Professione: distruttore di razzi

La “neutralizzazione” del razzo Ariane 5 poco dopo il decollo da Kouru (Guyana Francese), il 4 giugno 1996. 

KOUROU (Guyana Francese) – Esiste una stanza, nel cuore dello Spazioporto europeo della Guayana Francese, 500 chilometri a nord dell’Equatore, dove il successo di un lancio non si misura con l’ingresso in orbita, ma con il silenzio. Mentre nella sala di controllo principale, la Jupiter, centinaia di ingegneri festeggiano nel vedere il razzo solcare il cielo e portare il suo carico in orbita, in questo bunker vicino, isolato fisicamente e psicologicamente dal resto del mondo, quattro individui rimangono fermi e concentratissimi, con gli sguardi incollati a radar e telemetrie. Davanti a loro, su una console dedicata, c’è un pulsante rosso protetto da una copertura di plastica trasparente: un pulsante che, se attivato, avvia la sequenza irreversibile di distruzione (o “neutralizzazione”, come preferiscono definirlo i professionisti del settore) del razzo. Si tratta di una misura estrema, ma necessaria nel caso emergano problemi al decollo che potrebbero condurre a una caduta incontrollata e catastrofica del razzo stesso.

Le quattro persone che portano su di sé questa responsabilità fanno parte del Sauvegarde Vol (Salvaguardia di Volo) del Cnes, l’agenzia spaziale francese incaricata delle operazioni dello spazioporto, oggi utilizzato per i lanci dei razzi Ariane e Vega dell’Agenzia spaziale europea. Il loro lavoro, in effetti, è un paradosso: hanno studiato per anni per imparare a portare un carico in orbita, e poi hanno dovuto addestrarsi altrettanto a lungo per distruggerlo, simulando i peggiori scenari possibili, con l’unica speranza di non dover mai applicare quanto appreso. Abbiamo avuto l’opportunità di accedere a una replica esatta di quella stanza, usata per le esercitazioni (quella reale è inaccessibile a tutti per motivi di sicurezza, e per lo stesso motivo non è possibile mostrare il famoso pulsante rosso), e di chiedere a Rodrigo Ávila de Luis, Flight Safety Officer del centro, come ci si prepara per svolgere un compito simile e come si affronta, nei pochi secondi critici dopo il T0, la conclusione del conto alla rovescia e l’enorme responsabilità che si porta con sé.

Rodrigo Ávila de Luis, Flight Safety Officer del Cnes. Foto: CNES/LANCELOT Frédéric, 2024 

Non chiamatela “distruzione”

La realtà tecnica è molto più “chirurgica” di quanto possa sembrare pensando all’immaginario della fantascienza hollywoodiana. Il termine utilizzato qui, come accennato, è “neutralizzazione”: l’obiettivo reale non è eliminare il vettore, ma trasformarlo da un proiettile carico di tonnellate di propellente in una pioggia di frammenti inerti. “Tecnicamente, affermiamo che ‘frammentiamo’ il lanciatore”, chiarisce Ávila de Luis. “Il nostro intento è fare in modo che tutta l’energia chimica presente nei propellenti si disperda istantaneamente, se possibile, e che l’intero razzo si riduca in pezzi più piccoli che, ricadendo al suolo, risultino meno pericolosi di un serbatoio intero”. Per raggiungere questo obiettivo, si impiegano cariche esplosive, le cosiddette “cariche sagomate lineari”, che tagliano il metallo dei serbatoi facilmente, interrompendo la spinta e disperdendo il carburante. Nulla, naturalmente, è lasciato al caso: prima di ogni missione, viene definito il cosiddetto “corridoio di lancio”, un’aerostrada virtuale che assicura che il razzo sorvoli solo l’oceano o aree disabitate; e sugli schermi della Sauvegarde Vol, un punto luminoso chiamato Iip (Instantaneous impact point) indica in tempo reale dove atterrebbe il razzo se i motori si spegnessero in quel preciso momento. Se quel punto tocca le “linee di distruzione”, ovvero i confini geografici rossi che proteggono le aree abitate, il protocollo non ammette esitazioni: il razzo deve essere fermato.

Anatomia di una decisione

È comprensibile che la pressione psicologica cui sono sottoposti Ávila de Luis e i suoi colleghi sia enorme. “Prima di ogni lancio, ci prepariamo per mesi, simulando i più vari scenari e addestrandoci a reagire rapidamente e senza esitazioni”, ci spiega. “Quando arriva il momento del decollo, tuttavia, siamo pienamente consapevoli che questa volta si tratta di un evento reale. Man mano che il conto alla rovescia procede, parliamo sempre meno. Ci concentriamo sempre di più sui nostri sistemi, mentre in sottofondo il boato del lanciatore diventa sempre più intenso. Nei primi attimi del volo, quando il razzo è ancora pesante, carico di carburante e vicino alla costa, il tempo di reazione si misura in secondi”. Per prevenire che lo stress o un errore umano possano causare un disastro o la perdita non necessaria di un satellite dal valore di milioni di euro, il sistema è progettato con una rigorosa ridondanza: “La decisione non spetta mai a una sola persona, ma si è sempre in due”, chiarisce l’ufficiale. “Il Flight Safety Officer propone di interrompere il volo, e il suo vice deve confermare l’azione prima che venga eseguita”. Una sequenza estremamente precisa, testata e ripetuta centinaia di volte nelle simulazioni, in cui gli istruttori creano i guasti più diversi per mettere alla prova i nervi del team. Inoltre, l’intero Flight Termination System è progettato come un’“isola tecnologica” autonoma, dotata di proprie batterie, cavi rinforzati e ricevitori, completamente indipendenti dal resto del razzo, in modo da poter operare anche se tutti gli altri sistemi collassano.

Lancio del razzo Ariane 5 di Arianespace, con a bordo il telescopio spaziale James Webb della NASA, il 25 dicembre 2021, dallo spazioporto europeo presso il Centro Spaziale della Guyana a Kourou, nella Guyana francese. 

Lezioni dal passato

La storia dell’esplorazione spaziale è punteggiata da momenti in cui questo sistema ha fatto la differenza tra un fallimento costoso e una tragedia. L’esempio “da manuale” è il volo inaugurale di Ariane 5, nel 1996: il razzo deviò bruscamente dalla traiettoria 37 secondi dopo il decollo a causa di un errore del software (per la cronaca, un problema di conversione di un numero da 64 a 16 bit, oggi noto come il bug più costoso della storia), e il sistema di distruzione intervenne come previsto, limitando i detriti a un’area sicura. Anche più recentemente, nel 2019 e poi nel 2022, il sistema è intervenuto per neutralizzare due lanciatori Vega, salvaguardando l’incolumità a terra. “È sempre triste dover affrontare un incidente”, ammette pragmaticamente Ávila de Luis, “ma è proprio in queste occasioni che possiamo apprendere di più”.

Entra in gioco l’IA

Naturalmente, l’intelligenza artificiale sta cominciando a farsi strada anche in questo ambito. L’industria spaziale sta infatti sviluppando sistemi autonomi come l’Afss (Autonomous Flight Safety System) in cui è un computer di bordo a “decidere” se autodistruggersi, basandosi su algoritmi e dati GPS, riducendo (almeno parzialmente) la necessità di infrastrutture radar a terra e abbattendo i tempi di reazione a millisecondi. Ma per Ávila de Luis e i suoi colleghi c’è ancora molto lavoro da fare: il loro ruolo si orienterà sempre più “a monte”, verso la gestione e la validazione del software che dovrà prendere la decisione. Attualmente, però, l’elemento umano rimane centrale, e gli esperti del Sauvegarde Vol possono tirare un sospiro di sollievo solo quando il razzo è ormai un piccolo punto lontano sopra l’Atlantico, innocuo e diretto verso lo spazio. “Una volta che ci rendiamo conto che tutti i dati sono nominali, allora iniziamo a rilassarci”, conclude Ávila de Luis. Fino al prossimo conto alla rovescia.