Hacer real el caso de seguridad

Riesgo en tierra y riesgo en el aire

Dos riesgos dominan un vuelo de entrega, y no los elimina el mismo dispositivo. El riesgo en tierra es el daño si la aeronave, una pieza de ella o el paquete golpea a una persona, un vehículo o una instalación crítica. Crece con el número de personas, el tiempo pasado sobre ellas, la energía de la máquina y la probabilidad de que un fallo sea incontrolado. El riesgo en el aire es una colisión con otra aeronave, tripulada o no. Crece cerca de los aeropuertos, a lo largo de las rutas de helicópteros y en cualquier corredor bajo donde ya vuela tráfico visual. Un paracaídas no hace nada frente a una colisión en vuelo. Una radio cooperativa hace poco por la persona en un jardín si la aeronave sigue llegando allí intacta y rápida.

La operación tiene que describirse con la especificidad suficiente para pensar en ambos riesgos. «Volaremos en la ciudad» no es una descripción. La altitud, la velocidad, la masa, quién está bajo la ruta según la hora del día, qué refugio existe, dónde están las alternativas y quién más usa el espacio aéreo son la descripción. Una mitigación que reduce la exposición, como enrutar sobre agua o volar cuando una calle está vacía, es distinta de una que reduce el daño de un impacto, y distinta a su vez de una que hace el fallo menos probable. Añadir una etiqueta a la aeronave y dejar la ruta sin cambios no ha hecho el trabajo. Escriba el riesgo residual en palabras llanas que alguien que no sea ingeniero pueda discutir.

Para enviar un dron a espacios donde las personas no pueden entrar, vea volar drones en espacios con deficiencia de oxígeno o tóxicos en la guía de Inspección.

A prueba de fallos, y por qué un paracaídas no basta

Un sistema a prueba de fallos es un comportamiento definido para un fallo definido, y ha sido probado. La pérdida de propulsión, la pérdida de navegación, la pérdida del enlace de mando, un fallo de batería y una entrada de control desbocada no quieren todos la misma respuesta. Uno debería terminar en un aterrizaje inmediato en un campo reconocido para ese fin. Otro debería terminar en un regreso. Otro debería terminar en una parada de motores para que una aeronave activa no se pasee por un tejado. La respuesta preprogramada equivocada es en sí misma un peligro. El manual dice quién puede anularla y cuándo la anulación está prohibida porque el enlace ya no dice la verdad. La esperanza no es uno de los modos.

Un paracaídas es una forma de terminar un vuelo. No es un escudo general, y el registro público ya muestra por qué. El informe pericial de Swiss Post sobre la operación de Matternet describe dos sucesos en Zúrich en 2019. El 25 de enero, una pérdida de GPS llevó al sistema de terminación de vuelo a desplegar un paracaídas, y la aeronave descendió al lago. El 9 de mayo, el mismo tipo de sistema se activó, la cuerda del paracaídas se rompió y la aeronave golpeó el suelo sin control cerca de niños. El programa fue suspendido. Una campana puede ser cortada por su propia aeronave, puede derivar fuera de la zona prevista y quita el control al piloto una vez abierta. La energía, la velocidad de descenso y lo que haya debajo siguen contando.

Antes de cualquier función de la aeronave viene el procedimiento humano. Aprender el orden de la comprobación prevuelo y las primeras acciones de emergencia (Tobira, en japonés) es una introducción.

Geovalla, pérdida de enlace y vuelo sobre personas

Una geovalla puede mantener una aeronave sana y bien navegada dentro de un volumen. No contiene a una máquina que ha perdido su posición, y no impide que un paracaídas salga del polígono. Úsela como comprobación de que la ruta planificada se cargó, y como barrera de procedimiento, no como prueba de que los terceros están a salvo. Pruebe el comportamiento en el límite. Una aeronave que trata la valla como una línea en la pantalla del piloto, y la atraviesa, no tiene valla. Una aeronave que se detiene en medio de una carretera porque ahí terminaba el polígono tiene una valla y un nuevo peligro en tierra. El polígono es parte del diseño de la ruta, no una pegatina aplicada después de dibujar la ruta.

La pérdida de enlace necesita un comportamiento temporizado que coincida con el espacio aéreo en el que realmente está. Mantenerse en estacionario sobre un cruce hasta que falle la batería no es la opción conservadora. Regresar a la base a través de una aproximación de helicópteros tampoco es conservador. El tiempo de espera, la trayectoria y el lugar de aterrizaje se informan antes del despegue, en una forma que pueda volar un piloto que no estuvo en la reunión de ventas. La decisión de poner la ruta sobre personas es independiente de todas estas herramientas. Es la decisión de que el riesgo residual, en esta aeronave, este día y esta densidad, es aceptable para el gerente responsable. Las herramientas que funcionan solo mientras la aeronave ya está sana no son razón para aceptar el sobrevuelo. Si el caso sano es todo lo que ha analizado, no ha analizado el fallo.

Qué decidir de antemano para cuando el enlace cae o se pierde la posición se trata en supervisión y respuesta a fallos: prepararse para el momento en que pierde el rastro (Airffic Flight Institute).

Lo que el lado operativo debería decidir de antemano para la pérdida de enlace o de posición se expone en cómo se preparan los operadores para perder la posición o el enlace (Airffic Flight Institute). Las funciones de la aeronave y las decisiones operativas son capas separadas.

Mantener el enlace cerca de antenas y líneas en tensión se trata en volar drones cerca de campos electromagnéticos intensos en la guía de Inspección.

El caso de seguridad: el procedimiento aparte del diseño

Un caso de seguridad es un argumento, con pruebas, de que la operación es suficientemente segura para la aprobación que se solicita. Una forma utilizable es corriente. Describa la operación y sus límites. Identifique los peligros para las personas en tierra y para otras aeronaves. Muestre las mitigaciones y diga si cada una vive en la aeronave, en el procedimiento o en el entorno. Declare el riesgo que queda y nombre a la persona que lo acepta. Adjunte el manual para el trabajo normal, anormal y de emergencia, además de formación, vigencia, mantenimiento, control de configuración, límites meteorológicos, límites de carga y cómo se notifican los incidentes. Las pruebas son ensayos, análisis e historial en servicio. Un render de la aeronave no es una prueba, y tampoco lo es un recuento de vuelos que excluyó el mal tiempo.

Mantenga el diseño de la aeronave y el procedimiento operativo en columnas separadas, incluso cuando una misma empresa hace ambas cosas. Las afirmaciones de diseño, como la redundancia, un paracaídas, un sistema de terminación o la contención, tienen que ser ciertas de la aeronave tal como se mantiene, no solo del prototipo de la solicitud. Las afirmaciones de procedimiento, como una plataforma despejada, un receptor formado, un límite de viento y una persona facultada para abortar, tienen que ser ciertas en un turno corriente, no solo el día de la demostración cuando el fabricante está mirando. Una aeronave robusta no repara una entrega confusa en el hospital. Una entrega cuidadosa no repara un fallo no probado sobre una multitud. La aprobación debería nombrar ambas columnas, y la auditoría debería muestrear ambas. Si solo se comprobó una, dígalo.

Un procedimiento no se verifica por estar escrito. Tiene que repetirse en algún lugar sin nadie debajo. Airffic Training Hyperspace esboza cómo podrían alquilarse por horas tales campos de práctica y ensayo. Sus listados, disponibilidad y precios actuales son muestras (en japonés).

Para ejecutar el mismo procedimiento en el mismo orden cada vez, use una lista de comprobación que convierte un procedimiento en plantilla.