Il primo chiaro avviso non arrivò sotto forma di fiamme o fumi. Arrivò come freddo. Nei giorni precedenti al lancio, il clima della Florida divenne bruscamente poco favorevole, e il pad sperimentò temperature che minacciavano la resilienza delle guarnizioni del razzo. Nel programma dello shuttle, la temperatura non era mai semplicemente un fattore atmosferico; era una condizione materiale che cambiava il comportamento della gomma, il movimento del metallo, la rapidità con cui il gas poteva trovare un percorso attraverso un giunto progettato per fermarlo. La mattina del 28 gennaio 1986, Cape Canaveral non era semplicemente un sito di lancio. Era una camera di prova in cui le condizioni di test si erano rivolte contro il veicolo.
Quel freddo aveva un significato immediato e misurabile per i razzi a propellente solido. I giunti erano sigillati da O-ring, componenti destinati a flessibilizzarsi in posizione sotto pressione e contenere l'inferno generato all'accensione. La loro vulnerabilità non era apparsa dal nulla. Gli ingegneri della Morton Thiokol avevano motivo di ricordare i lanci precedenti. In voli precedenti, i giunti di campo avevano mostrato erosione e fuliggine. Una missione precedente aveva prodotto segni particolarmente preoccupanti di blow-by, e il modello suggeriva che le guarnizioni non si comportassero in modo conservativo come il design assumeva. La storia non era astratta. Era stata osservata, fotografata, dibattuta e archiviata nel registro di un programma che aveva imparato a trattare piccoli fallimenti come sopravvivibili se rimanessero piccoli. Quell'assunzione si sarebbe rivelata fatale.
Le prove non erano sepolte in un file segreto. Si erano accumulate nella normale documentazione di un grande programma aerospaziale: rapporti di lancio, memorandum ingegneristici e registrazioni di anomalie precedenti. Gli ingegneri sapevano che la questione non era solo se un O-ring si fosse eroso, ma se il freddo potesse rallentare la capacità della guarnizione di rispondere nel preciso istante di massima tensione. La preoccupazione era legata ai primi secondi dopo l'accensione, quando la pressione sarebbe aumentata rapidamente e i gas caldi avrebbero cercato qualsiasi percorso di minore resistenza. Se la guarnizione primaria non si fosse posizionata abbastanza rapidamente, la guarnizione secondaria doveva subentrare. Se non lo avesse fatto, il giunto potrebbe essere compromesso prima che il veicolo avesse scalato un miglio.
La sera prima del lancio, una teleconferenza collegò gli ingegneri della Thiokol e i manager della NASA. Questo fu il momento in cui la preoccupazione attraversò il confine dall'ansia ingegneristica al test istituzionale. La conversazione ebbe luogo il 27 gennaio 1986, dopo che gli ingegneri avevano esaminato le previsioni per temperature insolitamente basse al pad. Alcuni ingegneri sconsigliarono il lancio nel freddo previsto; la preoccupazione non era che il razzo avrebbe fallito in un vuoto teorico, ma che gli O-ring potrebbero non posizionarsi abbastanza rapidamente da contenere il picco di pressione all'accensione. Il loro argomento si basava su comportamenti materiali noti e prove precedenti, non su speculazioni. Il pericolo era concreto: se i gas caldi sfuggivano oltre la guarnizione primaria prima che la guarnizione secondaria si attivasse, il giunto poteva essere compromesso fin dall'inizio.
Ciò che rese l'incontro significativo non era solo la questione tecnica, ma il peso della prova. In un sistema ad alta affidabilità, gli ingegneri spesso devono sostenere che un veicolo non dovrebbe volare, e il default culturale tende a favorire la prova del pericolo piuttosto che la prova della sicurezza. Quella inversione è importante perché alcune condizioni, specialmente in una mattina invernale, non possono essere testate completamente senza il lancio stesso che si sta cercando di autorizzare. Il team doveva quindi decidere se le prove esistenti fossero sufficienti per fermare il conto alla rovescia. Nel registro dell'evento, non si trattava di una disputa filosofica astratta. Era una determinazione di lancio sì/no, presa sotto la pressione di scadenze, aspettative e un programma nazionale che aveva trasformato la routine in una forma di prova.
Il tempo di lancio la mattina del 28 gennaio era abbastanza freddo da far apparire le superfici fragili. Il ghiaccio si era formato in alcuni punti attorno al pad, e la preoccupazione su cosa stessero facendo le temperature ai giunti del razzo solido non era più teorica. Le troupe televisive erano in diretta. I bambini delle scuole venivano organizzati per guardare. Il controllo della missione era già al lavoro, e il conto alla rovescia aveva raggiunto il suo ultimo tratto. Le operazioni normali continuarono perché la macchina del lancio è progettata per continuare fino a quando qualcuno non la ferma esplicitamente. A Cape Canaveral, ciò significava che il serbatoio esterno e i razzi rimasero pronti sul pad mentre il tempo continuava a scorrere, minuto dopo minuto, verso l'accensione.
L'elemento umano nella fase di avviso era uno studio sulla tensione tra competenza e processo. Gli ingegneri potevano identificare il rischio, ma i manager dovevano pesare il rischio rispetto al programma, agli impegni pubblici e alla convinzione—rafforzata da successi ripetuti—che lo shuttle fosse già stato provato. Il sistema aveva un modo di trasformare gli avvisi in argomenti di discussione. Un problema abbastanza grave da fermare un lancio doveva diventare, di fatto, innegabile; altrimenti il lancio procedeva e l'incertezza veniva assorbita dall'ottimismo. Nel caso del Challenger, quella tensione non era nascosta. Era visibile nella catena decisionale, nei dati sul freddo e nel fatto che il programma aveva già accumulato un modello di anomalie nei giunti di campo che non avevano ancora prodotto una perdita catastrofica.
Un fatto sorprendente si trova al centro di quella sera: alcune delle più importanti valutazioni di sicurezza nella storia spaziale americana furono fatte da persone che parlavano per telefono, utilizzando dati imperfetti, sotto pressione di programma, con l'attenzione della nazione già rivolta verso il lancio. Le poste in gioco non erano nascoste. Erano riconosciute, poi messe contro un quadro decisionale di lancio che premiava la continuazione. La preoccupazione non era una vaga inquietudine. Era specifica per i giunti di campo del razzo, per il comportamento degli O-ring a basse temperature e per la possibilità che il gas caldo potesse iniziare a erodere il giunto prima che la guarnizione di riserva potesse funzionare. Il pericolo aveva una posizione, un meccanismo e un orologio.
Il lancio proseguì, ma i segnali di avviso avevano già fatto il loro lavoro. Mostravano che il disastro non era semplicemente un fallimento improvviso a 73 secondi dal volo. Era anche il risultato di un ambiente decisionale in cui le anomalie documentate erano state normalizzate, dove erosione e fuliggine erano state trattate come prove tollerabili piuttosto che come una linea di confine, e dove la fredda mattina del 28 gennaio non poteva essere permessa di interrompere un programma che era già diventato abitudine istituzionale. Le ultime ore di normalità furono trascorse in una stanza piena di ingegneri che sapevano abbastanza per preoccuparsi, e manager che credevano di poter ancora volare.
Questo è ciò che rende il capitolo dei segnali di avviso così devastante con il senno di poi. Nulla di ciò dipendeva solo da un'analisi retrospettiva nascosta. Le preoccupazioni erano nel registro prima del lancio. La storia dei giunti di campo era archiviata. La teleconferenza si era svolta. Il freddo era stato misurato. Il ghiaccio era stato visto. Gli argomenti erano stati presentati. Eppure il lancio rimase sul pad, riempiendo l'aria con l'apparenza di controllo. Il conto alla rovescia continuò. Il freddo no. Mentre la mattina si stabiliva su Cape Canaveral, il veicolo stava in posizione eretta, riempito di propellente, mentre le guarnizioni che avrebbero dovuto essere una protezione ordinaria attendevano a temperature che non erano state chiamate a dimostrare. L'ultima possibilità di mantenere la linea era passata nella procedura, e la procedura marciava verso l'accensione.