Il problema è iniziato dove spesso le crisi dell'aviazione moderna hanno inizio: non con una rottura spettacolare, ma con informazioni degradate. Nelle ore precedenti alla perdita, il volo Air France 447 stava volando in una zona di maltempo convettivo di cui l'equipaggio era stato avvisato dal servizio di controllo e che era stata visualizzata sul radar meteorologico della cabina di pilotaggio. La Zona di Convergenza Intertropicale dell'Atlantico stava producendo alti cumuli nuvolosi e tempeste incorporate, un tipo di sistema che poteva costringere un pilota a deviare bruscamente dalla rotta per evitare le celle più pericolose. Il pericolo non era che le tempeste fossero sconosciute. Era che erano abbastanza familiari da incoraggiare una gestione di routine, anche quando la routine non era più sufficiente.
Quella familiarità ordinaria era importante perché il volo era già nel lungo e tranquillo mezzo di un attraversamento notturno dell'Atlantico. L'Air France 447 partì da Rio de Janeiro il 31 maggio 2009 e, quando l'aereo entrò nel complesso meteorologico sopra l'oceano, il lavoro di volo era diventato una questione di vigilanza, disciplina strumentale e fiducia nei sistemi che normalmente rendevano le operazioni a lungo raggio quasi senza sforzo. L'aereo era un Airbus A330-203, registrazione F-GZCP, e nel resoconto dell'incidente divenne uno degli aerei di linea più esaminati della storia moderna. La sua perdita sarebbe stata successivamente ricostruita grazie al registratore vocale della cabina di pilotaggio, al registratore dei dati di volo, ai registri di manutenzione, ai materiali di invio e al rapporto finale del Bureau d’Enquêtes et d’Analyses della Francia, il BEA.
La configurazione dell'equipaggio era importante. Il capitano, Marc Dubois, aveva lasciato la cabina di pilotaggio per un periodo di riposo programmato dopo che il volo si era stabilizzato in crociera. Ai comandi c'erano due primi ufficiali, uno che gestiva l'aereo mentre l'altro monitorava e si riposava in conformità con la procedura per i voli a lungo raggio. Quella disposizione era comune, legale e normalmente priva di eventi significativi. Ma significava anche che l'aereo era, per un certo periodo, gestito da un team di cabina ridotto in una regione dove il maltempo e i sistemi potevano richiedere un giudizio rapido. Un piccolo margine aveva già iniziato a restringersi.
Le informazioni meteorologiche fornite dal servizio di controllo e dalla cabina di pilotaggio mostravano all'equipaggio che la rotta davanti non sarebbe stata benevola. La zona di convergenza intertropicale non è un'area casuale di maltempo, ma una banda persistente dove le masse d'aria si scontrano e l'attività temporalesca può svilupparsi rapidamente. L'immagine radar presentava un quadro familiare per i piloti di voli transoceanici: celle sparse, cumulonembi imponenti e abbastanza attività incorporata da richiedere una pianificazione attenta della rotta piuttosto che una penetrazione casuale. Sulla carta, la minaccia era gestibile. Nella pratica, la gestione dipendeva dalla corretta lettura della linea tra un corridoio meteorologico scomodo e una situazione che stava diventando operativamente implacabile.
Il primo segno concreto di instabilità è arrivato quando l'aereo ha incontrato cristalli di ghiaccio in quota. Le sonde pitot, che misurano la pressione dell'aria per derivare la velocità, sono state ostruite. Nella cabina di pilotaggio, l'autopilota si è disconnesso e l'autothrust ha seguito, producendo un'improvvisa transizione da crociera automatizzata a gestione manuale con indicazioni di velocità inaffidabili. Il rapporto finale del BEA ha identificato questa sequenza come l'apertura della catena di incidenti. Ciò che era stato un fastidio nell'esperienza precedente della flotta è diventato un evento molto più serio perché è avvenuto di notte, sopra l'acqua, in turbolenza e durante un passaggio di attenzione dall'automazione ai piloti umani.
Il tempismo era critico. L'evento non si è verificato alla luce del giorno sopra la terra, dove un equipaggio avrebbe potuto correlare indizi visivi esterni con i cambiamenti strumentali. È avvenuto sopra l'Atlantico meridionale, dove l'orizzonte era assente e l'oscurità al di fuori del parabrezza non poteva aiutare un equipaggio a verificare cosa stesse facendo l'aereo. La cabina di pilotaggio è stata improvvisamente ridotta a strumenti che non concordavano più tra loro. In quei primi momenti dopo la perdita della velocità aerea affidabile, l'aereo era ancora pilotabile, ma solo se l'equipaggio riusciva a identificare il problema abbastanza rapidamente da separare un guasto del sensore da una vera emergenza aerodinamica.
Quasi nello stesso momento, l'aereo ha iniziato a emettere segnali contraddittori. Gli avvisi di stallo sono apparsi e poi sono cessati, riapparendo mentre i dati di velocità fluttuavano. I piloti si sono trovati di fronte a un paradosso: l'aereo era ancora abbastanza alto e veloce nell'immaginazione dell'equipaggio da sembrare un jet in crociera normale, eppure gli strumenti stavano raccontando frammenti di una storia diversa. In tali momenti, l'addestramento del pilota diventa l'ultima linea di difesa. Ma l'addestramento è valido solo quanto le condizioni che prepara gli equipaggi a riconoscere. Secondo il BEA, l'equipaggio non ha immediatamente diagnosticato un stallo ad alta quota e ha invece effettuato input di controllo che hanno peggiorato la condizione aerodinamica.
È qui che il caso è diventato più di un fallimento tecnico ed è entrato nel regno dei limiti umani. Il registratore vocale della cabina di pilotaggio ha catturato la sequenza crescente di allarmi, e il registratore dei dati di volo ha successivamente mostrato che l'angolo di attacco e il percorso verticale dell'aereo erano diventati fatalmente disordinati. Il problema non era semplicemente che un avviso era suonato. Il problema era che l'avviso stesso era instabile, alternando mentre le informazioni del sensore fluttuavano. Quell'instabilità ha offuscato la vera natura della minaccia. Un avviso di stallo che appare e scompare può essere interpretato come un problema strumentale; un vero stallo ad alta quota, se non riconosciuto, può continuare mentre l'aereo sembra ancora "volare" nel senso ordinario. La ricostruzione del BEA ha mostrato che questo disallineamento tra percezione e realtà era centrale nell'incidente.
C'è tensione in questo tipo di fallimento perché nulla di visibile ai passeggeri assomiglia a un disastro all'inizio. Non c'è fiamma nella cabina, nessuna rottura violenta, nessun strappo drammatico della fusoliera. Invece c'è una catena di allarmi, perdita di fiducia negli strumenti e voci nella cabina di pilotaggio che esplorano possibilità mentre l'aereo continua a volare. Il pericolo risiedeva nel disallineamento tra ciò che i piloti credevano stesse facendo l'aereo e ciò che l'aereo stava effettivamente facendo. Un jet moderno può tollerare una sorprendente quantità di confusione se rimane all'interno del suo involucro; non può tollerare input di stallo sostenuti in quota quando l'equipaggio crede che l'aereo stia scendendo o superando la velocità e continua a tirare indietro.
Il rapporto finale del BEA ha chiarito che la perdita dell'aereo non era il risultato di una singola rottura catastrofica nella struttura. È stato un collasso aerodinamico e procedurale, costruito da una sequenza che è iniziata con cristalli di ghiaccio che ostruivano le sonde pitot e si è conclusa con l'aereo che rimaneva in uno stato di stallo per gran parte della discesa finale. La catena di incidenti è stata registrata nel rapporto pubblicato dopo l'indagine, e la storia tecnica è stata successivamente centrale nell'analisi legale e normativa dell'attrezzatura, dell'addestramento dell'equipaggio e delle procedure della cabina di pilotaggio. La compagnia aerea, il produttore e il sistema dell'aviazione civile francese hanno tutti affrontato domande su ciò che era stato conosciuto prima del 1° giugno 2009 e quanto di quella conoscenza fosse stato tradotto in difese operative.
Un fatto sorprendente emerso dall'indagine è quanto a lungo l'aereo sia rimasto in regime di stallo prima dell'impatto. Non si è trattato di una breve perdita di portanza corretta in pochi secondi. L'A330 è rimasto aerodinamicamente in stallo per gran parte della discesa finale, una condizione che ha eroso l'altitudine mentre i piloti lottavano con segnali e avvisi contraddittori. La macchina non era stata distrutta. Era stata, di fatto, portata in uno stato da cui non c'era recupero perché l'equipaggio non riusciva a percepirlo completamente in tempo.
Per i passeggeri, non c'era alcun resoconto pubblico di panico o confusione prima della fine; il registratore vocale della cabina ha preservato suoni di routine, poi allarmi, poi la crescente gravità della situazione nella cabina di pilotaggio. Il dramma umano, quindi, è in parte una questione di invisibilità. Il disastro avanzava in una cabina di pilotaggio buia sopra un oceano che nessuno all'interno poteva vedere. Il minuto finale normale era già passato. L'istante in cui la catastrofe colpì non fu un'esplosione singola, ma il momento in cui i piloti persero il vero stato dell'aereo. Da lì, la caduta divenne inevitabile.