Dyrektor lotów NASA o katastrofie: "Tamten dzień zmienił nasze życie"

"Katastrofalne zdarzenia nigdy nie mają tylko jednej przyczyny. Ściślej mówiąc – taka pojedyncza przyczyna może istnieć, ale jest to nieistotny detal, który nie miałby znaczenia, gdyby nie cały szereg okoliczności prowadzących do tragedii" - pisze w swoich wspomnieniach Paul Dye, były dyrektora lotów NASA. W książce "Houston, lecimy!" wspomina katastrofy w przestworzach, które odmieniły oblicze podboju kosmosu.

"Houston, lecimy!" ukazuje kluczowy dla podboju kosmosu program z perspektywy tych, którym powierzono jego realizację. Autor przedstawia całą galerię osobowości, cudów techniki i rozwiązań znalezionych nieraz w ostatniej chwili, które złożyły się na to, że regularne załogowe loty w kosmos były możliwe.

Prezentujemy fragment książki "Huston, lecimy!", wspomnień byłego dyrektora lotów NASA Paula Dye.

Katastrofalne zdarzenia nigdy nie mają tylko jednej przyczyny. Ściślej mówiąc – taka pojedyncza przyczyna może istnieć, ale jest to nieistotny detal, który nie miałby znaczenia, gdyby nie cały szereg okoliczności prowadzących do tragedii. W metodologii badania wypadków bywa to nazywane łańcuchem błędów. Chcąc poznać faktyczną przyczynę zdarzenia, należy podążać jego tropem od zdarzenia partykularnego (przyczyny bezpośredniej) do przyczyny zasadniczej, czyli tego, co sprawiło, że małe zdarzenie mogło doprowadzić do katastrofy.

Jeśli, przykładowo, dochodzenie wykaże, że przyczyną wypadku samolotu była poluzowana śruba, to problem tak naprawdę nie zostaje wyjaśniony. Bliżej odpowiedzi będziemy, jeśli ustalimy na poziomie mechanicznym, dlaczego śruby się luzowały. Jeśli jednak ma nie dojść do podobnego wypadku, musimy ponawiać pytanie "Dlaczego?" tak długo, aż poznamy zasadniczą przyczynę tego, że śruby były poluzowane. Zwykle na końcu kryje się ludzki błąd, któremu w jakiś sposób da się zapobiec. Na tym w skrócie polega badanie wypadków. Brzmi to nieskomplikowanie, ale jeśli przyczyny zdarzenia były złożone, może to zająć bardzo wiele czasu.

W historii programu straciliśmy dwa promy kosmiczne wraz z załogami. W 1986 roku podczas startu rozbił się Challenger, natomiast w roku 2003 podczas powrotu z przestrzeni kosmicznej zniszczeniu uległa Columbia. W obu przypadkach szybko stwierdzono, że do tragedii doszło na skutek usterek mechanicznych. Już po kilku godzinach od katastrofy Challengera usłyszałem, że jej bezpośrednią przyczyną była nieszczelność rakiety na paliwo stałe. Ustalenie konkretnej przyczyny wypadku Columbii trwało kilka dni, bardzo szybko pojawiło się jednak podejrzenie, że było nią uszkodzenie osłony termicznej na krawędzi natarcia spowodowane przez kawałek pianki, który podczas startu oderwał się od zewnętrznego zbiornika paliwa. To oczywiście dobrze, że dokonano obu tych ustaleń, żadne z nich nie stanowiło jednak samo w sobie odpowiedzi na pytanie, co tak naprawdę się stało i jak w przyszłości zapobiegać takim zdarzeniom.

W obu przypadkach przywrócenie lotów następowało dopiero około dwóch i pół roku od katastrofy. W obu przypadkach również czas ten dobrze wykorzystano. Podczas gdy społeczność inżynierska poświęcała wiele czasu i energii na wyeliminowanie fizycznych przyczyn zdarzenia, zespół operacyjny i kadra kierownicza tyle samo energii wkładały w ustalenie przyczyn zasadniczych. Te ostatnie były zaś głęboko ukryte i złożone. Jak to zwykle poważne problemy.

Rankiem 28 stycznia 1986 roku stałem w lobby budynku numer cztery Centrum Lotów Kosmicznych imienia Johnsona. Budynek ten był siedzibą kontrolerów systemów i działu szkoleniowego. Tam również mieli swoje pomieszczenia astronauci. Byłem właśnie w drodze na spotkanie mające dotyczyć naukowej misji astronomicznej Astro-1. Planowano wykorzystanie podczas niej systemu IPS, za który odpowiadałem. Podobnie jak kilkadziesiąt innych osób, przystanąłem na moment przed telewizorem, by obejrzeć ostatnie minuty odliczania dla lotu STS-51F.

Obejrzałem start, ale zbytnio się na nim nie skupiałem. Byłem wtedy młodym kontrolerem lotu, a na głowie miałem przygotowania do kolejnej misji. Kiedy jednak zobaczyłem rozszczepioną smugę za napędem rakietowym i rakiety przyspieszające SRB wypadające z pęczniejącego obłoku gazu, w którym zniknęły orbiter i zewnętrzny zbiornik paliwa, wiedziałem od razu, że nie wyniesiemy szybko w kosmos kolejnego wahadłowca, a już na pewno możemy zapomnieć o Astro-1. Tamten dzień zmienił nasze życie. Program nigdy później nie był już taki sam.

Straciliśmy załogę, a wraz z nią jednostkę. O ile wahadłowiec udało się ostatecznie zastąpić kolejnym, o tyle siedmiu straconych żyć nic nie mogło już przywrócić. Wszyscy wiedzieliśmy, że zawiodła nie tylko technologia. Musieliśmy ustalić, jak to się stało, że uznaliśmy za dopuszczalny start w sytuacji, gdy nie wiedzieliśmy tak naprawdę, jak niskie temperatury wpływają na uszczelki O-ring utrzymujące gorące gazy wewnątrz rakiet SRB. Był to poważny defekt procesu decyzyjnego. Należało wykorzenić go wraz z każdym innym składnikiem naszych czynności operacyjnych, który czerpał z tej samej kultury myślenia.

Bo to właśnie pewna kultura była zalążkiem katastrofy – kultura, sukces i presja, by nie zwalniać tempa. Wpadliśmy w pułapkę własnego sukcesu. Ponieważ w dość krótkim czasie udało się nam przeprowadzić wiele różnych, złożonych misji, nabraliśmy poczucia, że znamy się na tym, co robimy. Czuliśmy się komfortowo, bo dotąd nigdy nie stało się nic strasznego. Nie wiedzieliśmy, że coś strasznego… dopiero ma się stać. Mówiąc najkrócej – ulegliśmy własnemu poczuciu, że skoro dotąd spadaliśmy zawsze na cztery łapy, to będzie tak już zawsze.

Porównuję często tę sytuację do rosyjskiej ruletki – makabrycznej gry, w której do komory rewolweru wkłada się jeden nabój, by następnie zakręcić całością magazynka. Jeśli mamy w ręku sześciostrzałowiec, będziemy mieć szansę jeden do sześciu, że gdy komora się zatrzyma, nabój znajdzie się w pozycji pomiędzy lufą a iglicą. Następnie przykładamy lufę do skroni, wcis­kamy spust i czekamy, co się stanie. Jeżeli nie pada strzał, wygraliśmy – padło na jedną z pięciu pozycji bez naboju.

Kto jest mądry, ten w ogóle nie będzie grać w tę grę. Załóżmy jednak, że nie mamy innego wyjścia i zagrać musimy. Załóżmy też, że się nam poszczęściło i nie trafiliśmy na nabój. Rozsądny człowiek w takiej sytuacji odłoży broń, stwierdzając, że wygrał, po czym odejdzie, by nigdy już w rosyjską ruletkę nie grać.

Co się natomiast stanie, jeśli ktoś nie przemyśli sprawy? Co, jeżeli pomyślimy: "W sumie nie było źle, zabawmy się jeszcze raz!"? To początek drogi do tragedii, bo za każdym pociągnięciem spustu będzie rosnąć prawdopodobieństwo, że następnym razem zginiemy. Komu się poszczęściło i przeżył, a kto chce długo pożyć, ten niech szybko podziękuje losowi i natychmiast wycofa się z gry. Wszyscy ludzie, którzy latają – czy to w atmosferze, czy w kosmosie – ponoszą pewne ryzyko nawet wtedy, gdy wszystko robią, jak należy, i nie zdają się na szczęście. Poleganie na nim to w tej branży podejście nie do zaakceptowania.

W NASA na pewnym etapie nasza kultura myślenia zmierzała do tego, że nie możemy zawieść – że nie wolno nam pozwolić sobie na niepowodzenie. Takie podejście jest dobre, gdy mówimy o operacjach podczas trwającego już lotu. Nie wolno pozwolić sobie na niepowodzenie, gdy gra idzie o to, by załoga bezpiecznie wróciła do domu. Jeśli natomiast myślenie tego typu rozszerzy się na decyzje o starcie i ocenie gotowości (bez startu nie będzie przecież zakończonej powodzeniem misji), to zaczną się problemy.

Dyrektorzy lotu odpowiadają za bezpieczeństwo załogi i za powodzenie misji – nie wybierają sobie z tego zestawu jednego elementu. Musimy znajdować takie rozwiązania, które pozwolą zadbać i o jedno, i o drugie. Zdarza się, że trzeba odwołać start i przenieść go na inny dzień. Nie startując, gdy warunki są nieodpowiednie, dopilnowuje się bezpieczeństwa załogi. Jeśli do startu w ogóle nie dojdzie, załoga będzie bezpieczna (no, przynajmniej nie zginie w kosmosie – zawsze może w końcu wpaść pod autobus), ale też nie zostanie zrealizowany żaden z celów misji. Kluczem do powodzenia jest startowanie przy maksimum prawdopodobieństwa bezpiecznej i skutecznej realizacji misji. W okresie, gdy doszło do katastrofy Challengera, wszystkim gdzieś to umknęło. [...]

Wkrótce po katastrofie Challengera moi przełożeni i ja uznaliśmy, że pora, abym się przeniósł z sekcji obsługi ładunków do którejś z głównych dziedzin. Przypisano mnie do sekcji systemów mechanicznych, zajmującej się obsługą systemów orbitera (i całą masą innych rzeczy). W pierwszej kolejności musiałem nauczyć się wiele o systemach w ich ówczesnym kształcie. Następnie szybko zaangażowałem się we wprowadzane na tamtym etapie modyfikacje – w szczególności te dotyczące systemów lądowania i wytracania prędkości.

Z prostszych rzeczy mowa tu o oponach, kołach i hamulcach; potem mieliśmy system sterowania przednim podwoziem, który nigdy nie działał, jak należy. Udoskonalano go stopniowo, eliminując kolejne z tzw. punktów podatności na awarię. Są to miejsca i elementy zaprojektowane w taki sposób, że wystąpienie pojedynczego problemu oznaczało brak opcji rezerwowej i usterka mogła się skończyć utratą panowania nad jadącą po pasie jednostką, a w efekcie – tragedią. [...]

Każda z grup w ramach działu operacyjnego wdrażała podobne poprawki – udoskonalano komputery, wymieniano zawory, modyfikowano konfigurację hydrauliki i niezliczone elementy okablowania w całym orbiterze. Wszystkie zespoły wykorzystały czas uziemienia na uporanie się z problemami, które istniały już wcześniej, ale fizycznie nie było kiedy się nad nimi pochylić. Nie próbuję w żadnym razie powiedzieć, że nasz orbiter został źle zaprojektowany lub spartaczony.

Rzecz po prostu w tym, że ten mocno eksperymentalny, pionierski statek kosmiczny od pierwszych lotów testowych przeszedł wprost do "rutynowej" eksploatacji operacyjnej. Nie było po drodze szansy wprowadzić usprawnień opartych na wiedzy wyniesionej z próbnych lotów orbitalnych. Tragiczne jest to, że trzeba było katastrofy, żebyśmy taką szansę otrzymali. Gdy już jednak się to stało, dobrze wykorzysta­liśmy czas. [...]