T∕CSAA 63-2026 大型固定翼民用无人机飞行控制系统适航符合性设计指南

Designguidelinesforairworthinesscomplianceofunmannedaircraftsystem2026-03-20发布2026-03-20发布中国航空学会发布I中国航空学会(英文简称CSAA)是具备开展国内、国际标准化活动资质的全国性社会团体。制定中国航空学会团体标准，以满足企业、市场需求和社会发展需要，推动航空技术创新和航空应用新模式，是中国航空学会标准化工作内容之一。中国境内的团体和个人，均可提出制定、修订中国航空学会团体标准的建议并参与有关工作。中国航空学会团体标准按《中国航空学会标准管理办法》进行制定和管理。中国航空学会团体标准草案经向社会公开征求意见、专家评审、公开公示等流程，方可由中国航空学会予以发布。在本标准实施过程中，如发现需要修改或补充之处，请将意见和有关资料寄给中国航空学会团体标准与认证推进工作委员会。 I 12规范性引用文件 1 13.1术语和定义 1 24系统要求分析 24.1一般要求 24.2符合性设计内容 2 2 25.1系统安全性 25.2功能和性能 3 55.4设备 65.5软件 5.6外部交联 95.7安装 5.8环境适应性 1 15.10持续适航文件 15.11运行女全保护 6符合性证据 Ⅲ本文件依据T/CAS1.1—2017《团体标准的结构和编写指南》的有关要求编写。本文件由中国航空学会提出并归口。本文件起草单位：中国民航科学技术研究院、北京航空航天大学、时代飞鹏科技有限公司、中航(成都)无人机系统股份有限公司、四川腾盾科技有限公司、南京拓兴智控科技有限公司、浙江众合科技股份有限公司、北京北方长鹰无人机科技有限公司、四川省天域航通科技有限公司、山河星航实业股份有限公司、爱生无人机试验测试靖边有限公司、壹通无人机系统有限公司、深圳市边界智控科技有限公司、什邡市蓉北物流发展服冬·4心、杭州牧星科技有限公司、苏交科集团股份有限公司、北京博伦思智控有限公司。本文件起草人：王祝、刘薇薇、张曙光、廖智麟、汪善武、唐世兴、邓强、龚成、胡顺定、张翠萍、金奕山、金镭、马小革、冯墨、何珮、陈雨杨、李卫星、潘计辉、孙雪军、宁承威、陆艳辉、袁佳、韩立祥、刘猛、屈文卿、孙歌苹、孙支涛、升涛、张孝伟、刘彬、周在福、何宏荣、李涛、邓宇、杨球、李倩、王胜、侯鑫、邓永昊、杨禹、李泽。考虑到本文件中的某些条款可能涉及专利，中国航空学会不负责对任何该类专利的鉴别。本文件首次制定。11范围本文件规定了大型固定翼民用无人机飞行控制系统适航符合性设计过程中系统要求分析、适航设计要求要点及符合性方法、符合性证据。本文件适用于大型固定翼民用无人机飞行控制系统及其部件的适航符合性设计、验证等，有人机改装无人机的适航符合性设计和验证可参考使用。2规范性引用文件下列文件中的内容通过文中的引用而构成本文件必不可少的条款。其中注5期的引用文件，仅该日期对应的版本适用于本文件。不注日期的引用文件，其葺·新版本(包括所有的修改单)适用于本文件。AP-21-AA-2023-11R1型号合格审定程序CCAR-92民用无人驾驶航空器运行安全管理规则《无人驾驶航空器飞行管理暂行条例》(国令第76'号)3术语、定义和缩略语下列术语、定义和缩略语适用于本文件3.1术语和定义无人驾驶航空器以尸与其有关的遥控台(站)、任务载荷和控制链路等组成的系统。[来源：《无人驾驶航经器飞行管理暂行条例》(国令第761号)]升力主要来源于固定机翼、最大起飞重量超过150kg的民用无人驾驶航空器系统。飞行控制系统flightcontrolsystem由飞行控制计算机、传感器、伺服作动设备和其他相关支持部件组成，实现飞行控制、飞行管理、安全保护等功能的航空器子系统。控制方式controlmethod大型固定翼民用无人机的控制方式，一般分为自动控制、人工遥控及它们的组合。23.2缩略语MC:符合性验证方法(MeansofCompliance)HIRF:高强度辐射场(High-IntensityRadiatedField)EMI:电磁干扰(ElectromagneticInterference)4系统要求分析有效控制；同时能够通过与数据链的接口，及时获取并执行遥控台(站)操控员发c)应能实时将必要的飞行状态、安全关键信息等通过数据锥下传至遥控台(站)显4.2符合性设计内容4.3符合性验证方法目，诸如故障处理、应急空等，可采取模拟器仿真飞行的方式进行验证。a)满足适用的审定等级和大型固定翼民用无人机性能等级要求的安全性水平。1)每个灾难性的失效状态是极不可能的；2)每个危险的失效状态是极少发生的；3)每个主要的失效状态是非常小的。3多余度冗余设计的飞行控制系统，且单一余度故障不会导致灾难性后果，冗余路径需完全独立(包括供电、信号传输、物理布局),避免单一故障点同时影响多个冗余单元。冗余系统的故障检测和切换需自动完成，并向操控员显示冗余系统的工作状态，余度切换过程需平稳确切，不对飞机安全造成影响。e)应考虑隐蔽故障的影响，应尽可能消除对安全性有重大影响的隐蔽故障。5.1.2符合性方法一般采用MC1说明性文件及MC3安全性分析进行验证。根据运行场景和设计特征，确定审定等级以及设计安全性目标。其中，运行场景涉及运行风险评估的结果作为安全性设计指标的输入，为无人驾驶航空器系统设计提供运行安全目标。对于风险较低的限用类无人机，可以采取定性的系统安全性分析方法，作为系统测试验证的理论分析证据。对于高风险的大型固定翼民用无人机，可以通过功能危险性评估、初步系统安全性分析将安全性目标分配至飞行控制系统功能和组件，并通过对所有组件、所有功能进行验证，才能确保自下而上安全性分析内容全面可靠。可通过对飞行控制系统进行功能危险性评估、初步系统安全性分析、系统安全性分析，并进行必要的区域安全性分析、共模分析和特定风险分析等，表明飞行控制系统功能相关失效状态及安全性影响，满足飞机级功能危险性评估所分配的飞行控制系统安全性目标。5.1.3符合性验证要点系统安全性验证应关注以下要点：a)要明确安全性目标。审查中对所有组件、所有功能进行审查，才能确保自下而上安全性分析内容全面可靠。根据安全性目标确认飞行控制系统安全性目标；明确飞行控制系统安全性分析的基本要求，将安全性目标分解至部件级，特别是将功能集成部件应视同子系统。b)关注各系统之间的关联影响，对于某一系统某一功能的响应、运行要同时兼顾相关系统的情况，并将与相关系统的关联体现在符合性说明文件中。特别是要注意功能集成部件的分解。c)对于整机功能危险性评估，需要有丰富设计经验的设计专家进行评审，对于整机功能要列举全面，对于功能失效等级，要综合考虑整机各系统功能情况给出结果，并且在设计中可能需要反复迭代更新。该部分内容要综合考虑各种失效模式的情况，是安全性分析工作中的重点。d)失效状态的分类将在很大程度上取决于系统的架构、设计理念和实现。失效状态的分类可以包括：1)相关部件不提供预定功能导致的功能失效；2)相关部件运行不当带来的故障。失效状态应完全描述受影响的功能及影响。失效状态应规定各飞行阶段发生时操控员的行动，或其他缓解措施。余度配置需要确认余度独立性，不存在共模问题。安全性分析尽可能采用服役数据，如果没有数据支持时，可以采用冗余度等效。试验应覆盖设计的所有飞行包线。e)对于故障模式影响分析内容，要确保整机所有航线可更换单元级组件开展了故障模式影响分析，并且要求分析到所有的故障模式中。5.2功能和性能5.2.1适航设计要点4飞行控制系统性能具体要求应按相应型号设计规范的规定。在大型固定翼民用无人机审定批准的运行和环境限制下完成预期的飞行控制系统功能，一般包括：飞行控制功能、飞行管理功能和安全保护功能。主要功能如下：a)飞行控制功能：产生和执行控制指令，使实现滑行、起飞、爬升、巡航、下降、进近、着陆、复飞等飞行状态，按预期的轨迹飞行。具备姿态稳定与控制、航迹跟踪、飞行状态转换、异常情况下的安全控制及支持多种控制方式等。b)飞行管理功能：对飞行全过程进行综合监控、决策与调度，负责统筹飞行控制、导航、任务、动力、电气等子系统，实现从起飞到降落的全流程自主化管理。具备导航管理、故障检测及处置、飞参记录、其他系统或设备管理(如需)等。c)安全保护功能，包括：1)在不同构型、重量重心条件下，对可能超出飞行包线范围的情况，提供告警及保护措施，包括超速保护、失速保护、非正常姿态保护、大迎角保护、近地保护等；2)在各子系统出现故障的情况下，应自动调整或降低飞行性能，从而获得最大限度的飞行安全保护；3)在起飞/着陆过程中应对可能出现的突发情况提供保护措施，如复飞功能；4)其他，例如：状态异常告警、结冰告警、电子地理围栏、感知避让等。飞行操纵的每个部件的操作应简便、平稳和确切，以完成其功能要求，防止可能的危害。通过试验、分析或两者结合的方法证明飞行控制系统及其每个部件已经解决功能潜在的不一致。5.2.2符合性方法一般采用MCO符合性声明、MC1说明性文件、MC2分析/计算、MC4试验室试验、MC5地面试验、MC6飞行试验、MC8模拟器试验及各类试验的组合进行符合性验证。MC1说明性文件应明确在大型固定翼民用无人机审定批准的运行和环境限制下的全部飞行控制系统功能和性能。5.2.3符合性验证要点功能和性能验证应关注以下要点：a)开展模拟仿真、软件集成、硬件在环等试验，充分验证功能，试飞前进行全机地面试验，多层次对飞行控制系统功能和性能进行验证，重点关注各功能之间的耦合影响，详细分析每一个功能的响应、运行，同时兼顾相关功能的情况。b)保证数据可信度和验证效率，表明所有可能的安全保护功能符合要求，包括各种可能的超出飞行包线情况、故障模拟、异常模拟等。c)应编制飞行控制系统的符合性说明文件MC1,阐述操纵器件的机构组成、位置布置、开关形式等，阐明对于要求的符合性情况。通过MC5地面试验和MC6飞行试验，验证飞行操纵的实际工作情况是否符合要求。d)飞行控制系统操纵部件的设计一般供地面操控员在人工控制方式下，直接介入操控大型固定翼民用无人机的飞行状态。可通过无人机操控员对于平稳确切情况的主观评价，进行MC1符合性说明。e)主要验证飞行控制系统各功能模块之间可能存在的不一致。应通过MC1说明性文件和MC2分析/计算详细说明各功能模块之间的耦合关系，通过试验证明飞行控制系统及其每个部件已经解决功能间潜在的不一致。试验以MC5地面试验、MC6飞行试验和MC8模拟器试验为主，MC4试验室试验作为补充。55.3接口接口。接口的硬件和软件应满足可靠性、实时性、电磁兼容性等要求，交联双方应匹配。a)系统所有电气接口特性是在设备带负载情况下的特性。1)供电方式；2)适用供电电压、电流和功率范围；3)供电电压波动、抗干扰与冲击电压要求；4)接口信号工作频率与负载能力；5)信号接口电平、波形、极性与相位关系；6)信号的输入输出属性；7)阻抗与绝缘阻抗；8)短路保护与反向保护。机械接口机械接口一般包括安装要求(如尺寸、振动、方向、环境等),应符合型号设计规范。通信接口通信接口应采用标准类型，如UART、CAN、以太网等，其电气特性应满足5.3.2符合性方法一般采用MC1说明性文件、MC4试验室试验、MC5地面试验和MC6飞行试验的方式b)参考包括国军标、行标、国外标准中的验证要求，进行MC4试验室试验，验证接c)进行MC5地面试验用于验证接口在真实负载、功率波动、环境温度、电磁干扰条d)MC6飞行试验用于验证在设计阶段所制定的接口设计的合理性，如果不能表明接65.3.3符合性验证要点统接口设计要求一致。b)电气接口验证时测量接口供电电压、电流、波形、阻抗、抗干扰和抗浪涌能力。d)通信接口验证时验证通信报文格式、帧头帧尾、校验算法、错误响应及超时机制，5.4设备5.4.1适航设计要点一般要求辑，确保故障余度的输出不会非预期地给到d)飞行控制计算机电源设计应符合相应限制在本机局部区域，不会进一步扩散，从具体传感器的选用由相应型号设计规范确定。传感器(包括导航设备或系统)应符合相应产a)所选用的传感器尺寸、重量应按大型固定翼民用无人机总b)角速度、航向、姿态等传感器的安装应考虑结构弹性的影响；d)传感器的性能指标等要求由系统设计确定2)精度(例如：导航系统或设备的定位精度及特别的误差类型);710)可靠性指标。伺服作动设备a)伺服作动设备一般选用电动舵机，也可根据系统具体要b)伺服作动设备的设计应在考虑下列因素后使其结构与特性满足相应型号设计规范1)物理特性(重量、尺寸);10)负载特性；11)功率；12)传动机构间隙；13)滞环；14)动态响应；15)频带；16)非线性；17)力纷争：对于有余度设计的伺服作动设备，应尽力限制通道间的力纷争；18)电源与功耗；19)自检测与故障告警；20)环境适应性；21)可靠性指标；5.4.2符合性方法一般采用MC1说明性文件、随机试验(MC5地面试验和MC6飞行试验)报告、MC9设备合格性文件进行符合性验证；如必要，采用MC2分析/计算报告和MC4试验室试验报对于复杂电子硬件设备和含有软件的设备还应按照相应的硬件合格审定指南和软件合格审定指南完成研制过程，并提供相关的证明材料和服役数据(如有)。85.4.3符合性验证要点a)编制说明性文件，该文件中应包括系统的构型、设备组成、设备预期实现的功能、技术参数、工作原理和相应的计算方法等。并选择部分设备进行重点审查和现场审查。c)通过MC4试验室试验，对设备在所有要求航空器使用环境要求的设备，应补充进行相关的MC4试验室试验，表明在预设的运行场景内，设备工作正常。d)进行设备装机后的MC5地面试验，应在MC5地面试验中验证尽可能多的功能，5.5软件c)所有软件的修改应通过基线控制，记录变更日1)应按软件质量保证体系研制和维护软件，确保软件文档齐全，软件编码具有可2)除另有规定外，软件需求规格说明中的每项功能、每个外部接口都应可测试、3)所有软件都应该至少留出一个字节用于识别软件版本；4)在进行软件维护时，应对已更改的软件进行回归测试，检验各软件配置项以保5.5.2符合性方法一般采用MC1说明性文件、MC3安全性评估和MC4试验室试验进行验证。要进行软件合格性现场审查。一般采用MC1说明性文件和MC3安全性评估进行验证，当系统进行安全性分析后应一般采用MC4试验室试验，编制软件测试用例进行软件功能测试，验证软件功9一般通过MC1说明性文件表明：编写系统相关的软件设计文件、飞行手册或其他批准件过程中的正确性得到保证，软件生命周期的a)系统需求分解到软件的过程和结果已得到c)软件架构设计得到了系统安e)其他软件的系统输入数据已得到确认。5.6外部交联5.6.1适航设计要点外部交联主要包括飞行控制系统与电气系统、数据链、遥控台(站)、任务设备等其他b)应急供电情况下，确保飞行控制系统有效运行，完成应急处置程序；c)飞行控制系统正常工作或降e)交联系统或设备的状态应及时清晰无误地反馈给操控员。与数据链相关设计要求能力。与遥控台(站)相关设计要求飞行控制系统与遥控台(站)之间能够稳定、准确地交换飞行数据和控制指令。飞行控制系统具有对遥控台(站)遥控指令的处理功能，应包括：a)接收并处理与飞行控制、任务控制相b)对上行遥控指令的有效性判断和容错功能；c)根据上行指令进行飞行任务在线重规划。飞行控制系统具有遥测信息处理以及通过数据链下传遥控台(站)功能，遥测信息应包a)大型固定翼民用无人机及机载c)遥控台(站)上行的遥控指令的回报信息；5.6.2符合性方法一般采用MCO符合性声明、MC1说明性文件、MC2分析/计算、MC4试验室试验、MC5地面试验、MC6飞行试验、MC8模拟5.6.3符合性验证要点a)电源系统功能验证：验证电源在各种预期工作条件下能持续提供所需功率，电压/b)冗余与隔离设计验证：核查主备电源、数据链通道、遥控台(站)设备等的隔离与c)链路性能与稳定性验证：验证飞行控制系统与遥控台(站)间的通信带宽、延迟、丢包率、抗干扰性能满足需求指标要求。d)遥控台(站)信息传输的验证要点：应验证飞行控制系统与遥控台(站)之间飞行数据与指令传输的稳定性、准确性和完整性e)安全性与告警机制验证：验证异常监测与告警功能，确保故障状态下传及时可靠。5.7安装b)通过标牌标明其名称、功能或使用限制，或这些要素的适用的组合；5.7.2符合性方法分配要求。a)一般通过MC1说明性文件来论证条款符合性。通过图纸表明设备或部件的安装符b)一般通过MC1说明性文件论证条款符合性。通过MC1说明性文件表明设备具有及设备的安装符合安装限制的方法。通过MC7工程符合性检查，表明设备的标牌c)一般通过MC1说明性文件、MC5地面试验、MC6飞行试验和MC9设备定论证条款符合性。进行设备装机后的MC5地面试验，应在MC5地面试验中验证尽可能多的功能，包括故障模拟等；试验通过MC5地面试验报告表明设备在装机后功能正常。进行设备装机后的MC6飞行试验，应在MC6飞行试验中的各种飞行条件下验证尽可能多的功能，试验应按照经批准的试验大纲和程序进行，通过MC6飞行试验报告表明设备在装机后功能设备的种类和设计与预定功能相适应。MC9设备合格证明文件可包括但不限于设5.8环境适应性5.8.1适航设计要点a)在声明的环境条件下，包括EMI、HIRF和闪电条件，飞行控制系统功能不会受到有害影响。对于已鉴定系统的环境适应性必须记录在飞行手册及其他5.8.2符合性方法确定局方可接受的手册范围内的数值，明确已经经过验证的以及需要一般通过MC1说明性文件、MC4试验室试验、MC5地面试验和MC3安全评估论证条款符合性。应在飞行手册中描述飞行控制系统功能不受影响的EMI、HIR一般通过MC1说明性文件和MC9设备合格性鉴定论证条款符合性。利用设备供应商5.9可维护性5.9.1适航设计要点5.9.2符合性方法一般通过MC1说明性文件和MC7工程符合性检查表明对需要维护、检查或其他保养5.10持续适航文件5.10.2符合性方法通过对条款的分析解读以及型号设计过程中的输出明确申请人所应编制的持续适航文一般通过MC1说明性文件、MC7工程符且通过MC1说明性文件表明具备了对持续适航文件的编制和修订能力，也通过说明性文件表明对持续适航文件编写格式的符合性。一般通过MC1说明性文件来论证条款符合性。5.11运行安全保护5.11.1适航设计要点飞行控制系统的设计和功能，以及使用和维护说明，应合理保证其使用限制不会被超出。其要求如下：a)运行范围保护：无人驾驶航空器系统或任何外部支持运行的系统的可能失效，不应导致超出预期运行范围，运行范