翟来娟，陈世浩，闫志付

（中电科柯林斯航空电子有限公司，四川 成都 611731）

0 引言

航空宽带安全（SwiftBroadband Safety，SB-S）是国际海事卫星组织（Inmarsat）的下一代驾驶舱通信平台，为驾驶舱提供全球、高速、安全的宽带语音和数据服务，是第一个也是唯一一个用于航空运营和安全通信的全球IP 服务，是未来航空互联的发展趋势[1]。目前国外Cobham 和Honeywell 可提供SB-S 终端设备，Cobham Aviator 300D 终端设备可支持SB-S 1.0 服务，而Cobham Aviator S 系列和Honeywell Aspire 400 系列可支持安全性更强的SB-S 2.0 服务[2]。文献[3]对民航卫星通信SB-S 技术的应用前景进行了分析，文献[4]对民航SB-S 卫星系统的安装与测试进行了相关研究，然而国内目前还没有研发支持SB-S 设备的相关研究。ARINC 781 ∶Mark3Aviation Satellite Communication Systems[5]是由航空电子工程委员会制定，航空无线电通信公司（Aeronautical Radio Inc.，ARINC）发布的一项应用于Inmarsat L波段航空卫星系统的标准。本文基于国外标准的研究基础，提出了一整套用于民航的SB-S 卫星通信系统设计及设备研发方法。

1 SwiftBroadband 安全服务

1.1 SwiftBroadband 安全服务介绍

航空宽带（SwiftBroadband，SBB）是一项通过第4 代Inmarsat（I4）卫星提供的基于通用移动通信服务的宽带卫星通信服务，旨在为飞行员和机组人员提供机舱和驾驶舱服务，以及为乘客提供机上互联网接入。SB-S 对SBB 进行了安全性增强，使其满足航空安全服务要求。如图1 所示[5-8]，SB-S服务可提供两个驾驶舱安全语音通道、驾驶舱IP 优先数据服务（通过应用优先和抢占权保证安全信息不受客舱通信阻碍，安全到达驾驶舱）、未来空中导航系统（Future Air Navigation System，FANS）和飞机通信寻址和报告系统（Aircraft Communications Addressing and Reporting System，ACARS）数据服务（通过应用优先和抢占）。安全语音服务包括基于电路交换（Circuit-Switched，CS）的语音和基于分组交换（Packet-Switched，PS）服务的语音。IP数据连接服务包括标准数据连接（Standard IP）和流式数据连接（Streaming IP）。ACARS 服务包括标准ACARS（ACARS 网关支持）和增强ACARS（IP 安全虚拟专用网IPSEC VPN 支持）服务，通过IP 链路实现空—地和地—空方向传输，具有优先和抢占权。

图1 SBB 服务

1.2 SwiftBroadband 安全服务架构

如图2 所示[5-8]，SBB 系统由机载站、I4 卫星、Inmarsat 地面基础设施、通信网络提供商的地面基础设施4 个部分组成。I4 全球卫星网络提供空中、陆地和海上覆盖，卫星系统由位于世界各地的卫星地面站控制。Inmarsat 拥有并运营卫星地面基础设施，包含卫星天线和上下变频、无线电接入网络、核心网络及数据通信网络，并向通信网络提供商提供流量。通信网络提供商提供语音和ACARS 服务，并向终端用户（如导航服务商、航空公司）提供流量。

图2 SwiftBroadband 安全服务架构

SBB 安全语音和数据将通过现有的SBB 无线电接入网络和核心网络进行路由，并使用地面网络基于IP 的语音（Voice Over IP，VoIP）网关和ACARS网关功能支持安全服务[5-8]。VoIP 服务器实施VoIP协议，通过PS 域传送语音，以及处理优先级和抢占。SBB 安全服务使用ACARS 地面网关处理标准ACARS 服务消息，通过IPSEC VPN（包括地面安全网关和地面数据链网关）处理增强ACARS 服务消息，并通过数据通信网络进行分发，通信服务商接收到此消息后转发消息至终端用户。

2 民用航空卫星通信系统设计参考

如图3 所示，民用航空卫星通信系统设计可以分为系统总体设计、设备级别设计、软/硬件设计3 个级别。总体需求源自飞机制造商对卫星通信设备的需求定义、民航局规定的技术标准、行业标准，如航空电子工程委员会、航空无线电技术委员会制定的与卫星通信相关的标准。系统总体需求可以在设备级别按照不同航线可替换单元（Line-Replaceable Unit，LRU）进一步分解，最后分解为硬件和软件（部分LRU 无软件）设计，从而完成底层软硬件设计。

图3 民用航空卫星通信系统设计流程

卫星通信系统的总体设计包括架构设计需求、通信功能需求、系统控制需求、维护需求、机载安装相关需求以及流程标准相关的需求。架构设计包括卫通系统架构设计、SB-S 系统安全性需求等。功能需求包括驾驶舱和客舱功能、Inmarsat 无线电功能、产品配置功能等。维护需求包括内置测试设备需求、软件加载及本地系统维护需求。系统控制是从初始引导加载系统启动，此后控制系统可操作模式直到系统完全关闭。机载需求则要考虑到飞机的电气、机械和操作环境对卫通设备的供电、物理外形、接口互连、安装及环境要求。而流程和标准要求是指与卫通系统开发验证及认证相关的要求。

设备级别需求将系统总体需求分解到不同的LRU，可按照系统需求类型（架构、功能、机载、流程）进行分解和细化。卫通设备LRU 包括卫星数据单元（Satellite Data Unit，SDU）、卫星数据单元配置模块（SDU Configuration Module，SCM）、高功率放大器（High-Power Amplifier，HPA）、双工低噪声放大器（Diplexer/Low Noise Amplifier，DLNA）、卫星天线等。所有系统需求都要得到充分地分解，每一个系统需求可能分解到一个或者多个LRU 设备级别需求，设备级别的需求除了分解系统需求，也可以是设备本身的衍生需求。

最后对LRU 设备需求进行分解，可分解为硬件需求和/或软件需求。硬件设计在捕获了可分解至硬件层面的设备级别需求后，将这些硬件需求分解到一个或者多个硬件功能模块（可按照印制电路板（Printed Circuit Board，PCB）或现场可编程门阵列（Field-Programmable Gate Array，FPGA）进行分解）需求，并参照架构、功能、物理外形、电源、接口、环境和流程等分类进行具体的需求定义。软件设计需首先捕获需分解到软件层面的设备级别需求，其次对软件模块进行划分，并参照架构、功能、接口、流程等分类进行具体的需求定义。

3 基于ARINC 781 的系统总体设计

3.1 系统架构设计

系统配置可参考ARINC 781 第1.5 节机载航空电子设备配置，其中，在附件1-1 和1-2 分别给出了一般配置及更详细的框图。在选择配置框架时，应首先从用户需求出发决定单/双卫通系统，其次根据通道数目和带宽需求以及天线安装位置等，选择支持SBB 服务的终端天线类型，如高增益天线（High Gain Antenna，HGA）、中增益天线（Intermediate Gain Antenna IGA）、低增益天线（Low Gain Antenna，LGA），最后根据飞机安装线损要求，决定内置或外置高功率放大器。典型的单通道高带宽外置放大器卫通设备配置如图4 所示。

图4 典型卫星通信系统配置

在进行总体架构设计时，系统应实现ARINC 781 标准所述的飞机控制域（Aircraft Control Doman，ACD）、飞机信息服务域（Aircraft Information Services Domain，AISD）、乘客资讯及娱乐域（Passenger Information and Entertainment Services Domain，PIESD）域隔离，并且实现足够的安全功能，以满足ARINC-781 附件8 所要求的安全分析。附件8第3.2 节给出了ACD-AISD 域隔离机制参考架构，第5.0 节配置1 提供了ACD-PIESD 域隔离机制参考架构，可选择类似架构，但是如果实际设计偏离参考架构，应对系统执行安全性分析提供证据，证明实际设计实现了与参考架构类似的隔离和稳健性水平。为实现安全功能，系统架构重点要实现ACD、AISD、PIESD 之间的硬件隔离功能，强制实现优先级抢占及保证ACD 和AISD 通道之间的数据隔离的数据仲裁功能，并使用单独的通道卡用于所有的驾驶舱通信。特定地，通过硬逻辑禁用其他数据路径的数据加载模式。

3.2 卫星通信功能设计

卫星通信功能模块划分如图5 所示。Inmarsat无线电功能包括天线和天线控制、高功率放大器、低噪声放大器、负责直接与Inmarsat 网络进行卫星通信的SBB 调制解调器、Inmarsat 协议栈，以及ARINC 781 中第3.1.1.4 节为支持SBB 安全服务机载设备端所需实现的ACARS 网关、安全网关、数据链网关以及支持PS 语音的VoIP 服务器。

图5 典型卫星通信功能划分

系统配置功能处理来自安全用户需求表（Secure Owner Requirements Table，SORT）和用户自定义需求表（User Owner Requirements Table，UORT）文件以及来自硬件配置引脚的配置信息。ARINC 781 中第3.4.2.1 节定义了ORT 文件的存储、同步以及具体的内容列表。SORT 存储飞机配置相关参数，如果改变会影响飞机取证，UORT 存储不同航空公司的飞机定制参数不会影响飞机取证。ORT 文件主要存储在SDU 配置模块SCM 中，并且需要作为飞机的一部分取证，同时也可通过加载软件上传至SDU。SDU配置模块SCM 应符合ARINC 781 第1.6.2 节、第2.2.3节、附件1 第1.6 节、附件7 第2.2.2 节中的要求。

驾驶舱功能包括提供人机界面的驾驶员面板、驾驶舱语音、驾驶舱数据。驾驶舱语音系统功能支持SBB 空—地双向安全语音，并提供与驾驶舱音频管理系统或音频控制面板的音频接口。空地语音通话服务需提供呼叫控制和呼叫显示功能，并允许不同优先级通话设置以及高优先级通话抢占。更具体的语音服务功能参考ARINC 781 第3.2.1 节和FAA AC 20-150。驾驶舱数据包括ACARS 数据和非空中交通相关的驾驶舱数据（电子飞行包EFB）。ACARS 数据功能提供与ACARS 通信管理设备（Communications Management Unit，CMU）的数据通信，SDU 和CMU 的通信操作参考ARINC 741 P2。EFB 数据相对于ACARS 安全数据优先级较低，在架构设计时需要进行物理上的隔离。EFB数据接口需求参考FAA AC 20-173。客舱功能主要是指通过以太网接入的客舱乘客信息和娱乐系统。SDU 通过基于以太网的点对点协议（Point-to-Point Protocol over Ethernet，PPPoE）接口为客舱设备提供与Inmarsat 网络之间的数据连接，接口定义应符合ARINC 781 第3.2.4 节中的要求。

3.3 系统维护设计

内置测试设备（Built-In Test Equipment，BITE）负责处理与系统状态和监视相关的维护功能，包括用于故障隔离记录和通知的BITE 架构、BITE功能、BITE 存储。BIET 架构定义参考ARINC 604和ARINC 624。BITE 功能包括开机自检（Power On Self-Test，POST）、用户启动自检（Person Activated Self-Test，PAST）和连续扫描监视显示（Continues Monitor，CM）。BITE 存储功能负责将所有报告的POST、PAST、CM 时间存储在非易失性存储器中。BITE系统功能与飞机的集中故障显示接口单元相连。BITE 的设计符合性参考ARINC 781-7 第2.10.3 节。

数据加载功能实现使用ARINC 615/615A 加载软件，通过ARINC 429 或以太网接口处理操作软件和ORT 文件的上传。数据加载功能的实施参考ARINC 615，数据加载的安全性应符合ARINC 781-7 种附件第8 节2.0（第6 项）和3.2.8。

本地系统维护功能通过使用USB 或者以太网接口处理卫通系统的本地维护，负责记录在维护模式下的故障排除记录、安全相关日志、BITE 数据、天线相关事件。本地维护功能接口应在正常操作模式下被禁用。

3.4 基本系统控制

基本系统控制负责处理系统执行环境相关的功能，包括引导系统启动，控制系统状态切换，直到关闭。系统状态包括操作模式、软件加载、系统维护、无源互调（Passive Intermodulation，PIM）内置测试模式、系统重启模式以及重大故障模式。系统状态切换如图6 所示。

图6 系统状态机

3.5 机载安装需求

机载安装需求与飞机的电气、机械和操作环境有关，包括接口互连、电源供电和环境要求。

卫星通信系统的接口互连定义参考ARINC 781-7 附件1 的1.3 标准互连章节，该章节定义了SDU 每个引脚对应的信号名字、类型及互连引脚。SDU 应由与115 V AC（400 Hz）单相类型连接的电源信号供电，SCM 由SDU 提供8～15 V 的供电，HPA、DLNA 和天线均需要115 V AC 供电。ARINC 781 第2.5.1 和2.5.2 节定义了主电源输入和电源控制电路要求。系统内部接口包括用于Inmarsat 无线电通信的射频信号、用于卫通系统内部天线控制和BITE 数据传输的ARINC 429 信号、与SCM 通信的串口信号、用于系统配置离散信号等。系统供电信号和内部信号接口参考图4。外部信号接口参考图7。

图7 卫通系统外部接口

外部接口包括用于与多功能控制和显示单元（Multi-Purpose Control Display Unit，MCDU）、惯导系统（Inertia Reference System，IRS）、通信管理系统CMU 和集中式故障显示系统（Central Fault and Diagnostics System，CFDS）、数据加载Data load 等接口通信的ARINC 429 信号，用于驾驶舱ACARS、EFB 和客舱乘客娱乐和信息系统PIESD通信、数据加载等用途的以太网信号，与音频管理系统（Audio Management System，AMS）接口的模拟音频信号，以及飞机是否在地面（Weight on Wheels，WOW）的离散信号。

SDU、SCM、HPA、DLNA、HGA 连接器的设计应符合ARINC 781 第2.2.1.2节和附件1.5、第2.2.3.2节和附件1.6A、附件1.7、第2.2.4.6 节和附件1.8、第2.3.2.2 节和附件1.12 节对连接器的外形及引脚定义。ARINC 781 给出了卫通系统使用的射频线缆的损耗要求，设备制造商在研制线缆时需满足标准。

机载环境要求包括高低温环境操作、飞行中散热需求、压力、易燃性、湿度、冲击、振动、加速、防爆、防水、流体敏感性、沙尘、抗真菌、磁效应、电源电压、RF 信号、闪电、防静电等。ARINC 781第2.7 节定义航空电子设备应满足标准EUROCAE ED-14E/RTCA DO-160E 机载设备环境条件和测试程序（或更新版本）中规定的机载设备环境条件和测试要求，以及机身制造商规定的特定环境需求。

3.6 流程及标准

系统设计需定义系统需要遵循的标准和流程，以确保设备能够获得批准并满足客户的流程要求。流程和标准需求包括系统开发流程、系统设计规范、硬件开发流程、软件开发流程、航空信息安全保证标准、适航认证、无线电设备型式验收、卫星系统接入批准。需符合的标准参考表1[8-11]。航空电子设备制造商和服务提供商应制定每次尝试订阅相关标准和规范，以提供最高程度的系统和服务的通用性。

表1 卫星通信系统设计流程/标准

4 设备及软硬件设计

4.1 系统功能分配

设备级别设计需完成各子系统部件的需求定义，展示设备级别需求与系统级别需求的追溯性。各子系统设备分配的系统功能如表2。

表2 卫星通信系统功能分解

设备级别需求需分配至硬件和软件需求，以完成具体的底层软硬件设计和开发。硬件和软件分别按照DO-254 和DO-178C 标准进行开发。

4.2 硬件设计概要

根据设备功能的复杂程度，可将硬件功能分配至一个或多个电路板进行实现，然后针对每个电路板分别定义板级需求。根据板级需求进行电路板架构设计，可将电路板细分为电路板组件、片上系统、FPGA 设备以及COTS 硬件。板级需求可垂直追溯至设备级别需求。在这里不再赘述硬件设计流程和方法，以卫通设备核心数据单元SDU 为例，简要阐述根据上层需求进行的硬件板卡或功能划分。

SDU 设备硬件可划分为电源板、接口板及核心处理器板。SDU 硬件板模块分解如图8 所示。

图8 卫星数据处理单元硬件板模块分解

电源板负责将连接到SDU 的外部电源转换为内部电源总线，并为卫通系统其他设备单元提供电源。接口板负责将连接器的引脚与核心处理板连接起来，提供电路保护和电磁干扰抑制功能。而核心处理板则是SDU 软件的运行载体，负责实现SDU 的主要硬件功能。根据系统架构及SB-S 安全需求所需实现的物理隔离和数据仲裁要求，将核心处理板划分为射频RF 模块、驾驶舱无线电模块FPGA、客舱无线电模块FPGA、ACD 片上系统、AISD 片上系统、PIESD 片上系统以及用于分离和仲裁的ACD 和AISD数据，以保证安全的数据隔离仲裁FPGA。

4.3 软件设计概要

软件设计的目的是确定为研制组成卫星通信系统各子系统设备所需要实现的软件高级需求。对于卫星系统来说，涉及软件实现的单元有SDU、HPA以及高增益天线HGA。本文不再赘述具体的软件设计流程和方法，以SDU 为例探讨软件模块的分解。

根据设备分解到的系统功能，分解到SDU 软件的系统功能包括Inmarsat 卫星无线电通信功能、产品配置、驾驶舱语音、ACARS、客舱数据、用户接口、系统架构、系统状态控制、SB-S 安全性设计要求等，结合硬件设计的模块划分可将SDU 软件按照硬件模块划分至ACD、AISD、PIESD、驾驶舱和客舱无线电模块，并进一步细分为不同的软件功能，如图9 所示。

图9 卫星数据处理单元软件模块分解

5 结语

Inmarsat SB-S 是第一个也是唯一一个用于民用航空运营和安全通信的全球、安全的网络连接服务。SB-S 平台是一项重大的技术变革，可满足数字时代的航空需求、民用航空的通信网络安全需求，并在未来的航空运输系统发挥重大的作用。本文概述了SB-S 通信网络服务及架构，并提供了一整套基于ARINC 781 标准的SB-S 卫星通信设备的设计方法。目前国内民用飞机还是首次引入SB-S 卫星通信设备，还缺乏支持SB-S 服务的卫星通信设备的设计和制造商，因此本文提供的设计方法和探讨对国内民用航空SB-S 卫星通信系统的使用和SB-S 设备的设计开发具有重要意义。