Mark ở vũ trụ khácGiải phẫu thảm họa · Vũ trụ · Tổ chức
Tàu con thoi Columbia
STS-107 · 16/1 đến 1/2/2003 · Bầu trời Texas
Chuyện gìtàu vỡ khi trở về, 16 phút trước giờ hạ cánh
Thiệt hại7 phi hành gia
Nguyên nhân gốcmảnh bọt cách nhiệt làm thủng mép cánh trái lúc phóng
Nguồn chínhBáo cáo CAIB, tập I, 8/2003
Nguồn: NASA, trang nhiệm vụ STS-107; Báo cáo CAIB, tuyên bố của Ủy ban.
Đọc lại trong 1 phút
Tinh hoa
Một mảnh bọtBọt cách nhiệt rơi từ bình nhiên liệu ngoài ở giây 81,7, đập vào mép cánh trái.
Bọt rơi là chuyện quenCó ảnh bọt rơi ở 65 trong 79 chuyến có ảnh. Thiết kế gốc thì cấm hẳn.
Ba lần xin chụp ảnhKỹ sư ba lần tìm cách nhờ chụp cánh trái trên quỹ đạo. Cả ba bị dừng.
Dòng quan trọng nằm cuối slideMảnh bọt lớn hơn mẫu thử tới 640 lần, ghi ở dòng cuối, dưới tiêu đề "bảo thủ".
Challenger lần haiỦy ban điều tra: nguyên nhân tổ chức gây ra Challenger "chưa được sửa".
Nguồn: Báo cáo CAIB tập I (2003): tuyên bố của Ủy ban và chương 3 (giây 81,7); mục 6.1 (65/79 chuyến, yêu cầu thiết kế); mục 6.3 (ba yêu cầu chụp ảnh); chương 7, tr. 191 (slide, 640 lần); chương 8, tr. 195.
Phần 1
Câu hỏi của vụ án
17 năm sau Challenger, cùng một tổ chức, đã có văn phòng an toàn mới và cả một cuốn sách về bài học. Vì sao vẫn mất tàu vì đúng kiểu sai cũ: một hư hỏng lặp lại được coi là bình thường, và kỹ sư lại phải chứng minh là có nguy hiểm?
1983–2002Bọt rơi thành quen7 lần mất bọt ở cùng một vị trí. Tên gọi nhẹ dần: "bất thường", rồi "rủi ro đã chấp nhận".
→
16–24/1/200316 ngày trên quỹ đạoThấy cú va trên phim. Ba lần xin ảnh bị dừng. Một slide kết luận "không ảnh hưởng an toàn bay".
→
1/2/2003Trở vềKhí nóng lọt vào cánh trái qua lỗ thủng. Tàu vỡ trên bầu trời Texas.
Nguồn: Báo cáo CAIB, mục 6.1 (7 lần mất bọt, cách phân loại) và 6.3 (yêu cầu chụp ảnh, kết luận ngày 24/1).
Phần 2
Chuyện gì đã xảy ra
Mốc thời gian lấy từ chương 3 và mục 6.3 báo cáo CAIB. Giờ là giờ miền Đông nước Mỹ.
Tuần quyết định là tuần đầu. Mọi yêu cầu chụp ảnh và mọi kết luận đều nằm trong 8 ngày đầu. Phần còn lại của chuyến bay, không ai nhìn lại cánh trái.Nguồn: Báo cáo CAIB, mục 6.3 (17/1 đến 24/1, hủy yêu cầu sau 90 phút, email ngày 23/1); NASA, trang STS-107 (khoảng 9:00, 16 phút trước giờ hạ cánh).
16/1/2003, 10:39 · PhóngGiây 81,7: một mảnh bọt rời khỏi phần đế giằng bên trái của bình nhiên liệu ngoài. Giây 81,9: nó đập vào mép cánh trái, gần tấm số 8, với vận tốc tương đối khoảng 545 dặm/giờ (877 km/h).
17/1 · Ngày bay thứ 2Nhóm phân tích ảnh thấy cú va trên phim phóng. Sổ ghi: tàu "có thể đã bị hư hại do mảnh vụn va vào".
18–19/1 · Boeing ước tínhMảnh bọt cỡ 20 × 20 × 2 inch, vận tốc khoảng 750 feet/giây. Ủy ban sau này nói ước tính đó "chính xác đáng kinh ngạc".
21–22/1 · Ba yêu cầu chụp ảnh, rồi hủyKỹ sư Rodney Rocha viết: "Ta có thể đề nghị (năn nỉ) cơ quan bên ngoài giúp không?". Sáng 22/1, yêu cầu với quân đội bị hủy lúc 8:30.
23/1 · Email cho chỉ huy và phi công"Hoàn toàn không có gì đáng lo khi trở về." Phi hành đoàn được gửi đoạn video để trả lời báo chí.
1/2, 8:44 · Chạm khí quyển270 giây sau, máy ghi trên tàu thấy dấu hiệu bất thường đầu tiên. 8:54, trung tâm điều khiển mới nhận ra. Khoảng 9:00, tàu vỡ trên Texas.
Nguồn: Báo cáo CAIB, chương 3, tr. 49, 54, 60, 65 (giờ phóng, giây 81,7 và 81,9, tấm số 8, 545 dặm/giờ, mốc trở về); mục 6.3 (sổ ghi ngày 17/1, ước tính của Boeing, email của Rocha, hủy lúc 8:30, email ngày 23/1). Chương 3 cũng ghi dải vận tốc 625–840 feet/giây từ phân tích ảnh.
Kỳ 1
Chuyện gì đã xảy ra
giây 81,716 ngày3 lần xin ảnhtrở về
Kỳ 2
Vì sao
bọt thành quenmô hình ngoài vùngslide giấu dòngChallenger lần hai
Kỳ 3
Bài học làm việc
đừng đổi tên rủi rotiêu đề là kết luậnbài học thành cấu trúc
Phần 3
Vì sao: năm lớp nguyên nhân
Lớp kỹ thuật: bọt nhẹ, vận tốc lớn
foam strike · RCC leading edgeCAIB, chương 3
Bọt nhẹ, nhưng va ở tốc độ gần 900 km/h. Lỗ thủng nằm ở mép cánh bằng vật liệu carbon gia cường (RCC), không phải ở lớp gạch chịu nhiệt bên dưới cánh như nhiều người nghĩ.Nguồn: Báo cáo CAIB, chương 3, tr. 49, 59, 60, 62, 66 (kích thước 21–27 × 12–18 inch, 545 dặm/giờ, khối thử 1,67 pound); chú thích ảnh CAIB về thử nghiệm ngày 7/7/2003 ("lỗ 16 inch" ở tấm số 8). Quy đổi sang cm, km/h và kg là của Mark.
Lớp lịch sử: bọt rơi thành bình thường
normalization of deviance, lần haiCAIB, mục 6.1
Thiết kế gốc ghi: "không được có mảnh vụn nào rơi ra" từ vùng quan trọng của bình nhiên liệu. Hai mươi năm sau, mất bọt ở cùng vị trí xảy ra khoảng 1 trên 10 chuyến có ảnh. Ủy ban kết luận: NASA "đã không tuân theo chính các quy tắc và yêu cầu của mình về bọt rơi".Nguồn: Báo cáo CAIB, mục 6.1, tr. 122–131 (yêu cầu 3.2.1.1.17, 65/79 chuyến, 143 vết lõm, danh sách 7 lần, 7 trên 72 chuyến có ảnh, phát hiện F6.1-1 và F6.1-3). Năm bay và tên tàu của từng chuyến: hồ sơ nhiệm vụ của NASA.
Không ai quyết định "bọt rơi cũng được". Mỗi lần phân loại chỉ nhẹ hơn lần trước một chút. Ủy ban viết: bọt rơi, từng gây lo ngại nghiêm trọng, "đã biến thành sự kiện 'cùng họ' hay 'không ảnh hưởng an toàn bay'".Nguồn: Báo cáo CAIB, mục 6.1 (buổi duyệt sẵn sàng bay STS-113, phát hiện F6.1-2, F6.1-6, F6.1-7). "Cùng họ" là cách Mark dịch "in-family".
Lớp dữ liệu: mô hình chạy ngoài vùng, slide giấu dòng quan trọng
Crater model · the Boeing slideCAIB 6.3 và chương 7, tr. 191
Câu trả lời đúng có trên slide, nhưng ở dòng cuối cùng. Mô hình Crater được hiệu chỉnh bằng những mảnh cỡ 3 inch khối, chưa từng dùng trên quỹ đạo. Edward Tufte đếm được chữ "significant(ly)" xuất hiện năm lần với nghĩa khác nhau, và đề xuất tiêu đề trung thực hơn: "Dữ liệu thử nghiệm cho thấy hai mô hình không dùng được". Ủy ban chê "việc dùng tràn lan slide PowerPoint thay cho tài liệu kỹ thuật".Nguồn: Báo cáo CAIB, chương 7, tr. 190–192 (tiêu đề, hai dòng cuối và dòng "overpredicted" trích nguyên văn; nhận xét của Tufte); mục 6.3 (mô hình Crater, mẫu 3 inch khối, lớn hơn tới 640 lần, ước tính tốt nhất khoảng 400 lần). Các vạch xám là dòng lược bớt, không phải nội dung gốc.
Lớp quyết định: ba lần xin ảnh, một câu hỏi "có yêu cầu bắt buộc không?"
burden of proofCAIB, mục 6.3
Không yêu cầu nào đi đúng kênh chính thức, và vì vậy cả ba dễ bị dừng. Rocha soạn một email gọi câu trả lời của chương trình là "sai (và gần như vô trách nhiệm)", nhưng không gửi vì không muốn vượt cấp. Ủy ban đếm được "ít nhất tám 'cơ hội bị bỏ lỡ'".Nguồn: Báo cáo CAIB, mục 6.3 (ba yêu cầu, câu hỏi về "requirement", hủy lúc 8:30 trong 90 phút, email chưa gửi của Rocha, tám cơ hội bỏ lỡ); dòng Challenger: lời khai của Boisjoly, Báo cáo Ủy ban Rogers, chương 5.
Lớp tổ chức: Challenger lần hai
history as causeCAIB, chương 5, 7, 8
"Văn hóa và cấu trúc tổ chức của NASA có liên quan đến tai nạn này nhiều không kém mảnh bọt."
Nguồn: Báo cáo CAIB, chương 7, tr. 177.
Challenger 1986
Columbia 2003
Hư hỏng lặp lại
gioăng hư ở 7/23 chuyến
bọt rơi ở 65/79 chuyến có ảnh
Tên gọi nhẹ dần
"không mong muốn nhưng chấp nhận được"
"cùng họ", "rủi ro đã chấp nhận"
Gánh chứng minh
chứng minh là KHÔNG an toàn
chứng minh dứt khoát là có vấn đề
Áp lực lịch
mục tiêu 24 chuyến mỗi năm
mốc Node 2 ngày 19/2/2004
Bộ phận an toàn
không ai mời vào cuộc họp
"không có sự độc lập và thẩm quyền"
Cách trình bày
biểu đồ thiếu những số 0
slide giấu dòng quan trọng
Nguồn: cột Challenger: Báo cáo Ủy ban Rogers (1986), chương 5–8, và Dalal, Fowlkes, Hoadley (1989), xem bài #01. Cột Columbia: Báo cáo CAIB, mục 6.1, 6.2, 6.3, chương 7 (tr. 191, 192). So sánh từng dòng là cách Mark sắp xếp; chương 8 CAIB viết các quyết định về bọt và về gioăng có "quỹ đạo giống hệt nhau".
Áp lực lịch
Mốc 19/2/2004 cho module Node 2 của trạm vũ trụ "ảnh hưởng tới nhiều quyết định". Trong chuyến bay, quản lý lo cú va ảnh hưởng tới lịch phóng (CAIB, mục 6.2, F6.2-7).
Ngân sách co lại
Chương trình tàu con thoi mất khoảng 40% sức mua của ngân sách. "Nhanh hơn, tốt hơn, rẻ hơn" là khẩu hiệu thập niên 1990 (CAIB, chương 5, tr. 103–104).
An toàn không độc lập
Mục 7.4 mang tên "Một văn hóa an toàn bị hỏng". Văn phòng an toàn "không có sự độc lập và thẩm quyền" (CAIB, chương 7, tr. 184, 192).
Phần 4
Kiểm chứng: chuyện thật và lời đồn
13 điều hay được kể về Columbia, đối chiếu với hồ sơ gốc. Bấm từng dòng để xem lý do.
Có thể cứu, nếu biết sớm. Phương án sửa tại chỗ bị đánh giá "rủi ro cao". Phương án gửi Atlantis lên đón, chuyển người qua bằng đi bộ ngoài không gian, "có nhiều khả năng hơn hẳn đưa phi hành đoàn trở về an toàn".Nguồn: Báo cáo CAIB, mục 6.4 (chi tiết ở tập II, phụ lục D.13): CO₂ đủ đến sáng 15/2, Atlantis xong trước 10/2, phải biết trước ngày bay 7, "challenging but feasible".
5 VỮNG
5 THẬN TRỌNG
3 SAI
VỮNGMảnh bọt từ đế giằng bên trái làm thủng mép cánh trái
Kết luận về nguyên nhân vật lý của Ủy ban (tuyên bố của Ủy ban, chương 3). Có phim phóng, dữ liệu cảm biến trong cánh và thử nghiệm bắn bọt.
VỮNGNASA biết bọt rơi từ lâu
Có ảnh bọt rơi ở 65 trong 79 chuyến có ảnh; 7 lần mất bọt ở đế giằng bên trái; yêu cầu thiết kế cấm mảnh vụn rơi ra (CAIB, mục 6.1).
VỮNGKỹ sư đã xin chụp ảnh cánh và bị dừng
Ba yêu cầu riêng, không qua kênh chính thức. Yêu cầu với quân đội bị hủy sáng 22/1, 90 phút sau khi được đưa ra (CAIB, mục 6.3).
VỮNGCó áp lực lịch
Mốc Node 2 ngày 19/2/2004 "ảnh hưởng tới nhiều quyết định", và trong chuyến bay quản lý lo cú va ảnh hưởng tới lịch phóng (CAIB, mục 6.2, F6.2-7).
VỮNGColumbia lặp lại nguyên nhân tổ chức của Challenger
Chương 8: nguyên nhân thất bại tổ chức gây ra Challenger "chưa được sửa"; những mặt nguy hiểm của văn hóa NASA năm 1986 "vẫn không thay đổi".
THẬN TRỌNGNếu biết, chắc chắn đã cứu được phi hành đoàn
Nghiên cứu cho Ủy ban gọi phương án cứu hộ là "thách thức nhưng khả thi", với điều kiện nhận ra hư hỏng trước ngày bay thứ 7. Đây là phân tích làm sau tai nạn; phóng gấp Atlantis cũng có rủi ro riêng. Nói "có thể" thì đúng, "chắc chắn" thì không.
THẬN TRỌNGMột slide PowerPoint đã giết 7 người
Slide là triệu chứng dễ nhớ nhất. Ủy ban dành cho nó một khung trong chương 7, nhưng kết luận văn hóa và cấu trúc tổ chức "có liên quan nhiều không kém mảnh bọt". Bỏ slide đi mà giữ câu hỏi "có yêu cầu bắt buộc không?" thì kết quả có lẽ vẫn vậy.
THẬN TRỌNGCắt giảm ngân sách gây ra tai nạn
Ngân sách mất khoảng 40% sức mua là bối cảnh có thật. Nhưng Ủy ban viết gốc rễ "cũng có thể truy, một phần," về môi trường chính sách sau Chiến tranh Lạnh, không gọi đó là nguyên nhân trực tiếp (CAIB, chương 5, tr. 99, 104).
THẬN TRỌNGGạch chịu nhiệt bị vỡ
Lỗ thủng nằm ở mép cánh bằng carbon gia cường (RCC), tấm số 8, không phải lớp gạch ở bụng tàu. Cả hai đều thuộc hệ thống bảo vệ nhiệt, nên câu này chỉ đúng một nửa (CAIB, chương 3).
THẬN TRỌNGPhi hành đoàn chết ngay, không hay biết gì
Báo cáo về khả năng sống sót (NASA, 2008): có khoảng 40 giây từ lúc tàu mất kiểm soát đến lúc khoang mất áp, và "chắc chắn một phần" thời gian đó dành cho việc nhận ra có sự cố. Sau khi mất áp, họ mất khả năng hành động "trong vài giây". Tai nạn "không thể sống sót".
SAINASA không thể làm gì để cứu phi hành đoàn
Đây là câu hay được nói nhất. Ủy ban viết: nếu quản lý hiểu được mối đe dọa, các kế hoạch sửa và cứu "rất có thể đã được lập, và việc cứu hộ là điều có thể hình dung được" (CAIB, mục 6.4). Câu đúng hơn: không thể cứu khi không ai chịu nhìn.
SAIBọt xốp nhẹ thế thì không thể làm thủng cánh
Đây cũng là cảm giác của nhiều kỹ sư năm 2003: một email ngày 17/1 viết mảnh vụn "trông không đủ lớn để gây đe dọa nghiêm trọng". Thử nghiệm ngày 7/7/2003 bắn khối bọt 0,76 kg vào tấm số 8 và tạo ra lỗ khoảng 40 cm (CAIB, mục 6.3; ảnh thử nghiệm của CAIB).
SAINASA biết tàu sẽ vỡ nhưng giấu phi hành đoàn
Quản lý tin là không có hư hỏng nguy hiểm, nên email cho phi hành đoàn ghi "hoàn toàn không có gì đáng lo" (CAIB, mục 6.3). Năm 2013, Wayne Hale kể một đồng nghiệp từng nói "nếu đã hỏng thì có lẽ không biết còn hơn", nhưng ông khẳng định "chưa bao giờ có tranh luận về việc nói gì với phi hành đoàn" (AP, 2013, nguồn thứ cấp). Cái sai thật là không chịu nhìn, không phải giấu.
Phần 5
Đánh giá vụ việc
Điểm là đánh giá của Mark dựa trên các nguồn ở Phần 8, không phải số liệu của một nghiên cứu.
Có thể tránh được
4/5
Cảnh báo có từ trước
5/5
Điều tra minh bạch
5/5
Bài học được giữ lại
3/5
Làm đúng sau thảm họa
Báo cáo nói thẳng: văn hóa là nguyên nhân, ngang mảnh bọt
Kiểm tra và sửa lớp bảo vệ nhiệt ngay trên quỹ đạo
Đề xuất cơ quan kỹ thuật độc lập với lịch bay
Làm chưa đúng
Chuyến bay trở lại năm 2005 vẫn rơi bọt
Bài học năm 1986 đã phai trước năm 2003
Người lo lắng vẫn phải tự tìm kênh để được nghe
Nguồn: Báo cáo CAIB, chương 7 (văn hóa, cơ quan kỹ thuật độc lập) và chương 8; tóm tắt của CRS RS21606 (29 khuyến nghị, 15 khuyến nghị trước khi bay lại); NASA, trang STS-114 (26/7/2005, bọt rơi khỏi bình nhiên liệu).
Thảm họa của một tổ chức đã có sẵn câu trả lời từ năm 1986, nhưng chỉ giữ nó trong báo cáo, không biến nó thành cấu trúc.
Xem thêm: sau Columbia
Ủy ban đưa ra 29 khuyến nghị, 15 trong số đó phải làm xong trước khi bay lại, gồm khả năng kiểm tra và sửa lớp bảo vệ nhiệt trên quỹ đạo và một cơ quan kỹ thuật độc lập. Chuyến bay trở lại, STS-114, cất cánh ngày 26/7/2005. Ảnh phóng lại thấy một mảnh bọt rơi khỏi bình nhiên liệu ngoài, và một phi hành gia phải ra ngoài gỡ hai miếng đệm nhô ra giữa các viên gạch.
Lần này, NASA nhìn. Chương trình tàu con thoi kết thúc năm 2011 sau 135 chuyến, hai lần mất tàu: Challenger và Columbia.
Áp dụng cho mọi báo cáo rủi ro, mọi slide trình sếp, mọi "lỗi đã biết" trong danh sách việc.
Mỗi bước tương ứng với một chỗ hỏng trong 16 ngày. Bọt đổi tên thành "cùng họ", yêu cầu ảnh bị hỏi "có bắt buộc không", dòng 640 lần nằm cuối slide, và bộ phận an toàn không có quyền độc lập.Nguồn: Báo cáo CAIB, mục 6.1, 6.3 và chương 7.
Đếm "lỗi quen" như một xu hướngỦy ban thấy NASA "không phân tích xu hướng đầy đủ" về bọt rơi, đúng câu đã viết về gioăng năm 1986.
Hỏi: mình đang ngoài vùng dữ liệu bao xa?Mô hình hiệu chỉnh bằng mảnh 3 inch khối không nói được gì về mảnh 1.920 inch khối.
Cho người lo lắng một kênh không qua cấp trênEmail của Rocha không được gửi vì sợ vượt cấp. Kênh tốt không đòi lòng dũng cảm.
Định kỳ hỏi: bài học cũ còn sống không?Tìm lại sự cố lớn gần nhất của nhóm. Thứ gì đã đổi trong cấu trúc, không chỉ trong tài liệu?
Nguồn: Báo cáo CAIB, F6.1-10 (phân tích xu hướng), mục 6.3 (Crater, email của Rocha). Câu năm 1986: "gần như không phân tích xu hướng", Báo cáo Ủy ban Rogers, chương 7.
Nếu những khiếm khuyết dai dẳng, mang tính hệ thống này không được giải quyết, sân khấu đã dựng sẵn cho một tai nạn khác.Báo cáo Ủy ban điều tra tai nạn Columbia, chương 8, tr. 195 (2003).
Phần 7
Đọc tiếp
Columbia Accident Investigation Board, Report, tập I (2003)Miễn phí trên trang NASA. Chương 6 đọc như tiểu thuyết trinh thám; chương 8 là bài so sánh Challenger hay nhất từng viết.
Edward Tufte, The Cognitive Style of PowerPoint (2003)27 trang về vì sao gạch đầu dòng nuốt mất lập luận, với slide Columbia làm ví dụ chính.
Starbuck và Farjoun (chủ biên), Organization at the Limit: Lessons from the Columbia Disaster (2005)Các nhà nghiên cứu tổ chức, trong đó có Diane Vaughan, mổ xẻ vì sao bài học Challenger không giữ được.
Giải phẫu thảm họa #01: Tàu con thoi Challenger (1986)Đọc lại bài đầu tiên sau bài này. Bạn sẽ thấy gần như từng dòng lặp lại.
Đây là bài cuối của chuỗi Giải phẫu thảm họa. Cả 10 vụ nằm trong góc Vũ Trụ Khác của trang Mark học AI.
Phần 8
Nguồn gốc
Ưu tiên tài liệu gốc. Chỗ nào chỉ có nguồn thứ cấp đã ghi rõ ở phần Kiểm chứng.
CAIB, mục 6.3 và 6.4 (quyết định trong chuyến bay; khả năng cứu hộ và sửa chữa, chi tiết ở tập II, phụ lục D.13), bản chép nguyên văn trên Spaceflight Now. 6.3 · 6.4
NASA, Columbia Crew Survival Investigation Report, SP-2008-565, 12/2008. nasa.gov
NASA, trang nhiệm vụ STS-107 và STS-114. STS-107 · STS-114
E. Tufte, The Cognitive Style of PowerPoint, Graphics Press, 2003 (trích trong CAIB chương 7); S. Harris, "Missing the Point", GovExec, 9/2004. edwardtufte.com
EN
Mark học AI