CN113014150B - 马达控制系统、操作马达控制系统的方法和飞行器 - Google Patents

Abstract

提出一种马达控制系统，优选地用于飞行器，最优选地用于载客和/或载重多旋翼飞行器，包括：多个马达，优选为电动马达，每个马达具有用于控制对应马达的马达控制单元，每个马达控制单元包括主马达控制器，被设计为向对应马达提供马达控制命令；马达控制系统还包括：与每个主马达控制器通信连接的系统控制单元，被设计为向主马达控制器提供马达控制命令；与系统控制单元连接的系统监视单元，用于监视系统控制单元的操作；至少一个传感器装置，用于确定至少一个马达的操作状态，该传感器装置与系统监视单元操作连接；系统监视单元被设计成基于该监视和/或该确定的结果，禁止系统控制单元与主马达控制器之间和/或主马达控制器与马达之间的通信。

Description

马达控制系统、操作马达控制系统的方法和飞行器

技术领域

本公开涉及马达控制系统，优选用于飞行器，最优选用于具有多个马达的载客和/或载重多旋翼飞行器。

另外，本公开涉及操作马达控制系统的方法、飞行器、马达控制系统的用途以及用于操作马达控制系统的方法的用途。

所述多个马达优选地被设计为电动马达，但是也可以是热机，例如内燃机、气动马达或技术人员已知的其他马达。

背景技术

通常而言，针对飞行操作和应用，飞行器的所谓适航性是至关重要的。适航性是衡量飞行器是否适合安全飞行的测量。适航性还包括飞行器、其马达、其马达控制系统、(多个)升力产生单元(如旋翼)或飞行器其他部件的整体状态，这取决于其结构、设计和安全操作的规定条件。

已知的适航飞行器，例如DE112015003310T5所描述的飞行器，例如采用多个马达。所述马达中的每一个具有用于控制对应马达的马达控制单元。所述马达控制单元被设计用于向对应马达提供马达控制命令，其中术语“提供马达控制命令”还包括处理和传送马达控制命令。所述马达控制命令例如是控制提供给马达的能量的量。所述马达用于驱动飞行器的旋翼。

然而，如果所述马达控制单元中的一个或多个马达控制单元出现故障甚至完全失效，则与所述故障的马达控制单元对应的马达无法被可靠地控制，在最坏的情况下可能导致飞行器坠毁。例如，如果向马达提供过多的能量，故障的马达控制单元可能导致马达过热，在最坏的情况下导致所述马达解体。此外，故障的马达控制单元可能会导致向马达供应的能量不稳定和/或不连续，可能导致旋翼驱动不稳定和/或不连续和/或损坏其他马达或结构部件。此外，如果向马达提供的能量太少，甚至没有能量供应，则故障的马达控制单元可能会导致马达失效。

术语“故障”描述的是一种操作状态，在这种状态下，元件、装置、单元或系统不能正确且正常地运行。术语“失效”描述的是一种不可能再操作的状态，因此“失效”和“完全失效”也包含在“故障”中。故障和失效可以影响硬件和/或软件。对马达控制单元和与所述马达控制单元对应的马达失去控制会对任何飞行器的适航性造成特别的风险。

发明内容

因此，本公开的目的是提供一种马达控制系统，该马达控制系统能够以更安全的方式控制对应的马达，并且优选地增强飞行器的操作飞行安全性和适航性。本公开的又一个目的是提供一种具有高操作飞行安全性的飞行器。

根据本公开，这些目的通过根据本公开实施方式的马达控制系统、根据本公开实施方式的用于操作马达控制系统的方法、根据本公开实施方式的飞行器、根据本公开实施方式的马达控制系统的用途以及根据本公开实施方式的操作马达控制系统的方法的用途来实现。优选的实施例在本公开其他实施方式中定义。

根据本公开，马达控制系统包括多个马达，优选为电动马达，该马达控制系统优选用于飞行器，最优选用于载客和/或载重多旋翼飞行器。所述马达中的每一个具有用于控制对应马达的马达控制单元。马达控制单元包括被设计用于向所述对应马达提供马达控制命令的主马达控制器。马达控制系统还包括与所述多个主马达控制器中的每一个通信连接的系统控制单元。该系统控制单元被设计用于向所述主马达控制器提供多个控制命令。另外，马达控制系统包括与所述系统控制单元连接的、用于监视其操作状态的系统监视单元，以及用于确定所述多个马达中的至少一个的操作状态的至少一个传感器装置。所述传感器装置与所述系统监视单元操作连接，并且优选地被设计为光学传感器、声学传感器、电容传感器、温度传感器、振动和/或转动传感器、扭矩传感器、加速度传感器、角速度传感器、磁力计、电流传感器、压力传感器或其组合。系统监视单元被设计成基于所述监视和/或所述确定的结果来禁止(disable)所述系统控制单元与所述主马达控制器之间和/或所述主马达控制器与所述马达之间的通信。

例如，系统监视单元通过所述监视来识别系统控制单元的故障或(完全)失效。在这种情况下，系统监视单元禁止所述通信。有利地，传感器装置确定所述多个马达中的至少一个马达的故障或(完全)失效，并且借助于故障信号将该故障发送给系统监视单元，该系统监视单元随后禁止所述通信。

通过这种方式可以增强安全性，因为在出现故障或(完全)失效的情况下，对应的马达可以被安全地停机或断开，并且因此不会对其他正常运行的马达造成混乱或干扰。如果连续向已经故障的马达提供马达控制命令，可能会引起混乱，从而可能导致所述马达的不稳定操作。通过这种方式，马达控制系统对随机失效和共模失效具有鲁棒性，因此很安全。共模失效是诸如错误的故障，它会影响许多原本被视为独立的元件。共模错误也可能导致多种其他故障，例如元件、装置或系统的失效。尤其是相同的系统容易受到共模的影响。

在第一实施方式中，所述马达控制单元中的每一个优选地包括主开关。该主开关可以被定位在所述主马达控制器与对应马达之间。

在另一实施方式中，系统监视单元可以与所述主开关中的每一个操作连接，以用于控制该主开关的开关状态，并且优选地，在检测到和/或监视到故障的情况下改变该主开关的开关状态。

通过改变主开关的开关状态，系统监视单元可以有利地在发生故障或失效的情况下，以简单的方式禁止主马达控制器与对应马达之间的通信，从而进一步增强马达控制系统的安全性。

在另一实施方式的过程中，一个马达控制单元的主马达控制器优选与另一马达控制单元的所述主开关连接，以用于控制其开关状态。

该实施方式是特别有利的，因为在发生故障或失效的情况下，一个单元的主马达控制器可以禁止另一马达控制单元的主马达控制器与对应于该另一马达控制单元的所述主马达控制器的马达的通信。与前述的经由系统监视单元进行的主开关的切换相比，通过改变主开关的开关状态来禁止通信的这种附加方式特别快速，从而进一步增强总体安全性。

例如，这样的故障或失效可能发生在所述一个马达控制单元的主马达控制器或所述另一马达控制单元的主马达控制器中。优选地，一个马达控制单元的主马达控制器和另一马达控制单元的主马达控制器通信连接，并且更优选地，被设计用于监视彼此的运行状态。这样，即使系统监视单元发生故障使得不再能够控制主开关的开关状态，主马达控制器也可以控制所述开关状态，从而确保安全操作。

在特别有利的实施方式的过程中，所述马达控制单元中的每一个包括辅助马达控制器，该辅助马达控制器可以被设计用于向对应马达提供马达控制命令。

此外并且因此，马达控制系统是单容错的，这意味着单一故障状况(其中一种防止故障的装置存在缺陷)不会导致整个马达控制系统的故障或失效，因为马达控制系统包括冗余，以确保在发生故障的情况下的可操作性。换句话说，在一个或多个主马达控制器发生故障的情况下，辅助马达控制器可以用作控制对应马达的备选方案(fallback position)。

在另一实施方式中，辅助开关有利地被定位在每个辅助马达控制器与对应马达之间。优选地，所述系统监视单元与辅助开关中的每一个连接以控制其开关状态。通过改变辅助开关的开关状态，系统监视单元可以有利地在发生故障或失效的情况下，以简单的方式实现辅助马达控制器与对应马达之间的通信，从而进一步增强马达控制系统的安全性。

有利地，在另一实施方式中，主开关最初处于闭合开关状态，而辅助开关最初处于断开开关状态。初始断开的开关状态不允许传送马达控制命令。然而，将初始断开的开关状态切换到闭合状态允许传送马达控制命令，例如通过使给定开关的触点闭合并允许电流流动和/或通过启用光数据传输。

在初始闭合的开关状态下，例如经由电流的流动来传送马达控制指令。切换所述初始闭合状态(至断开状态)将禁止所述马达控制命令的传送，例如通过断开电触点，这将不允许任何电流流动。

根据到所述开关的对应的信号输入，例如借助于所述故障信号，可以将初始断开或闭合的开关状态分别切换到闭合或断开状态。如果系统监视单元监视到故障，则可能是这种情况。为了实现更高的安全性，这些开关可以同时接收两个信号，例如由系统监视单元生成的信号和由主马达控制器生成的信号。有利地，即使两个信号之一提供输入“改变开关状态”，而另一信号提供输入“不改变开关状态”，开关也可以相应地改变它们各自的开关状态。

根据一种实施方式，辅助马达控制器优选地处于待机状态，更优选地处于所谓的“热待机”状态，其中辅助马达控制器接收与主马达控制器相同的马达控制命令，但不将所述马达控制命令发送给对应马达。然后，在将辅助开关切换到闭合状态之后，将马达控制命令发送到对应马达。由于“热待机”状态，使得延迟时间(在该延迟时间期间，在上述切换后，马达可能无法接收到马达控制命令)特别短，因此提高了操作安全性。

在另一实施方式中，主开关中的每一个经由多个抑制器(inhibitor)之一连接至系统监视单元。另外，一个马达控制单元的主开关经由一个抑制器连接至另一马达控制单元的主马达控制器。所述抑制器可以被设计成在接收到故障信号的情况下将所述主开关的初始闭合的开关状态改变为断开状态。所述抑制器可以是例如逻辑运算符，优选地是布尔(Boolean)运算符，最优选地是输入取反的或(OR)元件。

在另一实施方式中，辅助开关中的每一个经由多个使能器之一连接至系统监视单元。另外，一个马达控制单元的辅助开关经由使能器连接至另一马达控制单元的主马达控制器。所述使能器可以被设计成在接收到故障信号的情况下将所述辅助开关的最初断开的开关状态改变为闭合状态。有利地，控制开关经由使能器连接至系统监视单元。所述使能器可以是例如逻辑运算符，优选为布尔运算符，最优选为OR元件。

抑制器和使能器对故障特别鲁棒，并且使用简单，因此增强了整体操作安全性。

在又一实施方式中，所述系统监视单元被特别地设计用于基于所述监视和/或所述确定的结果来实现所述辅助马达控制器与所述马达之间的通信。该实施方式通过增加可变性来有利地提高安全性，因为系统监视单元可以基于由所述传感器装置执行的所述监视来改变前述主开关、辅助开关和控制开关的开关状态。

优选地，系统监视单元被设计为同时改变主开关和辅助开关的开关状态。在改变主开关和辅助开关的开关状态之后，不再将马达控制命令从主马达控制器传送到对应马达，而是将其从辅助马达控制器传送到对应马达。

开关状态的同步切换确保马达控制系统的安全操作，因为在一个主马达控制器或多个主马达控制器发生故障或失效的情况下，将马达控制命令传送至对应马达立即被改变为将马达控制命令从主马达控制器传送到辅助马达控制器，反之亦然，从而确保将马达控制命令传送到对应马达而不会延迟，进而提高整体安全性。

在另一实施方式中，辅助系统控制单元可以与所述多个辅助马达控制器中的每一个通信连接。所述辅助系统控制单元优选地被设计用于向所述辅助马达控制器提供马达控制命令。更优选地，所述辅助系统监视单元与所述辅助系统控制单元连接以监视其操作。有利地，该实施方式增强了马达控制系统的整体安全性，因为辅助系统控制单元使得能够将马达控制命令均匀地分配给每个辅助马达控制器，从而使潜在的错误最小化。

有利地，在另一优选实施方式中，系统监视单元被设计为监视操作状态并且识别以下中的至少一者的可能的故障：

-系统控制单元，例如，如果系统控制单元向主马达控制器提供了不正确或错误的马达控制信号；

-主马达控制器，例如，如果至少一个主马达控制器不遵循由系统控制单元提供的马达控制命令；

-辅助系统控制单元；

-辅助马达控制器，例如，该辅助马达控制器检测到至少一个辅助马达控制器向对应马达提供不正确或错误的马达控制信号。

该实施方式通过增加被监视元件和被监视操作状态的数目而有利地提高了安全性，从而允许对故障做出快速且改进的响应。

主马达控制器、辅助马达控制器、系统控制单元、系统监视单元和辅助系统控制单元优选地被设计为微控制器、集成电路、中央处理单元、多核处理器、数字信号处理器、微控制器，现场可编程门阵列(FPGA)、数字控制器、模拟处理器、模拟计算机、模拟控制器(例如PID控制器)或被设计为由模拟和数字元件两者组成的混合处理单元。上述元件允许鲁棒、多样化、简单且安全的操作。而且，在上述元件之一发生故障或失效的情况下，可以容易地更换它。

在特别有利的实施方式中，至少一个飞行控制信道可以与所述系统控制单元、所述系统监视单元和所述辅助系统控制单元连接，用于提供马达控制命令。飞行控制信道可以是通信信道，例如物理传输介质(例如，导线)，或者是在复用介质上的逻辑连接(例如，无线电信道)。此外，光学数据传输也可以用于传送马达控制命令。飞行控制信道优选地用于传输来自一个或多个发送方(例如，飞行员)的马达控制命令，例如数字比特流。

有利地，飞行控制信道确保上述单元(系统控制单元、系统监视单元和辅助系统控制单元)均接收到相同的马达控制命令。优选地，这使得系统监视单元能够独立于系统控制单元和辅助系统控制单元来接收和处理马达控制命令，以监视系统控制单元和/或辅助系统控制单元，从而提高总体安全性。

优选地，辅助系统控制单元也处于待机状态，优选地为“热待机”状态，其接收与主系统控制单元相同的马达控制命令。先前已经提到过“热待机”状态的优点，并且包括最短的延迟时间，在该最短的延迟时间期间，在从主马达控制器切换到辅助马达控制器之后，马达可能不会接收到马达控制命令。然而，待机状态也可能是本领域技术人员分别选择的所谓的暖待机或冷待机中的一种。

在不同的实施方式中，主马达控制器包括第一组或类型的硬件和/或软件，而辅助马达控制器包括第二组(或类型)的硬件和/或软件。术语“组”还描述了不同的类型、模型或版本。优选地，第一组硬件和/或软件不同于第二组硬件和/或软件。最优选地，主马达控制器和辅助马达控制器由不同的操作系统和/或调度器管理。

前述实施方式的优点在于提供了一种马达控制系统，该马达控制系统更安全地防止诸如由温差、湿度、电压波动或其他外部影响引起的物理硬件损坏，例如故障或失效。优选地，可以以使得上述物理事件不可能损坏两个硬件组的方式来选择不同组(或类型)的硬件。例如，第一组硬件可以被设计用于在中低温下工作，而第二组硬件被设计用于在中高温下进行操作。这同样适用于在所述硬件上运行的任何软件。

如果系统控制单元和辅助系统控制单元由不同组或类型的软件管理，优选由不同操作系统和/或调度器管理，则提高了操作安全性，因为与相同的软件组相比，两组软件同时被错误、恶意软件或病毒和/或故障的软件更新或其他与软件相关的错误损坏的可能性较小。

在另一优选的实施方式中，系统控制单元包括第一组或类型的硬件和/或软件，而辅助系统控制单元包括第二组硬件和/或软件，优选是不同的硬件和/或软件组。最优选地，系统控制单元和辅助系统控制单元由不同的操作系统管理。

在另一有利的实施方式中，主马达控制器的第一组硬件和/或软件可以不同于系统控制单元的第一组硬件和/或软件。优选地，辅助马达控制器的第二组硬件和/或软件可以不同于辅助系统控制单元的第二组硬件和/或软件。前述实施方式通过增加可变性来提高安全性，并且还显示了之前针对不同的硬件和软件组提及的优点。

然而，在另一实施方式中，系统控制单元的第一组硬件和主马达控制器的第一组硬件可以是相同的，并且辅助系统控制单元和辅助马达控制器的第二组硬件和/或软件可以相同。该实施方式克服了对应的硬件和/或软件组的兼容性问题，并且因此也可以增强马达控制系统的安全性。

在另一实施方式中，系统控制单元和主马达控制器可以在同一组硬件上操作，优选作为由操作系统控制的单个分区。在另一实施方式中，辅助系统控制单元和辅助马达控制器可以在同一组硬件上操作，优选作为由操作系统控制的单个分区。这些实施方式具有节省资源的优点，因为可以通过同一组硬件，优选通过同一分区来执行多个功能。

在另一有利的实施方式中，主马达控制器和/或辅助马达控制器中的每一个从所述马达控制命令中提取命令串。该命令串包含一个特定的主马达控制器或辅助马达控制器SEC的、用于控制所述对应马达的相关信息。该实施方式的优点在于，可以与其他主马达控制器和/或其他辅助马达控制器独立地控制不同的主马达控制器和/或不同的辅助马达控制器。这样，可以与其他马达独立地控制与所述不同的主马达控制器和/或所述不同的辅助马达控制器对应的马达，从而允许独立地控制和操作每个马达。另外，可以激活/去激活不同的主马达控制器和/或不同的辅助马达控制器，反之亦然。

根据本公开的另一方面，提供了一种操作马达控制系统的方法。该方法包括以下步骤：提供主马达控制器、辅助马达控制器和对应马达；以及产生马达控制命令。该方法还包括将所述马达控制命令从所述主马达控制器传送到所述对应马达的步骤。此外，该方法还包括确定所述对应马达的操作状态和/或监视所述主马达控制器的操作状态。该方法还包括基于所述确定和/或监视，禁止将所述马达控制命令从所述主马达控制器传送到所述对应马达，以及实现将所述马达控制命令从所述辅助马达控制器传送到所述对应马达，反之，基于所述确定和/或监视，实现将所述马达控制命令从所述主马达控制器传送到所述对应马达，以及禁止将所述马达控制命令从所述辅助马达控制器传送到所述对应马达。

根据本公开的方法有利地实现了马达控制系统的安全操作，因为在主马达控制器发生故障或失效的情况下，马达控制命令可以通过辅助马达控制器被传送到对应马达，从而确保对应马达的可操作性。

在一种实施方式中，该方法还包括提供一个马达控制单元的步骤，该马达控制单元包括所述主马达控制器。在另一步骤中，可以提供另一马达控制单元的另一马达，该另一马达与所述另一马达控制单元的另一主马达控制器和另一辅助马达控制器对应。此外，可以包括以下步骤：基于所述确定和/或监视，禁止经由所述一个马达控制单元的所述主马达控制器将所述马达控制命令从所述另一马达控制单元的所述主马达控制器传送到所述马达。该实施方式还可以包括基于所述确定和/或监视，实现经由所述一个马达控制单元的所述主马达控制器将所述马达控制命令从所述另一马达控制单元的所述另一辅助马达控制器传送到所述马达。前述实施方式的优点在于，由于较高的可变性从而提高了操作安全性。此外，如先前已经提到的，在故障的情况下实现了更快的响应。

在另一实施方式中，该方法还包括提供系统监视单元。在另一优选实施方式中，该方法还包括基于所述确定和/或监视，禁止经由所述系统监视单元将所述马达控制命令从所述主马达控制器传送到所述对应马达。优选地，该方法还包括以下步骤：基于所述确定和/或监视，实现经由所述系统监视单元将所述马达控制命令从所述辅助马达控制器传送到所述对应马达。该实施方式提高了安全性，因为系统监视单元可以有利地检测故障，并且还提供之前针对系统监视单元提及的优点。

在一种优选实施方式中，该方法还包括提供至少一个传感器装置。在另一优选步骤中，该方法还包括经由所述传感器装置确定所述操作状态，并且优选地，将所述确定发送到所述监视单元和/或经由所述监视单元监视所述操作状态的步骤。传感器装置优选地提供关于多个马达中的至少一个的操作状态的信息。如先前已经提到的，由于用于检测故障的附加措施，该实施方式有利地提高了安全性。

根据本公开的另一方面，提供了一种飞行器，优选为载客和/或载重多旋翼飞行器。该飞行器包括马达控制系统，优选为如上所述的马达控制系统，以及至少一个升力产生单元。该升力产生单元优选地机械地耦合至所述马达中的至少一个，并且更优选地被构造为旋翼，其可以由所述至少一个马达转动地驱动。由于马达控制系统的先前描述的优点，因此飞行器是特别安全且适航的。

在另一实施方式中，飞行器还可以包括多个升力产生单元，每个升力产生单元连接至多个马达。如果一个升力产生单元发生故障或失效，通过其余的升力产生单元仍可确保飞行器的适航性，从而使飞行器能够安全着陆。如果升力产生单元的马达发生故障或失效，则其余的马达可以有利地向该升力产生单元提供必要的扭矩，从而确保飞行器的适航性。

在另一实施方式中，飞行器包括被定位在所述马达与所述升力产生单元之间的耦合装置。该耦合装置优选地被设计为离合器。优选地，马达控制系统与所述耦合装置通信连接。更优选地，所述耦合装置被设计用于在所述马达控制系统的操作控制下，基于所述马达控制系统的所述监视和/或所述确定的结果，将所述马达中的至少一个与所述升力产生单元连接或将所述马达中的至少一个从所述升力产生单元断开，而所述耦合装置也能够使所述升力产生单元减速。

因此，该耦合装置有利地使得故障的马达从升力产生单元简单且有效地解耦，从而增强了飞行器的总体安全性。

根据本公开的另一方面，如前所述的马达控制系统可以用在如上所述的飞行器中。

此外，根据本公开的另一方面，如前所述的操作马达控制系统的方法可以用于操作如上所述的飞行器。

附图说明

通过以下参照附图对优选实施方式的描述，本公开的其他特性和优点将变得明显。

图1示意性地示出了马达控制系统；

图2示意性地示出了包括多个马达控制单元和多个马达的马达控制系统；

图3示出了图2的马达控制系统，其中一个主马达控制单元发生故障；

图4至图5示意性地示出了图3中所示的故障的影响；

图6和图7示意性地示出了系统控制单元的故障的影响；

图8和图9示意性地示出了故障的系统监视单元；

图10至图12示意性地示出了传感器装置的故障；

图13示意性地示出了故障的辅助马达控制器；

图14示意性地示出了辅助系统控制单元的故障；

图15示出了包括马达控制系统的飞行器；

图16a至图16c示出了所述多个马达相对于升力产生单元的示意性布置；以及

图17示出了具有多个升力产生单元的飞行器。

附图标记说明

1 马达控制系统

2 马达控制单元

2a 一个马达控制单元

2b-2d 另一马达控制单元

COM 主马达控制器

COMstring 系统控制单元

3 对应马达

3a 一个对应马达

3b-3d 另一马达

4 传感器装置

4a-4d 传感器装置

MONstring 系统监视单元

5 显示单元

6 短划线

7 短划线

8 点划线

9 马达控制命令

10、10’、10”、10”’ 故障信号

SEC 辅助马达控制器

11a-11d 主开关

12a-12d 辅助开关

13 抑制器

14 使能器

SECstring 辅助系统控制单元

15 控制开关

16 连接点

17a-17c 飞行信道

18 飞行器

19 升力产生单元，旋翼

19a-19e 升力产生单元，旋翼

20 扭矩传递器

21a-21d 耦合装置，离合器

22 电源

23 功率控制器

24 变速箱

25 轴

26 整体马达系统

具体实施方式

图1示出了包括一个马达控制单元2a和另一马达控制单元2b的马达控制系统1。所述马达控制单元2a、2b中的每一个包括主马达控制器COM。主马达控制器COM与系统控制单元COMstring通信。马达控制系统1还包括多个马达3a、3b。一个马达控制单元2a被分配给一个对应马达3a，而另一马达控制单元2b被分配给另一对应马达3b。马达控制系统1还包括传感器装置4，该传感器装置4连接至系统监视单元MONstring。该系统监视单元MONstring还连接至系统控制单元COMstring和显示单元5。

系统监视单元MONstring被设计成禁止系统控制单元COMstring与主马达控制器COM之间的通信，如短划线6所示。此外，系统监视单元MONstring还被设计成禁止主马达控制器COM与对应马达3a、3b之间的通信，如短划线7所示。传感器装置4确定所述对应马达3a、3b的操作状态，如点划线8所示，例如操作温度、噪声等级、转速等。

在正常操作模式期间，将马达控制命令9从主马达控制器COM传送到对应马达3a、3b。如果传感器装置4检测到对应马达3a、3b中的至少一个故障，则故障信号10”’产生并被传送到系统监视单元MONstring。随后，该系统监视单元MONstring禁止系统控制单元COMstring与主马达控制器COM之间的通信。附加地或可替换地，该系统监视单元MONstring禁止主马达控制器COM与对应马达3a、3b之间的通信。

图2示出了具有多个马达控制单元2a-2d和多个对应马达3a-3d的马达控制系统1。每个马达控制单元2a-2d包括辅助马达控制器SEC，该辅助马达控制器SEC连接至与给定马达控制单元2a-2d对应的马达3a-3d。每个马达控制单元2a-2d还包括被布置在每个主马达控制器COM与对应马达3a-3d之间的主开关11a-11d。另外，每个马达控制单元2a-2d包括被布置在每个辅助马达控制器SEC与对应马达3a-3d之间的辅助开关12a-12d。一个马达控制单元2a的主马达控制器COM经由抑制器13连接至主开关11b，该抑制器13由标有附图标记13的箭头符号指示(如马达控制单元2d中所示)，并经由使能器14连接至另一马达控制单元2b的辅助开关12b，该使能器14由标有附图标记14的点符号指示(如马达控制单元2d中所示)。从图2可以看出，这种互连概念适用于每个马达控制单元2a-2d，因此导致了马达控制单元2a-2d的循环(cyclical)连接。马达控制系统1还包括连接至所述辅助马达控制器SEC中的每一个的辅助系统控制单元SECstring。另外，图2中的马达控制系统包括被定位在系统控制单元COMstring与连接点16之间的控制开关15，该控制开关15将系统控制单元COMstring连接至每个主马达控制器COM。控制开关15还经由抑制器13连接至系统监视单元MONstring。包括多个传感器装置4a-4d，并且每个传感器装置4a-4d被分配给对应的马达3a-3d。此外，马达控制系统1包括多个飞行信道17a-17c，每个飞行信道连接至系统控制单元COMstring、系统监视单元MONstring和辅助系统控制单元SECstring，用于提供马达控制命令9。

在马达控制系统1的操作期间，主开关11a-11d和控制开关15处于初始闭合的开关状态，这使得由飞行控制信道17a-17c生成的马达控制命令9能够被从系统控制单元COMstring通过控制开关15和连接点16传送到每个主马达控制器COM，并进一步通过主开关11a-11d传送到每个对应马达3a-3d。由飞行控制信道17a-17c发送的马达控制命令9也通过辅助系统控制单元SECstring被传送到每个辅助马达控制器SEC。然而，辅助开关12a-12d处于初始断开的开关状态，该断开的开关状态禁止将马达控制命令9从辅助马达控制器SEC传送到每个对应马达3a-3d。主马达控制器COM和辅助马达控制器SEC中的每一个处理接收到的马达控制命令9，并从所述马达控制命令9中提取命令串，该命令串包含一个特定的主马达控制器COM或辅助马达控制器SEC的、用于控制所述对应马达3a-3d的相关信息。

在图3至图14中的以下示例中，将描述不同的故障情形，从而证明上述马达控制系统的操作安全性。

在图3中，一个马达控制单元2a的主马达控制器COM处于故障或错误状态，例如由硬件故障或软件故障引起。

在图4中，说明了如图3所示的故障的主马达控制器COM的影响。一个马达控制单元2a的故障的主马达控制器COM生成故障信号10，并将该故障信号10传送到另一(相邻)马达控制单元2b的主开关11b和辅助开关12b，从而改变它们的开关状态。

这意味着，主开关11b的开关状态被从最初的闭合状态转变为断开状态，该断开状态禁止将马达控制命令9从主马达控制器COM传送到对应马达3b。同时，辅助开关12b的最初断开的开关状态被改变为闭合状态，从而实现将马达控制命令9从辅助马达控制器SEC传送到对应马达3b。

如图5所示，传感器装置4a冗余地检测马达控制单元2a的主马达控制器COM的所述故障，并且将该故障信号10发送到系统监视单元MONstring，该系统监视单元MONstring随后产生另一故障信号10’，并相应地改变马达控制单元2a-2d中的主开关11a-11d和辅助开关12a-12d的开关状态(主开关11b和辅助开关12b的开关状态只有在它们之前没有被改变的情况下才被改变)。冗余地，由马达控制单元2a中的故障的主马达控制器COM生成的故障信号10也通过主开关11b被传送到主开关11a、11c和11d以及被传送到辅助开关12a、12c和12d。如果主开关11a-11d的开关状态没有被系统监视单元MONstring改变为闭合状态，则上述故障信号10将该开关状态改变为闭合状态。如果辅助开关12a-12d尚未处于闭合状态，则故障信号10将相应地改变主开关11a-11d的开关状态。此外，系统监视单元MONstring的另一故障信号10’将控制开关15的开关状态从最初的闭合状态改变为断开状态，从而确保不将马达控制命令9从系统控制单元COMstring传送到主马达控制器COM。如果主开关11a-11d之一发生故障，则该冗余提供了附加的安全性。

在图6中，系统控制单元COMstring发生故障并生成故障信号10”(如图7所示)。如先前针对主马达控制器COM的故障所描述的，该故障可能由硬件和/或软件故障或错误引起。

如图7所示，通过控制开关15和连接点16将该故障信号10”传播到主马达控制器COM。在接收到故障信号10”之后，主马达控制器COM终止其运行并将故障信号10”发送至主开关11a-11d以及辅助开关12a-12d，从而如前所述改变其开关状态。

同时，系统监视单元MONstring监视主马达控制器COM的操作，接收故障信号10”，并冗余地生成故障信号10’，随后如果主开关11a-11d、辅助开关12a-12d和控制开关15的开关状态尚未被改变的话，则该故障信号10’改变它们的开关状态。在改变主开关11a-11d和辅助开关12a-12d的开关状态之后，通过辅助马达控制器SEC将马达控制命令9传送到对应马达3a-3d。

在图8中，显示了系统监视单元MONstring的故障。系统监视单元MONstring生成对应的故障信号10’。系统监视单元MONstring可以例如通过将由飞行控制信道17a-17c提供的马达控制命令9与由系统控制单元COMstring提供的马达控制命令9进行比较的方式来确定其故障。

如图9所示，由系统监视单元MONstring生成的故障信号10’改变如上所述的主开关11a-11d、辅助开关12a-12d和控制开关15的开关状态，从而导致通过辅助马达控制器SEC将马达控制命令9从飞行控制信道17a-17c传送到对应马达3a-3d。因此，系统监视单元MONstring的失效也禁止将马达控制命令9从主马达控制器COM传送到对应马达3a-3d。

在图10中，示例性地示出了传感器装置的故障，如传感器装置4a的失效。如图11可见，产生故障信号10”’并将其发送到系统监视单元MONstring。如前所述，系统监视单元MONstring随后改变主开关11a-11d、辅助开关12a-12d和控制开关15的开关状态。如图12中可见(以及前面所描述的)，由于开关状态的这种变化，马达控制命令9被从辅助马达控制器SEC传送到对应马达3a-3d。

在图13中，示出了辅助马达控制器SEC的故障。在正常操作模式下，将马达控制命令9从主马达控制器COM传送到对应马达3a-3d，马达控制系统1无法识别辅助马达控制器SEC的失效。因此，优选在所谓的上电内置测试中评估辅助马达控制器SEC的正常运行，该上电内置测试优选在马达控制系统1启动期间执行。在上电内置测试过程中，通过改变辅助开关12a-12d和控制开关15的开关状态，经由辅助马达控制器SEC将马达控制命令9传送至对应马达3a-3d，而不是像正常操作模式中那样经由主马达控制器COM进行传送。在至少一个辅助马达控制器SEC故障的情况下，系统监视单元MONstring识别出该故障并将该信息发送至飞行器健康管理系统，例如，显示单元5(但不限于此)。冗余地或替换地，传感器装置4a-4d可以观测到该故障并将其报告给系统监视单元MONstring。

在图14中显示了辅助系统控制单元SECstring的失效。如先前结合图13对于辅助马达控制器SEC的失效所描述的那样，在正常操作模式期间，不能识别出辅助系统控制单元SECstring的失效。然而，在上述的上电内置测试中，也可以识别出辅助系统控制单元SECstring的故障。

图15示出了包括马达控制系统1和升力产生单元19的飞行器18，特别地，该升力产生单元19为旋翼19。在图15的示例中，主马达控制器COM和辅助马达控制器SEC位于同一方框中。

旋翼19机械地连接至扭矩传递器(transmitter)20。飞行器18包括多个马达3a-3d，其经由离合器21a-21d机械地连接至扭矩传递器20，这些离合器可以按需断开。此外，飞行器18包括连接至多个功率控制器23a-23d的电源22。如图15中可见，功率控制器23a-23d中的每一个被分配给一个对应的马达3a-3d。此外，功率控制器23a-23d中的每一个连接至对应的主马达控制器COM。

在正常操作期间，电源22向功率控制器23a-23d提供能量，该功率控制器23a-23d将能量传送到所有马达3a-3d，然后马达3a-3d向扭矩传递器20提供扭矩，从而引起旋翼19的转动。

在特定马达3a故障的情况下，可以通过断开对应离合器21a-21d来将所述马达3a从扭矩传递器20断开。在这种情况下，健康的马达3b-3d可以各自提供比正常操作期间更高的扭矩，以便不损失旋翼19的扭转力矩，并确保飞行器18的适航性。

在图16a至图16c中，显示了马达与旋翼连接的不同实施方式。在图16a至图16c中，每个马达3a-3c如前所述连接至马达控制系统1。

在图16a中，多个马达3a-3c经由变速箱24连接至旋翼19。优选地，变速箱24用作扭矩传递器20。

在图16b中，多个马达3a-3c直接连接至旋翼19。轴25用作扭矩传递器20。

在图16c中，对应于多个马达3a-3c的多个马达绕组3a-3c被包括在一个整体马达系统26中。马达绕组经由用作扭矩传递器20的轴25连接至旋翼19。

在图17中，示出了具有多个旋翼19、19a-19e和马达控制系统1的飞行器18。每个旋翼19、19a-19e连接至多个马达3a-3c(示例性地针对旋翼19c示出)。如前所述，多个马达3a-3c连接至马达控制系统1。

由于在一个旋翼19a发生故障或失效的情况下，紧邻的旋翼19b-19e可以补偿由所述旋翼19a的故障引起的升力产生损失，例如通过加快紧邻的旋翼19b-19e的转速，因此图17中的飞行器18特别安全。即使在严重的旋翼故障或失效的情况下，该附加的冗余也确保了飞行器18的适航性。

Claims (17)

1.一种马达控制系统(1)，用于飞行器(18)，包括：

多个马达(3)，所述马达中的每一个具有用于控制对应马达(3)的马达控制单元(2)，所述马达控制单元(2)中的每一个包括被设计用于向所述对应马达(3)提供马达控制命令(9)的主马达控制器(COM)；

所述马达控制系统(1)还包括：

系统控制单元(COMstring)，与所述多个主马达控制器(COM)中的每一个通信连接，所述系统控制单元(COMstring)被设计用于向所述主马达控制器(COM)提供马达控制命令(9)；

系统监视单元(MONstring)，与所述系统控制单元(COMstring)连接，用于监视所述系统控制单元(COMstring)的操作；

至少一个传感器装置(4)，用于确定所述多个马达(3)中的至少一个的操作状态，所述传感器装置(4)与所述系统监视单元(MONstring)操作连接；

其中，所述系统监视单元(MONstring)被设计成基于所述监视和/或所述确定的结果，禁止所述系统控制单元(COMstring)与所述主马达控制器(COM)之间和/或所述主马达控制器(COM)与所述马达(3)之间的通信；

所述马达控制单元(2)中的每一个包括主开关(11)，所述主开关(11)被定位在所述主马达控制器(COM)与所述对应马达(3)之间；并且

所述系统监视单元(MONstring)与所述主开关(11)中的每一个连接，以用于控制所述主开关(11)的开关状态。

2.根据权利要求1所述的马达控制系统，其中，一个马达控制单元(2a)的所述主马达控制器(COM)与另一马达控制单元(2b)的所述主开关(11)连接，以用于控制所述另一马达控制单元(2b)的所述主开关(11)的开关状态。

3.根据权利要求1或2所述的马达控制系统，其中，所述马达控制单元(2)中的每一个包括辅助马达控制器(SEC)，该辅助马达控制器(SEC)被设计用于向对应马达(3)提供马达控制命令(9)；

辅助开关(12)，所述辅助开关(12)被定位在每个辅助马达控制器(SEC)与所述对应马达(3)之间；

其中，所述系统监视单元(MONstring)与所述辅助开关(12)中的每一个连接，以用于控制所述辅助开关(12)的开关状态。

4.根据权利要求3所述的马达控制系统，其中，所述主开关(11)最初处于闭合开关状态，所述辅助开关(12)最初处于断开开关状态；并且

其中，所述系统监视单元(MONstring)被设计用于基于所述监视和/或所述确定的结果来实现所述辅助马达控制器(SEC)与所述马达(3)之间的通信。

5.根据权利要求3所述的马达控制系统，其中，一个马达控制单元(2a)的所述主马达控制器(COM)与另一马达控制单元(2b)的所述辅助开关(12)连接，以用于控制所述另一马达控制单元(2b)的所述辅助开关(12)的开关状态。

6.根据权利要求3所述的马达控制系统，包括：

辅助系统控制单元(SECstring)，与所述多个辅助马达控制器(SEC)中的每一个通信连接，所述辅助系统控制单元(SECstring)被设计用于向所述辅助马达控制器(SEC)提供马达控制命令(9)；

其中，所述系统监视单元(MONstring)与所述辅助系统控制单元(SECstring)连接，以用于监视所述辅助系统控制单元(SECstring)的操作。

7.根据权利要求6所述的马达控制系统，包括：

至少一个飞行控制信道(17)，所述飞行控制信道(17)与所述系统控制单元(COMstring)、所述系统监视单元(MONstring)和所述辅助系统控制单元(SECstring)连接，用于向所述系统控制单元(COMstring)、所述系统监视单元(MONstring)和所述辅助系统控制单元(SECstring)提供马达控制命令(9)。

8.根据权利要求3所述的马达控制系统，其中，所述主马达控制器(COM)包括第一组硬件和/或软件，而所述辅助马达控制器(SEC)包括第二组硬件和/或软件，所述第一组硬件和/或软件不同于所述第二组硬件和/或软件，所述主马达控制器(COM)和所述辅助马达控制器(SEC)由不同的操作系统管理。

9.根据权利要求6所述的马达控制系统，其中，所述系统控制单元(COMstring)包括第一组硬件和/或软件，而所述辅助系统控制单元(SECstring)包括第二组硬件和/或软件，所述第一组硬件和/或软件不同于所述第二组硬件和/或软件，所述系统控制单元(COMstring)和所述辅助系统控制单元(SECstring)由不同的操作系统管理。

10.一种操作马达控制系统的方法，所述马达控制系统为根据权利要求1至9中任一项所述的马达控制系统，包括以下步骤：

-提供主马达控制器(COM)、辅助马达控制器(SEC)和对应马达(3)；

-生成马达控制命令；

-将所述马达控制命令(9)从所述主马达控制器(COM)传送到所述对应马达(3)；

-确定所述对应马达(3)的操作状态和/或监视所述主马达控制器(COM)的操作状态；

-基于所述确定和/或监视，禁止将所述马达控制命令(9)从所述主马达控制器(COM)传送到所述对应马达(3)，并实现将所述马达控制命令(9)从所述辅助马达控制器(SEC)传送到所述对应马达(3)，反之，基于所述确定和/或监视，实现将所述马达控制命令(9)从所述主马达控制器(COM)传送到所述对应马达(3)，并禁止将所述马达控制命令(9)从所述辅助马达控制器(SEC)传送到所述对应马达(3)。

11.根据权利要求10所述的方法，还包括：

-提供一个马达控制单元(2a)，所述一个马达控制单元(2a)包括所述主马达控制器(COM)；

-提供另一马达控制单元(2b)的另一马达(3b)，所述另一马达(3b)与所述另一马达控制单元(2b)的另一主马达控制器(COM)和另一辅助马达控制器(SEC)对应；

-基于所述确定和/或监视，禁止经由所述一个马达控制单元(2a)的所述主马达控制器(COM)将所述马达控制命令(9)从所述另一马达控制单元(2b)的所述主马达控制器(COM)传送到所述马达(3b)；

-基于所述确定和/或监视，实现经由所述一个马达控制单元(2a)的所述主马达控制器(COM)将所述马达控制命令(9)从所述另一马达控制单元(2b)的所述另一辅助马达控制器(SEC)传送到所述马达(3b)。

12.根据权利要求10或11所述的方法，还包括：

-提供系统监视单元(MONstring)；

-基于所述确定和/或监视，禁止经由所述系统监视单元(MONstring)将所述马达控制命令(9)从所述主马达控制器(COM)传送到所述对应马达(3)；以及

-基于所述确定和/或监视，实现经由所述系统监视单元(MONstring)将所述马达控制命令(9)从所述辅助马达控制器(SEC)传送到所述对应马达(3)。

13.根据权利要求12所述的方法，还包括：

-提供至少一个传感器装置(4)；

-经由所述传感器装置(4)确定所述操作状态，将所述确定发送给所述监视单元(MONstring)；和/或

-经由所述监视单元(MONstring)监视所述操作状态。

14.一种飞行器(18)，包括：

根据权利要求1至9所述的马达控制系统(1)；以及

至少一个升力产生单元(19，19a-19e)，被机械地耦合到所述马达(3)中的至少一个。

15.根据权利要求14所述的飞行器(18)，还包括：

耦合装置(21)，所述耦合装置(21)被定位在所述马达(3)与所述升力产生单元(19，19a-19e)之间；

其中，所述马达控制系统(1)与所述耦合装置(21)通信连接，所述耦合装置(21)被设计用于基于由所述马达控制系统(1)进行的所述监视和/或所述确定的结果，将所述马达(3)中的至少一个连接至所述升力产生单元(19)或将所述马达(3)中的至少一个从所述升力产生单元(19)断开。

16.根据权利要求1至9中任一项所述的马达控制系统(1)在根据权利要求14或15所述的飞行器(18)中的用途。

17.根据权利要求10至13中任一项所述的操作马达控制系统(1)的方法用于操作根据权利要求14或15所述的飞行器(18)的用途。