Jeden pilot šel na WC, druhý zkolaboval. Autopilot udržel letadlo stabilní, ale nedokázal udělat jednu věc: pustit kapitána zpět do kabiny

Na letu LH1140 z Frankfurtu do Sevilly zůstal Airbus A321 téměř deset minut bez bdělého pilota.

Zdroj fotografie: Anynobody - licence CC BY-SA 4.0

Sobota 17. února 2024, cestovní hladina nad severním Španělskem. V 10:31:30 UTC se za kapitánem zavřely dveře pilotní kabiny, protože si odskočil na toaletu. O šestatřicet sekund později začal jeho kolega na pravém sedadle kolabovat. Na palubě letounu s imatrikulací D-AISO sedělo 199 cestujících a šest členů posádky a nikdo z nich netušil, že stroj v tu chvíli neřídí žádný člověk při vědomí. Kapitán se do kokpitu vrátil až v 10:42:04. Podle závěrečné zprávy španělských vyšetřovatelů CIAIAC tedy dopravní letadlo zhruba deset minut letělo se zapnutým autopilotem, ale bez jakéhokoli dalšího dohledu pilota. Jak se to mohlo stát a proč let nakonec skončil hladkým přistáním v Madridu, popisuje zpráva s přesností na sekundy.

Deset minut nad Španělskem: časová osa letu LH1140 po sekundách

Dokument CIAIAC k incidentu IN-001/2024, schválený 27. listopadu 2024, umožňuje celou událost poskládat téměř jako filmový scénář:

Čas (UTC)	Co se dělo
10:31:30	Kapitán opouští kokpit, dveře se zavírají
10:32:06	Druhý pilot začíná kolabovat
10:32:06 až 10:32:52	Mimovolné zásahy do řízení a přepínačů
10:39:27	Kapitán se poprvé pokouší vstoupit standardním kódem
10:41:52	Kapitán zadává nouzový kód
10:42:04	Kapitán je zpět na svém místě

Z tabulky vyplývá několik údajů, které stojí za přepočet. Mimo kabinu strávil kapitán 10 minut a 34 sekund. Jeho kolega byl mimo hru 9 minut a 58 sekund. Při běžné cestovní rychlosti A321 kolem 830 km/h to odpovídá přibližně 140 kilometrům letu, tedy zhruba vzdálenosti z Prahy do Jihlavy. Nejvíc napětí ovšem skrývají poslední dvě a půl minuty. Od prvního zazvonění u dveří po vstup uběhlo 157 sekund, během nichž stál zkušený pilot na opačné straně pancéřované přepážky a nemohl nic dělat.

Diagnózu vyšetřovatelé popsali jako náhlou a těžkou neschopnost výkonu služby způsobenou záchvatovou poruchou, tedy projev neurologického onemocnění, které dosud nikdo neodhalil. Pilot přitom držel platné zdravotní osvědčení první třídy bez jakýchkoli omezení. Později uvedl, že si pamatuje přelet nad Zaragozou a pak až chvíli, kdy se o něj starali palubní průvodčí a lékař, který náhodou cestoval jako pasažér.

Autopilot a automat tahu ustály i nechtěný zásah do pedálu

Prvních 46 sekund záchvatu bylo z technického pohledu nejriskantnějších. Druhý pilot v křeči mimovolně vypnul jeden z počítačů řízení letu, označovaný SEC 3. Pravý pedál směrového kormidla zatlačil silou až 488 newtonů, což zhruba odpovídá tíze padesátikilového závaží. K tomu přepnul režim meteoradaru a zapnul poslech identifikace radiomajáku VOR BAN.

Autopilot si poradil se vším. Zásah do pedálu vyvolal náklon o 5 stupňů a odchylku kurzu o 2 stupně, systém obojí srovnal a letoun pokračoval po plánované trati ve stejné hladině. Automat tahu (autothrust) mezitím hlídal tah motorů a rychlost.

Právě tady vidíme jádro celého incidentu. Vyšetřovatelé analyzovali i jiné případy náhlé neschopnosti pilotů a ve dvou ze tří podobných událostí se autopilot po nechtěných zásazích odpojil. Tam ovšem seděl vedle postiženého kolega, který okamžitě převzal řízení. Na palubě LH1140 takový kolega nebyl. Podle nás se dá klíčové štěstí tohoto letu shrnout jedinou větou: mimovolné pohyby nepřekročily limity, při kterých by se automatika vzdala a předala vládu nad letadlem pilotovi v bezvědomí.

Bezpečnostní dveře kokpitu: pojistka, která zdržela vlastního kapitána

Dveře pilotní kabiny se po roce 2001 proměnily v pevnost. Za letu zůstávají zavřené a zamčené. Zvenčí se dá použít buď standardní kód, který uvnitř spustí zvukový signál a čeká na reakci posádky, nebo kód nouzový. Ten aktivuje časovač a po uplynutí prodlevy se dveře odemknou samy, pokud je pilot uvnitř nezablokuje přepínačem „LOCK“.

Systém tedy počítá s člověkem za dveřmi, který reaguje. Na LH1140 ale nikdo nereagoval. Kapitán zkoušel standardní postup celkem pětkrát, palubní průvodčí se pokoušeli spojit s kokpitem přes interkom a teprve pak přišel na řadu nouzový kód. Ještě než časovač doběhl, druhý pilot se částečně probral a dveře otevřel zevnitř ručně.

Paradox je zřejmý. Zařízení navržené k tomu, aby do kokpitu nevnikl nikdo nepovolaný, na několik minut zdrželo jediného člověka, který mohl letadlo zachránit. Kapitán pak převzal řízení, vyhlásil nouzi a odklonil let na madridské letiště Barajas. Všech 205 lidí vystoupilo bez zranění.

Autopilot, automatické přistání a Garmin Autoland: tři úrovně automatiky

Když se o incidentu psalo, často se mísily pojmy. Přitom jde o tři odlišné technologie.

• Běžný autopilot dopravního Airbusu drží výšku, kurz a trať. Spolu s automatem tahu řídí tah a rychlost. Sám ale nevybere letiště, nevyhlásí nouzi, nepromluví s řídícími letového provozu a dveře neotevře. Na LH1140 udělal přesně to, k čemu je určen: získal čas.
• Klasické automatické přistání (autoland) umí dopravní letadlo dovést až na dráhu, typicky za mlhy při přiblížení podle systému ILS. Airbus uvádí, že k automatickému přistání jsou certifikované všechny jeho typy od A300 po A380. Podle magazínu Airbus Safety First zaznamenal jeden evropský dopravce za tři roky 725 automatických přistání, z nichž pět neproběhlo zcela hladce, i když bez vážných následků. Technická úspěšnost tedy činila 99,3 %. Postup ale spouští a hlídá posádka.
• Garmin Autoland je nouzový pomocník pro menší letouny a business jety. Po aktivaci sám vybere vhodné letiště, vyhne se terénu i špatnému počasí, ohlásí situaci řídícím letového provozu, provede přiblížení, vysune podvozek, přistane, zabrzdí a u některých instalací vypne motor. Podle tiskové zprávy Garminu z října 2026 ho má už přes 2 500 letadel na více než 15 certifikovaných typech, včetně HondaJetu Elite II a Embraeru Phenom 300EV.

Ostrou premiéru v reálné nouzi zažil systém 20. prosince 2025 v Coloradu, kde po ztrátě přetlaku dovedl letoun King Air až na zem. Provozovatel později upřesnil, že piloti s nasazenými kyslíkovými maskami nechali systém pracovat záměrně. Velkým dopravním letadlům podobná funkce chybí. Podle magazínu Aerospace America zvládnou přistát bez zásahu pilota, nemají však mechanismus, který by se automaticky aktivoval, když posádka selže. Regulátoři u nich spoléhají především na přítomnost dvou pilotů.

Jak dopadne let, kde automatika jen udržuje kurz a nikdo se k řízení nevrátí, ukazuje Learjet 35 golfisty Payna Stewarta z 25. října 1999. Posádka podle amerického úřadu pro bezpečnost dopravy NTSB ztratila schopnost jednat kvůli nedostatku kyslíku. Letoun pokračoval dál, dokud mu nedošlo palivo, a všech šest lidí na palubě zahynulo. Riziko opačného extrému připomíná australský úřad ATSB: u Sydney v září 2025 klesal nákladní Boeing 767 při cvičném automatickém přiblížení pod sestupovou rovinu kvůli rušení signálu. Automatika potřebuje dohled.

Dva lidé v kokpitu: co po incidentu Lufthansy doporučila EASA

Evropská pravidla dosud dovolují jednomu pilotovi během cestovní fáze odejít z provozních nebo fyziologických důvodů, pokud u řízení zůstane kvalifikovaný kolega. Platí to pro všechny evropské dopravce, a tedy i pro lety z Prahy a do Prahy, kde pravidelně létají Airbusy A321 například u Wizz Airu nebo Turkish Airlines. Konkrétní typ zámku se mezi společnostmi liší, princip zabezpečených dveří zůstává srovnatelný.

CIAIAC doporučila, aby EASA vyzvala dopravce k novému posouzení rizik situace, kdy v kokpitu sedí jediný pilot. Agentura 18. května 2026 vydala revidovaný bulletin SIB 2016-09R1. Jako preferovaný postup v něm uvádí přítomnost alespoň dvou oprávněných osob v pilotní kabině po celou dobu letu. Incident Lufthansy z roku 2024 zmiňuje vedle případů Transavie z roku 2012, LAM Mozambique z roku 2013 a Germanwings z roku 2015. Jde však o doporučení, nikoli o závaznou směrnici.