0 引言

电动垂直起降（electric vertical take-off and landing，简称eVTOL）航空器是一种面向未来立体交通的中短途出行工具^[1]，与直升机、固定翼飞机等传统飞行器相比，具有低碳环保、自动化程度高、噪音低等显著优势^[2]。但是，eVTOL一般在高密度交通流和复杂城市地形环境下运行^[3]，密集的建筑群减小了eVTOL缓解突发事故的裕量^[4]。如何降低非预期事故对机上及地面人员的影响，是eVTOL安全性研究的重点。NASA在2021年发布了一份名为《支持UAM的eVTOL的功能危害性评估》^[5]的报告，该报告分别以飞行、通信、运输、导航为顶事件，为应用于城市空中出行（urban air mobility，简称UAM）的eVTOL提供了安全性分析的指导。2022年12月，NASA在一项eVTOL坠撞测试中根据试验假人的状态确定了两个主要的伤害来源，分别是地板和座位的冲击以及机身顶部结构的倒塌。美国国家航空研究所（NIAR）也对飞机电池进行了首次坠落测试，以研究eVTOL在紧急着陆时的安全性。该测试由FAA赞助，也是FAA正在进行的以乘客安全为重点的耐撞性评估项目的一部分。与传统航空运输相比，eVTOL由于降低了飞行高度和在城市地区运行的因素，加之新颖的飞行器配置和推进装置（如高压电池），也带来了新的安全挑战^[6]。根据罗兰贝格的一项研究表明，到2050年，将有多达16万辆商用空中出租车在空中飞行^[7]。即使灾难性的失效状态平均每飞行小时失效概率等于或小于1×10^-9，事故的绝对数量将由既定飞行通道中的飞行器数量的增加以及故障概率的恒定而增加^[8]。

综上所述，考虑到eVTOL在城市低空域这种复杂场景下的飞行安全问题，减缓航空器在发生严重失效后的冲击影响成为当前eVTOL安全性研究的重点。但是目前专门针对eVTOL抗坠撞性的研究较少，直升机的研究成果可以作为参考。文献^[9]描述了典型的直升机坠机场景，分析了坠毁时对乘员的主要伤害来源，总结了两个具有代表性的抗坠撞性准则（失效模式可控和能量耗散）。为了降低试验成本以及缩短试验周期，数值模拟被广泛用于辅助抗坠撞性设计，在文献^[10]中，代尔夫特理工大学研究人员从质量估计、机翼载荷、材料选择等专业建立模型，为其主导的eVTOL“wigeon”项目进行了初步的抗坠撞设计分析。文献^[11]通过建立eVTOL的有限元模型，使用数值分析的方法具体到对起落架、减震器、座舱结构及其组合进行了抗坠撞整体结构的优化。另一方面，物伞系统（回收物-降落伞系统）技术也日趋成熟且已经在一些机型中装载，文献^[12]介绍了Cirrus SR20的整机降落伞系统（cirrus aircraft parachute system）仿真数据，该系统的目的是提高飞行员和乘客的生还几率，且该数据可用于FAA验证过程中的测试用例。文献^[13]以美国空军C-9为例，建立了降落伞减速器的气动弹性模型，并提供了相关的性能与结构数据，用于减速系统的实际计算。但是在垂直起降航空器（vertical take-off and landing，简称VTOL）领域的整机降落伞系统仍处于开发阶段，需进一步的分析、测试和验证，并制定相关的适航法规和安全标准。

本文基于EASA和CAAC在适航认证方面对eVTOL的安全性要求，分析了当发生严重的失效状态时，使用抗坠撞策略和整机降落伞两种方案的应用目标和使用限制，并基于分析结果总结出eVTOL在不同飞行阶段的飞机级安全性考虑，得出实际飞行中影响航空器安全的关键高度节点，为eVTOL的后续安全性研究和适航取证工作提供参考。

1 eVTOL顶层安全性目标

任何民用航空器（aircraft）都要确定飞机级的安全性目标，即公众所能接受的航空器失效概率，以及与之相匹配的开发过程（管控）严格度。该目标也是适航管理局方（authority）认可该航空器设计并颁发型号合格证的重要依据。eVTOL是全新的飞行器类别，EASA、CAAC已制定一套全新的适航取证规章，通过适航认证进一步确保飞行器的安全性^[14]。eVTOL种类与构型繁多，运营场景也各不相同。为了应对eVTOL带来的监管挑战并推动其应用普及，需要建立相关设计和操作、适航审定的监管框架，并兼顾安全、公共利益和行业发展诉求^[15]。各国适航管理局对于eVTOL的管理规章虽不尽相同，但也大同小异，下文将分别介绍两个适航管理要求实例。

1.1 EASA颁布的专有条件SC-VTOL-01

在城市人口密集区域运行的垂直起降航空器VTOL，属于增强型（enhanced）运营范围，该类型的VTOL不论载客数目多少，其最严重的失效状态分类都为“灾难性”级别，对应的失效概率不小于10^-9（参见表1），并且不能由单点失效产生。此级别的失效概率要求与大型民用飞机基本相同，确保乘客和地面公众的生命财产安全。

相较于FAA，EASA对eVTOL的适航审定要求更为严格，采用了与行业实际发展密切相关、循序渐进的方法，先后颁布了eVTOL的特殊条件文件法、符合性方法以及城市空中交通运行规划等提案^[16]。并且EASA也在MOC SC-VTOL中阐述基本型（basic）VTOL的失效状态定义与AC 23.1309-1E类似，但增强型（enhanced）将对于机上或地面人员造成的单个或多个“致命”（fatality）影响皆归类于“灾难性”级别。

1.2 针对EH-216S颁发的专有条件 SC-21-002

EH-216S是亿航智能（Ehang）公司开发的一款电动多旋翼飞行器，也是其“216”系列产品的一部分。其主要特点包括：垂直起降和着陆、无人驾驶、双座设计、电动驱动等。民航局按照CCAR-21-R4《民用航空产品和零部件合格审定规定》的条款要求为该航空器系统制定了专用条件，确定适用其具体设计和预期用途且具有可接受安全水平的适航要求。依据“PEU.F010系统、设备和安装”的条款内容，在PEU.F000（a）中包含的航空器系统中的系统、设备和安装，在单独考虑以及与其他系统和设备一同考虑时，应当满足表2的要求。

参考EASA与CAAC各自针对eVTOL颁布的专用条件，可以看出各国局方对于eVTOL的安全性目标设定参考了已有同级别的民用航空器目标，同时鉴于eVTOL主要在城市上空飞行，于是在制定相关的安全性要求时，会较同级别的民用航空器更加严格。对于发生概率“极不可能”所对应的定量指标还需根据运营场景进一步明确其具体数值。

2 eVTOL飞机级安全性减缓措施

在航空产品研发中，更高的失效状态等级意味着更严苛的产品可靠性要求与研制过程要求，例如DO-178C对于A级软件需要比C级软件完成更多的9个目标，且需要满足更严苛的独立性要求，这些差异最终会影响到项目的人力资源、成本和项目周期等。

基于eVTOL的安全性考虑，寻求一种将飞机顶层的失效状态降级的措施是问题的关键。即在航空器发生严重的失效状态时，不会导致机毁人亡的后果。行业中通常有两个方向来减缓顶层的失效状态带来的影响，即开展失效安全设计（fail-safe design），以及通过限制条件和增加运行维护来减小航空器失效的影响。

对于飞机级的失效安全设计，当今前沿研究提出了包括滑翔（固定翼）、被动旋翼自转、安全气囊、外部能量吸收系统、板下系统等方式减缓冲击载荷，但是部署在eVTOL中时也面临效果有限或技术成熟度问题，故本文重点介绍以下两种具有装机实例的飞机级减缓措施与效果分析：抗坠撞性设计^[6，10-11]和整机降落伞^[12-13]。

2.1 抗坠撞性

尽管航空器在特定情形下的应急坠撞着陆中可能损坏，但必须设计成在严重失效发生时合理地保护每一乘员，这就是航空领域一种典型的失效安全设计。该设计方向主要分为“主动安全”和“被动安全”两部分，飞行器的整体安全是两部分的结合与协作^[8]。主动安全侧重于避障设计，被动安全侧重于碰撞后的减缓措施，本文则主要关注后者。

作为垂直起降的航空器，eVTOL的应急着陆和抗坠撞性（crashworthiness）要求将会参考类似机型的适航规章条款。首先是现有的旋翼类规章，如中国民航局CCAR-27-R2规章以及欧洲民航管理局EASA的CS-27规章“正常类旋翼航空器适航规定”中的抗坠撞性相关条款第561条（总则）、562条（应急着陆）和952条（燃油系统的抗坠撞性）。这些条款对航空器乘员的周围结构、旅客舱地板下的内部燃油箱（电池组件）区域的机身结构、航空器支承结构以及乘员座椅提出了具体要求。对于最大起飞重量超过9 080 kg（20 000 lb）的eVTOL飞行器，还将参考CCAR-29部或其他适用的规定。其次，对于小型固定翼飞机也有相应的适航条款要求，比如23.2270条（应急情况）、23.2315（撤离设施和应急出口）中描述了正常类飞机审定时的结构乘员保护适航要求。此外，局方还有可能针对eVTOL的特点，制定相关的专有条件明确对于新特性的适航审定要求，例如动力电池抗坠撞性方面的要求。因此制造商通常需要和监管机构紧密合作，确保航空器的设计和实现按照相应的准则成功地完成动态试验，或由相似型号座椅的动态试验为基础的合理分析来表明符合性，从而保证公众安全。

按照这些规章和坠撞动态试验要求（EASA CS-27.952、CS-27.561、CS-27.562等），当航空器在约为10 m（32 ft）的高度自由落体试验时，乘客必须能够在撞击后撤离；在约15 m（50 ft）高度的自由落体跌落测试，应确保乘员安全，免受撞击后火灾等二次伤害。考虑到eVTOL上的动力电磁技术以及在人口密集区域运行的特点，相关的抗坠撞性要求只会更加严格，不会低于正常类旋翼航空器相关的要求。一方面，这些规章条款要求eVTOL应采取合理的保护措施，实现并表明对相关抗坠撞要求的符合性；另一方面，一旦eVTOL通过了这些测试和分析，也就表明了该eVTOL在一定的高度（例如15 m）之下，即便飞机系统发生了严重的失效情况（例如电池动力丧失），也不会产生机毁人亡的灾难性后果，从而达到飞机级安全性减缓的目标。图1显示了具备抗坠撞性的eVTOL飞行器的作用过程，首先起落架通过变形吸收部分碰撞能量，其次机身的底部具备可控的破坏性元件用于分散冲击能量，最后航空座椅具备变形特性减缓对乘客身体所受到的冲击。预期这三个系统同时工作时可以提供足够的能量耗散，当冲击力传递到乘客时，伤害水平会明显下降^[17]。

2.2 整机降落伞

降落伞作为常见的安全保障措施，整机降落伞在轻型飞机的安全保证中扮演着重要的角色。整机降落伞的专业术语是弹射救生系统（ballistic rescue system），起源于航天技术中的弹道回收技术。Cirrus飞机公司在其SR20、SR22和SR22T等机型中广泛使用了CAPS系统，该技术是Cirrus飞机的一项创新技术，旨在为成员提供额外的安全保障^[18]。

当装备了弹射救生系统的航空器遇到危险的时候，降落伞会从航空器内部弹射出来，降落伞充气打开来增加空气阻力，从而降低飞机的下降速度，并使航空器保持降落姿态，结合上述抗坠撞性结构设计，可以使飞机较完整地落到地面，保证机上乘员安全，减少对地面人员和财产的危害。同时现代的整机降落伞都有滑环（slider）设计，避免伞盖瞬间撑开带来巨大冲击力破坏航空器结构完整性。

整机降落伞的打开过程需要对降落伞盖充气使其膨胀打开，如图2所示，这需要速度和时间。对于eVTOL飞机，由于其飞行的水平速度有限，更加依赖于飞行高度来确保有足够的空间和时间打开降落伞。根据轻型通用飞机整机降落伞的产品信息和使用经验，带有滑环的弹射救生整机降落伞的有效打开的最小高度建议在60~80 m（200~260 ft）^[19]，鉴于eVTOL的重量、电池和运营特性，建议的BRS最小打开高度不应小于80 m。另外，尽管低于BRS的有效高度，在降落伞打开的过程中，部分充气的降落伞也能起到一定的减速缓冲作用，此时也会起到降低失效状态严重程度的作用。

综上分析，eVTOL飞机的功能失效（例如，电池动力丧失）如果发生在抗坠撞性设计有效高度（10~15 m）以下或在BRS伞降系统有效高度（60~80 m）以上，在这两种设计均部署的条件下，只要应对妥当，理论上不会出现灾难性事件。

3 eVTOL飞行剖面的进一步细化分析

为了保证商业运营的eVTOL飞机能够有序地起飞和着陆，垂直起降场（vertiport）会为离场爬升和近进着陆的eVTOL飞机提供额外的安全保障措施来减缓排队离场和入场飞机的安全性影响。EASA在2022年3月发布了首个垂直起降场的原型技术设计规范^[20]，对垂直起降场的设计和运营提供了明确的指导。在FAA发布的垂直起降场设计指南^[21]中，包括但不限于起降区的以下要素：（1）几何设计，在平均海平面（mean sea level，简称MSL）超过1 000 ft（305 m）的高度，需要更长的最终进近与起飞区域（final approach and takeoff，简称FATO），从而提供更高的安全裕度和更大的操作灵活性。（2）动态载荷，FATO的设计应假定为eVTOL最大起飞重量的150%的动态载荷。在文献^[22]中讨论了建立城市空中交通（UAM）垂直起降场运营所需的安全区域设计标准。

基于以上资料，在eVTOL起飞和着陆阶段，垂直起降场提供的安全保障措施能够支持比航空器自身的抗坠撞性设计高度更高的安全高度，具体的减缓效果与操作流程和场地设施的具体实现密切相关。按照相关eVTOL的运行场景分析，结合上述安全性减缓措施和考虑，eVTOL的飞行阶段及其安全性影响可以进一步细化，如表3所示，相应飞行阶段划分和安全性风险如图3所示。

表3（续）

4 结论

通过上述分析，尽管典型的飞机级安全性减缓措施（例如抗坠撞性设计和整机降落伞等）也适用于eVTOL航空器中特定的失效状态（例如电池动力丧失），但其保护乘员飞行安全的效果有限，特别是飞行在“不高不低”的区域2和区域3时，并不能很好地保护乘员的安全。基于上述飞行剖面以及各飞行阶段安全性考虑，可以得出以下结论：

1）应增加eVTOL的运营场景限制条件，避免航空器处于区域2；

2）如果航空器无法避免在区域2内运行，应最大降低处在该高风险区域的几率，并通过可信的计算分析确定定量影响；

3）应开展飞机系统功能危害度和初步安全性分析，识别高安全性影响的功能和系统；

4）在eVTOL进入高风险区域2之前，针对已识别的关键功能和系统，开展足够的状态检查，为进入飞行安全关键区域做好充足准备。如根据关键的电机故障阈值数据、计划的起飞着陆安全范围进行判定，确保eVTOL有足够的发动机性能抵达低风险区域或是航空器下方有足够的符合要求的坠撞面积，以决定是继续安全飞行或者拒绝起飞，减少在区域2发生严重失效的概率。

在运输类飞机领域，已经形成了成熟的安全性分析方法和流程（例如ARP 4754A和ARP 4761等指南），这些方法和流程可以很好地指导民用飞机和系统的研制，降低航空器位于高风险区域时失效的几率。通过局方的审查认可来确保安全性目标得以满足，同时也适用于eVTOL航空器的研制和适航管理。

参考文献