摘要
事故在大约 20 分钟内展开，但它是多年积累的控制缺陷的产物。瑞士航空 111 号班机于 1998 年 9 月 2 日从纽约飞往日内瓦，机上载有 215 名乘客和 14 名机组人员。协调世界时 01:10:38，飞行员检测到异常气味。3 分 37 秒后，他们宣布“Pan Pan Pan”，在被告知哈利法克斯是更近的备降地点后选择了该机场，并在飞机系统开始失效后宣布紧急情况。两台记录仪在 01:25:41 停止工作。MD-11 于 01:31:18 坠入大西洋，机上人员全部遇难。加拿大运输安全委员会（TSB）最终报告 A98H0003是主导安全记录。其结论并非民事或刑事判决。
证据支持电弧为点火类别，而非单一确凿导线。调查人员确定了最可能的起火点位于驾驶舱顶棚上方靠近后壁的 383 站位附近。一根 IFEN 电源线缆段，展品 1-3791，在该区域及可能的火灾起始时段存在前向电弧。该电弧可能与起火有关，但调查人员无法确定它是首要事件，还是 IFEN 布线、飞机原始布线或二者的组合。美国联邦航空管理局（FAA）的事故结论官方摘要保留了这一区别。将整场火灾归咎于一根确定的导线将超出证据范围。
一套补充乘客系统暴露了集成与配置控制的失败。机上娱乐网络被描述为非关键系统，但其大部分电力来自交流汇流条 2 而非客舱汇流条。因此，关闭客舱汇流条开关并未如机组合理预期的那样切断 IFEN 电源。批准的改装包未完全定义关键前部区域的布线路径，且安装方式各不相同。这些是严重的认证和安装问题。它们并未证明 IFEN 集成缺陷引发或助长了火灾；TSB 明确认定不存在此类关联，因为火灾在客舱汇流条被选择关闭时已经持续。
材料认证允许合规的隔热层成为主要的火灾燃料。热声隔热层覆盖的金属化聚对苯二甲酸乙二醇酯（MPET）通过了适用的垂直本生灯测试。但在安装配置和更具代表性的点火条件下，它可能被点燃并传播火焰。TSB 发现它很可能是首个被点燃的材料，也是助长火灾的最大可燃物来源。FAA 的瑞士航空 111 号班机经验教训模块说明了为何认证必须再现可信的安装威胁，而非奖励样品从实验室火焰中收缩逃逸的行为。
隐藏的阁楼区域既不可观察也不可作为防火区防御。火灾起始和蔓延的区域没有内置的烟雾或火灾探测和抑制系统，且法规未作要求。人类嗅觉和视觉产生了延迟、模糊的线索，而手提灭火器无法可靠地触及衬板上方和结构后方的火焰。断路器保护线路免受过电流持续侵害，但可能无法捕捉其时间-电流跳闸阈值以下的间歇性电弧。结果形成了这样一个系统：点火可能持续供电，火灾可能保持隐蔽，机组无法定位或攻击火源。
程序证据不得转化为保证的替代结果。飞行员根据有限的线索及时做出了备降决定，他们接受过在紧急情况下超重着陆的训练，并最终表示必须立即着陆。在记录仪停止前尚未开始放油，且撞击时放油并未进行。最终报告得出结论，根据首次气味后实际航路上的各点，飞往哈利法克斯的进近所需时间将超过驾驶舱维持可用状态的时间。模拟器和理论剖面图提供了时间和工作负荷的参考；它们不能证明一次不同的放油、航线或检查单选择必定能挽救飞机。
修正是可验证控制链，而非建议的关闭标签。MPET 移除、更强的火焰传播测试、电气布线规则、补充系统隔离指南、检查单更改、机组培训和防火加固工作随之展开。FAA 的瑞士航空建议及回应汇编记录了实质性的行动。2026 年的责任仍然需要证据证明每个适用的机队、改装、维护计划和机组程序都实施了预期的控制——并且能够检测、隔离和抑制隐藏火灾，使其不致摧毁着陆所需的系统。
二十分钟将隐藏空间的假设变成了公共灾难
事件并未以明显的火灾信号宣告自身。副驾驶在协调世界时 01:10:38 提到了异常气味。没有警告或飞行数据参数显示技术故障。飞行员进行了检查，看到了一些烟雾迹象，但没有收到客舱的烟雾报告，最初将状况与空调联系起来。这一解释至关重要，因为运输飞机的程序和培训区分了滋扰性或系统相关气味与紧急情况，而且火源位于可见驾驶舱顶棚上方。
在 01:14:15，机长发射了国际紧急信号“Pan Pan Pan”，报告驾驶舱有烟，并请求立即返回方便的机场。他首先提到了他熟悉的波士顿机场。当时飞机位于哈利法克斯西南约 66 海里，波士顿以外约 300 海里。当管制员提供哈利法克斯时，机组接受了。他们戴上氧气面罩，下降并开始准备着陆，这需要管理高度、速度、飞机重量、客舱准备、导航、通信以及夜间的异常烟雾状况。
机组请求保持在 8000 英尺直到客舱准备就绪。当被告知飞机距跑道 30 海里时，他们表示需要更远的距离下降。在 01:20:48，他们讨论了放油，因为飞机重量约 230 吨，高于正常最大着陆重量。该数字是对燃油量请求的响应，实际上是飞机总重。空中交通管制引导飞机向南飞越水面，同时使其保持在距哈利法克斯约 35 至 40 海里的范围内。
可观察的情况突然变化。在 01:23:45，机长选择了关闭客舱汇流条开关，这是当时使用的烟雾/不明来源气味检查单的第一项。24 秒后，自动驾驶仪断开。随后发生了一系列快速故障。两位飞行员在 01:24:42 宣布紧急情况。在 01:24:53，他们表示开始放油并必须立即着陆，但记录显示放油在记录仪停止前并未开始，且撞击时并未进行。最后一次可理解的飞机通信在 01:25:02 收到。两台驾驶舱话音和飞行数据记录仪在 01:25:41 因电源丢失而停止。
撞击发生在记录仪停止后 5 分 37 秒，首次气味后 20 分 40 秒。一次雷达、地震数据、发动机非易失性存储器和残骸证据保留了最后阶段的部分信息。但它们并未保留机组完整的行动、话语、能见度、仪表状态或决策过程。这一缺失是证据的边界，而非编写戏剧性结局的邀请。
时间压缩是责任的核心。多年前做出的设计或认证决策决定了隔热层是否会自行蔓延。数月前做出的改装决策决定了娱乐系统线缆的位置以及哪个开关能切断其电源。断路器设计决定了哪些电弧特征会被中断。检查单决定了关键和非关键负载能被多快隔离。防火区定义决定了阁楼是否包含探测或抑制系统。一旦气味到达机组，所有这些先前的控制分配已经塑造了剩余的选择。
证据确立的是火灾系统，而非单一原因口号
当事故叙述将一个相互作用的系统简化为一个物体时，就会产生误导。在这种情况下，“一根娱乐系统导线导致坠毁”过于确定且过于狭隘。物理证据反而支持一个关联序列：一个或多个电弧提供了点火源；附近的 MPET 覆盖隔热层在所述条件下易被点燃；多种其他可燃材料维持并加剧了蔓延；隐藏空间结构延迟了探测并限制了攻击；气流和火灾导致的系统故障恶化了火势；驾驶舱系统和环境的退化最终导致失控。
TSB 确定了最可能的起火点在驾驶舱顶棚上方右侧，靠近 383 站位附近的驾驶舱后壁顶部切口。该位置符合首次气味的迁移、系统异常前的延迟、观察到的热量模式、可用的可燃材料以及火焰可能向后蔓延然后更强烈地返回驾驶舱的方式。调查人员排除了其他起火区域，因为这些区域预测的烟雾线索、损坏时机或蔓延路径与记录不符。
该定位并未揭示唯一的点火导体。数百根导线穿过该区域。一些恢复的导线显示出电弧；许多电弧显然是火灾损坏绝缘后的二次效应。分析任务是区分先于可燃物点火的电弧与由火灾本身产生的电弧。恢复工作极其广泛，但并未恢复所有导线或保留每个识别套筒。撞击和火灾也改变了证据。
“原因类别”与“确定元件”之间的区别很重要。火灾很可能始于导线电弧，因为没有其他合理的点火源符合局部证据。展品 1-3791 很重要，因为其前向电弧位于起火区域，且与简单的后期火灾损坏场景不一致。然而，另一对 IFEN 电缆和控制导线的前向部分未被识别，且原始飞机导线也存在。TSB 得出结论，至少还有一根导线可能参与了首要电弧事件，但无法确定其所属系统。
这不是犹豫不决。这是经过校准的证明。安全行动可以广泛进行，即使第一个电子路径未知：保护导线免受损伤，验证绝缘失效行为，改进电弧探测，分离并记录补充布线，移除易点燃材料，探测隐藏烟雾，抑制不可及的火灾，并使非关键负载可直接隔离。针对特定行为者或产品的法律指控需要不同的授权和可能的证据。安全调查确定哪些防御失效了；它不决定损害或过错。
导线 1-3791 是不确定性边界，而非罪魁祸首标签
展品 1-3791 是 IFEN 安装中一根电源单元电缆的段。在其前端附近的一块铜重凝区域是一个电弧点。大约 51 厘米后的第二个熔融点表明至少有一次电弧事件未使相关断路器跳闸。调查人员使用冶金学、示例弧珠、位置重建、火灾损坏模式和电气系统逻辑来确定电弧位点是因果性的还是后果性的。
测试程序说明了为何仅凭视觉检查是不够的。在示例测试中，一些故意损坏的导线会对铝或其他导体产生电弧，而未能一致地使断路器跳闸。在一个标准压力系列中，30 次测试中有 15 次断路器跳闸。在模拟 8000 英尺压力的另一个系列中，四个断路器中的一个跳闸。这些是有限的测试观察，并非事故的统计概率。其重要性在于概念：电弧可以产生强烈的局部热量，同时吸取的电流未持续超过断路器的跳闸曲线。
TSB 关于技术、测试和模拟器工作的支持记录也区分了初级和次级电弧。火灾可以熔化或碳化绝缘层，使带电导体接触并产生许多后期电弧。间歇性“滴答”故障可以反复打击，而累计过电流不足以打开传统断路器。某些聚酰亚胺绝缘在受热时可形成导电碳渣，使电弧沿导线传播并在线束上闪络。ETFE 行为不同，熔化和燃烧而非支撑相同的碳化轨迹。因此，可靠的保护制度必须测试在电压、高度、损伤、线束和材料条件下的失效行为——而不仅仅是完整导线的额定值。
调查人员推理认为，1-3791 的前向电弧不太可能仅由后期火灾选择性地破坏该位置的必要绝缘并留下相邻证据模式所致。它很可能与火灾起始期有关。但关联并不证明首要性。该导体可能与其他 IFEN 导线、原始飞机导线产生电弧，或者是另一个引发电弧的附属产物。调查人员无法确定其绝缘首次如何被破坏或它接触了什么。
因此，责任回应故意比“更换此电缆”更广泛。它询问谁指定了导线，谁评估了故障模式，谁控制了布线和边缘保护，谁检查了安装配置，谁记录了服务差异，谁选择了电路保护，谁审查了组合飞机系统。如果控制仅在调查人员识别出唯一的故障导线后才起作用，那么它对于证据而言过于狭窄。
这一边界也保护了制度的合法性。公众可以理解调查发现了可能的电气电弧点火，而无需假装法医差距已被弥合。精确性加强了改革的理由，因为它将控制映射到已证明的危险上。过度宣称将使本来有力的安全记录容易受到一个正确的反对意见：从未唯一证明引线。
娱乐网络使“非关键”成为系统集成问题
瑞士航空的 IFEN 是一个交互式乘客娱乐装置，通过了美国联邦航空管理局补充型号合格证 ST00236LA-D 的批准。“非关键、非必需”的标签描述了其预期的操作关键性。但这并未使安装与飞机物理分离。它增加了电力需求、驾驶舱面板内的断路器、通过前部隐藏区域的布线、冷却和控制功能、安装图纸、操作假设以及机组隔离后果。
早期设计材料考虑从客舱汇流条为系统供电。但这些汇流条无法支持计划的 257 座配置，因此大部分 IFEN 电源被移到 115 伏交流汇流条 2。设计变更改变了 MD-11 客舱汇流条开关的含义。该开关旨在移除非关键客舱电源，并且是烟雾/气味检查单的第一项动作，但它并未使交流汇流条 2 断电。当客舱汇流条关闭时，没有继电器自动移除 IFEN 电源，也没有批准的飞行手册补充说明为飞行员提供另一个直接隔离指令。
TSB 关于 FAA STC 审查的支持记录显示了批准接口的失败。初始关键设计审查错误地指出 IFEN 位于客舱汇流条上。后来的简报纠正了该错误。FAA 随后进行了特殊认证审查，检视了设计、安装、授权方的认证实践以及 FAA 的监督。TSB 发现，经认证的电源集成与 MD-11 的紧急负载卸载理念不兼容，且不符合型号合格证。这是一个潜在的不安全状况。
安装包也缺乏下航电断路器面板至大约 515 站位之间的完整布线定义。文件未提供完整配置，而是反复引用通用最佳实践指南。对其他瑞士航空 MD-11 飞机的检查发现了布线差异、不一致的保护螺旋缠绕、导线接触设备边缘、硬件和端接差异，以及未记录批准包未定义区域变更的更改通知。仅存在于安装人员判断中的配置难以检查、复制或审计。
责任是分布的。STC 批准持有人及其设计贡献者制定并证实了改装。FAA 授权方代表机构做出了合规判定。FAA 保留了对授权体系的监督责任。瑞士航空是运营商和客户。SR Technics 提供支持，通过承包商进行安装并在其维护义务下进行质量保证，但报告区分了这一角色与批准设计和认证的角色。每个行为者控制了证据链的不同部分。
事故后加拿大运输部关于娱乐系统集成的咨询通告使修正逻辑明确：非必需设备应能断电而不牺牲安全飞行和着陆所需的系统；机组需要一个实用的开关而非依赖拔出单个断路器；且操作程序必须随安装修订。这是后来的指南，而非管理每项 1996 年决策的确切法律标准。这是从事故中吸取的系统教训的证据。
最终边界至关重要。IFEN 集成缺陷并未通过客舱汇流条选择而活动，直到首次气味后 13 分 7 秒，当时火灾已自行蔓延。TSB 未发现该潜在条件与起火或蔓延之间的关联。同样，调查人员排除了 IFEN 电源单元本身作为点火源。严重的责任问题是，认证和安装控制允许一个未完全定义、错误隔离的补充系统——而非每个缺陷都证明了物理起源。
材料通过了测试，却未能实现安装目的
热声隔热层并非装饰性客舱内饰。它们在压力容器的广阔区域管理温度、声音和冷凝。其覆盖薄膜、絮垫、胶带、紧固件和修补形成了位于布线、管道和结构旁的安装系统。在 HB-IWF 上，大部分隔热层覆盖物是 MPET，一种薄的金属化聚酯薄膜。
MPET 覆盖的隔热层材料符合 MD-11 认证时适用的可燃性要求。垂直本生灯测试将窄样品置于火焰上方 12 秒，并评估余焰时间、烧焦长度和滴落物。MPET 薄膜可从燃烧器收缩并避免持续接触。这种行为使其通过。但在飞机上，隔热层表面宽广、弯曲、分层、靠近相邻表面，并暴露于辐射反馈、预热、气流、拼接材料和小型电弧。这些条件改变了结果。
调查人员测试了更具代表性的配置，发现 MPET 可由小源点燃并传播火焰。它很可能是起火区域中第一个被点燃的材料，也是传播并加剧火灾的可燃物最大组成部分。其他批准的材料也做出了贡献：金属化聚氟乙烯覆盖物、硅弹性端帽、钩环扣件、泡沫、粘合剂和拼接胶带。问题并非肮脏的旧飞机。测试发现相关材料在未受污染的新安装状态下即易燃，因此污染不被视为引发此火灾的必要条件。
认证编码了风险的地理分布。占用客舱表面和指定防火区接受了相对严格的要求。隐藏的非指定区域被视为相对良性，因为设计者假设它们缺乏点火源和燃料的组合。然而，这些空间包含通电布线和大面积隔热层。标准行政上将两种危险分开，而安装则在物理上将其结合。
TSB 的关于材料防火测试缺陷的建议 A99-08要求隔热材料作为安装系统根据更严格、更具代表性的标准进行验证。监管机构后来采用了辐射板火焰传播测试，该建议页面记录了在 2020 年 MPET 和 AN-26 行动以及更强标准后的“完全满意”评估和结案。结案意味着委员会判断回应足以大幅减少已识别的缺陷。这并不意味着每个老式修理中的每种材料都已单独重新测试，或者没有隐藏的火灾可以蔓延。
更广泛的关于材料可燃性的建议 A01-02超越了隔热层。它要求根据现实点火场景评估飞机加压部分中的材料，以使持续或蔓延的火灾不会仅由于其位置、类型或数量而被接受。TSB 后来评估回应为“完全满意”。该状态反映了标准工作；它不会追溯使事故前测试充分或证明每次维护事件的合规性。
设计教训是关于代表性。如果测试省略了方向、相邻表面、热通量、老化、污染、维修、紧固件、气流或可信的点火能量，认证样品可能通过而安装组件失败。纠正性证据必须将实验室方法与飞机配置联系起来。它应确定最坏情况安装，对所有组件组合进行抽样，定义维修材料，验证供应商生产，检查机队安装，并跟踪任何批准的替代合规方式。
材料责任也不能止于 MPET 移除。替换薄膜可能更好地抵抗点火，但仍可能被胶带、粘合剂、修理补片或污染损害。“合规材料”标签仅在实际安装的配置与测试配置相匹配并通过服务保持受控时才有意义。这与 IFEN 图纸暴露的配置治理问题相同：纸面上的安全设计不足以满足维护记录。
隐藏的阁楼既无传感器也无可及的防火边界
驾驶舱和前舱天花板上方的空间并非指定防火区。没有法规要求内置烟雾或火灾探测，没有固定灭火系统保护，也没有通道使机组能可靠地将便携式灭火器对准火源。这种设计将探测留给气味和烟雾到达占用空间，将灭火留给首先必须推断隐蔽火灾燃烧位置的人。
人类感官是弱的传感器。气流可将燃烧产物从源头移开、过滤、稀释或通过空调出风口输送，后者暗示错误来源。在此事件中，初始气味和间歇性可见线索与机组的空调评估一致。火焰可以在衬板上方穿过隔热层表面移动，而客舱未显示相应线索。
阁楼的边界也未针对此任务进行防火加强。烟雾隔板划分了头顶区域的部分，但客机规则未要求其满足防火标准。开口容纳了管道、电缆和发动机灭火手柄连杆。当热量损坏隔板和天花板衬板时，烟雾和热气可进入驾驶舱。当客舱再循环风扇随客舱汇流条选择而停止时，前下降天花板上方的气流反向转向驾驶舱。这并未引发火灾，但影响了后期蔓延环境。
TSB 关于指定防火区方法的建议要求监管机构和行业重新考虑哪些加压区域需要改进的探测和灭火。其最新显示评估为“部分满意”且文件已关闭。这种组合很重要：当进一步行动预计不会产生更多进展时，关闭的文件可以保留剩余关切。不应将其转化为声明每个隐藏区域现在都有自动探测和灭火。
TSB 关于机上灭火标准的建议将程序、培训、设备和进入阁楼等空间作为一条系统处理。后来评估为“完全满意”并关闭。系统框架仍是正确的审计框架。没有定位的新型烟雾传感器可能产生警报但无攻击路径。没有防护呼吸设备、实践和机组协调的进入工具可能无法使用。更耐火的材料可能减缓蔓延但不能消除布线故障。
证据应为基于场景的。可信的测试引入小型隐藏电气点火，测量探测延迟，确认哪个警报到达机组，验证自动或手动隔离，演示灭火剂输送或接触源，并确认关键导航、通信和记录功能保持可用。它必须包括现实的气流状态和故障。仅靠检查单审查不能证明火灾是可及的。
传统断路器保护了导体，但未覆盖所有电弧特征
MD-11 使用运输飞机典型的传统热断路器。其主要任务是保护导线免受随时间过电流的损害。它们不能保证探测到每次金属间电弧、碳化跟踪路径或高温“滴答”故障。非常热的局部放电可能存在于加热并跳闸断路器所需的电流-时间组合以下。
这一区别解释了为何“断路器未跳闸”并不证明“没有电气故障”。它也解释了为何过大断路器或依赖断路器作为机组的主要开关可能破坏安全。回收的证据和示例测试表明，一些电弧可能持续或复发而不打开保护。其他后期电弧确实跳闸了断路器。反应取决于故障波形、材料、接触几何、压力、电路负载和时间。
TSB 的关于导线故障认证的建议 A01-03寻求现实的操作条件测试，并为导线绝缘失效方式制定了性能标准。该建议在监管机构描述布线系统规则制定、资格标准和持续适航行动后，于 2023 年 3 月评估为“完全满意”并关闭。这是一个有意义的制度回应。但它不能证明传统断路器已成为通用电弧故障探测器，或每个老化安装都已检查。
电气隔离也有两个不同目的。自动电路保护应停止危险的电气故障，无需机组诊断。运行负载卸载应让机组快速移除非关键设备，同时保留飞行和着陆所需的系统。IFEN 严重混淆了这些目的：单个断路器保护其电路，但预期的客舱电源控制并未使其断电。面对烟雾的机组不应需要接线图和逐个断路器搜索来实现程序假定的隔离。
因此，负责任的电气系统需要分层证明：抗损伤的布线和分离；兼容的绝缘和夹子；电弧故障资格；针对可信故障调整的保护；直接且明确标记的非关键负载断开；独立的关键电源；配置记录；检查阈值；以及使重复导线损伤跨机队可见的服务困难数据。每一层覆盖其他层剩余的不确定性。
检查单无法恢复架构已花费的时间
瑞士航空机组有两条与烟雾相关的程序路径。他们最初认为状况来自空调，并讨论了相应的检查单。更广泛的烟雾/不明来源气味程序使用顺序电气和气动隔离来定位来源。完成它可能需要 20 到 30 分钟，取决于机组在每个配置中等待观察烟雾是否变化的时间。没有法规限制这种故障排除所需的时间。
该持续时间与自行蔓延的隐藏火灾不匹配。当可见烟雾到达驾驶舱时，调查人员认为火灾已经自我维持。即使当时立即电气负载卸载，可能也不会改变此火灾的蔓延，尽管快速断电可以防止另一个事件中尚未点燃周围材料的过热元件点火。正确的教训不是“检查单从不重要”；而是隔离必须足够快以应对其旨在控制的危险阶段。
TSB 关于烟雾检查单时机的建议要求程序最小化电气异常在机组排除故障期间变成或维持火灾的机会。它被评估为“完全满意”并于 2023 年关闭，经过长期的回应和审查。程序审计仍应询问在着陆准备之前执行了哪些操作，哪些操作使可能源头断电，哪些关键系统丢失，诊断等待需要多久，以及当无法识别源头时会发生什么。
着陆理念是独立的控制。TSB 关于迅速准备着陆的建议建议 A00-18敦促行业标准将不明气味或烟雾视为立即准备在最近合适机场着陆的理由。它被评估为“完全满意”并关闭。该建议并未说每种气味都要求不可控俯冲，或机组应忽略地形、天气、飞机能量、跑道适用性和系统状态。它将默认值从先诊断后着陆转变为诊断同时准备着陆。
SR 111 飞行员的实际决策必须根据他们的线索而非调查员后来对天花板以上火灾的了解来判断。TSB 认为他们及时备降哈利法克斯。他们接受过超重着陆训练，如果紧急情况需要，可以无限制放油。他们最初看到的状况在行业中并不被视为立即和灾难性的。他们需要航程距离才能从巡航高度下降和减速。他们的客舱必须准备就绪。进近图不在直接触手可及之处。天气意味着部分下降在云中进行。
TSB 对未记录的最后几分钟的性能研究仔细地将其实忙下降标记为理论性的。它使用雷达和性能假设创建学术基线，而非再现飞行员在烟雾、故障和不完整信息下肯定能执行的内容。最终报告发现，根据首次气味后实际航路的各点，完成哈利法克斯进近所需时间将超过驾驶舱保持适合着陆的时间。这支持事件的严重性和时间不足。
这并不授权相反的声称，即一种替代方案肯定有效。直接超重着陆仍需要下降、减速、对准、导航和可用的驾驶舱。在不同时刻转弯会改变高度和距离，但也改变能量管理。省略放油节省时间，但机组在局势声明为灾难性之前已开始定位，且放油在撞击时并未进行。模拟器运行从已知故障、准备好机组和可用的模拟器开始；它们无法重现每个不确定性、感官线索或级联系统损失。
反事实纪律是一种责任制形式。它防止程序辩论掩盖物理失效链。损失并非仅仅是讨论燃油花费的分钟数。这是一架飞机，其中小型隐藏电弧能够点燃合规材料，在无探测或抑制下生长，击败系统并在正常备降完成前摧毁驾驶舱。更好的程序是必要的，但它们不能替代预防和控制火灾。
记录仪丢失和恢复定义了仍可知的内容
驾驶舱话音记录仪仅捕获了 30 分钟，这是当时的最低监管要求。其最早内容始于首次气味前约 17 分钟。飞行数据记录仪和驾驶舱话音记录仪通过同一发电机汇流条系统供电。两者均在 01:25:41 的一秒间隔内停止，很可能是火灾相关损坏移除了电源；证据表明烟雾选择器当时可能处于正常位置。同时丢失擦除了最后 5 分 37 秒最丰富的证据。
调查人员进行了补偿，但并未假装缺口消失。一次雷达持续到几乎撞击。发动机电子控制存储器保留了故障和一个发动机停车指示。地震记录确定了撞击时间。残骸位置、仪表痕迹、热特征和烟尘模式支持了物理重建的部分内容。但没有记录最终的驾驶舱对话、确切能见度、每个开关动作或每个瞬间机长的位置。
恢复工作极其庞大。TSB 关于搜索、恢复和调查参与的报告描述了海军、海岸警卫队、警察、军队、地方和技术资源在约 55 米深的水中工作。飞机结构重量的近 98%被回收。前机身被重建，以便调查人员绘制热量、导线和材料证据。所有机上人员被识别，尽管存在重大危险，恢复操作未造成严重伤害。
公开时间线也很重要。TSB 简化的调查时间线记录了早期记录仪回收、重型起重操作、数千名参与者、自愿停用 IFEN 以及通往 2003 年最终报告的漫长道路。它显示证据连续性是一项制度职能：残骸必须被定位、编目、分类、重建、测试和比较，然后才能得出负责任的结论。
因此，记录仪的韧性是预防责任的一部分。独立电源、更长的持续时间和受保护的独立电源可以在电气紧急情况下保存证据。它们无助于机组灭火，但提高了公共系统学习的能力。灾难后的公共部门连续性取决于这种能力：响应组织必须回收人员和证据，调查人员必须维护监管链，监管机构必须对中期危险采取行动，家属必须接受记录所能支持的结果。
责任遵循飞机生命周期中的控制权
瑞士航空控制了娱乐服务的运营采用、机组程序、机队行动及其与维护和改装组织的关系。事故后它停用了 IFEN，修订了检查单演示和烟雾程序，通过 SR Technics 引入布线培训和检查，响应监管行动更换 MPET 隔热层，并进行了飞机改装。这些行动很重要，因为运营商可以在最终报告发布前降低风险。
运营商并未控制每个设计标准或认证授权。飞机制造商控制了基础 MD-11 设计、电气理念、服务信息和许多事故后改装。IFEN 设计和 STC 组织在其分配的角色内控制了改装数据和合规证明。安装人员和 SR Technics 控制了工艺、符合性、质量保证和安装记录。FAA 控制了 STC 的美国认证和授权框架。瑞士和其他适航当局控制了对其注册的验证和强制适用性。
材料供应商和测试方法当局控制了不同的证据。供应商可以在指定方法下展示薄膜特性；监管机构决定该方法是否代表危险。飞机制造商和改装者决定材料、导线和管道如何组合在一起。维护组织决定哪些修理胶带和补片投入使用。没有一个层面可以安全地假设另一层面已经测试了安装的组合。
飞行机组仅在危险产生线索后控制飞机。他们的权限包括备降、紧急声明、超重着陆、放油和检查单执行。但他们的控制受限于他们能检测到什么、哪些开关存在、哪些设备保持供电、飞机的高度和能量、航图的位置、天气以及蔓延速度。将隐藏火灾的责任分配给无法定位或触及的机组混淆了操作能力与设计控制。
空中交通管制塑造了航线和应急支持，但未看到驾驶舱。最终报告发现飞行员-管制员交互未影响结果。应急响应人员和海岸社区在雷达接触丢失后迅速动员；他们控制搜索和恢复，而非预防空中火灾。调查人员控制安全重建，而非法律责任。法院和主管执法机构在被介入时控制法律结论。
这种分配防止了两个常见错误。第一个是总体化的公司指责：说“瑞士航空”好像一家航空公司独自撰写了联邦材料测试、每个 STC 发现、每个断路器特性以及每根安装电缆。第二个是碎片化：说每个组件分别合规，因此没有机构拥有组合的危险。责任介于两者之间。每个行为者应为其实际持有的控制和接口负责，而系统所有者和监管机构必须确保接口加起来构成安全的飞机。
可验证的修复需要十个连接的防御
第一，补充系统配置必须完整。每根增加的导线应有受控的起点、终点、路径、分离、支撑、边缘保护、断路器、连接器、负载计算和移除方法。批准的图纸必须与安装的飞机匹配。偏差需要记录的工程处置，而非未记录的安装人员自行决定。数字配置工具和企业工作流自动化可以提高可追溯性，但只有在物理符合性检查闭合循环时。
第二，非关键电源必须可直接隔离。被描述为移除客舱或非关键负载的机组动作应跨工厂和补充设备精确地做到这一点。隔离必须保留继续安全飞行和着陆所需的最低导航、通信、飞行控制、照明、氧气和记录功能。认证测试应验证实际修改电气架构上的开关。
第三，电路保护必须处理故障物理。传统过电流保护仍是必要的，但可信的间歇电弧和跟踪特征需要对其电路适当的检测或预防。资格应包括损坏绝缘、高度、混合导线类型、线束、振动、湿度和与结构接触。断路器不应作为常规开关使用，除非专门为此设计并批准。
第四，材料测试必须代表安装系统。绝缘薄膜、絮垫、胶带、紧固件、粘合剂和修理应一起在最坏情况的方向、热通量和气流中进行评估。生产和修理材料必须保持与测试样等效。老化、污染和维护损坏应在它们实质性改变性能时处理。
第五，隐藏火灾必须产生早期、可定位的警报。传感器放置和算法应覆盖阁楼、航电设备和其他非指定空间，其中点火和燃料共存。测试应测量烟雾到达占用空间前的探测时间、抗滋扰警报的能力以及机组识别受影响区域的能力。仅在多个系统故障后才到达的警报不是有效的防御。
第六，灭火必须达到源头。固定系统、工程通道或其他验证方法应在便携式灭火器无法瞄准时控制火灾。灭火剂分布必须在现实通风状态下演示。机组防护设备、进入工具和培训必须与可用时间兼容，且不得要求在空中不安全拆卸。
第七，系统安全分析必须包括火灾进行中。TSB 关于火灾导致的系统故障的建议 A01-04处理了氧气、调节空气、液压等系统，其破裂可能助长火灾或改变气流。2023 年评估为“完全满意”并关闭，因当局确定了可燃性和布线系统行动。持续的证明是，每个系统不仅评估内部故障，还评估其材料和连接在相邻火灾攻击时的行为。
第八，程序必须在隔离进行时优先着陆。不明烟雾应立即触发准备最近合适机场、明确的机组任务分工和快速非关键负载卸载。故障排除应有有限的停留时间和明确的停止条件。培训必须包括模糊气味、隐藏源、系统级联、烟雾削弱能见度、备用仪表以及驾驶舱和客舱机组之间的协调。
第九，记录仪和关键仪表需要弹性电源。话音和飞行数据不应因单个火灾损坏的汇流条故障而同时消失。独立或备用电源、足够的持续时间和受保护的布线应在烟雾隔离配置下验证。备用飞行、通信和导航能力必须在能见度降低时从机组位置保持可用。
第十，机队修复必须是可审计的。当局和运营商应发布或保留适用性清单、完成记录、批准的替代方法、检查发现和重复缺陷趋势。抽样应确认图纸、服务通告和适航指令已到达实际飞机。建议结案是治理证据；飞机级别符合性是操作证据。
十个防御有意连接。更好的材料为探测争取时间。探测触发隔离和灭火。隔离不应移除着陆所需的仪表。灭火取决于通道和培训。配置记录告诉检查人员添加物实际在哪里。记录仪韧性显示防御失效时发生了什么。仅证明一个要素的安全案例留下了与事故特征相同的接口问题。
监管行动是实质性的，但状态不等于普遍证明
首个重大材料行动针对 MPET。TSB 关于建议 A99-07 的页面记录了 FAA 要求对美国注册受影响飞机移除的适航指令、加拿大运输部和行业回应，以及 2018 年文件关闭的“完全满意”评估。瑞士航空在指令前开始选择性更换，然后在指令框架下开始完整计划；最终报告称截至 2003 年 1 月，该指令已在瑞士航空先前拥有的 11 架 MD-11 上完成。这是一个具体补救措施：已定位并在记录受影响飞机上移除了一种材料。
更深的修复改变了测试和设计规则。辐射板标准解决了热声隔热层的火焰传播。布线程序扩展了检查、维护、分离和资格。补充娱乐装置经过审查，不安全状况产生了适航指令，指南强调了专用的断电功能。检查单和培训日益将不明烟雾视为时间关键的着陆事件。制造商对特定氧气接头和其他脆弱组件进行了防火加固。
建议记录应精确阅读。A99-07、A99-08、A00-18、A00-19、A00-20、A01-02、A01-03 和 A01-04 显示最终评估为“完全满意”且文件关闭。A00-17 显示“部分满意”且关闭。这些标签反映了 TSB 对安全缺陷回应的评估，通常经过多年的规则制定和审查。它们并非都意味着同一件事，关闭状态不一定意味着监管机构完全按书面实施了建议。
后来的监管行动也不能回溯投射为 1998 年 9 月 2 日的确切法律义务。事故后规则可能表明当局认识到更好的控制；它本身不能决定事故前行为者是否违反了当时适用的法律。相反，证明材料或安装通过了旧标准并不能回答标准是否充分控制了安全风险。安全责任评估合规性和标准充分性，同时保持其法律区别。
2026 年的实践审计是配置特定的。对于每架飞机和改装，运营商能否识别当前安装的隔热膜和胶带？能否显示 IFEN 或其他非必需负载在使用指定控制时断电？维护记录能否识别隐蔽布线差异和重复电弧？机组能否接触或抑制天花板以上的火灾？记录仪在隔离期间是否保持供电？监管机构能否抽样证据而不是依赖完成声明？
公众信任取决于可见的答案。事故涉及多个国家的乘客、一架通过欧洲机构注册和运营的飞机、美国批准的改装、加拿大空域和加拿大调查。没有单一司法管辖区独自持有整个安全链。因此，制度合法性来自协调标准加上当地执行，而非假设另一当局的批准覆盖每个接口。
安全调查结果必须与法律责任保持分离
TSB 的授权声明明确：它进行调查以促进交通安全，不分配过错或确定民事或刑事责任。其报告使用因果和贡献语言来识别不安全行为、条件和缺陷。该语言对预防至关重要。它不是针对瑞士航空、供应商、改装者、员工或监管机构的判决。
证据类型具有不同权威。最终报告包含委员会通过的结果。支持技术页面显示方法、测试、记录和中间证据。FAA 经验教训材料是回顾性的教育综合。建议页面记录安全关切、利益相关者回应、委员会评估和状态。咨询通告提供指导；它不自动成为每个司法管辖区和时期的约束性规则。服务通告在适航指令纳入时可成为强制性，但两者不可互换。
因此，本文不根据技术发现推断意图、疏忽、犯罪或损害。它不说 IFEN 导线是确切唯一点火源。它不声称机组因计划放油导致损失。它不说明 STC 集成缺陷传播了火灾，而 TSB 未发现关联。它不将事故后标准视为确切的 1998 年法律基准。
在这些界限内，责任仍然可能。机构可以被要求解释为何改装未完全定义，为何非关键电源未被预期开关切断，为何合规隔热层传播了火焰，为何阁楼既未被探测也未被抑制，为何断路器可能错过电弧，为何记录仪共享脆弱电源，以及这些危险如何被修复。这些是基于证据的治理问题，即使安全委员会不裁决责任。
仍未解决的问题
唯一的首要电弧事件仍未解决。展品 1-3791 具有强烈的时间和空间意义，但 TSB 无法确定它是否是第一个电弧，或识别所有其他涉及的导线。并非所有导线都被恢复或可识别。未来的讨论应保留“可能与起火有关”并拒绝“被证明的唯一源头”。
01:25:41 后的确切驾驶舱序列仍未解决。雷达和发动机数据约束了飞行路径和一些系统状态，但记录仪停止了。确切知道哪些检查单项目已完成，哪些仪表仍可见，是否进行了灭火，为何发动机关闭，机长在撞击时是否在位，或机组在最后几分钟考虑了哪些替代方案。
反事实着陆结果在唯一重要的形式上仍未解决：确定性主张。调查确立了实际航路严重的时问不足，并认为机组根据其线索及时备降。理论或模拟器剖面可以显示在指定假设下的可行性。它不能证明不同的航线、立即超重进近、省略放油计划或更早的检查单动作肯定会在不断发展的火灾和故障中带来安全着陆。
每个改革的确切机队范围有效性不包含在一个公共数据集中。建议评估记录了实质性进展。它们不提供当前每个老式飞机、每个补充改装、每个隔热层修复或每个全球机组培训周期的尾号级别证据。缺乏这种公共综合记录不是不合规的证据；它是本审查可验证内容的一个限制。
隐藏空间探测和灭火的未来性能仍然是一个活跃的系统问题。一些飞机和运营商采用了改进，但事故的更广泛教训是架构特定的。新的电气负载、客舱连接、电池系统、维修和材料持续改变飞机内部。每个改装必须根据火灾探测、隔离和灭火来评估，而非依赖建议的历史关闭。
责任测试
瑞士航空 111 号班机展示了系统如何满足组件规则仍能组合成不可容忍的危险。导线可以认证。隔热层可以通过燃烧器测试。娱乐系统可以称为非关键。断路器可以满足其过流目的。阁楼可以位于指定防火区要求之外。检查单可以批准。记录仪可以满足其持续时间规则。这些命题都不确保隐藏电弧在驾驶舱变得不可用之前被检测、隔离和抑制。
纠正标准是端到端的证明。它始于每根补充导线的安装路线及其绝缘的现实失效行为。它跟随可用点火能量进入完整的材料组件。它测量隐藏空间中的探测和灭火时间。它验证机组的隔离开关、关键电源连续性、检查单工作负荷、着陆准备和记录仪耐力。它以飞机级别符合性记录和监管机构抽样结束。
责任应遵循控制每个环节的权利。运营商控制机队配置和程序。设计和改装组织控制证明。维护组织控制工艺和持续适航。制造商控制基础系统集成和服务信息。监管机构控制标准、授权、强制行动和监督。机组控制他们接收的线索和工具所允许的响应。调查人员控制校准的公共安全记录。
最后的纪律是克制。可能的点火关系不是唯一证明的导线。关于潜在 STC 条件的发现不是它哺育了这场火灾的证据。模拟器着陆不是保证的替代历史。关闭的安全建议不是通用的飞机级别证明。TSB 发现不是法律判决。保留这些界限使责任案例更强，因为每个主张指向可检查、测试和改进的控制。
来源说明
本文赋予 TSB 最终报告对已采用年表、分析和结论的控制权重。TSB 支持记录用于有限的技术、性能和恢复细节；FAA 材料用于官方回顾性综合和响应文件。建议评估描述了安全缺陷的状况，而非普遍执行或法律责任。后来的标准和指南已注明日期，不回溯投射为确切的 1998 年法律规则。访问、证据等级、预期用途和未解决边界记录在随附的来源分类账中。