En muchos aspectos, desarrollar un vehículo terrestre autónomo seguro es un desafío mucho mayor que desarrollar un avión autónomo seguro. Un vehículo autónomo no solo debe identificar e interpretar las acciones de otros vehículos cercanos, semáforos y marcas viales , que a menudo varían entre localidades, sino que también debe comprender y ser capaz de responder a las acciones impredecibles de los peatones y la vida silvestre que cruzan la vía del vehículo. .
Cora autónoma de Wisk
Wisk está adoptando un enfoque directo a la autonomía con su Cora eVTOL, que probablemente retrasará su aprobación para las operaciones por parte de los reguladores. Foto de Wisk
Hay menos objetos para identificar y rastrear en el aire, ya que no hay peatones, ciclistas, señales de tráfico ni marcas en las carreteras en el cielo, aunque las aves siguen siendo un problema. Las aeronaves autónomas utilizarán una serie de sensores, radares y visión por computadora para detectar objetos en el aire, desde aves hasta drones y otras aeronaves, con una confiabilidad mucho mayor que la vista humana. Sin embargo, las velocidades y distancias inherentes a la aviación son un desafío tanto para las capacidades de detección como de procesamiento.
Agregar una tercera dimensión, la altitud, proporciona más flexibilidad y previsibilidad en el entorno en el que pueden operar aviones autónomos. Esto también es tanto una bendición como una maldición; Si un vehículo terrestre no está seguro de su entorno, tiene la opción de simplemente detenerse o detenerse. En el cielo, aterrizar no es una tarea tan simple, y la ineficiencia de muchos aviones eVTOL en vuelo estacionario significará que “detenerse” tampoco es lo ideal.
El desafío mucho mayor para las aeronaves autónomas es la certificación de sistemas aéreos autónomos. El software o la programación de cualquier sistema informático de la aeronave debe desarrollarse y certificarse de acuerdo con el impacto de una falla del sistema en la seguridad de la aeronave, la tripulación y los pasajeros. Hay cinco niveles, de A a E, de certificación basados en RTCA DO-187C, Consideraciones de software en la certificación de equipos y sistemas aerotransportados. El nivel A, el nivel más alto de certificación de seguridad, se requiere para los sistemas designados como “críticos para el vuelo”, que, por ejemplo, se aplica al piloto automático de la aeronave, la navegación y todos los sistemas fly-by-wire en todas las aeronaves certificadas. El nivel E se aplica a los sistemas aéreos con un impacto mínimo o nulo en la seguridad, como las consolas de entretenimiento. Según los estándares de certificación actuales, los sistemas autónomos y su programación se considerarían críticos para el vuelo y requerirían el nivel de certificación de seguridad más alto, aunque los niveles de requisitos de la FAA y EASA para las aeronaves eVTOL aún no se han finalizado.
El marco actual de certificación de software de la FAA plantea desafíos importantes para la certificación de sistemas autónomos que no son deterministas. Los estándares actuales requieren la verificación de cada salida del sistema para garantizar que el sistema no generará un comando que ponga en peligro la seguridad del vuelo. Por diseño, la salida de un sistema no determinista no se puede predecir ya que el sistema puede elegir un número infinito de vías para producir la salida deseada. Por lo tanto, es imposible probar y verificar que cada salida del sistema cumpla con los estándares de seguridad y garantía de certificación actuales.
Para lidiar con sistemas no deterministas, la mayoría de los desarrolladores de software que utilizan el aprendizaje automático con fines de autonomía tienen la intención de “congelar” una versión del software de su sistema que cumpla con los requisitos, probarla sin descanso y luego someterla al proceso de certificación para garantizar que sea segura para los aviones de pasajeros. . Esto presenta el desafío de actualizar el software de la aeronave a medida que se logra un nuevo aprendizaje: cualquier cambio en el software de la aeronave requiere una recertificación del software antes de su uso. En lugar del aprendizaje en tiempo real, las actualizaciones del sistema se generan mediante la recopilación de datos de vuelo de aeronaves operativas y de prueba que se pueden utilizar para volver a capacitar y desarrollar una versión mejorada del software del sistema. Incorporar ese aprendizaje requiere una gran cantidad de tiempo y esfuerzo para recertificar el sistema actualizado,
La velocidad a la que pueden avanzar los sistemas de autonomía está estrechamente relacionada con la rapidez con la que los desarrolladores podrán incorporar nuevos datos, mejorar el sistema y enviar una versión actualizada a la flota global para reiniciar el proceso. Los sistemas de certificación actuales no permitirán que esto se haga rápidamente, ya que el proceso de certificación a menudo se mide en años y millones de dólares. Esto está en marcado contraste con el software automotriz, que en algunos modelos se actualiza de forma remota cada dos semanas. Proporcionar la capacidad de realizar actualizaciones que mejoren la seguridad del software de aviación avanzado de manera oportuna y rentable será fundamental para el despliegue seguro de esta tecnología, ya que una de las principales ventajas de la autonomía sobre los pilotos humanos es que una vez que el software ha sido fijo,
Debido a estos desafíos que rodean a los sistemas autónomos y altamente automatizados, los requisitos de certificación actuales y los estándares de orientación para los sistemas y el software de las aeronaves están experimentando importantes revisiones por parte de los grupos de estándares ATSM, SAE y RTCA. Un enfoque de diseño y certificación, Diseño y operaciones autónomos en la aviación: marco de requisitos y terminología, desarrollado por ASTM (AC377), evalúa los riesgos y beneficios de automatizar sistemas de aeronaves individuales o funciones de piloto en lugar de evaluar el vehículo por “Niveles de autonomía”, un enfoque de clasificación común utilizado para vehículos terrestres. El marco propone evaluar el beneficio de seguridad adicional y la confiabilidad de automatizar un sistema o función, incluso si el sistema no es perfecto, pero en general aumenta la seguridad en comparación con las opciones humanas disponibles. Este enfoque de la certificación permite la flexibilidad de aumentar la automatización / autonomía de la aeronave a lo largo del tiempo, lo que lleva a la certificación de aeronaves donde se realizan de forma autónoma sistemas o funciones específicos. Por ejemplo, el piloto podría controlar el rumbo, la velocidad y la altitud de una aeronave, pero la aeronave realiza automáticamente despegues y aterrizajes.
La implementación de este enfoque, sin embargo, requiere el desarrollo de estándares para medir el desempeño de un sistema autónomo. Medir su desempeño contra los estándares humanos es más complicado de lo que uno podría pensar porque el desempeño de los pilotos humanos varía en un amplio espectro de habilidades, lo que plantea la cuestión de qué nivel de desempeño debe cumplir el sistema. Como todo lo demás, cuanto mejor es el sistema, más caro es desarrollarlo y certificarlo. Si cada sistema autónomo está certificado al más alto nivel de garantía de diseño, entonces desarrollar y construir la aeronave será demasiado costoso para el uso previsto.
Operaciones totalmente autónomas
Tradicionalmente, los sistemas avanzados de aeronaves, como los pilotos automáticos, se han basado en pilotos humanos como respaldo en caso de falla del sistema. Si se produce un error, el sistema devuelve el control de la aeronave a los pilotos. Este no es un enfoque sólido de la seguridad, ya que los humanos no siempre son copias de seguridad confiables, como se discutió en nuestra columna anterior , y a menudo pueden ser la causa del problema en primer lugar. Además, el uso de humanos como respaldo aumenta la carga de entrenamiento de los pilotos humanos, que requieren reentrenamiento periódico ya que el entrenamiento se vuelve obsoleto con el tiempo. Finalmente, la construcción de sistemas autónomos para devolver el control a un ser humano cuando algo falla, en primer lugar, frustra el objetivo final de la autonomía y socava su caso de seguridad.
En cambio, se deben encontrar vías que permitan que un sistema autónomo o altamente automatizado funcione por sí solo a través de arquitecturas de alta confiabilidad y fallas. En una situación fuera de lo nominal, como un mal funcionamiento del sistema mecánico o un rendimiento degradado del sistema, un sistema autónomo con falla funcional será capaz de reconocer que está en un estado degradado y procederá a activar un modo flácido o seguro que operará o aterrizará de manera segura. el avión.
Una solución de respaldo es “vincular” el sistema autónomo o altamente automatizado con un monitor de seguridad mucho más simple, lo que asegura que el desempeño y los comandos generados por el sistema autónomo sean confiables (ver ATSM F3269 ). En caso de que el monitor de seguridad detecte un rendimiento degradado del sistema o una falla, el monitor toma el control y vuelve a un modo de operación más simple, menos adaptable pero más determinado. Esto se conoce comúnmente como garantía de tiempo de ejecución. En el caso de que un sistema de visión por computadora falle y no pueda verificar la seguridad de un área de aterrizaje no mejorada, por ejemplo, en lugar de que el piloto se haga cargo, un sistema de respaldo utilizará procedimientos de aterrizaje por instrumentos y ayudas a la navegación para aterrizar en un helipuerto conocido o pista.
Conclusión
Se están realizando esfuerzos continuos de colaboración entre los desarrolladores autónomos y los reguladores para definir requisitos y procedimientos que permitirán que la autonomía se convierta en una parte cada vez mayor de la aviación. Al igual que con cualquier nueva tecnología, es fundamental proceder de forma deliberada y con precaución para garantizar que nuestros enfoques de certificación sean beneficiosos para la seguridad de las aeronaves. Si somos demasiado restrictivos en nuestro enfoque, la industria se verá obstaculizada. Alternativamente, si somos demasiado permisivos, es probable que veamos accidentes prevenibles, lo que puede retrasar aún más la industria.
Fuente eVtol
