I segnali di avvertimento iniziarono prima che l'aereo lasciasse mai il suolo, nel lavoro poco glamour attorno al vano cargo. Sulla pista di Parigi Orly, i bagagli e le merci dovevano essere caricati, la porta posteriore del cargo chiusa e il sistema di bloccaggio portato nella condizione che gli strumenti della cabina avrebbero poi assunto come sicura. Il pericolo risiedeva in una discrepanza tra apparenza e realtà: la porta poteva sembrare sicura mentre i perni di bloccaggio non si erano completamente inseriti. Questa possibilità era già stata identificata nella storia operativa iniziale del DC-10, ed era il tipo di vulnerabilità meccanica che vive o muore per disciplina procedurale.
Questo non era un mistero scoperto solo dopo il disastro. Il design aveva già generato preoccupazione nei circoli tecnici e all'interno dell'industria. La caratteristica più preoccupante era che il meccanismo della porta cargo poteva essere maneggiato in modo tale da lasciare l'aereo vulnerabile senza produrre un allarme immediato e inequivocabile. In un ambiente in cui i tempi di turnaround degli aerei sono misurati in minuti, la tentazione è sempre quella di fare affidamento sugli indicatori, non sulla verifica fisica. Il sistema di avviso della porta poteva essere eluso da assunzioni. Questo è il tipo di modalità di guasto più pericolosa: quella che consente alla fiducia di sopravvivere dove la certezza è assente.
Quando il volo Turkish Airlines 981 fu preparato per la partenza il 3 marzo 1974, il pericolo era diventato un fatto operativo piuttosto che teorico. L'aereo, un McDonnell Douglas DC-10-10, era uno dei più recenti aerei di linea a fusoliera larga in servizio. Trasportava passeggeri su un programma internazionale di routine da Parigi a Londra-Heathrow, con una sosta a Istanbul come parte del suo percorso più ampio. Nulla della scena a Orly suggeriva catastrofe alle persone che si occupavano dei bagagli, controllavano la documentazione o guidavano l'aereo attraverso le procedure di partenza. Eppure, la stessa ordinarietà del momento nascondeva le straordinarie scommesse incorporate nel design.
La porta posteriore del cargo sul DC-10 non era semplicemente un pannello sigillato. Faceva parte di un sistema la cui integrità dipendeva dal corretto funzionamento e dalla corretta conferma. Se la porta non era correttamente bloccata, l'equipaggio di cabina e gli indicatori della cabina potevano comunque presentare un senso di normalità a meno che il meccanismo sottostante non si fosse realmente attivato. Questa era la debolezza nascosta: l'aereo poteva sembrare pronto mentre rimaneva pericolosamente incompleto. Per un jet di trasporto, non è un difetto minore. È una trappola costruita nell'interfaccia tra manutenzione e volo.
Questo non era un problema sconosciuto al produttore o ai regolatori. La preoccupazione era già emersa nella storia iniziale dell'aereo, e i fatti erano abbastanza gravi da collocare la questione all'interno della più ampia discussione tecnica sul record di sicurezza del DC-10. La Federal Aviation Administration era stata coinvolta nella revisione continua della certificazione e dei sistemi dell'aereo dopo le preoccupazioni precedenti riguardanti la porta cargo. La vulnerabilità esisteva in un mondo di documenti, ispezioni, disegni ingegneristici, procedure di servizio e supervisione normativa. Non attendeva in silenzio. Era già su carta. Eppure la carta non impedisce a una porta di essere mal bloccata.
Quella lacuna tra avvertimento e correzione è dove la storia del volo 981 diventa particolarmente preoccupante. Un difetto noto può rimanere in circolazione quando le procedure non sono sufficienti, quando le pratiche di manutenzione non sono eseguite perfettamente, o quando un sistema fa troppo affidamento sull'aspettativa che ogni persona nella catena faccia la cosa giusta ogni volta. Nell'aviazione, la certezza è costruita da strati. Rimuovi uno strato, e un altro dovrebbe catturare il guasto. Ma il pericolo della porta cargo del DC-10 era notevole perché poteva sfuggire a più di uno strato contemporaneamente.
La parte più pericolosa del rischio non era che l'aereo potesse essere incapace di volare in sicurezza in tutte le circostanze; era che la modalità di guasto non si sarebbe necessariamente annunciata fino a quando l'aereo fosse già in volo e la cabina fosse sotto pressione. Prima del decollo, l'aereo si trova in equilibrio con il mondo esterno. Il difetto può rimanere latente, nascosto nella geometria di un gancio, nella posizione di un perno, nello stato di un circuito di avviso. Una volta che l'aereo sale, tuttavia, il differenziale di pressione cresce rapidamente. È allora che la porta posteriore deve svolgere un lavoro reale. Se non lo fa, il risultato non è una semplice perdita. È un evento di decompressione violento con il potenziale di rompere il pavimento sopra il vano cargo e disturbare i sistemi di controllo instradati sotto la cabina.
La conseguenza di quella catena ingegneristica era abbastanza grave da cambiare completamente il significato di un problema della porta cargo. Non era semplicemente una porta. Era un punto unico attraverso il quale il guasto poteva muoversi dalla pancia dell'aereo alla cabina di pilotaggio. È per questo che i segnali di avvertimento sono così importanti. Non riguardavano solo la disciplina di manutenzione sulla pista di Orly. Riguardavano se un sistema che sembrava robusto potesse, sotto una specifica combinazione di errore e pressione, diventare catastrofico.
Nelle preparazioni finali, l'aereo si muoveva attraverso la coreografia familiare dell'aviazione commerciale. I passeggeri salirono a bordo. La cabina fu messa in sicurezza. L'equipaggio completò i compiti ordinari richiesti prima della partenza. Non c'era alcuna minaccia visibile nel fusoliera, e nulla nell'atmosfera del terminal suggeriva che l'aereo stesse per diventare uno dei disastri aerei più letali nella storia dell'aviazione. Eppure, il pericolo nascosto era già a bordo, in attesa della salita. La potenza della storia risiede in quel contrasto: una partenza di routine che trasporta una vulnerabilità straordinaria.
La storia precedente dell'aereo è importante perché mostra quanto possa essere ampiamente noto un problema di design e rimanere comunque attivo. La questione era stata visibile nelle discussioni ingegneristiche e nell'attenzione normativa, ma la visibilità non è la stessa cosa di una soluzione. Un difetto può essere identificato, scritto e continuare a sopravvivere in operazione se la risposta correttiva è incompleta o ritardata. È ciò che conferisce forza ai segnali di avvertimento. Non erano il primo indizio di problemi scoperti a posteriori. Erano parte di un modello più ampio in cui la debolezza nota della fusoliera non era ancora stata completamente eliminata dalla flotta.
A Orly, il conto alla rovescia iniziò senza dramma. L'aereo accelerò lungo la pista e si sollevò nell'aria di marzo. Il vano cargo era sigillato sotto la cabina. Il sistema di pressurizzazione iniziò a fare ciò per cui era stato progettato, aumentando la forza su ogni superficie tra l'aereo e il mondo esterno. Per la porta posteriore, quell'aumento era il test decisivo. Il problema invisibile stava per incontrare l'unica condizione che non poteva sopravvivere.
Ciò che seguì rivelerebbe quanto dipendesse dal corretto ingaggio di un meccanismo che poteva apparire pronto mentre era ancora sbagliato. I sistemi dell'aereo, le assunzioni di routine e i limiti del design si stavano tutti convergendo. I segnali di avvertimento erano stati presenti nei registri, nelle procedure e nell'inquietudine tecnica che circondava il DC-10. Ma i segnali di avvertimento sono utili solo se portano a un intervento. In questo caso, non impedirono all'aereo di decollare. Segnarono semplicemente la sottile linea tra una partenza normale e l'inizio di un disastro già in attesa all'interno della macchina.