Le problème a commencé là où l'aviation moderne commence souvent ses crises : non pas par une rupture spectaculaire, mais par une dégradation de l'information. Dans les heures précédant la perte, le vol Air France 447 volait dans une zone de temps convectif dont l'équipage avait été averti par le service de dispatch et qui était affichée sur le radar météorologique du cockpit. La zone de convergence intertropicale de l'Atlantique produisait des sommets nuageux élevés et des tempêtes intégrées, un type de système qui pouvait contraindre un pilote à dévier brusquement de sa trajectoire pour éviter les pires cellules. Le danger n'était pas que des tempêtes étaient inconnues. C'était qu'elles étaient suffisamment familières pour encourager une gestion routinière, même lorsque la routine n'était plus suffisante.
Cette familiarité ordinaire importait car le vol était déjà profondément engagé dans le long et calme milieu d'une traversée nocturne de l'Atlantique. Le vol Air France 447 a quitté Rio de Janeiro le 31 mai 2009, et au moment où l'appareil est entré dans le complexe météorologique au-dessus de l'océan, le travail de pilotage était devenu une question de surveillance, de discipline instrumentale et de confiance dans des systèmes qui rendaient normalement les opérations long-courrier presque sans effort. L'appareil était un Airbus A330-203, immatriculé F-GZCP, et dans le dossier de l'accident, il est devenu l'un des avions de ligne les plus examinés de l'histoire moderne. Sa perte serait plus tard reconstituée à partir de l'enregistreur de voix du cockpit, de l'enregistreur de données de vol, des dossiers de maintenance, des documents de dispatch et du rapport final du Bureau d’Enquêtes et d’Analyses de France, le BEA.
La configuration de l'équipage importait. Le capitaine, Marc Dubois, avait quitté le cockpit pour une période de repos prévue après que le vol se soit stabilisé en croisière. Aux commandes se trouvaient deux premiers officiers, l'un pilotant l'appareil tandis que l'autre surveillait et se reposait conformément à la procédure long-courrier. Cet arrangement était courant, légal et normalement sans incident. Mais cela signifiait également que l'appareil était, pendant un certain temps, géré par une équipe de cockpit réduite dans une région où la météo et les systèmes pouvaient exiger un jugement rapide. Une petite marge avait déjà commencé à se réduire.
Les informations météorologiques du dispatch et du cockpit montraient à l'équipage que la route à venir ne serait pas bénigne. La zone de convergence intertropicale n'est pas une patch de mauvais temps aléatoire mais une bande persistante où les masses d'air se heurtent et où l'activité orageuse peut se développer rapidement. L'image radar présentait une image familière aux pilotes de vols transocéaniques : des cellules éparpillées, des cumulonimbus imposants, et suffisamment d'activité intégrée pour nécessiter une planification de trajectoire soignée plutôt qu'une pénétration décontractée. Sur le papier, la menace était gérable. En pratique, la gestion dépendait de la capacité à lire correctement la ligne entre un couloir météorologique inconfortable et une situation devenant opérationnellement impitoyable.
Le premier signe concret d'instabilité est apparu lorsque l'appareil a rencontré des cristaux de glace à haute altitude. Les sondes pitot, qui mesurent la pression d'air dynamique pour dériver la vitesse de l'air, sont devenues obstruées. Dans le cockpit, le pilote automatique s'est déconnecté et l'autothrust a suivi, produisant un passage soudain d'une croisière automatisée à une gestion manuelle avec des indications de vitesse de l'air peu fiables. Le rapport final du BEA a identifié cette séquence comme l'ouverture de la chaîne d'accidents. Ce qui avait été un désagrément dans l'expérience antérieure de la flotte est devenu un événement beaucoup plus sérieux car il s'est produit la nuit, au-dessus de l'eau, dans des turbulences, et pendant un transfert d'attention de l'automatisation aux pilotes humains.
Le timing était critique. L'événement ne s'est pas produit à la lumière du jour au-dessus de la terre, où un équipage aurait pu être capable de corréler des indices visuels extérieurs avec les changements instrumentaux. Il s'est produit au-dessus de l'Atlantique Sud, où l'horizon était absent et l'obscurité à l'extérieur du pare-brise ne pouvait pas aider un équipage à vérifier ce que l'appareil faisait. Le cockpit était soudainement réduit à des instruments qui ne s'accordaient plus les uns avec les autres. Dans ces premiers moments après la perte de la vitesse de l'air fiable, l'avion était encore pilotable, mais seulement si l'équipage pouvait identifier le problème suffisamment rapidement pour séparer une défaillance de capteur d'une véritable urgence aérodynamique.
À peu près au même moment, l'appareil a commencé à émettre des signaux contradictoires. Des alertes de décrochage sont apparues puis ont cessé, réapparaissant à mesure que les données de vitesse fluctuaient. Les pilotes faisaient face à un paradoxe : l'avion était encore suffisamment haut et rapide dans l'imaginaire de l'équipage pour ressembler à un jet en croisière normale, pourtant les instruments racontaient des fragments d'une histoire différente. Dans de tels moments, la formation des pilotes devient la dernière ligne de défense. Mais la formation n'est bonne que si elle prépare les équipages à reconnaître les conditions. Selon le BEA, l'équipage n'a pas immédiatement diagnostiqué un décrochage à haute altitude et a plutôt effectué des commandes de contrôle qui ont aggravé la condition aérodynamique.
C'est ici que l'affaire est devenue plus qu'un échec technique et est entrée dans le domaine des limites humaines. L'enregistreur de voix du cockpit a capturé la séquence croissante d'alarmes, et l'enregistreur de données de vol a montré plus tard que l'angle d'attaque de l'appareil et sa trajectoire verticale étaient devenus fatalement désordonnés. Le problème n'était pas simplement qu'une alarme se soit déclenchée. Le problème était que l'alarme elle-même était instable, alternant à mesure que les informations des capteurs fluctuaient. Cette instabilité obscurcissait la véritable nature de la menace. Une alerte de décrochage qui apparaît et disparaît peut être interprétée comme un problème instrumentale ; un véritable décrochage à haute altitude, s'il n'est pas reconnu, peut se poursuivre alors que l'appareil semble encore "voler" au sens ordinaire. La reconstruction du BEA a montré que cet écart entre perception et réalité était central à l'accident.
Il y a une tension dans ce type d'échec car rien de visible pour les passagers ne ressemble à un désastre au départ. Il n'y a pas de flamme dans la cabine, pas de rupture violente, pas de déchirement dramatique du fuselage. Au lieu de cela, il y a une chaîne d'alarmes, une perte de confiance dans les instruments, et des voix dans le cockpit travaillant à travers des possibilités pendant que l'appareil continue de voler. Le danger résidait dans le décalage entre ce que les pilotes croyaient que l'avion faisait et ce que l'avion faisait réellement. Un jet moderne peut tolérer une quantité surprenante de confusion s'il reste dans son enveloppe ; il ne peut pas tolérer des entrées de décrochage soutenues à haute altitude lorsque l'équipage croit que l'appareil est en descente ou en sur-vitesse et continue de tirer en arrière.
Le rapport final du BEA a clairement indiqué que la perte de l'appareil n'était pas le résultat d'une rupture catastrophique unique dans la structure. C'était un effondrement aérodynamique et procédural, construit à partir d'une séquence qui a commencé par des cristaux de glace obstruant les sondes pitot et s'est terminée par l'appareil restant dans un état de décrochage pendant une grande partie de la descente finale. La chaîne d'accidents a été enregistrée dans le rapport publié après l'enquête, et l'histoire technique a ensuite été centrale dans l'examen juridique et réglementaire de l'équipement, de la formation de l'équipage et des procédures de cockpit. La compagnie aérienne, le constructeur et le système de l'aviation civile française ont tous été confrontés à des questions sur ce qui avait été connu avant le 1er juin 2009 et combien de cette connaissance avait été traduite en défenses opérationnelles.
Un fait frappant de l'enquête est la durée pendant laquelle l'appareil est resté en régime de décrochage avant l'impact. Ce n'était pas une brève perte de portance corrigée en quelques secondes. L'A330 est resté aérodynamiquement en décrochage pendant une grande partie de la descente finale, une condition qui a érodé l'altitude pendant que les pilotes luttaient contre des signaux et des alertes contradictoires. La machine n'avait pas été pulvérisée. Elle avait été, en effet, pilotée dans un état dont il n'y avait pas de récupération car l'équipage ne pouvait pas le percevoir complètement à temps.
Pour les passagers, il n'y avait aucun enregistrement public de panique ou de commotion avant la fin ; l'enregistreur de voix de la cabine a préservé des sons routiniers, puis des alarmes, puis la gravité croissante de la situation dans le cockpit. Le drame humain, par conséquent, est en partie une question d'invisibilité. Le désastre avançait dans un cockpit sombre au-dessus d'un océan que personne à l'intérieur ne pouvait voir. La dernière minute normale était déjà passée. Le moment où la catastrophe a frappé n'était pas une seule explosion mais le moment où les pilotes ont perdu l'état véritable de l'appareil. À partir de là, la chute est devenue inévitable.