行业观察｜载人eVTOL适航审定：安全等级是"审"出来的，不是"喊"出来的

引言：

当前中国载人 eVTOL 项目中，「整机 10⁻⁷、关键系统 10⁻⁸」是较为现实且具备工程可验证性的适航路径；10⁻⁹并非技术上绝对无法实现，但其对应的是更高风险场景、更严格的符合性要求，以及显著增加的研发、验证和商业化成本。

随着多款国产 eVTOL 在研发和适航审定方面取得进展，以及国家持续推动低空经济发展，资本市场对于「空中出租车」的关注度不断升温。与此同时，「安全性达到 10⁻⁹」也逐渐成为部分企业在融资交流和市场宣传中频繁出现的表述。

然而，在适航审定领域，安全等级从来不是企业单方面定义的「设计愿景」，也不是一个孤立数字。安全目标的确定，来源于运行场景、风险分析、系统架构设计以及适航当局审定要求的综合结果，并最终体现在符合性方法中。

本文基于公开法规和工程实践，希望厘清 eVTOL 安全等级背后的技术与法规逻辑，为投资者和行业观察者提供一个更容易验证的分析框架。

一、              安全目标由「审定局方+运行场景」双轮驱动，而非简单数字竞争

在航空业，安全目标的定量指标（Probability per Flight Hour）并非孤立存在，而是与运行场景、乘员数量、运行区域人口密度以及预期运营模式密切相关。

需要特别说明的是，本文所讨论的 10⁻⁷、10⁻⁸、10⁻⁹等指标，均指灾难性失效条件（Catastrophic Failure Condition）的安全目标，而非航空器实际事故率。

从目前公开法规来看，全球主要监管机构针对 eVTOL 的安全要求呈现出明显的场景分层特征：

关键事实一：

中国目前唯一取得 TC 的载人 eVTOL——亿航 EH216-S，其专用条件（SC-21-002，2022 年 2 月公开发布），后续其 eVTOL 也取得了其他证，但迟迟未迎来规模商业化。

关键事实二：

EASA SC-VTOL 中的 Enhanced Category 主要面向飞越人口密集区、开展商业载客运输等高暴露风险场景。该类别要求航空器在发生单点故障后仍具备持续安全飞行与着陆能力。由于 eVTOL 通常采用高度分布式架构，多个关键系统均需达到 10⁻⁹级安全目标，因此从整机安全保证的角度看，其安全设计要求被普遍认为高于传统 CS-25 运输类飞机。截至目前，全球尚未有 eVTOL 完成 Enhanced Category 下的完整型号合格审定。业内普遍认为，更高等级的安全目标意味着更复杂的系统架构、更严格的验证要求以及更长的审定周期。对于仍处于产业化早期阶段的 eVTOL 行业而言，这无疑提高了技术和商业化门槛。

关键事实三：

FAA 在 AC 21.17-4 中对 powered-lift 商业载客的灾难性事故发生的系统安全目标目前处于 10⁻⁸量级，与 EASA 的 10⁻⁹存在差异，但双方正在推进协调。这也说明，即便是欧美之间，10⁻⁹也不是「全球统一标准」，而是「最高场景下的最严标准」。

结论：如果一家主机厂声称「整机 10⁻⁹」，首先要回答的不是技术能力，而是法规身份——这是哪个局方、在哪个运行场景下、写入哪一份符合性方法文件的安全目标？若无法出示局方批复的相关文件，10⁻⁹只能称为「设计愿景」，而非「适航结论」。

二、系统级 10⁻⁸的工程逻辑：自顶向下分配，而非「层层加码」

在航空器系统安全性评估中，整机目标需要通过 ARP 4754B 等方法论，自顶向下分解到各个系统功能。以 CAAC 当前载人 eVTOL 的要求（整机 10⁻⁷）为例：

整机级：10⁻⁷（灾难性事故概率，即 1000 万个小时，整机最多只能出现一个灾难性事故）。

系统级：关键系统（飞控、动力、电池管理）需分配至 10⁻⁸，有部分系统甚至更高，通过冗余架构确保满足。

设备级：电机、电调、传感器等底事件需提供失效率数据，支撑上层分配。

这一路径符合当前中国载人 eVTOL 的工程现实：分布式电推进（DEP）通过多电机冗余，可以在单电机/单电调失效时毫秒级重构推力，实现「故障-安全」或「故障-工作」。

那么整机安全性10⁻⁹需要什么样的系统级支撑？

若整机目标为 10⁻⁹，且一架 eVTOL 存在 10 个潜在灾难性失效条件，则每个系统功能的平均分配目标需达到 10⁻¹⁰及以上。作为对比，现代商用航空发动机（如 CFM LEAP）的单发空中停车率约为 10⁻⁵每飞行小时，已属于人类工业可靠性皇冠。当前 eVTOL 所使用的航空级电池、碳化硅逆变器、飞控软件，尚未积累足够的历史飞行数据来支撑10⁻¹⁰量级的定量验证。

结论：「整机 10⁻⁷、系统 10⁻⁸」是当下可验证、可审定、可量产的工程路径。10⁻⁹不是技术禁忌，但需要更长的飞行数据积累、更成熟的供应链、以及局方明确批复的「增强类」审定基础。在现阶段，将「设计目标」与「审定结论」混为一谈，对投资者和公众都是一种误导。

三、投资者识别eVTOL 安全水平的三个关键问题

对于关注 eVTOL 产业的投资者和合作伙伴而言，相较于简单询问「安全性达到什么水平」，以下三个问题更有助于判断企业真实的安全能力和适航成熟度。

问题一：适航文件中明确的整机灾难性失效概率目标是多少？

如果企业宣称是 10⁻⁹，应出示 CAAC/FAA/EASA 批复的适航文件及条款编号。主机厂与民航局在 G2 的签署之前，需要明确安全性目标，与局方要把这个安全性数值签署下来的。如果企业不能出具，那投资人就需要谨慎了。

问题二：当前 TC/AC 对应的是哪个运行场景？

是「无人驾驶、非人口密集区、视距内运行」，还是「有人驾驶，城市商业载客」或者还是郊区低空旅游？场景不同，安全等级不可直接比较。

问题三：适航进展及符合性验证进展到哪一步？

根据目前国内的进展，大多数企业还在 G1 阶段（目前已经形成了国家标准，不用再额外讨论）。这里可以进一步跟企业沟通 G2 签署了没有，CP 签署到什么状态了签署了几份，一般企业是 18-20 份之间。G1\G2\CP 都签署完毕后，再看企业有没有真正下线了适航验证机，实际的试飞到什么阶段了？

结语：安全需要可验证，而非可宣称

eVTOL 作为新型航空器，经过各国民航局的努力，其适航审定已经有现成规章可以参照。这恰恰意味着，安全等级的解释权在局方，不在企业市场部或者投资部。

我们尊重所有同行向 10⁻⁹乃至更高目标攀登的技术努力，但也呼吁行业回归理性：明确区分「设计目标」与「审定结论」，明确区分「运行场景」与「统一标准」，让投资者用法规文件而非宣传话术来判断风险。

低空经济的长期健康发展，需要的不是「安全数字竞赛」，而是一份份经得起局方审查、经得起飞行数据检验、经得起公众信任的适航档案。

参考法规与公开文件：

1. CAAC《EH216-S 型无人驾驶航空器系统专用条件》（SC-21-002，2022 年 2 月）

2. EASA《Special Condition for VTOL-capable aircraft》（SC-VTOL Issue 2，2024 年 6 月）

3. FAA《Advisory Circular 21.17-4, Type Certification of Powered-Lift Aircraft》（2024 年）

4. SAE ARP 4754B《Guidelines for Development of Civil Aircraft and Systems》

5. ASTM F3230-21《Standard Practice for Safety Assessment of Systems and Equipment in Small Aircraft》

6. 中国民航局《动力提升航空器适航标准》，2026 年 2 月 12 日

7、FAA 发的 PS-AIR-21.17-01 "Safety Continuum for Powered-lift"，2024 年

（本文基于公开适航法规与行业通用工程实践撰写，仅供技术交流，不构成投资建议）