Contenido
A las 9:04, hora universal, del 23 de septiembre de 1999 se interrumpe la señal de radio. La sonda Mars Climate Orbiter acaba de encender su motor para entrar en órbita alrededor de Marte. Estaba previsto un primer acercamiento a 226 kilómetros de altitud. El cálculo posterior arroja unos 57 kilómetros. Se consideraba que la sonda necesitaba al menos 80 para sobrevivir. La señal no vuelve. Un ejemplo del Principio del eslabón más débil.
Un archivo entre dos equipos
Situación
La sonda se lanza el 11 de diciembre de 1998. La construyó Lockheed Martin; la navegación corre a cargo del Jet Propulsion Laboratory (JPL). La sonda lleva un único panel solar en uno de sus lados. Por eso la presión de la luz solar la hace girar más que a su predecesora, y hay que compensarla con pequeños impulsos de los propulsores entre diez y catorce veces más a menudo de lo previsto. Cada impulso modifica ligeramente la trayectoria. Un software de tierra de Lockheed Martin calcula el impulso y lo escribe en un archivo para los navegadores. El acuerdo de interfaz exige newton-segundos. El software entrega libras-fuerza-segundo. El software de navegación del JPL interpreta las cifras como métricas. El error es de un factor de 4,45 y se acumula a lo largo de nueve meses de vuelo.
Relación con el principio
El Principio del eslabón más débil dice: donde todos dependen unos de otros, el más débil determina el resultado. En 1993, el economista Michael Kremer describió un modelo para situaciones así: cuando un proyecto requiere muchos pasos y un error en uno solo de ellos destruye el valor del conjunto, las calidades de los pasos no se suman, se multiplican. Es un modelo teórico, no una medición, pero describe este caso con exactitud. Los motores, la radio, la mecánica orbital y el control funcionaron. Bastó con una cifra expresada en la unidad equivocada en un traspaso.
Las dudas se quedan en el correo
Situación
Durante el vuelo, los navegadores detectan discrepancias. Las comentan de manera informal por correo electrónico y no a través del procedimiento formal de notificación previsto para ello. El equipo de navegación encargado de la operación está separado del equipo de desarrollo. No participó en las revisiones de diseño y desconoce algunas particularidades de la sonda. En la fase de aproximación, un único navegador se ocupa de la sonda y, al mismo tiempo, de una segunda misión.
Relación con el principio
Un punto débil solo se vuelve fatal cuando también son débiles las salvaguardas que hay detrás. Aquí fueron tres: un canal de notificación que no se utilizó, un equipo que no conocía los antecedentes y una dotación de personal que no dejaba tiempo para las dudas. Por eso sería un error contar esta historia como el fallo de un solo programador. El punto más débil estaba entre las personas, no en una de ellas.
La última corrección, que nunca llegó
Situación
Poco antes de la inserción orbital, los cálculos ya no apuntan a 226 kilómetros, sino a entre 110 y 170. Una quinta maniobra de corrección podría haber elevado la trayectoria. No está preparada y no se ejecuta. El 23 de septiembre comienza la maniobra de inserción, y la sonda se pierde.
Relación con el principio
Quien sabe que su cadena puede tener un punto frágil incorpora un margen de seguridad. La quinta maniobra habría sido ese margen. Que no estuviera lista demuestra que el equipo no contaba con un error en ese punto. El principio no exige eliminar todas las debilidades. Exige tener reservas allí donde un solo error lo cuesta todo.
Lo que encontró la comisión
Situación
El 10 de noviembre de 1999, la comisión investigadora dirigida por Arthur G. Stephenson presenta su primer informe. Señala como causa raíz la unidad equivocada en un software de tierra. A ella se suman ocho causas contribuyentes, entre ellas una comunicación deficiente entre las distintas partes del proyecto, una dotación de personal demasiado escasa, falta de formación y una verificación de software que no abarcó el software de tierra.
Relación con el principio
Una causa raíz, ocho causas contribuyentes: el informe no describe una avería aislada, sino una cadena cuyos eslabones de control cedieron uno tras otro. Llama la atención qué se revisó y qué no. El software a bordo de la sonda se revisó. El software en tierra, que solo escribía un archivo, escapó a todos los controles. El eslabón más débil suele ser el que nadie considera lo bastante importante como para revisarlo.
Lo que te llevas
Las lecciones más importantes
- No busques el eslabón más débil solo en las personas. Revisa los traspasos: ¿quién entrega qué a quién, en qué forma, en qué unidad?
- No te limites a poner por escrito los acuerdos en las interfaces: comprueba que se cumplen.
- Dales a las dudas un cauce vinculante. Lo que solo se comenta en el pasillo o por correo electrónico no llega a nadie que esté obligado a actuar.
- Ten prevista una vía de corrección allí donde un solo error costaría todo el proyecto.
- Fíjate en quién es el único responsable en la fase crítica y cuánta carga adicional soporta al mismo tiempo.
Resumen
El Mars Climate Orbiter se perdió porque dos programas usaban unidades distintas en un traspaso y nadie lo notificó formalmente a tiempo. Además de esta causa raíz, la investigación encontró otras ocho debilidades en comunicación, dotación de personal, formación y verificación. El Principio del eslabón más débil se hace visible aquí a través del fracaso: muchas piezas buenas no forman un buen conjunto si una conexión falla. Por eso, quien lidera revisa las uniones con tanto rigor como las piezas.