eVTOL 航电架构：三余度飞控、组合导航与适航符合性路径

一句话答案：eVTOL 航电选型的本质是把「飞控、导航、通信、显示、飞行管理」当成一个整体做余度设计，而不是分别采购五个盒子拼起来。工程上可行的起点是：三余度飞控（或双余度 + 独立备份）、GNSS/INS 组合导航 + 视觉辅助、双链路通信（蜂窝 + 卫星/专网）、双屏显示 + 独立告警。任何一环只买单套，整机的安全评估都过不去；任何一环买三套但共用电源与时钟，共因失效一样会一锅端。

一、痛点：航电最贵的不是设备，是集成

做整机的团队常有一种错觉：航电是「买回来装上去」的活。实际情况是，航电的成本里集成与验证占了一半以上，而且越晚发现问题越贵。

• 余度设计做在纸面上：三套飞控共用一路电源、一个大气数据源，看似三余度，实际是单点。
• 导航精度撑不住场景：城市峡谷与山区，纯 GNSS 定位跳点多，没有 INS 紧组合与视觉辅助，进近段就会飘出保护区。
• 通信断链没有预案：低空 300 m 以下的蜂窝覆盖并不均匀，一旦失联，飞机是按预设航线继续、悬停等待还是返航，必须在设计阶段写死。
• 告警淹没飞行员：几十条告警同优先级弹出来，真正致命的那条被埋掉。

这四个问题的共同点是：它们全部是「系统级」问题，单个设备供应商都不负责。所以必须有一个整机层面的航电架构负责人。

二、依据：航电该按什么标准搭

航电是适航审查的重点，标准体系相对成熟，但要按机型类别选择：

• 软件：DO-178C，按功能失效影响确定等级（A–E）；飞控核心功能通常落在 A/B 级。
• 硬件：DO-254，复杂电子硬件的设计保证。
• 环境：DO-160，温度、振动、低气压、雷电、射频敏感度。
• 安全评估：ARP4754A（系统）与 ARP4761（安全评估方法），做 FHA、PSSA、SSA 与 CCA。
• 国内运行侧：无人驾驶航空器运行管理、载人无人驾驶航空器审定的相关规章与专用条件，具体适用条款以局方审定的型号基础为准。

这里最容易踩的坑是拿「车规」或「工业级」当「航空级」。器件温区、振动谱、寿命模型完全不同，能过车规不等于能过 DO-160。另一个坑是把 DO-178C 的等级当成软件质量等级——它衡量的是失效后果的严重性，不是代码写得好不好。

三、分层架构：五个子系统 + 两条共用主线

把航电按功能拆成五块，同时明确两条「共用主线」——电源与时间基准，这两条线是共因失效的高发区。

子系统	组成	关键指标（工程参考）	接口
飞行控制	三余度飞控计算机、作动器控制	表决周期 ≤20 ms；单通道失效率 <1E-5/FH	ARINC 429 / CAN FD / 以太网（AFDX 思路）
导航	GNSS（多星座多频）、INS、气压/磁、视觉辅助	水平定位误差 ≤3 m（1σ）；完好性告警 ≤2 s	NMEA/二进制原始观测、PPS 授时
通信	蜂窝（4G/5G）、卫星、专网/图传、ADS-B In	链路切换 ≤3 s；丢包率 ≤1%（视距）	双链路冗余、C2 链路协议
显示与告警	双屏 PFD/ND、独立告警灯与音响	刷新 ≥30 Hz；关键告警响应 ≤1 s	视频/以太网、离散量
飞行管理	航线规划、性能计算、能量管理	航路重规划 ≤5 s；能量预测误差 ≤5%	与飞控、导航双向
共用主线	一次/二次电源、时间同步	电源独立双路 + 应急电池 ≥15 min	离散量、PPS

这张表要重点盯两处：①每个余度通道的电源是否独立（不能只分线不分源）；②时间基准是否统一（各设备各跑各的时钟，融合算法就会出现「数据对不上时间」的假故障）。

四、选型参数表

参数	为什么关键	建议阈值
飞控余度	直接决定安全等级上限	三余度（或双余度 + 独立备份通道）
软件等级	适航审查硬门槛	核心飞控 ≥DO-178C Level B，关键功能 Level A
导航组合方式	决定复杂环境可用性	GNSS/INS 紧组合 + 视觉/激光辅助
完好性监测	防止「自信地飞错」	具备 RAIM/故障检测与排除能力
通信链路	超视距运行的前提	双链路异构（蜂窝 + 卫星/专网），自动切换
显示与告警	人因与处置效率	双屏 + 独立告警通道，告警分级 ≤3 级
环境适应性	装机位置决定	按 DO-160 对应类别，留 6 dB EMC 裕度
可维护性	放行与排故	内置 BIT + 便携维护终端，故障定位到 LRU

五、实施里程碑：18 周

阶段	周期	交付物	放行条件
架构定义	第 1–3 周	航电架构图 + FHA 初稿 + ICD	安全目标分解到子系统
设备选型	第 4–7 周	选型矩阵（含等级声明与试验报告）	软件等级与余度满足 FHA
台架集成	第 8–12 周	系统综合台架 + 数据总线联试	总线零丢帧、时间同步 ≤1 ms
故障注入	第 13–15 周	单点/共因故障注入报告	100% 按预期降级，无危险状态
装机试飞准备	第 16–18 周	试飞大纲 + 地面滑行数据	局方/试飞团队评审通过

六、验收与 SLA

• 余度验证：逐通道断电、断总线、注入错误数据，验证表决逻辑与切换时间；
• 导航精度：在至少 3 类场景（开阔、城市峡谷、山区）各飞 5 架次，统计水平/垂直误差与完好性告警；
• 通信：做断链、弱网、切换三类试验，记录切换时间与数据完整性；
• SLA：AOG 件 24 h 发出；软件缺陷 72 h 内给出补丁或规避方案；适航审查支持按需到场；
• 数据义务：交付总线协议文档、故障码字典、BIT 说明，支持运营方自建监控。

七、预算构成

以 2 吨级机型全套航电为例，成本构成大致如下（公开询价区间）：

科目	占比	说明
飞控计算机与作动控制	30%–38%	三余度 + 高等级软件的验证成本占大头
导航（GNSS/INS）	18%–24%	航空级 IMU 与多频 GNSS 是溢价点
通信链路	15%–20%	双链路 + 天线 + 卫星通信模块
显示与告警	10%–14%	双屏 + 独立告警单元
飞行管理与软件集成	10%–15%	含系统集成与验证

经验值：航电总成本里约 40% 是「看不见的」——文档、验证、审查支持。只比硬件报价，最后一定超预算。

八、常见问题

Q1：双余度够不够，一定要三余度吗？

看安全目标和构型。载人机型、且失效后没有其他手段保安全的，通常需要三余度或「双余度 + 独立备份」；无人货运、有条件限制运行、可接受迫降的，双余度加严密的失效检测也可能被接受。结论要由 FHA/PSSA 推出来，不能对标别人家的构型。

Q2：城市里 GNSS 飘，靠什么补？

三层补：一是 GNSS/INS 紧组合，短时失锁靠惯导递推；二是视觉/激光辅助定位，做相对位置约束；三是地理围栏与保护区设计，让航线本身不依赖米级精度。三层一起上才是工程解，只加一个视觉模块通常不够。

Q3：通信断了飞机怎么办？

必须在设计阶段定义「失联行为」，常见三选一：继续按预设航线飞完、原地悬停等待恢复、立即返航。选择取决于空域条件与电量余量，并且要写进运行手册报批。最忌讳的是没定义，让飞控自己「看着办」。

Q4：能不能用开源飞控做适航机型？

做原型和验证可以，做取证机型基本不行。问题不在代码质量，而在配置管理、需求追溯、验证证据链——DO-178C 要的是「每行代码都能追到需求、每次修改都有记录」，开源项目的过程证据通常不满足。可考虑以开源为参考自研，或采购已按等级开发的商用飞控。

Q5：航电和飞控是一回事吗？

不是。飞控是航电的一个子系统。航电还包括导航、通信、显示告警、飞行管理。很多项目把「航电」等同于「飞控」，结果导航和通信到后期才补，接口对不上，返工成本极高。

九、下一步

• 要搭架构：提交项目需求，注明机型、载重、运行场景，我们按余度与等级要求匹配供应商；
• 要控制预算：三类单机经济模型已把航电摊销拆到每飞行小时；
• 要过审查：适航三证怎么拿梳理了型号合格证、生产许可证、运行合格证的先后关系。

相关阅读：三大构型对比｜供应链采购指南｜多旋翼机型清单