作者：莱纳・霍夫曼、林屏博士、李晓英

日期：2026年8月18日

市场增长与认证瓶颈

低空经济（LAE）正逐步在多个市场实现商业化落地。在欧洲，欧洲航空安全局（EASA）已针对商业客运发布特殊条件（SC‑VTOL，增强类）[1]。在中国，粤港澳大湾区（GBA）正在筹备跨境自主航空物流以及空中出租车运营业务 [2]。赛迪顾问预测，中国低空经济市场规模将从2025年的1.5万亿元人民币增长至2035年的3.5万亿元人民币（约合4900亿美元）[3]。上述运营活动受2026年7月1日生效的修订版《民用航空法》管辖，该法案收紧了商用适航性相关要求 [4]。

认证实践未能跟上产业发展步伐。现行基于确定性技术规范和合规检查清单的型号审定机制，难以充分适配自主运行模式 [1,5]。开放世界运行设计域（ODD）、城市微气候湍流，以及具备不确定性、黑盒特性的机器学习组件，要求行业从指令性规则转向结构化、基于证据的安全论证 [5,6]。

流程 VS 产品：自动驾驶系统（ADS）的关键经验

将汽车领域安全保障实践迁移至航空领域时，一个常见误区是混淆流程成熟度与结果论证 [5]。对于基于自动驾驶系统（ADS）技术开展的 eVTOL 项目，需要区分组织流程与系统专属产品成果物 [5]：

1. 安全管理系统（SMS）—— 面向全组织的流程体系

   安全管理系统（SMS）旨在回答：组织如何实现跨时间维度的风险管控？[5] 范畴涵盖安全治理、安全政策、定期内部风险评估、危险源上报、变更管理与投用后监测 [5,6]。

2. 安全案例—— 面向具体系统的专项工程交付物

   安全案例旨在回答：在既定运行环境下，该系统的安全水平是否达到可接受标准？[5] 它属于一套结构化论证文件，一般采用目标结构化表示法（GSN）编制，将安全主张与仿真、试验场测试、限定运行设计域下的场地数据等证据建立关联 [5,8]。

2026年联合国自动驾驶系统全球技术法规（GTR）（ECE/TRANS/WP.29/GRVA/2026/2）明确，经过审计的安全管理系统，是出具一份可信安全案例的必要前置条件 [5,6]。安全管理系统能够保障安全案例论证所引用证据的来源可信性与完整性 [5]。

开放世界的复杂性：eVTOL VS 自动驾驶系统（ADS）

场地自动驾驶安全框架，包括功能安全标准ISO 26262 [7]、预期功能安全ISO 21448 [8]、人工智能安全ISO/PAS 8800 [9]，虽然已经覆盖开放世界场景的验证要求，但商用eVTOL的运行，在三方面提出了更高的技术要求：

1. 可靠性指标

   欧洲航空安全局 SC‑VTOL 增强类别要求，灾难性故障发生率低于每飞行小时10⁻⁹[1,5]。在没有人类飞行员作为备份的条件下，要证明该指标达标，需要结合功能安全分析，以及源自预期功能安全（SOTIF）的概率化验证与确认（V&V）方法 [5,8]。

2. 系统之系统覆盖范围

   安全论证不能仅局限于飞行器适航性 [1]。还必须界定无人交通管理（UTM）数据链路可用性、垂直起降场地面基础设施、微气候风切变等边界条件 [1,2,5]。

3. 跨领域融合

   商用eVTOL运行融合航空软件保障标准（DO‑178C/DO‑254）、汽车预期功能安全标准（ISO 21448 [8]、ISO/PAS 8800 [9]），以及无人机运行风险评估规范（JARUS SORA）[5,10]。
   
   

建议：安全案例落地实施

想要破解认证瓶颈，低空经济运营商不应把安全案例当作静态文档，而应将其视为需要持续迭代维护的工程成果物：

• 不可用流程合规替代安全论证。安全管理系统合规，并不等同于完成安全案例 [5]。如果仅证明遵循组织流程，却缺少预期功能安全指数基准这类量化残余风险证据，监管机构将会驳回其适航主张 [5,8]。
• 建立并落实在役监测与报告机制（ISMR）。安全案例必须在系统全生命周期内持续维护 [5]。参照自动驾驶数据存储系统（DSSAD）思路采集实场数据，同时补充风向矢量、传感器点云等飞行遥测数据，并将数据反馈至安全管理系统 [5,6]。据此重新评估残余风险，在飞行器软件、无人交通管理协议完成空中升级（OTA）之后，保障安全案例持续有效 [4,5,6]。
  
  

上海测迅汽车科技有限公司-Digauto：面向低空经济安全保障的验证基础设施

Digauto立足于汽车预期功能安全测试与航空适航保障的交叉领域 [1,5,10]。在中国香港、粤港澳大湾区这类高密度城市环境中开展基于AI的感知与控制算法验证，需要实体验证基础设施，Digauto正在搭建该类设施 [2]。

该项工作依托Digauto作为智能驾驶主动安全测试技术头部供应商的既有积淀。Digauto 可为高级驾驶辅助系统（ADAS）与智能网联汽车（ICV）提供全套测试验证解决方案，并自研了整车交通环境在环测试（VTEHIL）技术；该技术用于在实验室环境下评估整车在ADAS、ADS场景下的安全性能 [11]。VTEHIL将搭载全套传感器的实车接入仿真环境，能够在室内、不对测试人员与硬件造成风险的前提下，可复现地执行各类关键危险场景。

物理人工智能安全实验室（PAIS‑Lab）将这套方案从道路车辆拓展至 eVTOL。高保真硬件在环（HIL）仿真器可针对极端环境条件、传感器衰减场景，对飞控算法开展室内非破坏性压力测试；该方案沿用VTEHIL的闭环测试原理，并迁移至空中运行设计域。其目标：助力主机厂产出可接受审计的安全案例。

参考文献

[1] 欧洲航空安全局，《具备垂直起降能力航空器特殊条件（SC‑VTOL‑01）》第 2 版，2024 年 5 月。 

[2] 香港特别行政区政府，《低空经济发展工作组召开首次会议》新闻稿，2024 年 11 月。

[3] 赛迪顾问，《中国低空经济发展研究报告》，2024 年（预测低空经济 2025 年规模 1.5 万亿元人民币，2035 年达 3.5 万亿元人民币）。

[4] 《中华人民共和国民用航空法（2025 修订版）》，2025 年 12 月 27 日通过，2026 年 7 月 1 日施行。

[5] 迪加托汽车技术有限公司，《自主系统与低空经济中的安全案例和安全管理系统》技术白皮书，2026 年。

[6] 联合国欧洲经济委员会 WP.29 GRVA 工作组，《联合国自动驾驶系统全球技术法规新提案》，ECE/TRANS/WP.29/GRVA/2026/2，2026年。

[7] ISO 26262:2018，道路车辆 —— 功能安全，国际标准化组织。

[8] ISO 21448:2022，道路车辆 —— 预期功能安全（SOTIF），国际标准化组织。

[9] ISO/PAS 8800:2024，道路车辆 —— 安全与人工智能，国际标准化组织。

[10] JARUS，《特定运行风险评估（SORA）指南》，无人机联合规则制定机构，2024 年。

[11] Digauto，VTEHIL——整车交通环境在环测试系统，http://digauto.biz/en/index.php?catid=35，访问时间：2026 年 8 月。

术语表

LAE（Low Altitude Economy，低空经济）：以低空空域（通常 1000 米以下）有人驾驶与自主飞行为核心的经济生态体系。

eVTOL（Electric Vertical Take‑off and Landing，电动垂直起降飞行器）：依靠电力实现悬停、垂直起飞与降落的飞行器。

ADS（Automated Driving Systems，自动驾驶系统）：硬件与软件集合，能够持续完整执行全部动态驾驶任务。

SMS（Safety Management System，安全管理系统）：一套系统化安全管理方法，包含必要的组织架构、权责划分、政策以及流程。

GSN（Goal Structuring Notation，目标结构化表示法）：用于记录和呈现安全论证的图形化表示方法。

SOTIF（Safety of the Intended Functionality，预期功能安全）：不因功能缺陷或可合理预见的误用引发危险，进而产生不合理风险。

SOTIF‑Index（预期功能安全指数）：源自预期功能安全验证确认工作的量化残余风险指标，用作基于结果开展安全验收的基准。

ODD（Operational Design Domain，运行设计域）：给定自动驾驶系统或其功能被设计用于工作的特定条件集合。

HIL（Hardware‑in‑the‑Loop，硬件在环）：将控制器真实信号接入仿真测试系统的技术，使控制器表现如同安装在完整整机产品之上。

VTEHIL（Vehicle Traffic Environment Hardware‑in‑the‑Loop，整车交通环境在环测试系统）：整车测试方法，将实车及其传感器接入仿真环境，在实验室条件下评估高级驾驶辅助系统、自动驾驶系统场景下的安全性能。

UTM（Unmanned Traffic Management，无人交通管理）：保障无人及自主飞行器安全、有序使用低空空域的系统与服务。

DSSAD（Data Storage System for Automated Driving，自动驾驶数据存储系统）：机载记录设备，记录自动驾驶系统状态与相关事件，用于支撑事后分析。