Requisitos de
Certificação

Como se demonstra que um sistema aviônico é seguro — a classificação das condições de falha, as metas de probabilidade e o processo de avaliação de segurança.

FEDERAL AVIATION ADMINISTRATION (FAA). Advisory Circular 25.1309-1B — System Design and Analysis. Washington, DC: FAA, 30 ago. 2024.

FEDERAL AVIATION ADMINISTRATION (FAA). Advisory Circular 20-115D — Airborne Software Development Assurance Using EUROCAE ED-12( ) and RTCA DO-178( ). Washington, DC: FAA, 21 jul. 2017.

FEDERAL AVIATION ADMINISTRATION (FAA). Advisory Circular 20-152A — Development Assurance for Airborne Electronic Hardware. Washington, DC: FAA.

Prof. Fabriciu Alarcão Veiga Benini

Professor de Ensino Básico, Técnico e Tecnológico — área Aeronáutica

Engenheiro Eletricista — Mestre em Sistemas Dinâmicos — Doutor em Telecomunicações

Instituto Federal de Educação, Ciência e Tecnologia de São Paulo, Campus São Carlos

1 / 48
2 / 48

O que o § 25.1309 exige: o requisito e seus três parágrafos

O § 25.1309 é a regra; a Advisory Circular é o guia — descreve meios aceitáveis, mas não os únicos, e usá-la como meio de conformidade é voluntário.

(a) FUNCIONAR QUANDO INSTALADO

Equipamentos, sistemas e instalações devem ser demonstrados funcionando corretamente quando instalados, nas condições operacionais e ambientais aprovadas — o envelope do manual de voo, mais as condições ambientais externas (turbulência, campos irradiados de alta intensidade, descargas atmosféricas, precipitação) e as internas à aeronave (vibração, aceleração, variação de pressão de fluidos e de energia elétrica, contaminação por fluidos ou vapores, calor irradiado, emissão eletromagnética).

(b) SER ANALISADO

As condições de falha têm de ser identificadas e avaliadas, e cada uma deve ter probabilidade compatível com a severidade do seu efeito: catastrófica extremamente improvável e nunca resultante de uma única falha; perigosa extremamente remota; maior remota.

As falhas latentes significativas devem ser eliminadas na medida do praticável.

(c) INFORMAR A TRIPULAÇÃO

Informação sobre condições operacionais inseguras do sistema deve ser dada à tripulação de voo, para a ação corretiva apropriada em tempo hábil — o que inclui indicação ou anunciação conforme o § 25.1322 ou outros meios dedicados, e o projeto deve também minimizar erros da tripulação que criem perigos adicionais.

(a)(2) — os sistemas de conveniência (comodidades e entretenimento de passageiros, telefones em voo) não precisam do mesmo nível: suas falhas funcionais devem ter nenhum efeito sobre a segurança, e o que se demonstra é que seu funcionamento, normal ou anormal, não cause fogo, explosão nem exposição de passageiros a altas tensões.

Esta matéria segue a revisão B, de 2024, que cancela a revisão de 1988 desta mesma Advisory Circular.
3 / 48

A quem e a que se aplica: o teste do sistema que sustenta outra regra

A regra é geral — e o que decide se ela incide é de que sistema depende o cumprimento de outra exigência?

  • Destinatários: fabricantes de aeronaves, modificadores, autoridades reguladoras estrangeiras, engenheiros do Aircraft Certification Service da FAA e designados do Administrator.
  • O que a regra alcança: qualquer equipamento ou sistema instalado na aeronave — certificação de tipo, regras operacionais ou instalação opcional —, somando-se aos requisitos de cada sistema, e no § 25.1309(a)(2) cobrindo os sistemas de conveniência.

O teste

Fora do § 25.1309 ficam desempenho e características de voo (subparte B) e estrutura (subpartes C e D); ele aplica-se a todo sistema em que se baseie a conformidade com elas.

O exemplo que fixa o teste

O § 25.1309 não se aplica ao estol inerente à aeronave nem à sua avaliação — mas aplica-se ao sistema de aviso de estol do § 25.207.

  • Além do básico: instalações de grupo motopropulsor (§ 25.901(c)) e de unidade de potência auxiliar (§ 25.901(d)); sistema de combustível, com os §§ 25.954 e 25.981; sistemas elétricos e eletrônicos dos §§ 25.1316 (raios) e 25.1317 (HIRF); e elementos estruturais em sistemas, que também respondem à fadiga e à tolerância a dano do § 25.571.
  • Recorte de tempo: aplica-se às condições operacionais aprovadas, no solo e em voo — e, no solo, só com a aeronave em serviço (manutenção de linha, decisões de despacho, embarque e desembarque, táxi); fora disso, oficina e armazenagem não entram.
Onde a regra cede: travamentos de superfícies de comando e de comandos do piloto do § 25.671(c)(3); falhas únicas do § 25.735(b)(1), cujo efeito no sistema de freios já está limitado a dobrar a distância de parada; e os equipamentos de segurança de cabine dos §§ 25.810(a)(1)(v) e 25.812, cuja probabilidade de evacuação não se consegue determinar.
4 / 48

Duas faces da mesma aprovação: o projeto e a operação

A aprovação de uma aeronave tem duas faces — e o aluno já conhece a outra. O material anterior tratou da rota operacional: o pacote de dados ao escritório de certificação e a autorização do escritório de Padrões de Voo.

BASE DE CERTIFICAÇÃO DE PROJETO

O que o fabricante ou o modificador demonstra para que o certificado de tipo, ou sua emenda, cubra o sistema como instalado: é aqui que se demonstram, por análise e ensaio, o funcionamento sob as condições operacionais e ambientais, o comportamento diante de cada condição de falha e a informação dada à tripulação.

AUTORIZAÇÃO DE OPERAÇÃO

A face em que se demonstra que aquela aeronave, com aqueles equipamentos e procedimentos, pode operar — sujeita às regras operacionais, e alimentada pelo mesmo § 25.1309, que se aplica a qualquer sistema instalado para certificação de tipo ou para regras operacionais. Conformidade por fábrica ou por SB, SL, EO e STC.

O que o projeto entrega à operação: os requisitos de manutenção de certificação (CMR) e as instruções para aeronavegabilidade continuada (ICA) nascem na certificação de projeto, como limitação de aeronavegabilidade do certificado de tipo ou do certificado de tipo suplementar, e passam a valer do lado da operação.

A fronteira não é burocrática: mudar o projeto de um sistema muda a base de certificação; mudar o uso do sistema muda a autorização de operação. As duas faces se encontram no mesmo sistema instalado.
5 / 48

Condição de falha não é modo de falha

A norma usa duas expressões parecidas para coisas de tamanhos diferentes — e é a distinção entre elas que decide o resto da matéria.

FALHA (failure)

Ocorrência que afeta a operação de um componente, peça ou elemento de modo que ele deixe de funcionar como pretendido; abrange a perda de função e o mau funcionamento.

Nota da norma: erros podem causar falhas ou influenciar seus efeitos, mas não são considerados falhas — e "erro" inclui omissão ou ação incorreta da tripulação ou da manutenção e o erro de desenvolvimento (equívoco em requisitos, projeto ou implementação).

MODO DE FALHA (failure mode)

A forma específica pela qual um sistema, equipamento, item de hardware ou peça pode falhar — é o vocabulário da peça: circuito aberto, curto-circuitos, travamento, valor fora de tolerância, perda de sinal.

CONDIÇÃO DE FALHA (failure condition)

Condição causada ou contribuída por uma ou mais falhas ou erros, com efeito direto ou consequente sobre a aeronave, seus ocupantes ou outras pessoas, considerando a fase de voo, as condições operacionais ou ambientais adversas relevantes e os eventos externos.

É o vocabulário da aeronave: descreve o efeito, não o mecanismo.

É a condição de falha — não o modo de falha — que recebe classificação de severidade e meta de probabilidade; e a norma exige documentação clara, pelo requerente, tanto dos modos de falha quanto dos tempos de resposta do piloto a eles.

A análise de modo de falha serve ao projeto do item; é a condição de falha que se mede contra a segurança da aeronave — inclusive contra os riscos à tripulação de solo, quando relevantes.
6 / 48

A relação inversa: probabilidade admissível × severidade do efeito

O § 25.1309(b) não pede "falhas raras" em geral — pede que cada condição de falha tenha probabilidade compatível com a severidade do seu efeito: é uma relação inversa, e quanto pior o efeito, menos provável a falha precisa ser.

Leitura da tabela: cada degrau de severidade baixa em duas ordens de grandeza o teto da probabilidade aceitável — 10⁻³ (menor) → 10⁻⁵ (maior) → 10⁻⁷ (perigosa) → 10⁻⁹ (catastrófica). Nas avaliações quantitativas, "da ordem de" admite fator dois para condição remota e fator três para extremamente remota ou extremamente improvável; probabilidade calculada inferior à faixa é conforme.

Caso extremo — a condição catastrófica: além de extremamente improvável, nenhuma falha única pode produzi-la, e as falhas latentes significativas que com ela contribuam têm de ser tratadas.

A forma da curva também ensina o método: não é a análise quantitativa sozinha que demonstra o extremo improvável — os valores numéricos complementam, e não substituem, o julgamento de engenharia e operacional.
7 / 48

O vocabulário da falha

Falha, erro, modo de falha, condição de falha e evento externo não são sinônimos: cada um nomeia uma coisa diferente.

Falha (failure)

Ocorrência que afeta a operação de um componente, peça ou elemento de modo que ele deixe de funcionar como pretendido; abrange tanto a perda de função quanto o mau funcionamento. Erros podem causar falhas ou influenciar seus efeitos, mas não são considerados falhas.

Erro (error)

Omissão ou ação incorreta de um membro da tripulação de voo ou do pessoal de manutenção, ou um erro de desenvolvimento — equívoco em requisitos, projeto ou implementação.

Modo de falha (failure mode)

A forma específica pela qual um sistema, equipamento, item de hardware ou peça pode falhar.

Condição de falha (failure condition)

Condição causada ou contribuída por uma ou mais falhas ou erros, que tem efeito direto ou consequente sobre a aeronave, seus ocupantes ou outras pessoas, considerando a fase de voo, as condições operacionais ou ambientais adversas relevantes e os eventos externos.

Evento externo (external event)

Ocorrência com origem distinta da aeronave — condições atmosféricas (rajadas, variações de temperatura, formação de gelo, descargas atmosféricas), condições de pista, condições dos serviços de comunicação, navegação e vigilância, colisão com aves e incêndios em cabine e bagageiro não iniciados por características instaladas na aeronave. Não abrange sabotagem nem outros atos intencionais semelhantes.

8 / 48

Latência e tempo: a falha que viaja sem anúncio

A latência é a janela em que a falha acompanha a aeronave sem ser anunciada — e é essa janela que as tarefas exigidas de manutenção existem para encurtar.

Falha latente (latent failure)

Falha que não é detectada nem anunciada quando ocorre.

Tempo de exposição (exposure time)

O tempo entre o momento em que se sabe que um item está operando corretamente e o momento em que se saberá novamente que ele está operando corretamente.

Tempo em risco (at risk time)

O período durante o qual a aeronave pode estar sujeita ao efeito da falha em análise.

Falha latente significativa (Significant Latent Failure — SLF)

Falha latente que, em combinação com uma ou mais falhas ou eventos específicos, resultaria em condição de falha perigosa ou catastrófica. Termo definido no § 25.4.

Requisito de manutenção de certificação (Certification Maintenance Requirement — CMR)

Tarefa de manutenção programada exigida, estabelecida durante a certificação de projeto dos sistemas da aeronave como limitação de aeronavegabilidade do certificado de tipo ou do certificado de tipo suplementar. Os CMRs são um subconjunto das Instruções para Aeronavegabilidade Continuada (ICA) identificadas durante o processo de certificação.

9 / 48

CSL+1: a falha latente catastrófica mais uma

Condição de falha catastrófica resultante da combinação de duas falhas, cada uma das quais podendo ser latente por mais de um voo (Catastrophic Single Latent Failure Plus One — CSL+1).

  1. Nenhuma das duas falhas, sozinha, é catastrófica — e nenhuma das duas é anunciada quando ocorre.
  2. Como cada uma pode ficar escondida por mais de um voo, a aeronave acumula voos carregando uma falha que ninguém vê: a latência atravessa o voo.
  3. Basta a segunda falha — a “mais uma” — para fechar a combinação catastrófica.
  4. Por isso a exposição à latência é limitada: primeiro eliminando a falha latente na medida do praticável; depois, minimizando o tempo de exposição.

A norma trata essas condições no § 25.1309(b)(5): o requerente demonstra primeiro que é impraticável projetar o sistema com tolerância adicional a falhas e, então, limita o risco residual e a probabilidade de ocorrência da própria falha latente.

10 / 48

Os instrumentos da demonstração

Demonstrar conformidade exige nomear bem o que se faz: o que é análise, o que é avaliação, e o que a norma exige que o projeto tenha.

Análise e avaliação (analysis, evaluation)

Os dois termos são usados ao longo da norma e, em certa medida, são intercambiáveis; a “análise” implica avaliação mais específica e detalhada, e a “avaliação” pode ser mais genérica ou ampla, incluindo um ou mais tipos de análise. O sentido de cada termo decorre de sua aplicação — análise por árvore de falhas, análise de Markov, avaliação preliminar de segurança do sistema (PSSA).

Apreciação de projeto (design appraisal) e de instalação (installation appraisal)

Apreciações qualitativas da integridade e da segurança — do projeto do sistema, no primeiro caso; da instalação, no segundo, incluindo a avaliação de desvios das práticas de instalação normais e aceitas pela indústria.

Garantia de desenvolvimento (development assurance)

Todas as ações planejadas e sistemáticas usadas para substanciar, com nível adequado de confiança, que erros em requisitos, projeto e implementação foram identificados e corrigidos, de modo que o sistema satisfaça os objetivos de segurança aplicáveis.

Requisito de segurança (safety requirement)

Requisito necessário para alcançar um objetivo de segurança ou satisfazer uma restrição estabelecida pelo processo de segurança de sistemas.

11 / 48

O conceito de projeto fail-safe

Os padrões da parte 25 para instalação de sistemas e equipamentos baseiam-se no conceito de projeto fail-safe e o incorporam. O conceito orienta o requerente a assumir que falhas únicas ocorrerão e a considerar os efeitos dessas falhas e de combinações de falhas ao definir um projeto seguro aceitável.

1

Em qualquer sistema ou subsistema, a falha de qualquer elemento, componente ou conexão isolado, durante qualquer voo, deve ser assumida — independentemente de sua probabilidade. Essas falhas únicas não devem ser catastróficas.

2

Falhas subsequentes durante o mesmo voo, detectadas ou latentes, e combinações delas, também devem ser consideradas.

Falha única (single failure): qualquer falha ou conjunto de falhas que não se possa demonstrar serem independentes entre si — por exemplo, falhas por causa comum.

FAMÍLIA 1 — IMPEDIR A FALHA: projeto íntegro, comprovado e com margem

Agrupamento de leitura deste material: a norma apresenta os onze princípios em sequência, sem agrupá-los.

12 / 48

Conter a falha, detectar e recuperar

Os outros sete dos onze princípios e técnicas do projeto fail-safe.

O uso de apenas um dos princípios raramente é suficiente; em geral é necessária a combinação de dois ou mais. As bandas de família são agrupamento de leitura, não texto da norma.

É a combinação dos onze princípios que assegura que condições de falha maiores sejam remotas, condições de falha perigosas sejam extremamente remotas e condições de falha catastróficas sejam extremamente improváveis.

13 / 48

As cinco classificações de condição de falha

O § 25.1309 fixa as metas de segurança; para aplicá-las, a norma classifica as condições de falha pela severidade dos efeitos — do que não toca a segurança à perda da aeronave.

Classificação O que a norma entende Probabilidade admissível, no máximo
Sem efeito na segurança
(no safety effect)		 Nenhum efeito sobre as capacidades operacionais da aeronave nem sobre a carga de trabalho da tripulação de voo; pode causar transtorno aos passageiros ou à tripulação de cabine. Nenhum requisito de probabilidade
Menor
(minor)		 Não reduz significativamente a segurança da aeronave; envolve apenas ações da tripulação de voo bem dentro de suas capacidades. Provável
Maior
(major)		 Redução significativa das margens de segurança ou das capacidades funcionais; sofrimento físico aos passageiros ou à tripulação de cabine, possivelmente incluindo lesões. Remota
Perigosa
(hazardous)		 Grande redução das margens de segurança ou das capacidades funcionais; sofrimento físico ou carga de trabalho excessiva; lesões graves ou fatais a um número relativamente pequeno de pessoas que não sejam a tripulação de voo. Extremamente remota
Catastrófica
(catastrophic)		 Múltiplas fatalidades, geralmente com a perda da aeronave. Extremamente improvável
As descrições das condições maior, perigosa e catastrófica são as mesmas do § 25.4.
14 / 48

Sem efeito na segurança e menor

No pé da escala, a norma separa a condição que não toca a segurança da que a reduz de leve — e só a segunda entra na conta da probabilidade.

Sem efeito na segurança (no safety effect)

Condições de falha que não têm efeito algum na segurança: não afetariam a capacidade operacional da aeronave nem aumentariam a carga de trabalho da tripulação de voo, mas poderiam causar transtorno aos passageiros ou à tripulação de cabine.

Nenhum requisito de probabilidade

Menor (minor)

Condição de falha que não reduziria significativamente a segurança da aeronave e envolveria apenas ações da tripulação de voo bem dentro de suas capacidades. Pode resultar em:

  • leve redução das margens de segurança ou das capacidades funcionais;
  • leve aumento da carga de trabalho da tripulação de voo, como alterações rotineiras de plano de voo;
  • algum desconforto físico aos passageiros ou à tripulação de cabine;
  • efeito de severidade semelhante.
Pode ser provável
O que decide a classificação é o alcance da redução: em “sem efeito na segurança”, nada muda para a capacidade operacional nem para a carga de trabalho da tripulação; em “menor”, a segurança da aeronave entra na conta, mas a redução não é significativa.
15 / 48

Maior × perigosa: o que separa as duas

As duas definições abrem com a mesma frase — “reduziria a capacidade da aeronave ou a habilidade da tripulação de voo de lidar com condições operacionais adversas” — e só se separam no que vem depois dela.

Maior (major)

Condição de falha que reduziria a capacidade da aeronave ou a habilidade da tripulação de voo de lidar com condições operacionais adversas, a ponto de haver: redução significativa das margens de segurança ou das capacidades funcionais; desconforto físico ou aumento significativo da carga de trabalho, ou condições que prejudiquem a eficiência da tripulação de voo; sofrimento físico aos passageiros ou à tripulação de cabine, possivelmente incluindo lesões; ou efeito de severidade semelhante.

Perigosa (hazardous)

Condição de falha que reduziria a capacidade da aeronave ou a habilidade da tripulação de voo de lidar com condições operacionais adversas, a ponto de haver: grande redução das margens de segurança ou das capacidades funcionais; sofrimento físico ou carga de trabalho excessiva, de modo que não se possa contar com a tripulação de voo para executar suas tarefas com precisão ou por completo; ou lesões graves ou fatais a um número relativamente pequeno de pessoas que não sejam a tripulação de voo.

Margens e capacidades

redução significativa

grande redução

Tripulação de voo

aumento significativo da carga de trabalho, ou condições que prejudiquem a eficiência

carga de trabalho excessiva: não se pode contar com a tripulação para executar as tarefas com precisão ou por completo

Quem se machuca

sofrimento físico a passageiros ou à tripulação de cabine, possivelmente incluindo lesões

lesões graves ou fatais a um número relativamente pequeno de pessoas que não sejam a tripulação de voo

O limite de probabilidade acompanha o degrau: a maior não deve ser mais frequente que remota; a perigosa, não mais frequente que extremamente remota.
16 / 48

Catastrófica: a definição e o objetivo de segurança

Catastrófica (catastrophic)

Condição de falha que resultaria em múltiplas fatalidades, geralmente com a perda da aeronave.

Uma condição de falha que impedisse a continuação segura do voo e o pouso deve ser classificada como catastrófica, salvo definição em contrário em outras ACs específicas.

Múltiplas fatalidades significa duas ou mais fatalidades.

O objetivo de segurança da condição catastrófica se demonstra com três resultados:
O que sustenta o primeiro resultado: a norma não considera extremamente improvável uma condição decorrente de falha única — a menos que as condições operacionais ou ambientais necessárias para produzir o evento catastrófico sejam, em si, extremamente remotas, ou que a física da falha teórica seja tão implausível que a norma concorde que ela não se prevê.
17 / 48

Os termos de probabilidade: em que escala a norma conta

Os termos tornaram-se comumente aceitos como auxílio ao julgamento de engenharia nas análises qualitativas de conformidade com o § 25.1309(b); as definições são as mesmas do § 25.4 — e o que muda de um termo para o outro é a escala em que a norma faz a conta.

TermoEscalaDefinição da norma
Provável (probable) Cada aeronave do tipo Condição de falha que se prevê ocorrer uma ou mais vezes durante toda a vida operacional de cada aeronave de determinado tipo.
Remota (remote) Um número de aeronaves do tipo Condição de falha que não se prevê ocorrer a cada aeronave de determinado tipo durante sua vida operacional, mas que pode ocorrer várias vezes durante a vida operacional total de um número de aeronaves desse tipo.
Extremamente remota (extremely remote) Todas as aeronaves do tipo Condição de falha que não se prevê ocorrer a cada aeronave de determinado tipo durante sua vida operacional, mas que pode ocorrer algumas vezes durante a vida operacional total de todas as aeronaves desse tipo.
Extremamente improvável (extremely improbable) Toda a frota, na vida operacional total Condição de falha que não se prevê ocorrer durante a vida operacional total de todas as aeronaves de determinado tipo.
A conta muda de sujeito, nesta ordem: cada aeronave (provável) → um número de aeronaves (remota) → todas as aeronaves (extremamente remota) → nenhuma ocorrência prevista na frota (extremamente improvável).
“Várias vezes” e “algumas vezes” são as palavras da própria norma: a condição remota admite mais repetições na frota do que a extremamente remota.
18 / 48

Relação entre probabilidade e severidade

A norma cruza as cinco classificações com o efeito na aeronave, nas pessoas e na tripulação de voo, e fecha com a probabilidade admissível — qualitativa e quantitativa. Quanto mais severa a condição, menor a probabilidade admitida.

Classificação da condição de falha Sem efeito na segurança Menor Maior Perigosa Catastrófica
Efeito na aeronave: Nenhum efeito sobre as capacidades operacionais ou a segurança Leve redução das capacidades funcionais ou das margens de segurança Redução significativa das margens de segurança ou das capacidades funcionais Grande redução das capacidades funcionais ou das margens de segurança Normalmente com perda da aeronave
Efeito nos ocupantes ou em outras pessoas, excluída a tripulação de voo: Transtorno Desconforto físico Sofrimento físico, possivelmente incluindo lesões Lesão grave ou fatal a um pequeno número de pessoas que não sejam a tripulação de voo Múltiplas fatalidades
Efeito na tripulação de voo: Nenhum efeito sobre a carga de trabalho Leve aumento da carga de trabalho Desconforto físico ou aumento significativo da carga de trabalho, ou condições que prejudiquem a eficiência da tripulação de voo Sofrimento físico ou carga de trabalho excessiva, de modo que não se possa contar com a tripulação de voo para executar suas tarefas com precisão ou por completo Fatalidades ou incapacitação
Probabilidade qualitativa admissível: Nenhum requisito de probabilidade Provável Remota Extremamente remota Extremamente improvável
Faixa de probabilidade quantitativa admissível
Probabilidade média por hora de voo Nenhum requisito de probabilidade Da ordem de 10⁻³ ou menos, mas maior que a ordem de 10⁻⁵ * Da ordem de 10⁻⁵ ou menos, mas maior que a ordem de 10⁻⁷ Da ordem de 10⁻⁷ ou menos, mas maior que a ordem de 10⁻⁹ Da ordem de 10⁻⁹ ou menos
* Faixa fornecida como referência: o requerente não é obrigado a fazer análise quantitativa nem a comprovar por tal análise esse critério numérico para condições de falha menores — considera-se que os produtos atuais da categoria transporte atendem ao padrão pelo simples emprego da prática industrial comumente aceita.
Na análise quantitativa, “da ordem de” admite fator de dois para a condição remota e fator de três para a extremamente remota ou a extremamente improvável; probabilidade calculada abaixo da faixa é considerada conforme.
19 / 48

§ 25.1309(a): funcionar corretamente como instalado

O (a)(1) exige equipamentos, sistemas e instalações demonstrados funcionando corretamente quando instalados, nas condições operacionais e ambientais da aeronave.

CONDIÇÕES A CONSIDERAR

  • Operacionais: o envelope operacional normal completo da aeronave (manual de voo, AFM) e as modificações ligadas a procedimentos anormais e de emergência.
  • Ambientais externas: turbulência atmosférica, campos irradiados de alta intensidade, descargas atmosféricas e precipitação; a severidade limita-se à das normas de certificação e dos precedentes.
  • Ambientais internas: vibração e aceleração; variações de pressão de fluidos e de energia elétrica; contaminação por fluidos ou vapores; calor irradiado por equipamentos próximos; emissão eletromagnética dos instalados.

COMO SE DEMONSTRA

  • Por ensaio e/ou análise, ou por referência a experiência de serviço comparável, comprovada válida para a instalação proposta.
  • O RTCA DO-160 define condições e procedimentos padrão de ensaio ambiental; as TSO e outros padrões aprovados também apoiam.
  • Regra de ouro: o ambiente da instalação deve ser igual ou menos severo que aquele para o qual o item foi qualificado.
  • Ainda confirma que um item, funcionando normalmente, não afeta os demais itens.

§ 25.1309(a)(2) — os sistemas de conveniência (entretenimento e comodidades de passageiros, telefones em voo) não precisam atender ao (a)(1): sua falha funcional deve ter severidade nenhum efeito sobre a segurança, e basta mostrar que o funcionamento normal ou anormal não afeta adversamente os itens do (a)(1) nem a segurança da aeronave ou dos ocupantes (fogo, explosão, altas tensões).

20 / 48

§ 25.1309(b)(1)–(3): o que cada severidade exige

A avaliação considera os sistemas da aeronave e os componentes associados como instalados, tanto separadamente quanto em relação a outros sistemas.

ItemCondição de falhaExigência
(b)(1) Catastrófica Extremamente improvável — e não pode resultar de uma única falha
(b)(2) Perigosa (hazardous) No máximo extremamente remota
(b)(3) Maior (major) No máximo remota
(b)(1) tem dupla exigência: meta de probabilidade e tolerância à falha.

Deve-se aplicar o conceito de projeto à prova de falhas (fail-safe), com atenção especial a garantir que falhas únicas ou outros eventos não danifiquem nem afetem adversamente mais de um canal redundante do sistema, nem mais de um sistema que desempenhe funções operacionalmente similares.

21 / 48

Falhas latentes significativas: (b)(4) e (b)(5)

Falha latente significativa (SLF): falha que não é detectada e não produz efeito perceptível, mas que se combina com outra falha para produzir uma condição perigosa ou catastrófica.

(b)(4) — ELIMINAR AS SLF NA MEDIDA DO PRATICÁVEL

1. Eliminar ao máximo, com tecnologia de ponta: monitoramento de falhas e indicação à tripulação, para detectar o que de outro modo ficaria latente.

2. Para as que não podem ser eliminadas, minimizar o tempo de exposição por projeto: verificações iniciadas pelo piloto e autoverificações (primeiro voo do dia, autotestes de energização), em vez de manutenção programada em intervalos longos.

Critério aceitável: tempo de exposição × taxa média de falha da SLF ≤ 1/1.000; ou demonstrar que a falha não fica latente por mais de um voo.

(b)(5) — DUAS FALHAS, UMA LATENTE POR MAIS DE UM VOO

Aplica-se à condição catastrófica de duas falhas, qualquer delas latente por mais de um voo: é o caso CSL+1, subconjunto do (b)(4).

Primeiro, demonstrar ser impraticável projetar com tolerância adicional a falhas (monitores ou redundância extra), com justificativa de apoio.

Depois, aplicar (b)(5)(ii) e (iii): limitar o risco residual com uma falha latente e a probabilidade da própria falha latente — além do que já exige o (b)(1).

Exemplo: risco residual de 1 × 10⁻⁶ por hora de voo, com latência de 1/1.000, satisfaz 1 × 10⁻⁹ por hora de voo; com taxa residual de 1 × 10⁻⁵, a latência fica limitada a 1 × 10⁻⁴.

22 / 48

§ 25.1309(c): a informação que a tripulação recebe

O parágrafo exige fornecer à tripulação de voo informação sobre condições operacionais inseguras do sistema, para que ela tome a ação corretiva apropriada em tempo hábil, mitigando o efeito da condição a um nível aceitável.

CONDIÇÃO OPERACIONAL INSEGURA E COMO A INFORMAÇÃO CHEGA

Condição operacional insegura do sistema: qualquer condição que, se não detectada e adequadamente acomodada pela ação da tripulação, contribuiria significativamente para uma condição perigosa ou catastrófica, ou resultaria nela.

Por indicação e/ou anunciação conforme o § 25.1322, por outros meios dedicados de informação, ou tornando-se aparente pelas respostas inerentes da aeronave.

A forma depende do grau de urgência para o reconhecimento e a ação corretiva.

REGRA DA ANUNCIAÇÃO E QUALIDADE EXIGIDA

Se a falha não anunciada tem efeitos catastróficos, a combinação falha + perda da anunciação deve ser extremamente improvável. A perda da anunciação é uma condição de falha em si mesma e deve ser classificada como maior, a menos que o requerente demonstre o contrário. Avaliar também a operação indesejada (alertas espúrios).

Toda indicação deve ser tempestiva, óbvia, clara e inequívoca; se a ação da tripulação é imediata, a advertência deve ser despertadora e ocorrer num ponto da sequência em que ainda haja capacidade para ação efetiva. Os procedimentos a seguir vão ao AFM aprovado (§§ 25.1581 e 25.1585).

23 / 48

O que toda análise deve considerar

O cumprimento do (b) é demonstrado por análises de segurança; quando necessário, os efeitos das falhas são comprovados por ensaios em solo, em voo ou em simulador. As condições de falha são identificadas e seus efeitos avaliados: a probabilidade máxima admissível de cada condição vem dos seus efeitos.

Falhas

1 Condições, causas e modos. as possíveis condições de falha e suas causas, modos de falha e danos provenientes de fontes externas ao sistema.

2 Múltiplas e não detectadas. falhas múltiplas por causa comum, falhas independentes múltiplas e falhas não detectadas.

Erros de desenvolvimento

3 Requisito, projeto e implementação. a possibilidade de erros de requisito, de projeto e de implementação do sistema.

Erro humano esperado

4 Tripulação em serviço. o efeito de erros da tripulação de voo razoavelmente esperados em serviço, após a ocorrência da falha.

5 Manutenção. o efeito de erros razoavelmente previstos na execução de ações de manutenção.

Detecção e efeitos

6 Alerta e correção. as sinalizações de alerta à tripulação, a ação corretiva necessária e a capacidade de a tripulação detectar falhas.

7 Efeitos. os efeitos resultantes sobre a aeronave, seus ocupantes e outras pessoas (equipe de solo, pessoal de manutenção), considerando a fase de voo, as sequências operacionais e as condições operacionais e ambientais.

Síntese o cumprimento do (b) é demonstrado por análise de segurança e, quando necessário, por ensaios em solo, em voo ou em simulador.

24 / 48

A análise se dimensiona pela severidade

A extensão e a estrutura das análises para demonstrar o cumprimento do § 25.1309 são maiores quanto mais complexo for o sistema e mais severos forem os efeitos das condições de falha.

PLANEJAR FAZ PARTE DO CUMPRIMENTO

Para aeronaves com muitos sistemas complexos ou integrados, o requerente propõe um plano que descreve o processo:

  • as inter-relações funcionais e físicas dos sistemas;
  • os meios detalhados de cumprimento, podendo incluir garantia de desenvolvimento (development assurance);
  • os meios para estabelecer a realização do plano, incluindo como ele é seguido ao longo do projeto até a conclusão.

MÉTODOS E DIRETRIZES

O rigor da garantia de desenvolvimento é determinado pela severidade dos efeitos potenciais. Métodos e diretrizes — FHA, árvore de falhas e análise de Markov: SAE ARP4761A; processo de desenvolvimento: ARP4754A.

PERIGOSA · CATASTRÓFICA

o esforço não é o mesmo: a avaliação de segurança deve ser muito minuciosa — análise de segurança detalhada.

MAIOR (major)

podem bastar experiência de serviço, julgamento de engenharia e operacional, apreciações de projeto e de instalação e dados comparativos; análise qualitativa ou quantitativa seletiva.

MENOR · SEM EFEITO NA SEGURANÇA

basta a FHA com apreciação de projeto e de instalação, que estabeleça independência em relação às outras funções; a análise detalhada é dispensada.

25 / 48

Os três níveis em que se procuram as condições de falha

Para identificar as condições de falha reguladas pelo § 25.1309, o solicitante considera os efeitos potenciais das falhas sobre a aeronave e os ocupantes. Pode também ser necessário considerar condições de falha que representem ameaças a pessoas no solo — como as equipes de solo — ou nas proximidades da aeronave durante operações de solo: risco de choque elétrico para mecânicos, eventos atmosféricos, movimento indesejado de portas ou de reversores de empuxo e situações semelhantes.

de cima para baixo ▼

aeronave NÍVEL DA AERONAVE — falhas de funções no nível da aeronave independente da implementação e da arquitetura

As condições de falha identificadas nesse nível não dependem da forma de implementação das funções nem da arquitetura dos sistemas.

sistema NÍVEL DO SISTEMA — falhas de funções no nível do sistema

Identificadas pelo exame da forma de implementação das funções e da arquitetura dos sistemas. Parte desse exame é um método sistemático, como a análise de modos de falha e efeitos (failure mode and effects analysis, FMEA), para procurar, dentro da arquitetura dos sistemas, falhas que possam resultar em perda total ou parcial ou em mau funcionamento não limitado pelas avaliações de condição de falha — por exemplo, comportamentos do sistema com consequências não intencionais de segurança quando esses sistemas falham.

equipamento NÍVEL DO EQUIPAMENTO — falhas no nível do equipamento

Podem não afetar a funcionalidade de um sistema, mas podem comprometer operações seguras ou ferir pessoas. Incluem equipamentos individuais com perigos intrínsecos, como dispositivos de fornecimento de energia, reservatórios de produtos químicos ou garrafas de armazenamento sob pressão que fazem parte de um sistema. A análise deve abordar as condições normais de operação e as condições de falha do equipamento que possam pôr em risco a aeronave ou seus ocupantes. Exemplos de perigos intrínsecos, sem se limitar a: incêndios; explosões; liberação de gases tóxicos ou de fluidos corrosivos às estruturas adjacentes; fuga térmica ou temperaturas excessivas capazes de danificar estruturas ou sistemas adjacentes.

incêndio explosão gás tóxico / fluido corrosivo fuga térmica

A identificação não para no perigo: é preciso identificar os meios de mitigação necessários — contenção dos efeitos resultantes; alívio de pressão e temperatura, inclusive provisões de ventilação, se existirem; e indicação ou anunciação de falha, quando aplicável. Os testes que verificam a eficácia da mitigação também devem ser determinados.

26 / 48

A FHA: o exame que vem antes da análise detalhada

FHA Avaliação de perigo funcional (functional hazard assessment)

Exame sistemático e abrangente das funções da aeronave e dos sistemas, com o objetivo de identificar as potenciais condições de falha — sem efeito sobre a segurança, menores, maiores, perigosas e catastróficas — que possam decorrer de mau funcionamento ou de falha em funcionar como pretendido.

Antes de prosseguir com uma avaliação de segurança detalhada, o solicitante deve preparar uma FHA das funções da aeronave e dos sistemas, a fim de determinar a necessidade e o escopo das análises subsequentes.

A avaliação pode ser conduzida com base em:

1 experiência de serviço;

2 julgamento de engenharia e operacional; e/ou

3 exame qualitativo dedutivo de cima para baixo de cada função.

A avaliação deve levar em conta as respostas normais do sistema a fatores externos incomuns e anormais.

Ela envolve as vulnerabilidades operacionais dos sistemas — e não uma análise detalhada da implementação real.

27 / 48

Cada função em relação às outras

Nenhuma função é examinada isolada: a perda ou o mau funcionamento de mais de uma função pode resultar em condição de falha mais severa do que a falha de uma única função.

CONTRA AS OUTRAS FUNÇÕES DO MESMO SISTEMA

Cada função de sistema deve ser examinada em relação às outras funções desempenhadas pelo próprio sistema, pois a perda ou o mau funcionamento de múltiplas funções do sistema pode resultar em uma condição de falha mais severa do que a falha de uma única função.

CONTRA AS FUNÇÕES DE OUTROS SISTEMAS

Cada função de sistema deve ser examinada também em relação a funções desempenhadas por outros sistemas da aeronave, pois a perda ou o mau funcionamento de funções diferentes, porém relacionadas, fornecidas por sistemas separados, pode afetar a severidade das condições de falha postuladas para um determinado sistema.

As combinações relevantes de falhas e de condições de falha devem ser determinadas por todo o processo de avaliação de segurança, que abrange as FHAs nos níveis da aeronave e do sistema e as análises de Risco Particular (particular risk analysis, PRA), de Segurança Zonal (zonal safety analysis, ZSA) e de Modo Comum (common mode analysis, CMA). O efeito global sobre a aeronave devido a uma combinação, por falha comum ou em cascata, pode ser mais severo que o efeito de cada falha individual: condições classificadas individualmente como menores ou maiores podem ter efeitos perigosos ou catastróficos no nível da aeronave quando consideradas em combinação.

todo o processo determina as combinações FHA PRA ZSA CMA

Dependendo da relação entre as funções e os sistemas que as executam, diferentes abordagens de FHA podem ser adotadas. Onde há correlação clara entre funções e sistemas e as interações são relativamente simples, pode ser viável conduzir FHAs separadas para cada sistema, desde que os aspectos de interface sejam devidamente considerados e facilmente compreendidos. Onde os sistemas e as relações funcionais são complexos ou integrados, deve-se considerar uma abordagem de cima para baixo, da perspectiva do nível da aeronave, ao planejar e conduzir as FHAs — em conjunto com considerações de causa comum (por exemplo, recursos comuns), para tratar os casos em que um sistema contribui para múltiplas funções no nível da aeronave.

correlação clara → FHAs separadas por sistema complexo ou integrado → de cima para baixo, do nível da aeronave, mais causa comum
28 / 48

Quando a FHA é feita, e o que ela fixa

A FHA deve ser realizada no início do projeto e atualizada conforme necessário à medida que o projeto evolui.

Ela é usada para:

FIXAR OS OBJETIVOS DE SEGURANÇA

nos níveis da aeronave ou do sistema, que devem ser considerados nas arquiteturas propostas.

FIXAR OS NÍVEIS DE GARANTIA DE DESENVOLVIMENTO (development assurance)

das funções.

Alguns sistemas podem exigir apenas uma revisão simples do projeto para determinar a classificação do perigo.

Uma FHA exige julgamento experiente de engenharia, para assegurar a completude da identificação das condições de falha, e coordenação precoce entre o solicitante e a autoridade de certificação.

29 / 48

Ao avaliar os efeitos: onde olhar

O § 25.1309(b) visa assegurar uma avaliação ordenada e completa dos efeitos sobre a segurança de falhas previsíveis ou de outros eventos externos, separadamente ou em combinação, envolvendo uma ou mais funções de sistema — considerando as interações desses fatores dentro de um sistema e entre os sistemas relevantes.

condição de falha

NA AERONAVE

reduções nas margens de segurança; degradação de desempenho; perda da capacidade de conduzir determinadas operações de voo; redução da proteção ambiental; efeitos potenciais ou consequentes sobre a integridade estrutural. Quando os efeitos são complexos, a classificação do perigo pode precisar ser validada por ensaios, simulação ou outras técnicas analíticas apropriadas.

NA TRIPULAÇÃO

aumentos acima da carga de trabalho normal que afetariam sua capacidade de lidar com condições operacionais ou ambientais adversas ou com falhas subsequentes; considerar as demais premissas de fatores humanos sobre a capacidade de detectar, diagnosticar e responder adequadamente à falha.

NOS OCUPANTES

passageiros e comissários.

EM PESSOAS FORA DA AERONAVE

riscos a pessoas que não sejam os ocupantes — como equipes de solo ou pessoal de manutenção — devem ser levados em conta ao avaliar condições de falha de sistemas em conformidade com o § 25.1309.

Ao avaliar os efeitos, considerar os fatores que possam atenuar ou intensificar os efeitos diretos da condição de falha inicial — condições consequentes ou relacionadas existentes na aeronave que possam afetar a capacidade da tripulação de lidar com eles:

presença de fumaça efeitos de aceleração interrupção das comunicações interferência na pressurização da cabine
Considerar ainda a informação de falha fornecida, a complexidade da ação da tripulação e o treinamento pertinente; o número total de condições de falha pode influenciar o desempenho esperado da tripulação — recomendações de treinamento podem precisar ser identificadas em alguns casos.
30 / 48

As regras que a norma fixa para a classificação

O solicitante deve classificar a severidade de cada efeito como sem efeito sobre a segurança, menor, maior, perigosa ou catastrófica. Esses termos são definidos no capítulo 3 da AC e no § 25.4.

A CLASSIFICAÇÃO NÃO DEPENDE DA ETIQUETA REGULATÓRIA

A classificação das condições de falha não depende de o sistema ou a função ser objeto de um requisito ou regulamento específico.

sistemas requeridos

transponders, luzes de posição e sistemas de anúncio público podem ter o potencial apenas de condições de falha menores.

sistemas não requeridos

como sistemas de piloto automático, podem ter o potencial de condições de falha maiores, perigosas ou catastróficas.

A CONDIÇÃO PERIGOSA TEM UMA DEMONSTRAÇÃO PRÓPRIA

Para condições perigosas que resultem em grande redução das margens de segurança ou das capacidades funcionais, ou em carga de trabalho excessiva da tripulação, o solicitante deve demonstrar que as capacidades remanescentes da aeronave e da tripulação serão suficientes para assegurar que a condição não se torne catastrófica.

A demonstração é sobre as capacidades que sobram depois da falha: a condição perigosa tem de permanecer perigosa, e não escalar para catastrófica.
31 / 48

Como se avalia a probabilidade: qualitativa ou quantitativa

Depois de identificar as condições de falha e avaliar a severidade de seus efeitos, é responsabilidade do solicitante determinar como demonstrar conformidade com o § 25.1309(b) — por revisões de projeto e instalação, análises, ensaios em voo, ensaios em solo, ensaios em simulador ou outros meios aprovados.

QUALITATIVA

A avaliação que identifica e classifica as condições de falha é necessariamente qualitativa: julgamento de engenharia apoiado em dados, de um relatório que interpreta dados de serviço aplicáveis a uma comparação entre dois sistemas semelhantes.

QUANTITATIVA  ∴ cálculo

A avaliação da probabilidade pode ser qualitativa ou quantitativa: análise detalhada que pode ou não incluir probabilidades numéricas estimadas — e a forma numérica é a probabilidade média por hora de voo.

O caminho de uma análise, em uma linha: relatório que interpreta dados de serviço → comparação entre dois sistemas semelhantes → análise detalhada, com ou sem números estimados.

A profundidade e o escopo da análise dependem de: os tipos de funções do sistema, a severidade das condições de falha e se o sistema é complexo.

funções severidade complexidade

A norma não exige o número em todo caso: para condições perigosas ou catastróficas de instalações muito simples e convencionais — baixa complexidade e similaridade em atributos relevantes —, ou de sistemas complexos cuja similaridade verdadeira possa ser rigorosamente estabelecida, admite-se avaliá-las como extremamente remotas ou extremamente improváveis com base em julgamento experiente de engenharia, usando apenas análise qualitativa.

32 / 48

Falha única: a regra, a definição e a exceção

Pelo § 25.1309(b)(1)(ii), uma condição de falha catastrófica não pode resultar da falha de um único componente, parte ou elemento de um sistema.

1 · Como o projeto prende a falha única

O projeto deve prover contenção de falha que limite a propagação dos efeitos de qualquer falha única — e não pode haver falha por causa comum que afete o componente único e também as suas provisões de contenção de falha. Independência: particionamento separação isolamento.

evento único → ✕ canal A
canal B
Barreira de contenção: a causa única não alcança os dois canais.

2 · O que conta como falha única (single failure): qualquer conjunto de falhas que não possa ser demonstrado como mutuamente independente.

E como erros podem causar falhas, devem ser avaliadas as implicações de erros na especificação de requisitos, no projeto, na implementação, na instalação, nas operações de tripulação ou de equipe de solo, na manutenção e na fabricação, que possam resultar em falhas de modo comum.

requisitos projeto implementação instalação tripulação ou equipe de solo manutenção fabricação

Uma FMEA de componente de baixo para cima identifica tipicamente só os modos de falha dominantes — o que pode não bastar. Para demonstrar que nenhum modo causaria um evento catastrófico pode ser preciso considerar os modos menos óbvios: as análises de cima para baixo, como a árvore de falhas (fault tree analysis), concentram a análise de falha única onde um modo obscuro violaria um projeto de outra forma à prova de falha. Exemplo da norma: o curto-circuito intermitente no caminho do sinal monitorado, que anula a cobertura do monitor.

modos dominantes (FMEA de baixo para cima) ponto cego: o modo obscuro ↓ a árvore de falhas localiza

3 · A exceção

Falhas únicas normalmente devem ser assumidas como ocorrentes; mas há casos em que é óbvio que, de um ponto de vista realista e prático, qualquer pessoa experiente e conhecedora concluiria inequivocamente que um modo de falha simplesmente não ocorreria — a menos que associado a uma condição inteiramente não relacionada que por si só seria catastrófica. Esses casos são não previsíveis e, uma vez identificados e aceitos, não precisam ser considerados falhas no contexto do § 25.1309.

não previsível: não é assumida como falha métodos probabilísticos não podem ser usados

Falha única em combinação com condições operacionais ou ambientais que levem ao catastrófico é, em geral, inaceitável.

Não precisam ser assumidas com eventos ou condições extremamente remotas ou fora do envelope normal de voo.

Sistema não redundante de proteção (incêndio do compartimento de carga): a falha única que causa a perda da função de proteção segue os critérios da classificação maior.

33 / 48

Causa comum, efeitos em cascata e sistemas integrados

Interconexões físicas e funcionais entre sistemas são característica do projeto de aeronaves há muitos anos: o § 25.1309(b) exige que os sistemas sejam considerados em relação a outros sistemas — a análise impede que uma só causa derrube vários canais.

um raio — uma causa canal redundante 1
canal redundante 2
uma causa — dois canais. Cascata:

Causa comum (common cause)

A análise considera o conceito de projeto à prova de falha e as técnicas de projeto e instalação para que falhas únicas ou outros eventos não afetem adversamente: mais de um canal redundante; mais de um sistema com funções operacionalmente semelhantes; ou qualquer sistema e uma salvaguarda associada. Efeitos em cascata: a propagação de uma condição iniciadora.

Sistemas integrados: o que se considera

Com interfaces relativamente poucas e simples, a conformidade se demonstra por avaliações de segurança de sistema (system safety assessments, SSA): cada uma trata de uma condição de falha — ou de um grupo — e, quando necessário, das falhas da interface com outros sistemas. Com sistemas e interfaces complexos e extensos, os meios de conformidade entram desde cedo.

SSA por interface: sistema 1sistema 2sistema 3 meios desde cedo: 1↔21↔32↔3

Os cinco pontos a considerar:

1 · planejamento dos meios de conformidade e garantia de desenvolvimento (development assurance) contra erros no projeto; 2 · o projeto arquitetural, para limitar o impacto e a propagação de falhas; 3 · o potencial de falhas por causa comum e de efeitos em cascata e a necessidade de avaliar combinações de condições de falha de nível inferior — várias menores e/ou maiores levam a uma perigosa ou catastrófica; 4 · equipes multidisciplinares na identificação e classificação das condições de falha; 5 · procedimentos de tripulação e de manutenção limitando a propagação de falhas — e a dependência excessiva dessas ações.

Fontes potenciais de falha por causa comum ou de outros eventos (exemplos da norma):

liberação rápida de energia de fontes concentradas diferenciais de pressão falhas estruturais não catastróficas perda de condicionamento ambiental desconexão de mais de um subsistema por sobretemperatura contaminação por fluidos danos por incêndios localizados perda de fornecimento ou de retorno de energia falha de sensores que fornecem dados a múltiplos sistemas tensão excessiva interações físicas ou ambientais entre partes erros de requisitos, projeto, implementação, instalação, tripulação ou equipe de solo, manutenção e fabricação eventos externos ao sistema ou à aeronave

Procedimentos rigorosos e bem estruturados de projeto e desenvolvimento facilitam um processo metódico de avaliação de segurança — a SAE ARP 4754 é o padrão industrial de prática para sistemas integrados ou complexos. E se um sistema é complexo decide-se por julgamento experiente de engenharia e operacional, comparando com sistemas semelhantes já aprovados: a complexidade de software e hardware não precisa ser o fator dominante — no sistema preditivo de cisalhamento de vento, as falhas previsíveis se resumem a alertas falsos, informação enganosa e perda da capacidade de prever o cisalhamento de vento.

34 / 48

Profundidade da análise: o que cada classificação exige

A profundidade de análise esperada acompanha a classificação da condição de falha — e, em todos os casos, o solicitante deve considerar as combinações de efeitos de condições de falha.

ClassificaçãoO que a profundidade exigeRégua do esforço
Sem efeito sobre a segurança FHA acompanhada de apreciação de projeto e instalação que estabeleça independência em relação a outras funções. Se a FHA não for necessária para uma função simples (entretenimento em voo), os efeitos derivam da própria apreciação. análise detalhada dispensada
Menor FHA acompanhada de apreciação de projeto e instalação que estabeleça independência, com o resultado documentado. Se a complexidade ou a integração do sistema forem tais que ela não consiga estabelecer o isolamento funcional, aplicam-se métodos formais (ARP 4754/4761). dispensada; resultado documentado
Maior deve ser remota — § 25.1309(b)(3) Quatro caminhos, conforme o caso:
1 · sistema semelhante, em atributos relevantes, aos de outras aeronaves e com os mesmos efeitos de falha → apreciações de projeto e instalação + histórico de serviço satisfatório, substanciado pelas diferenças e pela justificativa; 2 · sistema não complexo → avaliação qualitativa mostrando as condições maiores, no sistema instalado, consistentes com a FHA e remotas (redundantes);
3 · sistema complexo sem redundância → o mesmo caminho, às vezes com FMEA funcional qualitativa com dados de taxa de falha e cobertura de detecção (autoteste); 4 · sistema redundante → basta demonstrar isolamento entre os canais e confiabilidade de cada canal; com redundância funcional complexa, FMEA e análise qualitativa de árvore de falhas determinam se ela de fato existe.
experiência, similaridade e avaliação qualitativa, no caso a caso
Perigosa e catastrófica extremamente remotas e improváveis — § 25.1309(b)(2) e (b)(1) Análise de segurança detalhada para cada condição identificada pela FHA, geralmente combinação de avaliação qualitativa e quantitativa. Duas exceções admitem análise só qualitativa, com julgamento experiente de engenharia:

instalações muito simples e convencionais — baixa complexidade e similaridade em atributos relevantes —, avaliadas pelo grau de redundância, pela independência, pelo isolamento e pelo histórico de confiabilidade;

sistemas complexos com similaridade verdadeira em todos os atributos relevantes, inclusive de instalação, rigorosamente estabelecida — demonstrando que o projeto de referência atende, com todos os dados de projeto de tipo.

 análise de segurança detalhada
A régua do esforço cresce de cima para baixo — o marcador percorre as quatro linhas.
35 / 48

O cálculo da probabilidade média por hora de voo

A probabilidade média por hora de voo é a probabilidade de ocorrência, normalizada pelo tempo de voo, de uma condição de falha durante um voo que represente o tempo médio “em risco” do conjunto de voos possíveis da frota da aeronave a ser certificada.

Por que a hora de voo — a conta não é de ocorrências por voo, e sim de probabilidade normalizada pelo tempo de voo: é a normalização que dá uma régua única, a mesma em que a norma fixa os limites de cada classificação, referida a um voo de risco médio e não a um voo particular. E o risco de uma condição que só vale em certa fase não se dilui na média: ela tem de atender ao critério sob aquelas condições específicas.

Tempo “em risco” no eixo de um voo — não diluir na média: critério por voo × 1 hora.

taxiagem decolagem subida cruzeiro descida aproximação pouso

O cálculo deve considerar todos estes itens:

1 · a duração média de voo e o perfil médio de voo do tipo a ser certificado — premissa que pode ser afetada ao demonstrar conformidade com os requisitos ETOPS (K25.1); 2 · todas as combinações de falhas e eventos que contribuam para a condição de falha; 3 · a probabilidade condicional, se uma sequência de eventos for necessária para produzir a condição de falha; 4 · o tempo “em risco” relevante, se a condição ou o evento só for relevante em certas fases de voo: ela atende ao critério de risco médio sob aquelas condições específicas, sem ter o risco diluído na média — nesses casos o requisito vale como probabilidade por voo ou por ciclo de voo, e a conversão para por hora de voo divide a probabilidade por voo por uma hora; 5 · o tempo total de exposição, se a falha puder persistir por múltiplos voos.

Os detalhes de como calcular estão no apêndice F da norma e na SAE ARP 4761.

Conjunto de voos da frota — a linha da duração média define o voo de risco médio.

duração média

taxa de falha de componentes: “da ordem de” — os dados não são precisos o bastante para estimativas acuradas, e essa incerteza entra de forma conservadora, que não comprometa a segurança.

Quando o voo médio não serve: se a probabilidade de a condição ocorrer num voo típico de duração média, dividida pela duração média do voo em horas, tender a ser significativamente diferente da taxa média prevista ao longo de toda a vida operacional de todas as aeronaves do tipo, um modelo melhor do voo de risco médio deve ser usado. Exemplo: a perda de material consumível — vazamento de fluido — pode se tornar uma condição de falha crítica num voo mais longo que o de duração média.

36 / 48

De onde vêm os números: condições, eventos e premissas

Nem todo número da conta vem do sistema: vem também das condições operacionais e ambientais, dos eventos protegidos e das premissas do solicitante — e a norma exige declarar a origem de cada um.

A · Condições operacionais e ambientais

Uma probabilidade de 1 deve normalmente ser usada para a condição discreta para a qual a aeronave é projetada: voo por instrumentos, Categoria III, campo de pouso do AFM. O apêndice E traz probabilidades admissíveis para várias dessas condições, usáveis no cálculo sem justificativa adicional — e é orientação: não exaustivo nem prescritivo, com itens sem dados estatísticos padrão. Outras condições ou probabilidades podem ser propostas, com dados estatisticamente válidos ou experiência de serviço, desde que justificados e com concordância precoce da autoridade. E ao combinar uma condição aleatória com falha(s) de sistema, as duas devem ser independentes entre si.

P = 1 voo por instrumentos · Categoria III · campo de pouso do AFM

apêndice E — probabilidades admissíveis

sem justificativa adicional

proposta do solicitante: dados válidos, justificados, com concordância precoce

condição e falha: independentes

B · Sistema que protege contra um evento — incêndio em compartimento de carga, rajadas: sua confiabilidade deve ser compatível com os objetivos de segurança da condição de falha e estar associada à falha do sistema de proteção e à probabilidade dos eventos.

detecção · supressão ⇄ probabilidade do evento

C · A justificativa das premissas, dos dados e das técnicas analíticas

Qualquer análise é tão precisa quanto as premissas, os dados e as técnicas analíticas que utiliza: devem ser identificados e justificados, para que as conclusões sejam válidas. A variabilidade é inerente a modos de falha, efeitos de falha, taxas de falha, funções de distribuição de probabilidade, tempos de exposição a falhas, métodos de detecção de falha, independência de falhas, limitação dos métodos analíticos, processos e premissas — e a justificativa das premissas é parte integrante da análise, resumida na análise de segurança. As premissas podem ser validadas por experiência com sistemas idênticos ou semelhantes, considerando as diferenças de projeto, ciclo de operação e ambiente. Onde não for possível validar dados ou premissas críticos, embute-se conservadorismo adicional na análise ou no projeto — ou se avalia a incerteza no grau necessário para concluir que são insensíveis a ela.

premissasvalidação: sistemas idênticos/semelhantesconservadorismo adicional
dadosvalidação: sistemas idênticos/semelhantesconservadorismo adicional
técnicas analíticasvalidação: sistemas idênticos/semelhantesconservadorismo adicional
D · sistema novo ou inédito → acompanhamento em serviço → estender os intervalos de verificação

Sem dados de validação adequados, o acompanhamento pós-certificação em serviço obtém os dados que atenuam esse conservadorismo — e podem estender os intervalos de verificação do sistema.

37 / 48

O que a demonstração assume da tripulação de voo e da manutenção

As tarefas da tripulação de voo e de manutenção ligadas à conformidade com o § 25.1309 devem ser apropriadas e razoáveis — razoáveis são as tarefas que se pode realisticamente prever que serão executadas corretamente quando exigidas ou programadas.

AÇÃO DA TRIPULAÇÃO DE VOO

Ao avaliar a capacidade da tripulação de lidar com uma condição de falha, consideram-se a informação fornecida à tripulação, a complexidade da ação exigida e o tempo de resposta do piloto.

Pode-se tomar crédito — em avaliações qualitativas e quantitativas — quando a condição de falha puder ser aliviada ou superada sem comprometer outras tarefas da tripulação ligadas à segurança e sem exigir habilidade ou força de pilotagem excepcionais.

O crédito por ações da tripulação de voo e a consideração de seus erros devem ser consistentes com a experiência de serviço relevante e com avaliações aceitáveis de fatores humanos.

O requerente deve fornecer um meio de assegurar que o AFM contenha todas as ações usadas como mitigação na classificação de perigo ou para limitar o tempo de exposição à condição de falha.

AÇÃO DA MANUTENÇÃO

A avaliação de segurança pode tomar crédito pela execução correta de tarefas de manutenção razoáveis, em avaliações qualitativas e quantitativas, considerando ao mesmo tempo os efeitos de erros de manutenção razoavelmente previsíveis.

As tarefas de manutenção necessárias para demonstrar conformidade com o § 25.1309(b) e (e) devem ser estabelecidas — e é essa exigência que produz o CMR e a lista de inoperantes da tela seguinte.

O processo de avaliação de segurança pode revelar informações ou instruções úteis à aeronavegabilidade continuada, que devem ser disponibilizadas a quem compila as ICA abrangidas pelo § 25.1529.

➞ as tarefas de manutenção seguem na tela seguinte

O limite que a norma já fixou: a FAA não considera atualmente viável a avaliação quantitativa de erros da tripulação de voo. Além disso, com base em experiência e julgamento de engenharia e operacional, pode-se assumir que falhas evidentes serão descobertas durante a operação ou a manutenção normal da aeronave — embora a identificação dessas falhas não seja o propósito principal das ações operacionais ou de manutenção.

38 / 48

A análise vira tarefa: o CMR e o voo com inoperante

As tarefas de manutenção necessárias para demonstrar conformidade com o § 25.1309(b) e (e) devem ser estabelecidas — e a norma trata o assunto em dois cenários: a verificação periódica e o voo com equipamento ou função sabidamente inoperante.

CENÁRIO 1 · A VERIFICAÇÃO PERIÓDICA QUE VIRA CMR

O CMR — requisito de manutenção de certificação, do vocabulário do material anterior — é a tarefa programada que a certificação exige.

① Detectar falhas latentes significativas e limitar o tempo de exposição a elas.

② Detectar o desgaste iminente (wear-out) de item de falha perigosa ou catastrófica.

Quando nasce: verificações periódicas de manutenção ou da tripulação de voo podem ajudar a demonstrar conformidade com o § 25.1309(b); as que não puderem ser aceitas como serviço básico (basic servicing) nem como ações razoavelmente previsíveis da tripulação devem ser identificadas, na avaliação de segurança do sistema (SSA), como candidatas a requisitos de manutenção de certificação (CCMRs) — o material de orientação da FAA sobre os CCMRs detalha o tratamento e a seleção dos CMRs.

O intervalo: determina-se por análise quantitativa de probabilidade das condições de falha, dados de ensaio, experiência de serviço relevante ou outro método aceitável. Como a análise contém incertezas inerentes, elas justificam a escalada controlada — pequenos ajustes dos intervalos das tarefas — ou extensões excepcionais de curto prazo de CMRs individuais.

A corrente: SSA → CCMR → CMR → ALS das ICA, e o ramo paralelo para o AFM.

Onde entra: conforme o § 25.1309(e), os CMRs integram as Limitações de Aeronavegabilidade (ALS) das ICA; as ações exigidas da tripulação de voo integram a seção aprovada do AFM.

CENÁRIO 2 · VOO COM EQUIPAMENTO OU FUNÇÃO SABIDAMENTE INOPERANTE

O requerente pode desenvolver uma lista de equipamentos e funções que podem estar inoperantes para o voo, com base em precauções compensatórias declaradas — limitações operacionais ou de tempo, procedimentos da tripulação de voo, verificações da tripulação de solo.

Ao elaborá-la, consideram-se os documentos usados na demonstração de conformidade com o § 25.1309 e outras informações relevantes, com experiência e julgamento de engenharia e operacional.

O limite: se mais de um voo for feito com equipamento sabidamente inoperante que afete as probabilidades associadas a condições de falha perigosas e/ou catastróficas, podem ser necessários limites de tempo para o número de voos ou para o tempo de operação permitido naquela configuração da aeronave. Esses limites devem ser propostos pelo requerente ao FAA Flight Standards Service para aprovação.

39 / 48

Modificações em aeronaves já certificadas

Os meios de assegurar conformidade continuada com o § 25.1309 em modificações de aeronaves previamente certificadas são determinados caso a caso e dependem da base de certificação aplicável e da extensão da mudança, conforme o § 21.101.

CASO A CASO

A mudança pode ser uma modificação simples de um sistema ou um reprojeto amplo de muitos sistemas, possivelmente com novas tecnologias.

O ESFORÇO MÍNIMO, PARA QUALQUER MODIFICAÇÃO

Uma avaliação do impacto sobre a SSA e sobre os dados de garantia de desenvolvimento (development assurance) associados.

O EXTREMO MÍNIMO

Uma simples declaração de que a SSA existente — e os dados associados — ainda se aplica ao sistema modificado, conforme o meio de conformidade original.

O EXTREMO MÁXIMO

A necessidade de novos meios de conformidade que abranjam o plano de avaliação de segurança do § 5.3.2.

Se o detentor do certificado de tipo não quiser liberar ou transferir dados proprietários, um requerente de certificado de tipo suplementar pode precisar criar a SSA e os dados de garantia de desenvolvimento das partes alteradas relevantes e das partes por elas afetadas do projeto de tipo.

As diretrizes da SAE ARP4754A podem ser usadas ao modificar aeronave, equipamento ou item, ou ao reutilizar sistema, equipamento ou item.

A FAA recomenda contato antecipado com a repartição de certificação apropriada para acordo quanto ao meio de conformidade conforme as políticas mais recentes.

40 / 48

Os métodos de avaliação: o que cada análise responde

Diversos métodos de avaliação das causas, da severidade e da probabilidade de condições de falha apoiam a experiência e o julgamento de engenharia e operacional; alguns são estruturados. Os tipos de análise baseiam-se em abordagens indutivas ou dedutivas, e as avaliações de probabilidade podem ser qualitativas ou quantitativas — a SAE ARP4761A os descreve.

Método Abordagem A pergunta que ele responde
Apreciação de projeto e de instalação (design e installation appraisal) Qualitativa O projeto e a instalação sustentam integridade e segurança? A apreciação de instalação cobre os desvios das práticas normais e aceitas pela indústria — folgas, tolerâncias —, especialmente em modificações feitas após a entrada em serviço.
Análise de modos de falha e efeitos (Failure Modes and Effects Analysis — FMEA) Indutiva, bottom-up Cada falha previsível de elemento ou componente: que efeitos produz no sistema e na aeronave? Aponta as falhas latentes e as causas de cada modo de falha; pode ser “por peça” (piece-part) ou funcional.
Árvore de falhas ou diagrama de dependência (Fault Tree Analysis — FTA) Dedutiva, top-down Que condições, falhas e eventos causariam esta condição de falha definida? Liga, graficamente, a condição de falha às falhas de elementos ou componentes primários e a outros eventos — e a FMEA pode ser o documento-fonte dessas falhas primárias.
Análise de Markov Estados e transições Que estados o sistema ocupa — operacionais ou não — e com que taxas de falha e de reparo passa de um a outro? Pode substituir a árvore de falhas ou o diagrama de dependência, mas a representação fica complexa: é recomendada para estados de transição difíceis pela análise clássica.
avaliação da independência
Análise de segurança zonal (Zonal Safety Analysis — ZSA) Causa comum As instalações de equipamentos em cada zona da aeronave atendem a padrão de segurança adequado quanto a projeto e instalação, interferência entre sistemas e erros de manutenção? Considera as decisões do instalador e, com sistemas próximos, aponta a falha que ganha efeitos mais severos ao afetar componentes adjacentes.
Análise de risco particular (Particular Risk Analysis — PRA) Causa comum Que evento ou influência externa aos sistemas pode violar a independência — fogo, vazamento de fluidos, colisão com aves, estouro de pneu, campos irradiados de alta intensidade, raio, falha não contida de máquinas rotativas de alta energia? Documenta os efeitos simultâneos ou em cascata.
Análise de modo comum (Common Mode Analysis — CMA) Causa comum A independência assumida entre os eventos combinados para uma condição de falha se confirma? Examina erros de especificação, projeto, implementação, instalação, manutenção e fabricação, fatores ambientais além dos da análise de risco particular e falhas de componentes do sistema.

A aceitação de uma probabilidade adequada pressupõe falhas independentes — premissa que pode não valer no sentido prático, o que exige estudos específicos; essas análises também revelam modos de falha e efeitos não previstos de outra forma.

41 / 48

O processo de avaliação de segurança, do FHA à SSA

O processo é apresentado em forma de “V”, partindo dos requisitos do § 25.1309(b) e (c): à esquerda, as atividades de avaliação dos projetos preliminares; à direita, as dos projetos finais — a prática de engenharia de sistemas da SAE ARP4754A e da SAE ARP4761A.

PROJETO PRELIMINAR — O RAMO QUE DESCE

① Airplane FHA — avaliação sistemática e abrangente das funções da aeronave: identifica e classifica as condições de falha por severidade.

② FHA do sistema — a mesma avaliação sobre as funções do sistema: múltiplas FHAs de sistema.

③ Análises dos projetos preliminares: FTA, FMEA, ZSA, PRA, CEA e CMA.

④ PSSA — avalia o projeto preliminar e valida seus requisitos de segurança.

PROJETO FINAL — O RAMO QUE SOBE

⑤ SSA — tipicamente uma por sistema: avaliação da implementação do projeto contra todos os requisitos aplicáveis.

⑥ ASA — as SSAs em conjunto: a aeronave como um todo contra os requisitos aplicáveis (§ 25.1309(b): sistemas em relação a outros sistemas).

⑦ Documentação — os resultados, com os CMRs e os procedimentos exigidos da tripulação de voo.

A base do “V”: as atividades do ramo esquerdo alimentam o desenvolvimento do sistema.

O que a análise entrega, além da conclusão: as considerações da norma devem ser tratadas de forma metódica e sistemática, com o processo e seus resultados visíveis e prontamente assimilados nos documentos de demonstração de conformidade — a base de classificação de cada condição de falha, as precauções contra falhas de causa comum, as taxas de falha dos componentes com suas fontes e aplicabilidade, a sustentação das premissas feitas e a identificação das ações exigidas da tripulação de voo ou de solo, incluindo os CCMRs.

SAE ARP4754A

a relação entre o processo de avaliação de segurança e o de desenvolvimento do sistema; prática industrial para sistemas integrados ou complexos.

SAE ARP4761A

as técnicas (FHA, PSSA, FMEA, CMA, PRA, ZSA) e a metodologia detalhada da avaliação de segurança.

RTCA DO-178C

os aspectos de software da certificação.

RTCA DO-254

os aspectos de hardware eletrônico embarcado da certificação.

42 / 48

Da classificação da falha ao nível de garantia de desenvolvimento

Garantia de desenvolvimento (development assurance) são todas as ações planejadas e sistemáticas usadas para substanciar, com nível adequado de confiança, que erros em requisitos, projeto e implementação foram identificados e corrigidos, de modo que o sistema satisfaça os objetivos de segurança aplicáveis. O rigor exigido acompanha a severidade: o processo de segurança de sistemas atribui o nível mínimo de garantia de desenvolvimento conforme a classificação das condições de falha da função.

Classificação da condição de falha Nível de garantia de desenvolvimento Onde o nível é implementado
Catastrófica (catastrophic) A sistemas · SAE ARP4754A software · RTCA DO-178C, Nível A hardware · RTCA DO-254, DAL A
Perigosa (hazardous) B sistemas · SAE ARP4754A software · RTCA DO-178C, Nível B hardware · RTCA DO-254, DAL B
Maior (major) C sistemas · SAE ARP4754A software · RTCA DO-178C, Nível C hardware · RTCA DO-254, DAL C
Menor (minor) D sistemas · SAE ARP4754A software · RTCA DO-178C, Nível D hardware · funções de DAL D, para as quais o uso da norma de hardware não é exigido
Sem efeito na segurança (no safety effect) — A função não recebe nível — não há exigência de probabilidade nem de garantia de desenvolvimento.

sistemas

O mesmo nível acompanha a função pelas três disciplinas do projeto, e o processo de desenvolvimento do sistema (SAE ARP4754A) é o que o sustenta.

software

Devem ser satisfeitos todos os objetivos associados ao nível atribuído, e produzidos todos os dados do ciclo de vida que demonstram essa satisfação; para o Nível D, a Descrição de Projeto e o Código-Fonte não fazem parte dos dados de projeto de tipo.

hardware

A norma se aplica às funções de DAL A, B e C; para funções de DAL C aplica-se apenas um conjunto limitado de objetivos, e para DAL A e DAL B as atividades de validação devem ser executadas com independência.

43 / 48

Garantia de desenvolvimento: onde ela entra, e o que ela reúne

Toda análise que sustenta o § 25.1309(b) tem de considerar a possibilidade de erros de requisito, de projeto e de implementação. A pergunta prática é como reduzi-los — e a resposta depende do tipo de sistema.

ONDE A VERIFICAÇÃO DIRETA BASTA

Erros de projeto e de desenvolvimento são detectados e corrigidos por ensaios exaustivos no sistema e nos componentes, por inspeção direta e por outros métodos de verificação direta.

Essas técnicas ainda podem ser apropriadas para sistemas simples, de poucas funções e não altamente integrados.

ONDE ELA NÃO BASTA

Em sistemas integrados ou de funções complexas, o ensaio exaustivo pode ser impossível — os estados do sistema e das interfaces não podem ser determinados — ou impraticável, pelo número de ensaios.

Para esses sistemas o requerente pode usar garantia de desenvolvimento para minimizar erros.

O QUE A GARANTIA REÚNE: garantia de processo técnicas de validação verificação de implementação análise ou avaliação estruturada — conduzidas, se necessário, no nível da aeronave ou entre sistemas integrados. O uso sistemático dessas técnicas aumenta a confiança de que erros em requisitos, projeto ou implementação foram identificados e corrigidos: a garantia define e identifica todos os requisitos, inclusive os de segurança derivados, valida que são completos e corretos e verifica que o projeto os atende e que há contenção de falhas.

O ensaio direto procura o erro depois que ele existe; a garantia de desenvolvimento trabalha durante o desenvolvimento, para minimizar a chance de o erro existir. O rigor dela vem da severidade dos efeitos potenciais sobre a aeronave — por isso a garantia entra desde o planejamento: os meios de conformidade devem incluir atividades de garantia de desenvolvimento para mitigar a ocorrência e os efeitos dos erros no projeto.

44 / 48

A DO-178C e a cadeia que a acompanha

A AC 20-115D descreve um meio aceitável — mas não o único — de demonstrar conformidade com os regulamentos de aeronavegabilidade nos aspectos de software embarcados, na certificação de tipo ou na autorização de TSO. O material anterior fixou: ela não é obrigatória nem regulamento — mas quem a usa deve segui-la em todos os aspectos aplicáveis.

ED-12C / DO-178C — a norma de software de bordo, Software Considerations in Airborne Systems and Equipment Certification; ED-XXX e DO-XXX são equivalentes.

ED-215 / DO-330 — a qualificação de ferramentas tem documento próprio, com conjunto completo de objetivos, atividades e dados do ciclo de vida.

ED-218 / DO-331 (modelos) · ED-217 / DO-332 (objetos) · ED-216 / DO-333 (métodos formais): quem usa várias técnicas aplica mais de um suplemento, e eles não são documentos autônomos.

ED-94C / DO-248C reúne as perguntas frequentes e os artigos de discussão das normas.

PSAC — Plano para os Aspectos de Certificação do Software: como a norma e os suplementos se aplicam em conjunto.

As normas não prescrevem um método: entregam objetivos para os processos do ciclo de vida — planejamento, desenvolvimento, verificação, gestão de configuração, garantia da qualidade e ligação com a certificação —, as atividades que satisfazem cada objetivo e as evidências de que ele foi satisfeito.

Para a ferramenta a lógica se repete: são cinco níveis de qualificação (TQL), determinados pelo uso da ferramenta e pelo impacto potencial dela nos processos do ciclo de vida.

O conteúdo técnico da AC é harmonizado com o AMC 20-115D da EASA, igualmente baseado na ED-12C/DO-178C.
45 / 48

O nível de software: da severidade ao conjunto de objetivos

A garantia de desenvolvimento não é a mesma para todo software. O nível não nasce no software: quem o atribui é o processo de segurança de sistemas, e o critério é a severidade das condições de falha da função.

QUEM ATRIBUI O NÍVEL

O processo de segurança de sistemas atribui o nível mínimo de garantia de desenvolvimento conforme a severidade das condições de falha da função, determinada pela avaliação de perigo funcional (FHA).

O QUE O NÍVEL COMANDA

Ao usar a ED-12C/DO-178C devem ser satisfeitos todos os objetivos associados ao nível atribuído e produzidos todos os dados do ciclo de vida que os demonstram, conforme as tabelas do Anexo A da ED-12C/DO-178C — e, quando aplicável, as do Anexo A da ED-215/DO-330 e dos suplementos. Planejar e executar essas atividades é responsabilidade do requerente.

O exemplo que a AC dá: não todos os dados especificados se aplicam a todos os níveis; para o Nível D a Descrição de Projeto e o Código-Fonte não fazem parte dos dados de projeto de tipo do produto certificado.

A escala que a fonte sustenta: a AC usa os Níveis A, B, C e D e registra que os da ED-12B/DO-178B equivalem aos da ED-12C/DO-178C. Ela não tabula objetivos por nível: exige os do nível atribuído.

O encadeamento é sempre o mesmo, de cima para baixo: severidade da condição de falha da função → nível mínimo de garantia de desenvolvimento → conjunto de objetivos a satisfazer → dados do ciclo de vida a produzir. E o nível atribuído é um mínimo: nada impede que o desenvolvimento seja conduzido em nível mais alto.

46 / 48

A DO-254 e o nível de garantia do hardware

Do lado do hardware a lógica se repete, com outro documento e outra sigla de nível: a norma é a ED-80/DO-254 e o nível é o DAL (hardware development assurance level) — o nível de garantia de desenvolvimento de hardware.

A norma não publica matriz DAL × classificação: a seta é a regra, não uma tabela.

A NORMA E O QUE ELA COBRE

A AC 20-152A reconhece a EUROCAE ED-80 e a RTCA DO-254, ambas Design Assurance Guidance for Airborne Electronic Hardware; diz quando aplicar a ED-80/DO-254 e complementa as normas com objetivos, identificados por prefixo e número, em quatro famílias: CD-i (customizados), IP-i (IP de prateleira neles), COTS-i (dispositivos COTS) e CBA-i (montagens de placas).

A QUEM SE APLICA, E ONDE NÃO É EXIGIDA

Aplica-se ao hardware eletrônico aeronáutico (AEH) que contribui para funções de DAL A, DAL B ou DAL C; quando um objetivo não se aplica a determinado DAL, a restrição vem no texto do próprio objetivo ("Para hardware DAL A..."), e para DAL C aplica-se um conjunto limitado de objetivos. O uso desta AC não é exigido para funções de DAL D — a AC 00-72 orienta para assegurar essa função pretendida.

O ELO COM O § 25.1309

O nível não nasce no hardware nem no software: é o processo de segurança de sistemas que atribui o nível mínimo de garantia de desenvolvimento conforme a severidade das condições de falha da função, pela avaliação de perigo funcional.

PHAC — Plano para Aspectos de Hardware da Certificação: para cada dispositivo customizado o requerente documenta o nível de garantia de desenvolvimento, a classificação como simples ou complexo e, se simples, a justificativa pelos critérios de classificação. O PHAC e as atividades que satisfazem os objetivos da AC vão submetidos à certificação.

47 / 48

Os dois caminhos do hardware — e a função que vem de fora

Nem todo item de hardware percorre o mesmo caminho. O que decide é uma classificação técnica — o dispositivo é simples ou complexo —, e a resposta vai documentada no PHAC, com a justificativa.

COMPLEXO · CICLO DE VIDA COMPLETO

A ED-80/DO-254 é a norma da indústria para a garantia de desenvolvimento de dispositivos customizados complexos, e o requerente deve satisfazê-la mais os objetivos ou esclarecimentos adicionais desta AC — de validação e verificação a ferramentas, hardware previamente desenvolvido e IP.

O Apêndice A da ED-80/DO-254 modula os dados do ciclo de vida conforme o DAL da função de hardware.

SIMPLES · CAMINHO ALTERNATIVO

Só é simples se uma avaliação técnica do conteúdo de projeto sustentar que ele é verificável por testes determinísticos e análises abrangentes, em todas as condições previsíveis.

Os dados do ciclo de vida podem ser reduzidos, mas ele deve desempenhar sua função pretendida e estar sob gestão de configuração, para ser reproduzido e analisado.

O Objetivo CD-2 pede no PHAC a definição das funções e a conformidade de construção (build conformance).

O que faz um dispositivo ser simples: funções: o número interfaces: número e simplicidade processamento independência de blocos e estágios síncrono ou assíncrono relógios máquinas de estado independência entre elas. Não sendo simples, é complexo — e um item de itens simples pode ser complexo.

E quando a função vem de fora? A IP comercial de prateleira (COTS IP) é uma função de projeto disponível comercialmente; IP de poucos equipamentos não é COTS IP, e estar disponível não garante que ela sirva: a maioria não segue os padrões de garantia da aviação — documentação ausente, verificação insuficiente do fornecedor, qualidade deficiente. Muda a demonstração: critérios de seleção da IP e avaliação dos dados do fornecedor, submetidos à certificação.

48 / 48

Da função da aviônica ao dado de conformidade

A matéria começou nas condições de falha e termina no que a engenharia faz com a classificação: transformá-la em objetivos de projeto e em dados que sustentam a constatação de conformidade do sistema instalado.

A FUNÇÃO

Comunicação, navegação e vigilância: esses serviços aparecem na própria norma como um dos eventos externos a considerar na avaliação.

→

A CONDIÇÃO DE FALHA

Identificada e classificada pela avaliação de perigo funcional, pela severidade dos efeitos sobre a aeronave, os ocupantes e a tripulação.

→

O NÍVEL

O processo de segurança de sistemas atribui o nível mínimo de garantia de desenvolvimento conforme a severidade das condições de falha da função.

→

A CONSTATAÇÃO

Objetivos satisfeitos e dados do ciclo de vida, de software pela ED-12C/DO-178C e de hardware pela ED-80/DO-254, com PSAC e PHAC submetidos: o sistema funciona como instalado.

E o rótulo não decide nada: a classificação não depende de o sistema ser objeto de um requisito específico — o transponder e as luzes de posição, requeridos, podem ter apenas condições menores; o piloto automático, não requerido, pode ter condições maiores, perigosas ou catastróficas. Decide o efeito.

O que o projeto entrega à operação: os requisitos de manutenção de certificação (CMR) integram a limitação de aeronavegabilidade do certificado e as ações exigidas da tripulação integram a seção do manual de voo (AFM). Modificações exigem avaliação de impacto na avaliação de segurança (SSA) e nos dados de garantia de desenvolvimento.

A certificação de aviônica não é um selo no equipamento: é o conjunto de objetivos satisfeitos e de dados produzidos, no nível que a severidade da função impôs — e é assim que se demonstra que cada sistema instalado atende ao que a regra exige.

1 / 1
clique em Ouvir