O Poder do Analista de Negócios: Mars Climate Orbiter – O erro de requisito que custou US$ 327 milhões

A Mars Climate Orbiter foi uma sonda da Nasa perdida em 23 de setembro de 1999, ao chegar a Marte, porque dois softwares usavam unidades de medida diferentes. O programa da fabricante Lockheed Martin calculava o impulso dos propulsores em libra-força segundo, e o programa de trajetória da Nasa esperava receber o dado em newton segundo. A diferença, de 4,45 vezes, fez a sonda passar a 57 quilômetros de altitude, quando o plano era 226 quilômetros. A missão custou 327,6 milhões de dólares.

O caso é usado para ensinar gestão de requisitos, uma das atividades centrais do analista de negócios. A regra que teria evitado o erro existia e estava escrita.

O que era a Mars Climate Orbiter?

Era uma sonda de 638 quilos lançada em 11 de dezembro de 1998, de Cabo Canaveral, por um foguete Delta II. A viagem até Marte levaria 286 dias. Os objetivos eram científicos:

• determinar a distribuição de água em Marte;
• monitorar o clima e as condições atmosféricas diárias;
• registrar mudanças na superfície causadas pelo vento;
• medir perfis de temperatura, vapor de água e poeira na atmosfera;
• investigar indícios de mudanças climáticas no passado do planeta.

Quanto custou a missão?

O custo total foi de 327,6 milhões de dólares, assim distribuídos:

• Desenvolvimento da sonda: 193,1 milhões;
• Lançamento: 91,7 milhões;
• Operações da missão: 42,8 milhões.

O que deu errado?

Um desencontro de unidades entre dois programas de computador. O software fornecido pela Lockheed Martin produzia os cálculos de impulso dos propulsores em libra-força segundo, unidade do sistema imperial. O software de trajetória da Nasa lia esses números como se estivessem em newton segundo, unidade do Sistema Internacional (SI).

Uma libra-força equivale a 4,45 newtons. Cada pequena correção de rumo ao longo dos nove meses de viagem foi, portanto, registrada com um valor 4,45 vezes menor do que o real. O erro se acumulou.

Qual foi a consequência na chegada?

A sonda entrou na atmosfera marciana muito mais baixo do que o previsto:

• Altitude planejada: 226 quilômetros;
• Altitude mínima para sobreviver: 80 quilômetros;
• Altitude real: 57 quilômetros.

A diferença entre o plano e o real foi de 169 quilômetros, e a sonda ficou 23 quilômetros abaixo do limite de sobrevivência. O último contato ocorreu às 9h04 (UTC) de 23 de setembro de 1999. A missão foi declarada perdida dois dias depois.

A exigência de usar o sistema métrico existia?

Existia. O documento que definia a comunicação entre os dois programas, a Especificação de Interface de Software, determinava o uso de unidades do SI. O software entregue não cumpriu o requisito, e os processos de verificação não detectaram a falha.

Esse é o ponto que torna o caso didático. A falha não foi de requisito mal escrito nem de requisito esquecido. O requisito estava correto e documentado. Faltou conferir se a entrega obedecia a ele.

Alguém percebeu o problema antes?

Sim. O relatório da comissão de investigação registra que pelo menos dois navegadores levantaram preocupações sobre discrepâncias na trajetória durante a viagem. Os alertas não foram adiante porque a documentação deles “não seguiu as regras de preenchimento do formulário”.

Houve ainda uma segunda oportunidade. Uma reunião foi convocada para discutir uma manobra adicional de correção de trajetória, a de número 5. Os participantes concordaram em executá-la, e no fim ela não foi feita.

O relatório apontou também falhas nos processos de engenharia de sistemas e de verificação da Nasa. Thomas Young, que presidiu uma avaliação independente do programa de Marte, afirmou que o programa estava subfinanciado em pelo menos 30%.

Quais foram as causas, em resumo?

A investigação mostra uma cadeia de quatro falhas, e apenas a primeira é técnica:

1. Entrega fora da especificação: software em unidades imperiais, quando o requisito pedia SI.
2. Verificação insuficiente: os processos de checagem não detectaram a divergência entre os dois programas.
3. Canal de alerta burocrático: a preocupação dos navegadores foi descartada por erro de formulário.
4. Decisão sem dono: a manobra de correção foi aprovada em reunião e ninguém a executou.

Um erro de conversão que qualquer estudante de física resolve passou por quatro barreiras de uma das organizações de engenharia mais respeitadas do mundo. Isso só acontece quando cada equipe presume que a outra conferiu.

O que o caso ensina a quem quer ser analista de negócios?

Ensina que requisito escrito não é requisito cumprido. O trabalho do analista de negócios não termina quando o documento de especificação é aprovado. Inclui definir como cada requisito será verificado, por quem e em que momento, sobretudo nas interfaces entre equipes ou fornecedores diferentes.

Ensina também que as três últimas falhas são de comunicação. Quem levanta um risco precisa de um caminho simples para registrá-lo, e toda decisão tomada em reunião precisa sair com responsável e prazo. Esses são hábitos de trabalho do analista, e custam muito menos que 327,6 milhões de dólares. Formação, rotina e remuneração da área estão na página de Analista de Negócios do Guia de Carreiras.