电池之火

“我们曾经多次表达意见，但法院最终没有接受我们的意见。”

中国民航飞行员协会把这句话写进公开声明，时间是2014年12月22日，针对的是河南航空8387号班机空难机长齐全军一审宣判的结果。协会华东代表处主席盛彪的这句话，说的是法庭上的责任划分，说的是一架飞机在坠毁前几秒没有拉起机头的那个决定。

可是航空安全的下一道裂缝，并没有停在法庭门口。就在那架巴西航空工业E-190客机于2010年8月24日夜间抵达伊春、近地警报响起而机长仍未拉起、最后在距跑道头约六百九十米处擦撞地面、左翼折断漏出大量燃油的十来天之后，另一种性质完全不同的火，已经在迪拜机场的货机腹舱里开始酝酿。

冰霜从这一章起暂时退场。上一章末尾说的那种不再附着于金属表面、而是潜伏在货舱和客舱内部、为现代生活提供能量、却可能在密闭空间里无法扑灭的化学物质，终于走到前台。

它不是霜，不是雪，不是燃油，而是一批被归入普通货物类别的锂电池。2010年9月3日，联合包裹服务航空6号航班从迪拜起飞。

这架波音747-400型货机装载着货物，目的地是德国科隆。它起飞后不久，驾驶舱里货舱火警的警告亮了起来。

火警在货机上并不罕见。传感器误报、货物包装摩擦发热、小型电子元件短路，都可能触发警告。飞行机组按照程序处置，决定掉头返回迪拜。飞机在阿拉伯半岛上空转向，试图回到刚刚离开的跑道。这个决定合乎标准，也合乎常识——货舱里起了火，地面上总比天上好。

但这次的火，不是那种可以被货舱灭火系统压下去的明火。后来调查发现，货舱里装载着大量锂电池。这些电池并非单独申报的危险品，而是随着大量电子设备一起运输。

飞机满载起飞后，某些电池进入了热失控。所谓热失控，是一种链式反应：电池内部温度升高，电解质分解，释放更多热量，再反过来加热电池本身。这个循环一旦启动，不需要外部氧气，也几乎无法被冷却。

单个电池的热失控，相当于鞭炮厂里的一粒火星；货舱里成批的锂电池，则相当于一库房的鞭炮。货舱灭火系统并不是摆设。

现代货机安装的是哈龙类灭火剂，能够快速抑制普通明火的化学反应。但哈龙只能切断燃烧链，却无法移除热源。锂电池热失控的核心不是明火，而是自持的化学反应放热。灭火剂喷下去，可以暂时压住外溢的火焰，但电池内部仍在升温，新的电池继续被引燃，温度一次次越过阈值。

用调查人员的说法，这不是一场火灾，而是一连串热失控的连锁爆炸。飞控系统的线路穿过货舱后部。

火势蔓延之后，货舱隔板及其周边金属结构被烧熔。那不是一个比喻。调查人员后来看到的残骸里，货舱隔板的金属件已经变形、熔化，像被高温重新浇过一样。

火从货舱进入机械区域，飞行控制系统的关键路径被摧毁。机组可能曾试图继续操纵飞机，但飞机的神经已经断了。

它没有回到迪拜。联合包裹6号航班最终坠毁在迪拜附近的沙漠里，两名飞行员遇难。这一事故过后，人们不得不面对一个此前被低估的问题：锂电池为什么能在一个有灭火系统的货舱里，把一架重型货机烧下来？

答案不在某一个电池的缺陷，而在于整个运输和适航系统对锂电池的认知还停留在旧时代。

锂电池从上世纪九十年代开始大量进入消费电子领域。手机、笔记本电脑、摄像机、便携式工具，都依靠锂离子电池提供高能量密度。它们随货物或旅客行李上飞机，已经持续了许多年。

一个笔记本电脑电池在客舱里起火，是可能被乘务员用冰桶或灭火瓶处置的局部事件。

但货舱里成千上万枚锂电池集中在一起，彼此紧挨着，情况完全不同。少量电池热失控时，人手可以移走，空气可以带走热量，地面消防可以持续喷水冷却。

货舱是一个密闭空间。飞行中没有人能进去搬开那些冒烟的纸箱。哈龙灭火系统按设计喷放之后，飞机必须尽快落地。但热失控的电池不会等人。温度不断升高，新电池接连起爆，火势很快越出最初的包装箱，烧向飞机结构。

监管标准的制定，再次落在了技术普及的后面。锂电池作为货物运输时，长期没有被充分视为一种能够独立提供热量和可燃气体的危险能量源。它们可以被合法地装进普通货箱，与其他货物混在一起。

航班机组只知道舱单上写的是“电子产品”或“电池”，未必清楚其数量和荷电状态。即使知道，也没有更有效的处置办法。

事故使问题公开化。国际民航组织随后推动了《危险品安全航空运输技术细则》的修订。锂电池的运输条件被重新定义，电池的荷电状态受到限制，封装与隔离的要求提高。货舱灭火系统的升级也被提上议程。

但规章的每一次修改，都发生在一架飞机坠毁之后。这不是一个新的叙事。

如果把视线从迪拜的沙漠移开，只往前推十来天，另一个中国民航系统的震惊还留在伊春的跑道上。2010年8月24日的河南航空8387号班机空难，终结了当时中国民航2102天的安全飞行纪录。那场事故里有人的忽视，有天气与夜航条件，有管理体系的问题。

迪拜的这起事故则少有人的操作失误可供追责，也很难挂在某个机组或某个签派员头上。

它暴露的是整条货运链条对一种新技术能量的集体低估。两个事故在时间上相邻，却似乎来自两个不同的世界。一个是雨夜、低能见度、机长未按程序拉起飞机；

另一个是货舱火警、化学热失控、飞控烧穿。它们唯一的共同点，是都在证明航空安全的防线并不像安全纪录数字表现出的那样连续。纪录可以结束在一条跑道的尽头，也可以结束在一枚电池的发热曲线上。

这种平行线在三年后再一次出现。2013年7月12日，埃塞俄比亚航空一架波音787梦想客机停在伦敦希思罗机场。飞机不在空中，客舱里没有乘客，几乎所有风险因素都降到最低。

可就在这样的地面上，机身内部的一组锂电池突然起火。火焰被扑灭，飞机保住，人员无伤。但每一个看到现场的人都会想到同一个问题：如果它在空中发生，后果会怎样？

波音787是全球首款大规模使用锂电池的客机。传统客机使用气动或液压系统带动发电，而787的设计把锂电池引入到飞机的核心系统，用于起动辅助动力装置和在地面提供电力。这是一种能量密度更高的选择，可以帮助飞机减重、提升燃油效率。

但把锂电池带入飞机系统内部，和把一个笔记本电脑电池带上客舱完全不同。后者可以被移走，前者连接着飞机的电气架构。

事故之后，波音787的锂电池适航认证过程被重新审查。审查逐步暴露出一个尴尬的问题：认证测试标准没有充分模拟真实运行中的振动和温度变化。实验室里通过了的测试，在实际航班上未必能复现。电池在真实运行中反复受到振动、温度交变、充放电循环的考验，而认证框架对这些边界条件的覆盖不足。

一个在实验室里完成过热失控测试的锂电池组，到了希思罗的停机位上仍然可能起火。

这不是说适航当局和制造商没有努力，也不是说某些个人玩忽职守。它说明的是另一种更普遍的问题：当一项新技术快速进入飞机系统时，旧的安全认证方法可能无法及时扩展边界。

认证测试建立在一个假设上——如果我们能模拟最坏情况，就能防止最坏情况。但锂电池的热失控和真实运行中的耦合因素，超出了原先设定的最坏情况。

监管者面对锂电池时已经慢了半拍，而锂电池本身的技术迭代比规章更新更快。从消费电子到航空动力，锂电池的应用迁移花了大约二十年。在这二十年里，消费电子领域多次出现电池起火回收事件。

它们大多被视为产品质量问题，而不是直接威胁航空安全的问题。等到锂电池开始大规模进入飞机货物和飞机系统，航空监管者才发现，自己的规则工具箱里没有足够有效的工具。

货舱灭火系统是一个例子。哈龙灭火剂能对付普通货物火灾，但无法阻止锂电池热失控。

更糟的是，货舱里没有持续的水冷能力。水是冷却热失控电池最直接的手段，但飞机货舱不可能装载大量水。飞行中更不能打开货舱。地面上消防人员可以用水枪长时间喷洒，飞机在空中没有这个机会。

于是问题变成：要么不让危险的电池上飞机，要么让飞机能够处理这类火灾。前者涉及全球电商和物流链条的巨大阻力，后者涉及飞机设计和认证标准的根本改变。两者都没有在2010年之前被认真对待。

调查人员从烧焦的残骸中锁定火源的过程，同样反映出这种滞后的认识。货舱里装载物品种类繁杂，起火后的残骸往往烧成一片。要确定某一种货物是起火的初始来源，需要从舱单、装载位置、熔痕、电池残骸和飞行数据中反复比对。

在联合包裹6号航班事故中，调查人员最终把火源指向锂电池的集中区域。

被烧熔的货舱隔板金属件，成为火势从货物区向飞机结构蔓延的物理证据。这个画面后来反复出现在安全培训中：它不是某根电线短路留下的焦痕，而是一整块金属结构在高温下失去承载能力。

波音787事故的调查方向则不同。它不需要从灰烬里找火源，因为起火位置明确，就在机身内部的锂电池组。

需要追查的，是为什么一个通过适航认证的部件会在地面起火。最终，问题被归结到测试标准对真实振动和温度变化的模拟不足。实验室里测过的热失控边界，没有完全覆盖现实运行中的热失控边界。

这种差距，就是安全半衰期缩短的根源。如果航空安全史是一条线性进步史，那么每一块补丁打上之后，系统应当变得更安全。锂电池事故确实推动了规则更新，但更新之前，系统已经暴露出又一个盲区。进步不是不可逆的，它更像一场追赶。人们在追赶化学，化学也在追赶人们。

锂电池的能量密度不断提高，新的应用方式不断出现，而监管者每一次都只能在下一次事故之后补上新的条件。

2010年的迪拜和2013年的希思罗，是这场追赶中的两个节点。它们让“锂电池”从消费电子的背景噪音中走出来，成为航空安全议程上的独立问题。

国际民航组织对锂电池运输的荷电状态作出限制，制造商修改电池封装和隔离设计，航空公司提高对货物中电池的审核级别。货舱灭火系统也在部分新机型上开始考虑专用冷却方案。

规则不再是一句笼统的“危险品不得上机”，而是开始具体到电池型号、荷电状态、包装材料和装载位置。

这些变化是真实的，也是用生命换来的。两名飞行员在迪拜附近的沙漠里失去了生命。波音787的火灾幸好发生在地面，否则可能成为另一个数字。伊春的机长在法律程序中被判重大飞行事故罪，围绕判罚的争议持续多年。

盛彪那句“我们曾经多次表达意见，但法院最终没有接受我们的意见”，放在航空安全史里看，指向的不仅是一个人的责任，也是系统在追究个体责任时常常无法触及的深层问题。

所有这些人——伊春驾驶舱里的机长、迪拜货机上的两名飞行员、波音公司的工程师、伦敦希思罗的地面人员、国际民航组织的规则起草者——都在各自的位置上面对一个局部难题。机长面对的是低能见度和高度警报，机组面对的是货舱火警，工程师面对的是电池认证数据，监管者面对的是全球物流压力和新技术风险。他们中没有一个人能够同时看到全部画面。

而这正是系统的困境。航空安全越来越依赖专业分工和技术标准，每个环节的人都在自己的边界内做合理决策。一个货主觉得电池包装合规，一个地勤觉得舱单没有问题，一个飞行员觉得按程序返航已经足够。但这些合理决策，可能在更高维度上拼出一幅灾难的图像。

锂电池的热失控风险，最后并没有彻底消失。它被部分转移到更严格的运输程序和更谨慎的电池设计中。

21时36分，林都机场30号跑道头外约六百九十米，夜雨把灌木压得很低。河南航空8387号班机的近地警报在驾驶舱里响起来，可机长没有拉起飞机。

E-190擦上地面的那一刻，左起落架先折断，机翼撞进树丛，翼根处的航空煤油从撕裂的铝皮里喷成雾状。几秒钟后火星点燃油雾，机身被火光裹住。

这是2010年8月24日的伊春。那场事故后来被总结为人的判断失败，法庭把主要责任归于机长齐全军，但飞行协会在声明里说，法院没有接受他们的意见。

真正把这件事和九天后的迪拜联系起来的，不是责任认定，而是另一个问题：当系统认为危险已经反映在警报里时，警报为什么没有变成足够及时的修正行动？而九天之后，迪拜沙漠里出现的警报，即使机组立即行动，也已经来不及了。

2010年9月3日，联合包裹服务航空6号航班在迪拜装机完毕。主货舱前部码放着几排纸箱，标签上写着“电子产品”，里面是锂离子电池组。地勤按照普通货物把它们送进货舱，没有单独标注，没有额外隔离。机组拿到的舱单上只写着电子产品，没有电池数量，更不会标示每一枚电池的荷电状态。飞机在夜间起飞后不久，货舱火警灯亮起。驾驶舱里，机长开始处理警报，他要求返航。迪拜机场的跑道灯在远处亮着，这本来应该是一次可以落地的普通火警。

但货舱里燃起的火，和机组训练中想象的完全不一样。它不是明火，不需要氧气，也不是靠切断通风就能熄灭的。第一枚电池在飞行中失去控制，内部短路释放出大量热。纸箱里的温度迅速越过临界点，相邻电池的外壳开始变软，电解质蒸气从泄压口喷出，形成新的可燃气。整批货物变成了一座没有引信的鞭炮仓库，而第一粒火星在装货之前就已经埋下。

驾驶舱看见的只是一盏警告灯，货舱里发生的事，他们无法亲眼看见。哈龙灭火剂自动喷放时，白色气体迅速填满货舱夹层。仪表上没有任何变化能直接告诉飞行员火是不是真的灭了。他们只能按程序继续下降，对准迪拜方向。哈龙可以中断火焰的氧化链，却移不走热源。热失控电池的化学反应仍在密闭壳体内继续，温度持续爬升。几分钟后，新的电池被引燃，火从纸箱内部重新冒出来。

它烧穿外层包装，舔舐货舱地板和侧壁。调查人员后来在残骸里看到，货舱隔板的铝合金结构不是被烟熏黑，而是被高温整体熔蚀。隔板边缘卷曲，表面泛着深灰和青铜色的氧化层，像一块被喷灯长时间灼烧过的板材。那块金属本身就是一份温度记录：要熔穿承受货舱载荷的隔板，火场中心必须长时间维持超过六百度摄氏度。而一批紧挨在一起的锂电池，完全有能力做到这一点。

飞行控制系统的关键路径就在隔板后面。火焰侵入之后，控制线缆和液压管路暴露在高温中。方向舵和升降舵的操纵路径被切断，飞机的响应开始偏离机组的输入。驾驶舱话音记录器保留了最后几分钟的声音，但告警声和机体颤抖声混在一起，听不清完整的对话。可以确定的是，飞行员没有放弃，他们试图把飞机带回跑道。

但飞机已经失去部分控制能力，它没有以正常姿态下降，而是在沙漠上空进入复杂状态，最终触地。阿联酋调查人员用数周时间才从散落的残骸中锁定火源。他们比对舱单、装载位置、熔痕方向和电池残骸分布，排除电气短路和普通货物火灾，最终确认锂电池集中的货舱前部是热失控起始区。烧熔的隔板金属件成为关键物证。它不是某一段线路的焦痕，而是一块结构金属在热浪中变形、失稳、最后被烧穿的路径记录。

三年后，另一种电池在另一种飞机上起火。2013年7月12日，伦敦希思罗机场，埃塞俄比亚航空的波音787停在远机位。机上没有乘客，但电源系统并未完全休眠。

地勤人员首先看见机腹附近有轻烟，以为是空调冷凝水蒸发。直到烟雾变浓，有人看到后机身蒙皮下透出火光。机场消防车赶到，向电池舱周围喷水。火被扑灭后，飞机后部的APU电池组壳体已经鼓起，周围的复合材料被熏黑。如果这架飞机当时在空中，火焰可能沿着电气通道进入后压力舱，结果不堪设想。

波音787是全球首款大规模使用锂电池的客机。为了减重和提升效率，它把锂离子电池用于起动辅助动力装置和地面供电。这个决定在工程上有其合理性，但它把一种在货舱里都难以控制的能量源，移到了飞机系统的内部。它不像旅客行李中的笔记本电脑电池，无法被乘务员用冰桶移走；它连接着飞机的电气架构，一旦失效，可能直接波及整个系统。

事故后的审查没有停留在某一块电池的缺陷上。适航当局和波音面对的是测试标准的问题。锂电池组在认证时做过热失控试验、振动试验、温度循环试验。试验文件里记录了各种参数：热失控触发温度、振动频谱、环境温度上下限。

但审查发现，这些条件的组合没有充分模拟真实航线中的耦合。地面试验中的振动是短时、高幅的，而真实飞行中的振动是长时间、低幅、多方向的；试验中的温度变化是均匀的，而真实电池舱内存在局部热点和温度分层。电池在反复充放电、振动和温度变化的共同作用下，内部隔膜可能产生微裂纹，进而诱发热失控。

这个路径没有在认证大纲中被充分覆盖。一个在实验室里通过全部测试的电池组，在希思罗的地面上出了事。这不是测试人员懈怠，而是旧测试框架扩展速度没有追上新技术进入飞机的速度。

国际民航组织的规则修订也跟着事故的节奏逐步推进。危险品专家组把锂电池运输的荷电状态限制写入《危险品安全航空运输技术细则》。核心要求是，除非经营人获得批准并采取额外缓解措施，锂离子电池及电池芯在航空货运中的荷电状态不得超过其额定容量的百分之三十。

这个数字不是随意确定的：较低荷电状态下，热失控释放的能量更少，引发相邻电池连锁反应的热传导更慢。配套条款要求电池单独包装，使用不燃缓冲材料，并确保外包装能承受热失控气体排放而不破裂。对于航空货运代理来说，这意味着锂电池不能再混在普通电子产品里上货机。货舱灭火系统的升级也被提上议程，部分新货机开始评估专用冷却管路。

但这些措施仍不能完全消除风险。飞行员在空中发现货舱火警后，能做的依然只有尽快落地。水冷系统不可能在货舱里铺设，因为飞机的重量和重心不允许。哈龙系统再好，也只能给机组争取有限的几分钟。

锂电池的威胁不是某一天突然出现的。从上世纪九十年代开始，它随着手机、笔记本和便携设备大量进入消费电子，2000年后又随着电商和个人电子产品进入航空货运。小规模货舱冒烟、笔记本电池起火、手机电池召回都曾发生过。

它们被当作孤立的工业质量问题处理，没有上升为航空公共安全的系统风险。制造商改进电池配方，航空公司检查旅客行李中的备用电池，但货舱内成批运输的锂电池仍被隐藏在普通货物类别下。直到迪拜沙漠中的残骸照片出现，烧熔的隔板金属件才迫使人们承认，一批具有足够能量的电池可以在货舱内制造出不依赖氧气的火灾。技术的扩散已经跑在规则之前，事故只是以一种最昂贵的方式追上了差距。

这种落后并不是因为没有人努力。相反，地面上的规则讨论一直在进行。国际民航组织危险品专家组的成员来自不同国家，他们审议测试数据、物流数据和事故报告。最初，仍有观点认为锂离子电池只有短时短路风险，不足以改变货舱设计。直到调查人员把迪拜残骸中烧熔的隔板照片投到会议现场，技术争执变成了安全危机。航空公司也开始培训地面和机组人员识别锂电池货物的申报不一致。但规章更新和人员培训，都发生在飞机坠毁之后。这几乎成了航空安全反复出现的节奏：先有事故，再有解释，再形成新的标准。每一个环节都有合理的人在做合理的事，但整条链条仍然慢了半拍。

电池之火留下的教训被写成规章，规章被翻译成包装要求、荷电限制和培训课件。货舱里的火开始有了一整套专门的应对框架。

但另一个事实同时浮现：锂电池至少还留下物证，还能让调查人员在残骸中锁定火源。软件逻辑的风险不冒烟，不产生温度曲线，也不会烧穿货舱隔板。当传感器数据进入计算机，计算机做出判断，再返回给飞行操纵面时，中间出错可能不会被任何人看到。飞行员可能看到的是完全正常的仪表显示，直到某个关键系统在没有警告的情况下退出。

它不像电池热失控那样有明确的温度曲线，也不像烧熔的隔板那样能留在沙地里。它的痕迹往往只存在于软件版本号和日志文件里，甚至可能被日常运行覆盖。物理的火被压制下去，制度的补丁也打上，但另一种火已经点着。它不需要氧气，不需要高温，甚至不需要飞行员知道。

波音787在事故后修改了电池系统，增加了隔热、排气和改进的壳体。国际民航组织的细则也在不断更新。但货舱里的电池仍然在运输，客舱里的电子设备仍然由锂电池供电。

问题没有终结，只是被暂时框定。而框定的速度，往往落后于技术的速度。锂电池之后，新的能量形式还会出现。每一次新技术的引入，都可能带来新的“电池之火”。关键在于，监管者能否在第一次事故之前，而不是之后，把边界画清楚。历史给出的答案并不令人安心。

到本章结束的时候，一个更大的反讽已经清晰。当物理的、化学的威胁被逐步纳入监管视野，货舱里的烟火气刚刚被压下去的时候，航空安全最前沿的、最无形的威胁已经浮现。它不燃烧，不冒烟，没有温度曲线，也不会烧穿货舱隔板。

它隐藏在软件代码的逻辑里，存在于传感器与自动驾驶系统耦合的边界中。飞行员可能毫不知情，飞机仍然看起来正常，直到某个决策被算法轻轻拨动，滑向没有人预料到的方向。

监管者面对锂电池时已经慢了半拍，面对这种由代码和自动化边界定义的风险，速度只会更慢。因为后者没有残骸，没有烧熔的金属件，没有明确的火源可查。它留下的证据可能只是一段被覆盖的数据日志，或者一个永远不会在物理世界中显形的逻辑冲突。这才是电池之火之后，航空安全真正悬而未决的压力。物理的火焰被扑灭了，制度的补丁也打上了，但另一场火已经点着。它不在货舱里，也不在机身底部的电池组中。它藏在一个传感器发来的信号与另一个系统做出的判断之间，等着人们在某个时机发现，自己又晚了一步。