适航安全

适航标准

航空电子系统在预定的使用条件、使用环境、使用时限之内的安全特性。某一系统或设备满足适航当局所规定的标准，并获得适航批准（包括装机批准），称其为满足适航要求，能装机飞行。

现在民用飞机安全性设计必须满足适航规章要求。飞控系统安全性在适航规章中集中体现在FAR25.1309条(Equipment, systems, and installations) 和CCAR25.1309条中，该条款定义了系统在发生故障时不能违背的一系列准则。     

飞行控制系统适航要求关系

航空电子适航管理存在四种方式：

颁发技术标准规定项目批准书(CTSOA);

颁发零部件制造人批准书(PMA);

随飞机型号合格审定或补充型号合格审定一起批准;

由适航部门掌握的其它批准方式。

载人飞行的安全等级是要求最高的一类。适航规章中规定，载人飞机的灾难级故障率要小于1X10-9/飞行小时，假设系统存在100个灾难级故障，按照一天乘坐3h计算，那么一个人赶上一次由于系统造成的空难，大约要9132年。空难事故的原因很多，并非主要由系统故障造成，驾驶员的操作失误、天气等各方面因素也是空难的主要原因。实践经验证明，近几十年商用飞机失事概率明显降低，这与航空工业技术水平逐渐提高有很大关系。

航空电子设计的主要文档

航空电子系统的复杂程度增加和高度综合使得系统间相互关系变得异常复杂，导致系统设计和开发难度加大。为解决这些问题，航空行业在多年的实践中建立了一系列的规则、标准、规范，系统设计和开发必须遵守。这些标准规范在设计过程中承担着指南的作用，为复杂飞机系统的设计人员提供准则和便利。

飞机航电系统开发所涉及的指南文件

20世纪90年代中期，工业界开发了SAE ARP4754和SAE ARP4761来定义系统开发过程，不仅涵盖了飞机、系统和设备的保证要求，而且建立了有助于确保要求的安全过程。2010年，SAE ARP4754进行了修订，形成了修订版ARP 4751A，进一步强调了过程保证的重要性，完整描述了飞机和飞机系统的开发过程，涵盖了要求的收集、要求的验证及要求的确认等内容。其中，最顶层的概念定义（收集）了要求，不但制定了设计决策及开发架构，而且还对要求的可行性、准确性和完整性进行了审查和分析（即验证）。

RTCA 167特别委员会和EUROCAE的联合委员会制定了 RTCA DO-178B（也称为ED-12B），随后由RTCA和EUROCAE于1992年12月相继出版。DO-178B为机载系统和设备软件的生产提供指导，按照适航要求，使软件正确运行的置信度达到确定的水平。DO-178B代表了航空工业界的一致观点，是保证软件安全的最佳途径，且DO-178B中规定的验证活动对开发过程中尽早发现软件问题有特殊的效用。

2012年底，RTCA发布了DO-178C，即DO-178B的更新版本，美国局方(FAA)与欧洲局方(EASA)也正是承认这一更新版本用于未来的项目。B和C版本之间没有太大的区别，这是由设计决定的，C版本的真正变化是同是创建了配套文档:DO-330: 软件工具鉴定注意事项；DO-331: 对DO-178C和DO-278A的基于模型的开发和验证补充；DO-332: 对DO-178C和DO-278A面向对象技术和相关技术的补充；DO-333: 对DO-178C和DO-278A正式方法的补充。

同样，RCTA和EUROCAE编制了RTCA DO-254（也称为 ED-80），为生产机载系统和设备中使用的电子硬件设备提供了指南，以便有一个表明硬件按照适航要求正常运行的可信度指标。DO-254代表行业共识，以最佳方式确保电子硬件执行其预期功能并遵守行业法规。DO-254提出了在硬件开发生命周期中完成的典型工作，也体现了行业对电子硬件开发的最佳工程实践的共识。

# RTCA：Radio Technical Committee for Aeronautics，航空无线电技术委员会；

#EUROCAE：European Organisation for Civil Aviation Equipment，欧洲民用航空设备组织；

#DO-178B和ED-12B分别是RTCA和EUROCAE的版权文件。

余度与安全性、可靠性

余度技术是提高系统任务可靠性与安全性的一种手段。采用余度设计就是用可靠度不高的部件，通过多重配置系统的软硬件资源并进行有效管理，提高系统的任务完成率，降低失效率余度系统是利用多重设备执行同一指令、完成同一任务而构建的系统，此类系统不是多重硬件和软件资源的简单重复，或多重系统为实现同一目标简单并行工作，而是具有专门设计的余度结构和行之有效的余度管理功能。

目前飞行控制系统、特别是电传飞行控制系统为了满足飞机高安全、高可靠的需求，都按照多余度控制系统的形式进行配置，实现飞行控制系统在工作过程中实时进行故障检测、隔离、处理和申报等功能，提升系统容错能力水平，达到提高系统可靠性、安全性目标。

但可靠性和安全性并不完全等同，他们但着眼点不同：可靠性重点关注故障、任务失败以及对经济性对影响，可靠性越高，系统维护成本越低；而安全性主要体现在对人身安全的影响。如果良好的安全性是由冗余得到，则得到较高系统安全性的复杂系统就可能面临降低维修性、可靠性的代价。故而可以得到这样的结论：一切都不可靠，肯定不安全，但部分不可靠，不等于不安全，因为还有余度等措施，可靠性是安全的基础。

先进飞行控制策略

eVTOL飞行器过渡阶段是直升机模式转换成固定翼飞机模式的中间过程。这个过程中飞机的气动干扰和耦合严重，传统的增益预置方法很难满足操稳性能指标。过渡阶段的先进飞行控制律设计是eVTOL飞控的难点之一。

XV-15过渡走廊

智能操控

eVTOL飞机的智能化分级，和汽车自动驾驶分级很相似，是一个从辅助驾驶、半自动飞行再到最终的全自主飞行的阶梯式分级。欧洲EASA与美国FAA的分级方式稍有差异，但整体思路比较接近。当前eVTOL领域的发展基本在Level 2-Level 4阶段，国外大部分的头部企业还是选择了以自动化飞行为主，计算机辅助决策的模式，即Level 2阶段。FAA与EASA基本上也是支持这种模式，而中国局方此前新出台的面向亿航的专用适航认证规范则是第一次将无人驾驶载人飞行器的远程操控放进了适航的专属条例里，是中国局方(CAAC)的一次尝试与创新。

从辅助飞行到半自动飞行再到全自主飞行是一个技术逐渐递进过程，对于各类传感器的要求也是逐渐提升。特别有必要引入一些新型传感器，比如激光雷达、毫米波雷达和视觉等设备。

智能感知融合

eVTOL飞行的场景

在EASA今年3月发布的“载人垂直起降飞机机场设计技术规范”中展现了，eVTOL在城市中运营时会遇到的一些飞行场景。例如自动起降时周围会有障碍物（高楼建筑）的情况，这类既有障碍物且有遮挡GPS信号可能性的场景都是较为严苛的条件。相比传统的机场，城市复杂场景是一个非常大的挑战，对航电与飞控的飞行避障带来了新的挑战。

示例3D传感器覆盖的渲染示例 cr. 空客A³

在楼顶起降、城市避障等复杂场景下，传统的导航方法越来越受到局限，eVTOL飞行器需要借助包括视觉、红外、激光雷达、毫米波雷达等新型传感器来实现飞行器更为强大的城市空中高精度导航和飞行。类似于自动驾驶的发展，可以预见智能感知融合将是eVTOL导航系统的核心技术。此外传统航图以及普通高精地图也无法满足eVTOL飞行器的导航需求，城市空中三维航图的需求亟待满足。如何将新的导航方法融合到现有的适航体系中是UAM飞行系统发展关键要点之一。

图中空客A3验证机挂载了激光雷达，在起降过程中，激光雷达可以感知周围环境的点云数据。不论是eVTOL还是其他民用飞机，激光雷达、视觉或是毫米波雷达等新型传感器能够提高飞机的自主感知能力，以及驾驶员的态势感知和实时决策能力。

极简操控（SVO）

从操控角度来说，类比汽车行业，原来传统汽车的操控方式是方向盘加上油门脚刹。到了自动驾驶时代，电动汽车逐步使用PAD或者触摸屏的方式进行人机交互。未来的eVTOL操控模式，我们也将看到触摸屏的交互方式，指点控制飞行目的地。智能交互与新型操控方式大幅降低了飞行员的负担，能够更好的保障飞行的安全。

在出于安全、易用、自动化等需求驱动，eVTOL飞行器在城市飞行场景下的极简操控方式（SVO)应运而生。SVO是“Simplified Vehicle Operations”的缩写，主要路线是基于飞行自动化技术来降低对飞行员必须具备操控飞机的技能要求。2015年后随着AAM/UAM场景发展，FAA、NASA和GAMA等机构推动了SVO技术标准的发展。

从人机交互界面看，极简操控模式（SVO）相比传统飞行器操控更加直观、简单。但从算法层面或是飞行控制角度看，SVO对于eVTOL飞行包线提出了更高的要求，特别是在飞行包线保护和过渡态自动飞行方面，需要功能更加强大的飞行控制系统。从起飞前的自动化飞行计划，到空管员远程接入改变航线，将逐步形成一个全自动化飞行的方式。

另一方面，传统的飞行员培训成本非常高昂，已经成为制约传统通航发展和普及的主要因素。若eVTOL飞行器使用触屏和全新的简易操控模式，飞行员只需专注于执行层上的决策，体验更加简单方便。未来SVO可以快速提高eVTOL在大众的普及程度。

通用适配

eVTOL场景下对模块化通用化设计，以及如何控制成本和经济性提出了更多的要求。如果以汽车行业自动驾驶系统来类比，自动飞行系统同样要考虑到成本控制、系统复用性以及未来的维护和升级。

传统民航飞行项目的研发方式通常是一个项目对应一套飞控和航电系统，开发和适配周期非常漫长。传统OEM-Tier 1模式很难应对当前eVTOL飞行器研发快速迭代的需求。为了应对这一变革，目前国际上新的航电架构在不断发展革新，跨平台应用成为了一个新的发展方向。

为什么航电系统需要跨平台开发？一方面飞机中引入了智能化高算力设备，安全等级相对不高，另一方面在规划控制方面，对于舵机电机的控制安全等级要求非常高，但是算力有限。如何在这些不同平台不同操作系统之间协同工作，就是一个新型的跨平台模块化航电架构。

如此的开放式架构具有可移植、模块化、解耦合、易升级、可拓展等特点，可降低寿命周期成本也缩短开发部署时间。

目前，具有代表性的开放式系统架构是由美国海军提出的的未来机载能力环境（FACE，Future Airborne Capability Environment），INSKY新一代的航电架构也是基于FACE的设计。

FACE提出未来机载能力环境概念，目标是建立一个公共操作环境，以支持软件在任意机载电子系统上的移植和部署。FACE通过制定一个严格的开放标准集合，采用开放式体系结构、集成式模块化航空电子系统和模块化开放系统分析方法，使航空电子系统内部应用程序之间的互操作性最大化。

未来的航电

目前eVTOL当前航电和飞控还是面临着很多的挑战，更多的是满足功能需求为主，由于一些历史原因，航电和飞控本身发展也相对较晚，特别是面向适航认证仍是较大挑战。当前主流研制的航电飞控都是基于MBD的设计，面向适航认证的方向去开展。

航空电子也是一个非常宽泛的概念，传统航电系统中必备的TCAS交通防撞系统、GPWS近地防撞系统等是否有必要同样引入eVTOL飞行器当中，暂时也并无一个完全的定论。随着行业的发展，eVTOL航电飞控的架构和发展也会在传统基础上产生新的进化，越来越安全、智能和通用。

参考文献

[1] 数字航空电子技术, C.R. Spitzer, Uma Ferrell, Thomas Ferrell

[2] 现代飞机飞行控制系统工程，张汝麟，宋科璞

[3] 支线飞机电传飞行控制系统研发及验证，陈勇，田剑波，王晓梅

[4] Advanced Flight Control System Failure States Airworthiness Requirements and Verification, Yani Zhang, Yan Li, Duo Su, Lei Jin, 2014.12