W historii programu straciliśmy dwa promy kosmiczne z załogami. W 1986 r. przy starcie rozbił się Challenger, w 2003 r. podczas powrotu – Columbia Katastrofalne zdarzenia nigdy nie mają tylko jednej przyczyny. Ściślej mówiąc – taka pojedyncza przyczyna może istnieć, ale jest to nieistotny detal, który nie miałby znaczenia, gdyby nie szereg okoliczności prowadzących do tragedii. W metodologii badania wypadków bywa to nazywane łańcuchem błędów. Chcąc poznać faktyczną przyczynę zdarzenia, należy podążać jego tropem od zdarzenia partykularnego (przyczyny bezpośredniej) do przyczyny zasadniczej, czyli tego, co sprawiło, że małe zdarzenie mogło doprowadzić do katastrofy. Jeśli dochodzenie wykaże, że przyczyną wypadku samolotu była poluzowana śruba, to problem tak naprawdę nie zostaje wyjaśniony. Bliżej odpowiedzi będziemy, jeśli ustalimy na poziomie mechanicznym, dlaczego śruby się luzowały. Jeśli jednak ma nie dojść do podobnego wypadku, musimy ponawiać pytanie „dlaczego?” tak długo, aż poznamy zasadniczą przyczynę tego, że śruby były poluzowane. Zwykle na końcu kryje się ludzki błąd, któremu w jakiś sposób da się zapobiec. Na tym w skrócie polega badanie wypadków. Brzmi to nieskomplikowanie, ale jeśli przyczyny zdarzenia były złożone, może to zająć bardzo wiele czasu. W historii programu straciliśmy dwa promy kosmiczne wraz z załogami. W 1986 r. podczas startu rozbił się Challenger, natomiast w roku 2003 podczas powrotu z przestrzeni kosmicznej zniszczeniu uległa Columbia. W obu przypadkach szybko stwierdzono, że do tragedii doszło na skutek usterek mechanicznych. Już po kilku godzinach od katastrofy Challengera usłyszałem, że jej bezpośrednią przyczyną była nieszczelność rakiety na paliwo stałe. Ustalenie konkretnej przyczyny wypadku Columbii trwało kilka dni, bardzo szybko pojawiło się jednak podejrzenie, że było nią uszkodzenie osłony termicznej na krawędzi natarcia spowodowane przez kawałek pianki, który podczas startu oderwał się od zewnętrznego zbiornika paliwa. To oczywiście dobrze, że dokonano obu tych ustaleń, żadne z nich nie stanowiło jednak samo w sobie odpowiedzi na pytanie, co tak naprawdę się stało i jak w przyszłości zapobiegać takim zdarzeniom. W obu przypadkach przywrócenie lotów następowało dopiero po około dwóch i pół roku od katastrofy. W obu przypadkach również czas ten dobrze wykorzystano. Podczas gdy społeczność inżynierska poświęcała wiele czasu i energii na wyeliminowanie fizycznych przyczyn zdarzenia, zespół operacyjny i kadra kierownicza tyle samo energii wkładały w ustalenie przyczyn zasadniczych. Te ostatnie były zaś głęboko ukryte i złożone. Jak to zwykle poważne problemy. Rankiem 28 stycznia 1986 r. stałem w lobby budynku numer cztery Centrum Lotów Kosmicznych imienia Johnsona. Budynek ten był siedzibą kontrolerów systemów i działu szkoleniowego. Tam również mieli swoje pomieszczenia astronauci. Byłem właśnie w drodze na spotkanie mające dotyczyć naukowej misji astronomicznej Astro-1. Planowano wykorzystanie podczas niej systemu IPS, za który odpowiadałem. Podobnie jak kilkadziesiąt innych osób, przystanąłem na moment przed telewizorem, by obejrzeć ostatnie minuty odliczania dla lotu STS-51F. Obejrzałem start, ale zbytnio się na nim nie skupiałem. Byłem wtedy młodym kontrolerem lotu, a na głowie miałem przygotowania do kolejnej misji. Kiedy jednak zobaczyłem rozszczepioną smugę za napędem rakietowym i rakiety przyspieszające SRB wypadające z pęczniejącego obłoku gazu, w którym zniknęły orbiter i zewnętrzny zbiornik paliwa, wiedziałem od razu, że nie wyniesiemy szybko w kosmos kolejnego wahadłowca, a już na pewno możemy zapomnieć o Astro-1. Tamten dzień zmienił nasze życie. Program nigdy później nie był już taki sam. Straciliśmy załogę, a wraz z nią jednostkę. O ile wahadłowiec udało się ostatecznie zastąpić kolejnym, o tyle siedmiu straconych żyć nic nie mogło już przywrócić. Wszyscy wiedzieliśmy, że zawiodła nie tylko technologia. Musieliśmy ustalić, jak to się stało, że uznaliśmy za dopuszczalny start w sytuacji, gdy nie wiedzieliśmy tak naprawdę, jak niskie temperatury wpływają na uszczelki O-ring utrzymujące gorące gazy wewnątrz rakiet SRB. Był to poważny defekt procesu decyzyjnego. Należało wykorzenić go wraz z każdym innym składnikiem naszych czynności operacyjnych, który czerpał z tej samej kultury myślenia. Bo to właśnie pewna kultura była zalążkiem katastrofy – kultura, sukces i presja, by nie zwalniać tempa. Wpadliśmy w pułapkę własnego sukcesu. Ponieważ w dość krótkim czasie udało się nam przeprowadzić wiele różnych
