行业观察｜载人eVTOL适航审定：安全等级是”审”出来的，不是”喊”出来的
引言：
当前中国载人eVTOL项目中，“整机10⁻⁷、关键系统10⁻⁸”是较为现实且具备工程可验证性的适航路径；10⁻⁹并非技术上绝对无法实现，但其对应的是更高风险场景、更严格的符合性要求，以及显著增加的研发、验证和商业化成本。
随着多款国产eVTOL在研发和适航审定方面取得进展，以及国家持续推动低空经济发展，资本市场对于“空中出租车”的关注度不断升温。与此同时，“安全性达到10⁻⁹”也逐渐成为部分企业在融资交流和市场宣传中频繁出现的表述。
然而，在适航审定领域，安全等级从来不是企业单方面定义的“设计愿景”，也不是一个孤立数字。安全目标的确定，来源于运行场景、风险分析、系统架构设计以及适航当局审定要求的综合结果，并最终体现在符合性方法中。
本文基于公开法规和工程实践，希望厘清eVTOL安全等级背后的技术与法规逻辑，为投资者和行业观察者提供一个更容易验证的分析框架。
一、 安全目标由“审定局方+运行场景”双轮驱动，而非简单数字竞争
在航空业，安全目标的定量指标（Probability per Flight Hour）并非孤立存在，而是与运行场景、乘员数量、运行区域人口密度以及预期运营模式密切相关。
需要特别说明的是，本文所讨论的10⁻⁷、10⁻⁸、10⁻⁹等指标，均指灾难性失效条件（Catastrophic Failure Condition）的安全目标，而非航空器实际事故率。
从目前公开法规来看，全球主要监管机构针对eVTOL的安全要求呈现出明显的场景分层特征：
关键事实一：
中国目前唯一取得TC的载人eVTOL——亿航EH216-S，其专用条件（SC-21-002，2022年2月公开发布），后续其eVTOL也取得了其他证，但迟迟未迎来规模商业化。
关键事实二：
EASA SC-VTOL中的Enhanced Category主要面向飞越人口密集区、开展商业载客运输等高暴露风险场景。该类别要求航空器在发生单点故障后仍具备持续安全飞行与着陆能力。由于eVTOL通常采用高度分布式架构，多个关键系统均需达到10⁻⁹级安全目标，因此从整机安全保证的角度看，其安全设计要求被普遍认为高于传统CS-25运输类飞机。截至目前，全球尚未有eVTOL完成Enhanced Category下的完整型号合格审定。业内普遍认为，更高等级的安全目标意味着更复杂的系统架构、更严格的验证要求以及更长的审定周期。对于仍处于产业化早期阶段的eVTOL行业而言，这无疑提高了技术和商业化门槛。
关键事实三：
FAA在AC 21.17-4中对powered-lift商业载客的灾难性事故发生的系统安全目标目前处于10⁻⁸量级，与EASA的10⁻⁹存在差异，但双方正在推进协调。这也说明，即便是欧美之间，10⁻⁹也不是“全球统一标准”，而是“最高场景下的最严标准”。
结论：如果一家主机厂声称“整机10⁻⁹”，首先要回答的不是技术能力，而是法规身份——这是哪个局方、在哪个运行场景下、写入哪一份符合性方法文件的安全目标？若无法出示局方批复的相关文件，10⁻⁹只能称为“设计愿景”，而非“适航结论”。
二、系统级10⁻⁸的工程逻辑：自顶向下分配，而非“层层加码”
在航空器系统安全性评估中，整机目标需要通过ARP 4754B等方法论，自顶向下分解到各个系统功能。以CAAC当前载人eVTOL的要求（整机10⁻⁷）为例：
整机级：10⁻⁷（灾难性事故概率，即1000万个小时，整机最多只能出现一个灾难性事故）。
系统级：关键系统（飞控、动力、电池管理）需分配至10⁻⁸，有部分系统甚至更高，通过冗余架构确保满足。
设备级：电机、电调、传感器等底事件需提供失效率数据，支撑上层分配。
这一路径符合当前中国载人eVTOL的工程现实：分布式电推进（DEP）通过多电机冗余，可以在单电机/单电调失效时毫秒级重构推力，实现“故障-安全”或“故障-工作”。
那么整机安全性10⁻⁹需要什么样的系统级支撑？
若整机目标为10⁻⁹，且一架eVTOL存在10个潜在灾难性失效条件，则每个系统功能的平均分配目标需达到10⁻¹⁰及以上。作为对比，现代商用航空发动机（如CFM LEAP）的单发空中停车率约为10⁻⁵每飞行小时，已属于人类工业可靠性皇冠。当前eVTOL所使用的航空级电池、碳化硅逆变器、飞控软件，尚未积累足够的历史飞行数据来支撑10⁻¹⁰量级的定量验证。
结论：“整机10⁻⁷、系统10⁻⁸”是当下可验证、可审定、可量产的工程路径。 10⁻⁹不是技术禁忌，但需要更长的飞行数据积累、更成熟的供应链、以及局方明确批复的“增强类”审定基础。在现阶段，将“设计目标”与“审定结论”混为一谈，对投资者和公众都是一种误导。
三、投资者识别eVTOL安全水平的三个关键问题
对于关注eVTOL产业的投资者和合作伙伴而言，相较于简单询问“安全性达到什么水平”，以下三个问题更有助于判断企业真实的安全能力和适航成熟度。
问题一：适航文件中明确的整机灾难性失效概率目标是多少？
如果企业宣称是10⁻⁹，应出示CAAC/FAA/EASA批复的适航文件及条款编号。主机厂与民航局在G2的签署之前，需要明确安全性目标，与局方要把这个安全性数值签署下来的。如果企业不能出具，那投资人就需要谨慎了。
问题二：当前TC/AC对应的是哪个运行场景？
是“无人驾驶、非人口密集区、视距内运行”，还是“有人驾驶，城市商业载客”或者还是郊区低空旅游？场景不同，安全等级不可直接比较。
问题三：适航进展及符合性验证进展到哪一步？
根据目前国内的进展，大多数企业还在G1阶段（目前已经形成了国家标准，不用再额外讨论）。这里可以进一步跟企业沟通G2签署了没有，CP签署到什么状态了签署了几份，一般企业是18-20份之间。G1\G2\CP都签署完毕后，再看企业有没有真正下线了适航验证机，实际的试飞到什么阶段了？
结语：安全需要可验证，而非可宣称
eVTOL作为新型航空器，经过各国民航局的努力，其适航审定已经有现成规章可以参照。这恰恰意味着，安全等级的解释权在局方，不在企业市场部或者投资部。
我们尊重所有同行向10⁻⁹乃至更高目标攀登的技术努力，但也呼吁行业回归理性：明确区分“设计目标”与“审定结论”，明确区分“运行场景”与“统一标准”，让投资者用法规文件而非宣传话术来判断风险。
低空经济的长期健康发展，需要的不是“安全数字竞赛”，而是一份份经得起局方审查、经得起飞行数据检验、经得起公众信任的适航档案。
参考法规与公开文件：
1. CAAC《EH216-S型无人驾驶航空器系统专用条件》（SC-21-002，2022年2月）
2. EASA《Special Condition for VTOL-capable aircraft》（SC-VTOL Issue 2，2024年6月）
3. FAA《Advisory Circular 21.17-4, Type Certification of Powered-Lift Aircraft》（2024年）
4. SAE ARP 4754B《Guidelines for Development of Civil Aircraft and Systems》
5. ASTM F3230-21《Standard Practice for Safety Assessment of Systems and Equipment in Small Aircraft》
6. 中国民航局《动力提升航空器适航标准》，2026年2月12日
7、FAA发的PS-AIR-21.17-01 “Safety Continuum for Powered-lift”，2024年
（本文基于公开适航法规与行业通用工程实践撰写，仅供技术交流，不构成投资建议）