Certifikace UAS a kritických komponent: komplexní proces, požadavky a akreditační zkoušky

Certifikace dronů

Certifikace dronů (UAS) a jejich komponentů představuje rámec právních, technických a zkušebních postupů, které dokládají, že výrobek splňuje požadavky bezpečnosti, elektromagnetické kompatibility, rádiového rozhraní, kybernetické ochrany a provozní spolehlivosti. V Evropské unii jsou základem produktové regulace pro bezpilotní systémy zejména nařízení (EU) 2019/945 (požadavky na výrobky a postupy posuzování shody) a nařízení (EU) 2019/947 (provozní pravidla a kategorie létání). Tyto předpisy vytvářejí vazbu mezi technickou shodou dronu a způsobem jeho použití (otevřená, specifická, certifikovaná kategorie), přičemž doplňují související normy (ETSI, CEN/CENELEC, RTCA, EUROCAE).

Taxonomie certifikace: výrobek vs. operace

Je důležité rozlišovat mezi produktovou certifikací (shoda dronu a komponentů) a operační autorizací (povolení způsobu použití):

Produktová shoda (CE, třídy C0–C6): označení třídy dle 2019/945 (hmotnostní a funkční limity, přímé dálkové ID, geo-awareness, omezení rychlosti, hlučnost a další). Výsledkem je EU prohlášení o shodě (EU DoC) a označení CE s třídou.
Provozní autorizace: v otevřené kategorii A1/A2/A3 stačí dron správné třídy; ve specifické kategorii je potřeba povolení podle SORA/STS (např. STS-01/STS-02 nebo národní scénáře), případně Light UAS Operator Certificate (LUC). V certifikované kategorii platí postupy podobné letectví s typovou certifikací a dohledem letové způsobilosti.

Životní cyklus certifikace výrobku

Od nápadu po uvedení na trh je doporučeno řídit certifikaci jako součást systému vývoje:

Koncept a přidělení požadavků: analýza použití, identifikace kritických funkcí (navigace, řízení letu, spojení, detekce a vyhýbání), mapování na právní požadavky a normy.
Návrh a bezpečnostní analýzy: systémové inženýrství (ARP4754A) a bezpečnostní analýzy (ARP4761: FHA, FTA, FMEA), definice bezpečnostních cílů (DAL/SAE úrovně).
Verifikace a validace: plán V&V, kvalifikace softwaru (DO-178C), avionických hardwarů (DO-254), environmentální zkoušky (DO-160), rádiové a EMC testy (ETSI/EN 301 489).
Posuzování shody: volba modulu posuzování shody (např. modul B + C2 nebo D), zkoušky u notifikovaného orgánu, technická dokumentace a EU prohlášení o shodě.
Uvolnění do provozu a dohled: označení CE s třídou, výrobní dohled (audit QMS), řízení změn, zpětná sledovatelnost, post-market surveillance a bezpečnostní hlášení.

Moduly posuzování shody a role notifikovaného orgánu

Pro třídy C1–C6 se typicky využívají moduly podle rozhodnutí 768/2008/ES, na která se odkazuje i v 2019/945:

Modul B – EU typové přezkoušení: nezávislé posouzení vzorku výrobku notifikovaným orgánem a vystavení certifikátu typu.
Modul C2 – Shoda s typem na základě vnitřní kontroly výroby a dozorovaných zkoušek: výrobce zajišťuje shodu s typem, notifikovaný orgán provádí náhodné ověření.
Modul D – Zajištění kvality výroby: audit systému kvality výrobce (ISO 9001 rozšířené o regulační prvky) a průběžný dohled nad výrobou.

Výběr modulu závisí na třídě a zralosti výrobce. U složitějších systémů a vyšších tříd je běžná kombinace B+D nebo B+C2.

Požadavky na třídy dronů (C0–C6) a klíčové vlastnosti

Třídy vymezují limitní parametry a povinné funkce:

C0/C1: nízká hmotnost, omezení rychlosti a energie nárazu, základní bezpečnostní funkce; u C1 povinné přímé dálkové ID a geo-awareness.
C2: rozšířené bezpečnostní prvky (nízká hlučnost dle harmonizovaných norem, bezpečný režim nízké rychlosti), pokročilé požadavky na ID a geofencing.
C3/C4: vyšší MTOM, robustnější fyzické i systémové požadavky, jasně definované hranice provozu v otevřené kategorii A3.
C5/C6: doplňkové požadavky pro standardní scénáře STS-01/STS-02 ve specifické kategorii (např. dodatečné fail-safe režimy, rozšířené geo-awareness, redundance komunikace a zvýšené požadavky na manuály a údržbu).

Technická dokumentace a sledovatelnost

„Technical File“ musí umožnit orgánu dohledu posoudit shodu:

Popis výrobku, varianty, konfigurace a rozhraní.
Analýzy rizik a bezpečnosti (FMEA/FHA/FTA), hazard log a item development assurance level.
Schémata, kusovníky, materiály a výrobní postupy; správa zvolené architektury bezpečnostních funkcí (např. loss-of-link, geo-caging).
Softwarové a hardwarové plans & standards (PSAC dle DO-178C, PHAC dle DO-254), výsledky verifikace, coverage a analýzy nezávislosti.
Zprávy z testů (EMC, rádiové, akustické, mechanické, environmentální), metrologické a kalibrační listy.
EU prohlášení o shodě, certifikáty typového přezkoušení, sledovatelnost požadavků (traceability matrix).

Zkoušky rádiového rozhraní a EMC

Drony a datalinky podléhají souboru zkoušek dle směrnice o rádiových zařízeních (RED) a harmonizovaných norem:

Rádiové parametry: efektivní vyzářený výkon (EIRP), spektrální masky, obsazení kanálu, modulace a occupied bandwidth dle ETSI (např. EN 300 328 pro 2,4 GHz, EN 301 893 pro 5 GHz/DFS, EN 300 440/220 pro sub-GHz pásma).
EMC imunita a emise: EN 301 489-1 (obecné) a profil pro příslušné technologie (např. EN 301 489-17 pro WLAN/BT). Tyto testy zahrnují ESD, rychlé přechody, vyzařované a vedené rušení.
Akustika: měření hladiny akustického výkonu dle harmonizovaných metod pro příslušnou třídu (tam, kde je to povinné).

Přímé dálkové ID a geo-awareness

Přímé dálkové ID (Direct Remote Identification) přenáší v reálném čase identifikátor UAS, polohu, výšku a stav letu v dosahu lokální dostupnosti. Implementace musí splňovat formát, intervaly vysílání a integritu dat dle harmonizovaných norem řady EN 4709 a příslušných technických specifikací. Geo-awareness (geo-caging) musí zabránit vstupu do zakázaných oblastí a poskytnout operátorovi včasná varování; vyžaduje se aktualizovatelná databáze geografických zón a bezpečné zpracování dat.

Bezpečnostní funkce a fail-safe režimy

Kritické funkce musí být navrženy jako „fail-operational/fail-safe“ podle závažnosti následků poruchy:

Ztráta spojení: předdefinované chování RTH/hover/land, časové limity, podmínky pro snížení výšky, řízené přistání mimo shromáždění osob.
Řízení energie: spolehlivé odhady state-of-charge, redundance napájení řídicích prvků, bezpečná degradace při vyčerpání baterií.
GNSS degradace: přechod na ATTI/vizuální odometrii, omezení rychlosti a objížďky kritických oblastí.
Geo-caging: tvrdé a měkké limity, záznam pokusů o překročení hranic, odolnost vůči manipulačním zásahům.

Softwarová a hardwarová kvalifikace

I u UAS v spotřebitelském segmentu je doporučeno adekvátně aplikovat letecké standardy, zejména pro bezpečnostně kritické funkce:

DO-178C: plánování (PSAC), požadavky a architektura, kód, verifikace (analýza, testy na úrovni jednotek a integrace), coverage a nezávislost dle významnosti (ekvivalenty DAL E–A).
DO-254: požadavky pro programovatelné logiky a avionické HW moduly (FPGA/ASIC), verifikace a konfigurace.
DO-330/DO-331/DO-332: nástroje, modelování a formální metody, jsou-li relevantní.

Environmentální zkoušky a mechanická odolnost

Odolnost vůči prostředí se prokazuje dle RTCA DO-160 (resp. EUROCAE ED-14) nebo ekvivalentů:

Teplota a teplotní šoky, vlhkost, vibrace a nárazy (včetně pádů vrtulí a scénářů typu bird-strike-like přiměřených velikosti).
EMI/Lightning/ESD odolnost přiměřená misím (např. blízkost RF zdrojů, výškové efekty).
Koroze a prašnost (solná mlha, IP krytí), UV a chemická odolnost.

Baterie a energetické systémy

Bateriové systémy podléhají speciálním bezpečnostním a přepravním zkouškám:

UN 38.3: transportní testy Li-ion baterií (T1–T8: simulace výšky, teplotní cykly, vibrace, nárazy, zkraty, přebití, povolený únik).
IEC 62133-2: bezpečnost článků a baterií pro přenosná zařízení.
BMS požadavky: ochrana proti přetížení, přebití/vybití, teplotním anomáliím, cell balancing a záznam událostí.

Kybernetická bezpečnost a odolnost

Kybernetická vrstva je klíčová pro dálkové ID, aktualizace a komunikační linky:

Bezpečná aktualizace firmwaru (OTA): kryptografické podpisy, rollback protection, oddělené partitiony, atomické nasazení.
Identita a důvěra: hardwarová důvěryhodná úložiště (TPM/SE), správa klíčů, omezení ladění a servisních portů.
Komunikační bezpečnost: šifrování a autentizace řídící a datové linky (TLS/DTLS, MACsec/802.1X na příslušných vrstvách), anti-spoofing a ochrana proti replay útokům.
Základní hygiena IoT: principy blízké ETSI EN 303 645 (správa aktualizací, hesel, telemetrie) a logování bezpečnostních událostí.

Komponenty, příslušenství a řízení změn

Kamerové systémy, vysílače, přijímače, autopiloty, padáky či cage systémy mohou podléhat samostatným zkouškám a prohlášením o shodě. Při změnách komponent po vydání shody platí:

Minor change: aktualizace technické dokumentace, impact analysis a regresní testy.
Major change: opakované typové přezkoušení vybraných požadavků (např. změna rádia, zásah do letových vlastností, zásadní změna hmotnosti).
Doplňkové systémy (např. padák) mohou být kvalifikovány dle vlastních norem a integrovány jako mitigace rizik v SORA/STS.

Manuály, označení a průvodní dokumentace

Požadavky na označení a dokumentaci jsou neoddělitelnou součástí shody:

Označení CE a třídy Cx, identifikace výrobce a typu, sériové číslo, informace o rádiových rozhraních a omezeních.
Návod k použití v úředním jazyce zemí prodeje, bezpečnostní upozornění, scénáře použití a údržba.
EU prohlášení o shodě dostupné online nebo v balení; odkazy na aplikované normy.

Provozní autorizace: SORA, STS a LUC

Pokud dron a mise přesahují otevřenou kategorii, provozovatel musí prokázat odpovídající mitigace rizik:

SORA: metodika pro posouzení rizik na zemi i ve vzduchu, definice SAIL a požadavků na OSO (Operational Safety Objectives), často s technickými mitigacemi (padák, DAA, redundance).
Standardní scénáře STS-01/STS-02: předdefinované požadavky na UAS (C5/C6) a operace (BVLOS/VLOS), vyžadují prokazování