由于本次eVTOL熱潮與無(wú)人機(jī)技術(shù)發(fā)展有不解之緣，因此很長(zhǎng)一段時(shí)期，eVTOL在公眾，甚至部分從業(yè)者的語(yǔ)境中，與無(wú)人機(jī)十分接近；而在多個(gè)廠商的樣機(jī)進(jìn)入適航審定階段的今天，各適航當(dāng)局對(duì)用于UAM的eVTOL的審定要求約等于23部規(guī)章，已經(jīng)成為共識(shí)，eVTOL的研制過(guò)程，也自然需借鑒23部飛機(jī)的流程、規(guī)范、標(biāo)準(zhǔn)。

eVTOL飛控身上的四座大山

潛在市場(chǎng)對(duì)eVTOL高安全、大規(guī)模、高度自動(dòng)化運(yùn)行的需求，加上適航規(guī)章這一安全性最低標(biāo)準(zhǔn)，使得飛控系統(tǒng)成為eVTOL落地的關(guān)鍵挑戰(zhàn)之一，筆者將eVTOL飛控的核心難點(diǎn)總結(jié)為四座大山：

安全性、成本、重量、復(fù)雜度構(gòu)成的不可能金字塔，任何涉及這幾項(xiàng)性能的系統(tǒng)均需要權(quán)衡

高安全性：航空業(yè)對(duì)安全性的極致追求，使得航線客運(yùn)成為單位里程事故率最低的交通工具，盡管如此，空難對(duì)公眾心理的沖擊仍是巨大的，可想而知，公眾對(duì)城市上空運(yùn)行的eVTOL事故率的要求會(huì)更高。

我們也了解現(xiàn)階段普遍運(yùn)行的支線和干線飛機(jī)，在良好維護(hù)和準(zhǔn)確操作的情況下，飛控系統(tǒng)功能失效率遠(yuǎn)低于適航規(guī)章要求。這得益于現(xiàn)代航空工業(yè)總結(jié)出的一系列標(biāo)準(zhǔn)、指南和最佳實(shí)踐（例如ARP4754及相關(guān)指南），指導(dǎo)高可靠性飛控及其他機(jī)載系統(tǒng)的研制和驗(yàn)證，即從技術(shù)上和工程實(shí)踐上，該要求都是合理且可以滿足的。

值得注意的是，與設(shè)想中的UAM運(yùn)行場(chǎng)景較為接近的135部按需（On-demand）運(yùn)行，盡管所用飛行器的設(shè)計(jì)安全性達(dá)到適航審定標(biāo)準(zhǔn)，但由于運(yùn)行場(chǎng)景環(huán)境復(fù)雜，通航公司管理和飛行員、機(jī)務(wù)水平參差不齊，導(dǎo)致事故率仍然較高（對(duì)比Part 121客運(yùn)的低于0.1/百萬(wàn)飛行小時(shí)）。

下圖為美國(guó)交通部統(tǒng)計(jì)的本國(guó)135部按需運(yùn)行逐年事故率，這種事故率對(duì)于大規(guī)模UAM運(yùn)行可能是公眾無(wú)法接受的。

美國(guó)交通部135部按需運(yùn)行事故率統(tǒng)計(jì)數(shù)據(jù)

根據(jù)不同的統(tǒng)計(jì)數(shù)據(jù)，飛行事故僅有約10-20%是由飛行器自身功能失效引起的（對(duì)照上圖數(shù)據(jù)，由飛行器自身功能失效引起的災(zāi)難性事故率約0.2-1.2/百萬(wàn)飛行小時(shí)），而大部分事故是由于飛行員操作失誤。

波音統(tǒng)計(jì)的事故原因數(shù)據(jù)

如果按照簡(jiǎn)化飛行（和維護(hù)）操作（SVO）的理念，飛行員在非極端情況下無(wú)需負(fù)責(zé)基礎(chǔ)飛行操作（如姿態(tài)穩(wěn)定、高度保持等），以及加入了包線保護(hù)、障礙物預(yù)警（或自動(dòng)規(guī)避）、氣象預(yù)警（或自動(dòng)航線規(guī)劃）、自動(dòng)故障預(yù)測(cè)診斷和隔離重構(gòu)等功能之后，事故率有望顯著降低。

輕量化：所需的安全性在技術(shù)上和工程上都是可實(shí)現(xiàn)的，但對(duì)于eVTOL的特殊需求，會(huì)出現(xiàn)新的問(wèn)題。我們希望eVTOL可以在2030年前實(shí)現(xiàn)成規(guī)模、可盈利的商業(yè)運(yùn)營(yíng)，但卻無(wú)法寄希望于電池性能在此之前突飛猛進(jìn)，從而達(dá)到現(xiàn)有直升機(jī)的載荷系數(shù)，以至于在可預(yù)見(jiàn)的將來(lái)，eVTOL都要極致減重，才可能具備實(shí)用的載荷能力。

這種情況下，民航飛機(jī)上ARINC600機(jī)箱內(nèi)，動(dòng)輒單臺(tái)重量十幾公斤的計(jì)算機(jī)，是eVTOL所無(wú)法承受的。 下圖是較早期Joby公布的 S4機(jī)型重量占比，我們可以看到電池和推進(jìn)系統(tǒng)重量占比達(dá)到54%，為了承載飛行員和4名乘客，必須將結(jié)構(gòu)、飛控、儀表、導(dǎo)航、防火等系統(tǒng)總重量壓縮至25%（約550kg），這種情況下，飛控和航電設(shè)備總重量要低于100kg。

Joby公布的重量占比數(shù)據(jù)

我們無(wú)從得知Joby S4原型機(jī)的重量配比是否依然如此，更無(wú)法預(yù)測(cè)未來(lái)取得型號(hào)許可證的原型機(jī)版本的飛控系統(tǒng)重量會(huì)是多少，但極致的輕量化設(shè)計(jì)是eVTOL機(jī)型必須要考慮的。

霍尼韋爾用于eVTOL的電傳飛控模塊

霍尼韋爾等傳統(tǒng)廠商也依托技術(shù)積累，進(jìn)行了將電傳飛控計(jì)算機(jī)、雷達(dá)等設(shè)備輕量化的嘗試。事實(shí)上，僅依靠設(shè)備的輕量化是遠(yuǎn)不足以滿足成熟階段eVTOL（多種多樣機(jī)型對(duì)于機(jī)載系統(tǒng)架構(gòu)靈活性）的要求，而是需要從系統(tǒng)架構(gòu)到設(shè)備功能均進(jìn)行獨(dú)特設(shè)計(jì)。

例如，對(duì)于飛控等機(jī)載電子設(shè)備，在滿足系統(tǒng)安全性、環(huán)境適應(yīng)性的前提下，需要通過(guò)提高集成度降低計(jì)算機(jī)等設(shè)備數(shù)量和重量，通過(guò)總線技術(shù)降低線纜數(shù)量和重量，通過(guò)電力電子技術(shù)減少繼電器、保險(xiǎn)絲的重量等。

高復(fù)雜度：無(wú)論是提高飛控等系統(tǒng)的集成度，還是簡(jiǎn)化飛行（和維護(hù)）操作，所帶來(lái)的都是系統(tǒng)或設(shè)備復(fù)雜度的顯著提升。

早期獨(dú)立式或聯(lián)合式的機(jī)載電子系統(tǒng)架構(gòu)中，一臺(tái)設(shè)備僅有一項(xiàng)或幾項(xiàng)功能，各功能的失效具有較好的獨(dú)立性，而對(duì)于綜合模塊化航電設(shè)備，單個(gè)設(shè)備可能承載多個(gè)功能，這時(shí)不同功能的失效之間可能產(chǎn)生密切關(guān)聯(lián)，這種情況下對(duì)功能、設(shè)備進(jìn)行設(shè)計(jì)和驗(yàn)證的符合性方法，在DO-297等指南中有所闡述。（其基本思想包括：資源共享、魯棒分區(qū)、應(yīng)用程序接口和健康管理，并以ARINC 653標(biāo)準(zhǔn)為例進(jìn)行介紹）。

盡管DO-297等指南提供了綜合模塊化航電系統(tǒng)的設(shè)計(jì)核符合性驗(yàn)證方法，但并不能降低系統(tǒng)的復(fù)雜度，相反，為了保證足夠的安全性，反倒提升了操作系統(tǒng)復(fù)雜度。

研究過(guò)程中，我們注意到：ARINC 653標(biāo)準(zhǔn)本質(zhì)上是在單核或較少內(nèi)核處理器的前提下采用了時(shí)間分區(qū)和空間分區(qū)，隨著微處理器的多核趨勢(shì)逐步明顯，（英飛凌TC397、TI TDA4等）6核以上的處理器開(kāi)始出現(xiàn)，則可以考慮以不同的內(nèi)核天然的物理隔離代替時(shí)間分區(qū)，即原來(lái)運(yùn)行在不同分區(qū)的駐留應(yīng)用，現(xiàn)在可以運(yùn)行在不同內(nèi)核上實(shí)現(xiàn)隔離（時(shí)間分區(qū)帶來(lái)的延遲也得以消除），空間分區(qū)則繼續(xù)以硬件hypervisor作為載體，此舉有望降低分區(qū)操作系統(tǒng)的復(fù)雜度。

NASA簡(jiǎn)化飛行操作等級(jí)

簡(jiǎn)化飛行操作與當(dāng)前操作對(duì)比，從理念上便具有重大差別，在系統(tǒng)設(shè)計(jì)中也將產(chǎn)生深遠(yuǎn)影響

簡(jiǎn)化飛行（和維護(hù)）操作的設(shè)計(jì)理念所帶來(lái)的復(fù)雜度提升則更明顯。例如，在傳統(tǒng)飛控系統(tǒng)設(shè)計(jì)過(guò)程中，很多失效條件下會(huì)以飛行員作為兜底的“備份系統(tǒng)”，而且（除了事無(wú)巨細(xì)的防止誤操作的設(shè)計(jì)和措施以外）認(rèn)為飛行員總能做出正確決定，這也是波音737 MAX悲劇的重要原因（當(dāng)值飛行員并不知道飛機(jī)搭載了MCAS系統(tǒng)，因此很難在第一時(shí)間做出關(guān)閉俯仰配平的決定）；而在設(shè)想的不同等級(jí)的簡(jiǎn)化飛行操作中，需要飛行員操作或兜底的項(xiàng)目隨等級(jí)提升而大幅降低，而這些項(xiàng)目相關(guān)的控制律，故障診斷、隔離、恢復(fù)策略軟硬件安全性就需要靠設(shè)計(jì)來(lái)保證。相對(duì)于有飛行員兜底的情形，每個(gè)等級(jí)簡(jiǎn)化飛行操作所帶來(lái)的邏輯判斷和決策分支都將會(huì)有數(shù)量級(jí)的提升。

邏輯分支的數(shù)量級(jí)提升，帶來(lái)的是驗(yàn)證工作量的指數(shù)級(jí)提升，盡管有數(shù)據(jù)表明，優(yōu)秀的工具鏈配合書(shū)寫(xiě)規(guī)范全面的需求，可以實(shí)現(xiàn)超過(guò)85%用例的自動(dòng)化測(cè)試，但無(wú)法自動(dòng)完成的部分，手寫(xiě)測(cè)試用例的難度往往更大，尤其是數(shù)量級(jí)足夠大時(shí)，所帶來(lái)的難度和成本都是筆者無(wú)法估計(jì)的。

除了簡(jiǎn)化飛行操縱，設(shè)想中的簡(jiǎn)化維護(hù)操作也將大幅度降低維護(hù)成本，并有效降低維護(hù)不利造成的事故率。但隨之而來(lái)的同樣是自動(dòng)化維護(hù)所需增加的電路、傳感器、設(shè)備、軟件邏輯、故障預(yù)測(cè)方法、數(shù)字孿生模型等，以及這些新增部分的安全性設(shè)計(jì)、驗(yàn)證工作。

低成本：前述三座大山所需的新技術(shù)研發(fā)、新標(biāo)準(zhǔn)制定、復(fù)雜度提升、新軟硬件開(kāi)發(fā)等過(guò)程，所帶來(lái)的都將是海量的研發(fā)成本，而低成本化和eVTOL機(jī)隊(duì)規(guī)模提升又是相輔相成的過(guò)程。行業(yè)要做的是推進(jìn)和把握市場(chǎng)成熟的節(jié)奏，以較快的速度將低成本化和機(jī)隊(duì)規(guī)模提升二者形成一定時(shí)期的正反饋。

參考近年來(lái)汽車(chē)工業(yè)及其智能化的發(fā)展過(guò)程，我們也許能看到其用銷量均攤成本、依靠專業(yè)的零部件供應(yīng)商、制定全球通用的軟件標(biāo)準(zhǔn)等趨勢(shì)。但這些都是eVTOL行業(yè)的終極目標(biāo)，短期內(nèi)仍與汽車(chē)工業(yè)無(wú)法對(duì)比，eVTOL行業(yè)的現(xiàn)狀是：無(wú)論是主機(jī)廠還是供應(yīng)商，都無(wú)法準(zhǔn)確預(yù)測(cè)市場(chǎng)發(fā)展節(jié)奏，也無(wú)法給出細(xì)化到設(shè)備級(jí)的詳細(xì)需求，現(xiàn)在能做的只有主機(jī)廠和供應(yīng)商應(yīng)一起合作進(jìn)步，隨市場(chǎng)發(fā)展而發(fā)展。

2.eVTOL飛控系統(tǒng)組成

飛控系統(tǒng)是較為復(fù)雜的機(jī)載系統(tǒng)，涉及機(jī)電設(shè)備、電子軟硬件、算法等多個(gè)大方向，不同的語(yǔ)境中，飛控在不同的語(yǔ)境中，可能指的是不同的部分。下圖為典型飛控系統(tǒng)研制過(guò)程可能包含的項(xiàng)目，圖中的不同顏色展示了不同角色之間可能的分工。

實(shí)際上，考慮到飛控系統(tǒng)的安全性需求，各項(xiàng)目的研制保證和驗(yàn)證工作大多門(mén)檻較高，因此不同的機(jī)型，不同的合作模式下，下圖會(huì)有多種變化，例如AFDX總線就是波音和空客聯(lián)合主導(dǎo)開(kāi)發(fā)，技術(shù)實(shí)力強(qiáng)的主機(jī)廠也會(huì)深度參與飛控應(yīng)用軟件和硬件的開(kāi)發(fā)工作；相反的，小廠商可能將控制律設(shè)計(jì)也外包進(jìn)行。

下圖為空客A350機(jī)型飛控系統(tǒng)示意圖，其中：

主飛控計(jì)算機(jī)（PRIM）、次級(jí)飛控計(jì)算機(jī)（SEC）和備份控制模塊對(duì)應(yīng)上圖中的計(jì)算機(jī)、控制器部分。在空客A350機(jī)型中，安裝三臺(tái)相同的主飛控計(jì)算機(jī)，但每臺(tái)計(jì)算機(jī)內(nèi)部設(shè)計(jì)有非相似的指令通道和監(jiān)控通道，二者使用不同的硬件運(yùn)行功能相同，但獨(dú)立開(kāi)發(fā)的軟件；當(dāng)三臺(tái)主飛控計(jì)算機(jī)均失效時(shí)，次級(jí)飛控計(jì)算機(jī)輸出舵面指令，但次級(jí)飛控計(jì)算機(jī)上只運(yùn)行直接控制律相關(guān)軟件，不具有包線保護(hù)、自動(dòng)油門(mén)等高級(jí)功能；當(dāng)次級(jí)飛控計(jì)算機(jī)也全部失效后，啟用備份控制模塊，其中運(yùn)行的程序僅能控制部分重要?dú)鈩?dòng)舵。

側(cè)桿、手柄、手輪、腳蹬、面板，以及舵面作動(dòng)器對(duì)應(yīng)傳感器、執(zhí)行器部分。該部分涉及多種與飛控功能密切相關(guān)的傳感器、操縱機(jī)構(gòu)、機(jī)電系統(tǒng)，且導(dǎo)航、大氣數(shù)據(jù)等傳感器未在圖中展示。

線纜（圖中箭頭）、數(shù)據(jù)連接器（FCDC）對(duì)應(yīng)上圖中的通信總線部。

中央顯示系統(tǒng)（CDS）、告警系統(tǒng)（FWS）和中央維護(hù)系統(tǒng)（CMS）雖然與飛控系統(tǒng)緊密相關(guān)，但通常不作為飛控系統(tǒng)的組成部分。

A350飛控系統(tǒng)簡(jiǎn)圖

中短期（實(shí)現(xiàn)無(wú)需機(jī)上駕駛員的全自主飛行之前）內(nèi)，eVTOL的飛控系統(tǒng)與民機(jī)將采用相似的設(shè)計(jì)思路（如下圖所示）。但由于極致輕量化的需求，硬件設(shè)備及拓?fù)浣Y(jié)構(gòu)將會(huì)有明顯不同。例如：

根據(jù)不同的操縱邏輯設(shè)計(jì)，eVTOL操縱可能不需要腳蹬（例如Joby），操縱面板可能用觸摸屏代替（例如億航）；

根據(jù)運(yùn)行風(fēng)險(xiǎn)不同，飛控計(jì)算機(jī)可能從單余度到非相似多余度，可以固定翼模式水平著陸的機(jī)型，可能包含運(yùn)行直接控制律的應(yīng)急飛控計(jì)算機(jī)；

由于eVTOL機(jī)身較小，遠(yuǎn)程數(shù)據(jù)集中器的使用可能減少或不使用；

飛控計(jì)算機(jī)將集成更多的功能，如飛行管理、健康管理等。

eVTOL飛控的可能形式，其中虛線指根據(jù)機(jī)型不同，該項(xiàng)可能存在，也可能不存在

下圖為Joby飛控系統(tǒng)的一種可能實(shí)現(xiàn)方式（來(lái)源于專利文檔），其巧妙之處在于采用POE以太網(wǎng)交換機(jī)，將供電和通信網(wǎng)絡(luò)合二為一，所有飛控計(jì)算機(jī)和其他設(shè)備均掛在該總線上，并可能將安全關(guān)鍵部分和其他部分隔離的方式在物理上實(shí)現(xiàn)安全分區(qū)，盡管當(dāng)前看不到該架構(gòu)在安全性指標(biāo)，但這不失為通過(guò)優(yōu)化拓?fù)浣Y(jié)構(gòu)降低系統(tǒng)重量的可能途徑。

Joby飛控系統(tǒng)的一種方案變體

3.飛控系統(tǒng)研制所需資源

前面一直在說(shuō)飛控系統(tǒng)非常復(fù)雜（大家都知道的事情，等于沒(méi)說(shuō)），下面通過(guò)一些數(shù)據(jù)稍微直觀地感受一下飛控系統(tǒng)的工程量。

200人，5年

這是馬可尼（后并入BAE）公司完成波音777電傳飛控系統(tǒng)開(kāi)發(fā)的工程量，筆者無(wú)法查到馬可尼公司在總開(kāi)發(fā)工作量中的占比，暫時(shí)認(rèn)為其承擔(dān)了其中的絕大部分，我們回顧一下ARP4754中的開(kāi)發(fā)流程示意圖，通常只有設(shè)備（LRU）內(nèi)部的機(jī)電、軟硬件研制才定義為開(kāi)發(fā)（Development），整機(jī)級(jí)、系統(tǒng)級(jí)，乃至設(shè)備（LRU）的需求及安全性研制，均稱為設(shè)計(jì)（Design）。

在V字型流程中，通常僅有底部的軟硬件詳細(xì)設(shè)計(jì)階段成為“開(kāi)發(fā)”

在如下圖所示的波音777電傳飛控系統(tǒng)及支持系統(tǒng)框圖中，開(kāi)發(fā)工作可能包括：

3*3余度主飛控計(jì)算機(jī)（PFCS）軟硬件開(kāi)發(fā)

作動(dòng)器控制單元（ACE）

功率控制單元（PCU）

駕駛桿、手柄所需的變送器（Transducer）、作動(dòng)器（Actuator）等

1800個(gè)需求，10000次變更

波音777僅自動(dòng)飛行指引系統(tǒng)的研制過(guò)程中，就包含了約1800個(gè)需求（不包含軟硬件底層需求），超過(guò)10000次需求變更。我們知道在飛行器研制系統(tǒng)工程中，每項(xiàng)需求相對(duì)于一個(gè)小工作包，研制過(guò)程設(shè)計(jì)需求的捕獲、分解、確認(rèn)、評(píng)審、開(kāi)發(fā)、驗(yàn)證、審查等一系列工作。

需求分解、追溯過(guò)程簡(jiǎn)圖

150萬(wàn)代碼

波音787飛控計(jì)算機(jī)所包含的代碼量，該飛控計(jì)算機(jī)采用三通道+三余度架構(gòu)，每臺(tái)飛控計(jì)算機(jī)軟件相似，硬件非相似，因此除了與硬件強(qiáng)相關(guān)的驅(qū)動(dòng)之外，這些代碼中的大部分在三個(gè)通道中是相同的，我們可以大膽（且不負(fù)責(zé)任）地猜測(cè)一下這些代碼的組成部分。

這些代碼中，核心控制律、狀態(tài)機(jī)、故障診斷、維護(hù)相關(guān)以及部分冗余代碼為機(jī)型強(qiáng)相關(guān)，難以大量重用既有代碼，其開(kāi)發(fā)過(guò)程需嚴(yán)格按照與安全性需求匹配的流程進(jìn)行（飛控系統(tǒng)絕大部分軟件為DAL-A級(jí)）。當(dāng)然，飛控軟件的開(kāi)發(fā)過(guò)程早已大量采用基于模型開(kāi)發(fā)+代碼自動(dòng)生成，但代碼量與系統(tǒng)復(fù)雜度強(qiáng)相關(guān)，因此海量的代碼也對(duì)應(yīng)極其復(fù)雜的模型，其需求、設(shè)計(jì)、驗(yàn)證、代碼生成并背靠背測(cè)試的工作量也是相當(dāng)可觀的。

4.eVTOL飛控的未來(lái)

eVTOL作為設(shè)想中便捷、安全、靈活和低成本的飛行器，其飛控頭上的四座大山意味著民機(jī)供應(yīng)鏈當(dāng)前無(wú)法滿足需求，也無(wú)法照搬民機(jī)飛控系統(tǒng)研制流程，筆者對(duì)eVTOL飛控系統(tǒng)的未來(lái)做了一些思考：

尋求相對(duì)敏捷的研制流程

eVTOL多樣化的機(jī)型和場(chǎng)景，意味著其飛控系統(tǒng)型號(hào)數(shù)量和迭代速度將遠(yuǎn)超當(dāng)代民機(jī)飛控，能夠支持較快速迭代的軟硬件平臺(tái)和開(kāi)發(fā)工具鏈就成為至關(guān)重要的環(huán)節(jié)。敏捷開(kāi)發(fā)并非“想到哪寫(xiě)到哪的自由開(kāi)發(fā)”，考慮到eVTOL固有的高安全性需求，安全性評(píng)估過(guò)程、雙向可追溯性和測(cè)試驗(yàn)證的完整性不能省略，相反地，安全關(guān)鍵系統(tǒng)的敏捷開(kāi)發(fā)需要在這些方面加強(qiáng)，主要措施可能包括： 隨時(shí)隨處考慮安全性：想要使用敏捷的開(kāi)發(fā)流程實(shí)現(xiàn)傳統(tǒng)V字過(guò)程的安全性，難度是更大的。

無(wú)論是硬件還是軟件，都需要每個(gè)設(shè)計(jì)和開(kāi)發(fā)人員均具有安全關(guān)鍵系統(tǒng)開(kāi)發(fā)基礎(chǔ)（例如學(xué)習(xí)相關(guān)標(biāo)準(zhǔn)規(guī)范、實(shí)施案例），從而在設(shè)計(jì)和開(kāi)發(fā)過(guò)程中自發(fā)消除基本的安全隱患；此外，評(píng)審過(guò)程要有自身安全性人員參與；然后，在持續(xù)集成和自動(dòng)化測(cè)試過(guò)程中發(fā)現(xiàn)遺漏的風(fēng)險(xiǎn)項(xiàng)。在這個(gè)過(guò)程中，需要靈活且穩(wěn)妥的需求變更機(jī)制、開(kāi)發(fā)人員的基礎(chǔ)能力、有效且便于落地的評(píng)審機(jī)制予以支持 高度自動(dòng)化的測(cè)試驗(yàn)證過(guò)程：對(duì)于系統(tǒng)、軟件或硬件，其測(cè)試驗(yàn)證過(guò)程所花費(fèi)的工作量通常大于開(kāi)發(fā)過(guò)程，因此自動(dòng)化測(cè)試驗(yàn)證是保證開(kāi)發(fā)敏捷性的關(guān)鍵環(huán)節(jié)，好在基于模型設(shè)計(jì)已經(jīng)可以將功能測(cè)試提前到模型環(huán)節(jié)，高效的軟件自動(dòng)化測(cè)試平臺(tái)也已普遍應(yīng)用。

此外，（將各軟件模塊）持續(xù)集成工具鏈、高置信度的軟件在環(huán)/硬件在環(huán)仿真系統(tǒng)，以及對(duì)仿真結(jié)果的性能評(píng)價(jià)系統(tǒng)，均是必不可少的。 重用和可擴(kuò)展性：層次化、模塊化設(shè)計(jì)有利于軟硬件功能的高聚合、低耦合，在工程中已普遍使用，在此基礎(chǔ)上，為了能在安全關(guān)鍵系統(tǒng)的迭代設(shè)計(jì)中對(duì)盡可能多的的軟硬件模塊進(jìn)行重用，還需要有特殊考慮。

對(duì)于硬件，需要為未來(lái)需求預(yù)留較多的算力、電源、散熱等性能，以及對(duì)稱多余度（即可以通過(guò)增加相同的硬件模塊提升整體性能）的可擴(kuò)展結(jié)構(gòu)；對(duì)于軟件，則需要盡可能提煉出通用的原子組件（僅實(shí)現(xiàn)單個(gè)功能的函數(shù)或文件）及其對(duì)應(yīng)需求、功能描述、使用邊界等文檔。

安全等級(jí)循序漸進(jìn)

在上述敏捷開(kāi)發(fā)流程中，列舉了復(fù)雜的設(shè)計(jì)開(kāi)發(fā)準(zhǔn)則和工具鏈的框架，但當(dāng)前仍沒(méi)有完整的范式可以直接使用，而且具體到每個(gè)企業(yè)、團(tuán)隊(duì)，可能的實(shí)現(xiàn)方式也將千差萬(wàn)別。因此涉及飛控系統(tǒng)研制的主機(jī)廠和供應(yīng)鏈企業(yè)，可能需要盡早搭建適合自己的規(guī)范和工具鏈體系，從樣機(jī)到產(chǎn)品，從低安全等級(jí)到高安全等級(jí)，在發(fā)展中進(jìn)行完善。

設(shè)計(jì)模式包羅萬(wàn)象，但經(jīng)常會(huì)浮于表面，或落入窠臼

智能化等級(jí)逐步推進(jìn)

全自主飛行是各eVTOL機(jī)型宣傳的重點(diǎn)之一，前面也說(shuō)到現(xiàn)代民機(jī)自動(dòng)化程度非常高，但在許多情況下仍需要飛行員的決策和操縱來(lái)保證安全，自主化程度越高，意味著越需要飛控系統(tǒng)完成此類決策和操縱，需要設(shè)計(jì)龐大的規(guī)則庫(kù)，特別是在引入以深度學(xué)習(xí)為基礎(chǔ)的感知這一非確定性之后，基于現(xiàn)有框架已經(jīng)無(wú)法表明安全性符合要求。

EASA在其AI路線圖中，明確將探索人工智能的可解釋性，并將人工智能、機(jī)器學(xué)習(xí)如何納入系統(tǒng)安全評(píng)估過(guò)程的指南、在設(shè)計(jì)層級(jí)使用人工智能、機(jī)器學(xué)習(xí)的功能說(shuō)明書(shū)、人工智能、機(jī)器學(xué)習(xí)用于系統(tǒng)設(shè)計(jì)影響的考慮。因此eVTOL的高度智能化一定不是短期內(nèi)可以實(shí)現(xiàn)的，要做好持久戰(zhàn)的準(zhǔn)備。

EASA的AI路線圖將人工智能分為三級(jí)：輔助人類飛行員（一級(jí)）、與人類飛行員聯(lián)合（二級(jí)），以及自主智能（三級(jí)）。對(duì)于商業(yè)運(yùn)營(yíng)類飛行器，EASA預(yù)計(jì)2025年實(shí)現(xiàn)一級(jí)智能，2030年實(shí)現(xiàn)二級(jí)智能，而2035之后實(shí)現(xiàn)三級(jí)智能。

尋求使用汽車(chē)供應(yīng)鏈

曾幾何時(shí)，當(dāng)飛機(jī)都已經(jīng)使用玻璃座艙時(shí)，絕大多數(shù)汽車(chē)上幾乎沒(méi)有處理器存在；在綜合模塊化航電系統(tǒng)成熟的21世紀(jì)初期，汽車(chē)電子系統(tǒng)仍采用分立式架構(gòu)；但在自動(dòng)駕駛、智能座艙飛速發(fā)展多年以后，汽車(chē)電子的綜合化、自動(dòng)化和智能化程度幾乎反超航空電子，特別是在ISO 26262標(biāo)準(zhǔn)的引領(lǐng)下，汽車(chē)電子在安全性方面已經(jīng)逐步接近航空電子。再加上汽車(chē)產(chǎn)業(yè)的規(guī)模效益大幅降低軟硬件成本，使得在一些安全等級(jí)要求不嚴(yán)苛（例如小型貨運(yùn)、FDAL-C等級(jí)功能相關(guān)）的設(shè)備上使用汽車(chē)供應(yīng)鏈產(chǎn)品成為極具吸引力的可能性。

審核編輯：劉清