CN104950740A - 具有冗余计算机的用于交通工具的系统 - Google Patents

Abstract

一种用于交通工具(10)的控制和/管理系统(16)包括用于操纵交通工具(10)的操纵促动器(30)；用于控制交通工具(10)的内部系统构件(27)的系统作用器(26)；用于获得与系统作用器(26)和操纵促动器(30)相关联的数据的传感器(22)；以及用于控制和/或管理交通工具(10)的至少两个冗余计算机(18,28,24)。系统(16)包括以下至少一者：(A)与操纵促动器(30)、系统作用器(26)和传感器(22)通信互连的至少两个冗余交通工具管理计算机(18)，其中交通工具管理计算机(18)适于基于由传感器(22)获得的数据生成各个操纵促动器(30)和各个系统作用器(26)的系统控制命令；(B)用于使传感器(22)和/或系统作用器(26)与交通工具管理计算机(18)互连的至少两个冗余远程接口单元(24)；(C)适用于从至少两个交通工具控制计算机(18)接收操纵命令的至少两个冗余促动器控制计算机(28)，其中各个促动器控制计算机(28)适用于基于接收的操纵命令来生成各个操纵促动器(30)的控制命令；(D)用于连接外部计算机(40)的公共接口(38)，其中公共接口(38)直接地连接到至少两个冗余计算机上。

Description

具有冗余计算机的用于交通工具的系统

技术领域

本发明涉及一种用于交通工具的控制和/或管理系统，以及无人空中或陆地交通工具。

背景技术

具体而言，长续航时间的无人飞行器可相对于其形状、重量、燃料消耗等高度优化，以实现所需的到达时间。因此，仅存在较小的附接的控制表面(如，副翼和舵)，且仅存在可用于交通工具管理、系统维护、通信和任务航空系统的较少空间和有限电功率。

发明内容

本发明的目的在于减小交通工具的重量和功率消耗和电子系统复杂性。本发明的另一个目的在于提供一种交通工具的防故障控制和管理系统。

这些目的由独立权利要求的主题实现。其它示例性实施例从从属权利要求和以下描述中清楚。

本发明的一个方面涉及一种用于交通工具的系统。交通工具可为基于陆地、水或空气的交通工具，如，汽车、坦克、船舶、潜艇、飞行器等。应当理解的是，系统可包括所有硬件和软件构件，其用于控制交通工具，如，促动器、传感器、计算机、数据网络构件等。系统可控制内部系统作用器，如泵、发电机、电机、阀、继电器等，以及/或者外部操纵促动器，如副翼、舵、轮等。

根据本发明的实施例，系统包括机动用于操纵交通工具的操纵促动器(如，适用于移动控制表面的促动器)、用于控制交通工具的内部构件的系统作用器(如，阀、发电机、电机、泵、继电器)和用于获得与系统作用器和操纵促动器相关联的数据的传感器(如，位置传感器、电传感器、温度传感器、压力传感器)。当系统传感器获取、感测或测量可由相应的促动器改变或操纵的数据/信息(如，继电器之后的电流、由用作促动器的电动机移动的构件的位置，或阀的位置)时，系统传感器可与系统作用器和/或操纵促动器相关联。

此外，系统包括用于控制和/或管理交通工具的至少两个冗余计算机。冗余计算机可为交通工具管理计算机、远程接口单元和/或促动器控制计算机。

根据本发明的实施例，该系统包括与操纵促动器、系统作用器和传感器通信地互连的至少两个冗余交通工具管理计算机，其中交通工具管理计算机适于生成用于系统作用器如阀、发电机、电机、泵的系统控制命令，以及用于基于由传感器获得的数据生成操纵促动器继电器的操纵命令。交通工具管理计算机可执行交通工具管理功能(如，飞行控制、飞行引导、自动驾驶、自动油门、发动机控制、环境控制等)和/或系统服务(如，电功率控制、燃料管理、轮制动等)的计算。交通工具管理计算机可生成对应的操纵命令(其可包括控制表面的位置请求)，且可将它们转发至可用于控制操纵促动器（见下文)的促动器控制计算机。

根据本发明的实施例，系统包括用于使系统传感器和/或系统作用器与交通工具管理计算机互连的至少两个冗余远程接口单元(远离相应的交通工具管理计算机)。各个交通工具管理计算机可从系统传感器经由其连接的远程接口单元(例如，经由专用数据总线)从系统传感器接收数据。关键数据可由多个传感器感测到，传感器经由直接连接来连接到不同的远程接口单元或其它上。这可确保对应的数据经由至少两个远程接口单元或经由直接连接来在至少两个交通工具管理计算机上接收到。

交通工具管理计算机可生成控制命令和/或对其它系统作用器(如，泵的开/关、阀的开启/闭合等)的请求，且可将它们转发至可驱动对应的系统作用器的远程接口单元。作为备选，交通工具管理计算机可直接地驱动对应的系统作用器。

根据本发明的实施例，系统包括适用于从至少两个交通工具控制计算机接收操纵命令的至少两个冗余促动器控制计算机。各个促动器控制计算机可直接地连接到仅一个交通工具管理计算机上。例如，可存在于与交通工具管理计算机数目相同的促动器控制计算机。促动器控制计算机可与彼此通信互连。在此情况下，当一个交通工具管理计算机失效时，操纵命令可从促动器控制计算机传送，这将这些命令接收到连接至失效的交通工具管理计算机上的促动器控制计算机。

各个促动器控制计算机可适于基于接收到的操纵命令来生成用于各个操纵促动器的控制命令。操纵促动器适于移动控制表面，例如，副翼、升降舵和/或舵。还可存在与操纵促动器相关联的传感器来确定控制表面的位置。各个促动器控制计算机可利用所有操纵促动器通过基于交通工具管理计算机的位置请求(操纵命令)和控制表面的感测位置来驱动对应的促动器来执行回路闭合。

根据本发明的实施例，该系统包括公共接口，例如，连接外部计算机或简单电子硬件作为开关和/或灯。公共接口可直接地连接到至少两个冗余计算机上。公共接口可看作是中心枢纽，例如，用于飞行器中的维护活动，用于由系统提供的交通工具管理和系统服务。公共接口可简化维护程序，且因此可减少维护成本。

例如，公共接口可直接地连接到至少两个交通工具管理计算机上。

例如，来自系统的故障数据集可储存在交通工具管理计算机中，和/或可在地面操作期间经由公共接口下载至地面控制计算机。地面控制计算机还可用于开始系统的维护测试。交通工具管理计算机可将对应的命令发出至系统的受影响的作用器。交通工具管理计算机可看作是交通工具对于所有维护活动的另一个中心枢纽。

根据本发明的实施例，各个交通工具管理计算机适于生成用于各个系统作用器和/或各个操纵促动器的控制命令。换言之，当一个交通工具控制计算机有故障时，另一个交通工具控制计算机可接管功能，用于控制通常由故障的交通工具管理计算机控制的特定系统作用器和/或操纵促动器。

具有提供与相关系统服务组合的高度集成的交通工具管理系统的交通工具管理计算机的系统可减小重量、所需的内部空间、功率消耗和系统的所需冷却，同时通过冗余设计来保持高度安全目标。

此外，系统可分别提供针对交通工具(例如，有人飞行器、UAV、其它电子控制的交通工具，例如，如汽车)的所有安全关键电子系统/功能的故障操作/故障安全或故障操作/故障操作设计的实施方式。这基于可连接到彼此上的一组冗余的交通工具管理计算机。

根据本发明的实施例，各个交通工具管理计算机通过单独的数据链与交通工具管理计算机彼此互连，单独的数据链可看作是交叉通道数据链。通过这些数据链，交通工具管理计算机可直接地交换数据，如，生成的控制和/或操纵命令、接收的传感器数据和/或其它信息。在这些数据链中的一个失效的情况下，有可能的是数据经由中间交通工具管理计算机间接地传输。

根据本发明的一个实施例，交通工具管理计算机适用于从至少一个其它交通工具管理计算机接收控制命令和/或传感器数据，且适用于比较来自不同交通工具管理计算机的控制命令和/或传感器数据，以确定交通工具管理计算机的误差。各个交通工具控制计算机可适用于执行感测数据和/或经由数据链传输的控制数据之间的比较。例如，植入测试和各种通道之间的交叉比较(即，由不同数据链接收到的数据)可执行来检测系统的故障部分。

在检测到故障数据和/或故障构件的情况下，交通工具管理计算机可基于故障执行重整，例如，确保针对系统作用器生成正确的控制命令，和/或生成正确的操纵命令使得控制表面即使在故障存在时也移动至正确位置。取决于功能中涉及的通道/传感器的数目，故障安全、故障操作/故障安全，或故障操作/故障操作行为可针对特定控制功能实现。

根据本发明的一个实施例，第一交通工具管理计算机直接地连接到第一系统传感器上，且第二交通工具管理计算机直接地连接到第二系统传感器上。在此上下文中，直接地连接可意指从传感器传输至交通工具管理计算机的数据并未经由中间交通工具管理计算机传输。然而，传感器可经由接口单元与交通工具控制计算机连接。在此情况下，两个交通工具控制计算机正确地操作，第一交通工具管理计算机可处理来自第一传感器的数据，和/或可生成与第一传感器相关联的促动器的控制命令，且第二交通工具管理计算机可处理来自第二传感器的数据，和/或可生成与第二传感器相关联的促动器的控制命令。

从第一交通工具管理计算机中的第一系统传感器接收到的数据可由第一交通工具管理计算机传输至第二交通工具管理计算机。例如，当由第一交通工具管理计算机生成的故障控制命令检测到时，第二交通工具管理计算机接管第一交通工具管理计算机的作用，且可生成第一促动器的控制命令。

根据本发明的实施例，系统包括(刚好)两个、三个、四个或更多交通工具管理计算机。各个交通工具管理计算机均可提供系统的通道。以此方式，系统可为二重的、三重的或四重的冗余系统，或可具有更高的冗余。冗余构件可为相似的(即，相同设计的)或不相似的(即，不同设计的)。

根据本发明的一个实施例，第一系统传感器和第二系统传感器适于获得与特定系统作用器和/或操纵促动器相关联的数据。为了提供相对于系统作用器和/或操纵促动器的控制功能的冗余，一个以上的传感器可与特定促动器相关联。

第一系统传感器可连接到第一交通工具管理计算机上，且第二系统传感器可连接到第二交通工具管理计算机上。以此方式，即使在交通工具管理计算机完全故障的情况下，相应的促动器可由其它交通工具管理计算机控制。

根据本发明的实施例，各个促动器控制计算机通过单独的数据链与促动器控制计算机彼此互连。类似于交通工具管理计算机，这可提供促动器控制计算机之间的故障安全数据通信。

根据本发明的实施例，促动器控制计算机适用于从至少一个其它促动器控制计算机接收操纵命令和/或控制命令，且适用于比较来自不同的促动器控制计算机的操纵命令和/或控制命令，以确定促动器控制计算机或操纵促动器的误差。在此情况下，一个促动器控制计算机检测故障命令，和/或检测其它促动器控制计算机中的一个中的故障，其可接管相应的促动器控制计算机的作用。例如，一个或所有促动器控制计算机可执行经由数据链传输的数据之间的比较以确定故障数据。

类似于交通工具管理计算机，促动器控制计算机可基于故障来执行重整，以确定控制表面即使在故障存在时也移动至正确位置。取决于功能中涉及的通道/传感器的数目，故障安全、故障操作/故障安全或故障操作/故障操作行为可针对相应的功能实现。

根据本发明的一个实施例，系统包括两个、三个或四个冗余的促动器控制计算机。

根据本发明的实施例，至少一个冗余计算机包括具有不同关键性的至少两个处理单元。交通工具管理计算机和/或促动器控制计算机可包括存储器、处理器和软件。它们可实施为具有多个分离的处理单元的计算机，使得不同水平的关键功能可在一个计算机内分离。

根据本发明的实施例，系统还包括与交通工具的另一个控制计算机的至少一个通信接口，其中通信接口直接地连接到不同的交通工具管理计算机上。这还可在一个交通工具管理计算机失效的情况下提供冗余。例如，另一个控制计算机可连接到两个通信接口上。作为实例，对于有人的交通工具，飞行员的输入可经由至少两个独立通道提供至冗余交通工具管理计算机。作为另一个实例，对于无人交通工具，飞行员的命令可由两个独立的通信链路提供至冗余交通工具管理计算机。

根据本发明的实施例，另一个控制计算机为适用于命令系统自动地执行任务相关的操纵的任务管理系统，例如，遵循识别的目标或以搜索和救援模式飞行。

根据本发明的实施例，控制计算机为允许远程飞行员控制和/或监测交通工具的通信系统。

本发明的另一个方面涉及无人飞行器，包括前述权利要求中的一项的系统。无人飞行器可为没有机载的驾驶员的飞行器(如，飞机或直升机)。

本发明的这些及其它方面将从下文所述的实施例清楚且参照下文所述的实施例阐明。

附图说明

在下文中，本发明的实施例参照附图来更详细描述。

图1示意性地示出了根据本发明的实施例的无人飞行器。

图2示意性地示出了根据本发明的实施例的控制和管理系统。

原则上，相同的部分在附图中设有相同的参考标号。

参考标号：

10 无人飞行器

12 翼

14 控制表面

14a 副翼

14b 升降舵

14c 舵

14d扰流板

16 系统

18,18a,18b,18c 交通工具管理计算机

20,20a,20b,20c 数据链

22 传感器

22a,22b,22c 系统传感器

22d,22e,22f,22g 操纵传感器

24,24a,24b,24c 远程接口单元

24d,24e,24f 远程接口单元

26,26a,26b,26c (系统)作用器

26d,26e,26f,26g (系统)作用器

27 交通工具的内部构件

28,28a,28b,28c 促动器控制计算机

29,29a,29b,29c 数据链

30,30a,30b,30c (操纵)促动器

32,32a,32b 通信接口

34 任务管理系统

36 通信系统

38 公共接口

40 地面控制计算机。

具体实施方式

图1示出了无人飞行器10，其适于自动地飞行较长距离，且执行任务而没有来自基站的连续支持。在所示的实例中，无人交通工具10为具有两个翼12的飞机。无人飞行器10的飞行使用一组主控制表面14操纵。通常，这些表面包括翼12上的一对副翼14a来用于横侧控制、尾部上的一对升降舵14b或单个升降舵来用于俯仰控制，以及尾部上的舵14c来用于偏航控制。此外，一组扰流板14d可附接到翼上来用于速度和横侧控制。

无人飞行器10和控制表面14由将参照图2阐释的控制和管理系统16控制。以下描述集中于无人飞行器10内的应用，但这并未排除其它交通工具类型。例如，系统16还可包括用于控制和管理街道交通工具或船舶。

系统16包括至少两个(这里是三个)交通工具管理计算机18,18a,18b,18c。交通工具管理计算机18控制交通工具管理功能，如，系统模式、发动机控制、飞行管理、自动驾驶、自动油门、飞行控制规则、大气数据系统集成、导航系统集成和健康监测。此外，交通工具管理计算机18还控制系统服务功能，如，电力电源、环境控制、燃料系统控制、火灾检测控制、冰检测和保护控制。

各个交通工具管理计算机18可实施为单处理器计算机或作为多处理器计算机。当使用多处理器计算机且处理器之间的清楚的硬件分离存在时，则各种功能可根据其在飞行器上的效果(功能的故障导致灾难性的、危险的、较大的或较小的事件)分配给不同的处理器，因此简化了验证过程，且减少了开发成本。

交通工具管理计算机18利用可称为交叉通道数据链的数字数据链20,20a,20b,20c连接到彼此上来用于数据交换。交叉通道数据链可设计成使得它们排除电子故障传播。数据链20可经由数据总线实施。

交通工具10中的交通工具管理计算机18的位置可选择成使得交通工具管理计算机18中由于单个事件引起多个故障的概率减小。

必须理解的是，图2的图表中的所有连续线可为物理数据链，其利用电线实施，例如，通过数据总线实施。类似地，由连续线互连的矩形是可在不同地点安装到交通工具10上的系统的物理构件。

各个交通工具管理计算机18连接到传感器22上，如，系统(内部)传感器22a,22b,22c和/或操纵(外部)传感器22d,22e,22f。智能传感器22g(其可为系统传感器或操纵传感器)可经由数据链(或数据总线)直接地连接到相应的交通工具管理计算机18c上。其它传感器22a,22b,22c,22d,22e,22f可经由数据链(或数据总线)连接到远程接口单元24,24a,24b,24c,24d,24e,24f上，其将模拟传感器数据转换成数字数据。然而，还允许没有远程接口单元的直接连接。远程接口单元24将另一个数据链(如数据总线)上的数字数据转发至相应的交通工具管理计算机18。

取决于感测数据的关键性，需要用于相同数据的多个传感器。这可为系统传感器22a和22c的情况。这些系统传感器22a,22c可连接到不同的远程接口单元24a,24c上，且这些远程接口单元24a,24c可连接到不同的交通工具管理计算机18a,18c上，使得其确保从一个传感器数据到交通工具管理计算机18a,18b的故障不可引起其它传感器的对应数据的损失。

各个交通工具管理计算机18经由远程接口单元或以直接方式连接到系统作用器26,26a,26b,26c,26d,26e,26f,26g上。智能系统作用器26g可经由数据链(或数据总线)直接地连接到相应的交通工具管理计算机18c上。其它系统作用器22a,22b,22c,22d,22e,22f可经由数据链(或数据总线)连接到远程接口单元24,24a,24b,24c,24d,24e,24f，其可将数字数据(利用控制命令)转换成模拟数据。远程接口单元24可从来自相应的交通工具管理计算机18的另一个数据链(如，数据总线)接收数字数据(控制命令)。

远程接口单元24可在策略上置于交通工具10中，以使至远程接口单元24的系统传感器22和/或系统作用器26的线缆长度最小化。远程接口单元24还可置于交通工具10的位置处，以减小单个事件引起多个故障的概率，例如，战斗破坏。

各个交通工具管理计算机18均可适于基于由一个或多个系统传感器22接收到的感测数据来生成所有系统作用器26的控制命令。

系统传感器22例如可测量位置、状态、电流等，如，温度、泵的状态、阀或继电器的位置。系统作用器26可开启/闭合泵、开启/闭合阀或继电器等。

交通工具管理计算机(例如，18c)可经由数据链20将经由远程接口单元24e,24f接收到或直接来自系统传感器22g的感测数据发送至其它交通工具管理计算机18a,18b。交通工具管理计算机18可监测系统传感器22和用于系统传感器22与交通工具管理计算机18之间的数据传输的数据链的健康状态来确定感测数据的健康状态。

各个交通工具管理计算机18可实施对冗余数据的选择来确定其余健康感测数据的合并值。此外，感测数据与选择数据之间的交叉比较可执行为检测故障传感器数据，其并未由内部植入的测试功能检测到。

基于系统传感器22和/或系统作用器26的健康状态，交通工具管理计算机18可确定交通工具管理系统的不同子系统和在交通工具管理计算机18中实施的系统服务可能必须如何改变。交通工具管理计算机18可将相关动作如开启/闭合阀、启用/停用泵、对促动器激励/去激励、停止发动机发送至连接到相关促动器26上的至少一个远程接口单元。

当交通工具管理计算机18确定系统状态可能必须由于当前飞行状态而改变时，例如，如在接近时降下起落架，在检测到积冰状态时改变油门设置，同样情况可发生。

此外，系统16包括至少两个(这里是三个)促动器控制计算机28，其与交通工具管理计算机18通信地互连。具体而言，各个促动器控制计算机28经由数据链29,29a,29b,29c与一个交通工具管理计算机18连接。交通工具管理计算机18适于生成操纵命令来发送至促动器控制计算机28，其然后控制该控制表面14。

促动器控制计算机28连接到操纵促动器30,30a,30b,30c(如，液压缸)上，且适于经由从交通工具管理计算机18接收到操纵命令来控制这些促动器30。如虚线指出那样，促动器30适于基于从促动器控制计算机28接收到的控制命令来移动控制表面14,14a,14b,14c。

为了减轻飞行器10的总重量，各个控制表面14均可附接到单个高度集成的促动器30上。各个促动器30均可由一组独立的阀电机(拒绝或开启至液压缸的通路)控制，和/或可通过一个或多个独立传感器报告其活塞位置，和/或通过一个或多个独立传感器报告其阀位置。

促动器控制计算机28可从连接的交通工具管理计算机18接收所有控制表面14和/或促动器30的控制表面位置命令或促动器位置命令(即，操纵命令)。各个促动器控制计算机28均可连接到各个促动器30的一个电机、一个冲击位置传感器和一个阀位置传感器上。

促动器控制计算机28可将对应的数据(促动器的控制命令)发送至其它促动器控制计算机28。各个促动器控制计算机28可包括用于检测故障位置传感器或故障电机的监测器。选择器可基于健康信号生成位置的合并视图。

各个促动器控制计算机28可将接收的活塞和/或控制表面位置命令发送至其它促动器控制计算机。选择器可生成请求的位置命令的合并视图。

促动器控制计算机28可执行请求的活塞和/或控制表面位置控制命令与相应的活塞和/或控制表面位置传感器数据之间的回路闭合，且可生成所需的阀位置命令。促动器控制计算机28可执行阀位置控制命令与阀位置传感器数据之间的回路闭合，且可将对应的命令发送至促动器30的连接电机。

促动器控制计算机28可执行相应促动器30和其它促动器控制计算机28的健康监测。当隔离故障时，则促动器30的对应电机可去激励。

交通工具中的促动器控制计算机28的位置也可选择，使得单个事件引起多个促动器控制计算机故障的概率减小。

系统16如交通工具管理计算机18和/或促动器控制计算机28的潜在关键部分可连接到两个不同的电母线排上，以确保它们在发电故障之后仍工作。

系统16可包括至少两个通信接口32,32a,32b，其冗余地连接到两个不同的交通工具管理计算机18a,18b上。交通工具10的其它系统34,36可经由这些界面32连接到系统16上。

例如，潜在的非关键功能如任务管理系统34和/或通信系统36可经由通信接口32连接到交通工具管理计算机18上。

任务管理系统34可命令系统16自动地执行任务相关的操纵，例如，如，遵循识别的目标或以搜索和救援模式飞行。

通信系统36可允许远程飞行员控制和监测交通工具10。

系统还可包括公共接口38来用于与地面控制计算机40通信，当交通工具10在其基站处时，计算机40可连接到交通工具10上。公共接口38可经由单独的数据链连接到各个交通工具管理计算机上。

例如，在飞行期间或在任务期间，交通工具管理计算机18可命令与促动器分开的系统16中的所有设备的健康监测功能。交通工具管理计算机18可收集健康监测的所有结果。

在地面上或在任务之后，有可能将地面控制计算机40经由公共接口38连接到至少两个交通工具管理计算机18上，例如，利用数据总线或网络链。地面控制计算机40然后用于从交通工具管理计算机18的健康监测储存器获得数据，以支持交通工具10的维护。地面控制计算机40还可开始系统16的维护相关的测试。在测试期间，交通工具管理计算机18可连续地报告测试的发展和当前测试状态。

系统可包括不同数目的成对交通工具管理计算机18和促动器控制计算机28。

使用双重途径(即，两个交通工具管理计算机18和两个促动器控制计算机28)可导致故障安全设计。

使用如图2中所示的三重途径(即，三个交通工具管理计算机18和三个促动器控制计算机28)可导致至少故障操作/故障安全设计。利用设备的植入测试功能的良好的故障检测率，还可提供故障操作/故障操作设计。

使用四重途径(即，四个交通工具管理计算机18和四个促动器控制计算机28)，可实现故障操作/故障操作设计。

尽管附图和以上描述已经示出和详细描述了本发明，但此图示和描述将认作是示范性或示例性的，而非限制性的；本发明不限于公开的实施例。公开的实施例的其它变型可由本领域的技术人员理解和实现，且通过研究附图、公开内容和所附权利要求来实施请求得到专利保护的本发明。在权利要求中，词语"包括"并未排除其它元件或步骤，且不定冠词"一个"或"一种"并未排除多个。单个处理器或控制器或其它单元可实现权利要求中叙述的若干项目的功能。某些措施在相互不同的从属权利要求中叙述的唯一事实并未指出了这些措施的组合不可用于优化。权利要求中的任何参考标号不应当看作是限制范围。

Claims (15)

1.一种用于交通工具(10)的控制和/或管理系统(16)，所述系统(16)包括：

用于操纵所述交通工具(10)的操纵促动器(30)；

用于控制所述交通工具(10)的内部系统构件(27)的系统作用器(26)；

用于获得与所述系统作用器(26)和/或操纵促动器(30)相关联的数据的传感器(22)；以及

用于控制和/或管理所述交通工具(10)的至少两个冗余计算机(18,28,24)；

其中所述系统(16)包括以下至少一者：

(A)与所述操纵促动器(30)、系统作用器(26)和传感器(22)通信互连的至少两个冗余交通工具管理计算机(18)，其中交通工具管理计算机(18)适于基于由所述传感器(22)获得的所述数据生成各个操纵促动器(30)和各个系统作用器(26)的系统控制命令；

(B)用于使传感器(22)和/或系统作用器(26)与至少两个交通工具管理计算机(18)互连的至少两个冗余远程接口单元(24)；

(C)适用于从至少两个交通工具控制计算机(18)接收操纵命令的至少两个冗余促动器控制计算机(28)，其中各个促动器控制计算机(28)适用于基于接收的操纵命令来生成各个操纵促动器(30)的控制命令；

(D)公共接口(38)，其中所述公共接口(38)直接地连接到至少两个冗余计算机上。

2.根据权利要求1所述的系统(16)，

其特征在于，各个交通工具管理计算机(18)通过单独的数据链(20)与交通工具管理计算机(18)彼此互连。

3.根据权利要求1或权利要求2所述的系统(16)，

其特征在于，交通工具管理计算机(18a)适用于从至少一个其它交通工具管理计算机(18b,18c)接收控制命令和/或传感器数据，且适用于比较来自不同交通工具管理计算机(18b,18c)的控制命令和/或传感器数据，以确定交通工具管理计算机的误差。

4.根据前述权利要求中的一项所述的系统(16)，

其特征在于，第一交通工具管理计算机(18a)直接地连接到第一传感器(22a,22b)上，且第二交通工具管理计算机(18b)直接地连接到第二传感器(22c,22d)上；

其中从所述第一交通工具管理计算机(18a)中的第一传感器(22a,22b)接收到的数据由所述第一交通工具管理计算机(18a)传输至所述第二交通工具管理计算机(18b)。

5.根据前述权利要求中的一项所述的系统(16)，

其特征在于，所述系统(16)包括两个、三个或四个冗余交通工具管理计算机(18)。

6.根据前述权利要求中的一项所述的系统(16)，

其特征在于，第一传感器(22a)和第二系统传感器(22c)适用于获得与特定系统作用器(26b)和/或操纵促动器相关联的数据；

其中所述第一传感器(22a)连接到第一交通工具管理计算机(18a)上；

其中所述系统传感器(22c)连接到第二交通工具管理计算机(18b)上。

7.根据前述权利要求中的一项所述的系统(16)，

其特征在于，各个促动器控制计算机(28)通过单独的数据链(29)与促动器控制计算机(28)彼此互连。

8.根据前述权利要求中的一项所述的系统(16)，

其特征在于，促动器控制计算机(28a)适用于从至少一个其它促动器控制计算机(28b,28c)接收操纵命令和/或控制命令，且适用于比较来自不同促动器控制计算机的操纵命令和/或控制命令来确定促动器控制计算机或操纵促动器的误差。

9.根据前述权利要求中的一项所述的系统(16)，

其特征在于，所述系统(16)包括两个、三个或四个冗余的促动器控制计算机(28)。

10.根据前述权利要求中的一项所述的系统(16)，

其特征在于，至少一个冗余计算机(18,24,28)包括具有不同安全关键性的至少两个处理单元。

11.根据前述权利要求中的一项所述的系统(16)，

其特征在于，所述操纵促动器(30)适用于移动控制表面(14)；以及/或者

其中由操纵促动器(30)移动的控制表面(14)由以下至少一者提供：副翼(14a)、升降舵(14b)、舵(14c)。

12.根据前述权利要求中的一项所述的系统(16)，其特征在于，所述系统(16)还包括：

与所述交通工具(10)的至少一个控制计算机(34,36)的至少一个通信接口(32)；

其中所述通信接口(32a,32b)直接地连接到不同的交通工具管理计算机(18a,18b)上。

13.根据权利要求12所述的系统(16)，

其中控制计算机为适用于命令所述系统(16)自动地执行任务相关的操纵的任务管理系统(34)。

14.根据权利要求12或权利要求13所述的系统(16)，

其中控制计算机为通信系统(36)，其允许远程飞行员控制和/或监测所述交通工具(10)。

15.一种无人飞行器(10)，包括前述权利要求中的一项所述的系统(16)。