民用飛機(jī)簡(jiǎn)單電子硬件符合性驗(yàn)證策略研究

胡曉莉+邵偉

【摘 要】在民用航空領(lǐng)域，簡(jiǎn)單電子硬件是一類特殊的重要機(jī)載電子硬件。如何對(duì)其進(jìn)行符合性驗(yàn)證，從而滿足合格審定的要求，當(dāng)前仍存在著一定困惑和分歧。本文結(jié)合某型號(hào)飛機(jī)的研制經(jīng)驗(yàn)，提出了一種可行的簡(jiǎn)單電子硬件符合性驗(yàn)證策略。

【關(guān)鍵詞】簡(jiǎn)單電子硬件；RTCA/DO-254；設(shè)計(jì)保證等級(jí)

【Abstract】Simple electronic hardware is one specific category of airborne electronic hardware in the field of civil aviation. Confusion and divergence are still existed on how to verify simple electronic hardware to ensure the compliance to related standard for now. Based on the experience of developing certain aircraft， a feasible strategy of the compliance verification for civil aircraft simple electronic hardware is investigated.

【Key words】Simple Electronic Hardware； RTCA/DO-254； Design Assurance Level

0 引言

在民用飛機(jī)領(lǐng)域，廣泛應(yīng)用的機(jī)載電子硬件是指客戶化編碼器件，如ASIC、PLD或FPGA等。RTCA/DO-254中將其具體分為簡(jiǎn)單電子硬件（Simple Electronic Hardware，以下簡(jiǎn)稱SEH）和復(fù)雜電子硬件。對(duì)于復(fù)雜電子硬件的開發(fā)已有具體的標(biāo)準(zhǔn)和指南；而對(duì)于SEH的符合性驗(yàn)證要求，F(xiàn)AA僅僅在其Order 8110.105 CHG1中提出了概要性的要求，并未給出具體的驗(yàn)證策略和指南，從而給實(shí)際工程應(yīng)用帶來了一定的困惑。針對(duì)該問題，本文提出一種具體的SEH符合性驗(yàn)證策略，以滿足SEH（特別是A、B級(jí)別SEH）的合格審定要求。

1 SEH的定義和合格審定要求

1.1 SEH的定義

RTCA/DO-254在第1.6章節(jié)給出了SEH的定義：對(duì)于一個(gè)硬件項(xiàng)目，如果用適合于該硬件對(duì)應(yīng)的設(shè)計(jì)保證等級(jí)的確定性測(cè)試和分析的完整組合，即可確保其在所有可預(yù)見的運(yùn)行條件下執(zhí)行正確功能且無異常行為，則其可被定義為SEH。

1.2 SEH的合格審定要求

雖然RTCA/DO-254給出了SEH的定義，但是并未對(duì)什么是“適合于硬件對(duì)應(yīng)設(shè)計(jì)保證的確定性測(cè)試和分析”給出進(jìn)一步說明，因此FAA 在其Order 8110.105 CHG1中對(duì)該問題進(jìn)行了明確，提出了如下SEH合格審定要求。

a）對(duì)于A、B級(jí)別SEH，其驗(yàn)證需要進(jìn)行確定性測(cè)試和分析的全面結(jié)合，要驗(yàn)證該SEH的所有輸入、內(nèi)部元素、節(jié)點(diǎn)、寄存器、鎖存器、邏輯單元和邏輯門在所有可能的排列組合下都能夠正確運(yùn)行，沒有異常行為。即要在門電路層級(jí)要進(jìn)行完整的驗(yàn)證和分析。

b）對(duì)于C級(jí)別SEH，其驗(yàn)證需要進(jìn)行確定性測(cè)試和分析的全面結(jié)合，驗(yàn)證該SEH在其管腳輸入條件的所有可能的排列組合下都能夠正確運(yùn)行。即要在管腳層級(jí)要進(jìn)行完整的驗(yàn)證和分析。

c）對(duì)于D級(jí)別SEH，不需要器件層級(jí)的測(cè)試，只需要在板卡、設(shè)備、或單元級(jí)證明其滿足器件級(jí)需求即可。即完整的功能驗(yàn)證和分析。

2 SEH的符合性驗(yàn)證策略

雖然FAA針對(duì)SEH提出了合格審定要求，但是并未對(duì)如何滿足該要求，給出建議的解決方法或策略?；谙惹绊?xiàng)目上的經(jīng)驗(yàn)及相關(guān)研究，提出了如下針對(duì)不同設(shè)計(jì)保證等級(jí)SEH的符合性驗(yàn)證策略，并給出具體的實(shí)例進(jìn)行說明。

2.1 不同級(jí)別SEH的符合性驗(yàn)證策略

2.1.1 A/B級(jí)別SEH的符合性驗(yàn)證策略

FAA對(duì)于A/B級(jí)別的SEH的要求，包含了以下兩個(gè)方面的要求。

a）全面的確定性測(cè)試和分析；

b）門電路層級(jí)的元素的全覆蓋。

對(duì)于a）要求，可以通過對(duì)SEH的外部接口進(jìn)行窮盡測(cè)試來滿足。對(duì)如何完成窮盡測(cè)試，本文提出以下公式來計(jì)算當(dāng)前SEH需要的測(cè)試案例的數(shù)量。

測(cè)試案例數(shù)=2輸入接口數(shù)×2狀態(tài)配置數(shù)=2（輸入接口數(shù)+狀態(tài)配置數(shù)）（1）

對(duì)于b）要求，其本質(zhì)是要求在驗(yàn)證過程中，測(cè)試到門電路層級(jí)每個(gè)元素的所有狀態(tài)。由于外部接口的窮盡測(cè)試不保證能滿足該要求，因此需要使用附加的測(cè)試和分析方法，具體步驟如下。

首先需要分析在管腳級(jí)（即外部接口）的窮盡測(cè)試中，每個(gè)內(nèi)部邏輯元素的所有狀態(tài)是否都已經(jīng)得到覆蓋。若能夠得到全覆蓋，則b）要求可直接滿足；若不能夠得到全覆蓋，則需增加額外的測(cè)試，以保證每個(gè)內(nèi)部邏輯元素的所有狀態(tài)都能夠得到覆蓋。由于對(duì)外部輸入已經(jīng)進(jìn)行了完整的驗(yàn)證，在進(jìn)行額外測(cè)試的過程中，僅需要考慮增加額外的測(cè)試激勵(lì)和設(shè)備等，從而保證內(nèi)部邏輯元素的所有狀態(tài)都能被激活且被觀測(cè)。

2.1.2 C級(jí)別SEH的符合性驗(yàn)證策略

對(duì)于C級(jí)別SEH，F(xiàn)AA在本質(zhì)上要求管腳層級(jí)的完整驗(yàn)證。因此，僅需驗(yàn)證其在各輸入引腳的所有排列組合下能否正常工作即可。

2.1.3 D級(jí)別SEH的符合性驗(yàn)證策略

對(duì)于D級(jí)別的SEH，F(xiàn)AA要求在本質(zhì)上是一種功能性的驗(yàn)證，因此要保證驗(yàn)證活動(dòng)對(duì)該SEH需求的全覆蓋。

2.2 實(shí)例說明

如圖1所示的邏輯電路，該邏輯電路中包含3個(gè)邏輯輸入，1個(gè)輸出，4個(gè)邏輯門。由于本電路中不存在觸發(fā)器（Flip-Flop），所以公式（1）中的狀態(tài)配置數(shù)目為0。

圖1 邏輯電路

若該電路設(shè)計(jì)被定義為A或B級(jí)別SEH，依據(jù)2.1.1節(jié)中提出的驗(yàn)證策略，應(yīng)進(jìn)行的計(jì)算和分析步驟如下：

a）對(duì)本電路外部接口進(jìn)行全面的確定性測(cè)試，根據(jù)公式（1），需要的測(cè)試案例個(gè)數(shù)為2（3+0）=8個(gè)；

b）分析得出，圖中X節(jié)點(diǎn)在外部接口窮盡測(cè)試的基礎(chǔ)上，其值恒定為1，門電路層級(jí)的元素未能全覆蓋，不滿足2.1.1節(jié)對(duì)A、B級(jí)別的要求b）；

c）需要通過外部設(shè)備對(duì)該節(jié)點(diǎn)進(jìn)行專門的測(cè)試，驗(yàn)證該節(jié)點(diǎn)值為0時(shí)其后面“與”門是否能執(zhí)行正確的功能，因此需要再增加2個(gè)測(cè)試案例。

d）因此，若該電路設(shè)計(jì)被定義為A或B級(jí)別的SEH，則至少需要2（3+0）+2=10個(gè)案例。

若該電路為被定義為C級(jí)別SEH，不用考慮是否全面覆蓋其內(nèi)部所有邏輯門。因此只需考慮其A、B、C三個(gè)輸入的所有組合情況，即需要23=8個(gè)案例。

若該電路為被定義為D級(jí)別SEH，只需要依據(jù)該SEH需求編制測(cè)試用例，并最終滿足對(duì)其需求的全覆蓋即可。

3 SEH符合性驗(yàn)證的附加考慮

針對(duì)提出的上述符合性驗(yàn)證策略，在實(shí)際的工程實(shí)踐中，還需要另外考慮以下兩方面問題。

3.1 SEH的符合性數(shù)據(jù)編制問題

RTCA/DO-254針對(duì)復(fù)雜電子硬件，定義了一系列的生命周期過程和符合性數(shù)據(jù)，但是對(duì)于SEH，并未給出明確的要求。在SEH的符合性驗(yàn)證過程中，一定的符合性數(shù)據(jù)是必須的。參考RTCA/DO-254第十章，建議的要求如下：硬件合格審定計(jì)劃、硬件驗(yàn)證計(jì)劃、硬件構(gòu)型管理計(jì)劃、硬件需求、硬件構(gòu)型索引、硬件軟件接口數(shù)據(jù)、硬件可追溯性數(shù)據(jù)、硬件評(píng)審和分析結(jié)果、硬件測(cè)試程序、硬件測(cè)試結(jié)果、問題報(bào)告、硬件構(gòu)型管理記錄、硬件完成綜述。

3.2 SEH完整性測(cè)試的可行性問題

理論上，所有的機(jī)載電子硬件都可以按照SEH的合格審定要求，進(jìn)行完整的驗(yàn)證和分析，但是在實(shí)際的工程實(shí)踐中，由于受到測(cè)試設(shè)備、測(cè)試技術(shù)以及硬件設(shè)計(jì)的復(fù)雜度等各方面的影響，大部分的機(jī)載電子硬件很難滿足該要求。因此，在明確為簡(jiǎn)單還是復(fù)雜電子硬件之前，必須要進(jìn)行充分的可行性研究和判定。

4 小結(jié)

SEH（特別是A、B級(jí)別）的符合性驗(yàn)證問題是民用飛機(jī)機(jī)載電子硬件符合性驗(yàn)證工作的一個(gè)難點(diǎn)問題。本文在深入理解SEH的合格審定要求的基礎(chǔ)上，依據(jù)要求制定了一套適用的符合性驗(yàn)證策略，對(duì)指導(dǎo)具體的工程實(shí)踐，具有非常重要的意義。

【參考文獻(xiàn)】

[1]SC-180，RTCA/DO-254， DESIGN ASSURANCE GUIDANCE FOR AIRBORNE ELECTRONIC HARDWARE， April 19， 2000[Z].

[2]FAA AC 20-152， RTCA， Inc.， Document RTCA/DO-254， Design Assurance Guidance for Airborne Electronic Hardware[Z].

[3]CAST 30， Simple Electronic Hardware and RTCA Document DO-254 and EUROCAE Document ED-80， Design Assurance Guidance for Airborne Electronic Hardware， August 2007， Rev 0[Z].

[4]FAA ORDER 8110.105 CHG 1，SIMPLE AND COMPLEX ELECTRONIC HARDWARE APPROVAL GUIDANCE， 9/23/08[Z].

[5]EASA CM - SWCEH - 001， Development Assurance of Airborne Electronic Hardware， 11th of August 2011[Z].

[責(zé)任編輯：張濤]