T/CSAA 63-2026 大型固定翼民用无人机飞行控制系统适航符合性设计指南

　　ICS 49.090

　　CCS V37

　　团 体 标 准

　　T/CSAA 63-2026

　　大型固定翼民用无人机飞行控制系统 适航符合性设计指南

　　Design guidelines for airworthiness compliance of flight control systems for large fixed-wing civil

　　unmanned aircraft system

　　2026-03-20发布 2 0 2 6 - 0 5 - 0 1 实 施 中国航空学会发布

　　T/CSAA63-2026

　　中国航空学会(英文简称CSAA) 是具备开展国内、国际标准化活动资质的全国性社会团体。 制定中国航空学会团体标准，以满足企业、市场需求和社会发展需要，推动航空技术创新和航空应 用新模式，是中国航空学会标准化工作内容之一。中国境内的团体和个人，均可提出制定、修订中 国航空学会团体标准的建议并参与有关工作。

　　中国航空学会团体标准按《中国航空学会标准管理办法》进行制定和管理。

　　中国航空学会团体标准草案经向社会公开征求意见、专家评审、公开公示等流程，方可由中国 航空学会予以发布。

　　在本标准实施过程中，如发现需要修改或补充之处，请将意见和有关资料寄给中国航空学会团 体标准与认证推进工作委员会。

　　本标准版权为中国航空学会所有。除了用于国家法律或事先得到中国航空学会正式许可外，不许以任何形式复 制、传播该标准或用于其他商业目的。

　　中国航空学会地址：北京市朝阳区芍药居北里101号1幢世奥国际中心A 座30楼

　　邮政编码：100028 电话：010-68799027 传真：010-68799050

　　网址：www.csaa.org.cn 联系人：梁勇 电子信箱：csaa_123@163.com

　　T/CSAA 63-2026

　　目 录

　　I/

　　T/CSAA63-2026

　　前 言

　　本文件依据T/CAS 1.1—2017《团体标准的结构和编写指南》的有关要求编写。

　　本文件由中国航空学会提出并归口。

　　本文件起草单位：中国民航科学技术研究院、北京航空航天大学、时代飞鹏科技有限公 司、中航(成都)无人机系统股份有限公司、四川腾盾科技有限公司、南京拓兴智控科技有 限公司、浙江众合科技股份有限公司、北京北方长鹰无人机科技有限公司、四川省天域航通 科技有限公司、山河星航实业股份有限公司、爱生无人机试验测试靖边有限公司、壹通无人 机系统有限公司、深圳市边界智控科技有限公司、什邡市蓉北物流发展服务中心、杭州牧星 科技有限公司、苏交科集团股份有限公司、北京博伦思智控有限公司。

　　本文件起草人：王祝、刘薇薇、张曙光、廖智麟、汪善武、唐世兴、邓强、龚成、胡顺 定、张翠萍、金奕山、金镭、马小革、冯墨、何珮、陈雨杨、李卫星、潘计辉、孙雪军、宁 承威、陆艳辉、袁佳、韩立祥、刘猛、屈文卿、孙歌苹、孙支涛、叶涛、张孝伟、刘彬、周 在福、何宏荣、李涛、邓宇、杨球、李倩、王胜、侯鑫、邓永昊、杨禹、李泽。

　　考虑到本文件中的某些条款可能涉及专利，中国航空学会不负责对任何该类专利的鉴别。 本文件首次制定。

　　大型固定翼民用无人机飞行控制系统适航符合性设计指南

　　1 范围

　　本文件规定了大型固定翼民用无人机飞行控制系统适航符合性设计过程中系统要求分 析、适航设计要求要点及符合性方法、符合性证据。

　　本文件适用于大型固定翼民用无人机飞行控制系统及其部件的适航符合性设计、验证等， 有人机改装无人机的适航符合性设计和验证可参考使用。

　　2规范性引用文件

　　下列文件中的内容通过文中的引用而构成本文件必不可少的条款。其中，注日期的引用 文件，仅该日期对应的版本适用于本文件。不注日期的引用文件，其最新版本(包括所有的 修改单)适用于本文件。

　　AP-21-AA-2023-11R1 型号合格审定程序

　　CCAR-92 民用无人驾驶航空器运行安全管理规则

　　《无人驾驶航空器飞行管理暂行条例》(国令第761号)

　　3术语、定义和缩略语

　　下列术语、定义和缩略语适用于本文件。

　　3.1 术语和定义

　　3.1.1

　　无人驾驶航空器系统 unmanned aircraft system

　　无人驾驶航空器以及与其有关的遥控台(站)、任务载荷和控制链路等组成的系统。

　　[来源：《无人驾驶航空器飞行管理暂行条例》(国令第761号)]

　　3.1.2

　　大型固定翼民用无人机 large fixed-wing civil unmanned aircraft system

　　升力主要来源于固定机翼、最大起飞重量超过150kg的民用无人驾驶航空器系统。 3.1.3

　　飞行控制系统 light control system

　　由飞行控制计算机、传感器、伺服作动设备和其他相关支持部件组成，实现飞行控制、 飞行管理、安全保护等功能的航空器子系统。

　　3.1.4

　　控制方式 control method

　　大型固定翼民用无人机的控制方式，一般分为自动控制、人工遥控及它们的组合。

　　T/CSAA 63-2026

　　3 .2缩略语

　　下列缩略语适用于本文件。

　　MC: 符合性验证方法 (Means of Compliance)

　　HIRF: 高强度辐射场 (High-Intensity Radiated Field)

　　EMI: 电磁干扰 (Electromagnetic Interference)

　　4 系统要求分析

　　4.1 一般要求

　　在大型固定翼民用无人机型号研制工作中，飞行控制系统考虑满足以下要求：

　　a) 应具有多种控制方式，能够完全自主地在飞行包线范围内，对飞行姿态、轨迹进行 有效控制;同时能够通过与数据链的接口，及时获取并执行遥控台(站)操控员发 出诸如高度、速度、航向或姿态控制等指令。

　　b) 应能实现对飞行过程的全程管理，能够对系统自身健康状况以及其他系统诸如动力 系统、电气系统等涉及安全的关键信息进行适当监测并管理，必要时采取应急处置 措施以确保飞行安全。

　　c) 应能实时将必要的飞行状态、安全关键信息等通过数据链下传至遥控台(站)显示， 供操控员监视及决策;同时，应能识别数据链丧失的状况，并在丧失数据链的情况 下采取有效措施以确保飞行安全。

　　4.2符合性设计内容

　　在大型固定翼民用无人机预期的运行环境内，应当考虑以下符合性设计内容：系统安全 性、功能和性能、接口、设备、软件、外部交联、安装、环境适应性、可维护性、持续适航 文件和运行安全保护。

　　4.3 符合性验证方法

　　根据AP-21-AA-2023-11R1 规定的符合性验证方法，适航符合性要求应通过分析、计算、 试验室试验、地面试验等方法进行验证，宜通过飞行试验进行验证;经评估的高风险验证项 目，诸如故障处理、应急控制等，可采取模拟器仿真飞行的方式进行验证。

　　5 适航设计要点及符合性方法

　　5.1 系统安全性

　　5.1.1 适航设计要点

　　在大型固定翼民用无人机审定批准的运行和环境限制下，飞行控制系统应设计和构造成：

　　a) 满足适用的审定等级和大型固定翼民用无人机性能等级要求的安全性水平。

　　b) 当系统和有关部件在单独考虑以及与其他系统一起考虑时，失效状态的严重程度和 失效概率之间必须满足下列要求：

　　1)每个灾难性的失效状态是极不可能的;

　　2 )每个危险的失效状态是极少发生的;

　　3 )每个主要的失效状态是非常小的。

　　c) 应根据预期运行场景的风险，参考相关标准，开展不同深度的系统安全性评估，确 保满足相应的安全性目标。

　　d) 对于冗余的设计，需要进行共因分析，共模故障不应影响飞行控制系统安全;对于

　　T/CSAA 63-2026

　　多余度冗余设计的飞行控制系统，且单一余度故障不会导致灾难性后果，冗余路径 需完全独立(包括供电、信号传输、物理布局),避免单一故障点同时影响多个冗 余单元。冗余系统的故障检测和切换需自动完成，并向操控员显示冗余系统的工作 状态，余度切换过程需平稳确切，不对飞机安全造成影响。

　　e) 应考虑隐蔽故障的影响，应尽可能消除对安全性有重大影响的隐蔽故障。

　　5. 1.2符合性方法

　　一般采用MC1 说明性文件及MC3 安全性分析进行验证。根据运行场景和设计特征， 确定审定等级以及设计安全性目标。其中，运行场景涉及运行风险评估的结果作为安全性设 计指标的输入，为无人驾驶航空器系统设计提供运行安全目标。对于风险较低的限用类无人 机，可以采取定性的系统安全性分析方法，作为系统测试验证的理论分析证据。

　　对于高风险的大型固定翼民用无人机，可以通过功能危险性评估、初步系统安全性分析 将安全性目标分配至飞行控制系统功能和组件，并通过对所有组件、所有功能进行验证，才 能确保自下而上安全性分析内容全面可靠。

　　可通过对飞行控制系统进行功能危险性评估、初步系统安全性分析、系统安全性分析， 并进行必要的区域安全性分析、共模分析和特定风险分析等，表明飞行控制系统功能相关失 效状态及安全性影响，满足飞机级功能危险性评估所分配的飞行控制系统安全性目标。

　　5. 1.3符合性验证要点

　　系统安全性验证应关注以下要点：

　　a) 要明确安全性目标。审查中对所有组件、所有功能进行审查，才能确保自下而上安 全性分析内容全面可靠。根据安全性目标确认飞行控制系统安全性目标;明确飞行 控制系统安全性分析的基本要求，将安全性目标分解至部件级，特别是将功能集成 部件应视同子系统。

　　b) 关注各系统之间的关联影响，对于某一系统某一功能的响应、运行要同时兼顾相关 系统的情况，并将与相关系统的关联体现在符合性说明文件中。特别是要注意功能 集成部件的分解。

　　c) 对于整机功能危险性评估，需要有丰富设计经验的设计专家进行评审，对于整机功 能要列举全面，对于功能失效等级，要综合考虑整机各系统功能情况给出结果，并 且在设计中可能需要反复迭代更新。该部分内容要综合考虑各种失效模式的情况， 是安全性分析工作中的重点。

　　d) 失效状态的分类将在很大程度上取决于系统的架构、设计理念和实现。失效状态的 分类可以包括：

　　1)相关部件不提供预定功能导致的功能失效;

　　2 )相关部件运行不当带来的故障。

　　失效状态应完全描述受影响的功能及影响。

　　失效状态应规定各飞行阶段发生时操控员的行动，或其他缓解措施。

　　余度配置需要确认余度独立性，不存在共模问题。

　　安全性分析尽可能采用服役数据，如果没有数据支持时，可以采用冗余度等效。 试验应覆盖设计的所有飞行包线。

　　e) 对于故障模式影响分析内容，要确保整机所有航线可更换单元级组件开展了故障模 式影响分析，并且要求分析到所有的故障模式中。

　　5.2 功能和性能

　　5.2.1 适航设计要点

　　T/CSAA 63-2026

　　飞行控制系统性能具体要求应按相应型号设计规范的规定。在大型固定翼民用无人机审 定批准的运行和环境限制下完成预期的飞行控制系统功能，一般包括：飞行控制功能、飞行 管理功能和安全保护功能。主要功能如下：

　　a) 飞行控制功能：产生和执行控制指令，使实现滑行、起飞、爬升、巡航、下降、进 近、着陆、复飞等飞行状态，按预期的轨迹飞行。具备姿态稳定与控制、航迹跟踪、 飞行状态转换、异常情况下的安全控制及支持多种控制方式等。

　　b) 飞行管理功能：对飞行全过程进行综合监控、决策与调度，负责统筹飞行控制、导 航、任务、动力、电气等子系统，实现从起飞到降落的全流程自主化管理。具备导 航管理、故障检测及处置、飞参记录、其他系统或设备管理(如需)等。

　　c) 安全保护功能，包括：

　　1)在不同构型、重量重心条件下，对可能超出飞行包线范围的情况，提供告警及 保护措施，包括超速保护、失速保护、非正常姿态保护、大迎角保护、近地保 护等;

　　2)在各子系统出现故障的情况下，应自动调整或降低飞行性能，从而获得最大限 度的飞行安全保护;

　　3)在起飞/着陆过程中应对可能出现的突发情况提供保护措施，如复飞功能;

　　4)其他，例如：状态异常告警、结冰告警、电子地理围栏、感知避让等。

　　飞行操纵的每个部件的操作应简便、平稳和确切，以完成其功能要求，防止可能的危害。

　　通过试验、分析或两者结合的方法证明飞行控制系统及其每个部件已经解决功能潜在的 不一致。

　　5.2.2 符合性方法

　　一般采用MC0 符合性声明、MC1 说明性文件、MC2 分析/计算、MC4 试验室试验、 MC5 地面试验、MC6 飞行试验、MC8 模拟器试验及各类试验的组合进行符合性验证。

　　MC1 说明性文件应明确在大型固定翼民用无人机审定批准的运行和环境限制下的全部 飞行控制系统功能和性能。

　　5.2.3 符合性验证要点

　　功能和性能验证应关注以下要点：

　　a) 开展模拟仿真、软件集成、硬件在环等试验，充分验证功能，试飞前进行全机地面 试验，多层次对飞行控制系统功能和性能进行验证，重点关注各功能之间的耦合影 响，详细分析每一个功能的响应、运行，同时兼顾相关功能的情况。

　　b) 保证数据可信度和验证效率，表明所有可能的安全保护功能符合要求，包括各种可 能的超出飞行包线情况、故障模拟、异常模拟等。

　　c) 应编制飞行控制系统的符合性说明文件MC1, 阐述操纵器件的机构组成、位置布 置、开关形式等，阐明对于要求的符合性情况。通过MC5 地面试验和MC6 飞行 试验，验证飞行操纵的实际工作情况是否符合要求。

　　d) 飞行控制系统操纵部件的设计一般供地面操控员在人工控制方式下，直接介入操控 大型固定翼民用无人机的飞行状态。可通过无人机操控员对于平稳确切情况的主观 评价，进行MC1 符合性说明。

　　e) 主要验证飞行控制系统各功能模块之间可能存在的不一致。应通过MC1 说明性文 件和MC2 分析/计算详细说明各功能模块之间的耦合关系，通过试验证明飞行控制 系统及其每个部件已经解决功能间潜在的不一致。试验以MC5 地面试验、MC6 飞 行试验和MC8 模拟器试验为主，MC4 试验室试验作为补充。

　　T/CSAA 63-2026

　　5 .3接口

　　5.3.1 适航设计要点

　　5.3.1.1 接口控制文件

　　系统接口应满足相应型号接口控制文件的要求，一般包括：电气接口、机械接口和通信 接口。接口的硬件和软件应满足可靠性、实时性、电磁兼容性等要求，交联双方应匹配。

　　5.3.1.2电气接口

　　飞行控制系统电气接口应满足以下要求：

　　a) 系统所有电气接口特性是在设备带负载情况下的特性。

　　b) 飞行控制系统应对相关电气接口特性进行定义。除另有规定外，电气接口特性应包 括：

　　1)供电方式;

　　2)适用供电电压、电流和功率范围;

　　3)供电电压波动、抗干扰与冲击电压要求;

　　4)接口信号工作频率与负载能力;

　　5)信号接口电平、波形、极性与相位关系;

　　6)信号的输入输出属性;

　　7)阻抗与绝缘阻抗;

　　8)短路保护与反向保护。

　　5.3.1.3 机械接口

　　机械接口一般包括安装要求(如尺寸、振动、方向、环境等),应符合型号设计规范。

　　5.3.1.4通信接口

　　通信接口应采用标准类型，如UART 、CAN 、以太网等，其电气特性应满足5.3.1.2 中的电气接口要求。接口信号的噪声不应引起有害的操纵动作。

　　通信接口根据型号设计规范确定，通信协议应包括报文格式和报文校验方法，并具有数 据校验功能和对流量、丢包与错包的监控功能。通信协议应满足对应等级的通信风险防范要 求，对于某些需要防止恶意篡改的信息，系统应采取可靠的信息安全措施，如签名认证、信 息加密等技术。

　　5.3.2 符合性方法

　　一般采用MC1 说明性文件、MC4 试验室试验、MC5 地面试验和 MC6 飞行试验的方式 进行符合性设计验证。对条款的验证要求具体包括：

　　a) 编写系统相关的接口文件，证明符合本标准适航设计要点要求;

　　b) 参考包括国军标、行标、国外标准中的验证要求，进行MC4 试验室试验，验证接 口抗干扰、电磁兼容及通信正确性;

　　c) 进行MC5 地面试验用于验证接口在真实负载、功率波动、环境温度、电磁干扰条 件下满足接口设计要求;

　　d)MC6 飞行试验用于验证在设计阶段所制定的接口设计的合理性，如果不能表明接 口设计的方法是可靠的，应通过飞行试验结果证实。

　　T/CSAA 63-2026

　　5.3.3 符合性验证要点

　　符合性验证中应关注的一般要素和审查重点如下：

　　a) 接口一致性验证时检查接口控制文件中定义的接口类型、连接方式、通信速率与系 统接口设计要求一致。

　　b) 电气接口验证时测量接口供电电压、电流、波形、阻抗、抗干扰和抗浪涌能力。

　　c) 机械接口验证时检查接口安装尺寸、方位、锁紧结构、防误插与防松措施，验证接 口在振动、温度变化及环境应力下的稳固性与可靠性。

　　d) 通信接口验证时验证通信报文格式、帧头帧尾、校验算法、错误响应及超时机制， 检查通信时延、丢包率、异常恢复性能。

　　5 .4设备

　　5.4.1 适航设计要点

　　5.4. 1. 1一般要求

　　飞行控制系统的设备功能满足系统设计需求;设备应符合局方认可的相关标准要求;根 据预期的使用限制，按对设备规定的限制进行安装。

　　5.4.1.2 飞行控制计算机

　　飞行控制计算机应满足以下要求：

　　a) 飞行控制计算机余度应满足安全性要求，如适用。余度间应具备全面可靠的故障逻 辑，确保故障余度的输出不会非预期地给到后端控制器件，导致飞行控制异常;

　　b) 在一般情况下，飞行控制计算机应对其输入信号进行有效性检查，飞行控制计算机 的输入、输出信号应具有可测试性;

　　c) 应规定并满足运行时间和存储空间裕量要求。除另有规定外，在验收时一般要有内 存、运行时间裕量，研制期间的裕量还应适当增大;

　　d) 飞行控制计算机电源设计应符合相应标准要求;

　　e) 数字计算和采样速率应确保不引入不可接受的相移、舍入误差、非线性特性、频率 重叠及混淆;

　　f) 在系统使用包线内，在接收到状态数据和控制指令或者其他可能出现的干扰的所有 可能组合情况下，参数定标、字长、输入限制及溢出保护应确保数据处理准确和连 续安全地工作;

　　g) 飞行控制计算机的接口应采取有效隔离措施，将与之交联的其他设备的失效或故障 限制在本机局部区域，不会进一步扩散，从而引发危险。

　　5.4.1.3 系统用传感器

　　系统用传感器向飞行控制计算机提供航空器导航、姿态、速度、加速度、角速度等信号。 具体传感器的选用由相应型号设计规范确定。传感器(包括导航设备或系统)应符合相应产 品的有关标准，并满足以下要求：

　　a) 所选用的传感器尺寸、重量应按大型固定翼民用无人机总体要求确定;

　　b) 角速度、航向、姿态等传感器的安装应考虑结构弹性的影响;

　　c) 传感器的余度配置应使系统满足安全性要求;

　　d) 传感器的性能指标等要求由系统设计确定，其内容一般包括：

　　1) 测量的信号及其量程;

　　2)精度(例如：导航系统或设备的定位精度及特别的误差类型);

　　T/CSAA 63-2026

　　3) 线性度和零位;

　　4 ) 频 率 特 性 ;

　　5 ) 实 时 性 ;

　　6 ) 接 口 ;

　　7) 电源与功耗;

　　8) 自检测与故障告警;

　　9) 环境适应性;

　　10)可靠性指标。

　　5.4.1.4伺服作动设备

　　伺服作动设备应符合相应产品的有关标准，并满足以下要求：

　　a) 伺服作动设备一般选用电动舵机，也可根据系统具体要求选用其他舵机;

　　b) 伺服作动设备的设计应在考虑下列因素后使其结构与特性满足相应型号设计规范 的要求：

　　1)物理特性(重量、尺寸);

　　2)输入输出信号;

　　3 ) 极 性 ;

　　4 ) 行 程 ;

　　5 ) 位 置 精 度 ;

　　6) 额定速度和最大速度;

　　7)输出载荷和极限载荷;

　　8) 初始位;

　　9) 稳定性;

　　10)负载特性;

　　11)功率;

　　12)传动机构间隙;

　　13)滞环;

　　14)动态响应;

　　15)频带;

　　16)非线性;

　　17)力纷争：对于有余度设计的伺服作动设备，应尽力限制通道间的力纷争;

　　18)电源与功耗;

　　19)自检测与故障告警;

　　20)环境适应性;

　　21)可靠性指标;

　　22)若选用液压舵机或电液复合舵机，还应规定泄漏量、主控阀剪切力等特性要求。

　　5.4.2 符合性方法

　　一般采用MC1 说明性文件、随机试验 (MC5 地面试验和MC6 飞行试验)报告、 MC9 设备合格性文件进行符合性验证;如必要，采用MC2 分析/计算报告和MC4 试验室试验报 告 。

　　对于复杂电子硬件设备和含有软件的设备还应按照相应的硬件合格审定指南和软件合 格审定指南完成研制过程，并提供相关的证明材料和服役数据(如有)。

　　5.4.3符合性验证要点

　　符合性验证中应关注的一般要素和审查重点如下：

　　a) 编制说明性文件，该文件中应包括系统的构型、设备组成、设备预期实现的功能、 技术参数、工作原理和相应的计算方法等。

　　b) 对采用新技术或新工艺的设备、关键设备、直接影响飞行安全的设备进行重点关注， 并选择部分设备进行重点审查和现场审查。

　　c) 通过MC4 试验室试验，对设备在所有要求的使用环境下进行功能试验，表明设备 在所有要求的使用环境下均可实现其功能;对于已取得相应资格证明，但不能满足 航空器使用环境要求的设备，应补充进行相关的MC4 试验室试验，表明在预设的 运行场景内，设备工作正常。

　　d) 进行设备装机后的MC5 地面试验，应在MC5 地面试验中验证尽可能多的功能， 包括故障模拟等;试验应按照经批准的试验大纲和程序进行，通过地面试验报告表 明设备在装机后功能正常。

　　e) 利用设备供应商提供的设备合格证明文件表明设备是经过合格鉴定的，设备的种类 和设计与预定功能相适应。设备合格证明文件可包括但不限于设备合格报告、设备 设计和性能声明、设备安装设计和性能声明、设备的试验室测试大纲与报告。

　　5 . 5软件

　　5.5.1 适航设计要点

　　飞行控制系统软件应满足以下要求：

　　a) 申请人应通过经局方认可的方法设计、实现和验证所有相关软件，将软件错误存在 的可能性减至最小，并符合其实施功能的关键性要求;

　　b) 软件的安全性要求应通过系统安全性评估确定;

　　c) 所有软件的修改应通过基线控制，记录变更日志;

　　d) 软件配置管理应明确版本标识规则、介质控制方法;

　　e) 软件组成、功能及其版本应在飞行手册或其他批准的手册中清晰描述;

　　f) 软件应具有可维护性和可测试性。包括：

　　1)应按软件质量保证体系研制和维护软件，确保软件文档齐全，软件编码具有可 读性，有足够的注释可说明;

　　2)除另有规定外，软件需求规格说明中的每项功能、每个外部接口都应可测试、 可显示，并应尽可能地存储测试数据;

　　3)所有软件都应该至少留出一个字节用于识别软件版本;

　　4)在进行软件维护时，应对已更改的软件进行回归测试，检验各软件配置项以保 证其一致性和完整性。

　　5.5.2 符合性方法

　　一般采用MC1 说明性文件、MC3 安全性评估和MC4 试验室试验进行验证。

　　局方认为必要时，申请人应建立相应的软件研制保证体系，至少通过软件合格审定计划、 软件构型索引、软件实施概要和软件合格报告表明软件设计的合格性;对于重点关注设备需 要进行软件合格性现场审查。

　　一般采用MC1 说明性文件和 MC3 安全性评估进行验证，当系统进行安全性分析后应 将软件项实现安全性需求纳入软件设计中，确保设计和验证符合安全性目标。

　　一般采用MC4 试验室试验，编制软件测试用例进行软件功能测试，验证软件功能符合

　　T/CSAA63-2026

　　软件研制文件的要求。

　　一般通过MC1 说明性文件表明：编写系统相关的软件设计文件、飞行手册或其他批准 的手册，证明软件设计过程、验证方法、配置管理及质量保证符合本标准适航设计要点要求。

　　5.5.3 符合性验证要点

　　局方认为必要时，申请人应建立相应的软件研制保证体系，确保系统级指标在分配给软 件过程中的正确性得到保证，软件生命周期的数据纳入构型管理，包括下述内容：

　　a) 系统需求分解到软件的过程和结果已得到评审和确认;

　　b) 系统安全性评估的过程和结果已得到评审和确认;

　　c) 软件架构设计得到了系统安全性评估的认可和确认;

　　d) 软件配置管理和测试结果已得到评审和确认;

　　e) 其他软件的系统输入数据已得到确认。

　　5.6外部交联

　　5.6.1适航设计要点

　　5.6.1.1 一般要求

　　外部交联主要包括飞行控制系统与电气系统、数据链、遥控台(站)、任务设备等其他 系统或设备的交联，其要求如下：

　　a) 在所有预期运行条件下，为飞行控制系统提供运行需要的电能;具有电源和配电功 能集成的部件，应按子系统的方式进行功能分解;

　　b) 应急供电情况下，确保飞行控制系统有效运行，完成应急处置程序;

　　c) 飞行控制系统正常工作或降级工作应不导致其他系统或设备的失效或故障;

　　d) 其他系统或设备的失效或故障应不会导致飞行控制系统的失效;

　　e) 交联系统或设备的状态应及时清晰无误地反馈给操控员。

　　5.6.1.2 与数据链相关设计要求

　　飞行控制系统应确保在链路出现异常的情况下，大型固定翼民用无人机能够按照5.11.1 的要求采取应急处置措施。

　　需要确保飞行控制系统与链路终端间的接口通信正常及稳定，并匹配链路的性能和传输 能力。

　　5.6.1.3 与遥控台(站)相关设计要求

　　飞行控制系统与遥控台(站)之间能够稳定、准确地交换飞行数据和控制指令。

　　飞行控制系统具有对遥控台(站)遥控指令的处理功能，应包括：

　　a) 接收并处理与飞行控制、任务控制相关的各种遥控指令数据;

　　b) 对上行遥控指令的有效性判断和容错功能;

　　c) 根据上行指令进行飞行任务在线重规划。

　　飞行控制系统具有遥测信息处理以及通过数据链下传遥控台(站)功能，遥测信息应包 括：

　　a) 大型固定翼民用无人机及机载设备的主要参数与状态;

　　b) 可说明系统工作情况的主要参数;

　　c) 遥控台(站)上行的遥控指令的回报信息;

　　d) 告警信息，如故障告警、低高告警、超高告警、超速告警、失速告警、接近限飞区 告警、飞入限飞区告警、余油/余电不足告警等。

　　T/CSAA63-2026

　　5.6.2符合性方法

　　一般采用MC0 符合性声明、MC1 说明性文件、MC2 分析/计算、MC4 试验室试验、 MC5 地面试验、MC6 飞行试验、MC8 模拟器试验及各类试验的组合进行符合性验证。

　　5.6.3符合性验证要点

　　符合性验证中需要关注的一般要素和审查重点如下：

　　a) 电源系统功能验证：验证电源在各种预期工作条件下能持续提供所需功率，电压/ 电流波动在允许范围内。确认应急供电切换逻辑正确，应急状态下飞行控制系统可 维持核心功能运行。

　　b) 冗余与隔离设计验证：核查主备电源、数据链通道、遥控台(站)设备等的隔离与 切换机制，防止共模故障。

　　c) 链路性能与稳定性验证：验证飞行控制系统与遥控台(站)间的通信带宽、延迟、 丢包率、抗干扰性能满足需求指标要求。

　　d) 遥控台(站)信息传输的验证要点：应验证飞行控制系统与遥控台(站)之间飞行 数据与指令传输的稳定性、准确性和完整性

　　e) 安全性与告警机制验证：验证异常监测与告警功能，确保故障状态下传及时可靠。

　　5 .7安装

　　5.7.1 适航设计要点

　　飞行控制系统安装应满足以下要求：

　　a) 选择的位置和安装方式不影响飞行控制系统的安全运行，飞行控制系统也不应导致 飞机结构或其他系统的不利影响;

　　b) 通过标牌标明其名称、功能或使用限制，或这些要素的适用的组合;

　　c) 在安装后功能正常。

　　5.7.2符合性方法

　　所有设备在表明对于本条款的符合性，获得装机批准时，都需要满足飞机安全性水平的 分配要求。

　　a) 一般通过MC1说明性文件来论证条款符合性。通过图纸表明设备或部件的安装符 合设备制造厂商提供的设备安装和使用手册，确保设备或部件的安装在规定的限制 内，能满足设备实现预定功能所需的安装要求;

　　b) 一般通过MC1 说明性文件论证条款符合性。通过MC1 说明性文件表明设备具有 标牌，并且说明标牌标明设备的名称、功能或使用限制;说明设备的安装限制，以 及设备的安装符合安装限制的方法。通过MC7 工程符合性检查，表明设备的标牌 正确地标明设备名称、功能或使用限制，或这些要素的适用的组合;

　　c) 一般通过MC1 说明性文件、MC5 地面试验、MC6 飞行试验和MC9 设备合格性鉴 定论证条款符合性。进行设备装机后的MC5 地面试验，应在MC5地面试验中验 证尽可能多的功能，包括故障模拟等;试验应按照经批准的试验大纲和程序进行， 通过MC5 地面试验报告表明设备在装机后功能正常。进行设备装机后的MC6 飞 行试验，应在MC6 飞行试验中的各种飞行条件下验证尽可能多的功能，试验应按 照经批准的试验大纲和程序进行，通过MC6 飞行试验报告表明设备在装机后功能 正常。利用设备供应商提供的MC9 设备合格证明文件表明设备是经过合格鉴定的， 设备的种类和设计与预定功能相适应。MC9 设备合格证明文件可包括但不限于设

　　备合格报告、设备设计和性能声明、设备安装设计和性能声明、设备的试验室测试 大纲与报告;对于复杂电子硬件设备和含有软件的设备，还应按照相应的硬件合格 审定指南和软件合格审定指南完成研制过程，并提供相关的证明材料。

　　5.8环境适应性

　　5.8.1 适航设计要点

　　飞行控制系统的设计应与整机的运行条件相适应，包括风、冰、电磁、HIRF 、闪电等， 其要求如下：

　　a) 在声明的环境条件下，包括 EMI 、HIRF 和闪电条件，飞行控制系统功能不会受到 有害影响。对于已鉴定系统的环境适应性必须记录在飞行手册及其他相关手册中;

　　b) 系统组成设备的环境试验必须在声明的环境条件下，符合局方认可的相关环境试验 标准，并记录在设备的说明书或履历本中。

　　5.8.2符合性方法

　　应明确环境试验、大气条件、高度条件、EMI 、HIRF 和闪电条件设计准则中的要求， 确定局方可接受的手册范围内的数值，明确已经经过验证的以及需要进行验证的。

　　一般通过MC1 说明性文件、MC4 试验室试验、MC5 地面试验和 MC3 安全评估论证条 款符合性。应在飞行手册中描述飞行控制系统功能不受影响的EMI 、HIRF 和闪电等环境条 件。

　　一般通过MC1 说明性文件和 MC9 设备合格性鉴定论证条款符合性。利用设备供应商 提供的设备合格证明文件表明设备是经过合格鉴定的，设备的种类和设计与预定功能相适应。

　　5.9可维护性

　　5.9.1 适航设计要点

　　对需要维护、检查或其他保养的每个部件和设备，应在设计中采取适当的措施，以便完 成这些工作。

　　5.9.2 符合性方法

　　一般通过MC1 说明性文件和MC7 工程符合性检查表明对需要维护、检查或其他保养 的每个部件和设备，在设计中采取了适当的措施，以完成相应工作。

　　5.10 持续适航文件

　　5.10.1 适航设计要点

　　申请人编制持续适航文件中飞行控制系统相关内容，或者在审定时至少提供持续适航文 件编制计划，确保在交付首架安装飞行控制系统的大型固定翼民用无人机时具有持续适航文 件 ;

　　申请人应在局方规定的航空器持续适航文件或等效文件中说明飞行控制系统的安装、运 行、维护要求。

　　5.10.2符合性方法

　　通过对条款的分析解读以及型号设计过程中的输出明确申请人所应编制的持续适航文 件，形成持续适航文件清单，与局方达成一致意见，保证其完整性。

　　一般通过MC1 说明性文件、MC7 工程符合性检查，表明对持续适航文件的完整性。并

　　T/CSAA63-2026

　　且通过MC1 说明性文件表明具备了对持续适航文件的编制和修订能力，也通过说明性文件 表明对持续适航文件编写格式的符合性。

　　一般通过MC1 说明性文件来论证条款符合性。

　　5.11 运行安全保护

　　5.11.1 适航设计要点

　　飞行控制系统的设计和功能，以及使用和维护说明，应合理保证其使用限制不会被超出。 其要求如下：

　　a) 运行范围保护：无人驾驶航空器系统或任何外部支持运行的系统的可能失效，不应 导致超出预期运行范围，运行范围一般由飞行包线和电子地理围栏组成;

　　b) 不安全起飞构型保护：起飞前飞行控制系统进行起飞前不安全起飞构型自检，不安 全起飞构型包括系统故障及系统可检测到的其他系统或部件故障;如自检出现不安 全起飞构型项，飞行控制系统应自动终止起飞并向操控员告警;

　　c) 飞行过程保护：飞行过程中，飞行控制系统周期性检测系统故障及系统可检测到的 其他系统或部件故障，如检测出现不安全项，系统应具备自动处置或通知操控员处 置的能力;

　　d) 感知与避让：飞行控制系统应具备与感知与避让系统的信息交互能力，从而获取潜 在的冲突和其他危险，并使操控员做出避让处置的能力，且满足操控员履行职责所 需的性能要求;

　　e) 其他。

　　飞行控制系统应具备应急处置能力， 一般包括：

　　a) 对于飞行控制系统功能和性能的任何损失或降级，应通过清晰明确的信号向操控员 发出警报;

　　b) 通过人工控制方式、自动控制方式或两者间组合的应急处置方式使民用无人驾驶航 空器系统不会导致可预见的灾难性后果;

　　c) 针对操控员无法远程控制的情况(数据链失效、遥控台(站)故障等),按照审定 要求的运行场景自动执行应急程序;

　　d) 飞行控制系统应提供最大可能缓解失效的应急处置方法，包括但不限于以下内容： 故障检测和监控、故障隔离和重新配置、冗余、权限限制、提醒操控员进行干预行 动;

　　e) 应急处置能力应具备保护措施，以防止其承受因误操作或未授权使用引发的危害;

　　f) 应急处置能力应在飞行手册或其他批准的手册中清晰描述，包括预先确定的应急着 陆地点及其状态和尺寸。任何操作限制、程序、指令和为了保证安全运行所必要的 任何额外信息应在飞行手册中提供。

　　5. 11.2符合性方法

　　通过对条款的分析解读以及型号设计过程中的输出，明确申请人所必须编制的MC1 说 明性文件，说明其完整性。通过MC5 地面试验、MC6 飞行试验和MC8 模拟器试验的组合 证明符合性。

　　5.11.3 符合性要点

　　应形成试验清单，与局方达成一致意见，验证其完整性。

　　需要多个有丰富设计经验的设计专家和专业无人机操控员共同评估。

　　6符合性证据

　　申请人在大型固定翼民用无人机型号研制和确认过程中，基于飞行控制系统相关设计需 求和安全性目标，可参考第5章所列举的适航设计要点，将适航符合性需求纳入型号设计流 程中;在设计验证过程中，可以参考第5章所列举的符合性方法，对应预期的运行风险和审 定基础要求，充分开展不同深度的型号设计验证工作，并做好文件数据管理，为适航型号取 证提供坚实的基础。