Quanto sono affidabili gli aereo cargo senza pilota e come funzionano: i rischi per la sicurezza

Nei giorni scorsi decine di voli europei sono stati deviati o scortati dai caccia per allarmi bomba arrivati via email. A bordo non c'era nulla, ma in un clima di attacchi informatici e droni sugli aeroporti viene spontaneo chiedersi: un hacker può prendere il controllo di un aereo? E cosa succederebbe se in cabina non ci fosse nessun pilota? La seconda domanda non è fantascienza.

Un aereo cargo può davvero volare senza pilota? Sì. In California si provano da anni droni cargo senza cabina come il Pelican Cargo di Pyka. A metà ottobre un Cessna Caravan cargo ha rullato, è decollato ed è atterrato all'aeroporto di Albuquerque, in New Mexico, guidato dal software di Reliable Robotics, mentre un pilota lo sorvegliava dalla California, a oltre 1.100 km, e uno di sicurezza restava a bordo. A settembre un altro Caravan, modificato da Joby Aviation, ha attraversato gli Stati Uniti da costa a costa, per più di 5.000 km, senza che il pilota di sicurezza a bordo toccasse i comandi.

Vediamo come funzionano questi aerei, quanto possono essere sicuri e quanto sono esposti agli attacchi.

Che differenza c'è tra autopilota e volo autonomo?

L'autopilota svolge già gran parte del lavoro. In un avvicinamento normale, l'automazione porta l'aereo fino a circa 60 metri di quota: a quel punto, generalmente, i piloti vedono la pista ed eseguono l'atterraggio manualmente. L'atterraggio automatico esiste, ma richiede specifiche condizioni tecniche, impianti dedicati a terra e piloti che lo supervisionino. Ed è proprio nelle fasi di decollo e atterraggio che, secondo le statistiche di Boeing, avviene circa il 70% degli incidenti mortali dei jet commerciali.

I nuovi sistemi di volo autonomo, invece, puntano a gestire l'intera operazione, dall'avviamento dei motori al parcheggio, comprese le fasi di rullaggio, decollo, crociera, atterraggio e frenata, senza richiedere necessariamente infrastrutture speciali negli aeroporti né un pilota a bordo.

Funzioni e principali sviluppi di un aereo cargo senza pilota

Per volare senza un pilota in cabina, un aereo cargo deve poter seguire la rotta, comunicare con i controllori del traffico aereo e individuare gli altri velivoli nelle vicinanze. Il suo funzionamento si basa fondamentalmente su tre elementi che operano in modo coordinato:

• Il sistema di bordo: computer e attuatori che muovono comandi e manetta. Per sapere con precisione dove si trova, l'aereo incrocia GPS, sensori di bordo e i dati ufficiali sulla posizione delle piste pubblicati dalla FAA, l'autorità statunitense per l'aviazione civile;
• La stazione di terra: un pilota remoto supervisiona il volo tramite un collegamento dati. Può cambiare destinazione o far aggirare un temporale e parla con i controllori di volo attraverso le radio dell'aereo;
• Il "detect and avoid": oggi le regole chiedono ai piloti di vedere ed evitare gli altri aerei guardando fuori. Senza nessuno a bordo serve un sostituto: l'ADS-B, con cui gli aerei trasmettono la propria posizione via radio, e un radar, a bordo o a terra, per chi non la trasmette, come molti alianti e ultraleggeri.

La scelta di iniziare a sperimentare questa tecnologia nel trasporto merci risponde soprattutto a ragioni di sicurezza: l'assenza di passeggeri a bordo riduce i rischi legati al suo impiego. Non ci sarebbe infatti nessuno da proteggere oltre al pilota, che è proprio la persona che il sistema vorrebbe togliere.

Inoltre, i voli che collegano i piccoli aeroporti agli hub logistici sono spesso notturni, a bassa quota e operati da un solo pilota. Reliable conta di ottenere le prime approvazioni della FAA entro la fine del 2027, con un pilota ancora in cabina; per arrivare a voli completamente privi di equipaggio serviranno invece ulteriori sviluppi tecnologici e autorizzazioni.

Cosa prevedono le autorità

Nel 2025, uno studio commissionato dall’EASA, l’Agenzia dell’Unione europea per la sicurezza aerea, ha concluso che, con le tecnologie attuali, non si può dimostrare che un solo pilota in cabina durante la crociera sia sicuro quanto due.

La presenza di un secondo pilota è infatti fondamentale per il controllo incrociato delle operazioni, la gestione della stanchezza e del carico di lavoro, oltre che per intervenire in caso di malore del collega. Secondo l'EASA, l'introduzione del pilota unico non è dunque prevista nel prossimo decennio.

La sperimentazione dei cargo senza equipaggio procede invece per gradi. Le prime norme sull'intelligenza artificiale proposte dall'EASA nel novembre 2025 riguardano esclusivamente i sistemi che assistono il pilota o collaborano con lui, mentre quelli destinati al volo autonomo sono ancora oggetto di studio. Anche la FAA riconosce che non esiste ancora una metodologia condivisa per dimostrare la sicurezza dei sistemi IA impiegati a bordo.

Un hacker può prendere il controllo di un aereo?

In italiano utilizziamo una sola parola, sicurezza, per indicare due concetti che in inglese possiedono nomi diversi. Secondo l'ICAO, l'agenzia delle Nazioni Unite per l'aviazione civile, la safety riguarda la prevenzione e il controllo dei rischi legati al volo, mentre la security si riferisce alla protezione contro gli atti illeciti e le minacce intenzionali.

Gli allarmi di questi giorni rientrano nella seconda categoria, ma non comportano una compromissione dei sistemi di bordo: si tratta infatti di minacce trasmesse via email da indirizzi falsi o anonimi. Il problema è che ogni segnalazione deve essere presa sul serio e può quindi rendere necessario un atterraggio precauzionale al primo scalo utile, seguito dai controlli del caso. Queste false minacce sfruttano dunque le procedure di sicurezza per interferire con le operazioni di volo, senza intervenire direttamente sui comandi.

A bordo degli aerei di linea, i sistemi informatici sono organizzati in domini separati: quelli che gestiscono il volo, quelli destinati alle operazioni della compagnia aerea e quelli dedicati all'intrattenimento e alla connessione Wi-Fi dei passeggeri. Nel 2015, il GAO, l'organo di controllo del Congresso degli Stati Uniti, ha segnalato il rischio che queste barriere possano essere aggirate.

Tuttavia, non risultano casi documentati di aerei di linea dirottati da hacker mediante il controllo remoto dei sistemi di bordo. Inoltre, in cabina sono presenti due piloti che, in caso di anomalie, possono disattivare i sistemi automatici e assumere il controllo manuale del velivolo.

Jamming e spoofing: i rischi per la navigazione aerea

Una minaccia più concreta per la navigazione aerea è rappresentata oggi dallo spoofing del GPS. Per comprenderne il funzionamento, bisogna partire dal sistema di posizionamento satellitare: i satelliti trasmettono continuamente informazioni sulla propria posizione e sull'ora esatta, consentendo ai ricevitori di calcolare la posizione dell'aereo in base al tempo impiegato dai segnali per raggiungerli. Tuttavia, questi segnali arrivano debolissimi a terra e possono quindi essere facilmente disturbati da trasmettitori nelle vicinanze.

Le principali forme di interferenza sono sostanzialmente due:

• il jamming consiste nel sovrapporre ai segnali satellitari un disturbo che può rendere inutilizzabile il GPS. In questo caso, i sistemi di bordo segnalano l'anomalia e i piloti ricorrono ad altri strumenti di navigazione;
• lo spoofing è invece più insidioso: consiste nella trasmissione di segnali falsi ma apparentemente attendibili, che possono indurre il ricevitore a calcolare una posizione errata senza dare alcun allarme. L'errore poi si propaga ad altri sistemi di bordo, alterando i dati utilizzati dal computer di navigazione, la sincronizzazione degli orologi, le informazioni sulla posizione trasmesse dall'aereo agli altri e persino gli avvisi di prossimità al terreno, che potrebbero segnalare erroneamente ai piloti la necessità di riprendere quota.

Secondo la IATA, l'associazione internazionale delle compagnie aeree, tra il 2023 e il 2025 i casi di spoofing segnalati sono quasi triplicati, soprattutto nelle aree vicine alle zone di conflitto. Per individuare eventuali anomalie, gli equipaggi confrontano i dati del GPS con quelli forniti dalle radioassistenze a terra e dai sistemi di navigazione inerziale.

Con gli aerei senza pilota a bordo cambiano le regole del gioco e la gestione di queste minacce diventa ancora più complessa. Il collegamento con la stazione di controllo a terra rappresenta un punto di vulnerabilità, mentre il riconoscimento di un segnale GPS falsificato è unicamente affidato ai sistemi automatici. Diventa quindi fondamentale proteggere le comunicazioni mediante sistemi di cifratura e prevedere procedure che consentano al velivolo di operare in sicurezza anche in caso di interruzione del collegamento; in questo scenario, la sicurezza informatica è già parte della certificazione aeronautica.

In Europa, tra il 2025 e il 2026, sono entrate in vigore le norme EASA note come Part-IS, che impongono alle organizzazioni aeronautiche interessate, dalle compagnie aeree agli aeroporti, fino agli operatori della manutenzione e della gestione del traffico aereo, di individuare e gestire i rischi informatici che potrebbero compromettere la sicurezza del volo.

Quanto sono sicuri: ricapitoliamo

In aviazione, i requisiti di sicurezza sono particolarmente rigorosi: per i sistemi il cui malfunzionamento potrebbe avere conseguenze catastrofiche, la certificazione chiede di dimostrare che la probabilità di un evento di questo tipo sia inferiore a uno ogni miliardo di ore di volo.

Secondo Robert Rose, amministratore delegato di Reliable Robotics, gli attuali sistemi di pilotaggio automatico raggiungono i livelli di sicurezza richiesti anche grazie alla presenza di un pilota pronto a intervenire in caso di necessità. L'obiettivo dell'azienda è sviluppare un sistema sufficientemente affidabile da poter operare senza un pilota a bordo.

Restano tuttavia due questioni da risolvere:

• Il collegamento con il pilota a terra: in caso di interruzione delle comunicazioni, l'aereo deve poter proseguire il volo in sicurezza seguendo procedure prestabilite. Ma chi lo guida da remoto non può percepire direttamente segnali come vibrazioni, rumori anomali o odori di bruciato, che potrebbero suggerire un guasto.
• La gestione del traffico aereo: nei pressi degli aeroporti minori possono operare velivoli che non trasmettono la propria posizione. I sistemi automatici devono quindi riuscire a individuarli ed evitare eventuali collisioni, ma il quadro normativo per l'impiego di questi sistemi non è ancora definito.

Rispetto alla circolazione stradale, il traffico aereo è più ordinato. Tuttavia, un aereo non può semplicemente fermarsi in caso di emergenza e, a differenza di quanto avviene con i robotaxi, in aviazione il rispetto dei requisiti di sicurezza deve essere dimostrato prima dell'entrata in servizio.

La questione, quindi, non è stabilire se un sistema automatico sia in grado di pilotare meglio di un essere umano, quanto piuttosto dimostrare che l'intera infrastruttura necessaria al volo autonomo, dall'aereo ai collegamenti con la stazione di terra, fino al controllo del traffico aereo, garantisca livelli di sicurezza superiori o almeno equivalenti a quelli attuali, anche in presenza di guasti o attacchi informatici. È su queste garanzie che si concentra l'attenzione delle autorità aeronautiche. E, secondo esperti come R. John Hansman del MIT, una qualche forma di supervisione umana continuerà comunque a essere necessaria.

non perderti questo video

Dentro al cockpit di un aereo: vi mostriamo cosa succede in una cabina di pilotaggio durante un volo di linea