Amit eddig sejtettünk, de már tudjuk is. Egy nyögvenyelős, de szükséges vizsgálat eredménye.
Az elmúlt években a Boeingról szóló hírekkel volt tele a sajtó. Belső források, minőségellenőrök jelezték, hogy baj van az új szupergéppel, a dreamlinerrel. Aztán jött a Starliner fiaskója: itt is ugyanezekre a problémákra lehetett gondolni. Hosszú vizsgálat után most többet tudunk, és nem csak a Boeing a sáros. A cikk Jared Isaacman hivatalos közleménye alapján készült, amelyben kemény, eddig nem hallott kijelentések hallhatók.
Jared Isaacman a Boeing Starliner Crew Flight Test vizsgálatáról tartott beszédét egy olyan kijelentéssel kezdte, amely azonnal világossá tette, hogy a NASA már egészen másként tekint a 2024-es küldetésre, mint közvetlenül annak befejezése után. A Starlinernek vannak tervezési és mérnöki hiányosságai, amelyeket ki kell javítani, mondta, de a vizsgálat által feltárt legsúlyosabb kudarc nem egy szelepben, egy hajtóműben vagy a héliumrendszerben keresendő. A legaggasztóbb problémát a döntéshozatalban és a vezetésben találták. Ha ezek a folyamatok változatlanul maradnának, Isaacman szerint olyan szervezeti kultúra alakulhatna ki, amely egyszerűen összeegyeztethetetlen az emberes űrrepüléssel.
Ez rendkívül súlyos megállapítás, különösen azért, mert Isaacman nem próbálta a történteket egyszerűen a Boeing kudarcaként bemutatni. A Boeing tervezte és építette a Starlinert, de a NASA felügyelte a szerződést, elfogadta az eltéréseket, jóváhagyta az űrhajót, engedélyezte az indítást, majd két saját űrhajósát küldte vele világűrbe. A vizsgálat ezért nem csupán arra kereste a választ, mi történt a Starliner hajtóműveivel 2024 júniusában. Sokkal kellemetlenebb kérdést tett fel: hogyan jutott el egy emberes űrprogram odáig, hogy évek óta ismert, de teljesen soha meg nem értett problémák mellett végül személyzetet ültessen az űrhajóba?
A történet megértéséhez egészen a Commercial Crew Program kezdetéig kell visszamenni. A Starliner fejlesztése 2010-ben indult abban az időszakban, amikor a NASA már a Space Shuttle nyugdíjazására készült. Az Egyesült Államok a Shuttle-program 2011-es befejezése után elveszítette saját emberes orbitális indítási képességét, és éveken keresztül az orosz Szojuzokra támaszkodott az ISS eléréséhez. A Commercial Crew Program ezért stratégiai jelentőségűvé vált: az amerikai űrügynökség két egymástól független személyszállító rendszert akart létrehozni, hogy egyetlen űrhajó kiesése többé ne szakíthassa meg az Egyesült Államok hozzáférését az alacsony Föld körüli pályához.
Ebből a programból született meg a SpaceX Crew Dragon és a Boeing CST-100 Starliner. A két rendszer fejlesztése azonban idővel nagyon eltérő irányt vett. A Crew Dragon 2020-ban megkezdte az emberes repüléseket, majd rendszeres személyszállító szolgálatba állt, miközben a Starliner még mindig saját fejlesztési problémáival küzdött. Ez önmagában nem jelentett volna biztonsági problémát. Egy új emberes űrhajó fejlesztésének természetes része, hogy hibákat fedeznek fel, teszteket ismételnek meg és akár éveket késnek. A későbbi vizsgálat szerint a Starliner esetében nem az volt a döntő probléma, hogy hibák történtek, hanem az, ahogyan ezeket a hibákat értelmezték, kivizsgálták és idővel elfogadták.
Az első komoly figyelmeztetés 2019 decemberében érkezett, amikor elindult a Starliner első személyzet nélküli orbitális próbarepülése, az OFT-1. Egy Mission Elapsed Timerhez (eltelt küldetési idő) kapcsolódó szoftverhiba miatt az űrhajó vezérlőrendszere rosszul értelmezte, hogy a küldetés mely szakaszában jár. A Starliner ezért szükségtelen hajtóműműveleteket kezdett végrehajtani, jelentős mennyiségű hajtóanyagot fogyasztott el, és nem került arra a pályára, amelyről elérhette volna a Nemzetközi Űrállomást. A küldetés során tíz hajtóművet hiba miatt lekapcsolt a rendszer. A NASA később az eseményt „high-visibility close call”, vagyis kiemelt jelentőségű majdnem-baleset kategóriába sorolta.
A repülés után természetesen vizsgálatok indultak, módosították a szoftvert, új ellenőrzési eljárásokat vezettek be és számos problémát kijavítottak. A mostani vizsgálat azonban utólag arra jutott, hogy több esetben nem mentek elég mélyre. Egyes anomáliák esetében megtalálták a közvetlen okot, kijavították azt, majd lezárták a problémát anélkül, hogy teljes bizonyossággal megértették volna a mögötte húzódó rendszerszintű folyamatot.
Más esetekben a jelenséget egyszerűen megmagyarázatlan anomáliaként (!!!) fogadták el.
Isaacman szerint olyan eset is előfordult, amikor még a feltételezett közvetlen ok sem volt helyes, mert az elemzés nem követte kellő szigorúsággal az adatokat azok logikus következtetéséig.
Ennek jelentősége csak később vált igazán nyilvánvalóvá, mert a hajtóműrendszerrel kapcsolatos problémák nem tűntek el. A következő személyzet nélküli próbarepülést, az OFT-2-t 2021 augusztusára tervezték, de az űrhajó akkor el sem jutott az indításig. Az előkészítés során kiderült, hogy a szervizmodul hajtóanyagrendszerének 24 oxidálószer-szelepéből 13 zárt állapotban maradt. Az indítást törölték, a rakétát és az űrhajót visszaszállították, a szervizmodult pedig végül lecserélték. Az OFT-2 csak 2022 májusában indulhatott el.
Ez a repülés már nagyrészt sikeresen zajlott. A Starliner elérte az ISS-t, dokkolt, majd visszatért a Földre, így kívülről úgy látszott, hogy a program túljutott korábbi problémáin. A repülés közben azonban három hátsó reakcióvezérlő hajtóművet ismét hibásként lekapcsoltak. Vagyis mire a NASA elkezdett készülni az első személyzetes repülésre, már több különböző küldetés és földi előkészítés során is jelentkeztek problémák a Starliner hajtómű- és hajtóanyagrendszerének különböző részein.
A későbbi vizsgálat egyik legfontosabb következtetése szerint ezekből az előjelekből nem állt össze megfelelően az a kép, amelynek össze kellett volna állnia. Az OFT-1 és OFT-2 vizsgálatai nem minden esetben jutottak el az anomáliák valódi gyökérokáig, és a korábbi hajtóműproblémákból következő kockázatokat sem értették teljes egészében. Ennek ellenére a program továbbhaladt az első emberes próbarepülés felé.
2024-re már óriási nyomás nehezedett a Starlinerre. A program éveket késett, a Boeing jelentős pénzügyi veszteségeket halmozott fel, miközben a SpaceX Crew Dragon addigra rutinszerűen szállította a NASA személyzetét az ISS-re. A Crew Flight Test előkészítése során több mint harminc tervezett indítási lehetőség és halasztás követte egymást. Isaacman szerint ennek következtében fokozatosan kialakult a menetrendi nyomás és a döntési fáradtság. A vizsgálat során meghallgatott tanúk beszámolóiban ráadásul rendszeresen visszatért az az érzés, hogy a Commercial Crew Program vezetése számára a Starliner elindítása már önmagában a program sikerének feltételévé vált.
Ez az a pont, ahol egy technikai program problémája szervezeti problémává válhat. Egy egészséges biztonsági kultúrában az alapvető kérdés az, hogy elegendő bizonyíték áll-e rendelkezésre a repülés biztonságosságának igazolására. Ha azonban egy program jövője, presztízse, költségvetése és éveken át tartó munkája egyetlen küldetés sikeréhez kezd kötődni, könnyen megváltozhat a gondolkodás iránya. A kérdés már nem feltétlenül az lesz, hogy „bizonyítottuk-e, hogy biztonságos repülni?”, hanem az, hogy „van-e olyan bizonyíték, amely miatt mindenképpen le kell állítanunk a repülést?”. A két megközelítés közötti különbség emberes űrrepülésnél létfontosságú.
A Crew Flight Test végül 2024. június 5-én indult el Butch Wilmore és Suni Williams fedélzetén. Már az indulás előtt ismert volt egy héliumszivárgás, de a NASA és a Boeing elemzése alapján ezt kezelhető kockázatnak minősítették. Az igazi válság az ISS megközelítése közben alakult ki.
A Starliner szervizmoduljának hajtóművei egymás után kezdtek rendellenesen viselkedni, több fúvóka teljesítménye jelentősen visszaesett, és a problémák egy ponton odáig fajultak, hogy az űrhajó átmenetileg elveszítette teljes hat szabadságfokú irányíthatóságát.
Ez sokkal súlyosabb annál, mint amit egyszerűen „néhány meghibásodott hajtóműként” lehetne leírni. Egy szabadon repülő űrhajónak három irányban kell tudnia elmozdulni, és három tengely körül kell tudnia elfordulni. A hat szabadságfokú kontroll biztosítja, hogy a jármű pontosan megközelíthesse az űrállomást, megállhasson, eltávolodhasson vagy szükség esetén megszakíthassa a dokkolást. Ennek elvesztése egy több száz tonnás űrállomás közvetlen közelében potenciálisan rendkívül veszélyes helyzet.
A repülésirányítók és az űrhajósok végül visszanyerték az irányítást, több hajtóművet sikerült újra működésre bírni, és a Starliner sikeresen dokkolt. Isaacman azonban külön hangsúlyozta, hogy a sikeres dokkolás nem teheti utólag jelentéktelenné azt, ami előtte történt. Ha más döntések születnek, ha a hajtóműveket nem sikerül helyreállítani, vagy ha a dokkolás meghiúsul, a küldetés egészen más véget érhetett volna.
Wilmore és Williams ezután az ISS biztonságában maradt, miközben a Földön a Boeing és a NASA mérnökei megpróbálták megérteni a hajtóművek viselkedését. Teszteket végeztek, elemezték a repülési adatokat és megpróbálták meghatározni, hogy a Starliner képes-e megfelelő biztonsági tartalékkal hazahozni személyzetét. A vita hónapokig tartott, és végül a NASA arra jutott, hogy nem rendelkezik elegendő bizonyossággal ahhoz, hogy Wilmore és Williams életét erre a rendszerre bízza. A Starliner 2024 szeptemberében személyzet nélkül hagyta el az ISS-t, a két űrhajós pedig végül 2025 márciusában a SpaceX Crew-9 Dragon fedélzetén tért vissza a Földre.
A Starliner közben sikeresen leszállt, de még a hazatérés sem zajlott teljesen eseménytelenül. Isaacman szerint a személyzeti modul egyik hajtóműve váratlanul meghibásodott, aminek következtében a rendszer a légkörbe való visszatérés egy részében „zero-fault tolerant” állapotba került.
Ez azt jelenti, hogy egy kritikus funkciónál elfogyott a további meghibásodások elviselésére szolgáló tartalék. Az űrhajó végül rendben földet ért, de a biztonsági elemzés szempontjából óriási különbség van aközött, hogy egy rendszer sikeresen befejezett egy repülést, illetve aközött, hogy megfelelő biztonsági tartalékokkal hajtotta végre azt.
A későbbi független vizsgálat ezért már nem egyetlen meghibásodásra koncentrált. A teljes program történetét kezdte újra felépíteni, és azt találta, hogy a problémák a szerződéses struktúrától és a NASA felügyeleti modelljétől kezdve a Boeing műszaki döntésein keresztül egészen a vezetői kultúráig terjedtek.
Az egyik legfontosabb megállapítás a NASA úgynevezett „limited touch” felügyeleti modelljét érintette. A Commercial Crew Program egyik alapelve az volt, hogy a vállalatok a korábbi NASA-programokhoz képest jóval nagyobb önállóságot kapnak saját űrhajójuk megtervezésében és fejlesztésében. Ez önmagában nem hiba; éppen ez a kereskedelmi modell egyik lényege. A vizsgálat szerint azonban a Starliner esetében a NASA bizonyos területeken nem rendelkezett olyan mélységű rendszerismerettel és fejlesztési rálátással, amelyre egy emberes űrhajó magabiztos minősítéséhez szüksége lett volna. Isaacman megfogalmazásában az „insight” és az „oversight”, vagyis a fejlesztésbe való betekintés és a tényleges felügyelet közötti egyensúlyt nem következetesen alkalmazták.
A másik alapvető probléma a Boeing hajtóműrendszerének tervezési és minősítési megközelítése volt. A vizsgálat szerint bizonyos hardverelemek olyan körülmények között működhettek, amelyek kívül estek azon a tartományon, amelyre megfelelően kvalifikálták őket. Egy emberes űrhajónál ez különösen komoly probléma. A kvalifikáció azt bizonyítja, hogy egy alkatrész meghatározott hőmérsékleti, nyomás-, terhelési és működési környezetben megfelelő tartalékkal képes ellátni feladatát. Ha a valós repülés során ezen a bizonyított tartományon kívül használják, akkor már nem mérési és tesztadatokra, hanem feltételezésekre támaszkodnak.
Isaacman egyik legerősebb kijelentése szerint a Starliner a jelenlegi kvalifikációs hiányosságai miatt a személyzet túlélése szempontjából kevésbé megbízható, mint más emberes űreszközök. Ez önmagában is elég lenne ahhoz, hogy megállítsák a következő személyzetes repülést, a vizsgálat azonban egy harmadik, még kellemetlenebb gyökérokot is azonosított: a NASA jogos stratégiai törekvése, hogy két egymástól független amerikai személyszállító rendszerrel rendelkezzen, idővel maga is hatással kezdett lenni a Starliner kockázatairól folytatott műszaki és operatív vitákra.
Ez a megállapítás magyarázza Isaacman beszédének szokatlanul kemény hangnemét. A Starliner sikerére szükség volt. A Boeingnek szüksége volt rá, a Commercial Crew Programnak szüksége volt rá, és a NASA eredeti kétjárműves stratégiájának is szüksége volt rá. Csakhogy egy emberes űrprogramban a program fennmaradásának érdeke soha nem kerülhet ugyanarra a mérlegre a személyzet biztonságával. A szükség törvényt bont mondás itt nem szabad, hogy érvényesüljön. Az emberi életek, a kritikus működési körülmények megfelelő biztonsági értékelése minden felett áll.
A vizsgálat szerint ez a feszültség az ISS-en töltött hónapok alatt vált különösen láthatóvá. Komoly nézeteltérések alakultak ki arról, hogy Wilmore és Williams visszatérjen-e a Starlinerrel. A szakmai vita természetes, sőt szükséges része az űrrepülésnek, de a tanúvallomások szerint a nézeteltérések egy része szakmailag elfogadhatatlan viselkedésbe csúszott át, miközben a Starliner program jövőjével kapcsolatos érdekek továbbra is jelen voltak. Isaacman szerint eközben nem történt meg időben az a kellően erős felsővezetői beavatkozás, amelynek vissza kellett volna terelnie a vitát a küldetés egyetlen valóban meghatározó szempontjára: a személyzet biztonságára.
A problémák még a küldetés után is folytatódtak. Annak ellenére, hogy a Starliner a dokkolás során elveszítette hat szabadságfokú irányíthatóságát, és az esemény pénzügyi következményei több mint százszorosan meghaladták a NASA legsúlyosabb, Type A kategóriájú eseményeinek költségküszöbét, kezdetben nem nyilvánították hivatalosan ilyen súlyosságú eseménnyé. Isaacman szerint ebben a döntésben a Starliner program hírnevével kapcsolatos aggodalmak is szerepet játszottak. Ráadásul elsőként maga a Commercial Crew Program kezdte vizsgálni a saját működését.
A NASA később független vizsgálatot rendelt el, és Isaacman bejelentette, hogy a Crew Flight Testet utólag hivatalosan Type A mishap kategóriába sorolják. Ez nem azt jelenti, hogy a Starliner katasztrófát szenvedett: Wilmore és Williams sértetlenül hazatért, az űrhajó pedig személyzet nélkül sikeresen leszállt. A minősítés inkább azt fejezi ki, hogy az esemény tényleges és potenciális következményei alapján sokkal súlyosabb volt annál, mint ahogyan eredetileg kezelték.
Ezen a ponton válik világossá, miért hangsúlyozta Isaacman, hogy a Starliner-vizsgálat legsúlyosabb eredménye nem műszaki természetű. Egy hajtóművet át lehet tervezni. Egy hibás szelepet ki lehet cserélni. Egy hőterhelési problémát új tesztekkel lehet vizsgálni. Sokkal nehezebb kijavítani azt a szervezeti környezetet, amelyben egy program sikere lassan összekeveredik azzal a kérdéssel, hogy egy adott repülés valóban készen áll-e az indulásra.
A NASA történetében ennek különösen súlyos jelentése van. A Challenger és a Columbia katasztrófáinak vizsgálatai egyaránt arra jutottak, hogy a tragédiák közvetlen műszaki okai mögött szervezeti tényezők is álltak. A Challenger esetében az O-gyűrűk viselkedése, a Columbiánál a külső üzemanyagtartályról leváló habszigetelés volt a közvetlen fizikai probléma, de mindkét esetben fontos szerepet játszott az ismert rendellenességek fokozatos elfogadása, a bizonytalanság kezelése és az a mód, ahogyan a műszaki aggályok a vezetési struktúrán keresztül eljutottak – vagy nem jutottak el – a döntéshozókhoz.
A Starliner esetében szerencsére nem kellett tragédiának bekövetkeznie ahhoz, hogy ezek a kérdések ismét előkerüljenek. Éppen ezért lehet a CFT vizsgálatának hosszú távú jelentősége sokkal nagyobb, mint a Boeing űrhajónak jövője. A NASA ma egyre nagyobb mértékben támaszkodik kereskedelmi partnerekre. A vállalatok tervezik az űrhajókat, építik a holdkompokat, fejlesztik a jövő kereskedelmi űrállomásait és egyre több olyan feladatot vesznek át, amelyet korábban maga az űrügynökség végzett. A Starliner története esete sűlyos figyelmeztetés arról, hogy a fejlesztést és a gyártást át lehet adni egy vállalatnak, de a személyzet biztonságáért viselt felelősséget nem.
Isaacman ezért egyértelmű feltételeket szabott a Starliner jövőjének. A NASA továbbra is együtt kíván dolgozni a Boeinggel, mert az Egyesült Államok számára továbbra is érték a verseny és a redundáns hozzáférés az alacsony Föld körüli pályához. Újabb személyzet azonban addig nem repülhet Starlinerrel, amíg a hajtóműproblémák műszaki okait teljesen meg nem értik és ki nem javítják, a hajtóműrendszert megfelelően nem kvalifikálják, és a vizsgálat szükséges ajánlásait végre nem hajtják.
A beszéd végén Isaacman ezért már alig beszélt magáról az űrhajóról, és ez nem lepett meg, vártam ezt a szembenézést: a hangsúlyt a transzparenciára és a felelősségvállalásra helyezte, amely a korábbi vezetés alatt nem volt elég átlátható. A NASA nyilvánosságra hozza a vizsgálatot, csak ott kitakarva részleteket, ahol ezt jogszabály vagy kereskedelmi partnerének jogos érdeke megköveteli. Isaacman szerint a kellemetlen események elhallgatása vagy jelentőségük csökkentése pontosan a rossz tanulságot rögzíti egy szervezetben. Ha egy emberes űrprogram azért tekint egy küldetést sikeresnek, mert végül mindenki életben hazatért, könnyen figyelmen kívül hagyhatja azokat a döntéseket, amelyek miatt a személyzet egyáltalán veszélyes helyzetbe került.
Ezért a Starliner-vizsgálat központi kérdése végülis nem az, hogy miért melegedtek túl bizonyos hajtóművek, miért szivárgott a hélium, vagy pontosan miért veszítették el egy időre a kormányhajtóművek a megfelelő teljesítményt. Ezekre a műszaki kérdésekre továbbra is keresik a végleges válaszokat. A nehezebb kérdés az, hogyan indulhatott el egy emberes próbarepülés úgy, hogy a korábbi küldetések figyelmeztetéseinek egy része még nem volt teljesen megértve.
Butch Wilmore és Suni Williams végül hazatért, a Starliner is visszatért, ahogy hangsúlyozta a beszédében Isaacman: nem történt katasztrófa. A NASA számára azonban pontosan ez teszi különösen értékessé ezt a vizsgálatot. Ezúttal lehetőség nyílt levonni egy majdnem bekövetkezett súlyos esemény tanulságait anélkül, hogy ehhez emberéleteket kellett volna elveszíteni. A beszédének talán ez a legfontosabb üzenete: az emberes űrrepülésben nem elegendő azt vizsgálni, hogy egy küldetés végül sikeresen fejeződött-e be. Azt is meg kell kérdezni, hogy a siker a rendszer megfelelő működésének következménye volt-e – vagy annak ellenére következett be.
Ilyen beszédet még az űrrepülőgépek katasztrófája idején sem hallottunk NASA adminisztrátortól, ami, legalábbis számomra, Isaacman vezetői nagyságát emeli ki. A legjobb embert találták meg a feladatra.
