Come funziona il Geofencing per la Sicurezza dei Veicoli Aerei a Pilotaggio Remoto (UAS)?

Il geofencing è una tecnologia cruciale per la sicurezza dei veicoli aerei a pilotaggio remoto (UAS), che si occupa di monitorare e controllare il volo all’interno di determinate aree geografiche, note come geofence. La domanda fondamentale che il geofencing risponde è: "Il veicolo aereo si trova all’interno o all’esterno di una zona di sicurezza?" Per rispondere a questa domanda, esistono diversi algoritmi, ognuno con le proprie caratteristiche, ma il più semplice e diffuso è quello basato sul calcolo delle intersezioni tra la traiettoria dell’UAS e una catena poligonale che rappresenta il confine del geofence.

Nel contesto di questo algoritmo, il calcolo dell’intersezione è piuttosto elementare nella geometria, poiché si tratta di determinare se il punto di intersezione tra una linea e una catena poligonale rientra all’interno del geofence. Questo algoritmo si distingue per la sua semplicità ed efficienza, in quanto consente di calcolare indipendentemente ogni punto di intersezione tra la traiettoria e le linee del geofence. Inoltre, la sua capacità di parallelizzare i calcoli su hardware come GPU o FPGA lo rende particolarmente vantaggioso per operazioni in tempo reale.

L’algoritmo presentato, oltre a essere semplice e veloce, integra anche un’importante caratteristica: il calcolo della distanza e la velocità dell’UAS, che permettono di prevedere "quanto manca" prima che il veicolo violi il confine di sicurezza. Un altro vantaggio di questo metodo è la sua flessibilità: non è limitato a catene poligonali convessi, ma può gestire anche forme più complesse, aumentando così l’adattabilità del sistema alle diverse necessità operative.

Un'estensione interessante di questa tecnologia, come descritto da Schirmer et al. (2018), è l’integrazione del rischio all’interno del geofencing. Questa estensione consente di gestire in modo dinamico la sicurezza, in particolare nelle aree a rischio elevato, come strade o città, dove la confidenza del sistema di navigazione (es. la precisione del GPS e la performance del volo) può influenzare la decisione di permettere o meno il passaggio tra aree ad alta e bassa criticità. L’incorporazione di aree di rischio consente, infatti, di riflettere la pericolosità di certe zone in tempo reale, aumentando la sicurezza del volo.

Per esempio, il calcolo del buffer per un elicottero a girocoptero che effettua una manovra di autorotazione dipende da vari fattori, tra cui la velocità del vento e l’altezza massima del volo. In un scenario di emergenza, questi parametri determinano la distanza di sicurezza necessaria per un atterraggio sicuro, come mostrato nei calcoli per il caso di un elicottero e di un velivolo a ala fissa che utilizza un paracadute per l'atterraggio. In entrambi i casi, i buffer necessari per un volo sicuro dipendono dalle caratteristiche specifiche dei veicoli e dalle manovre previste, nonché dalle condizioni ambientali.

In scenari di volo prolungato, come nel caso di voli che coprono centinaia di chilometri, la difficoltà aumenta. La gestione di grandi geofence, che coprono aree vaste come città o zone urbane, richiede l'uso di strumenti avanzati come FencyCreator, un software che permette di scalare automaticamente catene poligonali in modo efficiente, tenendo conto della densità di popolazione e dei rischi ambientali. Il vantaggio di FencyCreator risiede nella sua capacità di generare specifiche formali per la definizione dei geofence, adattandosi dinamicamente alle esigenze del volo.

L’implementazione di tali sistemi di geofencing non solo migliora la sicurezza del volo, ma fornisce anche un importante strumento per il monitoraggio e la gestione delle operazioni di UAS in spazi aerei complessi, come quelli sopra aree urbane. Se da un lato questi algoritmi permettono di garantire la sicurezza evitando conflitti con altri veicoli aerei e con infrastrutture a terra, dall’altro lato, la loro capacità di adattarsi alle condizioni in tempo reale li rende fondamentali per operazioni sempre più sicure e precise.

Il geofencing, quindi, non si limita a essere un sistema statico di confini, ma diventa un componente dinamico che interagisce con altre tecnologie, come il calcolo dei rischi e la previsione della traiettoria, per garantire che gli UAS possano operare in modo sicuro anche in ambienti complessi e ad alta densità.

Come valutare la sicurezza e l'efficienza operativa dei velivoli senza pilota attraverso la simulazione di scenari complessi?

Due requisiti fondamentali hanno guidato l’architettura del software di simulazione nel progetto ALAADy. In primo luogo, l’integrazione modulare dei componenti sviluppati nei diversi pacchetti di lavoro, come la dinamica di volo nelle fasi normali e di emergenza, le caratteristiche del datalink, le funzioni di bordo e la stazione a terra. In secondo luogo, la capacità di variare efficientemente i moduli di simulazione per esplorare configurazioni alternative. A tale scopo è stato adottato un concetto di modularizzazione compatibile a livello d’interfaccia, che ha permesso l’automazione sia dell’esecuzione sia dell’analisi dei risultati simulati.

Le simulazioni sono eseguite in tempo reale o accelerato, garantendo un equilibrio tra fedeltà del modello e sostenibilità computazionale. Tuttavia, questa scelta implica limitazioni intrinseche ai risultati: ogni componente del sistema ha propri intervalli di validità per parametri e stati di input. Inoltre, l’interazione tra i moduli può generare dinamiche inattese che devono essere interpretate con attenzione, soprattutto nella valutazione della sicurezza.

Un esempio concreto dell’utilità della simulazione è la verifica dei margini di sicurezza basati su euristiche di primo principio, come l’altitudine di volo e il rapporto di planata ottimale. Tali margini, una volta sottoposti a variazioni ambientali, consentono di comprendere meglio la robustezza del sistema. In questo senso, risultano particolarmente utili i modelli validati per la simulazione di paracadute, che permettono di valutare scenari di terminazione assistita.

Affinché il simulatore evolva da strumento concettuale a piattaforma operativa, due direzioni di sviluppo sono fondamentali. Primo, la validazione sistematica dei componenti, dal datalink alle funzioni di volo. Poiché una validazione completa su tutti i domini di input è raramente realizzabile, i risultati attuali possono essere impiegati per identificare domini operativi probabili e pu

Qual è l'importanza dei processi di mitigazione nel ridurre il rischio di danno associato ai veicoli aerei senza pilota?

Il processo SORA (Specific Operational Risk Assessment) è fondamentale per la gestione del rischio associato all’operazione dei veicoli aerei senza pilota (UAS), in quanto permette di ridurre il Ground Risk Class (GRC) attraverso l’applicazione di misure mitigative mirate. Queste misure sono strutturate per ridurre la probabilità o la gravità dei danni derivanti da un UAS in caso di incidenti, seguendo la metodologia del "bowtie", dove le mitigazioni rappresentano barriere contro i danni.

Le mitigazioni all’interno del processo SORA sono suddivise in tre categorie principali: M1, M2 e M3. Ogni tipo di mitigazione riduce il GRC in base al livello di affidabilità e integrità delle soluzioni adottate. L'affidabilità delle mitigazioni viene classificata in tre livelli: basso, medio e alto. Un livello basso di affidabilità implica una dichiarazione del pilota che attesti l'integrità dichiarata, mentre un livello medio richiede prove di supporto, come simulazioni o test, e un livello alto di affidabilità è solitamente verificato da un ente terzo che certifica l’integrità del sistema.

Tuttavia, M1 ha delle limitazioni, specialmente quando l’area operativa è ampia, come nel caso di voli BVLOS (Beyond Visual Line of Sight) su lunghe distanze. In scenari simili, la mitigazione M1 è difficile da applicare, a meno che non si tratti di un'operazione su piccole aree o in condizioni che permettano di isolare l'UAS dal rischio di impatto con la popolazione. In particolare, nel caso di UAS di grandi dimensioni, M1 potrebbe non ridurre sufficientemente il rischio di danno, poiché la protezione offerta da eventuali ripari è limitata dalla grandezza del veicolo.

La mitigazione M2 si concentra sulla riduzione dell’intensità dell'impatto, riducendo l’area dell'impatto, l'energia cinetica prima dell'impatto o la quantità di energia trasferita. L’uso di dispositivi come paracaduti o strutture leggere e morbide è esemplificativo di questa strategia. Tuttavia, sebbene l'uso di paracaduti possa sembrare una soluzione plausibile per ridurre i danni, non garantisce l’assenza di conseguenze fatali. La riduzione dell’energia cinetica, ad esempio, potrebbe non essere sufficiente in tutti i casi, soprattutto se l’energia residua dell'UAS al momento dell’impatto è ancora in grado di causare danni gravi.

La mitigazione M3 prevede un piano di risposta a emergenze (ERP, Emergency Response Plan) che deve essere attuato in caso di perdita di controllo dell'operazione. Questo piano deve essere in grado di limitare le conseguenze di un incidente, avvisando le autorità competenti come il controllo del traffico aereo e riducendo l’effetto del crash. Un piano ERP ben progettato deve rispondere a scenari di emergenza dove l’esito è altamente incerto e dove esiste un rischio immediato di fatalità.

L'applicazione di queste mitigazioni varia in base all'operazione e al tipo di UAS utilizzato. Ad esempio, nel contesto dell’operazione ALAADy, la mitigazione M1 è di difficile applicazione a causa della difficoltà di mantenere un’area con bassa densità di persone su distanze così ampie. Per UAS di grandi dimensioni e voli su lunghe distanze, M1 potrebbe non ridurre sufficientemente il GRC. Al contrario, le mitigazioni M2 e M3 possono essere utilizzate per ridurre l’impatto in caso di incidenti, ma la loro efficacia dipende dal livello di integrità e affidabilità raggiunto. Nel caso di ALAADy, la mitigazione M2 appare applicabile a un livello medio di integrità, con l’obiettivo di ridurre l’energia dell’impatto, mentre la mitigazione M3, pur essendo meno rigorosa, può essere realizzata con un piano di risposta efficace in caso di emergenza.

È importante comprendere che l’applicazione delle mitigazioni non elimina completamente il rischio, ma lo riduce a livelli accettabili in relazione all'operazione in corso. Ogni intervento deve essere valutato con attenzione, considerando il tipo di missione, le caratteristiche del veicolo e le condizioni operative specifiche. La selezione e l’implementazione delle giuste mitigazioni sono cruciali per garantire la sicurezza e l’affidabilità delle operazioni di UAS, soprattutto quando si trattano scenari complessi e ad alta densità di popolazione.

Come le Curve di Polarizzazione Influiscono sul Comportamento delle Celle a Combustibile in Sistemi di Propulsione Ibridi ed Elettrici

Il modello di simulazione sviluppato permette di esplorare il comportamento delle celle a combustibile in vari scenari operativi. Ad esempio, la figura 7 mostra i risultati della simulazione della curva di polarizzazione per celle a combustibile a diverse temperature, mantenendo la pressione del catodo a 1 bar assoluto. In queste simulazioni, è stato assunto un valore di umidità relativa approssimativamente pari all'80%, elemento che, pur rimanendo costante, può avere un impatto significativo sulle prestazioni della cella.

Un altro aspetto importante da considerare è la variazione della curva di polarizzazione in funzione della pressione del catodo. La figura 8 rappresenta i risultati di simulazioni eseguite con pressioni del catodo diverse, dove la pressione dell'anodo è stata mantenuta 200 mbar superiore rispetto a quella del catodo, e la temperatura della pila è fissata a 65°C. Questi dati sono particolarmente rilevanti per le celle a combustibile progettate per funzionare a pressioni superiori a quella atmosferica, tipicamente quelle che offrono alte densità di potenza (>2 kW/kg). Tuttavia, la validazione del modello di simulazione è stata eseguita utilizzando una pila a combustibile con prestazioni inferiori, in quanto esistono dati sperimentali dettagliati per questa tipologia di stack.

I risultati ottenuti dai test hanno mostrato una buona correlazione tra i dati misurati e quelli simulati, come evidenziato dalla figura 9, che rappresenta le curve di polarizzazione di una pila pressurizzata, con i dati sperimentali (punti) e quelli simulati (linee) che si sovrappongono in modo preciso. In questo caso, il modello di simulazione è stato sviluppato per una pila a 300 celle, con un'area attiva di 300 cm², e progettata specificamente per operare a pressioni elevate.

L'approccio integrato nel framework di simulazione avrà applicazioni cruciali in futuri sviluppi, in particolare per la progettazione e la validazione di sistemi di propulsione ibridi e completamente elettrici per aeromobili.

Un altro elemento fondamentale nella progettazione di veicoli con propulsione elettrica o ibrida è il monitoraggio online della salute del sistema di propulsione. Accanto a una progettazione ridondante, che garantisce la sicurezza, è necessario implementare sistemi che monitorano continuamente lo stato di funzionamento dei componenti critici, come le celle a combustibile, i motori elettrici, i convertitori DC/DC e le batterie. Un monitoraggio efficace consente di rilevare tempestivamente eventuali guasti e di agire di conseguenza, garantendo la continuità operativa anche in caso di parziali malfunzionamenti.

Le architetture di propulsione a celle a combustibile e a batteria necessitano di un numero maggiore di sensori rispetto a sistemi ibridi a motore a combustione interna, nonostante la configurazione a celle a combustibile possa sembrare inizialmente più semplice. In particolare, l'architettura con configurazione 2S2P, che impiega due serie e due paralleli di pile a combustibile, richiede il monitoraggio di parametri simili per ciascuna delle quattro pile a combustibile. Di conseguenza, sebbene una configurazione a celle a combustibile sembri richiedere meno sensori a livello di singolo componente, il sistema complessivo potrebbe risultare più complesso e costoso in termini di sensori, aumentando la complessità e il costo del sistema di monitoraggio.

Oltre alla ridondanza dei componenti, che consente di ridurre il rischio di guasti catastrofici, la scelta dei sensori da utilizzare e il loro posizionamento nel sistema di propulsione è fondamentale per garantire il corretto funzionamento dell'intero sistema, con particolare attenzione alla sicurezza del veicolo. Il monitoraggio in tempo reale, quindi, non solo contribuisce alla prevenzione dei guasti, ma rappresenta anche una risorsa fondamentale per ottimizzare le prestazioni del sistema durante il ciclo di vita del veicolo.

Come garantire la sicurezza e l’efficienza nei sistemi di controllo remoto degli aeromobili senza pilota: il ruolo critico del data link e dell’analisi del rischio operativo

L’approccio basato sulla valutazione del rischio operativo specifico (SORA) impone che il data link soddisfi obiettivi di sicurezza rigorosi, correlati alla natura della missione, all’ambiente di volo e alla criticità delle operazioni. Le tecnologie commerciali “off-the-shelf” rappresentano una soluzione praticabile per assicurare un compromesso efficace tra affidabilità e sostenibilità economica. In particolare, le reti cellulari di quarta generazione (LTE) e le reti satellitari, singolarmente o in combinazione, emergono come soluzioni potenzialmente valide per supportare la trasmissione dei dati di controllo su distanze considerevoli, operando a bassissima quota (sotto i 150 metri).

Il concetto di allocazione funzionale tra uomo e sistema automatizzato rappresenta una delle sfide fondamentali per garantire un’interazione sicura ed efficiente. L’interfaccia deve consentire al pilota remoto di mantenere una supervisione adeguata e di intervenire tempestivamente in caso di anomalie, integrando un supporto decisionale adattativo. La complessità delle operazioni richiede inoltre un’approfondita comprensione dei fattori umani coinvolti, affinché la progettazione dei sistemi supporti la consapevolezza situazionale e minimizzi la probabilità di errori.

Oltre agli aspetti tecnici, è cruciale comprendere che la sicurezza operativa nel contesto degli UAS non si limita alla mera affidabilità tecnologica del data link. È necessario un approccio sistemico che consideri la dinamica dell’ambiente operativo, la preparazione e la formazione del personale, la definizione di procedure di emergenza e il continuo aggiornamento delle normative di riferimento. Solo integrando questi elementi si potrà promuovere un uso diffuso e sicuro degli aeromobili senza pilota in scenari complessi quali il soccorso umanitario e la logistica.