Innovazioni del Galileo rispetto al GPS

Galileo si è posto fin dall’inizio l’obiettivo di migliorare i servizi offerti dai già presenti sistemi di navigazione satellitare, proponendo una copertura, una precisione e una disponibilità molto più elevate. La precisione è stata migliorata grazie ad una caratteristica molto importante, ovvero l’interoperabilità, cioè la possibilità di combinare i satelliti del GPS e del Galileo. Con questa tecnica il numero di satelliti a disposizione diventa molto più elevato, quindi i segnali inviati sono più numerosi e questo consente di avere maggiore disponibilità del servizio, permettendo di raggiungere anche luoghi dove prima potevano crearsi delle zone d’ombra a causa degli edifici molto alti nelle grandi città. Inoltre i satelliti del Galileo sono stati mandati in orbita in una posizione tale da avere una maggiore copertura globale. Galileo ha migliorato anche i servizi offerti dal GPS, fornendone alcuni addirittura mai utilizzati prima, come il servizio di integrità. L’affidabilità del sistema, la possibilità di accedere ai dati grezzi non elaborati, la maggiore precisione, sono solo alcune delle innovazioni che il Galileo ha portato rispetto al GPS e, dato che è nato da pochi anni è ancora in fase di sviluppo e si sta tentando tutt’ora di migliorare ulteriormente il sistema. Il numero di dispositivi ed utenti che si avvalgono di Galileo per i servizi di posizionamento satellitare è veramente enorme, infatti, considerando che è entrato in servizio solamente nel 2016, in soli tre anni ha raggiunto più di un miliardo di utilizzatori.

I sistemi presenti prima della nascita di Galileo, ovvero GPS e GLONASS, sono stati sviluppati per uno scopo principalmente militare. Successivamente sono stati resi disponibili anche in ambito civile, ma sussiste ancora oggi il rischio che da un momento all’altro i Governi possano decidere di oscurare il segnale civile ovunque o in determinate aree, mettendo in pericolo e in crisi chi ne viene colpito. Tale scenario è quello più critico, ma bisogno tenere conto anche di altri aspetti negativi del sistema americano:

-Non fornisce alcuna garanzia di continuità del servizio, infatti il DoD potrebbe “spegnere” il sistema senza preavviso;

-Il livello prestazionale non è garantito, infatti il DoD potrebbe introdurre degli errori con conseguente decremento della precisione del sistema;

- Accesso a pagamento ai servizi per avere una maggiore precisione, con ricaduta su quei settori che necessitano del loro utilizzo, per esempio la sicurezza

64

Quindi, alla luce di questi aspetti, Galileo è una risorsa fondamentale per l’Europa perché la rende indipendente da altri Stati e fornisce un servizio accessibile a chiunque e con uno standard più elevato di affidabilità e precisione. I vantaggi del Galileo possono essere così riassunti:

-GALILEO è nato per scopi civili, quindi il mondo militare può utilizzarlo, ma non ha controllo su di esso, a differenza di GPS, che è stato progettato principalmente per usi militari. GALILEO garantisce anche un alto livello di continuità, fondamentale nell’ambito civile e specialmente commerciale;

-utilizza la stessa tecnologia del GPS, ma fornisce una precisione molto più elevata grazie alla migliore disposizione spaziale dei satelliti, permettendo anche di raggiungere le latitudini più estreme;

-GALILEO, inoltre, è più affidabile perché trasmette anche un messaggio di integrità, informando l'utente immediatamente in caso di errore;

- GALILEO è anche complementare a GPS, quindi garantisce la continuità del servizio anche in caso di oscuramento pianificato o meno dell’altro sistema;

-sfrutta le infrastrutture proprie e quelle del GPS in modo coordinato, in questo modo offre notevoli vantaggi in termini di precisione e sicurezza;

-gli utenti possono avvalersi di un unico ricevitore per ricevere il segnale proveniente dai due sistemi.

4.1.1 Un’importante innovazione: l’integrità

L'integrità può essere definita come una misura della fiducia che può essere posta nella correttezza delle informazioni fornite dal sistema. L'integrità include la capacità del sistema di navigazione di fornire agli utenti avvisi (alert) tempestivi e validi quando il sistema non deve essere utilizzato per l'operazione prevista (ICAO62_{, 2006). Nell’attuale struttura di}

Galileo l’integrità riguardante gli errori SIS è raggiunta mediante lo studio di due parametri:

65

Signal-In-Space Accuracy (SISA) e Integrity Flag (IF). Insieme alle nuove effemeridi satellitari e ai modelli di clock trasmessi agli utenti, viene inviato anche il SISA, che è una previsione degli errori associati a un determinato livello di confidenza per l'intera area di copertura e valido per il tempo di applicabilità dei modelli.

Il calcolo di questo parametro viene eseguito in un altro elemento del GMS denominato OSPF63 (Orbitography and Synchronization Processing Facility) sulla base del trattamento dei dati off-line. Inoltre, per soddisfare i requisiti stringenti di integrità, come il tempo massimo di avviso (TTA), si trasmettono in tempo reale i flag di integrità, che informano gli utenti se il SISA sta correttamente gestendo o meno gli errori SIS in quel momento.

Il Signal-In-Space Accuracy (SISA) ha un ruolo importante nel concetto di integrità di Galileo, in quanto dovrebbe far fronte agli errori del messaggio di navigazione in maniera impeccabile. Gli algoritmi preposti al calcolo SISA sono molto complessi e richiedono uno studio molto approfondito.

Per convalidare il messaggio di navigazione trasmesso dai satelliti, viene eseguita una stima indipendente del Signal-In-Space Error (SISE) in tempo reale. Questa stima, che è generata attraverso un processo casuale con un'incertezza associata, consente la verifica dell'overbounding del SISE reale trasmesso da parte del SISA. L'ipotesi fatta in questo caso è che la differenza tra il vero SISE proiettato al Worst User Location (WUL) e quello stimato possa essere superata da una distribuzione gaussiana con una deviazione standard pari a SISMA64. In questo contesto, il SISMA può essere considerato una misura di qualità del controllo di integrità all'interno dell'IPF.

63 _{È la determinazione dei dati di navigazione da diffondere agli utenti di Galileo attraverso Galileo Signal-}

In-Space.

64 _{Signal-in-space monitoring accuracy}

66

Figura 45: Rappresentazione del SISA e del SISMA

Dal punto di vista operativo, il design dell'IPF non considera alcun intervento umano in tempo reale, quindi i fattori chiave sono la robustezza e l'affidabilità degli algoritmi, derivati direttamente dai rigidi requisiti di integrità e continuità.

Il concetto di integrità può essere riassunto come segue:

-Rischio di integrità: probabilità che vi sia un errore che supera la soglia limite, ma comunque l’utente non viene avvertito in tempo

-Alarm Limit: è l’errore massimo di posizionamento tollerato, superato tale valore il sistema deve avvertire l’utente

- Time To Alarm: è l’intervallo di tempo massimo entro il quale il sistema deve comunicare all’utente la presenza di un qualsiasi errore; in media questo intervallo per i Galileo è di 6 secondi

- Rischio di continuità: possibilità che il sistema indichi un errore, ma in realtà non è presente; questo implica l’indisponibilità de sistema per qualche secondo

Questo servizio è disponibile in tutto il mondo gratuitamente, ma per poterlo utilizzare gli utenti devono avere un ricevitore a doppia frequenza.

67 4.2 Il problema del GPS

L'attuale sistema GPS di per sé non fornisce livelli adeguati di integrità, continuità e requisiti di tempo di allerta per garantire l'affidabilità per le applicazioni di sicurezza della vita quotidiana. Si stanno sviluppando e implementando sistemi di potenziamento per affrontare alcune di queste carenze, ma aspetti inerenti alle attuali architetture rendono difficile raggiungere i livelli di prestazione richiesti, come specificato negli standard RTCA. Un obiettivo importante per le future generazioni di sistemi di navigazione satellitare è quello di soddisfare e superare le garanzie del servizio di aiuti alla navigazione radio attualmente forniti, come il sistema di atterraggio strumentale (ILS65_{), la portata radio omnidirezionale}

VHF (VOR66_{) e le apparecchiature di misurazione della distanza (DME). Pertanto, superare}

i limiti dei sistemi a terra e fornire una qualità del servizio coerente con gli standard FAA67

è un requisito primario per un sistema GPS di nuova generazione.

Il monitoraggio più efficace dei segnali satellitari è quello effettuato a bordo, dove vengono generati i segnali. Integrare le capacità di rilevamento dei guasti e di allerta all'interno della piattaforma satellitare consentirebbe un rapido rilevamento dei guasti dato che la maggior parte delle anomalie si verifica a bordo dei satelliti, come rivelato dallo studio Integrity Failure Modes and Effects Analysis (IFMEA). Le caratteristiche necessarie per fornire tale servizio di monitoraggio sono state già specificate e potrebbero essere implementate su una piattaforma spaziale molto presto. Poiché il segnale dell'orologio satellitare è la base per tutti gli altri segnali derivati, il rilevamento e la rimozione delle anomalie dell'orologio elimina molte cause di alterazione del segnale. Il controllo preciso e affidabile dei segnali di clock normalmente richiede un segnale di riferimento più stabile. Tuttavia, un approccio rigoroso, coerente con stringenti criteri di integrità, consiste nel valutare le prestazioni degli standard atomici combinando un confronto accurato di fase o tempo tra più orologi di tipo simile. Fondamentalmente, la navigazione tramite il GPS funziona fornendo segnali sincronizzati da posizioni note nello spazio, come detto precedentemente. Sia la sincronizzazione del

65 _{È un sistema elettronico di terra e di bordo ideato per guidare gli aeromobili nella fase finale di un}

avvicinamento strumentale di precisione verso la pista di un aeroporto.

66 _{Very High Frequency Omnidirectional Range, è un sistema di radionavigazione per aeromobili; dal 1949}

l'ICAO lo ha definito come standard per le navigazioni a corto e medio raggio, sostituendo i radiosentieri a quattro braccia funzionanti in bassa frequenza.

67 _{Federal Aviation Administration (FAA), in italiano Amministrazione dell'Aviazione Federale, è l'agenzia}

del Dipartimento dei Trasporti statunitense incaricata di regolare e sovrintendere a ogni aspetto riguardante l'aviazione civile. Insieme all'Agenzia europea per la sicurezza aerea (EASA), è una delle due maggiori agenzie mondiali responsabili per la certificazione dei nuovi aeroplani.

68

segnale che le posizioni dei satelliti effettivamente ricevute dagli utenti sono previsioni che sono state caricate sui satelliti in genere fino a 24 ore prima. Sebbene questi set di dati siano attualmente caricati nominalmente una volta al giorno su ciascun satellite, i caricamenti di emergenza vengono eseguiti più spesso. Le trasmissioni di dati con collegamenti incrociati sono state considerate come un mezzo per abbreviare il periodo tra i caricamenti. Con questo metodo, la stazione di controllo a terra carica i dati dell'intera costellazione su un satellite. Il sistema di comunicazione cross-link propaga quindi i rispettivi dati a ciascun membro della costellazione. Queste previsioni si basano su misurazioni pseudo-range effettuate presso le stazioni di monitoraggio a terra. Tuttavia, un'anomalia nell'orologio deve essere segnalata entro pochi secondi a causa dei requisiti più stringenti della navigazione aerea. Il Time-to- Alert (TTA) per le cosiddette Categorie I, II e III è riportato nella seguente tabella:

Il confronto continuo degli orologi a bordo dei satelliti potrebbe fornire misurazioni affidabili per rilevare guasti imminenti ed effettivi del segnale dell'orologio, soddisfacendo i requisiti TTA più severi direttamente dai satelliti. Per garantire questi requisiti, un sistema di misurazione accurato che misuri più orologi contemporaneamente è fondamentale. In questo sistema è necessaria una velocità di misurazione significativamente più veloce del requisito del tempo di allerta. Ad esempio, la misurazione a una frequenza di 10 Hz consentirebbe misurazioni ripetute per aumentare la certezza all'interno di una finestra TTA di 6 s. Per trovare l’errore, sono necessarie almeno tre fonti indipendenti per il cosiddetto “voto a maggioranza”. Questa capacità di monitoraggio a bordo fornirebbe un rilevamento immediato delle anomalie nell'orologio e fornirebbe un mezzo per migliorare la continuità e la disponibilità. Lo stato del sistema risultante potrebbe essere inserito nel messaggio di navigazione per la trasmissione diretta agli utenti e alle stazioni di monitoraggio del

69

segmento di terra, fornendo così una capacità di allerta in tempo reale al sistema. I dati associati all'indicazione di guasto potrebbero anche essere trasmessi al segmento di controllo per azioni diagnostiche e riparatrici.

Il raggiungimento dei requisiti di integrità e tempo di allerta per l'aviazione richiede la capacità di rilevare anomalie reali e falsi allarmi con alta probabilità per evitare il verificarsi di informazioni fuorvianti, che talvolta potrebbero essere anche pericolose. I sistemi di clock, come gli standard atomici sul GPS, presentano anomalie e deviazioni che possono essere dannose dal punto di vista dell'integrità. Le deviazioni osservate nei sistemi di temporizzazione includono:

- scambi occasionali negativi o anomali,

- cambi di fase nel nell'orologio che successivamente tornano a valori stabili o prevedibili, - cambi di fase nell'orologio che non tornano ai valori previsti,

- deviazioni di frequenza che ritornano ai valori previsti.

Queste anomalie possono verificarsi singolarmente o in combinazione, improvvisamente o per un certo periodo di tempo. Situazioni così gravi legate alle anomalie dell'orologio satellitare possono essere risolte rilevando queste alterazioni a bordo, dove il funzionamento dell'orologio può essere monitorato in tempo reale senza ulteriori disturbi o errori aggiunti dalla comunicazione e dalla misurazione da terra. A tal fine, sono necessari standard di frequenze ridondanti a bordo, misurazioni incrociate tra più satelliti o entrambe.

4.2.1 Impatto dei salti di frequenza sull’integrità del segnale

Le varianze di Allan68 e le matrici di Hadamard69 vengono generalmente utilizzate per descrivere la stabilità degli standard di frequenza atomica. Tuttavia, nessuna delle due è adatta per mostrare gli effetti di interruzioni di frequenza ben distanziate. Questo perché queste varianze quantificano idealmente i livelli di rumore degli orologi di prova su un periodo di campionamento infinitamente lungo. Interruzioni come quelle sperimentate negli orologi GPS Block IIR e IIF avranno scarso effetto su lunghi periodi di campionamento delle

68 _{È una misura della stabilità in frequenza di un orologio, un oscillatore o un amplificatore.}

69 _{Sono utilizzate in codici di correzione degli errori, come il codice di Reed–Muller. Le matrici di Hadamard}

sono anche usate nella replica a ripetizione bilanciata (Balanced Repeated Replication, in sigla BRR), adoperata dagli statistici per stimare la varianza di un parametro indice.

70

varianze. Le variazioni calcolate su periodi di tempo relativamente brevi che includono una o più interruzioni di frequenza mostreranno un certo degrado.

Un altro modo per esaminare gli effetti è quello di analizzare le interruzioni di fase inaspettate. Un'interruzione della frequenza di 1 × 10-13 secondi comporterebbe un errore di tempo di 8,6 ns (circa 3 m di errore di portata) nelle 24 ore. Nelle operazioni normali, il segmento di controllo del GPS potrebbe eseguire un caricamento di dati per correggere l'errore. Senza un caricamento, l'errore continuerebbe a propagarsi. Interruzioni di frequenza maggiori potrebbero anche causare errori di tempo che superano i limiti di integrità FAA. La soglia di errore di integrità è un valore che non dovrebbe essere superato senza un avviso di integrità. Consideriamo il valore di 0,7 m, come specificato nelle specifiche del sistema GPS, come un valore piuttosto ragionevole per fornire un avviso di integrità del velivolo per un avvicinamento di precisione. Nella Figura sotto, prendiamo il requisito di 0,7 m e lo confrontiamo con l'effetto prodotto dai salti di frequenza. I salti di frequenza supererebbero la soglia di 0,7 m dopo poche ore. Di conseguenza, dovranno essere rilevati e corretti. Per ridurre tale rischio si dovrebbero sviluppare degli orologi che non commettano questi errori.

L'aumento di questo problema è dovuto al fatto che gli standard di frequenza atomica GPS raramente producono una distribuzione gaussiana delle deviazioni dalla previsione. Ciò è dovuto al design standard della cella a vapore di rubidio in uso per i blocchi IIR e IIF e III. La distribuzione delle deviazioni dell'orologio dipende dalle statistiche che caratterizzano sia le prestazioni dell'orologio in stato stazionario, sia le frequenze occasionali che non sono

71

stazionarie. È necessario eseguire una valutazione completa di questo problema per gli orologi GPS. Con un modello gaussiano70, una probabilità di 10-7, come richiesto per CAT- I, viene raggiunta consentendo dati entro 5,33 deviazioni standard71. Poiché i dati degli orologi esistenti non sono gaussiani la distribuzione risultante non può essere conosciuta. Per consentire un'analisi dei requisiti di clock relativi a una soglia di errore di integrità, selezioniamo un valore di 10 volte la deviazione come ipotesi ragionevole.

Un secondo concetto cruciale per comprendere il monitoraggio dell'orologio di bordo è la relazione tra stabilità dell'orologio, o prevedibilità, e l'intervallo di aggiornamento. Più lungo è l'intervallo di aggiornamento, più rigorosi sono i requisiti per le prestazioni dell'orologio. Per il monitoraggio dell'integrità, l'intervallo di aggiornamento deve essere realizzabile con i requisiti di affidabilità per l'integrità nell'aviazione. I sistemi di dati cross-link avanzati possono ottenere aggiornamenti ogni ora o anche ogni 15 minuti, ma forse non in modo abbastanza affidabile. Data l'attuale velocità di un aggiornamento al giorno, è più prudente progettare sistemi per soddisfare l'attuale linea operativa fino a quando i futuri sistemi non saranno sviluppati e testati.

Un terzo presupposto è quello della soglia di errore di integrità. Questo è un valore di errore che non dovrebbe essere superato senza un avviso di integrità. Come nell’esempio di prima, prendiamo di nuovo il valore di 0,7 m, come specificato nelle specifiche del sistema GPS, come un valore in qualche modo ragionevole per fornire un avviso di integrità all'aeromobile per un avvicinamento di precisione. La Figura qui sotto combina questi concetti per illustrare graficamente la loro interazione.

70 _{È una distribuzione di probabilità continua che è spesso usata come prima approssimazione per descrivere}

variabili casuali a valori reali che tendono a concentrarsi attorno a un singolo valor medio.

71 _{È un indice di dispersione statistico, vale a dire una stima della variabilità di una popolazione di dati o di}

72

Figura 47: Integrità nel GPS III

La figura confronta la deviazione di vari orologi avanzati con 1/10 delle prestazioni richieste per soddisfare una soglia di errore di previsione di 0,7 m. L'asse verticale è la deviazione di Hadamard di un orologio. Quindi, supponendo che la deriva possa essere rimossa, confrontiamo la prevedibilità degli orologi senza deriva. L'asse orizzontale è l'intervallo di tempo tra gli aggiornamenti. Quindi, vediamo la stabilità di ogni orologio come una funzione dell'intervallo che sarebbe necessario all'orologio per mantenere determinate prestazioni. Un orologio supporta la soglia di errore nel grafico quando la sua curva di stabilità si trova al di sotto della linea rossa. Quindi, vediamo che tutti gli orologi illustrati si trovano al di sotto del requisito di dieci deviazioni fino a quasi 1 giorno. Questo modello implica che sarebbe necessario un orologio più avanzato per supportare un vero periodo di aggiornamento di 1 giorno. La stimata IIF Rubidium Atomic Frequency Standard (RAFS72) e le prestazioni richieste per gli orologi Advanced Technology Atomic Frequency Standard (ATAFS) si trovano al di sotto del limite rosso per il periodo di aggiornamento di 15 minuti e rimangono al di sotto per circa un periodo di aggiornamento di mezza giornata. Con un orologio avanzato più stabile, sarebbe possibile ottenere la stabilità richiesta con l'attuale modalità operativa del periodo di aggiornamento di 1 giorno.

Nella Figura 3 si vede anche che un avanzato sistema di misurazione incrociato potrebbe supportare una soglia di 1/10 di 0,7 m confrontando gli orologi tra satelliti adiacenti a velocità di aggiornamento fino a 1 al giorno. Il disturbo delle misurazioni incrociate può

72 _{È un orologio al rubidio ad alte prestazioni e altamente qualificato per le operazioni spaziali sviluppato per}

73

essere più vicino all’andamento gaussiano rispetto al rumore del clock. Tuttavia, la velocità delle misurazioni incrociate, che non è trattata in questa stima del rumore, dovrebbe essere molto veloce rispetto al TTA.