Am Abend des 31. Mai 2009 war der Flug Air France 447 nur ein weiterer Übernachtflug, wie ihn die moderne Luftfahrt gewöhnlich gemacht hatte. Die Airbus A330-203 sollte von Rio de Janeiro–Galeão nach Paris fliegen und Passagiere befördern, die die vertrauten Rituale eines Langstreckenflugs erwarteten: Schlafmasken, gedimmtes Kabinenlicht und das leise industrielle Summen einer druckbelüfteten Kabine über einem schwarzen Ozean. In der Welt, die diesen Flug ermöglicht hatte, konnte ein Großraumjet Südamerika verlassen und vor dem Frühstück in Europa ankommen; die Distanz war so vollständig überwunden worden, dass die Gefahr in Statistiken und Checklisten zu verschwinden schien.
Dieses Vertrauen beruhte auf Systemen, die übereinander geschichtet waren. Die A330 war ein Fly-by-Wire-Flugzeug, das so konzipiert war, dass Computer die Eingaben des Piloten in Bewegungen der Steuerflächen umsetzten und das Flugzeug vor einigen Extremen schützten. Ihre Automatisierung war in der gewöhnlichen Praxis der Fluggesellschaften eine Stärke und eine gewohnheitsbildende Bequemlichkeit. Die Besatzungen flogen lange Abschnitte im Autopilot und mit automatischer Schubregelung, und das Flugzeug hatte den Ruf von Stabilität, Raffinesse und Sicherheit. Das Flugzeug operierte auch in einer Region, in der das Wetter des Atlantiks ohne viel Vorwarnung komplex werden konnte: die tropische Konvergenzzone, mit ihren hoch aufragenden konvektiven Systemen, kalten Höhen und gewalttätiger vertikaler Entwicklung. Dennoch war die Route unzählige Male geflogen worden. Der Ozean zwischen Brasilien und Afrika wurde nicht als Falle, sondern als Korridor betrachtet.
Was diesen Überflug verwundbar machte, war nicht ein einzelner Fehler, sondern eine Konvergenz von Annahmen. Das Geschwindigkeitssystem hing von Pitot-Rohren ab, die dem Luftstrom ausgesetzt waren, und diese Rohre waren zuvor unter bestimmten Bedingungen mit intermittierenden Vereisungsproblemen in Verbindung gebracht worden. Das Flugzeug war auch auf die Besatzungen angewiesen, um eine Kaskade von Warnungen zu interpretieren, wenn die Daten inkonsistent wurden. Die Abläufe in der Luftfahrt gingen davon aus, dass Schulungen, Verfahren und Automatisierung solche Unregelmäßigkeiten absorbieren würden. Was sie nicht vollständig erkannten, wie spätere Untersuchungen zeigen würden, war, wie schnell ein modernes Cockpit kognitiv überlastet werden konnte, wenn zuverlässige Informationen zu verschwinden begannen.
In Paris stand die Fluggesellschaft selbst als nationale Institution da, und der Flug passte in eine Wirtschaft der Regelmäßigkeit. Hunderttausende von Passagieren überquerten jedes Jahr den Atlantik auf Langstreckenflügen mit fast keiner öffentlichen Aufmerksamkeit. Die Systeme, die sie schützten, waren nicht theatralisch; sie waren prozedural: Wartungsprotokolle, Abfertigungsregeln, Schulungspläne, Wetterprodukte und die disziplinierte Arbeitsteilung zwischen Piloten und Computern. In der Regel funktionierten sie. Das war das falsche Sicherheitsgefühl, das das Zeitalter des Jumbo und des Zwillingsrumpfjets untermauerte: der Glaube, dass die Moderne das Risiko so gründlich domestiziert hatte, dass nur noch seltene, fast exotische Ausfälle übrig blieben.
Bis zum 31. Mai 2009 war der Flug bereits durch eine Kette gewöhnlicher institutioneller Entscheidungen geprägt worden. Das Flugzeug war als Air France Flight 447 geplant, das auf der Route Rio–Paris mit der Art von Regelmäßigkeit betrieben wurde, die es leicht machte zu vergessen, wie viele Hände seinen Verlauf berührt hatten. Wartungsarbeiten waren unter den Systemen der Fluggesellschaft und des Herstellers durchgeführt worden, die auf Dokumentation, Inspektionsintervallen und Lufttüchtigkeitsüberwachung basierten. Im weiteren Hintergrund stand das Regulierungsnetzwerk, das solche Überflüge möglich machte: die Verfahren von Air France, die Designannahmen von Airbus und der Rahmen der europäischen und internationalen Zertifizierung. Der Passagier sieht diese Architektur nie, aber sie ist das verborgene Gerüst jedes Übernachtflugs.
An Bord waren Familien, die nach Hause zurückkehrten, Geschäftsreisende, Mitarbeiter der Fluggesellschaft und Kinder. Die Kabinenbesatzung würde die ersten Stunden des Fluges damit verbringen, Mahlzeiten zu servieren und die Passagiere in die lange dunkle Strecke über dem Ozean einzuführen. Im Cockpit hatte der Kapitän, Marc Dubois, die Erfahrung und Autorität, auf die Fluggesellschaften angewiesen waren, wenn die Routine endete und das Urteilsvermögen begann. Die Besatzung des Ersten Offiziers spiegelte eine gängige Struktur für Langstreckenflüge wider: ein Pilot ruht, der andere fliegt, während die Automatisierung einen Großteil der Arbeit übernimmt. Nichts in dieser Anordnung schien für sich genommen ungewöhnlich. Tatsächlich war das der Punkt. Sicherheit war zu einer Hintergrundbedingung geworden.
Die Einsätze waren im ganz normalen Verlauf verborgen. Ein modernes Verkehrsflugzeug im Reiseflug ist nicht wie ein Schiff oder ein Zug, das anhalten und sich neu orientieren kann. Es fliegt in einem dünnen Luftschicht, tausende Meter über dem Meer, mit hoher Geschwindigkeit durch ein Wettersystem, das sich schnell um es herum entwickeln kann. Die Atlantiküberquerung bedeutete auch lange Strecken ohne unmittelbare Umleitungsoptionen, sodass die Zuverlässigkeit von Instrumenten und Verfahren noch wichtiger wurde. In einem solchen Umfeld kann der Unterschied zwischen einer routinemäßigen Warnung und einem kaskadierenden Ausfall eine Frage von Momenten sein. Das System ist darauf ausgelegt, isolierte Probleme zu absorbieren; es wird viel fragiler, wenn das Problem der Verlust eines vertrauten Bildes des Flugzeugs selbst ist.
Eine überraschende Tatsache im Nachhinein ist, wie schmal der Spielraum in einer Maschine sein kann, die so viele Menschen mit so hoher Geschwindigkeit transportiert. In Reiseflughöhe reist ein Großraumjet schneller als eine Gewehrkugel und tut dies mit aerodynamischen Toleranzen, die wenig Raum für Verwirrung lassen. Wenn die Luftdaten unzuverlässig werden, kann das Flugzeug nicht sofort unkontrollierbar werden, aber das Bild der Realität der Besatzung kann innerhalb von Sekunden fragmentieren. Diese latente Verwundbarkeit hatte jahrelang bestanden, weitgehend verborgen durch den Erfolg des Systems um sie herum.
Das Wetter voraus fügte eine weitere Schicht von Gefahr hinzu, die später von Bedeutung sein würde, jedoch noch nicht für die Passagiere, die sich in der Kabine niederließen. Über dem tropischen Atlantik kann die intertropische Konvergenzzone hoch aufragende konvektive Stürme erzeugen, mit scharfen vertikalen Wolkenwänden und intensiver Turbulenz um sie herum. Die Meteorologie hatte die Route nicht unmöglich gemacht, sondern nur anspruchsvoll. In der gewöhnlichen Sprache der Luftfahrtoperationen waren diese Stürme etwas, um das man herumarbeiten konnte, kein Grund, die gesamte Überquerung zu fürchten. Aber die Vorhersehbarkeit der Route konnte verschleiern, wie wenig Spielraum blieb, wenn mehrere seltene Faktoren zusammenkamen.
Gegen 1:30 Uhr morgens, als das Flugzeug in die tiefe Nacht über dem Atlantik eintrat, zeigte das Wetter voraus bereits die Art von hoch aufragender Konvektion, die später von Bedeutung sein würde. Doch in der Kabine fühlte sich die Reise immer noch konventionell an: ein Langstreckenflug, der in Richtung Europa fortschritt, die Art von Bewegung zwischen Kontinenten, die zu einem der zivilisierenden Versprechen des Jetzeitalters geworden war. Das erste Zeichen, dass dieses Versprechen kurz davor war, zu scheitern, war nicht Feuer oder Aufprall. Es war kleiner, leiser und leicht zu übersehen: eine Warnung in der Dunkelheit, dass die Luftgeschwindigkeitsdaten des Flugzeugs nicht mehr übereinstimmten. Das war der Moment, bevor sich die Kette zu straffen begann.
Lange bevor die Katastrophe zu einem Gerichtsprotokoll und einer Ermittlungsakte wurde, war die Welt davor von Vertrauen geprägt. Vertrauen in die Automatisierung von Airbus. Vertrauen in Pitot-Rohre, die sich die meiste Zeit gut verhalten hatten. Vertrauen in Verfahren, die davon ausgingen, dass das Cockpit ein stabiler Ort für Diagnose und Handeln bleiben würde. Vertrauen in eine Route, die Millionen über den Ozean ohne öffentliche Dramatik getragen hatte. Die Bedeutung des Fluges 447 liegt teilweise darin, wie gewöhnlich dieses Vertrauen geworden war. Es war in die Architektur der modernen Luftfahrt eingebettet und wurde durch jede ereignislose Ankunft in Paris verstärkt.
In den Jahren vor dem Unfall hatte die Luftfahrtindustrie ein hochdiszipliniertes System aufgebaut, das auf der Erwartung beruhte, dass seltene Ausfälle selten bleiben würden. Abfertigungsregeln, Schulungen der Besatzung und die Zertifizierung von Flugzeugen schufen eine geschichtete Verteidigung gegen Katastrophen. Doch diese Verteidigungen hingen von einer entscheidenden Prämisse ab: dass die Besatzung immer über genügend zuverlässige Informationen verfügen würde, um den Ereignissen voraus zu sein. In dieser Nacht sollte diese Prämisse über leerem Wasser, weit entfernt vom Land, an einem Punkt des Fluges getestet werden, an dem die Passagiere schliefen und das Flugzeug am sichersten schien.
Die Welt vor dem Flug 447 war keine Welt der Sorglosigkeit. Es war eine Welt der Kompetenz, Regulierung und Routine, die so gründlich erfolgreich war, dass ihre Verwundbarkeiten leicht zu übersehen waren. Die Airbus A330-203 verließ Rio de Janeiro in diese Welt mit dem ganzen Vertrauen des Zeitalters, das sie repräsentierte. Was folgte, würde die verborgenen Kosten aufdecken, an die Automatisierung, Erfahrung und Verfahren den Himmel nicht nur sicherer, sondern sicher genug gemacht hatten, um sich keine Sorgen mehr zu machen.