徐 劍 劉建方 韓鋮熹

（上海飛機設(shè)計研究院，上海 201210）

基于RTCA/DO-330的機載電子硬件工具鑒定準(zhǔn)則研究

徐 劍 劉建方 韓鋮熹

（上海飛機設(shè)計研究院，上海 201210）

簡要回顧了RTCA/DO-254《機載電子硬件設(shè)計保證指南》中工具鑒定的要求，介紹了國際航空無線電委員會（RTCA）最新發(fā)布的RTCA/DO-330《軟件工具鑒定考慮》。在此基礎(chǔ)上，提出了一種RTCA/DO-254的框架內(nèi)基于RTCA/DO-330進行機載電子硬件工具評估和鑒定的準(zhǔn)則。

機載電子硬件；工具鑒定；準(zhǔn)則；研究

隨著大規(guī)模集成電路的發(fā)展，機載電子硬件在現(xiàn)代民用飛機中承擔(dān)著越來越多和越來越重要的功能。為了規(guī)范民用飛機項目中機載電子硬件的研制過程，國際航空無線電委員會（RTCA）于2000年發(fā)布了RTCA/DO-254《機載電子硬件設(shè)計保證指南》（以下簡稱DO-254）。2005年，美國聯(lián)邦航空局（FAA）發(fā)布咨詢通告AC20-152《RTCA文件：RTCA/DO-254 機載電子硬件設(shè)計保證指南》接受DO-254作為機載電子硬件研制過程對適航規(guī)章的符合性方法。

現(xiàn)代機載電子硬件的研制過程中，隨著機載電子硬件規(guī)模的增加和功能架構(gòu)的復(fù)雜化，各種研制工具使用日益廣泛。工具的使用，減輕了電子硬件設(shè)計和驗證人員的工作量，減少了出現(xiàn)人為錯誤的概率，大大提高了機載電子硬件研制的效率。然而，如果工具本身存在缺陷和錯誤，那么就有可能導(dǎo)致該工具研制的機載電子硬件中的錯誤，從而影響飛機功能的正常運行和運營安全。因此，機載電子硬件研制過程中使用工具的評估和鑒定一直是民用飛機合格審定過程中的重要課題。

1 DO-254中的機載電子硬件工具鑒定要求

1.1 DO-254中機載電子硬件工具的分類

根據(jù)工具是否將在電子硬件中引入錯誤，DO-254將機載電子硬件研制過程中使用的工具分為設(shè)計工具和驗證工具。

設(shè)計工具是指用于生成硬件或設(shè)計硬件的工具。設(shè)計工具的錯誤可能會導(dǎo)致硬件中的錯誤。

驗證工具是指用于硬件驗證的工具。驗證工具的錯誤可能使工具無法檢測到硬件設(shè)計中的錯誤。

1.2 DO-254中的機載電子硬件工具評估和鑒定過程

DO-254在第11.4節(jié)提出了工具的評估和鑒定要求。DO-254中工具評估的定義為評估用于電子硬件設(shè)計和驗證活動的工具。工具評估的目的是確保工具能夠按照電子硬件設(shè)計保證等級（DAL）的要求，正確地執(zhí)行其功能。機載電子硬件工具評估過程如圖1所示。

圖1 機載電子硬件工具評估過程

機載電子硬件研制過程中使用的工具絕大部分也是軟件，因此DO-254中的工具鑒定要求與RTCA/ DO-178B《機載系統(tǒng)設(shè)備合格審定中的軟件考慮》（以下簡稱DO-178B）中的工具鑒定要求實際上是類似的。當(dāng)工具支持了DO-254規(guī)定的機載電子硬件的研制過程，且其輸出沒有經(jīng)過獨立的評估時，需要對工具進行鑒定。

DO-254中將工具鑒定分為基本工具鑒定和設(shè)計工具鑒定。基本工具鑒定即建立并執(zhí)行一個計劃，采用分析或測試的方法確認(rèn)工具在預(yù)定的應(yīng)用中產(chǎn)生了正確的輸出。DO-254中的基本工具鑒定實際上與DO-178B中驗證工具的鑒定過程是相同的。對于設(shè)計工具鑒定，DO-254沒有給出具體的鑒定指南，而是推薦可以按照DO-254附錄B中的策略，DO-178B中的開發(fā)工具鑒定指南或其他審查局方接受的方法進行鑒定。綜上所述，按照DO-178B中的開發(fā)工具和驗證工具的鑒定指南鑒定機載電子硬件研制過程中使用設(shè)計工具和驗證工具完全可以滿足DO-254的要求。

與DO-178B不同的是，DO-254只要求對用于支持A、B級機載電子硬件的設(shè)計工具進行設(shè)計工具鑒定，對C級設(shè)計工具或A、B級驗證工具只要求進行基本工具鑒定，對于D級設(shè)計工具和C、D級驗證工具則不要求進行工具鑒定。

2 RTCA/DO-330軟件工具鑒定考慮概述

2.1 RTCA/DO-330發(fā)布的背景

隨著電子硬件規(guī)模和復(fù)雜度的增長，工具在機載電子硬件的研制過程中實現(xiàn)了更多、更重要的功能，工具在機載電子硬件的研制過程中扮演著越來越重要的角色。另一方面，DO-254和DO-178B等行業(yè)標(biāo)準(zhǔn)中提出的籠統(tǒng)的指南已經(jīng)不能完全滿足工具鑒定的要求。

為了規(guī)范工具鑒定的過程，國際航空無線電委員會（RTCA）于2011年以獨立的標(biāo)準(zhǔn)形式發(fā)布了RTCA/DO-330《軟件工具鑒定考慮》（以下簡稱DO-330）。2013年，美國聯(lián)邦航空局（FAA）發(fā)布咨詢通告AC20-115C《機載軟件保證》接受包括DO-330在內(nèi)的5份RTCA標(biāo)準(zhǔn)作為機載軟件對適航規(guī)章的符合性方法。

2.2 DO-330標(biāo)準(zhǔn)的架構(gòu)

為了與先前標(biāo)準(zhǔn)中的工具鑒定框架保持一致，DO-330標(biāo)準(zhǔn)采用了與DO-178B/C類似的文件架構(gòu)。DO-330的文件架構(gòu)見圖2。

DO-330將工具生命周期過程分為計劃過程、開發(fā)過程和整體過程。其中開發(fā)過程又分為需求過程、設(shè)計過程、編碼過程和集成過程。整體過程由驗證過程、構(gòu)型管理過程、質(zhì)量保證過程和合格審定聯(lián)絡(luò)過程組成，并貫穿與整個工具生命周期過程的始終。DO-330第4章到第9章分別給出了工具生命周期不同階段的目標(biāo)和活動，并在附件A表T-1到T-10總結(jié)了整個工具生周期的目標(biāo)。

圖2 DO-330的文檔架構(gòu)

除了工具生命周期過程，DO-330還提出了工具操作過程（Tool Operational Process），包括工具操作需求過程、工具操作集成過程以及工具操作驗證和確認(rèn)過程。工具操作過程的目的是定義具體項目中的工具操作需求、將工具集成到目標(biāo)環(huán)境中并驗證和確認(rèn)工具滿足具體項目中的工具操作需求。DO-330附件A表T-0總結(jié)了工具操作過程的目標(biāo)。

2.3 DO-330的應(yīng)用策略

DO-330將工具分為5個鑒定級別（Tool Qualification Level， TQL）：TQL-1～TQL-5，不同級別工具的鑒定過程需滿足的工具鑒定目標(biāo)不同。TQL-1級別的工具需滿足的目標(biāo)最多，鑒定的要求最高。隨著TQL的遞減工具需要滿足的目標(biāo)越來越少，鑒定的嚴(yán)格程度也越來越低。

但是，DO-330標(biāo)準(zhǔn)本身并沒有定義確定工具鑒定級別的準(zhǔn)則，而且DO-330描述的工具鑒定過程也不基于特定的行業(yè)領(lǐng)域。DO-330第1.3節(jié)指出，這份標(biāo)準(zhǔn)也可以在汽車、航天、電子硬件、航空數(shù)據(jù)庫等航空領(lǐng)域以外的行業(yè)的工具鑒定過程中使用。當(dāng)使用DO-330進行工具鑒定時，這些行業(yè)領(lǐng)域的標(biāo)準(zhǔn)應(yīng)該具體定義確定工具鑒定級別的準(zhǔn)則。如果行業(yè)標(biāo)準(zhǔn)中沒有相關(guān)的準(zhǔn)則，特定項目的軟件合格審定計劃（Plan for Software Aspect of Certification, PSAC）或等效文件中也可以定義對應(yīng)準(zhǔn)則。

3 基于DO-330的機載電子硬件工具鑒定準(zhǔn)則

3.1 機載電子硬件工具TQL的確定準(zhǔn)則

確定機載電子硬件工具TQL的前提是評估工具的使用對DO-254中機載電子硬件生命周期過程的影響。工具對DO-254過程的影響可以根據(jù)如下3個準(zhǔn)則進行評估：

準(zhǔn)則1：工具輸出是電子硬件的一部分。工具的錯誤可能會導(dǎo)致硬件中的錯誤。

準(zhǔn)則2：工具用于電子硬件驗證過程。工具的錯誤可能使工具無法檢測到硬件設(shè)計中的錯誤。但其輸出還用來聲明消除或減少了除工具自動化的過程以外的驗證過程，或機載電子硬件的開發(fā)過程。

準(zhǔn)則3：工具用于電子硬件驗證過程。工具的錯誤可能使工具無法檢測到硬件設(shè)計中的錯誤。

如果由于工具的使用而減少、消除或自動化了DO-254中規(guī)定的電子硬件設(shè)計或驗證過程，且其輸出沒有進行獨立評估時，應(yīng)根據(jù)上述3個原則按照表1確定工具的TQL。

3.2 基于DO-330的機載電子硬件工具評估和鑒定過程

明確了基于DO-330的機載電子硬件工具的TQL后，就可以按照DO-330中相應(yīng)TQL適用的要求進行工具鑒定。在這種框架下，DO-254中機載電子硬件工具評估和鑒定過程可以修訂為圖3所示。

表1 機載電子硬件工具TQL的確定

圖3 基于DO-330的機載電子硬件工具評估過程

4 小結(jié)

DO-330從發(fā)布到現(xiàn)在只走過了不到3年時間。只有國際航空無線電委員會（RTCA）在同一時間發(fā)布DO-178C和RTCA/DO-278A《CNS/ATM系統(tǒng)的軟件完整性保證考慮》時定義了機載軟件和地面軟件項目中使用DO-330進行工具鑒定的準(zhǔn)則。目前，還沒有任何民用飛機項目中使用的機載電子硬件工具使用DO-330完成鑒定。

在DO-254的框架下，本文提出了一種基于DO-330機載電子硬件工具評估和鑒定準(zhǔn)則，希望為我國將來民用飛機項目中的機載電子硬件工具鑒定提供參考。

（編輯：雨晴）

V243

C

1003–6660（2014）06–0044–03

10.13237/j.cnki.asq.2014.06.012

[收修訂稿日期] 2014-06-26