O ERRO que EXPLODIU um ÔNIBUS ESPACIAL

28 de janeiro de 1986, 11 horas e 30 minutos, Kennedy Space Center. O ônibus espacial Challenger espera o seu lançamento em menos de 8 minutos. E em menos de 10 minutos, a Challenger vai explodir nos céus da Flórida, em um fim catastrófico para sua décima missão.

Após o projeto Apollo e a chegada da humanidade na Lua, os ônibus espaciais foram a resposta da NASA aos novos objetivos do projeto espacial americano, lançar missões ao espaço mais regularmente e de forma mais barata. Ônibus espaciais eram uma tecnologia parcialmente reutilizável, o que diminuía o custo e o tempo de lançamento entre missões. O sonho da NASA era eventualmente conseguir lançar mais de 48 missões espaciais por ano usando ônibus espaciais e vender espaço para carga como uma forma de bancar os seus próprios projetos científicos, sem depender tanto de recursos governamentais.

E o desastre da Challenger representa o fim desse sonho. Lançar um ônibus espacial como o Challenger é um exercício de engenharia e integração. Um ônibus espacial possui quatro componentes e que juntas conseguem lançar uma das partes para o espaço, o Orbiter, ou a nave orbital.

A estrela do show é a nave orbital, ou Orbiter, feita com capacidade de operar tanto dentro como fora da atmosfera. O que significa que essa nave pode voltar do espaço e aterrissar em uma pista de pouso como um avião. Apesar dessa capacidade extraordinária, a nave ainda precisava de ajuda para chegar ao espaço.

E é aqui que entram os outros três componentes do lançamento de ônibus espacial. Um gigantesco tanque de combustível propelente líquido, chamado de tanque externo. Esse tanque laranja carrega hidrogênio e oxigênio para o ônibus espacial usar durante a decolagem.

De cada lado do tanque externo estão dois foguetes de combustível sólido, chamados pela sigla SRB, que é o inglês para Solid Rocket Boosters. Esses foguetes carregam propelente sólido na forma de hidrogênio, que gera uma propulsão intensa na queima. Os SRBs vão queimar o seu combustível sólido durante os dois primeiros minutos do voo para dar a ajuda final que a Challenger precisa para alcançar o espaço.

E após queimar, os boosters se separam da nave e caem com o auxílio de paraquedas no oceano, onde eles são recuperados e preparados para serem reutilizados em um lançamento futuro. Se você gosta das camisetas que eu uso nos vídeos, a melhor promoção do ano chegou! É a caixa surpresa!

Duas camisetas por R$ 129,90! Só que só vai durar esse mês, então se eu fosse você, eu não demorava. Clique na descrição, olhe as regras e pegue duas camisetas por esse preço incrível.

28 de janeiro de 1986, 11 horas e 37 minutos e 54 segundos. Kennedy Space Center. Depois de seis dias de atraso e uma noite fria, o ônibus espacial Challenger finalmente foi lançado.

Os motores principais do ônibus entram em ignição usando o combustível do tanque externo. Seis segundos depois, os boosters entram em ignição e a Challenger começa a levantar a voa. 36 segundos após a decolagem, a nave alcança 3 mil metros de altura e começa a sentir efeitos de ventos intensos.

Os computadores da Challenger começam manobras automáticas para compensar os efeitos do vento. Aos 58 segundos, uma pluma de fumaça fica visível no booster do lado direito. O formato da pluma muda durante os próximos segundos, indicando que parte do combustível estava vazando.

Aos 72 segundos, o piloto Michael Smith fala no microfone. Pouco mais de um segundo depois, uma explosão separa a nave espacial do tanque externo e dos boosters. O lançamento da Challenger sofreu uma falha catastrófica.

Inúmeros familiares e amigos de sete tripulantes da Challenger estavam assistindo e entraram em choque. E pra piorar, a Challenger era um voo histórico e uma das tripulantes, Christa McAuliffe, foi escolhida para ser a primeira civil no espaço através do programa Professor no Espaço. Toda a nação americana estava de olho nesse lançamento, que agora se tornou um desastre.

3 de fevereiro de 1986, Marshall Space Flight Center. Após o desastre da Challenger, a NASA precisava responder duas perguntas. O que causou o acidente e como garantir que isso nunca vai acontecer de novo?

Mas a única resposta que a NASA deu nos dias seguintes foi, nós estamos investigando a questão. Investigações que nunca vieram a público por ações da NASA. Internamente o clima era de pânico e ninguém da NASA queria se comprometer com uma declaração pública infeliz.

O presidente Ronald Reagan teve que adiar o tradicional discurso de Estado da União por conta do desastre da Challenger e no dia 3 de fevereiro o presidente americano convocou uma comissão independente para investigar o que aconteceu. A comissão era presidida pelo 55º secretário de Estado americano, William Rogers, com Neil Armstrong, diretor adjunto do Centro de Pesquisa Aeronáutica Avançada, DARPA, como vice-presidente da comissão. E claro, Neil Armstrong também foi a primeira pessoa a pisar na Lua.

Foi ele que tirou essa foto, inclusive. Só tinha ele e o Buzz Aldrin na lua nesse momento. Os depoimentos sobre o desastre da Challenger para a comissão presidencial, ou comissão de Rogers, como ficou conhecida, começaram no dia 6 de fevereiro de 1986.

Os primeiros dias foram principalmente sobre explicar o design do ônibus espacial para a comissão. As testemunhas da comissão eram principalmente membros da NASA e das empresas contratadas para desenvolver e produzir o equipamento usado nos ônibus espaciais. 9 de fevereiro de 1986, Washington, D.

C. Em meio aos primeiros dias de trabalho da comissão de Roger, dois memorandos internos da NASA vazaram para a imprensa. Os memorandos foram escritos por Richard C.

Cook, um analista de orçamentos. E ambos tinham como tópico a mesma peça dos boosters, os anéis de bedação das juntas de campo. Por facilidade de montagem, os boosters eram feitos em pedaços que tinham que ser unidos próximo à plataforma de lançamento.

Transportar pedaços era mais fácil do que transportar o booster inteiro já montado. O encaixe entre as duas partes é uma junta chamada junta de campo. Justamente por ser feita no campo, fora de uma fábrica, um booster desmontado é conveniente, mas também apresenta problemas.

As juntas de campo são uma fraqueza estrutural. As juntas inclusive se abrem um pouco durante os momentos mais extremos, principalmente o início da ignição aos 0,6 segundos. E é preciso reforçar as juntas para impedir vazamento do combustível em alta pressão.

Os anéis de vedação são parte dessa proteção contra vazamento de gás. No caso da Challenger, eles eram feitos de uma borracha de alta performance e tinham como função selar o vão causado pela junta de campo. E os dois memorandos de Cook levantaram preocupações sobre os anéis de vedação.

O primeiro memorando datava de seis meses antes do desastre da Challenger, e Cook apontava os anéis de vedação como uma ameaça orçamentária, indicando que eles não estavam operando como desejado pela NASA e que talvez fosse preciso gastar dinheiro em um redesign dos anéis de vedação ou da junta de campo. Inclusive já tinha passado por uns dois pequenos redesigns, mas ainda não era o suficiente. O segundo memorando foi emitido alguns dias após o desastre, no qual o Cook informava a outros membros da NASA que a equipe de engenheiros estava convencida que o problema da Challenger estava nos boosters.

11 de fevereiro de 1986, Washington, D. C. 11 de fevereiro é o dia em que o desastre da Challenger deixou de ser um acidente e virou uma catástrofe gerada por negligência da NASA.

No dia 11 de fevereiro, a comissão estava entrevistando o responsável da NASA pelos boosters, Lawrence Mulloy. O primeiro acontecimento digno de nota foi o chamado Experimento de Feynman. Influenciado pelos memorandos de Cook, Richard Feynman focou suas atenções nos anéis de vedação.

Feynman perguntou a Mulloy se existia um limite de temperatura para a operação segura dos anéis de vedação. Mulloy respondeu que existiam dados indicando que o material dos anéis funcionava entre menos 34 graus Celsius e 260 graus Celsius, o que não é exatamente verdade. Sim, existiam alguns usos da borracha dos anéis de vedação que eram adequados nessas temperaturas.

Não existiam testes garantindo a boa operação dos anéis de vedação nos boosters abaixo de 4 graus Celsius, com a menor temperatura de lançamento de um ônibus espacial antes da Challenger sendo 12 graus Celsius. Feynman demonstrou o problema da resposta de Mulloy colocando um anel de vedação em um copo de água gelada e mostrando que a elasticidade do material era comprometida pelas baixas temperaturas. Durante o lançamento da Challenger, as temperaturas eram de 2 graus Celsius, abaixo do limite testado para boa operação dos anéis de vedação.

E a noite anterior ao lançamento foi tão fria que criou grandes quantidades de gelo. Mulloy foi repetidamente questionado pelo resto da comissão sobre preocupações com a temperatura e os anéis de vedação antes do voo. E todas as respostas dele indicavam que nenhuma preocupação séria tinha sido levantada sobre o frio.

Todas as respostas indicavam que a Challenger foi um acidente imprevisível e que nada poderia ter salvado a vida daqueles sete astronautas. E uma pessoa naquela sala sabia que isso era uma mentira. Duas vezes em meio ao depoimento do Mulloy, um dos engenheiros-chefe da empresa responsável pelos anéis de bedação levantou a mão pedindo atenção.

E ele foi ignorado pelo Mulloy nas duas vezes. O engenheiro pedindo atenção era Allan McDonald. E há mais de seis meses ele estava reportando falhas com os anéis de bedação no design dos bússeis para a NASA.

McDonald sabia que o Mulloy estava tão informado quanto ele sobre os recorrentes problemas apresentados pelos anéis de vedação, e que esses problemas eram intensificados pelas baixas temperaturas. Pro Allan McDonald estava muito claro. O Mulloy estava mentindo e acobertando as falhas no processo de decisão da NASA.

E o Allan tinha decidido contar a verdade pra comissão presidida por William Rogers. Após uma pausa, ao invés de levantar a mão no fundo da sala, Allan McDonald simplesmente levantou do seu assento e caminhou até o meio da sala, interrompendo o depoimento de Lawrence Mulloy. A história do Allan McDonald mudou o curso da investigação e deixou claro que a Challenger não foi um acidente, mas um desastre devido a uma falha de decisões por parte da NASA e da empresa responsável pelos boosters.

E essa é a história que o Allan McDonald viveu pessoalmente e compartilhou com a comissão. Existiam problemas recorrentes nos anéis de vedação, alguns registrados em testes há quase 10 anos antes do desastre da Challenger. Cada junta de campo que conecta as partes dos boosters possuem dois anéis de vedação, chamados de anel primário e secundário.

Originalmente esse sistema era considerado um chamado Sistema Crítico 1R. Ter criticalidade 1 significava que uma falha nos anéis de vedação levaria a uma falha catastrófica da missão. Mas a letra R significa redundância.

Caso o anel de vedação primário falhasse, o anel secundário deveria ser capaz de dar conta de impedir o vazamento de combustível pela junta de campo. O segundo voo de um ônibus espacial em 1981 apresentou erosão dos anéis de vedação primários. Testes de voos seguidos continuam encontrando falhas recorrentes na vedação do primeiro anel de cada junta.

As falhas eram tão comuns que os anéis foram reclassificados para um sistema crítico 1 em 1982, sem o R de redundância. A falha do primeiro anel por erosão era tão comum que começou a ser tratada como esperada. E isso representa uma tendência na NASA durante os quatro anos entre essa reclassificação e o lançamento da Challenger.

Em 1984, a erosão foi detectada no anel secundário, indicando uma falha completa de vedação pelo anel primário. E mais do que isso, no primeiro lançamento do ônibus espacial Discovery, foi encontrado FULIGEM entre o anel primário e secundário, o que indicava um novo tipo de falha, bem mais séria do que erosão. Durante o lançamento do ônibus espacial, e especificamente aos 0,6 segundos, as forças sobre as juntas de campo eram tão intensas que faziam elas dobrarem um pouco.

A presença de FULIGEM entre os anéis de vedação indicava que o anel primário tinha desencaixado durante o lançamento, perdendo a sua função de impedir o vazamento de combustível e deixando todo esse trabalho para o anel secundário. O desencaixe acontecia quando a junta de campo se dobrava e comprimia o anel de vedação, e por falta de elasticidade o anel falhava em voltar para a posição correta. A falta de elasticidade era piorada por baixas temperaturas, o que tornava essa falha mais provável em dias frios, como o dia em que a Challenger foi lançada.

E não existia nenhuma garantia que o anel secundário conseguiria manter a vedação nesse tipo de falha. O problema de erosão era desagradável, mas até um anel de vedação erodiu o suficiente para ser um problema, a nave já estava a meio caminho do espaço e o anel já tinha cumprido a sua função. Já o problema de um anel de vedação desencaixar no lançamento era bem mais sério, um sinal de que uma possível falha catastrófica estava no horizonte.

Então era preciso investigar a questão mais a fundo. Ou pelo menos essa era a opinião dos engenheiros responsáveis pelos anéis e boosters como Allan McDonald. A administração da NASA tinha outras coisas em mente.

A ideia de investigar mais a fundo os problemas nos anéis de vedação, não foi levada tão a sério como deveria. A NASA estava sob pressão extrema para realizar lançamentos de ônibus espaciais mais e mais frequentemente e eventualmente conseguisse sustentar vendendo transporte de carga para o espaço. A ideia de paralisar ou adiar voos por conta de falhas nos anéis de vedação era uma ameaça orçamentária séria.

E por outro lado, a empresa responsável pelos anéis de vedação, a Morton Thiokol, tinha bem mais pessoas focadas em conseguir contratos com a NASA do que investigando as falhas dos anéis de vedação que a empresa produzia. Allan McDonald trabalhava na Morton Thiokol, e mesmo no dia após o desastre da Challenger, a empresa estava mais focada em garantir o seu próximo contrato do que investigar a causa do desastre. O que aconteceu nos anos antes do desastre foi uma lenta, mas consistente expansão da zona de conforto, com o perigo do lançamento por parte da NASA e da Morton Thiokol.

A cada lançamento e testes adicionais, os problemas com os anéis de vedação se mostravam cada vez um pouco mais sérios. Cada vez que os problemas eram reportados, os riscos eram analisados e alguém decidia que os riscos eram aceitáveis. Às vezes os riscos eram tolerados por boas razões, mas às vezes nem tanto.

O lento, mas consistente aumento da zona de conforto chegou no seu máximo na noite do dia 27 de janeiro de 1986, na reunião de segurança para o décimo voo da Challenger. 27 de janeiro de 1986, Kennedy Space Center. A noite do dia 27 não era a primeira reunião de segurança para o lançamento da Challenger.

O lançamento da missão já tinha sido adiado por seis dias seguidos. A janela de lançamento já estava prestes à saída aceitável para alguns dos experimentos a bordo. Além disso, se a missão atrasasse mais um dia, também não seria possível realizar a aula do espaço pela professora Christa McAuliffe.

A NASA já estava sob pressão para lançamentos mais regulares no ano de 1986. E esses fatores particulares aumentaram ainda mais essa pressão no décimo lançamento da Challenger. A noite de 27 de janeiro não estava ajudando.

A noite estava extremamente fria, muito mais do que o esperado para o inverno na Flórida. E as previsões de temperatura para o dia seguinte estavam próximas dos zero graus, mesmo para o horário de lançamento, abaixo do que qualquer voo prévio ou qualquer teste dos anéis de beiração já tinha experienciado. E foi exatamente essa preocupação que os engenheiros Allan McDonald e Roger Boisjoly levantaram para Lawrence Mulloy na reunião de segurança de voo do dia 27.

A apresentação foi enfática. Não era possível garantir o bom funcionamento dos anéis de segurança nas temperaturas próximas do zero. O voo deve ser adiado até que as temperaturas subam novamente.

Em qualquer reunião de segurança normal, esse teria sido o fim da história. O voo teria sido adiado novamente. E muito provavelmente esse vídeo não existiria.

Mas a preocupação dos engenheiros foi retrucada pelo Mulloy com zombaria e agressividade. Quando vocês querem que eu lance? Em abril?

Mulloy e a liderança da NASA afirmaram que os engenheiros da Thiokol estavam errados e que não tinham evidências para sustentar a afirmação de que voar era perigoso. Mesmo assim, a NASA não lançaria Challenger sem a confirmação de lançamento por parte da Thiokol. E é aqui que a zona de conforto se expande para além do tolerável e vira os critérios de segurança de cabeça para baixo.

Até então, o critério de lançamento era o seguinte. Se é possível provar que lançar o ônibus espacial é seguro, o lançamento acontece. Se não, o lançamento não acontece.

No meio da reunião, os engenheiros da Thiokol foram desafiados a provar que o lançamento não era seguro. Enquanto eles reavaliaram as suas análises, a administração da Thiokol conversava sozinha longe dos engenheiros. E depois de 30 minutos de uma reunião privada da Thiokol, Joe Kilminster, um dos chefes da empresa, deu a recomendação afirmativa para o voo da Challenger.

O que ia contra a recomendação dos próprios engenheiros da empresa? A menos que eles conseguissem provar que voar não era seguro. O que eles não conseguiam.

A opinião de que a Challenger não devia voar vinha do fato de que era impossível de provar que era seguro voar naquelas temperaturas. Agora a falta de evidências e dados claros era usada a favor do lançamento pela primeira vez na história, uma inversão de papéis. E pela primeira vez na história, a NASA pediu para a Thiokol confirmar a recomendação de lançamento com um documento assinado.

Uma indicação clara de que até mesmo a NASA estava preocupada com a situação do voo. Allan McDonald se recusou a assinar o documento e Joe Kilminster assinou no seu lugar. Apesar do frio, apesar das preocupações, o lançamento aconteceu.

E não só aconteceu, como quase ninguém no centro de controle foi avisado das preocupações de Allan McDonald. Os astronautas tripulando a nave nem sequer sabiam dos problemas recorrentes com os anéis de vedação, sendo que quatro deles voaram em missões passadas nos quais os anéis apresentaram algum nível de falha. O segredo da NASA sobre os anéis de vedação indica que eles sabiam que estavam agindo no limite do aceitável.

28 de janeiro de 1986, 11 horas e 38 minutos. Às 11h38 do dia 28 de janeiro, a Challenger foi lançada pela décima e última vez. 0,6 segundos após o lançamento, ocorreu um vazamento de gás das juntas de campo.

Isso indicava uma falha de vedação, o exato problema que mais preocupava os engenheiros da Thiokol no momento em que eles esperavam algo assim acontecer. A partir dessa falha, o lançamento da Challenger estava em uma posição precária, e o combustível sólido poderia vazar livremente da junta de campo. Dois segundos depois do lançamento, o vazamento parou e tudo indicava que algum pedaço de combustível sólido selou novamente a junta, fazendo o trabalho dos anéis de vedação que já tinha falhado nesse ponto.

A vedação acidental manteve o booster relativamente estável pelos próximos 56 segundos. Conforme o ônibus espacial se aproximou do seu ponto máximo de forças aerodinâmicas, a junta começou a ser afetada novamente. 58 segundos depois do lançamento, uma pluma indicava vazamento do booster.

A pluma cresceu, indicando a presença de fogo. 73 segundos depois do lançamento, o booster explodiu, separando o ônibus espacial do tanque externo e dos dois boosters, e encerrando a décima missão da Challenger em uma falha com perda de tripulação. Uma falha nos anéis de vedação levou ao fim trágico.

E uma falha na separação entre decisões administrativas e de engenharia levou à decisão de lançar a missão, mesmo com os riscos de segurança levantados pelos engenheiros. Nas falas dos entrevistados pela comissão Rogers e nas reuniões de segurança de voo, existia apreço pela ideia de que a segurança dos astronautas devia ser colocada em primeiro lugar. Uma missão tripulada não devia ser lançada a menos que a chance de sucesso fosse de quase 100%.

Mas como Feynman aponta no apêndice F do relatório da comissão de Rogers, esse apreço pela segurança era retórico. Não existia um critério de engenharia claro delimitando o que significa uma missão ter quase 100% de chance de sucesso. Foi a flexibilidade de um critério vago que permitiu a NASA expandir continuamente a zona de conforto para incluir cada vez mais sinais de que os anéis de bedação não eram uma tecnologia segura.

As preocupações dos engenheiros da missão eram ignoradas ou minimizadas por decisões administrativas, focadas principalmente em garantir a imagem da NASA e os recursos financeiros da exploração espacial. E a mesma lógica vale para todas as empresas contratadas pela NASA. A aparência de estar fazendo um bom trabalho para garantir o próximo contrato era mais importante do que corrigir falhas no projeto.

Até porque corrigir uma falha significa admitir que uma falha existe e diminuir as chances de você conseguir um novo contrato. Toda vez que um problema era apontado, era possível encontrar uma nova justificativa para seguir em frente e ainda considerar a missão como quase certa. E isso deu certo por dezenas de missões, o que lentamente criou uma sensação de que nada nunca poderia dar errado.

A engenharia de precisão que levou a dezenas de sucessos foi substituída por uma mitologia de que a NASA não podia errar. E essa tragédia não foi fruto de um acidente ou de falta de capacidade tecnológica por parte da NASA. Na pressa de lançar mais e mais missões, as decisões administrativas e de segurança se juntaram.

Na noite antes do acidente da Challenger, engenheiros foram humilhados por suas opiniões técnicas e administradores tomaram a decisão de lançar contra as recomendações técnicas de segurança. Administradores sabiam que estavam errados ao fazerem isso e tentaram esconder suas escolhas depois do acidente. A grande lição do desastre da Challenger é que segurança é sinônimo de respeito e confiança em todas as pessoas envolvidas em um processo.

Todos os envolvidos em um grande projeto de engenharia precisam ter suas vozes respeitadas e se sentirem confortáveis para expressar suas preocupações. E foi ignorar a voz de Allan McDonald que levou a uma tragédia. A administração da NASA não acreditava que algo podia dar errado.

Até que deu. E toda a confiança popular que a NASA tinha depois de ter colocado Neil Armstrong e Buzz Aldrin na Lua em 1969, foi perdida de uma só vez. Junto com sete vidas.

E todo o futuro de exploração espacial continua com ônibus espaciais. Que a história da Challenger sempre seja um lembrete de que, quando a gente fala de espaço, a segurança tem que vir em primeiro lugar, principalmente quando vidas humanas estão em jogo. Muito obrigado e até a próxima.