Tornar real o argumento de segurança

Risco no solo e risco no ar

Dois riscos dominam um voo de entrega, e não são eliminados pelo mesmo dispositivo. O risco no solo é o dano caso a aeronave, uma peça dela ou a encomenda atinja uma pessoa, um veículo ou uma instalação crítica. Ele cresce com o número de pessoas, o tempo passado sobre elas, a energia da máquina e a probabilidade de uma falha ser descontrolada. O risco no ar é uma colisão com outra aeronave, tripulada ou não. Ele cresce perto de aeroportos, ao longo de rotas de helicóptero e em qualquer corredor baixo onde já voa tráfego visual. Um paraquedas não faz nada contra uma colisão em voo. Um rádio cooperativo pouco faz pela pessoa num jardim se a aeronave ainda chega ali inteira e rápida.

A operação tem de ser descrita com especificidade suficiente para se pensar nos dois riscos. "Vamos voar na cidade" não é uma descrição. Altitude, velocidade, massa, quem está sob a rota por hora do dia, que abrigo existe, onde ficam as alternativas e quem mais usa o espaço aéreo: isso é a descrição. Uma mitigação que reduz a exposição, como traçar a rota sobre a água ou voar quando a rua está vazia, é diferente de uma que reduz o dano de um impacto, e diferente ainda de uma que torna a falha menos provável. Colocar uma etiqueta na aeronave e deixar a rota inalterada não fez o trabalho. Escreva o risco residual em palavras simples que um não engenheiro possa contestar.

Para enviar um drone a espaços onde pessoas não podem entrar, veja voar drones em espaços tóxicos ou com deficiência de oxigênio no guia de Inspeção.

Fail-safe, e por que um paraquedas não basta

Um fail-safe é um comportamento definido para uma falha definida, e foi testado. Perda de propulsão, perda de navegação, perda do enlace de comando, falha de bateria e um comando de controle desgovernado não pedem todos a mesma resposta. Uma deve terminar num pouso imediato num campo que foi vistoriado para esse fim. Outra deve terminar num retorno. Outra deve terminar no desligamento dos motores, para que uma aeronave ativa não saia caminhando por um telhado. A resposta pré-programada errada é, ela própria, um perigo. O manual diz quem pode sobrepor-se a ela, e quando a sobreposição é proibida porque o enlace já não diz a verdade. Esperança não é um dos modos.

Um paraquedas é uma forma de encerrar um voo. Não é um escudo geral, e o registro público já mostra por quê. O relatório de peritos do Swiss Post sobre a operação da Matternet descreve dois eventos em Zurique em 2019. Em 25 de janeiro, uma perda de GPS levou o sistema de terminação de voo a acionar um paraquedas, e a aeronave desceu no lago. Em 9 de maio, o mesmo tipo de sistema disparou, o cabo do paraquedas rompeu-se e a aeronave atingiu o solo sem controle, perto de crianças. O programa foi suspenso. Um velame pode ser cortado pela própria aeronave, pode derivar para fora da área pretendida e tira a direção das mãos do piloto depois de aberto. Energia, taxa de descida e o que quer que esteja embaixo continuam a contar.

Antes de qualquer função da aeronave vem o procedimento humano. Aprender a ordem da verificação pré-voo e as primeiras ações de emergência (Tobira, em japonês) é uma introdução.

Geofence, perda de enlace e voo sobre pessoas

Um geofence pode manter uma aeronave saudável e bem navegada dentro de um volume. Não contém uma máquina que perdeu a sua posição, e não impede um paraquedas de sair do polígono. Use-o como verificação de que a rota planejada foi carregada e como barreira procedimental, não como prova de que terceiros estão seguros. Teste o comportamento na fronteira. Uma aeronave que trata a cerca como uma linha na tela do piloto, e a atravessa, não tem cerca. Uma aeronave que para no meio de uma estrada porque foi ali que o polígono terminou tem uma cerca e um novo perigo no solo. O polígono faz parte do projeto da rota, não é um adesivo colado depois de a rota ter sido desenhada.

A perda de enlace precisa de um comportamento temporizado que corresponda ao espaço aéreo em que você realmente está. Pairar sobre um cruzamento até a bateria acabar não é a escolha conservadora. Voltar à base atravessando uma aproximação de helicópteros também não é conservador. O tempo limite, o trajeto e o local de pouso são briefados antes da decolagem, numa forma que um piloto que não esteve na reunião de vendas consiga voar. A decisão de passar a rota sobre pessoas é separada de todas essas ferramentas. É uma decisão de que o risco residual, nesta aeronave, neste dia e nesta densidade, é aceitável para o gestor responsável. Ferramentas que só funcionam enquanto a aeronave já está saudável não são razão para aceitar o sobrevoo. Se o caso saudável é tudo o que você analisou, você não analisou a falha.

O que decidir com antecedência para quando o enlace cai ou a posição se perde está em monitoramento e resposta a falhas: preparar-se para o momento em que você perde o rastro (Airffic Flight Institute).

O que o lado operacional deve decidir com antecedência para perda de enlace ou de posição está em como os operadores se preparam para perder posição ou enlace (Airffic Flight Institute). Funções da aeronave e decisões operacionais são camadas separadas.

Manter o enlace perto de antenas e linhas energizadas é tratado em voar drones perto de campos eletromagnéticos fortes no guia de Inspeção.

O argumento de segurança: procedimento à parte do projeto

Um argumento de segurança, o safety case, é uma argumentação com provas de que a operação é segura o bastante para a aprovação pedida. Uma forma utilizável é comum. Descreva a operação e os seus limites. Identifique os perigos para as pessoas no solo e para outras aeronaves. Mostre as mitigações e diga se cada uma vive na aeronave, no procedimento ou no entorno. Declare o risco que permanece e nomeie a pessoa que o aceita. Anexe o manual para o trabalho normal, anormal e de emergência, além de treinamento, recência, manutenção, controle de configuração, limites meteorológicos, limites de carga e como os incidentes são reportados. Prova é teste, análise e histórico em serviço. Uma renderização da aeronave não é prova, nem o é uma contagem de voos que excluiu o mau tempo.

Mantenha o projeto da aeronave e o procedimento operacional em colunas separadas, mesmo quando uma só empresa faz ambos. As alegações de projeto, como redundância, paraquedas, sistema de terminação ou contenção, têm de ser verdadeiras para a aeronave tal como é mantida, não só para o protótipo do pedido. As alegações de procedimento, como uma área de pouso livre, um receptor treinado, um limite de vento e uma pessoa com poder para abortar, têm de ser verdadeiras num turno comum, não só no dia da demonstração em que o fabricante está olhando. Uma aeronave robusta não conserta uma transferência confusa no hospital. Uma transferência cuidadosa não conserta uma falha não testada sobre uma multidão. A aprovação deve nomear as duas colunas, e a auditoria deve amostrar as duas. Se só uma foi verificada, diga-o.

Um procedimento não é verificado por estar escrito. Tem de ser repetido em algum lugar sem ninguém embaixo. Airffic Training Hyperspace esboça como esses campos de prática e ensaio poderiam ser alugados por hora. As suas listagens, disponibilidade e preços atuais são amostras (em japonês).

Para executar o mesmo procedimento na mesma ordem todas as vezes, use uma lista de verificação que transforma um procedimento em modelo.