Resumen Técnico: Requisitos de Seguridad de Ingeniería para Sistemas Marítimos Superficiales Autónomos

1. Planteamiento del Problema

Las operaciones superficiales marítimas autónomas (MASO) representan un cambio fundamental de la navegación centrada en el puente hacia estructuras de control distribuidas que involucran automatización a bordo, operadores remotos, centros de control y actores marítimos externos. Esta redistribución crea vías de seguridad críticas y complejas donde los peligros no surgen únicamente de fallos de componentes, sino de las interacciones entre funciones técnicas, supervisión humana, procedimientos organizativos y el tráfico externo.

El problema central de seguridad no es meramente el nivel de autonomía, sino la capacidad del sistema para mantener el control cuando los supuestos nominales se degradan. Los peligros emergen de escenarios que involucran comunicación degradada, autoridad de control ambigua, límites de percepción, incertidumbre en la prevención de colisiones o intervención humana retardada. La orientación actual suele identificar capacidades requeridas u obligaciones de evaluación de riesgos, pero carece de un método sistemático para traducir evidencia pública heterogénea (orientación regulatoria, informes de ensayos, avisos de siniestros) en requisitos de ingeniería accionables y reutilizables para restricciones de control y recuperación. Sin la especificación explícita de los modos degradados, la autoridad de toma de control, el comportamiento de reserva (fallback) y los indicadores de monitoreo, incluso los buques altamente automatizados pueden operar en condiciones inseguras.

2. Metodología

El estudio emplea un enfoque de ingeniería de seguridad de sistemas basado en escenarios, diseñado para traducir escenarios de peligro documentados públicamente en restricciones de control y requisitos de recuperación. La metodología evita la inferencia estadística respecto a las frecuencias de accidentes, centrándose en su lugar en la identificación de patrones recurrentes de pérdida de control.

• Corpus de Datos: El análisis se basa en un corpus codificado de 80 escenarios disponibles públicamente y requisitos derivados de 14 fuentes. Estas incluyen orientación regulatoria internacional (p. ej., IMO), requisitos de clasificación, orientación nacional, ensayos divulgados por operadores, informes técnicos, reportes de siniestros observados y avisos de investigación pública.
• Marco de Codificación: Cada escenario fue codificado utilizando un libro de códigos estructurado que preservaba la cadena desde el contexto operativo hasta el requisito de ingeniería. Las variables de codificación incluyeron:
  • Contexto operativo y configuración de autonomía.
  • Modo de supervisión y mecanismo de peligro.
  • Condiciones desencadenantes y barreras degradadas.
  • Acciones de control inseguras y eventos de pérdida potencial.
  • Vías de recuperación y requisitos de seguridad derivados.
  • Indicadores de monitoreo (variables observables que sustentan el monitoreo de seguridad).
• Estratificación de la Evidencia: El corpus fue auditado y categorizado por estado de evidencia (p. ej., normativa/regulatoria, eventos observados, investigaciones pendientes) para evitar la mezcla de causalidad de accidentes con expectativas de ensayos o requisitos de aprobación.
• Lógica Analítica: El estudio sigue una secuencia de vía de pérdida de control: Escenario de Peligro → Condición Desencadenante → Barrera Degradada → Acción de Control Insegura → Evento de Pérdida Potencial → Acción de Recuperación → Requisito de Seguridad Derivado.

3. Contribuciones Clave

El documento proporciona tres contribuciones primarias a la ingeniería de seguridad de la autonomía marítima:

1. Taxonomía de Escenarios de Peligro: Una clasificación de escenarios de peligro específicos para sistemas superficiales marítimos autónomos, yendo más allá de los modos de fallo genéricos para identificar familias recurrentes de degradación de control.
2. Modelo de Vía de Pérdida de Control: Un modelo conceptual que vincula las condiciones desencadenantes (p. ej., pérdida de enlace, incertidumbre de sensores) con barreras degradadas, acciones de control inseguras y eventos de pérdida potencial, ilustrando cómo se pierde la seguridad a través de fallos de interacción en lugar de fallos aislados de componentes.
3. Requisitos de Seguridad Orientados a la Recuperación: Un conjunto de requisitos derivados enfocados en modos degradados, comportamientos de reserva y vías de recuperación, destinados a apoyar el diseño, la operación, la supervisión remota y la evaluación de seguridad.

4. Resultados

4.1 Taxonomía de Escenarios de Peligro

El análisis identificó ocho grupos primarios de análisis de peligro, siendo los más frecuentes:

• Supervisión Humana y Autoridad de Control (15 escenarios): Problemas relativos al retraso en la toma de control, autoridad ambigua, transferencia de mando inadecuada y conciencia de modo débil.
• Degradación del Enlace de Comunicación y Control Remoto (13 escenarios): Pérdida de enlace, latencia degradada, respaldos no disponibles y umbrales de rendimiento no definidos.
• Envolvente Operativa y Verificación (12 escenarios): Envolventes de ensayo no validadas, excedencia de límites e identificación de peligros insuficiente.
• Recuperación de Emergencia y Condiciones de Riesgo Mínimo (11 escenarios): Estados seguros no definidos, lógica de parada de emergencia débil y vías de recuperación inadecuadas.
• Navegación e Interacción Externa (11 escenarios): Fallos en la prevención de colisiones, interacción con buques convencionales y problemas de interfaz con puertos/VTS.
• Percepción, Integridad de Datos/Ciberseguridad y Función del Buque: Grupos menores que abordan la degradación de sensores, compromiso de datos y fallos de propulsión.

4.2 Vías de Pérdida de Control

Se identificaron seis vías recurrentes de pérdida de control:

1. Degradación de la Comunicación: Que conduce a estados de control no confirmados y deriva incontrolada.
2. Autoridad de Control Ambigua: Donde la transferencia de autoridad entre la autonomía y los humanos no es verificable.
3. Navegación bajo Interpretación Degradada: Fallo en mantener la separación o interpretar las reglas en tráfico complejo.
4. Deriva de la Envolvente Operativa: Continuación de la operación fuera de las condiciones validadas debido a un monitoreo de límites insuficiente.
5. Indisponibilidad del Estado Seguro: Donde un "estado de riesgo mínimo" se nombra pero no es operativamente factible (p. ej., detenerse en una vía de navegación).
6. Degradación de la Integridad: Datos o software comprometidos que afectan la percepción y la toma de decisiones de la estructura de control.

4.3 Requisitos de Recuperación Derivados

El estudio derivó restricciones de ingeniería específicas e indicadores de monitoreo para los grupos de recuperación clave:

• Recuperación de Riesgo Mínimo/Estado Seguro: Requiere la definición explícita de estados seguros (parar, mantener posición, retornar) basados en el tipo de buque y la fase de la misión, monitoreados por el tiempo de transición y el estatus de aborto.
• Recuperación de Comunicación/Pérdida de Enlace: Requiere umbrales de rendimiento de enlace conectados a transiciones de estado, activación de respaldo y confirmación de estado seguro.
• Autoridad de Control y Toma de Mando: Requiere estados de autoridad visibles y sin ambigüedades, confirmación de transferencia y monitoreo de la preparación del operador.
• Recuperación de Prevención de Colisiones: Requiere comportamientos de reserva para la autonomía degradada, incluyendo reducción de velocidad y escalada remota.
• Aislamiento de Ciberseguridad/Datos: Requiere un retorno a un estado anterior (rollback) controlado y aislamiento de los sistemas comprometidos.

5. Significancia y Reivindicaciones

El documento sostiene que la seguridad de la superficie autónoma marítima debe tratarse mejor como un problema de control recuperable en lugar de una propiedad exclusiva del buque autónomo.

• Cambio en el Foco de Seguridad: La seguridad depende menos del nivel nominal de autonomía y más de la especificación explícita de los modos degradados, la autoridad de toma de mando, el comportamiento de reserva y los indicadores de monitoreo. La unidad de seguridad es la "operación controlada", que abarca el buque, el control remoto, la infraestructura de comunicación y la coordinación externa.
• Modos Degradados como Funciones de Ingeniería: Los "estados seguros" y las "condiciones de riesgo mínimo" no deben ser aspiraciones genéricas, sino estados operativamente definidos, técnicamente factibles y verificables, específicos para el buque, la misión y el entorno.
• La Supervisión Humana como Autoridad de Control: La supervisión humana no es una afirmación de aseguramiento pasivo, sino una función de control crítica para la seguridad que requiere autoridad definida, retroalimentación y umbrales de intervención para ser efectiva.
• La Comunicación como Canal de Seguridad: Los enlaces de comunicación deben tratarse como canales de control de seguridad donde la degradación activa transiciones de estado específicas, no simplemente como servicios de conectividad operativa.
• Valor Metodológico: El estudio demuestra que los escenarios documentados públicamente, incluso cuando son heterogéneos y no estadísticos, pueden codificarse sistemáticamente para generar requisitos de ingeniería accionables. Esto respalda un enfoque de desarrollo incremental para la autonomía, haciendo explícito qué debe ser monitoreado y restringido antes de un despliegue operativo más amplio.

El documento concluye que para cada escenario de peligro creíble, los diseñadores y las autoridades deben ser capaces de responder: qué degradación debe detectarse, qué restricción de control debe permanecer válida, quién tiene la autoridad para intervenir, qué vía de recuperación está disponible y qué indicador confirma que el sistema ha alcanzado un estado más seguro.