民机驾驶舱人为因素适航符合性验证技术

董大勇， 俞金海， 李宝峰， 陈迎春

1. 上海飞机设计研究院, 上海　201210

2. 中国商用飞机有限责任公司， 上海　201210



民机驾驶舱人为因素适航符合性验证技术

董大勇1， 俞金海1， 李宝峰1， 陈迎春2, *

1. 上海飞机设计研究院, 上海201210

2. 中国商用飞机有限责任公司， 上海201210

摘要:由于人为差错无法完全避免，因此民机驾驶舱人为因素适航符合性验证过程中难以充分表明对规章条款的符合性，通过对人为因素CS -25.1302条款适航条款的详细分析，对驾驶舱人为因素符合性验证的总体思路作出规划，明确了在符合性验证工作中针对飞机系统集成水平、复杂性和新颖度特点的重点关注要素。详细阐述了相似性声明、设计描述、计算分析、评估和试验等驾驶舱人为因素符合性验证方法及其适用条件，结合中国自主研制的大型客机型号开展了驾驶舱评估和飞行员在环模拟器试验中的符合性验证技术研究，研究结果在型号实践中得到应用并表明是有效的。

关键词:驾驶舱； 人为因素； 适航； 符合性方法； 型号审定

民机驾驶舱是飞行机组执行飞行任务的唯一工作空间，对于航空安全有着至关重要的作用。然而有数据表明，有超过2/3的航空事故是与人相关的。也就是说，即使飞机系统都很好，操纵飞机的人(飞行员/飞行机组)仍然会犯错误(绝大多数是无意的)，最终导致事故的发生[1-9]。人们逐渐认识到一味地提高系统的可靠性并不能从根本上解决航空安全问题，人为因素成为飞机驾驶舱设计中的关注重点，也越来越受到重视。1999—2004年，美国联邦航空管理局(FAA)与欧洲联合航空局(JAA，现欧洲航空安全局，EASA)联合波音、空客等民机制造商成立了人为因素协调工作组(Human Factors-Harmonization Working Group，HFHWG),针对驾驶舱人为因素进行了联合研究工作，旨在推进适航标准的修订，通过对民机型号适航审定提出明确的人为因素要求，从而有效降低设计导致的人为差错[10-12]。EASA于2007年率先在其适航标准第3次修订时，增加了人为因素的专门条款CS -25.1302[13]。FAA于2013年也在其137号修正案中增加了FAR-25.1302条款[14]。

到目前为止，仅有空客A350是按照最新的人为因素条款进行型号审定的民用飞机。中国适航规章尚没有更新增加人为因素的相关条款。在中国民机型号研制中ARJ21支线客机并没有针对人为因素条款进行适航符合性验证，而在C919大型客机中为了与国际先进水平保持同步，增加了人为因素适航符合性的验证工作。

本文研究主要针对人为因素条款对民机驾驶舱人为因素的具体要求，开展了民机驾驶舱在型号设计及适航符合性验证中的总体思路、符合性方法确定、验证场景设计、符合性验证技术等研究，并在工程中进行应用。

1适航要求与分析

人为因素是一个非常宽泛的概念，只要涉及到操作者与硬件系统进行交互，都可以归于人为因素的范畴[15-18]。关于人为因素的适航要求，在EASA和FAA发布专门的人为因素条款之前，也有一些针对驾驶舱设备的人为因素要求。如：25.773规定了驾驶舱视界要求；CS-25.777对驾驶舱操纵器件可达性作了规定；CS-25.1321和CS-25.1322对驾驶舱仪表布局及告警给出了约束。同时也有25.1523对机组工作负荷作出相应的要求[13-14]。

新增的人为因素条款主要针对驾驶舱机组与系统设备的交互提出了具体要求。条款内容如下所述。

“CS-25.1302 为飞行机组使用而安装的系统和设备

本条适用于为飞行机组成员在驾驶舱内正常就座后操纵飞机使用而安装的设备。这些安装的设备必须设计成通过满足以下要求来表明其单独并与其他此类设备一起可使合格的飞行机组成员经使用培训后能够安全执行与其预定功能有关的任务：

1) 必须安装能够完成这些任务的驾驶舱操纵器件，且必须提供完成这些任务所必需的信息。

2) 供飞行机组使用的驾驶舱操纵器件和信息必须满足

① 以清楚明确的方式提供，其分辨率和精度必须与任务相适应。

② 能以与其任务的紧迫性、频度和持续时间相一致的方式使飞行机组可达和可用。

③ 能够使飞行机组感知其操作对飞机或系统产生的影响，以建立对安全运行所必需的情景意识。

3) 安装设备与操作相关的工作特性必须满足

① 是可预期并明确的。

② 设计成可使飞行机组能够以与任务相适应的方式进行干预。

4) 在可行范围内，假设飞行机组主观上不违规操作，安装设备必须使飞行机组能够管理来自飞行机组与设备之间的各类交互作用导致的服役中合理预期的差错。条款4)不适用于与飞机手动操纵相关的机能性差错。”[13]

对条款的具体要求进行分析，可得出如下结论：

1) 条款要求所针对的验证对象主要指飞行机组在其工作位置使用的所有用于完成飞行任务的设备，即飞行机组必须就座并将眼睛位置对准在设计眼位上，关注的主要是与飞行任务相关的设备。

2) 强调“预定功能”，为飞行机组提供的显示界面和控制器件必须是能够实现预定功能的。

3) 关注机组任务，人为因素是以任务为基础的，所有的验证内容必须围绕完全完成机组任务，从这一点上可以看出，人为因素条款与传统要求明显的区别在于任务驱动，重点关注的是机组在完成任务的动态过程中的绩效。

4) 以人为差错为核心，人为因素的最终目标是有效降低由设计导致的人为差错。

2适航符合性验证规划

2.1总体思路

民用飞机适航体系是以安全性为牵引的，所有使用的设备、系统及其功能必须表明是安全的。因此在型号研制过程中所使用的设备、采用的技术通常是成熟的和经过验证的。飞机产品本身具有复杂的特性，同时飞机作为面向市场的产品，追求良好的经济性和用户体验的目标，使得新技术的引入成为必然趋势。在以人为中心的设计理念牵引下，为飞行机组提供更简洁的人机界面和操作程序是飞机驾驶舱人为因素设计的重点内容。在这样的背景下，人为因素的适航符合性验证工作中必须重点考虑多系统集成和复杂特征，以及新技术引入带来的潜在人为因素安全风险。

1) 集成水平

系统集成水平主要指的是影响飞行机组操纵飞机的各系统之间的相互作用或依赖程度。现代民机为了有效降低飞行机组执行飞行任务过程中的工作负荷，越来越多采用自动化技术，如综合模块化航空电子(Integrated Modular Avionics，IMA)系统，这势必带来更多的系统交联，可能为飞行机组对系统工作状态的情景意识带来困难。因此，申请人在符合性验证工作中应对系统集成的情况通过详细的系统描述文件明确飞行机组任务和系统功能的关系。对于可能造成飞行机组情景意识降低的情形需要开展相关试验验证工作[18-19]。

2) 复杂性

这里的复杂性主要指的是从飞行机组操纵飞机的角度来看系统设计的复杂程度，主要包括认知和操纵两个方面。认知方面主要是指驾驶舱为机组提供的信息数量；操纵方面主要是指对系统的控制或自动化模式的切换等。由于自动化程度较高，需要机组监控的信息量可能会有所增加，同时不同自动化模式的转换控制也会相应增加。在验证方面也要给予充分关注[18]。

3) 新颖度

新颖度这一概念对于人为因素尤为重要，系统设计引入新技术可能带来新的交互方式，飞行机组在这种情况下可能带来人为差错。一般来说新颖度主要包括以下几类：

① 引入新技术带来的新的操作方式。

② 引入新技术带来的非常规操作或额外的附加程序。

③ 引入新的交互方式。

④ 对原有系统增加新的任务功能。

针对上述重点关注的要素，应按照图1所示的总体思路规划人为因素适航符合性验证过程。

图1符合性验证规划
Fig. 1Planning of compliance certification

2.2设计考虑

从适航条款的要求分析可知，人为因素验证的主要目标是尽可能减少由设计诱导的人的失误进一步而导致的不安全事件的发生。人为因素适航符合性验证的重点也是关注如何从设计源头规避人的差错。通过对驾驶舱设计过程细化分解，识别出在设计过程中需要考虑的要素。

1) 预定功能与飞行机组任务

人为因素是基于任务的动态过程，所有验证工作都围绕飞行机组任务展开，因此，在驾驶舱设计过程中首先要明确飞行机组任务。飞行机组完成任务的前提是飞机必须提供与任务相匹配的功能，这就是“预定功能”。

在适航符合性验证中，必须对机组任务和预定功能进行详细描述。尤其是对于新的功能更要明确说明与任务的匹配性。

比如“速度显示功能”，早期显示方式是仪表显示，现在大多采用液晶显示器，在主飞行显示器(PFD)上显示，先进的还可能在平视显示器(HUD)上显示，另外还有备用仪表显示。在显示内容上有显示以“节”为单位的空速，也可以用马赫数表示的空速，还可以显示真空速、地速等速度信息。而这些速度信息都与不同飞行阶段任务相关。在符合性验证过程中必须说明功能是与任务相匹配的。

2) 操纵器件

操纵器件是飞行机组操纵控制飞机以及进行系统管理的控制界面。驾驶舱操纵器件主要包括：按钮、开关、旋钮、键盘、触摸屏、光标控制器和图形用户界面等。

必须表明驾驶舱中供机组使用的每一个操纵器件都是完成机组任务所需的，同时其功能、操作方式以及控制效果必须满足人为因素要求。即标识清楚、操作方式明确、功能适当、可达可用及反馈充分。

3) 信息显示

显示界面是飞行机组获取飞机状态信息以及对控制输入反馈信息的主要通道，也是保证飞行机组良好情景意识的重要途径。

必须表明驾驶舱内显示信息可视、可辨识、可理解、精度和分辨率恰当、与任务匹配、能够为飞行机组决策提供支持。

研究表明人机交互过程中认知环节的差错率通常比执行环境差错率高，因此为了给飞行机组提供良好的认知通道，信息显示设计中应给予更多的关注。

4) 系统行为

系统设计特征不同，飞行机组任务的需求也不同。不同系统对有关的飞行机组输入的响应也是不同的。条款要求“安装设备与操作相关的系统行为”必须设计成：可预知的和明确的，同时使飞行机组能够以与任务(和预定功能)相适应的模式干预”。也就是说飞行机组在任何时刻都应该明确知晓系统正在做什么以及为什么这么做。

飞机自动化程度越来越高，如：自动飞行系统(APS)、飞行管理系统(FMS)，这些自动化功能可以使飞机在大多数时间可以由计算机控制飞行。诸多系统也都设有自动模式。这就使得飞行机组容易过度依赖自动化系统而丧失对系统行为的监控。

在符合性验证工作中必须明确人机功能分配的原则，同时应在任何时刻为飞行机组提供自动化系统的工作模式信息，同时必须提供机组干预自动化模式的有效途径。

5) 飞行机组差错管理

墨菲定律指出，人总是会犯错误的。既然人的差错无法根除，驾驶舱设计必须提供有效的手段控制差错。

设计上应遵循下列基本原则来有效控制差错。

① 能使飞行机组发现差错并从差错中恢复。

② 确保飞行机组差错对飞机功能或性能的影响对飞行机组而言是显而易见的，且可以进行继续安全地飞行和着陆。

③ 通过使用开关保护、互锁装置、确认操作或相似方法来降低飞行机组犯错的可能性。

④ 通过系统逻辑和/或冗余、鲁棒或容错系统设计来降低或消除差错的影响。

由于人为差错是人为因素条款重点关注的内容，而目前并没有有效的途径能够充分证明驾驶舱设计是可以完全避免人为差错的。因此，在适航符合性验证工作中应通过合理地设置场景试验，涵盖正常和非正常的情况，并能够覆盖大部分预期运行情况，从而表明条款符合性。

3符合性验证实施

3.1符合性验证方法

中国民用航空局《航空器型号合格审定程序》共包括10种符合性验证方法[20]。在人为因素适航符合性验证过程中可选择下列验证方法，根据条款的特殊性做了细分。

1) 相似性声明

相似性声明是一个关于待批准系统和之前已批准系统针对符合性要求在物理、逻辑和运行上相似性的详细描述。

可与先前已通过审定的系统进行比较来证明设计的充分性，这种比较可表明系统设计会尽可能少地产生机组差错或当差错发生时增强飞行机组进行相应处理的能力。

相似性声明方法的适用范围较窄，驾驶舱人为因素审定是以任务为基础的，强调整体动态过程，因此该方法只能在局部适用并作为符合性材料的一部分。

2) 设计描述

可采用图纸、构型描述和设计准则等设计描述来证明设计符合特定规章的要求。

图纸(如驾驶舱布置图、驾驶舱界面矢量图等)可通过直观的方式表明物理布置设计与规章的符合性。

系统描述可通过对驾驶舱人机界面的显示、操纵、功能逻辑说明、防错设计、设计要求符合性等信息作为符合性验证材料。系统描述信息通常可以机组操作手册的形式提供，但需补充人为因素相关信息。

3) 计算分析

通过工程计算或分析的方式表明符合性。可以通过在数字样机中建立合理的人体模型对驾驶舱的可达性进行分析。可采用计算的方式表明外视界的符合性。如图2所示。

4) 评估

驾驶舱评估是驾驶舱人为因素符合性验证区别于其他条款的重要方法之一。驾驶舱评估并不要求一定在达到最终状态才开始评估，在设计过程中即可与局方沟通进行驾驶舱评估。评估可以在工程样机、部分任务模拟器、全任务模拟器中进行，也可以是飞行评估。在不同的平台上开展的评估工作都可以作为取证过程中的一种验证信用(Certification Credit)积累，这在人为因素符合性验证工作中尤为重要。

图2驾驶舱外视界分析
Fig. 2Analysis of flight deck out view

5) 试验

评估和试验作为人为因素的符合性验证方法都可以归为试验大类，执行过程都是人在环(Human in Loop)的，但是本节的试验主要是关注软硬件系统对飞行机组绩效的影响，包括环境因素、系统响应、延迟和系统逻辑等。

3.2符合性验证技术

针对不同的符合性方法可采用不同的验证技术。本文针对最主要的评估和试验技术进行阐述。

1) 驾驶舱评估通常采用飞行员主观评估的方法，本研究过程中结合型号研制开展了驾驶舱评估符合性方法研究，评估平台为工程样机，评估针对工程样机人为因素设计。

首先，建立评估问卷。评估问卷内容包括驾驶舱各区域的可达性与可视性、驾驶舱视觉环境、驾驶舱显示界面设计、驾驶舱控制面板设计等内容。

其次，确定工程样机驾驶舱构型。准确记录驾驶舱构型状态，确保评估对象可控可追溯，建立专门的构型管理体系对样机状态进行管理。

第三，组织实施飞行员在环评估。评估之前向评估飞行员详细讲解驾驶舱构型状态、问卷内容、问卷填写方式等，上机过程中全程陪同飞行员进行评估，对评估过程中的问题进行解释。

第四，数据收集处理。完成评估后对试验数据进行处理。数据包括两部分，一部分是以5级量表评价的客观数据，另一部分是主观意见收集。通过梳理统计方法结合综合评价算法可得到客观评价等级。对主观意见由设计团队根据飞行员意见处理流程开展工作。

2) 飞行员在环试验技术主要通过采集飞行员眼动指标建立客观指标与飞行绩效的关联，从而说明人为因素的符合性。本研究在模拟器上进行试验。

首先，按照预定验证目标设定试验任务场景，对飞行员进行基本培训。

其次，开展模拟器试验，模拟预定的任务场景，同时采集飞行员的眼动数据以及飞行参数。

第三，数据分析。通过眼动数据建立眼动参数与飞行绩效之间的关系，在此基础上，验证在给定的正常与非正常任务中飞行员的客观指标在可接受的范围内从而表明符合性。

试验场景如图3所示。

图3符合性验证试验技术
Fig. 3Test technology of compliance certification

4结论

1) 人为因素适航符合性验证是基于任务的动态过程，符合性验证中应着重关注集成水平、复杂性、新颖度设计特征，从预定功能与机组任务、控制、显示、系统行为、差错管理等方面开展验证工作。

2) 人为因素符合性验证方法可采用相似性声明、设计描述、计算分析、评估和试验等方法，可根据不同验证目标进行选择。

3) 飞行员主观评估与模拟器试验是人为因素符合性验证的重要技术，结合中国自主研制的大型客机型号研制表明该技术是有效的。

参考文献

[1]卜晓敏. 航空人为因素事故/事件分析模型研究[D]. 天津: 中国民航大学, 2008: 5-10.

BU X M. Research on the aviation human factor accident/incident analysis model[D]. Tianjin: Civil Aviation University of China, 2008: 5-10 (in Chinese).

[2]EDUARDO S, DAN M. Human factors in aviation[M]. 2nd ed. Salt Lake City, UT: Academic Press, 2010: 15-20.

[3]中国民用航空局航空安全办公室. 中国民航航空安全报告(2013年)[R]. 北京: 中国民用航空局, 2014: 5-8.

Aviation Safety Office, Civil Aviation Administration of China. Aviation safety report of CAAC (2013)[R]. Beijing: Civil Aviation Administration of China, 2014: 5-8 (in Chinese).

[4]孟昭蓉, 杨春生. 世界航空事故汇编[M]. 北京: 中国民用航空杂志社, 2002: 3-10.

MENG Z R, YANG C S. World aviation accident collection[M]. Beijing: Civil Aviation Journal Press of China, 2002: 3-10 (in Chinese).

[5]WICKENS C D, LEE J D, LIU Y L, et al. Introduction to human factors engineering[M]. 2nd ed. Upper Saddle River, NJ: Prentice Hall Inc., 2003: 17-23.

[6]WIEGMANN D A, SHAPPELL S. A human error analysis of commercial aviation accidents using the human factors analysis and classification system (HFACS): DOT/FAA/AM-01/3[R]. Washington, D.C.: U.S. Department of Transportation, Federal Aviation Adminstration, 2001: 32-41.

[7]Annual review of aircraft accident data U.S. general aviation, Calendar year 2005: NTSB/ARG-09/01[R]. Washington, D.C.: National Transportation Safety Board, 2005: 1-15.

[8]Review of US civil aviation accidents, Calendar year 2011: NTSB/ARA-14/01[R]. Washington, D.C.: National Transportation Safety Board, 2011: 1-10.

[9]Review of U.S. civil aviation accidents, 2007-2009: NTSB/ARA-11/01[R]. Washington, D.C.: National Transportation Safety Board, 2011: 5-17.

[10]Federal Aviation Adminstration. Human factors policy: ATO 9550.8A[S]. Washington, D.C.: Federal Aviation Adminstration, 2005: 1-3.

[11]Federal Aviation Adminstration. Factors to consider when reviewing an applicant’s proposed human factors methods of compliance for flight deckcertification: ANM-01-03A[S]. Washington, D.C.: Federal Aviation Adminstration, 2003: 3-15.

[12]EMMERSON P, GRAEBER R C. Human factors-HWG final report[R]. Washington, D.C.: Federal Aviation Adminstration, 2004: 3-8.

[13]European Aviation Safety Agency. Certification specifications, Admt3: CS-25[S]. Cologne, Germany: European Aviation Safety Agency, 2007: BOOK1 1-F-1 .

[14]Federal Aviation Adminstration. Airworthiness standards: Transport category airplanes, No.137: FAR-25[S].Washington, D.C.: Federal Aviation Adminstration, 2013:1-3.

[15]龙升照， 黄端生， 陈道木， 等. 人-机-环境系统工程理论及应用基础[M]. 北京: 科学出版社， 2004: 12-25.

LONG S Z, HUANG D S, CHEN D M, et al. Man-machine-environment system engineering theory and application[M]. Beijing: Science Press, 2004:12-25 (in Chinese).

[16]SHERIDAN T B. 人与自动化——系统设计和研究问题[M]. 胡保生, 译. 西安： 西安交通大学出版社， 2007: 35-38.

SHERIDAN T B. Human and automation: System design and research issues[M]. HU B S, translated. Xi’an: Xi’an Jiaotong University Press, 2007: 35-38 (in Chinese).

[17]赵江洪. 人机工程学[M]. 北京: 高等教育出版社， 2008: 174-211.

ZHAO J H. Ergonomics[M]. Beijing: Higher Education Press, 2008: 174-211 (in Chinese).

[18]曾庆新， 庄达民， 马银香. 脑力负荷与目标辨认[J]. 航空学报， 2007, 28(8): 76-80.

ZENG Q X， ZHUANG D M, MA Y X. Mental workload and target identification[J]. Acta Aeronautica et Astronautica Sinica, 2007, 28(8): 76-80 (in Chinese).

[20]中国民用航空局. 航空器型号合格审定程序: AP-21-AA-2011-03-R4[S]. 北京: 中国民用航空局, 2011: 123.

Civil Aviation Administration of China. Aircraft type certification procedure: AP-21-AA-2011-03-R4[S]. Beijing: Civil Aviation Administration of China, 2011: 123 (in Chinese).

董大勇男， 博士， 高级工程师。主要研究方向： 驾驶舱人为因素设计与评估。

Tel: 021-20865603

E-mail: dondayong@comac.cc

俞金海男， 博士， 研究员。主要研究方向： 飞机总体设计。

Tel: 021-20865601

E-mail: yujinhai@comac.cc

李宝峰男， 博士， 高级工程师。主要研究方向： 驾驶舱人机界面设计与评估。

Tel: 021-20865609

E-mail: libaofeng@comac.cc

陈迎春男， 博士， 研究员。主要研究方向： 飞机总体设计。

Tel: 021-20865010

E-mail: chenyingchun@comac.cc

Received： 2015-10-15; Revised: 2015-11-16; Accepted: 2015-11-22; Published online: 2015-12-04 10:08

URL： www.cnki.net/kcms/detail/11.1929.V.20151204.1008.010.html

Foundation item： National Basic Research Program of China (2010CB734100)

Airworthiness compliance certification technology of civil aircraft flight deck human factor

DONG Dayong1, YU Jinhai1, LI Baofeng1, CHEN Yingchun2, *

1. Shanghai Aircraft Design and Research Institute, Shanghai201210, China 2. Commercial Aircraft Corporation of China Ltd., Shanghai201210, China

Abstract:Human error cannot be completely avoided. It is difficult to demonstrate the flight deck design fulfill the regulation in human factor airworthiness compliance certification. General approach planning of the flight deck human factor compliance is proposed on the basis of an indepth study of the CS-25.1302 regulation. In the certification work, system integration level, complexity and novelty are emphasized. Key means of compliance including statements of similarity, design description, calculations/analysis, evaluations and test are described in detail. Combined with the type certification project, research on flight deck human factor evaluation and simulator test compliance technology has been carried out. The application to type certification verifies the effectiveness of the compliance technology.

Key words:flight deck; human factors; airworthiness; means of compliance; type certification

*Corresponding author. Tel.： 021-20865010E-mail: chenyingchun@comac.cc

作者简介：

中图分类号：V216.7; V221

文献标识码：A

文章编号：1000-6893(2016)01-0310-07

DOI：10.7527/S1000-6893.2015.0317

*通讯作者.Tel.： 021-20865010E-mail: chenyingchun@comac.cc

基金项目：国家“973”计划(2010CB734100)

收稿日期：2015-10-15; 退修日期: 2015-11-16; 录用日期: 2015-11-22; 网络出版时间: 2015-12-04 10:08

网络出版地址： www.cnki.net/kcms/detail/11.1929.V.20151204.1008.010.html

引用格式： 董大勇， 俞金海， 李宝峰， 等． 民机驾驶舱人为因素适航符合性验证技术[J]． 航空学报, 2016, 37(1): 310-316. DONG D Y, YU J H, LI B F, et al. Airworthiness compliance certification technology of civil aircraft flight deck human factor[J]. Acta Aeronautica et Astronautica Sinica, 2016, 37(1): 310-316.

http://hkxb.buaa.edu.cnhkxb@buaa.edu.cn