航天飞机外部燃料箱

航天飞机外部燃料箱是航天飞机发射系统的核心部分；在本书讨论的两场灾难中，它以不同方式参与了连接硬件、证据与组织判断的事件链条。哥伦比亚号执行任务期间，泡沫从燃料箱脱落，击中轨道器机翼；由此产生的损伤疑问，成为一项考验——管理人员究竟会寻求更有力的证据，还是过早接受令人安心的说法。挑战者号航天飞机失事中，逸出的助推器尾气烧穿燃料箱，引发了爆炸。

航天飞机系统中的构造与作用

在哥伦比亚号执行ＳＴＳ－１０７任务、也就是航天飞机第二十八次飞行期间，燃料箱构成了这一严重失效事件的物理背景。航天器升空时，一大块泡沫从燃料箱左侧双脚架区域脱落，击中航天飞机左翼。跟踪发射过程的摄像机没有拍下清晰的撞击图像，工程师因此无法直接确定损伤程度。

这份不确定性使燃料箱在叙述中不再只是背景设备。泡沫脱落事件把发射系统中看得见的部分，与一个关于轨道器能否经受重返大气层的隐蔽问题联系起来。工程师只能根据不完整的撞击图像推断可能后果，而无法直接检查损伤本身。

哥伦比亚号泡沫撞击及其评估

发射后的五天里，碎片评估小组花了大部分时间评估这次撞击。小组成员估算了泡沫的尺寸和速度，随后利用名为“碎片撞击穿透深度算法”的算法，预测具有这种尺寸和速度的碎片可能穿透航天飞机机翼隔热瓦多深。小组没有得出结论，但表示有理由感到担忧。

2003年1月21日，唐·麦科马克在任务管理团队举行电话会议之前向其成员作了简报。此前有人请求拍摄哥伦比亚号在轨照片，但这一请求未获批准。会议中，直到讨论了其他事项——包括摄像机卡住、科学实验和漏水的水分离器——之后，大家才提起泡沫撞击。麦科马克介绍了调查情况，却没有传达碎片评估小组的担忧；他还指出，五年前哥伦比亚号曾因类似撞击而遭受相当严重的损伤。

第二天，团队负责人琳达·哈姆提出一个问题——航天飞机外部燃料箱泡沫的密度，是否意味着泡沫脱落不可能造成危及轨道器飞行安全的损伤。这个问题预先嵌入了它想要得到的令人安心的答案。兰伯特·奥斯汀明确回应说，不能排除隔热瓦遭受严重损伤的可能性，但他的警告几乎没有引起重视。这一事件展现了两者之间的区别——一是索取信息，二是真正让决策取决于信息可能揭示的情况。

证据遭到隐瞒，假设逐渐固化

拒绝拍照请求的部分理由是，图像分辨率无法呈现那片很小的撞击区域。作出这一判断的管理人员没有足够的安全许可，无法了解图像的实际分辨率，而且没有人向负责拍摄的美国国防部询问。因此，他们对证据局限性的确信，几乎没有或完全没有建立在对成像能力的了解之上。

第二个假设进一步强化了第一个假设——如果泡沫造成了严重损伤，就无计可施。卡尔文·肖姆伯格坚称泡沫不可能严重损坏隔热瓦，并告诉美国国家航空航天局工程师罗德尼·罗查，如果隔热瓦严重损坏，什么也做不了。后来的调查发现，美国国家航空航天局的工程师曾制定两项策略，可能使机组人员安全返回，尽管航天飞机从撞击发生那一刻起就注定无法挽救。管理人员没有理由知道这些具体策略，但“没有补救办法”这一信念，早已影响了他们判断损伤是否存在的方式。

因此，燃料箱上脱落的泡沫，不仅考验轨道器的物理状况，也考验团队的决策过程。问题不只是现有信息不完整——团队拒绝了改善信息的途径，同时把对图像质量的不确定判断和对可能补救措施的错误假设，当作不再追查的理由。

第二场灾难与燃料箱在因果链中的位置

航天飞机外部燃料箱也出现在1986年1月28日挑战者号航天飞机爆炸的叙述中。本书解释说，助推器Ｏ形环密封处出现缝隙，热气体由此逸出并烧穿主燃料箱；低温天气使这些密封件的弹性降低。燃料箱受损导致灾难性爆炸。因此，燃料箱成为固体燃料助推器密封失效演变为整架航天飞机灾难的关键环节。

挑战者号与哥伦比亚号事故之间的对比意义重大。在挑战者号事故的叙述中，后来的调查确定了物理原因，并认定莫顿·塞奥科尔负有责任；爆炸当天，在公开评论点出这家公司之前，股市已将其股价大幅下挫。相比之下，哥伦比亚号事故叙述中的决定性问题，是重返大气层前如何处理不确定性——泡沫撞击已经发生，但团队的假设与选择限制了查明其意义的努力。在两起事故中，燃料箱都是一连串事件的关键环节，其中微小的材料失效所带来的后果远远超出了部件本身。