CN109150954A - 航空电子和非航空电子双系统的同步 - Google Patents

Abstract

本发明涉及航空电子和非航空电子双系统的同步。描述了用于监管和/或用于集成航空电子系统与非航空电子系统或开放系统的各种方法。本发明的开发特别描述了用于通过共享空间同步数据的各种方法、用于修改数据的方法、人机交互、优化计算和带宽的步骤、确定关于与计算差异相关联的风险的警告的步骤、确保安全的存储空间的机制。描述了软件和系统方面(EFB和FMS)。

Description

航空电子和非航空电子双系统的同步

技术领域

本发明的技术领域为机载系统，并且具体地，为航空电子飞行管理系统(例如，飞行管理系统(FMS))或非航空电子系统(例如，电子飞行包(EFB))的技术领域。

背景技术

表述“航空电子世界”指的是经认证的航空电子系统，其具有发展担保。

被称为“非航空电子”或“开放”世界的世界与这个航空电子世界形成对比，相辅相成并相互作用。被称为“非航空电子”或“开放”世界的世界具体涉及电子飞行包，或者位于地面上或在飞行器上的其他平板电脑和计算机。

只要存在将处理飞行元素的计算机系统放置在航空电子设备外(即在开放世界中，例如通过EFB)的可能性，就可能会出现若干特定的技术问题。具体地，可能会出现关于该系统与航空电子设备中的飞行管理系统通信以及更新的技术问题，反之亦然。

这种更新，即两种设备之间的这种交互(双向通信)可能会存在关键的保障和/或安全问题，尤其关于设备的认证和对于与互联网互连的其他系统的开放性。

此外，诸如EFB的工具的加速开发(例如在计算能力、灵活性或可靠性方面)使管理这些交互的先进方法的开发日益迫切。两个世界之间的通信必须克服若干困难，同时必须提供特定的预防措施、保护措施和担保。

在当前的系统中，EFB以及其应用程序通常不连接至航空电子设备。由于机组人员必须分析开放世界中的结果并且手动传输那些对于航空电子系统可使用以及有用的元素，因此机组人员被迫执行两次工作。增加ESB以及其应用程序因此可以具有所期望的相反效果，即通过减少工作量来辅助机组人员。

专利文献很少提出上述的技术问题，并且没有提供满意的解决方案。

例如，标题为“MANAGEMENT SYSTEM,IN PARTICULAR A FLIGHT MANAGEMENTSYSTEM,FOR AN AIRCRAFT”的专利文件FR3029619公开了一种管理系统，其包括航空电子设备核心，实现“通用”飞机器管理功能并且提供与至少这些通用功能、开放世界部分(4)中至少一个“远程功能”(F1，F2，Fn)相关的服务，执行需要与航空电子设备核心通信的航空电子设备核心与开放世界应用程序(AP1，AP2，APm)之间的接口功能，确保交换的数据的同质性和一致性，并且保证数据交换以及航空电子设备核心与开放世界功能(F1，F2，Fn)之间的交换接口的完整性和安全性，支持数据交换。该方法具有局限性。尤其是，不管理任何一方的数据的更新，也不管理与保障和安全寻址有关的注意事项。

诸如US9583008中所描述的某些方法提供了扩展的FMS系统，即例如通过跨越航空电子设备和开放世界的设计而分布的FMS，即需要对于当前存在的FMS系统进行修改的FMS系统。该方法的局限之处在于，它阻止了再利用未修改的FMS。

需要允许航空电子系统和非航空电子系统之间的受控(例如，安全和/或保障的)的交互的方法和系统。

发明内容

描述了用于监管和/或用于集成航空电子系统与非航空电子系统或开放系统的各种方法。本发明的开发特别描述了用于通过共享空间同步数据的各种方法、用于修改数据的方法、人机交互、优化计算和带宽的步骤、确定关于与计算差异相关联的风险的警告的步骤、确保安全的存储空间的机制。描述了软件和系统方面(EFB和FMS)。

有利地，两个世界的连接或链接使得能够在保障和航空安全方面保持或保证所需的标准。

在一个实施方案中，可以建立从航空电子设备到开放世界的单向通信(数据从认证系统“外包”给用于处理的开放系统)。

在一个实施方案中，可以建立双向通信(来自由开放系统处理的认证系统的数据被重新注入到航空电子系统中)。

这种双向交互有利地使得能够访问开放世界中的大量数据源，这大大增加了可用于管理飞行的可能的辅助装置的数量。因为认证限制较少，开放世界不受资源(计算能力，内存)和技术进步(连续获取所有最新发展)的限制。最后，开放世界的人机接口的可用性通常比目前用于航空电子设备的用户界面(至少它们对应于大规模计算中的一般做法)更优越(例如，可访问、稳健、明确等)。

有利地，根据本发明的方法和系统使得能够将大量的航空电子功能“输出”到开放世界，然后将结果或操纵的并且丰富的数据重新输入到航空电子设备中。

在一个实施方案中，数据、数据的数据(元数据)、功能或程序(修改数据的数据)的输入或重新输入可以由飞行员(开环)验证、控制或修改。因此，通信或同步是“不对称的”，这意味着未经飞行员同意，航空电子设备管理的任务数据可能不会被替换。

在(闭环类型的)其他实施方案中，开放世界与航空电子设备之间的交互以集成方式执行(例如，它们受到保障和/或保护)。

有利地，某些实施方案允许在两个世界之间进行透明通信，同时保护航空电子世界免受可能通过与开放世界通信而带来的负面影响。在一个实施方案中，飞行员不干预两种系统之间的交互(例如同步)，除了安全相关的操作之外。

有利的是，结合来自开放世界的现代和可升级工具的应用，根据本发明的方法和系统允许飞行的定量和/或定性改进(例如，就性能而言，操作成本例如燃料消耗，任务的可预测性和可靠性)，减少飞行员的工作量，从而更好地管理飞行员的认知负荷，并在航空安全和保障方面发挥积极作用。

根据一个有利的实施方案，部署在驾驶舱中的人机接口包括专用于在航空电子设备中管理任务管理中验证和/或接受和/或修改来自开放的非航空电子世界的数据的页面和/或命令。

有利地，本发明可以在包括最新或下一代飞行管理系统FMS的现认提供与非航空电子系统的通信链路。这些通信链路可以被本发明使用。上一代FMS可以通过各种方式寻址，特别是通过现有的通信链路(数据链路或地对空链路，下面详细描述)。

有利地，根据本发明，飞行计划轨迹和预测可以在开放世界中计算，因此更快(并且可靠地完成)。

有利地，根据本发明，在开放世界和航空电子世界之间使用缓冲存储空间使得能够整体地和/或偶尔地减少要交换的数据量，并且因此使得能够加快计算速度(同时保持可靠)。

在一个实施方案中，开放世界中产生的计算库使得可以确定由航空电子设备处理的缺失部分(数据、功能、计算结果)。由于存在存储空间，所以可以实现复杂的同步机制。

在一些实施方案中，两个世界之间的数据同步可能是不完整的，因此可能导致飞行员的额外工作(他必须完成同步)。由于在屏幕上可见，因此手动验证、完成或修改同步的步骤是可检测的。

在一些有利的实施方案中，可以使用用于数据交换的模式、方案或模板，并且可以优化带宽(释放可能有限的航空电子网络方的带宽)。

在一些有利的实施方案中，可以使用数据压缩技术来进一步最小化在航空电子网络上同步的数据的大小。

有利地，根据本发明，航空电子功能的范围(功能范围)可以通过来自开放世界的功能来扩展。

有利地，根据本发明，可以通过最小化与航空安全和/或保障相关的风险来控制和/或优化两种系统之间的同步。

有利地，根据本发明，可以调适(例如检测、格式化、修改、选择)来自非航空电子世界的数据(其可能是丰富的，例如多样的和变化的)，然后在航空电子域中进行考虑。这种调适也可以是与背景相关的，即根据飞行背景(例如飞行阶段、飞行事件、操作对象或约束等)执行。

有利地，本发明的实施方案允许两种系统(与不同的安全性和/或安全特征相关联)之间的同步。通信可以是客户端/服务器类型。在一个实施方案中，同步可以认定为不对称，有利于来自航空电子世界的数据的完整性和验证。

有利的是，飞行员的(认知)负荷减小或最小化。任何一方的行动(航空电子方与非航空电子方)都必须在一个地方进行。

有利地，安全和/或可靠的存储空间使得能够验证数据并且控制/验证注入到航空电子世界的操作任务中的内容。

附图说明

借助以下说明以及所附附图的图示，本发明的其他特征和优点将变得显而易见，其中：

图1示出了本发明的整体技术环境；

图2以一般的方式示意性地示出了一个或更多个航空电子设备与非航空电子系统122之间的集成或交互；

图3示出了根据本发明的一个有利的实施方案的特定控制模式；

图4示出了本发明的实施方案的其他示例；

图5示出了根据本发明一个实施方案的方法的步骤的示例。

具体实施方式

本发明意义的飞行器是能够在地球大气中移动的运输装置。例如，飞行器可以是飞机或直升机(甚至是无人机)。相关地，本发明的实施方案适用于任何类型的地面、海洋、空气或空间(轨道轨迹优化)运输。

本发明描述了一个或更多个航空电子系统与一个或更多个非航空电子系统之间的各种交互。两种系统是技术体系。航空电子系统是满足特定需求(尤其是技术需求)的系统，例如航空条例规定的需求。

与“非航空电子”系统(或“非航空电子类型的系统”或“开放世界类型”)相比，“航空电子系统”(或“航空电子类型的系统”)是具有特定技术特征的系统，这些技术特征由可信机构(在这种情况下是航空监管机构)进行行政认证。从技术上讲，官方代表可能在未来允许对该行政管理(例如加密账户)进行技术管理。

关于航空电子系统的区别技术特征，系统(即航空电子系统或非航空电子系统)通常会有预定义的故障率(来自预定义的故障率范围)或与预定义的故障率相关，故障率包括或确定预定义的执行错误率。在一个实施方案中，航空电子系统的故障率低于非航空电子系统的故障率。在一个实施方案中，航空电子系统的故障率明显或大体上低于非航空电子系统的故障率。

航空电子系统指的是可靠的系统(或具有保证的可靠性的系统)。这是一种系统，其故障的后果超过了接受的或可接受的后果，因此是关键限制的后果。故障的特征可以是所考虑的功能的丧失，或产生错误数据，有或没有检测到错误。根据关键后果的临界水平，发生的概率必须保持低于可接受的阈值。因此，后果越关键，可接受的发生概率越低。例如，在航空领域，一次灾难性事件(多起死亡事件)的发生概率必须小于每飞行小时10^-9次，而重大事件(安全裕度和运行能力的降低，不适或轻伤)的发生概率必须小于每飞行小时10^-5次。为了达到这些目标，(可靠的)航空电子系统的架构以及每个组件的设计通过保证每个设备的故障率(物理故障)和软件的验证水平(测试功能和结构覆盖率)来保证该发生概率。

这些要求需要大量的设计和验证工作，并对所实施的处理操作的复杂性施加限制。

另一方面，不可靠系统或可靠性不保证的系统(非航空电子系统)的故障的后果被视为可容忍、不关键、甚至不具有明显的运行影响。因此，与可靠系统相比，对架构、物理组件或软件处理操作的要求更低，并且允许对更复杂处理操作和开发以及验证工作的要求更低。

为了在飞行操作期间使用来自不可靠计算机的数据，由于数据的可靠性不能保证(或者保证错误率低于可靠系统的要求)，使用根据本发明的方法是有利的。该方法的步骤尤其能够确保没有错误的数据项被可靠系统操作使用。所述步骤可以包括在人工操作员手动输入或自动传输之后进行验证，或者验证传输数据的各种手段。在一些实施方案中，还可以包括计算或者验证来自通过航空电子系统世界执行的非航空电子系统的数据的相干性的步骤(例如，可以验证路径由已知点构成并且该路径能够飞行)。系统的故障可以确定性地查明，也可以概率性地查明。

在一个实施方案中，额外的综合性标准使得可以限定故障率的标准。该综合性标准表示事先在确定故障率时在航空电子系统或非航空电子系统上执行的测试(不一定具有已知响应的激励、挑战)和/或验证(例如，将产生的响应与已知和期望的响应进行比较)的覆盖范围。在一个实施方案中，与非航空电子系统相比，在航空电子系统中执行的测试和/验证的综合性更大。

在一个实施方案中，除了航空电子系统或非航空电子系统的整体故障率之外，还可以考虑针对航空电子系统或非航空电子系统的组件的故障率，以及故障的传播。

本发明的各种实施方案描述了可以实施的各种交换(例如，功能数据和交换动态)、各种保护(例如，安全机制、专用空间等)以及同步机制的各种示例，从而使两个世界能够尽可能紧密地同步。在一个实施方案中，主要参考保留在航空电子设备中。

术语“咨询”指的是航空电子设备引起的数据或计算。术语“修改”通常涉及开放世界在其“沙箱”中提供的资料。术语“注入”指的是从开放世界或从其“沙箱”到航空电子系统产生的任务数据的交换。

数据的同步涉及所有类型的数据(飞行计划数据，以及来自导航数据库的数据)、飞机状态(例如飞行阶段)和命令(例如：插入航点)/在双方(航空电子设备与非航空电子设备)对各种对象进行计算、通信和比较。对于咨询部分，这些对象具体包括(永久和用户)导航数据库、磁性变化数据库、飞行器的静态特征、来自数据库的关于飞行器性能的元素、航空电子系统的状态、飞行计划数据、轨迹数据和预测数据。对于修改部分，所述对象具体包括用户导航数据库和飞行计划数据。对于注入部分，所述对象具体包括用户导航数据库和飞行计划数据。

图1示出了本发明的整体技术环境。

飞行器110是能够在地球大气中移动的运输装置。例如，飞行器可以是飞机或直升机(甚至是无人机)。飞行器包括驾驶座舱或驾驶舱120。驾驶舱内是驾驶设备121(称为航空电子设备，其经航空监管机构认证)和可选设备(称为非航空电子设备或“开放世界”)。

航空电子设备121(下文中为“航空电子设备”)包括例如包含飞行管理系统(首字母缩写为FMS)的一个或更多个机载计算机(计算、内存和数据存储装置)、诸如显示装置(例如，并入航空电子设备的屏幕)的人机交互装置、和/或数据输入装置(例如，键盘、按键、鼠标、旋控器等)、通信或触觉反馈装置。相关地，航空电子系统可以包括可远程访问的系统，例如访问空中交通管制100和/或访问可以通过地面-空中链路进行(双向)通信的运营中心。此外，空中交通管制100和/或运营中心系统例如可以通过互联网访问(例如，接收、收集、选择、发现、确定)开放数据源(例如，不监管的天气数据)，互联网的覆盖范围和深度覆盖了飞行器的整个飞行。

非航空电子系统122表示机载设备或地面设备，其例如可以包括：便携的或集成到驾驶舱内的一个或更多个平板电脑或EFB(“电子飞行包”)、观察装置(例如，附加的屏幕、智能眼镜、平视式显示器、投影仪、全息照相系统、称为“可穿戴计算机”或“头戴式显示器”的虚拟现实和/或增强现实耳机等)、以及交互装置(例如，激光投影键盘、折叠组件、展开组件；触觉、力反馈、机械、气动和电气系统；带有噪声抑制的听写或语音识别装置等)。

非航空电子EFB有时指的是或描述为与“航空电子”设备(其通过监管机构认证)相反的“开放(世界)”设备。EFB可以与航空电子设备121进行交互(单向或双向通信123)。EFB还可以处于与外部计算机资源的通信124中，所述外部计算机资源可以通过网络(例如，云计算125)访问。特别地，计算可以在EFB上本地执行，或者在经由或通过或在网络中可访问的计算装置中部分地或全部地执行。

机载设备121通常经认证并且受到监管的，而EFB 122和连接的计算装置125通常不经认证(或者认证程度较低)。根据实施方案(集成的类型)，能够实施的这些架构使得可以从开放世界(例如，经由EFB 122)注入灵活性和功能能力，同时对机载航空电子设备121的部分提供(受控的)安全性。

图2以一般的方式示意性地示出了一个或更多个航空电子设备121与非航空电子系统122之间的集成或交互。

航空电子系统121与非航空电子系统122之间的交互的监管210可以事实上(即通过管理数据交换的规则)在双方实施。监管210也可以采取专用监管构件或实体的形式。在某些实施方案中，飞行员200可以控制211(修改、影响、监管、停止、准备、启动等；直接地或间接地)系统121与系统122之间的交换(例如，在性质、容量、质量等方面)。特别地，飞行员可以使用一个或更多个人机接口。监管规则尤其可能来自人和/或机器的干预(因此尤其来自人机联合的决定)。

一般而言，两种系统(航空电子系统和非航空电子系统)之间的通信的方法覆盖不同的方面或参数：

a)方向性；两种系统之间的通信(例如，数据流、消息传递等)可以是单向的或双向的。该方向性的性质可以是静态的(不随着时间改变)，也可以随着时间而发展(在预定义的时间区间中和/或根据预定义的事件)，例如根据飞行环境或阶段。例如，当飞机处于登机口处的地面上时，通信可以是双向的，并且一旦飞机开始移动，通信就是单向的。在该示例中，当飞机处于地面上时，由非航空电子系统向航空电子系统提出的任何修改都可以被验证，如果该修改是错误的，该修改不会降低安全性，因为这种修改仍然可以被修改和更正。一旦开始移动并且处于飞行状态，通信首先仅从航空电子系统向非航空电子系统进行，由非航空电子系统产生的任何数据项都不能自动传输给航空电子系统。

b)形式(例如，数据格式、协议类型、平移/桥接等)。例如，WiFi或有线以太网协议在地面上可能是最佳优化的(考虑到可以在地面上交换以初始化任务的大容量)，而在飞行中更安全但较低吞吐量的协议可能是优选的，考虑到机载通信架构(AEEC ARINC 653)可能需要对所有关键计算机保证带宽和完整性，因此事实上可能会限制与非航空电子系统交换的数据的吞吐量和类型。

c)背景(质量，例如通信对象的性质，例如飞行计划点或3D路径等；与该数据相关的数据，即元数据；原始或静态数据；可执行数据，即程序)。除了飞行计划之外，非航空电子系统还能够接收大量的丰富数据，该数据的仅仅一部分将会被航空电子系统利用：航行图、高分辨率地图、完整天气图。航空电子系统可以使用数据的子部分，为了航空电子系统的目的而对该数据进行过滤(例如，沿着飞行计划进行过滤，对适合其存储器限制的分辨率进行过滤，对于计算能力等方面的限制进行过滤)。

d)数量(或容量)。非航空电子系统可能会使用丰富的数据(在处理器、内存和存储器方面没有实际限制；可以使用功能强大的多核处理器)，而航空电子系统计算机具有非常强大但更受限的硬件架构，以保证所需性能的可测试性，例如具有在飞行过程中抗高能粒子事件(SEU，NSEU)、抗震动或极端温度的特性。航空电子系统计算机的功率通常显著低于非航空电子计算机。

e)权限或优先级(例如，总体优先级可以被分配；例如，“主”航空电子系统将总是优先于“从”非航空电子系统的优先级；“管理员”或“读取/写入”权限将会例如在访问、读取和/或写入一个或另一个类型的系统方面被分配给各个部分)。

数据交换的监管可能会对这些方面中的每个有区别地管理，并以特定的方式将它们结合起来。根据这些实施方案，将获得包括各种各样类型的反馈(例如，正反馈等)的(可扩展的或不可扩展的)主/从系统或(可扩展的或不可扩展的)对等网络。

对人机接口的参考是指一组不同的设备。显示设备可以包括或实施一个或更多个精密设备，诸如虚拟现实耳机和/或增强现实眼镜(例如“头戴式显示器”、“可穿戴式计算机”、“眼镜”或头戴式耳机显示器)和/或投影设备(例如，为全息投影)。飞行员佩戴的虚拟现实耳机可以是不透明的或半透明的或者能够在透明度方面进行设置。显示器可以是“平视式”显示器。耳机可以包括一个或更多个计算和通信、投影、音频获取、投影和/或视频获取设备(例如用于捕获或“擦去”的可以从飞行器的驾驶舱或驾驶座舱以模拟方式访问的数据)。直升机的驾驶舱还可以包括声音指令设备。有利地，机载仪表可以使得飞行员能够查看他的或她的飞行计划或者他的或她的3D路线，尤其是根据本发明的各个航点。例如，飞行员可以例如通过将这些替代路线叠加到他或她的真实环境上查看针对目标平台的各种方法、当路径能够被加入的点仍然可能时的这些点(从一种方法改变为另一种方法)。可以通过图形包络(锥体、多面体、虚拟墙、虚拟走廊等)、以及局部参数(例如，风速、通过局部风或湍流的激光风速测定的实际测量，或者后者的计算机模拟)来查看安全距离。

最后，并入实施本发明的系统中的触觉反馈设备可以丰富引导/驾驶(当有效地穿越航点等时的特定振动)。

关于显示器，信息可以显示在一个或更多个虚拟现实和/或增强现实耳机中。因此，这些信息可以完全虚拟(显示在个人耳机中)，完全真实(例如，投影到直升机驾驶舱的真实环境中可用的平坦表面上)，或两者的组合(部分为与现实叠加或合并的虚拟显示，部分为通过投影机的真实显示)。显示也可以具有应用预定义的放置规则和显示规则的特征。例如，人机接口(或信息)可以在不同的虚拟屏幕或真实屏幕之间“分布”(分成不同的部分，可能部分冗余，然后分配)。

在一个实施方案中，航空电子系统和非航空电子系统使用完全不同的(例如，相互排斥)物理硬件介质(处理器、内存等)。例如，航空电子系统和非航空电子系统通过数据链路(逻辑性质的数据链路)进行交互。

在一个实施方案中，在航空电子系统和非航空电子系统之间分配功能。在一个实施方案中，安全通信构件可以形成两种系统之间的链路。数据传输例如可以是IP或安全IP类型的。在该实施方案中，航空电子系统和非航空电子系统交换指令和数据，但是两个世界中的数据的完整性通过每个系统中的独立计算来确保。

由于非航空电子系统的内存和CPU方面的资源相对于航空电子系统的内存和CPU的资源更高阶，因此非航空电子系统可以执行明显更多的计算。非航空电子系统因此可以二分法地执行计算，直到接近最佳解决方案，这将由航空电子系统世界提炼和确认，同时最佳地使用这种系统中实质上不丰富的资源。此外，非航空电子系统的物理硬件介质比航空电子系统发展快得多。

在一个实施方案中，航空电子系统和非航空电子系统共享一部分的硬件资源(处理器、内存等)。例如，至少一个内存单元既可以通过航空电子系统访问，也可以通过非航空电子系统访问。在一个实施方案中，航空电子系统的部分资源可以专用于非航空电子系统，使得航空电子系统可以计算和验证在非航空电子系统世界中生成/形成的计算假设。航空电子系统的特性因此可以输出到非航空电子系统中。虽然这些航空电子系统资源可用于非航空电子系统，但这些航空电子系统资源可以受到保护，并且它们的使用不能将源于非航空电子系统世界的请求和数据的错误传播到航空电子系统的其他部分。因此节省地使用航空电子设备资源是有利的。

在一个实施方案中，航空电子系统和非航空电子系统共享所有的硬件资源(处理器、内存等)。可以对两个具体的实施方案进行描述。例如，航空电子系统FMS在主机上完全虚拟，该主机同时支持航空电子系统和非航空电子系统。在一个实施方案中，非航空电子系统的硬件平台被提升到与航空电子系统相同的认证级别。从管理的角度来看，这种约束在资格方面是昂贵的，但有利于使得从一个世界到另一个世界的数据传输方面的优化。在一个实施方案中，非航空电子系统FMS在硬件介质上完全虚拟，该硬件介质(主要)支持航空电子系统。由于航空电子系统的硬件介质的可升级性和资源的缺乏，该实施方案受到限制，但是监管约束可能令人满意。

在一个实施方案中，航空电子系统和非航空电子系统通过专用有线连接链接，即排除任何可拦截的无线通信。系统的有线连接可能使安全妥协攻击更加困难(例如，在无线实施方案中可能的恶意妥协攻击、拦截或注入)。

在一个实施方案中，航空电子系统和非航空电子系统通过无线连接链接，但是这些连接通过足够的加密(复杂密钥，其比最小密码分析时间更频繁地刷新，最小密码分析时间例如根据可用于飞行器乘客的装置进行评估)来确保。

特别是，航空电子系统和非航空电子系统之间的监管210(事实上或使用监管构件)作为对于这两种系统的接口的关键组件可能经受专用安全措施(例如，独立于其他系统)。安全机制可以包括以下机制中的一个或更多个：数据加密(例如，使用非对称密钥)、认证机制(例如，生物计量)、自我监测机制(例如，状态机，“看门狗”)、反入侵机制(例如，IDS)、连续验证网关服务器中操纵的数据完整性的机制、共享先前的密钥等等。

在一个实施方案中，航空电子系统和非航空电子系统之间的监管可以由非航空电子系统和航空电子系统间歇地、定期地或按需地同意(或认可或接受或授权)。

安全机制可以包括一个或更多个机制和/或步骤，所述步骤选自包括以下步骤的组中：检查全部或部分数据和/或结果(例如，初始、中间、最终结果)的完整性的步骤；认证机器和/或飞行员(例如，PKI、生物计量等)的步骤；加密全部或部分数据的步骤；计数在航空电子系统和非航空电子系统之间交换的通信或数据或数据的类型的步骤，将协议行为分类为正常或异常的步骤，等等。

完整性检查可以包括CRC或校验和验证步骤。检查数据的完整性可以包括使用哈希链(例如，区块链类型，例如以保证数据的完整性和/或飞行计划修正的历史记录)。数据及其修正可以随时通过任何一方(无许可分类账)或通过预注册(许可分类账)进行访问。

加密可以是对称的(私钥加密)。加密可以是不对称的(私钥和公钥加密)；例如航空电子系统可以保留其私钥，以通过其公钥经由非航空电子系统对加密通信进行解密。

计数交换是指交换的量化控制，其可以通过数据类型加以区分。例如，计数器可以放在适当的位置，以便能够约束(限制、上限、中止、减速等，采用二进制、仿射或指数方式)航空电子系统和非航空电子系统之间的数据输入和/或输出的数量。

航空电子系统和非航空电子系统之间的通信可以在开环中监管，即需要人工验证，这可能需要用于决策的图形(视觉)渲染。

认证可以包括组合的多个机制(例如，生物计量、基于卡的、基于代码的、认证、或通过逻辑测试的联合，例如验证码类型的图灵测试，以便确定将数据注入航空电子系统的决定的人类起源)。

图3示出了根据本发明的一个有利的实施方案的特定控制模式。

来自开放世界的数据被传送316给航空电子设备，并被接收并存储在“沙箱”322中，其内容可由飞行员200访问，飞行员200必要时可能在修改之后验证或授权将数据注入到飞行管理系统FMS或任务管理系统321中。航空电子设备准确地计算轨迹，并且可选地，反馈回路316可以将计算的数据传送给非航空电子系统122。

更详细地说，箭头315和316象征性地表示数据通信，例如通过对功能或服务的请求。数据在沙箱322中接收(并隔离)，然后以安全的方式传送给航空电子任务模块。数据的通信或传送可以可选地由飞行员200调整或授权。具体来说，飞行员可以在注入运行任务期间验证同步数据。在由航空电子系统122处理之后，数据返回316到非航空电子系统。

沙箱322可以通过各种方式由硬件实施。图3的示例将该安全存储空间置于航空电子设备中，但是在其他实施方案中，其可以在其他物理和/或软件位置(例如，安全USB棒、逻辑分区、专用EFB、基于云的服务器等)中实现，通过下面描述的一个或更多个机制来确保数据的安全性和完整性。

在一个实施方案中，沙箱322是被动存储空间。沙箱322插入(以排队形式)由非航空电子系统计算的元素，并将它们精细地传送给航空电子系统。然后，网关服务器用作两种系统之间的缓冲存储器或缓冲区。在一个实施方案中，沙箱322可以例如根据与放置在队列中的各种对象相关联的优先级，根据飞行环境和/或可能(视情况而定)负载不足或负载过重等的航空电子资源的使用来排序队列。

在一个实施方案中，航空电子系统和非航空电子系统之间的沙箱322是主动存储空间，即将逻辑处理操作添加到所接收的数据。沙箱322可以执行一个或更多个以下操作：执行关于路线符合航空电子标准的自身验证，接收来自第三方系统的指令等。在一个实施方案中，沙箱322可以验证在航空电子设备中计算的轨迹与源自航空电子设备外部的计算的轨迹之间的一致性。

在图3所示的一个实施方案中，双层(主-从)系统包括一个主航空电子系统和一个从非航空电子系统。在这个背景下，描述了多种交互方法(例如，同步机制)。

在一个实施方案中，双方都有部分数据交换和重新计算，以重现功能相当的情况。在一个实施方案中，主系统具有允许结果被指示的特定数据(例如，飞机的实际位置)。可以借助示出了两种计算之间的差异的辅助装置来验证所产生的数据的完整性或者可靠性。在一个实施方案中，该验证通过人工(经由人机接口)来执行。在一个实施方案中，该验证通过机器(经由操纵量化事实的逻辑规则系统)来执行。在一个实施方案中，该验证通过人工和机器联合执行(例如，可能衡量过的，可能给予飞行员的最后决定等。)

在一个实施方案中，存在数据与飞行器状态的完整交换。来自从系统或从属部分的数据完全被主部分的数据替代。航空电子系统强制其状态和其数据。

在一个实施方案中，与每个部分(其可以承担某些类型的数据或被操纵的对象的主系统的角色)发生免费的数据交换，其他剩余数据由每个部分在本地重新计算。在一个实施方案中，每个部分实际上可以是专用的，即对于某些数据承担主系统的角色以及对其他数据承担从系统的角色。一些数据可以由一部分或由另一部分提供(例如，通过人机接口输入的数据)。

在一个实施方案中，系统121与系统122之间的集成可以离散地执行，即，根据预定义的时间区间来确定。在一个实施方案中，每个系统可以接收相同的数据作为输入，重新计算所有的状态，预定义的(例如，周期的或间歇的)和/或根据需求和/或根据预定义的事件的发生执行的时间同步点可以引起验证每个系统的输出状态保持在给定的范围内(即，系统不发散)。如果系统发散，则主系统可以强制其状态为重新同步从系统。

在一个实施方案中，系统121与系统122之间的集成可以连续地或近似连续地执行，例如，将中间计算的结果进行比较(而不是最终结果，就像在上述的实施方案中那样)。有利地，系统的潜在分歧将比临时集成的情况更早被发现。

在一个实施方案中，系统121和系统122之间的角色是预定义的，不对称的并且随着时间通常不变。在一个实施方案中，角色的分配可以是变化的(完全或部分，例如，根据多个参数反应性地变化等)。

在一个实施方案中，一个或更多个投票机制可以允许按需否认或拒绝会被认为是损坏的或有风险的计划的或当前的监管(例如，如果至少一个航空电子系统确定它是这样的，等等)。

图4示出了本发明的实施方案的其他示例。

在一个实施方案中，非航空电子系统可以包括飞行管理计算库400。飞行管理计算库400指的是在硬件上运行的软件代码。根据实施方案，该逻辑块可以执行与在航空电子系统中执行的路径预测计算相同或功能上等同的路径预测计算。所执行的计算尽可能地重现诸如将由航空电子系统应用的处理操作(软件代码在结构上相同，可能重新编译或在功能上等同)。该计算模块还可以实施各种优化步骤(例如，启发式算法、A-星算法、遗传算法、潜在的基于场的算法等)。块233还可以将输出数据转换或转录成功能上等同于由航空电子系统121处理的格式。

在一个实施方案中，航空电子FMS 121具有与第三方系统通信的接口(“开放容量”FMS)。如有必要，飞行管理计算可以由NG飞行管理系统FMS及其开放容量提供。

在一个实施方案中，计算模块400可以执行搜索和优化步骤、航空电子航路转录步骤(调适、转换等)，这可能会导致轨迹预测和计算。最后，所产生的路径在比较器(可能是安全的比较器231)中被操纵。

在硬件方面，计算机233可以在平板电脑或笔记本电脑(或者在航空电子设备外部的任何其他计算装置上，例如通过远程访问)实现，从而允许确定(例如，寻找、评估、选择等)替代路线。

在一个实施方案中，系统121和122之间的交换(这些交换可以用术语“同步”来表示)采用以下方式进行：航空电子设备121执行计算并且发送316到开放系统122或400，该开放系统122或400进行冗余但也可能是互补的计算(例如，通过将信息与更宽范围的非航空电子来源的数据进行交叉参考)；开放系统122或400也可以增加计算，例如，并行地执行中央计算的大量变量的分析，或者至少由航空电子设备执行的初始计算。一个或更多个开放系统将例如经优化的计算的结果传送315给沙箱322，沙箱322的结构被设计为在数据的实际再次注入之前充当缓冲区。沙箱可以用作安全、净化或隔离气闸(通过被动缓冲作用，它可以被开发成包含逻辑测试电池的容纳空间，完整性和/或一致性验证可以特别地被分区，例如独立地执行在架构中存在的其他实体等)。

在一个开环实施方案中，飞行员检查211数据并且可以修改它们，这导致两种系统之间的同步被“完成”。

在一个闭环实施方案中，飞行员不干预，这是因为他或她的决策标准已经通过逻辑规则和客观或可客观的事实建模和量化。

在一个半开放的实施方案中，反馈回路通常是关闭的，但是飞行员保留了按需干预的可能性(例如，航空电子设备和由开放世界修改的数据流的可视化都可以保持，使得飞行员有机会在他或她期望时作为监督者而干预)。

数据一旦被验证(无论是否被人和/或机器修改)，数据就被重新注入321到航空电子设备121中。

在一个实施方案中，数据或部分数据(即，修改)照此标记。换句话说，在一些实施方案中，关于数据(或元数据)的数据被生成并保留在航空电子设备中，这有利地允许(引入的修改-随后测量的结果)配对的一定程度的可追溯性。

在一些实施方案中，由于越来越高级的任务被分配给飞行员(日常任务被自动化)，因此在预定义方面(检查点、分歧等)上本地执行的各种机制(例如，安全性、测试、验证或可视化机制)可以允许整体集成受到监督。特别是，监管的各个方面可以是可变的，并且具体地被编程为取决于飞行阶段。事实上某些关键的飞行阶段需要飞行员的主动和完全控制，而另一些则需要较少的持续关注。

图5示出了根据本发明一个实施方案的方法的步骤的示例。

在一个实施方案中，描述了用于管理飞行器的飞行数据的方法，该方法在包括航空电子系统121和非航空电子系统122的系统中实施，所述方法包括以下步骤：确定非航空电子系统122中的飞行数据；将所述数据存储510在存储空间中；确定航空电子系统121中的对应的飞行数据；根据预定义的时间模式580比较520由航空电子系统和非航空电子系统确定的数据。

在一个实施方案中，根据本发明的系统包括航空电子系统和非航空电子系统。交换的数据(“同步”)通过数据的交换而进行。

在一个实施方案中，航空电子系统和非航空电子系统在每一方计算各种航空电子对象(例如，替代的轨迹或路径、路线变更等)。

这些计算可以完全或部分重叠。一般来说，非航空电子计算(来自更优化的计算，特别是使用更广泛范围的数据)可以补充航空电子计算。

在每一方计算的数据在共享的存储空间中进行比较520。术语“对应的”指的是在每一方处理相同的对象(路径、轨迹、飞行参数等)。

临时存储空间322可以是航空电子设备中的“私有”空间，并且专用于开放世界。在一个实施方案中，临时存储空间是“沙箱”，其允许开放世界在将航空电子世界的数据注入由航空电子设备管理的任务之前，能够提出、修改和计算航空电子世界的数据。

在一个实施方案中，比较机制520监控每一方的变化。在一些实施方案中，在开放世界方和航空电子设备方进行的计算之间实际上可能存在差异。例如，飞行员可能错误地认为飞行器正在经过修改的飞行路径上进行引导，而对应的修改仅在开放的世界方进行(并且可能对飞行员而言是失败的)。

根据时间模式580，可以连续地、间歇地、以规则的区间或其他方式(例如，根据在飞行过程中呈现的事件)进行比较。

在一个实施方案中，航空电子存储空间在航空电子系统中实施。在该实施方案中，存储空间是共享的，因此可以由两种系统访问；然而它有利地保留了与航空电子系统(其可靠程度高于与非航空电子系统相关的程度)相关的可靠性特征(物理故障率和逻辑验证水平)。

在一个实施方案中，航空电子存储空间是在可靠的非航空电子系统中实施的，其物理故障率和逻辑验证水平分别低于和高于非航空电子系统的物理故障率和逻辑验证水平。在一个实施方案中，可以使用中间系统。如果现有的飞行管理系统FMS无法修改以合并存储空间，则可以使用可靠的系统。

在一个实施方案中，该方法还包括以下步骤：检测由航空电子系统和非航空电子系统确定的数据中预定义的关键数据的存在；比较这些关键数据；通过人机接口显示不同的关键数据。

“对象”，即，一个或更多个“关键”(或“必要”)数据可以特别地预定义。

关键(或必要)对象可能与系统性风险相关。认定为“系统性”的风险意味着存在影响航空保障和/或安全的重大故障的概率(不仅是非零概率，即相对于预定义的可接受阈值的不可忽略的概率)。一个本地事件，即使是有限的性质，也可能带来灾难性的整体后果。某些对象可能直接或间接导致“系统性”风险。

在数学中，函数在临界点所取的值被称为临界值。临界点被用作搜索函数极值的中介。在计算机科学中，关键系统是这样一个系统，其中的故障可能会造成严重的后果，包括严重的硬件故障或损坏(影响飞行器的飞行安全)。“关键性”概念还通过将各种“阶段”、“步骤”、“属性”或“层次”与关键特征关联起来，从而对该关键特征进行量化。

在一个实施方案中，对象因此可以与表示可以被量化或离散的局部和/或总体风险等级的元数据相关联。

可以对风险进行阈值设定(对象的关键性可以通过超出阈值或预定义阈值的范围来确定)。

可以采用各种方式对这些关键或必要对象进行确定。

在一个(自下而上)实施方案中，记录差异、修改和后果的历史记录，并且手动执行数据分析，因此预定义的“任意”和/或通过学习(例如，监督的、无监督的、大数据、统计方法等)确定这些对象，这些对象可能被认定为“关键的”或“必要的”。

在一个(自上而下)实施方案中，所述对象是先验确定的。特别地，技术专长、驾驶经验或对风险的分析能够识别特别危险的对象。

在一个实施方案中，关键数据是实时确定的。在一个实施方案中，实际上计算必要和/或关键特征：确定并比较平均和长期分歧。例如，在恶劣天气情况下修改与替代机场有关的数据并结合有限的燃料水平可能导致评估该修改的长期后果超过可接受的阈值。

在一个实施方案中，认为是关键的数据根据飞行阶段可能是不同的(例如，数据可能在给定时刻而不是另一个时刻是关键的)。

在一个实施方案中，由于存在入侵数据而确定必要或关键特征。“入侵”的概念是指访问保留或受保护软件或硬件资源的期望的表现。一些航空电子资源相比较其他航空电子资源更必要或更敏感。调用这些资源的修改可以被认定为是入侵。受保护的资源可能会随着时间(时间驱动)和/或事件(事件驱动)而变化。

在一个实施方案中，确定存在这种关键或必要数据可以触发警告。该警告可以采取与飞行员的反馈回路的形式(特别是通过人机接口的验证，该人机接口可以由文本模式的显示器构成，以便不会使接口过于复杂，从而详细示出最终分歧)。

在分歧的情况下(关键数据之间存在一个或更多个差异)，该方法可以包括向飞行员显示这些差异从而决定由非航空电子系统确定的数据是否可以保留和验证的步骤。

在一个实施方案中，该方法还包括确定与所比较的数据之间的差异相关联的风险535的步骤。可选地，可以提供飞行员辅助装置来识别关键数据中的差异和/或风险(例如，系统效应已知的数据，即其多米诺(domino)效应可能降低航空保障和/或安全)。

在一个实施方案中，该方法进一步包括通过人机接口显示540所比较的数据之间的全部或部分差异和/或与差异相关联的风险的步骤。飞行员可以查看这些差异并且必要时进行干预。开放世界与航空电子设备的同步，特别是专用于飞行员的航空电子设备的任务空间可以处于飞行员的手动控制下(至少在一开始，随后可能处于自动控制下)。先前已经描述了各种人机接口设备。

在一个实施方案中，该方法还包括修改550非航空电子系统中的全部或部分确定的数据的步骤。可以在任何时间进行修改：在首次公开世界计算之后并且在比较之前，在比较之后，在插入所述数据(例如，用于验证目的)之前，在实际激活之前(在飞行计划中)。

可以添加、去除、修改、插入、合并以及将来自开放系统的数据替换到航空电子系统。可以显示将要注入的差异。一些确认可能是可选的，其他确认可能是要求的(特别是根据对象的类型)。关于来自航空电子设备的同步，数据可以被部分或全部替换。可以显示已插入的数据。

根据一个实施方案，预定义的时间模式580包括预定义的时间区间，包括时刻和持续时间，以用于比较和/或修改数据。

在一个实施方案中，这些交换的时刻和这些交换的持续时间(同步的频率或时间区间)是这样的，两种系统的临时去同步不会中断驾驶员的操作(通常，两个系统可以在最大持续时间约5秒内保持独立)。在其他实施方案中，交换的频率高得多，并且最大去同步时间短于一秒。在其他实施方案中，高速缓存机制使得可以在更长的持续时间内承受交换的损失。

数据交换(任一方向的同步)可以自动且周期性地发生，数据改变时自动发生，或者由飞行员手动执行。同步模式(自动或手动)在每个方向上可以不同。在一个实施方案中，自动模式可以是有利的(从航空电子设备到开放世界)，手动模式从开放世界到航空电子设备可以是有利的。

所提出的交换模式类型可以特别地被优化以最小化网络上的交换。类似地，数据压缩步骤可以使在航空电子网络上同步的数据的大小最小。

在一个实施方案中，该方法还包括接收授权560的步骤，以向航空电子系统/在航空电子系统中插入和/或激活570由非航空电子系统确定的可能修改的数据。在一个实施方案中，确认或授权可以来自飞行员。在一个实施方案中，确认可以来自第三方系统，例如与人和/或机器(ATC机组等)的链接。最后，从开放世界专用空间到航空电子域的数据传输是由飞行员或副驾驶员授权或以其他方式授权的。

在这项请求中，飞行员可以通过强调已经改变的关键数据和/或验证提出的飞行可以由飞行器飞行来授权转移。

在一个实施方案中，通过从包括数据加密、检查数据完整性的机制中选择的一个或更多个机制590、或认证机制来保护存储空间。

在一个实施方案中，一个或更多个步骤被触发或取决于飞行背景599。

该方法的一个或更多个步骤(同步类型、同步元件的性质、同步时间等)可能特别取决于飞行器的飞行情况。

特定时刻的飞行背景包含飞行员采取的所有行动(特别是有效的驾驶指令)以及外部环境对飞行器的影响。例如，“飞行背景”包括与诸如位置、飞行阶段、航点、当前程序(和其他)的数据相关联的预定义或预先分类的情况之外的情况。例如，飞行器可以处于着陆的进近阶段、起飞阶段、巡航阶段以及水平上升、水平下降等(可以预定义各种情况)。此外，当前的“飞行背景”可以与多个属性或描述性参数(当前的天气状态、交通状态，飞行员的状态、包括例如由传感器测量的应力水平等)相关联。飞行背景因此也可以包括例如根据优先级和/或基于飞行阶段数据、天气问题、航空电子参数、ATC协商、与飞行状态相关联的异常、与交通和/或拓扑结构相关联的问题过滤的数据。“飞行背景”的示例包括例如诸如“巡航阶段/没有湍流/标称飞行员压力”或实际上“着陆阶段/湍流/强烈的飞行员压力”的背景。这些背景可以根据各种模型来构造(例如，例如在树中或根据各种依赖性(包括图)来分层)。可以定义背景分类，从而综合人机交互方面的需求(例如，最小或最大交互周期、最小和最大字数等)。在某些背景下也可能存在具体规则，特别是紧急情况或危急情况。背景分类可以是静态的或动态的(例如，能够进行配置)。

该方法可以在包括用于确定飞行器的飞行背景的装置的系统中实施，所述确定装置特别地包括逻辑规则，其操纵由物理测量装置测量的值。换句话说，用于确定“飞行背景”的装置包括系统装置或“硬件”或物理/有形装置和/或逻辑装置(例如，预定义的逻辑规则)。例如，物理装置包括适当的航空电子仪表(雷达、探测器等)，这使得可以建立表征飞行的实际测量。逻辑规则表示所有的信息处理操作，这些操作能够解释(例如，背景化)实际测量。一些值可以对应于几个背景，并且通过相关和/或计算和/或模拟，可以通过这些逻辑规则来辨别候选“背景”。各种技术可以实现这些逻辑规则(形式逻辑、模糊逻辑、直觉逻辑等)。

给出了对包括用于实施该方法的一个或更多个步骤的装置的系统的描述。在一个实施方案中，航空电子系统包括飞行管理系统FMS。

在本发明的一个优选实施方案中，航空电子系统是通过开放容量组件进行通信的NG(下一代)FMS航空电子系统。该开放容量功能提供了根据本发明使用存储空间(沙箱)的可能性。这个沙箱存储空间的资源是有限的，但是在CPU和内存空间方面是预留的，以免干扰飞行员的操作任务活动。根据多种交换方案，开放容量功能提供了几种类型的服务，特别是a)请求-响应类型，这使得可以查阅所述域中的任何类型的信息，或b)修改数据，将数据插入到存储空间，c)订阅要通知航空电子世界变化的事件。这些事件可以例如指示哪些类型的数据已经改变并且允许开放世界传送请求以获得数据的更新，以及d)周期性地广播对航空电子世界中产生的系统状态的主要改变。这个广播可供那些想听到它的人使用。没有必要订阅它。最后，开放容量功能提供了在重新计算并通过存储空间后将来自开放世界的数据注入运行任务的可能性。

在一个实施方案中，非航空电子系统包括电子飞行包EFB或非航空电子人机接口。

在一个实施方案中，航空电子系统是主系统，非航空电子系统是从属于主系统的从系统。

在一些实施方案中，非航空电子系统和航空电子系统在权限方面是相等的(访问权利、读取和/或写入权利)。

在一些实施方案中，航空电子系统和非航空电子系统在权限方面是不具有相等的地位(访问权利、读取和/或写入权利)。例如，一个或另一个系统将具有更高的特权(例如，根据数据和/或随着时间)。一个或另一个系统可以具有优先权(一般或者特定的功能和/或数据)。例如，飞行管理系统可以被认为是“主系统”，而非航空电子系统可以承担“从系统”的角色。

描述了一种计算机程序产品，所述计算机程序包括代码指令，当所述程序在计算机上执行时，所述计算机程序配置为执行该方法的一个或更多个步骤。

本发明可以基于硬件和/或软件元素来实施。其可以用作计算机可读介质上的计算机程序产品。介质可以是电子的、磁性的、光学的或者电磁的。

在一个实施方案中，所述方法通过计算机实施。

在一个实施方案中，用于实施本发明的系统包括用计算机程序(也就是说多个可执行指令)编码的计算机可读存储介质(RAM、ROM、闪存或其他存储技术，例如磁盘介质或另一计算机可读非暂态存储介质)，当计算机程序在处理器或多个处理器上执行时，执行上述实施方案的功能。作为适合于实施本发明的硬件架构的示例，设备可以包括：通信总线，中央处理单元(CPU)或微处理器连接到该通信总线，该处理器可以是“多核”或“众核”；只读存储器(ROM)，其能够包含实施本发明所必需的程序；随机存取存储器(RAM)或高速缓冲存储器，其包括适用于记录在执行上述程序期间创建和修改的变量和参数的寄存器；以及I/O(“输入/输出”)接口或通信接口，其适用于发送和接收数据。

在将本发明植入可重编程计算机(例如，FPGA电路)中的情况下，相应的程序(也就是说，指令序列)可以被存储在可移除的存储介质中或存储介质上(例如，SD卡或诸如硬盘，例如SSD的大容量存储装置)，或者是不可移动的，是易失性或非易失性的存储介质中或存储介质上，该存储介质可部分或全部由计算机或处理器可读。计算机可读介质可以是便携的或可通信的或移动的或可传输的(即，经由2G、3G、4G、WiFi、BLE、光纤或其他网络)。

对计算机程序的参考不限制于在单个主机上执行的应用程序，所述计算机程序在执行时，执行之前所述的功能中的任意一个。相反地，这里使用通常的意义下的术语计算机程序和软件，来表示可以用于对一个或多个处理器进行编程，以实施这里所述技术的方面的任意类型的计算机代码(例如，应用软件、固件、微代码、或者任意其它形式的计算机指令，如Web服务或SOA或通过编程接口的API)。可以利用或使用对等和/或虚拟化技术，特别地分配(“云计算”)计算装置或资源。软件代码可以在任何合适的处理器(例如，微处理器)或处理器核心或处理器组上运行，无论这些处理器是在单个计算设备中设置的还是分布在多个计算设备之间(例如在设备的周围可访问的)。可以使用安全技术(密码处理器，可能是生物计量认证、加密、芯片卡等)。

在一些实施方案中，该方法的各个步骤可以全部或部分地在FMS上和/或在一个或多个EFB(电子飞行包)和/或平板电脑和/或航线或任务计算机上实施。

Claims (15)

1.一种用于管理飞行器的飞行数据的方法，该方法在包括航空电子系统和非航空电子系统的系统中实施，所述方法包括以下步骤：

-确定非航空电子系统中的飞行数据；

-将所述数据存储在存储空间中；

-确定航空电子系统中的对应飞行数据；

-根据预定义的时间模式，将航空电子系统确定的数据与非航空电子系统确定的数据进行比较。

2.根据权利要求1所述的用于管理飞行器的飞行数据的方法，航空电子存储空间在航空电子系统中实施。

3.根据权利要求1所述的用于管理飞行器的飞行数据的方法，航空电子存储空间是在可靠的非航空电子系统中实施的，非航空电子系统的物理故障率和逻辑验证水平分别低于和高于非航空电子系统的物理故障率和逻辑验证水平。

4.根据权利要求1所述的用于管理飞行器的飞行数据的方法，进一步包括以下步骤：

-检测由航空电子系统和非航空电子系统确定的数据中的预定义的关键数据的存在；

-比较这些关键数据；

-通过人机接口来显示不同的关键数据。

5.根据权利要求1所述的用于管理飞行器的飞行数据的方法，进一步包括确定与所比较的数据之间的差异相关联的风险的步骤。

6.根据权利要求1所述的用于管理飞行器的飞行数据的方法，进一步包括通过人机接口显示所比较的数据之间的全部或部分差异和/或与所述差异相关联的风险的步骤。

7.根据前述权利要求中的任一项所述的用于管理飞行器的飞行数据的方法，进一步包括修改非航空电子系统中的全部或部分确定的数据的步骤。

8.根据前述权利要求中的任一项所述的用于管理飞行器的飞行数据的方法，所述预定义的时间模式包括预定义的时间区间，包括时刻和持续时间，以用于比较和/或修改数据。

9.根据前述权利要求中的任一项所述的用于管理飞行器的飞行数据的方法，进一步包括接收授权的步骤，以向航空电子系统/在航空电子系统中插入和/或激活由非航空电子系统确定的可能修改的数据。

10.根据前述权利要求中的任一项所述的用于管理飞行器的飞行数据的方法，通过从包括数据加密、检查数据完整性的机制中选择的一个或更多个机制，或认证机制来保护存储空间。

11.根据前述权利要求中的任一项所述的用于管理飞行器的飞行数据的方法，一个或更多个步骤根据飞行背景而触发。

12.一种计算机程序产品，所述计算机程序包括代码指令，当所述程序在计算机上执行时，所述计算机程序使得能够执行根据权利要求1至11中的任一项所述的方法的步骤。

13.一种系统，其包括实施根据权利要求1至11中任一项所述的方法的步骤的装置。

14.根据权利要求13所述的系统，航空电子系统包括飞行管理系统FMS，非航空电子系统包括电子飞行包EFB或非航空电子人机接口。

15.根据权利要求13或14中的任一项所述的系统，航空电子系统是主系统，非航空电子系统是从属于主系统的从系统。