降落伞不是“装上就安全”的配件。无人机失控时，系统要先识别异常，再让旋翼停止，随后在合适高度和姿态展开伞；任一环节延迟、误判或共同故障，都可能改变地面后果。
DJI 对 AP100 的公告给出受控测试数据和认证路径，但这些信息不能替代具体运行的风险评估。对 BVLOS 项目，AP100、FTS、机体、地面人员和监管流程必须放在同一安全论证里。
先限定 AP100 实际覆盖的失效任务
AP100 是安装在 Matrice 400 后部的约 935 g 模块，DJI 称其对飞行时间影响约 6 分钟。它面向失控后降低下坠能量的最后缓解，不负责消除导航错误、空域冲突、天气判断或任务规划问题。载荷和续航变化也会反过来影响航线与备降设计。
安全分析要先列出适用故障：推进系统异常、失控姿态、通信丢失、飞控故障或其他触发条件。对低空、强风、倾斜姿态、人员密集和障碍环境，降落伞可能没有足够展开高度或会产生新的漂移风险，不能从一组测试值推及所有任务。
风险模型还要计算伞降后的剩余动能和漂移区域。下降速度低于 5 m/s 并不代表对人员或财产没有伤害，机体质量、载荷形状、风与落地点都会改变后果。运行方应把可能落地区域叠加人口、道路和关键设施，在规划阶段避开即使成功开伞也不可接受的地面情境。
从异常信号到缓降结果逐段观察
DJI 报告 AP100 响应时间低于 600 ms、下降速度低于 5 m/s，来源是受控环境下对生产型号的测试。模块使用独立传感器和飞控，并以双电容器在不依赖机体供电或活动 E-Port 的情况下监测最长约 1 小时。独立供电降低部分单点故障，但不意味着所有共同原因都被消除。
AP100 产品页还描述 FTS 在约 600 ms 内切断电机电源，以降低旋翼缠伞风险，然后才进入降落伞展开链。验收应分别记录异常检测、FTS 指令、实际停桨、伞包释放、完全充气、下降轨迹与落地点；把它们合成一个“触发成功”会隐藏故障。
| 可观察信号 | 人工或系统响应 | 未验证时的成本 |
|---|---|---|
| 异常检测 | 确认触发条件并隔离误报 | 不必要伞降与任务取消 |
| FTS 指令 | 核对实际停桨和时序 | 旋翼缠伞或下坠加剧 |
| 伞包释放 | 确认完全充气与轨迹 | 高度不足或漂移 |
| 落地位置 | 警戒、取证和回收 | 人员、财产与停运损失 |
| 维护状态 | 更换伞包并完成复测 | 下一任务安全论证失效 |
人工介入点不能被自动功能隐藏
操作员何时可以手动触发、自动触发后能否取消、误触发如何处理、通信丢失时谁拥有最后权限，都要在运行手册中写明。自动判断不能替代远程驾驶员对天气、地面人员、航线和异常信号的持续责任。
现场演练应加入传感器误报、姿态剧烈变化、机体电源丢失、E-Port 异常、一个电容器失效和遥控链路中断。每种情况下确认操作员看到什么、多少时间内决策、是否能安全清空下方区域，以及系统留下哪些日志。
训练不应只让操作员按一次按钮。需要呈现传感器告警、姿态变化、链路质量和地面情况，让人员在有限时间内判断继续、返航、FTS 或开伞；随后复盘错误决定与延迟。若界面在高压场景中无法清楚区分“电机已切断”和“降落伞已完全展开”，人会误判系统状态。
- 分别测试自动触发、人工触发和误触发
- 用真实最大起飞重量与任务电量验证
- 在允许范围内覆盖风、高度和姿态变化
- 保留检测、FTS、停桨、开伞与落地时间线
- 把落地隔离、数据取证和重新放行写入手册
恢复成本包括落地后的隔离与取证
伞降后任务没有结束。机体可能落在道路、屋顶、私人地块或关键设施，电池与载荷可能受损。恢复计划要包含现场警戒、人员接近、电池隔离、危险品、数据保存、监管通报、维修判定和重新投入使用条件。
约 6 分钟的飞行时间影响也会产生运营成本：可能缩短航线、减少载荷、增加充电或改变备降点。采购不能只算模块价格，应把安装、检查、伞包更换、定期维护、训练、误触发与任务中断计入。
维护周期要由存放环境和任务暴露决定。温湿度、灰尘、盐雾、振动、运输和多次装拆可能影响传感器、连接器、伞包与电容器；外观正常不代表功能正常。定期自检、指定功能测试、寿命到期更换和安装后复核应形成记录。发生硬着陆、触发或软件更新后，未经检查和重新放行不得继续执行同类任务。
C5/C6 与 BVLOS 批准是不同闸门
DJI 区分给既有 Matrice 400 加装 AP100 的 C5/UK5 路径，以及工厂认证的 C6/UK6 组合。两者不是同一配置。EASA 对标准场景的说明要求 STS-01 使用 C5、STS-02 使用 C6 标识，同时仍须满足场景全部条件，并取得主管部门对申报的确认。
因此，等级标识不是 BVLOS 自动批准。运营方还要核对运行类别、场景、地面和空中风险、人员资质、维护、功能测试与记录。具体国家和任务可能要求其他授权；一套硬件的合规路径不能复制成全球许可。
合规档案应绑定机体序列号、AP100 序列号、安装人、软件、伞包寿命、检查和试验。更换机体、载荷、固件或安装位置后，原先的试验和类别路径可能需要重新确认。主管部门审查的是一套具体运行系统，而不是一个脱离配置的产品名称。
运行风险评估还应明确 AP100 失效时的替代缓解：更低航高或载荷、限制地面区域、增加观察和天气限制，或取消任务。不能因为安装了最后一道缓解就放宽前面的预防措施。安全论证需要证明多层措施彼此独立到什么程度，以及一层不可用时谁有权停飞。
读者接下来常问的问题
安装 AP100 降落伞和 FTS 后是否会自动获得 BVLOS 运营批准？
人工应在自动系统未触发、信号冲突、误报或地面风险需要重新判断时介入，具体权限与时限必须在运行手册和训练中验证。人工触发并不会取消地面警戒、空域责任或事后通报。
降落伞与飞行终止系统分别针对哪些失效场景，是否存在共同故障？
DJI 负责其公布的硬件和支持范围，集成方负责安装与配置，运营方负责运行、训练、检查和记录，主管部门负责相应授权。合同还要明确伞包维护、事故分析、软件更新和共同故障由谁处理。
官方资料：