用于集成在现有飞行器中的替换驾驶系统的制作方法

本发明涉及用于集成在现有飞行器中的替换驾驶系统的领域。

发明的背景

现代客机通常由包括机长和副驾驶的至少两名飞行员组成的机组来驾驶。

针对非常特殊的应用，并且特别是用于运输货物，目前正计划仅用一名飞行员来驾驶某些此类客机。因此，正在计划将空客a321型客机转换为适合由单个飞行员驾驶的货机。

以这种方式重新配置客机存在许多优点。

通过将已经飞行了若干年的现有客机转换为货机，在不需要为整个新飞机开发项目提供资金的情况下获得了经过时间测试且可靠的货机。此外，借助于这一新的应用，关于初始项目的财务回报被改善。

由于与客机不同，货机不运送乘客，因此减少飞行员的数量似乎是公众更容易接受的初始步骤。当然，接受任何飞行安全性的降低是毫无疑问的，这种飞行安全性不应被降级，而应该通过这种配置来改善。

通过减少飞行员的数量，每次飞行的总成本自然也会降低。

此外，用于协助飞行员完成驾驶任务的各种各样的解决方案已经出现，这通过能够实时分析大量数据潜在地改善了安全性。

然而，以这种方式重新配置客机也会遇到各种困难。

减少飞行员的数量使得开发各种额外的安全功能，以及将它们集成到飞机中成为必要。

这些额外的安全功能特别涉及确保即使在自动驾驶系统发生故障或唯一飞行员不能手动驾驶飞机的情况下，飞机仍能以完全安全的方式继续驾驶。额外的安全功能还必须用于防止或至少限制飞行员恶意行为的后果，诸如举例而言，故意将飞机撞向基础设施或居民区。

自然，为了从经济角度将现有客机转换为货机，必须可能的是将这些额外的安全功能集成到现有飞机中，同时只需要有限的额外认证活动。

发明目的

本发明的目的是以可靠且便宜的方式将传统的现有飞机转换为可被单个飞行员驾驶的飞机。

发明概要

为了实现这一目的，提出了一种被布置成被集成到现有飞行器中的替换驾驶系统，该系统包括包含飞行控制系统和自动驾驶系统的原始系统，该替换驾驶系统包括：

·独立于原始系统的驾驶设备，包括布置成产生与飞行器有关的定位数据的定位单元，以及被布置成为飞行器产生替换驾驶设定值的控制单元；

·采集和分析设备，包括采集装置以及决定装置，采集装置被布置成采集由原始系统产生的数据以及还有由驾驶设备产生的定位数据和替换驾驶设定值，决定装置被布置成决定替换驾驶设定值是否应当被用于驾驶飞行器；以及

·接口设备，其被布置成当采集和分析设备的决定装置决定所述替换驾驶设定值应该被用于驾驶飞行器时，基于替换驾驶设定值来控制飞行器的飞行控制系统。

该替换驾驶系统因此用于集成到现有飞行器中。在飞行员变为不可用或自动驾驶系统停用的情况下，替换驾驶设定值可被用于驾驶飞行器。因此，由单个飞行员来驾驶飞行器是安全的。此外，由于驾驶设备独立于原始系统，并且在飞行器中使用的技术或在其实施中与原始系统不同，因此驾驶设备不会受到影响这些原始系统的故障的影响。因此，这特别确保定位单元即使在原始定位系统(例如飞行器的现有惯性单元)停用时也可以产生与飞行器有关的定位数据。

替换驾驶系统可被集成到现有飞行器中，而不需要修改原始系统。因此，原始系统不需要再次经受认证活动，从而降低了集成的成本。此外，所提出的集成原理依赖于经由高完整性接口设备隔离新功能的原理。

还提出了一种包括上述种类的替换驾驶系统的飞行器。

本发明可以鉴于以下对本发明的特定非限定性实施例的描述而被更好地理解。

附图的简要描述[单幅图]参考附图，其包括示出了本发明的替换驾驶系统，以及现有飞行器的多个原始系统的单幅图。

本发明的详细描述

参考唯一的图，本发明的替换驾驶系统1用于集成在现有飞行器中。术语“现有飞行器”，其被用于意指，当飞行器被设计时，没有为其配备本发明的替换驾驶系统1作出规定。换言之，在其被设计时，该飞行器不包括用于集成本发明的替换驾驶系统1的特定接口。

该飞行器是将被转换成适合由单个飞行员驾驶的货机的客机。替换驾驶系统1被集成在飞机中，以使其能够由单个飞行员驾驶，同时仍然符合适用于由多个飞行员驾驶的常规货机的安全和安保要求。

飞机包括一定数量的原始系统，即飞机被设计时存在的系统。

这些原始系统包括飞行控制系统2、起落架系统3、照明系统4、通信系统5、自动驾驶系统6，以及导航系统7。起落架系统3包括用于操纵起落架系统的至少一个起落架从而使得飞机在地面上移动时能够被操纵的系统，以及还有制动系统。

原始系统自然包括除上述系统以外的系统。

所有原始系统包括可能设置有冗余的装备，并且可能是一式三份。

飞行控制系统2包括踏板8、俯仰控制轮9、升降舵副翼计算机(elac)系统10、扰流板升降舵计算机(sec)系统11、前进空中控制器(fac)系统12、以及缝襟翼控制计算机(sfcc)系统13。

底盘系统3包括制动和转向控制单元(bscu)15。

照明系统4包括着陆灯16和照明控制装置。

通信系统5包括甚高频(vhf)波段的通信装置18、高频(hf)波段的通信装置19、以及卫星通信(satcom)装置20。

自动驾驶系统6包括飞行管理引导计算机(fmgc)系统22和全权数字发动机控制(fadec)系统23。

导航系统7包括大气数据惯性参考系统(adirs)24。

替换驾驶系统1与这些原始系统以及原始航空电子设备协同工作，但它与这些原始系统和原始航空电子设备完全分开。分开是机械分开、软件分开和硬件分开。因此，替换驾驶系统1的故障或停用(例如由黑客攻击引起)对原始系统或对原始航空电子设备没有重大影响。

替换驾驶系统1具有多个设备和主总线25，在本示例中是适用于传输命令和数据的arinc664数据总线。

替换驾驶系统1的各种设备经由主总线25相互通信。替换驾驶系统1的所有设备都设置有用于使这种通信安全的适当的保护装置(防火墙、防病毒等)。

替换驾驶系统1的设备首先包括驾驶设备26。驾驶设备26被单独连接到主总线25。因此，驾驶设备26完全独立于飞机的原始系统。驾驶设备26仅被连接到下文所述的接口设备34，并且因此它是几乎完全自包含的。

驾驶设备26包括定位单元27和控制单元28。

定位单元27包括惯性测量单元、具有一个或多个天线的卫星定位设备、以及大气数据计算机。

定位单元27产生与飞机有关的定位数据。定位数据包括用于飞机的位置数据和取向数据。

定位单元27相对于飞机的原始定位装备是独立和自包含的，并且在设计上是不同的。这赋予定位单元27和飞机的原始定位设备之间的不同性，从而特别用于确保共模故障不会导致飞机的原始定位装备和定位单元27两者同时停用。

控制单元28具有两个不同的计算信道28a和28b。这用于避免导致两个计算通道28a和28b同时停用的共模故障。

控制单元28被布置为产生飞机的替换驾驶设定值。

该替换驾驶设定值被用于在飞机处于形成紧急情况的预定义列表的一部分的紧急情况时驾驶飞机。紧急情况的预定义列表包括飞机上发生的任何故障、飞机的自动驾驶系统6的故障、飞机飞行员不可用、以及飞机驶向禁区的情况。

特别是，控制单元28主控在飞机的自动驾驶系统发生故障时使用的紧急驾驶关系。紧急驾驶关系用于稳定飞机并保持其速度。

控制单元28还主控故障软驾驶关系。

故障软驾驶关系包括用于减轻飞行员在飞机起飞时变为不可用的关系。举例来说，飞行员不可用可能是由于飞行员在飞行期间突然死亡或由于任何原因身体或心理上丧失能力的结果。

在飞机起飞时，如果飞行员变为不可用，只要飞机的速度低于确定的速度v1，仍然有可能中断起飞。一旦飞机的速度超过确定的速度v1，就不能再中断起飞，因为在高速下使用飞机的地面制动太冒险了，并且随后使飞机起飞是强制的。

在飞机超过确定的速度v1的时刻与飞行器超过确定的高度(例如，等于200英尺)的时刻之间，通常是飞行员在手动模式下驾驶飞机。

因此，当检测到在持续数秒(通常为6秒)的该时段期间飞行员不可用时，则由替换驾驶系统1接管飞行员，并管理起飞。此后，自动驾驶系统6从替换驾驶系统1接管。

在飞行员不可用的情况下，控制单元28还主控紧急飞行计划。因此，如果飞行员不可用，则替换驾驶系统1使飞机到达可降落的机场。

控制单元28还可以产生替换驾驶设定值，以避免飞机进入预定义的禁区。替换驾驶设定值用于为飞机提供不再导致飞机进入预定义的禁区的路径。举例来说，预定义的禁区是包含特定基础设施(例如核电站)、人口密度高的区域等的区域。

控制单元28在利用由定位单元27产生的定位数据的同时，持续计算飞机的未来路径，并且它估计未来路径是否会干扰禁区。在飞行员驶向禁区的情况下，无论是因为飞行员不可用，还是因为飞行员有意使飞机坠毁，由替换驾驶系统1产生的替换驾驶设定值被用于驾驶飞机并防止其进入禁区。如有必要，替换驾驶设定值导致飞机在无人区坠毁。这执行“地理围栏”功能：实时监控飞机的位置，并且如果飞机驶向禁区，则在其飞行路径上采取行动以防止飞机进入禁区。

控制单元21因此利用用于引导受控碰撞的关系，并利用用于检测地理围栏功能损失的算法。

控制单元28主控禁区的地理坐标。

替换驾驶系统1还包括采集和分析设备30。采集和分析设备30经由辅助总线31(在本示例中为a429总线)被连接到主总线25，以及还有飞行控制系统2、起落架系统3、照明系统4、通信系统5和自动驾驶系统6。

采集和分析设备30包括采集装置32和分析装置33。

采集装置32包括与原始系统的多个接口以及与主总线25的多个接口。

采集装置32采集由飞机的原始系统产生的数据连同由驾驶设备26产生的定位数据和替换驾驶设定值。

由飞机的原始系统产生的、并由采集和分析设备30采集的数据包括飞机位置数据、姿态数据、由自动驾驶系统6产生的参数、由飞行控制系统2产生的参数、发动机参数、导航数据、故障数据等。

采集和分析设备30的分析装置33处理和分析所有这些数据。分析装置33检测该数据中的不一致性(如果有)。

分析装置33准备数据以将其传输到地面(排序、格式化等)。分析装置33还主控状态机，该状态机用于支持飞行员(交叉检查、额外的飞行员动作)，并且还用于触发紧急程序或允许考虑由驾驶设备26发出的命令。

在所有该数据的基础上，在替换驾驶设定值的基础上，以及在其自身的处理和分析的结果的基础上，采集和分析设备30决定是否应当使用替换驾驶设定值来驾驶飞机。采集和分析设备30的采集装置32和采集替换驾驶设定值、由飞机的飞行员产生的手动驾驶设定值和由自动驾驶系统6产生的自动驾驶设定值。分析装置33分析这些驾驶设定值，以便在该分析的基础上决定是否应该使用替换驾驶设定值来驾驶飞机。

分析的第一示例在该描述中提到。当飞机起飞时，有一段短时段内通常由飞行员手动驾驶飞机。如果检测到飞行员不可用，则采集和分析设备30的分析装置33决定由替换驾驶系统1产生的替换驾驶设定值应被用于驾驶飞行器。此后，在该短时段之后，采集和分析设备30的分析装置33决定替换驾驶设定值不应再被用于驾驶飞机。因此，自动驾驶系统6从替换驶系统1接管，以便飞机安全着陆。

选择优先设定值的第二示例如下。

如果飞行员产生的手动驾驶设定值倾向于使飞行器驶向预定义的禁区，则采集和分析设备30的分析装置决定由替换驾驶系统1产生的替换驾驶设定值应被用于驾驶飞机。飞机随后执行一操纵，使其能够避免进入禁区。

此后，在这个操纵之后，分析装置33决定替换驾驶设定值不应再被用于驾驶飞机：在替换驾驶系统1已经执行该操纵之后，采集和分析设备30将控制返还给自动驾驶系统6。

选择优先设定值的第三示例如下。

通过分析飞机参数(例如分析发动机设定值和飞行控制表面的设定值)，采集和分析设备30还能够检测对飞机有影响的故障情况。如果飞机由自动驾驶系统6驾驶，并且如果故障可能对自动驾驶系统6具有影响，则采集和分析设备30决定替换驾驶设定值应被用于驾驶飞机，并启用紧急驾驶模式。

替换驾驶系统1还包括接口设备34。

接口设备34经由辅助总线35(在该示例中为a429总线)被连接到主总线25，以及还有飞行控制系统2、起落架系统3、照明系统4、通信系统5、以及自动驾驶系统6。

接口设备34包括切换装置。切换装置由采集和分析设备30的决定装置33控制。当决定装置30决定使用替换驾驶设定值来驾驶飞机时，决定装置控制切换装置以将驾驶设备26的输出连接到飞行控制系统2。

因此，当采集和分析设备30决定由驾驶设备26产生的替换驾驶设定值是将要使用的设定值时，接口设备34应用这一设定值。

接口设备34提供用于激活飞机控制的物理接口：飞行控制、起落架、襟翼、断路器、等等……

替换驾驶系统1还包括通信设备37，该通信设备37包括安全数据模块(sdm)38、大气数据终端(adt)模块39和c2link模块48。

这些模块形成与远程驾驶系统的接口装置、与远程控制的通信装置、以及用于确保所记录的信息的完整性的数据安全性装置。完整性尤其依赖于使用安全检查器中实现的原则来确保所记录的数据和命令的安全。

通信装置37经由adt模块39被连接到主总线25，并且经由辅助总线41(在该示例中为a429总线)被连接到通信系统5。通信装置37经由串行链路被连接到和采集和分析设备30。

通信装置37使飞机能够被远程控制。具体地，通信设备37用于建立与地面的通信，从而可以从地面控制替换驾驶系统1。因此，如果飞行员不可用，例如，可以从地面管理飞机的无线电通信和控制。

由通信设备37在飞机与地面之间进行的通信可通过卫星链路通过直接(视线)无线电链路，或者确实使用地面无线电通信基础设施(例如4g或5g型移动电话网络)来发生。

替换驾驶系统1还包括滑行控制设备45，该滑行控制设备45包括滑行辅助系统(tas)模块46、能够使用一个或多个相机并执行图像处理的引导设备47、以及防撞设备48(例如利用雷达，并且可能也利用相机成像设备(日光、长波红外(lwir)))。

滑行控制设备45在外部被连接到主总线25。

滑行控制设备45适于为地面上的飞机产生驾驶设定值。在起飞期间，在飞行员在飞机达到确定的速度v1之前丧失能力(如上所述)的情况下，滑行控制设备45适用于制动飞机，并在这种情况下它还用于使飞机保持在跑道的轴线上。滑行控制设备也可以代替飞行员执行滑行。

替换驾驶系统1还具有包括不间断电源的电源设备49。电源设备49是自包含且独立的设备，即使在故障对飞机的发电系统造成影响的情况下，也为替换驾驶系统1供电。电源设备49通过独立的电源总线被连接到替换驾驶设备1的其他设备。

替换驾驶系统1还包括用于监控飞机的系统监控设备50。

系统监控设备50包括位于驾驶舱中的屏幕。

系统监控设备50被连接到主总线25。

替换驾驶系统1还包括飞行员监控设备51。飞行员监控设备51用于检测飞机处于与飞行员不可用相对应的紧急情况。

飞行员监控设备51包括用于采集驾驶员面部，以及特别是飞行员的眼睛的图像的相机。

飞行员监测设备51还包括检测器系统，该检测器系统能够在不到两秒钟内通过使用生物特征传感器和特定传感器来检测飞行员丧失能力。检测系统要求飞行员在起飞的关键阶段执行连续且有意识的动作。由检测系统为此目的使用的特定传感器可以是被布置在控制柱和油门上的在起飞期间需要按下的按钮，或者是用于验证飞行员的手是否确实在控件上的光学传感器。

飞行员监控设备51被连接到主总线25。

替换驾驶系统1还包括虚拟副驾驶设备52。虚拟副驾驶设备52的目的是预测危险情况并在这种情况变得可能发生的情况下警告飞行员。另外(且最重要的是)虚拟副驾驶设备52具有在数据和关键动作之间进行交叉检查的目的，并且还具有以自动方式执行任务的目的。它还有与飞行员的语音接口和视觉接口。它还生成音频消息。它由状态机部分、处理器模块和人机接口(mmi)部分组成。

虚拟副驾驶设备52被连接到主总线25。

自然地，本发明不限于所描述的实施例，而是涵盖了落入如由权利要求书限定的本发明范围内的任何变型。