Professione: distruttore di razzi

La “neutralizzazione” del razzo Ariane 5 poco dopo il decollo da Kouru (Guyana Francese), il 4 giugno 1996. 

KOUROU (Guyana Francese) – Esiste una stanza, nel cuore dello Spazioporto europeo della Guayana Francese, 500 chilometri a nord dell’Equatore, dove il successo di un lancio non si valuta con l’arrivo in orbita, ma con il silenzio. Mentre nella sala di controllo principale, la Jupiter, centinaia di ingegneri esultano osservando il razzo che solca il cielo portando il suo carico in orbita, in questo bunker nelle vicinanze, isolato sia fisicamente che psicologicamente dal resto del mondo, quattro persone rimangono immobili e concentrate, con gli occhi fissi su radar e telemetrie. Davanti a loro, su una console dedicata, c’è un pulsante rosso coperto da una protezione in plastica trasparente: un pulsante che, se premuto, attiva la sequenza irreversibile di distruzione (o “neutralizzazione”, come preferiscono definire gli esperti) del razzo. Si tratta di una precauzione estrema, ma necessaria in caso di problemi durante il decollo, che potrebbero portare a una caduta incontrollata e disastrosa del razzo stesso.

Le quattro persone che si trovano a gestire questa responsabilità fanno parte del Sauvegarde Vol (Salvaguardia di Volo) del Cnes, l’agenzia spaziale francese che si occupa delle operazioni dello spazioporto, attualmente utilizzato per i lanci dei razzi Ariane e Vega dell’Agenzia spaziale europea. Il loro lavoro, in effetti, è un paradosso: hanno dedicato anni ad apprendere come portare un carico in orbita e poi hanno dovuto addestrarsi altrettanto a lungo per distruggerlo, simulando i peggiori scenari possibili, con la sola speranza di non dover mai mettere in atto ciò che hanno appreso. Abbiamo avuto l’opportunità di accedere a una replica esatta di quella stanza, usata per le esercitazioni (quella autentica è off-limits per motivi di sicurezza, e per lo stesso motivo non è possibile mostrare il famoso pulsante rosso), e di chiedere a Rodrigo Ávila de Luis, Flight Safety Officer del centro, come ci si prepara per svolgere un lavoro di questo tipo e come si gestisce, nei pochi secondi critici dopo il T0, la conclusione del conto alla rovescia e l’enorme responsabilità di cui si è investiti.

Rodrigo Ávila de Luis, Flight Safety Officer del Cnes. Foto: CNES/LANCELOT Frédéric, 2024 

Non chiamatela “distruzione”

La realtà tecnica è molto più “chirurgica” di quanto si possa pensare, considerando l’immaginario della fantascienza hollywoodiana. Il termine utilizzato qui, come abbiamo già accennato, è “neutralizzazione”: l’obiettivo reale non è annientare il vettore, ma trasformarlo da un proiettile carico di tonnellate di propellente in una pioggia di frammenti inerti. “Tecnicamente, possiamo dire che ‘frammentiamo’ il lanciatore”, spiega Ávila de Luis. “Il nostro intento è garantire che tutta l’energia chimica contenuta nei propellenti si disperda istantaneamente, se possibile, e che l’intero razzo si riduca in parti più piccole che, ricadendo a terra, risultino meno pericolose di un serbatoio intero”. A tal fine, vengono impiegate cariche esplosive, le cosiddette “cariche sagomate lineari”, che tagliano il metallo dei serbatoi come se fosse burro, interrompendo la spinta e disperdendo il carburante. Niente, naturalmente, è lasciato al caso: prima di ogni missione, viene stabilito il cosiddetto “corridoio di lancio”, un’autostrada aerea virtuale che assicura che il razzo sorvoli solo l’oceano o aree disabitate; e sugli schermi della Sauvegarde Vol, un punto luminoso chiamato Iip (Instantaneous impact point) indica in tempo reale dove cadrebbe il razzo se i motori venissero spenti in quel preciso istante. Se quel punto tocca le “linee di distruzione”, ovvero i confini geografici rossi che proteggono le zone abitate, il protocollo non ammette incertezze: il razzo deve essere fermato.

Anatomia di una decisione

Comprensibilmente, la pressione psicologica che grava su Ávila de Luis e i suoi colleghi è enorme. “Prima di ogni lancio, ci prepariamo per mesi, simulando scenari vari e addestrandoci ad agire rapidamente e senza esitazioni”, ci spiega. “Quando giunge il momento del decollo, però, siamo pienamente consapevoli che questa volta si fa sul serio. Man mano che il conto alla rovescia procede, parliamo sempre meno. Ci concentriamo maggiormente sui nostri sistemi, mentre in sottofondo percepiamo il boato del razzo che aumenta. Nei primi istanti del volo, quando il razzo è ancora pesante, pieno di carburante e vicino alla costa, il tempo di reazione è misurato in secondi”. Per prevenire che lo stress o un errore umano possano causare un disastro o la perdita ingiustificata di un satellite dal valore di milioni di euro, il sistema è progettato con una rigorosa ridondanza: “La decisione non è mai presa da una sola persona, ma si è sempre in due”, chiarisce l’ufficiale. “Il Flight Safety Officer propone di interrompere il volo, e il suo vice deve confermare l’azione prima che venga attuata”. Si tratta di una sequenza estremamente precisa, provata e riprovata centinaia di volte nelle simulazioni, in cui gli istruttori inventano i guasti più diversi per testare i nervi del team. Inoltre, l’intero Flight Termination System è concepito come un’“isola tecnologica” indipendente, con le proprie batterie, cavi rinforzati e ricevitori, completamente separati dal resto del razzo, in modo da poter funzionare anche se tutti gli altri sistemi falliscono.

Lancio del razzo Ariane 5 di Arianespace, con a bordo il telescopio spaziale James Webb della NASA, il 25 dicembre 2021, dallo spazioporto europeo presso il Centro Spaziale della Guyana a Kourou, nella Guyana francese. 

Lezioni dal passato

La storia dell’esplorazione spaziale è piena di momenti in cui questo sistema ha fatto la differenza tra un fallimento costoso e una tragedia. L’esempio “da manuale” è stato il volo inaugurale di Ariane 5, nel 1996: il razzo deviò bruscamente dalla traiettoria 37 secondi dopo il decollo a causa di un errore del software (per la cronaca, un problema di conversione di un numero da 64 a 16 bit, oggi noto come il bug più costoso della storia), e il sistema di distruzione intervenne come previsto, contenendo i detriti in una zona sicura. Anche più recentemente, nel 2019 e poi nel 2022, il sistema è stato attivato per neutralizzare due lanciatori Vega, garantendo la sicurezza a terra. “È sempre triste avere un incidente”, ammette pragmaticamente Ávila de Luis, “ma è proprio in queste circostanze che possiamo apprendere di più”.

Entra in gioco l’IA

Naturalmente, l’intelligenza artificiale sta iniziando ad affermarsi anche in questo ambito. L’industria spaziale sta lavorando a sistemi autonomi come l’Afss (Autonomous Flight Safety System) in cui è un computer di bordo a “decidere” se autodistruggersi, basandosi su algoritmi e dati GPS, riducendo (almeno parzialmente) la necessità di infrastrutture radar a terra e accelerando i tempi di reazione a millisecondi. Tuttavia, per Ávila de Luis e i suoi colleghi ci sarà ancora molto lavoro da fare: il loro ruolo si sposterà sempre più “a monte”, verso la gestione e la validazione del software che dovrà prendere la decisione. Al momento, però, l’elemento umano è ancora fondamentale, e gli esperti del Sauvegarde Vol possono rilassarsi solo quando il razzo è già un puntino lontano sopra l’Atlantico, innocuo e diretto verso lo spazio. “Una volta che ci rendiamo conto che tutti i dati sono nominali, allora cominciamo a sentirci sollevati”, conclude Ávila de Luis. Fino al prossimo conto alla rovescia.