Le premier avertissement clair n'est pas arrivé sous la forme de flammes ou de fumée. Il est arrivé sous la forme du froid. Dans les jours précédant le lancement, la météo en Floride est devenue brusquement peu favorable, et la plateforme a connu des températures menaçant la résilience des joints du propulseur. Dans le programme de la navette, la température n'était jamais simplement une question de météo ; c'était une condition matérielle qui modifiait le comportement du caoutchouc, le mouvement du métal, et la rapidité avec laquelle le gaz pouvait trouver un chemin à travers un joint censé l'arrêter. Le matin du 28 janvier 1986, Cap Canaveral n'était pas simplement un site de lancement. C'était une chambre d'essai dans laquelle les conditions d'essai s'étaient retournées contre le véhicule.
Ce froid avait une signification immédiate et mesurable pour les propulseurs à propergol solide. Les joints étaient scellés par des joints toriques, des composants destinés à se plier sous pression et à contenir l'enfer généré au moment de l'allumage. Leur vulnérabilité n'était pas apparue de nulle part. Les ingénieurs de Morton Thiokol avaient des raisons de se souvenir des lancements précédents. Lors des vols antérieurs, les joints de champ avaient montré des signes d'érosion et de suie. Une mission précédente avait produit des signes particulièrement troublants de fuite, et le schéma suggérait que les joints ne se comportaient pas aussi prudemment que le design le supposait. L'histoire n'était pas abstraite. Elle avait été observée, photographiée, débattue et consignée dans les archives d'un programme qui avait appris à considérer les petites défaillances comme survivables si elles restaient petites. Cette hypothèse s'est révélée fatale.
Les preuves n'étaient pas enfouies dans un dossier secret. Elles s'étaient accumulées dans la paperasse ordinaire d'un grand programme aérospatial : rapports de lancement, mémorandums d'ingénierie et dossiers d'anomalies précédentes. Les ingénieurs savaient que la question n'était pas seulement de savoir si un joint torique avait érodé, mais si le froid pouvait ralentir la capacité du joint à réagir à l'instant même de la contrainte maximale. L'inquiétude était liée aux premières secondes après l'allumage, lorsque la pression augmenterait rapidement et que des gaz chauds chercheraient tout chemin de moindre résistance. Si le joint primaire ne se plaçait pas assez rapidement, le joint secondaire devait prendre le relais. Si ce n'était pas le cas, le joint pouvait être compromis avant que le véhicule n'ait gravi un mile.
La veille du lancement, une téléconférence a connecté les ingénieurs de Thiokol et les responsables de la NASA. C'était le moment où l'inquiétude a franchi la ligne de l'inquiétude technique à celle du test institutionnel. La conversation a eu lieu le 27 janvier 1986, après que les ingénieurs aient examiné les prévisions de températures exceptionnellement basses sur la plateforme. Certains ingénieurs ont recommandé de ne pas lancer dans le froid prévu ; l'inquiétude n'était pas que la fusée échouerait dans un vide théorique, mais que les joints toriques pourraient ne pas se placer assez rapidement pour contenir le pic de pression au moment de l'allumage. Leur argument reposait sur un comportement matériel connu et des preuves antérieures, et non sur des spéculations. Le danger était concret : si des gaz chauds s'échappaient par le joint primaire avant que le joint secondaire ne s'engage, le joint pouvait être compromis dès le départ.
Ce qui rendait la réunion conséquente n'était pas seulement la question technique mais le fardeau de la preuve. Dans un système à haute fiabilité, les ingénieurs doivent souvent argumenter qu'un véhicule ne devrait pas voler, et le défaut culturel tend à favoriser la preuve du danger plutôt que celle de la sécurité. Ce renversement est important car certaines conditions, notamment par une matinée d'hiver, ne peuvent pas être entièrement testées sans le lancement même que l'on essaie d'autoriser. L'équipe devait donc décider si les preuves existantes étaient suffisantes pour arrêter le compte à rebours. Dans le dossier de l'événement, il ne s'agissait pas d'un débat philosophique abstrait. C'était une détermination de lancement, faite sous la pression des horaires, des attentes et d'un programme national qui avait transformé la routine en une forme de preuve.
La météo de lancement le matin du 28 janvier était suffisamment froide pour rendre les surfaces fragiles. De la glace s'était formée par endroits autour de la plateforme, et l'inquiétude quant à ce que les températures faisaient aux joints de propulseurs solides n'était plus théorique. Les équipes de télévision étaient en direct. Des écoliers étaient organisés pour regarder. Le contrôle de mission était déjà à l'œuvre, et le compte à rebours avait atteint sa dernière étape. Les opérations normales se poursuivaient car la machinerie de lancement est conçue pour continuer jusqu'à ce que quelqu'un l'arrête explicitement. À Cap Canaveral, cela signifiait que le réservoir externe et les propulseurs restaient en position sur la plateforme tandis que l'horloge continuait d'avancer, minute par minute, vers l'allumage.
L'élément humain dans la phase d'avertissement était une étude de tension entre expertise et processus. Les ingénieurs pouvaient identifier le risque, mais les responsables devaient peser le risque par rapport au calendrier, aux engagements publics et à la croyance—renforcée par des succès répétés—que la navette avait déjà été prouvée. Le système avait une manière de transformer les avertissements en sujets de discussion. Un problème suffisamment grave pour arrêter un lancement devait devenir, en effet, indéniable ; sinon, le lancement se poursuivait et l'incertitude était absorbée par l'optimisme. Dans le cas de Challenger, cette tension n'était pas cachée. Elle était visible dans la chaîne de décision, dans les données sur le temps froid, et dans le fait que le programme avait déjà accumulé un schéma d'anomalies de joints de champ qui n'avaient pas encore produit de perte catastrophique.
Un fait surprenant se trouve au cœur de cette soirée : certains des jugements de sécurité les plus importants de l'histoire spatiale américaine ont été pris par des personnes parlant par téléphone, utilisant des données imparfaites, sous pression de calendrier, avec l'attention de la nation déjà en train de dériver vers le lancement. Les enjeux n'étaient pas cachés. Ils étaient reconnus, puis mis en regard d'un cadre décisionnel de lancement qui récompensait la continuation. L'inquiétude n'était pas une vague anxiété. Elle était spécifique aux joints de champ des propulseurs, au comportement des joints toriques à basses températures, et à la possibilité que des gaz chauds puissent commencer à éroder le joint avant que le joint de secours puisse fonctionner. Le danger avait un emplacement, un mécanisme, et une horloge.
Le lancement a eu lieu, mais les signes d'avertissement avaient déjà fait leur travail. Ils ont montré que la catastrophe n'était pas simplement un échec soudain à 73 secondes de vol. C'était aussi le résultat d'un environnement décisionnel dans lequel les anomalies documentées avaient été normalisées, où l'érosion et la suie avaient été considérées comme des preuves tolérables plutôt que comme une ligne de démarcation, et où la froide matinée du 28 janvier ne pouvait pas être autorisée à interrompre un calendrier qui était déjà devenu une habitude institutionnelle. Les dernières heures de normalité se sont écoulées dans une pièce pleine d'ingénieurs qui savaient suffisamment pour s'inquiéter, et de responsables qui croyaient qu'ils pouvaient encore voler.
C'est ce qui rend le chapitre des signes d'avertissement si dévastateur avec le recul. Rien à ce sujet ne dépendait uniquement d'un recul caché. Les préoccupations étaient dans les archives avant le lancement. L'historique des joints de champ était dans les dossiers. La téléconférence avait eu lieu. Le froid avait été mesuré. La glace avait été vue. Les arguments avaient été formulés. Pourtant, le lancement restait sur la plateforme, remplissant l'air de l'apparence du contrôle. Le compte à rebours se poursuivait. Le froid ne l'était pas. Alors que le matin s'installait sur Cap Canaveral, le véhicule se tenait debout, rempli de propergol, tandis que les joints censés être une protection ordinaire attendaient dans des températures qu'on ne leur avait pas demandé de prouver. La dernière chance de tenir la ligne était passée dans la procédure, et la procédure avançait vers l'allumage.