適航思維 | FAA和EASA同步收緊eVTOL飛控軟件認證規則？

▌沒有標星的朋友們有時可能會錯過【通航圈】的推送或是看不到部分推送文章的封面，歡迎新老朋友給【通航圈】點個星標，以便及時收到最新推文、避免錯過更多精彩*加星標方法：點擊上方藍字“通航圈”，然后點擊右上角...，設為星標

7月17日，新版CCAR0120部規章和修訂后的CCAR-290部規章正式公布，對通航公司來說標志著一個新時代的來臨（）。而在適航方面，“適航思維”在這一天發布的這篇文章也值得關注——

FAA和EASA同步收緊eVTOL飛控軟件認證規則？

來源：適航思維

近日，一篇題為《間隔僅26天：FAA與EASA同步收緊eVTOL飛控軟件認證規則》的文章在行業內傳播（下稱“網傳文章”）。

網傳文章稱：2026年6月2日，美國聯邦航空管理局（FAA）修訂了所謂“AC 21.17B附錄D”；26天后，歐盟航空安全局（EASA）又修訂了所謂“SC-VTOL-026”。兩家局方由此統一要求所有eVTOL核心飛控軟件達到DO-178C Level A，FAA還要求開發與驗證由不同團隊完成，EASA則強制采用兩套獨立飛控計算機構成“雙物理通道冗余架構”。

文中表述使用了大量真實的適航術語：DO-178C、Level A、驗證獨立性、冗余架構、共模失效以及FAA—EASA協調。也正因為如此，它看起來頗具可信度。

由于事關重大，“適航思維”也接到了朋友問詢，故就此事進行了核實。

截至2026年7月17日，經逐項檢索FAA和EASA官方文件庫，網傳文章所稱的兩份文件、其時間線以及主要技術表述，均無法在局方官方文件體系中得到印證。

本文不針對任何發布者，只是借這個話題，把幾個經常被混淆的問題放回官方文件里逐項梳理清楚：常見適航文件的編號是如何構成的，軟件等級由什么決定，驗證獨立性到底意味著什么，冗余架構又是不是被“規定”出來的。

還需先澄清文件屬性：FAA在AC 21.17-4中明確說明，咨詢通告（AC）屬于指導性文件，其內容本身不具有獨立的法律約束力；EASA的SC-VTOL-02規定適航安全和設計目標，配套符合性方法（MOC）則給出局方可接受的符合性路徑。將AC、SC和MOC籠統稱為“軟件認證規則”，本身就不夠嚴謹。

還需注意，eVTOL是產業和技術語境中的稱謂，動力提升航空器（powered-lift）則是FAA法規體系中的航空器類別，兩者并非天然一一對應。本文討論AC 21.17-4時，均以該通告所述的特定powered-lift適用范圍為限。

FAA沒有所謂“AC 21.17B附錄D”

FAA目前針對動力提升航空器（powered-lift）型號合格審定發布的咨詢通告是：

AC 21.17-4，Type Certification—Powered-lift

FAA官方咨詢通告目錄目前將AC 21.17-4列為Active，發布日期為2025年7月18日。該通告的官方目錄說明及所鏈接文件均表明，適用于其所述特定動力提升航空器的適航準則位于Appendix A，即附錄A。文件同時說明，附錄A所列準則可以作為依據14 CFR §21.17(b)開展特定動力提升航空器型號合格審定的一種可接受方式。

這里很容易發生一次“編號錯位”。

在FAA現行咨詢通告目錄中，21.17主題下列出的文件包括：

• AC 21.17-1A，飛艇；

• AC 21.17-2A，滑翔機及動力滑翔機；

• AC 21.17-3，甚輕型飛機；

• AC 21.17-4，動力提升航空器。

也就是說，該系列采用的是“21.17-序號”的文件編號結構，其中兩份已帶修訂版字母，如AC 21.17-1A和AC 21.17-2A。至于“§21.17(b)”中的“(b)”，則是法規條款的款項標識，不是咨詢通告編號的一部分。

因此，把14 CFR §21.17(b)寫成“AC 21.17B”，再配上一個并不存在的“附錄D”，很可能是把法規條款號、咨詢通告編號和文件附錄三套概念混在了一起。

截至核查日，FAA官方咨詢通告目錄中沒有“AC 21.17B”，也沒有網傳文章所稱的“2026年6月2日AC 21.17B附錄D修訂版”。

EASA也沒有所謂“SC-VTOL-026”

EASA現行的小型載人VTOL專用條件為：

Special Condition for small-category VTOL-capable aircraft，SC-VTOL-02，Issue 2

其文件封面分別標明：

• Doc. No：SC-VTOL-02；

• Issue：2；

• Date：10 June 2024。

也就是說，“SC-VTOL-02”是文件編號，“Issue 2”是版本狀態，兩者在官方文件中分別列示。

EASA在“Special Condition for VTOL and Means of Compliance”官方頁面同時列出了與該專用條件配套的符合性方法文件，包括：

MOC SC-VTOL——首次發布的符合性方法，官網Reference欄亦標注為MOC-1；以及MOC-2、MOC-3、MOC-4和MOC-5。

其中：

• MOC-4 SC-VTOL Issue 2于2025年7月11日最終發布；

• MOC-5 SC-VTOL Issue 1于2025年7月18日發布征求意見稿；

• 截至核查日，MOC-5在官網仍標識為Proposed，意見征集已結束。

EASA官方Reference欄列出的文件序列中，并沒有“SC-VTOL-026”。

從命名邏輯看，EASA官網保留了早期SC-VTOL-01的咨詢和意見處理記錄，現行專用條件則為SC-VTOL-02。將其寫成“SC-VTOL-026”，既無法對應現行文件編號，也無法對應Issue或MOC發布序列。

因此，網傳文章所稱“EASA在FAA修改文件26天后修訂SC-VTOL-026”，沒有相應官方文件支持。

2026年EASA確有VTOL相關文件，但與飛控軟件無關

為了排除“可能只是文件名稱寫錯了”的情況，還可以反向檢查EASA在2026年年中前后究竟發布了什么。

在EASA官網“VTOL Aircraft（>2 lift/thrust units）”產品標簽頁中，與網傳時間窗口最接近的2026年新增項目是：

CM-21.A-P-002，Approval of Flight Conditions for development flights of a new small aircraft type

該文件于2026年3月31日啟動征求意見，意見征集于2026年6月3日結束。其內容是澄清新型小型航空器在概念驗證、設計改進和型號研制試飛階段，如何制定并批準特許飛行所需的飛行條件。適用產品可以包括CS-23飛機、小型旋翼航空器、VTOL航空器和輕型無人機，但其主題屬于初始適航程序和研制試飛管理，并非飛控軟件研制保證要求。

該日期與網傳文章時間線中的“6月2日”“26天后”等表述相近，但現有證據不足以說明兩者之間是否存在關聯，本文不作推斷。

可以確認的是：2026年EASA這項與VTOL有關的公開動作，既不是SC-VTOL修訂，也沒有新增DO-178C Level A或雙飛控計算機要求。

是否要求所有eVTOL核心飛控軟件達到Level A？

作為一條普遍適用的要求，這一說法并不成立。

FAA AC 21.17-4附錄A的PL.2510規定，航空器設備和系統的設計應在失效狀態嚴重程度與平均發生概率之間建立合理的反向關系：

• 災難性的（catastrophic）失效狀態應當極不可能（extremely improbable）；

• 危險的（hazardous）失效狀態應當極微小（extremely remote）；

• 較大的（major）失效狀態應當微小（remote）。

這是一組航空器和系統級安全目標，不是一張可以脫離系統安全性評估、直接套用到全部軟件模塊上的等級對照表。

FAA于2018年生效的Order 8110.49A《Software Approval Guidelines（軟件批準指南）》明確指出，軟件等級應由系統安全性評估確定；軟件規模、復雜性、系統功能和新穎性等因素，主要影響局方介入程度，而不是替代安全性評估直接決定軟件等級。

EASA的邏輯同樣如此。MOC SC-VTOL Issue 2明確規定：

• 研制保證等級（DAL）由系統安全性評估過程確定；

• 功能或項目的研制保證等級，取決于其所參與失效狀態的分類；

• 對軟件研制保證，EASA接受AMC 20-115及ED-12/DO-178作為符合性方法。

因此，承擔災難性失效相關功能的軟件項目，經過功能危險性評估、安全需求分配和系統架構分析后，確實可能需要滿足DO-178C Level A。

但這不等于：

• 一架eVTOL上的所有軟件都是Level A；

• 所有被企業稱為“核心飛控”的軟件天然都是Level A；

• 所有飛控分區、監控功能、顯示功能、維護功能和支持軟件必須采用同一軟件等級。

“核心飛控軟件”不是一個可以直接決定軟件等級的正式適航分類。真正決定等級的是：該軟件項目參與了什么功能，其錯誤可能對哪些失效狀態作出貢獻，系統架構又如何分配、隔離和緩解這些影響。

“寫代碼的人和檢查代碼的人必須屬于兩個獨立團隊”嗎？

網傳文章把DO-178C中的驗證獨立性，理解成了組織架構上的強制隔離。

這兩者并不等價。

FAA于2017年7月21日發布AC 20-115D，認可ED-12C/DO-178C及其相關補充文件。EASA隨后通過2017年10月24日的ED Decision 2017/020/R發布AMC 20-115D。兩家局方文件基于聯合提案，技術路徑保持協調。這一體系已實施多年，并非2026年針對eVTOL新增的要求。

DO-178C確實要求，對于相應軟件等級下標注為需要獨立性的特定驗證目標，相關驗證活動由具有所需獨立性的人員或工具完成。其核心不是劃分兩個組織，而是讓驗證責任與被驗證成果的相應開發責任相分離，避免“自己證明自己正確”。

FAA發布的《DO-178B/C Differences Tool》給出了一個具體例子：針對低層需求編寫的測試用例，不能由編寫相應低層需求代碼的同一個人完成。

這里的關鍵限定是“同一個人”和“相關活動”，而不是“必須來自兩個完全獨立的公司、部門或組織”。

在實際項目中，申請人可以通過職責分工、評審權限、流程控制、驗證工具安排、質量保證和配置管理等方式建立所需獨立性。對于不同軟件等級和不同驗證目標，所需獨立程度并不完全相同。局方還會結合軟件計劃、組織安排、過程實施和符合性數據判斷該安排是否可以接受。

因此，把DO-178C概括成“寫代碼的人和檢查代碼的人不能是同一撥人”，尚可視為一種非常粗略的通俗化解釋；進一步寫成“開發和驗證必須由兩個獨立團隊完成”，則已經超出了公開適航文件能夠支持的結論。

EASA是否強制采用“兩套獨立飛控計算機”？

并不存在這樣一刀切的條款。

SC-VTOL-02第VTOL.2510(a)(1)款規定：

每一災難性失效狀態必須極不可能，并且不得由單一失效導致。

此外，結構和總體設計原則中的VTOL.2250(c)還要求，申請人必須防止單一失效對航空器造成災難性影響。

這些條款規定的是必須達到的安全結果，而不是預先指定的硬件數量。

EASA在《Means of Compliance with the Special Condition VTOL》（MOC SC-VTOL Issue 2）的開篇即說明，SC-VTOL采用安全目標和設計目標導向的方法，以避免通過審定標準預先規定具體設計方案；配套MOC也要為不同系統架構和設計概念保留足夠靈活性，申請人可以針對具體設計提出替代符合性方法。

當然，這種靈活性不等于降低要求。

對于電傳飛控系統，EASA特別要求關注共模／共因失效和研制錯誤。MOC 4 VTOL.2300指出，不應僅依靠研制保證和質量保證來緩解可能造成飛控功能完全喪失的共模失效或錯誤；還應盡實際可行的程度，提供能夠形成必要功能獨立性或項目研制獨立性的架構緩解措施。文件同時提到，指令／監控架構、控制律監控等可以作為相關緩解手段。

這意味著申請人可能采用：

雙通道或多通道計算平臺、指令／監控架構、異構硬件或軟件、獨立傳感器、電源和執行機構、分區、故障監控、表決、重構或降級控制等不同組合。

具體采用什么架構，取決于航空器構型、功能分配、安全性評估、共模／共因分析以及申請人與局方商定的符合性方法。

“兩套獨立飛控計算機”可能是某一型號采用的設計方案，卻不是EASA為所有eVTOL規定的唯一答案。

“完整可追溯證據包”是真的，但不是2026年的新聞

網傳文章還稱，EASA新增要求申請人提交從需求到測試全過程的可追溯證據包。

可追溯性本身確實是機載軟件研制保證的核心內容，但它不是2026年突然增加的新門檻。

FAA Order 8110.49A列舉的軟件審查抽樣內容包括：

從系統需求到軟件需求、軟件設計、源代碼、目標代碼、測試用例和程序，再到測試結果的連續可追溯關系。

DO-178C體系中的軟件生命周期數據也長期包括軟件計劃、需求數據、設計說明、源代碼、可執行目標代碼、驗證用例與程序、驗證結果、配置索引、問題報告以及軟件完成情況綜述等。

換句話說：

可追溯性是真的，“2026年間隔26天突然加碼”則找不到依據。

FAA和EASA確實在加強合作，但合作聲明不是飛控軟件新規

根據EASA發布的會議頁面和聯合聲明，2026年FAA—EASA國際航空安全會議于6月16日至18日在美國弗吉尼亞州尚蒂伊（Chantilly）舉行。雙方于6月18日發布聯合聲明，重申在航空安全、信息共享、新技術批準、自動化駕駛艙、運行數據和國際協調等方面深化合作。

聲明中確有協調先進航空技術審定路徑、減少重復工作和促進安全創新等內容。

但會議聲明并沒有發布所謂“AC 21.17B附錄D”，也沒有修改“SC-VTOL-026”，更沒有宣布所有eVTOL飛控軟件統一為Level A或強制采用雙物理通道計算機。

監管合作是真實背景，網傳文章所描述的兩次具體規則修改則沒有相應文件支持。

為什么這類消息容易讓人相信？

值得討論的不是某一篇文章，而是這類信息的共同特征：真實術語與無法核實的“事實”拼接在一起。

DO-178C是真的，Level A是真的，驗證獨立性是真的，飛控冗余和共模分析也是真的，FAA與EASA正在協調先進航空技術審定同樣是真的。

問題往往出在三次概念替換：

第一，把法規條款號替換成了文件編號，將§21.17(b)拼成“AC 21.17B”。

第二，把航空器級安全目標替換成了唯一設計方案，將“災難性失效不得由單一失效導致”改寫成“必須采用兩套獨立飛控計算機”。

第三，把實施多年的研制保證要求替換成了突發政策變化，將軟件等級分配、驗證獨立性和可追溯性包裝成2026年新增門檻。

每一次替換都只挪動了半步，單獨看都貌似合理，疊加起來就變成了一場并不存在的“監管地震”。識別它們不需要特別的技巧，只需要把每一個編號放回局方文庫里檢索一次。

eVTOL飛控審定真正需要關注什么？

澄清網傳消息，并不意味著eVTOL飛控軟件審定要求寬松。

恰恰相反。EASA對飛控系統的定義包括駕駛員操縱裝置、計算機、線路、執行機構、傳感器以及控制航空器姿態、速度和航跡所需的全部要素；升力／推力單元在功能上還可能構成飛控系統的執行機構。

對于高度依賴增穩、控制分配和分布式電推進的航空器，真正需要解決的核心問題包括：

• 航空器和系統級功能危險性評估；

• 失效狀態分類及FDAL、IDAL分配；

• 單點失效、潛在失效及失效組合；

• 共模／共因分析和級聯失效；

• 軟件和復雜電子硬件的研制錯誤；

• 傳感器、計算平臺、電源和執行機構之間的獨立性；

• 飛控系統降級模式及持續安全飛行與著陸能力；

• 需求、設計、實現、驗證和配置數據的閉環可追溯性。

EASA在MOC SC-VTOL Issue 2的MOC VTOL.2510“Common mode considerations”中還特別指出，即使項目按IDAL A研制，也不能直接假定其不存在研制錯誤；同一錯誤仍可能同時影響多個相同項目，因此必須納入共模分析。

這些才是eVTOL飛控審定真正困難的地方。

結語：適航，專業看門道

截至2026年7月17日，沒有官方文件表明FAA和EASA在2026年6月間隔26天，分別發布了網傳文章所稱的兩份文件。

同樣沒有文件表明雙方新近統一規定：

• 所有eVTOL核心飛控軟件一律達到DO-178C Level A；

• 軟件開發與驗證必須由兩個組織上獨立的團隊完成；

• 所有eVTOL必須采用兩套獨立飛控計算機。

本文否定的是網傳文章所稱的統一、普遍且在2026年新增的要求；這并不否定某一具體型號可能基于其審定基礎、系統安全性評估及與局方商定的符合性方法，采用Level A軟件、獨立驗證安排或特定冗余架構。

真實情況是，FAA和EASA長期采用基于失效后果、系統安全性評估和研制保證的審定邏輯；雙方也一直在推進軟件標準和新型航空器審定方法的協調。

但協調不等于一刀切，安全目標不等于指定架構，驗證獨立性也不等于組織必須分家。

面對所謂“法規突變”“認證門檻突然提高”的消息，至少應核對五項信息：

文件編號、發布機構、版本狀態、發布日期、具體條款位置。

適航文件可以復雜，但不會神秘。

一項連正式文件編號都無法在局方文庫中找到的“新規”，無論堆疊了多少Level A、冗余、獨立驗證和可追溯性等專業詞匯，都不宜成為企業技術決策、項目計劃或投資判斷的依據。

轉載自：適航思維。

需要進入通航圈交流群的朋友，

在公眾號對話框回復關鍵詞：入群。

免責聲明：本文及本公眾號任何文章之觀點，皆為交流探討之用，不構成任何投資建議。本公眾號作者也不負有更新以往文章觀點之責任，一切以最新文章為準。用戶根據本文及本公眾號任何其他觀點進行投資，須風險自擔，責任自負。由此造成的一切后果，本公眾號不承擔任何責任。

⊙部分圖文源于網絡，僅用于學習交流，版權歸原作者所有，如有侵權請聯系我們刪除。

通航圈：一個行業的跌宕起伏