Le soir du 31 mai 2009, le vol 447 d'Air France n'était qu'une autre traversée nocturne, le genre que l'aviation moderne avait rendu ordinaire. L'Airbus A330-203 devait quitter Rio de Janeiro–Galeão pour Paris, transportant des passagers qui s'attendaient aux rituels familiers des longs courriers : masques de sommeil, lumières de cabine tamisées et le faible bourdonnement industriel d'une cabine pressurisée se déplaçant au-dessus d'un océan noir. Dans le monde qui avait construit ce vol, un avion gros porteur pouvait quitter l'Amérique du Sud et arriver en Europe avant le petit déjeuner ; la distance avait été conquise si complètement que le danger semblait s'être retiré dans des statistiques et des listes de contrôle.
Cette confiance reposait sur des systèmes superposés les uns aux autres. L'A330 était un avion à commande de vol électrique, conçu pour que les ordinateurs traduisent les entrées du pilote en mouvements des surfaces de contrôle tout en protégeant l'appareil de certains extrêmes. Son automatisation était, dans la pratique ordinaire des compagnies aériennes, une force et une commodité qui créait des habitudes. Les équipages volaient de longs segments grâce au pilote automatique et à l'autothrust, et l'avion avait la réputation de stabilité, de sophistication et de sécurité. L'appareil évoluait également dans une région où la météo de l'Atlantique pouvait devenir complexe sans beaucoup d'avertissement : la zone de convergence tropicale, avec ses systèmes convectifs imposants, ses sommets froids et son développement vertical violent. Pourtant, la route avait été empruntée d'innombrables fois. L'océan entre le Brésil et l'Afrique n'était pas considéré comme un piège, mais comme un corridor.
Ce qui rendait cette traversée vulnérable n'était pas un défaut unique, mais une convergence d'hypothèses. Le système de vitesse de l'air dépendait de sondes pitot exposées au courant d'air, et ces sondes avaient déjà été impliquées dans des problèmes de givrage intermittents dans certaines conditions. L'appareil comptait également sur les équipages pour interpréter une cascade d'alertes lorsque les données devenaient incohérentes. Les opérations aériennes supposaient que la formation, les procédures et l'automatisation absorberaient de telles irrégularités. Ce qu'ils n'appréciaient pas pleinement, comme le montreraient les enquêtes ultérieures, c'était la rapidité avec laquelle un cockpit moderne pouvait devenir surchargé cognitivement lorsque des informations fiables commençaient à disparaître.
À Paris, la compagnie aérienne elle-même se tenait comme une institution nationale, et le vol s'inscrivait dans une économie de régularité. Des centaines de milliers de passagers traversaient l'Atlantique chaque année sur des services long-courriers avec presque aucune attention du public. Les systèmes qui les protégeaient n'étaient pas théâtraux ; ils étaient procéduraux : dossiers de maintenance, règles d'expédition, programmes de formation, produits météorologiques et division disciplinée du travail entre pilotes et ordinateurs. Pour la plupart, ils fonctionnaient. C'était ce faux sentiment de sécurité qui sous-tendait l'ère des avions géants et des avions à double couloir : la croyance que la modernité avait domestiqué le risque si complètement que seules des défaillances rares, presque exotiques, demeuraient.
Au 31 mai 2009, le vol avait déjà été façonné par une chaîne de décisions institutionnelles ordinaires. L'avion était programmé comme le vol 447 d'Air France, opéré sur la route Rio-Paris avec une régularité telle qu'il était facile d'oublier combien de mains avaient touché son passage. La maintenance avait été effectuée selon les systèmes de la compagnie aérienne et du fabricant, construits autour de la documentation, des intervalles d'inspection et de la surveillance de la navigabilité. En toile de fond se tenait le réseau de régulateurs qui rendait de telles traversées possibles : procédures d'Air France, hypothèses de conception d'Airbus et cadre de certification européen et international. Le passager ne voit jamais cette architecture, mais c'est l'échafaudage caché de chaque vol de nuit.
À bord se trouvaient des familles rentrant chez elles, des voyageurs d'affaires, du personnel de la compagnie aérienne et des enfants. L'équipage de cabine passerait les premières heures du vol à servir des repas et à installer les passagers dans la longue étendue sombre au-dessus de l'océan. Dans le cockpit, le capitaine, Marc Dubois, avait l'expérience et l'autorité sur lesquelles les compagnies aériennes comptaient lorsque la routine se terminait et que le jugement commençait. Le premier officier, en binôme, reflétait une structure courante pour les longs courriers : un pilote se reposant, l'autre volant, avec l'automatisation effectuant une grande partie du travail. Rien dans cet arrangement, à lui seul, ne semblait inhabituel. En effet, c'était le but. La sécurité était devenue une condition de fond.
Les enjeux étaient cachés dans la très normalité de tout cela. Un avion moderne en croisière n'est pas comme un navire ou un train qui peut s'arrêter et se réorienter. Il vole dans une fine marge d'atmosphère, à des milliers de mètres au-dessus de la mer, se déplaçant à grande vitesse à travers un système météorologique qui peut se développer rapidement autour de lui. La traversée de l'Atlantique signifiait également de longues étendues sans options de diversion immédiates, donc la fiabilité des instruments et des procédures importait encore plus. Dans un tel contexte, la différence entre une alerte routinière et une défaillance en cascade peut être une question de moments. Le système est conçu pour absorber des problèmes isolés ; il devient beaucoup plus fragile lorsque le problème est la perte d'une image fiable de l'appareil lui-même.
Un fait surprenant, avec le recul, est à quel point la marge pouvait être étroite dans une machine transportant tant de personnes à une telle vitesse. À l'altitude de croisière, un gros porteur voyage plus vite qu'une balle de fusil et le fait avec des tolérances aérodynamiques qui laissent peu de place à la confusion. Si les données de l'air deviennent peu fiables, l'appareil peut ne pas devenir instantanément incontrôlable, mais l'image de la réalité de l'équipage peut se fragmenter en quelques secondes. Cette vulnérabilité latente existait depuis des années, largement cachée par le succès du système qui l'entourait.
La météo à venir ajoutait une autre couche de danger qui compterait plus tard, bien que pas encore pour les passagers s'installant dans la cabine. Au-dessus de l'Atlantique tropical, la zone de convergence intertropicale peut générer d'imposantes tempêtes convectives, avec de hautes parois verticales de nuages et une turbulence intense autour d'elles. La météorologie n'avait pas rendu la route impossible, seulement exigeante. Dans le langage ordinaire des opérations aériennes, ces tempêtes étaient quelque chose à contourner, pas une raison de craindre l'ensemble de la traversée. Mais la prévisibilité même de la route pouvait obscurcir combien peu de marge restait lorsque plusieurs facteurs rares arrivaient ensemble.
Vers 1h30 du matin, alors que l'appareil se déplaçait dans la nuit profonde au-dessus de l'Atlantique, la météo à venir montrait déjà le genre de convection imposante qui compterait plus tard. Mais à l'intérieur de la cabine, le voyage semblait encore conventionnel : un vol long-courrier progressant vers l'Europe, le genre de mouvement entre continents qui était devenu l'une des promesses civilisatrices de l'âge du jet. Le premier signe que cette promesse était sur le point d'échouer n'était ni un feu ni un impact. C'était plus petit, plus silencieux et facile à manquer : un avertissement dans l'obscurité que les données de vitesse de l'air de l'appareil n'étaient plus d'accord. C'était l'instant avant que la chaîne ne commence à se resserrer.
Longtemps avant que la catastrophe ne devienne un dossier judiciaire et un dossier d'enquête, le monde qui l'a précédée était défini par la confiance. Confiance dans l'automatisation d'Airbus. Confiance dans les sondes pitot qui avaient bien fonctionné la plupart du temps. Confiance dans des procédures qui supposaient que le cockpit resterait un endroit stable pour le diagnostic et l'action. Confiance dans une route qui avait transporté des millions à travers l'océan sans drame public. La signification du vol 447 réside en partie dans la manière dont cette confiance était devenue ordinaire. Elle était intégrée dans l'architecture de l'aviation moderne et renforcée par chaque arrivée sans incident à Paris.
Dans les années précédant l'accident, l'industrie aérienne avait construit un système hautement discipliné autour de l'attente que des défaillances rares resteraient rares. Les règles d'expédition, la formation des équipages et la certification des aéronefs créaient une défense en couches contre la catastrophe. Pourtant, ces défenses dépendaient d'une prémisse cruciale : que l'équipage disposerait toujours de suffisamment d'informations fiables pour rester en avance sur les événements. Cette nuit-là, cette prémisse était sur le point d'être mise à l'épreuve au-dessus d'eaux vides, loin des terres, à un moment du vol où les passagers dormaient et l'avion semblait le plus sécurisé.
Le monde avant le vol 447 n'était pas un monde de négligence. C'était un monde de compétence, de réglementation et de routine qui avait réussi si complètement que ses vulnérabilités étaient faciles à négliger. L'Airbus A330-203 a quitté Rio de Janeiro vers ce monde avec toute la confiance de l'époque qu'il représentait. Ce qui a suivi exposerait le coût caché de croire que l'automatisation, l'expérience et la procédure avaient rendu les cieux non seulement plus sûrs, mais suffisamment sûrs pour cesser de s'inquiéter.