⚠️ 本页为非官方译本。 只有加拿大司法部公布的英文和法文原文具有法律效力。本译本仅用于学习参考，引用时请以官方法规原文为准。
学完你会知道
了解遏制标准要求什么、哪些运行必须作出该项声明、它们依据两个稳健性等级中的哪一个作出声明，以及为什么飞离（fly-away）正是这一整套标准所要应对的失效。
开始之前
- 你知道你所飞运行的运行体积，因为遏制正是以该体积为衡量对象。CAR 900.01
- 你能按运行重量区分小型与中型类别，因为各项遏制声明正是沿这条线划分的。CAR 901.87
- 你知道该运行是目视视线内还是超目视视线，以及它距人口稠密区是超过还是不足 1 公里。CAR 901.87
规则怎么运作
1. 为什么会有遏制这项标准
该标准适用于那些大部分风险缓解来自远离人员的运行——无论人员在地面还是在空中。既然承担缓解作用的是距离，那么摧毁这一缓解的，就是航空器离开了它本应所处的范围：一次飞离会耗掉该运行所建立的大部分安全裕度。Std 922.08
遏制标准的存在，是为了让人确信该运行会把无人机保持在运行体积之内，而题目正是围绕这句话出的。Std 922.08
2. 它据以衡量的体积
遏制衡量的不是飞行员的意图，而是法规所定义的各个体积：CAR 900.01
| 术语 | 含义 |
|---|---|
| 运行体积 | 由飞行地理范围、应急体积与地面风险缓冲区组成的区域 CAR 900.01 |
| 地面风险缓冲区 | 紧邻应急体积外围的区域，自该体积边界水平量起，至少等于该航空器的计划最大高度 CAR 900.01 |
飞出了运行体积的航空器，等于同时离开了这三者，而这正是该标准要求设计使其成为极小可能的事件。Std 922.08
3. 哪些运行要作出该项声明
有两个目视视线内的情形被直接点名，二者出自同一套推理：Std 922.08
- 目视视线内运行、中型无人机、距未参与运行的人员超过 500 英尺。其中许多是原型系统的设计与研发试飞，而在首飞之前，就必须依据 922.08(1) 与 (2) 的低稳健性要求作出声明。Std 922.08
- 在管制空域内的目视视线内运行、无人机重量在 25 公斤至 150 公斤之间，同样适用低稳健性要求。这类飞行本就须依据标准 922.04 作出声明，并取得空管主管部门的许可与协调；而管制空域所伴随的战略性缓解措施——保持目视视线、让行于传统航空器、不对其造成危害——正是使风险无论机型大小都保持较低的原因。Std 922.08 CAR 901.71
第二个情形值得再读一遍：那里的遏制声明是中型航空器的要求，而不是小型无人机在管制空域中必须额外增加的东西。AIM 3.4.4
4. 它与 922.07、922.09 的关系
当运行要求适用安全与可靠性标准（922.07）时，不适用本标准——遏制最好理解为一整套系统安全分析过程中的一个子集。Std 922.08 Std 922.07
不过，"未被点名"并不等于"不适用"。对于走 922.07 流程的运行，对遏制能力与飞离缓解措施的分析是在 922.07 的安全与可靠性评估之内完成的：所用的是同类安全评估与设计保证，只是聚焦于飞离这一特定失效。Std 922.08 Std 922.07
指挥与控制链路标准也从它那一侧划出同一条界线：基本运行缓解"失去 C2 链路导致失去控制"这一危害的方式，是其与人员之间的隔离距离，以及符合 922.08；而其他目视视线内运行——即中型航空器在人员附近及上方的运行——则预期在 922.07 流程中分析 C2 链路失效。Std 922.09
5. 任何单一失效都不得导致飞离
两个稳健性等级都带有同一条核心规则：任何单一失效都不得导致无人机飞离。因此遏制手段必须独立于任何本身可能导致飞离的系统。Std 922.08
该咨询通告给出的例子最值得记住。一个依赖 C2 链路来启动的飞行终止系统不满足单一失效规则：该链路一旦失效，既失去控制航空器的能力，也失去终止飞行的能力，运营人于是再也没有确保遏制的手段。若终止系统能在链路失效之后安全结束飞行，则可以接受，但此时分析必须排除共因失效——例如无线电与终止系统不得共用同一电源。软件与电子硬件的错误也按同样方式处理：防止飞离的系统必须与系统其余部分的故障相隔离。Std 922.08
6. 低稳健性与高稳健性
两个等级的差别在于必须证明什么，而不在于那条单一失效规则。Std 922.08
- 低稳健性在最基本的层面上可以靠限制航空器所携带的能量来满足——一架在体积内只有十分钟续航、而该体积内任何边缘以最大速度计算都超过十分钟的无人机，在失效后无法离开该体积。更现实的做法是完成一次系统安全分析，聚焦于那些可能使航空器在运营人无法制止的情况下离开体积的失效——例如系统保持航向与高度时失去 C2 链路，或导航传感器故障使航空器飞出体积——并以独立冗余来接管或安全终止飞行。Std 922.08
- 高稳健性增加两项内容：任何单一失效都不得导致飞离，且任何导致飞离的失效组合都必须是极小可能的，并以 FMEA 与系统安全评估加以证明；此外还要对其故障可能导致失去遏制的硬件与软件实施设计保证，即采用以 DO-178/254 或 ASTM F3201-16 等行业标准为基础的设计过程。Std 922.08
AIM 的声明清单把这些等级落到具体运行上。对于在非管制空域、距人口稠密区至少 1 公里的超目视视线运行——即法规第 901.87(a) 项所述运行——小型无人机依据 922.08(1, 2)（低稳健性要求）作出声明，而中型无人机依据 922.08(3, 4, 5, 6)（高稳健性要求）作出声明。AIM 3.4.4 CAR 901.87
你的检查清单
遏制类的题目可由四项事实回答：
- 目的：确信无人机留在运行体积之内，因为在这类运行中，与人员的距离构成了大部分风险缓解，而一次飞离会把它耗尽 Std 922.08
- 体积：飞行地理范围 + 应急体积 + 地面风险缓冲区，其中缓冲区自应急体积边界水平量起，至少等于计划最大高度 CAR 900.01
- 规则：任何单一失效都不得导致飞离，且遏制手段必须独立于任何可能导致飞离的系统 Std 922.08
- 该运行所对应的声明档位：低稳健性或高稳健性 AIM 3.4.4
| 运行 | 遏制声明 |
|---|---|
| 目视视线内、中型无人机、距未参与人员超过 500 英尺 | 低稳健性，922.08(1) 与 (2)，须在首飞之前 Std 922.08 |
| 管制空域内的目视视线内运行、无人机 25 公斤至 150 公斤 | 低稳健性——仅限中型无人机 AIM 3.4.4 |
| 距人口稠密区超过 1 公里的超目视视线运行、小型无人机 | 922.08(1, 2)——低稳健性 AIM 3.4.4 |
| 距人口稠密区超过 1 公里的超目视视线运行、中型无人机 | 922.08(3, 4, 5, 6)——高稳健性 AIM 3.4.4 |
| 任何要求适用标准 922.07 的运行 | 不作为单独声明适用；飞离分析位于 922.07 评估之内 Std 922.08 |
常见的错法
| 症状 | 可能原因 | 该怎么办 |
|---|---|---|
| 题目问遏制让人确信什么 | 标准自身的目的句 | 无人机留在运行体积之内 Std 922.08 |
| 题目称小型无人机在管制空域也需 922.08 | 管制空域的遏制声明仅限中型 | 先看航空器类别 AIM 3.4.4 |
| 因为适用 922.07 就以为遏制不适用 | "未被点名"不等于"不适用" | 在 922.07 评估之内完成遏制分析 Std 922.08 |
| 以经由 C2 链路解锁的终止系统作为遏制手段 | 一次失效会同时夺走控制与终止 | 让遏制手段保持独立 Std 922.08 |
| 地面风险缓冲区自飞行地理范围量起 | 它环绕的是应急体积 | 自应急体积边界水平量起 CAR 900.01 |
自测
来源
- s.922.08 — 遏制
- s.922.07 — 安全与可靠性
- s.922.09 — 指挥与控制链路可靠性及失联行为
- 加拿大航空条例 900.01 — 释义（运行体积；地面风险缓冲区）
- 加拿大航空条例 901.71 — 在管制空域运行的许可
- 加拿大航空条例 901.87 — 适用范围（第 VI 分部）
- TC — RPAS 安全保证声明