Comment la NASA a-t-elle pu classer un risque connu comme acceptable jusqu’à la perte de sept astronautes ?

Le contexte

Le 16 janvier 2003, la navette spatiale Columbia décolle du Centre spatial Kennedy pour la mission STS-107, une expédition scientifique de seize jours en orbite basse. Dès les premières secondes du vol, à 81,7 secondes après le décollage, un morceau de mousse isolante se détache du réservoir externe et vient heurter, à plus de 250 mètres par seconde, les panneaux de carbone renforcé protégeant le bord d’attaque de l’aile gauche de l’orbiteur, un type d’incident déjà survenu à plusieurs reprises par le passé sans conséquence dramatique connue.

La décision

Sur les 79 missions de navette pour lesquelles des images de lancement existent, 65 avaient déjà connu un détachement de mousse isolante, dont plusieurs impacts comparables voire plus importants que celui subi par Columbia. Après un incident similaire survenu lors de la mission STS-112 en octobre 2002, l’organe de contrôle du programme avait explicitement refusé de classer ce type de perte de mousse comme une anomalie nécessitant une action corrective urgente, le considérant comme un « risque de vol accepté » plutôt que comme une menace réelle pour la sécurité des équipages.

La chute

Pendant la mission, plusieurs ingénieurs de la NASA, inquiets de l’ampleur de l’impact observé au décollage de Columbia, demandent que des images satellites militaires du département de la Défense soient prises pour évaluer précisément l’étendue des dégâts sur l’aile de l’orbiteur en orbite. La responsable de l’équipe de gestion de la mission, Linda Ham, annule cette demande sans consulter l’équipe chargée de l’évaluation des débris, estimant qu’aucune exigence formelle ne justifiait cette démarche. Le 1er février 2003, lors de la rentrée atmosphérique, les gaz brûlants s’infiltrent par la brèche non détectée dans le bouclier thermique et détruisent la structure interne de l’aile, provoquant la désintégration complète de l’orbiteur au-dessus du Texas et de la Louisiane à 8h59, tuant les sept membres de l’équipage.

Les conséquences

La commission d’enquête sur l’accident de Columbia (CAIB), présidée par l’amiral Harold W. Gehman Jr., conclut que la NASA souffrait d’un déficit structurel de communication interne empêchant les préoccupations techniques légitimes de remonter efficacement jusqu’aux décideurs, un problème aggravé par des réductions budgétaires du programme de 21 % entre 1991 et 1994 tout en maintenant un rythme de vols élevé pour les besoins de construction de la Station spatiale internationale. Le rapport souligne explicitement qu’en dépit d’un historique documenté d’incidents de mousse isolante, la direction du programme n’avait jamais véritablement considéré le risque associé comme une menace réelle pour la sécurité de vol.

Et depuis ?

La catastrophe de Columbia entraîne l’arrêt immédiat de tous les vols de navette pendant plus de deux ans, le temps de mettre en œuvre des inspections en vol systématiques du bouclier thermique et de réviser en profondeur la culture de sécurité et de remontée d’alerte au sein de l’agence spatiale. L’épisode reste aujourd’hui l’un des cas d’école les plus étudiés en matière de gestion des risques organisationnels, illustrant comment la normalisation progressive d’un danger initialement identifié, mais jamais suivi d’incident catastrophique immédiat, peut conduire une institution pourtant experte à sous-estimer durablement un risque bien réel jusqu’à ce qu’il finisse, tôt ou tard, par se matérialiser sous sa forme la plus grave.

Ce phénomène, que les chercheurs en sécurité organisationnelle désignent sous le nom de « normalisation de la déviance », avait déjà été identifié par la sociologue Diane Vaughan dans son étude de référence sur la catastrophe de la navette Challenger en 1986, dont les mécanismes de décision présentaient des similitudes troublantes avec ceux ayant conduit à la perte de Columbia dix-sept ans plus tard. La NASA cite d’ailleurs explicitement les deux catastrophes ensemble dans ses formations internes de gestion des risques, les présentant comme la démonstration qu’une organisation peut tirer des leçons théoriques d’un premier accident sans pour autant corriger en profondeur les mécanismes culturels qui l’ont rendu possible.

La sonde Mars Polar Lander, perdue en 1999 pour une raison tout aussi prosaïque, un capteur trompé par ses propres jambes de train d’atterrissage, illustre à quel point la NASA peine, à la même époque, à tirer des leçons durables de ses propres échecs.