论文部分内容阅读
摘要：FAA近年来关注飞机安保设计，尤其是飞机上盥洗室或其他设备使用化学氧气发生器的安全性。因此FAA修订25.795（d）条款，增加化学氧气发生器（COG）的适航要求，并且发布了相关咨询通告（AC），用于指导申请人开展符合性验证活动。如果飞机制造商计划申请FAA TC证，则新型号的飞机需要符合FAA的相关适航要求。研究该AC，有助于申请人在初步设计阶段的设计方案中贯彻该适航要求。
关键词：民用飞机；AC25.795；符合性验证
引言
1988年，一架泛美航空的波音747飞机在苏格兰发生爆炸，事故原因是恐怖分子引爆炸弹导致飞机爆炸。为此，国际民航组织（ICAO）引入了安保设计条例，防范针对民用航空的非法行为或恐怖行为，力争在设计阶段消除飞机上易受恐怖分子袭击的薄弱环节。这些安全要求通过民航公约附件8第97号修正案被颁布。
通常国际民航公约附件8的标准不直接用于飞机设计，而是通过其成员国的适航标准实施。为此FAA通过颁发25-106、25-127和25-138三个修正案来贯彻上述安保适航要求。
（1）25-106[1]]修正案增加了FAR25.795（a）增强驾驶舱舱门的要求，要求驾驶舱门能抵御未经许可的暴力入侵和抵御轻型武器的火力或爆炸装置的穿透。
（2）25-127[2]修正案继续修订FAR25.795条，对系统存活性、货舱火情抑制、驾驶舱和客舱烟雾保护等方面提出了要求。
（3）尽管国际民航组织（ICAO）没有提出与化学氧气发生器（简称COG）相关的适航要求，但是FAA发现化学氧气发生器在这方面具有不可接受的安保薄弱环节，特别是多数依据FAR 121部运行的运输类飞机以及某些依据FAR 129部运行的飞机，其安装在盥洗室内的某些类型的氧气系统的安全隐患尤为明显。因此，FAA在2014年3月11号通过第25-138[3]号修正案增加了化学氧气发生器设计及安装的适航要求。
此次修订采用的新标准是基于盥洗室氧气航空规章制定委员会（LOARC）的研究。通过修订FAR 25部25.795（d）条款和25.1450（b）（3）条款来解决潜在的安保漏洞，并且针对25.795（d）条款，FAA给出了咨询通告AC 25.795-9，提供了一套能表明对25.795（d）条款符合性的方法。
1 化学氧气发生器（COG）适航要求的形成
1.1 盥洗室氧气系统
盥洗室氧气系统最低性能要求来自FAR 25.1443和1447。概括地讲，盥洗室氧气系统是在飞机失压时向盥洗室使用者提供应急供氧的安全性设备。该设备至少能立即同时向两名使用者提供足量的氧气直至飞机降低到一定的座舱压力高度不再需要供氧为止。盥洗室供氧系统的主要部件之一供氧源，与旅客供氧系统相似，飞机生产商通常采用化学氧气发生器进行盥洗室供氧。一来是因为化学氧气发生器在提供足量氧气的同时还能保持最优的尺寸、重量以及便捷的维护性，这些都是航线运营商看重的优点。
化学氧气发生器，顾名思义，是通过化学反应产生氧气的装置，同时发生器本身产生高温，设备表面的温度可高达500华氏度。因此FAR 25.1450条款要求对该设备的安全性提出了一定的要求，即发生器在工作时产生的表面温度不得对飞机或机上乘员造成危害。
1.2 化学氧气发生器的安全薄弱环节
虽然ICAO并未针对安装于盥洗室中的化学氧气发生器提出进一步的安保要求，但FAA关注到了化学氧气发生器该种类型设备的薄弱环节。化学氧气发生器的薄弱环节主要体现在：
（1）化学氧气发生器工作时会产生高温高热；
（2）化学氧气发生器在未获得授权时易于接近，即安装方式的薄弱环节；
上述两项薄弱环节容易被不法分子所利用，对飞机本体和机上人员财产造成无法估量的损失。飞机上存在的任何安全隐患，FAA都将会采取措施予以消除或进一步降低其危害性。因此FAA针对该安全隐患采取了一系列的措施。
1.3 FAA针对化学氧气发生器的系列措施
1）2011年，FAA经过风险评估和权衡，认为飞机盥洗室供氧系统短暂的失效不会引起安全性风险，并发布了AD 2011-04-09和特殊联邦航空条例SFAR111，要求移除或激活在役商用飞机上盥洗室供氧系统，简而言之，化学氧气发生器无法在飞机上工作，要么被移除，要么被激活直至无法供氧。
2）FAA同时协调LOARC着手提出关于化学氧气发生器新的适航审定要求以及实施该审定要求的最佳方式，同时评估新的适航审定要求是否同时适用于在役飞机和新型号飞机等一些列问题。
3）2012年，FAA又發布AD 2012-11-09取代AD 2011-04-09，同时颁布政策声明PS-ANM-25-04来指导相关方在最终审定要求发布前开展COG设计、安装并获得局方批准的活动。政策声明中的指导材料也是基于LOARC的建议的符合性方法，意在使飞机盥洗室供氧功能的恢复并且消除上述安保薄弱环节。
4）2013年，FAA发布了规章修订建议书NPRM No.13-01安装于运输类飞机的化学氧气发生器的新要求草案和咨询通告草案AC 25.795-X。
5）2014年，FAA发布第25-138号修正案增加了化学氧气发生器设计及安装的适航要求。
2 AC 25.795-9要求解析
2.1 FAR 25.795（d）[4]
每一化学氧发生器或者其安装的设计必须满足下列方法之一防止受到蓄意破坏：
（1）提供有效耐损害措施；
（2）提供有效耐损害措施和主动损害显示的有效组合；
（3）化学氧发生器安装位置和安装方式应当能够让人立即识别任何接近该装置的企图； （4）以上三种方法的组合，并且局方认为其能提供可靠的安装。
2.2 25.795（d）的符合性
2.2.1 确定COG及其安装的设计是否安全的可接受方法。
有以下几个标准可用来确定COG的安装是否安全或者有安保漏洞。COG的安裝如有安保漏洞必须设计成防止误用COG。下图1是AC 25.795-9[5]给出的评估COG安装的流程，包括确认COG安装是否有安保隐患。下表1是用于协助工程人员回答图1中评估问题的一份指南。对于识别出有安保漏洞的安装，例如对于图1中评估问题的答案导致问题4的答案为是，则设计必须更改，或者COG可以被其它不会产生安保威胁的供氧源代替。
2.2.2 耐损害安装的特征
耐损害设计特征可被应用于COG安装安保的整个或部分应用。耐损害设计的特征有不用的类型，这些特征的功能很大程度上取决安装的实现。耐损害设计的核心是延迟COG的曝露而成为一个武器。然而，一个现有的盥洗室内安装的COG通过改装而具有足够的耐损害设计特征来成功抵抗攻击，目前是不太可能的。这事因为典型的耐损害手段，比如特殊工具和锁扣，时间足够的情况下，这些防御使可以被解决的。这些方法安保手段常用的几种。因此对这些手段只是安保系统的一个方面。
一个耐损害的安装有若干元素组成，如下：
1）COG的位置，
2）安装方法，
3）物理保护（通过对关键组件的防护或机械隔离），和
4）内部设计。
消除进入COG的通道是完成COG耐损害设计最简单易行的方法。通常这个可以通过将COG布置在需要获得授权才能分解客舱内部的位置。举个例子，盥洗室的COG可以位于需要移除整个盥洗室模块才能接近COG的位置。
2.2.3 主动显示损害特征的安装
对于能从隔离的车厢进入COG，例如盥洗室，除了COG的安装具有耐损害特征外，还需要有明显的损害显示手段（如告警）。这样能够使阻止攻击比实施攻击所需时间少。在这种情况下被动的损害显示（比如损害显示封严）不够有效因为这是事后损害显示。有效的损害显示系统依赖于有效介入，而不是紧紧认定警告系统本身能抑制攻击。
一旦一个警告发生显示COG正在遭受损害，机组立即采取行动和其它可用授权的响应者是阻止灾难发生所必须的行动。因此，损害显示系统和培训以及机组应急能力之间有重要关系。为达到最大效率，机组培训应优先于机队安装警告系统。一次成功地响应告警所需时间可能需要几分钟，并且受几个因素制约。对威胁进行响应和干预所需的时间是由设计特征和人为因素、其它因素综合决定的，所以难以定义具体时间。上述所说的其它因素包括但不限于：个体的能力，乘员数量/被授权的安全员及其同事，同时还有培训的范围。
考虑到防护的有效性，告警系统必须本身具有防损害的能力，否则这种设计概念将处于失效状态，应为无法提前通知机组人员进行人为干预。
3.建议的条款符合性方法
根据AC25.795-9，在进行符合性验证时首先分析飞机是否安装有COG（一般旅客氧气系统和便携式防护呼吸装置都会采用COG作为供氧源）。如果使用COG，建议本条采用MOC1、MOC2 和MOC7方法来表明符合性，对于特定的机型，需针对实际情况调整。
3.1 MOC1设计说明
通过有关型号设计资料（如系统说明、图纸、技术文件等），描述COG本体设计、安装区域情况（特别是独立区域）、COG接近方式、客舱成员与COG安装区域的相互关系以及周围结构设施的设计等，并以工程评审的形式来确定有关设计是否符合适航条款要求。
3.2MOC2分析-计算
于安装在封闭或有隐私需求舱室的COG，例如，盥洗室或者窗帘临时围成的区域，若无法通过设计文件描述清楚，可以采用分析的方法，分析COG安装的位置、客舱成员工作活动区域以及COG本身防止恶意动作的设计来符合适航条款要求。
3.3MOC7机上检查
通过机上检查，实际检验COG本体设计、安装区域与周边结构环境以及客舱成员接近COG安装区域的方式，判断是否能防止精心策划的恶意动作
4 总结
本文讨论了25.795（d）的条款要求以及咨询通告（AC）建议的符合性方法。针对条款要求，给出了建议的符合性方法为设计符合性说明（MOC1）、计算分析（MOC2）和机上检查（MOC7），以供国内民用运输类飞机适航取证时参考使用。
AC 25.795-9对在研型号飞机的影响。
参考文献：
[1]Amdt.25-106 Security Considerations in the Design of the Flightdeck on Transport Category Airplanes
[2]Amdt.25-127 Security Related Considerations in the Design and Operation of Transport Category Airplanes
[3]Amdt.25-138 Requirements for Chemical Oxygen Generators Installed on Transport Category Airplanes
[4]FAR-25（Amdt.25-138）AIRWORTHINESS STANDARDS：TRANSPORT CATEGORY AIRPLANES
[5]AC 25-795-9 Chemical Oxygen Generator Security Standards
关键词：民用飞机；AC25.795；符合性验证
引言
1988年，一架泛美航空的波音747飞机在苏格兰发生爆炸，事故原因是恐怖分子引爆炸弹导致飞机爆炸。为此，国际民航组织（ICAO）引入了安保设计条例，防范针对民用航空的非法行为或恐怖行为，力争在设计阶段消除飞机上易受恐怖分子袭击的薄弱环节。这些安全要求通过民航公约附件8第97号修正案被颁布。
通常国际民航公约附件8的标准不直接用于飞机设计，而是通过其成员国的适航标准实施。为此FAA通过颁发25-106、25-127和25-138三个修正案来贯彻上述安保适航要求。
（1）25-106[1]]修正案增加了FAR25.795（a）增强驾驶舱舱门的要求，要求驾驶舱门能抵御未经许可的暴力入侵和抵御轻型武器的火力或爆炸装置的穿透。
（2）25-127[2]修正案继续修订FAR25.795条，对系统存活性、货舱火情抑制、驾驶舱和客舱烟雾保护等方面提出了要求。
（3）尽管国际民航组织（ICAO）没有提出与化学氧气发生器（简称COG）相关的适航要求，但是FAA发现化学氧气发生器在这方面具有不可接受的安保薄弱环节，特别是多数依据FAR 121部运行的运输类飞机以及某些依据FAR 129部运行的飞机，其安装在盥洗室内的某些类型的氧气系统的安全隐患尤为明显。因此，FAA在2014年3月11号通过第25-138[3]号修正案增加了化学氧气发生器设计及安装的适航要求。
此次修订采用的新标准是基于盥洗室氧气航空规章制定委员会（LOARC）的研究。通过修订FAR 25部25.795（d）条款和25.1450（b）（3）条款来解决潜在的安保漏洞，并且针对25.795（d）条款，FAA给出了咨询通告AC 25.795-9，提供了一套能表明对25.795（d）条款符合性的方法。
1 化学氧气发生器（COG）适航要求的形成
1.1 盥洗室氧气系统
盥洗室氧气系统最低性能要求来自FAR 25.1443和1447。概括地讲，盥洗室氧气系统是在飞机失压时向盥洗室使用者提供应急供氧的安全性设备。该设备至少能立即同时向两名使用者提供足量的氧气直至飞机降低到一定的座舱压力高度不再需要供氧为止。盥洗室供氧系统的主要部件之一供氧源，与旅客供氧系统相似，飞机生产商通常采用化学氧气发生器进行盥洗室供氧。一来是因为化学氧气发生器在提供足量氧气的同时还能保持最优的尺寸、重量以及便捷的维护性，这些都是航线运营商看重的优点。
化学氧气发生器，顾名思义，是通过化学反应产生氧气的装置，同时发生器本身产生高温，设备表面的温度可高达500华氏度。因此FAR 25.1450条款要求对该设备的安全性提出了一定的要求，即发生器在工作时产生的表面温度不得对飞机或机上乘员造成危害。
1.2 化学氧气发生器的安全薄弱环节
虽然ICAO并未针对安装于盥洗室中的化学氧气发生器提出进一步的安保要求，但FAA关注到了化学氧气发生器该种类型设备的薄弱环节。化学氧气发生器的薄弱环节主要体现在：
（1）化学氧气发生器工作时会产生高温高热；
（2）化学氧气发生器在未获得授权时易于接近，即安装方式的薄弱环节；
上述两项薄弱环节容易被不法分子所利用，对飞机本体和机上人员财产造成无法估量的损失。飞机上存在的任何安全隐患，FAA都将会采取措施予以消除或进一步降低其危害性。因此FAA针对该安全隐患采取了一系列的措施。
1.3 FAA针对化学氧气发生器的系列措施
1）2011年，FAA经过风险评估和权衡，认为飞机盥洗室供氧系统短暂的失效不会引起安全性风险，并发布了AD 2011-04-09和特殊联邦航空条例SFAR111，要求移除或激活在役商用飞机上盥洗室供氧系统，简而言之，化学氧气发生器无法在飞机上工作，要么被移除，要么被激活直至无法供氧。
2）FAA同时协调LOARC着手提出关于化学氧气发生器新的适航审定要求以及实施该审定要求的最佳方式，同时评估新的适航审定要求是否同时适用于在役飞机和新型号飞机等一些列问题。
3）2012年，FAA又發布AD 2012-11-09取代AD 2011-04-09，同时颁布政策声明PS-ANM-25-04来指导相关方在最终审定要求发布前开展COG设计、安装并获得局方批准的活动。政策声明中的指导材料也是基于LOARC的建议的符合性方法，意在使飞机盥洗室供氧功能的恢复并且消除上述安保薄弱环节。
4）2013年，FAA发布了规章修订建议书NPRM No.13-01安装于运输类飞机的化学氧气发生器的新要求草案和咨询通告草案AC 25.795-X。
5）2014年，FAA发布第25-138号修正案增加了化学氧气发生器设计及安装的适航要求。
2 AC 25.795-9要求解析
2.1 FAR 25.795（d）[4]
每一化学氧发生器或者其安装的设计必须满足下列方法之一防止受到蓄意破坏：
（1）提供有效耐损害措施；
（2）提供有效耐损害措施和主动损害显示的有效组合；
（3）化学氧发生器安装位置和安装方式应当能够让人立即识别任何接近该装置的企图； （4）以上三种方法的组合，并且局方认为其能提供可靠的安装。
2.2 25.795（d）的符合性
2.2.1 确定COG及其安装的设计是否安全的可接受方法。
有以下几个标准可用来确定COG的安装是否安全或者有安保漏洞。COG的安裝如有安保漏洞必须设计成防止误用COG。下图1是AC 25.795-9[5]给出的评估COG安装的流程，包括确认COG安装是否有安保隐患。下表1是用于协助工程人员回答图1中评估问题的一份指南。对于识别出有安保漏洞的安装，例如对于图1中评估问题的答案导致问题4的答案为是，则设计必须更改，或者COG可以被其它不会产生安保威胁的供氧源代替。
2.2.2 耐损害安装的特征
耐损害设计特征可被应用于COG安装安保的整个或部分应用。耐损害设计的特征有不用的类型，这些特征的功能很大程度上取决安装的实现。耐损害设计的核心是延迟COG的曝露而成为一个武器。然而，一个现有的盥洗室内安装的COG通过改装而具有足够的耐损害设计特征来成功抵抗攻击，目前是不太可能的。这事因为典型的耐损害手段，比如特殊工具和锁扣，时间足够的情况下，这些防御使可以被解决的。这些方法安保手段常用的几种。因此对这些手段只是安保系统的一个方面。
一个耐损害的安装有若干元素组成，如下：
1）COG的位置，
2）安装方法，
3）物理保护（通过对关键组件的防护或机械隔离），和
4）内部设计。
消除进入COG的通道是完成COG耐损害设计最简单易行的方法。通常这个可以通过将COG布置在需要获得授权才能分解客舱内部的位置。举个例子，盥洗室的COG可以位于需要移除整个盥洗室模块才能接近COG的位置。
2.2.3 主动显示损害特征的安装
对于能从隔离的车厢进入COG，例如盥洗室，除了COG的安装具有耐损害特征外，还需要有明显的损害显示手段（如告警）。这样能够使阻止攻击比实施攻击所需时间少。在这种情况下被动的损害显示（比如损害显示封严）不够有效因为这是事后损害显示。有效的损害显示系统依赖于有效介入，而不是紧紧认定警告系统本身能抑制攻击。
一旦一个警告发生显示COG正在遭受损害，机组立即采取行动和其它可用授权的响应者是阻止灾难发生所必须的行动。因此，损害显示系统和培训以及机组应急能力之间有重要关系。为达到最大效率，机组培训应优先于机队安装警告系统。一次成功地响应告警所需时间可能需要几分钟，并且受几个因素制约。对威胁进行响应和干预所需的时间是由设计特征和人为因素、其它因素综合决定的，所以难以定义具体时间。上述所说的其它因素包括但不限于：个体的能力，乘员数量/被授权的安全员及其同事，同时还有培训的范围。
考虑到防护的有效性，告警系统必须本身具有防损害的能力，否则这种设计概念将处于失效状态，应为无法提前通知机组人员进行人为干预。
3.建议的条款符合性方法
根据AC25.795-9，在进行符合性验证时首先分析飞机是否安装有COG（一般旅客氧气系统和便携式防护呼吸装置都会采用COG作为供氧源）。如果使用COG，建议本条采用MOC1、MOC2 和MOC7方法来表明符合性，对于特定的机型，需针对实际情况调整。
3.1 MOC1设计说明
通过有关型号设计资料（如系统说明、图纸、技术文件等），描述COG本体设计、安装区域情况（特别是独立区域）、COG接近方式、客舱成员与COG安装区域的相互关系以及周围结构设施的设计等，并以工程评审的形式来确定有关设计是否符合适航条款要求。
3.2MOC2分析-计算
于安装在封闭或有隐私需求舱室的COG，例如，盥洗室或者窗帘临时围成的区域，若无法通过设计文件描述清楚，可以采用分析的方法，分析COG安装的位置、客舱成员工作活动区域以及COG本身防止恶意动作的设计来符合适航条款要求。
3.3MOC7机上检查
通过机上检查，实际检验COG本体设计、安装区域与周边结构环境以及客舱成员接近COG安装区域的方式，判断是否能防止精心策划的恶意动作
4 总结
本文讨论了25.795（d）的条款要求以及咨询通告（AC）建议的符合性方法。针对条款要求，给出了建议的符合性方法为设计符合性说明（MOC1）、计算分析（MOC2）和机上检查（MOC7），以供国内民用运输类飞机适航取证时参考使用。
AC 25.795-9对在研型号飞机的影响。
参考文献：
[1]Amdt.25-106 Security Considerations in the Design of the Flightdeck on Transport Category Airplanes
[2]Amdt.25-127 Security Related Considerations in the Design and Operation of Transport Category Airplanes
[3]Amdt.25-138 Requirements for Chemical Oxygen Generators Installed on Transport Category Airplanes
[4]FAR-25（Amdt.25-138）AIRWORTHINESS STANDARDS：TRANSPORT CATEGORY AIRPLANES
[5]AC 25-795-9 Chemical Oxygen Generator Security Standards