3. 验收依据与标准体系
综合航电系统的验收，本质上不是“看设备能不能开机、画面亮不亮”，而是回答一个更严格的问题：这套系统是否按照经批准的标准、经确认的需求和经签署的协议被研制出来，并且有可追溯的证据链支撑。因此，验收依据不是单一文件，而是一个自上而下、由法规到合同、由过程到产品的多层标准体系。理解这个体系，才能把“符合 DO-178C”这类抽象表述，转化为验收桌上可以逐条勾选、逐项判定的检查条款。
一、验收依据的层级结构
综合航电系统的验收依据通常分为四个层级，越往上越具强制性，越往下越具体、越贴近本项目。
- 第一层：适航规章。如 CCAR-25 部（对应 FAR-25）及其相关咨询通告 AC。它们规定的是“飞机整体必须满足的安全性目标”，例如 25.1301 设备功能与安装、25.1309 设备系统与安装的安全性要求、25.1353 电气设备与安装等。航电系统作为机载设备，其验收必须证明不会破坏这些目标的达成。
- 第二层：行业过程标准。ARP4754A 管“系统研制”，ARP4761 管“安全性评估”，DO-178C 管“机载软件”，DO-254 管“机载复杂电子硬件”。它们规定的是“怎么做、做到什么程度、留下什么证据”。
- 第三层：技术协议。包括系统技术规范、接口控制文件（ICD）、研制任务书、软件/硬件研制保证等级（DAL）分配表等。它们把上层标准“落地”为本项目具体的技术指标。
- 第四层：合同与任务书。规定交付物清单、里程碑、验收方式、责任边界和违约条款，是验收的商务与法律依据。
四层之间的关系是“法规定目标、标准定过程、协议定指标、合同定交付”。验收条款必须同时锚定这四层，缺一层就会出现“技术上通过、适航上不认”或“适航上认、合同上没写”的争议。
二、各标准在验收中的具体作用
ARP4754A 是系统级研制保证标准。它要求从飞机级功能分解到系统级需求，再分解到软硬件需求，并建立双向追溯。验收时，检查员会关注：系统需求是否可追溯到飞机级功能？高层需求是否可追溯到系统需求？验证证据是否覆盖每条需求？如果追溯矩阵存在断链，即使产品功能正常，也不能判定为“符合”。
ARP4761 提供安全性评估方法，包括 FHA（功能危害评估）、PSSA（初步系统安全性评估）、SSA（系统安全性评估）以及 FTA、FMEA、CCA 等工具。验收时，安全性评估的结论必须与设计特征一致。例如 FHA 将某功能失效状态定为“灾难性的”，则其失效概率必须小于 10⁻⁹/飞行小时，且必须通过 FTA 证明。验收条款应写成“提供 FHA 报告，确认 XX 功能失效状态等级为灾难性，并提供 FTA 定量分析结果，证明其概率满足 10⁻⁹/飞行小时”。
DO-178C 针对机载软件，按 DAL 分为 A 至 E 五个等级。DAL A 要求最严，包括 MC/DC 覆盖、独立验证、形式化方法等目标。验收时不能只看“软件能运行”，而要检查：软件需求、设计、代码、测试用例之间的追溯性；结构覆盖率分析报告；配置索引；问题报告与纠正措施记录。例如某航电显示软件为 DAL B，则验收条款应要求提供语句覆盖和判定覆盖报告，并确认无未关闭的高等级问题报告。
DO-254 针对机载复杂电子硬件，如 FPGA、ASIC。其验收重点在于：硬件需求捕获、概念设计、详细设计、实现、验证各阶段的证据；以及硬件验证是否覆盖了需求。对于简单硬件，可依据 DO-254 的“简单硬件”判定准则简化。验收条款应明确“该 FPGA 被判定为复杂硬件，需提供硬件验证计划、验证报告及追溯矩阵”。
三、从标准到可检查验收条款的转化方法
把标准转化为验收条款，核心是四要素：标准条款、项目指标、证据类型、判定准则。下面给出一个可操作的转化示例。
| 标准来源 | 标准要求 | 项目指标（示例） | 证据类型 | 判定准则 |
|---|---|---|---|---|
| DO-178C DAL B | 需完成结构覆盖分析 | 显示软件语句覆盖率 ≥ 100%，判定覆盖率 ≥ 100% | 结构覆盖分析报告 | 报告覆盖所有可执行代码，未覆盖项有合理说明并经批准 |
| ARP4761 | 灾难性失效状态概率 < 10⁻⁹/FH | 主飞行显示失效概率 < 10⁻⁹/FH | FTA 定量分析报告 | 分析模型与架构一致，底事件失效率来源可追溯 |
| DO-254 | 复杂硬件需完整验证 | 图形处理器 FPGA 验证覆盖全部需求 | 硬件验证报告 + 追溯矩阵 | 每条硬件需求至少对应一项验证活动，且结果通过 |
| 技术协议 ICD | 接口数据格式符合约定 | ARINC 429 标签 203 更新率 50ms ± 5ms | 接口测试记录 | 连续 10 次测量均在 45～55ms 范围内 |
| 合同任务书 | 交付物完整 | 提交 12 类文档、3 套软件、2 套硬件 | 交付物清单签收单 | 清单与合同附件逐项核对，无缺项 |
上表中的“项目指标”必须来自技术协议或任务书，不能由验收方临时发明。如果技术协议中没有写明，应在验收前通过变更或澄清程序补充，否则验收条款就失去了合同依据。
四、验收条款编写中的常见问题
- 标准引用过泛。只写“符合 DO-178C”，没有指明 DAL 等级、目标条款和证据形式，导致无法判定。
- 指标不可测量。如“软件运行稳定”，应改为“连续运行 72 小时无中断，故障间隔时间 MTBF ≥ 500 小时（示例值）”。
- 证据链断裂。标准要求追溯，但验收条款只要求提交报告，未要求报告与需求、测试用例之间的对应关系。
- 忽略安全性评估的迭代性。ARP4761 的评估是随设计迭代更新的，验收时应检查 SSA 是否与最终设计状态一致，而非只看早期 FHA。
总之，验收依据与标准体系不是一堆文件的堆砌，而是一条从适航规章到合同任务书的“要求传递链”。验收人员的核心能力，就是沿着这条链，把每一层的要求翻译成可检查、可判定、可追溯的验收条款，并用证据链证明产品确实满足了这些要求。