民用飞机主制造商机载软件更改策略研究

童岳威 孙景华 / TONG Yuewei SUN Jinghua(上海飞机设计研究院，上海201210)(Shanghai Aircraft Design and Research Institute, Shanghai 201210, China)

民用飞机主制造商机载软件更改策略研究

童岳威 孙景华 / TONG Yuewei SUN Jinghua
(上海飞机设计研究院，上海201210)
(Shanghai Aircraft Design and Research Institute, Shanghai 201210, China)

在“主制造商-供应商”的飞机研制体系下，供应商负责研制机载软件并交付给主制造商，主制造商完成系统集成试验和飞机级试验。机载软件更改会对主制造商飞机研制工作产生影响，包括工作量、进度、成本等方面。首先识别了机载软件更改起因，对不同类别的更改进行分类，同时分析了机载软件更改对主制造商飞机研制工作的影响，包括由机载软件更改引起的额外工作以及研发成本，最后从机载软件快速转换、软件加载以及主制造商验证试验方面提出了主制造商机载软件更改策略，从而降低机载软件更改对主制造商飞机研制活动的不利影响。

机载软件更改；增量开发；更改影响分析；更改策略

0 引言

随着信息化技术迅速地发展，电子计算机技术在民用飞机上的应用越来越广泛，并且由其实现的飞机系统功能复杂程度、集成程度越来越高。

机载软件实现的功能很复杂、集成化程度高，它们不仅接收、存储、处理和输出大量与飞行安全相关的重要数据，还能通过传递告警信息辅助飞机机组人员进行逻辑判断，引导飞机进入正确的飞行状态，保证飞机飞行安全。机载软件不仅在系统/设备上的驻留关系复杂，而且它们之间的交联关系也异常复杂。例如，部分的环控系统软件、导航系统软件、电源系统软件同时驻留在一个共用的计算机机柜中，而其它的机载软件仍然驻留在各自系统/设备当中，这种驻留关系导致机载软件与系统/设备间映射关系很复杂。指示记录系统与全机大部分系统都存在交联关系，指示记录系统软件需要接受和处理来自许多系统的信号，因此，其影响范围很广，同时易受到其它系统的影响。

在飞机研制过程中，机载软件更改相较于硬件更为频繁，特别是全新研制的机载软件，通常会存在几版甚至几十版机载软件迭代过程。虽然机载软件由供应商承担研制任务，但其作为系统组成部分应该交付给主制造商，主制造商需要完成系统集成试验、飞机级试验，试验过程中不可避免会发现各类问题，其中部分会涉及机载软件，需要对其进行更改。

本文分析了机载软件更改引起的原因及更改对主制造商所产生的影响，并研究了主制造商机载软件更改策略。

1 机载软件更改介绍

由于机载软件在飞机上使用广泛、实现功能复杂、驻留/交联关系复杂等原因，机载软件在飞机研制过程中更改频繁，特别是随型号批准的机载软件。

在“主制造商-供应商”的发展模式[1]下，不论是适航当局、主制造商或供应商提出的机载软件更改，最终都由供应商来实现。虽然主制造商不具体负责机载软件开发以及更改任务，但还是需要控制机载软件更改，确保机载软件更改对主制造商飞机研制工作的影响在可接受范围之内。

机载软件更改实现过程如图1所示，机载软件更改实现过程以及验证过程应该严格遵循RTCA/DO-178B[2]的要求，所有生命周期数据都应该符合相应控制类别。

2 机载软件更改原因分析

供应商从向主制造商交付第一版机载软件直到机载软件构型冻结，机载软件会存在多个版本的迭代过程。对于成熟产品，例如先前型号上获得过局方批准的产品或者TSOA产品，其所含机载软件版本迭代次数可能相对较少；对于随机新研产品，其所含机载软件迭代次数相对较多，可能存在十几版甚至于几十版迭代过程。引起机载软件更改的原因多种多样，下面从主制造商的角度对机载软件更改原因进行分析。

2.1 机载软件增量式开发

供应商最初向主制造商交付的机载软件可能并不是全功能版软件，根据飞机项目阶段划分，供应商可能分阶段实现机载软件功能[3]。通常，主制造商会在和供应商签订的合同中定义机载软件交付节点，包括主制造商试验室试验、机上地面试验、首飞、TIA、TC等节点。例如，主制造商会定义供应商向其交付的首版软件用于主制造商试验室试验，应实现哪些功能，此时交付的机载软件可能只实现了30%左右的预期功能；同理，主制造商也会在合同中定义供应商向主制造商交付的用于地面试验、首飞、TIA及TC的机载软件分别应该实现哪些功能。

2.2 飞机级/系统级的需求更改

如果飞机级/系统级的需求发生了更改，这可能会引起机载软件需求更改，从而导致机载软件更改。从飞机级需求向软件级需求分解的过程如图2所示。虽然主制造商并不期望发生飞机级/系统级的需求变更，或者说这并非是完美的飞机研制过程，但在实际的飞机研制过程中总会发生这种情况。

2.3 系统ICD发生更改

如果在飞机研制过程中发生系统ICD更改，这可能会引起机载软件输入/输出发生更改，导致机载软件更改。例如，某个机载系统需要通过获得其他系统发送过来的信号来判断飞机状态，确定飞机在地面上还是在空中，原先设计由起落架系统发送WOW信号来判定，更改后的设计要求除了WOW信号外，大气数据系统应发送空速信号，根据WOW信号和空速信号来判断飞机状态，这样此机载系统ICD发生了更改，增加了与大气数据系统的信号传递，因此机载软件输入信号发生了变化，需要更改机载软件以满足系统ICD更改。随着飞机研制进度推进，系统ICD会变得越来越稳定，由此引起的机载软件更改会变得越来越少。

2.4 试验过程中发现机载软件错误

主制造商在接收到供应商交付的机载软件后，需要完成系统集成试验以及飞机级试验。如果主制造商在试验过程中发现问题，并分析确定为机载软件相关问题，那应要求供应商根据发现的问题更改机载软件，详细过程如图3所示。由此原因而引起机载软件更改的频度最高，这是因为机载软件实现的功能非常复杂，而且各系统间的交联关系也很复杂，机载软件更改不仅影响到本系统功能实现，同时也会影响到与其交联的系统。

3 机载软件更改对主制造商的影响分析

机载软件实现了飞机系统的许多重要功能，包括信号处理、系统控制、机组告警、系统维护等功能，机载软件更改必然给主制造商飞机研制工作带来影响，可以从以下几个方面考虑机载软件更改对主制造商的影响。

3.1 机载软件加载

机载软件根据机载方式可分为返厂加载和现场加载两类：

1)返厂加载机载软件

由于主制造商处没有机载软件加载环境，需要将机载软件所驻留的设备退返到供应商处，供应商完成内部机载软件更改，并通过试验验证后，将更改后的机载软件加载到设备中，然后将设备连同机载软件重新交付给主制造商。根据供应商所在地不同，机载软件返厂加载时间相差较大，从几个星期到几个月不等。对于国内供应商，由于设备不需要经过海关，通常返厂加载流程可以在几个星期内完成；对于国外供应商，则通常需要几个月的时间。

2)现场加载机载软件

这类机载软件可以在主制造商现场执行加载过程，将机载软件交付给主制造商，主制造商或供应商按照加载流程将机载软件加载到设备中[4]。主制造商应该制定机载软件加载控制程序，使得机载软件构型受控。对于现场可加载机载软件，由于不存在设备退返流程，因此相较于返厂加载机载软件会节省很多时间。

3.2 主制造商验证试验

主制造商虽然不直接参与机载软件研制过程，但需要基于供应商交付的机载软件及系统设备完成各类系统集成试验以及飞机级试验。如果机载软件发生更改，可能会影响主制造商已完成的系统集成试验、飞机级验证试验结论的有效性。由于机载软件更改后，与前版机载软件存在构型差异，势必影响基于前版机载软件完成的验证试验结论的有效性。

3.3 飞机研制进度

机载软件更改由供应商实现，供应商更改机载软件需要严格遵循其定义符合RTCA/DO-178B/C的机载软件开发流程，并完成内部验证试验，确定无重大问题后方可发起交付流程。供应商从确定需要更改机载软件到向主制造商交付机载软件需要很长一段时间，譬如等级高、功能复杂的机载软件可能需要半年以上的周期。由于机载软件更改周期通常都很长，因此它对飞机研制进度有很大的影响。在飞机研制过程中，经常会由于某个机载软件更改迟迟没有完成，拖后飞机研制进度。

3.4 飞机研制成本

由于机载软件开发过程严格按照RTCA/DO-178B/C进行开发，和商用软件相比，其过程控制非常严格，因此机载软件开发周期很长、成本也非常高。即使只更改一行机载软件源代码，其更改成本也非常高，它需要分析需求、设计、测试用例和程序更改范围，需要重做软件回归验证工作，软件生命周期数据更新，软件交付/加载，主制造商补充试验等。

4 机载软件更改控制策略研究

在上一节中分析了机载软件更改对主制造商飞机研制工作的影响，发现机载软件更改不仅影响供应商机载软件研制工作，同时也对主制造商飞机研制工作有重大影响，本节将研究主制造商应对机载软件更改的策略。

4.1 机载软件快速转换

因主制造商要求供应商在完成机载软件更改后，必须先完成内部验证试验，确定无重大问题后方可发起机载软件交付流程，所以机载软件更改周期通常都很长，使得飞机研制进度延迟。

为了缩短机载软件更改周期，减小软件更改周期对飞机研制进度的影响，主制造商可以对不同用途、不同等级的机载软件进行分类，对每种类型的机载软件区别对待。

根据机载软件的用途可以将其分为以下几类。

机载软件类别1：在项目早期用于确定系统设计合理性的快速原型机载软件；

机载软件类别2：用于系统交联试验的机载软件、用于机上快速退返试验的机载软件；

机载软件类别3：用于试验室试验和机上地面试验的机载软件；

机载软件类别4：用于飞行试验的机载软件。

对于不同类别的机载软件，在向主制造商交付之前，供应商需要完成的验证试验工作可以有所区别。同时，考虑到不同等级机载软件对系统和飞机产生的安全性影响不一样，对级别较低的机载软件可以适当降低要求。对不同类别、不同等级的机载软件在其交付前，供应商应完成的试验验证工作可参见表1。这可大量减少供应商工作量，加速机载软件更改进程，缩短机载软件更改周期。

表1 不同类别、等级机载软件应完成的供应商验证试验工作

注：同一级别机载软件，类别1～5的要求为增量式要求。譬如，A级别、类别3机载软件需要完成需求和设计评审、代码评审、基于需求的测试。

4.2 减少对机载软件加载的影响

通过分析发现，可以从优化加载流程和主制造商对机载软件加载方式规划方面来减少机载软件更改对机载软件加载的影响。

4.2.1 机载软件快速加载流程

对于现场可加载软件，如果仅用于确定系统设计合理性、系统交联试验、机上快速退返试验，可以简化这类机载软件的加载流程，称为机载软件快速加载流程。由于这类试验为非工程研发、适航验证类试验，因此不会对飞机安全性产生影响。通过简化机载软件加载申请和确认流程，可以加速加载过程，这对于任务节点紧、需要快速开展试验的机载软件特别重要。

4.2.2 机载软件加载方式规划

由于机载软件更改相当频繁，特别是新研设备所含的机载软件。为了避免由于设备退返而导致研制周期过度拉长，主制造商可以站在全机角度将机载软件进行分类，规定每类设备所含机载软件的加载方式。从机载软件更改频度来分，TSOA设备所含机载软件、先前开发机载软件的更改量较少甚至无更改，随机新研设备所含机载软件更改较多，部分机载软件甚至迭代几十个版本之多。

为了缩短机载软件加载周期，避免由于设备返厂影响飞机研制进度，主制造商对机载软件加载方式的规划如表2所示，应该避免在飞机验证试验阶段出现随机新研设备所含机载软件必须返厂加载的情况。

表2 机载软件加载方式的规划

4.3 主制造商验证试验

主制造商在接收到供应商交付的机载软件后，首先需要分析与前版机载软件的构型差异，确定更改影响范围。通过对机载软件的构型差异分析，确定机载软件更改对主制造商已完成的验证试验结论有效性的影响、对相关系统已完成的验证试验结论有效性的影响，根据影响范围确定需要重做哪些验证试验，评估过程如图4所示。

通过分析机载软件更改对先前已完成的试验验证结论有效性评估活动，主制造商可以避免重复验证试验工作，节约主制造商的人力和物力成本，加速推进验证试验进度。

5 结论

本文介绍了在“主制造商-供应商”模式下机载软件更改过程，并分析了机载软件更改原因以及更改对主制造商的影响，并研究了主制造商机载软件更改策略。通过分析机载软件更改原因、更改的影响、以及对主制造商机载软件更改策略进行研究，可以识别出引起机载软件更改的不同类别的原因，对主制造商产生的影响范围，如何降低这些不利影响，最终尽可能降低由于机载软件更改对主制造商飞机研制的不利影响。

[1] 姚雄华. 基于“主-供”模式的我国民机产业发展问题分析及对策建议[J]. 航空制造技术，2010，3:76-81.

[2] RTCA. DO-178B Software considerations in airborne systems and equipment certification[S]. Washington DC, 1992.

[3] 程成. 软件工程[M]. 北京：机械工业出版社，2011.

[4] FAA. Order 811.49Chg1 Software Approval Guidelines[S]. Washington DC, 2011-9.

Research on Airborne Software Change Strategies for Civil Aircraft Manufacturer

Under the “OEM-Supplier” aircraft research and development structure, suppliers are responsible for developing airborne software and delivering to the OEM for system integration tests and aircraft tests. The airborne software change could impact on the OEM aircraft research and development, including workload, schedule and cost. This paper firstly identifies the causes of software changes, and classifies them into different categories. The airborne software change impact on the OEM is analyzed including the additional work and cost. Then this paper proposes the OEM airborne software change strategies from the aspects of airborne software quick-return, software loading and the OEM tests, in order to alleviate the adverse impact of airborne software change on the OEM aircraft research and development.

airborne software change; incremental development; change impact analysis; change strategy

10.19416/j.cnki.1674-9804.2017.02.015

V24

A

童岳威 男，硕士，高工。主要研究方向：机载软件与电子硬件技术；E-mail： tongyuewei@comac.cc

孙景华 女，硕士，高工。主要研究方向：机载软件与电子硬件技术；E-mail： sunjinghua@comac.cc