让安全论证落到实处

地面风险与空中风险

配送飞行中有两种主要风险，而且无法靠同一个装置来消除。地面风险是指航空器、它的部件或包裹撞击人员、车辆或关键设施所造成的伤害。它随着人数、在人群上空停留的时间、机器的能量以及故障失控的概率而增大。空中风险是指与另一架航空器相撞，无论对方有人驾驶还是无人驾驶。它在机场附近、直升机航线沿线以及任何已有目视飞行交通的低空走廊中都会增大。降落伞对空中相撞毫无作用。如果航空器仍然完好且高速地落入某人的花园，协同式无线电设备对园中那个人也帮不上什么忙。

对运行的描述必须具体到足以同时思考这两种风险。“我们会在城市里飞”不是描述。高度、速度、质量、按时段划分的航线下方人员、现有的遮蔽物、备降点在哪里、还有谁在使用这片空域——这些才是描述。减少暴露的缓解措施（例如沿水面飞行或在街道空无一人时飞行），不同于减轻撞击伤害的措施，也不同于降低故障概率的措施。给航空器贴上一个标签而航线不变，等于什么都没做。请用非工程人员也能据理争辩的平实语言写下剩余风险。

关于将无人机派入人员无法进入的空间，请参阅检测指南中的在缺氧或有毒空间中飞行无人机。

故障安全，以及为什么降落伞还不够

故障安全是针对特定故障所定义的特定行为，并且经过了测试。动力丧失、导航丧失、指令链路丢失、电池故障和失控的操纵输入，并不都需要同一种响应。其中一种应当以立即降落在事先为此勘察过的场地告终；另一种应当以返航告终；还有一种应当以关闭电机告终，以免一架仍在运转的航空器在屋顶上游走。错误的预编程响应本身就是一种危险。手册要写明谁可以手动接管，以及在链路已不再可信时为何禁止接管。“希望”不属于任何一种模式。

降落伞是结束飞行的一种方式。它不是通用的防护盾，公开记录已经说明了原因。瑞士邮政关于 Matternet 运行的专家报告描述了 2019 年在苏黎世发生的两起事件。1 月 25 日，GPS 信号丢失导致飞行终止系统打开降落伞，航空器落入湖中。5 月 9 日，同一类系统再次触发，伞绳断裂，航空器在距儿童很近的地方失控坠地。项目随即暂停。伞衣可能被自己的航空器割断，可能飘出预定区域，而且一旦打开，飞手就失去了操控能力。能量、下降速率以及下方是什么，依然要算在内。

在任何航空器功能之前，首先是人的程序。学习飞行前检查顺序与紧急情况的首要处置（Tobira，日语）是一篇入门课程。

地理围栏、链路丢失与人群上空飞行

地理围栏可以把一架健康、导航正常的航空器限制在某个空域范围内。它无法约束一台已经丢失位置的机器，也无法阻止降落伞飘出多边形之外。请把它当作核对预定航线是否已加载的检查，以及一道程序性屏障，而不是第三方安全的证明。要测试边界行为。把围栏仅当作飞手屏幕上一条线并直接穿越的航空器，等于没有围栏。因多边形恰好在路中央结束而停在路中央的航空器，有了围栏，也多了一个新的地面危险。多边形是航线设计的一部分，不是航线画好之后贴上去的贴纸。

链路丢失需要一种有时限的行为，并与您实际所处的空域相匹配。在路口上空悬停直到电池耗尽，不是保守的选择。穿过直升机进近航线返航，同样不保守。超时时间、路径和降落场地要在起飞前简报清楚，其形式要让一位没有参加过销售会议的飞手也能照着飞。把航线置于人群上空的决定，与上述所有工具无关。那是一项判断：在这架航空器、这一天、这种人口密度下，剩余风险对责任经理而言是可以接受的。只有在航空器健康时才起作用的工具，不构成接受飞越人群的理由。如果您只分析了健康状态，那您就还没有分析故障。

链路中断或位置丢失时应提前决定的事项，见监控与故障响应：为失去掌控的那一刻做准备（Airffic Flight Institute）。

运行方应就链路丢失或位置丢失提前决定的事项，见运营人如何为位置或链路丢失做准备（Airffic Flight Institute）。航空器功能与运行决策是相互独立的层面。

在天线和带电线路附近保持链路的方法，见检测指南中的在强电磁场附近飞行无人机。

安全论证：程序与设计分开

安全论证是一套带证据的论述，说明该运行对于所申请的批准而言足够安全。一个可用的结构其实很普通：描述运行及其边界；识别对地面人员和其他航空器的危险；列出缓解措施，并说明每一项是在航空器中、在程序中，还是在环境中实现的；说明剩余风险，并指明接受该风险的人；附上正常、非正常和紧急作业的手册，以及培训、近期经历、维护、构型控制、气象限制、货物限制和事件报告方式。证据是测试、分析和在役历史。航空器的效果图不是证据，排除了恶劣天气的飞行次数统计也不是。

即使同一家公司既做设计又做运行，也要把航空器设计与运行程序分列在两栏。设计方面的主张，例如冗余、降落伞、终止系统或围栏约束，必须对实际维护状态下的航空器成立，而不只是对申请书中的原型机成立。程序方面的主张，例如清空的起降坪、受过训练的接收人、风速限制，以及有权中止飞行的人员，必须在普通班次中成立，而不只是在制造商在场观看的演示日成立。坚固的航空器修补不了医院交接的混乱；谨慎的交接也修补不了人群上空未经测试的故障。批准文件应当同时写明两栏，审计也应当两栏都抽查。如果只查了一栏，就请如实说明。

程序并不因为写在纸上就算经过验证。它必须在某个下方无人的地方反复演练。Airffic Training Hyperspace勾画了这类练习场与试验场按小时出租的设想。其当前的场地列表、可用时段和价格均为示例（日语）。

要每次都按同样的顺序执行同样的程序，可使用把程序变成模板的检查清单。