Die Voraussetzungen für die Next Generation Zertifizierung schaffen

Das moderne Flugdeck, das von großformatigen Displays, integrierten Autopiloten und Touchscreen-Schnittstellen dominiert wird, ist weit entfernt von den Dampfraum-Cockpits von noch vor dreißig Jahren. Glas-Cockpits – elektronische Fluginstrumentensysteme (EFIS), die primäre Flug-, Navigations-, Motor- und Systemdaten auf digitalen Bildschirmen konsolidieren – sind zum De-facto-Standard für kommerzielle, geschäftliche und allgemeine Luftfahrtflugzeuge geworden. Ihre Fähigkeit, die Arbeitsbelastung der Piloten zu reduzieren, Systemüberwachung in Echtzeit zu ermöglichen und eine ausgeklügelte Automatisierung zu ermöglichen, hat die Flugsicherheit und -effizienz verändert. Doch genau die Innovationen, die Glas-Cockpits leistungsfähig machen, schaffen auch neue Zertifizierungsherausforderungen. Die Regulierungsbehörden müssen sicherstellen, dass komplexe Software, miteinander verbundene Avionik und Mensch-Maschine-Schnittstellen über die gesamte Lebensdauer des Flugzeugs hinweg sicher und zuverlässig bleiben.

Dieser Artikel untersucht die aufkommenden regulatorischen Rahmenbedingungen, die die Zertifizierungsstandards für Glas-Cockpit-Systeme neu gestalten, wobei Schwerpunkt auf Schlüsselbereichen wie Systemzuverlässigkeit, menschliche Faktoren, Cybersicherheit und Softwaresicherheit liegt.

Die Evolution der Glass Cockpit Zertifizierung

Ein kurzer historischer Kontext

Die erste Generation von Glas-Cockpits, die in Business-Jets und frühen Airbus/Boeing-Modellen wie dem Airbus A320 und Boeing 777 zu sehen waren, stützte sich auf relativ geschlossene Systeme mit begrenzter externer Konnektivität. Zertifizierungsstandards, damals in erster Linie FAA Advisory Circulars und EASA Certification Specifications, konzentrierten sich auf Hardware-Zuverlässigkeit (z. B. TSO-C113 für EFIS), grundlegende Software-Asurance (DO-178B) und einfache Checklisten für menschliche Faktoren. Mit der Weiterentwicklung der Technologie wurden die Grenzen dieser Legacy-Standards offensichtlich. Moderne Glas-Cockpits integrieren synthetisches Sehen, Geländebewusstsein, Wetterradar, ADS-B und Konnektivität während des Fluges. Sie verlassen sich auf komplexe, hochgradig vernetzte Software, die auf Multi-Core-Prozessoren läuft. Die Zertifizierungsumgebung musste sich weiterentwickeln, um diese Komplexitäten zu bewältigen.

Der Antrieb für neue regulatorische Rahmenbedingungen

Als Reaktion auf den raschen technologischen Wandel haben sowohl die FAA als auch die EASA mehrjährige Initiativen zur Aktualisierung der Zertifizierungsleitlinien gestartet. Das Programm der FAA für die Analyse und gemeinsame Nutzung von Flugsicherheitsinformationen und -austauschen (ASIAS) und die Strategie für sichere und nachhaltige Luftfahrt der EASA identifizieren die Glas-Cockpit-Zertifizierung jeweils als einen kritischen Schwerpunktbereich. Ein wesentlicher Treiber ist die Erkenntnis, dass traditionelles "Anleitungsmaterial" nicht mit der iterativen Softwareentwicklung (DevOps, kontinuierlicher Einsatz) und der wachsenden Angriffsfläche der vernetzten Avionik Schritt halten kann. Branchenverbände wie RTCA und EUROCAE haben neue Standards entwickelt - zum Beispiel DO-178C für Software, DO-254 für komplexe elektronische Hardware und DO-326A / DO-356A für Cybersicherheit -, die die Regulierungsbehörden zunehmend als Mittel zur Compliance übernehmen.

Wichtige neu entstehende Regulierungsrahmen

FAA: Aktualisierte Beratungsrundschreiben und Policy Memos

Die FAA hat eine Reihe neuer Beratungsrundschreiben (Advisory Circulars, AC) und Policy Memoranda veröffentlicht, die sich direkt mit Glas-Cockpit-Systemen befassen. Bemerkenswerte Beispiele sind AC 20-145 „Guidance for Integrated Modular Avionics (IMA), die Rekonfiguration implementieren, AC 25-11B „Electronics Flight Deck Displays und AC 25-28 „Compliance of Avionics Systems with Airworthiness Standards for Transport Category Airplanes. Diese Dokumente enthalten detaillierte Anleitungen zur Symbolisierung, Entlarterung, Leuchtdichte und Fehlerverkündigung von Anzeigen. Die FAA hat auch einen Entwurf für Leitlinien zur Verwendung von Touchscreens und zur Integration extern bezogener Daten (z. B. Wetter und Verkehr) in primäre Fluganzeigen veröffentlicht. Eine entscheidende Verschiebung ist der Übergang von vorgeschriebenen Anforderungen zu leistungsbasierten Standards, die es Herstellern ermöglichen, neuartige Architekturen vorzuschlagen, wenn sie gleichwertige Sicherheitsniveaus durch Analyse und Test nachweisen können.

EASA: Zertifizierungsspezifikationen und annehmbare Nachweisverfahren

Die EASA hat in ähnlicher Weise ihre Zertifizierungsspezifikationen (CS-25, CS-23, CS-27/29) und die damit verbundenen annehmbaren Nachweisverfahren (AMC) und Anleitungen (GM) überarbeitet. Die EASA CS-25 Änderung 27 führte neue Bestimmungen für Alarme der Flugbesatzung, Systemintegration und die Verhinderung von visuellem Durcheinander ein. Im Jahr 2023 veröffentlichte die EASA eine neue AMC zu Human Factors for Cockpit Design (AMC Nr. 1 bis CS 25.1302), die Usability-Tests, die Workload-Bewertung des Piloten und die Fehlertoleranz betont. EASAs “Special Condition”-Prozess wurde verwendet, um neuartige Funktionen wie Head-Mounted Displays und Full-Authority Digital Engine Controls (FADEC) zu genehmigen integriert mit Glas-Cockpits. Die Agentur arbeitet auch mit der FAA durch die Reorganisation von Teil 23 / CS-23 zusammen, um sicherzustellen, dass kleinere Flugzeuge von optimierten, risikobasierten Zertifizierungspfaden profitieren, die immer noch die Komplexität des Glas-Cockpits

ICAO und globale Harmonisierungsbemühungen

Die Internationale Zivilluftfahrt-Organisation (ICAO) arbeitet daran, die Zertifizierungsstandards durch ihren „Global Aviation Safety Plan“ und „Aviation System Block Upgrades“ zu harmonisieren. Während die ICAO keine direkten Zertifizierungen für Flugzeuge durchführt, legt sie hohe Standards fest, die die nationalen Vorschriften beeinflussen. Die jüngsten ICAO-Anhang-8-Änderungen verlangen von den Staaten, eine risikobasierte Aufsicht zu übernehmen, was auch die Bewertung der Zertifizierungsgrundlage für fortschrittliche Luftfahrttechnik umfasst. Die Initiative „ICAO Next Generation of Aviation Professionals“ befasst sich auch mit der Notwendigkeit aktualisierter Schulungs- und Lizenzierungsstandards, die die Fähigkeiten des Glascockpits widerspiegeln. Diese globalen Bemühungen reduzieren überflüssige Zertifizierungsarbeiten, so dass Hersteller ein System entwerfen können, das die Anforderungen mehrerer Behörden erfüllt.

Kernschwerpunkte der Emerging Regulations

Systemzuverlässigkeit und Fehlermodi

Glas-Cockpits beruhen auf Dutzenden von miteinander verbundenen Line Replaceable Units (LRUs) und Softwarefunktionen. Regulierungsbehörden verlangen jetzt umfassende Systemsicherheitsbewertungen (SSAs), die über die herkömmliche Fehlerbaumanalyse hinausgehen. Sie verlangen die Berücksichtigung von Fehlern mit gemeinsamer Ursache (z. B. ein einzelner Softwarefehler, der mehrere Displays betrifft) und Kaskadierungsfehler über Systeme hinweg. Neue Leitlinien wie DO-297 (Integrated Modular Avionics) und SAE ARP4754B betonen die inkrementelle Zertifizierung mit klarer Partitionierung. Das Ziel ist es, sicherzustellen, dass kein einzelner Fehler den Verlust aller kritischen Fluginformationen verursacht.

Neue Vorschriften legen auch Mindestleistungsanforderungen für Backup-Instrumente fest (z. B. eine unabhängige Standby-Lageanzeige) und verlangen, dass die primären Anzeigen automatisch in einer kontrollierten Weise neu konfiguriert werden, wenn eine Anzeige ausfällt.

Mensch-Maschine-Interaktion und Pilot-Workload

Eines der am stärksten untersuchten Bereiche ist das Design der Mensch-Maschine-Schnittstelle (HMI). Die Regulierungsbehörden gehen über statische Checklisten hinaus und verlangen eine dynamische Auswertung der Arbeitsbelastung des Piloten unter normalen, anormalen und Notbedingungen. Dazu gehören Tests auf "Task-Sättigung", Automatisierungsüberraschungen (z. B. unerwartete Modeübergänge) und die Lesbarkeit datenreicher Displays in Turbulenzen. Neue HMI-Leitlinien schreiben vor, dass alle kritischen Flugparameter auf mindestens zwei separaten Displays verfügbar sein müssen und dass Informationen in einem konsistenten, standardisierten Format dargestellt werden müssen. Touchscreen-Schnittstellen, die heute in Business-Jets wie der Gulfstream G700 üblich sind, erfordern eine spezielle Zertifizierung: Sie müssen immun gegen unbeabsichtigte Berührungen sein, zuverlässig mit Handschuhen arbeiten und taktile Rückmeldungen oder hörbare Bestätigungen liefern.

EASA's jüngster Special Condition für Touchscreens schreibt eine minimale Betätigungskraft und eine "tote Zone" um Bildschirmkanten vor.

Cybersecurity in vernetzten Cockpits

Da Glas-Cockpits immer vernetzter werden - Daten von Bodennetzwerken, Satellitenkommunikation, elektronischen Flugsäcken und sogar Passagier-WLAN empfangen - ist Cybersecurity zu einer obersten regulatorischen Priorität geworden. Die FAA veröffentlichte 2023 ihre Cybersecurity Roadmap für die Luftfahrt und skizzierte einen risikobasierten Ansatz. EASA gab ein erstes Lufttüchtigkeits-Sicherheits-Framework (IAS) basierend auf DO-326A/ED-202A heraus. Neue Vorschriften verlangen von Herstellern, eine Sicherheitsrisikobewertung (SRA) durchzuführen, die Bedrohungen, Schwachstellen und potenzielle Angriffsvektoren identifiziert. Sie müssen Sicherheitskontrollen implementieren, die die Wahrscheinlichkeit erfolgreicher Cyberangriffe mindern, ohne die Flugleistung zu beeinträchtigen.

Schwerpunkte sind sicheres Datenladen, verschlüsselte Kommunikationsverbindungen und die Verhinderung von Malware-Injektion durch tragbare Geräte, die mit USB-Anschlüssen im Cockpit verbunden sind.

Redundanz, Fail-Safe Features und unabhängiges Backup

Zertifizierungsstandards verlangen nun ausdrücklich, dass Glas-Cockpit-Systeme einen anmutigen Abbau bewirken. Werden die Primäranzeigen verloren, müssen unabhängige Sicherungsinstrumente ausreichende Fluglage-, Höhen-, Fluggeschwindigkeits- und Kursdaten aufweisen, um eine sichere Landung zu ermöglichen. Dies geht über das herkömmliche Sixpack-Back hinaus. Neue Vorschriften verlangen, dass Sicherungssysteme selbst frei von Einpunktausfällen bei Strom, Daten und Anzeige sind. Beispielsweise enthalten einige moderne Designs eine separate, batteriebetriebene Standby-Anzeigeeinheit, die völlig unabhängig vom Hauptanzeige-Avionikbus ist.

Die Verwendung unterschiedlicher Hard- und Software (um Gleichtaktausfälle zu vermeiden) wird gefördert, wenn auch nicht immer vorgeschrieben. Diese Redundanzanforderungen erhöhen die Entwicklungskosten, bieten jedoch ein Sicherheitsnetz, das sich als wirksam bei der Unfallverhütung erwiesen hat.

Software Assurance und Continuous Compliance

Da die Funktionalität des Glas-Cockpits zunehmend in der Software definiert wird, müssen Zertifizierungsprozesse die einzigartigen Herausforderungen der iterativen Entwicklung angehen. DO-178C führte Ziele für die Werkzeugqualifizierung, modellbasierte Entwicklung und formale Methoden ein. Neue Vorschriften gehen einen Schritt weiter, indem sie "kontinuierliche Zertifizierungskonzepte" untersuchen, die genehmigte inkrementelle Updates ermöglichen, ohne dass eine vollständige Rezertifizierung erforderlich ist. Die FAA und die EASA evaluieren derzeit Industrievorschläge für einen "Sicherheitsfall" -Ansatz, bei dem der Hersteller einen lebenden Sicherheitsfall beibehält, der die kontinuierliche Einhaltung der Anforderungen demonstriert, auch wenn sich die Software durch Over-the-Air-Updates weiterentwickelt. Dies ist für moderne Flugzeuge von entscheidender Bedeutung, die regelmäßige Upgrades von Navigationsdatenbanken, Geländemodellen und sogar neuen Betriebsfähigkeiten erhalten Die neue Anleitung betont auch die Bedeutung von Software-Integritätsstufen (DAL) für jede Funktion und erfordert die Rückverfolgbarkeit von Anforderungen über Code bis hin zum Test.

Auswirkungen auf Zertifizierungsprozesse und Hersteller

Erhöhte Strenge bei Tests und Dokumentation

Hersteller sehen sich nun mit deutlich anspruchsvolleren Zertifizierungs-Einreichungspaketen konfrontiert. Über die traditionelle Compliance-Matrix hinaus müssen sie umfassende Systemsicherheitsbewertungen, Cybersicherheitsrisikobewertungen, Berichte über die Validierung menschlicher Faktoren und Software-Erfüllungszusammenfassungen umfassen. Der Testaufwand hat sich erweitert, um groß angelegte Integrationstests, Echtzeit-Systemsimulation und Pilot-in-the-Loop-Bewertungen, die 100 Stunden für neue Anzeigeformate überschreiten, einzubeziehen. Die Regulierungsbehörden erwarten zunehmend Beweise für Robustheitstests, die das System über seinen normalen Betriebsbereich hinaus belasten. Dies kann insbesondere für kleinere Hersteller kostspielig und zeitaufwendig sein.

Neue Innovationsmöglichkeiten innerhalb eines klaren Rahmens

Die regulatorische Belastung ist zwar höher, aber die Klarheit, die durch diese Frameworks geboten wird, ermöglicht es Herstellern, mit Zuversicht Innovationen zu entwickeln. Die Kenntnis der präzisen Leistung, der HMI und der Cybersicherheitsanforderungen ermöglicht es Entwicklungsteams, Headroom in ihre Systeme zu entwerfen. Die Umstellung auf leistungsbasierte Standards bedeutet, dass neuartige Architekturen – zum Beispiel ein All-Touchscreen-Flugdeck ohne physische Tasten – genehmigt werden können, wenn der Hersteller die Gleichwertigkeit mit traditionellen Designs nachweisen kann. Unternehmen wie Garmin, Honeywell und Collins Aerospace haben diese neuen Zertifizierungspfade angenommen, um fortschrittliche Funktionen wie Sprachsteuerung, Runway Overrun Awareness Alerts (ROAAS) und KI-basierte Wettervorhersage auf den Markt zu bringen. Die klaren Regeln fördern auch den Wettbewerb, da Start-ups mit neuen Ideen den Zertifizierungspfad ohne Mehrdeutigkeit verstehen können.

Schulung und Aufrechterhaltung der Lufttüchtigkeit Überlegungen

Neue Vorschriften machen nicht Halt bei der Erstzertifizierung des Typs. Sie betreffen auch Schulungsanforderungen für Piloten und Wartungstechniker. Die FAA und EASA schreiben nun vor, dass Betreiber spezielle Schulungen für Glas-Cockpit-Funktionen wie synthetisches Sehen (SVS), verbesserte Flugsichtsysteme (EFVS) und elektronische Checklisten anbieten. Diese Schulung muss wiederholt erfolgen und Simulatorsitzungen umfassen, die Systemausfälle und komplexe Automatisierungsmodi replizieren. Auf der Wartungsseite erfordern aktualisierte Leitlinien, dass Techniker in Bezug auf Software-Ladeverfahren, Cybersicherheitshygiene (z. B. Passwortverwaltung, USB-Inspektion) und den korrekten Umgang mit sensiblen Avionik geschult werden.

Die Regulierungsbehörden fördern die Verwendung von kompetenzbasierten Schulungen anstelle von einfachen stundenbasierten Lehrplänen.

Herausforderungen bei der Umsetzung der neuen Standards

Das Tempo der technologischen Innovation

Eine ständige Herausforderung besteht darin, dass sich die Technologie schneller entwickelt als regulatorische Prozesse. Konzepte wie künstliche Intelligenz für die Wettererkennung, adaptives maschinelles Lernen für die Entscheidungsfindung von Autopiloten und quantengesicherte Cockpit-Datenverbindungen sind bereits in der aktiven Entwicklung. Bestehende Zertifizierungsstandards wurden nicht für nicht deterministische Verhaltensweisen oder Daten geschrieben, die ständig aus verschiedenen Quellen aktualisiert werden. Die Regulierungsbehörden haben Schwierigkeiten, Leitlinien zu schreiben, die spezifisch genug sind, um Sicherheit zu gewährleisten, ohne vorteilhafte Innovationen zu blockieren. Sie experimentieren mit Piloten für die „agile Zertifizierung und Sandbox-Umgebungen, in denen neuartige Systeme unter kontrollierten Bedingungen getestet werden können vor der vollständigen Zertifizierung.

Globale Divergenz und Kostenauswirkungen

Trotz Harmonisierungsbemühungen bestehen nach wie vor Unterschiede zwischen FAA, EASA und anderen Behörden (wie CAAC, ANAC oder ICAO). Ein von der FAA zertifiziertes Glas-Cockpit-System kann zusätzliche Tests oder Modifikationen erfordern, um die EASA-Zulassung zu erhalten. Diese Unterschiede erhöhen die Entwicklungskosten und verzögern den Markteintritt, insbesondere für Business-Jet-Hersteller, die weltweit verkaufen. Die neuesten regulatorischen Harmonisierungsinitiativen wie der „FAA/EASA Common Approach“ und der „ASTM F3269-18“ Standard für unbemannte Flugzeuge sind vielversprechend, haben aber noch keine vollständigen Unterschiede in Bezug auf Cybersicherheit oder menschliche Faktoren behoben. Hersteller müssen häufig mehrere Softwarevarianten entwerfen oder Funktionen enthalten, die in bestimmten Märkten deaktiviert sind, was die Komplexität erhöht.

Redundanz mit Gewicht und Kosten ausbalancieren

Das Hinzufügen unabhängiger Backup-Systeme, zusätzlicher Displays und redundanter Sensoren befriedigt die Regler, erhöht jedoch Gewicht, Verkabelung und Kosten. In einer Branche, in der jedes Kilogramm zählt, stehen Designer vor schwierigen Kompromissen. Neue Vorschriften zielen auf leistungsbasierte, aber die Standarderwartung neigt oft zu physischer Duplikation. Es besteht ein wachsendes Interesse an „virtuellen Backups, bei denen ein einzelnes Display mehrere unabhängige Funktionen hosten kann, aber die Zertifizierung der Partitionierung und Integrität solcher Software bleibt eine Herausforderung. Die Regulierungsbehörden untersuchen den Einsatz von Predictive Analytics, um die erforderliche Redundanz zu reduzieren, wenn nachgewiesene Zuverlässigkeitsdaten dies unterstützen, aber dies ist immer noch ein langfristiges Ziel.

Blick in die Zukunft: Das nächste Jahrzehnt der Glass Cockpit-Zertifizierung

Die Regulierung des Glascockpits weist auf ein integrierteres, adaptiveres und proaktiveres Zertifizierungs-Ökosystem hin. Wir können in den kommenden Jahren mit folgenden Entwicklungen rechnen:

  • AI und Machine Learning Certification Frameworks: Die Regulierungsbehörden entwickeln in Partnerschaft mit der Industrie spezifische Leitlinien für die Zertifizierung von Systemen, die maschinelles Lernen für Funktionen wie Hinderniserkennung, vorausschauende Wartung und Flughüllenschutz verwenden.
  • Echtzeit-Cybersicherheitsüberwachung: Künftige Glas-Cockpits erfordern möglicherweise eine kontinuierliche Gesundheitsüberwachung für Cyberbedrohungen mit automatischer Alarmierung für die Flugbesatzung und die Bodenunterstützung.
  • Seamless Data Integration: Regulations werden sich weiterentwickeln, um die sichere Integration von Daten aus mehreren externen Quellen (z.B. ADS-B, Satellitenwetter, Flugverkehrskontrolldaten) zu ermöglichen.
  • Lifecycle Certification: Das Konzept der “Typzertifizierung eines Systems” wird anstelle einer festen Softwareversion immer häufiger. Die Hersteller werden Zertifizierungswartungsverfahren einreichen, die regelmäßige Updates ohne ein neues Zertifizierungsprogramm für jede Änderung ermöglichen.
  • Erhöhte Einbeziehung von Piloten und Betreibern: Die Regulierungsbehörden werden wahrscheinlich umfassendere Daten aus Betriebserfahrungen und Vorfallsberichten verlangen, um die Zertifizierungsstandards zu verfeinern.

Der Weg nach vorn erfordert eine enge Zusammenarbeit zwischen Regulierungsbehörden, Herstellern, Piloten und Forschern. Das positive Ergebnis dieser Bemühungen wird eine neue Generation von Glascockpits sein, die nicht nur sicherer und zuverlässiger, sondern auch leistungsfähiger und einfacher zu bedienen sind. Während die regulatorische Belastung erheblich bleiben wird, bieten die aufkommenden Standards einen klaren, gut erforschten Rahmen, der Innovationen innerhalb einer festen Sicherheitsgrenze fördert. Da der Himmel belebter wird und Flugzeuge automatisierter werden, wird die Integrität der Glascockpit-Zertifizierung eine der wichtigsten Säulen der Luftfahrt bleiben.