La prima metà del volo si svolse senza drammi pubblici. Il volo Germanwings 9525 partì da Barcellona il 24 marzo 2015 e salì lungo il suo percorso pianificato verso la Germania, un passaggio di routine attraverso l'Europa meridionale che, in superficie, somigliava a migliaia di altri voli europei a corto raggio. Il tempo sopra le Alpi non presentava il tipo di minaccia ovvia che in seguito venne a dominare mappe, cronologie e prime pagine. Nulla nel cielo visibile segnalava che il disastro si stava già formando all'interno dell'aeromobile stesso. Ciò che cambiò per primo non fu il tempo, ma l'atmosfera nella cabina di pilotaggio, e le prove di ciò vennero in seguito dal registratore di volo dell'aeromobile piuttosto che da testimoni a terra.
Alle 10:30 ora locale, secondo il Bureau d’Enquêtes et d’Analyses pour la sécurité de l’aviation civile francese, il BEA, il capitano lasciò la cabina di pilotaggio per una breve pausa. Quel gesto ordinario divenne il cardine del disastro. Sotto le procedure allora in vigore, un altro membro dell'equipaggio entrò nella cabina di pilotaggio in modo che due persone rimanessero presenti mentre un pilota era assente. Quando quella persona se ne andò, il co-pilota rimase solo. L'aeromobile era ancora in pilota automatico, seguiva ancora il suo corso impostato, si comportava ancora in modi che sarebbero sembrati normali ai passeggeri, ai controllori del traffico aereo e all'equipaggio di cabina. Nella logica ordinaria dell'aviazione commerciale, nulla era sbagliato.
Poi il capitano tentò di tornare. La ricostruzione forense del BEA scoprì che la porta della cabina di pilotaggio era stata bloccata dall'interno e che gli input del codice di accesso dall'esterno non la aprivano. Non si trattava di un incidente meccanico, ma di un uso del sistema come progettato. La porta della cabina di pilotaggio rinforzata, introdotta nell'era post-11 settembre, era destinata a tenere fuori i dirottatori e preservare il controllo dell'aeromobile contro attacchi esterni. Le sue caratteristiche di sicurezza avevano un'assunzione incorporata: la minaccia sarebbe venuta dall'esterno. Su Germanwings 9525, la minaccia era già all'interno della cabina di pilotaggio, indossando la stessa uniforme, addestrata nelle stesse procedure e in grado di utilizzare le protezioni del sistema per negare l'accesso.
Quel dettaglio era importante perché i segnali di avvertimento, con il senno di poi, non erano nel cielo o sul radar. Erano nel frammentato documento cartaceo ed elettronico che gli investigatori assemblarono successivamente attraverso file medici, legali e tecnici. Le autorità tedesche dissero in seguito che Andreas Lubitz aveva cercato su internet porte della cabina di pilotaggio e metodi di suicidio. Quelle ricerche, documentate nell'indagine, non provarono da sole l'intento, ma si adattavano al modello che il rapporto finale avrebbe descritto. La stessa indagine scoprì anche che era stato curato da numerosi medici e che era stato ritenuto non idoneo al lavoro in alcune occasioni da medici che diagnosticarono distress psicologico. Alcuni di quei risultati medici non furono comunicati pienamente all'interno dei vincoli legali e medici dell'epoca. Il pericolo era quindi sia clinico che istituzionale: l'informazione esisteva, ma non in una forma che potesse fermarlo in modo affidabile dal volare.
Questo è ciò che rese il capitolo dei segnali di avvertimento così inquietante. Il pericolo non si presentò come un singolo allarme mancato o un'unica bandiera rossa inequivocabile. Emersero attraverso una traccia di visibilità parziale. Un pilota poteva apparire come medicalmente complesso, intermittentemente autorizzato e poi non autorizzato, mentre continuava a passare attraverso i livelli del sistema aviazione. Un medico poteva riconoscere il distress senza avere un chiaro percorso per forzare un intervento che mettesse fine alla carriera. Un regolatore poteva dipendere dalla riservatezza medica che proteggeva la privacy ma limitava l'avviso operativo. Un'azienda poteva fare affidamento sulla validità di un certificato medico già in archivio, mentre nessuno possedeva il quadro completo. Il disastro rivelò quanto l'aviazione moderna dipenda dall'assunzione che il registro nascosto e il registro operativo corrispondano.
Ci fu ancora un momento in cui il volo avrebbe potuto essere salvato se il sistema avesse assunto un malfunzionamento piuttosto che una malvagità. Il capitano tentò di rientrare; né gli input del codice di accesso né la risposta dall'interno permisero che ciò accadesse. Il personale, i controllori o un intervento in cabina non potevano cambiare la geometria sigillata di quel momento. Questo era il punto di tensione che l'industria aveva a lungo sottovalutato: una porta di sicurezza può prevenire una catastrofe e abilitare un'altra quando la persona all'interno è il pericolo. Il divario tra politica e psicologia divenne fatale in pochi minuti.
Sulle radio e sugli schermi radar, nulla annunciava ancora la piena portata della crisi. L'aeromobile rimase sotto controllo, ma nessuno al di fuori della cabina di pilotaggio poteva sapere che la discesa imminente era già diventata una decisione piuttosto che un fallimento. Gli ultimi dettagli ordinari del volo — schienali dei sedili eretti, passeggeri che leggevano, assistenti di volo che si muovevano lungo il corridoio, il ronzio dell'altitudine di crociera — erano ancora intatti nella cabina mentre la cabina di pilotaggio era diventata un territorio inaccessibile. Quel contrasto è parte di ciò che conferisce all'indagine la sua forza cupa: le vittime non venivano immediatamente travolte nel caos da un attacco esterno visibile. Erano ancora nell'architettura ordinaria dei viaggi commerciali mentre l'aeromobile iniziava a lasciare il corridoio sicuro di crociera.
L'aeromobile passò dalla routine all'emergenza nel modo più banale possibile: attraverso un cambiamento di altitudine comandato dalla persona ai comandi. Una volta che l'impostazione del pilota automatico fu modificata, l'aereo iniziò a scendere. Non ci fu un tuono, né una palla di fuoco, né un colpo esterno, né un sistema meteorologico che costringesse l'aeromobile verso il basso. Solo un aeromobile che lasciava la sua altitudine assegnata e entrava in un terreno che diventava più pericoloso con ogni secondo che passava. Il grilletto fu umano, deliberato e nascosto fino a quando il rapporto finale non lo rivelò.
Ecco perché il documento storico è così importante qui. La ricostruzione del BEA trasformò frammenti di voce, strumentazione e procedure in una sequenza di causa ed effetto. Mostrò come un volo di routine da Barcellona il 24 marzo 2015 divenne un evento di cabina di pilotaggio bloccata in cui i sistemi normali furono usati contro i passeggeri che erano destinati a proteggere. Mostrò anche come le difese stratificate dell'aviazione possano fallire quando uno strato presume che gli altri stiano funzionando da una comprensione completa della persona nella cabina di pilotaggio.
Le poste in gioco non erano solo immediate. Le prove del trattamento medico, delle ricerche su internet e delle procedure di accesso alla cabina di pilotaggio avrebbero in seguito costretto i regolatori, le compagnie aeree e i legislatori a confrontarsi con una domanda più difficile: quanto avviso è sufficiente quando l'avviso esiste in sistemi separati che non parlano completamente tra loro? In questo caso, la risposta arrivò troppo tardi. Il capitano non poté rientrare. L'aeromobile rimase in pilota automatico. La discesa continuò.
In quell'istante, il disastro smise di essere una questione di possibilità e divenne una questione di fisica. La discesa avrebbe portato il volo Germanwings 9525 nelle Alpi francesi e trasformato le montagne nell'ultimo testimone. I minuti successivi non riguardarono più l'avviso. Riguardarono l'impatto.