机载软件分类和维修工程管理研究.pdf

2023 年第 3 期总第 150 期 民用飞机设计与研究Civil Aircraft Design&Research 2023 No.3Sum No.150http:/ myfj_(021)20866796DOI:10.19416/ki.1674-9804.2023.03.018机载软件分类和维修工程管理研究柳 哲(北京首都航空有限公司,北京 100621)摘 要:机载软件是飞机上关键的系统部件,按照其控制方法,批准方式和功能被分为不同的种类。其中客户化软件是航空公司可以根据自身的运行需求自行修改数据的机载软件。针对某航空公司编制和安装卫星通讯电话本后出现相关“号码丢失”和“系统不可用”的问题进行分析研究。以此作为案例对调查的过程和情况进行阐述、对问题进行层层剖析;结合对航空公司客户化机载软件的管控实践经验,针对维修运行过程中潜在风险点进行分析和研究,为航空公司客户化软件的变更管理、质量保证管理提供了思路和建议。关键词:飞机机载软件;客户化机载软件;软件构型管理中图分类号:F426.5 文献标识码:AOSID:0 引言随着大型运输类飞机的电子化程度越来越高,飞机机载软件越来越多的安装和应用在飞机各系统涉及的功能部件中。ARINC 667-3 作为机载软件使用管理的指导标准,规定了机载软件的分类以及各项使用要求。客户化软件是航空公司可以直接修改的机载软件,这类软件虽然不会直接影响飞机的适航性和安全,但对航空公司的运行却起着关键的作用。本文结合某航空公司编制和安装客户化软件的实际案例,对航空公司客户化软件的工程管理问题进行了研究和分析,并给出了航空公司对于客户化软件的管控思路和建议。1 机载软件定义和分类1.1 机载软件的定义机载软件(飞机可装载软件)是指所有在飞机上或修理车间无需拆除目标硬件就可被装载的软件。这类软件都有自己的部件号或版本号,并且软件的构型管理是基于飞机整体而独立于其目标硬件的。机载软件的其他主要特性包括:1)与硬件部件不同,机载软件不通过序列号控制。2)机载软件的装载不影响目标硬件的部件号。3)飞机上可识别和验证机载软件的部件号或版本号。4)取决于机载软件的目标硬件及其功能,其可能需要适航或运行的批准。值得注意的是,随着行业的发展,描述机载软件的术语也在发生改变。这些术语都可用于描述机载软件,但其侧重点各有不同,以下是机载软件术语的演变过程:1)现场可装载软件(field loadable software,简称 FLS),其关注的是机载软件的可加载属性。2)可装载软件部件(loadable software part,简称 LSP),其关注的是机载软件是飞机部件的一种以及其可装载的属性。3)飞机控制可装载软件部件(aircraft con-trolled loadable software part,简称 ACLSP),其更关注的是机载软件是如何控制的,而非是如何装载711 通信作者.E-mail:zhe-liu3 引用格式:柳哲.机载软件分类和维修工程管理研究J.民用飞机设计与研究,2023(3):117-122.LIU Z.Study on aircraft loadable software classification and maintenance engineering managementJ.Civil Aircraft Design and Research,2023(3):117-122(in Chinese).应用与实践总第 150 期的。ACLSP 是目前行业内对机载软件最准确的描述术语。1.2 机载软件的分类1.2.1 适航批准类机载软件(loadable software ap-proved part,简称 LSAP)LSAP 是须经各国局方(CAAC、FAA、EASA)所发布的适航规章批准生产或更改的 ACLSP,在中国相关适航管理的具体要求体现在 CCAR 21 部和CCAR 25 部规章中,且包括以下两类:1)供应商控制机载软件(supplier controlled software,简称 SCS):由型号合格证/补充型号合格证(简称 TC/STC)持证人或软件开发者提供的LSAP,多为飞机关键系统软件,例如:运行程序软件(OPS)、选项选择软件(OSS)和航空公司运行控制软件(AOC)等。2)用户控制机载软件(user controlled software,简称 UCS):由运营人制作或修改且需要局方批准的 LSAP,例如客舱灯光控制软件,烟雾/客舱座椅安全带警告软件等。1.2.2 运行批准类机载软件运行批准类机载软件是指无须 CCAR 25 部适航规章批准、由运营人批准的 ACLSP 软件,运营人应向局方确认运行批准类机载软件的适用范围。若局方法规无相关要求,运营人可自行定义此类软件的种类,包括以下四类:1)用户可更改机载软件(user modifiable soft-ware,简称 UMS)UMS 包含预先批准和验证的功能,运营人对这类软件在预先认证修改范围内进行的修改无需经过局方、型号合格证持有人或部件制造商的审核。此类软件不影响飞机的适航和安全,修改范围包括数据及运行代码。TC/STC 持证人有责任告知运营人 UMS 的适用范围并提供相应的技术支持资料,运营人有权咨询制造商其提供的软件是否是 UMS。2)飞行运行机载软件(flight operations soft-ware,简称 FOS)FOS 是经运营人批准的支持飞机飞行运行的相关机载软件,如大部分电子飞行包软件和数据库,包括飞行操作电子手册、导航图、机场地图数据库等。FOS 应遵照 EASA AIE-OPS、FAA AC 120-76A、14 CFR 121 等法律规章要求进行管理。FOS 是UMS 的一种。3)维护操作机载软件(maintenance operations software,简称 MOS)MOS 是经运营人批准的飞机维护类机载软件,包括技术出版物应用及其相关电子文档,MOS 应遵照 EASA Part M、14 CFR Part 121 等法律规章要求管理。MOS 是 UMS 的一种。4)飞机数据库机载软件(aeronautical data-base,简称 ADB)ADB 是经过运行批准的数据库类软件,通常需要特别的构型管理流程和满足相应的监管要求,此类软件应用于飞行管理系统(FMS)和地形警告系统等,并需要定期更新,例如导航数据、飞行计划、近地警告等。FOS 是 UMS 的一种。1.2.3 飞机支持类软件(aircraft support data,简称ASD)ASD 是指既无须 CCAR 25 部适航规章批准,也无须运营人批准的 ACLSP,运营人可对其进行自定义分类,例如 IFE 系统软件、旅客联网软件等。硬件控制机载软件(HCLSP)是指数据加载不会改变硬件内存物理属性,可独立于硬件管控,但其构型信息与硬件件号绑定(如 HCLSP 更改,其所在硬件的件号必须随之改变)的机载软件,通常由经授权的修理站安装及批准放行。典型的飞机软件与机载软件的关系以及机载软件的分类及定义,如图 1 所示。结合上述的研究和分析不难发现,飞机各级软件的关系和分类比较复杂,因此给各类软件的管理控制和风险防范带来一定的挑战。部分软件经过适航法律规章体系框架的严格审核和批准,其管理模式比较规范;部分软件是在航空公司运行体系下由内部的流程标准进行管理和控制,特别是 UMS 类机载软件无须经过其他机构审查,可自行制定和修改其软件数据,因此在缺少适航体系审查监管环节的情况下,如果航空公司自身对此类机载软件管控不到位,也会带来影响运行的风险。2UMS 机载软件编制和修改案例分析 卫星通讯电话本(owner requirement table,简称ORT)是典型的 UMS,由航空公司根据自身运行控制系统确定的电话号码进行编制和修改。卫星通讯8112023 年第 3 期柳 哲 机载软件分类和维修工程管理研究图 1 各类机载软件的关系和分类电话本装载于飞机的航线可更换件卫星数据组件(satellite data unit,简称 SDU)内,用于飞行人员在飞机上快捷选号拨打电话,实现与相关运行控制、保障部门的快速通讯联络。某航空公司在为其运营的某型号飞机编制和修改客户化软件卫星通讯电话本的时候,曾发生如下案例:在2022 年4 月之前,该公司一直使用 A 版本的卫星通讯工具软件(satcom software tool,简称 SST)制作和修订其飞机卫星通讯电话本,且能够保证卫星通讯系统正常使用。在 5 月时,由于运行需求变化(地面保障部门联系电话发生变更),需要修订机上卫星通讯电话本。在使用“A”版本 SST 修改机上卫星通讯电话本之后,制作产生了“a”件号(包括版本标识)的 ORT 软件且经过了相关校验环节,其完整度和兼容性均正确可用。之后,将“a”件号的ORT 软件在飞机上装载时,安装顺利且正常。经过一段时间运行与使用,在 6 月飞机执行某次航班时,机组报告卫星通讯系统电话号码本存在部分号码缺失问题。后续对该飞机的 SDU 进行了更换,并且为新装机的 SDU 重新升级装载“a”件号的ORT 软件后,飞机显示 ORT 软件版本正确、电话号码表完整且地面测试正常。但在后续拨打电话进行操作测试时,卫星通讯系统一直显示“系统不可用”。进一步调查研究发现,制作卫星通讯 ORT 软件的 SST 工具软件有更高的“B”版本。因此,使用“B”版本的 SST 工具重新制作和修改了卫星通讯ORT 软件,仍定义为“a”件号,重新装机和测试,并911应用与实践总第 150 期且拨打电话进行实际操作测试,进而确认卫星通讯系统可用,故障彻底排除,飞机恢复正常使用。工程技术部门对上述典型案例进行的全过程调查发现:1)该架飞机在 5 月安装了“a”件号的 ORT 软件之后,曾由于卫星通讯系统故障进行了 SDU 更换工作。排故后装机使用的 SDU 中已经装载的 ORT为“a”件号之前的旧版本,没有进行“a”件号 ORT软件的升级装载工作。因此没有体现 5 月卫星通讯电话本的变更内容,造成部分电话号码缺失。即,在航线针对卫星通讯系统排故更换 SDU 时,没有按照构型标准和管理要求为新装机使用的 SDU 装载最新有效版本的 ORT 软件。2)在与卫星通讯系统的机载设备制造商联络后,获悉制作卫星通讯 ORT 软件的 SST 工具软件有更高的“B”版本,且在“B”版本 SST 发布后,终端用户并没有及时获知此变更信息,一直使用旧的“A”版本 SST 编制和修改 ORT 软件。3)“A”和“B”两个版本的 SST 工具软件的“SATCOM FUNCTION”功能模块中包括一项关键信息变化,即各个卫星区域信息存在差异:(a)“A”版本的 SST 匹配的卫星数量为 5 颗(编号分别为 00、01、02、03、04),“B”版本的 SST 匹配的卫星数量为 8 颗(编号为 00、01、02、03、04、05、06、07)。(b)2018 年,上游系统服务商进行了卫星换代工作,将部分第三代卫星退役并切换至第四代卫星来提供卫星通讯服务。编号为 00、02、03、04 的卫星在 2018 年底均已停止提供服务。(c)使用“A”版本 SST 制作的 ORT,仅有匹配的编号 01 卫星提供服务。因 01 号卫星在空间的分布位置限制,飞机机载卫星通讯系统不能与该卫星建立有效连接,进而卫星通讯系统显示“不可用”。(d)使用“B”版本 SST 制作的 ORT,匹配的卫星有 8 颗,包括正在提供服务的 01、05、06、07 号卫星,且能够覆盖全球范围。因此使用“B”版本的SST 制作的 ORT,机载卫星通讯系统可完成自动搜星工作,卫星通讯系统正常可用。4)在使用“A”和“B”两个不同版本的 SST 编辑ORT 时,虽然电话号码内容本身没有差异,但由于两个版本 SST 内置关键参数存在变化,制作的 ORT 软件存在实质性的功能差异,应当进一步完善 ORT 构型标识,如:将使用“A”版本 SST 制作的 ORT 软件定义为“a”件号(包含版本号),将使用“B”版本 SST 制作的 ORT 软件定义为“b”件号(包含版本号),避免造成后续软件构型管理的混淆与混乱。5)经过与飞机及设备制造厂家进一步充分沟通并且全面回顾,发现飞机及设备制造厂家曾在2018 年初通过信息类服务文件等形式在行业内对卫星迭代、相关通讯服务转换和影响进行了通报。因此,未能及时追踪和捕捉此类重大明显影响运行的信息类文件并及时评估和采取针对性的工程技术措施,也是导致本次卫星通讯系统不可用的重要原因。3 UMS 管控思路与建议虽然 UMS 的修改对飞机适航安全不会造成影响,但通过对上述案例的分析可以得知,对 UMS 错误的修改可能会对航空公司运行有比较严重的影响。因此航空公司需要建立必要的制度体系对UMS 进行有效的管控。结合本文的具体案例分析和调查研究结论,对 UMS 编制和修改的管控提出如下思路和建议。3.1 UMS 变更管理在变更 UMS 前,航空公司应与飞机制造厂家或UMS 供应商确认所有必须提供的技术支持文档和UMS 修改工具,必要时可签署 UMS 技术服务协议以规定双方需要承担的责任和履行的义务。1)需求评估通常 UMS 的制作由航空公司的维修工程管理部门负责,但变更需求可能来自航空公司内部各部门。航空公司维修工程管理部门应将所有 UMS 变更需求纳入自身工程评估体系,由有资质的技术人员进行评估并实施。2)制作工具管理飞机制造商或 UMS 供应商负责提供用于制作和修改 UMS 的工具,这些工具应具备开发和发布UMS 所需的功能,如:软件编辑器、软件编译器、软件部件号生成器和媒体集创建工具等。航空公司应与飞机制造商或 UMS 供应商明确 UMS 制作工具的获取途径。当制作工具版本更新时,航空公司应进行适用性评估,保证使用适用本机队构型的制作工具制作 UMS。3)件号管理航空公司应制定 UMS 的部件号生成规则。部0212023 年第 3 期柳 哲 机载软件分类和维修工程管理研究件号规则的制定原则应可区分不同 UMS 的种类、版本和构型并保证唯一性。4)测试航空公司应建立 UMS 测试必要性的评估方法。如有必要,应制定 UMS 测试方法并进行测试,测试的目的是保证 UMS 功能正常并满足修改的功能预期。3.2 UMS 的质量保证管理1)人员培训与授权UMS 的变更评估、制作、分部和批准应由具备资质的人员完成。航空公司应建立 UMS 制作人员资质评估和授权方法,并将其纳入自身的质量管控体系。授权人员应接受过其授权制作的 UMS 的完整培训以及必要的复训。2)变更记录航空公司应对每次 UMS 的变更内容进行记录,记录内容应包括但不限于:制作人员、制作日期、软件部件号、软件制作工具、变更原因、变更内容、飞机适用性和批准方式等。3)UMS 的批准航空公司对 UMS 在预先取证变更范围内进行的变更无需经过局方、型号合格证持有人或部件制造商的审核和批准,但需要建立内部批准流程。UMS 应由具备资质的人员完成评估、变更、发布和批准等工作。批准方式可以是符合性声明(state-ment of conformity)或合格证明(certification of con-formance)等。4 结论随着民用飞机航电系统的发展,机载软件在飞机系统中承担越来越重要的作用,其中客户化软件对飞机的正常运行有着重要的影响。本文对机载软件分类和定义进行了研究,通过对某航空公司UMS 制作原因导致飞机故障的案例进行分析,总结得出了对 UMS 变更和质量保证管理的注意事项,为航空公司提供了对 UMS 管控思路与建议。参考文献:1 The Boeing Company.Airline support guidelines for loadable software(revised 2012-7-30)S.U.S.:The Boeing company,2012.2 Airbus.In service information 00.00.00174-Custom-ized field loadable software(revised 2019-10-31)S.France:Airbus SAS,2019.3 Airbus.In service information 00.00.00095-FLS ap-plicable standards and classifications S.France:Air-bus SAS,2019.4 Airbus.In service information 00.00.00188-FLS ap-plicable recommendations S.France:Airbus SAS,2022.5 Airlines electronic engineering committee(AEEC).Load-able software standards:ARINC 665-5 S.U.S.:SAE Industry Technologies Consortia(SAE ITC),2019.6 Avionics maintenance conference(AMC).Guidance for the management of field loadable software:ARINC 667-2 S.U.S.:SAE Industry Technologies Consortia(SAE ITC),2017.7 Rockwell Collins.Service information letter(SIL)SRT-2000-17-1 inmarsat I-3 transition to I-4 S.U.S.:Rockwell Collins,2018.8 The Boeing Company.Multi operator message MOM-MOM-18-0150-01B-preparation for inmarsat I3 satellite constellation retirement and transition to the inmarsat I4 network S.U.S.:The Boeing Company,2018.9 Airbus.In service information 23.28.00088-SATCOM-inmarsat transition from I3 to I4 S.France:Airbus SAS,2018.10 陈勇,严林芳,孙景华.民用飞机机载 软件 管 理 M.北京:航空工业出版社,2015:111-113.11 U.S.Department of Transportation.Federal Aviation Ad-ministration(FAA).Software management during aircraft maintenance:AC 43-216 S.U.S.:FAA,2017.作者简介柳 哲 女,硕士,工程师。主要研究方向:民用运输类大型飞机持续适航方面的质量和适航管理。E-mail:zhe-121应用与实践总第 150 期Study on aircraft loadable software classification and maintenance engineering management LIU Zhe(Beijing Capital Airlines,Beijing 100621,China)Abstract:Aircraft Field Loadable Software is a critical system component on an aircraft and is divided into different categories according to its control methods,approval methods and functions.The customized software is the aircraft loadable software that the airline can modify the data according to its own operation requirements.This article ana-lyzes and studies the issues of“phone number missing”and“system not available”after the installation of satellite communication system ORT database update.Taking this as a case,the process and situation were explained in de-tail corresponding to the specific issues in order.Combined with the practical experience of the technical manage-ment of airline customizable field loadable software,the potential risk points in the maintenance and operation process were analyzed and studied.This paper provides ideas and suggestions for the change management and qual-ity assurance management of customized software for airlines.Keywords:aircraft field loadable software;customizable field loadable software;software configuration manage-ment221 Corresponding author.E-mail:zhe-liu3