机载软件适航标准教程

【再版前言】

《机载软件适航标准DO-178B/C研究》一书出版至今已近十年。作为一本面向细分领域的专业图书，能得到广大读者的厚爱让我们始料未及。过去十年是我国民用飞机（简称“民机”）产业历史上值得记忆的机遇期。在此期间国内民机产业蓬勃发展，多个型号纷纷走下生产线甚至已经投入航线运行。在这些型号的合格审定中，不少国产高安全级别复杂系统按照民机标准也取得了批准。可以说国产民机机载软件的研制规模和能力均取得了跨越式发展，这其中与正确认识和解读适航关键工业标准，建立满足适航要求的研制过程，并终克服“适航门槛”是分不开的。

与此同时，适航审查能力和实践水平也得到了极大提升。我国适航审查人员在对美国和欧洲的适航双边拓展、进口航空器适航审查等场合下地出色表现，特别是对国外项目审查中发现和纠正的软件缺陷和错误，再次印证了当前我们对DO-178系列标准理解是正确的，所采用的审查方法是有效的。

然而，软件是现代民机产业的关键基础，软件工程师团队一直是民机研发产业链中规模较大的技术团队。正因如此，软件标准和过程要求的任何变化将对产业界产生非常重要的影响。国外自21世纪之初启动DO-178C标准编制，到2011年标准颁布，再到2017年美国和欧洲的相关指导DO-178C标准使用的软件适航咨询通告的正式发布，经历了近20余年。我国很多研制单位也对DO-178B标准到DO-178C标准的转换表示了关注，特别是担心旧的标准尚未吃透而新的标准接踵而来，从而使当前机载项目的进度和成本变得不可控。为此本书继续沿用上一版针对B和C两个版本标准进行差异对比的基本框架，对DO-178C标准中不同于旧版本的要求进行重点描述，方便读者快速建立起对新旧版本的理解。

本书结合作者在国内外民机项目中的研究、研制、适航审定以及参加DO-178C系列标准编制的经验，向读者解读了DO-178C标准的由来、软件研制过程要求、标准的运用等重点问题。希望能够通过这些描述向读者揭示出DO-178C标准隐藏在其字面下的实际要求，帮助工业部门理解DO-178C标准对软件生命周期过程各项目标、活动和数据要求的真正含义，终研发出符合国内外适航要求的机载软件产品。本书相比上一版主要对以下部分进行了更新：

（1）全文以DO-178C标准为基准，并充分兼顾DO-178B标准，标识出了明显存在差异的目标或要求。

（2）第1?2?3章对版的内容进行了小规模完善，例如增加了过程保证与层次化方法的论述、补充了DO-178C标准新变化等章节的内容。

（3）第5章对DO-178C标准的目标解析进行了解读上的更新。

（4）第6章对内容进行了统筹考虑，调整了原先第7章中应属于附加考虑的章节和内容。

（5）第7章增加了对软件研制单位在应用DO-178B/C标准过程中的常见问题的说明。

后，根据我国开展适航审定30余年来的经验看出，适航不仅仅是一个保证公众安全的市场准入机制，相关标准也不仅仅是给研制单位提出的一场过关考试，适航经验和标准实际上是国外先进民机研制单位数十年研发和管理经验的总结。深入理解和掌握适航相关标准对国内研制单位构建和建立自己的成熟体系，减少弯路同样具有非常重要的作用。

本书立足于对标准的解读和解析，定位于机载软件适航领域的入门教材，很多在软件研制和表明适航符合性过程中较为深入的难点问题将在后续时间与读者见面探讨。同时，由于作者时间仓促、水平有限，书中难免存在疏漏和错误，欢迎大家提出宝贵意见。

【前言】

随着现代电子计算机技术在民用飞机（简称“民机”）中的大规模使用，机载软件在民机中承担着日益重要的角色。当今的民机机载软件广泛分布在飞控、液压能源、环控、舱门和起落架、动力装置、防火、电源、照明系统以及几乎全部的航空电子系统中。机载软件不仅存储和处理大量对安全飞行至关重要的数据，还能辅助飞行人员进行逻辑判断、引导飞机进入正确的航线乃至直接控制飞机的飞行。正如许多其他工业领域内使用的软件一样，合格的计算机软件能够满足设计要求并且能在几乎无须维护的情况下长时间无故障运行；存在缺陷的软件则可能直接影响飞机和乘客的安全，并且通常很难发现、定位和修改。

长期以来，人们在研制民机和机载系统的过程中总结出了一套确保民机安全性的民机适航法规、规章和标准。这些适航法规、规章和标准的引入，使得发达国家民机及其机载系统的安全性水平稳步提高。其中，美国航空无线电委员会（RTCA）于2011年出版的DO-178C文件便是使用为广泛的民机机载软件适航标准。考虑到机载软件已经渗透到飞机中几乎全部的系统中，可以毫不夸张地认为，DO-178C标准是当今民机研制过程中为重要的基础符合性方法之一。

然而，由于DO-178C标准主要基于欧美等发达国家的机载软件研制实践经验编写，因此与我国航空工业的实际情况存在较大差异，并且标准本身为能适用于不同研制环境下的机载软件开发项目，有些要求看上去似乎太过笼统或者距离实际运用要求相去甚远。这些问题长期困扰着我国航空工业和适航管理部门。

本书结合作者在国内外民机项目中的研制、适航审定以及参加DO-178C系列标准编制的经验，向读者解读了DO-178C标准的由来、软件研制过程要求、标准的运用等重点问题。希望能够通过这些描述向读者揭示出DO-178C标准隐藏在其字面下的实际要求，帮助工业部门理解DO-178C标准对软件生命周期过程各项目标、活动和数据要求的真正含义，终生产出符合国内外适航要求的机载软件产品。

本书共计10章，其中：

第1—3章，主要介绍DO-178C的背景和基础。

第4—5章，重点讲解DO-178C所要求的软件生命周期过程。通过逐条对这些过程的目标进行分析，解释了它们与过程的另外两个基本要素（即“活动”和“数据”）之间的关系。

第6—7章，结合作者的心得体会，对标准使用过程中可能遇到的典型问题进行了讨论。

第8—9章，考虑到我国工业部门许多院所在军用飞机、交通运输等领域有着丰富的软件研发经验，熟悉相关领域的标准。为更快的让读者掌握DO-178C标准，我们对DO-178C的关联标准和相似标准进行了对比分析。

第10章，为全书的总结。

在本书的附录部分分别提供了常用机载软件术语中英文对照、软件生命周期目标矩阵表等，并结合案例介绍了软件审定计划的编写方法，以方便读者在实际工作中参考。

本书是适航审定工作和学术研究工作相结合的产物，编写工作得到了中国民用航空上海航空器适航审定中心及北京航空航天大学等单位的大力支持。民航上海航空器适航审定中心的欧阳旭坡副主任和王泽新主任共同编写了本书第2章的大部分内容，从全机级和系统级的高度阐述了航空器机载系统适航管理的原理和现状。此外，由中国商用飞机有限责任公司的孙景华女士完成的“中英文术语对照表”（详见本书附录B）为在民机机载软件领域使用统一的术语进行交流提供了可能。同时，特别感谢北京航空航天大学的郝鹏同学和朱悦妮同学，他们在繁忙的学习和研究工作之余，帮助进行了大量的文字整理、图表绘制、校对和编排工作并提出了大量宝贵的建议。

由于作者时间仓促、水平有限，因此书中难免存在疏漏和错误，欢迎大家提出宝贵意见。

本书从理论和实践两个维度深入解读了民用飞机机载软件具代表性的符合性方法RTCA DO-178C标准。作为机载软件的适航符合性方法，DO-178C标准在国内的应用方兴未艾。作者就该标准的相关内容和知识，结合目标、过程和数据，对DO-178C标准进行了系统性的解读。同时根据机载软件项目经验，对DO-178C标准在机载项目实施过程中出现的典型情况进行分析和总结。后，通过与其他行业安全相关软件常用研制标准的对比,为研制单位在现有基础上快速建立满足DO-178C要求的软件研制体系提供参考。考虑到DO-178B与DO-178C标准将长期共存，除非强DO-178B标准的典型差异，本书的内容也适用于DO-178B标准。

郑征，男，北京航空航天大学自动化科学与电气工程学院副院长，教授, 博士生导师。研究方向主要围绕机载软件、机器学习软件及航空航天智能系统的可信性问题，包括可信智能软件、可靠机载软件、智能任务规划等。

绪论 1

1.1 机载软件 2

1.1.1 机载计算机 2

1.1.2 机载软件的重要性 2

1.1.3 机载软件体系结构 3

1.2 RTCA DO-178C发展概述 5

1.3 本章小结 8

2 相关知识概述 9

2.1 适航及民用航空器安全性 9

2.1.1 适航标准 9

2.1.2 适航管理 10

2.1.3 适航技术和符合性方法 11

2.2 机载设备的技术标准 14

2.3 机载设备的适航管理 16

2.4 相关技术发展趋势 19

2.4.1 软件安全性 19

2.4.2 软件可靠性 21

2.5 本章小结 23

3 基本内容 24

3.1 适航条款与DO-178C 24

3.2 过程保证与层次化方法 27

3.3 过程保证与软件研制 29

3.4 失效条件和软件等级 31

3.5 目标分布统计 33

3.6 DO-178C主要内容 36

3.7 DO -178C的新变化 44

3.8 本章小结 50

4 过程分析 51

4.1 过程的含义 51

4.1.1 软件计划过程 51

4.1.2 软件开发过程 53

4.1.3 软件综合过程 54

4.2 过程的结构 56

4.3 过程间的交互 62

4.4 本章小结 77

5 目标分析 78

5.1 目标的含义 78

5.1.1 目标的详细描述 78

5.1.2 DO-178C新增目标描述 101

5.1.3 目标间的关系 103

5.2 目标的分布与差异 106

5.3 目标和过程之间的关系 115

5.4 DO-178C目标分布的因素推测 120

5.5 本章小结 122

6 附加考虑 123

6.1 先前开发的软件 123

6.1.1 相关考虑 124

6.1.2 适航影响 126

6.2 工具鉴定 130

6.2.1 DO-178B工具鉴定 131

6.2.2 DO-78B工具鉴定要求 133

6.2.3 工具操作需求 135

6.2.4 DO-178C中的工具鉴定 135

6.3 非激活代码?死代码及无关代码 144

6.4 外场可加载软件 146

6.5 用户可修改软件 147

6.6 商用货架成品软件 148

6.7 参数化数据项 149

6.8 替代方法 151

6.8.1 穷举测试 151

6.8.2 多版本非相似软件 153

6.8.3 服务历史记录 155

6.9 新技术与新方法的使用 155

6.9.1 基于模型的开发和验证 155

6.9.2 面向对象技术 157

6.9.3 形式化方法 159

6.9.4 单一需求等级 164

6.10 本章小结 166

7 DO-178C的应用 167

7.1 软件适航规划要结合软件项目实际 168

7.2 注重整机?系统和软件项目间的衔接 170

7.3 软件等级的确定不能想当然 171

7.4 软件研制体系 172

7.5 软件研制活动与表明符合性的协同 173

7.6 系统符合性试验前需要对软件进行成熟度评估 178

7.7 供应商管理是符合性表明工作中的重要部分 181

7.8 软件审定及其关注要点 182

7.8.1 审查介入阶段 182

7.8.2 介入程度 186

7.9 变更影响分析及证后更改 187

7.10 先前开发软件与先前鉴定工具 188

7.11 重视软件构型管理工作 189

7.12 重视软件质量保证工作 190

7.13 工具不是的解药 190

7.14 本章小结 191

8 DO-178C与相关工业标准关系分析 192

8.1 ARP 4754A(民用飞机和系统开发指南) 193

8.1.1 标准简介 193

8.1.2 与DO-178C的关系 196

8.2 ARP 4761(民用机载系统和设备安全性评估过程的指南和方法) 198

8.2.1 标准简介 198

8.2.2 与DO-178C的关系 200

8.3 DO-254(机载电子硬件的设计保证指南) 201

8.3.1 标准简介 201

8.3.2 与DO-78C的关系 203

8.4 DO-248C(DO-178C的常见问题解答) 206

8.4.1 标准简介 206

8.4.2 与DO -178C的关系 208

8.5 DO-278A(地面和空中交通管制软件标准) 213

8.5.1 标准简介 213

8.5.2 与DO -178C的关系 216

8.6 DO-330(工具鉴定) 217

8.6.1 标准简介 217

8.6.2 与DO-178C的关系 220

8.7 本章小结 222

9 DO-178C与相关软件标准比较分析 224

9.1 与GJB5000A 2008对比分析 224

9.1.1 标准简介 224

9.1.2 与DO- 178C的比较 227

9.2 与IEC 61508-3对比分析 229

9.2.1 标准简介 229

9.2.2 与DO -178C的比较 232

9.3 与EN 50128对比分析 234

9.3.1 标准简介 234

9.3.2 与DO-178C的比较 236

9.4 与IEEE-EIA 12207.0对比分析 239

9.4.1 标准简介 239

9.4.2 与DO -178C的比较 242

9.5 与ESA PSS- 05- 0对比分析 243

9.5.1 标准简介 243

9.5.2 与DO-178C的比较 247

9.6 与FDA指南对比分析 250

9.6.1 标准简介 250

9.6.2 与DO-178C的比较 253

9.7 本章小结 254

10 总结和展望 256

附录A DO-178C及其补充文件的目标矩阵表 260

附录B 软件合格审定计划案例 276

参考文献 281

缩略语 284

索引 289

本书从理论和实践两个维度深入解读了民用飞机机载软件具代表性的符合性方法RTCA DO-178C标准。作为机载软件的适航符合性方法，DO-178C标准在国内的应用方兴未艾。作者就该标准的相关内容和知识，结合目标、过程和数据，对DO-178C标准进行了系统性的解读。同时根据机载软件项目经验，对DO-178C标准在机载项目实施过程中出现的典型情况进行分析和总结。后，通过与其他行业安全相关软件常用研制标准的对比,为研制单位在现有基础上快速建立满足DO-178C要求的软件研制体系提供参考。考虑到DO-178B与DO-178C标准将长期共存，除非强DO-178B标准的典型差异，本书的内容也适用于DO-178B标准。

郑征，男，北京航空航天大学自动化科学与电气工程学院副院长，教授, 博士生导师。研究方向主要围绕机载软件、机器学习软件及航空航天智能系统的可信性问题，包括可信智能软件、可靠机载软件、智能任务规划等。