和EASA同步收緊eVTOL飛控軟件認(rèn)證規(guī)則？

戳關(guān)注，右上菜單欄···鍵，設(shè)為星標(biāo)

近日，一篇題為《間隔僅26天：FAA與EASA同步收緊eVTOL飛控軟件認(rèn)證規(guī)則》的文章在行業(yè)內(nèi)傳播（下稱“網(wǎng)傳文章”）。

網(wǎng)傳文章稱：2026年6月2日，美國(guó)聯(lián)邦航空管理局（FAA）修訂了所謂“AC 21.17B附錄D”；26天后，歐盟航空安全局（EASA）又修訂了所謂“SC-VTOL-026”。兩家局方由此統(tǒng)一要求所有eVTOL核心飛控軟件達(dá)到DO-178C Level A，F(xiàn)AA還要求開發(fā)與驗(yàn)證由不同團(tuán)隊(duì)完成，EASA則強(qiáng)制采用兩套獨(dú)立飛控計(jì)算機(jī)構(gòu)成“雙物理通道冗余架構(gòu)”。

文中表述使用了大量真實(shí)的適航術(shù)語：DO-178C、Level A、驗(yàn)證獨(dú)立性、冗余架構(gòu)、共模失效以及FAA—EASA協(xié)調(diào)。也正因?yàn)槿绱?，它看起來頗具可信度。

由于事關(guān)重大，“適航思維”也接到了朋友問詢，故就此事進(jìn)行了核實(shí)。

截至2026年7月17日，經(jīng)逐項(xiàng)檢索FAA和EASA官方文件庫，網(wǎng)傳文章所稱的兩份文件、其時(shí)間線以及主要技術(shù)表述，均無法在局方官方文件體系中得到印證。

本文不針對(duì)任何發(fā)布者，只是借這個(gè)話題，把幾個(gè)經(jīng)常被混淆的問題放回官方文件里逐項(xiàng)梳理清楚：常見適航文件的編號(hào)是如何構(gòu)成的，軟件等級(jí)由什么決定，驗(yàn)證獨(dú)立性到底意味著什么，冗余架構(gòu)又是不是被“規(guī)定”出來的。

還需先澄清文件屬性：FAA在AC 21.17-4中明確說明，咨詢通告（AC）屬于指導(dǎo)性文件，其內(nèi)容本身不具有獨(dú)立的法律約束力；EASA的SC-VTOL-02規(guī)定適航安全和設(shè)計(jì)目標(biāo)，配套符合性方法（MOC）則給出局方可接受的符合性路徑。將AC、SC和MOC籠統(tǒng)稱為“軟件認(rèn)證規(guī)則”，本身就不夠嚴(yán)謹(jǐn)。

還需注意，eVTOL是產(chǎn)業(yè)和技術(shù)語境中的稱謂，動(dòng)力提升航空器（powered-lift）則是FAA法規(guī)體系中的航空器類別，兩者并非天然一一對(duì)應(yīng)。本文討論AC 21.17-4時(shí)，均以該通告所述的特定powered-lift適用范圍為限。

FAA沒有所謂“AC 21.17B附錄D”

FAA目前針對(duì)動(dòng)力提升航空器（powered-lift）型號(hào)合格審定發(fā)布的咨詢通告是：

AC 21.17-4，Type Certification—Powered-lift

FAA官方咨詢通告目錄目前將AC 21.17-4列為Active，發(fā)布日期為2025年7月18日。該通告的官方目錄說明及所鏈接文件均表明，適用于其所述特定動(dòng)力提升航空器的適航準(zhǔn)則位于Appendix A，即附錄A。文件同時(shí)說明，附錄A所列準(zhǔn)則可以作為依據(jù)14 CFR §21.17(b)開展特定動(dòng)力提升航空器型號(hào)合格審定的一種可接受方式。

這里很容易發(fā)生一次“編號(hào)錯(cuò)位”。

在FAA現(xiàn)行咨詢通告目錄中，21.17主題下列出的文件包括：

• AC 21.17-1A，飛艇；

• AC 21.17-2A，滑翔機(jī)及動(dòng)力滑翔機(jī)；

• AC 21.17-3，甚輕型飛機(jī)；

• AC 21.17-4，動(dòng)力提升航空器。

也就是說，該系列采用的是“21.17-序號(hào)”的文件編號(hào)結(jié)構(gòu)，其中兩份已帶修訂版字母，如AC 21.17-1A和AC 21.17-2A。至于“§21.17(b)”中的“(b)”，則是法規(guī)條款的款項(xiàng)標(biāo)識(shí)，不是咨詢通告編號(hào)的一部分。

因此，把14 CFR §21.17(b)寫成“AC 21.17B”，再配上一個(gè)并不存在的“附錄D”，很可能是把法規(guī)條款號(hào)、咨詢通告編號(hào)和文件附錄三套概念混在了一起。

截至核查日，F(xiàn)AA官方咨詢通告目錄中沒有“AC 21.17B”，也沒有網(wǎng)傳文章所稱的“2026年6月2日AC 21.17B附錄D修訂版”。

EASA也沒有所謂“SC-VTOL-026”

EASA現(xiàn)行的小型載人VTOL專用條件為：

Special Condition for small-category VTOL-capable aircraft，SC-VTOL-02，Issue 2

其文件封面分別標(biāo)明：

• Doc. No：SC-VTOL-02；

• Issue：2；

• Date：10 June 2024。

也就是說，“SC-VTOL-02”是文件編號(hào)，“Issue 2”是版本狀態(tài)，兩者在官方文件中分別列示。

EASA在“Special Condition for VTOL and Means of Compliance”官方頁面同時(shí)列出了與該專用條件配套的符合性方法文件，包括：

MOC SC-VTOL——首次發(fā)布的符合性方法，官網(wǎng)Reference欄亦標(biāo)注為MOC-1；以及MOC-2、MOC-3、MOC-4和MOC-5。

其中：

• MOC-4 SC-VTOL Issue 2于2025年7月11日最終發(fā)布；

• MOC-5 SC-VTOL Issue 1于2025年7月18日發(fā)布征求意見稿；

• 截至核查日，MOC-5在官網(wǎng)仍標(biāo)識(shí)為Proposed，意見征集已結(jié)束。

EASA官方Reference欄列出的文件序列中，并沒有“SC-VTOL-026”。

從命名邏輯看，EASA官網(wǎng)保留了早期SC-VTOL-01的咨詢和意見處理記錄，現(xiàn)行專用條件則為SC-VTOL-02。將其寫成“SC-VTOL-026”，既無法對(duì)應(yīng)現(xiàn)行文件編號(hào)，也無法對(duì)應(yīng)Issue或MOC發(fā)布序列。

因此，網(wǎng)傳文章所稱“EASA在FAA修改文件26天后修訂SC-VTOL-026”，沒有相應(yīng)官方文件支持。

2026年EASA確有VTOL相關(guān)文件，但與飛控軟件無關(guān)

為了排除“可能只是文件名稱寫錯(cuò)了”的情況，還可以反向檢查EASA在2026年年中前后究竟發(fā)布了什么。

在EASA官網(wǎng)“VTOL Aircraft（>2 lift/thrust units）”產(chǎn)品標(biāo)簽頁中，與網(wǎng)傳時(shí)間窗口最接近的2026年新增項(xiàng)目是：

CM-21.A-P-002，Approval of Flight Conditions for development flights of a new small aircraft type

該文件于2026年3月31日啟動(dòng)征求意見，意見征集于2026年6月3日結(jié)束。其內(nèi)容是澄清新型小型航空器在概念驗(yàn)證、設(shè)計(jì)改進(jìn)和型號(hào)研制試飛階段，如何制定并批準(zhǔn)特許飛行所需的飛行條件。適用產(chǎn)品可以包括CS-23飛機(jī)、小型旋翼航空器、VTOL航空器和輕型無人機(jī)，但其主題屬于初始適航程序和研制試飛管理，并非飛控軟件研制保證要求。

該日期與網(wǎng)傳文章時(shí)間線中的“6月2日”“26天后”等表述相近，但現(xiàn)有證據(jù)不足以說明兩者之間是否存在關(guān)聯(lián)，本文不作推斷。

可以確認(rèn)的是：2026年EASA這項(xiàng)與VTOL有關(guān)的公開動(dòng)作，既不是SC-VTOL修訂，也沒有新增DO-178C Level A或雙飛控計(jì)算機(jī)要求。

是否要求所有eVTOL核心飛控軟件達(dá)到Level A？

作為一條普遍適用的要求，這一說法并不成立。

FAA AC 21.17-4附錄A的PL.2510規(guī)定，航空器設(shè)備和系統(tǒng)的設(shè)計(jì)應(yīng)在失效狀態(tài)嚴(yán)重程度與平均發(fā)生概率之間建立合理的反向關(guān)系：

• 災(zāi)難性的（catastrophic）失效狀態(tài)應(yīng)當(dāng)極不可能（extremely improbable）；

• 危險(xiǎn)的（hazardous）失效狀態(tài)應(yīng)當(dāng)極微?。╡xtremely remote）；

• 較大的（major）失效狀態(tài)應(yīng)當(dāng)微?。╮emote）。

這是一組航空器和系統(tǒng)級(jí)安全目標(biāo)，不是一張可以脫離系統(tǒng)安全性評(píng)估、直接套用到全部軟件模塊上的等級(jí)對(duì)照表。

FAA于2018年生效的Order 8110.49A《Software Approval Guidelines（軟件批準(zhǔn)指南）》明確指出，軟件等級(jí)應(yīng)由系統(tǒng)安全性評(píng)估確定；軟件規(guī)模、復(fù)雜性、系統(tǒng)功能和新穎性等因素，主要影響局方介入程度，而不是替代安全性評(píng)估直接決定軟件等級(jí)。

EASA的邏輯同樣如此。MOC SC-VTOL Issue 2明確規(guī)定：

• 研制保證等級(jí)（DAL）由系統(tǒng)安全性評(píng)估過程確定；

• 功能或項(xiàng)目的研制保證等級(jí)，取決于其所參與失效狀態(tài)的分類；

• 對(duì)軟件研制保證，EASA接受AMC 20-115及ED-12/DO-178作為符合性方法。

因此，承擔(dān)災(zāi)難性失效相關(guān)功能的軟件項(xiàng)目，經(jīng)過功能危險(xiǎn)性評(píng)估、安全需求分配和系統(tǒng)架構(gòu)分析后，確實(shí)可能需要滿足DO-178C Level A。

但這不等于：

• 一架eVTOL上的所有軟件都是Level A；

• 所有被企業(yè)稱為“核心飛控”的軟件天然都是Level A；

• 所有飛控分區(qū)、監(jiān)控功能、顯示功能、維護(hù)功能和支持軟件必須采用同一軟件等級(jí)。

“核心飛控軟件”不是一個(gè)可以直接決定軟件等級(jí)的正式適航分類。真正決定等級(jí)的是：該軟件項(xiàng)目參與了什么功能，其錯(cuò)誤可能對(duì)哪些失效狀態(tài)作出貢獻(xiàn)，系統(tǒng)架構(gòu)又如何分配、隔離和緩解這些影響。

“寫代碼的人和檢查代碼的人必須屬于兩個(gè)獨(dú)立團(tuán)隊(duì)”嗎？

網(wǎng)傳文章把DO-178C中的驗(yàn)證獨(dú)立性，理解成了組織架構(gòu)上的強(qiáng)制隔離。

這兩者并不等價(jià)。

FAA于2017年7月21日發(fā)布AC 20-115D，認(rèn)可ED-12C/DO-178C及其相關(guān)補(bǔ)充文件。EASA隨后通過2017年10月24日的ED Decision 2017/020/R發(fā)布AMC 20-115D。兩家局方文件基于聯(lián)合提案，技術(shù)路徑保持協(xié)調(diào)。這一體系已實(shí)施多年，并非2026年針對(duì)eVTOL新增的要求。

DO-178C確實(shí)要求，對(duì)于相應(yīng)軟件等級(jí)下標(biāo)注為需要獨(dú)立性的特定驗(yàn)證目標(biāo)，相關(guān)驗(yàn)證活動(dòng)由具有所需獨(dú)立性的人員或工具完成。其核心不是劃分兩個(gè)組織，而是讓驗(yàn)證責(zé)任與被驗(yàn)證成果的相應(yīng)開發(fā)責(zé)任相分離，避免“自己證明自己正確”。

FAA發(fā)布的《DO-178B/C Differences Tool》給出了一個(gè)具體例子：針對(duì)低層需求編寫的測(cè)試用例，不能由編寫相應(yīng)低層需求代碼的同一個(gè)人完成。

這里的關(guān)鍵限定是“同一個(gè)人”和“相關(guān)活動(dòng)”，而不是“必須來自兩個(gè)完全獨(dú)立的公司、部門或組織”。

在實(shí)際項(xiàng)目中，申請(qǐng)人可以通過職責(zé)分工、評(píng)審權(quán)限、流程控制、驗(yàn)證工具安排、質(zhì)量保證和配置管理等方式建立所需獨(dú)立性。對(duì)于不同軟件等級(jí)和不同驗(yàn)證目標(biāo)，所需獨(dú)立程度并不完全相同。局方還會(huì)結(jié)合軟件計(jì)劃、組織安排、過程實(shí)施和符合性數(shù)據(jù)判斷該安排是否可以接受。

因此，把DO-178C概括成“寫代碼的人和檢查代碼的人不能是同一撥人”，尚可視為一種非常粗略的通俗化解釋；進(jìn)一步寫成“開發(fā)和驗(yàn)證必須由兩個(gè)獨(dú)立團(tuán)隊(duì)完成”，則已經(jīng)超出了公開適航文件能夠支持的結(jié)論。

EASA是否強(qiáng)制采用“兩套獨(dú)立飛控計(jì)算機(jī)”？

并不存在這樣一刀切的條款。

SC-VTOL-02第VTOL.2510(a)(1)款規(guī)定：

每一災(zāi)難性失效狀態(tài)必須極不可能，并且不得由單一失效導(dǎo)致。

此外，結(jié)構(gòu)和總體設(shè)計(jì)原則中的VTOL.2250(c)還要求，申請(qǐng)人必須防止單一失效對(duì)航空器造成災(zāi)難性影響。

這些條款規(guī)定的是必須達(dá)到的安全結(jié)果，而不是預(yù)先指定的硬件數(shù)量。

EASA在《Means of Compliance with the Special Condition VTOL》（MOC SC-VTOL Issue 2）的開篇即說明，SC-VTOL采用安全目標(biāo)和設(shè)計(jì)目標(biāo)導(dǎo)向的方法，以避免通過審定標(biāo)準(zhǔn)預(yù)先規(guī)定具體設(shè)計(jì)方案；配套MOC也要為不同系統(tǒng)架構(gòu)和設(shè)計(jì)概念保留足夠靈活性，申請(qǐng)人可以針對(duì)具體設(shè)計(jì)提出替代符合性方法。

當(dāng)然，這種靈活性不等于降低要求。

對(duì)于電傳飛控系統(tǒng)，EASA特別要求關(guān)注共模／共因失效和研制錯(cuò)誤。MOC 4 VTOL.2300指出，不應(yīng)僅依靠研制保證和質(zhì)量保證來緩解可能造成飛控功能完全喪失的共模失效或錯(cuò)誤；還應(yīng)盡實(shí)際可行的程度，提供能夠形成必要功能獨(dú)立性或項(xiàng)目研制獨(dú)立性的架構(gòu)緩解措施。文件同時(shí)提到，指令／監(jiān)控架構(gòu)、控制律監(jiān)控等可以作為相關(guān)緩解手段。

這意味著申請(qǐng)人可能采用：

雙通道或多通道計(jì)算平臺(tái)、指令／監(jiān)控架構(gòu)、異構(gòu)硬件或軟件、獨(dú)立傳感器、電源和執(zhí)行機(jī)構(gòu)、分區(qū)、故障監(jiān)控、表決、重構(gòu)或降級(jí)控制等不同組合。

具體采用什么架構(gòu)，取決于航空器構(gòu)型、功能分配、安全性評(píng)估、共模／共因分析以及申請(qǐng)人與局方商定的符合性方法。

“兩套獨(dú)立飛控計(jì)算機(jī)”可能是某一型號(hào)采用的設(shè)計(jì)方案，卻不是EASA為所有eVTOL規(guī)定的唯一答案。

“完整可追溯證據(jù)包”是真的，但不是2026年的新聞

網(wǎng)傳文章還稱，EASA新增要求申請(qǐng)人提交從需求到測(cè)試全過程的可追溯證據(jù)包。

可追溯性本身確實(shí)是機(jī)載軟件研制保證的核心內(nèi)容，但它不是2026年突然增加的新門檻。

FAA Order 8110.49A列舉的軟件審查抽樣內(nèi)容包括：

從系統(tǒng)需求到軟件需求、軟件設(shè)計(jì)、源代碼、目標(biāo)代碼、測(cè)試用例和程序，再到測(cè)試結(jié)果的連續(xù)可追溯關(guān)系。

DO-178C體系中的軟件生命周期數(shù)據(jù)也長(zhǎng)期包括軟件計(jì)劃、需求數(shù)據(jù)、設(shè)計(jì)說明、源代碼、可執(zhí)行目標(biāo)代碼、驗(yàn)證用例與程序、驗(yàn)證結(jié)果、配置索引、問題報(bào)告以及軟件完成情況綜述等。

換句話說：

可追溯性是真的，“2026年間隔26天突然加碼”則找不到依據(jù)。

FAA和EASA確實(shí)在加強(qiáng)合作，但合作聲明不是飛控軟件新規(guī)

根據(jù)EASA發(fā)布的會(huì)議頁面和聯(lián)合聲明，2026年FAA—EASA國(guó)際航空安全會(huì)議于6月16日至18日在美國(guó)弗吉尼亞州尚蒂伊（Chantilly）舉行。雙方于6月18日發(fā)布聯(lián)合聲明，重申在航空安全、信息共享、新技術(shù)批準(zhǔn)、自動(dòng)化駕駛艙、運(yùn)行數(shù)據(jù)和國(guó)際協(xié)調(diào)等方面深化合作。

聲明中確有協(xié)調(diào)先進(jìn)航空技術(shù)審定路徑、減少重復(fù)工作和促進(jìn)安全創(chuàng)新等內(nèi)容。

但會(huì)議聲明并沒有發(fā)布所謂“AC 21.17B附錄D”，也沒有修改“SC-VTOL-026”，更沒有宣布所有eVTOL飛控軟件統(tǒng)一為L(zhǎng)evel A或強(qiáng)制采用雙物理通道計(jì)算機(jī)。

監(jiān)管合作是真實(shí)背景，網(wǎng)傳文章所描述的兩次具體規(guī)則修改則沒有相應(yīng)文件支持。

為什么這類消息容易讓人相信？

值得討論的不是某一篇文章，而是這類信息的共同特征：真實(shí)術(shù)語與無法核實(shí)的“事實(shí)”拼接在一起。

DO-178C是真的，Level A是真的，驗(yàn)證獨(dú)立性是真的，飛控冗余和共模分析也是真的，F(xiàn)AA與EASA正在協(xié)調(diào)先進(jìn)航空技術(shù)審定同樣是真的。

問題往往出在三次概念替換：

第一，把法規(guī)條款號(hào)替換成了文件編號(hào)，將§21.17(b)拼成“AC 21.17B”。

第二，把航空器級(jí)安全目標(biāo)替換成了唯一設(shè)計(jì)方案，將“災(zāi)難性失效不得由單一失效導(dǎo)致”改寫成“必須采用兩套獨(dú)立飛控計(jì)算機(jī)”。

第三，把實(shí)施多年的研制保證要求替換成了突發(fā)政策變化，將軟件等級(jí)分配、驗(yàn)證獨(dú)立性和可追溯性包裝成2026年新增門檻。

每一次替換都只挪動(dòng)了半步，單獨(dú)看都貌似合理，疊加起來就變成了一場(chǎng)并不存在的“監(jiān)管地震”。識(shí)別它們不需要特別的技巧，只需要把每一個(gè)編號(hào)放回局方文庫里檢索一次。

eVTOL飛控審定真正需要關(guān)注什么？

澄清網(wǎng)傳消息，并不意味著eVTOL飛控軟件審定要求寬松。

恰恰相反。EASA對(duì)飛控系統(tǒng)的定義包括駕駛員操縱裝置、計(jì)算機(jī)、線路、執(zhí)行機(jī)構(gòu)、傳感器以及控制航空器姿態(tài)、速度和航跡所需的全部要素；升力／推力單元在功能上還可能構(gòu)成飛控系統(tǒng)的執(zhí)行機(jī)構(gòu)。

對(duì)于高度依賴增穩(wěn)、控制分配和分布式電推進(jìn)的航空器，真正需要解決的核心問題包括：

• 航空器和系統(tǒng)級(jí)功能危險(xiǎn)性評(píng)估；

• 失效狀態(tài)分類及FDAL、IDAL分配；

• 單點(diǎn)失效、潛在失效及失效組合；

• 共模／共因分析和級(jí)聯(lián)失效；

• 軟件和復(fù)雜電子硬件的研制錯(cuò)誤；

• 傳感器、計(jì)算平臺(tái)、電源和執(zhí)行機(jī)構(gòu)之間的獨(dú)立性；

• 飛控系統(tǒng)降級(jí)模式及持續(xù)安全飛行與著陸能力；

• 需求、設(shè)計(jì)、實(shí)現(xiàn)、驗(yàn)證和配置數(shù)據(jù)的閉環(huán)可追溯性。

EASA在MOC SC-VTOL Issue 2的MOC VTOL.2510“Common mode considerations”中還特別指出，即使項(xiàng)目按IDAL A研制，也不能直接假定其不存在研制錯(cuò)誤；同一錯(cuò)誤仍可能同時(shí)影響多個(gè)相同項(xiàng)目，因此必須納入共模分析。

這些才是eVTOL飛控審定真正困難的地方。

結(jié)語：適航，專業(yè)看門道

截至2026年7月17日，沒有官方文件表明FAA和EASA在2026年6月間隔26天，分別發(fā)布了網(wǎng)傳文章所稱的兩份文件。

同樣沒有文件表明雙方新近統(tǒng)一規(guī)定：

• 所有eVTOL核心飛控軟件一律達(dá)到DO-178C Level A；

• 軟件開發(fā)與驗(yàn)證必須由兩個(gè)組織上獨(dú)立的團(tuán)隊(duì)完成；

• 所有eVTOL必須采用兩套獨(dú)立飛控計(jì)算機(jī)。

本文否定的是網(wǎng)傳文章所稱的統(tǒng)一、普遍且在2026年新增的要求；這并不否定某一具體型號(hào)可能基于其審定基礎(chǔ)、系統(tǒng)安全性評(píng)估及與局方商定的符合性方法，采用Level A軟件、獨(dú)立驗(yàn)證安排或特定冗余架構(gòu)。

真實(shí)情況是，F(xiàn)AA和EASA長(zhǎng)期采用基于失效后果、系統(tǒng)安全性評(píng)估和研制保證的審定邏輯；雙方也一直在推進(jìn)軟件標(biāo)準(zhǔn)和新型航空器審定方法的協(xié)調(diào)。

但協(xié)調(diào)不等于一刀切，安全目標(biāo)不等于指定架構(gòu)，驗(yàn)證獨(dú)立性也不等于組織必須分家。

面對(duì)所謂“法規(guī)突變”“認(rèn)證門檻突然提高”的消息，至少應(yīng)核對(duì)五項(xiàng)信息：

文件編號(hào)、發(fā)布機(jī)構(gòu)、版本狀態(tài)、發(fā)布日期、具體條款位置。

適航文件可以復(fù)雜，但不會(huì)神秘。

一項(xiàng)連正式文件編號(hào)都無法在局方文庫中找到的“新規(guī)”，無論堆疊了多少Level A、冗余、獨(dú)立驗(yàn)證和可追溯性等專業(yè)詞匯，都不宜成為企業(yè)技術(shù)決策、項(xiàng)目計(jì)劃或投資判斷的依據(jù)。

聲 明：原創(chuàng)文章，歡迎聯(lián)系獲取轉(zhuǎn)載授權(quán)，并注明來源飛行邦；轉(zhuǎn)載文章，目的在于傳遞更多信息，并不代表平臺(tái)贊同其觀點(diǎn)和對(duì)其真實(shí)性負(fù)責(zé)。 如涉及作品內(nèi)容、版權(quán)和其它問題，請(qǐng)及時(shí)聯(lián)系我們更正或刪除 。文章版權(quán)歸原作者及原出處所有 ，本平臺(tái)只提供參考并不構(gòu)成任何投資及應(yīng)用建議。