La maggior parte dei sistemi per spettacoli con droni si basa su un semplice modello di geofencing a due confini, ereditato dai droni di consumo. L’approccio di Verge Aero è radicalmente diverso: tre livelli indipendenti, due dei quali funzionano su processori separati dal controller di volo, progettati per individuare i problemi in anticipo — non solo al raggiungimento del confine.

Il vecchio modello di geofence "hard" e "soft"

L'approccio tradizionale prevede due perimetri concentrici attorno allo spazio aereo dello spettacolo. Un geofence "morbido" sul bordo esterno attiva un allarme quando un drone si avvicina troppo, dando al pilota la possibilità di intervenire. Un geofence "rigido", situato appena oltre, spegne i motori del drone se questo supera il limite assoluto.

Sulla carta, sembra una soluzione ragionevole. Nella pratica, però, presenta gravi lacune.

Innanzitutto, entrambi i geofence vengono misurati a partire dal confine dello spazio aereo dello spettacolo, non dalla posizione prevista del drone. Un drone può deviare di decine di metri dalla traiettoria pianificata — potenzialmente verso il pubblico — senza mai attivare nessuno dei due confini, purché rimanga all’interno del perimetro complessivo.

In secondo luogo, il geofence fisso è puramente reattivo: interviene solo quando un drone supera la linea. Tuttavia, alle velocità di volo tipiche degli spettacoli con droni, la quantità di moto spinge il drone ben oltre il confine anche dopo lo spegnimento dei motori. Un sistema che interviene solo al confine ha già perso la sfida.

In terzo luogo, in molte implementazioni entrambi i geofence condividono un processore con il controller di volo. Un singolo errore del software può disattivare tutti e tre contemporaneamente — proprio lo scenario che i sistemi di sicurezza sono destinati a prevenire.

L'architettura a tre livelli di Verge Aero affronta direttamente ciascuna di queste lacune.

Geofence morbida “Dynamic Bubble”

Il Soft Geofence rappresenta la prima linea di difesa ed è fondamentalmente diverso da come la maggior parte delle persone concepisce il geofencing. Anziché tracciare un confine fisso ai margini dello spazio aereo dello spettacolo, il Soft Geofence di Verge Aero — denominato Dynamic Bubble — si sposta seguendo la posizione prevista di ciascun drone durante tutto il volo.

In un geofence standard, un drone può deviare di decine di metri dalla rotta prevista e rimanere comunque entro i limiti, purché non abbia raggiunto il confine esterno. In uno spazio aereo di grandi dimensioni, questo tipo di deviazione può passare inosservata fino a quando non diventa pericolosa. La Dynamic Bubble elimina questa lacuna. Ogni drone è tenuto a rimanere entro un raggio ristretto dalla propria posizione di destinazione in ogni momento del volo — non solo all’interno dello spazio aereo più ampio.

Ciò è importante per diversi motivi. Innanzitutto, gli errori di navigazione e la deriva causata dal vento vengono individuati tempestivamente, mentre il drone si trova ancora ben all’interno della zona di sicurezza e c’è ancora tempo per correggere la rotta. In secondo luogo, la “Dynamic Bubble” fornisce un segnale continuo sullo stato di salute del drone: se un drone ha difficoltà a rimanere all’interno della propria bolla, ciò costituisce un indicatore in tempo reale di un problema di navigazione o hardware su cui l’operatore a terra può intervenire.

In terzo luogo, e soprattutto, la “Dynamic Bubble” garantisce che il geofence “morbido” sia significativamente ristretto per ogni drone, indipendentemente dall’estensione dello spettacolo. Che lo spazio aereo sia largo 50 metri o 500, la “Dynamic Bubble” assicura la precisione a livello di singolo velivolo. Un drone che si discosta di 10 metri dalla rotta in uno spazio aereo di 50 metri rappresenta una situazione molto diversa rispetto a uno che si discosta di 10 metri in uno spazio aereo di 500 metri — ma la Dynamic Bubble tratta entrambi con la stessa serietà, poiché il compito del drone è sempre quello di trovarsi nella posizione di destinazione, non semplicemente di trovarsi da qualche parte all’interno dei confini dello spettacolo.

Il Soft Geofence funziona su uno dei computer di bordo indipendenti del drone — separato dal controllore di volo principale — pertanto un guasto al software dell'autopilota non può disattivarlo.

Geofence con traiettoria predittiva

La sfida principale di qualsiasi geofence è di natura fisica. Un drone non si ferma nell’istante stesso in cui i suoi motori si spengono. Alle velocità di volo tipiche degli spettacoli con i droni, un quadricottero continua ad avanzare per inerzia per una distanza considerevole anche dopo che la spinta è stata interrotta. Un geofence che reagisce solo quando il drone attraversa una linea ha già perso la sfida: il drone supererà il confine prima di potersi fermare, anche se il sistema reagisse all’istante.

Il sistema Predictive Trajectory Geofence di Verge Aero risolve questo problema pensando in anticipo anziché reagire sul momento. Anziché attendere che il drone raggiunga il confine rigido, questo sistema proietta continuamente la traiettoria attuale del drone nel futuro. Se il percorso previsto indica che il drone supererà il confine rigido — tenendo conto della sua velocità attuale, della direzione e delle leggi fisiche della decelerazione — il sistema attiva immediatamente lo spegnimento dei motori, prima che si verifichi la violazione.

Non si tratta di un semplice avviso di prossimità. Il geofence predittivo tiene conto del vettore di velocità effettivo del drone, non solo della sua distanza dal confine. Un drone che viaggia lentamente e parallelamente al confine viene trattato in modo molto diverso da uno che si muove rapidamente verso di esso, anche se si trovano alla stessa distanza. Il calcolo del tempo di arrivo al confine tiene conto di curve di decelerazione realistiche, in modo che l'interruzione venga attivata con un margine sufficiente a fermare il drone all'interno del confine rigido anche nello scenario peggiore in termini di quantità di moto.

Il risultato pratico è che un drone affetto da un grave errore di navigazione — che abbia già eluso le correzioni della “Dynamic Bubble” e si trovi ora su una traiettoria diretta verso il confine dello spazio aereo dello spettacolo — verrà fermato prima ancora di raggiungere il confine rigido. L’“Hard Geofence”, descritto di seguito, diventa quindi una vera e propria ultima risorsa, piuttosto che il primo ostacolo tra un drone fuori controllo e il pubblico.

Come la Dynamic Bubble, anche il Predictive Trajectory Geofence funziona su un computer di bordo indipendente. Nessuno dei due sistemi condivide il processore con il controllore di volo, il che significa che nessuno dei due può essere disattivato da un guasto del software dell’autopilota. Entrambi possono rimanere attivi anche in caso di guasto totale del sistema di volo principale.

Geofence rigido

L'Hard Geofence costituisce lo strato finale ed è volutamente semplice: un confine esterno assoluto che racchiude l'intero spazio aereo dello spettacolo. Se un drone raggiunge questo confine, la reazione è immediata e inderogabile: motori spenti, senza eccezioni.

A differenza della “Dynamic Bubble” e del “Predictive Trajectory Geofence”, l’“Hard Geofence” è puramente reattivo. Non è progettato per prevenire errori né per prevedere traiettorie. Il suo compito è quello di imporre un limite incondizionato alla distanza massima che un drone può percorrere, indipendentemente da eventuali malfunzionamenti degli altri sistemi. Anche se la "Dynamic Bubble" non riuscisse a rilevare una deviazione e il "Predictive Trajectory Geofence" non intervenisse, l’“Hard Geofence” rimane attivo e in attesa.

La geometria dell’Hard Geofence non è arbitraria. È impostata con una distanza di sicurezza sufficiente dalle zone riservate al pubblico dello spettacolo per garantire che un drone che viaggia alla massima velocità operativa non possa oltrepassare questo confine e raggiungere un’area protetta — anche tenendo conto della quantità di moto che conserva dopo lo spegnimento dei motori. In altre parole, quando un drone che viaggia a piena velocità raggiunge il confine dell’Hard Geofence e i suoi motori si spengono, le leggi della fisica assicurano che si fermi prima di raggiungere la folla.

Questo calcolo è stato effettuato in modo deliberato, non ottimistico. Il confine dell’Hard Geofence è posizionato in modo tale che anche nello scenario peggiore — un drone che raggiunge il confine alla massima velocità — la sicurezza sia comunque garantita. Questa è la garanzia definitiva: anche se un drone riuscisse in qualche modo a superare i primi due livelli del sistema di geofencing, l’Hard Geofence definisce il limite assoluto di spostamento.

Processori indipendenti: nessun singolo punto di guasto

Tutti e tre questi sistemi sarebbero notevolmente meno efficaci se funzionassero sullo stesso hardware. Un guasto al processore, un errore del software o uno stato di memoria danneggiato potrebbero disattivare tutto contemporaneamente. Questa è la modalità di guasto che la ridondanza hardware è progettata per prevenire — ed è lo stesso principio applicato ai sistemi critici per il volo nell’aviazione con equipaggio.

Sul drone X7 di Verge Aero, le funzioni “Dynamic Bubble” e “Predictive Trajectory Geofence” vengono eseguite su computer di bordo indipendenti, separati dal controller di volo principale. La funzione “Hard Geofence” viene eseguita all’interno di un processore di sicurezza dedicato. Ciò significa che i tre livelli di geofencing operano in modo indipendente sia a livello software che hardware.

La conseguenza pratica: un bug nel software dell’autopilota che causa il malfunzionamento del controllore di volo principale non disattiva i geofence. Un guasto hardware al processore dei geofence non influisce sul controllore di volo. Ogni sistema è un’isola a sé stante. Non si tratta semplicemente di un approccio ingegneristico “a doppia sicurezza”, ma dell’eliminazione deliberata dei singoli punti di guasto a ogni livello dello stack.

Questa architettura è uno dei motivi per cui Verge Aero è l’unico produttore di droni a sciame a detenere l’approvazione EASA Design Verification Report (DVR), la certificazione più alta rilasciata dall’Agenzia europea per la sicurezza aerea (EASA) per i sistemi di spettacolo con droni. I processori indipendenti di geofencing costituiscono un elemento fondamentale di ciò che tale approvazione riflette.

Un sistema progettato per prevenire i problemi prima ancora che si verifichino

L'aspetto più importante da comprendere riguardo all'architettura di geofencing di Verge Aero è l'ordine in cui questi sistemi sono destinati ad agire. La Dynamic Bubble è progettata per intercettare le deviazioni prima che diventino pericoli. Il Predictive Trajectory Geofence è progettato per fermare i droni fuori controllo prima che raggiungano il confine rigido. L'Hard Geofence è progettato per fungere da ultima linea di difesa che non dovrebbe mai attivarsi.

In un sistema ben gestito, con hardware e software funzionanti, tutti e tre i livelli sono attivi in ogni momento — ma solo la “Dynamic Bubble” dovrebbe mai dover intervenire. Il geofence a traiettoria predittiva e il geofence rigido sono previsti per gli scenari in cui si è già verificato un imprevisto. Non si tratta di ipotesi ottimistiche integrate nell’architettura, bensì del riconoscimento da parte degli ingegneri che, in un sistema complesso che coinvolge centinaia di aeromobili, prima o poi si verificherà un imprevisto — e il sistema deve essere pronto.

Questa prontezza è ciò che distingue un sistema di geofencing progettato appositamente per gli spettacoli con droni da uno adattato da hardware di consumo. Verge Aero ha sviluppato questi tre livelli partendo da zero — integrandoli nell’X7 sin dalla fase iniziale di progettazione, senza ricorrere a modifiche successive — e li ha integrati con Verge Design Studio, in modo che gli operatori possano visualizzare l’intero perimetro di geofencing prima di ogni spettacolo.

---

Per saperne di più sull’approccio di Verge Aero alla sicurezza in materia di navigazione, software, comunicazione e formazione, visita la nostra pagina dedicata alla sicurezza, esplora il sistema completo o leggi la Guida essenziale alla sicurezza degli spettacoli con i droni.