機(jī)載高速互連網(wǎng)絡(luò)適航審定要求分析
相關(guān)鏈接： 中國安全網(wǎng) 中國質(zhì)量網(wǎng) 中國論文網(wǎng) 中國資訊網(wǎng)
趙長嘯， 閻 芳， 劉 銳， 王 鵬
（中國民航大學(xué)，a．天津市民用航空器通航與維修重點實驗室；b．安全科學(xué)與工程學(xué)院，天津300300）
摘要：機(jī)載網(wǎng)絡(luò)互連技術(shù)由傳統(tǒng)的以ARINC 429為代表的低速、單工總線向著高速、雙向、網(wǎng)絡(luò)化方向發(fā)展�；ヂ�(lián)體系結(jié)構(gòu)的變化引入了新的安全性需求，現(xiàn)有的適航審定技術(shù)已無法對機(jī)載高速互連網(wǎng)絡(luò)做出評判。分析了機(jī)載高速互連網(wǎng)絡(luò)適航的審定要求，給出了機(jī)載高速互連網(wǎng)絡(luò)在實際審定中的審定要素和評審要求。本研究可為我國解決機(jī)載高速互連網(wǎng)絡(luò)的適航審定問題提供理論支撐。
0 引言
航空電子網(wǎng)絡(luò)互連技術(shù)又稱機(jī)載網(wǎng)絡(luò)技術(shù)，是航空電子綜合化的關(guān)鍵支撐技術(shù)，是機(jī)載電子子系統(tǒng)、功能區(qū)之間的系統(tǒng)互連技術(shù)，是一個在航空工程領(lǐng)域苛刻的空間、時間限制條件下，對信息密集型航空電子子系統(tǒng)進(jìn)行信息綜合和功能綜合的技術(shù)。它是網(wǎng)絡(luò)通信技術(shù)在航空領(lǐng)域的應(yīng)用，本質(zhì)上屬于實時計算機(jī)網(wǎng)絡(luò)技術(shù)。分立式航空電子系統(tǒng)基本上是各個子系統(tǒng)內(nèi)部進(jìn)行通信，子系統(tǒng)之間通信需求較少，往往通過加裝點到點的互連電纜來完成少量的通信任務(wù)，如ARINC429；聯(lián)合式航空電子系統(tǒng)要求子系統(tǒng)間共享顯示輸出和控制信息，低速總線網(wǎng)絡(luò)MIL-STD-1553B在這一應(yīng)用背景下發(fā)展出來，能夠滿足各子系統(tǒng)之間的互連需求。航空電子系統(tǒng)的綜合化和模塊化使得航空電子子系統(tǒng)間需要進(jìn)行大量的信息融合，高速數(shù)據(jù)總線(High-SpeedData Bus，HSDB)采用光纖通道，提高了數(shù)據(jù)通信容量，用以滿足處理部件之間以及系統(tǒng)之間的大量數(shù)據(jù)交換的需要。目前，綜合模塊化航空電子系統(tǒng)(IntegratedModular Avionics，IMA)高度的信息綜合特性，開放的系統(tǒng)結(jié)構(gòu)，商用貨架技術(shù)的應(yīng)用都對航空電子網(wǎng)絡(luò)提出了更高的要求，光纖通道( Fibre Channel，F(xiàn)C)網(wǎng)絡(luò)和全雙工交換式以太網(wǎng)( Avionics Full Duplex Switched Ether-net，AFDX)被航空界采用，為IMA系統(tǒng)提供互連解決方案。
機(jī)載航電網(wǎng)絡(luò)是航空電子系統(tǒng)的互連樞紐，航空電子系統(tǒng)在不同時代下的互連需求推動了機(jī)載航電網(wǎng)絡(luò)的演變，逐漸從傳統(tǒng)的低速總線向高速交換式網(wǎng)絡(luò)方向演變。隨著技術(shù)的進(jìn)步和航空業(yè)對高性能航電系統(tǒng)的需求不斷提高，機(jī)載高速度互連網(wǎng)絡(luò)已成為新型航空器的必選系統(tǒng)，如AFDX網(wǎng)絡(luò)已成功應(yīng)用于波音787、空客A380以及我國的國產(chǎn)大飛機(jī)C919。機(jī)載高速互連網(wǎng)絡(luò)作為飛機(jī)航電系統(tǒng)的重要組成部分關(guān)系著整機(jī)的飛行安全，也是局方適航審查中重點關(guān)注的部分，互連結(jié)構(gòu)的變化和數(shù)據(jù)傳輸速率的提高，帶來了信號完整性、電磁兼容、時鐘漂移、故障增殖路徑復(fù)雜等一系列新的安全性問題，現(xiàn)有的針對點對點總線的適航審定方法已無法解決機(jī)載高速互連網(wǎng)絡(luò)帶來的新問題。
目前，我國局方尚未頒布針對機(jī)載高速瓦連網(wǎng)絡(luò)的適航審定指導(dǎo)文件。C919飛機(jī)已進(jìn)入結(jié)構(gòu)總裝階段，并預(yù)計2016年首飛，對其機(jī)載網(wǎng)絡(luò)互連系統(tǒng)的審定問題將是我國局方目前面臨的一個重大技術(shù)難題。本文針對機(jī)載高速互連網(wǎng)絡(luò)的適航審定問題，結(jié)合已有的審定經(jīng)驗，從審定文件體系、審定要求以及適航審定要素等方面開展研究，為我國局方和工業(yè)方在機(jī)載高速互連網(wǎng)絡(luò)的適航審定方面提供理論支持。
1 IMA系統(tǒng)研制、適航審定文件體系
針對機(jī)載高速互連網(wǎng)絡(luò)的發(fā)展，世界各國的適航當(dāng)局也紛紛尋求相應(yīng)的審定方法解決方案，基于航空總線技術(shù)的發(fā)展情況，2003年2月國際組織Certifica-tion Authorities Software Team發(fā)布了CAST文檔CAST-16《數(shù)據(jù)總線評估準(zhǔn)則》，提出了適用于數(shù)據(jù)總線制造商、飛機(jī)型號申請人和審查局方的關(guān)于航空數(shù)據(jù)總線的評估準(zhǔn)則要求。2006年，美國聯(lián)邦航空管理局( FAA)根據(jù)CAST-16的內(nèi)容，發(fā)布了咨詢通告AC 20-156《航空數(shù)據(jù)總線保證》，用于對航空器及航空發(fā)動機(jī)制造商和設(shè)計者在設(shè)計使用航空數(shù)據(jù)總線時進(jìn)行約束和指導(dǎo)；FAA AC25. 1701-1《運輸類飛機(jī)電氣布線互連系統(tǒng)合格審定》將數(shù)據(jù)總線的傳輸線路當(dāng)作一種EWIS部件，但未對其進(jìn)行特別分析。
機(jī)載高速互連網(wǎng)絡(luò)的適航審定文件體系主要包括局方文件、國際組織指導(dǎo)文件和具體總線協(xié)議的行業(yè)標(biāo)準(zhǔn)，如圖1所示。
1.1局方文件
FAA AC20-156是美國適航當(dāng)局于2006年頒布的，針對高速、雙向數(shù)據(jù)總線的適航審定的指導(dǎo)性文件，其發(fā)布依據(jù)為國際組織Certification Authorities SoftwareTeam發(fā)布的CAST-16文檔。此咨詢通告適用于采用高度綜合復(fù)雜數(shù)據(jù)總線技術(shù)的型號審定或大改。
此AC為航空器和發(fā)動機(jī)審定申請人提供了一種數(shù)據(jù)總線技術(shù)研制、選擇、集成的符合性方法，并獲取符合相關(guān)要求的批準(zhǔn)，其中涵蓋了安全性、數(shù)據(jù)完整性、數(shù)據(jù)總線性能、軟件和硬件保證、電磁兼容、驗證和確認(rèn)、構(gòu)型管理、保障性等8個方面，申請人必須確定適用于所申請總線的方面，并嚴(yán)格執(zhí)行。
1.2行業(yè)標(biāo)準(zhǔn)
咨詢通告對適航審定中需關(guān)注的問題給出了指導(dǎo)，實際民機(jī)設(shè)計中所使用的總線技術(shù)需依據(jù)具體的協(xié)}義，當(dāng)前民機(jī)中大規(guī)模應(yīng)用的高速、雙向總線協(xié)議包括以下幾點。
1) ARINC664-AFDX，該協(xié)議基于商業(yè)以太網(wǎng)標(biāo)準(zhǔn)，采用目前已被廣泛接受的IEEE802. 3/IP/UDP協(xié)議，并增加了特殊的功能來保證帶寬和服務(wù)質(zhì)量，是專用于航空電子網(wǎng)絡(luò)互連的“確定性網(wǎng)絡(luò)”，目前已應(yīng)用于空客A380、波音B787和商飛C919。
2) ARINC818——航空電子數(shù)字視頻總線，是航電系統(tǒng)中針對高帶寬、低延遲、非壓縮數(shù)字視頻傳輸制定的一種視頻接口標(biāo)準(zhǔn)，該標(biāo)準(zhǔn)基于F1C-AV( ANSIINCITS 356-2002)協(xié)}義制定，映射于光纖通道( FibreChannel)，提供了在FC上實現(xiàn)標(biāo)準(zhǔn)化高速視頻系統(tǒng)的手段，目前已應(yīng)用于A400M和波音787等機(jī)型。
3) IS0 11898--CAN( Controller Area Network)總線即控制器局域網(wǎng)是目前國際上應(yīng)用最廣泛的現(xiàn)場總線之一。CAN總線能有效支持分布式控制節(jié)點，配置靈活，價格相對低廉，適合作為飛機(jī)系統(tǒng)傳感器和激勵器進(jìn)行數(shù)據(jù)采集和控制的通信總線，目前已在波音787飛機(jī)的控制面板中應(yīng)用。
2機(jī)載高速互連網(wǎng)絡(luò)審定需求
根據(jù)FAA AC20-156，局方在對機(jī)載高速互連網(wǎng)絡(luò)的審定過程中，需關(guān)注8個方面的問題，如圖2所示。
實際總線網(wǎng)絡(luò)只有全部符合這8項要求才能通過適航審定，取得相應(yīng)適航證件。
2.1安全性要求
航空器或航空發(fā)動機(jī)項目的申請人必須首先確定數(shù)據(jù)總線的設(shè)計對航空器或航空發(fā)動機(jī)的安全運行會有怎樣的影響。申請人數(shù)據(jù)總線的設(shè)計和功能必須遵守CCAR§25. 1301和§25. 1309，§33. 28，§33. 75以及相關(guān)的咨詢通告和管理程序。當(dāng)數(shù)據(jù)總線安裝到飛機(jī)或航空發(fā)動機(jī)上時，對其安全性的評估必須包括以下幾點。
1)數(shù)據(jù)總線架構(gòu)和實現(xiàn)。例如，可參考SAE ARP4754A《民用航空器和系統(tǒng)研制指南》和SAE ARP4761《關(guān)于民用機(jī)載系統(tǒng)和設(shè)備的安全性評估過程實施的指南和方法》。
2)數(shù)據(jù)總線的可用性和可靠性應(yīng)滿足安全性要求。
3)數(shù)據(jù)總線架構(gòu)和實現(xiàn)中的分區(qū)、保護(hù)要求。
4)故障檢測、報告與管理方面的特點，例如使用冗余特性、節(jié)點喪失的檢測、支持探明影子節(jié)點以及支持并聯(lián)節(jié)點。
5)數(shù)據(jù)總線設(shè)計包括故障抑制、故障容限以及監(jiān)控，使其不受主機(jī)系統(tǒng)內(nèi)硬件和軟件失效的影響。
6)共因（包括共模）和級聯(lián)失效，對每架航空器，申請人必須進(jìn)行共因故障分析以證明故障不在自己的數(shù)據(jù)總線故障分析范圍內(nèi)，共因分析包括區(qū)域安全分析、特殊風(fēng)險分析和共模分析。
2.2數(shù)據(jù)完整性要求
在各個LRU、節(jié)點、交換機(jī)、模塊或其他實體之間傳輸?shù)臄?shù)據(jù)都必須保持精確并滿足由數(shù)據(jù)總線所保障的航空器功能的數(shù)據(jù)完整性要求。通過數(shù)據(jù)總線架構(gòu)中的錯誤探測、結(jié)果修正來確保數(shù)據(jù)完整性，評定數(shù)據(jù)總線系統(tǒng)包括下列方面：
1)預(yù)期數(shù)據(jù)傳輸每個字節(jié)的最大誤碼率；
2)為滿足安全性、可用性和完整性要求，數(shù)據(jù)總線提供檢測失效和錯誤的方法以及恢復(fù)方法；
3)數(shù)據(jù)總線負(fù)載分析，以保證能滿足數(shù)據(jù)完整性要求；
4)緩沖上溢和下溢限制，以保證能滿足數(shù)據(jù)完整性要求；
5)如適用，數(shù)據(jù)總線能夠重新配置節(jié)點、數(shù)據(jù)總線架構(gòu)以及網(wǎng)絡(luò)（包括軟硬件）以實現(xiàn)數(shù)據(jù)總線完整性要求；
6)實施雙向錯誤檢測，以解決數(shù)據(jù)總線完整性問題。
2.3數(shù)據(jù)總線性能要求
申請人必須評估數(shù)據(jù)總線下列性能項：
1)數(shù)據(jù)總線的運行速度和信息順序（時序和優(yōu)先級）能保障操作上的安全性和完整性要求；
2)系統(tǒng)的協(xié)同工作能力，包括數(shù)據(jù)總線或網(wǎng)絡(luò)的拓?fù)�、部件間連接協(xié)議以及其他方面；
3)每束數(shù)據(jù)總線長度、短（截）線長度、電纜接頭規(guī)格和限制；
4)數(shù)據(jù)總線的帶寬容量；
5)數(shù)據(jù)總線容量的實際規(guī)范；
6)數(shù)據(jù)延遲和效率；
7)系統(tǒng)失效管理（包括失效／故障報告）以及在數(shù)據(jù)總線內(nèi)部的失效影響。
2.4軟件和硬件研制保證要求
不管申請人提出的總線架構(gòu)如何（同步或異步，單向或雙向），機(jī)載系統(tǒng)、設(shè)備或發(fā)動機(jī)必須滿足適用的軟件和硬件的設(shè)計與研制保證指南。
每臺復(fù)雜電子設(shè)備都必須滿足有關(guān)的硬件設(shè)計保證要求。這些復(fù)雜電子設(shè)備的硬件設(shè)計保證必須滿足由安全性評估所確定的失效狀態(tài)類別和硬件設(shè)計保證等級。為確保符合硬件設(shè)計保證，要遵照咨詢通告AC20-152，RTCA文件RTCA/D0-254，或其他可接受的符合性方法。
為確保在數(shù)據(jù)總線架構(gòu)內(nèi)部工作的軟件符合設(shè)計和研制保證，必須按AC20-115C，RTCA文件RTCA/D0-178C或其他可接受的符合性方法來開發(fā)軟件，使之符合相應(yīng)的設(shè)計保證等級。此外，還需要考慮DO-178C的補(bǔ)充文件，包括D0-330《軟件工具鑒定考慮》、D0-331《基于模型的開發(fā)和驗證》、D0-332《面向?qū)ο蠹夹g(shù)及相關(guān)技術(shù)》和D0-333《形式化驗證》。
如果申請人使用工具來開發(fā)或檢查數(shù)據(jù)總線的軟件或硬件，需要對工具進(jìn)行鑒定。鑒定研制軟件和硬件的工具指南可以對應(yīng)查閱RTCA/D0-178C，RTCA/D0-330和RTCA/DO- 254。
2.5電磁兼容性要求
為保證數(shù)據(jù)總線能良好工作，必須表明數(shù)據(jù)總線具有電磁兼容性。
數(shù)據(jù)總線以及總線部件電磁發(fā)射和電磁敏感性有潛在的較大差異。當(dāng)數(shù)據(jù)總線要設(shè)計、選擇或定型安裝到飛機(jī)上時，需要考慮電磁發(fā)射和電磁敏感性的影響問題。當(dāng)把存在電磁噪聲的數(shù)據(jù)總線安裝遍及航空器后，將難以再進(jìn)行調(diào)整。
在評定數(shù)據(jù)總線的電磁兼容性時，要考慮全部數(shù)據(jù)總線系統(tǒng)、包括終端、硬件和安裝。為了表日月電磁發(fā)射和敏感性的問題，不應(yīng)把RTCA/D0-160G評估僅限于檢測單臺設(shè)備。
電磁發(fā)射同數(shù)據(jù)總線設(shè)計規(guī)范中的脈沖上升時間和恢復(fù)時間、數(shù)據(jù)總線速度和數(shù)據(jù)總線拓?fù)浣Y(jié)構(gòu)有關(guān)。數(shù)據(jù)總線拓?fù)浣Y(jié)構(gòu)也包括使用對稱差模信號和變壓器耦合連接，因此數(shù)據(jù)脈沖的形狀（脈沖前緣和后緣）非常重要。數(shù)據(jù)總線的相互連接會大大影響電磁發(fā)射及敏感性。但是，屏蔽終端處裝有優(yōu)質(zhì)接頭、屏蔽雙絞線比非屏蔽線具有更好的電磁特性。申請人應(yīng)該指出并消除電磁敏感性的影響，該影響在采用冗余實現(xiàn)時會造成共模失效。
2.6驗證和確認(rèn)要求
1)確認(rèn)航空器或航空發(fā)動機(jī)項目的數(shù)據(jù)總線需求。
2)按照數(shù)據(jù)總線支持的每項關(guān)鍵功能相應(yīng)的保證等級來評估數(shù)據(jù)總線是否符合RTCA/D0-160G的要求。通常，驗證工作在航空器裝配過程中已經(jīng)完成，所以電磁兼容和閃電鑒定是數(shù)據(jù)總線技術(shù)尤為關(guān)注的。電磁試驗和確認(rèn)可以隨數(shù)據(jù)總線的架構(gòu)而有所變化。
3)如2.4節(jié)所述，按RTCA/D0-178C和RTCA/DO-254對數(shù)據(jù)總線完成相應(yīng)的驗證。
4)完成數(shù)據(jù)總線集成功能試驗，以確保其滿足預(yù)期的功能。
5)驗證和確認(rèn)數(shù)據(jù)總線的運行、架構(gòu)及性能要求。一種可接受的方法是使用一架飛機(jī)或數(shù)據(jù)總線模擬器，該模擬器要能實現(xiàn)被試驗系統(tǒng)所允許的最大吞吐率。
6)如果支持降級模式運行能力，在降級模式測試數(shù)據(jù)總線以確保可以接受的性能。
7)如果申請人使用測試臺來驗證數(shù)據(jù)總線的性能，還必須完成配線可接受性測試，通過記錄測試方法或程序以確定線束的鋪設(shè)是正確的。在飛機(jī)上初始裝配時，以及以后的維修工作都必須使用這些程序。當(dāng)安裝獲得批準(zhǔn)后要進(jìn)行更改時，需要進(jìn)行更改影響分析，以確定配線可接受性測試或程序是否需重新執(zhí)行。
2.7構(gòu)型管理要求
由于新的數(shù)據(jù)總線技術(shù)不斷出現(xiàn)，具體到每架飛機(jī)的數(shù)據(jù)總線構(gòu)型可能是唯一的，又由于這些唯一性，更改數(shù)據(jù)總線的構(gòu)型可能對數(shù)據(jù)總線的信息交換、數(shù)據(jù)沖突率及可靠性造成負(fù)面影響。因此，就數(shù)據(jù)總線安裝而言，制造商必須為數(shù)據(jù)總線規(guī)定一個構(gòu)型管理方法。這些安裝還要求維修人員和安裝人員在保持和重新規(guī)定該數(shù)據(jù)總線構(gòu)型的適航性時，使用制造商批準(zhǔn)的數(shù)據(jù)總線構(gòu)型和工具。申請人在開發(fā)數(shù)據(jù)總線時，要考慮下列系統(tǒng)構(gòu)型管理項目。
1)當(dāng)航空器或航空發(fā)動機(jī)設(shè)計中集成了數(shù)據(jù)總線后，應(yīng)考慮整個系統(tǒng)，保證有若干構(gòu)型管理機(jī)制會負(fù)責(zé)數(shù)據(jù)總線更改后的持續(xù)運行安全和構(gòu)型管理。在合格審定要求和使用中的維修工作中必須保證能夠添加額外的數(shù)據(jù)總線節(jié)點和應(yīng)用。
2)必須在合格審定期間，從設(shè)計到生產(chǎn)、維修，依靠申請人自己規(guī)定的標(biāo)準(zhǔn)和文檔程序來建立和保持對數(shù)據(jù)總線的構(gòu)型管理。構(gòu)型管理應(yīng)該考慮每種安裝的數(shù)據(jù)總線和選件，同時為了更改以前已批準(zhǔn)的構(gòu)型，應(yīng)注意可能還需要額外的CAAC合格審定。
3)制訂可用的規(guī)范標(biāo)準(zhǔn)文件。申請人最少需要編寫數(shù)據(jù)總線物理和邏輯規(guī)范。物理規(guī)范要求例如傳輸介質(zhì)、接頭、終端、最大節(jié)點數(shù)目以及驅(qū)動距離。邏輯規(guī)范例如信息包的定義。
4)提供支持研制和運行數(shù)據(jù)總線的文件，例如，接口定義文件、用戶指南及安裝人員指南。
5)未來總線擴(kuò)展的策略、計劃或進(jìn)程，以及潛在變化都將影響系統(tǒng)的完好性和安全性。
2.8 安全防范保證要求
當(dāng)代許多數(shù)據(jù)總線都提出了潛在的安全風(fēng)險問題，這在傳統(tǒng)網(wǎng)絡(luò)系統(tǒng)里是常見的。訪問安全和數(shù)據(jù)保護(hù)是申請人應(yīng)該面對的兩個方面。
1)訪問安全。當(dāng)機(jī)載系統(tǒng)通過數(shù)據(jù)總線或網(wǎng)絡(luò)與外部世界相聯(lián)系時，很容易受到潛在的惡意攻擊，例如軟件病毒，應(yīng)評估每束數(shù)據(jù)總線是否會遇到這種潛在的風(fēng)險。針對這一風(fēng)險采取相應(yīng)的安全技術(shù)和控制方法，從而防止侵入機(jī)載軟件。
2)信息和數(shù)據(jù)保護(hù)。使用網(wǎng)絡(luò)或現(xiàn)代數(shù)據(jù)總線時，申請人必須保護(hù)在機(jī)載系統(tǒng)里使用和存儲的關(guān)鍵信息。
3機(jī)載高速數(shù)據(jù)總線網(wǎng)絡(luò)審定要素和評審要求
在實際取證過程中，機(jī)載高速數(shù)據(jù)總線網(wǎng)絡(luò)的審定過程涉及對網(wǎng)絡(luò)的物理層、數(shù)據(jù)鏈路層、網(wǎng)絡(luò)層、傳輸層以及應(yīng)用層各方面，本文以檢查單的形式對各部分的審定關(guān)注點進(jìn)行了歸納，如表1所示。
4結(jié)論
本文首先分析了現(xiàn)有的針對機(jī)載高速互連網(wǎng)絡(luò)系統(tǒng)的研制及審定文件體系，梳理了各適用文件的內(nèi)容及關(guān)注點。根據(jù)適航審定要求，對FAA咨詢通告中關(guān)注的8個方面進(jìn)行了分析總結(jié)，最后從實際機(jī)載網(wǎng)絡(luò)審查的技術(shù)角度給出了針對總線協(xié)議各層次的審定要素和評審要求。本文的研究對我國工業(yè)方和局方開展機(jī)載高速互連網(wǎng)絡(luò)的設(shè)計和適航審查工作具有一定的理論支持作用。
下一篇:返回列表
