Sicurezza e ridondanza: progettare per il guasto
Ogni componente prima o poi si guasta. L'obiettivo è che nessun guasto singolo, e possibilmente nessuna combinazione probabile di guasti, porti alla perdita di controllo.
I principi di progetto
Nessun singolo punto di guasto
Ogni funzione essenziale (spinta, alimentazione, controllo, misura dell'assetto) deve avere almeno un'alternativa indipendente.
Alimentazione segmentata
Pacchi batteria e linee di potenza separati, con protezioni che isolano un gruppo guasto senza spegnere gli altri.
Controllo ridondante
Più controllori di volo e sensori che si confrontano tra loro per riconoscere un dato errato.
Diagnostica continua
Giri, correnti, tensioni, temperature e vibrazioni monitorati per escludere un'unità prima che ceda del tutto.
Sicurezza delle batterie
Sistema di gestione delle celle, contenimento termico tra moduli, limiti di carica e scarica conservativi.
Ultima difesa
Limitazione delle aree di volo (geofencing), funzione di terminazione del volo e, dove applicabile, paracadute di emergenza.
Il metodo
In aeronautica la sicurezza si dimostra con metodo, non si dichiara. Le analisi più usate partono dalle funzioni del sistema e dai loro possibili malfunzionamenti (analisi dei pericoli funzionali), scendono ai singoli componenti (analisi dei modi di guasto e dei loro effetti, FMEA) e verificano che la probabilità degli eventi gravi resti sotto soglie definite. Come riferimento metodologico si guardano le pratiche raccomandate del settore, come SAE ARP4754A per lo sviluppo di sistemi e ARP4761 per la valutazione della sicurezza.
Prove progressive
Una piattaforma nuova non si porta in volo libero al primo tentativo. La sequenza logica è: prove al banco della singola unità, prove di gruppi di unità e dell'alimentazione, prove della piattaforma vincolata a terra, poi voli in aree segregate con carico e quota limitati, ampliando l'inviluppo un passo alla volta.
Domande frequenti
Una piattaforma con molte ventole può atterrare se un motore si guasta?
È l'obiettivo di un'architettura distribuita: dimensionare la spinta e il controllo in modo da compensare la perdita di una o più unità. Va però dimostrato con analisi e prove, non dato per scontato.
Il paracadute è sempre previsto?
Dipende dalla categoria e dalla massa della piattaforma: per alcune operazioni è un mitigante del rischio molto efficace, per altre può non essere applicabile. Si decide in base all'analisi di sicurezza.
Partner, fornitori, investitori, ricercatori: scriviamoci
Raccontaci chi sei e cosa potresti portare al progetto. Rispondiamo a ogni richiesta pertinente entro qualche giorno lavorativo.
- Nessun impegno: è un primo contatto
- Dettagli tecnici condivisi sotto accordo di riservatezza
- Interessati anche a competenze singole e consulenze