La sera del 31 maggio 2009, il volo Air France 447 era solo un'altra traversata notturna, il tipo che l'aviazione moderna aveva reso ordinaria. L'Airbus A330-203 era programmato per partire da Rio de Janeiro–Galeão per Parigi, trasportando passeggeri che si aspettavano i familiari rituali dei voli a lungo raggio: maschere per gli occhi, luci della cabina abbassate e il basso ronzio industriale di una cabina pressurizzata che si muoveva sopra un oceano nero. Nel mondo che aveva costruito questo volo, un aereo a fusoliera larga poteva lasciare il Sud America e arrivare in Europa prima di colazione; la distanza era stata conquistata così completamente che il pericolo sembrava essersi ritirato nelle statistiche e nelle liste di controllo.
Quella fiducia si basava su sistemi sovrapposti uno all'altro. L'A330 era un aereo con controllo fly-by-wire, progettato affinché i computer traducessero gli input del pilota in movimenti delle superfici di controllo, proteggendo l'aeromobile da alcuni estremi. La sua automazione era, nella pratica ordinaria delle compagnie aeree, una forza e una comodità che creava abitudine. Gli equipaggi volavano lunghi segmenti attraverso l'autopilota e l'autothrust, e l'aeromobile godeva di una reputazione di stabilità, sofisticatezza e sicurezza. L'aereo operava anche in una regione in cui il tempo dell'Atlantico poteva diventare complesso senza molto preavviso: la zona di convergenza tropicale, con i suoi imponenti sistemi convettivi, le cime fredde e lo sviluppo verticale violento. Eppure, la rotta era stata percorsa innumerevoli volte. L'oceano tra il Brasile e l'Africa era considerato non come una trappola, ma come un corridoio.
Ciò che rendeva vulnerabile questa traversata non era un singolo difetto, ma una convergenza di assunzioni. Il sistema di velocità aerea dipendeva da sonde pitot esposte al flusso d'aria, e quelle sonde erano state precedentemente implicate in problemi di ghiaccio intermittenti in determinate condizioni. L'aeromobile si affidava anche agli equipaggi per interpretare una cascata di avvisi quando i dati diventavano incoerenti. Le operazioni aeree assumevano che la formazione, le procedure e l'automazione avrebbero assorbito tali irregolarità. Ciò che non apprezzavano completamente, come avrebbero dimostrato le indagini successive, era quanto rapidamente un moderno cockpit potesse diventare sovraccarico cognitivamente quando informazioni affidabili iniziavano a scomparire.
A Parigi, la compagnia aerea stessa si ergeva come un'istituzione nazionale, e il volo si inseriva in un'economia di regolarità. Centinaia di migliaia di passeggeri all'anno attraversavano l'Atlantico su servizi a lungo raggio con quasi nessuna attenzione pubblica. I sistemi che li proteggevano non erano teatrali; erano procedurali: registri di manutenzione, regole di invio, programmi di formazione, prodotti meteorologici e la divisione disciplinata del lavoro tra piloti e computer. Per la maggior parte, funzionavano. Quella era la falsa sensazione di sicurezza che sosteneva l'era del jumbo e dell'aereo a doppio corridoio: la convinzione che la modernità avesse addomesticato il rischio così a fondo che rimanevano solo fallimenti rari, quasi esotici.
Entro il 31 maggio 2009, il volo era già stato plasmato da una catena di decisioni istituzionali ordinarie. L'aereo era programmato come volo Air France 447, operato sulla rotta Rio–Parigi con il tipo di regolarità che rendeva facile dimenticare quante mani avessero toccato il suo passaggio. La manutenzione era stata eseguita secondo i sistemi della compagnia aerea e del produttore, costruiti attorno alla documentazione, agli intervalli di ispezione e alla supervisione dell'idoneità al volo. Sullo sfondo più ampio si trovava la rete di regolatori che rendeva possibili tali traversate: procedure di Air France, assunzioni di progettazione di Airbus e il quadro di certificazione europea e internazionale. Il passeggero non vede mai quell'architettura, ma è il ponteggio nascosto di ogni volo notturno.
A bordo c'erano famiglie che tornavano a casa, viaggiatori d'affari, personale di compagnia aerea e bambini. L'equipaggio di cabina avrebbe trascorso le prime ore del volo servendo pasti e sistemando i passeggeri nel lungo tratto buio sopra l'oceano. In cockpit, il capitano, Marc Dubois, aveva l'esperienza e l'autorità su cui le compagnie aeree facevano affidamento quando la routine finiva e iniziava il giudizio. La coppia di primi ufficiali rifletteva una struttura comune per i voli a lungo raggio: un pilota a riposo, l'altro in volo, con l'automazione che svolgeva gran parte del lavoro. Nulla in quel sistema, di per sé, sembrava insolito. Infatti, questo era il punto. La sicurezza era diventata una condizione di fondo.
Le scommesse erano nascoste nella stessa normalità di tutto ciò. Un aereo moderno in crociera non è come una nave o un treno che può fermarsi e riorientarsi. Vola in un sottile margine di atmosfera, a migliaia di metri sopra il mare, muovendosi ad alta velocità attraverso un sistema meteorologico che può crescere rapidamente attorno a esso. La traversata dell'Atlantico significava anche lunghi tratti oltre le opzioni di deviazione immediata, quindi l'affidabilità degli strumenti e delle procedure contava ancora di più. In un tale contesto, la differenza tra un avviso di routine e un fallimento a cascata può essere questione di attimi. Il sistema è costruito per assorbire problemi isolati; diventa molto più fragile quando il problema è la perdita di un'immagine fidata dell'aeromobile stesso.
Un fatto sorprendente, a posteriori, è quanto potesse essere stretto il margine in una macchina che trasportava così tante persone a tale velocità. A un'altitudine di crociera, un aereo a fusoliera larga viaggia più veloce di un proiettile di fucile e lo fa con tolleranze aerodinamiche che lasciano poco spazio per la confusione. Se i dati atmosferici diventano inaffidabili, l'aeromobile potrebbe non diventare immediatamente incontrollabile, ma l'immagine della realtà dell'equipaggio può frammentarsi in pochi secondi. Quella vulnerabilità latente esisteva da anni, per lo più nascosta dal successo del sistema che la circondava.
Il tempo davanti aggiungeva un ulteriore strato di pericolo che sarebbe stato rilevante più tardi, anche se non ancora per i passeggeri che si sistemavano nella cabina. Sull'Atlantico tropicale, la zona di convergenza intertropicale può generare tempeste convettive imponenti, con pareti verticali di nuvole e intensa turbolenza attorno a esse. La meteorologia non aveva reso la rotta impossibile, solo esigente. Nella lingua ordinaria delle operazioni aeree, quelle tempeste erano qualcosa da aggirare, non un motivo per temere l'intera traversata. Ma la stessa prevedibilità della rotta poteva offuscare quanto poco margine rimanesse quando diversi fattori rari arrivavano insieme.
Verso l'1:30 di mattina, mentre l'aeromobile si muoveva nella profonda notte sopra l'Atlantico, il tempo davanti mostrava già il tipo di convezione imponente che sarebbe stata rilevante più tardi. Ma all'interno della cabina, il viaggio sembrava ancora convenzionale: un volo a lungo raggio in progresso verso l'Europa, il tipo di movimento tra continenti che era diventato una delle promesse civilizzatrici dell'era del jet. Il primo segno che quella promessa stava per fallire non era il fuoco o l'impatto. Era più piccolo, più silenzioso e facile da perdere: un avviso nell'oscurità che i dati di velocità aerea dell'aeromobile non erano più concordi. Quello era l'istante prima che la catena iniziasse a stringersi.
Molto prima che il disastro diventasse un documento processuale e un fascicolo investigativo, il mondo prima di esso era definito dalla fiducia. Fiducia nell'automazione di Airbus. Fiducia nelle sonde pitot che si erano comportate abbastanza bene per la maggior parte del tempo. Fiducia nelle procedure che assumevano che il cockpit sarebbe rimasto un luogo stabile per la diagnosi e l'azione. Fiducia in una rotta che aveva trasportato milioni attraverso l'oceano senza drammi pubblici. L'importanza del volo 447 risiede in parte in quanto ordinaria fosse diventata quella fiducia. Era incorporata nell'architettura dell'aviazione moderna e rinforzata da ogni arrivo senza eventi a Parigi.
Negli anni precedenti all'incidente, l'industria aerea aveva costruito un sistema altamente disciplinato attorno all'aspettativa che i fallimenti rari sarebbero rimasti rari. Le regole di invio, la formazione dell'equipaggio e la certificazione degli aeromobili creavano una difesa stratificata contro la catastrofe. Eppure, quelle difese dipendevano da un presupposto cruciale: che l'equipaggio avesse sempre abbastanza informazioni affidabili per rimanere avanti rispetto agli eventi. In quella notte, quel presupposto stava per essere messo alla prova sopra acque vuote, lontano dalla terra, in un punto del volo in cui i passeggeri dormivano e l'aeroplano sembrava più sicuro.
Il mondo prima del volo 447 non era un mondo di negligenza. Era un mondo di competenza, regolamentazione e routine che aveva avuto così tanto successo che le sue vulnerabilità erano facili da trascurare. L'Airbus A330-203 lasciò Rio de Janeiro per quel mondo con tutta la fiducia dell'epoca che rappresentava. Ciò che seguì avrebbe esposto il costo nascosto di credere che l'automazione, l'esperienza e la procedura avessero reso i cieli non solo più sicuri, ma abbastanza sicuri da smettere di preoccuparsi.