Die Probleme begannen dort, wo die moderne Luftfahrt oft ihre Krisen einleitet: nicht mit einem spektakulären Bruch, sondern mit verschlechterten Informationen. In den Stunden vor dem Verlust flog Air France Flug 447 in eine Zone konvektiver Wetterbedingungen, über die die Besatzung von der Disposition informiert worden war und die auf dem Wetterradar im Cockpit angezeigt wurde. Die Atlantische Innertropische Konvergenzzone erzeugte hohe Wolkenobergrenzen und eingebettete Stürme, eine Art System, das einen Piloten dazu zwingen könnte, scharf vom Kurs abzuweichen, um die schlimmsten Zellen zu vermeiden. Die Gefahr bestand nicht darin, dass Stürme unbekannt waren. Es war vielmehr so, dass sie vertraut genug waren, um routinemäßige Handhabung zu fördern, selbst wenn die Routine nicht mehr ausreichte.
Diese gewöhnliche Vertrautheit war wichtig, da der Flug bereits tief in der langen, ruhigen Mitte eines nächtlichen Atlantiküberquerung war. Air France 447 startete am 31. Mai 2009 in Rio de Janeiro, und als das Flugzeug in den Wetterkomplex über dem Ozean eintrat, war das Fliegen zu einer Angelegenheit des Wachtens, der Instrumentendisziplin und des Vertrauens in Systeme geworden, die normalerweise Langstreckenoperationen fast mühelos erscheinen ließen. Das Flugzeug war ein Airbus A330-203, Registrierung F-GZCP, und im Protokoll des Unfalls wurde es zu einem der am gründlichsten untersuchten Verkehrsflugzeuge der modernen Geschichte. Sein Verlust würde später aus dem Cockpit-Stimmenrekorder, dem Flugdatenrekorder, den Wartungsunterlagen, den Dispositionsmaterialien und dem Abschlussbericht des französischen Bureau d’Enquêtes et d’Analyses, der BEA, rekonstruiert werden.
Die Besatzungskonfiguration war von Bedeutung. Der Kapitän, Marc Dubois, hatte das Cockpit für eine geplante Ruhezeit verlassen, nachdem der Flug in den Reiseflug übergegangen war. An den Steuerknüppeln waren zwei Erster Offiziere, einer steuerte das Flugzeug, während der andere überwachte und sich gemäß den Verfahren für Langstreckenflüge ausruhte. Diese Anordnung war üblich, legal und normalerweise ereignislos. Aber sie bedeutete auch, dass das Flugzeug für eine Zeit von einem reduzierten Cockpit-Team in einer Region verwaltet wurde, in der Wetter und Systeme schnelles Urteilsvermögen erforderten. Eine kleine Marge hatte bereits begonnen, sich zu verengen.
Die Dispositions- und Cockpit-Wetterinformationen zeigten der Besatzung, dass die Route vor ihnen nicht harmlos sein würde. Die innertropische Konvergenzzone ist kein zufälliger Fleck schlechten Wetters, sondern ein persistentes Band, in dem Luftmassen aufeinandertreffen und Gewitteraktivität schnell zunehmen kann. Das Radarbild stellte ein Bild dar, das Piloten transozeanischer Flüge vertraut ist: verstreute Zellen, aufragende Cumulonimbus und genug eingebettete Aktivität, um sorgfältige Streckenplanung anstelle einer lässigen Durchdringung zu erfordern. Auf dem Papier war die Bedrohung beherrschbar. In der Praxis hing das Management davon ab, die Grenze zwischen einem unangenehmen Wetterkorridor und einer Situation zu erkennen, die operationell unnachgiebig wurde.
Das erste konkrete Zeichen der Instabilität kam, als das Flugzeug in großer Höhe auf Eiskristalle stieß. Die Pitot-Sonden, die den Ram-Luftdruck messen, um die Geschwindigkeit abzuleiten, wurden blockiert. Im Cockpit trennte sich der Autopilot und die Automatik folgte, was einen plötzlichen Wechsel von automatischem Reiseflug zu manueller Handhabung mit unzuverlässigen Geschwindigkeitsanzeigen zur Folge hatte. Der Abschlussbericht der BEA identifizierte diese Sequenz als den Beginn der Unfallkette. Was in früheren Flotten Erfahrungen ein Ärgernis gewesen war, wurde zu einem viel ernsthafteren Ereignis, weil es nachts, über Wasser, in Turbulenzen und während eines Übergangs der Aufmerksamkeit von der Automatisierung zu den menschlichen Piloten geschah.
Das Timing war entscheidend. Das Ereignis trat nicht bei Tageslicht über Land auf, wo eine Besatzung möglicherweise in der Lage gewesen wäre, äußere visuelle Hinweise mit den Instrumentenänderungen zu korrelieren. Es trat über dem Südatlantik auf, wo der Horizont fehlte und die Dunkelheit außerhalb der Windschutzscheibe der Besatzung nicht helfen konnte, zu überprüfen, was das Flugzeug tat. Das Cockpit reduzierte sich plötzlich auf Instrumente, die nicht mehr übereinstimmten. In den ersten Momenten nach dem Verlust der zuverlässigen Geschwindigkeit war das Flugzeug noch flugfähig, aber nur, wenn die Besatzung das Problem schnell genug identifizieren konnte, um einen Sensorfehler von einem echten aerodynamischen Notfall zu unterscheiden.
Fast im selben Moment begann das Flugzeug, widersprüchliche Hinweise auszugeben. Stallwarnungen erschienen und verschwanden dann wieder, während die Geschwindigkeitsdaten schwankten. Die Piloten standen vor einem Paradoxon: Das Flugzeug war in der Vorstellung der Besatzung immer noch hoch und schnell genug, um sich wie ein Jet im normalen Reiseflug anzufühlen, doch die Instrumente erzählten Fragmente einer anderen Geschichte. In solchen Momenten wird die Pilotenausbildung zur letzten Verteidigungslinie. Aber Ausbildung ist nur so gut wie die Bedingungen, auf die sie die Besatzungen vorbereitet. Laut der BEA diagnostizierte die Besatzung nicht sofort einen Hochaltitudenstall und nahm stattdessen Steuerinputs vor, die die aerodynamische Situation verschlechterten.
Hier wurde der Fall mehr als ein technisches Versagen und trat in den Bereich menschlicher Grenzen ein. Der Cockpit-Stimmenrekorder erfasste die eskalierende Folge von Alarmen, und der Flugdatenrekorder zeigte später, dass der Anstellwinkel und der vertikale Pfad des Flugzeugs fatal gestört waren. Das Problem war nicht einfach, dass ein Warnsignal ertönte. Das Problem war, dass die Warnung selbst instabil war und abwechselnd auftrat, während die Sensordaten schwankten. Diese Instabilität verschleierte die wahre Natur der Bedrohung. Eine Stallwarnung, die erscheint und verschwindet, kann als ein Instrumentenproblem interpretiert werden; ein echter Hochaltitudenstall, wenn er nicht erkannt wird, kann fortbestehen, während das Flugzeug weiterhin zu „fliegen“ scheint im gewöhnlichen Sinne. Die Rekonstruktion der BEA zeigte, dass dieses Missverhältnis zwischen Wahrnehmung und Realität zentral für den Unfall war.
Es gibt Spannungen in dieser Art von Versagen, weil nichts, was für Passagiere sichtbar ist, zunächst wie eine Katastrophe aussieht. Es gibt keine Flamme in der Kabine, keinen gewaltsamen Bruch, kein dramatisches Zerreißen des Rumpfes. Stattdessen gibt es eine Kette von Alarmen, einen Verlust des Vertrauens in die Instrumente und Cockpitstimmen, die Möglichkeiten durchgehen, während das Flugzeug weiter fliegt. Die Gefahr lag im Missverhältnis zwischen dem, was die Piloten glaubten, dass das Flugzeug tat, und dem, was das Flugzeug tatsächlich tat. Ein moderner Jet kann eine überraschende Menge Verwirrung tolerieren, solange er innerhalb seines Envelope bleibt; er kann jedoch keine anhaltenden Stallinputs in großer Höhe tolerieren, wenn die Besatzung glaubt, das Flugzeug sinkt oder über Geschwindigkeit hat und weiterhin zurückzieht.
Der endgültige Bericht der BEA machte deutlich, dass der Verlust des Flugzeugs nicht das Ergebnis eines einzigen katastrophalen Bruchs in der Struktur war. Es war ein aerodynamischer und prozeduraler Zusammenbruch, der aus einer Sequenz bestand, die mit Eiskristallen begann, die die Pitot-Sonden blockierten, und endete damit, dass das Flugzeug während des Großteils des letzten Abstiegs in einem Stall-Zustand blieb. Die Unfallkette wurde im Bericht dokumentiert, der nach der Untersuchung veröffentlicht wurde, und die technische Geschichte war später zentral in der rechtlichen und regulatorischen Prüfung von Ausrüstung, Pilotenausbildung und Cockpitverfahren. Die Fluggesellschaft, der Hersteller und das französische Luftfahrtwesen sahen sich alle Fragen gegenüber, was vor dem 1. Juni 2009 bekannt war und wie viel dieses Wissens in operationale Verteidigungen umgesetzt worden war.
Eine auffällige Tatsache aus der Untersuchung ist, wie lange das Flugzeug im Stallregime blieb, bevor es aufschlug. Dies war kein kurzer Verlust des Auftriebs, der in Sekunden korrigiert wurde. Die A330 blieb aerodynamisch für den Großteil des letzten Abstiegs im Stall, ein Zustand, der die Höhe verringerte, während die Piloten mit widersprüchlichen Hinweisen und Warnungen kämpften. Die Maschine war nicht auseinandergerissen worden. Sie war, in der Tat, in einen Zustand geflogen worden, aus dem es keine Rückkehr gab, weil die Besatzung ihn nicht rechtzeitig vollständig wahrnehmen konnte.
Für die Passagiere gab es vor dem Ende keine öffentliche Aufzeichnung von Panik oder Aufregung; der Kabinen-Stimmenrekorder bewahrte routinemäßige Geräusche, dann Alarme, dann die zunehmende Schwere der Situation im Cockpit. Das menschliche Drama ist daher teilweise eines der Unsichtbarkeit. Die Katastrophe schritt in einem dunklen Cockpit über einem Ozean voran, den niemand drinnen sehen konnte. Die letzte normale Minute war bereits vergangen. Der Moment, in dem die Katastrophe zuschlug, war keine einzelne Explosion, sondern der Moment, in dem die Piloten den wahren Zustand des Flugzeugs verloren. Von dort an wurde der Fall unvermeidlich.