ALMDO-178C 不涵盖信息安全
VisualPro Tech Brief
DO-178C 不涵盖信息安全
在DO-326A已成为适航要求的当下
适航信息安全 | 安全与信息安全一体化认证 | 行业动态简报
DO-326A / ED-202ADO-356ADO-355DO-178CARP4754A
01概述（TL;DR）——被刻意留下的空白
作为机载软件认证基准的DO-178C（欧洲为ED-12C）和系统开发指南ARP4754A针对的是安全。但这些标准刻意将网络安全排除在其范围之外。它们是为应对随机故障和开发错误而建立的，并未将恶意行为者纳入考量。
填补这一空白的是DO-326A/ED-202A，即适航信息安全过程规范（Airworthiness Security Process Specification）。FAA和EASA已将其采纳为适航认证的可接受符合性方法（AMC），使其实际上成为飞机、旋翼航空器、发动机和螺旋桨认证的强制性要求。
值得注意的是，这并不是“网络版DO-178”。原文明确否定了这种简称，将DO-326A描述为ARP-4754A的网络安全附加部分，部分相当于“网络版ARP-4761”和“网络版DO-178C”。它在传统安全标准之上增加了一层针对人为失效（man-made failure）的新防护。
适航信息安全是适航安全的姊妹——适用相同的流程与原则。
02为何是现在——推动航空安全与信息安全融合的三大转变
1法规已经确定——从专用条件到标准要求法规确定
自2005年波音787认证起，FAA先后单独适用了约20项网络安全专用条件（special condition），并于2017年2月通过政策声明PS-AIR-21.16-02将这一做法正式化。在AC 119-1（2015年）、AC 20-140C（2016年）和AC 120-76D（2017年）之后，EASA提议将这些标准作为覆盖飞机、旋翼航空器、发动机和螺旋桨的正式AMC，FAA也预告将发布咨询通告并修订14 CFR Parts 21/23/25/27/29/33/35。过去逐案处理的领域，已固化为标准要求。
2e-Enabled航空器带来了攻击面攻击面
DO-326A针对的是基于TCP/IP的e-enabled系统：卫星通信、与机载服务器和Wi-Fi相连的以太网路由器、蜂窝设备、笔记本电脑和平板电脑，以及VHF/AM、数字VHF数据链、ACARS、无线网桥等地面网络。防护并非单一层面的工作，而是需要在多个抽象层级上实施：接入点、传输数据、系统、子系统，乃至代码本身。
3安全与信息安全采用同一流程骨架流程对称性
DO-326A的信息安全风险评估与安全领域的功能危险性评估（FHA）并行开展，威胁等级和严重度的判定则发挥着类似于研制保证等级（DAL）分配的作用。原文指出：“信息安全与多年来为确保安全所做的工作有很大程度的重叠。”这正是具备安全关键开发经验的团队会觉得信息安全融合很直观的原因，也是两项分析需要在同一工具中衔接的原因。
03DO-326A可归结为七个步骤
适航信息安全过程
| 步骤 | 工作内容 | 交付物 |
|---|---|---|
| 1. 认证信息安全方面的计划 | 规划风险评估、保证等级分配和信息安全要求的获取 | PSecAC |
| 2. 范围确定 | 识别需要保护的逻辑资产和物理资产 | 资产清单、信息安全边界 |
| 3. 信息安全风险评估 | 判定威胁等级和严重度 | 威胁场景、风险等级 |
| 4. 决策关口 | 评估风险是否需要缓解证据 | 缓解决策依据 |
| 5. 信息安全防护实施 | 将高层级要求分解为驱动设计的低层级规范 | 信息安全要求层级 |
| 6. 验证与确认 | 测试已实施防护的有效性 | 测试用例及结果 |
| 7. 认证证据汇编 | 将所有证据整合为总结 | PSecAC总结 |
三份文件，三种角色
| 文件 | 标题 | 角色 |
|---|---|---|
| DO-326A / ED-202A | 适航信息安全过程规范 | 流程骨架——必须做什么 |
| DO-356A / ED-203A | 适航信息安全方法与考虑事项 | 各阶段要求与风险评估细节——如何去做 |
| DO-355 / ED-204 | 持续适航信息安全指南 | 运行与维修——投入运营之后 |
说明 DO-326A规定流程，DO-356A承载方法论细节，DO-355则涵盖投入运营后的运行信息安全。制定认证计划时，必须将交付物对应到三份文件中正确的那一份。
04安全流程与信息安全流程并行推进
两个流程在同一位置做同样的工作——只是名称不同。
| 信息安全活动（DO-326A） | 对应的安全活动 | 共享内容 |
|---|---|---|
| PSecAC计划编制 | PSAC（DO-178C认证软件计划） | 认证计划的定位与作用 |
| 资产识别与范围确定 | 系统与相关项定义 | 同一架构模型 |
| 信息安全风险评估 | FHA（功能危险性评估） | 风险识别与分级程序 |
| 威胁等级与严重度判定 | DAL分配 | 通过保证等级设定严格程度 |
| 信息安全要求分解 | 安全要求分解 | 要求层级与设计分配 |
| 防护有效性VV | 验证与测试 | 要求与测试之间的可追溯性 |
| PSecAC总结 | 符合性证据包 | 审查应对依据 |
在V模型上的落点如下 在左侧（需求阶段），执行步骤2的范围识别和步骤3的初步信息安全风险评估，要求在PLM、ALM或需求管理工具中获取，并在其中进行分解、建立可追溯性。在右侧（验证阶段），步骤5实施防护，步骤6确认其有效性，结果作为认证证据纳入PSecAC文件。
问题也正由此开始。如果安全要求在安全工具中，信息安全要求在信息安全工具中，而架构又在别处——同一架构就要建模两次，两项分析也无法彼此互通。这正是信息安全引发的安全危害被遗漏的典型路径。
问题也正由此开始。如果安全要求在安全工具中，信息安全要求在信息安全工具中，而架构又在别处——同一架构就要建模两次，两项分析也无法彼此互通。这正是信息安全引发的安全危害被遗漏的典型路径。
05VisualPro如何提供支持
一棵结构树，五项分析结构共享
FMEA、FTA、HARA、TARA和STPA共享同一个系统结构数据库。DO-326A步骤2中识别的资产与安全分析所用的相关项定义位于同一棵树上，因此信息安全风险评估与功能危险性评估引用的是同一个模型。
跨分析可追溯性（数字主线）核心价值
信息安全威胁、对策、信息安全要求与验证项在单一数据库中相互关联，安全目标、FTA顶事件、失效模式与安全要求同样如此。设计变更和新威胁会在关联的分析之间传递，从而保持认证审查所要求的动态可追溯性。
符合标准的交付物认证证据
以标准格式输出ISO/SAE 21434 TARA、ISO 26262 HARA（ASIL）、AIAG-VDA FMEA和FTA，并生成韩文和英文报告。由于每个威胁和风险项都附有分析依据，PSecAC总结所需的证据可直接从分析数据库中整理。
基于MCP的AI智能体集成AI集成
通过支持FMEA、FTA、HARA、TARA和STPA的MCP（Model Context Protocol），Claude等AI智能体可与VisualPro直接通信：从候选威胁与危害识别到评分草案，均以对话方式完成，分析人员则专注于验证与判断。
06常见问题（FAQ）
Q1DO-326A是否适用于军用航空器？
不适用。军用航空器目前不在DO-326A的范围之内；认证义务适用于FAA和EASA监管下的民用航空。军用系统的安全与信息安全论证遵循单独的框架——MIL-STD-882E系统安全，以及韩国的K-RMF等体系。将民用和军用项目置于同一套要求下进行说明并不符合事实，因此必须根据业务领域匹配适用的框架。
Q2我们已经在执行DO-178C，DO-326A会增加多少工作量？
流程骨架在很大程度上是共通的。PSecAC与PSAC处于相同的位置，信息安全风险评估与FHA并行，要求分解和V&V结构也相互对应。真正的负担不在于学习新方法，而在于增加资产与威胁视角，并将其结果与现有的安全分析、要求和测试进行可追溯的关联。若在不同工具中运行这两套框架，这种关联成本便会急剧上升。
Q3汽车领域的ISO/SAE 21434经验能否迁移到航空领域？
核心思路可以迁移。资产识别、威胁场景推导、风险评估、对策推导和可追溯性构成了TARA与DO-326A共有的流程。不同之处在于术语（威胁评级体系、PSecAC交付物）、监管机构（FAA和EASA），以及涵盖持续适航阶段的DO-355。这更像是学习一套新的认证框架，而非一种新的方法论。
07立即开始（下一步）
在航空领域，安全与信息安全已处于同一认证流程之中。如果将两项分析分别放在不同的工具和文件中，成本就会在需要证明二者关联的那一刻产生。借助已在汽车、国防、机器人和半导体项目中得到验证的VisualPro，开始在同一结构上衔接安全与信息安全的认证准备。
在同一结构上衔接安全与信息安全——借助VisualPro做好航空认证准备。
资料来源——Military Embedded Systems, “Incorporating DO-326A security airworthiness into the software development life cycle”; Aviation Today, “How DO-326/ED-202 is becoming mandatory airworthiness”（法规时间表以发布时为准）