Una postazione ripetitrice è resiliente quando continua a fornire almeno i servizi essenziali nonostante un guasto, un blackout o la perdita di una connessione.
La resilienza non consiste nell’accumulare apparati di riserva. Consiste nell’eliminare i singoli punti di guasto, prevedere modalità degradate e rendere semplice il ripristino.
L’ITU raccomanda che i futuri sistemi radioamatoriali siano progettati ponendo attenzione ad affidabilità, robustezza e capacità di riconfigurazione, soprattutto quando possono essere utilizzati nelle comunicazioni di emergenza.
Identificare le dipendenze
Una postazione moderna può dipendere da:
- alimentazione di rete;
- alimentatore;
- batteria;
- ripetitore;
- duplexer;
- antenna;
- cavo coassiale;
- router;
- modem LTE o ponte radio;
- Raspberry Pi;
- scheda SD;
- software;
- master remoto;
- climatizzazione;
- accesso fisico al sito.
La prima attività consiste nel disegnare lo schema completo e chiedersi cosa accadrebbe se ogni elemento smettesse di funzionare.
Alimentazione
La rete elettrica deve alimentare i carichi e contemporaneamente mantenere carica la batteria.
La batteria deve essere dimensionata sull’assorbimento reale, non soltanto sulla corrente nominale del ripetitore.
Occorre includere:
- radio;
- controller;
- router;
- modem;
- switch;
- ventole;
- sensori;
- eventuali riscaldatori;
- perdite di conversione.
Un sistema di controllo dovrebbe misurare tensione, corrente e stato di carica. Un semplice voltmetro può non rappresentare correttamente l’energia residua, soprattutto nelle batterie al litio.
Modalità di risparmio
In assenza di rete elettrica la postazione può entrare in una modalità ridotta:
- disattivazione dei servizi non essenziali;
- riduzione della potenza;
- spegnimento di display e accessori;
- intervalli di telemetria più lunghi;
- esclusione di collegamenti secondari;
- mantenimento del solo ripetitore locale.
La disponibilità parziale è spesso preferibile allo spegnimento improvviso dell’intero sito.
Connettività ridondante
Una postazione può disporre di:
- collegamento principale via ponte radio;
- backup LTE;
- collegamento secondario via altro operatore;
- VPN verso il centro di controllo;
- modalità locale senza Internet.
La ridondanza deve essere reale. Due SIM dello stesso gestore, collegate alla stessa stazione radio base, possono interrompersi contemporaneamente.
Il failover deve essere provato scollegando fisicamente il collegamento principale.
Funzionamento locale
La perdita di Internet non dovrebbe impedire le comunicazioni locali.
Il ripetitore dovrebbe poter continuare almeno con:
- TalkGroup locale;
- comunicazione RF-RF;
- identificazione;
- gestione del PTT;
- eventuale funzionamento analogico;
- canale simplex di riserva.
Lo standard DMR Tier II prevede sia comunicazione diretta sia funzionamento tramite stazione base ripetitrice, indipendentemente dalla presenza di una rete Internet pubblica.
Controller e memoria
Le schede SD sono soggette a usura e corruzione, specialmente dopo interruzioni improvvise dell’alimentazione.
È opportuno:
- usare supporti affidabili;
- ridurre le scritture inutili;
- mantenere un’immagine completa di riserva;
- documentare la procedura di ripristino;
- conservare una seconda scheda già pronta;
- esportare periodicamente la configurazione;
- annotare versione e modifiche.
Il ricambio deve essere conservato in luogo accessibile, non necessariamente dentro la postazione.
Gestione termica
Una postazione montana può subire freddo intenso, condensa e forte riscaldamento estivo.
La ventilazione non deve limitarsi ad abbassare la temperatura media. Deve evitare punti caldi e ricircolo dell’aria.
È utile monitorare:
- temperatura interna;
- temperatura del dissipatore;
- umidità;
- stato delle ventole;
- numero di trasmissioni;
- potenza assorbita;
- temperatura della batteria.
La batteria può avere limiti di carica più restrittivi rispetto a quelli di scarica. Alcune batterie al litio, per esempio, non devono essere caricate sotto determinate temperature.
Ridondanza RF
Un secondo router non serve se l’unica antenna è danneggiata.
La parte RF dovrebbe essere controllata mediante:
- misura del ROS;
- return loss;
- potenza diretta e riflessa;
- prova del duplexer;
- controllo dei connettori;
- verifica dell’isolamento;
- ispezione del cavo;
- misura della sensibilità del ricevitore.
Per siti critici può essere prevista un’antenna di riserva già installata o facilmente collegabile.
Riavvio remoto
Il riavvio remoto è utile, ma deve essere progettato con cautela.
Un relè IP che dipende dallo stesso router bloccato non può riavviare quel router.
È preferibile prevedere:
- watchdog hardware;
- controllo indipendente;
- riavvio ciclico soltanto dopo condizioni precise;
- possibilità di spegnere separatamente router e controller;
- ritardi tra spegnimento e riaccensione;
- limite al numero dei riavvii.
Riavviare continuamente un sistema guasto può aggravare la corruzione dei dati.
Sicurezza
L’accesso remoto deve utilizzare credenziali individuali, protocolli sicuri e, quando possibile, una VPN.
Le password predefinite devono essere sostituite. CISA raccomanda esplicitamente di non utilizzare credenziali di default nelle infrastrutture di comunicazione.
Piano di ripristino
La postazione deve avere una documentazione contenente:
- schema elettrico;
- schema RF;
- indirizzi IP;
- credenziali custodite in modo sicuro;
- versioni software;
- configurazione del ripetitore;
- inventario;
- numeri dei componenti;
- procedura di sostituzione;
- contatti dei responsabili;
- modalità di accesso al sito.
Il sistema deve essere ripristinabile anche da una persona diversa da chi lo ha costruito.
Prova periodica
Una volta all’anno non è sufficiente controllare che il ponte risponda.
Bisogna simulare:
- blackout;
- perdita del collegamento principale;
- guasto del Raspberry Pi;
- batteria scarica;
- temperatura elevata;
- mancato collegamento al master;
- sostituzione della scheda;
- accesso con tecnico differente.
Conclusione
Una postazione resiliente non è quella che non si guasta mai. È quella che:
- segnala il guasto;
- continua a offrire un servizio minimo;
- evita danni secondari;
- può essere diagnosticata;
- viene ripristinata rapidamente.
La resilienza nasce dalla progettazione, non dall’improvvisazione.