Die meisten Drohnen-Show-Systeme basieren auf einem einfachen Geofencing-Modell mit zwei Begrenzungslinien, das von Consumer-Drohnen übernommen wurde. Der Ansatz von Verge Aero unterscheidet sich grundlegend davon: drei unabhängige Ebenen, von denen zwei auf vom Flugcontroller getrennten Prozessoren laufen und darauf ausgelegt sind, Probleme frühzeitig zu erkennen – nicht erst an der Begrenzung.

Das alte „Hard & Soft“-Geofence-Modell

Beim herkömmlichen Ansatz werden zwei konzentrische Begrenzungszonen um den Veranstaltungsluftraum herum festgelegt. Eine weiche Geofence am äußeren Rand löst einen Alarm aus, wenn sich eine Drohne zu sehr nähert – so hat der Pilot die Möglichkeit, einzugreifen. Eine harte Geofence unmittelbar dahinter schaltet die Motoren der Drohne ab, sobald diese die absolute Grenze überschreitet.

Auf dem Papier klingt das vernünftig. In der Praxis weist es jedoch erhebliche Lücken auf.

Erstens werden beide Geofences vom Rand des Luftraums der Show aus gemessen, nicht von der geplanten Position der Drohne. Eine Drohne kann Dutzende Meter von ihrer geplanten Flugbahn abweichen – möglicherweise in Richtung des Publikums – und dennoch keine der beiden Begrenzungen auslösen, solange sie innerhalb des Gesamtumfangs bleibt.

Zweitens ist der feste Geofence rein reaktiv: Er reagiert erst, wenn eine Drohne die Grenze überschreitet. Bei den typischen Fluggeschwindigkeiten von Drohnen bei Shows trägt die Trägheit eine Drohne jedoch weit über die Grenze hinaus, nachdem die Motoren abgeschaltet wurden. Ein System, das erst an der Grenze reagiert, hat das Rennen bereits verloren.

Drittens teilen sich in vielen Implementierungen beide Geofences einen Prozessor mit dem Flugcontroller. Ein einziger Softwarefehler kann alle drei gleichzeitig außer Betrieb setzen – genau das Szenario, das Sicherheitssysteme verhindern sollen.

Die dreischichtige Architektur von Verge Aero behebt jede dieser Lücken direkt.

Weicher „Dynamic Bubble“-Geofence

Der „Soft Geofence“ ist die erste Verteidigungslinie und unterscheidet sich grundlegend von der Vorstellung, die die meisten Menschen von Geofencing haben. Anstatt eine feste Grenze am Rand des Flugraums zu ziehen, bewegt sich der „Soft Geofence“ von Verge Aero – auch „Dynamic Bubble“ genannt – während des gesamten Fluges mit der geplanten Position der jeweiligen Drohne mit.

In einem herkömmlichen Geofence kann eine Drohne Dutzende Meter von ihrer geplanten Flugbahn abweichen und sich dennoch innerhalb der Grenzen befinden, solange sie die äußere Begrenzung nicht erreicht hat. In einem großen Veranstaltungsluftraum kann eine solche Abweichung unentdeckt bleiben, bis sie gefährlich wird. Die „Dynamic Bubble“ schließt diese Lücke. Jede Drohne muss sich zu jedem Zeitpunkt des Fluges innerhalb eines engen Radius um ihre Zielposition aufhalten – nicht nur innerhalb des größeren Luftraums.

Dies ist aus mehreren Gründen wichtig. Erstens werden Navigationsfehler und Windabweichungen frühzeitig erkannt, solange sich die Drohne noch deutlich innerhalb der Sicherheitszone befindet und noch Zeit für Korrekturen bleibt. Zweitens liefert die „Dynamic Bubble“ ein kontinuierliches Statussignal: Wenn eine Drohne wiederholt Schwierigkeiten hat, innerhalb ihrer „Bubble“ zu bleiben, ist dies ein Echtzeit-Indikator für ein Navigations- oder Hardwareproblem, auf das der Bodenoperator reagieren kann.

Drittens, und das ist das Wichtigste: Die „Dynamic Bubble“ sorgt dafür, dass der weiche Geofence für jede Drohne sinnvoll eng abgegrenzt ist, unabhängig von der Ausdehnung der Veranstaltung. Ganz gleich, ob der Luftraum 50 Meter oder 500 Meter breit ist – die „Dynamic Bubble“ gewährleistet Präzision auf der Ebene jedes einzelnen Fluggeräts. Eine Drohne, die in einem 50-Meter-Luftraum 10 Meter vom Kurs abweicht, stellt eine ganz andere Situation dar als eine, die in einem 500-Meter-Luftraum 10 Meter vom Kurs abweicht – doch die „Dynamic Bubble“ behandelt beide Fälle mit gleicher Ernsthaftigkeit, da die Aufgabe der Drohne stets darin besteht, sich an ihrer Zielposition zu befinden, und nicht einfach nur irgendwo innerhalb der Veranstaltungsgrenzen.

Der „Soft Geofence“ läuft auf einem der unabhängigen Bordcomputer der Drohne – getrennt vom primären Flugsteuerungssystem –, sodass ein Fehler in der Autopilot-Software ihn nicht außer Betrieb setzen kann.

Predictive Trajectory Geofence

Die zentrale Herausforderung bei jedem Geofence ist die Physik. Eine Drohne kommt nicht sofort zum Stillstand, sobald ihre Motoren abgeschaltet werden. Bei den typischen Fluggeschwindigkeiten von Showdrohnen fliegt ein Quadrocopter nach dem Abschalten des Antriebs aufgrund seiner eigenen Bewegungsenergie noch eine beträchtliche Strecke weiter. Ein Geofence, der erst reagiert, wenn eine Drohne eine Linie überquert, hat das Rennen bereits verloren – die Drohne wird die Grenze überschreiten, bevor sie zum Stillstand kommen kann, selbst wenn das System sofort reagiert.

Die „Predictive Trajectory Geofence“-Lösung von Verge Aero löst dieses Problem, indem sie vorausschauend handelt, anstatt nur im Moment zu reagieren. Anstatt abzuwarten, bis eine Drohne die feste Grenze erreicht, projiziert dieses System die aktuelle Flugbahn der Drohne kontinuierlich in die Zukunft. Wenn die projizierte Flugbahn darauf hindeutet, dass die Drohne – unter Berücksichtigung ihrer aktuellen Geschwindigkeit, Richtung und der physikalischen Gesetzmäßigkeiten der Verzögerung – die feste Grenze überschreiten wird, löst das System bereits jetzt, noch bevor es zu einem Verstoß kommt, eine Motorabschaltung aus.

Dies ist keine einfache Annäherungswarnung. Der prädiktive Geofence berücksichtigt den tatsächlichen Geschwindigkeitsvektor der Drohne und nicht nur ihren Abstand zur Grenze. Eine Drohne, die sich langsam und parallel zur Grenze bewegt, wird ganz anders behandelt als eine, die sich schnell auf sie zubewegt, selbst wenn beide den gleichen Abstand haben. Die Berechnung der Zeit bis zur Grenze berücksichtigt realistische Verzögerungskurven, sodass die Abschaltung mit genau dem nötigen Spielraum ausgelöst wird, um die Drohne selbst im schlimmsten Fall innerhalb der festen Grenze zum Stillstand zu bringen.

In der Praxis bedeutet dies, dass eine Drohne, bei der ein schwerwiegender Navigationsfehler vorliegt – ein Fehler, der die Korrekturen der „Dynamic Bubble“ bereits umgangen hat und die sich nun auf einer Flugbahn in Richtung des Randes des Veranstaltungsluftraums befindet –, gestoppt wird, bevor sie die harte Grenze überhaupt erreicht. Der unten beschriebene „Hard Geofence“ wird somit zu einem echten letzten Ausweg und nicht zur ersten Barriere, die zwischen einer außer Kontrolle geratenen Drohne und dem Publikum steht.

Genau wie die „Dynamic Bubble“ läuft auch der „Predictive Trajectory Geofence“ auf einem eigenständigen Bordcomputer. Keines der beiden Systeme teilt sich einen Prozessor mit dem Flugsteuerungssystem, was bedeutet, dass keines von beiden durch einen Fehler in der Autopilot-Software außer Betrieb gesetzt werden kann. Beide können auch dann aktiv bleiben, wenn das primäre Flugsystem vollständig ausfällt.

Harter Geofence

Der „Hard Geofence“ bildet die letzte Ebene und ist bewusst einfach gehalten: eine absolute Außengrenze, die den gesamten Luftraum der Veranstaltung umschließt. Erreicht eine Drohne diese Grenze, erfolgt eine sofortige und unumstößliche Reaktion – Motoren abstellen, ohne Ausnahme.

Im Gegensatz zur „Dynamic Bubble“ und zum „Predictive Trajectory Geofence“ ist der „Hard Geofence“ rein reaktiv. Er ist nicht darauf ausgelegt, Fehler zu verhindern oder Flugbahnen vorherzusagen. Seine Aufgabe besteht darin, eine bedingungslose Begrenzung der Flugreichweite jeder Drohne durchzusetzen, unabhängig davon, welche Fehler bei den anderen Systemen aufgetreten sind. Selbst wenn die „Dynamic Bubble“ eine Abweichung nicht erkannt hat und der „Predictive Trajectory Geofence“ nicht eingegriffen hat, bleibt der „Hard Geofence“ aktiv und steht bereit.

Die Geometrie des „Hard Geofence“ ist nicht willkürlich gewählt. Er ist mit ausreichendem Abstand zu den Zuschauerbereichen der Show festgelegt, um sicherzustellen, dass eine Drohne, die mit maximaler Betriebsgeschwindigkeit fliegt, diese Grenze nicht überschreiten und einen geschützten Bereich erreichen kann – selbst unter Berücksichtigung des Trägheitsimpulses, den sie nach dem Abschalten der Motoren mitführt. Mit anderen Worten: Wenn eine mit voller Geschwindigkeit fliegende Drohne die Grenze des „Hard Geofence“ erreicht und ihre Motoren abgeschaltet werden, sorgt die Physik dafür, dass sie zum Stillstand kommt, bevor sie die Zuschauermenge erreicht.

Diese Berechnung erfolgt bewusst und nicht optimistisch. Die Grenze des „Hard Geofence“ ist so festgelegt, dass selbst im schlimmsten Fall – wenn eine Drohne mit Höchstgeschwindigkeit die Grenze erreicht – die Sicherheit gewährleistet ist. Dies ist die endgültige Garantie: Selbst wenn eine Drohne die ersten beiden Ebenen des Geofencing-Systems irgendwie überwinden sollte, definiert der „Hard Geofence“ die absolute Fluggrenze.

Unabhängige Prozessoren: Kein einzelner Ausfallpunkt

Alle drei Systeme wären deutlich weniger effektiv, wenn sie auf derselben Hardware laufen würden. Ein Prozessorausfall, ein Softwarefehler oder ein beschädigter Speicherzustand könnte alles gleichzeitig lahmlegen. Genau diesen Ausfallmodus soll die Hardware-Redundanz verhindern – und nach demselben Prinzip werden auch flugkritische Systeme in der bemannten Luftfahrt ausgelegt.

Bei der X7-Drohne von Verge Aero laufen die Funktionen „Dynamic Bubble“ und „Predictive Trajectory Geofence“ jeweils auf eigenständigen Bordcomputern, die vom primären Flugcontroller getrennt sind. Die Funktion „Hard Geofence“ wird auf einem dedizierten Sicherheitsprozessor ausgeführt. Das bedeutet, dass die drei Geofencing-Ebenen sowohl auf Software- als auch auf Hardware-Ebene unabhängig voneinander arbeiten.

Die praktische Konsequenz: Ein Fehler in der Autopilot-Software, der zum Ausfall des primären Flugcontrollers führt, deaktiviert die Geofences nicht. Ein Hardwarefehler am Geofence-Prozessor hat keine Auswirkungen auf den Flugcontroller. Jedes System ist eine eigenständige Einheit. Das ist nicht nur eine Art „Doppelsicherung“ – es ist die bewusste Beseitigung von Single Points of Failure auf jeder Ebene des Stacks.

Diese Architektur ist einer der Gründe dafür, dass Verge Aero der einzige Hersteller von Schwarmdrohnen ist, der über die EASA-Zulassung „Design Verification Report“ (DVR) verfügt – die höchste Zertifizierung der Europäischen Agentur für Flugsicherheit (EASA) für Drohnenshow-Systeme. Die unabhängigen Geofencing-Prozessoren sind ein wesentlicher Bestandteil dessen, was diese Zulassung widerspiegelt.

Ein System, das Probleme verhindert, bevor sie entstehen

Das Wichtigste, was man über die Geofencing-Architektur von Verge Aero wissen muss, ist die Reihenfolge, in der diese Systeme zum Einsatz kommen sollen. Die „Dynamic Bubble“ soll Abweichungen erkennen, bevor sie zu Gefahren werden. Der „Predictive Trajectory Geofence“ soll außer Kontrolle geratene Drohnen stoppen, bevor sie die harte Grenze erreichen. Der „Hard Geofence“ ist als letzte Sicherheitsmaßnahme konzipiert, die niemals ausgelöst werden muss.

In einem gut geführten Betrieb mit einwandfrei funktionierender Hardware und Software sind alle drei Ebenen jederzeit aktiv – doch eigentlich sollte nur die „Dynamic Bubble“ jemals reagieren müssen. Der „Predictive Trajectory Geofence“ und der „Hard Geofence“ sind für Szenarien vorgesehen, in denen bereits etwas Unerwartetes schiefgelaufen ist. Es handelt sich dabei nicht um optimistische Annahmen, die in die Architektur integriert sind. Vielmehr sind sie das technische Eingeständnis, dass in einem komplexen System mit Hunderten von Flugzeugen irgendwann Unvorhergesehenes eintreten wird – und das System darauf vorbereitet sein muss.

Genau diese Bereitschaft macht den Unterschied zwischen einem Geofencing-System, das speziell für Drohnenshows entwickelt wurde, und einem System aus, das aus Verbraucherhardware adaptiert wurde. Verge Aero hat diese drei Ebenen von Grund auf neu entwickelt – sie wurden von Anfang an in die X7 integriert und nicht nachträglich eingebaut – und mit dem Verge Design Studio verknüpft, sodass die Betreiber vor jeder Show den gesamten Geofencing-Bereich visualisieren können.

---

Wenn Sie mehr darüber erfahren möchten, wie Verge Aero das Thema Sicherheit in den Bereichen Navigation, Software, Kommunikation und Schulung angeht, besuchen Sie unsere Seite zum Thema Sicherheit, entdecken Sie das gesamte System oder lesen Sie den Leitfaden „The Essential Guide to Drone Show Safety“.