第二章：适航法规体系——FAA/EASA/CAAC 适航标准、DO-178C 软件指南、DO-254 硬件指南

各位同学，咱们今天聊点“硬核”的。做航空座舱显示系统，说白了就是给飞行员做“眼睛”。这双眼睛要是出了岔子，后果不堪设想。所以，谁说了算？不是项目经理，不是产品经理，是适航法规。

我刚开始接触这个领域时，也觉得法规条文枯燥得像天书。但干久了你会发现，每一条背后都是血淋淋的教训。嗯，咱们今天就把它掰开揉碎了讲。

2.1 三大适航当局：FAA / EASA / CAAC

全球航空电子系统要上天，必须拿到“准生证”。这个证由谁来发？就是下面这三位“大佬”。

机构	全称	管辖区域	核心特点
FAA	美国联邦航空管理局	美国及全球影响力	技术标准最成熟，全球适航体系的“老大哥”
EASA	欧洲航空安全局	欧盟成员国	更强调“独立安全评估”，流程上比FAA更细致
CAAC	中国民用航空局	中国	近年发展迅猛，基本等效采用FAA/EASA标准，但增加了本土化要求

我个人习惯，在项目启动前，先搞清楚产品最终要卖到哪儿。如果只卖国内，CAAC是底线；如果要出口，FAA或EASA的认证必须提前规划。千万别想着先做出来再补认证，那成本会让你哭。

2.2 DO-178C：软件开发的“圣经”

说到软件，DO-178C是绕不开的。全称是《机载系统和设备合格审定中的软件考虑》。你想想看，座舱显示系统里跑着几十万行代码，万一死机了怎么办？DO-178C就是来管这事儿的。

它把软件安全等级分成了A到E五级：

• Level A：软件失效会导致灾难性事故。比如飞控系统。座舱显示如果黑屏，也属于这个级别。
• Level B：会导致危险/严重故障。
• Level C：会导致重大故障。
• Level D：会导致轻微故障。
• Level E：无影响。

我在项目中遇到过，很多刚入行的工程师觉得“我代码写得没问题，干嘛要搞那么多文档？” 其实DO-178C的核心不是代码本身，而是过程保证。它要求你证明：你的开发过程是受控的、可追溯的、可验证的。

DO-178C的几个关键活动，我列一下：

1. 计划阶段：制定软件合格审定计划（PSAC）。
2. 开发阶段：需求、设计、编码、集成。
3. 验证阶段：评审、分析、测试。覆盖率必须达标。
4. 配置管理：所有东西都要受控，改个变量名都要走流程。
5. 质量保证：有独立的人盯着你，看你有没有偷懒。

说白了，DO-178C就是逼着你用“笨办法”做“聪明事”。

2.3 DO-254：硬件的“紧箍咒”

硬件呢？以前大家觉得硬件是“物理的”，不容易坏。直到FPGA和复杂ASIC大规模应用，大家发现：硬件也会“出bug”。DO-254就是针对机载电子硬件的设计保证指南。

它和DO-178C是兄弟关系。软件有A到E级，硬件也有对应的等级。座舱显示系统里的图形处理芯片、视频编码器，都属于DO-254的管辖范围。

DO-254强调什么？我总结三点：

• 需求捕获：硬件要满足什么功能？安全目标是什么？
• 设计实现：原理图、PCB、FPGA代码，都要有据可查。
• 验证确认：仿真、测试、分析，一个都不能少。

2.4 三者的关系与实战建议

FAA/EASA/CAAC是“法律”，DO-178C和DO-254是“实施细则”。你通过了DO-178C和DO-254的审查，就等于拿到了适航当局的认可。

对于座舱显示系统，我建议你重点关注以下几点：

• 显示延迟：从传感器数据到屏幕显示，延迟必须可控。DO-178C要求你证明这一点。
• 故障注入测试：模拟硬件失效，看软件能不能正确处理。这是DO-254和DO-178C的交集。
• 分区保护：座舱显示里可能同时运行多个应用（地图、仪表、告警），一个崩溃不能影响另一个。ARINC 653标准就是干这个的，但它和DO-178C紧密相关。

最后说一句掏心窝子的话：别把适航认证当成“负担”。它其实是帮你建立一套“不出错”的工作习惯。我做了十几年，现在写任何代码、画任何板子，脑子里都会自动过一遍“如果这个失效了，会怎样？” 这就是适航思维。

好，这一章就到这里。下一章咱们聊聊具体的系统架构设计，看看怎么把DO-178C和DO-254的要求落地到实际项目中。