O ônibus espacial da NASA voou 135 vezes entre 1981 e 2011 e foi perdido duas vezes, matando sete pessoas em cada acidente. A Challenger se desfez 73 segundos depois de decolar, em 28 de janeiro de 1986, por causa de um anel de borracha endurecido pelo frio. A Columbia se despedaçou na volta para casa, em 1º de fevereiro de 2003, por causa de um pedaço de espuma que tinha batido na asa no dia do lançamento, 16 dias antes.
As duas investigações chegaram a conclusões técnicas diferentes e a uma conclusão humana idêntica: em ambos os casos, o problema era conhecido e havia sido tratado como normal.
Challenger, 28 de janeiro de 1986
A missão se chamava STS-51L e teria sido a vigésima quinta do programa, e o décimo voo da própria Challenger. A tripulação tinha sete pessoas: Francis R. "Dick" Scobee, Michael J. Smith, Ellison S. Onizuka, Judith A. Resnik, Ronald E. McNair, Gregory B. Jarvis e Christa McAuliffe, professora de ensino médio selecionada num programa que levaria a primeira civil comum ao espaço. Por causa dela, milhares de escolas americanas estavam assistindo ao lançamento ao vivo naquela manhã.
O lançamento saiu às 11h38 no horário do leste dos Estados Unidos. Aos 73 segundos de voo, o controle perdeu toda a telemetria. Nesse instante a nave viajava a Mach 1,92 — quase o dobro da velocidade do som — a 46 mil pés, cerca de 14 quilômetros de altura.
Vale dizer com todas as letras, porque a expressão "explosão da Challenger" gruda e é imprecisa: não foi uma explosão no sentido comum. O conjunto se rompeu por forças aerodinâmicas depois que uma chama vazada atingiu o tanque externo, e a cabine da tripulação se separou inteira e caiu. Foi um acidente atmosférico, a 14 quilômetros do chão — bem longe do espaço, que começa a 100 quilômetros, como explica Onde começa o espaço? A linha de Kármán, a 100 km.
O anel de borracha e os 2 graus
A comissão presidencial que investigou o caso ficou conhecida como Comissão Rogers. A causa técnica que ela encontrou foi um anel de vedação — um O-ring, um aro de borracha que fecha a junta entre dois segmentos do foguete sólido lateral, do mesmo jeito que a borracha da panela de pressão veda a tampa.
Borracha fria endurece e perde elasticidade. E aquela manhã na Flórida foi absurdamente fria. O relatório registra: a temperatura do ar no momento do lançamento era de 36 graus Fahrenheit, ou seja, cerca de 2 °C, medidos a uns 300 metros da plataforma. Era 15 graus Fahrenheit mais frio que o lançamento mais gelado até então.
O anel endurecido não vedou. Gás quente escapou pela junta e queimou como um maçarico lateral, apontado justamente para o tanque externo cheio de hidrogênio e oxigênio líquidos.
A parte mais difícil de engolir é que engenheiros do fabricante do foguete tinham alertado, na noite anterior, contra lançar naquele frio. Foram vencidos na discussão. A comissão foi explícita ao dizer que a causa não era só técnica: era também organizacional e cultural, uma cadeia de decisões que transformou um risco conhecido em rotina aceitável.
A frota ficou parada 32 meses. Os voos só voltaram em setembro de 1988.
Columbia, 1º de fevereiro de 2003
Dezessete anos depois, a missão STS-107 levava sete pessoas: Rick D. Husband, William C. McCool, Michael P. Anderson, David M. Brown, Kalpana Chawla, Laurel B. Clark e Ilan Ramon, o primeiro astronauta de Israel. Foram 16 dias em órbita, dedicados a experimentos científicos.
Na volta, sobrevoando o Texas a 207 mil pés — cerca de 63 quilômetros — o controle da missão perdeu contato. Faltavam 16 minutos para o pouso no Centro Espacial Kennedy.
De novo, tecnicamente, não foi no espaço: 63 quilômetros ainda é atmosfera, e é justamente a atmosfera que destruiu a nave. A fase de reentrada, e por que ela é o pedaço mais perigoso de qualquer volta, está em Como os astronautas voltam para a Terra, passo a passo.
Um pedaço de espuma a 800 km/h
A causa tinha acontecido 16 dias antes, no lançamento, e ninguém deu a devida importância.
Aos 81,7 segundos de subida, um pedaço da espuma isolante que reveste o tanque externo se soltou e bateu na borda da asa esquerda. O pedaço pesava cerca de 1,7 libra, uns 770 gramas — menos de um quilo, e feito de um material tão leve que parece inofensivo na mão. Só que a velocidade relativa da batida passou de 500 milhas por hora, mais de 800 km/h.
Nessa velocidade, espuma vira pedra. O impacto abriu um buraco no painel de carbono reforçado que protege a borda da asa. Durante a reentrada, esse buraco deixou o ar superaquecido entrar por dentro da asa e derreter, aos poucos, a estrutura de alumínio — até a asa ceder e a nave se desintegrar.
O problema da espuma que se solta não era novidade. Acontecia havia anos, em voo após voo, sem consequência grave. Era exatamente esse o ponto: virou rotina.
O que os dois acidentes tinham em comum
A causa técnica foi diferente: borracha fria num caso, espuma solta no outro. Mas a estrutura da história é a mesma, e as duas investigações disseram isso com todas as letras.
Nos dois casos havia um defeito conhecido e recorrente que não tinha causado desastre até então. Nos dois casos, o fato de nunca ter dado errado foi usado como argumento de que não daria. Nos dois casos, quem levantou a mão foi vencido por pressão de calendário e por uma hierarquia que exigia provar que era perigoso, em vez de provar que era seguro.
Esse padrão ganhou nome na literatura de segurança: normalização do desvio. É quando uma anomalia se repete tantas vezes sem consequência que deixa de ser tratada como anomalia.
O risco real de voar no ônibus espacial
Dois veículos perdidos em 135 missões dão uma taxa de 1 acidente fatal a cada 67,5 voos — cerca de 1,5% por missão.
Dito de outro jeito: de cada 100 decolagens, uma e meia terminava em desastre. É a diferença entre o que o programa prometeu e o que ele entregou — o ônibus espacial foi apresentado ao público, nos anos 1970, como um veículo que voaria quase toda semana, com segurança e custo próximos aos de uma linha aérea. Nunca chegou perto disso, em nenhum dos dois quesitos.
A frota tinha cinco naves: Columbia, Challenger, Discovery, Atlantis e Endeavour. Duas foram perdidas. O programa terminou em 21 de julho de 2011, quando a Atlantis pousou pela última vez.
O que mudou depois
Depois da Columbia, a NASA passou a inspecionar a barriga de cada nave em órbita, com câmeras e com o braço robótico, antes de autorizar a reentrada. Passou também a manter um plano de resgate: outra nave pronta para subir caso a primeira ficasse danificada demais para voltar.
Mais fundo que isso, a decisão foi aposentar o conceito. Os veículos que levam gente hoje voltaram ao formato de cápsula, com a tripulação no topo do foguete e não na lateral — de onde nada pode cair em cima dela — e com um sistema de escape capaz de arrancar a cápsula do foguete em caso de falha. É o desenho que a Apollo usava, e que a Challenger não tinha.
O Brasil entra nessa história de lado. O plano original era Marcos Pontes voar num ônibus espacial, e o acidente da Columbia parou a frota e embaralhou a fila de voos inteira — um dos fatores que acabaram levando o Brasil a comprar um assento na Soyuz russa, em 2006. A história completa está em Marcos Pontes: a história do primeiro astronauta brasileiro. O primeiro acidente fatal do programa espacial americano, o incêndio da Apollo 1, tem a mesma lição de fundo e está em Apollo 1: o que aconteceu no incêndio de 1967.
Não é coincidência que as três tragédias da NASA caiam quase na mesma semana do calendário: Apollo 1 em 27 de janeiro, Challenger em 28 de janeiro, Columbia em 1º de fevereiro. Todo ano, no fim de janeiro, a agência para para um Dia da Lembrança.
