Challenger — O que aconteceu nos 73 segundos antes do desastre?

Na noite anterior ao lançamento, havia uma recomendação técnica para não voar abaixo de 53 graus Fahrenheit. Na manhã seguinte, o termômetro estava muito abaixo dessa referência. Mesmo assim, o Challenger deixou a plataforma. 73 segundos depois, sete pessoas morreram diante de milhões de espectadores. Mas esta história não começou no céu. Ela começou anos antes, quando sinais de uma vedação vulnerável foram tratados como problemas administráveis. E continuou numa teleconferência em que o risco existia, mas não chegou inteiro a todos que participavam da decisão. Em 28 de janeiro de 1986, a missão STS-51-L seria o 25º voo do programa dos ônibus espaciais. O Challenger já havia completado nove missões. A promessa era ambiciosa: transformar viagens ao espaço em uma operação cada vez mais frequente, quase rotineira. A bordo estavam o comandante Francis Scobee, o piloto Michael Smith, os especialistas Ellison Onizuka, Judith Resnik e Ronald McNair, e os especialistas de carga Gregory Jarvis e Christa McAuliffe. McAuliffe era professora. Sua participação no projeto Teacher in Space levaria uma aula do espaço para escolas em todo o país. Isso transformou o lançamento num evento acompanhado ao vivo por alunos, famílias e emissoras de televisão. Para entender o que aconteceu, é preciso olhar para uma parte muito menor do que o próprio ônibus espacial. Os dois propulsores sólidos brancos eram montados com grandes segmentos cilíndricos. Onde um segmento encontrava o outro, uma junta precisava permanecer vedada enquanto a pressão interna tentava deformar a estrutura. Dois anéis de borracha, chamados O-rings, deveriam impedir que gases quentes escapassem. No desenho original, a junta se abria ligeiramente sob pressão. Para vedar o espaço, o O-ring precisava recuperar sua forma e se mover depressa. Em temperaturas baixas, a borracha respondia mais lentamente. Se a abertura surgisse antes da vedação, gases da combustão poderiam atravessar a junta. Esse risco não apareceu pela primeira vez em 1986. Depois da missão STS-2, em 1981, uma inspeção encontrou erosão no O-ring primário de uma junta. Em voos posteriores, também apareceram erosão e sinais de gases que haviam passado pela primeira vedação. Cada missão que voltava sem acidente parecia confirmar que o problema tinha margem. Mas um sistema não se torna seguro apenas porque sobreviveu à última anomalia. Com o tempo, danos que não deveriam existir passaram a ser classificados como aceitáveis. A vedação secundária foi tratada como proteção, mesmo quando análises internas já indicavam que ela podia não estar na posição certa para funcionar depois que a junta se abrisse. Em janeiro de 1985, a missão STS-51-C voou numa manhã fria e voltou com sinais severos de blow-by: gases e resíduos haviam ultrapassado a vedação primária. Para alguns engenheiros, aquilo relacionava temperatura baixa e desempenho mais lento do O-ring. Para a administração, os dados ainda não formavam uma correlação estatística completa. Essa diferença de interpretação se tornou decisiva um ano depois. O lançamento da STS-51-L já havia sido adiado. Para a madrugada de 28 de janeiro, a previsão indicava um frio excepcional na Flórida. Havia gelo em estruturas da plataforma, uma preocupação separada. E havia outra pergunta: qual seria a temperatura real das juntas dos propulsores? Na tarde e na noite do dia 27, engenheiros e gestores da NASA e da Morton Thiokol, fabricante dos motores sólidos, participaram de teleconferências. A equipe técnica apresentou o histórico de erosão, o voo frio anterior e a perda de elasticidade dos O-rings. A recomendação inicial da Thiokol foi adiar o lançamento. O limite proposto seguia a experiência anterior: não voar abaixo de aproximadamente 53 graus Fahrenheit, cerca de 12 graus Celsius. Representantes da NASA questionaram a base do limite. Os dados eram incompletos e não mostravam, em todos os voos, uma relação simples entre temperatura e dano. Mas a ausência de uma curva perfeita não demonstrava segurança numa condição nunca testada em voo. A teleconferência foi interrompida para uma reunião interna da Thiokol. Engenheiros continuaram a se opor. Depois de aproximadamente meia hora, a administração da empresa voltou à linha e mudou sua posição. A recomendação final passou a ser lançar. A Comissão Rogers concluiu depois que essa reversão contrariou a visão dos engenheiros e ocorreu sob pressão do principal cliente. Também descobriu que responsáveis de níveis superiores, incluindo o diretor de lançamento e o diretor do programa, não receberam a objeção inicial da Thiokol. O risco havia sido discutido. Mas a forma completa desse risco não percorreu a organização. Na manhã de 28 de janeiro, a temperatura ambiente no lançamento era de 36 graus Fahrenheit, cerca de 2 graus Celsius. A região mais fria da junta traseira do propulsor direito foi estimada em 28 graus, com margem de 5 graus para mais ou para menos. Isso significa que parte da vedação podia estar abaixo de zero Celsius. Às 11 horas, 38 minutos e alguns segundos, os motores principais acenderam. Em seguida, os propulsores sólidos foram acionados e o Challenger subiu. Apenas 0,678 segundo depois, câmeras registraram fumaça escura saindo da junta traseira do propulsor direito. Era sinal de que a vedação não havia funcionado por completo. Entre 0,836 e 2,5 segundos, novos pulsos de fumaça apareceram. Resíduos da combustão se acumularam temporariamente na abertura e reduziram o vazamento. Por quase um minuto, o voo pareceu normal. Aos 58,788 segundos, uma pequena chama surgiu na mesma região da junta. Pouco depois, ela se transformou num jato contínuo. Os sistemas de controle começaram a compensar diferenças de força entre os propulsores. Aos 64,660 segundos, a chama já atingia o tanque externo. Telemetria e imagens indicaram vazamento de hidrogênio. A partir de 72 segundos, as falhas ocorreram numa sequência extremamente rápida. Por volta de 73 segundos, o tanque externo perdeu sua integridade. O propulsor direito girou contra a estrutura. Hidrogênio e oxigênio líquidos foram liberados e queimaram numa enorme bola de fogo. Sob cargas aerodinâmicas muito acima do que poderia suportar, o orbitador se desintegrou. O que o público viu pareceu uma única explosão. A reconstrução técnica mostrou uma cadeia: vedação atrasada, gases quentes, chama, ruptura do tanque e falha estrutural em alta velocidade. Francis Scobee, Michael Smith, Ellison Onizuka, Judith Resnik, Ronald McNair, Gregory Jarvis e Christa McAuliffe morreram na missão. A investigação presidencial reuniu documentos, filmes, telemetria, testes e depoimentos. Sua conclusão física foi direta: a junta do motor sólido direito falhou porque as vedações não impediram o vazamento de gases quentes. Mas o relatório não parou no O-ring. A Comissão descreveu uma falha grave no processo de decisão. Problemas de erosão e blow-by haviam aparecido repetidamente. Restrições de lançamento foram tratadas sem chegar a todos os níveis. Informações técnicas perderam força ao atravessar camadas de gestão. E condições anormais passaram a parecer toleráveis porque voos anteriores haviam terminado bem. Isso tem um nome na segurança moderna: normalização do desvio. Uma organização convive com uma anomalia, não sofre a consequência máxima e transforma a sobrevivência em evidência de controle. O limite se desloca pouco a pouco. Depois do acidente, a Comissão exigiu que a junta fosse redesenhada e testada em toda a faixa de operação, inclusive sob frio. Também recomendou supervisão independente, revisão dos itens críticos, comunicação direta de riscos e uma estrutura de segurança com autoridade própria. A NASA redesenhou os motores sólidos. A nova junta recebeu alterações para limitar sua abertura, uma terceira vedação e aquecedores externos. O programa passou por mais de 200 mudanças antes do retorno ao voo. Em 29 de setembro de 1988, o Discovery decolou na missão STS-26. O ônibus espacial estava de volta. A certeza de rotina, não. O legado do Challenger não é a ideia de que todo risco pode ser eliminado. É a obrigação de impedir que um alerta seja reduzido até caber num cronograma. Engenharia não é apenas calcular se uma peça pode funcionar. É decidir o que fazer quando os dados são incompletos, a condição é inédita e a consequência de errar é irreversível. Naquela manhã, o problema não foi a ausência de sinais. Foi a incapacidade de transformar sinais conhecidos numa decisão capaz de interromper a contagem regressiva.