La première moitié du vol s'est déroulée sans drame public. Le vol Germanwings 9525 a quitté Barcelone le 24 mars 2015 et a grimpé selon son itinéraire prévu vers l'Allemagne, un passage routinier à travers le sud de l'Europe qui, en surface, ressemblait à des milliers d'autres vols européens à court-courrier. La météo au-dessus des Alpes ne présentait pas la menace évidente qui allait plus tard dominer les cartes, les chronologies et les premières pages. Rien dans le ciel visible ne signalait que la catastrophe était déjà en train de se former à l'intérieur de l'avion lui-même. Ce qui a changé en premier n'était pas la météo, mais l'atmosphère dans le cockpit, et la preuve de cela est venue plus tard de l'enregistreur de vol de l'avion plutôt que de tout témoin au sol.
À 10h30, heure locale, selon le Bureau d’Enquêtes et d’Analyses pour la sécurité de l’aviation civile, le BEA, le capitaine a quitté le cockpit pour une courte pause. Cet acte ordinaire est devenu le pivot de la catastrophe. Selon les procédures alors en vigueur, un autre membre d'équipage est entré dans le cockpit afin que deux personnes restent présentes pendant qu'un pilote était absent. Lorsque cette personne est partie, le copilote s'est retrouvé seul. L'avion était toujours en pilote automatique, suivant toujours son itinéraire, se comportant toujours de manière à sembler normal aux passagers, aux contrôleurs aériens et à l'équipage de cabine. Dans la logique ordinaire de l'aviation commerciale, rien n'allait mal.
Puis le capitaine a essayé de revenir. La reconstitution judiciaire du BEA a révélé que la porte du cockpit avait été verrouillée de l'intérieur et que les saisies du code d'accès depuis l'extérieur ne l'ouvraient pas. Ce n'était pas un accident mécanique, mais une utilisation du système tel qu'il avait été conçu. La porte de cockpit renforcée, introduite dans l'ère post-11 septembre, était destinée à empêcher les détournements et à préserver le contrôle de l'avion contre une attaque extérieure. Ses caractéristiques de sécurité comportaient une hypothèse intégrée : la menace viendrait de l'extérieur. Sur le vol Germanwings 9525, la menace était déjà à l'intérieur du cockpit, portant le même uniforme, formée aux mêmes procédures et capable d'utiliser les protections du système pour refuser l'entrée.
Ce détail était important car les signes d'avertissement, avec le recul, n'étaient pas dans le ciel ou sur le radar. Ils se trouvaient dans le dossier fragmenté papier et électronique que les enquêteurs ont ensuite assemblé à travers des dossiers médicaux, juridiques et techniques. Les autorités allemandes ont déclaré plus tard qu'Andreas Lubitz avait recherché sur Internet des portes de cockpit et des méthodes de suicide. Ces recherches, documentées dans l'enquête, ne prouvaient pas à elles seules une intention, mais elles s'inscrivaient dans le schéma que le rapport final décrirait plus tard. La même enquête a également révélé qu'il avait été traité par de nombreux médecins et avait été jugé inapte au travail à certaines occasions par des médecins ayant diagnostiqué une détresse psychologique. Certaines de ces constatations médicales n'avaient pas été pleinement communiquées dans les contraintes juridiques et médicales de l'époque. Le danger était donc à la fois clinique et institutionnel : l'information existait, mais pas sous une forme qui aurait pu l'empêcher de voler de manière fiable.
C'est ce qui rendait le chapitre des signes d'avertissement si troublant. Le danger n'est pas arrivé comme une seule alarme manquée ou un drapeau rouge indiscutable. Il est apparu à travers un chemin de visibilité partielle. Un pilote pouvait se présenter comme médicalement complexe, intermittemment déclaré apte puis inapte, tout en passant encore à travers les couches du système aéronautique. Un médecin pouvait reconnaître une détresse sans avoir un chemin clair pour forcer une intervention mettant fin à la carrière. Un régulateur pouvait dépendre de la confidentialité médicale qui protégeait la vie privée mais limitait l'avertissement opérationnel. Une entreprise pouvait compter sur la validité d'un certificat médical déjà en dossier, tandis que personne ne possédait le tableau complet. La catastrophe a révélé à quel point l'aviation moderne dépend de l'hypothèse que le dossier caché et le dossier opérationnel correspondront.
Il y avait encore un moment où le vol aurait pu être sauvé si le système avait supposé un dysfonctionnement plutôt qu'une malveillance. Le capitaine a tenté de revenir ; ni les saisies du code d'accès ni la réponse de l'intérieur n'ont permis cela. Le personnel, les contrôleurs ou une intervention en cabine n'ont pu changer la géométrie scellée de ce moment. C'était le point de tension que l'industrie avait longtemps sous-estimé : une porte de sécurité peut prévenir une catastrophe et en permettre une autre lorsque la personne à l'intérieur est le danger. L'écart entre la politique et la psychologie est devenu fatal en quelques minutes.
Sur les radios et les écrans radar, rien n'annonçait encore l'ampleur complète de la crise. L'avion restait sous contrôle, mais personne en dehors du cockpit ne pouvait savoir que la descente à venir était déjà devenue une décision plutôt qu'un échec. Les derniers détails ordinaires du vol — dossiers de siège redressés, passagers lisant, agents de bord se déplaçant dans l'allée, le bourdonnement de l'altitude de croisière — étaient encore intacts dans la cabine tandis que le cockpit était devenu un territoire inaccessible. Ce contraste fait partie de ce qui donne à l'enquête sa force sinistre : les victimes n'étaient pas instantanément entraînées dans le chaos par une attaque extérieure visible. Elles étaient encore dans l'architecture ordinaire du voyage commercial alors que l'avion commençait à quitter le couloir sûr de la croisière.
L'avion est passé de la routine à l'urgence de la manière la plus banale possible : par un changement d'altitude commandé par la personne aux commandes. Une fois le réglage du pilote automatique modifié, l'avion a commencé à descendre. Il n'y avait pas de coup de tonnerre, pas de boule de feu, pas de frappe extérieure, et aucun système météorologique forçant l'avion vers le bas. Seulement un avion quittant son altitude assignée et entrant dans un terrain qui devenait plus dangereux à chaque seconde qui passait. Le déclencheur était humain, délibéré, et caché jusqu'à ce que le rapport final le révèle.
C'est pourquoi le dossier documentaire est si important ici. La reconstitution du BEA a transformé des fragments de voix, d'instrumentation et de procédure en une séquence de cause à effet. Elle a montré comment un vol de routine de Barcelone le 24 mars 2015 est devenu un événement de cockpit verrouillé dans lequel les systèmes normaux ont été utilisés contre les passagers qu'ils étaient censés protéger. Elle a également montré comment les défenses superposées de l'aviation peuvent échouer lorsque qu'une couche suppose que les autres fonctionnent à partir d'une compréhension complète de la personne dans le cockpit.
Les enjeux n'étaient pas seulement immédiats. Les preuves provenant des traitements médicaux, des recherches sur Internet et des procédures d'accès au cockpit forceraient plus tard les régulateurs, les compagnies aériennes et les législateurs à confronter une question plus difficile : combien d'avertissements sont suffisants lorsque l'avertissement existe dans des systèmes séparés qui ne communiquent pas pleinement entre eux ? Dans ce cas, la réponse est venue trop tard. Le capitaine n'a pas pu revenir. L'avion est resté en pilote automatique. La descente a continué.
À cet instant, la catastrophe a cessé d'être une question de possibilité et est devenue une question de physique. La descente allait entraîner le vol Germanwings 9525 dans les Alpes françaises et transformer les montagnes en témoin final. Les prochaines minutes ne portaient plus sur l'avertissement. Elles portaient sur l'impact.