Schiaparelli, la lezione di Marte su sensori, software e decisioni automatiche

Dieci anni dopo la discesa della sonda Schiaparelli su Marte, il 19 ottobre 2016, il caso del dimostratore europeo mostra quanto sia delicato trasformare le misure in comandi

Una riflessione sull’affidabilità dei sistemi autonomi e sul valore scientifico dell’analisi degli errori

Il 19 ottobre 2016, attorno a Marte, la missione ExoMars affrontava due passaggi decisivi. Il Trace Gas Orbiter doveva rallentare per essere catturato dalla gravità del pianeta, mentre il dimostratore Schiaparelli scendeva verso la superficie. L’orbiter completò correttamente la manovra; il modulo di atterraggio perse il contatto prima di concludere la propria sequenza. A dieci anni di distanza, quei due esiti ricordano perché occorra distinguere gli obiettivi e i risultati delle diverse componenti di una missione spaziale. esa.int

Schiaparelli offre soprattutto un caso concreto per comprendere il rapporto tra sensori, software e decisioni automatiche. Una macchina può raccogliere informazioni e applicare le istruzioni ricevute senza riuscire a rappresentare correttamente la situazione in cui si trova. Quando quella rappresentazione orienta comandi irreversibili, la verifica delle stime diventa una parte essenziale della sicurezza.

Una discesa da compiere in autonomia

Schiaparelli era un dimostratore tecnologico: serviva a mettere alla prova le tecniche di ingresso nell’atmosfera, discesa e atterraggio. Trasportava anche strumenti scientifici, ma il suo compito principale era sperimentare una procedura per raggiungere il suolo marziano.

Il piano prevedeva una successione precisa di operazioni: protezione attraverso lo scudo termico, apertura del paracadute, separazione di alcune componenti e frenata finale mediante propulsori. Il sistema avrebbe dovuto completare autonomamente questa sequenza, fino alla breve caduta conclusiva su una struttura capace di assorbire l’urto. esa.int

In una procedura del genere, il computer deve continuamente rispondere a domande operative: come è orientato il veicolo? Quanto rapidamente si muove? A quale distanza si trova dalla superficie? Ogni risposta deriva da misure e calcoli, e condiziona il momento in cui eseguire l’azione successiva.

Quando la stima si allontana dalla realtà

L’indagine dell’ESA ricostruì una catena precisa. Dopo l’apertura del paracadute, Schiaparelli sperimentò velocità di rotazione inattese. L’unità di misura inerziale, che rilevava la rotazione del modulo, entrò brevemente in saturazione: venne superato l’intervallo entro cui poteva misurare correttamente.

Il software produsse quindi una stima errata dell’orientamento. Combinata con le successive misure radar, questa portò il computer a calcolare una posizione sotto il livello del terreno. La sequenza proseguì con il distacco anticipato del paracadute e della protezione posteriore, l’accensione dei propulsori per circa tre secondi anziché trenta e l’attivazione delle funzioni previste per la permanenza al suolo. Il modulo si trovava invece ancora a circa 3,7 chilometri di quota. Schiaparelli landing investigation completed

Il punto decisivo è il passaggio dalla misura alla sua interpretazione. Il valore restituito da uno strumento acquista significato all’interno di un modello: se il modello utilizza un orientamento sbagliato, anche altre informazioni possono contribuire a una conclusione incompatibile con la situazione reale.

Misurare, stimare e decidere sono operazioni diverse

Per comprendere il problema è utile distinguere tre livelli. Il sensore produce una misura; il software la utilizza per stimare lo stato del veicolo; il sistema di controllo sceglie un comando sulla base di quella stima. L’affidabilità dipende dall’intera relazione tra questi passaggi.

Un dato numerico può apparire preciso senza descrivere correttamente ciò che serve conoscere. Analogamente, un calcolo può essere eseguito secondo le istruzioni previste e condurre comunque a una rappresentazione errata, perché le condizioni incontrate superano quelle considerate dal modello.

Da qui nasce una domanda generale di progettazione: come deve comportarsi una macchina quando le proprie stime diventano contraddittorie o fisicamente implausibili? Riconoscere questa condizione richiede controlli espliciti, criteri di coerenza e procedure pensate anche per le anomalie.

Aggiungere strumenti può essere utile, ma occorre progettare anche il modo in cui le informazioni vengono confrontate. Più misure non garantiscono automaticamente una decisione migliore se il sistema le combina attraverso un’ipotesi sbagliata.

Il collegamento con l’intelligenza artificiale

Schiaparelli non va presentato come un incidente causato dall’intelligenza artificiale generativa: il caso riguarda la navigazione e il controllo automatico di un veicolo spaziale. Offre però un confronto utile con problemi che oggi attraversano anche il dibattito sull’IA.

In entrambi gli ambiti è necessario chiedersi quali informazioni sostengano un risultato, quali condizioni ne limitino la validità e che cosa accada quando una conclusione viene utilizzata per agire. L’autonomia operativa rende ancora più rilevante questa distinzione: produrre una risposta e autorizzare un’azione comportano responsabilità progettuali differenti.

L’analogia riguarda dunque la necessità di verificare i risultati e gestire l’incertezza. Le tecnologie restano diverse, ma condividono un’esigenza: rendere riconoscibili i casi in cui il sistema non dispone di una rappresentazione sufficientemente affidabile.

Perché conservare i dati dell’errore

La ricostruzione dell’incidente fu possibile grazie alla telemetria trasmessa durante la discesa e registrata dal Trace Gas Orbiter. Quei dati permisero di seguire la successione degli eventi e individuare debolezze da affrontare nella preparazione e nella verifica dei sistemi. Schiaparelli landing investigation completed

Questo aspetto riguarda il metodo scientifico oltre che l’ingegneria. Un esito negativo diventa informativo quando lascia tracce analizzabili: misure, tempi, condizioni e comandi che consentano di confrontare ciò che era previsto con ciò che è avvenuto.

Il valore della conoscenza acquisita non cancella la perdita del veicolo. Permette però di trasformare un evento altrimenti opaco in un problema comprensibile, sul quale intervenire con modifiche verificabili.

Dieci anni dopo, la lezione di Schiaparelli resta concreta: l’affidabilità di un sistema autonomo dipende anche dalla capacità, progettata e verificata, di riconoscere quando le proprie stime non sono più attendibili. È una condizione fondamentale ogni volta che affidiamo a un calcolo il compito di agire nel mondo.

Immagine : cortesia ESA, Agenzia Spaziale Europea.