Aconteceu em 31 de outubro de 2014: Ficando aquém das estrelas - A queda da SpaceShipTwo da Virgin Galactic

No dia 31 de outubro de 2014, um avião espacial experimental operando para a Virgin Galactic desintegrou-se abruptamente a 55.000 pés durante um voo de teste, espalhando detritos sobre uma vasta área do Deserto de Mojave, na Califórnia. Embora um dos dois pilotos de teste tenha morrido, o outro sobreviveu notavelmente, saltando de paraquedas em segurança contra todas as probabilidades. 

A destruição da VSS Enterprise e a morte de um de seus pilotos prometiam ser um grande revés para a indústria de voos espaciais comerciais, que estava então, como agora, em sua infância. Não foi difícil obter críticas: a Virgin Galactic, sob a direção do empresário bilionário Sir Richard Branson, estava levando as coisas longe demais em busca de um mero brinquedo para os super-ricos? Alguns questionaram toda a base do voo espacial comercial; outros sugeriram que Branson em particular era o problema. 

Nesse contexto, o National Transportation Safety Board, em sua primeira grande investigação de um acidente de nave espacial, procurou determinar por que a nave se desfez. A resposta foi chocante e decepcionante: o copiloto falecido fez um único comando de controle errôneo que causou a catastrófica interrupção do voo, levantando questões significativas sobre o design da espaçonave, sua tolerância a erros humanos e a falha do fabricante em compreender as lições que a indústria da aviação comercial havia aprendido décadas atrás.

◊◊◊

Richard Branson e SpaceShipTwo (Jared Ortega)

Em 2004, o bilionário britânico Sir Richard Branson, fundador do Virgin Group, lançou um empreendimento de longo prazo com a intenção de expandir a fronteira do transporte comercial ao levar passageiros pagantes em viagens regulares ao espaço. A propriedade de Branson da Virgin Airlines e suas subsidiárias, bem como suas façanhas com balões de ar quente, lhe renderam uma reputação de entusiasta aeroespacial, mas desenvolver uma nave espacial de passageiros reutilizável era uma tarefa difícil, e havia muito ceticismo de que a nova empresa de Branson, batizada de Virgin Galactic, algum dia decolaria.

Naquela época, a ideia de construir um "avião espacial" que voaria para o espaço, ficaria por alguns minutos e então pousaria em um aeroporto não era nova e, na verdade, já existia há vários anos. Uma empresa aeroespacial que já estava trabalhando em tal projeto era a Scaled Composites, que fez uma parceria com o bilionário cofundador da Microsoft, Paul Allen, para construir um veículo chamado "SpaceShipOne". 

O objetivo da SpaceShipOne era levar um piloto e dois passageiros para o espaço lançando-se sob a asa de um avião transportador em alta altitude, uma abordagem interessante e inovadora que economizaria peso e combustível ao aproximar o veículo do espaço antes de disparar seu motor de foguete. A SpaceShipOne voou pela primeira vez com seu próprio poder em 2004, tornando-se o primeiro voo espacial humano financiado inteiramente por capital privado. Isso atraiu o interesse de Richard Branson e sua recém-criada empresa de turismo espacial, que logo depois se tornou o principal cliente da nave espacial sucessora planejada da Scaled Composites, a SpaceShipTwo.

WhiteKnightTwo carregando a SpaceShipTwo (Virgin Galactic)

Como a declaração acima implica, a SpaceShipOne era apenas uma prova de conceito e nunca foi planejada para entrar em serviço comercial real. Não era possível lucrar em voos que transportavam apenas dois passageiros, o que foi uma das várias razões pelas quais a produção começou imediatamente na SpaceShipTwo, que seria muito maior, mas empregaria muitos dos mesmos recursos de design e operacionais da SpaceShipOne. 

A nave espacial de 18 metros de comprimento e 9.700 quilos ficaria pendurada sob a asa de uma "nave-mãe" de fuselagem dupla chamada WhiteKnightTwo, seria lançada a uma altitude de 50.000 pés, ativaria seu único motor de foguete, subiria quase verticalmente a uma altura de 110.000 metros (360.000 pés) e então planaria de volta à Terra com a energia desligada, tudo isso enquanto transportava até seis passageiros pagantes. 

Além da emoção do passeio em si, os passageiros experimentariam aproximadamente seis minutos de ausência de peso enquanto o veículo entrava no espaço no auge de sua trajetória parabólica, conhecida como seu apogeu. Richard Branson prometeu que os ingressos custariam US$ 200.000, tornando a viagem acessível apenas aos muito ricos, além dos super-ricos.

Um dos desafios mais significativos enfrentados por qualquer avião espacial é a exigência de que ele sobreviva à reentrada na atmosfera da Terra, uma experiência punitiva que derreteria um avião tradicional. O ônibus espacial, por exemplo, reentrou a uma velocidade de aproximadamente 26.000 quilômetros por hora, e desacelerar dessa velocidade causou tanto aquecimento compressivo que um escudo térmico caro e pesado foi necessário em todas as partes do ônibus espacial voltadas para a corrente de ar. 

Em contraste, a SpaceShipTwo não foi projetada para atingir a órbita e, portanto, reentraria a uma velocidade relativamente calma de cerca de 4.000 quilômetros por hora, permitindo que empregasse uma técnica de reentrada bastante diferente. Como o ônibus espacial, a SpaceShipTwo tinha uma barriga com escudo térmico, permitindo que gerasse arrasto mantendo um alto ângulo de ataque, mas também incorporava um sistema de reentrada emplumado que aumentava ainda mais o arrasto e era capaz de estabilizar a espaçonave, não importando seu ângulo de reentrada.

O sistema de emplumação era essencialmente uma dobradiça gigantesca na parte traseira da nave espacial que giraria toda a sua seção da cauda, ​​incluindo as superfícies de controle de voo, 60 graus para cima, quase dobrando o veículo ao meio. Isso fez com que a nave espacial se comportasse como um galo de badminton, virando para uma posição de centro de gravidade para baixo, independentemente de sua atitude na reentrada. O veículo poderia entrar na atmosfera de cabeça para baixo, e as forças aerodinâmicas atuando na cauda emplumada imediatamente o virariam para uma posição vertical, com o nariz alto, ideal para a reentrada, sem qualquer intervenção da tripulação. 

Este projeto deveria tornar a nave espacial mais segura e fácil de voar, e de fato isso foi demonstrado na prática quando ocorreu uma reviravolta durante um teste de voo em 2011. Durante o incidente, os pilotos perderam brevemente o controle da nave espacial, mas conseguiram recuperá-lo ativando o sistema de emplumação, o que imediatamente forçou o veículo a voltar para uma atitude de descida segura.

Esta animação do episódio 6 da 18ª temporada do Mayday retrata a sequência completa de um
voo de teste da SpaceShipTwo, incluindo a configuração de reentrada com a cauda emplumada

Como qualquer projeto espacial, no entanto, o desenvolvimento da SpaceShipTwo foi repleto de contratempos. Isso teria sido visto como normal e não como um problema sério se Richard Branson não tivesse continuamente presenteado a mídia com previsões irrealistas da entrada iminente do veículo em serviço comercial. Já em 2008, quando o primeiro protótipo ainda estava sendo construído, Branson repetidamente proclamou que o primeiro voo comercial ocorreria em 18 meses, mas em 2011 — várias previsões depois — ele ainda estava dizendo aos clientes em potencial que o serviço comercial estava a 18 meses de distância.

Enquanto isso, a Scaled Composites continuou a supervisionar o desenvolvimento e os testes da espaçonave, começando com seu primeiro voo "cativo" — sem ser liberado do WhiteKnightTwo — em março de 2010, seguido por seu primeiro teste de voo planado em outubro. Os voos, realizados no Mojave Air and Space Port, no deserto da Califórnia, foram pilotados por experientes pilotos de teste trabalhando para a Scaled Composites, cujo trabalho não era apenas pilotar a espaçonave, mas identificar áreas onde havia espaço para melhorias. Muitas delas foram encontradas, e o veículo passou por modificações constantes durante todo o processo de testes.

Em 2013 e no início de 2014, o programa avançou para testes de voo motorizados, nos quais o motor de foguete da SpaceShipTwo seria ativado por períodos cada vez mais longos, eventualmente aumentando para a queima total de 60 segundos necessária para atingir seu apogeu planejado de 360.000 pés. Esses voos de teste ocorreram em grande parte sem problemas, mas os dados levaram a Scaled Composites a considerar um redesenho do motor para melhorar seu desempenho. Os motivos exatos para a mudança de última hora, incluindo se houve algum problema com o motor original, não foram revelados pela empresa.

Os pilotos do PF04 (Scaled Composites)

No verão de 2014, a Scaled Composites e seus contratados montaram um novo motor de foguete que produziria mais potência queimando um combustível sólido à base de nylon em vez do combustível à base de borracha usado anteriormente. Com o novo motor instalado, a Scaled Composites planejou retomar os voos de teste da SpaceShipTwo no outono daquele ano, com um prazo autoimposto no final de outubro.

O teste de outubro, designado “voo motorizado nº 4”, ou PF04 para abreviar, seria o primeiro voo motorizado desde janeiro de 2014, e contaria com uma queima de foguete de 38 segundos, a mais longa até então. Os preparativos para o voo foram feitos com meses de antecedência, desde a aquisição das licenças necessárias do governo federal até o treinamento da tripulação de voo, que passou o verão e o início do outono conduzindo dezenas de voos de teste simulados no simulador SpaceShipTwo da Scaled Composites.

A tripulação de voo seria composta por Pete Siebold, de 43 anos, e Michael Alsbury, de 39 anos, ambos com classificação de comandante na SpaceShipTwo. Ambos tinham ampla experiência em voos de teste e faziam parte de um pequeno grupo de pilotos de elite qualificados para pilotar a espaçonave. Eles estavam intimamente familiarizados com a SpaceShipTwo e sua nave-mãe WhiteKnightTwo, e Siebold, Alsbury ou ambos fizeram parte da tripulação de um veículo ou outro durante todos, exceto dois dos 30 voos planados e três voos motorizados realizados até agora. 

Neste último voo, Siebold seria o piloto voando do assento esquerdo, enquanto Alsbury atuou como copiloto do assento direito. Além dos dois pilotos da SpaceShipTwo, o piloto-chefe da Virgin Galactic estaria servindo como capitão a bordo da WhiteKnightTwo, junto com um copiloto e um engenheiro de testes de voo, que era o gerente do programa Scaled Composites SpaceShipTwo. O teste também contaria com um avião de perseguição acrobático Extra EA-300L transportando um único piloto e um fotógrafo.

À esquerda, a configuração sem penas; à direita, a configuração com penas (NTSB e Scaled Composites)

Após um atraso de cinco dias, o PF04 foi finalmente definido para prosseguir no dia 31 de outubro de 2014. No início daquela manhã, as equipes se reuniram no Mojave Air and Space Port para informar e se preparar para o voo, que seria o mais ambicioso até o momento. O plano era que o WhiteKnightTwo levasse o SpaceShipTwo até uma altura de 46.400 pés, liberasse a espaçonave, garantisse a separação adequada e então iniciasse a queima do foguete de 38 segundos. 

Após o fim da queima, a espaçonave deslizaria até seu apogeu antes de adotar a configuração de reentrada emplumada, descendo de volta para o ar mais denso e, finalmente, desempenando a cauda e planando de volta ao Mojave Air and Space Port.

Realizar essa sequência de manobras exigiria uma quantidade considerável de pilotagem prática por Siebold e Alsbury. A maioria das tarefas necessárias, incluindo o tempo de queima do foguete e a implantação do sistema de emplumação, não eram automatizadas, e esta última era especialmente complicada. O plano da missão exigia que os pilotos primeiro destravassem, mas não implantassem, o sistema de emplumação enquanto a espaçonave acelerava a Mach 1,4 (1,4 vezes a velocidade do som) no início da sequência de impulso, para garantir que o sistema pudesse ser implantado mais tarde. 

Esta etapa tinha a intenção de revelar quaisquer problemas com o sistema de emplumação a tempo de abortar a queima do motor antes que o veículo pudesse ficar alto o suficiente para necessitar de uma manobra de reentrada, o que seria muito mais perigoso se o boom da cauda não pudesse ser emplumado. Na verdade, o risco de reentrar com a emplumação retraída era tão grande que se o piloto não destravasse o sistema, confirmando sua operabilidade, até Mach 1,8, ele era obrigado a abortar o voo.

Um diagrama da cauda com as presas destacadas (NTSB e Virgin Galactic)

Para destravar o sistema de penas, o copiloto deve mover a alavanca de destravamento de penas no pedestal central para a direita e depois para baixo, soltando ganchos no corpo da asa principal que prendem travas de aço nas "presas", os pontos mais à frente do braço de cauda emplumado, como visto acima. Quando essas travas estão no lugar, é impossível implantar a pena. No entanto, uma vez que as travas são removidas, o copiloto pode então puxar uma alavanca de penas separada para fora, fazendo com que dois atuadores de penas idênticos girem o braço de cauda em torno de sua dobradiça até que ele atinja a posição "implantada" de 60 graus.

Uma vulnerabilidade desse sistema era que, se ele fosse desbloqueado durante uma fase de voo em que houvesse uma força aerodinâmica ascendente significativa na seção da cauda, ​​essa força poderia superar os atuadores e causar uma implantação de penas não comandada. Esse perigo era particularmente agudo durante a região transônica próxima à velocidade do som, entre aproximadamente Mach 0,9 e Mach 1,1. Durante esse período, o fluxo de ar sobre algumas partes da espaçonave poderia atingir velocidades supersônicas, enquanto o fluxo de ar em outras áreas permanecia subsônico, sujeitando o veículo a forças aerodinâmicas incomuns. 

Na SpaceShipTwo, isso se manifestou na forma de um "bobble transônico", pois os padrões de fluxo de ar em mudança moviam temporariamente o centro de sustentação da espaçonave para a frente e depois para trás novamente. Durante esse bobble, a força aerodinâmica líquida na cauda mudaria de para baixo (pena retraída) para cima (pena implantada) antes de retornar para baixo após atingir velocidades supersônicas. Portanto, era proibido ao piloto destravar o sistema de penas antes de Mach 1,4, porque sem as travas, essa força aerodinâmica ascendente na cauda poderia fazer os atuadores recuarem e forçar a pena a se abrir.

Esta animação do episódio 6 da 18ª temporada do Mayday mostra como as forças
aerodinâmicas na cauda mudam conforme a SpaceShipTwo acelera

Não havia dúvidas entre os engenheiros da Scaled Composites de que essa etapa seria realizada corretamente, já que ambos os pilotos haviam sido treinados extensivamente sobre quando destravar a pena. De fato, enquanto os pilotos da SpaceShipTwo informavam a manobra naquela manhã, eles mencionaram repetidamente que destravariam a pena em Mach 1,4, como esperado.

Após a partida da WhiteKnightTwo às 9h19, com a SpaceShipTwo pendurada embaixo dela, Siebold e Alsbury continuaram a executar várias verificações de rotina, com apenas uma anomalia significativa, uma falha momentânea do principal visor computadorizado multifuncional, que foi resolvida reiniciando o computador.

Às 9h59, o WhiteKnightTwo atingiu a altura de lançamento de 46.400 pés, e os pilotos da SpaceShipTwo estavam executando a lista de verificação de "10 minutos para o lançamento", ou L menos 10.

“Sistema elétrico?”, Alsbury perguntou.

“Tudo parece bem”, respondeu Siebold.

“Ok. Pneumática?”

“Maior que 23, boas pressões reguladoras.”

“Certo, uh, cadeados de penas. Aí vêm os cadeados”, disse Alsbury.

Para testar se as travas de pena estavam funcionando corretamente, Alsbury moveu a alavanca de desbloqueio de pena para a direita e para baixo, fazendo com que uma luz amarela de “pena desbloqueada” se iluminasse no painel de instrumentos. A iluminação da luz confirmou que a pena havia realmente desbloqueado. “Pressões boas, indicações e travamento”, disse Alsbury. Ele então retornou a alavanca de pena para a posição travada. “E mostre travado”, ele acrescentou. “As indicações de backup parecem boas.”

Pelos próximos minutos, os pilotos continuaram a executar dezenas de verificações de rotina de vários sistemas e controles de voo. Tudo parecia normal, então a tripulação passou para a próxima lista de verificação, L menos quatro. Eles verificaram se tinham ajustado corretamente o temporizador de queima do foguete, verificaram se o freio de velocidade estava desabilitado, desligaram o aquecimento da janela, garantiram que o transponder estava ligado e verificaram se havia alguma luz de advertência (não havia nenhuma). 

Com a autorização de pouso já recebida da torre Mojave, o capitão Siebold repassou o plano deles uma última vez. "Tudo bem, você está liberado para armar [o motor do foguete] na liberação do pilão, eu vou pedir fogo", ele disse. "Chame o pitch up, pitch down, trim, feather unlock um ponto quatro. Então, após o desligamento, roll boost enquanto temos alguma velocidade, roll boost será desativado. O RCS primário está chegando. Ajuste as atitudes... embandeire no apogeu... redefina os trims para menos dez... você está liberado para embandeirar no apogeu se eu não tiver solicitado, e me lembre dos trims se eu não tiver feito isso.”

Em termos simples, o plano para os primeiros 30 segundos após o lançamento parecia assim: primeiro, o copiloto Alsbury armaria o motor do foguete, então Siebold o chamaria para dispará-lo quando estivesse pronto. Em seguida, Alsbury gritaria o pitch up e pitch down associados ao bobble transônico, então, uma vez que a espaçonave passasse da zona transônica, eles "ajustariam" o nariz para cima para a "curva gama", a transição de uma subida rasa para uma subida vertical. Durante a curva gama, a uma velocidade de Mach 1,4, Alsbury destravaria a pena.

A SpaceShipTwo apareceu perto do início da queima do foguete, cerca de
10 segundos antes do acidente (NTSB)

Às 10h07, com os briefings e checklists completos, o piloto do WhiteKnightTwo gritou pelo rádio: “Cinco. Quatro. Três. Dois. Um. Solte, solte, solte.”

Naquele momento, a SpaceShipTwo se separou do pilone de lançamento da WhiteKnightTwo e começou a se afastar da nave-mãe.

“Liberação limpa”, alguém anunciou.

Menos de um segundo depois, Siebold gritou: “Fogo”.

Alsbury alcançou o interruptor do braço do motor do foguete, girou-o e girou o interruptor de disparo do motor do foguete uma fração de segundo depois. “Armar. Atirar,” ele gritou.

Os displays dos pilotos mudaram para o modo BOOST, e a nave espacial imediatamente voou para frente e para cima, impulsionada pela imensa potência do motor do foguete. Lutando contra as forças G, Siebold anunciou: “Boa luz. Yeehaw!”

Sete segundos após o lançamento, Alsbury anunciou sua velocidade como “Ponto oito”.

Uma câmera da cabine então capturou Alsbury colocando sua mão esquerda na alavanca de desbloqueio da pena, aparentemente em antecipação ao desbloqueio da pena em Mach 1,4, que eles alcançariam em aproximadamente 15 segundos. Mas em vez de esperar, Alsbury imediatamente anunciou "Desbloqueando" e, durante o meio segundo seguinte, ele moveu as alavancas de desbloqueio da pena para a direita e para baixo até que a luz "pena não bloqueada" piscasse novamente. 

A velocidade da espaçonave era de apenas Mach 0,92, ainda bem dentro da zona transônica e longe do ponto onde o sistema de penas deveria ser desbloqueado.

Imagens estáticas tiradas do avião de perseguição mostram o breve voo e
a separação da SpaceShipTwo (AP)

Antes que alguém pudesse notar ou reagir, as travas de penas se desengataram, e a força aerodinâmica ascendente na lança da cauda começou a dominar os atuadores de penas. Em dois segundos, a lança da cauda começou uma rotação ascendente não comandada para a posição de penas, fazendo com que a espaçonave subisse sem aviso. Siebold gritou "Suba", seguido por grunhidos tensos enquanto as forças G da manobra repentina pressionavam os pilotos ainda mais forte em seus assentos. 

Impulsionado por poderosas forças aerodinâmicas, a lança da cauda atingiu rapidamente a posição de implantação de 60 graus e então continuou avançando, causando rachaduras nas asas e na fuselagem enquanto toda a seção da cauda ameaçava se rasgar. Três segundos depois que Alsbury destravou a pena, o feed de vídeo da SpaceShipTwo foi cortado abruptamente quando a espaçonave deu uma cambalhota e então se desintegrou completamente, desaparecendo em uma chuva de destroços a 55.000 pés.

Pete Siebold salta de paraquedas para a segurança sobre o Mojave. Esta foto parece
ter sido tirada a bordo do avião de perseguição (NBC News)

Os colegas dos pilotos a bordo do WhiteKnightTwo, no avião de perseguição Extra e de volta à base só puderam olhar horrorizados enquanto os destroços da SpaceShipTwo se espalhavam no céu bem acima do Deserto de Mojave. Por três minutos, eles assistiram aos destroços caírem na terra, espalhando-se cada vez mais à medida que caíam, até que de repente o piloto do avião de perseguição anunciou que tinha visto algo incrível — um paraquedas.

Percebendo que pelo menos um piloto pode ter sobrevivido ao acidente, o pessoal de teste e os controladores imediatamente começaram um esforço para levar pessoal médico de emergência ao local do acidente o mais rápido possível. Noventa segundos após o paraquedas ter sido observado pela primeira vez, os destroços principais da espaçonave atingiram o solo em uma faixa remota do Deserto de Mojave perto de Cantil, Califórnia. Devido a uma falha de planejamento, no entanto, nenhum helicóptero equipado para evacuação médica de emergência estava estacionado no Porto Aéreo e Espacial de Mojave. 

Um helicóptero operado pelo Condado de Kern conseguiu decolar às 10h30, 23 minutos após o acidente, e outro decolou às 10:41, chegando 11 minutos depois. A tripulação conseguiu avistar um paraquedas vermelho e branco espalhado no deserto e, ao pousar, eles confirmaram que, contra todas as probabilidades, o piloto Pete Siebold havia sobrevivido de alguma forma à separação no ar. 

Embora um cirurgião de voo estivesse entre os primeiros socorristas a chegar, este helicóptero não tinha capacidade para evacuação médica, e um helicóptero médico não afiliado teve que ser chamado de um voo de teste de manutenção, chegando ao local para pegar Siebold mais de uma hora após o acidente. Embora os ferimentos de Siebold fossem sérios, ele estava estável o suficiente para que o atraso não lhe custasse a vida, e ele chegou ao Hospital Antelope Valley em Lancaster às 11h53. Infelizmente, o copiloto Michael Alsbury não teve tanta sorte: seu corpo foi encontrado amarrado em seu assento na cabine, seu paraquedas ainda guardado em sua mochila.

Um canal de TV local dá a notícia do acidente (ABC 7 News)

A fuga extraordinária de Siebold fez dele a primeira pessoa a sobreviver a um acidente de nave espacial em que outra pessoa morreu. Apesar das suposições iniciais de que ele havia ejetado, Siebold na verdade não teve tempo para reagir e foi simplesmente jogado para fora do veículo em seu assento quando ele se desfez. Ele foi lançado no ar rarefeito a 55.000 pés, quase o dobro da altura do Monte Everest, a uma velocidade de mais de 960 quilômetros por hora, e ainda assim, de alguma forma, ele sobreviveu para contar a história. 

Ele disse aos investigadores que se lembrava de um barulho alto, um tom brutal de alta gravidade e da sensação de uma descompressão repentina, antes que sua memória temporariamente ficasse em branco. A próxima coisa que ele soube foi que estava caindo, ainda preso em seu assento, enquanto olhava para o Mojave de uma altitude elevada. Ele desfez o cinto de segurança e assumiu a posição de queda livre, então desmaiou novamente, provavelmente devido à falta de oxigênio, acordando apenas quando seu paraquedas abriu automaticamente em uma altitude mais baixa. Ele então tentou usar o suprimento de oxigênio de emergência embutido no paraquedas, mas não conseguiu fazer o oxigênio fluir. 

Os investigadores mais tarde notariam que o sistema de fornecimento de oxigênio foi mal projetado, exigindo uma grande força de tração na alça para iniciar o fluxo de oxigênio, mas que mesmo se Siebold tivesse conseguido ativá-lo, ele não teria recebido oxigênio porque um tubo de chave havia sido desconectado. Por outro lado, eles elogiaram o sistema de implantação automática do paraquedas, que provavelmente salvou a vida de Siebold enquanto ele estava caindo inconsciente em direção ao chão.

◊◊◊

Investigadores do NTSB examinam a seção traseira da SpaceShipTwo (NTSB)

Logo após o acidente, o National Transportation Safety Board passou a assumir o comando da investigação. No entanto, o NTSB nunca havia investigado um acidente de viagem espacial comercial antes, e seu mandato não declarava explicitamente que tinha jurisdição, levando a agência a enviar ao Congresso uma justificativa de sua afirmação de autoridade sobre o caso. A justificativa foi aceita pelos comitês relevantes da Câmara e do Senado, estabelecendo formalmente a autoridade do NTSB para investigar acidentes espaciais comerciais, uma fascinante, embora esotérica, peça de manobra burocrática de bastidores.

Enquanto isso, no solo, os investigadores do NTSB começaram a analisar as vastas quantidades de dados de telemetria e recuperaram imagens de vídeo do voo de teste fatal para descobrir o que deu errado. As imagens de vídeo tornaram a resposta imediatamente óbvia: de alguma forma, a cauda emplumada, que só deveria ser acionada durante a reentrada, havia se aberto quando a espaçonave se aproximava da velocidade do som durante sua subida. Forças aerodinâmicas então arrancaram a cauda, ​​e o resto da espaçonave se desintegrou uma fração de segundo depois. Imagens de dentro da cabine, que eram continuamente transmitidas para o solo, confirmaram ainda mais que o copiloto Michael Alsbury havia destravado a pena prematuramente.

Restos espalhados por uma rodovia perto de onde o cockpit pousou (Douglas Messier)

Os engenheiros da Scaled Composites explicaram ao NTSB que se o sistema de penas fosse desbloqueado durante a zona transônica, forças aerodinâmicas superariam os atuadores e forçariam a pena a se desdobrar, um cenário que eles sabiam que seria catastrófico. Isso levou a duas linhas paralelas de investigação: primeiro, por que Michael Alsbury desbloqueou a pena muito cedo; e segundo, por que foi possível para ele fazer isso em primeiro lugar?

A primeira pergunta não foi fácil. Michael Alsbury era, por todos os relatos, um piloto de testes altamente qualificado e competente, e seus colegas ficaram chocados e surpresos que ele tivesse cometido um erro tão básico quanto destravar a pena na hora errada. De fato, é e continua sendo difícil racionalizar, mesmo depois de analisar as possíveis razões. Mas o NTSB finalmente encontrou vários fatores contribuintes que aumentaram o risco de tal erro, mesmo que não conseguissem identificar a razão exata pela qual Alsbury puxou a alavanca de destravamento da pena em Mach 0,9 em vez de Mach 1,4.

Uma das caudas da SpaceShipTwo, que se separou no início da sequência de separação (ABC News)

Uma coisa que os investigadores notaram foi que a janela na qual Alsbury deveria destravar a pena era incrivelmente estreita. Era proibido destravar a pena antes de Mach 1,4, mas se ele esperasse até depois de Mach 1,5, uma luz de advertência acenderia no painel de instrumentos, e se ele não tivesse puxado a alavanca até Mach 1,8 a missão seria abortada. O tempo real entre Mach 1,4 e Mach 1,5 foi de apenas 2,7 segundos, uma janela incrivelmente curta que, no entanto, era esperada que ele atingisse em todos os voos.

Uma revisão dos registros de treinamento de Alsbury revelou que ele nem sempre acertou o alvo. Quatro dias antes do acidente, Alsbury desbloqueou a pena após Mach 1,5 durante uma corrida de simulador, disparando a mensagem de cuidado e um debriefing pós-sessão sobre o que deu errado. Essa experiência deve ter ficado fresca em sua mente quando ele embarcou no voo do acidente, talvez o deixando ansioso para evitar desbloquear a pena tarde demais.

Em contraste, havia muito pouco para sugerir que Alsbury estaria preocupado em desbloquear a pena muito cedo. Embora ele estivesse ciente de que Mach 1,4 era um limite inferior rígido, ele pode não estar totalmente ciente das razões pelas quais esse limite existia. O NTSB procurou evidências escritas de que os pilotos haviam sido informados das consequências catastróficas de desbloquear a pena muito cedo, mas eles encontraram essas informações apenas em um único e-mail de 2010 e um slide de apresentação em PowerPoint de 2011. 

O manual de operações do piloto não mencionou a natureza catastrófica de tal erro, nem fazia parte do currículo de treinamento. Embora os pilotos provavelmente tenham aprendido sobre o assunto em algum momento de boca em boca, o NTSB não conseguiu encontrar nenhuma evidência de que eles tivessem encontrado qualquer informação oficial sobre isso em mais de três anos. 

Tudo isso parecia indicar que os pilotos podem ter tido apenas uma vaga consciência das consequências de desbloquear a pena muito cedo. E sem essa consciência, Alsbury estaria muito mais ansioso para evitar desbloquear a pena depois de Mach 1,5 do que para desbloqueá-la antes de Mach 1,4.Esse tipo de ênfase em um limite em detrimento de outro pode resultar em compensação excessiva, fazendo com que a pessoa viole o limite menos proeminente enquanto tenta arduamente evitar o mais proeminente.

Investigadores do NTSB examinam a cauda do avião (NTSB)

O NTSB também observou que Alsbury não fazia um voo motorizado na SpaceShipTwo desde abril de 2013, um ano e meio antes do acidente. Ele teria se desacostumado com as poderosas forças G e vibrações experimentadas durante a queima do foguete, o que poderia ter afetado negativamente sua capacidade de lidar com esse período de alta carga de trabalho do voo. 

Embora ele tivesse treinado extensivamente no simulador, a fidelidade dessas simulações era baixa porque o simulador tinha uma base fixa e não conseguia replicar altas forças G ou vibrações, e os pilotos não usavam seus trajes de voo completos, paraquedas, capacetes e máscaras de oxigênio durante o treinamento. Embora não houvesse relação direta entre esses fatores e a decisão de soltar a pena quando ele o fez, sabe-se que a fidelidade de um exercício de treinamento se correlaciona com a capacidade de uma pessoa de replicar uma sequência específica de ações posteriormente.

Uma causa potencial foi, no entanto, descartada: que Alsbury interpretou mal sua indicação de velocidade. Ele de fato anunciou corretamente uma velocidade de Mach 0,8 menos de dois segundos antes de anunciar que estava "desbloqueando". Alsbury estava, portanto, ciente da velocidade deles, mas também estava ciente de que não deveria desbloquear a pena até Mach 1,4, o que torna seu erro tão difícil de entender. No mínimo, é um lembrete de que o cérebro humano é uma máquina imperfeita, capaz de manter noções contraditórias simultâneas.

Uma vista aérea de parte da seção da cauda (Reuters)

Foi esse mesmo fato que levou o NTSB a perguntar por que era possível para um piloto destravar a pena em uma fase do voo em que as consequências seriam catastróficas. A resposta da Scaled Composites a essa pergunta foi impressionante em sua ingenuidade: eles simplesmente não achavam que um piloto faria isso.

Nem é preciso dizer que a atitude em relação aos pilotos de teste expressa pela Scaled Composites era irremediavelmente romântica. O fato de um piloto de teste ter cometido esse erro supostamente impensável depois que a SpaceShipTwo acumulou apenas 6,3 horas de tempo de voo motorizado ressaltou seu ridículo. Uma das suposições básicas feitas durante o design moderno de aeronaves é que se um piloto pode fazer algo, algum piloto em algum lugar eventualmente o fará. 

Mesmo se aceitarmos a falsa noção de que os pilotos de teste são infalíveis, era difícil ver como a Scaled Composites poderia esperar que a SpaceShipTwo um dia conduzisse voos comerciais regulares com pilotos regulares e ainda continuasse se escondendo dessa realidade fundamental.

Uma revisão do programa de segurança da Scaled Composites mostrou que ela havia conduzido análises altamente aprofundadas de inúmeras falhas mecânicas potenciais e implementado redundâncias para mitigá-las, mas quase não havia pensado em fatores humanos. A empresa não tinha um departamento de fatores humanos e nenhum especialista dedicado em fatores humanos, nem contratou um especialista externo para fornecer consultoria. Alguns engenheiros da Scaled Composites disseram que haviam feito cursos de nível universitário sobre fatores humanos, mas era só isso. Quando se tratava de questões ergonômicas, como design de interface do usuário, os engenheiros confiavam inteiramente no feedback dos pilotos depois que os testes já estavam em andamento.

Outra vista da seção traseira (The Guardian)

Esse enorme ponto cego no processo de design levou a uma série de decisões de design bizarras que um fabricante de aeronaves experiente provavelmente não teria tomado. Por exemplo, os engenheiros consideraram a possibilidade de que o piloto pudesse tentar travar a pena antes que ela terminasse de retrair após a reentrada, então eles adicionaram uma anunciação “OK TO LOCK” no visor multifuncional para ajudá-los. Apesar disso, eles não pensaram em incluir uma anunciação “OK TO UNLOCK ” para evitar o erro oposto. Nem incluíram nenhum tipo de trava de controle mecânico para evitar que o piloto movesse a alavanca de desbloqueio da pena durante as fases do voo, onde poderia muito bem ter sido um grande botão vermelho de “autodestruição”.

Que uma empresa em 2014 tome tais decisões de design é imperdoável, dada a quantidade de informações disponíveis para eles sobre fatores humanos no design aeroespacial. É verdade que a maioria dessas informações era destinada a fabricantes de aeronaves regulares, não de espaçonaves, mas as lições eram igualmente aplicáveis. Para encontrar um acidente semelhante na aviação comercial, pode ser necessário voltar a 1970, quando o piloto de um Douglas DC-8 da Air Canada acidentalmente acionou os spoilers de solo antes que o avião tocasse o solo, causando um toque forte e um incêndio que destruiu a aeronave. 

Naquela época, a maioria dos fabricantes já havia percebido a importância de incluir uma trava para impedir que os pilotos acionassem os spoilers de solo durante o voo, já que seu único propósito é impedir que as asas gerem sustentação após o toque. Obviamente, não há uma boa razão para um piloto ser capaz de remover toda a sustentação de um avião enquanto estiver no ar, então o DC-8 foi posteriormente redesenhado com uma trava para impedir a implantação dos spoilers de solo, a menos que as rodas estivessem de fato no solo. A aplicabilidade desta lição ao caso da SpaceShipTwo é bastante clara, mas se alguém na Scaled Composites tivesse ouvido falar do voo 621 da Air Canada ou de um acidente semelhante, não faria a conexão.

Investigadores do NTSB examinam a outra cauda destacada da nave espacial (AFP)

O fato de a Scaled Composites não ter conhecimento das lições básicas de design aprendidas décadas atrás pela indústria da aviação era sugestivo de uma cultura empresarial geralmente insegura. Essa cultura de segurança ruim foi talvez melhor exemplificada por um incidente que ocorreu, quase despercebido, no segundo voo motorizado da SpaceShipTwo em 2013. 

Durante esse voo, a espaçonave usou uma queima de foguete muito curta que a fez atingir seu apogeu enquanto ainda estava na atmosfera. Como resultado, conforme se aproximava do apogeu, a espaçonave desacelerou de volta através da zona transônica em uma altitude onde o ar ainda estava presente para gerar uma força ascendente no boom da cauda. Como os pilotos já haviam destravado o sistema de penas quando aceleraram pela primeira vez em Mach 1,4, o boom da cauda foi mantido no lugar apenas pelos atuadores quando reentrou na zona de forças ascendentes na cauda. 

Essas forças excederam a capacidade reativa dos atuadores de penas por um período de um segundo, fazendo com que o boom da cauda se movesse 0,8 graus em direção à posição emplumada antes que as forças reduzissem novamente. Essa situação incrivelmente insegura era completamente previsível com base nos parâmetros de teste planejados, e ainda assim, ou ninguém a havia previsto, ou alguém decidiu que o teste deveria prosseguir de qualquer maneira. Qualquer explicação constituiria uma violação séria de segurança.

A SpaceShipTwo caiu em um local verdadeiramente desolado (Reuters)

O foco da investigação agora se voltou para outra questão relacionada: por que a Administração Federal de Aviação não percebeu a fraca cultura de segurança da Scaled Composites? A empresa já havia sofrido um acidente fatal antes, quando um motor de foguete SpaceShipTwo explodiu em um banco de testes em 2007, matando três engenheiros. No entanto, como se viu, o problema não era tanto que a FAA não sabia, mas que a FAA não se importava.

Para receber sua autorização de voo experimental da FAA, a Scaled Composites foi obrigada a conduzir uma análise de risco, cujo propósito era identificar riscos de uma variedade de fontes, incluindo erro humano. A Scaled Composites declarou que baseou sua análise de risco em uma circular consultiva emitida pelo Federal Aviation Administration Office of Commercial Space Transportation, ou FAA/AST, intitulada “Hazard Analysis for the Launch or Re-entry of a Reusable Suborbital Rocket Under an Experimental Permit”, que declarou, entre outras coisas, que uma análise de risco deve abordar erros humanos, incluindo “erros de decisão, como usar os controles de voo na hora errada”.

No entanto, em sua análise de risco, a Scaled Composites abordou a possibilidade de erro humano apenas em resposta a outra falha. A possibilidade de um piloto desbloquear a pena muito cedo não foi considerada, e a FAA/AST não foi informada de que isso seria catastrófico. A empresa, no entanto, invocou uma disposição da circular consultiva que permitia a omissão de certos erros humanos da análise de risco se uma avaliação tivesse considerado sua exclusão razoável com base em evidências. 

Após o acidente, a Scaled Composites alegou que a possibilidade de um piloto desbloquear a pena muito cedo poderia ser excluída sob esta disposição porque havia treinado seus pilotos para desbloquear a pena no momento adequado. Esta era uma visão grosseiramente simplista do assunto, uma vez que o desempenho do piloto é afetado por muitos fatores além do treinamento. Também vale a pena notar que teorias de longa data sobre segurança do sistema consideram o treinamento o menos eficaz dos três principais métodos de melhoria da segurança, atrás de mudanças de design e dispositivos de alerta. Além disso, a Scaled Composites não fez nenhuma tentativa de desenvolver um protocolo de treinamento projetado para reduzir empiricamente o risco de um piloto desbloquear a pena muito cedo.

Closeup da seção traseira (AP)

A FAA/AST aprovou inicialmente, e depois renovou, a licença experimental da Scaled Composites, apesar dessas deficiências em seu programa de análise e mitigação de riscos. No entanto, após a renovação da licença em 2013, um engenheiro de segurança de sistemas da FAA/AST levantou preocupações de que a análise de riscos da Scaled Composites não atendia aos requisitos regulatórios devido à falta de consideração de erros humanos e de software. 

A FAA/AST confirmou essas deficiências em uma revisão subsequente, mas em vez de pedir à Scaled Composites para melhorar sua análise de riscos, a agência simplesmente concedeu à empresa uma isenção que a isentou da exigência de incluir erros humanos e de software em sua análise de riscos. 

A Scaled Composites nem mesmo havia solicitado tal isenção, mas a FAA/AST emitiu uma unilateralmente porque sentiu que a empresa já havia projetado a espaçonave para mitigar as consequências desses tipos de erros. O NTSB, por sua vez, não conseguia entender como a FAA/AST chegou a essa conclusão quando a análise de riscos da Scaled Composites nem mesmo identificou quais erros humanos eram possíveis, muito menos o que estava fazendo para mitigá-los. De fato, algumas das supostas mitigações citadas na justificativa da FAA/AST para a isenção foram posteriormente consideradas inexistentes.

O paraquedas de Pete Siebold, onde caiu após sua longa descida (ABC News)

Olhando mais profundamente para o assunto, o NTSB descobriu que a supervisão da Scaled Composites pela FAA/AST era caótica e ineficaz em todos os níveis. Não estava claro quem era responsável por impor as mitigações especificadas na isenção, e os inspetores da FAA/AST envolvidos com a empresa declararam que não interpretaram as disposições da isenção como requisitos regulatórios. Na verdade, ninguém estava monitorando se a Scaled Composites estava realmente implementando as mitigações de segurança.

Além disso, a comunicação entre a FAA/AST e a Scaled Composites era conduzida por meio de um único ponto de contato, criando um gargalo de informações. Os engenheiros da FAA/AST reclamaram que suas perguntas técnicas estavam sendo "descartadas" pela gerência antes de serem repassadas à Scaled Composites e que, quando as respostas da empresa voltaram ao ponto de contato, a intenção original das perguntas muitas vezes já havia se perdido. 

Engenheiros com experiência em transporte espacial ficaram especialmente frustrados porque suas perguntas estavam sendo alteradas por gerentes da FAA/AST que tinham conhecimento limitado de voo espacial. Essas falhas impediram que a equipe da FAA/AST obtivesse uma compreensão completa de como a SpaceShipTwo funcionava e como a Scaled Composites a estava operando.

Além disso, a FAA/AST tinha uma política de designar inspetores para lançamentos espaciais individuais, em vez de ter um único inspetor dedicado a uma empresa espacial específica, como é prática padrão na indústria da aviação. O NTSB observou que um inspetor responsável apenas por um lançamento específico não poderia ter uma boa noção da qualidade das operações de um detentor de licença.

Finalmente, a revelação mais contundente de todas veio quando os inspetores da FAA/AST admitiram ao NTSB que sentiam pressão política para aprovar licenças experimentais para empresas de viagens espaciais comerciais dentro do período de revisão padrão de 120 dias, mesmo que se sentissem desconfortáveis ​​com uma solicitação. O governo dos EUA estava ansioso para promover a indústria incipiente e aparentemente queria que o máximo de solicitações fosse aprovado. Infelizmente, essa supervisão frouxa permitiu que uma empresa insegura passasse despercebida.

Como resultado dessas descobertas, o NTSB recomendou, e a FAA implementou, uma grande revisão dos mecanismos e procedimentos usados ​​para supervisionar empresas de viagens espaciais comerciais.

◊◊◊

VSS Unity, a segunda SpaceShipTwo, construída para substituir a acidentada VSS Enterprise (Ron Rosano)

O acidente e as descobertas do NTSB necessariamente levantaram a questão de se a indústria de voos espaciais comerciais, e especialmente a indústria do turismo espacial, possuíam a mentalidade certa para ter sucesso na conquista da fronteira final. Muitas publicações criticaram toda a ideia do turismo espacial como um playground para bilionários que não trouxe nada de valor, e com tanto dinheiro tendo sido investido na Virgin Galactic e outras empresas semelhantes com muito pouco a mostrar, esses críticos tinham razão. 

Outros direcionaram suas críticas a Richard Branson em particular, pois ele era visto por muitos na indústria como alguém que não apreciava a escala da tarefa em questão. "É Branson... que sempre foi o mais problemático dos cowboys cósmicos — vendendo não apenas a si mesmo em seus sonhos febris, mas também seus clientes confiáveis ​​[também]", escreveu um colunista de opinião da Time Magazine após o acidente. 

De fato, Branson virou manchete e levantou algumas sobrancelhas ao distanciar inicialmente a Virgin Galactic do acidente e, mais tarde, declarar que os testes da SpaceShipTwo continuariam e que o contratempo não impediria a espaçonave de transportar passageiros pagantes em breve. Embora alguns clientes que tinham feito pagamentos iniciais tenham desistido, a maioria não desistiu e, em dois anos, uma SpaceShipTwo substituta estava de volta aos testes no Mojave Air and Space Port.

O acidente, no entanto, levou a uma grande introspecção na Scaled Composites, que acabou fazendo várias mudanças importantes no design para melhorar a segurança da SpaceShipTwo. Uma dessas mudanças foi a instalação de um intertravamento eletromecânico para evitar que o piloto implantasse a pena durante a fase transônica. 

Sob a supervisão da Virgin Galactic, a empresa também alterou o manual de operações do piloto para alertar sobre as consequências de liberar os bloqueios muito cedo; implementou um programa abrangente de treinamento de gerenciamento de recursos da tripulação; adicionou um protocolo de desafio e resposta para todas as tarefas críticas em voo; e lançou uma revisão mais ampla para encontrar e eliminar quaisquer outras "ações de desempenho humano de ponto único que pudessem resultar em um evento catastrófico".

Richard Branson e outros funcionários da Virgin Galactic a bordo do único voo de
passageiros da empresa até o momento (Virgin Galactic)

Há um argumento, e não um irracional, de que o desenvolvimento de espaçonaves modernas, assim como o desenvolvimento inicial de aeronaves, é inerentemente perigoso, e que a perda de uma única nave não deve prejudicar a indústria. Na opinião do autor, isso é evidentemente verdade, embora haja alguns que discordem. 

Ao mesmo tempo, no entanto, essa verdade não desculpa a Scaled Composites e sua filosofia de design ruim. Claro, ainda há muitos aspectos do voo espacial que ultrapassam os limites da capacidade tecnológica humana, e quando algo dá errado nos limites do nosso conhecimento e previsão, isso é perdoável. Mas a queda da SpaceShipTwo foi causada por puro descuido. Mesmo em uma indústria emergente, isso não deveria ter acontecido. Instalar um intertravamento na alavanca de desbloqueio de penas teria sido fácil, e a necessidade deveria ter sido óbvia.

E então há a questão de se os bilionários que financiam a maioria dos empreendimentos de voos espaciais comerciais foram suficientemente humilhados pelo acidente e suas lições. Embora haja muitas críticas válidas aos projetos espaciais controversos de Jeff Bezos e Elon Musk, esses empreendimentos progrediram até agora tão lentamente quanto necessário e evitaram acidentes fatais. 

Quanto a Richard Branson, seu pronunciamento em 2009 de que a SpaceShipTwo estaria conduzindo voos comerciais regulares em 18 meses parece especialmente tolo, dado que, em 2022, a Virgin Galactic conduziu um total de um voo de passageiros, que transportou quatro funcionários da Virgin Galactic, incluindo o próprio Branson, em uma tentativa transparente de se antecipar a um voo semelhante de Jeff Bezos na semana seguinte.

VSS Unity dispara em direção ao espaço (Virgin Galactic)

Em sua última atualização, a Virgin Galactic declarou que os voos comerciais começariam em "meados de 2022", mas em setembro, o primeiro voo programado ainda não havia acontecido. Em contraste, a Blue Origin de Jeff Bezos realizou seis voos turísticos espaciais bem-sucedidos no momento da redação deste artigo e parece pronta para continuar em uma programação cada vez mais regular. 

Claro, não deveria ser uma corrida, mesmo que os bilionários a tratem como tal. Expandir os limites da viagem espacial humana é um esforço que vale a pena por si só, independentemente de quem alega ser "o primeiro".

Bilionários, especialmente Branson, devem ter isso em mente. Eles também devem se esforçar para garantir que seus projetos enriqueçam a humanidade, não apenas seus egos — algo que muitos deles têm lutado até agora para demonstrar. E embora devam reconhecer que contratempos e acidentes podem ser inevitáveis, eles devem evitar usar essa inevitabilidade como uma desculpa para negligenciar lições que já aprendemos. 

Nosso caminho para nos tornarmos uma civilização espacial não precisa ser pavimentado com corpos, mas se acreditarmos que será, então essa crença se tornará uma profecia autorrealizável.

Edição de texto e imagens por Jorge Tadeu (Site Desastres Aéreos) com Admiral Cloudberg