Den Sicherheitsnachweis belastbar machen

Bodenrisiko und Luftrisiko

Zwei Risiken bestimmen einen Lieferflug, und sie werden nicht durch dasselbe Gerät beseitigt. Das Bodenrisiko ist der Schaden, wenn das Fluggerät, ein Teil davon oder das Paket einen Menschen, ein Fahrzeug oder eine kritische Anlage trifft. Es wächst mit der Zahl der Menschen, der Zeit über ihnen, der Energie der Maschine und der Wahrscheinlichkeit, dass ein Ausfall unkontrolliert verläuft. Das Luftrisiko ist ein Zusammenstoß mit einem anderen Luftfahrzeug, bemannt oder unbemannt. Es wächst in der Nähe von Flughäfen, entlang von Hubschrauberrouten und in jedem niedrigen Korridor, in dem bereits Sichtflugverkehr unterwegs ist. Ein Fallschirm hilft nichts gegen einen Zusammenstoß in der Luft. Ein kooperatives Funkgerät hilft dem Menschen im Garten wenig, wenn das Fluggerät dort trotzdem intakt und schnell ankommt.

Der Betrieb muss genau genug beschrieben sein, um über beide Risiken nachdenken zu können. „Wir werden in der Stadt fliegen“ ist keine Beschreibung. Höhe, Geschwindigkeit, Masse, wer je nach Tageszeit unter der Route ist, welcher Schutz vorhanden ist, wo die Ausweichplätze liegen und wer den Luftraum sonst nutzt, das ist die Beschreibung. Eine Maßnahme, die die Exposition verringert, etwa eine Route über Wasser oder ein Flug, wenn eine Straße leer ist, ist etwas anderes als eine, die den Schaden eines Aufpralls verringert, und wieder etwas anderes als eine, die den Ausfall unwahrscheinlicher macht. Ein Etikett am Fluggerät anzubringen und die Route unverändert zu lassen, hat die Arbeit nicht erledigt. Schreiben Sie das Restrisiko in einfachen Worten auf, mit denen auch jemand ohne Ingenieursausbildung streiten kann.

Wie Sie eine Drohne in Räume schicken, die Menschen nicht betreten können, zeigt Drohnenflüge in sauerstoffarmen oder giftigen Räumen im Inspection-Leitfaden.

Fail-safe, und warum ein Fallschirm nicht genügt

Ein Fail-safe ist ein definiertes Verhalten für einen definierten Ausfall, und es wurde getestet. Verlust des Antriebs, Verlust der Navigation, Verlust der Steuerverbindung, ein Batteriefehler und eine durchgehende Steuereingabe verlangen nicht alle dieselbe Antwort. Eine sollte in einer sofortigen Landung auf einem Feld enden, das für diesen Zweck erkundet wurde. Eine andere sollte in einer Rückkehr enden. Wieder eine andere sollte in einer Motorabschaltung enden, damit ein aktives Fluggerät nicht über ein Dach wandert. Die falsche vorprogrammierte Reaktion ist selbst eine Gefahr. Das Handbuch sagt, wer sie außer Kraft setzen darf und wann das Eingreifen verboten ist, weil die Verbindung nicht mehr die Wahrheit meldet. Hoffnung ist keiner der Modi.

Ein Fallschirm ist eine Möglichkeit, einen Flug zu beenden. Er ist kein allgemeiner Schutzschild, und die öffentliche Aktenlage zeigt bereits, warum. Der Expertenbericht der Schweizerischen Post zum Matternet-Betrieb beschreibt zwei Ereignisse in Zürich im Jahr 2019. Am 25. Januar führte ein GPS-Verlust dazu, dass das Flugabbruchsystem einen Fallschirm auslöste, und das Fluggerät sank in den See. Am 9. Mai löste dieselbe Art von System aus, die Fallschirmleine riss, und das Fluggerät schlug unkontrolliert nahe bei Kindern auf dem Boden auf. Das Programm wurde ausgesetzt. Eine Kappe kann vom eigenen Fluggerät durchtrennt werden, kann aus dem vorgesehenen Bereich abdriften und nimmt der Pilotin oder dem Piloten die Steuerung, sobald sie offen ist. Energie, Sinkrate und das, was darunter liegt, zählen weiterhin.

Vor jeder Funktion des Fluggeräts kommt das menschliche Verfahren. Die Reihenfolge der Vorflugkontrolle und die ersten Notfallmaßnahmen lernen (Tobira, auf Japanisch) ist eine Einführung.

Geofence, Verbindungsverlust und Flüge über Menschen

Ein Geofence kann ein gesundes, gut navigierendes Fluggerät innerhalb eines Volumens halten. Er hält keine Maschine zurück, die ihre Position verloren hat, und er hindert keinen Fallschirm daran, das Polygon zu verlassen. Nutzen Sie ihn als Prüfung, dass die geplante Route geladen wurde, und als verfahrensmäßige Barriere, nicht als Beweis, dass Dritte sicher sind. Testen Sie das Verhalten an der Grenze. Ein Fluggerät, das den Zaun als Linie auf dem Bildschirm des Piloten behandelt und hindurchfliegt, hat keinen Zaun. Ein Fluggerät, das mitten auf einer Straße anhält, weil dort das Polygon endete, hat einen Zaun und eine neue Gefahr am Boden. Das Polygon ist Teil des Routenentwurfs, kein Aufkleber, der nach dem Zeichnen der Route angebracht wird.

Ein Verbindungsverlust braucht ein zeitlich festgelegtes Verhalten, das zu dem Luftraum passt, in dem Sie tatsächlich sind. Über einer Kreuzung zu schweben, bis die Batterie versagt, ist nicht die konservative Wahl. Durch einen Hubschrauberanflug zur Basis zurückzukehren ist es auch nicht. Zeitlimit, Pfad und Landeplatz werden vor dem Start gebrieft, in einer Form, die eine Pilotin oder ein Pilot fliegen kann, die oder der nicht im Verkaufsgespräch saß. Die Entscheidung, die Route über Menschen zu legen, ist von all diesen Werkzeugen getrennt. Es ist die Entscheidung, dass das Restrisiko, mit diesem Fluggerät, an diesem Tag und bei dieser Dichte, für die verantwortliche Führungskraft annehmbar ist. Werkzeuge, die nur funktionieren, solange das Fluggerät ohnehin gesund ist, sind kein Grund, den Überflug zu akzeptieren. Wenn Sie nur den gesunden Fall analysiert haben, haben Sie den Ausfall nicht analysiert.

Was vorab zu entscheiden ist, falls die Verbindung abreißt oder die Position verloren geht, behandelt Überwachung und Reaktion auf Ausfälle: Vorbereitung auf den Moment, in dem Sie den Überblick verlieren (Airffic Flight Institute).

Was die Betriebsseite vorab für Verbindungs- oder Positionsverlust entscheiden sollte, steht in wie Betreiber sich auf den Verlust von Position oder Verbindung vorbereiten (Airffic Flight Institute). Funktionen des Fluggeräts und betriebliche Entscheidungen sind getrennte Ebenen.

Wie die Verbindung nahe Antennen und spannungsführenden Leitungen gehalten wird, behandelt Drohnenflüge in der Nähe starker elektromagnetischer Felder im Inspection-Leitfaden.

Der Sicherheitsnachweis: Verfahren getrennt von Auslegung

Ein Sicherheitsnachweis ist eine Argumentation mit Belegen, dass der Betrieb sicher genug für die beantragte Zulassung ist. Eine brauchbare Form ist gewöhnlich. Beschreiben Sie den Betrieb und seine Grenzen. Benennen Sie die Gefahren für Menschen am Boden und für andere Luftfahrzeuge. Zeigen Sie die Maßnahmen und sagen Sie, ob jede im Fluggerät, im Verfahren oder in der Umgebung liegt. Nennen Sie das verbleibende Risiko und die Person, die es akzeptiert. Fügen Sie das Handbuch für normale, abnormale und Notfallarbeit bei, dazu Schulung, Übungsstand, Wartung, Konfigurationskontrolle, Wettergrenzen, Frachtgrenzen und die Meldung von Vorfällen. Belege sind Tests, Analysen und Betriebsgeschichte. Eine Grafik des Fluggeräts ist kein Beleg, und eine Zahl von Flügen, bei der schlechtes Wetter ausgeschlossen wurde, ebenso wenig.

Halten Sie Fluggerätauslegung und Betriebsverfahren in getrennten Spalten, auch wenn ein Unternehmen beides macht. Aussagen zur Auslegung, etwa Redundanz, ein Fallschirm, ein Abbruchsystem oder eine Einhegung, müssen für das Fluggerät gelten, wie es gewartet wird, nicht nur für den Prototyp im Antrag. Aussagen zum Verfahren, etwa ein freier Landeplatz, eine geschulte Empfangsperson, eine Windgrenze und eine Person mit der Befugnis zum Abbruch, müssen an einem gewöhnlichen Arbeitstag gelten, nicht nur am Vorführtag, wenn der Hersteller zusieht. Ein starkes Fluggerät repariert keine verwirrte Übergabe im Krankenhaus. Eine sorgfältige Übergabe repariert keinen ungetesteten Ausfall über einer Menschenmenge. Die Zulassung sollte beide Spalten benennen, und das Audit sollte beide stichprobenartig prüfen. Wenn nur eine geprüft wurde, sagen Sie es.

Ein Verfahren ist nicht dadurch verifiziert, dass es aufgeschrieben wurde. Es muss irgendwo wiederholt werden, wo niemand darunter ist. Airffic Training Hyperspace skizziert, wie solche Übungs- und Versuchsfelder stundenweise gemietet werden könnten. Die derzeitigen Einträge, Verfügbarkeiten und Preise sind Beispiele (auf Japanisch).

Um dasselbe Verfahren jedes Mal in derselben Reihenfolge auszuführen, nutzen Sie eine Checkliste, die ein Verfahren zur Vorlage macht.