发明内容

本公开的目的在于，对此实现解决措施并且给出一种用于控制飞行器、特别是垂直起降的多旋翼飞行器的方法、用于这种飞行器的控制装置和这种飞行器本身，所述方法或所述控制装置和飞行器包括一种新型的监控形式，使得这种监控功能不会由于以下情况被用尽，即在两个系统(COM或MON)之一发生故障时关闭两个系统并且导致失去由COM提供的功能。

本公开通过具有方案1的特征的方法、具有方案12的控制装置和通过具有方案16的飞行器来实现。优选的改进方案在从属方案中限定。

根据本公开的第一方面，实现了一种用于控制飞行器、特别是垂直起降的多旋翼飞行器的方法，在所述方法中，飞行器的飞行影响单元、特别是驱动单元、优选是电驱动的驱动单元和/或操纵面(所谓的控制表面)：

a)由第一计算单元(COM)经由第一信道(控制信道)供应控制指令，所述控制指令来自飞行员输入或由飞行员输入导出，并且在所述方法中，

b)通过第二信道(监控信道)和第二计算单元(MON)来监控控制指令，所述第二计算单元检查控制指令是否适用于飞行器现有的物理状态和飞行员输入，其方式是，

c)通过第二计算单元(MON)确定对应于飞行器的所述物理状态或代表这个状态的飞行器当前航行状态是否与飞行员输入在预先规定的偏差之内相符，所述飞行员输入优选通过所述第二计算单元转换成希望的航行状态(即飞行器根据飞行员输入希望的物理状态)，并且在所述方法中，

d)根据步骤c)所确定的确定结果产生用于控制飞行器的控制信号。

控制信号可以是误差信号，所述误差信号指示希望航行状态与当前航行状态存在不允许的偏差。

飞行器的所述物理状态(实际状态)优选通过对此适用的传感器来确定，所述传感器非限制性地可以包括IMU(惯性测量仪)、雷达、激光雷达、光学传感器、相机和类似物。

飞行员输入可能来自人类飞行员，或者飞行员输入可以由自动设备(自动驾驶仪)产生。

对飞行员输入进行转换，就是说用计算机进行转化，以便能够将其与确定的实际状态相比较。

通常，如果步骤c)中的确定表明所述误差保持在预先规定的界限之内，则在步骤d)中产生的控制信号实现飞行器持续的正常运行；否则，在步骤d)中产生的控制信号使得飞行器的正常运行中断或改变和/或实现报警指示的显示/输出。

根据本公开的第二方面，实现了一种用于飞行器、特别是垂直起降的多旋翼飞行器的控制装置，所述控制装置具有第一计算单元(COM)和第一信道(控制信道)，用于通过控制信道给飞行器的飞行影响单元、特别是驱动单元、优选是电驱动的驱动单元和/或操纵面(所谓的控制表面)供应第一计算单元(COM)的控制指令，所述控制指令来自飞行员输入或由飞行员输入导出，并且所述控制装置具有第二信道(监控信道)和第二计算单元(MON)，所述第二计算单元(MON)构造成和设定成监控第一计算单元(COM)，其方式是，所述第二计算单元(MON)检查控制指令是否适用于飞行器现有的物理状态和飞行员输入，其方式是，第二计算单元(MON)构造成用于确定飞行器的当前航行状态是否与飞行员输入在预先规定的偏差之内相符，所述飞行员输入优选通过所述第二计算单元(MON)转换成飞行器的希望航行状态，并且所述第二计算单元(MON)还构造成根据确定得到的确定结果产生并输出用于控制飞行器的控制信号。

这种根据本公开的控制装置能够实施根据本公开的方法。

所述飞行器的当前航行状态(实际状态)可以在数学上或在控制技术上表达为航行状态矢量。

根据本公开的第三方面，实现了一种飞行器、特别是垂直起降的多旋翼飞行器，所述飞行器装备有多个飞行影响单元、特别是驱动单元、优选是电驱动的驱动单元和/或操纵面(所谓的控制表面)，并且装备有根据本公开的控制装置，所述控制装置与所述飞行影响单元可操作地连接并且构造成用于向飞行影响单元发送控制指令。

这种飞行器可以按根据本公开的方法运行或控制。

驱动单元有利地是分布式设置的、电动运行的马达/旋翼布置系统。优选地，所述飞行器具有多个、例如18个驱动单元，这些驱动单元可以设置在平面内。

但术语“飞行影响单元”也可以包括可以影响飞行器的飞行性能的其他单元，例如(有效的)有效载荷、绞盘或类似物，但特别是也可以是操纵面(所谓的控制表面)，例如前缘襟翼、稳定襟翼、副翼或稳定器(如果是可调的)。

在本公开的范围内实现了相对于现有技术不同的区别或优点：

概念设计和规划

首先，所提出的监控的概念设计可以独立于飞行器的开发阶段进行。这也使得可以在现有的飞行器中进行改装。

规格设计

其次，所提出的监视器类型在本质上不同于按现有技术的监视器。这种监视器不是由对功能的复制来实现，这里基本上所有的努力都是为了避免复制已经发生的故障。据此，本公开的目标是，利用监视器的不同特性。此外，通过添加强制从另外的视角考察监控问题的上下文(Kontext)，使得监视器(第二计算单元)的规格设计就其本质而言不具有与指令单元(第一计算单元)相同的错误，即使监视器是由相同的人员所开发的。“添加上下文”特别是指，使用状态矢量之外的信息。一方面，这些可以是状态矢量的(物理)极限，但也可以是其他状态或状态之间的关系(例如，如果状态A＝10，则状态B<＝5)。

设计方案

第三，由于完全不同的规格设计，建议的显示器需要不同的设计方案，即使是同一个人在开发它。当监视特定功能时，监视器的设计需要通过仔细分析故障模式来更深入地了解该功能，如果使用迭代方法，则甚至可以改善COM。这可能意味着必须了解上述上下文，也就是说，使用了状态矢量以外的信息。这些反过来又可能是状态矢量的(物理)极限，但也可能是其他状态或状态之间的关系(请参见上文)。

集成和安装(包括共模)

此外，通过所提出的监控方案能够发现一些集成和安装错误、特别是系统性的错误。系统性错误几乎是无法避免的，并且通常需要多个工作人员实施相同的行动或附加的验证步骤。引入利用传统方式无法提供给COM和MON的上下文信息(见上文)可以用于显露所述系统性故障。例如，当错误安装时，状态之间的关系表现得与预期不同。例如，在发生了180°的安装错误时，产生沿正向方向的调节信号，但却实施了负向的运动。

运行与维护

此外，由所提出的监控方案潜在地可以导出维护措施。但所提出的方案的目标不仅在于识别偶然的故障，而且也可以特征性地描述一个功能的劣化或磨损/损耗，如果不采取适当的措施，这可能会最终导致错误或故障。这特别适用于与传感器相关的功能，就是说，基于传感器信号的功能，例如通过温度传感器对马达的监控。传感器通常会发生老化，并且在现有技术中通常采用滤波器来改善信号，但这种滤波器可能会掩盖了传感器的老化问题。在当前情况下，可以通过传感器输出(信号或测量值)发现传感器老化或传感器固定结构的老化，因为例如表明存在一定规模的差错的噪声、偏差或测量到的幅值可能在不同的飞行之间是明显不同的。

废弃处理和使用寿命延长

与可以用于维护措施并且涉及功能的老化过程的已经简述的处理方式类似，当识别到功能的老化时，可以通过有针对性的、及时地更换所述功能而有助于实现使用寿命延长。

在根据本公开的方法的一个改进方案中设定，在步骤c)中，通过对比实际状态和飞行员输入来检查航行状态的以下航行状态属性中的至少一个，为此可以使用相应的传感器信号：

-飞行器的飞行姿态，例如根据欧拉角检查；

-旋转速度；

-旋转速度的变化；

-位置；

-高度(特别是气压式地检查)；

-相对于空气和/或地面的速度；

-加速度。

前面列举的内容不是穷尽的。航行状态的每个测得的/可测量的或(由测量)导出的特征或属性原则上都可以用于在步骤c)中进行检查。以这种方式，特别是可以以不同的方式对给定的功能进行监控。

在根据本公开的方法的另一个改进方案中设定，附加地优选通过第二计算单元利用相反的控制关系来检查在操控飞行器的飞行影响单元时控制指令是否会实现飞行器的第一力/转矩矢量τ_Cmd，所述第一力/转矩矢量适用于飞行器现有的物理状态，其方式是，

i)将由控制指令导出的第一力/转矩矢量与第二力/转矩矢量τ_MON比较，独立于所述第一力/转矩矢量确定所述第二力/转矩矢量，和/或，其方式是，

ii)对于第一力/转矩矢量，优选通过第二计算单元检查包含在第一力/转矩矢量中的转矩的轴和/或量是否处于预先规定的容差范围内，和/或，其方式是，

iii)对于第一力/转矩矢量，优选通过第二计算单元检查第一力/转矩矢量是否在预先规定的偏差之内与飞行员输入相符合，

并且在所述方法中，在步骤d)中，根据在步骤i)至iii)中进行的检查得到的检查结果产生用于控制飞行器的经适配调整的控制信号。

步骤i)至iii)可以单独地或按任意的组合附加于根据方案1的检查来执行，并且由此可以识别这里的检查未能发现的故障功能。相反地，步骤i)至iii)可以实现的是，将识别到的表面上的故障功能事后归类为可容许的。

根据本公开的控制装置的一个相对应的优选改进方案中设定，第二计算单元构造成用于利用相反的控制关系来检查在操控飞行器的飞行影响单元时控制指令是否会实现飞行器的第一力/转矩矢量，所述第一力/转矩矢量适用于飞行器现有的物理状态，其方式是，所述第二计算单元构造成用于，

i)将由控制指令导出的第一力/转矩矢量与第二力/转矩矢量比较，独立于所述第一力/转矩矢量确定所述第二力/转矩矢量，和/或，

ii)对于第一力/转矩矢量，优选通过第二计算单元检查包含在第一力/转矩矢量中的转矩的轴和/或量是否处于预先规定的容差范围内，和/或

iii)对于第一力/转矩矢量，优选通过第二计算单元检查第一力/转矩矢量是否在预先规定的偏差之内与飞行员输入相符合，

并且根据在i)至iii)中进行的检查得出的检查结果产生用于控制飞行器的经适配调整的控制信号。

具体地，在根据本公开的方法的另一个改进方案中设定，由控制指令导出的第一力/转矩矢量τ_Cmd由下式给定：

所述等式具有矩阵K，其元素和通过飞行器和飞行器的N个飞行影响单元的配置给定，并且所述等式还具有矢量Ω，该矢量具有第一计算单元的用于N个飞行影响单元的控制指令。

此外，在根据本公开的另一个改进方案中可以设定，在步骤c)中，和/或在步骤i)至iii)中，分别执行多个检查/比较方法，以便相应地获得多个检查/比较结果，接下来分别对检查/比较结果进行加权并且然后将其相互合并，以便为了在步骤d)中使用而获得合并的确定结果，和/或获得合并的检查结果。

以这种方式，可以改进监控的可靠性，因为不同的检查/比较方法特有的优点可以相互补充并可以抵消某些问题。

根据本公开的控制装置的相对应的改进方案中设定，所述第二计算单元还构造成用于，使用多个检查/比较方法，以便相应地获得多个检查/比较结果，接下来分别对检查/比较结果进行加权并且然后将其相互合并，以便产生合并的确定结果，和/或产生合并的检查结果，并且为了产生所述控制信号或者为了产生经适配调整的控制信号而输出所述合并的确定结果。

此外，在根据本公开的方法的另一个改进方案中可以设定，给所述多个检查/比较方法中的每个检查/比较方法分配至少一个第一权重系数和至少一个第二权重系数，并且其中，对于每个检查/比较方法，将所述第一权重系数和第二权重系数合并成一个总权重系数，利用总权重系数给对应的检查/比较方法加权。

由此也可以进一步细化和改进监控的结果。

在这个前提下，根据本公开的方法的一个改进方案设定，对于每个检查/比较方法，将所述第一权重系数和所述第二权重系数相乘。

在这个前提下，根据本公开的方法的另一个改进方案设定，对多个加权的检查/比较结果进行求和，以便获得合并的检查结果，用于在步骤d)中使用。

在这个前提下，根据本公开的方法的另一个改进方案设定，所述第一权重系数是严重性权重系数，所述严重性权重系数指示通过给定的检查/比较方法能识别的飞行器或其控制的差错的严重性。

在这个前提下，根据本公开的方法的又一个改进方案设定，所述第二权重系数是置信度权重系数，所述置信度权重系数指示能以怎样的精度定量地给出通过给定的检查/比较方法能识别的飞行器或其控制的差错。

根据本公开的方法的一个优选的改进方案设定，所述检查/比较方法选自这样的组，所述组包括以下方法：频率分析；卡尔曼滤波；CBIT和PBIT结果；[连续内建测试(Continuous Built-In Test)/周期内建测试(Periodic Built-In-Test)]越界评估(Out-of-range-Bewertungen)(例如飞行包线)；由模型(例如飞行员模型)获得的预期值。所列举的这些内容不是穷尽的。

特别是由于老化导致的差错可以例如表现为频率移动并且相应地通过频率分析来识别。

处理过程可以在假定已知的过程特性的情况下进行估算，以便获得预期值。如果所述预期值明显不同于测量值，则可能存在差错，这种差错可以通过卡尔曼滤波器来识别。

CBIT包含连续地检查某些功能或参数。相同的情况也适用于PBIT，但优选仅限于上电(Power-up)时间。

越界评估可以由规定值和经验值得出：如果飞行器允许/应当具有最大10°的俯仰角，但处于13°的俯仰角，则可能存在差错。

相同的情况也适用于由模型得到的预期值：当例如由飞行控制单元指定的特定马达转速也得到了实现，则飞行器根据模型应发生特定位置变化。如果飞行器以不同的方式响应，则可能存在差错。

所述控制装置的另一个改进方案设定，第二计算单元还构造成用于执行根据本公开的方法的所述改进方案之一。

如上面已经基本描述的那样，所谓的航道计算机飞行控制监视器(Lane-ComputerFlight Control MONITOR)(MON，下面也称为“MON-Lane”)、即具有第二计算单元的第二信道(监控信道)在运行中按常规方式连续地对更高层次上的命令(COM)航道计算机(“COM-Lane”或具有第一计算单元的控制信道)的输出进行验证。这意味着，MON-Lane计算机(第二计算单元)不仅检查COM-Lane是否产生符合指定查验规则的输出(检查实施故障)，而且还确认COM-Lane实际上是否产生能实现稳定和希望的飞行特性的输出(检查设计错误)。

一般而言，通过遵守相应的开发保险过程来验证数学-物理飞行控制规则的正确实施。但设计中和需求规格说明中的差错利用单纯的验证方法难以识别，因为飞行控制规则的输出、即相应的控制指令仍可能是有缺陷的。MON-Lane(具有第二计算单元的第二信道)的所提出的扩展的检查范围包括用于验证计算出的飞行控制规则输出的方法步骤，就是说，能检查COM-Lane的计算出的输出(第一信道上的第一计算单元的控制指令)是否适用于飞机现有的实际状态和现有的飞行员指令。

作为本公开的基础的第一处理方式包括对飞行器的基本状态的检查。这个基本的处理方式在于，评估飞行器的当前状态是否与飞行员的输入指令(飞行员输入)相符。用于这种基本检查的输入量是飞行器航行状态(飞行器的实际状态；特别是通过飞行器航行状态矢量给出)和飞行员输入指令(飞行员输入)，这里，将飞行员输入转化(“翻译”)为希望的航行状态。

特别地，根据这个方法可以检查以下航行状态属性，对此在上面已经指出：飞行姿态(例如作为欧拉角检查)、旋转速度、旋转速度的变化、位置、高度、速度(相对于空气和/或地面)、加速度。

例如，当飞行员发出指令使多旋翼飞行器具有特定倾斜角、但多旋翼飞行器在特定时间范围内没有实现这个希望的倾斜角的情况下，则可以得出这样的结论：基本的飞行控制规则没有正常起作用。在极端情况下，甚至可以假设这与飞行员指令无关，因为例如根据定义，具有+/-90°的翻滚角和/或+/-90°的俯仰角的(实际)飞行姿态对于多旋翼飞行器而言不是安全的姿态。就是说，此时应产生相应的修正控制信号或差错信号。

至少与要求完全独立地实现相同要求的传统COM/MON方式相比，这个第一处理方式通常会带来易于实施的规则。但对于实际的应用而言所述第一处理方式可能并不足够，因为作用于飞行器的外力(例如风)或飞行影响单元(致动器)的有故障的性能可能将飞行器带入不希望的状态。MON-Lane不应直接由此得出这样的结论，即，COM-Lane计算出了错误的输出，就是说其功能出错。因此，附加地提出了这样的问题，即，COM-Lane的输出对于当前的飞行器状态和飞行员的控制指令是否适当。在本公开的基本构思的改进方案中，这带来了一种细化的方法：

如前面同样已经进行基本描述的那样，所述细化的方法包含对控制输出的验证。这涉及在MON-Lane中、就是说通过第二计算单元进行的检查。所述第二计算单元优选地连续地读取从COM(第一计算单元)到飞行影响单元(致动器)的当前控制输出(控制指令Ω)并且利用矩阵K执行逆N控制关系(配置)，以便查明控制指令是否会带来转矩和力的矢量τ_Cmd，所述矢量适用于当前的情况或当前的状态、特别适用于与飞行员基准或也与飞行包线(Envelope)当前状态的偏差。所述检查优选包括对矢量τ_Cmd的方向和大小(值)的分析。上面已经给出了这种矢量的一个具体示例。

就是说，第一计算单元COM的控制指令构成期望输出值，在上面用Ω表示。由期望输出值Ω导出的期望矢量τ_Cmd可以与通过监视器跟踪(具有第二计算单元的第二信道)独立计算出的矢量τ_MON相比较。这可以以不同的方式实现，例如作为简单的阈值比较实现或者也可以通过检查轴角旋转来实现。此时，对轴角旋转的检查可以识别，希望的转矩的轴是否可信地处于预先规定的容差之内并且转矩的大小(值)是否适中。

例如，可能发生的是，飞行器具有+80°的倾斜角(这根据第一处理方式不能通过检查或者会触发第二计算单元的相应信号，飞行员输入不会要求有这样的角度)。但这里，如果指令的转矩和力矢量(期望矢量τ_Cmd)指向对应于飞行员指令(飞行员输入)的方向，则命令单元(第一计算单元)中存在差错的可能性较低。在这种情况下，更多地应认定，飞行器由于外力进入不希望的飞行姿态。但COM-Lane明显适当地响应于这种给定的情况，并且其他检查规则可能无法改进总安全性。就是说，这里有利的是，在后续的监控中得出这样的结论，与第一处理方式相反，不要去介入第一计算单元的运行。

如上所述，在所提出的监控方案中，存在多个关于如何确定可能的非正常功能表现的处理方式。但如果仅信任其中一个监控方法来评判一个功能是否具有正常的表现，则可能带来过多的误报结果。“误报”在这种情况下是指，第二计算单元识别到了差错，但功能是在期望的容差范围(包络线或包络曲线)之内实施的。误报结果通常是由于添加过大的安全边际量而导致过于保守的包络曲线定义的结果。使用不止一个监控方法和使用“或”门得出判断，甚至会使这种情况恶化。相反的情况是，使用“与”门得出判断。结果是，非正常表现通常可能保持未被识别到。

在当前情况下，除了已经讨论的方法，还提出一种加权模式作为附加的改进方案，所述加权模式将不同的方法组合成一个总体方案。通过评估能通过一个给定的方法识别的安全性影响的严重性来定义权重。为了解释说明，使用下面示例性的表1来进行解释说明。这个表提供了上面提及的第一权重系数。

表1：差错严重性程度与严重性权重

第二权重(第二权重系数，见上文)取决于用于识别非正常功能的(判断)方法的类型。如果涉及二元判断，当功能按预期发挥作用时，权重为0，当观察到非正常表现时，权重为1。但如果所采用的方法具有能分级地或无级地给出的、用于识别非正常表现的置信度值(例如卡尔曼滤波器)，则这个值可以归一化到从零到一的范围[0,1]并且用作所谓的置信度权重。在表2中总结了所提出的第二(置信度)权重。

表2：方法和置信度权重

通过将置信度权重与严重性权重相乘并对所有所采用的方法求和，可以得到所监控的功能的评级。功能是正常工作还是不正常工作的判断可以通过定义阈值来得出。当加权的各个方法的和超过所定义的阈值，则将功能认定为非正常工作的。如果当加权的各个方法的和低于所定义的阈值，则将功能认定为正常工作的。