Quando un pagamento da 2 milioni dipende dal distinguere l'acqua da un'ombra

La prima volta che la cosa mi è davvero arrivata addosso, stavo guardando una singola immagine in scala di grigi su un secondo monitor a ridosso della mezzanotte. Era un fotogramma radar Sentinel-1 — i dati satellitari europei gratuiti da cui inizia chiunque lavori sulle alluvioni — e da qualche parte in quel fotogramma c'era un'alluvione. Il radar dipinge l'acqua liscia come scura, quasi nera, perché una superficie d'acqua piatta rimbalza il segnale lontano dal satellite invece che verso di esso. Quindi cercavo la macchia scura.

Il problema era che le macchie scure erano due. Una era acqua di alluvione. L'altra era l'ombra che una cresta montuosa proietta nella geometria radar, dove il terreno blocca il fascio e nulla torna indietro. Sullo schermo, a quell'ora, sembravano gemelle. E ricordo il pensiero specifico e scomodo: da qualche parte c'è un assicuratore che pagherà o non pagherà un sinistro in base a quale di queste chiamo acqua.

È l'intero problema della satellite flood intelligence per l'assicurazione parametrica, compresso in un'unica immagine. Una polizza parametrica non aspetta che un perito ispezioni un magazzino allagato. Paga automaticamente quando scatta un trigger misurato — un satellite dice che l'alluvione ha raggiunto una certa estensione, e il denaro si muove. È un'idea bellissima per un mondo in cui la catastrofe sta accelerando. Significa però anche che la classificazione del satellite è il sinistro. Non c'è nessun essere umano immerso nell'acqua a smentirla.

Un trigger parametrico trasforma una singola lettura di un singolo pixel satellitare in un bonifico.

E il satellite sbaglia in entrambe le direzioni.

La fisica che nessuno vuole nella slide di presentazione

Ecco la parte che mi ha richiesto più tempo per essere accettata, perché ero arrivato dando per scontato che fosse un problema software che potevo risolvere con l'ingegneria. Le ombre delle nuvole e l'acqua di alluvione appaiono quasi identiche nelle immagini satellitari ottiche — non simili, identiche nelle bande che contano. Entrambe assorbono la luce nel vicino infrarosso e nell'infrarosso a onde corte. Entrambe hanno confini morbidi e amorfi. Entrambe appiattiscono la texture di qualunque cosa ci sia sotto in una macchia uniforme.

Gli indici standard di rilevamento dell'acqua — NDWI e MNDWI, la matematica su cui si appoggia ogni pipeline sulle alluvioni — segnalano entrambe come "simili ad acqua", perché la fisica sottostante è davvero la stessa: riflettanza ridotta lungo le bande dell'infrarosso. Un singolo fotogramma ottico catturato durante una tempesta non può distinguere in modo affidabile un'ombra da un'alluvione, e nessuna soglia per quanto intelligente può correggere un segnale che è genuinamente ambiguo all'origine.

Ho passato un mese convinto che la risposta fosse un modello migliore. Avevamo la letteratura sul deep learning dalla nostra parte, ed è davvero impressionante — una rete DeepLabV3 modificata alimentata con dati radar multi-polarizzazione e dati del terreno ha raggiunto un'accuratezza complessiva del 98,4% in ricerche pubblicate; una U-Net con attenzione transformer ha riportato il 95,5%. Quei numeri sono reali. Li ho citati in un pitch iniziale. Ciò che non ho detto ad alta voce, perché non lo capivo ancora, è che quelle accuratezze sono misurate su scene di benchmark curate, e che i set di addestramento sui disastri da cui apprendono sono deliberatamente sbilanciati.

Sono sbilanciati per una ragione umana. Mancare un'alluvione reale può uccidere delle persone, quindi le etichette e le funzioni di perdita penalizzano un'alluvione mancata molto più duramente di un falso allarme. Il risultato è una generazione di classificatori sistematicamente inclini a scattare — quando il segnale è marginale, propendono per "alluvione". È esattamente il bias giusto per un sistema umanitario di allerta precoce ed esattamente il bias sbagliato per l'autorizzazione di un pagamento da 2 milioni di dollari, dove un falso allarme non è un errore di arrotondamento. È un bonifico.

La demo che ha segnalato una montagna come allagata

Abbiamo costruito per primo l'ovvio. Un classificatore a singolo fotogramma, guidato dal radar in modo da poter vedere attraverso le nuvole, tarato con decisione, che si comportava in modo pulito nelle demo sulle scene che avevamo scelto. Ne ero orgoglioso. Poi un collega che capiva davvero la geometria radar lo ha eseguito su una regione di test montuosa, e ha illuminato un pendio come allagato con alta confidenza. Non un caso marginale — un caso sicuro. Aveva trovato un'ombra radar, lo stesso tipo di macchia scura che mi aveva turbato in quel fotogramma di mezzanotte, e l'ha chiamata acqua.

Penso ancora all'email immaginaria che quella scena avrebbe generato se fosse stata un trigger reale. Un attuario, a tre fusi orari di distanza, che guarda la nostra determinazione automatica secondo cui un versante era sotto due metri d'acqua, e risponde con l'unica domanda che conta: sei sicuro che sia acqua e non un'ombra? E il nostro sistema che non aveva alcuna risposta oltre a un punteggio di confidenza a cui non aveva alcun diritto.

Un numero di confidenza non è una prova. È un'opinione con dei decimali.

Quello è stato il fallimento che ha ripagato tutto ciò che è venuto dopo. Perché la lezione non era "tara il modello più duramente". La lezione era che nessun singolo fotogramma e nessun singolo sensore possono portare la prova, e io avevo cercato di vincere una discussione che la fisica aveva già perso.

Il radar viene venduto come la cura — vede attraverso le nuvole, dopotutto, cosa che i sensori ottici non possono fare. Ma il backscatter radar cala sull'acqua liscia e sull'ombra del terreno, sul layover e sul foreshortening in territori accidentati. Ha i suoi falsi positivi sul terreno arido, durante i cicli di gelo-disgelo, nelle coltivazioni industriali e, peggio di tutto, nelle città, dove il doppio rimbalzo del segnale sugli edifici può mascherare completamente l'acqua ferma. Il prodotto globale near-real-time della NASA sulle alluvioni rende il concetto su scala planetaria: il suo composito a un giorno ha così tanti falsi positivi che la NASA si rifiuta di pubblicarlo nel suo visualizzatore pubblico Worldview. Solo i compositi a due e tre giorni — quelli che usano il tempo, non un singolo sguardo — sono considerati operativi. In quei prodotti i nuovi bacini idrici vengono letti come alluvioni fino a tre anni, finché la maschera dell'acqua permanente non si aggiorna.

Lo schema è stato lì davanti a noi tutto il tempo. La soluzione ai falsi positivi non è mai stata un'immagine più nitida. Era un secondo sguardo, e un terzo — la stessa scena nel tempo.

Cosa distingue davvero un'alluvione da un'ombra?

Ciò che distingue un'alluvione da un'ombra non è come appare in un fotogramma. È come si comporta attraverso molti. L'ombra radar di una montagna è nello stesso posto a ogni singolo passaggio, tutto l'anno — è geometria, non meteo. L'acqua di alluvione appare rispetto a una linea di base asciutta e poi si ritira. L'ombra di una nuvola sparisce nel primo giorno sereno successivo. Il segnale discriminante vive nello stack temporale, non nel pixel.

Così abbiamo smesso di chiederci "questo pixel è acqua?" e abbiamo iniziato a chiederci "questo luogo è cambiato in un modo che solo un'alluvione spiega, rispetto a tutto ciò che sappiamo su come appare normalmente?". Questa riformulazione è l'intera architettura di ciò che abbiamo finito per costruire, ed è il motivo per cui ci appoggiamo a più sensori invece di scommettere su uno solo. Un fotogramma radar per vedere attraverso le nubi temporalesche. Fotogrammi ottici prima e dopo per stabilire la linea di base asciutta e confermare il ritiro. Un modello del terreno per escludere la geometria che finge l'acqua in entrambi. È stato dimostrato che fondere il radar e l'ottico multispettrale migliora il rilevamento nelle aree colpite da nuvole e ombre di oltre il 23% rispetto ai metodi a sensore singolo — non perché i sensori siano individualmente migliori, ma perché la modalità di guasto di ciascuno è qualcosa attraverso cui gli altri riescono a vedere.

Questo è il livello che costruiamo in Veriprajna: un sistema di verifica satellitare delle alluvioni che separa le ombre dall'acqua usando la fusione temporale SAR-ottica, e produce una traccia di prove di livello forense per ogni evento trigger — non un verdetto, ma un'argomentazione che puoi consegnare a un attuario o a un tribunale.

L'onesta avvertenza ingegneristica, quella che vorrei un acquirente sentisse prima di firmare qualsiasi cosa: i dati gratuiti hanno un orologio. La costellazione Sentinel-1 a due satelliti ripristinata offre un tempo di rivisita di sei giorni. Un picco di piena che cresce e defluisce tra un passaggio e l'altro può sfuggire a dati che sono gratuiti ma lenti. Quindi parte del mestiere sta nel sapere quando i dati Sentinel gratuiti bastano e quando un evento richiede il tasking di un satellite radar commerciale — che costa tra i mille e i cinquemila dollari a scena a seconda della risoluzione e dell'urgenza. Quel compromesso è una valutazione per singolo evento, non un livello di abbonamento.

Perché non comprare semplicemente il report sull'alluvione?

Abbiamo avuto una vera discussione interna sul fatto che valesse la pena costruire tutto questo. L'argomento contrario era semplice: ci sono già aziende che vendono report sulle alluvioni. Perché non rivenderli?

È un'obiezione legittima, e i fornitori sono davvero validi. ICEYE possiede la più grande costellazione radar commerciale al mondo — oltre 60 satelliti — e durante l'uragano Helene ha spinto oltre 150 immagini attraverso le nubi temporalesche e ha mappato oltre 80.000 edifici in Florida. È straordinario. Ma stai comprando il loro prodotto, non costruendo una capacità di intelligence, e la verifica forense per singolo evento su scala di portafoglio si scontra rapidamente con il loro prezzo. Floodbase, sostenuta da Munich Re e in partnership con la costellazione radar Capella, ha costruito una vera soluzione parametrica end-to-end — progettazione dei trigger, pricing, certificazione dei pagamenti. Ma ottieni la loro metodologia, tarata sulle loro partnership sui sensori, non un sistema plasmato sul tuo specifico portafoglio di attività.

E anche il gold standard gratuito ha il suo tetto. Il Copernicus Emergency Management Service europeo è il sistema di cui un continente si fida per la mappatura dei disastri. Eppure il suo livello di servizio di mappatura rapida è attivo dalle 8 alle 20 ora di Bruxelles, solo nei giorni lavorativi. Continuo a tornare a Valencia, ottobre 2024 — la pioggia di un anno in otto ore, più di 227 morti. Copernicus ci ha messo dai tre ai quattro giorni per pubblicare l'estensione dell'alluvione. Quando è arrivata, ha confermato 15.633 ettari e circa 190.000 persone colpite. Il ritardo non è stato un difetto. Le prime 24 ore critiche sono cadute nella notte e in serata, al di fuori della finestra di servizio. Il sistema di flood-intelligence del continente era, di fatto, chiuso proprio nelle ore in cui serviva di più.

Così l'argomento si è risolto da solo. I fornitori sono eccellenti in ciò per cui sono costruiti. Nessuno di loro è costruito per essere un livello di verifica indipendente dal fornitore che fonde qualsiasi sensore l'evento richieda effettivamente e ti consegna prove difendibili per il tuo trigger. Quel vuoto era l'azienda.

Il fallimento che fa più male: l'alluvione che non paga

Per molto tempo ho pensato a questo lavoro come a un problema di falsi positivi — impedire al sistema di pagare per alluvioni che non sono avvenute. Poi ho letto del Nagaland.

Uno schema assicurativo parametrico contro le alluvioni nel Nagaland, in India, non è scattato nonostante piogge intense e allagamenti confermati sul territorio. La soglia derivata da satellite era stata impostata troppo in alto rispetto alla realtà sul terreno. Le persone erano allagate. La polizza avrebbe dovuto pagare. Non l'ha fatto. Questa è l'altra modalità di fallimento, e in termini umani è la peggiore.

È ciò che il settore chiama rischio di base — il divario tra ciò che il trigger misura e ciò che l'assicurato sperimenta effettivamente. Un falso positivo prosciuga le riserve di un assicuratore e invita alla frode. Un falso negativo distrugge la fiducia dell'assicurato e alimenta il contenzioso. Entrambi i fallimenti attaccano la stessa cosa: la credibilità del modello parametrico stesso — il che lo rende più difficile da vendere e più difficile da approvare per i regolatori. Non puoi risolvere una direzione appoggiandoti più duramente nell'altra. Restringere la soglia per fermare i pagamenti falsi è esattamente il modo in cui fabbrichi un Nagaland.

Non risolvi il rischio di base scegliendo in che direzione sbagliare. Lo risolvi essendo in grado di provare cosa c'era effettivamente sott'acqua.

Ecco perché l'output del nostro sistema non è un sì/no. È una mappa di confidenza per singolo pixel con una traccia di controllo — cosa è stato osservato, da quali sensori, in quali momenti, con quale certezza, e cosa è stato escluso. Prove che sopravvivono alla revisione attuariale e allo scrutinio legale, perché in questo settore la decisione sul trigger prima o poi verrà discussa da qualcuno che non c'era.

Perché la copertura parametrica contro le alluvioni è improvvisamente un problema di tutti?

Il motivo per cui tutto questo conta di più ogni anno è brutalmente semplice: l'acqua sta vincendo. Le perdite globali assicurate da catastrofi naturali hanno raggiunto 129 miliardi di dollari nel 2025. E il gap di protezione — la quota di perdite da catastrofe che nessuno ha assicurato — si attesta intorno al 52-56% a livello globale. Nel 2024 i disastri climatici hanno causato 368 miliardi di dollari di perdite, di cui 223 miliardi non assicurati, un gap del 61%. Negli Stati Uniti le perdite annuali da alluvione per le case unifamiliari ammontano a 24,4 miliardi di dollari, e circa il 70% di quelle non è assicurato.

L'assicurazione parametrica esiste per colmare quel divario, e sta crescendo rapidamente — un mercato da 21-24 miliardi di dollari nel 2026, previsto verso i 38,7 miliardi entro il 2030 — proprio perché può pagare in giorni invece che in mesi e raggiungere persone che l'assicurazione tradizionale non tocca mai. Nel marzo 2026 uno schema assicurativo parametrico contro le alluvioni progettato da un consorzio che include AXA Climate, Swiss Re e ICEYE è entrato in funzione a Lagos, in Nigeria, coprendo quattro milioni di persone. Quattro milioni di persone i cui sinistri saranno decisi dalla lettura satellitare di dove si trovava l'acqua.

Quella scala è l'argomento a favore di una verifica fatta bene. Quando il trigger copre quattro milioni di persone, "probabilmente allagato" non è uno standard difendibile. Ciò che si frappone tra un programma parametrico e una catastrofe reputazionale è se qualcuno può provare, fotogramma per fotogramma, che il trigger è scattato sull'acqua e non su un'ombra.

Mi chiedono se la previsione meteo con l'AI renda ridondante il livello satellitare — i modelli predittivi delle alluvioni stanno diventando davvero buoni. Non lo fa. Una previsione ti dice cosa potrebbe accadere; un pagamento parametrico esige la prova di ciò che è accaduto. Altri chiedono se i sensori a terra, i misuratori fisici di profondità che alcuni assicuratori usano per ridurre il rischio di base, rendano i satelliti non necessari. Aiutano enormemente dove esistono, ma non puoi mettere un misuratore su ogni chilometro di pianura alluvionale sulla Terra. I satelliti sono il modo in cui vedi i luoghi che nessuno ha strumentato — che, durante una catastrofe, sono la maggior parte dei luoghi.

Il fotogramma di mezzanotte con le sue due macchie scure resta l'immagine più veritiera di questo lavoro che io abbia. Una era acqua. Una era un'ombra. L'intera disciplina si riduce a costruire un sistema che possa dirti quale delle due — e poi mostrare il proprio lavoro alla persona che sta per muovere il denaro. Se stai progettando o sottoscrivendo un programma parametrico contro le alluvioni e quella distinzione ti tiene sveglio la notte, è questo il problema per cui costruiamo.

L'acqua non diventerà più facile da leggere. La prova è il prodotto.