Há muito tempo me falaram que não existe outra causa de um desastre aéreo se não falha humana. Máquinas não aparecem do nada nem se reproduzem. Essencialmente, são construídas e operadas por humanos. Se deu algum erro, é falha humana. Se teve algum problema estrutural, foi problemas no projeto, em copo o equipamento ia ser operado, as condições que não foram estudadas adequadamente etc. Aliás, isso serve para tudo, não? Desde o desastre da Challenger até a cagada que fizeram no projeto do iPhone 4.

O caso que relataremos é uma soma de erros estupidamente grosseiros em termos de sistemas básicos de medidas, programação, gerenciamento, administração, investigação e toda sorte de incompetências que podem existir num projeto. Estou falando do caso da Mars Climate Orbiter, da NASA.

Sim, eu sei o que você pensa: NASA é foda. Eu também sempre achei isso, mas aprendi que ela é apenas uma agência governamental, que simplesmente faz o que seu nome diz: Administração Nacional de Aeronáutica e Espaço. NASA tem seus cientistas, mas o que ela faz mesmo é administrar recursos, fazer contratos, estipular parcerias e coisas inerentes a uma agência burocrática.

NASA tem os seus cientistas e projetistas, mas efetivamente não constrói nada. Ela prepara os projetos e especificações e faz a licitação de quem poderá construir o que ela precisa. O projeto Apollo contou com dezenas de empresas construindo diferentes itens, uma não sabendo da outra, cada uma delas sequer fazendo ideia do para que estavam construindo oque estavam construindo. Isso envolveu empresas especializadas em construir aeronaves como a Lockheed Martin e até uma fábrica de calcinhas que por sinal projetou e construiu os trajes espaciais, como é contado pelo Cardoso.

O Mars Climate Orbiter (doravante chamado de MCO) tinha como missão estudar o clima marciano, a atmosfera marciana e as mudanças na superfície do Planeta Vermelho, além de atuar como retransmissor de comunicações no programa Mars Surveyor ’98 para o Mars Polar Lander, que iria em seguida para lá e pousar na superfície do planeta.

O MCO levava dois equipamentos principais: o Radiômetro Infravermelho Modulador de Pressão e a Câmera Imageadora Colorida. O primeiro iria coletar informações sobre a atmosfera de Marte, como variações de temperatura, presença de vapor d’água na atmosfera, presença de nuvens e coletar dados sobre a quantidade de CO₂ na atmosfera e nas calotas polares de Marte. A segunda era na verdade duas câmeras que deveriam analisar a atmosfera de Marte possuindo instrumentos ópticos distintos, embora usassem a mesma base focal, os mesmos sistemas eletrônicos e a mesma fonte de energia. Era duas em uma que funcionava como duas, mas era uma.

Depois de construído, o MCO era uma sonda espacial de 638 kg, com 2,1 m de altura, 1,6 m de largura e 2 m de profundidade, cujos painéis solares tinham formato quadrado, com tinham as dimensões de 5,5 m de lado e uma antena com 1,3 m de diâmetro situada no topo. Era uma maravilha tecnológica daquele tempo que custou a bagatela de US$ 125 milhões, tendo sido construída pela Lockheed Martin, sem nenhum atraso.

Em 11 de dezembro de 1998, o foguete Delta II 7425 decolava de Cabo Canaveral, levando o MCO no bagageiro; demorou 286 dias para chegar a Marte, mas em 23 de setembro de 1999 deu ruim. Quando o MCO fazia a manobra de inserção na órbita do Planeta Vermelho, a comunicação com a sonda foi perdida. Algo de errado não estava certo!

A verdade é que o MCO saiu do contato de rádio quando a espaçonave passou por trás de Marte 49 segundos antes do esperado, e a comunicação nunca foi restabelecida. Os dados apontavam que a nave entrou na atmosfera de Marte a uma altitude menor do que o planejado e foi destruída na atmosfera ou ricocheteou na atmosfera (o menos provável) ou ainda caiu em pedaços no solo marciano. Pedaços bem pequenos, claro.

A missão estava perdida, e com 125 milhões de dólares (fora os gastos indiretos como combustível, pessoal técnico, equipamentos etc.) saídos dos cofres públicos, tinham que começar a investigar rapidinho, já que o Senado dos Estados Unidos não ia deixar barato e teriam que dar muitas explicações, então, era hora de catar essas explicações e o resultado foi um show de horrores em termos de incompetência.

Existe um termo específico que descreve um tipo de acidente particularmente estranho. É o CFIT, Controlled Flight Into Terrain (Voo Controlado Contra o Terreno). Ocorre quando um erro humano no cockpit, na torre de controle de tráfego ou no processo de planejamento de voo faz com que um avião perfeitamente bom caia no chão. Segundo a Boeing, CFIT é uma das principais causas de acidentes aéreos envolvendo perda de vidas; e foram mais de 9.000 mortes desde o início da era do jato comercial até 2013.

A questão é que muitas coisas podem dar errado no Espaço… e dão! O Espaço é cruel e não pode haver um mínimo de erro. Tudo o que podia dar errado na exploração espacial tinha dado até 1998, exceto uma: justamente o CFIT. Embora no caso da aviação comercial haja muitas razões para que um avião possa colidir com o terreno, incluindo mau tempo e problemas com o equipamento de navegação, o erro do piloto é o único fator mais importante que leva a um incidente de CFIT. Mas e quando é uma nave não-tripulada? Bem, ela é tripulada, sim, mas não da forma que um avião comercial é.

O que faz uma nave espacial voar (pode usar o termo “voar” no Espaço? Ah, dane-se, vai “voar”, mesmo) é pura matemática, com cálculos usando essencialmente as Leis de Newton. Para isso, você tem que dominar a matemática, mas tem uns probleminhas, já que todo mundo tem que falar o mesmo idioma, e o idioma no caso é o sistema de medidas.

Sob pressão, a NASA designou três equipes separadas para investigar o desastre que custou, repito, 125 milhões de dólares da época (224,43 milhões de dólares, ajustando a inflação) e determinar sua causa. Declarações públicas preliminares culparam um deslize entre os construtores da sonda e seus operadores, uma falha em converter as unidades de medida inglesas usadas na construção nas unidades métricas usadas para operação.

Relatórios preliminares apontaram o problema: um erro estupidamente grosseiro. Algo ridículo e impensável: os EUA e sua mania de ser diferente de todo mundo e não usar o sistema métrico como padrão de medidas. Enquanto todo mundo usa o Sistema Internacional de Unidades (também conhecido como Sistema Métrico), com seus múltiplos e submúltiplos usando base 10, os EUA usam o Sistema Imperial.

Por exemplo.

• Uma polegada tem 2,54 cm
• 1 pé tem 12 polegadas ou 30,48 cm
• 1 jarda tem 3 pés ou 36 polegadas ou 91,44 cm

Uma pessoa que tem 1,80 m de altura é referenciada como tendo 5’22” ou 5 pés e 22 polegadas; sim, isso mesmo! Eles não fracionam os “pés”, tendo que usar outra unidade de medida. Por sinal, apóstrofo e aspa deveriam ser usados para medir minutos e segundos de ângulos (e não minutos e segundos de tempo, uma mania dos brasileiros, mas que é absurdamente errada). Nem isso sabem usar direito!

Ficou curioso? Tente este site.

Agora, tentem imaginar quando se combina duas unidades, como velocidade (km/h versus milhas por hora). Taí a confusão. Atualmente, apenas os Estados Unidos, a Libéria e a Birmânia ainda usam o Sistema Imperial. Nem a Inglaterra, de onde saiu o Sistema Imperial (Britânico) usa mais este tipo de sistema de medidas. O Sistema Internacional de Unidades se tornou o que seu nome diz exatamente: internacional. Os três países supracitados é que são um ponto fora da curva, mas não deveriam ser, e isso veremos daqui a pouco.

O problema sério da NASA com os diferentes sistemas de unidades não é recente. Os cientistas e pesquisadores estão acostumados a usar o Sistema Internacional de Unidades (ou SI, para abreviar). O problema é o povão que não está e se recusa a mudar, apesar das várias tentativas do Governo Federal. E isso foi visto até durante o programa Apollo; enquanto os engenheiros e técnicos usavam o SI (não vá confundir SI como abreviatura de Sistema Imperial, hein? Se quiser, pode usar mks, de metro-quilômetro-segundo), o pessoal do nível operacional (os funças) da NASA e os próprios astronautas preferiam o Sistema Imperial. Curiosamente, os astronautas eram de formação técnica, mas se recusavam a adotar o SI, e essa mania já era desde sempre, já que os aviões usavam o Sistema Imperial para agradar aos pilotos. Sim, foi um caso de primas-donas.

Por causa disso, a NASA fez uma gambiarra: ela pegou o Apollo Guidance Computer, o computador de bordo do módulo de comando e do módulo lunar do Projeto Apollo, responsável por calcular tudo dentro dos módulos e programou de forma a armazenar internamente os dados no Sistema Internacional de Unidades, mas traduzia os dados de forma que os resultados fossem apresentados no Sistema Imperial, de forma que os astronautas pudessem ler os números no sistema que estavam acostumados.

Sim, numa era que cada bit era contado e usava-se memória de corda, tiveram que fazer isso para não desagradar os astronautas e não perderem tempo ensinando matemática a todo mundo. Sim, eu sei que soa bizarro. É porque é bizarro, mesmo! Tão bizarro quanto os relatórios que a NASA produzia, que compilava os dados nos dois sistemas de medida.

Sabem de outra coisa interessante? Os EUA também são como o Brasil no quesito “lei que não pega”. Em 25 de julho de 1991, a Ordem Executiva 12770 – emitida pelo presidente George Bush (pai) – instruiu as agências a se converterem ao SI, designando o Secretário de Comércio para dirigir e coordenar esse esforço. Tecnicamente, as agências já eram obrigadas a fazer isso pela Lei de Conversão Métrica de 1975, e essa ordem implementou ainda mais essa lei. Em 1994, a NASA criou um manual para o pessoal aprender a trabalhar com o Sistema Internacional, o tipo de coisa que a gente aprende no Fundamentalzinho em qualquer escola minimamente decente.

Uma Ordem Executiva não é bem uma lei, apesar de ter força de uma. Ela é emitida pelo Presidente dos EUA e se aplica apenas a agências federais, sendo uma “lei” para tais, já que o Presidente está no comando delas. É na base do “mandou, tá mandando. Cumpra-se!”, mas ela não afeta a população em geral, só para aqueles que trabalham para o Governo Federal; e isso vale pra NASA, por motivos óbvios, mas parece que eles esqueceram disso, porque só em 2007, a NASA anunciou que todos os seus projetos sobre a ida do Homem à Lua teriam como base o Sistema Internacional de Unidades; e mesmo assim alguns ainda estavam insatisfeitos e tentaram jogar um migué para que o Sistema Imperial fosse usado no Programa Constellation. Em 2010, NASA publicou num memorando que trazia o seguinte excerto:

Sim, pois, é. Os caras tentaram desculpas esfarrapadas para não usarem mais o SI, mas não conseguiram. O problema é que, em 1998, estava tudo sendo tocado de qualquer jeito, sem um mínimo se supervisão ou análise. Os softwares utilizados pela equipe de controle na Terra forneciam dados no Sistema Imperial, enquanto a sonda utilizava unidades do SI. Como resultado, instruções erradas foram enviadas para a sonda, fazendo-a se aproximar demais do planeta. Acredita-se que ela foi destruída no atrito de entrada da atmosfera ou que foi perdida no espaço caso tenha conseguido sair da atmosfera. Custo total da missão foi de cerca de 327,6 milhões de dólares na época. Fazendo as devidas correções pela inflação, o custo a dinheiro de hoje é de 588,18 milhões de dólares! Durma com um barulho desses.

Após seis semanas, em 10 de novembro, os funcionários da NASA divulgaram suas descobertas preliminares alegando que, sim, foi por causa dos sistemas de unidades distintos, só que pode não ser bem isso. Uma investigação do IEEE Spectrum vinha ocorrendo separadamente, usando fontes não oficiais associadas ao programa e especialistas independentes. A Spectrum (na edição do volume 36, número 12) esmiuçou todos os dados que lhe forneceram e começou a traçar um panorama um tanto diferente do que tinham proposto inicialmente.

Não que não tivesse tido o problema com os sistemas de medidas, mas foi muito mais – e pior – que isso! Foi um caso de incompetência, ingerência e absurda estupidez administrativa. O relatório que ia sendo montado pela Spectrum mostrava que havia muito mais coisas erradas do que apenas um erro de conversão de unidades. Uma falha crítica foi uma gestão de programa muito confiante e muito descuidada, a ponto de perder oportunidades de evitar o desastre.

Os controladores terrestres ignoraram uma série de indicações de que algo estava seriamente errado com a trajetória da nave durante um período de semanas, se não meses, o que seria meio óbvio. Se tudo era calculado por meio de um sistema de medida, ao ser aplicado outro, É CLARO que a rota de navegação seria diferente, e isso teria sido percebido. Como não perceberam? Mas alguns perceberam; e quando avisaram, os gerentes exigiram que os técnicos que questionaram os dados de telemetria “provassem que algo estava errado”, não bastando apresentar esses dados. Esse tipo de erro violava a fundamental regra de segurança: antes de mais nada, é preciso provar que está tudo certo. Paranoia nunca é demais, principalmente com equipamentos de ponta extremamente caros e incapazes de serem substituídos imediatamente. Soltou no Espaço, o suor não para de escorrer até que finalmente coroe-se com êxito.

Esqueceram tudo isso.

Por causa disso, a MCO estava indo alegre e faceira 100 km fora do curso no final de sua viagem de 500 milhões de km. você acha que é pouco, mas pense que estes cálculos precisam ser ultra precisos. Um metro para lá ou para cá podem (E VÃO!) fazer diferença… e fizeram.

Quando o cocô bateu no ventilador, o diretor do JPL, Edward Stone, reconheceu em um comunicado à imprensa de 24 de setembro que “[nossa] incapacidade de reconhecer e corrigir esse erro simples teve grandes implicações”. Mas isso era genérico demais. Segundo Edward Weiler, administrador associado da NASA para Ciência Espacial, “o problema aqui foi o erro; foi a falha da engenharia de sistemas da NASA e as verificações e contrapesos em nossos processos para detectar o erro. É por isso que perdemos a espaçonave”.

Em um memorando interno datado de 18 de outubro de 1999 (que obviamente não era destinado a gente de fora do JPL), um funcionário do laboratório resumiu a maneira como o pensamento estava se desenvolvendo: “Pode ter havido algum excesso de confiança, robustez inadequada em nossos processos, projetos ou operações, modelagem e simulação inadequadas de as operações e falha em atender aos avisos iniciais”.

A opinião pública (e pior ainda, o Senado) exigia respostas claras e não algo genérico como “tivemos um erro aqui, sabe?”. A NASA precisava urgentemente de uma explicação clara, direta e precisa para a falha, já que uma sonda irmã também estava se aproximando de Marte: a Mars Polar Lander, que tinha chegada marcada para 3 de dezembro e era preciso correr para que o mesmo não acontecesse com ela. O suor frio escorria pela espinha e o fundo das calças estavam bem úmidas, não tanto por causa do suor, se é que me entendem.

Não, não foi um erro simples, como a NASA finalmente explicou em detalhes em 10 de novembro, durante a coletiva de imprensa.

A NASA revelou informações ainda mais contundentes sobre esse assunto.

Resumindo, naves como a MCO fazem uso de propulsores a jato para controle de atitude e navegação. No mundo mágico, em que simetria perfeita, tamanho e carga são lindos, perfeitos e cheirosos, com orçamento ilimitado para investir em tudo isso, uma espaçonave poderia girar perfeitamente em torno de seu centro de massa e indo feliz ao seu destino. O motivo deste giro é porque lá fora, o Sol não perdoa e fora dele o frio é implacável também. As tensões pela diferença de temperatura são excruciantes. Assim, existe o chamado “modo churrasco”, em que a espaçonave vai girando de forma a não receber por muito tempo calor do Sol. Os jatos servem para isso além de posicionar na direção previamente calculada.

No mundo real, tudo deve ser levado em conta, principalmente a questão do orçamento. Com isso, o formato final da nave nunca é a maravilha que se idealiza, e sim o que pode ser feito. Isso acarreta que os jatos rotacionais podem não estar dispostos em um alinhamento tido como perfeito, e se o alinhamento não é perfeito, o giro não é perfeito, o que terá que ser compensado com mais matemática. Tecnicamente, apenas um conjunto de jatos pode ser instalado em uma extremidade da espaçonave, o que vai proporcionar impulsos imperfeitos, já que os jatos não estão simetricamente opostos e a rotação ótima não tem como acontecer. Não apenas isso, os jatos podem não ser capazes de apontar com precisão em ângulos retos ao eixo da espaçonave devido a restrições mecânicas ou preocupações sobre onde a pluma de jato pode colidir com os apêndices da espaçonave.

Plenamente cientes da questão dos torques assimétricos, os projetistas originais da MCO planejaram neutralizá-los girando lentamente a espaçonave em torno de seu longo eixo, perpendicular ao Sol. Algum tempo depois, a preocupação com um possível déficit na produção de energia elétrica fez com que a equipe de projeto mudasse esse giro de equilíbrio para uma orientação constante de face para o sol. Não havia especialistas em navegação na equipe neste momento (na verdade, eles não foram adicionados até dois meses antes do lançamento e não tinham conhecimento significativo das peculiaridades da espaçonave até então). Assim, a mudança foi feita sem oposição, na base do “beleza, manda aí”, sem ter ninguém para dizer “Miga… apenas não!”.

O MCO também realizou operações de despejo de impulso periodicamente durante seu cruzeiro até seu destino. Os controladores de voo do JPL observaram os disparos de jato que ocorreram para controlar a orientação da sonda durante essas manobras. E então eles teriam levado em consideração as forças de acoplamento cruzado translacionais menores – mas críticas – induzidas pelos disparos de jatos. E isso de uma forma canhestra. Lembrem-se que a trajetória estava errada desde o início, os técnicos apontaram e a gerência fez ouvidos de mercador e bandou o chefe dizendo “continua”.

De acordo com as primeiras declarações da NASA sobre a falha, foi nesse ponto que os especialistas em espaçonaves na fábrica calcularam quanta força de translação cada jato de rotação induziu acidentalmente quando disparou, e a quantidade era proporcional ao tempo de disparo, que os controladores do JPL mediram facilmente. Eles então poderiam multiplicar a força conhecida pela duração observada de sua aplicação e atualizar o computador de navegação da espaçonave com a mudança de curso calculada, mas a diferença entre os sistemas de unidades fez o favor de atrapalhar tudo isso.

Como o JPL estava trabalhando no SI, a unidade de força empregada era o newton (a força que acelera uma massa de 1 kg a uma taxa de 1 m/s²). Só que o computador do MCO tinha sido configurado para usar o Sistema Imperial, cuja unidade para força é a libra-força. Uma lbf corresponde a 4,448 N. É uma diferença absurdamente grande, maior que o quádruplo!

De acordo com um porta-voz do JPL, cada manobra destinada a diminuir o momento (a massa de um corpo multiplicada pela sua velocidade) apresentava um erro de velocidade de cerca de 0,001 m/s, em uma sonda que viajava a uma taxa de dezenas de quilômetros por segundo. Esses desvios em si não eram o problema, mas sua modelagem incorreta era, quando o computador era informado de que a espaçonave havia recebido uma força quatro ou cinco vezes maior do que realmente recebera.

Os técnicos responsáveis pela navegação aqui na Terra usaram rastreamento por rádio doppler para estimar o curso real da sonda e calcular as manobras de correção de trajetória necessárias, os chamados TCM. O TCM-1 em 21 de dezembro era bastante grande; teve que compensar erros de inserção do propulsor, bem como corrigir uma trajetória deliberadamente voltada para longe de Marte, para evitar que o último estágio do propulsor não esterilizado atingisse o planeta. Mas o TCM-2 em 4 de março foi muito suave, cerca de 0,86 m/s, de acordo com uma espaçonave bem navegada em curso. Para o TCM-3, em 23 de julho, o JPL implementou um novo recurso de sua função de navegação.

Observadores externos interpretaram isso corretamente como o uso de novas sub-rotinas – o chamado modelo de pequenas forças – para obter precisão extra ao estimar forças menores, como a força de acoplamento cruzado de descargas de momento. Mas se forças imprecisas tivessem sido introduzidas no software de determinação de órbita, então, a posição da espaçonave no momento da queima estaria errada, assim como o tamanho desejado da própria queima. Lembrem-se: a diferença era um quarto do que deveria.

Na coletiva de imprensa de 10 de novembro, o investigador-chefe Arthur Stephenson explicou por que a trajetória inicial parecia estar certa. Houve um erro de software na implementação do modelo de pequenas forças que não foi corrigido até abril. Esse atraso forçou o JPL a fazer suas próprias estimativas do desvio de curso das manobras de dessaturação do momento angular, e eles fizeram isso com precisão. Por causa da pressa para colocar em operação o modelo de pequenas forças, o programa de testes foi praticamente ignorado, isto é, ninguém sabia o que ia acontecer na prática. Parecia bom no papel então, era bom. Mas nesse caso os testes, se tivessem sido feitos, apontariam as discrepâncias.

Antes da última manobra de meio curso em setembro, a MCO se dirigia para um impacto com Marte. Mas a queima do foguete TCM-4 moveu sua altitude de voo cerca de 800 km mais longe do centro do planeta, mais do que o suficiente para passar perfeitamente pela atmosfera… ou foi isso o que o computador de navegação apresentou.

Mas mesmo que o software de mira funcionasse perfeitamente – e alguns especialistas acreditavam que sim – a manobra condenaria a sonda porque a espaçonave não estava realmente onde os navegadores pensavam que estava. Os erros de trajetória induzidos pelas unidades erradas no modelo de pequenas forças fizeram a Terra pensar que a espaçonave estava a várias centenas de quilômetros de onde realmente estava. Esse erro deslocaria o ponto de maior aproximação de Marte na mesma proporção. Isso foi confirmado pela NASA em 10 de novembro.

Após a quarta queima do foguete, os navegadores começaram a fazer novas marcações para determinar se um ajuste final era necessário. Esta manobra teria sido TCM-5, dois dias antes do encontro. Normalmente, levava muitos dias para acumular dados suficientes para gerar uma órbita precisa e, conforme a sonda se aproximava de Marte, a geometria conspirava para reduzir a precisão. Quando deixou a Terra, sua velocidade estava alinhada diretamente para longe da Terra, então as medições de alcance doppler forneceram bons dados. Mas agora, ao se aproximar de Marte, sua trajetória era principalmente perpendicular à linha Terra-Marte, de modo que os dados doppler eram muito menos precisos.

Alegadamente, as primeiras medições de trajetória após a quarta queima mostraram que a sonda estava no curso certo para um ponto próximo de 193 km (eles apontaram para 22,4 km, apenas para garantir). Ainda assim, um erro de 30 km quando o erro esperado era menor que cerca de 10 km era perturbador.

Nos dias seguintes, à medida que dados de rastreamento adicionais foram acumulados, os programas de navegação começaram a mostrar o ponto mais próximo estimado aproximando cada vez mais. Parecia que a sonda estava se desviando do curso, uma impossibilidade se todas as forças nela estivessem devidamente modeladas de acordo com o projeto. O que realmente estava acontecendo era que, à medida que a sonda caía em direção a Marte, sua velocidade crescente ajudava a refinar o verdadeiro caminho da sonda, mas os softwares achavam que estava errado e tentavam corrigir.

Os controladores aparentemente optaram por confiar na navegação anterior e não suspeitaram que havia algo estava errado com o software de navegação. A própria espaçonave, eles presumiram, permaneceu em uma trajetória segura. Não foi feito nenhum esforço para examinar duplamente e muito menos tentar corrigir. A sonda estava condenada e ninguém sabia, mas teriam certeza se tivessem ouvido os primeiros técnicos que apontaram as discrepâncias na trajetória.

Deu no que deu.

O caso da Mars Climate Orbiter é uma lição em termos do que não se fazer em questões técnicas, administrativas e gerenciais. Mas só em 2007 a NASA resolveu tomar providências sobre o uso do Sistema Internacional de Unidades, e como foi mostrado, ainda tem gente que se opõe a isso. Projetos caros não podem dar lugar a primas-donas. Deve ser feito de forma criteriosa, técnica e extremamente paranoica no quesito segurança. E isso vale desde atravessar a rua ou mandar centenas de quilos, via Sedex Espacial, para milhares de quilômetros de sua casa.

Foi o que fizeram com a Mars Polar Lander, em que tudo foi checado quase triplamente, já que todos os olhos estavam em cima de todo mundo. A MPL pousou normalmente em 3 de dezembro de 1999, mostrando que dessa vez, os erros ensinaram algo.