eVTOL核心机载软件系统满足DO-178C适航合规的工程实践

随着城市空中交通（Urban Air Mobility）产业的发展，eVTOL（electric Vertical Take-off and Landing）飞行器正迅速成为航空工业的重要新方向。与传统固定翼飞机或直升机相比，eVTOL具有分布式电推进、复杂飞控系统以及高度软件化控制架构等特点。这些技术优势使eVTOL具备良好的城市运营潜力，但同时也对安全性提出了更高要求。

在所有安全要求中，适航（Airworthiness） 是航空器进入商业运营前必须满足的核心门槛。任何一款eVTOL产品都必须通过监管机构的适航审定（Airworthiness Certification），证明其设计和系统满足航空安全法规。对于高度依赖软件控制的eVTOL而言，机载软件系统是否符合航空安全标准，直接决定了整个项目能否顺利完成适航审定。

在全球航空工业中，机载软件满足适航要求的核心工程标准是 DO-178C。对于eVTOL研发团队来说，理解并正确实施DO-178C软件开发流程，已经成为推进eVTOL适航审定的重要前提。

本文结合航空软件工程实践，探讨 eVTOL核心机载软件系统满足DO-178C适航合规的工程方法，分析DO-178C在eVTOL适航审定中的关键技术要求，并介绍适航审定过程中重要的 SOI审查阶段。

eVTOL软件系统为何必须遵循DO-178C

在现代航空系统中，软件已经成为飞行安全的重要组成部分。从飞控系统到导航系统，从能源管理系统到航电集成系统，大量关键功能都依赖软件实现。为了确保这些软件系统不会引入不可接受的安全风险，航空监管机构在适航审定体系中引入了专门的软件工程标准，这就是 DO-178C。

DO-178C 是国际航空工业广泛采用的机载软件开发标准，它定义了一套完整的软件生命周期管理方法，覆盖软件开发、验证、配置管理和质量保证等过程。通过遵循DO-178C流程，研发团队能够建立系统化的软件工程体系，并形成可审查的工程证据，以支持最终的适航审定。

在传统航空项目中，DO-178C已经被广泛应用。但在eVTOL适航审定中，DO-178C的重要性甚至更加突出。原因在于，eVTOL飞行器的许多关键功能都依赖软件实现。例如：

● 分布式电推进系统控制

● 飞行控制算法

● 电池管理系统

● 飞行管理与导航系统

这些系统一旦发生软件故障，可能直接影响飞行安全。因此，在eVTOL适航审定过程中，监管机构通常会重点审查机载软件是否按照 DO-178C标准进行开发和验证。

换句话说，对于eVTOL项目而言，DO-178C不仅是一项软件工程规范，更是适航审定的重要基础。

DO-178C在eVTOL适航审定中的关键技术要求

DO-178C的核心目标是通过系统化的软件工程过程，确保机载软件满足航空安全要求。在eVTOL项目中，研发团队通常需要从以下几个方面落实DO-178C要求。

首先是软件安全等级划分。DO-178C要求根据软件失效对飞行安全的影响，将软件划分为不同的设计保证等级（DAL）。对于eVTOL飞控系统而言，大多数核心控制软件往往需要达到 DAL A 或 DAL B 等级，这意味着软件开发和验证必须满足最严格的适航要求。

其次是软件生命周期管理。DO-178C要求软件开发必须遵循完整的生命周期流程，包括需求定义、架构设计、代码实现和验证测试等阶段。每个阶段都必须形成明确的工程产出，并通过审查和验证活动确保其正确性。在eVTOL适航审定过程中，这些工程数据将成为重要的适航证据。

第三是需求可追溯性。DO-178C强调建立完整的需求追踪体系，确保系统需求、软件需求、设计实现以及测试结果之间具有清晰的对应关系。在实际项目中，这意味着研发团队必须能够回答一个关键问题：每一项软件功能是否都来源于系统需求，并且是否已经通过测试验证。对于软件规模不断增长的eVTOL系统来说，这种追溯体系尤为关键。

最后是严格的软件验证。DO-178C要求在软件开发过程中开展大量验证活动，包括需求评审、设计评审、代码评审以及各种测试活动。对于DAL A级软件，还必须进行MC/DC结构覆盖率分析，以证明关键逻辑路径已经得到充分验证。这些验证结果最终将成为适航审定的重要依据。

eVTOL适航审定中的SOI审查流程

在DO-178C适航审定实践中，监管机构通常会通过一系列审查活动来评估软件开发是否符合标准要求。其中最重要的就是 SOI（Stage of Involvement）审查阶段。在eVTOL适航审定项目中，SOI审查通常贯穿整个软件生命周期。

SOI-1 是软件规划阶段的审查。在这一阶段，监管机构会重点评估研发团队是否建立了符合DO-178C要求的软件开发计划。例如软件开发计划、软件验证计划、配置管理计划以及软件质量保证计划等。这些规划文件将定义整个软件生命周期的工程方法，是eVTOL适航审定的重要基础。

SOI-2 主要关注软件开发过程。在这一阶段，审查重点是软件需求、软件架构以及设计实现是否符合DO-178C要求。对于eVTOL项目而言，飞控软件、能源管理软件等关键系统通常会在这一阶段接受详细审查。

SOI-3 则侧重于软件验证活动。监管机构会检查软件测试是否充分覆盖所有需求，并验证代码级覆盖率分析结果。对于高安全等级的软件，SOI-3通常是适航审定中工作量最大的一次审查

SOI-4 是最终的适航审查阶段。在这一阶段，监管机构将评估软件生命周期数据是否完整，包括需求文档、设计文档、测试报告以及配置记录等。如果所有证据都满足DO-178C要求，软件系统就可以被认为满足适航要求，从而支持eVTOL项目完成适航审定。

对于很多初次开展eVTOL项目的团队来说，理解并提前规划SOI审查流程，是顺利推进适航审定的重要经验。

eVTOL软件适航实践中的工程挑战

在实际工程实践中，eVTOL研发团队在实施DO-178C适航流程时往往会遇到一系列挑战。

首先是软件复杂度问题。eVTOL飞行器通常采用分布式推进架构，系统之间耦合度高，软件规模不断增长。如何在保证安全性的同时管理如此复杂的软件系统，是许多团队面临的现实问题。

其次是开发效率问题。DO-178C强调严格的软件生命周期管理，而现代软件开发往往采用敏捷开发模式。如何在保持开发效率的同时满足适航审定要求，需要在工程流程上进行合理设计。

此外，验证工作量也是eVTOL项目中的重要挑战。由于DO-178C要求大量测试和覆盖率分析活动，软件验证通常会占据项目开发成本的很大比例。如何通过自动化工具提高验证效率，是许多团队正在探索的方向。

创提信息提供支撑eVTOL DO-178C适航合规的工程化方案

随着航空软件工程的发展，多数企业选择专业化工具链来支持DO-178C适航流程。例如需求追踪工具、自动化单元测试工具以及代码覆盖率分析工具，都可以帮助研发团队更高效地实施DO-178C工程方法。

在eVTOL研发项目中，通过构建完整的软件工程平台，可以实现软件需求管理、测试验证和适航数据管理的一体化，从而提高软件开发效率并降低适航审定风险。

创提信息提供的软件测试与验证解决方案，可以帮助企业建立符合DO-178C要求的软件工程体系，包括需求追踪管理、低级需求测试、高级需求测试、覆盖率分析、耦合验证、代码静态分析等，并提供严格按照DO-330标准提供的适航工具鉴定包。这类解决方案能够帮助eVTOL研发团队在软件开发早期就建立适航合规能力，从而更加高效地推进eVTOL适航审定。

结语

随着城市空中交通产业的快速发展，eVTOL适航审定已经成为行业关注的核心问题。在高度软件化的eVTOL系统中，机载软件的安全性直接关系到飞行安全，因此满足 DO-178C适航要求 是实现商业化运营的重要基础。

对于eVTOL研发团队来说，在项目早期建立符合DO-178C的软件开发流程，并充分理解SOI审查机制，是顺利推进适航审定的关键。随着工程经验的积累和自动化工具的发展，未来eVTOL软件适航工程也将逐渐形成更加成熟的方法体系。