民用飞机数据加载功能研究

唐泽娴

（中国商用飞机有限责任公司上海飞机设计研究院 上海市 201210）

随着民机航电系统的技术不断发展，复杂度、高度电子集成化的趋势越来越明显，航电设备的设计在保证安全性的同时，航空公司对民机的维护性也提出很高的要求。通过机载维护系统向飞行员与地勤人员提供维护信息，可以有效地支持运营，提高维护效率，降低航班延误率，降低成本，提升飞机效率-经济比。机上数据加载功能可为飞机上航电系统设备进行外场软件加载，该功能由数据加载设备和机上相关设备实现。本文数据加载过程中的可加载软件分类、相关方、打包方式、加密，数据加载功能的应用总线情况、通信协议，质量审查，竞争机型的数据加载方案，国外供应商的数据加载器情况、数据加载功能存在的测试问题、国内外供应商的数据加载功能测试软件，国内供应商的研制能力等进行了分析总结。本文分别就其功能定义和方案架构进行分析。

1 可加载软件

随着计算机技术的发展，航电系统设计理念发生了以下变化：

（1）系统硬件标准化：设备厂商希望通过系统硬件的标准化，以降低硬件采购、生产、售后服务等成本；

（2）航电系统集成化：研发和/或推广集成化航电系统。

随着航电系统硬件的标准化和集成化，航电设备供应商逐渐将核心竞争力的关注点从硬件转向软件。当前新型主流机型的机载可加载软件的数量已达到2000左右。通过机载可加载软件的升级和更新，机载系统能够更加容易地修复软件问题、实现功能扩展和升级，从而实现系统的低成本、短周期的演进升级。随着机载可加载软件在数量上的爆发性增长和版本上的频繁升级，带来了机载可加载软件在研发、交付、存储、安装、使用等各个场景下的管理问题。1999年，ARINC 665可加载软件标准发布；2002年，ARINC 666软件电子分发标准和ARINC 667可加载软件管理指导手册发布；此外，还有ARINC 615-3/4、ARINC 615A2/3，等等可加载软件标准发布。这些标准对机载可加载软件的全生命周期的各个场景提出了相应的需求和规定。

2 可加载软件分类

ARINC 667标准对机载可加载软件部件的分类进行了说明，分类定义及说明情况见表1。

站在航空公司角度，按照可加载软件的强制性，可加载软件可分为以下两类：

（1）强制性更新：由于对飞机适航性的影响而触发的可加载软件更新，通常用于解决设备在使用过程中发现的问题。当机载设备在使用过程中发现问题时，供应商对问题进行排查和定位，并将问题上报适航机构，提出改进措施。对于更新软件可以解决的问题，适航当局或供应商向航空公司发送服务通告，通知航空公司进行强制性软件升级。强制性更新通常是免费的，航空公司不需要为强制性更新的可加载软件付费；

（2）推荐性更新：主机/供应商出于功能提升和扩展的考虑，会向航空公司推荐机载设备的软件更新。主机/供应商向航空公司对功能升级和扩展进行推介，航空公司则按照需要自行决定是否采购可加载软件，并向主机/供应商发送可加载软件的订单。主机/供应商接收到订单后，向航空公司进行可加载软件的分发。需要注意的是，推荐性更新一般是收费性更新。

3 可加载软件的打包方式

基于ARINC 615标准的软件打包方式，每个软件包中必须有且仅有一个CONFIG.LDR配置文件。如果软件包按照ARINC 615-4标准进行打包，则必须还包括一个EXCONFIG.LDR配置文件。每个软件包可以包括若干个可加载软件文件。

基于ARINC 665标准的软件打包方式，从ARINC 665标准对软件打包方式的定义来看，ARINC 665与ARINC 615标准对于软件打包方式的相同点在于，两个标准都是面向于可移动介质进行可加载软件的分发，LOADS.LUM与CONFIG.LDR（EXCONFIG.LDR）作用一致，定义了以下信息：

（1）可移动媒介信息：每个可移动媒介的序号、媒介总数；

a.ARINC 665: Media Sequence Number (X), Number of Media Set Members (Y)；

b.ARINC 615: DSN, DTN；

表1：可加载软件部件分类

（2）可加载软件信息：部件号、头文件名称；

a.ARINC 665: Load PN, Header File Name；

b.ARINC 615: File Name；

（3）可加载软件与可移动媒介的对应关系：所在的可移动媒介序号；

a.ARINC 665: Member Sequence Number；

b.ARINC 615: 通过Continuation Flag指示位间接定位可加载软件是否在本DSN和之前的媒介中或在本DSN之后的媒介中；

（4）可加载软件与目标硬件的对应关系：每个可加载软件对应的目标硬件；

而其不同点在于：

（1）ARINC 665标准提高了媒介中软件数据的定位能力，具体表现为：LOADS.LUM中对每个LSP所在的媒介序号Media Sequence Number进行定义，因此媒介集中任意一份媒介被加载设备读取时，加载设备能够列出整个媒介集中包含的LSP的定位；

（2）ARINC 665适配了可加载软件的配置管理要求，具体表现为：MSP使用MSP部件号作为其唯一标识，LSP使用LSP部件号作为其唯一标识；

（3）ARINC 665增加了数据校验，具体表现为：各文件均有校验值数据字，MSP与LSP部件号内包含了校验位；

（4）ARINC 665增加了单个文件需要在一个Media Set内的要求；

（5）ARINC 665适配了EDS电子分发场景的需求（参见ARINC 641），在电子分发场景下：

a.ARINC 665 第二部分LSPs的结构能够满足EDS需求；

b.ARINC 665第三部分MSPs的结构亦能满足EDS需求，但需要注意经过电子分发后，接收MSPs的机构使用相应的媒介重建MSPs。

4 主流机型的软件加载流程

波音公司与空客公司的维护理念各成体系，相应地，在机载维护系统的数据加载功能上的实现各有千秋。

以空客公司的A380机型为例，由主机/OEM的客户服务部门提供FLS外场软件加载服务，航空公司通过无线或有线方式，通过空客公司提供的专用软件将文件导入至飞机加载模块，通过人工对加载过程进行监控和控制。

而波音公司的B787飞机，是通过登录波音公司的My Boeing Fleet平台，将相关的待加载数据包发送给航空公司数据数据库。随后，用户将接收到的数据包，分发至B787的维护终端。维护人员使用机载维护终端，通过数据链通路，上传待加载软件数据至机上机载软件管理数据库，使用机上机上软件加载功能对机上设备进行加载的过程。

4.1 安防设计

在总体要求的飞机数据安防设计的的目标下，空客公司与波音公司采取了不同的安防设计和方法。

功能：空客公司A380飞机的机载维护系统功能实现是软件驻留在开放式硬件平台中，属于飞机安防的非受信域。因此，其数据源必须是使用经过安防保护设计的数据通信接口进行传输和保护；波音公司B787飞机的机载维护系统功能是软件驻留于航电域，存储驻留在开放域。因此，其数据源能够直接与航电网络连接，不进行数据安全防护，但数据经过处理后，传送到到开放域这个数据流过程需要进行数据安全防护处理。

数据流：空客公司A380与波音公司B787的机载维护系统功能设计不同，功能软件驻留不同，架构设计也不同，因此数据流过程也不同。依据DO-326[4]标准要求，安防等级划分与设计保障等级和数据危害概率两个方面有关。以空客A380飞机和波音B787飞机的网络结构为例，飞机重要系统的数据-飞机非重要系统的数据-客舱娱乐-支持勤务的数据的安防等级由高至低的状态，相应的，安防要求也是从高至低，飞机重要系统的数据安防要求最高。维护数据也遵从此安防等级划分和要求，空客采取的策略是，最危害的安防情景是当机载维护系统处于不安全的状态下，更高级的数据也应受到安全防护。此方式增加了机载维护系统的设计难度以及开发费用；波音采用策略是，最危害的安防情景是当机载维护系统处于不安全的状态下，B787飞机的重要飞行数据也处于潜在安防威胁状态下，但此方式降低了机载维护系统受威胁的可能性，减少了机载维护系统开发成本。

4.2 人机界面

使用空客的 A380飞机，地勤可以通过维护终端（机载端和地面便携式移动）进行访问，或机载信息终端访问与维护相关的信息；当进行终端人机界面访问时，需要在终端人机界面上以管理员的身份打开网页或APP，输入用户名和密码登录维护人机界面。地勤使用机载硬件开关，可以控制机组终端和机长终端的转换。还能够使用AirN@v应用为地勤提供维护信息。

使用波音的B787，地勤可以使用维护笔记本电脑进行访问，飞机上有6个网口和无线方式供维护笔记本电脑接入。地勤可以使用维护切换开关，进行数据加载功能和地面测试功能的转换。通过无线接口接入飞机后，人机界面可访问的功能有中央维护、飞机状态监控、机载软件加载、客舱维护、维护系统机载显示和全机电源断路器页。

5 结束语

在民机应用数据加载功能，可以有效地支持航空公司的运营，提高航空公司维护效率。在功能的开发过程中，应考虑飞机总体构架，在航空公司可行性高的前提下，提出合理的建议。同时，在更深入地应用的安防技术的同时，从系统功能、系统构架、人机界面等多个角度位考虑技术应用的风险。