CN103201694B - 在机组人员工作能力丧失的情况下自动控制飞机 - Google Patents

Abstract

本发明涉及一种在机组人员工作能力丧失的情况下，自动控制飞机的方法，其可包括确定机组人员的任何工作能力丧失的情况。本方法还可包括提供信息，其要求机组人员响应确定其工作能力丧失，进行确认。本方法还可包括命令自动驾驶仪控制飞机，以响应没有从机组人员收到确认。

Description

在机组人员工作能力丧失的情况下自动控制飞机

技术领域

本发明涉及宇航飞行器或飞机以及与此类运载工具接合的航空电子设备，且更具体地，涉及在机组人员工作能力丧失/无行为能力的情况下，用于自动控制飞机的方法和系统。

背景技术

在某些情况下，飞机的机组人员或飞行员可变得工作能力丧失且不能控制飞机。机组人员变得工作能力丧失的示例可以是，座舱内的减压或飞机的机舱高于机组人员需要氧气的高度，或出于其它原因，座舱或机舱内缺乏氧气。低氧或缺乏氧气会导致机组人员的判断力受损，并最终使机组人员失去意识。在这种情况下，当机组人员工作能力丧失时，飞机能够安全飞行，使飞机下降到具有足够维持人类生命的氧气的高度并允许机组人员可能的苏醒的能力是需要的。

机组人员可变得工作能力丧失的另一个示例是，未授权的飞行员接管控制飞机，或授权机组人员的一些其它损伤。在这样的情况下，飞机可能以不安全不稳定的方式飞行，或飞到非程序设置的或飞行计划中的目的地。在这种情况下，恢复飞机的控制，并指引其到安全区域的能力是需要的，在该安全区域中，即使对地面上其它飞机或物体有任何损伤，也是最小化的。

发明内容

根据实施例，在感测到不存在机组人员或飞行员的启发式/探索式人类行为后，或当飞机看起来以不稳定的方式操作，或以非计划方式或航向飞行时，飞机的控制可被机载系统自动接管。以不稳定或非计划的方式操作可以是因为以下任一情况：机组人员遭受缺氧或低氧；未授权的飞行员控制飞机；或因为其它原因飞机未被正确操作。如果系统检测到飞机未如预期进行操作（缺少输入，或不正常输入），系统可要求飞行员或机组人员对警报、信息或其它刺激做出响应。如果未收到适当的响应，如安全码或密码，系统可自动接管控制飞机。系统也可发送通信或预定信息警告地面站，如空中交通管制，指挥塔台或其它设施，飞机正被系统自动控制。在未授权飞行员或常规机组人员损伤的情况中，如果做出不稳定飞行飞机，或飞到非程序设置的或飞行计划中的目的地的企图，系统将要求输入置换码/超驰代码（override code）。在低氧的情况下，飞机自动控制系统会进行飞行控制和自动油门控制，及用地形跟踪部件/特征降低高度至具有足够使人类生存和机组人员可能苏醒的氧气的高度。系统还可使飞机飞至最近的机场或降落点。系统可向机场的塔台发送信号并在目的地上空盘旋。如果机组人员未响应，飞机可以在飞机燃油耗尽前，飞至安全区域，如海上或其它无人居住区域，以避免地面附带损伤。

根据一个实施例，在机组人员工作能力丧失的情况下，自动控制飞机的方法可包括，确定机组人员任何工作能力丧失。本方法还可包括，提供要求机组人员响应确定其工作能力丧失进行确认的信息。本方法可另外包括，响应未从机组人员收到确认（acknowledge）命令自动驾驶仪控制飞机。

根据另一个实施例，在机组人员工作能力丧失的情况下，用于自动控制飞机的机载系统可包括，在机组人员工作能力丧失的情况下，用于自动控制飞机的处理器和在处理器上操作的模块。模块可适于确定机组人员的任何工作能力丧失，并提供要求机组人员响应确定其丧失控制飞机的工作能力进行确认的信息。机载系统还可包括自动驾驶仪，其响应未从机组人员收到确认控制飞机。

根据另一个实施例，在机组人员工作能力丧失的情况下，用于自动控制飞机的计算机程序产品可包括，计算机可读存储介质。计算机存储介质中可具有在其上实施的计算机可读程序代码。计算机可读程序代码可包括，配置用于确定机组人员的任何工作能力丧失的计算机可读程序代码。计算机可读程序代码还可包括，配置用于提供要求机组人员响应确定其工作能力丧失进行确认的信息的计算机可读程序代码。计算机可读程序代码另外可包括，配置用于响应未从机组人员收到确认，命令自动驾驶仪控制飞机的计算机可读程序代码。

仅由权利说明限定的本发明的其它方面和特征，基于下面本发明的非限定性详细说明结合附图，对本领域普通技术人员来说将是显而易见的。

附图说明

以下详细描述的实施例参考附图，其示出了本发明的具体实施例。具有不同结构和操作的其它实施例没有偏离本发明的范围。

图1A和1B（集体图1）是根据本发明的实施例，在机组人员工作能力丧失的情况下，自动控制飞机方法的示例的流程图。

图2是根据本发明的实施例，在机组人员工作能力丧失的情况下，用于自动控制飞机的机载系统的示例的方框示意图。

图3是座舱显示器的示例，根据本发明的实施例，其示出了在机组人员工作能力丧失的情况下，飞机的指令超控（command override）或自动控制。

图4是座舱显示器的示例，根据本发明的实施例，其示出了使机组人员确认恢复对飞机的控制的信息。

具体实施方式

以下详细描述的实施例参考附图，其示出了本发明的具体实施例。具有不同结构和操作的其它实施例没有偏离本发明的范围。

如本领域技术人员将会理解的，本发明可以实施为/体现为方法、系统或计算机程序产品。相应地，本发明在这里可采用完全硬件实施例，完全软件实施例（包括固件、常驻软件、微代码等）或合并通常可称为“电路”、“模块”或“系统”的软件和硬件方面的实施例的形式。此外，本发明可采用计算机程序产品的形式，其实施在在其上实施计算机可读程序代码的一个或多于一个计算机可读存储介质中。

可以利用一个或多于一个计算机可读介质的任意组合。计算机可读介质可为计算机可读信号介质或计算机可读存储介质。计算机可读存储介质可为，例如但不限于，电子的，磁的，光学的，电磁的，红外的，或半导体系统，设备或装置，或以上任意合适的组合。更具体的计算机可读存储介质的示例（非详尽列表）可包括：具有一条或多于一条导线的电气连接、便携式计算机磁盘、硬盘、随机存取存储器（RAM）、只读存储器（ROM）、可擦除可编程只读存储器（EPROM或闪存）、光纤、便携式光盘只读存储器（CD-ROM）、光存储装置，磁存储装置、或以上任何合适的组合。在本说明书的上下文中，计算机可读存储介质可以是包含或存储用于指令执行系统、设备或装置，或与其关联的程序的任何有形介质。

计算机可读信号介质可包括：在其中实施有计算机可读程序代码的传播数据信号，例如在基带中或作为载波的一部分。这种传播信号可采用下面各种形式中的任一个，包括但不限于，电磁的、光学的、或其任意合适的组合。计算机可读信号介质可为非计算机可读存储介质且可通信、传播、或运输用于指令执行系统、设备或装置，或与其关联的程序的任意计算机可读介质。

实施在计算机可读介质上的程序代码可使用任意合适的介质传播，包括但不限于，无线、有线、光线电缆、RF等，或以上任意合适的组合。

用于执行本发明的方面的操作的计算机程序代码可以以一种或多于一种编程语言的任意组合编写，该编程语言包括，面向对象的编程语言，如Java、Smalltalk、C++或类似语言，和传统过程化编程语言，如“C”编程语言或类似编程语言。程序代码可全部在用户的计算机上执行，部分在用户的计算机上执行，如独立的软件包，部分在用户的计算机上和部分在远程计算机上执行，或全部在远程计算机或服务器上执行。在后者情况下，远程计算机可通过任意种类的网络连接至用户的电脑，该网络包括局域网（LAN）或广域网（WAN），或可连接至外部计算机（例如，利用互联网服务供应商通过互联网）。

参考根据本发明的实施例的方法、设备（系统）和计算机程序产品的流程图和/或框图，在下面对本发明的方面进行描述。要理解，流程图和/或框图的每一块，和流程图和/或框图中的组合块，可通过计算机程序指令实施。这些计算机程序指令可向通用计算机、专用计算机、或其它可编程数据处理设备的处理器提供，以产生机器（machine），这样，通过计算机或其它可编程数据处理设备的处理器执行的指令，创建用于执行流程图和/或框图的块或组合块中指定的功能/行为的工具。

这些计算机程序指令也可存储在可指导计算机，其它可编程数据处理设备，或其它装置，以特定的方式发挥作用的计算机可读介质中，这样，存储在计算机可读介质中的指令产生制品，其包括，实施流程图和/或框图的块或组合块中指定的功能/行为的指令。

计算机程序指令还可加载到计算机，其它可编程数据处理设备，或其它装置上，从而导致一系列要在计算机，其它可编程设备或其它装置上执行的操作步骤，从而产生计算机实施的过程，这样，在计算机或其它可编程设备上执行的指令，提供实施流程图和/或框图的块或组合块中指定的功能/行为的过程。

图1A和1B（集体图1）是根据本发明的实施例，在机组人员工作能力丧失的情况下，自动控制飞机方法100的示例的流程图。在块102中，可做出是否飞机正由机组人员或飞行员手动操作，或自动驾驶仪在控制飞机的操作的测定。如果机组人员在手动操作飞机，方法100可前进至块104。在块104中，有效/活跃（active）机组人员的存在可通过飞行数据中启发式指示得到确定。飞行数据中的启发式指示可包括，但不必限于人工控制飞机，例如，控制副翼、升降舵或其它飞行控制中飞机的杆或支架(yoke)的操作，控制舵的活动的脚控踏板的运动，和其它飞行员或副驾驶员在手动控制飞机时的行为的正常或通常和预期的飞行控制输入。这些启发式指示可编程至系统和方法100中，并与飞行员或副驾驶员的实际行为进行对比，以确定有效机组人员或飞行员的存在。

确定有效机组人员的存在还可包括，确定是否授权的飞行员或机组人员在控制飞机，或机组人员或飞行员有一些其它工作能力的丧失或损害。例如，方法100可检测飞机极端，不寻常或非启发式控制，非程序设置的或飞行计划的飞行路径或航向，或其它异常的飞行特性或行为。超出预定或预设值的各种飞行特性可被检测。飞行特性可通过各种传感器检测，并与启发式数据或指标进行对比。各种可检测和评估，从而确定有效机组人员和授权机组人员的存在的飞行特性的示例可包括但不必局限于，飞机的侧倾和侧倾率，飞机的俯仰和俯仰率，飞机的偏航/横摆（yaw）和偏航率，高度，航向和飞机的速度，飞机的配置，和有关操作界限的包络数据，对飞机不同的机动飞行/调遣，或其它行为的限度或其它规范。标准以外或异常或超出预设限制或值的各种飞行特性的任意一个可表明可能的未授权飞行员或受伤飞行员。

在块106中，基于块104中的参数和测定，可做出是否存在有效机组人员并手动控制飞机的测定。如果做出测定，存在有效机组人员，方法100可返回至块104。如果做出测定，不存在有效机组人员，方法100可前进至块110。

在块108中，基于块104中的分析，可做出是否可能的未授权飞行员或受伤飞行员在控制飞机，或其它异常或极端动作或行为发生的测定。如果在块108中做出测定，可能的未授权飞行员在控制飞机，方法100可前进至块110。否则，方法100可返回至104。

在块110中，信息、警报或其它刺激可提供至飞行员或机组人员。信息或警报可呈现在座舱内的显示器上，如与电子飞行包（EFB）关联的显示器，与飞行管理计算机（FMC）关联的显示器或其它座舱显示器。信息或警报可要求飞行员或机组人员对其存在和控制飞机的能力做出确认。信息或警报可要求机组人员或飞行员输入只有授权飞行员或机组人员成员知道的安全码或密码。在块112中，可做出是否确认或正确的安全码或密码被输入至系统中的测定。如果块112接收到确认或正确的代码，方法100可返回至块104中。

返回至块102，如果在块102中做出测定，飞机正由自动驾驶仪控制，方法100可前进至块114。在块114中，飞行参数和座舱或机舱环境参数以及任何其它用于检测飞机的正常操作的参数可被监控。飞机的任何极端或非启发式控制，类似于参考块104所描述的，也可在块114中得到评估，从而检测可能的未授权的飞行员或飞机的极端或未授权控制。机舱或座舱增压的任何损失也可在块114中得到检测。检测增压的损失可包括检测比预定速率更快的增压下降。

类似于之前所描述的，可在块108中做出是否可能的未授权飞行员控制飞机或飞机的其它未授权或极端操作发生的测定。如果没有，方法100可返回至块114。如果在块108中做出测定，飞机可能由未授权飞行员控制，方法100可前进至块110，且块110的功能类似于之前所描述可被执行，且飞行员将被要求输入安全码或密码，以防止指令超控或恢复对飞机的控制。

在块116中，可做出块114中是否检测到增压损失的测定。如果没有检测到增压损失，方法100可返回至块114。如果在块116中检测到增压损失，方法100可前进至块110，且可执行块110的功能。如果确定在块112中收到确认或安全码或密码，方法100可返回至块114，且方法100可如之前描述继续进行。如果在块112中没有收到确认或正确的安全码或密码，方法100可前进至块118。

在块118中，可进行指令超控，且指令可发送至自动驾驶仪，使其控制飞机。自动驾驶仪可被命令进行平飞，并降低高度至预设高度。例如，预设高度可为低于约10000英尺的高度，或具有足够氧气用于机组人员呼吸而不借助协助或补充氧气的高度，并允许可能的遭受低氧的机组人员的苏醒。可存在飞机座舱内，以指示指令超控和自动驾驶仪正在控制飞机的显示器300的示例将在这里参考图3进行详细描述。

在块120中，信息或通信可自动发送至地面站，如航线飞行，空中交通管制或其它设施。信息或通信可允许其它飞机被引导离开飞机的潜在飞行路径。

在块122中，自动驾驶仪可启动控制下降至最近的降落点或机场。在块124中，自动驾驶仪响应到达着陆地点或机场，可在选择的高度使飞机进入等待航线。

在块126中，另一个信息或警报可向机组人员提供。信息或警报可要求机组人员确认存在和恢复飞机控制的能力。信息还可要求输入代码或密码，以确认飞机的控制可由授权飞行员恢复。

在块128中，可做出测定，是否收到确认和/或输入恢复飞机控制的正确的代码或密码。显示器400的示例，其包括要求机组人员确认存在并输入安全码或密码的信息或警报，在图4中示出。在关联块122，124和126的操作过程中的任意时间，飞行员或机组人员可在块128中确认存在，并可通过输入正确的安全码或密码恢复对飞机的控制。

如果在块128中做出测定，且收到确认或正确的安全码，方法100可返回至块104，且方法100可类似于之前所描述的，继续进行。如果在块128中没有收到确认或正确的安全码，方法100可前进至块130。在块130中，可确定避免地面间接损害的最近安全区域和飞行时间。然后，自动驾驶仪可在燃油耗尽前使飞机飞至安全区域。安全区域可在海洋上或无人居住的地面区域上。

图2是根据本发明的实施例，在机组人员工作能力丧失的情况下，飞机202的用于自动控制的飞机202的机载系统200的示例的框图。方法100可在系统200中实施。系统200可包括自动控制飞机202的模块。自动控制模块204可存储在计算机系统206或处理器上和/或在计算机系统206或处理器上操作。方法100的一些或全部功能可在自动控制模块204上实施或执行。计算机系统206可设置或安装在飞机202中。

自动控制模块204可从飞行控制传感器208和机舱/座舱环境传感器210接收数据。飞行控制传感器208可类似于之前所描述的，感测飞机的飞行控制的任何极端或多余操作。机舱/座舱环境传感器210可感测机舱增压的任何损失。

自动控制模块204还可从地形跟踪特征或单元212接收信息或数据。地形跟踪部件或单元212还可包括机场数据，并可包括沿着潜在飞行路径到最近的机场或降落点的地理区域的地图。

自动控制模块204还可连接电子飞行包（EFB）214，或寄主/托管（hosted）在电子飞行包（EFB）214中。EFB214是电子信息管理装置，其可配置在飞机上，以协助机组人员更容易和有效地执行飞行管理任务。EFB214可以是通用计算机或旨在减少或替换，以前飞行员随身飞行包内的纸基参考材料的计算平台。这种材料可以包括飞行操作手册、机组人员操作手册、包括空中和地面操作的地图的导航图和其它用于飞行操作的材料。EFB214包括地面和空中操作的电子移动地图。此外，EFB214可寄主/掌管（host）软件应用程序，其用于自动化其它正常或以前由飞行员手动进行的操作的具体目的，如执行起飞计算和其它飞行相关的任务。

EFB214可耦合至飞行管理计算机（FMC）216。FMC216和EFB214可提供关键的飞机和发动机性能参数至自动控制模块204，以支持这里描述的自动控制飞机。FMC216可为计算机系统206的部分或集成到其中，或自动控制飞机模块204可以在FMC216，而非包括图2的示例中示出的独立计算机系统206的系统上操作。

显示器218和输入/输出控制装置220或工具可以关联EFB214，或独立显示器和控制可以关联自动控制模块204。

全球定位系统（GPS）222，惯性测量单元（IMU）或其它装置可以提供地理位置信息至用于飞机202自动控制的FMC216和EFB214。

自动驾驶仪224可通过FMC216由自动控制模块204控制，或自动驾驶仪224可直接由自动控制模块204控制。

收发器226可耦合至计算机系统206，用于与地面站进行通信，和发送任意类似这里描述的，与在机组人员工作能力丧失的情况下，飞机由自动驾驶仪224控制或处在指令超控模式有关的自动信息。

图3是座舱显示器300的示例，其示出了根据本发明的实施例，在机组人员工作能力丧失的情况下，飞机的指令超控或自动控制。显示器300可用于图2中的显示器218，且可以关联EFB。显示指令超控302的显示器300可显示关联自动驾驶仪的指令超控或飞机自动操作的信息。例如，指令超控屏幕302可包括第一列表304，其示出自动驾驶仪控制的飞机的指令超控或自动控制的可能原因，和第二列表，其示出可能行为306和关联每个行为306的当前状态308。

可以被显示用于图3中示出的指令超控的可能原因304的示例包括：“突发失压”、“突发俯仰，侧倾，偏航”、“突发高度损失”、“缺少人类行为”和“飞行员请求”。这些可能原因仅是说明性示例，且其它飞机的指令超控或自动控制的可能的原因描述可以另外用于其它可能原因。当机组人员查看时，检测的当前超控的原因可以某种方式突出显示，使得其有别于其它可能的指令超控的原因。例如，当前原因可以粗体和/或与所列出的指令超控的其它原因区分的不同颜色显示。

图3示出的指令超控期间可采取的可能行为306的示例可以与“警报基地和进行自动驾驶”，“下降到<10000ft AGL”，“前进至航线点”，“等待航线”和“等待机组人员或迫降”关联（in collude）。当前行为306可突出显示，或和列表中的其它行为区分显示，使得机组人员容易查看和识别。例如，当前行为可为粗体和/或不同颜色。此外，关联当前行为的状态308可如关联行为“下降到<10000ft AGL”的图3中示出的，读作“当前行为”。其它行为状态的示例可为“已完成”和“队列行为”。

指令超控屏幕300还可以包括部件/特征310，其可经操作返回至PW屏幕或屏幕，使得授权机组人员或飞行员恢复飞机的控制。

图4是座舱显示器400的示例，其示出了根据本发明的实施例，用于机组人员确认并恢复飞机的控制的屏幕402。屏幕402可包括第一区域404，其提供进行指令控制的信息。第一区域404还可以包括信息，其为要恢复控制，必须输入密码。显示器400还可包括输入密码或安全码的部件/特征（feature）406。输入密码的部件/特征406可以是通过在类似图4中示出的屏幕402上的触摸键盘或小键盘，或可以通过实际键盘或小键盘或任何其它合适机构。然后，恢复飞机的控制的密码可由机组人员成员通过键盘或小键盘部件/特征406的操作输入。当机组人员成员输入密码时，密码出现在屏幕402上的第二区域408中，用于机组人员成员进行确认。

图中的流程图和框图示出，根据本发明的各种实施例的系统、方法和计算机程序产品的可能实施的架构，功能和操作。关于这方面，流程图或框图的每一块可代表模块、段、或部分代码，其包括实施具体逻辑功能的一个或多于一个可执行指令。应该注意到的是，在某些可选实施中，块中提到的功能可不以图中提到的顺序发生。例如，连续显示的两个块，事实上，随后可同时执行，或块有时可以以倒序的方式执行，这取决于所涉及的功能。还应该注意的是，框图和/或流程图中的每一块，和框图和/或流程图中的组合块，可通过执行特定功能或行为的特殊用途的基于硬件的系统，或特殊用途硬件和计算机指令的结合体实施。

这里所用的术语仅是为了描述具体实施例，并不是为了限制本发明。如这里所用，单数形式“一个”、“一”和“该”旨在也包括复数形式，除非说明书中另外明确指示。应进一步理解，当术语“包括”和/或“包含”用在本说明书中时，其指出存在所述功能、整体、步骤、操作、元件和/或组件，但不排除存在或外加一个或多于一个其它功能、整体、步骤、操作、元件、组件和/或其中的组。

尽管这里示出并描述了具体实施例，本领域一般技术人员理解，经计算实现同样目的的安排可被替代用于具体示出的实施例，且这里的实施例在其它环境中具有其它应用。本申请旨在涵盖本发明的任何修改和变化。权利要求并非旨在限制本发明的范围于这里描述的具体实施例内。

Claims (12)

1.一种在机组人员工作能力丧失的情况下，自动控制飞机的方法，其包括：

确定所述机组人员的任何工作能力丧失；

响应确定所述机组人员的工作能力丧失，在座舱显示器提供要求所述机组人员的确认的第一信息，其中要求所述机组人员的确认包括接收仅仅授权的机组人员成员知道的安全码；以及

响应未从所述机组人员收到所述确认，命令自动驾驶仪控制所述飞机；

响应所述自动驾驶仪被命令控制所述飞机，通过所述自动驾驶仪控制所述飞机至降落点；

在所述飞机到达所述降落点时，提供要求所述机组人员的确认的另一信息，其中要求所述机组人员的确认包括接收所述安全码；

确定避免地面间接损害的安全区域和燃油耗尽前到达所述安全区域的飞行时间，作为对没有接收响应于所述另一信息的所述安全码的响应；以及

在燃油耗尽前使所述飞机飞行到所述安全区域，作为对没有接收响应于所述另一信息的所述安全码的响应。

2.根据权利要求1所述的方法，其中确定所述机组人员的任何工作能力丧失包括当所述飞机为手动控制时，通过评估对应于由真人控制的飞机的飞行数据中的启发式指示，确定有效机组人员的存在。

3.根据权利要求1所述的方法，其进一步包括：

监控飞行控制参数以检测所述飞机的任何非启发式控制；以及

监控座舱环境参数以检测飞机增压的损失。

4.根据权利要求1所述的方法，其中确定所述机组人员的任何工作能力丧失包括下面中的至少一个：

检测超过预定侧倾和侧倾率值的所述飞机的侧倾和侧倾率；

检测超过预定俯仰和俯仰率值的所述飞机的俯仰和俯仰率；

检测超过预定偏航和偏航率的所述飞机的偏航和偏航率；

检测与授权或预设高度不同的高度；

检测与授权或计划航向不同的航向；

检测与授权或预定速度不同的速度；

检测与特定飞行阶段的预期配置不同的飞机配置；以及

检测与所述特定飞行阶段的预期包络不同的包络数据。

5.根据权利要求1所述的方法，其中提供要求所述机组人员的确认的第一信息包括响应检测所述飞机中增压损失，提供所述第一信息。

6.根据权利要求1所述的方法，其中响应未从所述机组人员收到所述确认命令自动驾驶仪控制所述飞机包括命令所述自动驾驶仪进行平飞且减小高度到预设高度。

7.根据权利要求1所述的方法，其进一步包括：

检测由未授权的飞行员对所述飞机的控制；

要求输入所述安全码；以及

响应未收到所述安全码或收到错误的安全码，命令所述自动驾驶仪控制所述飞机。

8.根据权利要求1或7所述的方法，其进一步包括，响应所述自动驾驶仪控制所述飞机，发送自动化信息到地面站。

9.根据权利要求1所述的方法，其进一步包括，响应到达所述降落点，通过所述自动驾驶仪在选择的高度自动使所述飞机进入等待航线。

10.一种在机组人员工作能力丧失的情况下，用于自动控制飞机的机载系统，其包括：

处理器；

第一模块，其在机组人员工作能力丧失的情况下，在所述处理器上操作用于自动控制所述飞机，其中所述第一模块适于确定所述机组人员的任何工作能力丧失，并响应确定所述机组人员的工作能力丧失，提供要求所述机组人员的确认的第一信息，其中所述机组人员的确认包括仅仅授权的机组人员成员知道的安全码；以及

自动驾驶仪，其响应未从所述机组人员收到所述确认而控制所述飞机，其中响应所述自动驾驶仪被命令控制所述飞机，所述自动驾驶仪控制所述飞机至降落点；

在所述处理器上操作的另一模块，被配置用于在所述飞机到达所述降落点时，提供要求所述机组人员的确认的另一信息，其中要求所述机组人员的确认包括接收所述安全码；和

在所述处理器上操作的第三模块，被配置用于确定避免地面间接损害的安全区域和燃油耗尽前到达所述安全区域的飞行时间，作为对没有接收响应于所述另一信息的所述安全码的响应；以及在燃油耗尽前所述自动驾驶仪使所述飞机飞行到所述安全区域，作为对没有接收响应于所述另一信息的所述安全码的响应。

11.根据权利要求10所述的机载系统，其进一步包括：

提供要求机组人员的确认的所述第一信息的座舱显示器；以及

由所述机组人员输入所述确认的输入装置。

12.根据权利要求10所述的机载系统，其进一步包括：

检测所述机组人员的手动命令的传感器，其中通过当所述飞机正被手动操作时所述传感器未检测到所述机组人员的任何手动命令或所述传感器检测到所述飞机的异常控制，来确定所述机组人员的工作能力丧失；以及

检测所述飞机的降压的传感器。