‹ Mark ở vũ trụ khácENMark học AI
Mark ở vũ trụ khác Giải phẫu thảm họa · Vũ trụ · Ra quyết định

Tàu con thoi Challenger

2°C 73 giây

STS-51-L · 28/1/1986 · Trung tâm vũ trụ Kennedy, Florida

Chuyện gìtàu vỡ tan ở giây thứ 73 sau khi phóng
Thiệt hại7 phi hành gia, trong đó có một cô giáo
Nguyên nhân gốcgioăng chữ O ở khớp tên lửa đẩy hỏng vì lạnh
Nguồn chínhBáo cáo Ủy ban Rogers, 6/1986
Đọc lại trong 1 phút

Tinh hoa

Một vòng cao suGioăng chữ O ở khớp tên lửa đẩy phải bị cứng vì lạnh, khí nóng xuyên qua.
Đã biết từ 1977Lỗi khớp có trong hồ sơ 9 năm. 7 trên 23 chuyến trước đã có gioăng bị hư.
Gánh chứng minh bị đảoĐêm trước, kỹ sư phải chứng minh "không an toàn" thay vì được hỏi "an toàn chưa".
Lệch dần thành bình thườngMỗi chuyến bay về an toàn làm cái hư hỏng trông "chấp nhận được" hơn.
Không có kẻ ácNgười ta làm đúng quy trình. Chính quy trình đã trôi đi lúc nào không hay.

Nguồn: Báo cáo Ủy ban Rogers (1986), chương 4–6; số chuyến bay từ Dalal, Fowlkes và Hoadley (1989), bảng 1.

Phần 1

Câu hỏi của vụ án

Một tổ chức toàn kỹ sư giỏi, biết rõ điểm yếu từ 9 năm trước, có kỹ sư phản đối ngay đêm trước, vì sao vẫn bấm nút phóng? Câu trả lời không nằm ở một người, mà ở cách cả tổ chức quen dần với rủi ro.

1977–1985Biết lỗiThử nghiệm cho thấy khớp hở ra. Gioăng bị mòn trên nhiều chuyến bay.
→
27/1/1986Đêm cãi nhauKỹ sư Thiokol khuyên không phóng dưới 53°F. Ba tiếng sau, quản lý đổi ý.
→
28/1/198673 giâyTrời 2°C. Khói đen ở khớp ngay giây đầu tiên. Tàu vỡ ở giây 73.
Phần 2

Chuyện gì đã xảy ra

Mọi mốc thời gian dưới đây lấy từ chương 3 báo cáo Ủy ban Rogers.

Dòng thời gian 73 giây. Giây 0,678: khói xám phụt ra ở khớp sau tên lửa đẩy phải. Đến giây 2,5: thêm 8 đợt khói đen. Sau đó xỉ nhôm oxit bịt tạm chỗ hở. Từ giây 37 đến 64: nhiều đợt gió đứt mạnh. Giây 58,8: lửa xuất hiện ở khớp. Giây 64,7: lửa làm thủng bình nhiên liệu ngoài. Giây 72,2: thanh giằng đứt. Khoảng giây 73: tàu vỡ tan. gió đứt mạnh · giây 37–64 0,678 skhói xám ~3 sxỉ nhôm oxitbịt tạm chỗ hở 58,8 s · lửa 64,7 sthủng bình nhiên liệu ~73 s tàu vỡ thang thời gian: giây kể từ lúc rời bệ phóng · nhiệt độ không khí 36°F (2°C), khớp bị lạnh dưới 0°C
Tàu suýt thoát. Xỉ cháy đã tạm bịt chỗ hở trong gần một phút. Ủy ban cho rằng các đợt gió đứt có thể đã làm vỡ lớp bịt tạm đó.Nguồn: Báo cáo Ủy ban Rogers, chương 3 (mốc thời gian) và chương 4 (nhiệt độ khớp).
1977 · Thử nghiệm áp suấtHai nửa khớp bị đẩy ra xa nhau thay vì ép chặt vào. Thiokol cho là không đáng kể.
1978–1979 · Kỹ sư NASA phản đối bằng văn bảnKỹ sư ở trung tâm Marshall gọi thiết kế là "không thể chấp nhận". Các bản ghi nhớ không đến được Thiokol.
1982 · Không còn gioăng dự phòngKhớp bị xếp mức nguy hiểm cao nhất (hỏng là mất tàu), rồi được miễn trừ năm 1983.
1/1985 · Chuyến 51-C, 53°F (12°C)Lạnh nhất từ trước đến lúc đó. Khí nóng lọt qua gioăng chính.
31/7/1985 · Bản ghi nhớ của Roger Boisjoly"Kết quả sẽ là một thảm họa ở mức cao nhất: mất mạng người."
27/1/1986, tối · Cuộc họp qua điện thoạiKỹ sư khuyên không phóng. Sau 30 phút họp riêng, lãnh đạo Thiokol đổi khuyến nghị.
28/1/1986, 11:38 · PhóngBăng phủ trên bệ phóng. Không có quy định nào về nhiệt độ bề mặt.

Nguồn: Báo cáo Ủy ban Rogers, chương 5 (cuộc họp, băng trên bệ phóng), chương 6 (thử nghiệm 1977, bản ghi nhớ, chuyến 51-C) và chương 7.

Kỳ 1

Chuyện gì đã xảy ra

73 giây2°C7 ngườiđêm trước
Kỳ 2

Vì sao

gioăng chữ Obiểu đồ thiếu số 0lệch thành bình thườnglời đồn
Kỳ 3

Bài học làm việc

ai phải chứng minhmũ kỹ sư, mũ quản lýhọp go/no-go
Phần 3

Vì sao: năm lớp nguyên nhân

Lớp kỹ thuật: khớp nối và gioăng chữ O

field joint · O-ringRogers, chương 4 và 6
Mặt cắt khớp nối giữa hai đoạn tên lửa đẩy. Đoạn trên có ngạnh cắm vào rãnh của đoạn dưới. Hai gioăng chữ O, chính và phụ, bịt khe. Khi đánh lửa, áp suất làm khớp xoay và khe hở rộng ra. Gioăng phải nở ra lấp khe trong vài phần nghìn giây. Ở nhiệt độ thấp, cao su cứng lại và nở chậm, khí nóng lọt qua. khí nóng từ buồng đốt ← gioăng chính← gioăng phụ 1 · đánh lửa: khớp "xoay", khe mở rộng thử nghiệm 1977: khe mở tới 1,3 mm 2 · gioăng phải nở ra lấp khe ngay 3 · lạnh: cao su cứng, nở chậm → hở
Gioăng không được thiết kế để bị mòn. Feynman viết: "Sự mòn là một manh mối cho thấy có gì đó sai". Ủy ban gọi gốc rễ là "một thiết kế lỗi, nhạy cảm đến mức không thể chấp nhận" với nhiệt độ, kích thước, vật liệu và việc tái sử dụng.Nguồn: Báo cáo Ủy ban Rogers, chương 4 và 6 (khe hở 0,052 inch ≈ 1,3 mm trong thử nghiệm 1977); Feynman, phụ lục F.

Lớp dữ liệu: biểu đồ thiếu những số 0

missing denominatorsRogers, chương 6, hình 6 và 7
Biểu đồ chỉ gồm 7 chuyến bay có gioăng bị hư, xếp theo nhiệt độ từ 53 đến 75 độ F. Nhìn vào đây không thấy quy luật gì với nhiệt độ. 1 2 3 0 30°-1°C 40°4°C 50°10°C 60°16°C 70°21°C 80°27°C nhiệt độ khớp lúc phóng (°F) số gioăng bị hư chỉ vẽ chuyến có hư hỏng
Cách nhìn đêm trước: chỉ các chuyến có sự cố. Ủy ban viết rằng nhìn thế này thì "không có gì bất thường" theo nhiệt độ.Nguồn: Báo cáo Ủy ban Rogers, chương 6, hình 6; số liệu từng chuyến: Dalal, Fowlkes và Hoadley (1989), bảng 1.
Biểu đồ đủ 23 chuyến bay. Bốn chuyến dưới 65 độ F đều có gioăng bị hư. Trong 19 chuyến từ 66 độ F trở lên, chỉ 3 chuyến có hư hỏng. Ngày phóng Challenger, khớp ở khoảng 31 độ F, nằm xa bên trái, ngoài mọi dữ liệu đã có. 1 2 3 0 30°-1°C 40°4°C 50°10°C 60°16°C 70°21°C 80°27°C nhiệt độ khớp lúc phóng (°F) số gioăng bị hư dưới 65°F: 4/4 chuyến hư từ 66°F: 3/19 chuyến hư 28/1/1986~31°F (−0,5°C)ngoài mọi dữ liệu
Thêm các chuyến không hư hỏng, quy luật hiện ra. Dữ liệu: Dalal, Fowlkes và Hoadley (1989), bảng 1. Mô hình của họ ước tính ở 31°F có ít nhất 13% khả năng gioăng hỏng thảm khốc; hoãn đến 60°F còn khoảng 2%. Đây là phân tích làm sau tai nạn, không phải thứ có trên bàn đêm đó.Nguồn: Dalal, Fowlkes và Hoadley, JASA 84(408), 1989, bảng 1 và tr. 957; Báo cáo Ủy ban Rogers, chương 6, hình 7. Tỷ lệ 4/4 và 3/19 đếm từ bảng của Dalal; Ủy ban Rogers ghi "3 trên 20" chuyến từ 66°F. Nhiệt độ ngày phóng: 31°F theo Dalal, 28 ± 5°F theo Ủy ban Rogers.

Lớp quyết định: đêm đảo ngược gánh chứng minh

burden of proofRogers, chương 5
Đêm 27/1/1986. 20 giờ 45: Thiokol trình bày, khuyến nghị không phóng dưới 53 độ F. Lawrence Mulloy của NASA: "Trời ơi, Thiokol, các anh muốn tôi phóng khi nào, tháng Tư năm sau à?". 22 giờ 30: Thiokol xin họp riêng 30 phút. Phó chủ tịch Jerald Mason bảo Bob Lund "bỏ mũ kỹ sư xuống, đội mũ quản lý lên". 23 giờ: Thiokol đọc khuyến nghị mới, đồng ý phóng, gọi dữ liệu là "chưa kết luận được". 20:45 · Thiokol trình bày "không phóng dưới 53°F" mức lạnh nhất từng bay NASA: "muốn tôi phóng khi nào, tháng Tư năm sau à?" 22:30 · họp riêng 30 phút "Bỏ mũ kỹ sư xuống, đội mũ quản lý lên." kỹ sư không được bỏ phiếu cuối cùng 23:00 · khuyến nghị mới "đồng ý phóng" dữ liệu "chưa kết luận được" không ai phản đối khi được hỏi Boisjoly: "Chúng tôi phải chứng minh chắc chắn rằng nó KHÔNG an toàn. Ngược hoàn toàn với bình thường."
Không ai mời đại diện bộ phận an toàn vào cuộc họp (Rogers, chương 7). Ủy ban kết luận lãnh đạo Thiokol đổi ý, trái với kỹ sư của mình, "để chiều lòng một khách hàng lớn".Nguồn: Báo cáo Ủy ban Rogers, chương 5 (giờ, lời nói, lời khai của Boisjoly) và chương 7.

Lớp văn hóa: bình thường hóa sự lệch chuẩn

normalization of devianceDiane Vaughan, 1996
Bậc thang của sự quen dần. 1977: khớp hở là "không thể chấp nhận". 1981: lần đầu gioăng mòn trên chuyến bay, là bất thường. 1983: đặt giới hạn mòn 0,090 inch, gọi là biên an toàn. 1985: khí nóng lọt qua, "không mong muốn nhưng chấp nhận được". 1985: gioăng chính không kín, có lệnh hạn chế phóng nhưng được miễn mỗi chuyến. 12/1985: hồ sơ ghi vấn đề "đã đóng". 1986: phóng ở 2 độ C. 1977"không chấp nhận" 1981mòn lần đầu 1983"biên an toàn" 1/1985"chấp nhận được" 4/1985lệnh hạn chế, miễn 12/1985"đã đóng" 1/1986phóng ở 2°C
Mỗi bậc chỉ cao hơn bậc trước một chút. Vaughan định nghĩa: hành vi người ngoài thấy rõ là lệch chuẩn dần trở thành bình thường và chấp nhận được với người bên trong. Bà phản bác cách hiểu cho rằng quản lý cố tình đánh đổi mạng người lấy lịch bay.Nguồn: các mốc và giới hạn mòn 0,090 inch từ Báo cáo Ủy ban Rogers, chương 6; khái niệm từ Vaughan (1996, 2005).

Bình thường hóa

Mỗi lần bay về an toàn được coi là bằng chứng an toàn. Feynman: chơi cò quay Nga, phát đầu không nổ chẳng an ủi được phát sau.

Văn hóa sản xuất

NASA định bay 24 chuyến một năm. Năm 1986 có 15 chuyến trong lịch; tàu Challenger phải mượn 45 linh kiện từ tàu khác (Rogers, chương 8).

Bí mật do cấu trúc

Không ai giấu ai. Thông tin bị lọc qua từng tầng nên tầng trên không thấy mức nghiêm trọng.

Lớp con số: kỹ sư và quản lý lệch nhau 1.000 lần

risk perception gapFeynman, phụ lục F
Ước tính xác suất mất tàu mỗi chuyến, thang logarit. Dữ liệu lịch sử tên lửa nhiên liệu rắn: 1 trên 25. Kỹ sư: khoảng 1 trên 100. Quản lý NASA: 1 trên 100.000. Thực tế cả chương trình tàu con thoi: 2 lần mất tàu trên 135 chuyến, khoảng 1 trên 68. 1/101/1001/1.0001/10.0001/100.000 tên lửa rắn, lịch sử1/25 thực tế tàu con thoi~1/68 kỹ sư~1/100 quản lý NASA1/100.000
"Nguồn gốc niềm tin kỳ lạ của quản lý vào cỗ máy là gì?" Feynman hỏi. Con số 1/100.000 nghĩa là phóng mỗi ngày suốt 300 năm mới mất một tàu. Thực tế: mất Challenger 1986 và Columbia 2003 trong 135 chuyến.Nguồn: Feynman, phụ lục F, Báo cáo Ủy ban Rogers (các ước tính 1/25, 1/100, 1/100.000 và ví dụ 300 năm); 2 lần mất tàu trong 135 chuyến 1981–2011: NASA.
Phần 4

Kiểm chứng: chuyện thật và lời đồn

13 điều hay được kể về Challenger, đối chiếu với hồ sơ gốc. Bấm từng dòng để xem lý do.

VỮNGGioăng ở khớp dưới của tên lửa đẩy phải hỏng là nguyên nhân trực tiếp

Kết luận đồng thuận của Ủy ban Rogers (chương 4), có ảnh khói ở giây 0,678 và lửa ở giây 58,8 tại đúng vị trí đó.

VỮNGLỗi khớp được biết từ nhiều năm trước

Thử nghiệm 1977, các bản ghi nhớ 1978–1979 gọi thiết kế "không thể chấp nhận", gioăng hư trên 7 trong 23 chuyến có thu hồi tên lửa đẩy (Rogers, chương 6).

VỮNGKỹ sư Thiokol khuyên không phóng dưới 53°F

Ghi trong chương 5, kèm lời khai của Boisjoly: "không nên bay ra ngoài vùng dữ liệu của mình, tức 53 độ".

VỮNGCó áp lực lịch bay từ bên trong NASA

Kế hoạch 24 chuyến mỗi năm, linh kiện phải tháo từ tàu khác, thời gian huấn luyện bị ép (Rogers, chương 8). Vaughan gọi đó là "văn hóa sản xuất".

THẬN TRỌNGKỹ sư bị phớt lờ, không ai nghe

Họ được nghe hàng giờ, và phía NASA nói sẽ không phóng nếu Thiokol phản đối. Điều xảy ra là chính lãnh đạo Thiokol đổi ý sau cuộc họp riêng, và gánh chứng minh bị đảo ngược. Kỹ sư Bob Ebeling sau này nói ông "lẽ ra đã có thể làm nhiều hơn".

THẬN TRỌNGMột biểu đồ tốt chắc chắn đã ngăn được vụ phóng

Edward Tufte (1997) nói có. Một bài phản biện năm 2002 do chính Boisjoly đồng tác giả nói các kỹ sư không có đủ dữ liệu nhiệt độ dù đã xin, trục nhiệt độ của Tufte trộn nhiệt độ gioăng với nhiệt độ không khí, và vấn đề cốt lõi là gánh chứng minh, không phải hình vẽ. Đây là tranh cãi chưa ngã ngũ.

THẬN TRỌNGHàng triệu học sinh xem trực tiếp

Các kênh truyền hình lớn đã cắt sóng trước khi phóng; CNN phát trực tiếp, và NASA truyền vệ tinh tới các trường học vì chương trình "Giáo viên vào vũ trụ". Nhiều học sinh xem trực tiếp thật, nhưng phần lớn người Mỹ xem phát lại. Không tìm thấy khảo sát gốc cho các con số phần trăm hay được trích.

THẬN TRỌNGChallenger "nổ tung"

Không có vụ nổ theo nghĩa kíp nổ hay sóng xung kích. Bình nhiên liệu ngoài vỡ, tàu bị lực khí động học xé tan, nhiên liệu cháy bùng. Nói "vỡ tan" chính xác hơn.

THẬN TRỌNGPhi hành đoàn tỉnh táo cho đến lúc rơi xuống biển

Báo cáo của bác sĩ Kerwin (7/1986): 3 trong 4 bình khí thở khẩn cấp tìm được đã được bật bằng tay, nên ít nhất vài người còn sống và hành động sau khi tàu vỡ. Nhưng họ "có thể, nhưng không chắc chắn" đã bất tỉnh vài giây sau đó. Không xác định được khoang có mất áp hay không.

THẬN TRỌNGFeynman một mình tìm ra nguyên nhân

Màn thả gioăng vào cốc nước đá trên truyền hình là của ông. Nhưng gợi ý ban đầu đến từ tướng Donald Kutyna, và sau khi Sally Ride mất (2012), Kutyna kể chính bà đã đưa ông tài liệu NASA về gioăng cứng lại khi lạnh. (Nguồn thứ cấp: lời kể của Kutyna.)

SAIPhi hành đoàn chết ngay lập tức

Khoang phi hành đoàn tách ra gần như nguyên vẹn, gia tốc lúc vỡ khoảng 12–20 G, "có thể sống sót được". Khoang rơi khoảng 2 phút 45 giây trước khi chạm biển. Nguyên nhân tử vong "không thể xác định chắc chắn" (Kerwin).

SAINhà Trắng ép phóng để kịp Thông điệp Liên bang

Ủy ban đã điều tra tin đồn này. Những người liên quan khẳng định không có kế hoạch kết nối trực tiếp nào, và quyết định phóng do quan chức NASA đưa ra "không có bất kỳ can thiệp hay áp lực nào từ bên ngoài" (Rogers, chương 8).

SAILệnh cấm amiăng làm hỏng chất trám khớp

Một tin đồn lâu năm trên mạng. Nhà báo không gian James Oberg, người tổng hợp các lời đồn về Challenger, gọi việc đổi chất trám là "không liên quan đến thảm họa".

Phần 5

Đánh giá vụ việc

Điểm là đánh giá của Mark dựa trên các nguồn ở Phần 8, không phải số liệu của một nghiên cứu.

Có thể tránh được
5/5
Cảnh báo có từ trước
5/5
Điều tra minh bạch
4/5
Bài học được giữ lại
2/5
Làm đúng sau thảm họa
  • Báo cáo công khai, nêu thẳng lỗi quyết định
  • Thiết kế lại khớp, thêm gioăng thứ ba và bộ sưởi
  • Lập văn phòng an toàn báo cáo thẳng lên lãnh đạo NASA
Làm chưa đúng
  • Boisjoly bị cô lập, cho ra khỏi dự án vũ trụ
  • Sửa thiết kế nhanh hơn sửa văn hóa
  • 17 năm sau, Columbia lặp lại cùng kiểu sai

Thảm họa có thể tránh được nhất của chương trình vũ trụ Mỹ, vì mọi thông tin cần thiết đều đã nằm trong phòng họp đêm trước.

Xem thêm: vì sao bài học bị quên

Năm 2003, tàu Columbia vỡ khi trở về vì một mảnh bọt cách nhiệt va vào cánh lúc phóng. Bọt rơi cũng là chuyện đã xảy ra nhiều lần và dần được coi là bình thường. Ủy ban điều tra Columbia viết: "lịch sử các quyết định kỹ thuật về bọt và về gioăng có quỹ đạo giống hệt nhau", và kỹ sư lại bị yêu cầu chứng minh chuyến bay "không an toàn".

Vaughan làm việc trong nhóm điều tra Columbia. Bà kết luận NASA đã "học bài học không đầy đủ" từ Challenger: sửa được cái gioăng, nhưng không sửa được áp lực và cấu trúc khiến tín hiệu nguy hiểm bị nhờn đi.

Phần 6

Bài học làm việc: đừng để cái lệch nhỏ thành bình thường

Áp dụng cho mọi cuộc họp "làm hay không làm": ra mắt sản phẩm, đẩy code lên production, ký hợp đồng.

Bốn bước cho một cuộc họp quyết định: viết tiêu chí trước họp, nói rõ ai phải chứng minh điều gì, vẽ cả những lần không có sự cố, và ghi ý kiến phản đối vào biên bản. 1 · viết tiêu chí trước"dưới 53°F thì hoãn"chốt trước khi bị ép 2 · ai phải chứng minh"đã an toàn chưa?"không phải "có nguy hiểm không?" 3 · vẽ cả số 0mọi lần, có sự cố hay khôngvà đánh dấu mình đang ở đâu 4 · ghi lại phản đốitên, lý do, ngàyvào biên bản Câu "lần trước vẫn ổn" không phải bằng chứng an toàn.
Mỗi bước tương ứng với một chỗ hỏng đêm 27/1. Tiêu chí bị tranh cãi giữa họp, gánh chứng minh bị đảo, dữ liệu thiếu số 0, và kỹ sư không có tiếng nói trong quyết định cuối.
Theo dõi sự cố nhỏ như một xu hướngỦy ban thấy NASA "gần như không phân tích xu hướng" gioăng mòn. Lập bảng, đừng xử lý từng vụ.
Tách mũ kỹ sư và mũ quản lýGhi riêng khuyến nghị chuyên môn và quyết định kinh doanh. Ai đổi khuyến nghị thì ký tên.
Hỏi con số rủi ro độc lậpHỏi người làm trực tiếp trước khi hỏi sếp. Lệch nhau lớn là một tín hiệu.
So với thiết kế gốc, không so với lần trướcGiới hạn mòn đi từ "không được mòn" lên "mòn 0,090 inch là được". Định kỳ quay về mốc ban đầu.
Để một công nghệ thành công, thực tế phải được đặt trên quan hệ công chúng, vì không thể lừa được tự nhiên.Richard Feynman, câu kết phụ lục F, báo cáo Ủy ban Rogers (1986).
Phần 7

Đọc tiếp

Richard Feynman, What Do You Care What Other People Think? (1988)Nửa sau cuốn sách là hồi ký Feynman trong Ủy ban Rogers, dễ đọc như truyện.
Diane Vaughan, The Challenger Launch Decision (1996)Cuốn sách đặt ra khái niệm "bình thường hóa sự lệch chuẩn". Dày, nhưng là tác phẩm gốc.
Edward Tufte, Visual Explanations (1997), và bài phản biện của Robison, Boisjoly và cộng sự (2002)Đọc cả hai để thấy một cuộc tranh luận về dữ liệu đúng nghĩa.
Giải phẫu thảm họa #02: Mars Climate Orbiter (1999)Một con tàu khoảng 125 triệu USD (theo NASA) mất vì hai nhóm dùng hai đơn vị đo khác nhau.
Phần 8

Nguồn gốc

Ưu tiên tài liệu gốc. Chỗ nào chỉ có nguồn thứ cấp đã ghi rõ ở phần Kiểm chứng.

  1. Ủy ban Rogers, Report of the Presidential Commission on the Space Shuttle Challenger Accident, tập I, 6/1986, chương 3–8 và khuyến nghị. nasa.gov/history/rogersrep
  2. R. P. Feynman, "Personal Observations on the Reliability of the Shuttle", phụ lục F, tập II. nasa.gov
  3. J. P. Kerwin, thư gửi R. H. Truly về phi hành đoàn, 28/7/1986. nasa.gov
  4. Dalal, Fowlkes và Hoadley, "Risk Analysis of the Space Shuttle: Pre-Challenger Prediction of Failure", JASA 84(408), 1989.
  5. Robison, Boisjoly, Hoeker và Young, "Representation and Misrepresentation: Tufte and the Morton Thiokol Engineers on the Challenger", Science and Engineering Ethics 8(1), 2002. onlineethics.org
  6. D. Vaughan, The Challenger Launch Decision, University of Chicago Press, 1996; và "System Effects", trong Organization at the Limit, 2005.
  7. Columbia Accident Investigation Board, báo cáo tập I, chương 8 "History as Cause", 8/2003.
  8. J. Oberg, "7 myths about the Challenger shuttle disaster", NBC News. nbcnews.com