Por Que o Ônibus Espacial Challenger Explodiu

Poucas horas antes dos sete astronautas entrarem na plataforma de lançamento, no Cabo Canaveral, no dia 28 de janeiro de 1986, a leitura dos termômetros cravava zero grau Celsius. Em algum momento, um dos anéis de borracha que servia para vedar uma junção no foguete de propulsor sólido do lado direito ficou frágil e inútil.

Quase imediatamente após o lançamento, às 11h38 da manhã, óxidos de alumínio provenientes do propulsor sólido vedaram, temporariamente, a junção danificada. Mas cerca de um minuto após a decolagem, o lacre temporário também falhou. Gases quentes começaram a vazar de um buraco cada vez maior.

Aos 68 segundos, o ônibus espacial recebeu comandos da base, e o comandante Dick Scobee emitiu a última resposta da nave: "Certo, seguir em alta propulsão." Quatro segundos depois, o piloto do ônibus espacial, Michael J. Smith, disse: "Ih!" Um segundo depois, uma conflagração espontânea do combustível do foguete de propulsor sólido explodiu o tanque externo. De repente, a nave e a tripulação foram engolidos por uma enorme pluma de vapor, e o veículo se despedaçou quinze quilômetros acima do Oceano Atlântico.

O engenheiro mecânico Roger Boisjoly não estava assistindo ao lançamento. Ele estava muito nervoso por conta de uma briga que teve no dia anterior com os gestores da NASA, e com a empresa de engenharia Morton-Thiokol. Mas ele estava ao telefone com seus colegas na Flórida, escutando. Naquele momento, ele disse: "Nós sabemos exatamente o que aconteceu."

Numa conferência telefônica, na Thiokol, no dia anterior, Boisjoly e outros engenheiros descreveram o risco das baixas temperaturas aos gestores da NASA, e insistiram para que adiassem o lançamento.

"Não era o que eles queriam ouvir", Allan McDonald, um dos engenheiros da Thiokol presentes na conferência, contou aos produtores de Major Malfunction (O Grande Defeito), um curta produzido pela Retro Report e pelo New York Times (disponível no fim do artigo).

"Meu Deus, Thiokol, quando vocês querem que eu lance o ônibus – em abril?" Larry Mulloy, um gestor da NASA, retrucou.

Todas as atenções estavam voltadas para o Challenger. A NASA já estava há cinco anos e vinte e quatro missões desenvolvendo o programa, que apesar dos custos e complexidades, foi elaborado para deixar as viagens espaciais mais rotineiras, com a ajuda de uma espaçonave reutilizável. O lançamento do Challenger, portando o primeiro astronauta civil, a "professora do espaço" Christa McAuliff, seria transmitido em milhares de escolas, em todo o país.

Mas dentro da NASA, problemas com o ônibus se acumulavam em silêncio. O relatório do acidente, escrito pela comissão presidencial, descobriu mais tarde que, desde 1977, os gestores da NASA sabiam que os O-rings (juntas tóricas de borracha) funcionavam mal em baixas temperaturas, e não formariam o lacre ideal no frio. Em lançamentos anteriores, os engenheiros descobriram que os lacres foram danificados, embora não o suficiente para causarem uma catástrofe. Em vez de remodelar a peça, no entanto, os gestores da NASA e da Thiokol arquivaram o problema como "um risco de vôo aceitável".

Mas as temperaturas previstas para o lançamento do Challenger levantaram novas preocupações entre os engenheiros. Os O-rings não haviam passado por testes de segurança em temperaturas abaixo de 11 graus, eles contaram à NASA, e na manhã do dia 28 de janeiro, a previsão de frio era de um grau abaixo de congelamento, temperatura mínima permitida para o lançamento.

Ainda assim, Boisjoly se lembra, a NASA não se impressionou com suas preocupações. Ele descreveu a conferência telefônica à Comissão Rogers. "O objetivo da reunião era lançar a nave, e cabia a nós provar que, sem sombra de dúvidas, o lançamento não era seguro", disse. "Isso estava em total desacordo com a posição comum a uma discussão pré-voo ou uma revisão de prontidão de voo. Geralmente, ocorre o exato oposto."

No meio da disputa, os executivos da Morton-Thiokol pediram um recesso de cinco minutos para discutir a questão em particular. Levaram trinta minutos. Sob pressão para o lançamento, e sem ter comunicado todas as ponderações à NASA, os gestores votaram e optaram por reverter a recomendação dos cientistas. O Challenger ia proceder conforme previsto.

Mas McDonald, responsável pelo programa SRB (foguete de propulsor sólido), recusou-se a levar adiante sua tarefa cotidiana: assinar o laudo de lançamento, que funcionava como um sinal verde por parte dos engenheiros.

"Tomei a decisão mais inteligente de toda a minha vida", ele conta no filme. "Eu me recusei a assinar o documento. "Achei que era um risco muito alto." Seu chefe, Joe Kilminster, assinou no lugar.

***

Parte do problema com o Challenger, alguns defendem, é que embora os riscos fossem de conhecimento de certas pessoas, eles não foram claramente divulgados o suficiente e, portanto, foram ignorados. Os gestores da NASA podem ter compreendido o problema em forma de números, mas não entenderam o perigo que ele apresentava à vida dos astronautas. É difícil temer o que não dá para ver. Um simples experimento científico poderia ter ajudado: a borracha dos O-rings se deformava com facilidade quando exposta a temperaturas abaixo de zero, conforme Richard Feynmann demonstrou, de forma dramática, nas audiências da Comissão Rogers.

Mas, antes do lançamento, os engenheiros não tinham como providenciar uma análise estatística para respaldar suas preocupações. "Me pediram para quantificar as preocupações", disse Roger Boisjoly, especialista em O-rings, "e eu disse que não tinha como, não dava para quantificar, mas contei que estava longe de ser algo bom na presente base de dados".

Por outro lado, segundo o designer de informação Edward Tufte, os argumentos dos engenheiros a respeito do problema foram mal elaborados. Baseado em informações concebidas por investigadores da NASA, Tufte alegou que a exposição de dados nos gráficos não descreviam de forma suficiente o risco, como nesta tabela crucial que os engenheiros desenharam para os gestores da NASA, no dia anterior ao lançamento, com predições matemáticas para o Challenger na linha inferior.

Tufte assinalou ainda outro gráfico com dados históricos, que os engenheiros mostraram à NASA antes do lançamento.

O desenho desse simples gráfico estava ruidoso demais, ele diz. "Essa imagem contém toda informação necessária para diagnosticar a relação entre temperatura e dano, se apenas conseguirmos enxergar [os dados]", escreveu. "Nos treze gráficos preparados para a tomada de decisão sobre o lançamento", conclui, "há uma discrepância escandalosa entre as tarefas intelectuais disponíveis e as imagens criadas para servir tais tarefas".

Para efeito de comparação, a visualização dos dados na Comissão Rogers, elaborada no fim do mesmo ano, ilustra a incerteza em torno dos O-rings de forma mais vívida que a tabela dos engenheiros. A temperatura do canto superior esquerdo, STS 51-C, foi medida no lançamento do ônibus espacial Discovery, um ano antes. Na época, foi o registro mais frio de um lançamento, marcando apenas 11 graus. O Challenger  seria lançado em temperaturas bem mais baixas.

Em Visual Explanations (Explicações Visuais), Tufte desenvolve este gráfico para deixar o risco ainda mais claro, acrescentando um marcador para indicar quão frios os O-rings do Challenger estavam naquela manhã.

Para ele, o ônibus espacial é um lembrete de que nenhum problema será tratado se não for visto antes. Claro, isso presumindo que, quando um problema puder ser visto, as pessoas estarão dispostas a vê-lo.

***

Há uma tendência, em todo tipo de instituição, de evitar o foco em problemas difíceis até que eles se transformem em crises ou desastres. Em um estudo de 2002 na revista científica Ética em Ciência e Engenharia, o especialista em ética Wade Robison e Roger Boisjoly, antigo engenheiro do Challenger, criticaram a análise de Tufte pela falta de rigor, e por encobrir dados da vida real. Também disseram que Tufte colocou muita ênfase e culpa nos engenheiros, e em seus gráficos mal elaborados. As críticas do designer, segundo eles, pecaram por não levar em conta o fato de que os próprios engenheiros já tinham levantado questões importantes sobre os O-rings meses antes do lançamento do Challenger. Mas deram de ombros para o problema.

Depois de analisar as anotações de Boisjoly, o major-general Donald Kutyna, membro da Comissão Rogers, comparou a aceitação do risco dos O-rings por parte NASA com uma companhia aérea capaz de deixar um avião voar apesar de provas de que uma das asas está prestes a cair. Na NASA, coletar dados sobre riscos, ligar os pontos e responder de acordo foram parte relativamente insignificante do processo e seu objetivo final: lançar o ônibus a tempo, em um momento em que os gestores da NASA estavam se esforçando para provar o valor do programa, não só ao público americano, como também à Casa Branca de Ronald Reagan e ao Pentágono. Algumas pessoas, como Neil deGrasse Tyson, definiram o Challenger mais como uma ferramenta militar promocional, publicitária, do que como uma plataforma de ciência.

O erro não foi como uma negligência ou imprudência; a agência não se sensibilizou porque o problema não se provou perigoso o suficiente, a ponto de levantar preocupações sérias, e porque não havia uma solução fácil. Aos poucos, o padrão da NASA havia mudado, de modo que um segundo conjunto de O-rings, feitos para operar em casos extremos, tornou-se parte do uso padrão nos foguetes de propulsor sólido. Uma solução melhor não era impossível. Uma delas foi desenvolvida após o acidente, mas, naquele momento, os custos de atualização seriam infinitamente mais caros e macabros do que os gestores da NASA poderiam imaginar.

***

A cegueira aos riscos – e a uma queda gradual de padrões – também pode ser coletiva, e isso pode ser ainda mais perigoso. Depois do Challenger, críticos acusaram a NASA de praticar "pensamento de grupo", uma mentalidade coletiva nomeada em 1972 por Irving L. Janis, um psicólogo de Yale, pioneiro nos estudos de dinâmicas sociais. Janis procurou descrever como concordância e autoridade podem se sobrepor a razão e inteligência quando grupos têm de tomar decisões difíceis. Em situações de grupo, ele argumentou, fica fácil se retrair frente a excesso de confiança, visão limitada e conformidade. Pensamento de grupo é "um modo de pensamento em que as pessoas engatam quando estão profundamente envolvidas em grupos coesivos", escreveu, "quando esforços por unanimidade atropelam a motivação para apreciar, de forma realista, ações alternativas".

Ao passo que problemas se intensificam sem crises, um falso senso de segurança, ilusório, também se intensifica. Em momentos críticos, quando instituições enfrentam questões difíceis, os especialistas que estão na base da cadeia de comando podem relutar para refrear o processo de tomada de decisões. Por outro lado, quanto mais longa a cadeia de comando, mais fácil arcar com responsabilidades pessoais.

"À medida que alguém sobe na cadeia, recebe ordens cada vez mais difíceis de pessoas que têm mais e mais controle sobre seu futuro", David Lochbaum, um engenheiro nuclear da Union of Concerned Scientists (União de Cientistas Preocupados), contou aoTimes em 2003. Embora Boisjoly e outros tenham declarado que seus chefes foram os responsáveis pela recomendação do lançamento, ninguém foi especificamente culpado pela comissão que investigou o Challenger. Em vez disso, a Comissão apontou para um problema sistêmico, criticando o processo "defeituoso" da NASA de tomada de decisões. Como atesta a velha frase de Washington, erros foram cometidos.

Potencialmente, uma incapacidade sistêmica de reconhecer riscos faz parte de toda instituição, mas isso fica especialmente claro nas entidades cujas decisões podem matar pessoas. Ao divulgar seu relatório sobre uma investigação interna, no começo do mês, Mary Barra, a CEO da fabricante de carros General Motors, descreveu uma empresa em que indivíduos não foram capazes de agir frente informações que indicavam perigo. Autoridades da empresa conheciam os problemas de segurança da chave de ignição dos carros desde 2010, mas não foram capazes de agir, ela disse. Outras pessoas da empresa também falharam.

"Vários indivíduos não aceitaram a responsabilidade de fazer a organização entender o que estava realmente acontecendo", completou. "O relatório destaca uma empresa que operou às escuras, com uma série de indivíduos aparentemente buscando motivos para não agir, em vez de encontrar maneiras de proteger os clientes."

Assim como os O-rings da NASA, o problema dos carros que morriam em alta velocidade foi arquivado ao longo dos anos como um "risco aceitável", como problema de conveniência em vez de problema de segurança, e se perdeu nos porões da empresa. Assim como a NASA, a GM enfatizava segurança como fator crítico, mas preocupações de segurança competiam com controle de custos, um problema que, segundo um engenheiro, "permeia a o pano de fundo de uma cultura empresarial". Enquanto isso, cortes de equipes mantinham os engenheiros sob pressão. O resultado líquido, de acordo com o relatório, era uma cultura que desencorajava os funcionários a dar um passo a frente, manifestar-se, admitir culpa e promover remodelagens.

Como resultado, disse Barra, agora ela quer que os funcionários cujas preocupações não forem endereçadas mandem um email direto para ela. "Se você está ciente de um problema em potencial afetando segurança ou qualidade e não se manifestar, você é parte do problema", afirmou. "E isso não é aceitável. Se você enxergar um problema que acha que não está sendo tratado devidamente, comunique seu supervisor. Se ainda achar que não está sendo tratado devidamente, entre em contato direto comigo."

Mas a experiência ensina uma lição oposta para os delatores em potencial da GM, mesmo para os funcionários internos. Algumas pessoas da GM chegaram a se manifestar, e foram ignoradas. Embora investigadores da própria GM não tenham encontrado provas de encobrimento, uma investigação recente da Businessweek detalhou as tentativas repetidas e fracassadas de um delator interno de consertar o problema. Mesmo quando conhecem os riscos, algumas organizações fazem de tudo para escondê-los e enfrentar as pessoas que os expõem.

O Departamento de Assuntos dos Veteranos dos EUA é outro exemplo recente. Provas se amontoaram, sugerindo que vários médicos e funcionários foram aparentemente dispensados por reclamar de desorganização, atrasos persistentes e tentativas de esconder ambos os problemas em hospitais por todo o país. O principal método de supressão dos fatos ficou conhecido como "consultas-fantasmas", que serviam para indicar que pacientes eram atendidos pontualmente, obedecendo os requisitos federais. Kathy Leatherwood, uma enfermeira do hospital de veteranos do Alasca, contou para o Times que foi instruída a marcar pacientes como "não comparecimento" ou cancelamento e remarcar a verdadeira consulta para mais tarde.

Quando Leatherwood consultou um administrador, a resposta ecoou a situação de Allan McDonald no dia anterior ao lançamento do Challenger: "É o meu nome que estará naquela tabela", ela lembra de dizer ao administrador. Se ela não estivesse disposta a conduzir a política do hospital, "ele encontraria alguém que estaria", contou. Quando Leatherwood continuou a se opor, o superior ameaçou acionar os seguranças caso ela não saísse de seu escritório.

Depois que Eric K. Shinseki deixou o cargo de chefe do departamento, o diretor geral, Sloan Gibson, descreveu uma cultura de silêncio e intimidação no hospital. "Entendo que temos um problema cultural aqui, e vamos lidar com ele", disse.

Antes do lançamento do Challenger, engenheiros da Thiokol contataram canais oficiais da NASA e emitiram reclamações, e foram ignorados; e depois que trouxeram seus protestos a público, na Comissão Rogers, foram jogados para escanteio. Em Truth, Lies and O-Rings (Verdades, Mentiras e O-Rings), Allen MacDonald escreveu que "Roger e eu já nos sentíamos como leprosos, mas quando retornamos a Utah [após a entrevista da Comissão Rogers], nossos colegas nos trataram como se abusássemos de crianças". Boisjoly foi rejeitado por colegas e expulso do "trabalho espacial" por seu chefe. "Gestores o isolaram numa posição e 'transformaram sua vida em um inferno na Terra, todos os dias'."

"Quando percebi o que estava acontecendo, fiquei arrasado," Boisjoly disse à Associated Press em uma entrevista por telefone, em 1988. "Isso destruiu minha carreira, minha vida, tudo." Boisjoly continuou trabalhando na Thiokol por seis meses, antes de tirar uma licença de longo prazo por invalidez, ao ser diagnosticado com transtorno de estresse pós-traumático. Mais para frente, ele processou a NASA e a Thiokol, mas nunca chegou aos tribunais, e passou a ver essas tentativas como "um exercício de futilidade total".

Na NASA, "problemas culturais" persistiram mesmo após o Challenger. No dia 1 de fevereiro de 2003, o Columbia pegou fogo durante a descida à Terra, sobre o oeste dos Estados Unidos, depois que gases vazaram na asa esquerda, através de um furo que se formou no lançamento. O culpado: um pedaço de espuma que caiu do tanque de combustível externo, e que os gestores da NASA deixaram passar.

Em 2003, o programa de ônibus espacial, que atropelou questões de segurança em silêncio, tornou-se uma reflexão nacional. Dentro da NASA, o risco apresentado por um pedaço de espuma também serviu de reflexão posterior. Antes, era uma ameaça despropositada, que não valia a pena considerar. Quando um engenheiro propôs solicitar ao Pentágono que fotografassem a parte inferior da nave com um de seus satélites de espionagem, o pedido foi vetado por seu superior.

Gerir o processo de tomada de decisões da NASA, no momento, dava um senso macabro e inconveniente de que, caso houvesse um problema com a asa da nave, ninguém poderia fazer algo para consertá-la, dado que estava em órbita. Na verdade, assim como encontraram uma solução tardia para os O-rings, uma ideia de experimento ilustrou como a NASA poderia ter organizado um resgate emergencial – uma acoplagem com a Estação Espacial – ou preparado uma caminhada espacial para fazer os consertos. Mas como não reconheceram o risco de forma honesta, nenhuma solução foi criada. Wayne Hale, um gestor da NASA, depois disse: "Jamais diremos que não há nada que possamos fazer."

Mais uma vez, assim como no caso do Challenger, a resposta estava na física básica. Só mais tarde, numa espécie de experimento de laboratório colegial de ciências, meses depois, é que os gestores da NASA viram o erro: quando atiraram numa reconstrução da asa do ônibus, mesmo com um pedaço pequeno de espuma, abriram um buraco vazado, o que deixou todos perplexos. Se o risco tivesse sido melhor comunicado, mais cedo, uma conversa como esta, conduzida por gestores da NASA enquanto a nave estava em órbita, não teria terminado tão fácil e tão rápido, com a conclusão de que a única inconveniência, no caso, seria um pequeno reparo depois do pouso do ônibus.

SR. McCORMACK -- Bem, talvez se resuma ao… podemos perder um escudo inteiro, digo, e então a rampa de entrada e a saída da peça. Capaz que haja uma área significativa de danos no escudo, até o S.I.P. [painel de isolamento]. Talvez falte uma peça significativa, mas----

SRA. HAM -- Seria um caso de retorno?

SR. McCORMACK -- Isso.

SRA. HAM -- O.K., certo, a mesma coisa que você me contou outro dia no meu escritório, já vimos peças desse tamanho, não vimos?

SR. LEINBACH -- Ei, Linda, estamos perdendo partes da conversa.

SRA. McCORMACK -- Certo… Ele estava apenas reiterando, era o Calvin [Schomburg], que não acha que haja alguma hmm queimadura, então não há problemas de segurança de voo, é mais uma questão de retorno, semelhante a contratempos que tivemos em outros vôos. Só isso? Certo, alguma dúvida? O.K….

Mesmo em organizações que a autonomia é considerada fundamental, forças maiores estão em jogo. Quando um problema é muito ignorado, ele passa de risco aceitável a desastre num instante. Se alguém do grupo dispara um alarme, essa pessoa está se voltando contra a inércia organizacional, cadeias de comando e culturas cuja força deriva de um senso de obediência.

Todos nós cometemos erros. É bem provável que eu tenha cometido alguns nesta reportagem. Por isso, conto com outras pessoas para me avisar caso isso aconteça e para me oferecer sugestões. Paradoxalmente, no entanto, esse sistema pode levar à complacência e um falso senso de segurança: se dependo muito dos outros para checarem meus próprios erros, posso atrofiar minha capacidade de reconhecê-los. Um editor pode ver um problema e não mencionar, porque acha que não é importante o suficiente ou imagina que eu mesmo já vi, ou está simplesmente abarrotado de outras tarefas. É fácil perceber como os erros passam pelos sistemas que foram elaborados para evitá-los. Isto é apenas uma reportagem, não um ônibus espacial, mas dá para imaginar como um errinho minúsculo pode gerar uma catástrofe.

O truque é saber quais erros devem ser endereçados e quais podem ser aceitos, e identificar os problemas que são aceitos apenas porque não somos capazes de enxergar o perigo. Em um artigo de opinião, Hank Paulson, que presidiu a crise financeira de 2008 como Secretário do Tesouro dos EUA, lamenta que "estamos cometendo o mesmo erro hoje com a mudança climática", assim como fizemos com os mercados financeiros: acumulando excessos sem estabelecer soluções potentes. "Os sinais de aviso estão claros e cada vez mais urgentes, ao passo que os riscos não são controlados", ele escreveu. "Não podemos nos dar o luxo de ignorar essa crise. Sinto que estou sentado, assistindo, enquanto voamos em câmera lenta numa rota de colisão rumo a uma montanha gigante. Podemos ver a colisão a caminho, e mesmo assim estamos sentados de braços cruzados, em vez de alterar a rota."

Como na maioria das crises, a calamidade financeira de 2008 resultou em grandes correções. Mas também demonstrou um paradoxo de grandes sistemas complexos, do tipo que, cada vez mais, determina nosso dia a dia. Quando riscos inflam e viram crises, os sistemas ficam grandes demais para administrarmos. Em primeiro lugar, somos incapazes de imaginar que eles podem falhar só porque são muito importantes para a sociedade – lembrem-se dos bancos socorridos durante o mandato de Paulson –, a ponto de deixarmos os problemas passarem. A lógica "grande demais para fracassar", de certa forma, deixa o fracasso ainda mais inevitável. (Apesar dos protestos de Alan Greenspan e companhia, do tipo "se são grandes demais para fracassar, são grandes demais", uma pesquisa realizada este ano pelo Fundo Monetário Internacional alertou que o problema ainda existe.)

Entre outras falhas, a crise financeira expôs alguns dos novos métodos utilizados por empresas para se proteger de riscos e reduzir o perigo moral envolvido. Um dos aspectos interessantes do chamado "consumo colaborativo" é a maneira como algumas das empresas constroem não apenas novos softwares, mas novos métodos para evitar responsabilidades que costumavam carregar. Companhias de seguro florescem.

Apesar das deficiências, o programa de ônibus espacial da NASA deixou um legado positivo para voos espaciais e para todos nós. Parte da lição sobre não cometer erros requer a força bruta de computadores, torrentes de dados e uma compreensão das leis, tanto da física quanto governamentais. Exige foco. Mas também requer a dúvida e a divergência humana.

Claro, o ato de se manifestar ou confessar contém riscos próprios: como as experiências de Roger Boisjoly, Allan McDonald e outras pessoas mostraram, manifestar-se pode se transformar num ato monstruoso, uma empreitada cara, e o delator pode acabar tachado de chorão, marcado como alguém desobediente, ou pode virar alvo de uma investigação governamental.

Ou, na pior das hipóteses, pode simplesmente ser ignorado.

Tradução: Stephanie Fernandes