La mattina del lancio di Columbia, il programma dello shuttle portava ancora la vecchia fede americana che il volo spaziale potesse diventare una routine grazie all'ingegneria, alla pianificazione e al coraggio. Il veicolo si trovava sulla piattaforma al Kennedy Space Center come un ponte promesso tra la Terra e l'orbita: non un razzo nel senso tradizionale dell'Apollo, ma un veicolo spaziale con ali progettato per tornare a casa, atterrare su una pista e essere riutilizzato. Questa promessa era diventata parte dell'immaginario nazionale. Era anche parte del problema.
Il sistema dello shuttle era stato costruito attorno a compromessi. Aveva bisogno di schiuma isolante per impedire che i propellenti super raffreddati trasformassero il serbatoio esterno in un foglio di ghiaccio. Aveva bisogno di una fragile protezione termica sulle ali e sul ventre per sopravvivere al calore del rientro. Doveva essere riutilizzato abbastanza rapidamente da giustificare la sua esistenza e lanciato abbastanza spesso da servire alla sua missione politica. Il risultato era una macchina di vulnerabilità interconnesse, ciascuna tollerata perché l'insieme era diventato istituzionalmente familiare. Il pericolo non era nascosto in un luogo; viveva nelle giunture.
Columbia era l'orbiter più vecchio della flotta, e l'età aveva la sua gravità. Era più pesante delle sue sorelle e mancava di alcuni degli aggiornamenti successivi. La sua missione, STS-107, non era diretta verso la Stazione Spaziale Internazionale, ma per un volo scientifico dedicato, trasportando esperimenti di microgravità in materiali, biologia e fisica dei fluidi. L'equipaggio avrebbe vissuto a bordo dell'orbiter per sedici giorni, per poi tornare in Florida con un atterraggio programmato presso il Shuttle Landing Facility. Era una missione senza obiettivo di attracco e, nel linguaggio del programma, senza opzione di salvataggio in attesa nelle vicinanze.
Le persone all'interno del veicolo provenivano da angoli diversi del programma e del paese, ma insieme riflettevano una fede nella competenza professionale tipica della fine del XX secolo. Rick Husband era il comandante. William C. McCool pilotava lo shuttle. Michael P. Anderson serviva come comandante del carico. David M. Brown e Laurel B. Clark erano specialisti della missione. Kalpana Chawla tornava in orbita dopo essere diventata uno degli ingegneri più visibili del programma, trasformati in astronauti. Il primo astronauta israeliano, Ilan Ramon, portava con sé il peso simbolico di una nazione e una storia familiare plasmata dalla sopravvivenza e dalla memoria. La loro cabina era piccola, efficiente e progettata per il lavoro.
L'infrastruttura di lancio intorno a loro aveva la propria fiducia. I team a terra, le reti di tracciamento, i manager di missione e i controllori di volo funzionavano tutti come il sistema nervoso di un veicolo spaziale che aveva già volato molte volte prima. Il sistema aveva liste di controllo per danni ai pannelli, per perdita di sensori, per preoccupazioni termiche e per stranezze che potevano emergere dopo il decollo. Era un vasto apparato di protezione. Eppure, molte delle sue misure di sicurezza presumevano che se qualcosa fosse andato storto, qualcuno l'avrebbe notato abbastanza presto da comprenderlo, e che quella comprensione sarebbe stata importante in tempo.
Quella assunzione nascondeva un punto cieco. La perdita di schiuma dal serbatoio esterno era già accaduta in precedenza. Il programma l'aveva vista abbastanza spesso da normalizzarla, e quella normalizzazione era pericolosa in un modo che non si annuncia come pericolo. La superficie arancione del serbatoio, le rampe di schiuma, i detriti che si staccavano durante l'ascesa — questi erano trattati come irritanti, non come presagi. Il sistema aveva imparato a convivere con un'anomalia ricorrente perché l'anomalia non aveva ancora ucciso nessuno. Il successo ripetuto era diventato un argomento contro l'urgenza.
Quella abitudine istituzionale aveva radici nella storia più ampia dello shuttle. In diverse missioni precedenti, era stata vista schiuma lasciare il serbatoio durante l'ascesa, e gli eventi erano entrati nel registro burocratico senza forzare una riprogettazione fondamentale. In un programma guidato dalla pressione dei tempi, dalla pressione dei costi e dalla necessità di preservare la fiducia in un velivolo spaziale riutilizzabile, il significato dei danni ricorrenti era stato costantemente attenuato. Un pericolo può diventare routine non perché sia innocuo, ma perché l'organizzazione che lo circonda ha imparato a parlarne senza panico.
Entro gennaio 2003, Columbia era già stata assegnata a un ruolo operativo completo in quel sistema. L'orbiter aveva già lanciato, volato e restituito. Non si trattava di un primo volo sperimentale; era una macchina matura che entrava in un'altra missione in un programma maturo. Quella maturità portava un rischio particolare. Un sistema giovane si aspetta ancora sorprese. Uno vecchio inizia a fidarsi delle proprie abitudini. Nel caso di Columbia, le abitudini erano scritte nelle procedure di ispezione, nei criteri di lancio e nella cultura di accettazione che si era sviluppata attorno alla perdita di schiuma.
La missione stessa iniziò il 16 gennaio 2003, dopo un conto alla rovescia seguito da migliaia di persone al Kennedy Space Center e da milioni di altri attraverso la televisione e i rapporti via cavo. Per gli astronauti a bordo, l'ascesa in orbita era la prima transizione in una missione che presto si sarebbe stabilita in routine: operazioni scientifiche, pianificazione quotidiana, manutenzione, esercizio, sonno. Per gli ingegneri a terra, quei primi minuti erano anche il punto in cui le prove esterne più importanti del sistema diventavano visibili. Durante l'ascesa, i detriti di schiuma colpirono l'ala sinistra. All'epoca, l'evento non attivò il tipo di allerta che sarebbe sembrato ovvio in retrospettiva, in parte perché il programma dello shuttle aveva già visto eventi di detriti in precedenza e in parte perché il danno era difficile da valutare dalle immagini disponibili.
La vulnerabilità non era quindi meramente fisica. Era informativa. Un veicolo spaziale può sopravvivere a un danno se il danno è noto e compreso; può anche essere condannato se il danno è nascosto in bella vista. L'ala sinistra di Columbia subì il colpo durante il breve e violento passaggio attraverso l'atmosfera, ma il significato di quel colpo non era immediatamente fissato nella mente dei decisori. Ciò che contava non era solo ciò che era accaduto, ma se il sistema lo avrebbe trattato come qualcosa che richiedeva un'analisi urgente.
La tensione all'interno del programma risiedeva in quella differenza. Da un lato, lo shuttle aveva un corpo consolidato di procedure, regole di volo e competenza tecnica. Dall'altro, l'organizzazione aveva imparato a interpretare la perdita ricorrente di schiuma come parte del normale sfondo del volo. Il risultato era una sorta di rassicurazione disciplinata. Le persone non ignoravano il veicolo; lo monitoravano, lo documentavano e ne discutevano. Ma le stesse strutture destinate a rilevare il pericolo potevano anche filtrarlo quando il pericolo sembrava familiare.
Le poste in gioco erano enormi. La missione scientifica di sedici giorni di Columbia rappresentava anni di pianificazione e milioni di dollari in hardware, esperimenti e logistica. L'equipaggio era lontano da qualsiasi veicolo di salvataggio, e l'orbiter stesso era l'unico mezzo di ritorno. Ciò rendeva la condizione nascosta dell'ala sinistra più di un'anomalia tecnica. Era una questione su se il sistema dello shuttle potesse ancora distinguere tra rischio accettabile ed esposizione catastrofica.
Nei mesi e negli anni successivi, gli investigatori avrebbero ricostruito quella domanda con una traccia documentale che includeva immagini del lancio, memorandum ingegneristici e risultati del consiglio. Avrebbero tracciato il percorso da un colpo di schiuma il giorno del lancio al fallimento del sistema di protezione termica del veicolo spaziale. Ma la mattina del lancio di Columbia, nulla di quel finale era visibile. Ciò che era visibile era una macchina in cui una debolezza nota era diventata così normalizzata da apparire quasi invisibile, e un equipaggio che iniziava una missione che dipendeva interamente dall'assunzione che l'invisibilità non fosse la stessa cosa della sicurezza.
Sulla piattaforma al Kennedy Space Center, Columbia sembrava pronta. In orbita, per quasi tutta la missione, sarebbe ancora apparsa integra dall'esterno. Questa era la prima e più profonda illusione: che un veicolo possa apparire intatto mentre trasporta danni che il sistema è stato addestrato a non vedere. La storia del disastro inizia lì, nel divario tra ciò che stava accadendo e ciò che l'istituzione era pronta a riconoscere. E prima che l'equipaggio tornasse mai a casa, il primo segno sarebbe apparso in un lampo di detriti arancione-bianco che lasciavano il serbatoio e colpivano l'ala sinistra.