飞机接口设备(AID)演变为驾驶舱数据枢纽,运营商面临网络安全与数据治理挑战

航空器接口设备（AID）已从简单的硬件适配器发展为核心航电枢纽。它们把飞行管理系统（FMS）、ARINC 数据总线等经认证的机载系统，与商用现货电子飞行包（EFB）及自带设备连接起来。它们向机组实时输送位置、大气和运行数据，并支持移动地图显示、自动飞行记录和动态性能计算。未来的能力指向机载边缘计算和实时空地同步。

能力增强的同时也带来工程和运营上的挑战。把商用移动硬件接入安全关键的航电系统，会产生复杂的网络安全问题，需要严格的域隔离和纵深防御协议。对于并非为 IP 网络设计的旧机队，运营方在改装时面临很高的集成难度，专有软件接口和供应商锁定还会带来兼容性问题。随着数据量增长，业界关注的重点已从物理连接转向数据治理。

EFB Admin Services Int. 的首席执行官兼 EFB 管理员 Klaus Olsen 在接受 Aerospace Innovations 采访时介绍了这项技术的现状。他在航空技术领域有二十多年经验，为遵循 EASA 和 FAA 框架的运营方提供支持。他的公司不制造 AID，而是帮助航空公司实施、取得监管批准并运营 EFB 项目。Olsen 表示，运营方仍须自行决定哪些应用可以获得机载数据、数据可以如何使用，以及如何管控配置变更。

Olsen 说，现代 AID 可以对接 ARINC 429、ARINC 717、离散信号、串行数据、航电以太网，并视机型架构而定，对接带宽更高的 IP 网络。它们可以把选定的数据分发给已安装的系统、航空公司管控的平板电脑、便携式 EFB、维修设备，在某些情况下还通过蜂窝或卫星链路发送到地面系统。提供给 EFB 应用的典型数据包括位置、高度、航向、地速、空速、风、外界气温、燃油信息、重量与平衡数据、飞行阶段和发动机参数。

他表示，大多数便携式 EFB 集成仍以机载设备到 EFB 的单向传输为主，而非双向，因为把便携设备的数据送回安全关键系统会带来不同的认证和网络安全风险。在隔离、验证和系统权限都明确的受控架构下，双向交换是可行的。FAA 的指导材料把运行类 EFB 应用与机载安装设备区分开来。

Olsen 提醒不要把任何联网系统称为「完全安全」。他说，目标是降低风险、保持纵深防御，并确保外部设备一旦被攻破，也不会蔓延到安全关键域。他列出的控制措施包括：隔离飞机控制网络、航空公司信息网络和旅客网络；尽量采用单向数据流；白名单；经认证并加密的通信；证书和密钥的全生命周期管理；采用签名软件的安全启动和受控的固件更新；以及限制物理和维修接入。

他表示，AID 通过认证并完成安装之后，运营方的责任并未结束。认证时所作的安全假设必须在运行中持续成立，这要求管控 EFB 操作系统和应用版本、设备注册、证书、连接配置以及供应商变更。Olsen 把网络安全描述为贯穿全生命周期的共同责任，并引用了 RTCA DO-326/ED-202、DO-356/ED-203 和 DO-355/ED-204，以及 EASA AMC 20-42。这些指导材料涉及资产识别、攻击路径、安全后果、缓解措施、剩余风险和持续防护。

Olsen 说，飞行员最常要求的 FMS 相关数据包括：当前位置、航迹、航向、高度和地速；现行飞行计划和航路进展；起飞、目的地和备降信息；预计时间、剩余距离和燃油预测；总重和机上燃油；风和温度数据；离场和进场跑道信息；以及飞机状态或飞行阶段。这些数据支撑着移动地图、机场态势感知、航图定位、气象应用、颠簸报告、飞行日志自动化、电子运行飞行计划和性能计算。

Olsen 补充说，AID 的作用不止于转换物理协议。它可以从不同的航电总线获取数据、验证参数、进行缩放和单位换算、给数据打时间戳、按核准的数据集筛选，再通过受控接口提供出去。他表示，关键问题在于数据的来源和完整性、数据有多新，以及飞行员可以放心用它来做什么。

Olsen 所说的变化，让驾驶舱联网中最难的问题不再是线缆和协议。经认证的机载数据一旦能到达航空公司管控的平板电脑，在某些情况下还能到达地面系统，悬而未决的就是权限和问责：哪个应用可以看到哪个参数，谁来批准软件或证书的变更，以及供应商的更新改变了认证时的安全假设，该由谁负责。

对运营方来说，这使一次安装变成贯穿服务寿命期的长期工作。没有 IP 网络的旧机队要面对改装工作量，专有接口又在此之上叠加供应商锁定。因此，检验 AID 架构的实际标准，是飞机控制网络、航空公司信息网络和旅客网络之间的隔离，在第十次软件发布之后是否依然成立，而不只是在获批当天成立。

后续的具体时间节点没有给出，但方向已经明确：机载边缘计算和实时空地同步。两者都会让流出驾驶舱的数据更多，Olsen 把随之而来的数据治理和网络安全负担放在了运营方身上。