安全を、実装として置く

地上のリスクと空中のリスクは別である。パラシュートは万能ではない。手順と機体の設計は、列を分けて論じよ。

地上のリスクと、空中のリスク

配送の飛行を支配する危険は二つで、同じ装置では消えない。地上リスクは、機体か、その破片か、小包が、人か車か重要な場所に当たる害である。人の数、その上にいる時間、機体のエネルギー、故障が制御を失う確率で増える。空中リスクは、有人か無人かを問わず、他の航空機との衝突である。空港の近く、ヘリの経路、有視界の交通がすでに飛ぶ低い回廊で増える。パラシュートは空中衝突に何もしない。協調の無線は、機体がまだ速く無傷で庭へ着くなら、庭の人にはほとんど役に立たない。

両方の危険を考えられるほど、運航は具体的に書かねばならない。「都市を飛ぶ」は記述ではない。高度、速度、質量、時間帯ごとの航路の下の人、遮蔽、代替地、空域の他の使用者。それが記述である。水の上を通す、通りが空のときに飛ぶ、といった曝露を減らす対策は、衝突の害を減らす対策とも、故障を起きにくくする対策とも違う。機体にラベルを足して航路を変えないと、仕事はしてない。残る危険は、技術者でなくても反論できる普通の言葉で書く。

フェイルセーフと、パラシュートの限界

フェイルセーフとは、決まった故障に対する決まった動きで、しかも試してあるものである。推進の喪失、航法の喪失、指令回線の喪失、電池の故障、制御の暴走は、同じ応答を望まない。一つは、そのために調べた場所への即時着陸で終わる。一つは帰投で終わる。一つはモータを止め、生きた機体が屋根の上を歩かないようにする。間違った事前プログラムの応答は、それ自体が危険である。マニュアルは、誰が上書きできるか、回線が真実を言わなくなったので上書きを禁じるときはいつかを書く。希望は、モードの一つではない。

パラシュートは、飛行を終える一つの方法である。どれほど便利に見えても万能の盾ではなく、公開の記録が理由を示している。スイスポストがMatternetの運航について出した専門家報告は、2019年のチューリヒの二件を記す。1月25日はGPSを失い、飛行終了装置がパラシュートを出し、機体は湖へ降りた。5月9日は同じ種類の装置が作動し、傘の索が切れ、機体は制御なく、子どもの近くの地面へ当たった。事業は停止された。傘は自機に切られることがあり、意図した区画の外へ流れ、開いたあとは操縦者から舵を奪う。エネルギーと降下率と、下にあるものは、なお数に入る。

ジオフェンス、ロストリンク、人の上

ジオフェンスは、健全で航法が生きている機体を、体積の中に留め得る。位置を失った機械は閉じ込めないし、パラシュートが多角形の外へ出るのも止めない。計画航路が載ったかの確認と、手順上の柵として使う。第三者が安全だという証明としては使わない。境界の動きを試す。フェンスを画面の線として扱い、通り抜ける機体に、フェンスは無い。多角形の端が道路の真ん中で、そこで止まるで機体は、フェンスと、新しい地上の危険を、両方持つ。多角形は航路設計の一部である。航路を描いたあとに貼るシールではない。

ロストリンクには、実際の空域に合う、時間の付いた動きが要る。電池が死ぬまで交差点の上で待つのは、保守的な選択ではない。ヘリの進入を通って基地へ帰るのも、保守的ではない。時間切れ、経路、着陸点は、発進の前に説明し、販売の会議にいなかった操縦者でも飛べる形にする。人の上へ航路を置く判断は、これらの道具の全部から独立である。この機体、この日、この密度で残る危険を、説明責任のある管理者が受け入れられるか、という判断である。機体が健全なあいだしか働かない道具は、上空通過を受ける理由にならない。健全な場合しか分析していないなら、故障は分析していない。

安全ケース。手順と設計を分ける

安全ケースとは、求めている承認に対して運航が十分安全だ、という証拠付きの議論である。使える形は普通でよい。運航と境界を書く。地上の人と他の航空機への危険を挙げる。対策を示し、それぞれが機体にあるのか、手順にあるのか、周囲にあるのかを言う。残る危険を述べ、受け入れる人の名を書く。通常、異常、緊急のマニュアルに加え、訓練、技量の維持、整備、形態管理、気象限界、貨物限界、事象の報告を添える。証拠は試験と解析と、就航後の履歴である。機体の絵は証拠ではなく、悪天を除いた飛行回数も証拠ではない。

機体の設計と運航の手順は、同じ会社が両方をするときでも、列を分ける。冗長、パラシュート、終了装置、封じ込めといった設計の主張は、申請の試作機だけでなく、整備された機体について真でなければならない。空いたポート、訓練された受け手、風の限界、中止できる人といった手順の主張は、製造者が見ている実証の日だけでなく、普通の勤務で真でなければならない。強い機体は、病院の混乱した引き渡しを直さない。丁寧な引き渡しは、群衆の上の未試験の故障を直さない。承認は両方の列を名指し、監査は両方を抜く。片方しか見てないなら、そう言う。