Havárii Challengeru předcházelo selhání těsnicího kroužku a chyby ve vedení NASA

Ráno 28. ledna 1986 explodoval raketoplán Challenger 73 sekund po startu. Sedm členů posádky zahynulo.

Foto: Acroterion - licence CC BY SA 4.0

Teplota na mysu Canaveral klesla tu noc k minus třem stupňům Celsia. Na ocelových konstrukcích startovací rampy visely rampouchy. Přesto v 11:38 místního času zazněl povel k zážehu. Už 0,678 sekundy poté kamery zachytily obláčky tmavého kouře vycházející ze spoje pravého pomocného motoru SRB, přesně z místa, kde gumový těsnicí kroužek měl bránit úniku spalin o teplotě přes 2 700 °C. Kroužek ztuhlý mrazem nestihl dosednout. Kolem 58. sekundy letu se na témže místě objevil plamen, který během dalších patnácti sekund pronikl k vnější palivové nádrži. Nádrž se rozlomila, sestava se rozpadla. Challenger přestal existovat.

Gumový kroužek, který neměl být jedinou pojistkou

Pomocné motory SRB se skládaly z několika segmentů spojených systémem tang-clevis, jakýmsi zámkem pero-drážka, a utěsněných dvěma O-kroužky z fluoroelastomeru. Primární kroužek měl zabránit průniku spalin, sekundární sloužil jako záloha. Jenže záloha existovala spíš na papíře. Už testy a interní memoranda z let 1977–1979 popisovaly, že se spoj po zážehu rozevírá natolik, že sekundární kroužek může zcela ztratit kontakt s těsnicí plochou. V roce 1983 byl spoj přeznačen z kategorie Criticality 1R (redundantní) na Criticality 1, položku, jejíž selhání znamená ztrátu posádky nebo stroje. A dostal výjimku z požadavku na konstrukci odolnou proti selhání.

Přesto raketoplány dál létaly. Eroze kroužků se objevovala opakovaně, na několika misích pronikly spaliny i za primární těsnění, jev označovaný jako blow-by. Každý úspěšný let s anomálií paradoxně snižoval vnímanou naléhavost problému. Z varovného signálu se stala statistická položka v tabulce.

Večer, kdy se obrátilo důkazní břemeno

Večer 27. ledna 1986, necelých dvanáct hodin před plánovaným startem, proběhla telekonference mezi Marshallovým střediskem NASA a firmou Morton Thiokol, výrobcem motorů SRB. Inženýři Thiokolu, především Roger Boisjoly a Allan McDonald, předložili data ukazující, že všechny dosavadní starty při okolní teplotě pod 16 °C provázely příznaky tepelného poškození kroužků. Pro STS-51-L se teplota spoje odhadovala na pouhých minus 2 °C, tedy hluboko pod jakoukoli dosavadní zkušeností.

Thiokol písemně doporučil nestartovat, dokud teplota O-kroužku nedosáhne alespoň 12 °C. Reakce Marshallova střediska byla nečekaná. Manažeři NASA vyjádřili překvapení a nesouhlas. Následovala interní porada vedení Thiokolu bez přítomnosti inženýrů u rozhodovacího stolu. Výsledek: vedení firmy stanovisko obrátilo a start doporučilo.

Rogersova komise později popsala klíčový moment takto: místo aby management vyžadoval důkaz, že je systém bezpečný, žádal po inženýrech důkaz, že systém selže. Boisjoly a McDonald takový absolutní důkaz poskytnout nemohli, nikdo nemůže s jistotou předpovědět havárii. A tak se odmlčeli. Informace o původním doporučení nestartovat se k nejvyššímu vedení NASA na úrovních Level I a II vůbec nedostala.

Kultura, která z anomálie udělala normu

Rogersova komise ve své závěrečné zprávě nepsala jen o gumě a mrazu. Šestá kapitola nese název „Nehoda zakořeněná v historii“. Komise dokumentovala, jak NASA a Thiokol roky normalizovaly opakované anomálie. Eroze kroužků se v přehledech letové připravenosti prezentovala jako „přijatelné riziko díky omezené expozici a redundanci“, přestože skutečná redundance neexistovala.

Bezpečnostní aparát NASA byl v rozhodovacím procesu prakticky neviditelný. Sedmá kapitola zprávy ho označuje za „tichý bezpečnostní program“. Bezpečnostní inženýři nebyli přizváni k zásadní telekonferenci před startem. Neexistovala funkční trendová analýza, která by spojila data z jednotlivých letů do celkového obrazu rostoucího rizika. A nad tím vším visel zrychlený letový plán: NASA plánovala v roce 1986 rekordních patnáct misí, což daleko přesahovalo reálné kapacity infrastruktury i lidí.

Komise uzavřela, že kdyby rozhodující osoby znaly všechny relevantní skutečnosti, je „vysoce nepravděpodobné“, že by 28. ledna 1986 start schválily.

Sedmnáct let poté, stejná skluzavka

1. února 2003 se při návratu do atmosféry rozpadla Columbia. Příčina byla fyzicky jiná: kus izolační pěny z vnější nádrže při startu poškodil tepelnou ochranu levého křídla. Ale vyšetřovací komise CAIB ve své zprávě výslovně napsala, že nebezpečné rysy organizační kultury NASA z roku 1986 zůstaly v zásadě nezměněné. Odpadávání pěny se stalo „známým problémem“, stejně jako kdysi eroze kroužků. Organizační kultura měla na nehodě podle CAIB „stejně velký podíl jako pěna“.

NASA po Challengeru přitom zavedla řadu změn: redesign spojů SRB, nezávislý dohled, novou bezpečnostní kancelář a v roce 1987 i anonymní NASA Safety Reporting System, který měl umožnit komukoli nahlásit bezpečnostní obavy bez strachu z postihu. Dnešní pilotované lodě, včetně Orionu pro program Artemis, už standardně nesou záchranný systém pro případ havárie při startu. Poučení se vtisklo do hardwaru. Otázka je, zda se vtisklo i do kultury.