低空经济安全管理 课件 第1-4章 低空安全管理概论-低空安全法规与标准体系

教材第002—003页第一章01低空经济安全管理第1章低空安全管理概论低空飞行，牵动哪些安全问题？园区低空配送场景（示意图）教材第002—003页导入02一份校园配送订单课堂情境：一架无人机从配送点飞往教学楼附近。航线邻近人行道，途中可能遇到阵风，订单还有明确的送达时限。需要掌握的运行信息空域使用条件、航空器状态、地面人员分布，以及天气和通信条件。本章的分析任务识别危险源，评估可能后果，明确控制措施、决策责任和反馈渠道。安全判断以任务条件和可靠证据为基础，信息缺口应纳入核查清单。示意图教材第002—003页章节导读03本章学习目标与核心术语1.1低空与低空空域解释真高、空域体和四维轨迹，认识低空运行的四大特征。1.2概念与理论区分危险源、风险与安全，理解系统安全与安全绩效管理。1.3安全管理体系说明SMS四个组成部分及其工作内容，理解低空场景的适配要求。1.4安全文化解释文化层次、公正文化、报告文化、学习文化及成熟度阶段。学习要求：能准确定义概念，也能用概念分析具体任务。教材第003—009页1.1041.1低空与低空空域配送航线周围，有哪些看不见的边界？城市与郊区的低空运行环境（示意图）教材第003—004页1.1.1.105低空空域与真高低空空域：从物理维度看，是地表以上具有一定垂直上限和水平范围的三维空间。本书通常讨论真高1000米及以下的运行，特定场景可讨论至3000米及以下。真高（距地高度）AGL航空器相对于其正下方地表的垂直距离，也称距地高度、离地高度。地形与高度基准同一海拔高度下，地面越高，真高越小。须明确任务采用的基准。低空描述空域的高度范围，具体飞行须满足适用的空域与运行要求。示意图教材第004—006页1.1.1—1.1.206国家空域基础分类教材图1.1（图源：中国民航局《国家空域基础分类方法》，2023年12月）管制空域A、B、C、D、E类。按类别和运行规则提供相应空中交通管制服务。非管制空域G、W类。仍须遵守适用的飞行规则、空域限制和安全责任要求。图示用于理解分类，实际边界以主管部门公布的信息为准。教材第005—007页1.1.207低空范围与运行许可的区别空域使用条件包含水平范围、垂直范围和使用时间。对于民用无人驾驶航空器，还应核对航空器类别、任务性质及适用的申请要求。空间条件核对公布的管制空域、适飞空域，以及机场、重要设施等相关限制。时间条件核对临时管制、应急任务及计划使用时段，关注信息更新。飞行许可判断应综合空域属性、任务性质、航空器条件及动态限制。运行条件根据航空器类别和运行方式，核对适用的许可、申请和安全要求。教材第005页1.1.1.208低空空域的水平异构性运行区域主要环境特征评估重点城市区域建筑、线路密集，人口集中碰撞、信号遮挡与地面第三方风险郊区与乡村地貌多样，通信和救援条件不一地形、链路覆盖及应急可达性特殊用途区域重要设施、自然保护区等依法公布的限制范围及使用条件航线规划须同时评估空中风险、地面暴露和适用限制。异构性指不同区域的地形、障碍物、人口分布和管理要求存在明显差异。同样的飞行高度，可能对应不同的风险和控制措施。教材第005—006页1.1.1.309空域体与四维轨迹空域体（AirspaceVolume）是具有水平边界和垂直边界的三维空间。四维轨迹在三维位置上加入时间，用经度、纬度、高度和时间描述航空器的预期运动。空间使用明确航空器在何处、以什么高度运行，以及周围的障碍物和其他目标。时间使用给出起飞、经过关键点和到达的时刻，结合时间窗口开展协同。四维轨迹管理支持提前识别冲突，并调整时刻、高度或航路。示意图教材第005—008页1.1.1.3—1.1.310轨迹冲突的识别与解脱情境冲突分析管理要求同时到达同高度交叉可能形成冲突预先协调轨迹，核实适用间隔错时到达延误可能改变原有时间关系持续更新状态，复核时序安排偏离计划偏航或临时改道影响相邻目标重新探测冲突并协同解脱冲突解脱指采取措施，恢复并维持所要求的安全关系。潜在冲突是指预测的运行状态可能不满足适用的安全间隔或避让要求。判断依据既包括空间关系，也包括到达时间及其不确定性。教材第006页1.1.2.111管制、非管制与监视服务概念专业含义低空运行中的理解管制空域在规定范围内，按空域分类提供空中交通管制服务运行须符合适用的许可、通信和管制要求非管制空域未划设为空中交通管制空域的区域不因“非管制”而免除飞行规则与安全责任监视与信息支持获取合作目标动态，提供交通信息、告警等服务信息支持与间隔调配分别适用相应权限和责任。教材按管理服务方式讨论空域，国家空域分类按公布的分类方案执行。教材第006—007页1.1.2.212无人机交通管理UTMUTM概念由NASA于2013年提出，通过数字信息交换和服务协同支持无人机运行。监管机构、运营人与服务提供方共享飞行意图、空域限制和运行状态。核心机制共享计划、位置、气象和限制信息，开展冲突探测与运行协调。职责边界运营人承担运行安全责任，各服务方按其职责提供可信、及时的信息。数字化信息交换是UTM的核心，具体授权仍按适用规则办理。示意图教材第007页1.1.2.313动态空域配置与应急调整动态空域配置是根据交通流量、应急事件或特殊任务需求，调整空域边界、使用条件或可用时段，并及时发布和共享相关信息的管理方式。场景变化配送航线附近出现救援任务，原有空域使用条件可能发生变化。运行响应核对正式发布的信息，重新评估等待、改航或终止任务的条件。已获知的运行条件发生变化，应重新审查原有风险假设。示意图教材第007—009页1.1.314低空飞行的四大运行特征高密度运行有限空域内活动数量增多，冲突探测、轨迹规划和容量管理更加复杂。高动态运行航程短、起降频繁、航迹多变，要求及时更新状态并快速作出响应。环境极端复杂局地风、障碍物、电磁环境与地面人员暴露共同影响运行风险。参与主体多元制造商、运营人和各类服务方形成责任网络，接口协同成为关键。运行特征决定管理要求，具体风险仍须结合任务和环境判断。教材第008—009页1.1.3.315城市峡谷效应与导航风险城市峡谷效应指密集建筑对局部运行环境产生的影响。建筑物可能改变风场，形成阵风和涡流，也可能遮挡或反射卫星信号，增加定位误差。多径效应接收机同时接收到直接信号和反射信号，可能降低定位准确性。地面第三方风险航空器失效可能使未参与飞行的地面人员或财产遭受损害。GNSS为全球导航卫星系统，定位可用性需结合具体环境验证。示意图教材第009、023页1.1.3.4、1.3.316多主体协同与责任接口参与者主要职责需要明确的接口运营人落实运行程序、人员能力和维护要求飞行计划、异常处置、风险接受权限制造商与服务方提供符合要求的产品、数据和服务性能限制、故障通报、服务中断处置场地及相关管理方按职责组织空间使用和地面保障活动变化、区域限制与应急联络职责分工应覆盖正常运行、服务中断和应急状态。责任接口是不同主体在信息提供、决策权限和行动衔接上的职责边界。接口不清，可能使危险源无人处置或异常信息传递中断。教材第003—009页1.1综合运用17课堂讨论：直飞还是绕行？情境：蓝色路线距离较短，但经过校园广场。橙色路线绕开广场，但增加飞行距离和电池消耗。请使用空域、环境和运行条件进行比较。比较地面风险核实人员密度、活动时段、地面防护及可用备降区域。比较运行可行性核实能源余量、障碍物、通信条件和航线使用限制。航线方案应结合空中风险、地面暴露和保障条件形成有证据的选择。示意图教材第010—016页1.2181.2风险与系统安全无人机能飞起来，还需要什么才能安全运行？运行前的设备与任务条件核查（示意图）教材第010—011页1.2.1.1—1.2.1.219危险源、后果与安全风险危险源Hazard具有引发或促成航空器事故、事故征候潜力的状态或物体。后果Consequence危险源作用后可能产生的结果。例如电池失效后坠落，导致地面人员受伤。安全风险SafetyRisk危险源后果的预测发生可能性与严重性。安全风险由危险源后果的预测发生可能性与严重性共同表征。教学示意：区分危险源、事件、后果与风险危险源（状态）电池老化，健康状态不明事件飞行中动力不足、坠落后果地面人员受伤安全风险（判断）该后果的可能性与严重性教材第010页1.2.1.120危险源的来源与识别来源危险源示例识别时需要的证据航空器电池缺陷、软件逻辑错误、部件故障设计资料、故障记录和试验结果运行环境强风、未标识障碍物、GNSS干扰环境调查、气象与链路信息人员因素疲劳、技能不足、判断偏差任务分析、访谈与事件报告组织与管理程序模糊、培训不足、资源缺口程序审查、审计与现场观察失效模式与影响分析（FMEA）逐项分析失效及其影响，为风险控制提供依据。教材第010—011页1.2.1.221风险评估的两个基本维度风险矩阵通过组合后果严重性与发生可能性，对风险进行分级，支持控制措施选择和可接受性判断。后果严重性可能性较轻较重严重较高中高高中等低中高较低低低中衡量对人员、财产、环境和系统功能的影响程度。发生可能性风险矩阵按后果严重性和发生可能性进行分级，用于确定控制优先级。依据数据、运行经验或专家判断，估计特定后果发生的可能程度。后果严重性风险矩阵：实际分级与接受标准依适用体系确定。教材第011页1.2.1.222同一危险源的场景依赖性风险取决于危险源及其所在场景。即使电池失效的可能性相同，地面人员暴露、撞击条件和防护能力不同，后果严重性也可能不同。空旷区域与人员密集区域（示意图）暴露度可能受到影响的人员、财产及其处于影响范围内的程度。改变航线、时段或防护条件，可能降低特定后果的风险。脆弱性这些受影响对象在遭受冲击时发生损害的易感程度。教材第011—012页1.2.1.323安全的科学定义安全Safety一种状态：与航空器运行有关或直接支持其运行的航空活动风险，被降低并控制在可接受的水平。动态状态人员、设备和环境会变化，控制措施需要持续验证。风险管理安全管理通过持续识别危险源和控制风险，维持可接受的安全状态。识别危险源、评估风险、实施措施，并检查措施是否有效。相对安全存在固有风险，管理目标是使风险受控并持续改进。教材第012—013页1.2.2.124系统安全与人、机、环、管系统安全是一种把人员、技术设备、运行环境与组织管理作为相互联系的整体来管理安全的理论与方法。事故常由多个因素相互作用及防御失效共同造成。看现场行为是否按程序检查电池，是否识别并处理告警，是否具备相应能力。查系统条件程序设计、维护记录、排班和资源配置，是否支持人员可靠履责。系统分析既关注直接触发因素，也追查长期存在的组织条件。示意图教材第013页1.2.2.125主动失效与潜在失效概念定义与特点电池耗尽情境主动失效ActiveFailures一线执行任务时发生、直接影响运行的错误行为或决策操控员漏看或错误处置低电量告警潜在失效LatentFailures系统中长期存在、在特定条件下暴露的薄弱环节告警设计不清、程序缺项或不合理排班相互作用潜在条件可能削弱防线，使主动失效更易发生或扩大后果低余量放飞叠加告警遗漏，导致任务中动力不足事故分析应同时调查人的行为、当时条件和组织防御。教材第013—014页1.2.2.226瑞士奶酪模型与纵深防御瑞士奶酪模型把组织防御比作多道有“孔洞”的屏障。孔洞代表缺陷或失效，当多个薄弱环节在特定条件下共同贯通时，可能形成事故路径。纵深防御设置相互补充的多道防线，使单道防线失效后，仍有机会阻止事故或减轻后果。管理启示识别各道防线的缺口，关注多个屏障依赖同一数据、人员或部件的共同缺陷。设备维护电池老化飞前检查漏查电量运行监控忽略告警应急处置备降不及时事故调查须分析各道屏障，找出可以阻断事故路径的环节。教材第012—014页1.2.2.127全生命周期安全管理全生命周期安全管理是在设计、制造、运行、维护和退役处置各阶段，持续识别危险源并控制风险。其重点是把安全要求尽早纳入设计，并在使用过程中验证和保持。设计与投入运行明确使用条件，开展安全分析、试验验证和人员准备，形成运行限制。运行、维护与退役监控状态和性能，处理变更与故障，确保停用处置和记录留存受控。持续安全依靠对人员、设备、环境和控制措施的动态监测与管理。示意图教材第014—016页1.2.328安全绩效概念与版本衔接ALoS与ALoSP：早期文献使用ALoS。《附件19》第2版以ALoSP表示由国家安全方案界定、通过指标与目标表达的安全绩效水平。企业目标应与适用要求衔接。如何表达用安全绩效指标（SPIs）及对应目标（SPTs），明确预期的安全绩效水平。如何管理安全绩效目标应有风险和证据依据，并满足适用法规。定期测量实际绩效，分析偏差并采取措施。随技术进步和经验积累，持续提高安全水平。版本注：《附件19》第2次修订于2025年6月23日通过，2025年11月4日生效，2026年11月26日适用；ALoSP相关条款由更基础的安全绩效管理规定替代。教材第014—015页1.2.3.229安全绩效指标SPI与目标SPT术语定义课堂假设示例SPI安全绩效指标以数据为基础的可量化参数，用于监测和评估安全绩效每千架次低电量告警次数SPT安全绩效目标在规定期间计划达到的安全绩效指标水平，与安全目标一致下学期不高于2次／千架次测量与响应明确对象、期间、分母和数据来源，分析偏差并采取措施月度监测，核查偏离原因和控制措施SPI回答“测什么”，SPT回答“何时达到什么水平”。教材第014—015页1.2.3.230结果指标与过程指标指标类型低空运行示例解释时的注意事项结果指标失控事件率、地面第三方伤害数量低频事件具有偶然性，须结合运行量过程指标风险评估完成率、复训合格率、整改及时率记录完成仍需验证质量与实际效果综合判断对照目标、趋势、运行条件和控制证据过程与结果、前导与滞后不宜机械等同比较事件发生率时，应统一统计口径、观察期和运行暴露量。结果指标衡量已发生的安全结果。过程指标观察安全管理活动及控制措施的实施情况。两类指标结合，才能更完整地判断安全绩效。教材第015—016页1.2.3.331安全绩效偏差的分析与改进情境：某团队开通便捷报告渠道后，月度隐患报告增加。管理者不能仅凭“报告更多”判定安全变差，应核查数据变化的原因。先核对数据运行量、报告渠道和统计规则是否变化？报告涉及什么问题？再分析风险新增信息是否揭示真实恶化趋势？控制措施是否已经失效？最后闭环处理明确措施、责任与期限，反馈处理结果，再次监测相关指标。绩效管理过程：设定目标、测量绩效、分析偏差、采取措施、再评估。教材第016—025页1.3321.3安全管理体系SMS让安全要求落实到日常工作的每一步运行监控与安全信息协调（示意图）教材第016页1.3.133安全管理体系SMS的定义SMSSafetyManagementSystem一种系统化的安全管理方法，包括必要的组织结构、问责机制、职责、政策和程序，使组织能够持续识别危险源、控制风险并改进安全绩效。组织层面明确最终责任、岗位权限、资源和信息渠道。运行层面SMS通过落实责任、控制风险和验证措施效果，持续改进组织安全绩效。把风险评估、监控、变更和学习纳入日常业务。国家层面SSP国家安全方案通过一整套规章与活动改善安全，与组织SMS的层级不同。教材第016—021页1.3.234SMS的四个组成部分与12项要素组成部分核心作用框架要素安全政策与目标确立承诺、责任和组织保障管理承诺、安全问责与职责、关键安全人员任命、应急响应规划协调、SMS文件安全风险管理识别危险源并评估、缓解风险危险源识别，风险评估与缓解安全保证监控绩效并验证控制措施有效性绩效监控与测量、变更管理、持续改进安全促进形成支持安全的能力与沟通培训与教育，安全沟通SMS的四个组成部分相互支持，共同形成持续改进的管理体系。教材第016—017页1.3.2.135安全政策与目标：管理层承诺安全政策是由最高管理者签署并向员工及相关方传达的安全方针，说明组织的安全承诺、行为原则和资源保障。安全目标将政策转化为需要实现的安全结果和改进方向。情境：时限与天气冲突明确安全决策权限和运行限制，使员工能够依程序暂停不安全任务。承诺需要行动支持配置必要人员、设备和训练资源，支持诚实报告，并定期评审目标。当安全要求与生产压力冲突时，管理者的实际决定体现政策。示意图教材第017页1.3.2.136安全职责与问责机制角色主要责任权限与边界主要负责人对SMS的建立、实施和持续有效性负最终责任具有必要的组织和资源决策权安全经理协调SMS，组织监测、评估和安全建议能直接报告安全问题，不替代业务履责业务部门与员工落实程序、控制本岗位风险、报告异常按授权作出运行决策并留存依据安全经理负责协调安全管理工作，主要负责人承担组织安全绩效的最终责任。安全职责说明“承担哪些工作”，问责机制明确“谁对结果负责并有权配置资源”。授权和工作分工不能使组织的最终安全责任悬空。教材第017页1.3.2.137应急响应计划与SMS文件应急响应计划ERP预先规定突发事件发生时的组织、职责和响应安排。明确触发条件、指挥关系、联络渠道、资源调配及对外协调。通过演练验证，并及时修订。SMS文件管理ERP为EmergencyResponsePlan。联系人或条件变化后应及时更新。通过受控文件明确安全政策、责任、程序和记录要求。控制审批、版本、生效、分发和留存，确保现场人员使用现行有效文件，并理解变更。教材第017—018页1.3.2.238安全风险管理SRM的流程安全风险管理（SRM）是系统地识别危险源、评估相关风险并实施控制的过程。新运行、重大变更或发现新危险源时，应启动或更新分析。1描述系统明确任务边界、设备、人员、程序及运行环境。2识别危险源识别危险源及其可能导致的事件和后果。3分析与评估估计可能性与严重性，对照风险接受准则判断。4控制与缓解风险分析回答“风险多大”，风险评价回答“是否可接受、需否处理”。针对不可接受或需要降低的风险，实施有效措施。5复评与接受复评剩余风险，由授权人员决定接受并持续监控。教材第017—018页1.3.2.239危险源记录与风险登记危险源或运行条件可能事件与后果拟采取的控制措施电池健康状态不明动力不足、迫降或坠落核实状态并排除不合格电池广场人员临时聚集坠落可能造成第三方伤害调整路线、时段或地面隔离安排链路存在覆盖盲区控制或状态信息中断验证覆盖并明确异常处置程序完整记录还须包括风险等级、证据、责任人、期限和剩余风险。风险登记用于记录危险源、可能后果、现有控制和评估结果，并跟踪责任、措施及复核。以下仅展示一份登记表中的三个内容字段。教材第011、018页1.2.1.2、1.3.2.240风险控制措施的层级消除与替代优先移除危险源，或以危险性较小的材料、工艺和运行方式替代。工程控制通过冗余、防护、隔离等技术措施，降低发生可能性或后果严重性。管理控制通过程序、运行限制、培训和监督，支持可靠执行和异常处置。个人防护在适用岗位降低人员暴露后果，作用受场景限制，不能替代系统控制。保险承担约定的财务损失，工程与运行措施控制事故发生及其后果。教材第018页1.3.2.241剩余风险的评估与接受剩余风险ResidualRisk在实施既定风险控制措施后，仍然存在的安全风险，也称残余风险。应根据控制措施的实际有效性重新评估，并与适用的风险接受准则比较。证据要求确认措施已落实，并有试验、检查或运行数据支持。接受权限风险仍不可接受时，应进一步控制、限制运行或放弃该任务。由具有相应授权的人员决定，记录理由、限制条件和责任。持续复评新危险源、措施失效、运行条件或系统变更均可能触发重新评估。教材第018—019页1.3.2.342安全保证：监控与验证安全保证通过绩效监控、数据分析、审计及变更管理等活动，确认风险控制措施持续有效，并验证SMS按照预期运行。其结果应推动纠正和持续改进。监控什么对照安全绩效目标，观察事件、飞行数据、维护记录及措施执行情况。怎样验证检查趋势与异常，区分数据变化和风险变化，核实控制措施的实际效果。安全绩效分析须核实数据质量、统计口径和运行暴露量，才能解释变化。示意图教材第019、023页1.3.2.3、1.3.343变更管理MOC变更管理（MOC）是对新设备、新程序、新航线、组织或供应商调整进行识别、评估、批准和监控的过程，防止变更引入新的危险源或削弱既有控制。情境：更换电池型号容量、重量、接口和充电方式可能变化，原有风险假设需要复核。变更前后都要管理实施前验证兼容性并获授权，实施后监测性能，同时更新程序与培训。变更管理在实施前评估风险，实施中落实控制，实施后验证安全效果。示意图教材第019页1.3.2.344内部安全审计与持续改进环节主要工作形成的证据发现与分析确认事实、影响范围及根本原因检查记录、报告、数据和原因分析实施纠正制定措施，明确负责人和完成期限修订程序、维修和培训记录验证与关闭确认措施有效，检查是否引入新风险复查结果和后续运行表现“纠正”处理眼前问题，“纠正措施”还须针对原因，防止再发生。内部安全审计通过有计划、独立和基于证据的检查，评价SMS的符合性与有效性。持续改进把监控、审计和调查发现转化为可验证的改进行动。教材第019—021页1.3.2.445安全促进：培训与安全沟通安全促进通过培训、教育和安全沟通，使人员具备履行安全职责所需的知识、能力和意识，并形成支持SMS运行的共同理解与积极安全文化。培训与教育按岗位开展初训和复训，通过考核、实操或演练验证实际能力。安全沟通向下传达要求，向上反馈隐患，横向分享经验，并解释采取措施的原因。岗位能力通过实际操作和情境评价确认，培训记录支持能力追踪。示意图教材第021页1.3.246图解：SMS的整体关系SMS的四个组成部分与十二项要素（据ICAODoc9859第4版整理）政策确立承诺，风险管理实施控制，安全保证验证效果，安全促进提供支持。安全政策与目标1.1管理承诺1.2安全问责与职责1.3关键安全人员任命1.4应急响应规划协调1.5SMS文件安全风险管理2.1危险源识别2.2安全风险评估与缓解安全保证3.1安全绩效监测与测量3.2变更管理3.3SMS持续改进安全促进4.1培训与教育4.2安全沟通教材第021—024页1.3.347低空安全管理体系LASMS的适配适配方向主要要求风险焦点与数据驱动兼顾空中与地面第三方风险。利用运行数据识别异常，同时保证数据质量与安全。管理节奏与生态系统频繁变更需要及时评估。多方协同需要明确接口、共享信息和应急责任。技术架构与安全文化分布式协同应保留监督与干预能力。面向不同背景人员开展培训、报告与学习。LASMS将安全管理体系应用于低空运行，制度设计应符合适用规章。LASMS是教材对低空安全管理体系的概括。它继承SMS基本框架，并针对低空运行特征，在以下六个方面调整风险管理和组织运行方式。教材第024—025页1.3.348LASMS发展的三个递进阶段教材阶段名称能力与工作重点需要的基础基础合规阶段建立制度、运行标准和岗位职责，形成基础数据采集能力有规可依、有责可循，落实基本要求智能预警阶段融合多源数据，开展动态风险分析与预警，增强主动防控数据质量、模型验证和及时响应智慧协同阶段跨运营主体、监管和服务机构协同，贯通飞前、飞中与飞后管理清晰权限、可信信息和协同机制低空安全管理的发展依靠责任落实、协同机制和技术能力共同推进。教材第025—032页1.4491.4安全文化建设没有人监督时，团队会怎样做？运行事件复盘与安全经验交流（示意图）教材第025—026页1.4.150安全文化的定义与行为表现安全文化是组织与个人共同具有的价值观、态度、能力和行为模式的综合体现，决定组织对SMS的承诺、风格与成效，并影响成员感知风险、遵守规则和在压力下决策。可观察的行为无人监督时仍执行飞前检查，如实记录异常，并主动提出安全疑问。行为背后的组织条件时间与资源是否充足，诚实报告是否得到公正回应，激励是否支持安全。安全文化通过持续的组织行动形成，并在日常行为中体现。示意图教材第025—026页1.4.151安全文化的三个层次安全文化层次的冰山比喻（示意图）外显层Artifacts可见、可感知的制度与行为。例如检查表、培训活动和防护装备。价值观层EspousedValues组织公开宣称的原则与标准。例如安全方针中的“安全优先”。基本假设层深层、习以为常的信念与判断。例如赶工时是否默认可以省略检查。安全文化分析结合可观察行为、宣称价值观与深层基本假设。教材第026—027页1.4.2.152公正文化JustCulture行为类别判断要点组织响应原则人为差错无意的行为偏差或判断失误支持人员，分析条件并改进系统风险行为低估风险，或错误地认为行为可接受指导风险认知，纠正不良激励和习惯鲁莽行为明知显著风险仍漠视后果依据事实、适用规则与程序开展问责公正文化依行为性质和适用规则公正处理责任，保护诚实报告与组织学习。公正文化要求组织以公正、一致和透明的标准处理人为差错与违规，在学习和问责之间保持平衡，并清楚界定可接受与不可接受行为。教材第027—028页1.4.2.253报告文化ReportingCulture报告文化是组织成员信任管理层，愿意且能够便捷地报告安全信息的氛围与机制。报告内容包括事件、危险源、潜在问题和改进建议。强制报告与自愿报告前者覆盖法规或制度规定的事项，后者用于补充潜在问题和安全建议。保护与反馈按制度保护报告信息，及时确认、分类处理和反馈，使报告产生改进行动。便捷渠道、公正处理与及时反馈，共同支持持续报告。示意图教材第028—029页1.4.2.354学习文化LearningCulture学习文化是组织从安全信息中学习，并把经验转化为改进的意愿与能力。学习对象包括事件、报告、运行数据和其他组织的经验。查明原因分析事实、工作条件和系统因素，避免停留在“人员不认真”。发现模式结合数据识别重复问题、异常趋势及控制措施的薄弱环节。转化为行动修订程序、设备或培训，明确责任人、期限和验证标准。共享与验证公正文化建立信任，报告文化提供信息，学习文化促成改进。向相关岗位反馈经验，检查改进效果，并继续更新认识。教材第029—031页1.4.3.155安全文化的培育途径安全文化培育需要领导力驱动、全员参与、系统性培训、制度支撑和持续沟通。其关键是使组织的资源、激励与日常决策支持所宣称的安全价值。管理层示范投入资源、参与安全活动，认真处理报告，在安全与进度冲突时履行承诺。员工参与与制度支持吸纳一线意见，改进难以执行的程序，使考核和奖励鼓励诚实报告与学习。组织希望形成的行为，应得到程序、资源和激励机制的支持。示意图教材第031—032页1.4.3.256安全文化成熟度的五个阶段哈德逊模型阶段典型特征与管理倾向病态阶段隐藏或否认问题，主要关注避免被发现、被追责。反应式阶段事故或严重事件之后才重视安全，改进偏被动和临时。计算式阶段制度、程序和记录较完整，但可能侧重形式合规。主动式阶段提前识别风险，鼓励报告，主动投入资源并改进控制。生成式阶段安全融入日常决策，持续学习、协作和改进成为习惯。安全文化成熟度依据组织行为与管理实践评价，用于确定改进方向。教材第031—032页1.4.3.257安全文化的评估方法方法组合能够获得的信息主要局限问卷、访谈与焦点小组风险认知、信任、报告顾虑及其原因可能受社会期许、样本和访谈氛围影响行为观察实际操作、管理决策与现场条件短期检查可能掩盖日常行为文件审查与数据分析制度执行、事件、报告和改进记录记录完整不自动等于执行有效评估结果应反馈给员工，并形成有责任人和期限的改进计划。安全文化评估用于识别真实的价值取向、行为模式及薄弱环节，并跟踪改进。应把员工感受、现场行为和制度记录相互核对。教材第003—032页综合运用58综合任务：新配送航线安全分析新航线经过校园广场，计划更换电池型号。员工近期报告过定位异常，调查尚未完成。请以运营团队的身份提出初步安全分析。概念与风险区分危险源、可能事件和后果，解释可能性与严重性。措施与体系提出控制及变更管理要求，明确剩余风险接受权限与证据。绩效与文化设计一项SPI和SPT，并说明报告如何反馈、学习和验证。课堂安全分析应写清任务假设、证据缺口、控制措施与结论的适用范围。教材第032—033页本章小结59本章概念关系与复习要点危险源、风险与安全危险源可能造成损害。安全风险由后果发生的可能性与严重性共同表征。安全管理使风险持续受控。系统安全与安全绩效管理系统安全提供整体分析思路，安全绩效管理通过SPI与SPT支持测量和改进。SMS与日常运行通过政策与目标、风险管理、安全保证、安全促进，将责任和流程落实到业务。安全文化与体系有效性共同的价值与行为影响执行。公正、报告和学习文化相互支持。本章以危险源识别为起点，将风险控制、绩效监测与安全文化相联系。教材第033—034页思考与练习60课后练习与教材对应练习1系统安全（教材第2题）以电池耗尽导致坠落为情境，设置至少四道防线，说明孔洞、主动失效和潜在失效。练习2安全绩效（教材第3题）说明ALoS与ALoSP的背景，评价“一年无事故即风险低”，设计三项SPI及SPT。练习3安全文化（教材第5题）解释公正、报告、学习文化的内在关系，并用具体情境说明三者如何支持SMS。延伸练习：教材第1题比较ATM与UTM，第4题设计eVTOL企业安全政策。教材第035—054页第二章01低空经济安全管理第2章低空航空器技术与适航安全一架航空器的安全，如何得到证明？EH216-S城市运行构想（亿航官方示意）教材第035—036页情境导入02城市配送任务的机型选择课堂情境：团队计划把急需物品从城郊配送中心送往城区接收点。航线既有开阔路段，也有建筑密集区，接收点附近没有跑道。先确定任务边界明确航程、载荷、起降空间、地面人员暴露和通信覆盖条件。需要回答的问题选择哪种构型？凭什么证明其安全？某个关键部件失效后如何处置？本章用技术原理和适航证据，支持机型与运行方案的判断。水域运输场景照片（DJI）教材第035—054页章节导读03学习目标与章节结构2.1航空器分类解释UAS边界，比较主要气动布局、eVTOL与传统通用航空器。2.2适航管理说明适航性的双重要求，区分三类证书，理解安全设计与符合性证明。2.3关键系统掌握动力、飞控、导航和探测避让的工作原理、典型失效与防护方法。学习要求：说清定义、解释机理，并说明结论成立的条件。教材第036—041页2.1042.1低空航空器的分类与技术特征同一条配送航线，为什么会有不同的机型方案？多旋翼运输无人机（DJI）复合翼eVTOL（峰飞航空）教材第036—038页2.1.105无人驾驶航空器系统UASUAS是无人驾驶航空器及与其有关的遥控台（站）、任务载荷、控制链路等组成的系统。UA指航空器本身，UAS强调完成运行所需的整体。遥控台（站）RPS用于监视航空器状态、发出指令，并支持操控员管理飞行。控制链路与任务载荷C2链路支持指挥与控制所需的信息交换；相机、货箱等载荷服务于具体任务。系统安全需要同时考虑空中平台、地面站、链路及载荷接口。地面终端与管理平台（DJI）教材第036—037页2.1.1.106无人驾驶航空器的类别与质量门槛无人驾驶航空器类别由规定的质量、性能与操控能力条件共同确定。类别空机重量条件最大起飞重量条件微型小于0.25kg本项定义以空机重量等条件判定轻型不超过4kg不超过7kg小型不超过15kg不超过25kg中型无单独空机重量门槛不超过150kg，且不属于前三类大型无单独空机重量门槛超过150kg教材第036—037页2.1.1.107航空器分类的性能与能力条件《条例》第62条采用多项性能指标共同分类。轻型排除微型，小型排除微型和轻型；分类后再确定适用的管理要求。微型的其他条件最大飞行真高≤50m、最大平飞速度≤40km/h，无线电符合微功率短距离要求，全程可人工介入。轻型的其他条件最大平飞速度≤100km/h；具备空域保持和可靠被监视能力，可随时人工介入。小型的其他条件具备空域保持和可靠被监视能力，全程可以随时人工介入操控。轻型类别须同时符合重量、速度、空域保持、被监视及人工介入条件。教材第036—037页2.1.1.108四种常见无人机气动布局气动布局决定升力来源、起降方式和主要飞行特性。教材图2.1展示了固定翼、多旋翼、无人直升机与复合翼。固定翼多旋翼无人直升机复合翼构型决定基本飞行特性，具体型号的能力以飞行手册和验证资料为依据。教材图2.1四种类型无人机图例教材第037页2.1.1.109固定翼：升力、效率与失速固定翼通过机翼与空气的相对运动产生升力。适合较大范围、较长航时的任务，但常规构型通常需要跑道或专门的发射与回收设施。失速的定义机翼迎角超过临界迎角时，气流分离显著加剧，升力系数下降。低速、急转弯等情形可能增加失速风险。任务优势巡航时由机翼承载，通常比同任务条件下的多旋翼更节能，适合巡查和测绘。安全关注检查起降与回收条件、空速裕度和载荷重心；进近阶段须防止失速与姿态失控。机翼迎角超过临界迎角时发生失速，升力系数下降并影响飞行控制。教材第037—038页2.1.1.110多旋翼与无人直升机多旋翼主要通过调节各旋翼推力控制姿态和运动；无人直升机常采用主旋翼与尾桨，或共轴旋翼，依靠相应的旋翼操纵机构实现控制。多旋翼便于垂直起降与悬停；电池、动力单元和抗风能力限制其任务范围。无人直升机可满足较大载荷等任务需求，但传动、旋翼操纵与维护更为复杂。载荷、抗风与续航能力取决于具体型号的设计、性能限制和运行条件。多旋翼运输无人机实物照片（DJI）教材第037—038页2.1.1.111垂直起降固定翼与过渡飞行垂直起降固定翼结合垂直起降能力与机翼巡航效率。复合翼设置相对独立的升力和巡航推进装置；倾转构型通过改变推力方向转换飞行状态。教材图2.2垂直起降固定翼无人机过渡飞行航空器在旋翼承载为主与机翼承载为主的状态之间转换，升力与控制方式随之变化。安全验证重点过渡是重点验证阶段；具体风险高低取决于构型、状态和故障组合。核对过渡包线、控制耦合、能量储备，以及转换中断后可执行的处置程序。教材第038页2.1.1.212机体结构与隐蔽损伤机体结构承担气动载荷、惯性载荷及起降冲击，并维持各部件的几何关系。轻量化设计必须同时满足强度、刚度、寿命及损伤检查要求。疲劳材料或结构在反复载荷下可能形成裂纹并破坏，疲劳评估应覆盖载荷循环、寿命及检查要求。复合材料损伤冲击可能造成分层等内部损伤，表面外观正常不一定代表内部完好。维护与检测根据批准资料安排检查和无损检测，记录撞击、维修与寿命信息，保持可追溯性。结构安全需要设计、制造与使用维护共同保证。教材第038—039页2.1.1.213指挥与控制数据链路C2C2链路在遥控台（站）与航空器之间传递用于管理飞行的信息。通常把地面至航空器称为上行，航空器至地面称为下行；使用时应明确参照方向。安全性能关注可用性、连续性、时延、抗干扰能力，以及信息的完整性和访问控制。链路失效可能丢失指令传递或状态监视。图传中断与C2中断需要根据实际架构分别判断。预设处置返航、备降或其他程序须结合定位可信度、剩余能量、障碍物和地面风险验证。失链返航的可行性取决于导航可信度、剩余能量、可达航路与地面风险。教材第039页2.1.214eVTOL与城市空中交通UAMeVTOL指电动垂直起降航空器，描述能源与起降能力；UAM指城市空中交通，描述城市及周边的空中运输活动和服务体系。二者处于不同概念层次。教材图2.3eVTOL图例航空器层面eVTOL可采用不同气动布局，也可以采用有人驾驶或无人驾驶方式。运行体系层面eVTOL的安全目标依据预期用途、运行风险和适用审定要求确定。UAM还涉及起降设施、空域、交通管理、运营组织和地面交通衔接。教材第039—040页2.1.2.215eVTOL的三类主流构型比较构型时，重点观察起降与巡航所用的升力、推力装置，以及是否通过机械倾转改变推力方向。构型分类依据升力与推力的实现方式；具体型号可能存在混合或变体。多旋翼：旋翼承担升力复合翼：升力与巡航分工倾转：改变推力方向教材图2.4三种不同构型示例教材第039—040页2.1.2.116分布式电推进DEPDistributedElectricPropulsion分布式电推进是在航空器不同位置布置多个电推进单元，通过协调各单元的推力，实现推进、升力或姿态控制功能。潜在优势推力可分配，部件布置更灵活，并可为故障后的控制重构提供资源。成立条件分布式推进的容错能力取决于独立性、剩余推力和故障后的可控性。需要足够的剩余推力与控制力矩，并防止供电、软件等共同因素使多个单元同时失效。验证要求在不同重量、重心和飞行阶段，验证失效后的可控性、性能及安全着陆能力。教材第039—040页2.1.2.117自动化与人的监控职责自动化是系统按规定逻辑执行任务的能力。高度自动化会改变人员的操作方式，但仍需要明确监视、告警、接管、异常处置和责任分工。主动操纵与监控管理前者持续参与操纵闭环；后者监视自动运行，在权限与条件允许时介入。人机协同的限制人员须理解当前模式、系统能力与剩余处置时间，防止模式混淆和过度依赖。自动化的安全效果取决于系统能力、人员职责与异常处置的协同验证。地面监控作业照片（DJI）教材第040—041页2.1.318传统通用航空器与融合运行直升机和小型固定翼是低空空域的传统使用者，在应急救援、培训、农林作业和短途运输等任务中具有成熟的技术与运行经验。互相感知有人机与无人机可能使用不同的观察和监视手段，需要共享可信的位置与意图信息。规则与通信避让责任、优先关系和关键消息应采用适用规则与统一协议，防止理解不一致。能力与文化兼顾驾驶员判断、自动化限制和程序执行，建立共同的安全责任与协同机制。融合运行要求技术兼容，也要求规则、信息和责任相互衔接。教材第037—041页2.1综合应用19任务需求与构型选择任务条件可考虑的构型需要重点核实大范围巡查、较长航时固定翼起降回收条件、低速操纵与空速裕度短距运输、狭小起降点多旋翼可用能量、风限制及动力失效响应缺少跑道，又需高效巡航垂直起降固定翼过渡控制、系统复杂性与维护能力载人运输或较大载荷匹配任务的eVTOL或通航机型批准用途、乘员保护及运行保障机型比较应统一任务与环境条件，并以性能和安全验证资料为依据。教材第036—041页2.1课堂练习20情境讨论：配送机型初选回到城市配送任务。两个方案分别采用多旋翼和垂直起降固定翼，供应商都声称自己的方案“更安全”。请准备一份初步比较意见。补齐信息列出至少四项会改变机型选择的任务或环境条件。解释差异分别说明起降、巡航和异常处置方面的优势与限制。提出证据要求指出需要查看的性能限制、试验结果和维护资料。机型选择以任务适配性为基础，综合评价性能限制、故障响应和安全证据。教材第042—047页2.2212.2适航管理与审定一架航空器的设计、生产与使用状态，由什么来证明？起落架静力试验（亿航）起落架落震试验（亿航）螺旋桨试验（亿航）教材第042页2.2.122适航性的双重要求适航性Airworthiness适航性是指航空器及其部件符合经批准的设计，并处于安全运行的状态。这两个方面必须同时满足，且需要在使用过程中持续保持。符合批准设计实际构型与获批准的型号设计、技术规范及适用更改相一致。安全运行状态适航性要求航空器符合经批准的设计，并保持安全运行状态。通过检查、维护、故障处理和必要改装，保持安全性能。制度作用适航管理通过设计、生产和使用阶段的审查与监督提供制度保障。教材第042—043页2.2.1.323型号、生产与单机适航的“三证”证书审查对象主要证明内容型号合格证TC航空器型号设计设计满足适用的适航要求生产许可证PC制造方及生产质量体系能持续生产符合批准设计的产品适航证AC具体的一架航空器该架航空器符合适用设计并处于安全状态型号、生产和单机适航证明分别覆盖设计、制造一致性与单机状态。三类证书对应不同审查对象。理解各自的证明范围，才能判断供应商提供的文件是否回答了实际安全问题。教材第042、046—047页2.2.1.3、2.2.4.224型号合格审定：设计的符合性证据型号合格审定通过系统审查，判断型号设计是否满足适用的审定基础。符合性是指设计或产品满足相应要求，并有可核验的证据支持。先明确要求确定适用条款、专用条件及符合性方法，形成清楚的审定计划。再形成证据计算分析、材料与部件试验、系统测试、地面试验和飞行试验相互支撑。符合性证明通过规定的分析、试验和检查，逐项支持适用要求的满足。机臂结构强度试验（亿航）教材第042—043页2.2.1.325生产许可：把合格设计稳定地制造出来生产许可关注制造方能否持续、稳定地生产符合批准设计的产品。质量体系需要控制供应商、制造过程、检验试验、不合格品和记录追溯。一致性同一型号的每件产品，都应满足批准的材料、构型和制造要求。可追溯性能够查明关键零部件的来源、批次、检验状态及更改历史。设计获得批准后，材料替换与工艺变动仍需要受控管理。生产许可证颁证现场（亿航，2024）教材第042—043页2.2.1.2—2.2.1.326单机适航与持续适航单机适航检查针对具有唯一标识的航空器；持续适航则通过使用期内的检查、维修、故障处理和指令执行，维持符合设计与安全运行状态。交付与使用前核对构型、功能、性能和文件资料，确认该架航空器满足适用要求。使用寿命内按批准资料实施维护，执行适用的适航指令，管理老化、疲劳和维修记录。持续适航通过检查、维护和缺陷处理，使航空器持续符合适用安全要求。机体部件作业场景（峰飞航空）教材第037、042—043页2.1.1.1、2.2.127适航许可的适用范围与设计更改我国《条例》第8条对不同类别无人驾驶航空器的适航许可作了区分。教学中需要把产品适航要求、操控员要求和运行许可分开判断。中型与大型从事相关设计、生产、进口、飞行和维修活动，应依法取得适航许可。微型、轻型与小型无需取得适航许可，但产品应符合有关产品质量规定及强制性国家标准。更改与改装已取证系统的重大设计更改拟用于飞行，应重新申请适航许可；微型、轻型、小型系统改装须符合强制性国家标准。微型、轻型、小型按条例无需适航许可，仍应满足适用的产品与运行安全要求。教材第043—044页2.2.228指令性要求与基于风险、性能的要求思路主要关注应用时应明确指令性要求规定具体技术要求或实现约束适用的设计特点和条款范围基于性能的要求规定应达到的安全或功能结果可接受的符合性方法与验证标准基于风险的要求使保证力度与运行风险相匹配运行场景、风险评估及缓解措施风险、性能和规定性方法可结合使用，共同支持适用安全要求的落实。教材第043—044页2.2.2.229特定运行风险评估SORASORA是JARUS开发的特定运行风险评估方法，用于结合具体运行概念，分析地面和空中风险，确定所需安全目标及相应保证程度。运行概念与风险描述在哪里、用什么航空器、怎样飞，再评估地面第三方风险与空中相撞风险。缓解与剩余风险结合运行限制、技术措施和程序保障，评估措施之后仍然存在的风险。SAIL与安全目标由评估得到特定保证性和完整性等级，并据此提出相应的运行安全目标和证据要求。SORA用于论证具体运行的风险与缓解措施，为相应运行批准提供依据。教材第044页2.2.2.230等效安全水平ELOSEquivalentLevelofSafety当某项设计不能直接满足适用条款的具体规定时，申请人通过补偿因素、替代设计或限制措施，证明仍能达到等效的安全水平，并由主管当局作出结论。需要证明什么对应原条款的安全意图，说明替代方案如何控制同类风险。证据与限制等效安全结论以补偿措施和符合性证据为依据，并由主管当局认可。提交计算、试验和安全评估，必要时纳入使用限制或其他补偿措施。与专用条件区分专用条件补充新颖设计所缺少的适当要求；ELOS处理具体不符合项的等效性。教材第044页2.2.3.131冗余设计：同构与异构同构冗余为同一功能设置多套相同或相近的设备，例如多套同型IMU。便于比较与表决，但相同设计缺陷、环境影响或软件错误可能同时影响多套设备。异构冗余冗余的价值取决于独立性、故障覆盖能力和失效后的可用性能。采用不同原理或实现方式支持同一功能，例如GNSS与视觉惯性导航。有助于降低部分共因失效风险，但需要解决误差特征、接口、同步与切换问题。教材第044、049页2.2.3.1、2.3.2.132共因失效与单点失效共因失效指同一原因导致多个部件或通道在相关时间内失效。单点失效指某一部件或连接失效即可导致所关注功能丧失。共享资源多套飞控若共用一条供电总线，供电故障仍可能使全部通道同时停止工作。共同环境或缺陷雷击、电磁干扰、进水或相同的软件缺陷，可能突破表面上的设备冗余。设计与验证分析物理隔离、电源独立、软件与传感器差异，并验证故障检测及切换能力。冗余分析应识别共因失效和单点失效，验证备份通道的独立性。教材第044—045页2.2.3.2—2.2.3.333失效安全与失效运行失效安全Fail-Safe在规定的故障条件下，通过设计与处置避免不可接受后果，并转入适当的安全状态。例如失链后执行经验证的备降程序。安全状态应结合当前环境和系统能力确定。失效运行Fail-Operational失效安全与失效运行设计均需明确故障范围、剩余能力和安全目标。在规定故障发生后，系统仍保持所要求的功能，并在规定的时间和性能范围内继续运行。例如隔离故障后，剩余飞控通道维持受控飞行，并按安全目标完成后续飞行或着陆。教材第045页2.2.3.434故障检测、隔离与重构FDIR故障容错是系统在部分故障存在时仍保持所需功能的能力。FDIR是实现容错的重要机制，三项功能需协同完成并得到验证。检测Detection通过监测、比较和自检发现异常；同时控制漏检、误报与检测延迟。隔离Isolation定位故障来源并限制其影响，例如排除异常传感器或断开故障支路。重构Reconfiguration重新分配健康资源、切换工作模式或调整控制律，维持所需功能。FDIR通过检测、隔离和重构保持系统可控，各环节均须及时且有效。教材第045—046页2.2.4.135超视距BVLOS运行的安全论证BVLOS是航空器超出操控员可直接目视保持所需飞行观察的运行方式。安全论证须结合航线、空域、地面暴露、通信与异常处置条件展开。通信与交通风险证明C2链路满足运行需求，并用适当技术和运行措施控制空中相撞风险。边界与应急明确航线、天气及性能限制，验证失链、导航异常、动力故障时的处置。链路与避让能力应依据任务风险、适用要求和系统验证结果配置。航线规划界面示例（DJI）教材第046—047页2.2.4.236载人eVTOL适航审定的关键证据电池与电推进验证热失控防护、能量与功率能力、故障隔离，以及失效后的剩余性能。飞控与软件根据系统失效后果分配保证等级，验证正常、转换和故障状态下的控制能力。结构与乘员保护验证静强度、疲劳及损伤容限，评估座舱、座椅、约束和碰撞吸能。应急安全装置如配置整机降落伞，须验证其高度、速度、姿态适用范围及可靠性。整机降落伞在规定工作包线内缓解坠地后果，并与主动安全措施配合。教材第042—047页2.2课堂练习37审查一份“安全卖点”说明供应商说明：“已获得型号合格证；飞控有两套相同传感器；失链会返航；因此可以直接执行城区配送。”请逐项评价这段论证。证书范围TC能够证明什么？还需核对哪些单机、生产或运行方面的信息？冗余有效性两套数据不一致时如何判断？是否存在共同电源或共同环境影响？应急可行性返航是否仍有可靠定位、足够能量与安全路径？需要怎样的验证？架构评审通过检查功能依赖与验证资料，确定证据缺口和改进要求。教材第047—053页2.3382.3关键机载系统技术与安全当传感器、动力或导航出现异常，系统还能做什么？机载系统布置（DJI官方示意）机头设备布置（亿航官方图）教材第047—049页2.3.139电推进系统的能量与控制链电推进系统把电池储存的能量转化为机械功，再由螺旋桨产生推力。BMS管理电池状态，ESC根据飞控指令驱动电机，多个环节共同决定可用动力。能量与功率能量影响可持续运行时间；功率影响某一时刻能否提供所需输出，两者不能混同。状态与环境载荷、温度、老化与大功率需求都会改变实际可用能力，需在任务规划中留出裕度。能量决定可持续供能总量，功率决定某一时刻可提供的动力水平。电机与螺旋桨布置（亿航官方图）教材第047—048页2.3.1.140荷电状态SOC与健康状态SOHSOC：当前充了多少荷电状态表示当前剩余电量相对于所采用容量基准的比例，用于描述当前充电状态。估算受电流测量、温度、模型和容量基准影响。剩余航程和可用功率需另结合运行条件评估。SOH：电池老化到什么程度课堂假设：参考容量10Ah，当前满充容量8Ah（SOH80%）。若SOC按当前容量计为80%，剩余电量约6.4Ah。健康状态表示相对于新电池或规定参考状态的性能保持程度，常用容量衰减等指标表征。容量型SOH可写为当前满充容量／参考容量；工程上还可能结合内阻及功率能力评价。教材第048页2.3.1.141电池管理系统BMS的核心功能功能监测或控制对象安全目的状态估算SOC、SOH及可用能力支持任务规划与应急决策异常保护电芯电压、电流与温度发现过充、过放、过流和过温分级响应告警、限制功率、必要隔离兼顾电池保护与飞行所需动力热管理协同冷却、预热及热状态在规定温度范围内保持性能BMS保护策略应与飞行状态和动力需求协调，并验证异常后的安全响应。教材第046、048页2.2.4.2、2.3.1.142热失控及其传播防护热失控是电池内部放热反应加速，产热超过散热能力，引起温度快速上升的失控过程，可能伴随可燃气体释放、起火及相邻电芯传播。预防与早期识别控制充放电、温度与机械损伤，监测异常状态并及时采取分级措施。限制传播与后果通过隔热、冷却、合理布置和安全排气等设计，控制热量及气体对周围系统的影响。防护是否有效，需要通过适用的部件试验与系统级验证确认。电池包实物示例（DJI）教材第048—049页2.3.1.243电机与电子调速器ESC电机将电能转化为旋转机械能；ESC调节电机驱动，使转速或转矩响应飞控指令。二者的散热、故障保护和状态反馈会影响推进系统安全。电机关注轴承、绕组、转子与位置检测，识别过热、振动及机械卡滞等异常。电子调速器关注功率器件、散热、过流和堵转保护，以及与电机和飞控的接口。验证与反馈通过持续工作、过载和故障试验检查能力，将转速、电流、温度反馈给系统。电机、电调保护与飞控重构应协调动作，维持故障后的可控状态。教材第038、049页2.1.1.2、2.3.244飞行控制系统的闭环原理飞行控制系统把期望状态与测得或估计的实际状态进行比较，通过控制算法计算指令，驱动电机或舵机，并持续利用反馈修正偏差。测量与估计传感器提供比力、角速度、压力和定位信息，状态估计模块据此估计姿态、位置及速度。计算与执行控制律根据偏差和飞行状态生成指令，执行机构改变推力或气动力。监视与故障处理检测数据与响应是否一致，必要时隔离异常部件并调整控制分配或工作模式。闭环有效依赖正确的状态信息、及时的计算和足够的执行能力。教材第049页2.3.2.145关键传感器与飞控硬件冗余对象提供的主要信息或功能主要安全关注IMU比力与角速度测量偏置漂移、振动、故障检测GNSS接收机绝对位置、速度及时间遮挡、干扰、欺骗与共同依赖大气与航向传感器压力高度、空速或磁航向堵塞、气象变化、磁干扰计算与供电通道运行控制算法、提供电能通道独立性、切换及备份续时比力是单位质量所受的非引力合力，IMU结合比力与角速度测量支持导航解算。教材第046—047、049—050页2.2.4.2、2.3.2.246软件保证等级与失效后果软件等级依据系统安全评估中失效后果的严重程度分配。软件等级对应失效后果类别DO-178C保证目标A灾难性Catastrophic最严格的开发验证目标B危险／严重重大Hazardous与严重后果相称的保证C重大Major按C级目标实施保证D轻微Minor按D级目标实施保证E无安全影响NoSafetyEffect无规定的软件保证目标教材第050页2.3.2.347推进单元失效后的容错控制当一个推进单元失效，飞控需要识别失效、隔离其影响，并重新分配健康单元的推力与力矩。是否能够继续受控飞行，取决于剩余控制能力。重构约束健康单元受最大推力、温度和电流限制，不能无限增加输出补偿。必要的降级系统可能需要改变速度、高度或任务目标，并在经验证的范围内安全着陆。容错验证必须覆盖不同飞行阶段、重量重心和失效组合。多推进单元布置（DJI官方图）教材第050—051页2.3.3.148导航精度与完好性Accuracy与Integrity精度描述导航解算值与真实值的接近程度；完好性反映对导航信息正确性的可信程度，并包括在信息不宜继续使用时及时发出告警的能力。精度回答“平时误差有多大？”应说明误差统计口径与适用条件。完好性回答导航精度描述定位接近真值的程度，完好性保障可信使用与及时告警。“信息可能不可信时，系统能否及时告诉我？”安全意义既要满足所需精度，也要控制未及时告警的危险误导信息风险。教材第050—051页2.3.3.149告警限值、告警时间与处置告警限值是误差超过即应发出告警的容限；允许告警时间（TTA）是从系统超出规定容限到设备发出告警所允许的最长时间。城市峡谷情境建筑遮挡与反射可能降低导航可靠性，位置可信度应结合独立观测与质量监测核查。告警后的响应根据程序切换经验证的备份信息源、限制运行或实施应急处置，并持续检查状态。告警限值和允许告警时间由具体运行需求确定，并纳入完好性验证。城市环境参考（亿航官方示意）教材第051页2.3.3.250多源导航信息的优势与局限传感器融合需要互补，也需要时间同步、标定和坐标一致。信息源主要作用需要控制的局限GNSS提供位置、速度与时间信息遮挡、干扰、欺骗IMU／惯性推算高频自主测量与短时连续性积分误差随时间累积视觉／激光雷达利用环境特征估计相对运动特征不足、天气与计算负担气压高度计根据气压估算高度气象变化与参考基准磁罗盘提供地磁方向信息磁场畸变与电磁干扰教材第051页2.3.3.251融合导航与异常信息剔除多传感器融合依据测量模型、噪声特性与一致性信息，综合估计航空器状态。融合算法不会自动使全部输入变得正确，仍需监视其假设是否成立。建立统一基准完成传感器标定、时间同步和坐标转换，避免“不同时间、不同坐标”的错误比较。交叉检查比较各信息源的残差与一致性，识别偏差、突变或不可信输入。调整与告警降低异常信息权重或剔除，评估剩余能力，并在不满足要求时告警或降级。多源导航应识别共享电源、处理器和环境影响，评估信息源的独立性与共因风险。教材第051—053页2.3.452探测与避让DAADetectandAvoidDAA是发现相关交通或障碍目标、评估冲突，并通过适当决策与执行避免危险接近或碰撞的能力。教材按感知、决策和执行三个环节组织分析。感知探测与跟踪目标，估计其位置、速度及相关不确定性。决策DAA通过持续探测、冲突判断、规避决策和闭环执行控制碰撞风险。预测冲突并规划符合规则、机动能力和环境约束的规避动作。执行与验证由飞控实施动作，持续监测目标和本机，确认冲突得到有效缓解。教材第051—052页2.3.4.153合作式目标、非合作式目标与识别类别或技术信息来源能力边界合作式目标主动发送位置、状态等信息依赖目标装备、广播与数据可信度非合作式目标雷达、光电等感知回波或图像需实际探测，受距离和环境限制ADS-B接收接收配备相应设备航空器的广播不能覆盖所有目标RemoteID无人机身份与位置等识别信息提供运行识别信息，防撞还需探测、决策与执行。合作式信息与非合作式感知相互补充，共同支持交通与障碍物探测。教材第052页2.3.4.154非合作式感知传感器的互补传感器常见优势主要局限雷达（如毫米波）可测距离与径向速度，不依赖可见光工作频段、分辨率、目标特性与天气均影响探测效果激光雷达较精细的距离与三维结构信息雨雾、粉尘及反射特性影响回波可见光相机纹理丰富，支持目标识别光照、眩光、遮挡与低能见度热红外相机利用热辐射，具备夜间感知能力热对比、天气和分辨率限制多模态感知的可靠性取决于传感器互补、环境适应性和系统验证。教材第052—053页2.3.4.255冲突预测与最近接近点CPACPA是按所用运动模型预测，本机与目标距离最小时的相对状态。最近距离与到达该状态的时间可用于辅助判断冲突，但预测依赖模型与输入质量。需要输入本机与目标的位置、速度、航向，及各自的测量误差与运动不确定性。需要持续更新目标可能机动，预测时间越长通常不确定性越大，须及时重估冲突。冲突预测结合相对运动估计，规避方案须满足规则与机动能力约束。航迹监视界面示例（DJI）教材第052—053页2.3.4.2—2.3.4.356规避规划与闭环执行形成候选动作根据适用避让规则、航空器机动能力、其他交通和地形约束提出方案。检查动作可行性确认执行机构、剩余能量和航迹空间允许，避免规避一个目标却引入新冲突。执行并持续监视将规避指令传给飞控，监测实际轨迹及目标变化，必要时重新规划。恢复或转入备选确认冲突缓解后恢复运行；能力不足时按程序告警、人工介入或应急处置。避让闭环持续比较计划与实际轨迹，依据冲突变化调整规避动作。教材第047—053页2.3综合情境57组合异常：定位退化且动力受限课堂情境：无人机进入建筑密集区后发出导航告警，同时一组电池温度上升，BMS已限制输出功率。系统显示“自动返航可用”。识别共同影响导航退化影响位置判断，功率限制影响爬升与机动能力，返航条件可能同时改变。分析处置条件核对备份导航、可达区域、剩余能量与地面暴露，依据程序选择受控处置方案。组合异常验证应覆盖导航、动力与控制功能之间的相互影响。起降场景参考照片（DJI）教材第036—053页综合运用58综合任务：城市配送系统安全评审为开篇配送任务提交一页评审意见。已知方案采用多旋翼，双IMU、双GNSS、单主电池，具备自动返航和视觉避障。其他资料尚未提供。分类与适航列出仍需核实的分类指标、适用许可、证书与运行条件。架构与失效找出关键功能、共同依赖和可能的单点失效，评价备份与容错是否充分。证据与决策提出至少四类验证资料，并说明何种缺失信息会阻止作出安全结论。提交“判断—依据—限制—待验证事项”，结论必须与证据相匹配。教材第053—054页本章小结59本章概念关系与复习重点分类与技术特征按系统边界和气动布局理解功能；质量、性能与任务共同影响运行风险。适航与安全设计三证分别证明设计、生产和单机状态；冗余、容错与失效响应需要证据。动力与飞控区分能量、功率、SOC和SOH；理解传感、计算、执行与反馈的闭环关系。导航与探测避让精度与完好性共同支持可信导航；DAA通过感知、决策和执行持续控制冲突。安全运行建立在适航状态、系统能力与具体运行条件共同满足的基础上。教材第054页思考与练习60课后练习与教材对应练习1飞行剖面与审定（教材第1、2题）分析倾转eVTOL在起飞、过渡、巡航和降落阶段的风险，说明基于风险的方法如何兼顾创新与安全。练习2冗余与导航（教材第3、4题）评价双IMU架构的充分性，提出改进；用一个例子区分导航精度与完好性。练习3DAA方案（教材第5题）为城市BVLOS任务选择感知方案，说明传感器互补、能力边界及闭环验证要求。作业须写明定义、任务假设、适用条件和证据。教材第055—075页第三章01低空经济安全管理第3章低空运行环境与安全一条航线的安全，取决于哪些环境条件？城市起降