Come funziona l'accesso alla cabina di pilotaggio di un aereo di linea

Il volo flydubai FZ1073, partito da Dubai e diretto a Tel Aviv, è atterrato il 30 settembre a Tabuk, in Arabia Saudita, dopo un allarme che per un certo tempo ha fatto temere un dirottamento. Secondo Euronews, che riporta le parole di due funzionari rimasti anonimi e i resoconti dei media israeliani, all'origine ci sarebbe stata una lite tra i due piloti in cabina. La compagnia ha confermato un incidente e l'atterraggio in sicurezza, mentre le cause non sono state chiarite e l'episodio è ancora oggetto di indagine.

La vicenda porta l'attenzione su un oggetto che i passeggeri non vedono mai aprirsi. La porta della cabina di pilotaggio resta chiusa e bloccata per la quasi totalità del volo, e chi viaggia si chiede di rado chi possa aprirla, con quale procedura e che cosa accada quando il problema si trova proprio dietro quella porta. Sul volo FZ1073 mancano ancora dati verificati, quindi il testo che segue si occupa del meccanismo. Le fonti sono le norme di certificazione, i regolamenti operativi e il rapporto finale con cui il BEA francese ha chiuso l'inchiesta sull'incidente Germanwings, dove il sistema di accesso è descritto in modo insolitamente minuzioso.

Punti chiave

• L'articolo 25.795 del 14 CFR chiede a porta e paratie della cabina di pilotaggio di resistere a urti da 300 joule e a un carico di trazione di 1.113 newton sulla maniglia, oltre a un livello di protezione dai proiettili equivalente al IIIa dello standard NIJ 0101.04.

• L'articolo 121.587 impone porta chiusa e bloccata in ogni momento in cui l'aereo è in esercizio, con eccezione per le persone autorizzate e solo con procedure approvate dalla FAA.

• Nel sistema descritto dal BEA per l'A320 il codice di emergenza fa suonare il cicalino per quindici secondi e poi sblocca la porta per cinque secondi, ma un comando dei piloti dall'interno prevale.

• Sul volo Germanwings 4U9525 la porta è rimasta bloccata nonostante richieste da tastiera e citofono, e nessuna delle raccomandazioni del BEA riguarda la costruzione della porta.

• Dopo il SIB 2015-04 del 27 marzo 2015, l'EASA ha sostituito nel 2016 la regola dei due in cabina con una valutazione del rischio affidata a ogni operatore.

• La FAA ha introdotto una barriera fisica secondaria per gli aerei costruiti dopo il 25 agosto 2025 che devono avere una porta di separazione, con l'obiettivo di proteggere la cabina ogni volta che la porta viene aperta.

Una porta nata dalle norme del 2002

Le porte blindate delle cabine di pilotaggio hanno una data di nascita. Dopo gli attacchi dell'11 settembre 2001 la Federal Aviation Administration adottò a gennaio 2002 nuovi standard, aggiungendo l'articolo 25.795 al titolo 14 del Code of Federal Regulations e modificando l'articolo 121.313. Il 15 gennaio 2002 fu pubblicato anche l'articolo 121.587, che disciplina l'uso della porta durante le operazioni.

Il testo del 121.587 è breve. Il comandante di un aereo con passeggeri e con porta bloccabile deve garantire che la porta tra cabina di pilotaggio e cabina passeggeri sia chiusa e bloccata in ogni momento in cui il velivolo è in esercizio. L'eccezione riguarda l'ingresso e l'uscita delle persone autorizzate, e vale solo se l'operatore rispetta procedure approvate dalla FAA per aprire, chiudere e bloccare la porta. Ogni apertura è dunque un evento previsto, regolato e ridotto al minimo indispensabile.

In Europa il riferimento è la specifica di certificazione CS 25.795 dell'EASA, che fissa valori di resistenza analoghi, insieme al regolamento (UE) 965/2012. Quest'ultimo tratta la sicurezza della cabina alla norma ORO.SEC.100 e le persone autorizzate a entrarvi alla norma CAT.GEN.MPA.135, come richiamano i bollettini dell'EASA citati più avanti.

Quanto deve resistere la porta

I numeri stanno nel testo dell'articolo 25.795. La porta, le paratie e ogni altro confine accessibile tra cabina di pilotaggio e aree occupate devono resistere all'intrusione forzata e sopportare urti da 300 joule, un'energia paragonabile a quella di un corpo di dieci chilogrammi lanciato a poco meno di otto metri al secondo. Devono anche reggere un carico di trazione costante di 250 libbre, pari a 1.113 newton, applicato alle prese accessibili, maniglia compresa. Corrisponde al peso di un corpo di circa 113 chili appeso alla maniglia.

Un terzo requisito riguarda le armi. Per la norma americana il confine della cabina deve resistere alla penetrazione di armi leggere e frammenti a un livello equivalente al IIIa dello standard NIJ 0101.04, mentre la specifica europea indica tra i proiettili di prova un 9 mm a camicia metallica e punta tonda da 8,0 grammi. Entrambe le regole si applicano quando le norme operative richiedono una porta protetta.

Il BEA descrive la porta dell'A320 coinvolto nell'incidente Germanwings come un pannello sandwich in composito, con fogli esterni in tessuto preimpregnato su un'anima a nido d'ape. Sono i fogli esterni a garantire la resistenza ai proiettili. Tre elettroserrature bloccano la porta appena si chiude, mentre una maniglia rotante consente di sbloccarla a mano dall'interno della cabina di pilotaggio. La porta si apre verso l'interno, quindi chi sta fuori può soltanto spingerla.

Come si chiede di entrare

La descrizione più dettagliata di un sistema in servizio compare nel rapporto finale del BEA sull'incidente del volo Germanwings 4U9525, pubblicato il 13 marzo 2016. I dati vengono da Airbus e Germanwings e riguardano l'A320 immatricolato D-AIPX. Il rapporto precisa che i parametri del sistema possono essere impostati da ogni compagnia e per ogni velivolo, quindi tempi e logiche di un altro operatore o di un altro modello possono differire da quelli riportati qui.

Il sistema di blocco comprende una tastiera a dodici tasti (le cifre da 0 a 9, l'asterisco e il cancelletto) montata sul lato del pannello di comando usato dagli assistenti di volo, un interruttore a tre posizioni sul piedistallo centrale della cabina di pilotaggio, una centralina sul pannello superiore e un cicalino. Davanti ai sidestick due schermi a sfioramento mostrano le immagini di tre telecamere, puntate sull'area della porta e sulle due porte passeggeri anteriori. Ogni pilota sceglie quale telecamera visualizzare sul proprio schermo.

La richiesta ordinaria

Chi vuole entrare digita il codice normale sulla tastiera. In cabina di pilotaggio il cicalino suona per un secondo e i piloti guardano sullo schermo chi si trova alla porta. Se portano l'interruttore in posizione di sblocco e lo tengono lì, la porta si sblocca, sulla tastiera si accende un LED verde e basta spingerla per aprirla, mentre un magnete la trattiene aperta. Se nessuno tocca l'interruttore, la porta resta bloccata, nessun LED si accende e il cicalino tace dopo un secondo.

Un esempio dai registratori dà l'ordine di grandezza dei tempi. Sul volo da Düsseldorf a Barcellona, effettuato poco prima dallo stesso equipaggio, il registratore vocale annotò il cicalino alle 7 h 24 min 15 s (UTC) e, alle 7 h 24 min 29 s, i rumori dello sblocco e dell'apertura al rientro del comandante. Passarono quattordici secondi. Il citofono di bordo offre un secondo canale, perché il tasto CAPT fa lampeggiare i pannelli audio e suonare per tre secondi il richiamo di cabina, che è inibito nelle fasi di decollo e atterraggio.

Il blocco volontario

L'interruttore ha anche una posizione di blocco. Se i piloti la selezionano, la porta resta bloccata, un LED rosso sulla tastiera segnala che il blocco è volontario e ogni interazione con la tastiera viene disabilitata per cinque minuti. Una nuova selezione del blocco fa ripartire i cinque minuti. In qualunque momento chi si trova in cabina può annullare il blocco portando l'interruttore su sblocco, e la porta si apre subito. Il rapporto annota che la posizione di blocco prevale e azzera qualsiasi selezione precedente.

Il codice di emergenza

Esiste poi un codice di emergenza, pensato per il caso in cui l'equipaggio di condotta risulti incapacitato. Composto sulla tastiera, fa suonare il cicalino in modo continuo per quindici secondi e lampeggiare il LED verde. Se in quel tempo nessuno risponde, la porta si sblocca per cinque secondi e poi si richiude da sola. Se i piloti agiscono sull'interruttore durante i quindici secondi, il cicalino tace e il sistema esegue il comando scelto, di sblocco o di blocco. Secondo il rapporto, la pratica dell'operatore prevedeva di provare prima il codice normale e solo dopo quello di emergenza.

Che cosa prevede la certificazione per i casi limite

Le specifiche CS-25 dell'EASA, nelle Easy Access Rules, fissano tre requisiti per gli aerei con una porta bloccabile tra cabina di pilotaggio e cabina passeggeri. Con venti posti o più, la configurazione delle uscite di emergenza deve evitare che equipaggio e passeggeri debbano attraversare la porta della cabina di pilotaggio per raggiungerle. I piloti devono avere un mezzo per passare direttamente nella cabina passeggeri se la porta si incastra. Deve infine esistere un mezzo di emergenza che permetta a un membro dell'equipaggio di entrare in cabina di pilotaggio se i piloti sono incapacitati. Al sospetto di incapacitazione dei piloti il rapporto BEA collega proprio il codice di emergenza.

Il limite emerso con Germanwings

Il 24 marzo 2015 il volo Germanwings 4U9525, da Barcellona a Düsseldorf, si schiantò sulle Alpi francesi con 150 persone a bordo, tra passeggeri ed equipaggio. Secondo il BEA il copilota attese di restare solo in cabina, modificò le impostazioni del pilota automatico per far scendere l'aereo e tenne la porta bloccata durante la discesa, nonostante le richieste di accesso dalla tastiera e dal citofono di cabina. Il rapporto osserva che i requisiti di sicurezza da cui derivano le porte progettate per resistere all'intrusione di persone non autorizzate hanno reso impossibile entrare prima dell'impatto.

Le registrazioni danno un'idea della sequenza. Il registratore vocale annotò una richiesta di accesso poco più di quattro minuti dopo l'uscita del comandante, che il BEA ritiene con ogni probabilità una richiesta ordinaria, poi quattro chiamate dal citofono di cabina, sei volte rumori simili a colpi alla porta e cinque volte colpi violenti. La logica del sistema descritto sopra dà a chi sta dentro l'ultima parola. La posizione di blocco disabilita la tastiera per cinque minuti e il codice di emergenza cede il passo a qualunque comando dato dall'interno nei quindici secondi di attesa.

Le undici raccomandazioni di sicurezza del BEA riguardano altro. Sono indirizzate a OMS, IATA, Commissione europea, EASA, ministero dei trasporti tedesco e associazione dei medici tedeschi, e toccano la valutazione medica dei piloti con problemi di salute mentale, l'analisi degli episodi di incapacitazione in volo, le conseguenze della perdita della licenza, l'uso di antidepressivi, il rapporto tra riservatezza medica e sicurezza pubblica e i programmi di sostegno tra colleghi. Nessuno dei sei ambiti elencati riguarda la costruzione della porta, e sul versante clinico il tema si intreccia con la valutazione dell'idoneità psicofisica dei piloti.

La regola dei due in cabina

Tre giorni dopo l'incidente, il 27 marzo 2015, l'EASA emise il bollettino SIB 2015-04. Raccomandava agli operatori di rivalutare i rischi e di introdurre procedure che prevedessero almeno due persone autorizzate nella cabina di pilotaggio in ogni momento, oppure misure equivalenti, con l'avvertenza di valutare e mitigare i rischi aggiuntivi che una simile procedura poteva creare. Il rapporto del gruppo di lavoro guidato dall'EASA, presentato alla Commissione europea il 16 luglio 2015, consigliò di mantenere la regola e di valutarne i benefici, e l'Agenzia lanciò un sondaggio con scadenza all'11 marzo 2016 per misurarne l'efficacia.

Il risultato fu una revisione. Come spiega la pagina dell'EASA sul bollettino SIB 2016-09, il nuovo testo tiene conto dell'esperienza operativa maturata dopo la raccomandazione del marzo 2015 e adotta un approccio basato sul rischio. L'operatore effettua prima una valutazione e, in base all'esito, può decidere di mantenere la regola dei due come una delle misure possibili. Tra gli elementi da considerare l'EASA indica la selezione psicologica e di sicurezza dell'equipaggio di condotta, la stabilità dell'impiego e il tasso di ricambio del personale, l'accesso ai programmi di sostegno e la capacità del sistema di gestione di mitigare i rischi psicologici e sociali.

Le barriere secondarie

Un altro punto delicato è il momento in cui la porta si apre, anche solo per il tempo di far passare qualcuno. Nel 2007 la FAA aveva promulgato requisiti per la sicurezza della cabina quando la porta viene aperta, e nel 2011 l'RTCA aveva prodotto il documento DO-329 sulle barriere secondarie e sulle procedure alternative. Con gli emendamenti 25-150 e 121-389 la FAA ha reso obbligatoria la barriera fisica secondaria installata, nota con la sigla IPSB, sugli aerei costruiti dopo il 25 agosto 2025 che devono avere una porta tra cabina di pilotaggio e cabina passeggeri o area di riposo dell'equipaggio.

La funzione dell'IPSB è resistere all'intrusione ogni volta che la porta della cabina viene aperta. La circolare FAA AC 25.795-10 indica un mezzo accettabile di conformità e chiarisce che la barriera può restare stivata. Per questo la conformità ad altri requisiti, come i carichi di pressurizzazione e l'evacuazione di emergenza, può essere dimostrata considerando le sole configurazioni con la barriera stivata.

Quando il problema sta dentro la cabina

Tutte queste barriere lavorano contro una minaccia che arriva dall'esterno. Una porta progettata per non cedere a chi spinge non distingue chi bussa con cattive intenzioni da chi bussa per soccorrere, e non ha alcun modo di intervenire su ciò che accade tra due persone già chiuse dentro. Il presidio in quel caso è l'equipaggio, con le sue procedure e con la disciplina su chi apre a chi.

I conflitti tra piloti che degenerano sono rari. Euronews ricorda che nel 2022 due piloti di Air France furono sospesi dopo una lite in cabina su un volo da Ginevra a Parigi, che non fu deviato e atterrò regolarmente. Sul volo flydubai FZ1073 le fonti consultate non riportano dettagli verificati su come sia stata gestita la porta della cabina, e la risposta dovrà venire dall'inchiesta. Il volo aveva trasmesso un segnale di emergenza, secondo i dati di tracciamento pubblici citati da Euronews, e il significato dei codici transponder di emergenza è uno dei modi con cui i controllori del traffico aereo leggono una situazione a bordo.

Due dettagli del progetto descritto dal BEA riassumono la filosofia del sistema. Se il sistema perde l'alimentazione elettrica, la porta si sblocca ma resta chiusa, e la scelta ricade sull'accesso e non sul blocco. Sul pannello inferiore, poi, si trova una botola prefratturata che si apre solo dalla cabina di pilotaggio, nel senso opposto a quello della porta, e serve a uscire quando la porta è bloccata o incastrata.

Domande frequenti

Come si apre la porta della cabina di pilotaggio di un aereo di linea?

Dall'esterno si digita un codice sulla tastiera vicino al pannello degli assistenti di volo, e in cabina suona un cicalino. I piloti controllano le telecamere e, se decidono di aprire, tengono l'interruttore su sblocco, così la porta si sblocca e va spinta. Nel sistema descritto dal BEA per un A320, senza quel comando la porta resta bloccata.

Chi può entrare nella cabina di pilotaggio durante il volo?

Solo le persone autorizzate. Negli Stati Uniti l'articolo 121.587 del 14 CFR impone porta chiusa e bloccata durante le operazioni, con eccezione per l'accesso delle persone autorizzate e con procedure approvate dalla FAA. In Europa le persone autorizzate sono richiamate dalla norma CAT.GEN.MPA.135, citata nei bollettini EASA sulla presenza in cabina di pilotaggio.

Cosa succede se si digita il codice di emergenza della cabina di pilotaggio?

Nel sistema descritto dal BEA per l'A320 il cicalino suona in modo continuo per quindici secondi in cabina. Se nessuno risponde, la porta si sblocca per cinque secondi e poi si richiude. Se i piloti agiscono sull'interruttore durante quei quindici secondi, il sistema esegue il comando scelto, di sblocco o di blocco. Tempi e logiche possono variare tra compagnie.

Un pilota può impedire l'apertura della porta della cabina anche con il codice di emergenza?

Nel sistema descritto dal BEA la posizione di blocco prevale su ogni selezione precedente e disabilita la tastiera per cinque minuti, mentre durante i quindici secondi del codice di emergenza il sistema segue il comando dato dall'interno. Chi si trova in cabina ha quindi l'ultima parola, un limite che l'incidente Germanwings ha reso evidente.

Che cos'è la regola dei due in cabina di pilotaggio?

È la raccomandazione, contenuta nel bollettino EASA SIB 2015-04 del 27 marzo 2015, di avere almeno due persone autorizzate nella cabina in ogni momento. Nel 2016 il bollettino SIB 2016-09 l'ha sostituita con un approccio basato sul rischio, in cui ogni operatore valuta se mantenerla come una delle misure possibili.

Quanto è resistente la porta della cabina di pilotaggio di un aereo?

Secondo l'articolo 25.795 del 14 CFR la porta deve resistere a urti da 300 joule e a un carico di trazione costante di 1.113 newton sulla maniglia, oltre alla penetrazione di armi leggere a un livello equivalente al IIIa dello standard NIJ 0101.04. La specifica europea CS 25.795 indica requisiti analoghi.