CN109240073B - 具有使用状态比较的冗余处理器的旋转飞行器 - Google Patents

Abstract

本公开涉及具有使用状态比较的冗余处理器的旋转飞行器。公开了一种用于提供用来例如控制旋翼飞行器的冗余处理器的状态比较的系统和方法。初级微处理器被配置成从位置传感器和飞行状况传感器接收输入数据，并且从中确定第一期望控制律状态，以及次级微处理器被配置成从位置传感器和飞行状况传感器接收输入数据，并且从中确定第二期望控制律状态。比较来自初级微处理器的第一期望控制律状态和来自第二微处理器的第二期望控制律状态，并且(a)当第一期望控制律状态和第二期望控制律状态匹配时进入第一期望控制律状态时，以及(b)当第一期望控制律状态和第二期望控制律状态不匹配时保持最后已知的控制律状态。

Description

具有使用状态比较的冗余处理器的旋转飞行器

技术领域

本发明一般地涉及用于旋翼飞行器的自动飞行控制的系统和方法，并且更具体地涉及具有冗余控制处理器的旋翼飞行器，所述冗余控制处理器采用用于按键控制操作的处理器之间的状态比较。

背景技术

旋翼飞行器可以包括一个或更多个旋翼系统，所述旋翼系统包括一个或更多个主旋翼系统。主旋翼系统生成空气动力升力以支撑旋翼飞行器在飞行中的重量，并且生成推力以使旋翼飞行器向前飞行移动。旋翼飞行器旋翼系统的另一示例是尾旋翼系统。尾旋翼系统可以生成与主旋翼系统的旋转相同方向的推力，以抵抗由主旋翼系统产生的扭矩效应。为了旋翼飞行器平稳且高效地飞行，飞行员使发动机功率、主旋翼总距推力、主旋翼周期距推力和尾旋翼推力平衡，并且控制系统可以帮助飞行员稳定旋翼飞行器并减少飞行员的工作量。现代控制系统包括一个或更多个飞行控制计算机，其可以密切关注关键任务的飞行控制和稳定性功能。因此，高度的可靠性是飞行控制计算机的基本参数。

发明内容

本文公开的实施方式可以提供包括旋翼、飞行员输入装置、耦接至飞行员输入装置的位置传感器、飞行状况传感器和飞行控制计算机(FCC)的旋翼飞行器。FCC可以包括：初级微处理器，其被配置成从位置传感器和飞行状况传感器接收输入数据，并且从中确定第一期望控制律状态；以及次级微处理器，其被配置成从位置传感器和飞行状况传感器接收输入数据，并且从中确定第二期望控制律状态。FCC可以被配置成：比较来自初级微处理器的第一期望控制律状态和来自次级微处理器的第二期望控制律状态，并且(a)当第一期望控制律状态和第二期望控制律状态匹配时进入第一期望控制律状态，以及(b)当第一期望控制律状态和第二期望控制律状态不匹配时保持最后已知的控制律状态。

在一些实施方式中，旋翼飞行器可以通过感测飞行员输入状况、感测旋翼飞行器的飞行状况以及将飞行员输入状况和飞行状况输入至第一硬件/软件组合并将飞行员输入状况和飞行状况输入至第二硬件/软件组合来驾驶。该方法还可以包括：基于飞行员输入状况和飞行状况使用第一硬件/软件组合来确定第一控制律状态，以及使用第二硬件/软件组合来确定第二控制律状态。该方法还可以包括：比较第一控制律状态和第二控制律状态；并且响应于确定第一控制律状态和第二控制律状态匹配来采用第一控制律状态，当第一控制律状态与紧接先前采用的控制律状态相同时响应于确定第一控制律状态和第二控制律状态匹配来保持第一控制律状态，响应于确定第一控制律状态和第二控制律状态不匹配来保持先前的控制律状态并保持当前的飞行配平状况。

在另一方面，本文公开的实施方式可以提供用于控制系统的计算机体系结构，该计算机体系结构包括第一处理通道，该第一处理通道包括第一微处理器和第二微处理器。第一微处理器和第二微处理器具有至少一个实质差异，在没有错误的情况下，该至少一个实质差异可能在第二微处理器和第一微处理器接收相同的输入数据并在相同的输入数据上运行相同的程序步骤时导致来自第二微处理器的相对于来自第一微处理器的输出不同的输出。计算机体系结构还可以包括：输入端口，其被配置成接收指示系统的状况的输入数据；以及第二处理通道，该第二处理通道包括第三微处理器和第四微处理器，其中，第三微处理器和第四微处理器在所有实质方面类似，使得在没有错误的情况下，第四微处理器和第三微处理器将在第四微处理器和第三微处理器接收相同的输入数据并在相同的数据上运行相同的程序步骤时输出相同的结果。计算机体系结构还可以包括：比较器，其被配置成比较来自第一微处理器和第二微处理器的输出；以及状态选择器，其被配置成当来自第一微处理器和第二微处理器的输出匹配时选择或保持由来自第一微处理器的输出表示的状态，以及当来自第一微处理器和第二微处理器的输出不匹配时保持当前状态。

附图说明

为了更完整地理解本发明及其优点，现在参考以下结合附图进行的描述，在附图中：

图1示出了旋翼飞行器；

图2示出了用于旋翼飞行器的电传飞行飞行控制系统；

图3示意性地示出了飞行控制系统可以将电传飞行功能实现为运行控制律的一系列相互关联的反馈环路的方式，其中，μP表示微处理器，AUG表示增大；

图4示出了说明性的飞行控制系统，其中，ADIO表示模拟数字输入/输出，SERVO表示伺服马达，CHAN表示通道，MRL表示左主旋翼，MRR表示右主旋翼，MRR表示主旋翼以及TRA表示尾旋翼；

图5示出了说明性的说明性飞行控制计算机的某些方面，其中，ADIO表示模拟数字输入/输出以及SERVO表示伺服马达；以及

图6示出了用于检测和处理具有冗余处理通道的示例性飞行控制计算机中的处理失配的说明性方法。

具体实施方式

下面描述本公开内容的系统和方法的说明性实施方式。为清楚起见，实际实现方式的所有特征可能未必全部在本说明书中描述。当然，将要理解，在任何这样的实际实施方式的开发中，可以做出许多特定于实现方式的决策以实现开发者的特定目标，例如符合系统相关和商业相关的约束，这将随实现方式的不同而不同。此外，应当理解，这样的开发努力可能是复杂且耗时的，但是对于受益于本公开内容的本领域普通技术人员而言仍然是日常任务。

在本文中，在描绘附图中的装置时，可以参考各个部件之间的空间关系以及部件的各个方面的空间取向。然而，如本领域技术人员在完整阅读本公开内容之后将会认识到的，本文所描述的装置、构件、设备等可以以任何期望的取向来定位。因此，由于本文中描述的装置可以以任何期望的方向定向，因此使用例如“在…上方”、“在…下方”、“上”、“下”的术语或其他类似术语来描述各个部件之间的空间关系或描述这些部件的各方面的空间取向应当分别被理解成描述这些部件之间的相对关系或这些部件的各方面的空间取向。

越来越多地使用旋翼飞行器，特别是用于商业应用和工业应用，导致了更大更复杂的旋翼飞行器的发展。然而，随着旋翼飞行器变得越来越大越来越复杂，飞行旋翼飞行器与固定翼飞行器之间的差异也越来越明显。由于旋翼飞行器使用一个或更多个主旋翼来同时提供升力、控制姿态、控制高度并且提供横向或位置移动，因此不同的飞行参数和控制装置彼此紧密地耦合，这是因为主旋翼的空气动力特性影响每个控制装置和运动轴。例如，旋翼飞行器在巡航速度或高速下的飞行特性可能与在悬停时或相对较低速度下的飞行特性显著不同。另外，对于主旋翼上的不同轴的不同飞行控制输入，例如周期距输入(cyclicinput)或总距输入(collective input)，影响旋翼飞行器的其他飞行控制装置或飞行特性。例如，使旋翼飞行器的机头向前俯仰来增加前进速度将通常导致旋翼飞行器高度降低。在这种情况下，可以增加总距(collective)来保持水平飞行，但是总距的增加需要主旋翼的功率增加，这又需要来自尾旋翼的额外的反扭矩力。这与固定翼系统形成对比，在固定翼系统中，控制输入较少彼此密切关联并且不同速度机制下的飞行特性彼此比较密切相关。

近来，在旋翼飞行器中引入了电传飞行(fly-by-wire，FBW)系统，以辅助飞行员稳定地驾驶旋翼飞行器并且减轻飞行员的工作负担。FBW系统在不同飞行机制下可以针对周期距控制输入、踏板控制输入或总距控制输入提供不同的控制特性或响应，并且可以通过将物理飞行特性解耦来提供稳定性辅助或增强，使得飞行员免于需要补偿发给旋翼飞行器的一些飞行命令。FBW系统可以在布置在飞行员控制装置与飞行控制系统之间的一个或更多个飞行控制计算机(flight control computer，FCC)中实现，从而向飞行控制提供校正，这帮助更有效地操作旋翼飞行器或使旋翼飞行器进入稳定飞行模式同时仍允许飞行员改写FBW控制输入。例如，旋翼飞行器中的FBW系统可以自动地调节由发动机输出的功率以匹配总距控制输入、在周期距控制输入期间应用周期距或功率校正、提供一个或更多个飞行控制程序的自动化、提供默认或建议的控制定位等。

图1示出了根据一些实施方式的旋翼飞行器101。旋翼飞行器101具有主旋翼系统103，该主旋翼系统103包括多个主旋翼桨叶105。每个主旋翼桨叶105的桨距(pitch)可以由斜盘107控制，以选择性地控制旋翼飞行器101的姿态、高度和移动。可以使用斜盘107来集体地和/或循环地改变主旋翼桨叶105的桨距。旋翼飞行器101还具有反扭矩系统，该反扭矩系统可以包括尾旋翼109、无尾旋翼(NOTAR)或双主旋翼系统。在具有尾旋翼109的旋翼飞行器中，每个尾旋翼桨叶111的桨距被集体地改变，以改变反扭矩系统的推力，从而提供对旋翼飞行器101的方向控制。尾旋翼桨叶111的桨距由一个或更多个尾旋翼致动器改变。在一些实施方式中，FBW系统向尾旋翼致动器或主旋翼致动器发送电信号以控制旋翼飞行器的飞行。

由发动机115向主旋翼系统103和反扭矩系统提供动力。可以存在一个或更多个发动机115，所述一个或更多个发动机115可以根据来自FBW系统的信号来控制。发动机115的输出被提供至驱动轴117，该驱动轴117分别通过主旋翼传动装置119和尾旋翼传动装置121机械地和可操作地耦接至旋翼系统103和反扭矩系统。

旋翼飞行器101还包括机身125和尾部123。尾部123可以具有用于控制和稳定旋翼飞行器101的飞行的其他飞行控制装置，例如水平或垂直稳定器、舵、升降舵或其他控制装置或稳定面。机身125包括驾驶舱127，驾驶舱127包括显示器、控制装置和仪器。应当理解，虽然旋翼飞行器101被描绘为具有某些示出的特征，但是旋翼飞行器101还可以具有各种特定于实现方式的配置。例如，在一些实施方式中，如所示出的，驾驶舱127被配置成容纳飞行员或者飞行员和副飞行员。然而，还设想，旋翼飞行器101可以被远程操作，在这种情况下，驾驶舱127可以被配置成全功能驾驶舱来容纳飞行员(并且可能还有副飞行员)以提供更大的使用灵活性，或者可以被配置成具有有限功能的驾驶舱(例如，仅容纳一个人的驾驶舱，这一个人将作为进行操作的飞行员，但也许还具有远程副飞行员，或者这一个人是副飞行员或后备飞行员，同时主驾驶功能由远程执行)。在其他设想的实施方式中，旋翼飞行器101可以被配置成无人交通工具，在这种情况下，可以完全取消驾驶舱127以节省空间和成本。

图2示出了根据一些实施方式的用于旋翼飞行器的电传飞行控制系统201。飞行员可以操纵一个或更多个飞行员飞行控制装置以控制旋翼飞行器的飞行。飞行员飞行控制装置可以包括人工控制装置，例如周期距控制组件217中的周期距杆231、总距控制组件219中的总距杆233以及踏板控制组件221中的踏板239。由飞行员向飞行员飞行控制装置提供的输入可以通过飞行控制系统201以机械方式和/或电子方式(例如，经由FBW飞行控制系统)发送至飞行控制装置。飞行控制装置可以表示能够进行操作以改变旋翼飞行器的飞行特性的装置。作为示例，旋翼飞行器上的飞行控制装置可以包括能够进行操作以改变主旋翼桨叶105和尾旋翼桨叶111的位置或迎角或者改变发动机115的功率输出的机械和/或电气系统。飞行控制装置包括例如斜盘107、尾旋翼致动器113的系统以及能够进行操作以控制发动机115的系统。飞行控制系统201可以独立于机组人员来调节飞行控制装置，以使旋翼飞行器稳定、减少机组人员的工作负担等。飞行控制系统201包括：集体地调节飞行控制装置的发动机控制计算机(engine control computer，ECCU)203、飞行控制计算机(FCC)205以及飞行器传感器207。

飞行控制系统201具有一个或更多个FCC 205。在一些实施方式中，提供多个FCC205以用于冗余。FCC 205内的一个或更多个模块可以部分地或全部地体现为用于执行本文描述的任何功能的软件和/或硬件。在飞行控制系统201是FBW飞行控制系统的实施方式中，FCC 205可以分析飞行员输入并且向ECCU 203、尾旋翼致动器113和/或用于斜盘107的致动器发送相应的命令。此外，FCC 205被配置并且通过与每个飞行员飞行控制装置相关联的传感器来接收来自飞行员控制装置的输入命令。通过测量飞行员控制装置的位置来接收输入命令。FCC 205还对飞行员控制装置的触觉提示命令进行控制，或者在例如仪表板241上的仪器中显示信息。

ECCU 203控制发动机115。例如，ECCU 203可以改变发动机115的输出功率以控制主旋翼桨叶或尾旋翼桨叶的旋转速度。ECCU 203可以根据来自FCC 205的命令来控制发动机115的输出功率，或者可以基于反馈例如主旋翼桨叶的测量RPM来控制发动机115的输出功率。

飞行器传感器207与FCC 205通信。飞行器传感器207可以包括用于测量各种旋翼飞行器系统、飞行参数、环境状况等的传感器。例如，飞行器传感器207可以包括：用于测量空速、高度、姿态、位置、取向、温度、空速、垂直速度等的传感器。其他传感器207可以包括依赖于源自旋翼飞行器外部的数据或信号的传感器，例如全球定位系统(globalpositioning system，GPS)传感器、VHF全向范围传感器、仪表着陆系统(ILS)等。

周期距控制组件217连接至周期距配平组件229，周期距配平组件229具有：一个或更多个周期距位置传感器211、一个或更多个周期距止动传感器235以及一个或更多个周期距致动器或周期距配平马达209。周期距位置传感器211测量周期距杆231的位置。在一些实施方式中，周期距杆231是沿两个轴移动并且允许飞行员控制俯仰和滚转的单个控制杆，俯仰是旋翼飞行器的机头的垂直角度(vertical angle)，滚转是旋翼飞行器的左右摆动(side-to-side)角度。在一些实施方式中，周期距控制组件217具有分开测量滚转和俯仰的单独的周期距位置传感器211。用于检测滚转和俯仰的周期距位置传感器211分别生成滚转信号和俯仰信号(有时分别被称为周期距经度信号和周期距纬度信号)，滚转信号和俯仰信号被发送至FCC 205，FCC 205控制斜盘107、发动机115、尾旋翼109或相关的飞行控制装置。

周期距配平马达209连接至FCC 205，并且从FCC 205接收信号以使周期距杆231移动。在一些实施方式中，FCC 205根据总距杆位置、踏板位置、旋翼飞行器的速度、高度和姿态、发动机RPM、发动机温度、主旋翼RPM、发动机扭矩、或者其他旋翼飞行器系统状况或飞行状况中的一个或更多个或者根据由飞行员选择的预定功能，确定对周期距杆231的建议周期距杆位置。建议周期距杆位置是由FCC 205确定以产生期望的周期距动作的位置。在一些实施方式中，FCC 205向周期距配平马达209发送指示建议周期距杆位置的建议周期距杆位置信号。虽然FCC 205可以命令周期距配平马达209将周期距杆231移动至特定位置(这又将相应地驱动与斜盘107相关联的致动器)，但是周期距位置传感器211检测由周期距配平马达209设置的或由飞行员输入的周期距杆231的实际位置，从而允许飞行员改写建议周期距杆位置。周期距配平马达209连接至周期距杆231，使得在配平马达正在驱动周期距杆231的同时飞行员可以移动周期距杆231，以改写建议周期距杆位置。因此，在一些实施方式中，FCC 205从周期距位置传感器211接收指示实际周期距杆位置的信号，并且不依赖于建议周期距杆位置来命令斜盘107。

类似于周期距控制组件217，总距控制组件219连接至总距配平组件225，总距配平组件225具有：一个或更多个总距位置传感器215、一个或更多个总距止动传感器237以及一个或更多个总距致动器或总距配平马达213。总距位置传感器215测量总距控制组件219中的总距杆233的位置。在一些实施方式中，总距杆233是沿着单个轴移动或者具有杠杆式动作的单个控制杆。总距位置传感器215检测总距杆233的位置，并且将总距位置信号发送至FCC 205，FCC 205根据总距位置信号来控制发动机115、斜盘致动器或相关的飞行控制装置，以控制旋翼飞行器的垂直运动。在一些实施方式中，FCC 205可以向ECCU 203发送功率命令信号并且向主旋翼致动器或斜盘致动器发送总距命令信号，使得主桨叶的迎角集体升高或降低，并且发动机功率被设置为提供所需的功率以保持主旋翼RPM大致恒定。

总距配平马达213连接至FCC 205，并且从FCC 205接收信号以使总距杆233移动。类似于对建议周期距杆位置的确定，在一些实施方式中，FCC 205根据周期距杆位置、踏板位置、旋翼飞行器的速度、高度和姿态、发动机RPM、发动机温度、主旋翼RPM、发动机扭矩或者其他旋翼飞行器系统状况或飞行状况中的一个或更多个或者根据由飞行员选择的预定功能来确定对总距杆233的建议总距杆位置。FCC 205生成建议总距杆位置，并且将相应的建议总距杆信号发送至总距配平马达213，以将总距杆233移动至特定位置。总距位置传感器215检测由总距配平马达213设置的或由飞行员输入的总距杆233的实际位置，从而允许飞行员改写建议总距杆位置。

踏板控制组件221具有测量踏板控制组件221中的踏板或其他输入元件的位置的一个或更多个踏板传感器227。在一些实施方式中，踏板控制组件221不含配平马达或致动器，并且可以具有在飞行员释放踏板时使踏板居中的机械返回元件。在其他实施方式中，踏板控制组件221具有根据来自FCC 205的信号将踏板驱动至建议踏板位置的一个或更多个配平马达。踏板传感器227检测踏板239的位置并将踏板位置信号发送至FCC 205，FCC 205控制尾旋翼109以使旋翼飞行器偏航或绕垂直轴旋转。

周期距配平马达209和总距配平马达213可以分别将周期距杆231和总距杆233驱动至建议位置。虽然周期距配平马达209和总距配平马达213可以分别将周期距杆231和总距杆233驱动至建议位置，但是该运动能力还可以用于向飞行员提供触觉提示。当飞行员正移动杆来指示特定状况时，配平马达209和213可以沿特定方向推动相应的杆。由于FBW系统将杆与一个或更多个飞行控制装置在机械上断开连接，因此飞行员可能不会感觉到与飞行控制组件机械地连接的杆中所固有的急停、振动或其他触觉提示。在一些实施方式中，FCC205可以使配平马达209和213抵抗飞行员命令而推动，使得飞行员感觉到阻力，或者可以命令一个或更多个摩擦装置提供当飞行员移动杆时感觉到的摩擦。因此，FCC 205通过在杆上提供压力和/或摩擦来控制对杆的感觉。

另外，周期距控制组件217、总距控制组件219和/或踏板控制组件221可以各自具有确定飞行员是否正在操纵特定控制装置的一个或更多个止动传感器。例如，周期距控制组件217可以具有确定飞行员正握持周期距杆231的周期距止动传感器235，而总距控制组件219具有确定飞行员是否正握持总距杆233的总距止动传感器237。这些止动传感器235、237检测由飞行员输入引起的相应控制杆的运动和/或位置，而不是由来自FCC 205的命令、旋翼飞行器振动等引起的运动和/或位置，并且向FCC 205提供指示这样的情况的反馈信号。当FCC 205检测到飞行员控制着或者正在操纵特定控制装置时，FCC 205可以确定该杆脱离止动(out-of-detent，OOD)。类似地，当来自止动传感器的信号向FCC 205指示飞行员释放了特定杆时，FCC可以确定杆处于止动(in-detent，ID)。FCC 205可以基于特定杆或飞行员控制装置的止动状态来向一个或更多个飞行系统提供不同的默认控制命令或自动化命令。

现在转到飞行控制系统201的操作方面，图3以高度示意性方式示出了飞行控制系统201可以将FBW功能实现为运行某些控制律的一系列相互关联的反馈环路的方式。图3代表性地示出了根据实施方式的三环飞行控制系统201。在一些实施方式中，三环飞行控制系统201的元件可以至少部分地由FCC 205来实现。然而，如图3所示，三环飞行控制系统201的部件(301、303、305、307)中的所有部件、一些部件或无部件可以位于旋翼飞行器100外部或远程处，并且通过网络连接309与机载装置通信。

图3的三环飞行控制系统201具有：飞行员输入311、外环路313、速率(中)环路315、内环路317、解耦器319以及飞行器装置321(例如，对应于例如斜盘107、尾旋翼传动装置121等的飞行控制装置、驱动飞行控制装置的致动器(未示出)、例如飞行器传感器207、位置传感器211、215、止动传感器235、237等的传感器等)。

在图3的示例中，三环设计将内稳定化环路和速率反馈环路与外引导和跟踪环路分开。控制律结构主要将整体稳定化任务和减少飞行员工作负担的相关任务分配给内环路317。接下来，中环路315提供速率增强。外环路313集中于引导和跟踪任务。由于内环路317和速率环路315提供了大部分的稳定性，因此在外环路层面上需要较少的控制努力。如在图3中代表性地示出的，由于对于飞行稳定化来说外环路313的任务不是必需的，因此可以提供开关322以接通和断开外环路飞行增强。

在一些实施方式中，内环路317和速率环路315包括应用于滚转/俯仰/偏航3轴速率陀螺仪和加速度反馈传感器的一组增益和滤波器。内环路和速率环路二者都可以独立于各种外环路保持模式而保持激活。外环路313可以包括级联的环路层，所述环路层包括姿态(ATT)环路、速度(SPD)环路、位置(POS)环路、垂直速度环路、高度环路以及航向环路。根据一些实施方式，在所示的环路中运行的控制律使得能够解耦以其他方式耦合的飞行特性，这又可以提供更稳定的飞行特性和减少的飞行员工作负担。此外，外环路313可以允许某些高级别任务或飞行模式的自动化或半自动化操作，从而进一步减轻飞行员工作负担并且允许飞行员集中于其他事项，所述其他事项包括观察周围地形。

图4示出了处于不同抽象水平的飞行控制系统201。在最简单的情况下，飞行控制系统201可以被认为包括馈送至FCC 205的一系列输入装置402，其在一些实施方式中可以被认为是运行控制飞行操作的控制律的一系列状态机，并且其又驱动致动器404来控制气垫飞行器101的各种飞行控制装置。传感器402可以包括各种不同的传感器。用于感测飞行员命令的传感器可以包括(参照图2)周期距位置传感器211、总距位置传感器215、踏板传感器227以及用于检测如下其他飞行员输入的传感器：包括哔声开关的激活、其他开关的激活、在触敏接触表面上的触摸、对用户界面上的命令菜单项的选择等。传感器402还可以包括上面讨论的传感器207。尽管图4示意性地示出了从传感器402直接馈送到FCC 205的输出，但是本领域技术人员将认识到，在一些实施方式中，信号处理或逻辑电路系统可以是例如将传感器402的输出从模拟格式转换成数字格式或者以其他方式将由传感器402输出的数据的格式转换成由FCC 205预期的数据格式的中间传感器402和FCC 205。

致动器404可以是液压致动器、气动致动器、包括由步进马达等驱动的驱动轴等的机械致动器。在当前设想的实施方式中，致动器404包括反馈元件，例如位置传感器、硬停止位置指示器等(由于这些元件对于理解所示实施方式不是必须的而未示出)，这又是另一类别的传感器402。飞行控制装置406可以包括用于调节主旋翼桨叶105的桨距的旋转斜盘107、用于调节尾旋翼桨叶111的桨距的齿轮箱、舵等。

因为飞行控制系统201负责许多“关键任务”功能以保持对气垫飞行器101的安全和预期的控制，所以飞行控制系统201具有高度的可靠性是必要的。一些政府机构为关键任务类型功能和系统例如飞行控制系统201并且特别是FCC 205(基于其在本文描述的实施方式中实现飞行控制系统的关键部件)施加可靠性标准。例如，在美国联邦航空管理局(FAA)的指导下，旋翼飞行器的认证要求确定灾难性故障的可能性小于10^-9或以另一种方式规定小于一百亿分之一。为了确保如此高度的可靠性，多个级别的冗余和自检被内置在本文描述的说明性飞行控制系统201和FCC 205中。如图4所示，FCC 205可以被实现为几个冗余FCC205-1、205-2和205-3。在所示的实施方式中，冗余FCC中的每一个是其他冗余FCC的镜像拷贝，并且在任何时候都名义上完全运行。尽管图示了三个冗余FCC，但作为设计选择，可以使用两个或三个以上的冗余FCC。另外，虽然示出了冗余FCC之间的100％冗余，但是在一些实施方式中，仅一部分或多部分的FCC被一个冗余部分或多个冗余部分复制。

操作任务可以以各种方式在冗余FCC中分配。例如，在一个实施方式中，FCC 205-1是主要的FCC并且负责所有的任务，而FCC 205-2和205-3仅仅是FCC 205-1故障或者以其他方式不能执行操作任务的情况下的备用系统。然而，在另一实施方式中，操作任务在冗余FCC 205-1、205-2和205-3中的每一个之间均等地共享。以这种方式，可以在多台计算机之间分配总体工作负荷，从而允许冗余计算机中的每一台更高效地运行，并且使得在需要过度任务或处理的情况下，很少或不更改过载的单个冗余FCC。

图4中示出了另一级别的冗余，其中，每个冗余FCC具有有时被称为初级(PRI)处理通道的第一处理通道408和有时被称为次级(SEC)处理通道的冗余处理通道410。在一些实施方式中，初级处理通道408和次级处理通道410是彼此的镜像图像。然而，在所示实施方式中，初级处理通道408和次级处理通道410不同，如下面将更详细讨论的。

初级处理通道408和次级处理通道410不相异的一种方式是每个处理通道包括又一级别的冗余。参照图5，其更详细地示出了FCC 205-1。以下讨论同样适用于FCC 205-2和FCC 205-3。如图5所示，每个处理通道408,410具有在通道中操作的两个分离的处理器。出于在下面的讨论中将是明显的原因，处理通道408包括有时被称为命令处理器的第一处理器412和有时被称为监视处理器的第二处理器414。类似地，处理通道410具有第一或命令处理器416以及第二或监视处理器418。

术语“处理器”在包括本公开内容的范围内的不同的上下文中可以具有不同的含义。在不限制术语“处理器”的一般性的情况下，在图5的阐述的特定上下文中，处理器是指微处理器单元(通常但非强制性地形成为单芯片或多芯片集成电路产品)，其连同相关联的支持逻辑电路、存储装置等运行预编程指令以执行FCC 205的期望操作。每个处理器412,414,416,418可以是通用微处理器或微控制器。在其他实施方式中，每个处理器412,414,416,418可以是专用处理器，例如数字信号处理器。

在当前设想的实施方式中，处理器412和处理器414以实质的方式不同。即使处理器412和处理器414是冗余处理器，它们也不是相同的处理器。为了增加FCC 205的可靠性，选择不同的处理器用于处理通道408。以这种方式，(无论设计、制造还是编程等的)不利地影响处理器412的可靠性和/或性能的错误极不可能也存在于不同的处理器414中。换句话说，如果处理器412和处理器414二者均是相同的产品型号，则处理器412中固有的(即使未被检测到的)设计或编程缺陷同样也将存在于处理器414中——这意味着如果一个处理器在一定状况集合下故障，则冗余处理器在这些状况下将同样失败，从而导致冗余无效。类似地，如果处理器412和414从同一来源获得，则一个处理器中的潜在制造缺陷可能存在于另一处理器中，再次导致冗余无效。为了使发生这样的情况的风险最小化，处理通道408被设计成具有与其第二冗余处理器在至少一个实质方面不同的第一处理器。例如，在一个示例中，命令处理器412是32位浮点数字信号处理器，例如可从得克萨斯州达拉斯市的德州仪器公司获得的TSM320系列DSP，并且监视处理器414是不同的32位浮点处理器，例如可从马萨诸塞州诺伍德市的美国模拟器件公司获得的Sharc DSP。在该实施方式中，处理器412和414足够相似以兼容，但是从不同的来源(制造商)获得，并且因此具有不同的设计和体系结构实现细节。在其他实施方式中，处理器可以无论是来自相同还是不同的来源而以如下其他实质方式不同：例如来自相同制造商的不同产品系列，或者具有不同但兼容的体系结构的处理器。在其他实施方式中，处理器可以具有类似的硬件部件，但是具有显著不同的软件部件，例如各个处理器通过其对指令解码的编译器。本领域技术人员将认识到冗余处理器可以不同而仍然兼容的其他方面，以避免固有缺陷例如设计、编程或制造缺陷的重复。

在一些实施方式中，冗余处理通道410还可以包括在实质方面不同的冗余处理器416,418。然而，在所示实施方式中，冗余处理通道410被设计成具有“相同”的两个处理器416,418，这意味着出于本讨论的目的，在没有错误或缺陷的情况下，当第一处理器和第二处理器接收相同的输入数据并在相同的输入数据上运行相同的程序步骤时，从第一处理器和第二微处理器总是输出相同的结果。尽管处理器416,418可能彼此相同，但是为了避免上面讨论的缺陷问题的重复，在优选实施方式中，处理器416和418与处理器412和414中的一者或两者在实质方面不同。例如，处理器416和418可以是从不同来源例如从伊利诺斯州绍姆堡市的摩托罗拉公司获得的32位浮点DSP。

本领域技术人员将认识到，通过实现冗余处理通道408和410来提供改善的系统可靠性，所述冗余处理通道408和410中的每一个分别包括冗余处理器412,414和416,418。例如，在一个设想的实施方式中，处理通道408被认为是初级处理通道并且处理FCC 205的计算功能。在处理通道408故障的情况下——这在假定处理通道408本身具有冗余的处理器时不太可能——计算功能可以被路由到次级处理通道410，而不会损失性能或功能。类似地，如果处理器412和414例如彼此相差超过特定阈值，则可以实现切换，如下面进一步讨论的。图4还示出了冗余总线和I/O(输入/输出)电路系统420，通过其可以将由处理通道生成的控制信号传送至例如致动器404。

现在将注意力转回处理通道408，即使处理器412被指定为初级处理器并且处理器414被指定为监视处理器，但在所示系统的设计中，处理器412和处理器414二者在任何时候都完全运行。换句话说，处理器412和处理器414在FCC 205内的数据和命令流中处于“并行路径”上。作为该配置的结果，已经识别出使用不同处理器412,414的令人惊讶和非预期的结果。如前所述，处理器412和处理器414二者均接收相同的输入数据(例如从传感器402)并运行相同的程序(例如，电传飞行控制信号通过其生成的控制律)。在这样的情况下，会期望从使用相同的输入数据运行相同程序的两个处理器输出相同的结果，并且在大多数情况下是这种情况。然而，由于处理器412和414在至少一个实质方面不同，因此存在如下情况(罕见但统计上显著)，在该情况下，即使在相同输入数据上运行相同的程序时，处理器也将输出不同结果。作为示例，必须以高准确度测量飞行员输入例如总距、周期距等的移动，以便确保电传飞行系统高度响应飞行员输入。类似地，还必须以高准确度测量飞行特性例如三个轴的姿态和姿态变化、各种致动器404的位置等。因此，来自传感器的输入数据(无论直接从传感器接收还是经由重新格式化或以其他方式修改传感器数据的插入逻辑电路接收)被输入至FCC 205，并因此以高准确度被输入至处理器412,414。处理器412,414对数据执行的所有或大部分计算同样以高准确度被执行，并且这些计算可以在许多不同的输入值上同时且实时地执行。虽然在总体水平(例如，最接近的整数或整数的十分之一)上会期望所有商业处理器当以FCC 205所要求的准确度水平在相同输入数据上操作时提供相同的结果，但是仍出现处理器412,414之间的差异可能导致第N准确度的计算结果的差异的情况。当这出现时，处理器412和414可能输出不同的结果，这在本文中有时被称为处理器失配。通常，处理器失配将被视为错误状况。

在先前设想的FCC 205的实施方式中，命令处理器412和监视处理器414的输出均被考虑，这意味着在例如前面段落中描述的那些情况的情况下，一个处理器可以指导采用一个动作，而另一处理器指导采用不同的行动。在这种情况下，FCC 205将宣布初级处理通道408不可靠并且将处理权限切换至次级处理通道410。虽然切换至冗余路径的这种能力是可靠性的基石，但是不必要地切换(即，在不能真正反映主路径中的错误的情况下)降低了系统的整体冗余能力。

本发明人已经认识到，处理器412与处理器414之间的(上述类型的)失配仅发生在这些处理器的期望计算窗口的“余量”处，并且此外这些“余量”状况可能相当短暂。换句话说，出现这些处理器失配是因为在处理输入值的第N个小数位处，处理器执行稍微不同。然而，注意，输入值代表现实世界状况，例如飞行员控制装置的位置、飞行器的桨距等，并且这些现实世界的输入状况在第N小数位的准确度处不会保持静态。因此，导致处理器失配的输入值可能是短暂的，并且如果允许处理器继续运行，则处理器失配可能在短期内自行解决。另一方面，如果任何处理器失配被认为是错误状况，并导致切换至冗余系统(处理通道)，则丢失了会解决瞬态状况被解决的机会。为了提高FCC 205的整体可靠性和性能，目前公开的实施方式被配置如下。冗余处理器对的第一处理器被认为是命令处理器，例如处理器412。冗余处理器对的第二处理器被认为是监视处理器，例如处理器414。命令处理器412和次级处理器414二者均接收(相同的)输入值并在其上执行(相同的)计算以生成期望的输出值或命令。假设典型的状况，命令处理器412和监视处理器414二者均将生成相同的输出命令。将由FCC 205例如通过生成适当的控制信号来激活致动器404来控制飞行控制装置406按照该输出命令起作用。这些输出命令在FCC 205的每个时间帧内生成。在非限制性示例中，帧速率可能是每秒很多帧或数百帧。在下一个时间帧处，命令处理器412可以输出与在先前帧中生成的命令值相同的命令值。如果监视处理器414同样输出与命令处理器相同的值，则将继续按照该命令起作用。另一方面，如果监视处理器414输出与命令处理器不同的值，则出现处理器失配状况。在处理器失配状况下，FCC 205将继续按照先前的输出命令起作用，该先前输出命令是命令处理器412和监视处理器414二者均同意的最近的输出命令。FCC 205将继续按照先前的输出命令起作用，直到处理器失配状况解决，例如，命令处理器和监视处理器另外输出相同的命令值(在这种情况下，将按照相同的命令值起作用)。

类似地，考虑该事件，其中，在稳定状态之后，命令处理器412输出与先前生成的命令值不同的新命令值(即，由于飞行员输入、飞行状况等的改变)。如果监视处理器414也输出新命令值，则将由FCC 205按照新命令值起作用。另一方面，如果监视处理器414继续输出先前的命令值(或输出与由处理器412输出的新命令值不匹配的某个其他命令值)，则出现处理器失配状况。在这种情况下，FCC 205将继续按照先前的输出命令起作用，该先前输出命令是命令处理器412和监视处理器414二者均同意的最新输出命令。失配状况将继续，直到处理器再次输出相同的命令值，在这种情况下，将按照相同的命令值起作用。

总之，可以设想，命令处理器412和监视处理器414将在大多数情况下输出相同的命令值，并且FCC 205将实现该命令。在失配状况下，FCC 205将不改变状态，但将保持命令处理器412和监视处理器414二者一致的最后状态。无论命令处理器412是否具有改变的输出值、监视处理器414具有改变的输出值、或两个处理器均具有改变的输出值，情况均是如此。

上面的讨论可以放在飞行控制系统201的上下文中。如上讨论的，飞行控制系统201操作为运行特定控制律的一系列相互关联的反馈环路来实现各种功能。控制律可以实现为状态机，其中，可以为各种飞行参数定义状态，并且该状态可以根据来自传感器402等的输入值而改变。在实施方式中，命令处理器412用作这样的状态机，接收来自传感器402等的各种输入值，并且响应于此输出状态值。类似地，监视处理器414也接收输入值并且还输出与其对应的状态值。所计算的状态值控制如下方式：FCC 205控制飞行控制装置406，响应飞行员输入命令等。作为示例，如果来自各种传感器的输入指示气垫飞行器101在地面上(例如，起落架上的传感器指示所有轮子上的重量)，则飞行控制系统201将处于着陆状态。相反地，如果来自传感器的输入指示气垫飞行器101处于飞行中(例如，起落架上的传感器指示在空中等)，则飞行控制系统将处于不同的状态，例如可能是速率状态、航向状态、或与飞行状况对应的某个其他状态。与处于在指示实际飞行的状态例如速率或航向相比，在着陆状态下，气垫飞行器不同地响应传感器反馈。

图6示出了在实施方式FCC 205-1中用于检测和处理处理器失配的方法的示例。在该实施方式中，确定飞行员输入命令的四个轴中的每一个的状态并且该状态控制每个轴如何响应于传感器反馈和飞行员输入。这四个轴是：COL，其是基于来自总距组件219的飞行状况和输入的状态；LAT，其是基于来自周期距控制组件217的飞行状况和横向输入(滚转)的状态；LON，其是基于来自周期距控制组件217的飞行状况和纵向输入(俯仰)的状态；以及PEDAL，其是基于来自踏板组件221的飞行状况和输入的状态。在第一步骤602中，来自传感器402和来自总距组件219的各种输入在命令处理器412处被接收，命令处理器412从中确定COL输入轴的适当状态状况。该相同输入信息也在监视处理器414处被接收，并且监视处理器414同样确定COL输入轴的适当状态状况，如606处所示。来自命令处理器412的输出命令被延迟一个帧，如604处所示。本领域技术人员将认识到，帧延迟可以使用硬件缓冲器等来实现，或者可以在使用存储器寻址的软件中实现。实现帧延迟604以同步来自命令处理器412和监视处理器414的输出用于框608处进行的比较。换句话说，监视处理器计算一帧中的状态，该计算结果然后在下一帧中被发送至命令处理器；命令处理器必须回顾其前一帧，以便比较其来自与从监视处理器接收到的帧相同的帧的计算结果。作为示例，每个处理器可以基于当前的飞行状况和飞行员输入命令以及可能的其他输入例如来自另一控制律环路(例如，更高级的环路例如飞行指引仪环路、自动飞行环路等)的命令来确定COL轴的适当状态。所确定的状态可以以各种方式例如与状态对应的整数值、真/假值、布尔值、字母数字串等来表示。在当前设想的实施方式中，每个相关状态具有与其相关联的整数值，并且因此，处理器412和处理器414各自输出与如下状态对应的整数值：处理器已经确定为相关轴和控制律环路的适当状态。

如上所述，从命令处理器412输出的状态值(在这种情况下是整数值)与从监视处理器414输出的状态值进行比较。在所示实施方式中，该比较功能由命令处理器412执行。这是延迟框604确保比较是针对每个处理器的相同帧的原因。换句话说，对于监视处理器414存在一个帧延迟以确定适当的状态值并且将其输出至命令处理器412。因此，在帧N中，命令处理器412在帧N-1内从监视处理器414接收状态值。延迟框604确保将由命令处理器412在时间帧N-1输出的状态值与由监视处理器414在同一时间帧(在这种情况下为帧N-1)内输出的状态值进行比较。在其他实施方式中，可以以包括使用专用逻辑硬件或通过FCC 205的某个其他处理器的某种其他方式执行由框608表示的比较功能。

评估比较步骤608的结果，如判定框610所表示地。例如，如果确定两个处理器正在输出相同的状态值，则来自命令处理器412的COL状态被认为是有效的并且被执行，如线612所示，并且COL轴的状态被更新，如框614所示。注意，更新的并不一定意味着状态的改变。例如，如果命令处理器412和监视处理器414二者在先前帧中均同意COL状态应当是着陆并且还在当前帧中均同意COL状态应当是着陆，则COL的“更新”状态保持不变。另一方面，如果两个处理器在前一帧中同意COL状态应当是着陆，但二者现在均同意COL状态应当是举起(HEAVE)状态，则更新的COL状态614将是举起。如果比较步骤608导致处理器失配状况，则如判定框610的否分支616所示，COL状态614未被更新，并且系统环路循环以重新评估处理器失配状况是否在下一帧中解决。继续上面的示例，如果命令处理器412和监视处理器414在先前帧中同意COL状态应当是着陆，并且在当前帧中，处理器之一(但不是二者)现在确定COL状态应当是不同状态，则COL状态不会被更新。无论是初级处理器412还是监视处理器414输出新状态值，均是如此。处理通道408将保持COL状态的当前值，直到通过回落到同步中的处理器解决处理器失配，或者外部处理分支(硬件或软件)确定处理器失配已经持续了不可接受的时间段。

例如，在一些实施方式中，框610中的否判定(指示处理器失配)可以设置标志或错误状况警告，并且还触发定时器启动。如果处理器失配状况在某个可接受的时间段内还没有被解决，则可以在处理通道408的外部做出如下决定：处理器失配状况不仅仅是由于处理器412与414之间的差异引起的暂态事件，而是需要注意或补救的合理错误情况。除其他之外，这样的补救还可以包括将功能操作切换至次级处理通道410。在一些情况下，与瞬态状况相对地，两个处理器之间的结果差异的阈值可以是合理错误状况的决定因素。在其他情况下，可以使用持续时间和差异阈值二者的组合。

在另一实施方式中，进入路径616(指示框610中的“否”判定)可以使计数器递增(或递减)，并且每当处理通过路径616循环返回时继续递增(或递减)。一旦计数器已递增(或递减)为定义的值(或零)，这将表示处理器失配是需要注意或修复的合理错误状况。本领域技术人员将认识到可以监视处理器失配状况期间的处理的其他方式。

在一些实施方式中，可以响应于在框610处检测到的处理器失配状况而采取其他动作。例如，当检测到处理器失配时，一些飞行控制系统可能具有至少暂时进入的默认状态。例如，每个输入轴均具有AUG(增大)关断状态，其中，大多高电平(例如外环路)控制律功能被暂停。在一些实施方式中，飞行控制系统201可以在检测到处理器失配时将适当的轴设置为AUG关断状态(或某个其他状态)，尽管应当注意确保这样的方法不增加飞行员工作量负荷或者意外进入AUG关断或其他状态导致的系统性能的负面影响的可能性。在其他实施方式中，检测到处理器失配可能导致信号被发送至例如飞行员，或者发送至某个监视处理，其跟踪统计信息，例如处理器失配的频率、这样的处理器失配的持续时间、更可能导致失配的状态转换趋势等。监视过程的结果可以用于更有效地评估和响应未来的处理器失配状况，或者更快地区分暂时(无问题)的处理器失配和真正的错误状况。

图6还示出了当确定其他输入轴的每一个的状态时采用类似的方法。作为示例，FCC 205接收与飞行状况有关的各种输入以及来自周期距控制组件217的周期距杆231的纵向位置，以便确定LON输入轴的适当状态状况。如618处所示，命令处理器412接收各种输入信息，并且从中计算适当的状态状况值。相同的信息同样由监视处理器414接收，并且如620所示，监视处理器414也计算LON轴的适当状态。命令处理器412和监视处理器414输出的状态值在框622处使用帧延迟624进行比较，以同步来自两个处理器的输出。与COL状态分析类似，判定框626针对LON状态确定是否在两个处理器同意的情况下更新LON状态628，或者在两个处理器不同意的情况下确定是否保持当前的LON状态。同样，对于LAT状态和PED状态采用类似的方法，也如图6所示。

虽然所示实施方式示出了用于确定与飞行员输入命令的四个轴相关的状态状况的两个处理器的微处理器失配方法，但是本领域技术人员将认识到，每当以如下方式采用冗余处理器时可以在许多其他情况下采用相同的方法：其各自的输出可以因与处理中的实际错误无关的原因而不同——例如当处理器的输出以由快速解决的舍入错误等引起的暂态方式而不同时。一个示例是基于应用于杆传感器数据的计算的杆制动器的计算(即，飞行员是否通过例如周期距和/或总距对飞行器施加控制)。然而，上述处理不限于这些示例。

在图6中将四个输入轴的处理示出为分离的“路径”。这仅仅是为了简化说明。在实际的实现中，这些不同的处理将或多或少同时进行，其中，在每个帧中为四个输入轴中的每一个计算更新的状态值。

本文描述的方法的有利特征在于，仅在计算余量处发生并且不指示真实错误状况的暂时处理器失配才能被接受，而不会影响系统性能或可靠性并且不会导致到冗余处理通道的不必要的转换。结果是提高了系统的可靠性和稳健性。

尽管已经参考说明性实施方式描述了本发明，但是这些描述并不意在以限制性含义进行解释。在参考了本说明书之后，对本领域技术人员而言，说明性实施方式的各种修改和组合以及本发明的其他实施方式将是明显的。因此，所附权利要求书意在涵盖任何这样的修改或实施方式。

Claims (24)

1.一种旋翼飞行器，包括：

旋翼；

飞行员输入装置；

耦接至所述飞行员输入装置的位置传感器；

飞行状况传感器；以及

飞行控制计算机FCC，包括：

初级微处理器，被配置成从所述位置传感器和所述飞行状况传感器接收输入数据，并且从中确定第一期望控制律状态；以及

次级微处理器，被配置成从所述位置传感器和所述飞行状况传感器接收输入数据，并且从中确定第二期望控制律状态；

其中，所述FCC被配置成：比较来自所述初级微处理器的所述第一期望控制律状态和来自所述次级微处理器的所述第二期望控制律状态，并且(a)当所述第一期望控制律状态和所述第二期望控制律状态匹配时进入所述第一期望控制律状态，以及(b)当所述第一期望控制律状态和所述第二期望控制律状态不匹配时保持最后已知的控制律状态。

2.根据权利要求1所述的旋翼飞行器，其中，所述初级微处理器被配置成执行所述第一期望控制律与所述第二期望控制律的比较。

3.根据权利要求1所述的旋翼飞行器，其中，所述初级微处理器运行第一编译器以及所述次级微处理器运行与所述第一编译器不同的第二编译器。

4.根据权利要求1所述的旋翼飞行器，其中，所述位置传感器包括被配置成检测总距杆的位置的第一传感器、被配置成分别检测周期距杆的第一轴和第二轴上的位置的第二传感器和第三传感器、以及被配置成检测踏板的位置的第四传感器。

5.根据权利要求1所述的旋翼飞行器，其中，所述初级微处理器具有第一体系结构，以及所述次级微处理器具有与所述第一体系结构不同的第二体系结构。

6.根据权利要求1所述的旋翼飞行器，还包括配平致动器装置，并且其中，所述配平致动器装置被配置成响应于所述FCC进入所述第一期望控制律状态来调节所述旋翼飞行器的飞行配平特性。

7.根据权利要求1所述的旋翼飞行器，其中，所述旋翼飞行器具有四个飞行员输入轴，所述四个飞行员输入轴包括总距杆飞行员输入装置的状态、周期距杆飞行员输入装置在纵向方向上的状态、所述周期距杆飞行员输入装置在横向方向上的状态、以及踏板飞行员输入装置的状态，并且进一步地，其中：

所述初级微处理器被配置成：接收包括来自与所述四个飞行员输入轴分别对应的四个位置传感器和来自飞行状况传感器的数据的输入数据，并且从中针对所述四个飞行员输入轴中的每一个确定第一期望控制律状态；

所述次级微处理器被配置成：接收与所述初级微处理器接收的输入数据相同的输入数据，并且从中针对所述四个飞行员输入轴中的每一个确定第二期望控制律状态；以及

所述FCC被配置成比较每个相应的飞行员输入轴的所述第一期望控制律状态和所述第二期望控制律状态。

8.根据权利要求7所述的旋翼飞行器，其中，所述FCC被配置成：(a)当针对第一飞行员输入轴的所述第一期望控制律状态和所述第二期望控制律状态匹配时，进入针对所述第一飞行员输入轴的所述第一期望控制律状态，以及(b)当针对第二飞行员输入轴的所述第一期望控制律状态和所述第二期望控制律状态不匹配时，保持针对第二飞行员输入轴的最后已知的控制律状态。

9.一种驾驶旋翼飞行器的方法，所述方法包括：

感测飞行员输入状况；

感测所述旋翼飞行器的飞行状况；

将所述飞行员输入状况和所述飞行状况输入至第一硬件/软件组合；

基于所述飞行员输入状况和所述飞行状况、使用所述第一硬件/软件组合来确定第一控制律状态；

将所述飞行员输入状况和所述飞行状况输入至第二硬件/软件组合；

使用所述第二硬件/软件组合来确定第二控制律状态；

比较所述第一控制律状态和所述第二控制律状态；

响应于确定所述第一控制律状态和所述第二控制律状态匹配，采用所述第一控制律状态；

当所述第一控制律状态与紧挨先前采用的控制律状态相同时，响应于确定所述第一控制律状态和所述第二控制律状态匹配，保持所述第一控制律状态；以及

响应于确定所述第一控制律状态和所述第二控制律状态不匹配，保持先前的控制律状态并保持当前的飞行配平状况。

10.根据权利要求9所述的方法，其中，感测飞行员输入状况包括测量如下中的一个或更多个：总距杆的位置、周期距杆在第一方向上的位置、所述周期距杆在第二方向上的位置、以及踏板的位置。

11.根据权利要求10所述的方法，还包括使用所述第一硬件/软件组合来确定针对每个测量的飞行员输入状况的第一控制律状态。

12.根据权利要求11所述的方法，还包括响应于采用所述第一控制律状态来调节所述旋翼飞行器响应飞行员输入的方式。

13.根据权利要求9所述的方法，其中，感测所述旋翼飞行器的飞行状况包括测量如下中的一个或更多个：地面速度、空速、偏航姿态、俯仰姿态、滚转姿态、高度、风速、风向和当前配平状况。

14.根据权利要求9所述的方法，其中，所述第一硬件/软件组合包括运行第一编译器的第一微处理器，以及所述第二硬件/软件组合包括单独的微处理器。

15.根据权利要求9所述的方法，其中，所述第一硬件/软件组合包括运行第一编译器的第一微处理器，以及所述第二硬件/软件组合包括运行与所述第一编译器不同的第二编译器的单独的微处理器。

16.根据权利要求9所述的方法，其中，所述第一控制律状态和所述第二控制律状态由选自整数、真/假状态和布尔值的值表示。

17.根据权利要求9所述的方法，其中，采用所述第一控制律状态包括调节选自主旋翼速度、主旋翼取向、尾旋翼速度和尾旋翼取向的一个或更多个飞行配平状况。

18.一种旋翼飞行器，所述旋翼飞行器在其中具有用于控制所述旋翼飞行器的计算机体系结构，所述计算机体系结构包括：

第一处理通道，所述第一处理通道包括第一微处理器和第二微处理器，其中，所述第一微处理器和所述第二微处理器具有至少一个实质差异，在没有错误的情况下，所述至少一个实质差异会在所述第二微处理器和所述第一微处理器接收相同的输入数据并在所述相同的输入数据上运行相同的程序步骤时导致相对于来自所述第一微处理器的输出的、来自所述第二微处理器的不同的输出；

输入端口，被配置成接收指示所述旋翼飞行器的状况的输入数据；

第二处理通道，所述第二处理通道包括第三微处理器和第四微处理器，其中，所述第三微处理器和所述第四微处理器在所有实质方面类似，使得在没有错误的情况下，所述第四微处理器和所述第三微处理器将在所述第四微处理器和所述第三微处理器接收相同的输入数据并在所述相同的数据上运行相同的程序步骤时输出相同的结果；

比较器，被配置成比较来自所述第一微处理器和所述第二微处理器的输出；以及

状态选择器，被配置成：当来自所述第一微处理器和所述第二微处理器的输出匹配时选择或保持由来自所述第一微处理器的输出表示的状态，以及当来自所述第一微处理器和所述第二微处理器的输出不匹配时保持当前状态，

其中，所述输入端口将所接收的输入数据传送到所述第一处理通道和所述第二处理通道。

19.根据权利要求18所述的旋翼飞行器，还包括：

处理通道选择器，被配置成：识别何时出现预定错误状况，并且响应于此而禁止对所述第一处理通道的后续响应，以启动对所述第二处理通道的响应。

20.根据权利要求18所述的旋翼飞行器，其中，所述至少一个实质差异是选自如下的差异：所述第一微处理器运行与所述第二微处理器不同的编译器、所述第一微处理器具有与所述第二微处理器不同的微处理器体系结构、所述第一微处理器由与所述第二微处理器不同的制造商制造、及其组合。

21.根据权利要求18所述的旋翼飞行器，其中，指示所述旋翼飞行器的状况的所述输入数据包括选自如下的数据：总距杆的位置、周期距杆在第一方向上的位置、周期距杆在第二方向上的位置、踏板的位置、地面速度、空速、偏航姿态、俯仰姿态、滚转姿态、高度、风速、风向、当前配平状况、及其组合。

22.根据权利要求18所述的旋翼飞行器，其中，所述比较器包括在所述第一微处理器上运行的程序指令。

23.根据权利要求18所述的旋翼飞行器，其中，所述状态选择器被配置成选择控制律状态，由此所述旋翼飞行器的配平特性根据所选择的控制律状态被调节或保持。

24.根据权利要求18所述的旋翼飞行器，其中，所述状态选择器包括在所述第一微处理器上运行的程序指令。

Images