CN107848623B

CN107848623B - 飞行器

Info

Publication number: CN107848623B
Application number: CN201680044031.4A
Authority: CN
Inventors: M·赫恩; M·威贝尔; L·格拉迪; R·德安德里亚
Original assignee: Verity Studios AG
Current assignee: Veriti Ag
Priority date: 2015-05-29
Filing date: 2016-05-27
Publication date: 2021-02-09
Anticipated expiration: 2036-05-27
Also published as: US11814185B2; EP3303126B1; CN107848623A; US20180237148A1; KR102054119B1; JP2018516200A; US20200398994A1; KR20180014034A; WO2016193884A1; EP3303126A1; JP6795197B2; HK1253680A1; US10766627B2

Abstract

根据本发明，提供了一种可操作以飞行的飞行器，该飞行器具有可操作地连接的至少第一子系统和第二子系统，其中第一子系统包括第一飞行模块和第一一个或多个效应器，第一一个或多个效应器选择性地可操作以生成足以使飞行器飞行的第一力；并且第二子系统包括第二飞行模块和第二一个或多个效应器，第二一个或多个效应器选择性地可操作以生成足以使飞行器飞行的第二力；使得第一子系统和第二子系统能够被选择性地用于使飞行器飞行，而不依赖另一个子系统的一个或多个效应器。还提供了用于控制飞行器的对应方法。

Description

飞行器

技术领域

本发明涉及飞行器(aerial vehicle)。特别地，本发明涉及包括至少两个子系统的飞行器，其中每个子系统可以选择性地用于独立于另一个子系统使飞行器飞行。

背景技术

包括微型或小型无人机(UAV，unmanned aerial vehicle)在内的飞行器在其控制、其安全性和可靠性方面都有独特的约束。

现有技术中已知的一些飞行器，包括许多多轴飞行器(multicopter)，使用冗余的效应器。但是，效应器冗余只能防止非常特殊类型的故障，并且还有许多其它单点故障，并且多轴飞行器经常因此而崩溃。

对于人工操纵的和遥控飞行器来说，防止这种故障的解决方案是存在的。示例包括三重模块冗余(TMR)和投票系统。但是，这些解决方案已经被开发出来以适应人工操纵的和遥控飞行器中的成本-风险权衡，这与飞行器的情况有很大的不同。而且，这些解决方案中的大多数都依赖并且甚至鼓励或授权使用人类领航员，由于成本和技术原因，这对于许多潜在的飞行器应用是不切实际的。例如，由人类驾驶员进行遥控操作需要飞行器和人类操作员之间实时的高带宽数据链路，这需要对于飞行器的许多潜在应用来说太昂贵、太耗电和太重的硬件；其难以以冗余的方式维护，因此构成可能的单点故障；并且其增加了整个系统的复杂性，并且因此是安全性或可靠性降低的可能原因。

考虑到一些飞行器(例如，技术上精密的多轴飞行器)和一些有效载荷(例如，专用传感器)的相对昂贵以及飞行器可能造成的损坏或伤害的风险，期望即使在发生故障的情况下也避免飞行器或其有效载荷的损失、对飞行器或其有效载荷的损害、对飞行器操作环境的损害，或对人或旁观者的伤害。

本发明的目的是消除或减轻现有飞行器的限制/缺点。

发明内容

根据本发明，提供了包括多个子系统的飞行器，所述多个子系统可以用于独立于其它子系统而使飞行器飞行。优选地每个子系统都有其自己的控制单元。在本申请中，本发明的飞行器可以被称为“冗余飞行器”。在本申请中，术语“冗余”意味着在一个或多个单个部分或部件发生故障时用作防止整个系统(诸如飞行器或航天器)发生故障的副本。

本发明的某些实施例的技术优点可以允许改进或简化现有飞行器的设计。例如，设计可以允许飞行器的具体特点(诸如飞行器的低时间常数、飞行动力学、小尺寸或小重量)的更好容限或从中获益。作为另一个示例，这些设计可以要求比现有系统(诸如依赖效应器冗余(例如，六轴飞行器和八轴飞行器)、依赖三重冗余/投票系统或依赖效应器的外壳(例如，护罩，管道风扇)或依赖降落伞以防止故障的系统)更少的质量并面临更少的设计约束和内在限制。作为另一个示例，这些设计可以要求更少的效应器来实现类似级别的冗余，这对于飞行器中使用的许多种类的效应器可以导致重要的效率增益。

本发明的某些实施例的技术优点可以允许增加现有飞行器的安全性或可靠性。例如，本发明可以允许最小化或消除由碰撞、机械或电气故障、电子故障、操作员错误或不利环境条件(诸如风或气流)引起的风险。本发明还可以通过在完全失去控制的情况下允许性能的适度降级而不是灾难性故障来减轻故障的影响。

本发明的某些实施例的其它技术优点可以允许飞行器在很大程度上或者完全自动化故障的检测，并且通过切换到备用的紧急控制模式来在很大程度上或者完全自动化对故障的响应。例如，这可以允许创建能够安全执行自主紧急着陆的飞行器。作为另一个示例，这可以允许创建在降级的(degraded)飞行模式下操作的飞行器，这种飞行模式将难以或不可能由人类领航员控制。在一些实施例中，这种降级的飞行模式可以使用飞行器上可用的效应器、传感器或计算资源的子集。

本发明的某些实施例的还有其它技术优点可以允许通过增加可靠性、通过增加安全性、通过允许在更宽范围的各种操作条件或环境中使用飞行器或通过允许目前由经验丰富的人类领航员执行的某些任务的部分或完全自动化来使用飞行器用于新的应用。特别是对于人类领航员的需求严重限制了飞行器在许多应用中的成本效益、可能的操作条件和飞行耐力。例如，即使是经验丰富的人类领航员，也不能保证在许多实际操作条件(诸如风气流)下安全和高效的控制。

本发明的某些实施例的还有其它技术优点可以允许其针对各种背景下的各种应用的具体需求而定制。示例应用包括检查和监视民用基础设施，这可能需要危险或重复的任务；工业或公共服务应用(例如，工业场所的监控和监视、摄影测量、勘测)；专业航空摄影或电影摄影；空中运输或输送货物；包括音乐和灯光的舞台编排设置的舞台表演；需要与戏剧演员交互的戏剧表演；爱好者平台；用于群组积极研究飞行平台或将其作为课程的一部分使用的研究平台；或具有诸如生存性、功率自主性、可检测性或在极端条件(天气、照明条件、污染)下操作等要求的防御性使用。特别地，某些技术优点允许本发明配备有各种各样的传感器。例如，红外传感器允许实施例用于检测果园中干地面的地块或用于作物监视。

本发明的某些实施例的其它技术优点可以允许降低成本。例如，飞行器可以由在很大程度上或完全相同的子系统构成，从而由于减少了与使用多个不同系统相关联的设计、生产、测试和其它成本而允许节省成本。

从下面的附图、具体实施方式和权利要求书，本发明的其它技术优点对于本领域技术人员将显而易见。而且，虽然以上列举了具体的优点，但是各种实施例可以包括所列举的优点的全部、一些或一个都没有；列出的优点不应当被认为对于使用本发明是必需的。

根据本发明的第一方面，提供了一种可操作以飞行的飞行器，该飞行器具有至少可操作地连接的第一子系统和第二子系统。第一子系统可以包括第一飞行模块和第一一个或多个效应器，第一一个或多个效应器选择性地可操作以生成足以使飞行器飞行的第一力。第二子系统可以包括第二飞行模块和第二一个或多个效应器，第二一个或多个效应器选择性地可操作以生成足以使飞行器飞行的第二力。第一子系统和第二子系统可以被构造、布置和可操作，使得第一子系统或第二子系统可以被选择性地用于使飞行器飞行，而不依赖于另一个子系统的一个或多个效应器。

在一些实施例中，飞行器专门用一个子系统飞行。

在一个实施例中，第一子系统还包括第一一个或多个传感器，用于感测至少飞行器相对于外部参考系的位置、朝向或速度；并且第二子系统还包括第二一个或多个传感器，用于感测至少飞行器相对于外部参考系的位置、朝向或速度。

在一个实施例中，飞行器还包括由第一子系统和第二子系统共享的至少一个传感器，其中这至少一个传感器被配置为用于感测至少飞行器相对于外部参考系的位置、朝向或速度。

在一个实施例中，第一子系统还包括第一电源；并且第二子系统还包括第二电源。

在一个实施例中，飞行器包括由第一子系统和第二子系统共享的单个电源。在本申请中，如果部件被说成由第一子系统和第二子系统“共享”，那么这意味着所述部件可以由第一子系统和第二子系统二者使用。

在一些实施例中，第一飞行模块包括第一开关、用于控制第一开关的第一协调单元、可操作以生成用于操作第一一个或多个效应器和第二一个或多个效应器的控制信号的第一正常操作控制单元，以及可操作以生成用于操作所述第一一个或多个效应器的控制信号的第一应急控制单元。在一些实施例中，第一开关被配置为使得它可以由第一协调单元选择性地切换。在一些实施例中，开关可以在第一位置、第二位置和第三位置之间切换，在第一位置时它将由第一正常操作控制单元生成的控制信号传递到第一一个或多个效应器，在第二位置时它将由第一应急控制单元生成的控制信号传递到第一一个或多个效应器，并且在第三位置时开关打开，使得没有控制信号被传递到第一一个或多个效应器。在一些实施例中，第二飞行模块包括第二开关、用于控制第二开关的第二协调单元以及可操作以生成用于操作第二一个或多个效应器的控制信号的第二应急控制单元。在一些实施例中，第二开关被配置成使得它可以由第二协调单元选择性地切换。在一些实施例中，第二开关可以在第一位置、第二位置和第三位置之间切换，在第一位置时它将由第一正常操作控制单元生成的控制信号传递到第二一个或更多个效应器，在第二位置时它将由第二应急控制单元生成的控制信号传递到第二一个或多个效应器，并且在第三位置时开关打开，使得没有控制信号被传递到第二一个或多个效应器。

在一些实施例中，第一飞行模块还包括被配置为检测至少第一子系统中的故障和第二子系统中的故障的第一故障检测单元。在一些实施例中，第一故障检测单元连接到第一协调单元并且被配置为在检测到第一子系统中的故障时向第一协调单元发送信号(例如，故障检测信号)并且在检测到第二子系统中的故障时向第一协调单元发送信号。在一些实施例中，第一协调单元被配置为在接收到来自第一故障检测单元的指示第一子系统中的故障的信号时将第一开关切换到其第三位置，使得飞行器专门使用第二子系统来飞行。在一些实施例中，第一协调单元被配置为在接收到来自第一故障检测单元的指示第二子系统中的故障的信号时触发第二协调单元将第二开关切换到其第三位置，使得飞行器专门使用第一子系统飞行。

在一些实施例中，第二飞行模块还包括被配置为检测至少第二子系统中的故障和第一子系统中的故障的第二故障检测单元。在一些实施例中，第二故障检测单元连接到第二协调单元并且被配置为在检测到第二子系统中的故障时向第二协调单元发送信号并且在检测到第一子系统中的故障时向第二协调单元发送信号。在一些实施例中，第二协调单元被配置为在接收到来自第二故障检测单元的指示第二子系统中的故障的信号时将第二开关切换到其第三位置，使得飞行器专门使用第一子系统飞行。在一些实施例中，第二协调单元被配置为在接收到来自第二故障检测单元的指示第一子系统中的故障的信号时触发第一协调单元将第一开关切换到其第三位置，使得飞行器专门使用第二子系统飞行。

在一些实施例中，第一飞行模块还包括被配置为检测至少第一子系统中的故障的第一故障检测单元。在一些实施例中，第二飞行模块还包括第二正常操作控制单元，该单元可操作以生成用于操作第一一个或多个效应器和第二一个或多个效应器的控制信号。在一些实施例中，当第二开关处于其第二位置时，由第二正常操作控制单元生成的控制信号可以传递到第一一个或多个效应器和第二一个或多个效应器。在一些实施例中，第一协调单元被配置为使得，当它从第一故障检测单元接收到指示已经检测到第一子系统中的故障的信号时，第一协调单元触发第二协调单元将第二开关切换到其第二位置，使得由第二正常操作控制单元生成的控制信号被传递到第一一个或多个效应器和第二一个或多个效应器，使得第一一个或多个效应器和第二一个或多个效应器专门由第二正常操作控制单元生成的控制信号控制。

在一些实施例中，第一子系统中的故障是第一一个或多个效应器中的至少一个中的故障，并且第二子系统中的故障是第二一个或多个效应器中的至少一个效应器中的故障。

在一些实施例中，第一子系统和第二子系统经由一个或多个通信信道可操作地连接。在一些实施例中，第一协调单元被配置为当检测到通信信道中的故障时将第一开关切换到其第二位置并且触发第二开关切换到其第三位置，使得飞行器专门使用第一子系统飞行。在一些实施例中，第二协调单元被配置为当检测到通信信道中的故障时将第二开关切换到其第二位置并且触发第一开关切换到其第三位置，使得飞行器专门使用第一子系统飞行。

在一些实施例中，第一协调单元被配置为，当第一协调单元在预定义的时间段内未能从第二协调单元接收到任何信号时，将第一开关切换到其第二位置并触发第二开关切换到其第三位置，使得飞行器专门使用第一子系统飞行。在一些实施例中，第二协调单元被配置为，当第二协调单元在预定义的时间段内未能从第一协调单元接收到任何信号时，将第二开关切换到其第二位置并触发第一开关切换到其第三位置，使得飞行器专门使用第二子系统飞行。

在一些实施例中，第一子系统和第二子系统被布置成主-从配置，其中第一子系统是主设备，而第二子系统是从设备。

在实施例中，飞行器还包括第三子系统，该第三子系统可以包括第三飞行模块以及第三一个或多个效应器，第三一个或多个效应器选择性地可操作，以生成足以使飞行器飞行的第三力；使得第一子系统或第二子系统或第三子系统可以各自被选择性地用于不依赖另外两个子系统的一个或多个效应器而使飞行器飞行。

在一个实施例中，第三子系统还包括第一一个或多个传感器，用于感测至少飞行器相对于外部参考系的位置、朝向或速度。在一个实施例中，飞行器还包括由第一子系统和第二子系统和第三子系统共享的至少一个传感器，其中这至少一个传感器被配置用于感测至少飞行器相对于外部参考系的位置、朝向或速度。

在一个实施例中，第三子系统还包括第三电源。在另一个实施例中，飞行器包括由第一子系统、第二子系统和第三子系统共享的单个电源。

在一些实施例中，飞行器还包括第三子系统，其中第三子系统包括第三一个或多个效应器，第三一个或多个效应器选择性地可操作，以生成足以使飞行器飞行的力；包括第三开关的第三飞行模块；以及用于控制第三开关的第三协调单元。在一些实施例中，第三开关被配置为使得它可以被第三协调单元选择性地切换。在一些实施例中，第三开关可以在第一位置、第二位置和第三位置之间切换，在第一位置时它将由第一正常操作控制单元生成的控制信号传递到第三一个或多个效应器或将由第二应急控制单元生成的控制信号传递到第三一个或多个效应器，在第二位置时它可以将由应急控制单元生成的控制信号传递到第三一个或多个效应器，并且在第三位置时开关打开，使得没有控制信号被传递到第三一个或多个效应器。

在一些实施例中，第一开关具有四个位置：在其中它将由第一正常操作控制单元生成的控制信号传递到第一一个或多个效应器的第一位置，在其中它将由第一子系统的第一应急控制器生成的控制信号传递到第一一个或多个效应器的第二位置，在其中它将由第一子系统的第二应急控制单元生成的控制信号传递到第一一个或多个效应器的第三位置，以及在其中开关打开使得没有控制信号被传递到第一一个或多个效应器的第四位置。

在一些实施例中，第三飞行模块还包括被配置为检测至少第三子系统中的故障的第三故障检测单元。在一些实施例中，第三故障检测单元连接到第三协调单元并且被配置为在检测到第三子系统中的故障时向第三协调单元发送信号并且在检测到第三子系统中的故障时向第一协调单元发送信号。在一些实施例中，第三协调单元被配置为在接收到来自第三故障检测单元的指示第三子系统中的故障的信号时将第三开关切换到其第三位置。在一些实施例中，第三协调单元被配置为在接收到来自第三故障检测单元的指示第三子系统中的故障的信号时触发第一协调单元将第一开关切换到其第二位置，使得由第一应急控制单元生成的控制信号被分别传递到第一子系统和第二子系统的第一一个或多个效应器和第二一个或多个效应器。

在一些实施例中，第一子系统还包括用于将来自第一一个或多个传感器的输出与相应预定义值进行比较并且如果来自所述第一一个或多个传感器的输出不等于所述相应预定义值就确定在第一子系统或第二子系统中已经发生故障的装置。

在一些实施例中，飞行器包括一个或多个传感器，所述一个或多个传感器可操作以感测飞行器的移动的一个或多个特点。在一些实施例中，第一飞行模块被配置为使得它可以选择性地向第二一个或多个效应器发送使飞行器以预定义方式移动的预定义控制信号。在一些实施例中，第一飞行模块被配置为接收来自一个或多个传感器的一个或多个输出并且使用那些接收到的输出来确定飞行器是否已经以所述预定义方式移动。在一些实施例中，第一飞行模块被配置为如果第一飞行模块确定飞行器没有以所述预定义方式移动就确定在第二子系统中已经发生故障。

在一些实施例中，飞行器被构造为是模块化的。飞行器可以至少包括包括第一子系统的第一模块和包括第二子系统的第二模块。第一模块和第二模块可以包括连接装置，该连接装置允许第一模块和第二模块选择性地机械附连到彼此；第一模块和第二模块也可以选择性地彼此分离。在一些实施例中，第一子系统和第二子系统各自包括连接装置，该连接装置被构造为使得第一子系统和第二子系统可以被机械地、可分离地连接。

在一些实施例中，第一一个或多个效应器包括被构造为在第一方向旋转的螺旋桨，并且第二一个或多个效应器包括被构造为在与第一方向相反的第二方向旋转的螺旋桨。

在一些实施例中，第一一个或多个效应器选择性地可操作以生成足以使飞行器飞行的第一力以及可操作以生成第一扭矩，并且第二一个或多个效应器选择性地可操作以生成足以使飞行器飞行的第二力以及可操作以生成第二扭矩。在一些实施例中，第一子系统可以被选择性地用于控制在没有第二扭矩的情况下第一力相对于外部参考系的合成方向(resultant direction)的朝向，并且第二子系统可以被选择性地用于控制在没有第一扭矩的情况下第二力相对于外部参考系的合成方向的朝向。

在实施例中，飞行器还包括服装(costume)可以附连到的支撑结构。优选地，支撑结构包括从飞行器径向延伸的臂构件。

在实施例中，飞行器还包括附连到支撑结构的服装。这个实施例对于娱乐应用(诸如舞台表演)特别有用。在这种应用中，飞行器可以在舞台上流动，从而使服装飞行。例如，如果附连到飞行器的支撑结构的服装是灯罩，那么使飞行器飞行将给观众留下灯罩在飞行的印象。将理解的是，附连到飞行器的支撑结构的服装可以采取任何合适的形状或配置。

在实施例中，飞行器还包括一个或多个光源(诸如LED)，该一个或多个光源安装在飞行器上并且被布置成从飞行器发射离开飞行器的光，使得其入射在所述服装上。以这种方式，光源将照亮服装。优选地，光源被定位成使得它们可以发射入射在服装的内表面上的光。

根据本发明的另一方面，提供了一种可操作以飞行的飞行器，该飞行器具有可操作地连接的至少第一子系统和第二子系统，其中第一子系统包括第一飞行模块和选择性地可操作以生成足以使飞行器飞行的第一力的第一一个或多个效应器；并且第二子系统包括第二飞行模块和选择性地可操作以生成足以使飞行器飞行的第二力的第二一个或多个效应器；并且其中飞行器还包括由第一子系统和第二子系统共享的至少一个传感器，其中这至少一个传感器被配置用于感测至少飞行器相对于外部参考系的位置、朝向或速度；使得第一子系统或第二子系统可以选择性地用于不依赖另一个子系统的一个或多个效应器而使飞行器飞行。应当理解的是，所述飞行器可以具有前面段落中所述的任何特征。

在一些实施例中，飞行模块被构造和布置或可操作以识别故障，其中该故障影响由效应器产生的扭矩或推力。在一些实施例中，飞行模块响应于识别出故障而执行以下步骤：(1)相对于预定义参考系来计算飞行器的主轴的朝向的估计，其中所述主轴是所述飞行器在飞行时绕其旋转的轴，(2)计算所述飞行器的角速度的估计，(3)基于所述飞行器的主轴相对于所述预定义参考系的朝向的所述估计和飞行器的角速度的所述估计来控制飞行器的效应器中的一个或多个效应器。控制飞行器的效应器中的一个或多个效应器的步骤可以被执行，使得(a)所述一个或多个效应器共同产生沿着所述主轴的扭矩和垂直于所述主轴的扭矩，其中(i)沿着所述主轴的扭矩使所述飞行器绕所述主轴旋转，和(ii)垂直于所述主轴的扭矩使所述飞行器移动，使得所述主轴的朝向相对于所述预定义参考系靠拢到目标朝向，以及(b)使得所述一个或多个效应器单独产生沿着所述主轴的推力。

在一些实施例中，飞行器是冗余的飞行器，即，具有作为副本的部分的飞行器，用于防止在其一个或多个部分发生故障时飞行器发生故障。在一些实施例中，飞行器包括第一子系统，第一子系统包括第一电源、第一传感器、第一效应器和第一飞行模块；第二子系统，第二子系统包括第二电源、第二传感器、第二效应器和第二飞行模块；以及第一通信信道，第一通信信道被构造和布置为从第一子系统向第二子系统发送第一信号。在一些实施例中，第一电源、第一传感器、第一效应器、第一飞行模块和第一通信信道附连到第一子系统，并且第二电源、第二传感器、第二效应器、第二飞行模块和第二通信信道附连到第二子系统，并且第一子系统和第二子系统刚性附连。

在一些实施例中，第一信号包括由第一子系统为第二子系统的效应器生成的控制信号。

在一些实施例中，第二子系统包括开关，该开关被构造和布置为切换由第一子系统为第二子系统的效应器生成的控制信号是否被指引到第二子系统的效应器。

在一些实施例中，飞行器包括第二通信信道，第二通信信道被构造和布置为从第二子系统向第一子系统发送第二信号。在一些实施例中，这个第二信号包括由第二子系统为第一子系统的效应器生成的控制信号。

在一些实施例中，第二通信信道被构造和布置为从第一子系统向第二子系统发送第二信号。在一些实施例中，这个第二信号包括由第一子系统为第二子系统的效应器生成的控制信号。在一些实施例中，通过第一通信信道发送的一些或全部信号与通过第二通信信道发送的一些或全部信号完全相同。

在一些实施例中，飞行器包括第一协调单元和第二协调单元。在一些实施例中，第一协调单元被构造和布置为经由第一通信信道将包括用于第一子系统的效应器的控制信号的第一信号发送到第二协调单元。在一些实施例中，第二通信信道是第一通信信道的冗余信道，第一协调单元被构造和布置为经由第二通信信道将包括用于第一子系统的效应器的控制信号的第一信号发送到第二协调单元。在一些实施例中，第一协调单元被构造和布置为经由第二通信信道从第二协调单元接收包括用于第二子系统的效应器的控制信号的第二信号。

在一些实施例中，第一传感器中的至少一个和第二传感器中的至少一个感测表示飞行器的内部量的数据，并且第一传感器中的至少一个和第二传感器中的至少一个感测表示飞行器相对于外部参考系的相对位置、相对朝向或相对速度的数据。

在一些实施例中，第一子系统的效应器中的至少一个和第二子系统的效应器中的至少一个各自具有相对于飞行器固定的旋转轴，并且各自被构造和布置为同时产生扭矩和推力。

在一些实施例中，第一子系统和第二子系统中的每一个是自给自足的。

在一些实施例中，第一子系统和第二子系统中的每一个是多轴飞行器。

在一些实施例中，第一飞行模块还包括第一控制单元和第二控制单元，并且第二飞行模块还包括第三控制单元。

在一些实施例中，第一控制单元是正常操作控制单元，并且被构造和布置为为第一子系统的效应器和第二子系统的效应器提供控制信号；第二控制单元是第一应急控制单元，并且被构造和布置为为第一子系统的效应器提供控制信号；并且第三控制单元是第二应急控制单元，其被构造和布置为为第二子系统的效应器提供控制信号。

在一些实施例中，第一飞行模块还包括第一应急控制单元，第一应急控制单元被构造和布置为使用第一子系统的效应器来控制主方向相对于预定参考系的朝向。在一些实施例中，第二飞行模块还包括第二应急控制单元，第二应急控制单元被构造和布置为使用第二子系统的效应器来控制次方向相对于预定参考系的朝向。在一些实施例中，主方向是第一子系统的效应器的推力的合成方向，并且次方向是第二子系统的效应器的推力的合成方向。在一些实施例中，主方向等同于次方向。

在一些实施例中，每个子系统的效应器被构造和布置为共同产生使飞行器在悬停时旋转的扭矩。

在一些实施例中，第一子系统还包括四个效应器，其中所述第一子系统的效应器中的两个被构造和布置为绕其相应的推力以第一旋向性旋转，并且所述第一子系统的效应器中的两个被构造和布置为绕其相应的推力以不同于第一旋向性的第二旋向性旋转，并且第二子系统还包括四个效应器，其中所述第二子系统的效应器中的两个被构造和布置为绕其相应的推力以第一旋向性旋转，并且所述第二子系统的效应器中的两个被构造和布置为绕其相应的推力以不同于第一旋向性的第二旋向性旋转。

在一些实施例中，第一传感器中的至少一个是MEMS陀螺仪、MEMS加速度计、压电陀螺仪和压电加速度计中的一个。在一些实施例中，第二传感器中的至少一个是MEMS陀螺仪、MEMS加速度计、压电陀螺仪和压电加速度计中的一个。

在一些实施例中，第一传感器和第二传感器中的至少两个是相同类型。

在一些实施例中，飞行器包括第一故障检测单元，第一故障检测单元被构造和布置为检测第一子系统中的故障。在一些实施例中，飞行器包括第二故障检测单元，第二故障检测单元被构造和布置为检测第二子系统中的故障。在一些实施例中，第一故障检测单元被构造和布置为检测第一子系统和第二子系统中的故障。在实施例中，故障检测单元可以访问来自相同子系统或另一个子系统的信号。这些可以包括传感器的信号(例如，传感器读数)、功率单元的信号(例如，电池负载、电池电荷、错误代码)、表示效应器的操作的信号(例如，每分钟的旋转或者马达电流，如可由效应器或其马达控制器提供的)，以及由正常操作控制单元生成的心跳信号。在一些实施例中，信号可以经由子系统的协调单元、开关和通信信道来转发。然后，故障检测单元可以将这些信号与在标称运行期间可以预期的信号(例如，预定义的传感器读数范围、取决于控制输入或操作状态的马达电流的预期值、马达响应的模型、过去信号的统计信息)进行比较。

根据本发明的另一方面，提供了一种用于控制飞行器的方法，其中飞行器是根据上面提到的飞行器中的任何一种的飞行器，该方法包括以下步骤：

(1)在第一子系统中计算用于第一子系统和第二子系统的效应器的第一控制信号集合；

(2)将第一控制信号集合传送到第二子系统的效应器，

(3)检测第一子系统或第二子系统中的故障，

(4)禁用在其中检测到故障的子系统的效应器，使得飞行器仅使用另一个子系统的效应器来飞行。

该方法可以包括禁用其中检测到故障的子系统，使得飞行器仅使用另一个子系统来飞行。在这个实施例中，禁用其中检测到故障的子系统将禁用该子系统的效应器，并且还将优选地禁用所述子系统独有的所有其它部件。

该方法可以包括在没有遭受故障的子系统中计算第二控制信号集合的步骤，该控制信号集合专门控制所述子系统的效应器。

根据本发明的另一方面，提供一种用于飞行器的方法，包括以下步骤：(1)在第一自包含子系统的第一飞行模块中计算第一效应器控制信号集合，(2)将第一效应器控制信号集合传送到第二自包含子系统的第二飞行模块，(3)检测第一子系统或第二子系统中的故障，(4)禁用受故障影响的子系统，(5)在不受故障影响的子系统中计算第二效应器控制信号集合，该第二效应器控制信号集合控制不受故障影响的子系统的效应器的推力的合成方向的朝向。

在一些实施例中，调整不受故障影响的子系统的效应器的推力的合成方向的朝向，使得飞行器自主着陆。

在一些实施例中，每个子系统的第一一个或多个效应器被构造和布置为可操作，以(a)共同产生沿着主轴的扭矩和垂直于主轴的扭矩，其中(i)主轴是飞行器在应急控制单元的控制下飞行时绕其旋转的方向，(ii)沿着所述主轴的扭矩使飞行器绕主轴旋转，和(iii)垂直于主轴的扭矩使飞行器移动，使得主轴的朝向相对于预定义参考系靠拢到目标朝向，以及(b)沿着主轴单独产生推力。

在一些实施例中，每个子系统被构造和布置为禁用另一个子系统。

在一些实施例中，每个子系统被构造和布置为在没有另一个子系统的螺旋桨、翼片或翼型件的情况下使飞行器飞行。换句话说，每个子系统被构造和布置为仅使用专属于那个子系统的螺旋桨、翼片或翼型件使飞行器飞行。

在本发明/申请中：

飞行器

优选地，飞行器能够飞行或悬停、小、轻、无人操纵、比具有多个效应器的空中飞行器重。示例包括微型无人机或小型UAV(SUAV)，小到足以让人便携。典型尺寸的范围从50cm到3m。典型重量的范围从500g到35kg。

飞行器包括一个电源、一个传感器、一个飞行模块和一个效应器。在一些实施例中，飞行器包括多个电源、传感器、飞行模块或效应器。

子系统

子系统可以是飞行器的(一个或多个)电源、(一个或多个)传感器、(一个或多个)飞行模块和(一个或多个)效应器的子集。在一个实施例中，飞行器包括多个子集，每个子集包括至少一个电源、至少一个传感器、至少一个飞行模块和至少一个效应器。在一个实施例中，多个子集中的每个子集定义不同的子系统。

在一些实施例中，飞行器包括多个子系统，每个子系统具有至少一个电源、至少一个传感器、至少一个飞行模块和至少一个效应器。在一个实施例中，飞行器包括至少两个子系统。在一些实施例中，每个子系统可以具有使飞行器飞行所需的每个单个部件，使得每个子系统可以被选择性地用于独立于其它子系统而使飞行器飞行。在一些实施例中，每个子系统可以具有应急操作所需的每个单个部件。

在其它实施例中，飞行器包括多个子系统，每个子系统具有至少一个飞行模块和至少一个效应器。可选地，在这个实施例中，多个子系统可以共享至少一个传感器或者可以共享至少一个电源。

在其它实施例中，飞行器包括多个子系统，每个子系统具有至少一个飞行模块和至少一个效应器以及至少一个传感器。可选地，在这个实施例中，多个子系统可以共享至少一个电源。

在其它实施例中，飞行器包括多个子系统，每个子系统具有至少一个飞行模块和至少一个效应器以及至少一个电源。可选地，在这个实施例中，多个子系统可以共享至少一个传感器。

在一些实施例中，子系统彼此隔离。例如，在一些实施例中，子系统可以被电磁屏蔽；可以物理地位于不同的印刷电路板(PCB)上；可以被电隔离；可以在分开的壳体中；可以安装在结构元件的不同部分上；或者可以附连到有效载荷的不同部分。

在一些实施例中，使用第一子系统(有时：主设备)和第二子系统(有时：从设备)。

主/从子系统

主子系统是在正常飞行操作(即，没有故障的飞行操作)期间使用的子系统。在一些实施例中，主子系统为飞行器的所有效应器提供控制信号。在一些实施例中，第一子系统被配置为具有对应的主飞行模块的主设备，并且其它(一个或多个)子系统被配置为具有对应的(一个或多个)从飞行模块的(一个或多个)从设备。

从子系统可以在应急飞行操作(即，在存在故障的情况下的飞行操作)期间使用。在一些实施例中，在正常操作期间使用从子系统。这种配置可以例如通过将配置存储在存储器单元中；通过借助于开关、跳线或焊接桥对电路系统进行改变；或者通过在启动时使用允许区分两个或更多个子系统(诸如提供朝向信息的加速度传感器)的传感器信号来实现。在一些实施例中，在正常飞行操作期间可以使用从子系统或从子系统的部分。

在本发明的一些实施例中，飞行器包括以下重复部件(即，每个子系统至少一个部件)：至少两个效应器、至少两个电源、至少两个飞行模块、至少两个传感器，以及至少两个通信信道。例如，在一个实施例中，飞行器可以包括：

·具有至少一个效应器的第一子系统+具有至少一个效应器的第二子系统，

·具有至少一个电源的第一子系统+具有至少一个电源的第二子系统，

·具有至少一个飞行模块的第一子系统+具有至少一个飞行模块的第二子系统，

·具有至少一个传感器的第一子系统+具有至少一个传感器的第二子系统，以及

·具有至少一个通信信道的第一子系统+具有至少一个通信信道的第二子系统。

在一些实施例中，第一子系统包括两个、三个或四个效应器。在一些实施例中，第二子系统包括两个、三个或四个效应器。

在一些实施例中，至少一个效应器、电源、飞行模块、传感器或通信通道可以由两个或更多个不同的子系统共享。在本申请中，如果部件被说成由两个或更多个子系统“共享”，那么所述部件可以被这两个或更多个子系统使用；例如，这包括部件可以同时被两个或更多个子系统使用，或者部件可以被两个或更多个子系统中的一个子系统根据需要专门使用(在后一种情况下，这两个或更多个子系统可以连续地使用所述部件)：

例如，飞行器可以包括：具有至少一个第一效应器、至少一个第一飞行模块、至少一个第一传感器和至少一个第一通信信道的第一子系统；以及具有至少一个第二效应器、至少一个第二飞行模块、至少一个第二传感器和至少一个第二通信信道的第二子系统；并且飞行器可以包括为第一子系统和第二子系统两者供电的单个电源，使得第一子系统和第二子系统共享单个电源。

在一个实施例中，电源专门连接到或者第一子系统或者第二子系统；在这个实施例中，电源可以选择性地连接到或者第一子系统或者第二子系统，使得电源仅为子系统中的一个供电。而且，这单个电源可以从连接到第一子系统切换到连接到第二子系统，反之亦然。

在一些实施例中，单个电源可以是冗余电源或双电源(例如，包括作为对外部看起来是单个电源的两个分开的电源)。这种配置的示例是并联连接到相同输出的两个电池，每个电池通过二极管串联连接。第二示例是具有配置为不间断电力供应的电池的发电机。

在本申请中，当第一子系统和第二子系统共享电源时，这意味着第一子系统和第二子系统同时从电源接收电力，或者第一子系统或第二子系统可以专门从电源接收电力。电源可以选择性地切换，以专门向或者第一子系统或者第二子系统供电。

在另一个示例中，飞行器可以包括：具有至少一个第一效应器、至少一个第一飞行模块、至少一个第一传感器和至少一个第一电源的第一子系统；以及具有至少一个第二效应器、至少一个第二飞行模块、至少一个第二传感器和至少一个第二电源的第二子系统；并且飞行器可以包括连接到第一子系统和第二子系统二者的单个通信信道，使得第一子系统和第二子系统共享单个通信信道。

在本申请中，当第一子系统和第二子系统共享单个通信信道时，这意味着第一子系统和第二子系统同时连接到单个通信信道并且可以同时通过这单个通信信道进行通信，或者第一子系统或第二子系统可以专门通过这单个通信信道进行通信。在后一种情况下，在一个实施例中，第一子系统或第二子系统可以选择性地连接到单个通信信道，使得子系统可以通过这单个通信信道专门向另一个子系统传送消息。

在另一个实施例中，飞行器的第一子系统和第二子系统可以共享传感器。这意味着每个子系统可以从该传感器接收数据(诸如传感器读数)。每个子系统可以处理或使用它们从共享传感器接收到的数据。

在另一个示例中，飞行器可以包括：具有至少第一效应器、至少第一飞行模块和至少第一传感器的第一子系统；以及具有至少一个第二效应器、至少一个第二飞行模块和至少一个第二传感器的第二子系统；并且其中飞行器包括连接到第一子系统和第二子系统二者的至少一个通信信道、连接到第一子系统和第二子系统二者的单个电源，以及连接到第一子系统和第二子系统二者的至少第三传感器，使得通信信道、单个电源和第三传感器由第一子系统和第二子系统共享。在本申请中，当第一子系统和第二子系统共享通信信道、单个电源和第三传感器时，这意味着第一子系统和第二子系统同时连接到通信信道、单个电源和第三传感器，并且可以同时通过该通信信道进行通信、同时接收来自单个电源的电力并且可以同时与第三传感器进行通信，或者第一子系统或第二子系统专门连接到通信信道、单个电源和第三传感器，使得其中一个子系统可以通过该通信信道与另一个子系统进行通信、从单个电源接收电力并且专门与另一个子系统的第三传感器进行通信。

在一些实施例中，传感器可以是冗余的或组合的传感器。这种配置的示例是具有两个或更多个相机的双相机系统。另一个示例是串联使用的声纳和红外传感器的组合，使得每个传感器补偿另一个传感器中的缺陷。另一个示例是启用IMU的GPS设备。在一些实施例中，传感器可以是以下一个或多个中的一个或组合：RGB相机、深度传感器、多阵列麦克风或光场传感器。

在一些实施例中，子系统被构造和布置为以降低的飞行性能来操作飞行器。在一些实施例中，子系统被构造和布置为仅以其标称推力、升力或扭矩的80％、50％或20％(参见下面的推导)来操作飞行器。在一些实施例中，子系统被构造和布置为在不使用飞行器的其中一个效应器的情况下；在不使用飞行器的其中一个传感器的情况下；在不使用飞行器的其中一个电源的情况下；或者在不使用飞行器的其中一个飞行模块的情况下操作飞行器。

子系统的拆卸

在另一个实施例中，飞行器可以包括多个子系统，这些子系统可以选择性地彼此附连或分离。例如，在四轴飞行器的实施例的情况下，分离可以产生两个多轴飞行器子系统，每个子系统包括两个效应器。例如，飞行器可以被配置为是模块化的(即，包括多个模块)。飞行器还可以包括允许多个模块可移除地彼此附连的附连装置。例如，飞行器可以包括第一模块和第二模块，其中第一模块包括第一子系统，第二模块包括第二子系统；第一模块和第二模块可以彼此附连；例如第一模块可以包括第一子系统，第二模块可以包括第二子系统，其中第一子系统包括两个效应器，第二子系统包括另外两个效应器；第一模块和第二模块可以彼此附连以形成四轴飞行器；或者第一模块和第二模块可以彼此附连以提供两个多轴飞行器(即，各自具有两个效应器的两个多轴飞行器)。例如，这对于容易存储、运输或损坏的子系统的容易更换会是有用的。

自给自足的子系统

自给自足的子系统是飞行器。在一些实施例中，自给自足的子系统具有悬停能力。在一些实施例中，自给自足的子系统能够降级飞行。

降级飞行(degraded flight)

降级飞行是在故障之后降低的飞行性能。降级飞行会导致降低的控制权。例如，过热的电池会导致更少的电力可用于效应器。作为另一个示例，第一子系统的故障可能需要用第二子系统飞行，而第二子系统可以只具有飞行器的效应器的一半。降级飞行会导致自由度降低。例如，具有一个或多个损坏的效应器的四轴飞行器或六轴飞行器在偏航中可能不再是完全可控的。降级飞行可以使飞行器的控制对于人类领航员太具挑战性。例如，变得在偏航中只部分可控的飞行器可能对于手动飞行太复杂。作为另一个示例，在降级飞行中飞行器的时间常数对于人的反应时间来说可能太小。降级飞行可以要求不同的控制法则。例如，具有更改的重量分布的飞行器(例如，由于碰撞或其它故障)可以要求不同的马达增益来实现稳定的飞行。作为另一个示例，部分损坏的效应器可能不太高效，并且因此要求不同的控制输入来实现相似级别的推力。降级飞行可以使用飞行器上可用的效应器、传感器或计算资源的子集。

悬停，参考系

能够悬停的飞行器能够近似地达到并维持在空间中相对于飞行器外部的参考系的点处的目标位置。飞行器在空间中的位置可以通过位置和平移速度来描述，通常在预定义参考系中定义并且参考某个固定点。预定义参考系的示例包括“东-北-上”系，其原点固定到某个地标。飞行器的运动通常通过参考惯性坐标系来描述。

自主性

在一些实施例中，飞行器是自主的。在一些实施例中，飞行器可以自主地稳定它们在盘旋的位置或姿态。在一些实施例中，飞行器可以自主地稳定其位置或姿态。在一些实施例中，飞行器可以自主地遵循轨迹。在一些实施例中，飞行器可以自主地从第一航点导航到第二航点。在一些实施例中，飞行器可以自主地避开障碍物。在一些实施例中，飞行器可以自主地检测故障。在一些实施例中，飞行器可以自主地对故障做出响应。在一些实施例中，飞行器可以自主地导航。在一些实施例中，飞行器可以自主地执行预定的操纵。在一些实施例中，飞行器可以使用应急控制单元自主地操作。

在一些实施例中，飞行器自主地执行其一些功能，而其它功能在人为控制下执行。例如，人类操作员可以确定应急模式的激活或停用。作为另一个示例，飞行器及其(一个或多个)协调单元或(一个或多个)应急控制单元的最合适的操作模式可由人类操作员(例如，通过按下地面控制站上的一系列应急按钮中的一个)、由飞行器(例如，取决于其故障状态)或者由两者的组合(例如，取决于所有子系统的故障状态和人类操作员的命令)来确定。典型操作模式的示例包括一个或所有子系统的立即和完全断电；停在当前位置并降低高度以着陆；返回原位(home)并在原位位置发起着陆；以及停在当前位置并悬停。

多轴飞行器

多轴飞行器一般是具有至少两个转子的、不仅可以飞行而且能够悬停的飞行器，每个转子驱动至少一个螺旋桨。由转子和一个或多个螺旋桨形成的单元在下面被称为效应器。多轴飞行器的典型布置使用四个、六个或八个效应器，它们通常分别被称为四轴飞行器、六轴飞行器和八轴飞行器，并且在现有技术中是众所周知的并被广泛使用。包括16个或更多个效应器并且以许多配置布置(例如，具有对准以及倾斜或倒置或二面轴；单独或反向旋转布置；暴露或包裹在管道或保护罩中)的许多其它变体在使用中。一些变化包括可以从多轴飞行器配置切换到机翼配置的飞行器。这允许将多轴飞行器的优点(例如，适合起飞、着陆、任务执行等的悬停、高敏捷性等等)与固定机翼飞机的优点(例如，适合覆盖大距离或实现高速的高效向前飞行、高滑翔比等等)相结合。

出于机械简单性的原因，多轴飞行器通常使用固定节距叶片，其螺旋桨节距在旋转过程中不会改变。这种机械简单性和结果产生的易于制造与高敏捷性和悬停能力相结合使得多轴飞行器成为许多航空应用的首选平台。

在一些实施例中，冗余飞行器由两个多轴飞行器子系统组成。例如，冗余四轴飞行器可以由两个多轴飞行器子系统组成，每个子系统包括两个效应器。作为进一步的示例，冗余六轴飞行器可以由两个多轴飞行器子系统组成，每个子系统包括三个效应器(即，每个子系统是三轴飞行器)。作为进一步的示例，冗余八轴飞行器可以由两个多轴飞行器子系统组成，每个子系统包括四个效应器，使得每个子系统是四轴飞行器。在一些实施例中，冗余多轴飞行器由三个子系统组成。例如，冗余六轴飞行器可以由三个多轴飞行器子系统组成，每个子系统包括两个效应器。对于本领域技术人员来说显而易见的是，给出本发明的益处，许多其它组合是可能的。

效应器

在本发明中，飞行器可以配备有效应器。效应器是可操作以实现或指引飞行的任何装置。效应器可以采取任何合适的配置。效应器的示例包括具有马达的固定节距螺旋桨以及控制铰接的翼型件重定向气流的枢转角的线性或旋转致动器(例如，副翼、方向舵、襟翼等等)。在一些实施例中，可以使用机械链接来集成多个效应器。常见的示例包括斜盘(3个效应器)和斜盘控制的同轴双螺旋桨设置(4个效应器)。在一些实施例中，可以使用振荡控制信号来从有限数量的机械自由度创建多个效应器。示例包括相对于转子的旋转改变正弦控制信号的振幅和相位，以创建具有推力、滚转和俯仰权(3个效应器)的欠驱动、无斜盘螺旋桨以及本发明中描述的控制推力、滚动和俯仰(3个效应器)的控制方法。

在一些实施例中，效应器产生作用在飞行器上的推力和扭矩。这种效应器通常特征在于具有相对于飞行器的主体固定的特征驱动轴(通常与推力的方向完全相同)。

飞行器通常使用无刷马达来生成推力，其通常使用马达控制器将这单个变量转换为实现期望的转子速度所需的振幅、波形和频率。这种马达控制器通常包含3个由逻辑电路控制的双向输出(即，频率控制的三相输出)，但是可以具有涉及附加传感器和电子器件的更复杂的实现，以实现高性能或其它期望的特性。

在一些实施例中，飞行器的效应器属于生成或重定向气流的效应器组。在一些实施例中，飞行器的效应器属于致动接头的效应器组。在一些实施例中，飞行器的效应器属于旋转或线性致动器组。

在一些实施例中，飞行器的效应器刚性地附连到飞行器的主体；装备有固定节距的螺旋桨叶片，其转子节距在叶片旋转时不变；可操作以产生扭矩和推力二者；或者被构造和布置为贡献可以使飞行器飞行的推力或升力。

(一个或多个)电源

在本发明中，飞行器可以包括一个或多个电源。(一个或多个)电源可以采取任何合适的配置。电源的示例包括电池、蓄电池、内燃机、涡轮机和电力电容器。其它示例包括其它电力和非电力电源。在一些实施例中，每个子系统具有其自己的电源。在一些实施例中，电源向同一个子系统的(一个或多个)传感器、(一个或多个)效应器和(一个或多个)飞行模块供电。在一些实施例中，电源还向另一个子系统的部件供电。例如，在应急操作期间，它可以向另一个子系统的(一个或多个)效应器供电。在一些实施例中，电源向故障检测单元提供信号。例如，电池可以提供关于其电荷级别或其操作温度的信息。

(一个或多个)传感器

在本发明中，飞行器可以还包括一个或多个传感器，传感器可以被构造和布置为(a)提供表示子系统的部件(例如，效应器、电源)的数据，或者(b)提供表示一个或多个子系统的运动的数据，或者(c)提供表示冗余飞行器的运动的数据。传感器可以生成一个或多个传感器信号。

内感受传感器感测系统的内部量。示例包括感测马达控制器的温度的热传感器和检测电线中的电流的电流传感器。这种类型的传感器可以对检测故障特别有用。

外感受传感器感测系统相对于外部参考系的状态(即，相对位置、相对朝向或相对速度)。示例包括感测到障碍物的距离的视觉传感器和感测磁性北极的方向的磁力计。这种类型的传感器可以对自主飞行特别有用。

在一些实施例中，使用微机电系统(MEMS)或压电系统来允许实现本发明中概述的冗余性和操作特性。可以有用地在本发明中采用的这种微型传感器的示例包括MEMS陀螺仪、MEMS加速度计、压电陀螺仪和压电加速度计。在一些实施例中，微型传感器的使用允许在每个子系统中使用一个或多个惯性测量单元(IMU)，每个惯性测量单元组合多个陀螺仪和加速度计或使用多轴陀螺仪和加速度计。在一些实施例中，使用微型传感器使得能够实现用于冗余飞行器的具体特点。例如，可以使用MEMS陀螺仪来监视飞行器的姿态，并且，如果飞行器的姿势阈值被超过，那么允许故障检测单元触发应急控制模式。作为另一个示例，尽管其时间常数低，但是MEMS陀螺仪也可以用于控制小型飞行器盘旋。与传统传感器(其可以是装备具有多个子系统的飞行器的先决条件)相比，MEMS传感器具有其优点，例如其重量更轻并且功耗更低。

在一些实施例中，每个子系统使用两个或更多个相同类型的传感器。在一些实施例中，相同类型的传感器是测量相同量的传感器。在一些实施例中，相同类型的传感器是相同型号的传感器。在一些实施例中，相同类型的传感器是相同制作的传感器。在一些实施例中，相同类型的传感器是提供表示飞行器的相同状态或子状态的数据的传感器。

在一些实施例中，传感器属于惯性传感器、距离传感器或速率传感器组。在一些实施例中，传感器属于加速度计、陀螺仪、磁力计、相机、光学流传感器、激光或声纳测距仪、雷达、气压计、温度计、湿度计、缓冲器、化学传感器、电磁传感器、气流传感器或相对空速传感器、超声传感器、麦克风、无线电传感器或红外传感器组。在一些实施例中，传感器属于高度、距离或范围传感器组。在一些实施例中，传感器属于相对或绝对位置传感器组。在一些实施例中，传感器属于定位传感器组。在一些实施例中，传感器是信号的接收器(例如，全球导航卫星系统(GNSS)接收器、射频接收器或红外接收器)。在一些实施例中，传感器属于GNSS类型传感器、视觉测距/SLAM、回归反射定位系统、激光测距仪、Wi-Fi定位系统、射频定位系统、气压高度计和变化计或超声传感器组。在一些实施例中，传感器是MEMS传感器。

飞行模块

在本发明中，飞行器可以包括一个或多个飞行模块。飞行模块是包括处理器、存储器和通信接口的电子部件(通常为印刷电路板(PCB))，以从传感器接收信号并将信号输出到效应器或其它飞行模块。在一些实施例中，飞行模块包括控制单元(例如，正常操作控制单元、应急控制单元等等)、协调单元和故障检测单元。在一些实施例中，单个飞行模块可以包括多个正常操作控制单元、应急控制单元、协调单元或故障检测单元。在一些实施例中，各自具有其自己的处理器、存储器和通信接口的多个飞行模块可以位于单个PCB上(例如，以简化制造或实现期望的电气行为)。在一些实施例中，飞行模块的处理器、存储器和通信接口分布在多个PCB上(例如，以实现某个重量分布或性能特性)。

(一个或多个)协调单元/(一个或多个)协调信号

在本发明中，所述一个或多个协调单元用于协调多个子系统的操作。

协调单元可以被配置为接收控制信号、故障检测信号、传感器信号和协调信号。在一些实施例中，协调单元可以被配置为经由通信信道从另一个协调单元接收信号。

在一些实施例中，协调单元可以被配置为发起从另一个协调单元经由通信信道发送信号。在一些实施例中，协调单元可以将信号发送到故障检测单元。在一些实施例中，协调单元转发控制信号。在一些实施例中，协调单元可以发送或转发正常操作控制信号、故障检测信号、传感器信号或协调信号。在一些实施例中，协调单元可以发送或转发应急控制信号。

在一些实施例中，第一子系统中的第一协调单元经由通信信道将协调信号发送到第二子系统中的第二协调单元。在一些实施例中，第一协调单元经由通信信道将控制信号转发到第二协调单元。

协调单元控制开关。协调单元可以使用开关来选择哪个控制信号被转发到哪个效应器。

在一些实施例中，协调单元从故障检测单元接收故障检测信号。例如，在第一子系统中，第一协调单元可以从故障检测单元接收子系统的效应器中的一个发生故障的故障检测信号。然后协调单元可以向第二子系统的第二协调单元发送指示故障的协调信号，第二协调单元可以触发第二子系统从正常操作控制模式切换到应急控制模式。在一些实施例中，这种切换通过协调单元向正常操作控制单元和应急控制单元发送信号来触发。在一些实施例中，这种切换通过向开关发送从转发正常操作控制单元的控制信号切换到转发应急控制单元的控制信号的信号来触发。

在一些实施例中，第一子系统中的第一协调单元可以被布置为从第一子系统中的控制单元(例如，第一正常操作控制单元)接收控制信号(例如，正常操作控制信号)；然后它可以将这些控制信号转发到第二子系统中的第二协调单元；然后第二协调单元可以将这些控制信号转发到第二子系统中的故障检测单元；然后这可以允许第二子系统中的故障检测单元将这些信号与第二子系统中的控制单元(例如，第二正常操作控制单元)的信号进行比较，以检测第一子系统或第二子系统中的故障。

在一些实施例中，第一子系统中的第一协调单元可以被布置为从第一子系统中的第一传感器接收第一传感器信号；然后它可以将表示第一传感器信号的协调信号发送到第二子系统中的第二协调单元；然后第二协调单元可以将这些信号转发到第二子系统中的故障检测单元；然后这可以允许第二子系统中的故障检测单元将这些信号与第二子系统中的第二传感器信号进行比较，以检测第一子系统或第二子系统中的故障。

(一个或多个)开关

开关可以用于在将不同的控制信号转发给一个或多个效应器之间进行切换或选择。开关也可以用于接通或切断将控制信号集合转发到一个或多个效应器(“开/关开关”或“开/关选择器”)。

在一些实施例中，主设备和从设备子系统中的每一个都具有开关。在一些实施例中，开关用于在将来自不同控制单元(例如，正常操作控制单元、应急控制单元)的控制信号转发到一个或多个效应器之间进行切换。在一些实施例中，开关由协调单元操作。

故障和(一个或多个)故障检测单元/故障检测信号

故障检测单元用于检测故障。在一些实施例中，使用故障检测单元来检测它是其一部分的子系统中的故障。在一些实施例中，使用故障检测单元来检测另一个子系统中的故障。在一些实施例中，使用故障检测单元来检测通信信道中的故障。

故障检测单元生成故障检测信号。故障检测信号通常从故障检测单元发送到协调单元。在一些实施例中，故障检测单元可以接收协调信号。在一些实施例中，故障检测单元可以接收传感器信号。在一些实施例中，故障检测单元可以接收指示其自己的子系统中的部件或单元(例如，经由协调单元或者直接来自该部件或单元)或者另一个子系统中的部件或单元(例如，经由另一个子系统的协调单元、通信通道，以及其自己的子系统的协调单元)的操作状态的信号。

故障的类型

在这里，故障可以意味着部件的部分或完全丧失或者操作员错误。例如，效应器(诸如通常用在多轴飞行器上使用的螺旋桨)的故障可以意味着由效应器产生的扭矩或推力的故障。对于这个示例，通常丧失在标称推力、升力或扭矩的20％至100％的范围内。作为另一个示例，传感器的故障可以意味着输送任何传感器数据的部分或完全故障、传感器数据超出范围，或传感器数据与来自其它传感器的数据不对应，或传感器数据与模型预测不对应。作为另一个示例，通信信道的故障可以意味着缺少从那个信道接收的信号，信号与期望的范围、模式或模型不对应，或者信号未通过检查(例如，循环冗余校验)。

总的来说，现在使用的许多小型飞行器，尤其是多轴飞行器，相对简单并且因此相对安全(飞机上最好的系统是它没有的系统，因为它永远不会发生故障)。但是，由于小型飞行器的巨大普及，在文献中记录了大量的坠毁。绝大多数飞行器坠毁是由于效应器故障–除了导致飞行器与障碍物碰撞的领航员错误之外，只要效应器在以受控的方式产生推力时不发生故障，飞行器通常就保持在空中。因此，本发明可以允许克服或限制所有小型飞行器坠毁中的绝大多数的后果，包括涉及与障碍物碰撞的一些坠毁。文献中最常见的飞行器故障是：

1.由于领航错误或者风或湍流而与障碍物碰撞引起的故障。例如，在检查操作期间，突如其来的风将飞行器推进桥中，从而由于螺旋桨破损而导致效应器故障，随后发生灾难性的失控并且坠毁。

2.飞行器接线的故障。非常常见的故障包括：

-由于振动而使马达连接器拔出。

-焊接线的分离。

-被螺旋桨切断的松散电线。

-由于部分马达附连故障(紧固螺钉的颤动失去或组件的材料疲劳)被剥落的电线。

-电线尺寸不足，导致电线或焊接附连点的过热/熔化。

3.飞行器的螺旋桨附连、马达附连、致动器附连或机架的故障。最常见的故障包括：

-松动的螺钉和螺栓(由于振动、装配错误、磨损、材料疲劳而松动)。

-以错误配置附连的螺旋桨(逆时针(有时称为“牵引器”螺旋桨)和顺时针螺旋桨(有时称为“推动器”螺旋桨))。

-附连螺钉的过分拧紧。

-附连螺钉没有足够拧紧。

-致动器附连故障。

-破损的机翼。

-穿孔的翼型件。

4.正确平衡所有马达、正确平衡所有螺旋桨的故障，以及由于马达夹头和轴弯曲导致的故障。这个类别是零件振动和随后移动的主要原因，特别是在较大型飞行器上。

5.飞行器马达或致动器的故障。最常见的故障是由于马达过载(例如，太大的螺旋桨)以及随后的过热或者在灰尘或沙中操作而造成的。其它常见的故障包括致动器尺寸不适当或部件老化。

6.飞行器电气或电子部件的故障。这类中最常见的故障是在潮湿的条件下飞行，这些潮湿的条件诸如雨、雾或高湿度。

7.飞行器飞行软件的故障。例如，飞行控制计算机的不正确的编程或飞机重量的不正确的马达增益。

8.由不正确的远程控制配置造成的故障，特别是反向或错误配置的发送器信道，或者无法确保基站和接收器之间足够强的信号。

9.由干扰造成的故障，最常见的是电子速度控制器(也称为“马达控制器”)与飞行器接收器之间的干扰。

10.由于有效载荷不良而导致的故障。

11.由于缺乏传感器校准或错误的传感器校准而导致的故障。

12.由于材料疲劳(例如，疲劳裂纹或应力断裂)导致的螺旋桨的故障。

13.部件故障。所有部件都有不同的有限使用寿命和年龄，这取决于各种因素，例如热循环。

虽然并非所有上述故障都直接导致效应器故障，但是使用本发明可以检测或避免许多故障。特别地，在上述故障中的一个之后，本发明可以通过禁用受该故障影响的部件或子系统并且通过使用应急控制单元计算用于不受故障影响的子系统的效应器控制信号来防止飞行器坠毁，使得不受故障影响的效应器的推力的合成方向的朝向可以被控制，以允许飞行器着陆。

可以使用各种方法来检测发生了故障。示例包括自动检测，例如通过使飞行器上基于模型的观察器监视被测量的数据，并且概率性地检测到已经观察到错误(例如利用一组卡尔曼滤波器，其中每个卡尔曼滤波器表示不同的故障模式)。也可以使用滑动模式观察器、基于投票的算法、等价空间做法和参数识别。也可以直接检测故障，例如，通过监视飞行器的效应器的旋转速度，或者通过监视飞行器的效应器汲取了多少电流。其它示例包括让领航员监视飞行器，当观察到故障时，领航员可以向飞行器发送信号。

一些故障检测方法可能只会在延迟后才能检测到故障，这意味着在识别出故障时飞行器可能处于远离预期的状态。某些事件(诸如与障碍物碰撞)也会使飞行器处于远离预期的状态。尽管如此，本发明可以允许飞行器从任意初始状态恢复。取决于具体的飞行器配置(诸如质量、未受故障影响的其它效应器等等)，飞行器可能能够在故障后恢复悬停，或者在空间中自由移动。可替代地，不是控制位置，而是可以简单地使用所公开的发明在故障之后重新调整飞行器的朝向，使得其(例如)以有利的方式撞击地面。

本发明还可以提供降低领航员错误的严重性的可能性。例如，如果四轴飞行器的领航员偶然使四轴飞行器与结构碰撞，并由此损坏了其中一个螺旋桨，那么自动化系统(例如，故障检测单元)可以检测到发生了故障，并且一些飞行器的效应器已经受到故障的影响。系统然后可以自动地接合内部自动驾驶仪(例如，应急控制单元)，从而利用可用的传感器使飞行器悬停，或者使飞行器在地面上软着陆。

故障检测单元

在一些实施例中，故障检测单元被构造和布置为将第一信号与第二信号进行比较。这可以例如通过将故障检测单元连接到两个或更多个相同类型的传感器来实现，其中这两个或更多个传感器被构造和布置为提供类似的读数。这可以例如通过将传感器紧靠在一起安装；具有适当的相对朝向；或具有合适的相对位置来实现。

在一些实施例中，故障检测单元被构造和布置为将信号与期望的阈值或范围进行比较。例如，故障检测单元可以接收来自温度传感器的测量、在固定的时间间隔上平均这些测量、将平均值与从存储器检索出的范围进行比较，并且如果平均值在范围之外就报告故障检测。

在一些实施例中，故障检测单元被构造和布置为检测单个部件或单个子系统的故障。这可以例如通过以下来实现：通过安装传感器使得它检测飞行器绕特定轴的移动；通过使用模型将绕轴的移动与一个或多个效应器的动作联系起来；以及通过使用该模型将表示传感器读数的数据与用于无故障操作的预期范围或阈值进行比较。然后，如果表示传感器读数的数据落在预期范围之外或高于(或低于)阈值，那么故障检测单元检测到故障。在一些实施例中，模型可以包括效应器命令或控制信号。例如，模型可以预测用于给定的马达命令的某个加速度计读数。模型的示例包括第一原理模型、查找表和相关函数。

在一些实施例中，故障检测单元被构造和布置为基于经由通信信道接收的信号来检测故障。例如，它可以基于从该传感器接收到并经由通信信道转发的测量来检测另一个子系统的温度传感器中的故障。

在一些实施例中，故障检测单元可以使用一个子系统的传感器信号来监视另一个子系统的操作。例如，一个子系统中的陀螺仪可以被安装成使得它检测由另一个子系统的效应器造成的飞行器绕特定轴的移动。第一个子系统因此可以观察另一个子系统的动作。检测到的移动可以由值表示。该子系统然后将值/检测到的移动与预期的值进行比较。预期的值可以例如通过模型或基于从第一子系统的正常操作控制单元经由协调单元和通信通道发送到另一个子系统的马达命令来预测。如果值/检测到的移动与预期的值不对应，那么这指示发生了故障。作为另一个示例，可以通过确定值/检测到的移动是否在预定义的安全操作范围内或在预定义的安全变化率内来完成故障的检测。

故障检测单元还可以实现许多其它已经确立下来的故障检测方法，以评估它接收到的信号，以便检测是否发生了故障。例如，它可以使用比较来自若干传感器的冗余信息的算法；它可以包括看门狗功能来检测意外的信号中断；数据损坏检查，诸如CRC；信号范围检查；信号阈值检查；相关性验证(correlation verification)；它还可以包括检测欠电压或过电压、过电流、温度过高或效应器运动的附加传感器。

在一些实施例中，故障检测单元从协调单元接收指示在正常操作控制单元中生成的信号的信号。故障检测单元然后可以使用这些信号来验证本地信号(例如，相同子系统的信号)。

一旦检测到故障，故障检测单元就可以向协调单元发送信号(例如，故障检测信号)。故障检测信号可以包括故障的类型的细节(例如，效应器误动)、子系统或其部件的状态的细节(例如，关闭效应器)，或针对另一个子系统的指令(例如，发起应急控制)。

(一个或多个)正常操作控制单元/正常操作控制信号

在一些实施例中使用正常操作控制单元(有时称为：正常OP控制单元)在正常操作期间控制飞行器。

正常操作控制单元取决于传感器信号来生成用于冗余飞行器的效应器的控制信号(有时称为：正常操作控制信号或正常OP控制信号)。正常操作控制信号通常被发送到多个子系统，一些控制信号由协调单元并经由通信信道被转发到另一个子系统。

正常操作控制单元可以实现在现有技术中确立下来并被广泛使用的飞行器控制法则。这种控制法则的示例包括PID控制；模型预测控制；滑模控制；完整状态反馈；以及反推控制。取决于控制法则，正常操作控制单元还可以实现状态估计算法，以从传感器信号估计冗余飞行器的状态。这种状态估计算法在现有技术中也是确立下来的；这种方法的示例包括卡尔曼滤波；扩展卡尔曼滤波；粒子滤波；无迹卡尔曼滤波；以及互补滤波。在一些实施例中，状态估计包括飞行器的旋转和角速度。正常操作控制单元然后可以使用这些估计，例如，在姿态控制器中。在一些实施例中，状态估计器估计旋转状态和平移状态二者。

控制单元可以计算用于单个效应器的控制信号。在一些实施例中，控制单元为不同的效应器集合计算不同的控制信号集合。例如，正常操作控制单元可以计算用于主子系统的两个效应器的第一控制信号集合和用于从子系统的第二控制信号集合。作为另一个示例，在正常操作期间，第一正常操作控制单元可以计算用于主子系统的第一控制信号集合，并且第二正常操作控制单元可以计算用于从子系统的第二控制信号集合。

一个子系统的正常操作控制单元还可以使用与另一个子系统的传感器信号相关的数据来改进性能。这可以通过使用一个或多个协调单元转发那个数据来实现。虽然由两个子系统承载的传感器通常将产生表示相同量的信号，但是来自多个子系统的传感器的数据的组合可以改进信号质量(例如，信噪比)。这可以例如通过借助于联合地对两个信号进行滤波以降低噪声并改进离群值剔除来实现。

在一些实施例中，即使在检测到故障之后，只要故障很小，就也使用正常操作控制单元(例如，只要故障不影响飞行器的效应器的操作，或者只要故障可以由冗余部件补偿)。

在一些实施例中，使用单个正常操作控制单元。

(一个或多个)应急控制单元/应急控制信号

在一些实施例中使用应急控制单元在故障之后接管飞行器的控制。应急控制单位实现用于降级飞行的特殊控制法则。在一些实施例中，应急控制单元通过来自人类操作员的输入被激活、停用或影响。在一些实施例中，应急控制单元是完全或部分自主的。

应急控制单元生成应急控制信号。在一些实施例中，可以使用应急控制信号来控制飞行器的效应器的子集。在一些实施例中，应急控制单元为同一子系统中的效应器生成应急控制信号。

在一些实施例中，应急控制单元可以用于控制已经失去对其一个自由度的移动的控制的飞行器。在一些实施例中，一旦受故障影响的子系统被禁用，就使用应急控制单元。在一些实施例中，在故障检测单元检测到任何故障之后使用应急控制单元。

在一些实施例中，应急控制单元仅为其子系统的效应器生成控制信号。因此，应急控制单元可以实现被具体地设计以用于控制具有减少数量的效应器的飞行器的控制法则。在本发明中公开了这种控制法则的示例。对于配置有足够数量的效应器以允许单个子系统维持完全受控的飞行的冗余多轴飞行器(例如，由各自具有四个螺旋桨的两个子系统组成的八转子冗余多轴飞行器)，在现有技术中已经确立下来并广泛使用的常规的多转子控制法则的可以在应急控制单元中实现。

在一些实施例中，飞行器保持处于其故障状态或者在应急控制单元的控制下，直到其安全着陆为止，例如，如由状态估计或基于传感器数据的另一个算法(例如，与静止持续>10秒对应的某个范围内的加速度计读数)、由专用传感器(例如，在飞行器起落架上的触摸传感器)或由人类操作员确认的。在一些实施例中，飞行器在应急控制单元的控制下周期性地重新评估其当前故障状态或其操作。在一些实施例中，故障可以被用于触发故障诊断(例如，事件处理、使用故障树分析确定系统故障状况等等)。在一些实施例中，故障状态或应急控制的退出取决于飞行器100的细节、其预期故障模式、实际故障模式以及其它因素。在一些实施例中，故障检测单元可以在已经检测到故障之后继续监视故障，并且一旦故障不再持续，协调单元就可以触发返回到正常操作。

禁用子系统

在一些实施例中，子系统可以被禁用(例如，如果在子系统的部件(诸如属于那个子系统的效应器)中存在故障，那么那个子系统可以被禁用)。子系统的停用可以例如通过停止子系统的控制单元的操作；通过关闭子系统的电源单元；或者通过使用协调单元或开关来中断经由通信信道转发控制信号来实现。在一些实施例中，子系统部件(诸如故障检测单元、电源或协调单元)可以具有特殊的“禁用”状态，其允许它们继续提供表示子系统的状态和功能的数据。例如，被禁用的子系统的协调单元可以仍然将表示被禁用的子系统的传感器信号的数据转发到另一个子系统的协调单元。作为另一个示例，被禁用的子系统的故障检测单元可以继续监视并提供对故障状态的更新。

单元的组合

一些实施例可以包括单个或多个故障检测单元、协调单元、正常操作控制单元和应急控制单元。在一些实施例中，(一个或多个)故障检测单元、(一个或多个)协调单元、(一个或多个)正常操作控制单元和(一个或多个)应急控制单元中的一些或全部可以在单个或多个电路板、单板计算机或单个微控制器上实现。在一些实施例中，(一个或多个)故障检测单元、(一个或多个)协调单元、(一个或多个)正常操作控制单元和(一个或多个)应急控制单元中的一些或全部的操作可以被组合成一个或多个单元。

通信信道/信号

在本发明的实施例中，飞行器可以包括一个或多个通信信道((一个或多个)有线或无线通信信道)。最优选地，通信信道连接到飞行器的每个子系统(例如，第一和第二子系统)。因此通信信道可以用于子系统之间的通信。例如，在优选实施例中，第一子系统连接到通信信道，第二子系统连接到所述通信信道，并且所述子系统之间的通信可以在该通信信道上发生。通信由子系统的协调单元进行中介。示例性通信信道包括：物理传输介质(例如，单根电线或线缆、两根电线或线缆)；逻辑连接(例如，数据源和数据接收器之间的链接)；无线连接(例如，无线电信道)；飞行器可以包括这些信道类型中的任何一个或多个。在一些实施例中，通信信道使用控制器区域网络(CAN总线)、通用异步接收器/发送器(UART)或者内部集成电路(I²C或I2C)总线。

通信信道将已经在一个子系统处生成的控制信号(例如，由正常操作单元计算并经由协调单元转发的马达控制信号)携带到另一个子系统。在一些实施例中，通信信道将已经在一个子系统处生成的协调信号(例如，由协调单元计算或转发并且指示子系统或其部件中的一个的状态的信号)携带到另一个子系统。在一些实施例中，通信信道将已经在一个子系统处生成的其它信号(例如，传感器信号，诸如检测到事件或被测量的量或被测量的环境特性的传感器的输出、由电源生成的指示电源的状态(或“健康”)的信号)携带到另一个子系统。在一些实施例中，只有控制信号经由通信信道被直接转发，而其它信号被变换为协调信号。

要注意的是，在本公开中，术语“通信信道”和“信道”包括但不限于物理传输介质，诸如电线或逻辑连接；通信信道也可以是无线通信信道。在进一步的变型中，提供多个通信信道。单数术语用于指其单数或复数含义(即，“(一个或多个)通道”)。通信信道可以是单个单向信道；数据在相同方向流动的两个冗余的单向信道；数据在相反方向流动的两个冗余的单向信道；单个双向通道；两个冗余的双向信道；或其组合(包括重复)。

在一些实施例中，提供一个或多个单向通信信道。示例包括发送PWM信号的电线。在一些实施例中，提供一个或多个双向通信信道。例如，可以使用两个无线连接，每个无线连接包括无线收发器。

在一些实施例中，通信信道可以包括至少两个有线连接。在一些实施例中，通信信道可以包括至少两个无线连接。在一些实施例中，通信信道可以包括至少一个有线连接和至少一个无线连接的组合。

在一些实施例中，提供一个或多个冗余(例如，备份)通信信道。例如，两个协调单元可以通过两个分开的通信信道发送完全相同的信号。

在一些实施例中，通信信道具有每秒至少5、10、50或200个致动器信号的传输吞吐量。在一些实施例中，通信信道在由第一协调单元发送信号与由第二协调单元接收信号之间具有至多200、100、20或5ms的传输延迟。

在一些实施例中，通信信道使用有线连接。例如，这对于避免射频干扰会是有用的。在一些实施例中，通信信道使用差分信令。例如，这对于降低对噪声的易感性会是有用的。在一些实施例中，提供了双向通信信道，其中协调单元正在通过向发送方协调单元发送回确认信号来接收响应的信号。在一些实施例中，通信信道使用错误检测或错误校正机制。示例包括ECC、CRC和校验和。

附图说明

现在将参考下面的附图仅以举例的方式描述本发明的实施例：

图1示出了四轴飞行器形状的示例性飞行器的示意性透视图。

图2A和2B示出了示例性冗余飞行器的示意性透视图，该飞行器包括具有可分离的组装连接并通过通信信道连接的两个多轴飞行器子系统。

图3示出用于解释示例实施例的功能的框图。

图4A示出了用于解释更复杂的示例实施例的功能的框图。

图4B示出了具有共享单个通信信道的两个子系统的示例实施例。

图4C示出了具有共享单个电源的两个子系统的示例实施例。

图4D示出了具有共享单个通信信道、单个电源和单个共享传感器的两个子系统的示例实施例。

图5示出了用于解释示例实施例中的示例决定处理的流程图。

图6A至6D示出了用于解释具有三个子系统的示例实施例的功能的单个框图(为了方便而拆分成部件A、B和C)。

图7示出了用于解释具有三个子系统的示例实施例中的示例决定处理的流程图。

图8示出了用于解释具有两个单向通信信道的示例实施例的功能的框图。

图9示出了用于解释具有两个单向通信信道的示例实施例中的示例决定处理的流程图。

图10示出了用于解释力和扭矩的作用的示例性实施例的示意性透视图。

图11示出了图2A和2B中所示的示例实施例的示意图，用于解释两个子系统可以如何连接以创建作为四轴飞行器的飞行器。

图12A至12C示出了用于解释两个或三个子系统可以如何连接以创建作为六轴飞行器的飞行器的示意图。

图13A至13D示出了用于解释两个子系统可以如何连接以创建作为八轴飞行器的飞行器的示意图。

图14示出了可以与本发明一起使用的飞行器的另一个示例实施例。

图15示出了可以与本发明一起使用的飞行器的另一个示例实施例。

图16示出了配备有服装附连到其上的支撑结构以及灯的飞行器的另一个示例实施例。

图17示出了配备有不同形状/设计的服装的飞行器的另一个示例实施例。

具体实施方式

图1示出了飞行器100。其实现为具有中心壳体124和四个刚性附连的臂126的四轴飞行器的形状。效应器102安装在每个臂126的远端处。在这里，效应器102是致动螺旋桨104的马达106。螺旋桨的旋转轴(“驱动轴110”)相对于飞行器100是固定的。这四个螺旋桨并不都具有相同的旋转方向108(或“旋向性”)：两个螺旋桨按逆时针方向旋转，另两个按顺时针方向旋转。还示出了飞行器的质量中心120及其主体轴122。

图2A示出了作为冗余多轴飞行器的冗余飞行器100的实施例。它包括彼此刚性附连的两个多轴飞行器子系统250a、250b，诸如它们将在飞行中那样。第一子系统250a包含第一飞行模块240a，而第二子系统250b包含第二飞行模块240b。两个子系统250a、250b通过由两根电缆210.1和210.2组成的物理冗余通信信道210连接。

图2B示出了图2A的冗余飞行器100，其中两个子系统250a、250b彼此分离，仅通过通信信道210.1和210.2连接。在操作期间，两个子系统250a、250b彼此刚性连接。但是，如图2B所示的分离在运输或维护期间会是有用的。它还进一步图示了两个子系统中的每一个如何构造和布置为自给自足的。

在这个实施例中，两个子系统250a、250b中的每一个都能够在禁用另一个子系统的情况下使飞行器100飞行(即，每个子系统250a、250b能够在没有另一个子系统250b、250a的效应器102的情况下提供使飞行器100飞行所需的升力和稳定控制；被禁用的子系统变成有效载荷)。这通过以下来实现：使两个子系统250a、250b中的每一个包括电源、效应器、传感器和飞行模块(未示出)，并且通过使每个子系统的传感器和效应器构造和布置为使得飞行器100可以使用现有技术中已知的标准控制法则或使用下面公开的控制法则可控制。

图3示出了用于解释图2所示的示例实施例中的信号流的框图。箭头指示信号流。要注意的是，为了清楚起见，图3中省略了详细的传感器信号流程。在这个实施例中，一个子系统250a被指定为主设备；另一个子系统250b被指定为从设备。在这里，每个子系统包括其自己的电源360a、360b，效应器102a、102b，传感器300a、300b以及飞行模块240a、240b。主设备的飞行模块240a包括协调单元350a、正常操作控制单元310a、应急控制单元320a、故障检测单元330a和开关340a。从设备的飞行模块240b包括协调单元350b、应急控制单元320b、故障检测单元330b和开关340b。要注意的是，在这个实施例中，从设备不需要正常操作控制单元310b。这个实施例还包括两个单向通信信道210.1、210.2(这个信号流程图中未示出信道)。第一通信信道210.1将来自主设备的协调单元350a的信号传送到从设备的协调单元350b。第二通信信道210.2将来自从设备的协调单元350b的信号传送到主设备的协调单元350a。

主设备的协调单元350a控制主设备的开关340a。开关340a在将来自主设备的正常控制操作单元310a的控制信号转发到主设备的效应器102a、将来自主设备的应急控制单元320a的控制信号转发到主设备的效应器102a以及可以用于禁用在主子系统250a中的转发的“关”位置之间进行切换。

从设备的协调单元350b控制从设备的开关340b。开关340b在将来自主设备的正常控制操作单元310a的控制信号(经由协调单元350a、350b)转发到从设备的效应器102b、将来自从设备的应急控制单元320b的控制信号转发到从设备的效应器102b以及可以用于禁用在从子系统250b中的转发的“关”位置之间进行切换。

协调单元350a、350b可以从它们相应的故障检测单元330a、330b接收故障检测信号，故障检测信号可以指示对应的子系统250a、250b是否发生了故障。

在这个实施例中，每个故障检测单元330a、330b从其子系统的(一个或多个)传感器300a、300b，(一个或多个)效应器102a、102b，电源360a、360b，应急控制单元320a，320b和协调单元350a、350b接收信号(为了清楚，这些信号在图3中被省略)。主设备的故障检测单元330a还可以接收来自主设备的正常操作控制单元310a的指示其故障状态的信号(为了清楚，在图3中被省略)。

每个故障检测单元330a、330b向作为同一子系统250a、250b的一部分的协调单元350a、350b发射表示该子系统的故障状态的信号。

每个故障检测单元330a、330b还可以经由通信信道210分别从其子系统的协调单元330a、330b接收包含表示另一个子系统330b、330a的(一个或多个)传感器300b、300a，(一个或多个)效应器102b、102a，电源360b、360a，应急控制单元320b、320a，协调单元330b、330a或故障检测单元300b、330a的故障状态的数据的信号(例如，作为分别从另一个子系统的协调单元330b、330a发送的协调信号的一部分)。类似地，从设备的故障检测单元330b也可以经由通信信道210接收表示主设备的正常操作控制单元310a的数据。

控制单元310a、320a、320b接收来自其子系统300a、300b中的传感器的信号(为了清楚，在图3中省略了传感器信号)并计算用于飞行器的效应器102的效应器控制信号。

在这个实施例中，子系统的所有部件都从其子系统的电源360接收电力。

在这个实施例中，仅仅基于主设备的传感器300a来计算主设备的正常操作控制单元310a的控制信号(即，不使用从设备的传感器300b的传感器数据)。主设备的应急控制单元320a的控制信号仅基于主设备的(一个或多个)传感器300a来计算。从设备的应急控制单元320b的控制信号仅基于从设备的(一个或多个)传感器300b来计算。

图4A是具有两个子系统250a、250b的冗余飞行器的实施例的示意图。图中还用箭头图示了冗余飞行器中的信号流。要注意的是，为了清楚，图4A中省略了详细的传感器信号流。在这里，主设备的传感器300a向主设备的控制单元310a、320a以及向主设备的故障检测单元330a提供数据。这种数据的示例包括表示飞行器的移动的数据、表示到障碍物的距离的数据，以及表示地面之上的距离的数据。而且，主设备的传感器300a还向主设备的协调单元350a提供信号，协调单元350a将表示该信号的数据经由通信信道210转发到从设备的协调单元350b再到从设备的故障检测单元330b。这种信号的示例包括表示传感器的操作状态的数据、错误代码和传感器数据。类似地，从设备的传感器300b不仅向从设备的控制单元310b、320b和故障检测单元330b提供数据，而且还向主设备的故障检测单元330a提供数据。这允许故障检测单元330a、330b两者都监视它们自己以及另一个子系统的传感器300b、300a的故障。

虽然在这个实施例中没有示出，但是可以为主设备和从设备的效应器102a、102b或者主设备和从设备的电源360a、360b实现类似的体系架构，这将允许一个或两个故障检测单元330a、330b都监视它们自身以及另一个子系统的效应器102a、102b或电源360a、360b的故障。这可以通过提供可用于系统诊断的附加信息来进一步增加冗余飞行器的可靠性或安全性。

在这个实施例中，在正常操作期间使用图4A中所示的所有部件。特别地，应急控制单元320a、320b两者都连续地计算控制信号，以允许在发生故障的情况下立即切换到将它们的信号转发到对应的效应器102a、102b(即，由应急单元计算的控制信号在正常操作期间根本不使用)。在正常操作期间，这些控制信号被计算但是被开关阻断并且不被转发到效应器。

图4A中所示的实施例还具有第二正常操作控制单元310b。它可以用于进一步增加可靠性或安全性，例如，通过经由从设备和主设备的协调单元350b、350a将从设备的正常操作控制单元310b的控制信号转发到主设备的故障检测单元330a，以及通过将这些控制信号与由主设备的正常操作控制单元310a计算的主设备的控制信号进行比较。主设备的控制信号或者由主设备的协调单元350a转发到故障检测单元330a，或者直接从主设备的正常操作控制单元310a接收。

要注意的是，图4A中所示的实施例具有两个完全对称的子系统。因此，它在主-从体系架构中(例如，其中在正常操作期间主设备的正常操作控制单元计算用于效应器102a、102b的控制信号)以及在其它体系架构中(例如，在正常操作期间第一子系统的正常操作控制单元310a计算用于第一子系统250a的效应器的控制命令，并且第二子系统的正常操作控制单元310b计算用于第二子系统250b的效应器的控制命令)都可以使用。

图4B至4D示出了根据本发明的具有两个子系统250a、250b的飞行器的不同实施例的示意图，其中子系统共享系统部件。在图4B中，冗余飞行器包括单个双向通信信道210；这单个双向通信信道210连接在两个子系统250a、250b之间并用于在子系统250a和250b之间交换信号。

在图4C中，飞行器包括单个电源360；这单个电源连接到两个子系统250a、250b中的每一个，使得这单个电源向两个子系统250a、250b中的每一个提供电力。因而，单个电源由两个子系统共享。在另一个实施例中，单个电源选择性地连接到两个子系统250a、250b中的任一个，使得其专门向与其连接的子系统250a、250b提供电力。虽然电源将是系统中的单一故障点，但是实现足够高可靠性的电源(例如，因为它使用具有非常高可靠性的部件或者因为它包括内部冗余机制)可以证明这种由于其它系统设计约束(例如，重量、尺寸、成本)造成的设计决定是合理的。

在图4C中所示的实施例的变体中，飞行器可以包括由两个子系统250a、250b共享的单个高度可靠传感器集合或单个高度可靠中央处理单元。图4D示出了冗余飞行器的示意图，其中除了如图4C中所示的电源之外，附加的传感器300c也被两个子系统250a、250b共享。除了共享传感器300c之外，子系统250a还具有其自己的传感器300a，该传感器专门由子系统250a使用，子系统250b具有自己的传感器300b，该传感器专门由子系统250b使用；换句话说，传感器300a、300b不被共享。在一些实施例中，当在子系统(未示出)的控制下使飞行器飞行时，仅使用共享传感器。在一些实施例中，仅选择性地使用专门属于第一子系统的效应器来使飞行器飞行，使得飞行器专门使用第一系统的效应器飞行(即，不使用第二子系统250b的效应器或传感器用于飞行)，或者仅选择性地使用专门属于第二子系统250b的效应器来使飞行器飞行，使得飞行器专门使用第二系统的效应器飞行(即，不使用第一子系统250a的效应器或传感器用于飞行)。而且，在另一个示例中，冗余飞行器可以被配置为操作专门属于子系统250a、250b中的仅一个的传感器；例如在飞行期间仅第一子系统250a的传感器可以在飞行期间可操作，或者在飞行期间仅第二子系统250b的传感器可以在飞行期间可操作；系统还可以在专门操作第一子系统250a的传感器和操作第二子系统250b的传感器之间切换，使得在任何时候子系统250a、250b中的仅一个子系统的传感器是可操作的。如果一个或多个共享传感器或传感器的集合或者是高度可靠的，或者如果使用某种传感器类型的两个传感器或传感器集合是不可能的(例如，因为传感器过于昂贵、笨重或庞大；或者因为多个传感器会干扰，诸如超声传感器)，那么这种体系架构会是有益的。

然后，共享电源或者共享传感器或者共享传感器集合的输出可以被每个子系统使用，就好像这些输出是它们自己的一样(但是，如对于本领域技术人员显而易见的那样，无需被设计为在故障情况下禁用子系统或子系统部件的特定子系统的检查和处理)。例如，在共享电源(是应急操作所需要的)和共享深度视觉传感器(不是应急操作所需要)的实施例中：在正常操作期间，每个子系统可以使用来自共享电源的电力为子系统的电子器件和致动器供电并且每个子系统还可以使用由共享深度视觉传感器提供的数据来执行共享3D映射任务的一部分。在第一子系统由于故障而切断并且第二子系统控制多轴飞行器的应急操作期间，第二子系统可以使用来自相同的先前共享电源的电力并且可以不再需要由共享传感器提供的用于操作的数据(例如，应急着陆)。

图5示出了用于具有如图3中所示的信号流的实施例的示例决定处理。点线箭头指示状态之间的过渡，而连续箭头指示信号流。

在本示例实施例中，主设备的开关340a具有三个位置：用于将主设备的正常操作控制单元310a的信号转发到主设备的效应器102a的第一位置(“1”)；用于将主设备的应急控制单元320a的信号转发到主设备的效应器102a的第二位置(“2”)，以及不将任何控制信号转发到主设备的效应器102a的第三位置(“3”)。从设备的开关340b具有三个位置：用于将主设备的正常操作控制单元310a的信号(经由主设备的协调单元350a、通信信道210和从设备的协调单元350b接收)转发到从设备的效应器102b的第一位置(“1”)，用于将从设备的应急控制单元320b的信号转发到从设备的效应器102b的第二位置(“2”)，以及不将任何控制信号转发到从设备的效应器102b的第三位置(“3”)。

在开始510处，主设备250a进入正常操作520a。

正常操作

在正常操作期间，飞行器100由主设备的飞行模块240a控制。主设备的正常操作控制单元310a为主设备的效应器102a和从设备的效应器102b提供控制信号。

只要没有检测到故障，主设备就处于状态520(正常操作)、530a(监视主设备中的故障)和540a(监视从设备中的故障)。用于主设备的效应器102a的控制信号经由主设备的开关340a被转发。从设备处于状态570b(正常操作，其中用于从设备的效应器102b的控制信号从主设备馈通)、530b(监视从设备中的故障)和540b(监视主设备中的故障)。对于从设备，控制信号从主设备的馈通是通过经由主设备的协调单元350a、第一通信信道210.1、从设备的协调单元350b和从设备的开关340b向从设备的效应器102b转发主设备的正常操作控制单元的控制信号来实现的。

因此，在正常操作期间，连续的故障监视是由主设备和从设备的故障检测单元330a、330b执行的。主设备的故障检测单元330a监视主设备的故障530a和从设备的故障540a。从设备的故障检测单元330b监视从设备的故障530b以及监视主设备的故障540b。如果未检测到故障，那么继续正常操作。

虽然正常操作不需要主设备和从设备的应急控制单元320a、320b(并且也不需要从设备的正常操作控制单元310b，如果存在的话)，但是可能期望操作这些单元，而不将它们的控制信号转发到效应器。相反，这些控制信号可以被转发到故障检测单元，然后故障检测单元可以将它们彼此进行比较，或者将它们与其它控制信号进行比较，或者将它们与模型进行比较。这可以允许(1)验证它们的可操作性。操作这些单元而不通过开关转发它们的信号还可以提供(2)“热启动”能力，以在需要时立即切换到不同子系统250a、250b的操作。为了相同的目的(1)和(2)，由从设备的正常操作控制单元310b生成的控制信号(如果存在的话)可以被转发到故障检测单元。例如，可以通过使用协调单元和开关来实现不将控制信号转发到效应器。可替代地，协调单元可以例如使用多个开关来根据需要选择性地接通和切断控制单元。类似地，可以使用(一个或多个)协调单元和(一个或多个)开关的组合来实现从控制单元向故障检测单元转发控制信号。

在正常操作期间，对于主设备/从设备，开关位置分别是1/1(即，主设备的开关340a处于其第一位置，并且从设备的开关340b处于其第一位置)。

由主设备检测到主设备故障(530a)：如果主设备的故障检测单元330a检测到主设备的故障530a，那么主设备250a将进入状态550a。它将向从设备250b发送信号，该信号由从故障检测单元330a生成并经由主设备的协调单元350a和通信信道210传送到从设备的协调单元350b。由于这个信号，从设备将进入其应急操作模式状态560b。这是通过从设备的协调单元350b向开关340b发送信号来实现的，然后开关340b将从设备的应急控制单元320b的控制信号转发到从设备的效应器102b。从设备的效应器102b因此由从设备的应急控制单元320b控制。从设备将确认切换的对应确认信号发送回主设备。

通过主设备的协调单元350a向主设备的开关340a发送切换信号以停止向主设备的效应器102a转发控制信号，主设备250a被禁用。飞行器100现在单独通过从设备的效应器102b飞行，而主设备的效应器102a被禁用。从设备现在处于状态560b。主设备现在处于状态530a和550a。这个状态的开关位置对于主设备/从设备来说分别是3/2。

由主设备检测到从设备故障540a：如果主设备的故障检测单元330a检测到从设备的故障540a，那么主设备将进入其应急操作模式560a，并向从设备的协调单元350b发送信号以使用其开关340b来禁用从设备的效应器102b。从设备现在处于状态550b。它将对应的确认信号发送回主设备。飞行器100现在单独通过主设备的效应器102a飞行，而从设备的效应器102b被禁用。这个状态的开关位置对于主设备/从设备来说分别是2/3。

由从设备检测到从设备故障530b：类似地，如果从设备的故障检测单元330b检测到从设备的故障530b，那么从设备250b将进入状态550b。它将向主设备250a发送信号并禁用从设备的效应器102b。这个状态的开关位置对于主设备/从设备来说分别是2/3。

由从设备检测到主设备故障540b：如果从设备的故障检测单元330b检测到主设备的故障540b，那么从设备将进入其应急操作状态560b。它将向主设备的协调单元350a发送对应的信号，以禁止主设备向主设备的效应器102a转发控制信号。这个状态的开关位置对于主设备/从设备来说分别是3/2。

通信信道的故障

可以通过本发明减轻的另一种故障模式涉及单向或双向通信信道210.1、210.2中的一个通信信道关于对应信号(例如，协调信号、控制信号)的故障。

影响两个双向通信信道210.1、210.2中的一个的单个故障不会危及主子系统250a和从子系统250b之间的通信，其仍然依赖第二通信信道210.2、210.1。因此，两个协调单元350a、350b可以不通过进入应急模式而对故障做出反应，而是可以在主设备的正常操作单元的控制下继续。影响两个协调单元350a、350b中的一个的发送端口或接收端口的单个故障可以被视为双向通信信道210.1、210.2中的一个通信信道的故障。在一些实施例中，可以使用回送(loop-back)来检测这种故障。例如，可以使用CAN驱动器到接收器回送或自诊断功能来检查通信信道的功能而不使用或不干扰通信信道。

影响两个单向通信信道210.1、210.2中的一个、单个发送端口或单个接收端口的单个故障将导致两个协调单元350a、350b中的一个不再接收来自另一个协调单元350b、350a的数据。这种故障可以被视为与在故障通信信道上发送的协调单元的子系统相关联的效应器中的一个的故障，从而导致与上面概述的故障模式530a、530b、540a、540b类似的故障模式。

例如，故障影响从主设备向从设备发送数据的单向通信信道(或其相关的发送/接收端口)，于是从设备将进入其应急操作模式560b，并将向主设备的协调单元350a发送信号以禁用主设备250a。这个状态的开关位置对于主设备/从设备来说分别是3/2。

相反，如果故障影响从从设备向主设备发送数据的单向通信信道(或其相关的发送/接收端口)，那么主设备的故障检测单元330a将检测到信号的缺失、将进入其应急操作模式560a，并将向从设备的协调单元350b发送信号以禁用从设备250b。这个状态的开关位置对于主设备/从设备来说分别是2/3。

间接故障检测

子系统的故障也可以由另一个子系统间接地检测。在图3和4所示的实施例中，这可以例如通过使用从设备的故障检测单元监视主设备的故障状态来实现。

这可以例如通过使主设备向从设备发送常规“心跳”信号(例如，由主设备的协调单元生成并通过通信信道发送)并使从设备监视这个心跳的存在(例如，使用从设备的协调单元和故障检测单元)来实现。心跳信号的缺失可以被用作主设备的故障的指示(例如，如可能由主电源的故障造成的)。

这也可以例如通过以下来实现：(1)使主设备250a向从设备发送指示其操作的数据(例如，经由主设备的协调单元、通信信道210和从设备的协调单元)；(2)使从设备的故障检测单元330b监视那个数据以发现故障，以及(3)以与从主设备接收到指示检测到主设备250a的故障的信号的反应相同的方式，使从设备的故障检测单元330b对这种检测到的故障做出反应。

上面描述的一些实施例提供冗余性，但依赖于每个子系统的故障检测和协调单元以及依赖于第一通信信道或第二通信信道。实施例还可以改进。例如，子系统的故障检测单元可以使用传感器信号来检测另一个子系统的异常行为以及检测故障并触发应急模式。作为另一个示例，故障检测单元可以经由第一通信信道和第二通信信道交换心跳信号。然后故障检测单元可以使用心跳的缺失来触发其应急模式。在一些实施例中，马达控制信号可以用作心跳信号。在一些实施例中，一旦子系统进入应急模式，心跳信号就可以由“禁用”信号代替。

总而言之，在没有故障的情况下，飞行器的效应器102a、102b因此由主设备的正常操作控制单元310a来控制。在更复杂的实施例中，可以使用多个正常操作控制单元。在主设备250a发生故障的情况下，飞行器100进入由从设备320b控制的应急模式并且飞行器100完全单独使用从设备的效应器102b飞行。相反，在从设备250b发生故障的情况下，飞行器100进入由主设备320a控制的应急模式，并且飞行器100完全单独使用主设备的效应器102a飞行。

更复杂的故障情况

其中从设备包括正常操作控制单元(诸如图4所示的)的更复杂实施例可以提供附加选项以减轻故障，其可以例如允许继续使用子系统而不管故障。

例如，在一些实施例中，可以减轻主设备的传感器300a的故障或者主设备的正常操作控制单元310a的故障。在这里，假设主设备的故障检测单元已经确定这个故障已发生并且已将故障传送给主设备的协调单元。还假设从设备的传感器和正常操作控制单元是操作的，并且从设备和主设备的电源、效应器、开关和协调单元是操作的。进一步假设主设备的开关有四个位置：其中它将主设备的正常操作单元的控制信号转发到主设备的效应器的第一位置；其中它将从设备的正常操作单元的控制信号转发到主设备的效应器的第二位置；其中它将主设备的应急控制单元的控制信号转发到主设备的效应器的第三位置；以及其中它阻止将控制信号转发到主设备的效应器(“关”开关)的第四位置。类似地，进一步假设从设备的开关有四个位置：其中它将主设备的正常操作单元的控制信号转发到从设备的效应器的第一位置；其中它将从设备的正常操作单元的控制信号转发到从设备的效应器的第二位置；其中它将从设备的应急控制单元的控制信号转发到从设备的效应器的第三位置；以及其中它阻止将控制信号转发到从设备的效应器(“关”开关)的第四位置。有效操作状态可以被概括为主设备的正常操作(其中主设备/从设备开关的开关位置分别是1/1)；从设备的正常操作(其中主设备/从设备开关的开关位置分别是2/2)；主设备的应急操作(其中主设备/从设备开关的开关位置分别是3/4)；以及从设备的应急操作(其中主设备/从设备开关的开关位置分别是4/3)。

在上面提到的两种示例故障模式下(主设备的传感器300a的故障或者主设备的正常操作控制单元310a的故障)，冗余飞行器的所有效应器的控制被移交给从设备的正常操作控制单元(即，从设备正常操作)。

在主设备的故障检测单元检测到故障的第一种情况下，故障减轻处理通过主设备的协调单元向从设备的协调单元发送信号(例如，包含指示如由主设备的故障检测单元确定的故障类型的数据)而被发起。在从设备的故障检测单元检测到故障的第二种情况下，故障减轻处理通过从设备的协调单元向主设备的协调单元发送信号(例如，包含指示如由从设备的故障检测单元确定的故障类型的数据)而被发起。

在这两种情况下，从设备的协调单元然后向从设备的开关发射信号，该信号选择性地将控制信号从从设备的正常操作控制单元转发到从设备的效应器(从设备的开关位置2)；并且主设备的协调单元发射使主设备的开关将从设备的正常操作控制单元的控制信号(该信号是经由从设备和主设备的协调单元接收的)转发到主设备的效应器的信号(主设备的开关位置2)。因此，来自从设备的正常操作控制单元的信号被所有效应器接收，而来自主设备的正常操作控制单元的信号不影响效应器。因此来自主设备的有缺陷的传感器或主设备的有缺陷的正常操作控制单元的信号不再影响冗余飞行器的飞行。

图6示出了用于解释具有三个子系统的示例实施例的功能的框图，其中图6A中示出第一子系统，图6B中示出第二子系统，图6C中示出第三子系统，以及图6D中示出概观。箭头指示信号流。要注意的是，为了清楚，图6中省略了详细的传感器信号流。第一子系统250a充当主设备，其它两个子系统充当第一从设备(“从设备1”，250b)和第二从设备(“从设备2”，250c)。在这个实施例中，主设备250a包括三个控制单元：正常操作控制单元310a、第一应急控制单元610a.1和第二应急控制单元610a.2。从设备1 250b包括第三应急控制单元610b。在示出简单情况的这个实施例中，从设备2250c不包括控制单元，因为针对单个故障子系统的减轻可以通过在主子系统发生故障的情况下让从设备1的控制单元接管控制并且在从设备1的子系统发生故障的情况下让主设备的控制单元接管控制来实现。在这个实施例中，主设备和从设备1子系统250a、250b是完全自给自足的；它们各自包含它们自己的电源360a、360b，它们自己的传感器300a、300b，它们自己的效应器102a、102b以及它们自己的飞行模块240a、240b。在这个实施例中，主设备、从设备1和从设备2子系统通过三个通信信道210交换信号。

图7示出了用于解释具有与图6所示类似的三个子系统的示例实施例中的示例决定处理的流程图。点线箭头指示状态之间的过渡，并且连续箭头指示信号流。

在这个示例实施例中，飞行器100或者在主设备的正常操作控制单元310a(使用效应器102a、102b和102c)的控制下、或者在主设备的应急控制单元1 610a.1的控制下(仅使用效应器102a和102c，例如由于从设备1 250b中的故障)、或者在主设备的应急控制单元2610a.2的控制下(使用效应器102a和102b，例如由于从设备2 250c中的故障)、或者在从设备1的应急控制单元610b的控制下(使用效应器102b和102c，例如由于主设备250a中的故障)飞行。

在这个示例性实施例中，为主设备的效应器102a选择信号的主设备的开关340a具有四个位置：转发来自主设备的正常操作控制单元310的控制信号(位置1)，转发来自主设备的应急控制单元1的控制信号(位置2)，转发来自主设备的应急控制单元2的控制信号(位置3)，以及不转发任何控制信号(位置4，“关”开关)。为从设备1的效应器102b选择信号的从设备1的开关340b具有三个位置：转发从主设备接收到的控制信号(位置1)，转发来自从设备1的应急控制单元610b的控制信号(位置2)，以及不转发任何控制信号(位置3，“关”开关)。为从设备2的效应器102c选择信号的从设备2的开关340c具有两个位置：转发从主设备或从设备1接收到的控制信号(位置1)，以及不转发任何控制信号(位置2，“关”开关)。

现在参考图7，在开始510，主设备250a开始正常操作710a，使用其正常操作控制单元310a计算用于飞行器100的控制信号。从设备1 250b和从设备2 250c将主设备的控制信号馈通780b、780c到它们相应的效应器102b、102c。对于主设备，这是通过将由主设备的正常操作控制单元310a和主设备的开关340a(通过使用主设备的协调单元350a将其设置到位置1)生成的控制信号传递到主设备的效应器102a来实现的。对于从设备1 250b，这是通过经由主设备的协调单元350a、通信信道210、从设备1的协调单元350b和从设备1的开关340b(通过使用从设备1的协调单元350b将其设置到位置1)将由主设备的正常操作控制单元310a生成的控制信号传递到从设备1的效应器102b来实现的。对于从设备2 250c，这是通过经由主设备的协调单元350a、通信信道210、从设备2的协调单元350c和从设备2的开关340c(通过使用从设备2的协调单元350c将其设置到位置1)将由主设备的正常操作控制单元310a生成的控制信号传递到从设备2的效应器102c来实现的。

在这个正常操作期间，所有子系统的故障检测单元330a、330b、330c都连续监视飞行器100的故障。在这个实施例中，主设备的故障检测单元330a监视它自己的故障720a、从设备1 730a.1的故障，以及从设备2 730a.2的故障。从设备1的故障检测单元330b监视其自己的故障720b以及主设备的故障730b。从设备2的故障检测单元330c监视其自己的故障720c。用于主设备、从设备1和从设备2的对应开关位置分别是1/1/1。

因此，这个系统具有以下故障状态，并具有对应的动作：

由主设备检测到主设备故障720a：检测到故障导致状态740a，其中主设备250a向从设备1 250b发送主设备已经发生故障的信号。这使得从设备1 250b进入其应急操作状态750b。在这个状态750b下，从设备1 250b发送确认主设备250a应当禁止向其效应器102a转发控制信号的信号(即，主设备开关位置4)。处于状态750b的从设备1 250b正在使用其应急控制单元610b计算用于飞行器100的控制信号，该控制信号经由从设备1的开关340b被转发到从设备1的效应器102b(即，从设备1的开关位置2)。来自从设备1的应急控制单元610b的控制信号也经由从设备1的协调单元350b、通信信道210、从设备2的协调单元350c和从设备2的开关340c(具有对应的开关位置1)被转发到从设备2的效应器102c。要注意的是，在这个示例实施例中，从设备2的开关340c不具有在转发源自主设备250a的控制信号和源自从设备1 250b的控制信号之间进行选择的开关位置。在这里，这种选择由从设备2的协调单元350c通过默认转发源自主设备250a的控制信号来执行，并且当接收到从设备1的控制信号并且没有从主设备250a接收到控制信号时才从从设备1转发控制信号。因此，在这种故障情况下，飞行器100仅使用从设备1的效应器102b和从设备2的效应器102c。用于主设备、从设备1和从设备2的对应开关位置分别是4/2/1。

由主设备检测到从设备1故障730a.1：在这个状态下检测到故障导致主设备250a进入应急操作750a.1，并通过通信信道210向从设备1 250b发送对应的故障信号。从设备1250b进入状态740b，将其开关设置到位置3(“关”)，并通过通信信道210向主设备250a发送确认信号。主设备250a现在使用其第一应急控制单元610a.1计算用于飞行器100的控制信号。飞行器100仅使用主设备和从设备2的效应器。用于主设备、从设备1和从设备2的对应开关位置分别是2/3/1。

由主设备检测到从设备2故障730a.2：在这个状态下检测到故障导致主设备250a进入应急操作750a.2，并通过通信信道210向从设备2 250c发送对应的故障信号。从设备2250c进入状态720c和(例如，在确认故障之后)状态740c，其中它将其开关设置到位置2(“关”)，并且通过通信信道210将确认信号发送回主设备250a。主设备250a现在使用其第二应急控制单元610a.2来计算用于飞行器100的控制信号。飞行器100仅使用主设备和从设备1的效应器。用于主设备、从设备1和从设备2的对应开关位置分别是3/1/2。

由从设备1检测到从设备1故障720b：在这个状态下检测到故障导致从设备1 250b进入状态740b，这由通过通信信道210向主设备250a发送对应的故障信号以及将其自己的开关设置到位置3(“关”)组成。主设备250a进入应急操作750a.1，并使用其第一应急控制单元610a.1计算用于飞行器100的控制信号。在状态750a.1下，主设备250a还向从设备1 250b发送确认从设备1应当被禁用的信号。飞行器100仅使用主设备和从设备2的效应器。用于主设备、从设备1和从设备2的对应开关位置分别是2/3/1。

由从设备1检测到主设备故障730b：在这个状态下检测到故障导致从设备1 250b进入应急操作750b，并通过通信信道210向主设备250a发送对应的故障信号。主设备250a将其开关设置到位置4(“关”)并通过通信信道210向从设备1 250b发送确认信号。从设备1现在使用其应急控制单元610b计算用于飞行器100的控制信号。飞行器100仅使用从设备1和从设备2的效应器。在没有源自主设备的控制信号并且存在源自从设备1的控制信号的情况下，从设备2的协调单元现在将从设备2的控制信号转发到从设备2的效应器102c。用于主设备、从设备1和从设备2的对应开关位置分别是4/2/1。

由从设备2检测到从设备2故障720c：在这个状态下检测到故障导致从设备2 250c进入状态740c，这由通过通信信道210向主设备250a发送对应的故障信号以及从设备2将其开关设置到位置2(“关”)组成。主设备250a进入应急操作750a.2，并使用其第二应急控制单元610a.2计算用于飞行器100的控制信号。飞行器100仅使用主设备和从设备1的效应器。用于主设备、从设备1和从设备2的对应开关位置分别是3/1/2。

图8示出了用于解释具有两个单向通信信道的示例实施例的功能的框图。箭头指示信号流。要注意的是，为了清楚，图8中省略了详细的传感器信号流。在这个实施例中，主设备250a不接收来自从设备250b的信号。从设备的协调单元350b经由两个单向通信信道210.1、210.2冗余地接收来自主设备250a的信号。

在这个示例实施例中，为主设备的效应器102a选择信号的主设备的开关340a具有三个位置：转发来自主设备的正常操作控制单元310的控制信号(位置1)，转发来自主设备的应急控制单元的控制信号(位置2)，以及不转发任何控制信号(位置3，“关”开关)。为从设备的效应器102b选择信号的从设备的开关340b具有三个位置：转发来自主设备的正常操作控制单元310的控制信号(位置1)，转发来自从设备的应急控制单元的控制信号(位置2)，以及不转发任何控制信号(位置3，“关”开关)。

图9示出了用于解释具有两个单向通信信道(诸如图8中所示的)的示例实施例的示例决定处理的流程图。点线箭头指示状态之间的过渡，并且连续箭头指示信号流。主设备和从设备的故障检测单元330a、330b都可以对其相应的子系统530a、530b执行故障监视。但是，由于主设备250a不接收来自从设备100b的信号，因此不能直接监视从设备故障540a。相反，主设备通过将其传感器300a的实际输出与用于正常操作的传感器的预期输出进行比较来间接监视从设备。这可以使用上面概述的各种故障检测方法来实现。作为另一个示例，故障也可以通过以下方式检测：(1)主设备发送触发从设备的移动的信号；(2)主设备使用其传感器监视飞行机器的移动；以及(3)将由其传感器记录的实际移动与由其到从设备的信号触发的期望移动进行比较，以确定是否发生了故障。

要注意的是，这个实施例的总体体系架构类似于上面图3-5中所描述的具有从主设备到从设备的冗余单向通信信道的体系架构。

还要注意的是，在本实施例中，从设备的故障检测单元接收来自主设备的信号，因此可以使用本公开中描述的对应故障检测方法。此外，它可以使用通信信道的冗余性和对应的冗余信号来区分主设备的单个故障或影响通信信道210.1、210.2中的一个的单个故障。

在正常操作期间(即，在没有故障的情况下)，用于主设备/从设备的开关位置分别是1/1。

由主设备检测到主设备故障530a：如果主设备的故障检测单元330a检测到主设备的故障530a，那么主设备250a将进入状态550a。它将向从设备250b发送信号，该信号由从故障检测单元330a生成并经由主设备的协调单元350a和通信信道210传送到从设备的协调单元350b。由于这个信号，从设备将进入其应急操作模式状态900b。这是通过从设备的故障检测单元向从设备的协调单元350b发送信号、协调单元350b进而向开关340b发送信号、开关340b进而将从设备的应急控制单元320b的控制信号转发到从设备的效应器102b来实现的。从设备的效应器102b因此由从设备的应急控制单元320b的控制信号控制。通过主设备的故障检测单元向主设备的协调单元350a发送信号、协调单元350a进而向主设备的开关340a发送停止向主设备的效应器102a转发控制信号的开关信号，主设备250a被禁用。飞行器100现在单独通过从设备的效应器102b飞行，而主设备的效应器102a被禁用。从设备现在处于状态900b。主设备现在处于状态530a和550a。这个状态的开关位置对于主设备/从设备分别是3/2。

由主设备检测到从设备故障540a：相反，如果主设备的故障检测单元330a检测到从设备540a发生故障(例如，使用本公开中描述的间接故障检测方法中的一个)，那么主设备将进入其应急操作模式560a并且向从设备的协调单元350b发送禁用从设备的效应器102b的信号。从设备现在处于状态910b。飞行器100现在单独通过主设备的效应器102a飞行，而从设备的效应器102b被禁用。这个状态的开关位置对于主设备/从设备分别是2/3。

由从设备检测到从设备故障530b：类似地，如果从设备的故障检测单元330b检测到从设备发生故障530b，那么从设备250b将进入状态910b。它将禁用其效应器102b，从而允许主设备的故障检测单元检测其故障。禁用效应器的细节可以取决于飞行器100的细节、其预期故障模式、实际故障模式以及其它因素进行调整。例如，可以通过以下来禁用效应器：使用开关立即切断控制信号的转发；通过在使用开关切断控制信号的转发之前五秒的时间段内逐渐降低供给效应器的功率；或者通过在使用开关切断控制信号的转发之前执行允许主设备的故障检测单元以高准确度或尽可能快地检测故障的预定义移动。从设备的协调单元或故障检测单元也可以监视从主设备接收的信号，以指示主设备已经成功检测到故障。这个状态的开关位置对于主设备/从设备分别是2/3。

由从设备检测到主设备故障540b：如果从设备的故障检测单元330b检测到主设备的故障540b，那么从设备将进入其应急操作状态900b，切换到将来自其应急控制单元320b的控制信号转发到其效应器102b。在这种情况下，由从设备检测到故障可以例如通过监视在第一通信信道和第二通信信道上来自主设备的信号的缺失来实现。从设备的故障检测单元也可以监视从主设备接收到的信号，以指示主设备已经成功检测到故障。这个状态的开关位置对于主设备/从设备分别是3/2。

图10示出了可以用作子系统的飞行器100的示意性透视图。图10中的飞行器100配备有两个效应器102。两个效应器102中的每一个均配备有螺旋桨，每个螺旋桨同时产生扭矩和推力二者。在这种飞行器中，第一和第二效应器102各自具有相对于飞行器100固定的旋转轴。两个螺旋桨都在相同的方向108自旋。

固定节距螺旋桨形式的两个效应器在相同的方向旋转。还示出了相对于飞行器的主体固定的坐标系1010，其由方向x、y和z组成，被选择为使得z沿着主方向1030指向，并且x从效应器二指向效应器一，并且y遵循右手规则。

在这种飞行器中，由螺旋桨产生的力向量

是平行的并且与飞行器的主方向1030平行。力向量之和是飞行器的推力的合成方向。

由螺旋桨产生的扭矩向量τ_i通过对抗飞行器的旋转方向的气动阻力矩(aerodynamic drag torque)τ_d来平衡。在这种飞行器中示出的布置使得飞行器100在悬停时以角速度1050绕其质心120旋转。

为了说明的清楚，做出以下关于该系统的假设以用于推导。要注意的是，这些假设对于推导实际车辆配置的控制方案是合理的，并且导致实际且可应用的控制方案。

·飞行器主体的质量分布使得主惯性轴与x、y和z重合，使得惯性矩阵I^B是对角的，其分量为

·效应器是螺旋桨，沿着主体的x轴安装，每个距离飞行器的质心120的距离为l。

·效应器是相同的螺旋桨，与多轴飞行器的质量相比，其质量可以忽略不计，具有对角的惯性矩阵I^R，与飞行器主体的量值相比，其量值可以忽略不计，并且绕平行于主方向的轴旋转。

当与任一个螺旋桨的角速度量值相比，飞行器主体的角速度的量值可以忽略不计。

螺旋桨产生的力向量f_Ti是平行的，并且如图10所示平行于飞行器主方向1030，使得它们可以在主体固定的坐标系中表示为

(注意向量f_Ti和标量f_Ti之间的区别)。假设作用于飞行器的唯一的其它力是其重量mg。

由螺旋桨产生的扭矩向量的分量，通过飞行器的质心120作用并且垂直于主方向1030，与如图10所示的y共线并平行于y。假设垂直于主方向1030作用的分量专门由于螺旋桨的推力向量f_Ti在距质心120距离l处作用的力矩引起，并且在x方向上不存在扭矩分量。平行于主方向1030的扭矩的分量是τ_i∥并且是由气动反作用阻力矩引起的，以对抗螺旋桨的旋转。因此在主体固定系中表述的螺旋桨的扭矩向量是：

作用以对抗飞行器旋转方向的气动阻力矩τ_d的分量将被假设为仅平行于z作用，使得τd＝(0,0,-τ_d)(注意向量τ_d与标量τ_d之间的区别)。

再次用R表示主体固定系相对于某个惯性坐标系的旋转，并用ω^B表示主体的角速度，旋转矩阵R的微分方程为

其中ω^B＝(p,q,r)是在对于飞行器主体固定的坐标系中表述的飞行器的角速度，并且[[ω^B×]]是叉积的矩阵形式，使得

飞行器的朝向再次被描述为

其中z是主方向1030在预定义的参考系中的方向，具有由下式给出的相关联的微分方程

对于这种飞行器配置，支配角速度演变的微分方程由下式给出

螺旋桨i相对于飞行器主体的、并且在主体固定系中表述的角速度是ω^Ri＝(0,0,ω^Ri)(再次注意向量ω^Ri与标量ω^Ri之间的区别)。

这个方程的左侧包含角加速度，并且被简化为

飞行器的朝向通过角速度分量p和q来控制。

所有扭矩之和(即，右侧的第一项)包含螺旋桨的扭矩向量和与飞行器旋转方向相反的气动阻力矩，并且产生

由于在非惯性系中取导数，最后一项表述系统中角动量的交叉耦合。展开(Multiplying out)这一项，加上各个分量，并在之前给定的假设下产生：

根据上面所述，以其分量写出该方程产生三个标量微分方程

由此可以看出，将控制信号发送到效应器允许直接影响关于x的角加速度q。因为它具有垂直于主方向的分量，所以这个直接产生的角加速度与主方向线性无关。此外，通过上面提到的角加速度q，可以实现角速度q。

因此，通过沿y的次方向转动主体，绕主方向1030(r)和次方向(q)的飞行器角速度分量将相互作用，以产生绕转动轴(在这里是x)的角加速度(并且因此转动)。重要的是要注意，次方向相对于主方向1030处于非零角度(即，与主方向线性无关)，并且转动方向相对于主方向和次方向都处于非零角度(即，转动轴与两者线性无关)。具体而言，对于这种飞行器，这意味着虽然螺旋桨不能产生绕x轴的扭矩，但是可以影响沿x的角速度的分量p，并且可以控制主方向相对于惯性系的朝向。类似地，对于其它飞行器，这意味着上述效果可以被主动用于其控制，而不是被抵消或以其它方式进行补偿。

此外，通过使角速度分量p和q为零，并且命令螺旋桨使得分别f_T1＝f_T2，使得p＝0和q＝0，可以维持这个朝向。然后飞行器的角速度将沿着主方向1030指向并且该朝向将是恒定的。

飞行器的角速度沿着主方向r的分量将由扭矩τ_i∥和阻力矩τ_d支配。由于阻力矩通常将随着r单调增加，因此在低速时τ_1||+τ_2||-τ_d中将存在不平衡，使得飞行器将增加角速度的这个分量，并且因此飞行器具有绕主方向旋转的自然趋势。对于固定节距螺旋桨，在推力f_Ti的量值与气动反作用阻力矩τ_i∥之间通常存在强线性关系。

现在可以通过使用两个力f_T1与f_T2的差来实现飞行器的平移加速，以获得并维持主方向的朝向，并且使用两个螺旋桨推力之和来实现作用于主体上的合成力。

要注意的是，虽然上述推导是在特定假设下进行的，但是这些假设对于实际的飞行器配置的控制方案的推导是合理的，并导致实际且可应用的控制方案。因此，上述结果适用于更广泛的情况并且应当这样解释。

此外，对于本领域技术人员而言显而易见的是，所使用的具体控制法则可以变化，并且可以使用线性方法(诸如线性二次调节器(LQR))、使用极点放置、各种鲁棒的控制方法或非线性控制方法而推导出。

图11示出了图2A、2B和10中所示并且使用上面概述的方法可控制的示例实施例的示意图，用于解释两个子系统可以如何布置为创建作为四轴飞行器的单个冗余飞行器。第一子系统250a类似于图10中所示的飞行器。它具有两个在顺时针方向自旋的螺旋桨。第二子系统250b具有两个在逆时针方向自旋的螺旋桨。这两个子系统可以组合，以形成标准四轴飞行器(“Q1”)形式的冗余飞行器100。

要注意的是，图11至13中的箭头的阴影指示属于一起的子系统。例如，四轴飞行器Q1由具有用黑色指示其螺旋桨方向的箭头的第一子系统250a和具有用白色指示其螺旋桨方向的箭头的第二子系统250b组成。

图12A至12C示出了用于解释两个或三个子系统可以如何布置以创建作为六轴飞行器的飞行器的示意图。

图12A示出了具有堆叠的螺旋桨的四个六轴飞行器配置H1、H2、H3、H4。典型的堆叠螺旋桨布置使用具有完全相同尺寸、共享相同的旋转轴并且在相反方向旋转的螺旋桨对。

六轴飞行器H1由具有对应箭头颜色黑色和白色的两个子系统组成。在正常操作期间，所有效应器都操作，从而导致由六个螺旋桨创建的扭矩的配对和抵消。可以使用现有技术中已知的控制方法来控制H1。禁用两个子系统中的一个导致飞行器具有不平衡的螺旋桨扭矩，这可以使用本公开中描述的控制方法进行控制。

六轴飞行器H2再次由具有对应箭头颜色黑色和白色的两个子系统组成。在正常操作期间，所有效应器都操作，从而再次导致由六个螺旋桨创建的扭矩的配对和抵消。可以使用现有技术中已知的控制方法来控制H2。禁用两个子系统中的一个导致飞行器的所有螺旋桨在相同的方向自旋，这可以使用本公开中描述的控制方法进行控制。

六轴飞行器H3由三个子系统组成，对应的箭头颜色为黑色、色和灰色。在正常操作期间，所有效应器都操作，从而再次导致由六个螺旋桨创建的扭矩的配对和抵消。可以使用现有技术中已知的控制方法来控制H3。禁用白色或黑色子系统导致飞行器具有不平衡的螺旋桨扭矩，这可以使用本公开中描述的控制方法进行控制。禁用灰色子系统导致扭矩平衡的飞行器，这可以使用现有技术中已知的控制方法进行控制。

六轴飞行器H4由三个子系统组成，对应的箭头颜色为黑色、白色和灰色。在正常操作期间，所有效应器都操作，从而再次导致由六个螺旋桨产生的扭矩的配对和抵消。可以使用现有技术中已知的控制方法来控制H4。禁用三个子系统中的任何一个导致扭矩平衡的飞行器，这可以使用现有技术中已知的控制方法进行控制。

图12B和12C示出了具有单独布置的螺旋桨的四个六轴飞行器配置H5、H6、H7、H8。再次，就螺旋桨在平面内和平面外的相对定位、螺旋桨的旋转轴、螺旋桨的尺寸等等而言，许多其它配置是可能的，并且可以有效地针对本发明采用。

六轴飞行器H5与其中白色子系统旋转60度的六轴飞行器H2对应。在正常操作期间，可以使用现有技术中已知的控制方法来控制，并且在应急操作期间使用本公开中描述的那些方法。

六轴飞行器H6与六轴飞行器H1对应；六轴飞行器H7与六轴飞行器H4对应；而六轴飞行器H8与六轴飞行器H3对应；但是每个都具有不同的示例性螺旋桨布置。在正常操作期间，每个都可以使用现有技术中已知的控制方法来控制，并且在应急操作期间使用本公开中描述的方法来控制。

除了上面的示例之外，许多其它变化是可能的。特别地，在正常操作模式期间具有不平衡螺旋桨的六轴飞行器(诸如本公开中所描述的)是可能的并且可以关于本公开有用地被采用。

图13A至13D示出了用于解释如何布置两个子系统来创建作为八轴飞行器的飞行器的示意图。

图13A和13B示出了具有堆叠的螺旋桨的四个八轴飞行器配置O1、O2、O3和O4。

八轴飞行器O1示出由白色和黑色子系统组成的配置，每个子系统具有典型的四轴飞行器配置。在正常操作期间以及在应急操作期间，它可以使用现有技术中已知的控制方法来控制。

八轴飞行器O2示出由白色和黑色子系统组成的典型配置，每个子系统具有典型的四轴飞行器配置。在正常操作期间以及在应急操作期间，它可以使用现有技术中已知的控制方法来控制。

八轴飞行器O3和O4各自包括八个螺旋桨，其中第一子系统的全部四个效应器被构造和布置为绕其相应的推力以相同的旋向性旋转，并且第二子系统的全部四个效应器被构造和布置为绕其相应的推力以相同的旋向性旋转。在正常操作期间，可以使用现有技术中已知的控制方法来控制O3和O4中的每一个，并且在应急操作期间使用本公开中描述的方法来控制O3和O4中的每一个。

图13C和13D示出了具有单独布置的螺旋桨的四个八轴飞行器配置O5、O6、O7和O8。

八轴飞行器O5示出了不同的示例性螺旋桨布置，其可以在正常操作期间使用现有技术中已知的控制方法来控制，并且在应急操作期间使用本公开中描述的方法来控制。

八轴飞行器O6与八轴飞行器O2对应，但黑色子系统旋转45度。其可以在正常操作期间以及在应急操作期间使用现有技术中已知的控制方法来控制。

八轴飞行器O7再次与八轴飞行器O4对应，但是具有不同的示例性螺旋桨布置。其可以在正常操作期间使用现有技术中已知的控制方法来控制，并且在应急操作期间使用本公开中描述的方法来控制。

八轴飞行器O8再次与八轴飞行器O2对应，但具有不同的示例性螺旋桨布置。其可以在正常操作期间以及在应急操作期间使用现有技术中已知的控制方法来控制。

除了上面的示例之外，许多其它的变化是可能的。特别地，包括三个或四个子系统的八轴飞行器以及在其正常操作模式期间具有不平衡螺旋桨的八轴飞行器(诸如由WO2014/198642 A1公开的)是可能的，并且可以有用地针对本发明采用。

除了图11-13中概述的那些或者在示例实施例中描述的那些之外的其它配置是可能的并且可以有用地针对本发明采用。这些包括具有以下特性的配置：不同尺寸的螺旋桨(例如，使它们以不同的速度操作，以减少总体噪音排放)、具有平行但不完全相同的旋转轴(例如，以允许侧向运动而不倾斜)、具有不同的旋转轴(例如，以实现侧向运动而不倾斜以及减少的噪声发射)、具有完全相同的螺旋桨旋转方向(例如，以在某些控制模式下增加角旋转)，或者上述的变化。

图14示出了可以与本发明一起使用的飞行器的另一个示例实施例。它总共具有六个效应器：附连到机翼1400的两个螺旋桨102a.1、102b.1和四个控制表面102a.2、102a.3、102b.2、102b.3(有时称为“襟翼”(flap))。这个实施例可以例如被分解成以下子系统：

·第一螺旋桨102a.1和两个控制表面102a.2、102a.3，以及

·第二螺旋桨102b.1和两个控制表面102b.2、102b.3。

图15示出了可以与本发明一起使用的飞行器的另一个示例实施例。它总共具有六个效应器：附连到支撑结构1500的两个螺旋桨102a.1、102b.2和四个控制表面102a.2、102a.3、102b.2、102b.3(有时称为“襟翼”)。这个实施例可以例如被分解成以下子系统：

·第一螺旋桨102a.1和两个控制表面102a.2、102a.3，以及

·第二螺旋桨102b.1和两个控制表面102b.2、102b.3。

图16示出了可以与本发明一起使用的飞行器100的另一个示例实施例。飞行器100包括支撑结构1611。在这个示例中，支撑结构包括延伸超过效应器102A的臂126。服装1600附连到支撑结构1611；因此当飞行器100飞行时，服装1600也将随之飞行。这个特定的实施例对于诸如舞台表演的娱乐应用特别有用。在这个特定实施例中，飞行器还包括四个LED形式的四个光源1610。每个LED被布置为发射远离飞行器的光，使得其入射在所述服装的内表面上。因此LED照亮服装。在这个实施例的变体中，每个LED(光源)提供有会聚或发散由LED产生的光以照亮服装的透镜。LED可以由飞行模块240控制。

将理解的是，服装1600可以采取任何合适的形式。在一些实施例中，服装还充当支撑结构并提供飞行所需的结构稳定性；或用于飞行器的(一个或多个)效应器、(一个或多个)传感器、(一个或多个)飞行模块或(一个或多个)电力单元的附连点。在一些实施例中，服装具有空气动力特性(例如，它可以通过提供翼型而生成升力)。

图17示出了飞行器100的另一个示例，其具有许多与图16中所示的飞行器相同的特征，但是配备有具有与图16的飞行器100中提供的服装1600不同形状/设计的服装1620。

虽然已经参考本发明的示例性实施例具体示出和描述了本发明的某些方面，但是本领域普通技术人员将理解的是，在不背离如以下权利要求所限定的本发明的精神和范围的情况下，可以在形式和细节上进行各种改变。因此，期望本实施例在所有方面都被认为是说明性而非限制性的，因此参考所附权利要求而不是前面的描述来指示本发明的范围。

附图标号

100 飞行器

102 效应器

102a 主设备的效应器

102b 从设备1的效应器

102c 从设备2的效应器

104 螺旋桨

106 马达

108 螺旋桨旋转的方向

110 驱动轴

120 质心

122 主体轴

124 中心壳体

126 臂

210 通信信道

210.1 第一通信信道(单向或双向)

210.2 第二通信信道(单向或双向)

240 飞行模块

240a 第一飞行模块(主设备)

240b 第二飞行模块(从设备/从设备1)

240c 第三飞行模块(从设备2)

250a 第一子系统(主设备)

250b 第二子系统(从设备/从设备1)

250c 第三子系统(从设备2)

300a 主设备的传感器

300b 从设备1的传感器

300c 共享传感器

300d 从设备2的传感器

310a 主设备的正常操作控制单元

310b 从设备的正常操作控制单元

320a 主设备的应急控制单元

320b 从设备的应急控制单元

330a 主设备的故障检测单元

330b 从设备1的故障检测单元

330c 从设备2的故障检测单元

340a 主设备的开关

340b 从设备1的开关

340c 从设备2的开关

350a 主设备的协调单元

350b 从设备1的协调单元

350c 从设备2的协调单元

360a 主设备的电源

360b 从设备1的电源

360c 从设备2的电源

510 开始

520a 正常操作主设备

530a 主设备的主设备故障决定

530b 从设备的从设备故障决定

540a 主设备的从设备故障决定

540b 从设备的主设备故障决定

550a 主设备动作：向从设备发信号并禁用主设备

550b 从设备动作：向主设备发信号并禁用从设备

560a 由于从设备故障而由主设备发起的应急操作

560b 由于主设备故障而由从设备发起的应急操作

570b 从主设备到从设备馈通

610a.1 主设备的第一应急控制单元

610a.2 主设备的第二应急控制单元

610b 从设备1的应急控制单元

710a 正常操作(主设备，从设备1，从设备2)

720a 主设备的主设备故障决定

720b 从设备1的从设备1故障决定

720c 从设备2的从设备2故障决定

730a.1 主设备的从设备1故障决定

730a.2 主设备的从设备2故障决定

730b 从设备1的主设备故障决定

740a 主设备动作：向从设备1发信号并禁用主设备

740b 从设备1动作：向主设备发信号并禁用从设备1

740c 从设备2动作：向主设备发信号并禁用从设备2

750a.1 由于从设备1故障而由主设备发起的应急操作(主设备，从设备2)

750a.2 由于从设备2故障而由主设备发起的应急操作(主设备，从设备1)

750b 由于主设备故障由从设备1发起的应急操作(从设备1，从设备2)

780b 从主设备向从设备1馈通

780c 从主设备向从设备2馈通

900b 由于主设备故障而由从设备发起的应急操作

910b 禁用从设备

1010 主体坐标系

1030 主方向

1050 角速度

1400 机翼

1500 刚性支撑结构

1600 服装

1610 带透镜的LED

1620 服装

τ：扭矩向量

τ_d：气动扭矩

f_Ti：效应器i的推力

mg：飞行器的重量

Claims

1.一种可操作以飞行的飞行器(100)，所述飞行器(100)至少具有可操作地连接的第一子系统和第二子系统(250a、250b)，

其中第一子系统(250a)包括第一飞行模块(240a)和第一一个或多个效应器(102)，第一一个或多个效应器被选择性地可操作以生成足以使飞行器(100)飞行的第一力；

并且第二子系统(250b)包括第二飞行模块(240b)和第二一个或多个效应器(102)，第二一个或多个效应器选择性地可操作以生成足以使飞行器(100)飞行的第二力；

使得第一子系统或第二子系统(250a、250b)中的每一个子系统(250a、250b)能够被选择性地用于使飞行器(100)飞行，而不依赖第一子系统或第二子系统(250a、250b)中的另一个子系统(250b、250a)的所述一个或多个效应器(102)，其特征在于，

所述第一飞行模块(240a)包括，

第一开关(340a)；

第一协调单元(350a)，用于控制第一开关(340a)；

第一正常操作控制单元(310a)，可操作以生成用于操作第一一个或多个效应器和第二一个或多个效应器(102)的控制信号；

第一应急控制单元(320a)，可操作以生成用于操作所述第一一个或多个效应器(102)的控制信号，其中第一开关(340a)被配置为使得第一开关能够由第一协调单元(350a)选择性地切换，其中该切换是在第一位置、第二位置之间切换，在所述第一位置中，第一开关将由第一正常操作控制单元(310a)生成的控制信号传递到第一一个或多个效应器(102)，在第二位置中，第一开关将由第一应急控制单元(320a)生成的控制信号传递到第一一个或多个效应器(102)；

所述第二飞行模块(240b)包括，

第二开关(340b)；

第二协调单元(350b)，用于控制第二开关(340b)；

第二应急控制单元(320b)，可操作以生成用于操作第二一个或多个效应器(102)的控制信号，并且其中第二开关(340b)被配置成使得第二开关能够由第二协调单元(350b)选择性地切换，其中该切换在第一位置、第二位置之间切换，在第一位置中，第二开关将由第一正常操作控制单元(310a)生成的控制信号传递到第二一个或更多个效应器(102)，在第二位置中，第二开关将由第二应急控制单元(320b)生成的控制信号传递到第二一个或多个效应器(102)。

2.如权利要求1所述的飞行器，其中第一子系统还包括第一一个或多个传感器，用于至少感测飞行器相对于外部参考系的位置、朝向或速度；并且第二子系统还包括第二一个或多个传感器，用于至少感测飞行器相对于外部参考系的位置、朝向或速度。

3.如权利要求1所述的飞行器，其中飞行器还包括由第一子系统和第二子系统共享的至少一个传感器，其中所述至少一个传感器被配置为用于至少感测飞行器相对于外部参考系的位置、朝向或速度。

4.如权利要求1所述的飞行器，其中第一开关被配置为使得第一开关能够由第一协调单元选择性地切换，其中该切换是在第一位置、第二位置以及第三位置之间切换，在所述第一位置中，第一开关将由第一正常操作控制单元生成的控制信号传递到第一一个或更多个效应器，在第二位置中，第一开关将由第一应急控制单元生成的控制信号传递到第一一个或多个效应器，并且在第三位置中，开关打开，使得没有控制信号被传递到第一一个或多个效应器；

并且其中第二开关被配置成使得第二开关能够由第二协调单元选择性地切换，其中该切换在第一位置、第二位置和以及第三位置之间切换，在第一位置中，第二开关将由第一正常操作控制单元生成的控制信号传递到第二一个或更多个效应器，在第二位置中，第二开关将由第二应急控制单元生成的控制信号传递到第二一个或多个效应器，并且在第三位置中，开关打开，使得没有控制信号被传递到第二一个或多个效应器。

5.如权利要求4所述的飞行器，其中第一飞行模块还包括被配置为至少检测第一子系统中的故障和第二子系统中的故障的第一故障检测单元，

其中第一故障检测单元连接到第一协调单元并且被配置为在检测到第一子系统中的故障时向第一协调单元发送信号，并且在检测到第二子系统中的故障时向第一协调单元发送信号，以及

其中第一协调单元被配置为在接收到来自第一故障检测单元的指示第一子系统中的故障的信号时将第一开关切换到其第三位置，使得飞行器专门使用第二子系统飞行；以及

其中第一协调单元被配置为在接收到来自第一故障检测单元的指示第二子系统中的故障的信号时触发第二协调单元将第二开关切换到其第三位置，使得飞行器专门使用第一子系统飞行。

6.如权利要求4所述的飞行器，其中第一飞行模块还包括被配置为至少检测第一子系统中的故障的第一故障检测单元，以及

其中第二飞行模块还包括第二正常操作控制单元，所述第二正常操作控制单元可操作以生成用于操作第一一个或多个效应器和第二一个或多个效应器的控制信号；并且其中当第二开关处于其第二位置时，由第二正常操作控制单元生成的控制信号能够传递到第一一个或多个效应器和第二一个或多个效应器；以及

其中第一协调单元被配置为使得，当第一协调单元从第一故障检测单元接收到指示已经检测到第一子系统中的故障的信号时，第一协调单元触发第二协调单元将第二开关切换到其第二位置，使得由第二正常操作控制单元生成的控制信号被传递到第一一个或多个效应器和第二一个或多个效应器，使得第一一个或多个效应器和第二一个或多个效应器专门由第二正常操作控制单元生成的控制信号控制。

7.如权利要求4所述的飞行器，其中第一子系统和第二子系统经由一个或多个通信信道可操作地连接，以及

其中第一协调单元被配置为当检测到通信信道中的故障时将第一开关切换到其第二位置并且触发第二开关切换到其第三位置，使得飞行器专门使用第一子系统飞行。

8.如权利要求1所述的飞行器，还包括第三子系统，其中第三子系统包括，

第三一个或多个效应器，选择性地可操作以生成足以使飞行器飞行的第三力，

第三飞行模块，包括

第三开关；

第三协调单元，用于控制第三开关；

并且其中第三开关被配置为使得第三开关能够被第三协调单元选择性地切换，该切换在第一位置、第二位置和第三位置之间切换，在第一位置中，第三开关将由第一正常操作控制单元生成的控制信号传递到第三一个或多个效应器或将由第二应急控制单元生成的控制信号传递到第三一个或多个效应器，在第二位置中，第三开关能够将由应急控制单元生成的控制信号传递到第三一个或多个效应器，并且在第三位置中，开关打开，使得没有控制信号被传递到第三一个或多个效应器。

9.如权利要求1所述的飞行器，还包括：

一个或多个传感器，可操作以感测飞行器的移动的一个或多个特点，以及

其中第一飞行模块被配置为使得第一飞行模块能够选择性地向第二一个或多个效应器发送使飞行器以预定义方式移动的预定义控制信号；以及

其中第一飞行模块被配置为接收来自一个或多个传感器的一个或多个输出并且使用那些接收到的输出来确定飞行器是否已经以所述预定义方式移动；以及

其中第一飞行模块被配置为如果第一飞行模块确定飞行器没有以所述预定义方式移动就确定在第二子系统中已经发生故障。

10.如前述权利要求中任一项所述的飞行器，还包括服装能够附连到的支撑结构。

11.如权利要求10所述的飞行器，还包括附连到支撑结构的服装。

12.如权利要求11所述的飞行器，还包括安装在飞行器或支撑结构上并且被布置为发射远离飞行器的光以使光入射在所述服装上的一个或多个光源。

13.一种用于控制飞行器(100)的方法，其中飞行器(100)是如前述权利要求中任一项所述的飞行器，所述方法包括以下步骤：

(1)在第一子系统(250a)中计算用于第一子系统和第二子系统(250a、250b)的效应器(102)的第一控制信号集合；

(2)将第一控制信号集合传送到第二子系统(250b)的效应器(102)，

(3)检测第一子系统或第二子系统(250a、250b)中的故障，

(4)禁用在其中检测到故障的子系统(250a、250b)的效应器(102)，使得飞行器(100)仅使用另一个子系统(250a、250b)的效应器(102)来飞行。

14.如权利要求13所述的方法，其中所述方法包括禁用在其中检测到故障的子系统，使得飞行器仅使用另一个子系统来飞行。

15.如权利要求13所述的方法，还包括以下步骤：在没有遭受故障的子系统中计算第二控制信号集合，所述第二控制信号集合专门控制所述子系统的效应器。