民用飛機簡單電子硬件符合性驗證策略研究

胡曉莉+邵偉

【摘 要】在民用航空領域，簡單電子硬件是一類特殊的重要機載電子硬件。如何對其進行符合性驗證，從而滿足合格審定的要求，當前仍存在著一定困惑和分歧。本文結合某型號飛機的研制經驗，提出了一種可行的簡單電子硬件符合性驗證策略。

【關鍵詞】簡單電子硬件；RTCA/DO-254；設計保證等級

【Abstract】Simple electronic hardware is one specific category of airborne electronic hardware in the field of civil aviation. Confusion and divergence are still existed on how to verify simple electronic hardware to ensure the compliance to related standard for now. Based on the experience of developing certain aircraft， a feasible strategy of the compliance verification for civil aircraft simple electronic hardware is investigated.

【Key words】Simple Electronic Hardware； RTCA/DO-254； Design Assurance Level

0 引言

在民用飛機領域，廣泛應用的機載電子硬件是指客戶化編碼器件，如ASIC、PLD或FPGA等。RTCA/DO-254中將其具體分為簡單電子硬件（Simple Electronic Hardware，以下簡稱SEH）和復雜電子硬件。對于復雜電子硬件的開發已有具體的標準和指南；而對于SEH的符合性驗證要求，FAA僅僅在其Order 8110.105 CHG1中提出了概要性的要求，并未給出具體的驗證策略和指南，從而給實際工程應用帶來了一定的困惑。針對該問題，本文提出一種具體的SEH符合性驗證策略，以滿足SEH（特別是A、B級別SEH）的合格審定要求。

1 SEH的定義和合格審定要求

1.1 SEH的定義

RTCA/DO-254在第1.6章節給出了SEH的定義：對于一個硬件項目，如果用適合于該硬件對應的設計保證等級的確定性測試和分析的完整組合，即可確保其在所有可預見的運行條件下執行正確功能且無異常行為，則其可被定義為SEH。

1.2 SEH的合格審定要求

雖然RTCA/DO-254給出了SEH的定義，但是并未對什么是“適合于硬件對應設計保證的確定性測試和分析”給出進一步說明，因此FAA 在其Order 8110.105 CHG1中對該問題進行了明確，提出了如下SEH合格審定要求。

a）對于A、B級別SEH，其驗證需要進行確定性測試和分析的全面結合，要驗證該SEH的所有輸入、內部元素、節點、寄存器、鎖存器、邏輯單元和邏輯門在所有可能的排列組合下都能夠正確運行，沒有異常行為。即要在門電路層級要進行完整的驗證和分析。

b）對于C級別SEH，其驗證需要進行確定性測試和分析的全面結合，驗證該SEH在其管腳輸入條件的所有可能的排列組合下都能夠正確運行。即要在管腳層級要進行完整的驗證和分析。

c）對于D級別SEH，不需要器件層級的測試，只需要在板卡、設備、或單元級證明其滿足器件級需求即可。即完整的功能驗證和分析。

2 SEH的符合性驗證策略

雖然FAA針對SEH提出了合格審定要求，但是并未對如何滿足該要求，給出建議的解決方法或策略。基于先前項目上的經驗及相關研究，提出了如下針對不同設計保證等級SEH的符合性驗證策略，并給出具體的實例進行說明。

2.1 不同級別SEH的符合性驗證策略

2.1.1 A/B級別SEH的符合性驗證策略

FAA對于A/B級別的SEH的要求，包含了以下兩個方面的要求。

a）全面的確定性測試和分析；

b）門電路層級的元素的全覆蓋。

對于a）要求，可以通過對SEH的外部接口進行窮盡測試來滿足。對如何完成窮盡測試，本文提出以下公式來計算當前SEH需要的測試案例的數量。

測試案例數=2輸入接口數×2狀態配置數=2（輸入接口數+狀態配置數）（1）

對于b）要求，其本質是要求在驗證過程中，測試到門電路層級每個元素的所有狀態。由于外部接口的窮盡測試不保證能滿足該要求，因此需要使用附加的測試和分析方法，具體步驟如下。

首先需要分析在管腳級（即外部接口）的窮盡測試中，每個內部邏輯元素的所有狀態是否都已經得到覆蓋。若能夠得到全覆蓋，則b）要求可直接滿足；若不能夠得到全覆蓋，則需增加額外的測試，以保證每個內部邏輯元素的所有狀態都能夠得到覆蓋。由于對外部輸入已經進行了完整的驗證，在進行額外測試的過程中，僅需要考慮增加額外的測試激勵和設備等，從而保證內部邏輯元素的所有狀態都能被激活且被觀測。

2.1.2 C級別SEH的符合性驗證策略

對于C級別SEH，FAA在本質上要求管腳層級的完整驗證。因此，僅需驗證其在各輸入引腳的所有排列組合下能否正常工作即可。

2.1.3 D級別SEH的符合性驗證策略

對于D級別的SEH，FAA要求在本質上是一種功能性的驗證，因此要保證驗證活動對該SEH需求的全覆蓋。

2.2 實例說明

如圖1所示的邏輯電路，該邏輯電路中包含3個邏輯輸入，1個輸出，4個邏輯門。由于本電路中不存在觸發器（Flip-Flop），所以公式（1）中的狀態配置數目為0。

圖1 邏輯電路

若該電路設計被定義為A或B級別SEH，依據2.1.1節中提出的驗證策略，應進行的計算和分析步驟如下：

a）對本電路外部接口進行全面的確定性測試，根據公式（1），需要的測試案例個數為2（3+0）=8個；

b）分析得出，圖中X節點在外部接口窮盡測試的基礎上，其值恒定為1，門電路層級的元素未能全覆蓋，不滿足2.1.1節對A、B級別的要求b）；

c）需要通過外部設備對該節點進行專門的測試，驗證該節點值為0時其后面“與”門是否能執行正確的功能，因此需要再增加2個測試案例。

d）因此，若該電路設計被定義為A或B級別的SEH，則至少需要2（3+0）+2=10個案例。

若該電路為被定義為C級別SEH，不用考慮是否全面覆蓋其內部所有邏輯門。因此只需考慮其A、B、C三個輸入的所有組合情況，即需要23=8個案例。

若該電路為被定義為D級別SEH，只需要依據該SEH需求編制測試用例，并最終滿足對其需求的全覆蓋即可。

3 SEH符合性驗證的附加考慮

針對提出的上述符合性驗證策略，在實際的工程實踐中，還需要另外考慮以下兩方面問題。

3.1 SEH的符合性數據編制問題

RTCA/DO-254針對復雜電子硬件，定義了一系列的生命周期過程和符合性數據，但是對于SEH，并未給出明確的要求。在SEH的符合性驗證過程中，一定的符合性數據是必須的。參考RTCA/DO-254第十章，建議的要求如下：硬件合格審定計劃、硬件驗證計劃、硬件構型管理計劃、硬件需求、硬件構型索引、硬件軟件接口數據、硬件可追溯性數據、硬件評審和分析結果、硬件測試程序、硬件測試結果、問題報告、硬件構型管理記錄、硬件完成綜述。

3.2 SEH完整性測試的可行性問題

理論上，所有的機載電子硬件都可以按照SEH的合格審定要求，進行完整的驗證和分析，但是在實際的工程實踐中，由于受到測試設備、測試技術以及硬件設計的復雜度等各方面的影響，大部分的機載電子硬件很難滿足該要求。因此，在明確為簡單還是復雜電子硬件之前，必須要進行充分的可行性研究和判定。

4 小結

SEH（特別是A、B級別）的符合性驗證問題是民用飛機機載電子硬件符合性驗證工作的一個難點問題。本文在深入理解SEH的合格審定要求的基礎上，依據要求制定了一套適用的符合性驗證策略，對指導具體的工程實踐，具有非常重要的意義。

【參考文獻】

[1]SC-180，RTCA/DO-254， DESIGN ASSURANCE GUIDANCE FOR AIRBORNE ELECTRONIC HARDWARE， April 19， 2000[Z].

[2]FAA AC 20-152， RTCA， Inc.， Document RTCA/DO-254， Design Assurance Guidance for Airborne Electronic Hardware[Z].

[3]CAST 30， Simple Electronic Hardware and RTCA Document DO-254 and EUROCAE Document ED-80， Design Assurance Guidance for Airborne Electronic Hardware， August 2007， Rev 0[Z].

[4]FAA ORDER 8110.105 CHG 1，SIMPLE AND COMPLEX ELECTRONIC HARDWARE APPROVAL GUIDANCE， 9/23/08[Z].

[5]EASA CM - SWCEH - 001， Development Assurance of Airborne Electronic Hardware， 11th of August 2011[Z].

[責任編輯：張濤]