eVTOL 研制必读 | 厘清研制保证与设计保证的边界

在很多航空企业里经常会出现一种现象项目团队在谈“研制保证体系”管理层在谈“设计保证系统”技术人员在强调 ARP4754A/B组织层面却在说 DOA 合规。大家都在讲“保证”却未必在讲同一件事。结果是什么有人以为拿到了设计组织批准就等于每个项目都自然合规也有人认为只要项目过程严谨组织体系怎么建并不重要。这些认知偏差平时不一定出问题但一旦进入型号取证、局方审查或体系升级阶段就会暴露出责任边界不清、体系定位混乱的结构性风险。这篇文章想解决的不是术语本身而是一个更基础的问题项目层面的技术纪律和组织层面的制度能力到底是不是同一回事把这个逻辑讲清楚企业才能既把产品做好也把体系建对。在比较研制保证体系和设计保证系统之前有必要澄清文中每个名词的英文全称以便明确两个术语在其各自框架中的实际含义研制保证体系Development Assurance System研发质量体系Development Quality System / RD Quality System设计保证系统Design Assurance System (DAS)研制保证等级Development Assurance Level (DAL)设计组织批准Design Organisation Approval (DOA)01研制保证体系 (ARP4754A/B) / 研发质量体系当我们提到 ARP4754A/B 意义上的研制保证体系时指的是在某个民用飞机或机载系统研制项目中定义和执行的研制过程development processes、质量控制和保证活动的总和具体指的是应用于特定飞机或系统研制工作的全生命周期过程的计划性和系统性集合需求捕获、确认、设计、验证、构型管理、过程保证、安全性评估协调嵌入在这些过程中的质量体系要素检查评审的独立性、根据研制保证等级DAL, Development Assurance Level适配审查的严格程度、错误检测机制、可追溯性、构型/变更控制共同构成研制保证客观证据的过程输出计划、标准、记录、审查报告、验证证据确保需求和设计中的错误在传播到最终适航产品之前被发现的组织行为和纪律。研制保证体系本质上是一个技术过程体系techinical process system其存在的根本理由是防止和检测研制成果中的错误其严格程度根据安全性评估得出的研制保证等级DAL进行校准。它的存在是为了让组织和适航审定机构对研制的成果系统设计的正确性和安全性有信心。ARP4754A/B 并没有将此称为一个单一命名的系统 。相反它定义了一系列过程和活动它们共同构成了我们所描述的“研制保证体系或研发质量体系”。当我们将其称之为“研发质量体系”时这种说法更贴近 AS9100D 第8章对产品设计开发质量管理体系的要求。02设计保证系统法规层面适航规章主要是 CCAR-21部R5EASA CS-21 J分部 / Part 21 J分部以及类似的 FAA 框架规定的设计保证系统DAS是民用航空产品和零部件设计组织申请人必须建立、维护并向适航审定机构展示的经正式批准的组织体系申请人本身的治理和质量基础设施适用于该组织承担的所有项目局方授予和维持对组织系统能力信任的机制使组织能够在无需局方逐步参与每个决策的情况下研制能够顺利取证的产品。03核心区别 —— 结构化分析A性质和目的研制保证体系提出的问题是“我们的研制过程是否足够严格能够在这个安全关键级别上发现错误”设计保证系统提出的问题是“这个组织是否具备自我保证其设计适航性的制度能力、治理结构和独立性”尽管这些问题是深度相关的但它们是根本不同的。B范围 —— 项目 vs 组织二者的范围可能是研制保证体系与设计保证系统最根本的结构差异。研制保证体系是项目范围的。它是为特定的飞机或系统研制项目定义、计划和执行的。它始于项目启动或取证规划并在获得局方认可且设计发布时结束。同一组织内的不同项目可能根据所涉及的 DAL 具有不同的研制保证过程、计划和严格程度级别。设计保证系统是组织范围的。它是民用航空产品和零部件设计组织申请人的常设、永久性基础设施。它适用于该组织执行的所有项目、所有产品和所有设计活动。它不会随着单个项目的开始和停止而结束 —— 它是持续维护的并定期接受局方监督。C法规地位基于 ARP4754A/B 的研制保证体系是基于指导文件的。ARP4754A/B 是 SAE 航空航天推荐实践 —— 它本身不是法规。局方FAA 通过 AC 20-174EASA 通过各种 CRI/议题文件接受其作为符合基础适航法规的可接受合规手段但其应用是通过适航基础和取证计划在每个项目基础上达成一致的。设计保证系统是直接的法规要求。根据 CCAR 第21.13条、CS-21.239 和更广泛的 Part 21 J分部框架寻求或持有设计组织批准DOA, Design Organisation Approval的组织在法律上有义务建立和维护满足法规标准的 DAS。不符合 DAS 要求是一个法规发现而不仅仅是偏离指导文件。D局方关系和批准对于研制保证体系局方的参与是限定于项目的。局方作为取证项目的一部分审查和接受研制计划系统研制计划、确认计划、验证计划等。局方可能会在项目期间审计对这些计划的遵守情况但这种关系从根本上说是关于特定产品的取证。对于设计保证系统局方作为授予 DOA 的一部分批准 DAS。这种批准是一种组织层面的信任授权—— 这意味着局方信任组织能够在没有局方逐步介入的情况下自行认证其设计的某些方面。然后局方通过审计、事件报告和定期审查持续监控 DAS独立于任何特定项目。E内容和要素虽然研制保证体系与DAS内容存在重叠但重点各有不同——基于 ARP4754A/B 的研制保证体系主要关注生命周期过程定义和执行需求、设计、VV、集成每个过程活动的 DAL 驱动严格程度错误检测机制审查、分析、测试、验证的独立性从安全需求通过设计到验证证据的可追溯性研制成果的构型管理与安全性评估活动的协调ARP4761供应商研制保证监督在技术过程层面设计保证系统在 CCAR-21/CS-21 规定下主要关注组织结构和问责制谁负责设计、验证、适航发布独立监控职能 —— 监控 DAS 本身合规性的组织职能适航审查和设计发布权限组织级别的事件报告和安全管理组织级别的文件控制和构型管理供应商/合作伙伴管理在合同和监督层面与局方的接口组织如何与 CAAC/EASA/FAA 沟通和报告取证后的持续适航义务F独立性要求两个系统都要求独立性但侧重在不同方面和不同层次。在 ARP4754A/B 中独立性要求是根据 DAL 在技术上进行调整的。对于 DAL A 和 B 功能验证活动必须由与执行设计的人员独立的人员执行。这种独立性是研制团队内的过程级别要求。在设计保证系统中独立性是组织层面的结构性要求。CCAR-21/CS-21 要求独立监控职能 —— 一个专门的组织能力通常是质量/合规监控职能负责监督所有活动中是否遵守 DAS并直接向高级管理层报告。这不是关于项目内单个任务的独立性这是对整个组织遵守其自己批准的系统情况的系统性监督。G与安全性评估的关系研制保证体系与安全性评估直接且明确地耦合。DAL 分配的整个逻辑来自按照 ARP4761 进行的功能危害评估FHA和初步系统安全性评估PSSA。安全性驱动每个研制过程活动的严格程度。CCAR-21/CS-21 下的设计保证系统与特定安全性评估方法的直接耦合较少。它要求组织拥有确保适航性的过程 —— 这隐含地包括安全性评估 —— 但 CCAR-21/CS-21 并不具体规定 ARP4761 或 ARP4754A。DAS 必须确保设计符合适用的适航代码CCAR/CS-25、CCAR/CS-23 等安全性评估是其中的一部分但 DAS 是一个更广泛的组织系统涵盖了比安全驱动的研制过程多得多的内容。H生命周期覆盖研制保证体系覆盖前向研制生命周期—— 从概念和需求通过设计、实施、集成、验证直到适航取证。它关注的是设计的创建。设计保证系统覆盖更广泛的生命周期包括取证后义务持续适航性、设计变更、修改、修理、事件报告以及与生产组织的接口。DAS 不会在型号证书颁发时结束 —— 它管辖组织在整个产品型号生命周期内的设计活动。I它们如何相互关联这两个系统不是替代品或竞争者 —— 它们在不同层次运作并相互依赖设计保证系统提供了执行研制保证活动的组织基础设施和治理框架。DOA 持有者的 DAS 必须包括能够支持在适用项目上按照 ARP4754A/B 进行严格研制保证的程序、资源和组织结构。在这个意义上ARP4754A/B 合规要求是 DAS 程序框架必须能够交付的内容的输入。相反基于 ARP4754A/B 的研制保证系统提供了在项目层面为 DAS 提供实质内容的技术内容和方法论。如果没有严格的项目级研制过程DAS 的组织治理将是一个空洞的外壳 —— 对糟糕过程的良好治理仍然会产生糟糕的结果。概言之设计保证系统是制度研制保证体系是在该制度内针对特定项目实践的纪律。组织企业或团队需要一个健全的制度来持续实践良好的纪律而纪律必须在技术上严格才能使制度的保证有意义。04二者差异化总结表05结论研制保证体系研发质量体系是一个遵循 ARP4754A/B 的飞机或系统研制项目层面的、安全驱动的、以技术为重点的过程体系其目的是确保特定飞机或系统的研制具有足够的严格程度以检测和纠正与所涉及功能的安全关键性相称的错误。适航规章/条例要求的设计保证系统DAS是一个组织层面的、经局方批准的治理体系其目的是证明和维护设计组织在适航审定机构的持续信任和监督下在所有项目中、在整个产品生命周期内生产适航设计的系统的、制度化的能力。前者关注如何很好地开发这个产品后者关注组织是否可以信任按照适航标准开发任何产品。