航空国产替代研究报告06_核心系统PMA

航空国产替代研究报告06_核心系统PMA_系统安全与验证

航空国产替代研究报告 06

一只阀门，为什么不能只按阀门来取证？

——当国产PMA进入液压、气动与核心系统：第三梯队真正的门槛，是系统安全而不是零件制造

封面实景｜机坪液压阀组件检查。U.S. Air Force官方公开照片；本公开版未使用用户研究材料原图。

核心判断：第三梯队PMA真正要证明的，不只是“零件等同”，而是“系统行为在正常、边界和故障状态下仍然受控”。

导语｜一只阀门，为什么会把整个飞机系统拉进来？

核心系统PMA真正变难，不是因为零件更贵，而是失效后果的“责任半径”突然扩大。

一只液压调节阀摆在试验台上。尺寸合格，材料合格，耐压合格，额定流量也合格。按照普通工业品的逻辑，它似乎已经“做出来了”。但对运输类飞机而言，真正困难的问题才刚开始：它在-40℃时会不会变慢？被微小污染物卡住时会停在哪个位置？压力突然波动时会不会迟滞？失效以后，系统能不能隔离？机组有没有告警？另一条冗余通路是否真的独立？

这就是国产PMA从“客舱件时代”向液压、气动、环控、燃油、作动控制等核心系统继续深入后，最容易被低估的变化：工程对象已经不再只是一个零件，而是零件承担的功能、与周边系统的接口，以及失效以后在飞机上的后果。

用户提供的行业材料把PMA应用分成三个梯队：客舱非关键件占比超过80%，机体结构件约15%，核心系统部件不足5%；同一材料又把“737 ACM国产替代”列为“关键核心部件探索”。材料没有披露该ACM项目的取证状态和验证结论，因此本文不把它包装成已完成案例，而把它视为一个非常清晰的产业信号：国产替代正在开始触及“系统责任”。

原创研究图｜本文绘制

如果说客舱PMA主要回答“这个件能不能安全替代”，那么第三梯队开始回答的是：“这个替代件在真实系统中失效时，飞机是否仍然安全、可控、可维护？”

01｜先把法规坐标系校准：现在讨论PMA，首先要看CCAR-21-R5

重新生成这一篇，我首先修正一个容易被忽略的时间点：当前有效版本已经是CCAR-21-R5。

中国民航局官网显示，交通运输部令2024年第5号对《民用航空产品和零部件合格审定规定》进行了修改，CCAR-21-R5自2024年4月1日起施行。现行PMA合格审定程序AP-21-AA-2020-13，民航局网站仍标注为“有效”。

CCAR-21-R5第21.303条要求PMA申请提交拟装产品、生产设施、构型图纸和规范、确定结构强度所需的尺寸/材料/工艺，以及表明设计符合拟装航空产品适用规章的必要试验和计算报告；现行条文还要求申请人建立设计保证系统和质量系统。换句话说，PMA从来不是“逆向测绘+加工”这么简单。

对于核心系统件，这条要求会自然向外扩展：如果零件的安全性取决于响应时间、系统接口、失效位置、冗余隔离或环境边界，那么这些内容就会成为证明“设计符合拟装产品适航要求”的一部分。

PMA的法规对象虽然是“零部件”，但符合性判断始终指向“拟安装该零部件的民用航空产品”。第三梯队最重要的变化，是这个关联开始变得无法忽略。

02｜一只阀门到底有多少种“坏法”？

制造质量只告诉你“做得对不对”；系统安全首先要问“坏了以后会怎样”。

传统制造思维喜欢把产品分成“合格/不合格”。系统安全思维更麻烦：同一只阀门可能卡在开位、卡在关位、响应变慢、内泄漏、外泄漏、产生迟滞、在低温下漂移，或者对污染高度敏感而出现间歇卡滞。它们都可能在工厂终检中表现正常，却在真实任务条件下产生完全不同的后果。

FAA现行AC 25.1309-1B（2024年发布，当前Active）强调的是设备、系统与安装状态的安全分析，并把Failure Condition按照对飞机、乘员和机组的后果进行分级。它不是中国PMA项目的直接合规文件，但它提供了非常成熟的系统安全方法：先识别功能和失效后果，再决定需要什么设计保证和验证强度。

因此，核心系统PMA最应该避免的一句话就是：“原件能做到这个流量，我们也能。”真正的问题应该是：“在所有适用边界条件和合理可预见的失效模式下，我们的功能与失效行为是否仍然满足系统安全目标？”

原创研究图｜本文绘制

失效模式	系统层可能看到的现象	验证重点
卡在开位	无法隔离、持续供压/供气	默认状态、隔离、告警
卡在关位	功能丧失或流量中断	冗余、备用路径、机组处置
响应变慢	控制滞后、动态误差	瞬态响应、温度/黏度、迟滞
内泄漏	效率下降、压力/温度漂移	泄漏随温度/磨损的变化
污染卡滞	间歇故障、NFF、重复拆换	污染敏感性、清洁度、颗粒容限

03｜Flight 427给出的真正教训：正常性能相同，不代表故障语义相同

这里引用的是非PMA历史事故，只用于解释系统安全方法，不用于评价PMA件的安全性。

1994年USAir Flight 427的B737事故，是系统安全领域绕不开的历史案例。NTSB最终认定，飞机失控最可能源于方向舵动力控制组件（PCU）主伺服阀的特定卡滞和滑阀过行程，使方向舵向与飞行员指令相反的方向偏转。

这个案例最震撼的地方，不在于“阀坏了”，而在于失效模式与系统架构的耦合：一个看似局部的内部机械状态，可能改变控制方向、冗余假设和飞行员可恢复性。NTSB后续安全研究还指出，该双同心伺服阀的冗余并不像原先想象的那样可靠。

对核心系统PMA项目而言，这个案例带来的方法论提醒是：不能只用正常工作点做“等同性”。如果目标件承担控制、隔离、能量调节或安全保护功能，就必须明确其失效语义——失效时停在哪里、朝哪个方向、是否被监测、是否可隔离、是否会与其他故障组合。

原创研究图｜本文绘制

“性能一样”与“安全行为一样”不是同一个命题。第三梯队真正贵的，往往是把异常状态证明清楚。

04｜FHA、FMEA、FTA不是“为了写文件”，而是为了提前决定试什么

核心系统PMA最聪明的项目，通常在画第一张详细图纸前，就已经把Failure Condition讨论过一轮。

FHA（功能危险性评估）回答“这个功能丢失、错误或非预期动作会造成什么后果”；FMEA回答“内部哪些失效模式可能导致这些后果”；FTA从上层不希望发生的事件向下追溯组合原因。三者并不是审定文件的堆砌，而是一套决定设计和试验边界的方法。

FAA的AC 20-174目前仍为Active，它认可SAE ARP4754A作为民用飞机与系统开发保证的一种可接受方法，强调从飞机运行环境和功能出发，进行需求验证、设计实现验证和过程保证。对于真正涉及软件或复杂机载电子硬件的方案，AC 20-115D与AC 20-152A分别给出DO-178C和复杂电子硬件开发保证的认可路径。

这里必须划清边界：不是所有机械PMA件都要做完整ARP4754A流程，更不是所有阀门都要套DO-178C/DO-254。本文借鉴的是一个更基础的原则——安全后果越严重，开发、独立验证、配置控制和证据完整性越要相应加强。

原创研究图｜本文绘制

05｜液压件的难点：压力和流量合格，为什么仍可能不够？

液压系统把机械、流体、材料、污染控制、动态响应和维护工艺绑在一起。

公开实景｜液压试验台：进入第三梯队后，动态/边界测试往往比加工设备更决定能力上限。图片：U.S. Air Force，官方公开照片。

对液压泵、作动筒、调压阀、隔离阀、伺服阀和制动/转向相关附件，额定压力和额定流量往往只是最容易完成的一组试验。真正把项目拉开差距的是动态特性：启动瞬态、压力脉动、内外泄漏、摩擦与迟滞、温度-黏度耦合、密封膨胀、污染敏感度、耐久磨损以及失效后的默认位置。

这也是为什么MRO数据特别值钱。Shop Finding可能告诉你真实失效集中在阀芯污染、密封老化、表面磨损、弹簧漂移还是连接松动；ATE/Test Stand的Step-level数据则可以说明故障发生在哪个边界条件。没有这些数据，制造企业很容易把大量资源花在“证明正常”，却没有证明“为什么会坏”。

FAA关于发动机/APU复杂和关键PMA件的AC 33-8给出了一个很值得借鉴的思路：依据潜在失效后果和复杂度调整substantiation，并强调复杂/关键件应尽早与审定机构讨论试验和符合性计划，同时建立Continued Operational Safety（COS）考虑。它不是液压阀的通用法规，但很好地说明了风险越高、证据越应前移。

06｜气动与引气：高温、高压、泄漏和“失效方向”同时存在

气动系统特别容易让人产生错觉：无非就是空气和阀门。实际上它的边界环境常常比液压更残酷。

公开实景｜电气与环境系统培训中拆装备用引气阀。图片：U.S. Air Force，官方公开照片。

引气调节、隔离、止回、温度控制类阀门同时面对高温气体、压力变化、阀门动作、密封老化和下游热负荷。一只备份引气阀，如果开启/关闭逻辑、响应时间或泄漏水平发生变化，影响的可能不只是一个局部管路，而是空调、增压、防冰或机组环境。

所以取证思路要从“最大压力不爆”扩展到：冷态/热态动作、循环寿命、失效位置、位置反馈、热浸后动作、泄漏趋势、上游/下游压力扰动，以及对下游系统保护逻辑的影响。

在这一层，接口控制文件的重要性明显上升。机械接口、管路接口、流量/压力接口、传感器/开关接口、环境接口和维修接口，任何一个版本没有冻结，都可能让后面的台架数据失去代表性。

07｜ACM为什么是一个很好的“深水区样本”？

样本材料只把“737 ACM国产替代”列为探索方向；公开信息并不足以说明整机ACM已经完成PMA取证。

公开实景｜KC-135环境控制系统ACM维护。图片：U.S. Air Force，官方公开照片。

ACM（Air Cycle Machine）看起来像一个机械组件，但实际上把高速旋转机械、热力循环、轴承/密封、热交换、超速/过温保护、振动、气动接口和Pack系统控制串在一起。越接近完整ACM，工程问题越不像一个“零件替代”。

CAAC公开的历史PMA目录提供了一个很有价值的产业观察：目录中曾列示热交换器芯体、ACM喷嘴环、电子舱通风空气过滤器、高压级调节器零件等PMA项目。这里的意义不是说“完整ACM已经国产”，而是说明国内PMA曾沿着子件边界逐步进入环控/气动系统。

这恰好提示一种更理性的路线：先从功能边界相对清晰、试验资源可获得、失效后果可隔离的子件建立材料、工艺、试验和持续适航资产，再逐步向完整组件扩大系统责任。

原创研究图｜本文绘制

08｜真正昂贵的设备，可能不是五轴机床，而是能“制造故障”的试验台

第三梯队的验证重点，会从“测性能”升级成“把真实边界和失效状态重现出来”。

公开实景｜液压附件分解维修。深修现场的失效信息，是设计验证最宝贵的反向输入之一。图片：U.S. Air Force，官方公开照片。

一套能够支持核心系统PMA的试验平台，通常要覆盖的不只是额定点，还要覆盖温度、压力、流量、供压波动、负载变化、泄漏、污染、异常输入、失效状态、传感器误差和控制边界。核心目标不是把试验做多，而是证明关键Failure Mode都被看见。

这也是为什么Golden Unit、台架相关性、测量不确定度、校准、TPS/软件版本和完整Test Trace如此重要。一个台架如果只能给最终PASS/FAIL，却无法回放中间响应，就很难支撑复杂失效机理分析。

对企业老板来说，这会直接改变投资模型：第三梯队项目的CAPEX不能只算模具、机加工和检验设备，还要算动态台架、环境资源、故障注入、系统Rig、软件/数据采集、校准以及长期维护。

原创研究图｜本文绘制

09｜MRO为什么可能是核心系统PMA最重要的“产品实验室”？

研发企业看到图纸，MRO看到失效；两者不连起来，第三梯队会反复交学费。

公开实景｜作动器维修与诊断现场。维修数据应反向进入设计、试验和持续适航。图片：U.S. Air Force，官方公开照片。

PMA制造企业最容易拿到的是样品和设计输入，最难拿到的是长期失效分布。MRO恰好相反：它每天面对真实拆换、Shop Finding、NFF、重复故障、材料消耗和台架曲线，却未必拥有重新设计和取证的组织能力。

所以核心系统PMA最有价值的组织形态，往往不是“制造企业做完了再找航司试装”，而是航司/MRO在项目早期提供失效模式、可靠性和维修经济性，制造企业把这些数据变成设计要求，ATE/试验团队把它变成可重复的验证场景，适航团队把整个过程变成可审查证据。

这也解释了为什么上一篇PSU联合开发的组织模式到了第三梯队反而更重要：系统责任越大，任何一方单打独斗越容易漏掉关键边界。

10｜不是“越核心越值得做”：第三梯队需要自己的机会地图

高价值不等于高优先级。真正好的起步项目，必须同时满足需求、边界、验证和规模化。

从产业节奏看，第三梯队最危险的冲动是直接挑战飞控、发动机控制或制动控制中的高后果核心控制件。市场价格高，并不能抵消数据、试验、系统安全和客户接受的巨大门槛。

更现实的路径通常是：先从过滤/换热/流体内部件、边界清晰的被动机械子件切入；随后进入完整被动阀、调节件；再进入泵、作动器和动态控制更强的组件；最后才讨论高后果伺服/控制件。每上一级，都必须让前一级积累的材料、工艺、试验、接口、供应链和持续适航数据可以复用。

这不是保守，而是产业化纪律。PMA企业最重要的能力，不是一次攻下最难的件，而是让第二个产品比第一个更快、更便宜、更可预测。

原创研究图｜本文绘制

项目特征	更适合先切入	需要非常谨慎
系统边界	接口清晰、故障可隔离	强耦合、多系统联动
失效后果	可监测、可降级、可替代	高后果控制/单点敏感
试验资源	台架可获得、可做边界试验	需大规模系统Rig/飞行验证
运行数据	拆换/Shop Finding充分	失效样本极少、机理不清
复制潜力	同族多PN可共用平台	单件市场小且每件重新开发

11｜十道Gate：最贵的失败，应该发生在纸面上，而不是发生在第18个月

越复杂的PMA项目，越需要允许项目“暂停、补证据甚至退出”。

本文建议把核心系统PMA拆成十道Gate：G0运营痛点成立；G1 Intended Function和安装适用性成立；G2初步Failure Condition和安全后果成立；G3接口/构型冻结；G4主要Failure Mode及关键特性可识别；G5设计/制造过程可受控；G6动态/环境台架覆盖充分；G7故障注入与异常状态验证；G8系统/飞机集成和维修保障成立；G9受控装机与持续适航闭环成立。

这不是局方审定流程替代，而是企业内部治理方法。它最有价值的作用，是让团队在证据不足时敢于说“现在不该往下走”。对高投入项目而言，尽早终止一个边界不成立的项目，本身就是成功。

原创研究图｜本文绘制

一个值得写进董事会项目章程的原则：任何Gate都允许“补证据后再来”，但不能因为已经投入很多钱就自动进入下一阶段。

12｜监管真正关心的不是“国产还是进口”，而是证据能不能站得住

对行业而言，最值得建设的是公共证据基础设施，而不是降低安全门槛。

当国产替代进入核心系统后，行业会遇到一些重复出现的问题：接口基线怎么形成？非OEM试验台怎样证明相关性？产品族哪些证据可以合理复用？运行可靠性和Shop Finding怎样反馈给设计持有人？供应商变化怎样触发重新评估？

这些问题都不适合用“支持国产化”四个字简单回答。更有价值的方向，是形成标准化的接口/构型模板、失效分类语言、试验相关性方法、可靠性数据字段、受控试用机制和产品族证据复用规则。这样做的目标不是少做必要试验，而是少做无价值的重复试错。

对监管者而言，真正可持续的第二供应源，应该是能够自我监测、自我纠偏、主动报告并持续保持设计和生产一致性的工程组织，而不是只在获证时“过一次关”。

国产替代如果要走进核心系统，最有说服力的不是“国产率”，而是证据质量、运行数据和问题闭环速度。

13｜一个更现实的24个月示范路线

先做一个边界清晰的产品族闭环，再扩大系统责任。

0-3个月：从真实送修/采购数据筛选产品族，完成运营痛点、系统功能、初步安全后果、接口资料和试验资源盘点。

3-6个月：冻结Intended Function、安装接口、构型和初步FHA，提前定义动态台架与故障试验，而不是等样件出来以后再找设备。

6-12个月：完成样件、材料/过程验证、动态边界试验、环境和主要Failure Mode验证；同时建立供应商变更和配置管理。

12-18个月：进入系统Rig/客户技术接受、维修性验证和受控装机准备。把培训、维修文件、ATE、备件和故障数据采集一起设计进去。

18-24个月：用早期运行数据验证可靠性、重复拆换、NFF和Shop Finding，决定是否放大机队覆盖，并复制相邻PN。

原创研究图｜本文绘制

14｜给企业领导的一张看板：别再只看“拿证数量”

核心系统PMA的成熟度，应该用证据和运行结果来管理。

对于第三梯队项目，建议管理层至少长期盯住八项指标：系统边界完整率、关键Failure Mode覆盖、动态台架覆盖、NFF/重复拆换、First Pass Yield、MTBUR/早期拆换、证据复用率、关键供应商/特殊工艺变更暴露。

如果企业只统计“今年获证几项、国产化金额多少”，很容易在项目数量快速增加之后才发现：台架不够、接口版本失控、Shop Finding回不来、供应商变更没有触发评估，真正的系统风险反而积累在后台。

第三梯队最值得追求的不是“敢碰核心系统”，而是形成一种能力：对每一个新PN，都能迅速说明它承担什么功能、坏了会怎样、证据在哪里、哪些资产可以复用、装机以后谁继续盯。

原创研究图｜本文绘制

结语｜真正的分水岭，是从“零件国产化”走向“系统责任国产化”

越往核心系统走，越不能把国产替代理解成制造能力竞赛。

从客舱件到结构件，再到液压、气动、环控和更复杂控制件，国产PMA真正增加的不是加工难度，而是“责任范围”。一个零件的异常会不会传到整个系统？系统有没有隔离？飞机级后果是什么？试验能不能重现？维修能不能发现？运行数据能不能及时反馈？这些问题共同决定了第三梯队有没有资格规模化。

因此，国产PMA进入核心系统以后，最重要的资产会从机床、模具和图纸，逐渐扩展到FHA/FMEA/FTA方法、接口数据库、动态台架、故障注入能力、MRO失效数据、配置管理和持续适航体系。

真正成熟的第二供应链，不是“我们也能造一只阀门”，而是“我们已经知道这只阀门在整个飞机里承担什么责任，并且能用可审查、可重复、可持续的数据证明它”。

下一篇主线仍然不变：PMA装上飞机以后，项目才真正开始。持续适航要怎样从SN/批次追踪、30/90/180天早期监控，一直走到不安全状态识别、设计变更和运行数据闭环。

附录｜核心系统PMA预评估包：第三方项目诊断可以从哪里开始？

如果企业手里已经有一批液压、气动、环控、机电或航电子件需求，最有效的第一步通常不是马上做样件，而是先做一轮“系统责任预评估”。建议至少整理以下输入：

Top PN及年采购/送修支出、AOG和长交期暴露；
Intended Function、安装位置、适用机型/构型和飞行阶段；
初步Failure Condition、冗余/隔离、系统依赖关系；
机械/流体/电气/软件/环境/维修接口基线；
历史拆换、Shop Finding、NFF、Warranty Return、MTBUR；
现有试验台、Golden Unit、动态/环境/故障注入能力；
关键材料、特殊工艺、供应商变化与批产一致性；
PMA路径、客户接受、租赁/PBH/OEM协议等商业边界；
受控装机与30/90/180天早期监控方案；
从第一PN向同族件复制的证据复用计划。

资料来源与核验边界

资料A｜用户提供《国产替代探索与研究》（2026-08）：用于“300项急需清单”、PMA三梯队结构及“737 ACM关键核心部件探索”等事实。原始页面标注“严禁商用”，本公开版未使用其中现场图片。
中国民用航空局｜CCAR-21-R5《民用航空产品和零部件合格审定规定》，交通运输部令2024年第5号，自2024-04-01施行。https://www.caac.gov.cn/XXGK/XXGK/MHGZ/202403/t20240313_223201.html
中国民用航空局｜AP-21-AA-2020-13《零部件制造人批准书合格审定程序》，官网当前标注“有效”。https://www.caac.gov.cn/XXGK/XXGK/GFXWJ/202008/t20200803_203918.html
FAA｜AC 25.1309-1B System Design and Analysis，Active，2024-08-30。https://www.faa.gov/regulations_policies/advisory_circulars/index.cfm/go/document.information/documentID/1043037
FAA｜AC 20-174 Development of Civil Aircraft and Systems，Active；认可ARP4754A作为可接受的开发保证方法。https://www.faa.gov/airports/resources/advisory_circulars/index.cfm/go/document.information/documentNumber/20-174
FAA｜AC 20-115D / AC 20-152A：分别用于软件与复杂机载电子硬件的开发保证说明；本文未将其机械套用到所有PMA件。
FAA｜AC 33-8：复杂/关键涡轮发动机与APU PMA件的试验与计算、关键度和Continued Operational Safety指导。https://www.faa.gov/regulations_policies/advisory_circulars/index.cfm/go/document.information/documentID/99620
NTSB｜USAir Flight 427相关最终报告与安全研究。该案例是非PMA历史案例，仅用于解释系统失效与冗余问题。https://www.ntsb.gov/investigations/Pages/DCA94MA076.aspx
CAAC｜《已获批准的民用航空产品和零部件目录》历史目录：曾列示热交换器芯体、ACM喷嘴环、电子舱通风空气过滤器、高压级调节器零件等PMA项目；本文不把历史有效期表述为当前证书状态。
图片来源｜U.S. Air Force官方页面/Defense Visual Information Distribution Service公开政府照片；正式发布建议保留图片说明与原始来源页面。