01 前情提要
完成 “功能和项目研制保证等级”（FDAL / IDAL）的分配，是初步系统安全性评估 PSSA 的重要工作。
在上一篇文章《如何开展飞机系统级 "初步系统安全性评估"（PSSA）？》中，我们介绍了如何开展民用飞机系统 PSSA，但其中不包含 FDAL / IDAL 分配。
主要是考虑这部分内容，相对独立且过程复杂，本文做专门介绍。
民用飞机复杂系统可能存在研制错误，它一旦在飞机运营中暴露，则会产生不利于飞机安全的影响。针对这样的复杂系统，可通过实施研制保证过程来减少错误。
通过研制保证过程的实施，来确保系统研制可以按照一种规范的方式完成，并限制研制错误发生的可能性。
02 研制保证等级
这里，我们引入研制保证等级（DAL，Development Assurance Level）的概念，它用于度量飞机/系统的功能和项目，在研制过程的严格程度。一般分为A、B、C、D、E 共 5 个等级。
通过实施研制保证过程，可将飞机/系统功能和项目研制过程中产生的错误，限制到安全性可接受的水平。
根据 ARP4754A 的指南要求，研制保证等级可分为功能研制保证等级 FDAL（Functional Development Assurance Level），和项目研制保证等级 IDAL（Item Development Assurance Level）。
本文的 “项目” 特指飞机和系统设计中，所使用到的 “复杂电子硬件” 和 “软件”。
研制保证等级，是根据失效状态的严重程度来分配的（失效状态由 FHA 定义），同时也要考虑研制过程之间的独立性。这种独立性能够限制研制错误带来的后果。
03 研制保证等级分配原则
失效状态等级越严重，其对应的用以减轻失效状态影响所需的研制保证等级则越高。
A 灾难级的失效状态
对于灾难级的失效状态，分配原则如下：
如果灾难性的失效状态，由一个功能或项目的一个可能的研制错误而导致，则相应的研制保证等级应被分配为 A 级。
如果灾难性的失效状态，由两个或多个独立的功能或项目可能的研制错误组合共同造成。那么，或者其中一个研制保证等级被分配为 A 级，或者其中两个研制保证等级至少被分配为 B 级。其它独立的功能或项目的研制保证等级应不低于 C 级。
值得注意的是，用以确定这两个或多个功能或项目独立性的研制保证过程，其等级应是 A 级。
B 危险级的失效状态
对于危险级的失效状态，分配原则如下：
如果危险级的失效状态，由一个功能或项目的一个可能的研制错误而导致，则相应的研制保证等级至少被分配为 B 级。
如果危险级的失效状态，由两个或多个独立研制的功能或项目可能的研制错误组合共同造成。那么，或者其中一个研制保证等级至少被分配为 B 级，或者其中两个研制保证等级至少被分配为 C 级。其他独立的功能或项目的研制保证等级不低于 D 级。
值得注意的是：用以确定这两个或多个功能或项目独立性的研制保证过程，其等级应是 B 级。
C 较大的失效状态
对于较大的失效状态，分配原则如下：
如果较大的失效状态，由一个功能或项目的一个可能的研制错误而导致，则相应的研制保证等级应被分配为 C 级。
如果较大的失效状态，由两个或多个功能或项目可能的研制错误组合共同造成。那么，其中一个研制保证等级至少被分配为 C 级，或者其中两个研制保证等级至少被分配为 D 级。
同样的，用以确立两个或多个独立研制的飞机/系统功能或项目独立性的研制保证过程仍应是 C 级。
D 较小的失效状态
对于较小的失效状态，分配原则如下：
如果较小的失效状态，由一个功能或项目的一个可能的研制错误而导致，那么相应的研制保证过程至少被分配为 D 级。
如果较小的失效状态，由两个或多个独立研制的功能或项目的研制错误组合共同造成，那么其中一个研制保证过程至少分配为 D 级。
04 DAL分配原则解读
为了在研制阶段执行这些基本原则，一般定义两种不同的研制过程类型（分两个阶段）：功能研制阶段和项目研制阶段。
功能研制阶段，应产生功能要求并将其分配到项目，功能研制保证等级（FDAL）定义了产生功能要求过程的严格程度。
项目研制阶段，应完成项目的研制，电子硬件或软件的保证等级（IDAL）定义了项目研制过程的严格程度。
FDAL 和 IDAL 的分配是一个自上而下的过程。在分配过程中，首先对飞机和系统 FHA 失效状态（称作顶层失效状态）所对应的功能分配 FDAL，此时不考虑系统实现架构。
顶层功能的 FDAL 分配，如下所示。
可根据上图定义的严酷度等级，直接分配顶层 FDAL，这样即可建立不同功能所适用的研制保证过程的严酷度。
其次在将顶层功能分解成多个子功能后，需分配子功能的 FDAL，并将每一个子功能进一步分解/分配给项目，分配项目的 IDAL，此过程应考虑系统架构，并对系统架构进行检查。
当考虑系统架构时，一般采用功能失效集（FFS）的概念作为分配研制保证等级的系统性方法。
FFS 用于确定可能导致失效状态发生的成员组合，一个 FFS 相当于故障树的最小割集，一个失效状态可能有一个或多个 FFS，每个 FFS 也可能包含一个或多个成员（子功能）。
下表给出了根据顶层失效状态的严重等级，为 FFS 成员分配 FDAL 的指南。
对每个子功能的所有顶层失效状态重复实施该过程，然后结合此子功能在所有失效状态中的影响程度，将最严格的 FDAL 分配给该子功能。
型号合格审定申请人，在考虑如何减缓所确定的失效状态时，斟酌选择使用 “选项 1” 或 “选项 2”。
注1：当 FFS 只有一个成员，并且系统错误的减缓策略为 FDAL A 时，那么，申请人应证明该成员的研制过程有充分独立的确认/验证活动、技术和完成标准，来确保可能导致灾难性影响的潜在的研制错误已被消除或减缓。
注2：无论功能如何进行分解，等级的分配需使用表中那一行的要求。例如，对于灾难性失效状态，FFS 应包含至少一个 FDAL A 成员或者两个 FDAL B 成员。
注3：如果 FFS 中各成员可用性差别很大，那么通常对可用性数值较大的成员分配较高 FDAL。
注4：一些 14CFR 23部/CS-23 的飞机 FDAL 低于上表定义。可参考现行的 FAA AC23.1309 和等效的 EASA 政策。
在 FDAL 过程之后执行 IDAL 的分配。当系统架构往下细分到项目层级时，使用上表把 FDAL 分配给 FFS 成员（电子硬件或软件）。
但需要注意的是，此时的分配，变成了相关项目的项目保证等级（IDAL）。分配的 IDAL，将用来作为 DO-178B/C（软件研制保证）或 DO-254（电子硬件设计保证）使用的输入。
分配 IDAL 时，如果 FFS 具有项目研制独立性，则申请人可以使用与顶层失效状态等级对应的那一行（即与 FDAL 分配一样在同一行）的选项 1 或选项 2。
05 FDAL 和 IDAL 分配具体流程
总的来说，分配功能和项目研制保证等级的具体流程，如下图所示。
在研制新功能和新项目时，应采用上图定义的 FDAL 和 IDAL 分配过程。
然而经验表明，在研制过程中常常会利用先前研制和审定合格的飞机/系统功能和项目。
如果需要考虑重新使用先前研制的飞机/系统的功能/项目，应表明其 FDAL 和 IDAL 的分配符合本文所定义的 “分配原则”。
相关文章，点击阅读：
民用飞机和系统安全性评估 初探与入门！
如何开展飞机和系统级 "功能危险性评估"（FHA）？
如何开展飞机系统级 "初步系统安全性评估"（PSSA）？
SAE ARP4754A 初探与入门！
