机载软件认证

低空开放潮下，机载软件认证正在成为国产eVTOL卡脖子的隐形关卡

当国内首条固定低空商业试运行航线在深圳低空开通、亿航智能EH216-S拿下全球首张载人电动垂直起降飞行器（eVTOL）适航证的消息刷屏时，行业讨论的焦点始终集中在电池能量密度、空域管理开放、起降场建设这些显性话题上，很少有人注意到，支撑整个低空飞行器安全运行的机载软件，正卡在认证环节，成为很多国产低空飞行器项目量产落地前的隐形门槛。

机载软件不是普通的消费级代码，小到飞控系统的姿态调整，大到应急降落的故障处理，每一行代码的错误都可能直接导致机毁人亡。因此，机载软件必须通过权威适航审定机构的认证，才能合法装机运行，这是全球航空业通行的铁规则。目前全球民航业遵循的核心认证标准，最早可以追溯到1981年美国航空无线电技术委员会（RTCA）发布的DO-178标准，这份已经走过42年的文件，至今仍是各个国家航空管理部门开展机载软件认证的核心依据——美国联邦航空管理局（FAA）早在数十年前就将DO-178体系明确纳入自身的机载软件审批框架，FAA的航空器认证服务部门专门设立了独立板块，负责所有机载系统软件和航空电子硬件的审批工作，覆盖从大飞机到小型低空飞行器的所有品类。

很长一段时间里，国内航空制造业对机载软件认证的重视程度并不高，直到最近十年通用航空、尤其是低空经济崛起后，行业才开始逐步补全这一块的知识缺口。2021年，中国民航出版社正式出版了由阎芳、王敏主编的《机载软件研制与适航审定》，这本书上线不到三年，在民航出版平台已经获得了超过3473次专业浏览，成为国内航空工程师接触系统的机载软件适航认证知识的核心入门读物。从行业数据来看，目前国内拿到适航证的eVTOL项目不超过3个，大部分在研项目的软件研发阶段，都要花费至少三分之一的精力适配DO-178体系的认证要求——对于习惯了互联网行业快速迭代、边上线边修复开发节奏的科技公司出身的研发团队来说，这套严苛的规则完全是另一个维度的游戏。

DO-178体系对机载软件的分级要求，最能体现认证的严苛程度。按照软件失效可能带来的后果，标准将机载软件从A到E分为五个等级，A级是飞控、动力调控这类核心软件，失效会直接导致飞行器坠毁，因此认证要求每一个功能、每一行代码都要有可追溯的验证记录，从需求定义、软件设计、编码实现到集成测试，每一个环节都必须留下完整的文档，审核人员可以从最终的代码反向追溯到最开始的用户需求，确认每一步都符合规范。对于A级软件，DO-178要求做到100%的覆盖测试，不存在任何未经测试的代码路径——这意味着哪怕是一个从来不会被触发的异常分支，也必须编写对应的测试用例证明它的运行符合要求。

有头部eVTOL企业的研发负责人曾经跟笔者算过一笔账：一款载人eVTOL的飞控软件代码量大约在10万行到30万行之间，按照DO-178A级认证的要求，研发和测试的投入成本，平均每一行合格代码的成本超过100美元，整个飞控软件的认证成本就超过千万人民币，而且整个认证周期至少需要18个月，很多中小项目根本耗不起这个时间和资金。更关键的是，国内大部分研发团队没有DO-178体系的开发经验，很多互联网出身的工程师习惯了快速更新版本，但是在适航认证体系下，只要你改了一行核心代码，整个认证流程就要重新走一遍，这种开发模式的转换，对团队来说不亚于一次脱胎换骨。

当然，这并不意味着我们只能完全依赖国外的标准体系。在全球低空经济爆发的当下，原有的DO-178体系本身也在面临新的挑战。DO-178诞生的时候，民航业的机载软件还是相对简单的嵌入式系统，功能单一，更新频率极低，往往飞行器出厂之后软件就不会再做升级。但现在的eVTOL都是网联化的智能飞行器，需要通过OTA升级不断优化功能、修复漏洞，按照原来的认证规则，每一次OTA都要重新认证，根本跟不上技术迭代的速度。国内企业在推动适航标准本土化的过程中，其实也在推动规则的优化，比如针对低空飞行器的特点，对不同等级软件的认证要求做分层处理，对于非核心的信息娱乐、联网功能，适当简化认证流程，同时探索OTA过线后的认证机制，既保证安全，又不给产业发展套上不必要的枷锁。

现在国内低空经济正处于从技术验证走向商业落地的关键节点，机载软件认证这个隐形关卡，其实不止是挑战，也是国内第三方认证服务产业的机会。目前大部分国内企业做DO-178认证，都需要找国外的咨询机构服务，不仅收费高昂，沟通效率也很低，随着国内低空飞行器项目的放量，本土有能力提供机载软件认证咨询、开发流程适配的第三方机构会迎来巨大的市场空间。《机载软件研制与适航审定》这类专业书籍的走热，本身就是国内产业人才缺口的体现——现在国内航空院校开设专门的机载软件适航课程的还不多，大部分工程师都是在岗培训，人才缺口至少在数万人规模，这个缺口补上了，我们的低空飞行器产业才能真正摆脱卡脖子，实现规模化发展。

从全球来看，机载软件认证的规则正在随着低空经济的发展重新洗牌，FAA现在也在针对小型民用无人机、eVTOL调整原有的认证框架，简化审批流程。我们国家作为全球低空经济发展最快、市场空间最大的国家，完全有机会在完善现有认证体系的基础上，推动形成符合低空产业发展特点的新标准，给全球机载软件认证提供中国方案。毕竟，当未来有数百万架低空飞行器在城市上空运行，机载软件的安全认证，就是整个产业发展的底线，这个底线守不住，再美的低空经济蓝图也落不了地。从这个角度看，现在补上机载软件认证这一课，比抢航线、争订单更重要，这才是决定中国低空经济能走多远的核心基本功。