Dois desastres, uma causa raiz
Nenhum dos dois incidentes abaixo foi causado por um número errado. Ambos foram causados por um número correto sem unidade anexada, consumido por alguém que assumiu uma diferente. Essa distinção importa: um fator de conversão errado é um erro de matemática, fácil de detectar verificando a aritmética. Um rótulo de unidade ausente ou incompatível passa por todas as verificações aritméticas, porque os números sendo multiplicados estão todos corretos — o software, a planilha, o cálculo todos executam exatamente como escrito. O erro vive inteiramente no que um humano assumiu que o número significava.
Setembro de 1999: um Mars orbiter chega 169 quilômetros baixo demais
Mars Climate Orbiter deixou a Terra em 11 de dezembro de 1998, parte de um programa da NASA para estudar a atmosfera e o clima marcianos. Sua trajetória até Marte exigiu pequenas correções de curso ao longo do caminho, e acionamentos periódicos de seus propulsores de controle de atitude para dessaturar as rodas de reação da nave — uma tarefa de manutenção de rotina, realizada aproximadamente dez vezes por dia durante todo o cruzeiro de nove meses e meio.
O software que modelou o efeito de cada acionamento do propulsor foi escrito pela Lockheed Martin Astronautics, o construtor da nave, e a especificação da interface do software da missão exigiu que produzisse o impulso resultante (empuxo multiplicado pelo tempo de queimadura) em newton-segundos, a unidade SI. O software terrestre da Lockheed, um arquivo chamado SM_FORCES, em vez disso, escreveu seus resultados em libra-força-segundos, o equivalente usual. Ele escreveu esse arquivo em outro, o arquivo AMD, que a equipe de navegação do JPL leu como entrada para seu modelo de trajetória — e o modelo do JPL assumiu, de acordo com a especificação, que os números que estava lendo já estavam em newton-segundos. Uma libra-força-segundo é aproximadamente igual a 4,45 newton-segundos, então cada um daqueles acionamentos de propulsor, por nove meses e meio, foi modelado como aproximadamente 4,45 vezes mais fraco do que o impulso real que a nave realmente recebeu. Ninguém pegou, porque ambos os lados da troca eram internamente consistentes: os números da Lockheed eram libra-força-segundos corretos, o modelo do JPL processava corretamente quaisquer números que chegassem como newton-segundos. O formato de arquivo não tinha um campo de unidade.
A nave foi direcionada a passar 226 km acima da superfície marciana na inserção orbital — perto o suficiente para a queimadura funcionar, longe o suficiente para ficar acima da atmosfera. Cerca de 24 horas antes da chegada, dados de rastreamento atualizados (ainda construídos no mesmo modelo de trajetória não corrigido) colocaram a altitude prevista mais próxima a 110 km, alarmantemente baixa, mas ainda, pela compreensão da equipe na época, acima da altitude aproximada de 80–90 km na qual as forças atmosféricas se tornariam perigosas. A reconstrução pós-perda da Junta de Investigação de Acidentes, usando a última telemetria realmente recebida, colocou a altitude real mais próxima a 57 km — baixa o suficiente para que o aquecimento atmosférico e o arrasto provavelmente destruíssem a nave ou a derrubassem para uma trajetória de escape completamente fora da órbita de Marte. O contato foi perdido às 09:04:52 UTC em 23 de setembro de 1999, quando o orbitador passou atrás de Marte para a queimadura de inserção; nunca reapareceu. O relatório da Fase I da Junta, lançado em 10 de novembro de 1999, nomeou a causa raiz claramente: o software de uma equipe produzia unidades inglesas onde a especificação da interface exigia métricas, e nenhuma etapa de verificação no processo de modelagem de trajetória verificava as unidades físicas dos dados que consumia, apenas sua plausibilidade numérica.
A nave em si é comumente relatada como uma perda de $125 milhões — um valor que não deve ser confundido com o custo total de $327,6 milhões do programa Mars Surveyor '98 mais amplo, que também financiou o Mars Polar Lander separado (perdido em um acidente diferente e não relacionado três meses depois). O valor específico do orbitador é o que deve ser citado para este incidente.
Julho de 1983: uma figura de densidade sobrevive à unidade errada
Air Canada Flight 143, um Boeing 767 a caminho de Montreal para Edmonton em 23 de julho de 1983, ficou sem combustível a 41.000 pés sobre Red Lake, Ontário, e planava para um pouso de emergência em uma pista da força aérea desativada em Gimli, Manitoba — com 69 pessoas a bordo e, notavelmente, nenhuma fatalidade. A causa próxima foi um medidor de quantidade de combustível quebrado; a razão pela qual a tripulação prosseguiu e saiu mesmo assim, tendo calculado o carregamento de combustível manualmente, é a história da unidade.
Este 767 foi um dos primeiros aviões da Air Canada a operar nas unidades métricas que a indústria de aviação do Canadá havia adotado recentemente — combustível em quilogramas e litros, não as libras e galões que a frota mais antiga da companhia aérea e suas equipes no solo usavam há décadas. Com o medidor inoperável, a tripulação no solo mediu o combustível já nos tanques com uma vareta, uma medição mecânica, e converteu essa leitura para um volume de 7.682 litros. Para descobrir quanto mais combustível adicionar, eles precisavam da massa de combustível já a bordo, e usaram um fator de conversão de 1,77 para converter litros em massa — uma figura real e correta para a densidade do combustível Jet A-1, mas correta apenas como 1,77 libras por litro. Acreditando que estavam trabalhando em quilogramas por litro, como o resto do processo de abastecimento agora exigia, a tripulação e a empresa de abastecimento trataram 1,77 como se fosse 1,77 quilogramas por litro, um número cerca de 2,2 vezes muito alto.
O voo precisava de 22.300 kg de combustível no total. Usando a densidade errada, 7.682 L foi calculado para já conter 13.597 "quilogramas" (na verdade libras), deixando 8.703 "quilogramas" ainda necessários — convertido de volta para um volume usando o mesmo fator errado, 4.917 L, que foi o que foi realmente bombeado a bordo. Os tanques continham 12.599 L de combustível real quando a aeronave saiu, pesando aproximadamente 10.100 kg à verdadeira densidade de 0,803 kg/L: não o suficiente para chegar a Edmonton.
Derivação funcional: por que a falta não era aleatória
A aritmética por trás do erro de abastecimento de Gimli tem uma propriedade marcante quando escrita algebricamente. Seja V₁ o combustível corretamente medido já a bordo (7.682 L, nunca em questão), ρ a verdadeira densidade (0,803 kg/L) e k a razão de libras para quilogramas (≈2,20462, já que o fator errado 1,77 lb/L é igual a ρ × k). A tripulação computou:
Volume adicional a carregar, V₂ = [22.300 − V₁×ρ×k] ÷ (ρ×k)
Volume total carregado, V₁+V₂ = 22.300 ÷ (ρ×k)
V₁ se cancela completamente. A leitura correta da vareta nunca importou para o total final — apenas o fator de densidade falho a determinou. Massa real carregada = (V₁+V₂) × ρ = 22.300 ÷ k = 22.300 ÷ 2,20462 ≈ 10.113 kg. Converta isso de volta para libras e resultará em quase exatamente 22.300 lb — o alvo em quilogramas da tripulação, entregue em libras. Isso não é uma coincidência: sempre que um único fator de conversão de unidade errado é aplicado consistentemente em ambos os lados de um cálculo "o que tenho, o que ainda preciso", o resultado cai no número de destino original, apenas medido na outra unidade. O avião carregava o número 22.300 — a tripulação simplesmente nunca aprendeu a qual unidade ele estava anexado até que os motores apagassem.
O Capitão Bob Pearson, um piloto de planador experiente fora de seu trabalho diário, usou uma manobra de deslizamento para frente — cruzando os controles para aumentar o arrasto sem ganhar velocidade — para perder altitude na aproximação final e pousar com segurança o 767 sem potência. Dez pessoas sofreram ferimentos leves durante a evacuação; ninguém morreu. A revisão interna da Air Canada e a Junta de Segurança da Aviação da época (antecessora da atual Junta de Segurança dos Transportes do Canadá) apontaram para a mesma falha subjacente que o Mars Climate Orbiter teria dezesseis anos depois: um número correto, e um processo sem verificação de qual unidade ele pertencia.
O que os dois incidentes compartilham
| Mars Climate Orbiter | Gimli Glider | |
|---|---|---|
| Unidade errada | Libra-força-segundos lida como newton-segundos | Libras por litro lida como quilogramas por litro |
| Tamanho da incompatibilidade | ×4,45 | ×2,20 |
| Onde se escondeu | Um formato de arquivo sem campo de unidade, verificado duas vezes por duas equipes diferentes, cada uma assumindo que a outra usava a unidade especificada | Uma única figura de densidade, correta para um sistema de unidade, aplicada dentro de um processo recém-métrico sem re-derivação |
| O que o pegou | A própria trajetória da nave, muito tarde | Os motores, em voo, com altitude suficiente para planar |
| Resultado | Perda total, nenhuma lesão (não tripulada) | Aeronave reparada e retornada ao serviço; nenhuma fatalidade |
Nenhuma falha precisava de um número ruim. Ambas precisavam de um número que ninguém verificou o rótulo novamente, exatamente no ponto onde duas convenções de unidade diferentes se encontraram.