贵，以控制风险。三星停产了旗舰产品，支持退款和替代设备，利用渠道和软件控制推动高回收率，委托了广泛技术工作，并改变了其电池安全系统。监管机构将消费者危险转化为正式召回和运输限制。这些行动很重要，不应被早期的失败抹去。
它们也并不追溯验证首次替换决定。该案例的持久教训是替换是一个新的安全声明。它必须由来自实际设计和生产状态的证据支持，包括新来源可能以不同于旧来源的方式失效。当客户遵守召回时，控制补救措施的机构承担确保合规不会将已知危险交换为未识别危险的责任。