De veiligheidsanalyse echt maken

Grondrisico en luchtrisico

Twee risico's overheersen bij een bezorgvlucht, en ze verdwijnen niet met hetzelfde middel. Grondrisico is de schade als het toestel, een onderdeel ervan of het pakket een persoon, een voertuig of een kritieke locatie raakt. Het groeit met het aantal mensen, de tijd die boven hen wordt doorgebracht, de energie van het toestel en de kans dat een storing ongecontroleerd verloopt. Luchtrisico is een aanvaring met een ander luchtvaartuig, bemand of onbemand. Het groeit in de buurt van luchthavens, langs helikopterroutes en in elke lage corridor waar al visueel verkeer vliegt. Een parachute doet niets tegen een aanvaring in de lucht. Een coöperatieve radio doet weinig voor de persoon in de tuin als het toestel daar nog steeds heel en snel aankomt.

De operatie moet specifiek genoeg worden beschreven om over beide risico's na te denken. "We vliegen in de stad" is geen beschrijving. Hoogte, snelheid, massa, wie er per tijdstip onder de route zit, welk onderdak er is, waar de uitwijkplaatsen liggen en wie het luchtruim nog meer gebruikt, dat is de beschrijving. Een maatregel die de blootstelling vermindert, zoals routeplanning over water of vliegen als een straat leeg is, verschilt van een maatregel die de schade van een inslag beperkt, en weer van een maatregel die de storing minder waarschijnlijk maakt. Een label op het toestel plakken en de route ongewijzigd laten, is het werk niet. Schrijf het restrisico op in gewone woorden waar een niet-ingenieur tegenin kan gaan.

Over het sturen van een drone naar ruimtes waar mensen niet kunnen komen, zie drones laten vliegen in zuurstofarme of giftige ruimtes in de Inspection-gids.

Fail-safe, en waarom een parachute niet genoeg is

Een fail-safe is een gedefinieerd gedrag bij een gedefinieerde storing, en het is getest. Verlies van voortstuwing, verlies van navigatie, verlies van de besturingsverbinding, een accudefect en een op hol geslagen stuurcommando vragen niet allemaal om dezelfde reactie. De ene moet eindigen in een onmiddellijke landing op een veld dat voor dat doel is verkend. De andere moet eindigen in een terugkeer. Weer een andere moet eindigen in het uitschakelen van de motoren, zodat een levend toestel niet over een dak loopt. De verkeerde voorgeprogrammeerde reactie is zelf een gevaar. Het handboek zegt wie mag ingrijpen, en wanneer ingrijpen verboden is omdat de verbinding niet meer de waarheid vertelt. Hoop is geen modus.

Een parachute is één manier om een vlucht te beëindigen. Het is geen algemeen schild, en het openbare dossier laat al zien waarom. Het deskundigenrapport van Swiss Post over de Matternet-operatie beschrijft twee gebeurtenissen in Zürich in 2019. Op 25 januari leidde verlies van GPS ertoe dat het vluchtbeëindigingssysteem een parachute opende, en het toestel daalde in het meer. Op 9 mei werd hetzelfde soort systeem geactiveerd, scheurde het parachutekoord en sloeg het toestel ongecontroleerd in de grond, vlak bij kinderen. Het programma werd opgeschort. Een kap kan door het eigen toestel worden doorgesneden, kan uit het beoogde gebied wegdrijven en neemt de besturing van de piloot over zodra hij open is. Energie, daalsnelheid en wat er ook onder zit, blijven meetellen.

Vóór elke toestelfunctie komt de menselijke procedure. De volgorde van de controle voor de vlucht en de eerste noodmaatregelen leren (Tobira, in het Japans) is een inleiding.

Geofence, verbindingsverlies en vliegen boven mensen

Een geofence kan een gezond, goed navigerend toestel binnen een volume houden. Hij houdt geen toestel tegen dat zijn positie kwijt is, en hij voorkomt niet dat een parachute buiten de polygoon terechtkomt. Gebruik hem als controle dat de geplande route is geladen en als procedurele barrière, niet als bewijs dat derden veilig zijn. Test het gedrag aan de grens. Een toestel dat de afscherming behandelt als een lijn op het scherm van de piloot en er dwars doorheen vliegt, heeft geen geofence. Een toestel dat midden op een weg stopt omdat daar de polygoon eindigde, heeft een geofence en een nieuw gevaar op de grond. De polygoon is onderdeel van het routeontwerp, geen sticker die wordt opgeplakt nadat de route is getekend.

Verbindingsverlies vraagt om een getimed gedrag dat past bij het luchtruim waarin je echt vliegt. Boven een kruispunt blijven hangen tot de accu leeg is, is niet de behoudende keuze. Terugkeren naar de basis via een helikopteraanvliegroute is dat ook niet. De time-out, het pad en de landingsplek worden vóór de start besproken, in een vorm die een piloot die niet bij het verkoopgesprek was kan vliegen. De beslissing om de route boven mensen te leggen staat los van al deze hulpmiddelen. Het is een beslissing dat het restrisico, met dit toestel, op deze dag en bij deze dichtheid, acceptabel is voor de verantwoordelijke manager. Hulpmiddelen die alleen werken zolang het toestel gezond is, zijn geen reden om het overvliegen te accepteren. Als je alleen het gezonde geval hebt geanalyseerd, heb je de storing niet geanalyseerd.

Wat je vooraf moet beslissen voor als de verbinding wegvalt of de positie kwijt is, staat in bewaking en reactie bij storingen: voorbereiden op het moment dat je het overzicht verliest (Airffic Flight Institute).

Wat de operationele kant vooraf moet beslissen voor verbindingsverlies of positieverlies, staat in hoe operators zich voorbereiden op verlies van positie of verbinding (Airffic Flight Institute). Toestelfuncties en operationele beslissingen zijn aparte lagen.

Het behouden van de verbinding vlak bij antennes en onder spanning staande leidingen komt aan bod in drones laten vliegen in de buurt van sterke elektromagnetische velden in de Inspection-gids.

De veiligheidsanalyse: procedure los van ontwerp

Een veiligheidsanalyse is een argument, met bewijs, dat de operatie veilig genoeg is voor de goedkeuring die wordt gevraagd. Een bruikbare opzet is gewoon. Beschrijf de operatie en haar grenzen. Benoem de gevaren voor mensen op de grond en voor ander luchtverkeer. Toon de maatregelen en zeg van elk of hij in het toestel, in de procedure of in de omgeving zit. Geef het resterende risico aan en noem de persoon die het aanvaardt. Voeg het handboek toe voor normaal, abnormaal en noodgebruik, plus training, bevoegdheid op peil houden, onderhoud, configuratiebeheer, weerslimieten, ladingslimieten en hoe incidenten worden gemeld. Bewijs is test, analyse en ervaring in dienst. Een weergave van het toestel is geen bewijs, en een aantal vluchten waaruit slecht weer is weggelaten ook niet.

Houd toestelontwerp en operationele procedure in aparte kolommen, ook als één bedrijf beide doet. Ontwerpclaims, zoals redundantie, een parachute, een beëindigingssysteem of insluiting, moeten waar zijn voor het toestel zoals het wordt onderhouden, niet alleen voor het prototype in de aanvraag. Procedureclaims, zoals een vrij landingsplatform, een getrainde ontvanger, een windlimiet en een persoon met de bevoegdheid om af te breken, moeten waar zijn op een gewone dienst, niet alleen op de demonstratiedag waarop de fabrikant meekijkt. Een sterk toestel herstelt geen verwarrende overdracht bij het ziekenhuis. Een zorgvuldige overdracht herstelt geen niet-geteste storing boven een menigte. De goedkeuring moet beide kolommen noemen, en de audit moet beide steekproefsgewijs toetsen. Is er maar één gecontroleerd, zeg dat dan.

Een procedure is niet geverifieerd doordat ze is opgeschreven. Ze moet ergens worden herhaald waar niemand onder zit. Airffic Training Hyperspace schetst hoe zulke oefen- en proefterreinen per uur gehuurd zouden kunnen worden. De huidige aanbiedingen, beschikbaarheid en prijzen zijn voorbeelden (in het Japans).

Om dezelfde procedure elke keer in dezelfde volgorde uit te voeren, gebruik je een checklist die een procedure in een sjabloon verandert.