Programa Espacial - Challenger x Columbia
Porque as empresas não aprendem com seus erros?
Artigo produzido por Luiz Fernando Magri
Consultor Sênior da Global On Consultores Associados
A essência da decisão permanece impenetrável ao observador - e muitas vezes, na verdade, até mesmo a quem decide. [...] Sempre haverá aspectos obscuros e confusos no processo de tomada de decisão - misteriosos mesmo para aqueles que estão intimamente envolvidos.
John F. Kennedy, citado por Theodore Sorensen no prefácio de “Decision-Making in the White House”.
Toda tomada de decisão formal nas organizações é estruturada por procedimentos e regras que especificam papéis, métodos e normas. A idéia é que as regras e rotinas esclareçam o necessário processamento da informação diante de problemas complexos, incorporem técnicas eficientes e confiáveis aprendidas com a experiência e coordenem ações e resultados dos diferentes grupos organizacionais. Seguir rotinas e procedimentos pode institucionalizar certas visões de mundo, formar hábitos de aquisição e transmissão de informações, e estabelecer valores e normas capazes de influenciar a maneira como a organização lida com a escolha e a incerteza. O resultado que se espera dessa combinação de cultura, comunicação e consenso é uma maior eficiência das decisões e um comportamento decisório mais racional. O resultado não pretendido é a rigidez das rotinas decisórias e dos valores que orientam a decisão, assim como o desejo coletivo de manter o sistema interligado de cultura e comunicação construído ao longo do tempo. Em alguns casos, ambos os efeitos podem funcionar contra o objetivo original de melhorar o comportamento decisório, impedindo que os membros da organização interpretem com precisão as novas informações e as utilizem de uma maneira racional.
A 28 de janeiro de 1986, às 11h38, a nave espacial Challenger foi lançada em Cabo Canaveral, na Flórida. A missão terminou 73 segundos depois, quando a Challenger se desintegrou numa nuvem de fogo e fumaça. Os sete tripulantes morreram na explosão.
A comissão presidencial que investigou o acidente concluiu que ele foi causado pela explosão do tanque de combustível do foguete direito, provocada pelo acumulo de gases propelentes e uma falha no anel de vedação. A comissão também concluiu que "a decisão de lançar a Challenger foi errada", faltando à administração do projeto uma estrutura que permitisse que as histórias recentes sobre problemas nos anéis de vedação chegassem aos responsáveis pelas decisões. A Câmara Federal conduziu sua própria investigação e também concluiu que "o problema fundamental foi o erro na tomada de decisões técnicas por parte da direção da NASA ao longo de vários anos".
Na tarde de 27 de janeiro de 1986, véspera do lançamento, o serviço meteorológico previu um tempo inusitadamente frio para a Flórida, com temperaturas muito baixas nas primeiras horas do dia 28. Os engenheiros da Thiokol, empresa que cuidava das vedações do ônibus espacial, manifestaram sua preocupação de que, a temperaturas tão baixas, os anéis pudessem enrijecer e não vedar as juntas.
Na noite do dia 27, duas conferências telefônicas foram realizadas em três lugares (na Thiokol, no Marshall Center e no Kennedy Space Center) para discutir se o lançamento devia ser adiado.
Um engenheiro administrador da NASA, num dado momento da reunião, disse que, como a temperatura das juntas de vedação nunca fora um critério para lançamento, a Thiokol estava efetivamente tentando criar novos critérios na véspera do lançamento. Ele então exclamou: "Meu Deus, Thiokol, quando vocês querem que eu faça o lançamento, em abril?".
Após discussões entre os engenheiros sobre o limite de variância dos parâmetros e a aceitação do nível de risco, o diretor de projetos perguntou a todos as participantes da teleconferência se havia algum acordo ao comentário sobre a recomendação da Thiokol. Ninguém disse mais nada. Como era procedimento normal na NASA, foi enviado um fax do documento de recomendação. A teleconferência terminou. As 11h38min da manhã seguinte, a Challenger foi lançada. A temperatura local era de 2°C. Segundos depois, o ônibus espacial explodiu.
Decorridos precisamente 17 anos e 4 dias do lamentável acontecimento com a Challenger, no dia 1º de fevereiro de 2003, outra catástrofe interrompe novamente o programa de lançamentos de ônibus espaciais:
Em 1º de fevereiro de 2003, às 09h00, o ônibus espacial Columbia se desintegrou durante sua reentrada na atmosfera da Terra. Os destroços ficaram espalhados em uma área que abrangeu três estados norte americanos: Texas, Louisiana e Arkansas, e os sete tripulantes morreram no acidente.
Ao ser lançado no dia 16 de janeiro de 2003, o ônibus espacial Columbia teve sua asa esquerda atingida por fragmentos de material isolante que revestia o tanque principal de combustível. Esta colisão resultou em um sério dano na parte da asa, revestida de material termo-isolante, preparada para resistir as altas temperaturas no momento da reentrada da nave na atmosfera.
Há tempos que vários engenheiros da NASA vinha tentando aprovar uma série de procedimentos para uma análise mais minuciosa sobre a possibilidade de ocorrerem danos na decolagem devido a esses impactos. Eles objetivavam, através deste estudo, que o perigo fosse considerado real e então medidas fossem tomadas para sanar o problema de desprendimento de material isolante.
Como no caso Challenger, a alta direção considerou o aspecto destacado como aceitável nas missões, uma vez que a isolação que se desprendia era oriunda do tanque de combustivel e não do onibus espacial e, portanto, não colocaria a viva da tripulação em risco. Em momento algum, os desdobramentos da soltura deste material foram levados em conta pelos gestores. Eles menospresaram o fato e afirmaram que era apenas um problema de manutenção em vez de uma preocupação de segurança de vôo.
Os engenheiros, quando perguntados pela equipe de investigação sobre o acidente com o Columbia e do porquê de não terem sido mais veementes em suas manifestações de discordância com os procedimentos de segurança, responderam que, se o fizessem, certamente iriam ser apontados e ridicularizados por seus colegas e gerentes. Isto demonstra uma prática de exclusão, adotada na agência espacial, para aqueles que não concordavam com o ponto de vista dominante.
Algumas considerações:
Na análise de Vaughan, as três forças - produção de cultura, cultura de produção e sigilo estrutural - explicam, juntas, a decisão de lançar a Challenger. Por meio de rotinas decisórias repetidas que normalizaram a informação desviante, a produção de cultura desenvolveu e manteve a crença do grupo na segurança suplementar do segundo anel de vedação. Essa crença forneceu a estrutura de referências para processar a informação. A cultura de produção, expressa nas normas da engenharia e na cultura da NASA, legitimou o processo decisório, julgando-o conforme as práticas aceitáveis dos engenheiros e diretores, que tinham de ter flexibilidade interpretativa, desenvolver regras próprias e seguir procedimentos burocráticos ao lidar com sistemas técnicos complexos, inovadores e arriscados. O sigilo estrutural bloqueou o fluxo de informação e atenuou os sinais sobre o problema do anel, ocultando e diluindo as informações, de modo que os sinais de perigo perderam a capacidade de reverter à crença dominante sobre a segurança suplementar do segundo anel. As três forças convergiram na véspera do lançamento para o trágico desfecho relatado, num estilo de tomada de decisão que caracterizou o programa espacial.
A análise do acidente com a Challenger revela, ainda, falhas na criação de significado, na construção do conhecimento, na tomada de decisões e na administração da informação. Na criação de significado, os engenheiros e executivos da NASA e da Thiokol mantiveram uma auto-imagem e uma ideologia dominante que lhes permitiram continuar selecionando e armazenando esquemas e regras que lhes forneceram interpretações que não tinham mais validade. Depois de 25 lançamentos espaciais bem-sucedidos, a crença de que o anel suplementar oferecia segurança parecia suficientemente justificada. Em termos de conhecimento, os engenheiros nunca chegaram a entender realmente todas as contingências que poderiam levar a uma falha dos anéis de vedação, de modo que, na véspera do lançamento, não havia dados que quantificassem a preocupação com o comportamento do anel a baixas temperaturas. Roger Boisjoly, um engenheiro com muito conhecimento sobre os anéis, havia advertido que os danos de um lançamento anterior realizado em janeiro de 1985 tinham sido piores porque "a cola parecia diferente dos outros casos de excesso de pressão". O comando da NASA considerou essa afirmação um argumento intuitivo, sem apoio substantivo.
Os engenheiros da Thiokol reconheceram o argumento como subjetivo e baseado numa "intuição de engenheiro". Devido à incapacidade de converter e partilhar esse conhecimento tácito, os sinais de advertência continuaram fracos e confusos, e não conseguiram levantar dúvidas sobre a segurança do anel suplementar. Na tomada de decisões, o processo preocupou-se com regras, normas e conformidade, o que permitiu aos engenheiros e executivos normalizar os sinais de advertência, interpretando-os como riscos aceitáveis. Por meio de uma seqüência de decisões repetidas e da transmissão de regras próprias, os engenheiros e executivos reconstruíram suas premissas sobre o que constituía um risco aceitável. O fluxo de informação foi bloqueado e a informação foi ocultada como resultado dos atributos estruturais da organização, incluindo os procedimentos burocráticos de decisão e de revisão, que enfatizavam a conformidade e as concessões, e a especialização funcional que limitou o fluxo de informação para o alto comando.
No caso do onibus espacial Columbia, as decisões de gestão feitas durante o seu vôo final refletem as oportunidades perdidas e bloqueadas, o uso de canais de comunicação ineficazes, análise falha e liderança ineficaz. Talvez o mais impressionante é o fato de que a gestão do programa do ônibus, a equipe de gerenciamento de missão e o diretor de vôo e controle da missão não exibiram nenhum interesse em compreender o problema e suas implicações. Os gerentes não conseguiram aproveitar-se da vasta gama de conhecimentos e experiência para alcançar a melhor resposta para o problema, mesmo quando ainda estava em orbita e já se sabia da ocorrência do choque da isolação com a asa da nave. Os gestores da agência espacial se perderam em falhas de comunicação e menospreso à gravidade do problema, entre outros pontos descritos abaixo.
Problemas de comunicação no caso Columbia:
·Comunicação não fluiu eficazmente para cima ou para baixo, entre os gerentes de programa.
·Três pedidos independentes de imagens foram iniciados e negados.
·Grande parte das informações sobre o programa veio através de canais informais, impedindo o parecer relevante e a análise correta dos tomadores de decisão.
·Gerentes de programa não se comunicavam ativamente com a equipe de avaliação de detritos. Parcialmente como resultado disto, a equipe passou por canais institucionais não relacionados a missão e, desta forma, os pedidos de imagens geraram confusão a cerca de sua origem, sendo, em virtude disto, negados.
·Comunicação se perdeu na burocracia e foi sufocada pelo programa que tentou descobrir quem tinha "prioridade" para requisição das imagens.
Falhas no gerenciamento do programa do ônibus espacial Columbia:
·Haviam lapsos de liderança e comunicação que tornavam difícil para engenheiros aumentar as preocupações ou compreender as decisões. A Gestão não se engaja ativamente na análise dos potenciais danos causados pelo problema.
·Reuniões de equipe de gestão da missão ocorreram com pouca freqüência (cinco vezes durante uma missão de 16 dias), não todos os dias, como especificado nas regras de gestão do programa do ônibus espacial.
·Os gerentes do programa do ônibus espacial entraram à missão STS-113 com a crença de que o impacto da espuma de isolação não afetava a segurança de vôo.
·Depois que os gerentes do programa foram informados, sua crença de que a colisão não seria um problema foi confirmada (cedo e sem análise) por um perito confiável, prontamente acessível que lhes falou com “experiência". Ninguém na gestão questionou sua conclusão.
·Os gerentes se preocuparam em saber "Quem havia solicitado as fotografias da decolagem?" em vez de avaliar o mérito do pedido. A Gestão parecia mais preocupada com o pessoal seguir os canais apropriados (mesmo quando ela buscava aconselhamento informal) do que com o resultado da análise.
·Gerentes associados à missão STS-107 começaram a investigar as implicações do choque da espuma sobre a asa e apressaram alguns passos da investigação para acelerar a análise pós-vôo.
·Os gerentes do programa solicitaram aos engenheiros que provassem que o choque de detritos causava insegurança ao vôo, ou seja, os engenheiros tinham que produzir provas de que o sistema era inseguro, em vez de provar que era seguro.
Conclusões:
As semelhanças entre os dois acidentes (Challenger/Columbia) são impressionantes. Eles tiveram suas origens nos mesmos procedimentos:
- O fenômeno de não aceitar, com o tempo, parâmetros além do limite de segurança.
- A aceitação de sucessos de vôos é tomado como evidência de segurança em detrimento do rigor de procedimentos e análise de mudanças e seus desdobramentos. Os relatórios indicando inconformidades são um avisos que algo está errado... e são ignorados.
- Se por um lado a manutenção apresenta uma agenda para lançamentos razoável, o mesmo não se pode dizer da engenharia, que muitas vezes não pode ser feita rápido o suficiente para manter o contato com as expectativas dos critérios de certificação e segurança. Nessas situações, sutilmente e muitas vezes com argumentos aparentemente lógicos, os critérios são alterados para que vôos possam ser certificados em tempo habil. Eles, portanto, voam em condições relativamente inseguras, com uma chance de falha de um por cento, ou seja, em cada cem missões, uma terá falha catastrófica, como ocorreu.
Os desastres da Challenger e da Columbia foram resultados de um processo organizacional e social que teve sua origem em "aspectos rotineiros da vida organizacional, os quais, dados como certos, criaram uma maneira de ver que era, ao mesmo tempo, uma maneira de não ver"! Nesse processo, a informação, vista inicialmente como sinal de um desvio para um potencial perigo, foi reinterpretada dentro de normas de desempenho aceitáveis e, portanto, oficialmente dentro dos limites do risco aceitável.
Com o tempo, o uso repetido da seqüência decisória levou à afirmação técnica e social das ações e crenças do grupo de trabalho e gestores da missão, aparentemente validando a lógica dominante de que o projeto era um risco aceitável. O caso do acidente do Columbia foi ainda mais grave, se levarmos em conta que, aparentemente a lição deixada pela Challenger não foi devidamente assimilada e integrada a cultura da Agencia Espacial Norte Americana – NASA.
Estas são duas histórias que ilustram como conseqüências desastrosas podem advir de falhas da vida organizacional, como a falta de permanente análise de cenários, avaliação de resultados (valorização do legado deixado pelos erros como fator de aprendizado), incorporação de “feedbacks” e novos procedimentos à cultura e conhecimento da empresa. São histórias de como as influências parciais e tendenciosas, atuando despercebidas sobre a tomada de decisão, produzem graves conseqüências para as organizações.
Referências bibliográficas:
* The Knowing Organization - Chun Wei Choo – Oxford University – 2000
* COLUMBIA ACCIDENT INVESTIGATION BOARD – Report volume 1 / August 2003
