《Drones》：Regulatory Frameworks and Development Standards for Civilian Unmanned Aircraft Systems: From Regulatory Safety Intent to Development Lifecycles
Adina Aniculaesei
编辑推荐：
针对欧洲民用无人机系统(UAS)监管侧重运营授权、缺乏统一软硬件安全保障生命周期的问题，本研究提出从STS/SORA等监管文件中提取系统级/软件级安全需求的方法，构建了以软件为中心、风险匹配的开发与验证流程，为无人机适航认证提供可追溯的工程路径。
在物流巡检、城市空中交通等场景快速扩张的今天，民用无人机系统(UAS)越来越多地穿梭于共享空域和人群密集区。然而，欧洲现有的监管体系——如(EU) 2019/945产品法规和(EU) 2019/947运行规则——更像一本“运营准入手册”，规定了怎么飞才合规、如何通过特定运行风险评估(SORA)获得授权，却没有说明：厂家到底该如何设计和验证软硬件，才能让监管层相信系统本身是安全的？
这造成了一个尴尬的“断层”：运营侧有详细的标准场景(STS)、预定义风险评估(PDRA)，而开发侧却缺少像航空电子DO-178C或汽车功能安全ISO 26262那样成体系的开发生命周期与证据链。监管文件里的安全意图（比如SORA中的地面风险等级GRC、空中风险等级ARC、特定保证与完整性水平SAIL）停留在“运行约束和缓解措施”层面，并未转化为可执行、可验证的系统级与软件级安全需求。因此，业界急需一种方法，把监管语言“翻译”成工程师看得懂、做得了、还能向上溯源的安全需求，再嵌入到结构化的开发流程里。
为填补这一空白，Adina Aniculaesei在《Drones》发表的这项研究，就像一位精通多国语言的“翻译官+架构师”。她建立了一套分析方法：从欧盟法规、EASA指南与JARUS SORA等权威材料中系统提取监管要素，再用分类框架梳理文档类型与生命周期覆盖范围；在此基础上，将监管条款转化为显式的运行假设和安全目标，进而推导出系统与软件安全需求；最后，借鉴航空与汽车领域的成熟实践，设计出一套面向UAS的、以软件为中心的开发生命周期，实现“监管意图→需求→设计→验证”的可追溯闭环。
关键技术方法包括：对欧盟UAS法规与EASA AMC/GM进行结构化收集与分类；运用表格化汇总提炼SORA中的GRC/ARC/SAIL/OSO等核心概念；通过跨域对比分析，将DO-178C软件生命周期与ISO 26262功能安全V模型映射至UAS语境；基于此构建从监管输入到开发输出的需求导出流程，并定义分阶段验证与证据打包机制。
监管框架：安全意图藏在“准入条件”里
研究首先拆解了欧洲UAS三层运行类别：“开放类”(Open)靠预设限制降低风险，“特定类”(Specific)依赖STS/PDRA/SORA论证安全性，“审定类”(Certified)对标有人机的高强度认证。重点是SORA这套逻辑：从概念(ConOps)出发，评估本征地面风险(GRC)与空中风险(ARC)，经战略/战术缓解调整后得到最终风险值，再对应到SAIL（I–VI级），最终落地为一组运行安全目标(OSO)。问题是，这些全是“运行侧的安全KPI”，未指明系统该怎么实现。
跨域对标：向航空与汽车借“成熟作业本”
研究把DO-178C（航空软件）和ISO 26262（汽车功能安全）摆在一起看：前者按失效后果严重度定设计保证等级(DAL A–E)，偏重严流程与全追溯；后者用危害分析与风险评估(HARA)结合暴露度/可控性定ASIL(A–D)，更注重上下文风险。两者都用分层验证与双向追溯编织证据网——这正是UAS开发最缺的“基础设施”。
需求萃取：把“不准出事”变成“系统要做的事”
这是研究的核心发明：三步法。第一步从STS/PDRA/SORA抽取出运行边界、危险事件与缓解措施；第二步抽象为技术中立的安全目标（例如“失控后仍保持空间约束”）；第三步细化到具体需求：系统级（地理围栏延迟<X ms）、软件级（GNSS退化触发降级模式）。每一步都带着“出生证明”——追溯到源头监管条款，确保合规有理。
生命周期：给UAS开发装上“安全导航仪”
团队设计了一套风险成比例的生命周期：从规划与安全论证定义起步，用ConOps和运行设计域(ODD)锁定场景；在SORA式风险分析中识别危险、定SAIL/OSO；架构阶段分配软硬职责，布设监控与回退；软件开发依循需求→架构→实现→分阶验证；最后用运行验证与证据包支撑审批。它不替代现有法规，而是让开发过程自然对齐监管预期。
结论：让监管语言与工程师语言握手
研究表明，欧洲UAS监管虽无明文开发标准，但其SAIL/OSO本质是“置信度刻度”——要求开发者证明在多严条件下、对多高危险能做到多可靠。通过结构化萃取与跨域适配，这些运行级指标可落地为可开发、可验证的安全需求，并用风险成比例的流程生产可审计的证据链。这不仅补上了运营批准与系统开发的断点，还为未来城市空中交通(UAM)等复杂场景提供了可扩展的安全工程底座。
