機載設(shè)備CTSOA合格審定流程及工作要點

李 哲 楊子洲

（1.飛行自動控制研究所, 陜西 西安 710065；2.民航西北地區(qū)管理局適航審定處，陜西 西安 710082）

適航取證是民用航空產(chǎn)品及機載設(shè)備投入使用的先決條件。許多機載設(shè)備研制單位都開始規(guī)劃機載產(chǎn)品的適航取證工作。

本文整理了某型復(fù)雜系統(tǒng)級產(chǎn)品的CTSOA（中國技術(shù)標準規(guī)定項目批準書）取證流程，剖析了民機機載設(shè)備的CTSOA取證工作要點，并提出了可能遇到的問題和需要注意的事項。

1 機載設(shè)備CTSOA合格審定流程

裝備民用航空產(chǎn)品的零部件和機載設(shè)備的適航批準方式主要有3種，CTSOA是除隨機批準和PMA（產(chǎn)品制造人批準書）之外的一種，適用于技術(shù)標準規(guī)定（TSO）的所有項目。目前，TSO件只有100多種，這類設(shè)備通常具有很強的通用性，適用范圍較廣、裝機對象較多、預(yù)期批量較大。CTSOA不含裝機批準，裝機批準需另外進行。

根據(jù)AP–21–06《民用航空材料、零部件和機載設(shè)備的合格審定程序》的相關(guān)規(guī)定，從CTSOA申請、受理、審查到批準的整個過程中，申請人與局方的主要活動如圖1所示。

在提出CTSOA申請之前，申請人需仔細考慮以下兩個問題：

其一，相關(guān)產(chǎn)品是否能申請CTSOA。目前CTSOA件主要有4大類，飛行儀表，如空速表、自動駕駛儀和飛行指引設(shè)備等；通訊設(shè)備，如機載無線電信標接收設(shè)備和機載選擇通話設(shè)備等；結(jié)構(gòu)組件，包括機械緊固件、軸承及液壓軟管組件等；以及機內(nèi)物品，如航空器座椅、救生衣和安全帶等。并非所有機載設(shè)備和零部件都有對應(yīng)的技術(shù)標準規(guī)定。有對應(yīng)CTSOA的設(shè)備可直接申請，否則需提交《最低性能標準的建議書》，這對于申請人來說難度很大。

其二，CTSOA是否是最合適的取證方式。CTSOA的通用性要求使其能覆蓋較寬泛的產(chǎn)品范圍（如，既能符合23部小型飛機的要求，也能符合25部大型飛機的要求）。但出于安全性、可靠性和成本等因素的考慮，為不同飛機生產(chǎn)的零部件要求往往不同。對于僅欲安裝在23部小飛機上的機載設(shè)備，CTSOA中的某些技術(shù)要求高于實際飛機上的需要，因而，相對于申請隨機取證，申請CTSOA的技術(shù)風險和產(chǎn)品的研制/試驗成本也會較高。

明確上述問題后，項目的申請與受理過程并不復(fù)雜。在合格審定主流程中，包括制造審查和工程審查兩部分的審查活動是整個流程中耗時最長的，也是整個合格審定過程的核心，它貫穿了取證產(chǎn)品研發(fā)的整個過程。

圖1 CTSOA合格審定主流程

下面，本文將從標準、文件、審查和安全4個方面對CTSOA取證工作尤其是審查工作的要點進行詳細分析。

2 標準

標準是民機發(fā)展的技術(shù)保障。國際上各個組織依據(jù)長期積累的知識和經(jīng)驗而制定的相關(guān)標準是我們研制符合適航要求的民機產(chǎn)品的最佳指導(dǎo)。

根據(jù)某型自動飛行控制系統(tǒng)CTSOA項目實施的經(jīng)驗，民機機載設(shè)備適用標準可分為以下4類。

2.1 性能標準

適航產(chǎn)品的性能標準以航空規(guī)章為基礎(chǔ)，如針對運輸類飛機的CCAR 25部。由于航空規(guī)章規(guī)定的原則性，如何具體實現(xiàn)其中各項條款描述的要求，須參考一些輔助性標準及材料。

以運輸類飛機的自動導(dǎo)引系統(tǒng)為例，規(guī)章條款§25.1329提出了自動導(dǎo)引系統(tǒng)的基本安全性要求。條款對應(yīng)的咨詢通告AC25.1329–1X《飛行導(dǎo)引系統(tǒng)的批準》是針對機載設(shè)備的設(shè)計如何符合此條款的指導(dǎo)材料，文中引用到了規(guī)章中的其他條款、其他咨詢通告以及行業(yè)標準。另外，自動導(dǎo)引系統(tǒng)還有對應(yīng)的CTSOA須遵循，其中也引用了行業(yè)標準。常用的行業(yè)標準有SAE（美國汽車工程師學會）的AS（航空[航天]標準）、ARP（航空[航天]實踐推薦草案），RTCA（航空無線電技術(shù)委員會）以及ARINC（美國航空無線電公司）相關(guān)標準。

2.2 過程標準

過程標準主要有3份，分別是規(guī)定系統(tǒng)功能實現(xiàn)過程的SAE ARP4754《關(guān)于高度綜合或復(fù)雜的飛機系統(tǒng)的合格審定考慮》、規(guī)定軟件生命周期過程的RTCA DO–178B《機載系統(tǒng)和設(shè)備合格審定中的軟件考慮》以及規(guī)定硬件生命周期過程的RTCA DO–254《機載電子硬件的設(shè)計保證指南》。

不論是系統(tǒng)開發(fā)過程還是硬件/軟件開發(fā)過程都可大體分為策劃過程、開發(fā)過程和支撐過程，其中開發(fā)過程可細分為需求捕獲、系統(tǒng)／硬件／軟件設(shè)計、實現(xiàn)與集成，以及綜合／生產(chǎn)轉(zhuǎn)換4個階段，支撐過程也可細分為審定聯(lián)絡(luò)、質(zhì)量保證、技術(shù)狀態(tài)管理和驗證等子過程。針對每個過程和子過程，標準中都規(guī)定了具體的目標，并提出了為達到這些目標所需進行的各項活動。

2.3 環(huán)境標準

環(huán)境標準主要指RTCA DO–160《機載設(shè)備的環(huán)境條件和測試規(guī)程》，目前最新有效版本為G版。

A版的18個試驗項目是基礎(chǔ)，這其中包括溫度和高度、溫度變化、濕熱、飛行沖擊與墜撞安全、振動、爆炸、防水性、流體敏感性、沙塵、霉菌、鹽霧、磁影響、電源輸入、電源尖峰、音頻傳導(dǎo)敏感度、感應(yīng)信號敏感度、射頻敏感度、射頻能量發(fā)射。之后，根據(jù)飛行安全事故原因統(tǒng)計分析，環(huán)境條件試驗項目和試驗方法不斷得到完善，B版增加了對應(yīng)雷擊事故的雷電感應(yīng)瞬態(tài)敏感度和雷電直接影響試驗，C版增加了結(jié)冰試驗，D版和E版分別又增加了靜電放電和對應(yīng)火災(zāi)事故的可燃性試驗。

在共性的試驗設(shè)備、試驗順序，以及試驗室環(huán)境條件等基本要求之外，對于每一類環(huán)境條件，標準主要從試驗的目的、試驗類別的選擇依據(jù)或原則、具體類別的試驗步驟、試驗曲線及合格判據(jù)等方面來闡述。

2.4 安全標準

與安全性相關(guān)的標準主要指SAE ARP4761《對民用機載系統(tǒng)和設(shè)備進行安全性評估過程的指導(dǎo)和方法》和SAE ARP4754。這其中，同時作為過程標準的ARP4754主要是結(jié)合系統(tǒng)開發(fā)過程給出了系統(tǒng)安全性評估的過程模型，而ARP4761則是針對系統(tǒng)安全性評估過程模型規(guī)定了具體的評估方法。

一般來說，安全性是相對系統(tǒng)而言的，通過上述各種安全性分析與評估工作，系統(tǒng)的安全性指標最終會分解轉(zhuǎn)化為硬件的可靠性要求和軟件／復(fù)雜電子硬件的設(shè)計保證等級要求，因此還需要以下標準來支持，如具體方法指導(dǎo)性行業(yè)標準如SAE ARP1834《數(shù)字系統(tǒng)和設(shè)備的故障／失效分析》、SAE ARP926A《故障／失效分析程序》；提供可靠性工作中使用的相關(guān)數(shù)據(jù)的手冊MIL–HDBK–217 《電子設(shè)備可靠性預(yù)計》和MIL–HDBK–338《可靠性工程手冊》，以及硬件和軟件過程標準RTCA DO–178B和RTCA DO–254，兩份標準中分別規(guī)定了不同設(shè)計保證等級的軟件／硬件過程要求。

3 文件

技術(shù)文件應(yīng)在產(chǎn)品的實現(xiàn)過程中適時形成，用于約束產(chǎn)品的設(shè)計、生產(chǎn)和檢驗等環(huán)節(jié)。通常，在一個系統(tǒng)級產(chǎn)品的研發(fā)過程中至少應(yīng)形成如圖2所示的各類技術(shù)文件。

圖2 系統(tǒng)級產(chǎn)品基本技術(shù)文件體系

此外，還應(yīng)包括系統(tǒng)及部件級的技術(shù)方案論證及指標分析文件、可靠性等“五性”相關(guān)設(shè)計與分析文件等。對于有軟件部件和／或ASIC、PLD及FPGA這樣的復(fù)雜電子硬件的適航取證項目產(chǎn)品，還需形成必要的過程文件。

3.1 過程控制要求的文件

按照RTCA DO–178B和／或RTCA DO–254的規(guī)定，過程文件可分為計劃、標準、設(shè)計、驗證和過程總結(jié)5大類，其中軟件文件共20小類，復(fù)雜電子硬件文件最多共26小類。

過程控制文件更加重視計劃與標準。以軟件文件為例，計劃類文件共有5小類，分別針對軟件的合格審定過程、開發(fā)與驗證過程，以及并行的配置管理和質(zhì)量保證活動；標準類文件有3小類，包括軟件需求標準、軟件設(shè)計標準和軟件標碼標準。通過上述計劃和標準的編制，在開發(fā)之初就可以對軟件項目做出科學細致的策劃。

在相應(yīng)的標準中，關(guān)于每一份文件都有規(guī)定，包括以下幾項。

3.1.1 文件應(yīng)包括的主要內(nèi)容

以《硬件合格審定計劃》為例，根據(jù)RTCA DO–254中10.1.1節(jié)的規(guī)定，必須包括如下內(nèi)容：系統(tǒng)概述（系統(tǒng)功能、體系結(jié)構(gòu)及失效情況描述，系統(tǒng)硬件和軟件的功能分配等）；硬件概述（硬件功能、體系結(jié)構(gòu)、使用的新技術(shù)和安全性措施）；審定考慮（審定基礎(chǔ)、建議的符合性方法、硬件設(shè)計保證等級）；硬件設(shè)計生命周期（使用的過程、方法和標準，滿足硬件設(shè)計保證目標的過程和活動，活動的順序及相互關(guān)系等）；硬件設(shè)計生命周期資料；附加考慮（COTS的使用、產(chǎn)品使用經(jīng)歷、工具的評估和鑒定等）；以及明確了主要里程碑及日期的審定計劃。

3.1.2 文件的控制類

軟件文件和硬件文件分別都有兩種控制類別，均與技術(shù)狀態(tài)（配置／構(gòu)型）控制的嚴格程度相關(guān)。對于1類（CC1或HC1），需完成全部技術(shù)狀態(tài)管理活動并達到目標，而2類（CC2或HC2）只需完成部分管理活動，對于軟件和硬件分別為總目標的6／13和6／11。相同設(shè)計保證等級下，不同文件的控制類別可不同，詳細設(shè)計資料的控制類別高于概要設(shè)計資料、測試規(guī)程的控制類別高于測試結(jié)果報告、軟件文件與硬件文件的要求也不同。

3.2 文件的注意事項

提交局方審查的文件需注意質(zhì)量及時效，也就是需注意文件的正確性、準確性、完整性、一致性、可操作性、客觀性和有效性。

正確性和準確性是對技術(shù)文件的基本要求，技術(shù)參數(shù)應(yīng)是正確的，需經(jīng)必要的分析或驗證；對產(chǎn)品所用材料的定義應(yīng)是準確的，按照標準應(yīng)包括材料名稱、牌號、規(guī)格和標準代號等內(nèi)容。完整性有兩層涵義，宏觀上技術(shù)文件的體系要完整，能夠覆蓋產(chǎn)品實現(xiàn)所需要的各個環(huán)節(jié)；而具體到某份技術(shù)文件，其中所包含的內(nèi)容要完整，能夠全面約束對應(yīng)工作項目的活動。一致性（可追溯性），強調(diào)的是輸入／輸出文件之間在內(nèi)容和技術(shù)參數(shù)上的統(tǒng)一與協(xié)調(diào)，也包括技術(shù)文件與產(chǎn)品實物的對應(yīng)統(tǒng)一。對于試驗大綱／試驗程序類技術(shù)文件，必須具有可操作性和客觀性。而有效性是指技術(shù)文件應(yīng)根據(jù)審批要求經(jīng)有權(quán)限人員批準，現(xiàn)場使用文件應(yīng)是經(jīng)過批準并通過受控途徑發(fā)放的正式文件。

4 審查

合格審定過程是在審查方與被審查方的合作中向前推進的。申請人應(yīng)預(yù)先熟悉審查要點、主動配合審查活動，將有利于審定工作的順利完成。

按照適航文件規(guī)定審查分為制造審查和工程審查兩部分，圍繞著產(chǎn)品研制過程我們認為主要從以下4個方面進行審查。

4.1 體系審查

體系審查分為質(zhì)量體系文件審查和現(xiàn)場審查。

申請人應(yīng)根據(jù)CCAR–21–R3《民用航空產(chǎn)品和零部件合格審定規(guī)定》建立質(zhì)量控制體系，局方審查員按照AP–21–04《生產(chǎn)許可審定和監(jiān)督程序》進行審查。不少機載設(shè)備研制單位都已建立了符合ISO 9001的質(zhì)量管理體系，可分析現(xiàn)有體系文件與適航要求的差距，有針對性地進行修改和增補。

除體系文件審查外，還要對體系文件的執(zhí)行情況進行現(xiàn)場審查。有時，體系文件的執(zhí)行審查也與設(shè)計、制造和試驗的工程過程審查相結(jié)合進行。

供應(yīng)商管理是體系審查中最容易出現(xiàn)問題的薄弱環(huán)節(jié)之一，供應(yīng)商在體系審查中出現(xiàn)的問題也是申請人的問題，因此，申請人應(yīng)給予高度重視。

4.2 設(shè)計審查

設(shè)計審查主要指設(shè)計文檔的符合性審查，是從各個層面對申請人確定并經(jīng)局方認可的各級技術(shù)基礎(chǔ)的符合性審查。主要內(nèi)容如下。

審查申請人提交的審定基礎(chǔ)是否符合相關(guān)的適航要求，如對應(yīng)的CTSOA；審查各項計劃與標準是否符合RTCA DO–178B和RTCA DO–254對應(yīng)設(shè)計保證等級的要求；審查產(chǎn)品技術(shù)規(guī)范是否符合經(jīng)確認的審定基礎(chǔ)、部／組件技術(shù)規(guī)范是否符合由系統(tǒng)技術(shù)規(guī)范分解的部件要求、硬件的全套圖紙及工藝規(guī)范是否符合硬件技術(shù)規(guī)范并滿足加工需求；審查研制過程文檔及證據(jù)是否符合計劃和標準要求等。

4.3 制造審查

制造審查的內(nèi)容也可分為兩部分，即制造所需技術(shù)文件的評審和制造過程的現(xiàn)場審查。

技術(shù)文件和圖紙主要包括：零件圖紙、工藝文件、材料規(guī)范，以及可能存在的偏離處理?，F(xiàn)場檢查對象包括材料／輔料、生產(chǎn)及檢測記錄、人員資質(zhì)、工裝及工具，以及制造設(shè)備和制造環(huán)境等。

產(chǎn)品的關(guān)重特性與其預(yù)定的功能、制造工藝要求、所使用的材料、裝配特性、失效影響以及預(yù)期的使用環(huán)境等都有著密切的關(guān)系，也會受經(jīng)濟因素、資源配備情況和加工周期的影響。確定的關(guān)重特性還會反映在圖紙標注、采供控制、加工控制、代料控制和檢驗控制等諸多環(huán)節(jié)中。因此，在檢查項目的選擇上，局方通常更關(guān)注關(guān)鍵件和重要件。

4.4 試驗審查

試驗審查通常是作為最終的符合性審查，包括試驗室條件下的系統(tǒng)功能性能試驗和驗證惡劣條件下系統(tǒng)功能性能的環(huán)境試驗兩大類。

試驗審查按照試驗過程可分為如下幾個環(huán)節(jié)。

首先是試驗前的試驗大綱／程序的評審。按照適航規(guī)章的要求，試驗大綱／程序中應(yīng)包括試驗設(shè)備、試驗步驟、合格判據(jù)、試驗表格和故障處理辦法等內(nèi)容。

之后，在試驗現(xiàn)場需要檢查現(xiàn)場的試驗設(shè)備是否與大綱／程序中規(guī)定的設(shè)備一致、試驗件是否經(jīng)過制造符合性檢查并配有適航標簽，以及試驗人員是否具備相應(yīng)的資質(zhì)。

試驗結(jié)束后，需對試驗報告進行審查。試驗數(shù)據(jù)及試驗結(jié)果需能表明產(chǎn)品符合試驗大綱的要求。

這里需要重點關(guān)注的是試驗電纜。應(yīng)將系統(tǒng)互連電纜（參與系統(tǒng)功能性能試驗）作為系統(tǒng)設(shè)計的一部分，電纜設(shè)計應(yīng)符合相關(guān)標準，電纜的加工如同產(chǎn)品的加工一樣也需有明確的工藝規(guī)定，電纜的加工與驗收應(yīng)留有證據(jù)。尤其是對于重要試驗的電纜，如電磁兼容性試驗用電纜，其品質(zhì)對試驗結(jié)果會產(chǎn)生重大影響，電纜設(shè)計和加工控制必須能保證電纜實物與系統(tǒng)互連電纜設(shè)計的符合性。

5 安全

《中華人民共和國民用航空器適航管理條例》規(guī)定“民用航空器的適航管理，是根據(jù)國家的有關(guān)規(guī)定，對民用航空器的設(shè)計、生產(chǎn)、使用和維修，實施以確保飛行安全為目的的技術(shù)鑒定和監(jiān)督?！笨梢姡駲C適航管理的主要目標是安全性。

可能危及安全的系統(tǒng)失效主要有兩方面原因，即部件的隨機物理失效及開發(fā)過程中產(chǎn)生的需求和設(shè)計錯誤或疏漏。對于前者，需要通過部件的可靠性設(shè)計與實現(xiàn)來保障，對后一種情況，要靠系統(tǒng)軟硬件的研制過程保證來避免?？梢哉f需從產(chǎn)品設(shè)計和過程控制兩方面來保障系統(tǒng)的安全性目標。

5.1 安全性目標的設(shè)計保障

為確保硬件達到要求的可靠性指標，必須遵照相關(guān)的可靠性工作流程與產(chǎn)品功能性能研制同步進行產(chǎn)品的可靠性設(shè)計工作。

在硬件設(shè)計之初就必須對可靠性要求進行分析及分解。針對定性指標，需要確定可靠性相關(guān)的設(shè)計準則，指導(dǎo)設(shè)計員確定技術(shù)方案。設(shè)計員需對照設(shè)計準則，檢查準則條款的適用性及符合性，在完善設(shè)計的同時也完善準則，通過FMEA發(fā)現(xiàn)設(shè)計的薄弱環(huán)節(jié)，并增加必要的補救措施。對于定量指標如MTBF（平均故障間隔時間）等，則需要進行指標細化的可靠性分配工作，并通過部組件的可靠性指標預(yù)計反饋，對相關(guān)指標進行迭代設(shè)計以保證系統(tǒng)的整體可靠性水平。

5.2 安全性目標的過程保障

過程保障是通過分配特定的設(shè)計保證等級（DAL）來實現(xiàn)的，即根據(jù)對應(yīng)的等級制訂對應(yīng)的工作程序和驗證標準。系統(tǒng)的DAL根據(jù)系統(tǒng)的失效狀態(tài)按照SAE ARP4754的要求來確定，如失效狀態(tài)屬于災(zāi)難性的，DAL應(yīng)為A級；屬于危險的，DAL應(yīng)為B級等。之后再考慮功能分割、冗余以及非相似等系統(tǒng)架構(gòu)因素分別確定軟件部件和復(fù)雜電子硬件部件的DAL。

對于軟件和／或復(fù)雜電子硬件，分別依據(jù)RTCA DO–178B和 RTCA DO–254來進行過程控制。由于對應(yīng)的失效狀態(tài)嚴酷程度不同，決定了不同設(shè) 計保證等級對各項工作執(zhí)行的深度、范圍和嚴格程度有不同的要求。具體表現(xiàn)在：對過程目標的要求不同，對文件種類的要求不同，對文件的控制類別要求不同，對驗證的完備性及人員的獨立性要求不同等等。

6 結(jié)束語

機載設(shè)備研制單位需根據(jù)實際情況，對不同特性產(chǎn)品采取不同的取證形式，依據(jù)相關(guān)適航標準確定產(chǎn)品的最低性能要求，并爭取采用相對經(jīng)濟、且能被適航局方接受的符合性證明方法；根據(jù)設(shè)計與加工進度以及局方的時間安排，確定審定的細節(jié)項目、細化審查或目擊的日程安排；高度重視過程審查，對于軟件和復(fù)雜電子硬件，應(yīng)依據(jù)相關(guān)文件進行過程監(jiān)控；養(yǎng)成用證據(jù)來說話的習慣，每個環(huán)節(jié)、每道工序、每條需求的正確實現(xiàn)都必須提供相應(yīng)證據(jù)。最后，必須主動要求局方來審查，并事先做好準備工作，這樣才能有效保證項目的順利推進。