本文公開的技術總體上涉及無人駕駛飛行器。更具體地，本文公開的技術涉及用于確保無人駕駛飛行器的自主操作不會導致不安全狀況的系統和方法。

背景技術：

無人駕駛飛行器是一種有動力的、比空氣重的飛行器，其不運載人類操作者或飛行員，并且其使用空氣動力來使飛行器提升、其可以自主飛行或遠程駕駛、可以是不可重復使用的或可重復使用的，并且可以攜帶致命或非致命有效載荷。

無人駕駛飛行器的自主任務可以包括，例如，導航無人駕駛飛行器以在超出控制站的無線電通信范圍的已知的遠距離位置處對可能的感興趣的目標進行搜索的任務。這樣的任務還可以包括對偵察成像數據進行處理以檢測和識別感興趣的目標，并且導航更靠近目標以實現拍攝圖像的任務目的來查明目標的身份，或跟蹤目標的移動以識別目標的方向或航向。示例性任務還可以包括一旦獲取了識別目標或目標的移動方向的任務目的，就例如生成命令以將無人駕駛飛行器導航到控制站的通信范圍內的位置，以將目標信息發送到控制站，或者返回并降落在無人駕駛飛行器的初始位置。

除了軍事應用之外，無人駕駛飛行器在商業應用中的使用正在增加。隨著無人駕駛飛行器在世界各地空域中越來越多的存在，很可能將在世界范圍內實行監管。可能出現的最重要的要求是，商業空域中的無人駕駛飛行器的操作者將需要保證他們的無人駕駛飛行器將針對不安全狀況或不安全操作而被持續監測，并且當檢測到不安全狀況或不安全操作時能夠切換到安全模式。

技術實現要素：

以下詳細公開的主題涉及一種在無人駕駛飛行器上的可切換飛行控制系統，其能夠針對不安全狀況或不安全操作持續監測飛行器操作，并且當在執行任務期間檢測到不安全狀況或不安全操作時，能夠將飛行器操作從任務執行模式切換到安全模式。以下詳細公開的實施方式包括飛行管理系統、自主任務控制模塊、安全模塊和監測模塊，該監測模塊被配置為針對不安全狀況或不安全操作監測飛行器操作，并且當檢測到不安全狀況或不安全操作時，輸出控制信號以使通信控制組件切換到安全模式，在該安全模式下，飛行管理系統接收來自安全模塊而不是任務控制模塊的命令的傳送。當正常操作已經恢復(其可以通過來自任務控制模塊的信號指示給監測模塊)時，監測模塊然后使通信控制組件選擇性地向飛行管理系統傳送來自任務控制模塊而不是安全模塊的命令。

如本文所使用的，術語“模塊”應當寬泛地解釋為包括使用軟件編程的至少一個計算機或處理器，并且其可以具有通過網絡或總線通信的多個編程的計算機或處理器。如在前面的句子中所使用的，術語“計算機”和“處理器”都是指包括處理單元(例如，中央處理單元，集成電路或算術邏輯單元)的設備。兩個或更多個模塊可以包括可由公共硬件組件(例如，處理器或計算機)執行的相應軟件應用或可由相應且分離的硬件組件執行的相應軟件應用。

以下詳細公開的實施方式采用驗證和確認技術來確保自主無人駕駛飛行器的正確操作，并且以能夠用于自主無人駕駛飛行器的認證的方式來證明。監測模塊被設計為具有監測無人駕駛飛行器上的任何自主系統的執行的能力，并且然后如果系統在原始計劃任務的執行期間退出其安全操作界限，則觸發恢復任務動作。

以下詳細公開的主題的一個方面是用于控制無人駕駛飛行器的飛行的機載系統，包括：飛行管理系統，所述飛行管理系統被配置為控制所述無人駕駛飛行器的飛行；任務控制模塊，所述任務控制模塊被配置為通過發送尋址到所述飛行管理系統的用于引導所述無人駕駛飛行器執行任務的命令來管理所述任務；安全模塊，所述安全模塊被配置為發送尋址到所述飛行管理系統的用于引導所述無人駕駛飛行器在安全模式下繼續安全地飛行的命令；通信控制組件，所述通信控制組件能夠在任務狀態與安全狀態之間切換，在所述任務狀態中，所述飛行管理系統接收來自所述任務控制模塊的命令的傳送，在所述安全狀態中，所述飛行管理系統接收來自所述安全模塊的命令的傳送；以及監測模塊，所述監測模塊被配置為確定是否存在使從任務模式到安全模式的模式改變有必要的觸發條件，并且當所述觸發條件存在時使所述通信控制組件從所述任務狀態切換到所述安全狀態。根據各種實施方式，所述觸發條件是以下之一：(a)由任務控制模塊發出的命令無效或者由任務控制模塊發出的有效命令的參數違反了約束條件；(b)通過健康狀態傳感器已經檢測到無人駕駛飛行器上的錯誤或故障；或(c)通過飛行狀態傳感器檢測到不安全飛行狀況。監測模塊還被配置為在任務模塊和飛行器的正常操作被恢復時使通信控制組件從安全狀態切換到任務狀態。

以下詳細公開的主題的另一方面是一種用于控制無人駕駛飛行器的飛行的方法，包括以下步驟：(a)從所述無人駕駛飛行器上的任務控制模塊向所述無人駕駛飛行器上的飛行管理系統發送用于引導所述無人駕駛飛行器執行任務的命令；(b)監測從所述任務控制模塊發送到所述飛行管理系統的所述命令的有效性；(c)基于從所述任務控制模塊發送到所述飛行管理系統的所述命令(例如，通過確定命令無效)來確定是否存在觸發條件；以及(d)根據從所述任務控制模塊發送到所述飛行管理系統的經驗證的命令，來引導所述無人駕駛飛行器。該方法還可以包括以下步驟：(e)確定從所述任務控制模塊發送到所述飛行管理系統的命令無效；(f)中斷從所述任務控制模塊到所述飛行管理系統的命令的傳送；(g)從所述無人駕駛飛行器上的安全模塊向所述飛行管理系統傳送用于引導所述無人駕駛飛行器在安全模式下操作的命令；以及(h)當由所述任務控制模塊發出的所述命令無效時，重啟所述任務控制模塊。根據一些實施方式，步驟(b)包括監測由所述任務控制模塊發出的所述命令中包括的參數的值是否違反約束條件。所監測的參數可以是以下組中的一個：來自任務控制模塊的心跳輸出、轉彎率、爬升率、下降率、滾轉率、俯仰率和偏航率。

以下詳細公開的主題的另一方面是一種用于控制無人駕駛飛行器的飛行的方法，包括以下步驟：(a)從所述無人駕駛飛行器上的任務控制模塊向所述無人駕駛飛行器上的飛行管理系統傳送用于引導所述無人駕駛飛行器在任務模式下執行任務的命令；(b)監測是否存在使從所述任務模式到安全模式的模式改變有必要的觸發條件；以及(c)將來自所述無人駕駛飛行器上的安全模塊的用于當存在所述觸發條件時引導所述無人駕駛飛行器在所述安全模式下操作的命令傳送到所述飛行管理系統，而不是傳送來自所述任務控制模塊的命令。根據各種實施方式，所述觸發條件是以下之一：(a)由任務控制模塊發出的命令無效或者由任務控制模塊發出的有效命令的參數違反了約束條件；(b)健康狀態傳感器已經檢測到無人駕駛飛行器上的錯誤或故障；(c)飛行狀態傳感器已經檢測到不安全飛行狀況；或者(d)對象相對于無人駕駛飛行器的位置違反了約束條件。

另一方面是一種用于控制無人駕駛飛行器的飛行的機載系統，包括：飛行管理系統，所述飛行管理系統被配置為控制所述無人駕駛飛行器的飛行；任務控制模塊，所述任務控制模塊被配置為通過發送尋址到所述飛行管理系統的用于引導所述無人駕駛飛行器執行任務的命令來管理所述任務；安全模塊，所述安全模塊被配置為發送尋址到所述飛行管理系統的用于引導所述無人駕駛飛行器在安全模式下繼續安全地飛行的命令；以及監測模塊，所述監測模塊被配置為確定是否存在使從任務模式到安全模式的模式改變有必要的觸發條件，其中，所述飛行管理系統將響應于所述監測模塊確定存在所述觸發條件接收來自所述安全模塊而不是來自所述任務控制模塊的命令的傳送。優選地，前述系統還包括通信控制組件，所述通信控制組件是能夠在任務狀態與安全狀態之間切換的硬件，在所述任務狀態中，所述飛行管理系統接收來自所述任務控制模塊的命令的傳送，在所述安全狀態中，所述飛行管理系統接收來自所述安全模塊的命令的傳送，所述通信控制組件的狀態由來自所述監測模塊的輸出控制。

以下公開了用于確保無人駕駛飛行器的安全自主操作的系統、設備和方法的其它方面。

附圖說明

在前述部分中討論的特征、功能和優點可以在各種實施方式中獨立地實現或者可以與其它實施方式進行組合。下面將參照附圖描述各實施方式，以便說明上述方面和其它方面。

圖1是示出典型的無人駕駛飛行器的主要子系統的布局的框圖。

圖2是示出根據一個實施方式的用于控制無人駕駛飛行器的飛行的機載系統的總體架構的框圖。

圖3是根據一個實施方式的對用于控制無人駕駛飛行器的飛行的方法的步驟進行標識的流程圖。

在下文中將對附圖進行參照，其中不同附圖中的類似元件具有相同的附圖標記。

具體實施方式

在下面的一些細節中描述用于控制無人駕駛飛行器的飛行的系統的說明性實施方式。然而，本說明書中并未描述所有實際實現的特征。本領域技術人員將理解，在任何這樣的實際實施方式的開發中，必須做出大量實現特定的決定以達到開發者的特定目標(諸如符合系統相關和商業相關的約束條件)，其將從一種實現到另一種實現而有所不同。此外，應當理解，這樣的開發努力可能是復雜和耗時的，但是對于受益于本公開的本領域普通技術人員而言仍然是常規任務。

無人駕駛飛行器可以是固定翼飛行器、旋翼飛行器或具有噴氣發動機和升力風扇的垂直起飛和著陸的飛行器。本文公開的可切換控制系統可以在任何無人駕駛飛行器上使用，而不管無人駕駛飛行器所使用的推進系統的類型。

圖1示出了可采用本文公開的增強型飛行控制系統的類型的無人駕駛飛行器10的主要子系統的布局。無人駕駛飛行器10在其前端具有照相機12并且在其后端具有馬達14。馬達14驅動螺旋槳16旋轉。所有子系統經由一個或更多個數據總線24與機載控制計算機22通信。圖1中描述的無人駕駛飛行器10具有分別安裝在機翼18和20的末端處的兩個天線26和28。每個天線都連接到gps接收器30、常規無線電接收器(rx)32和無線電發射器(tx)34。無人駕駛飛行器10還包括致動器36和飛行狀態傳感器(fss)38，它們也經由一個或更多個數據總線24與控制計算機22通信。

圖1中描述的無人駕駛飛行器10可以被修改以包含圖2中描述的所有組件。在另選實施方式中，圖2中描述的組件可以被包含到其它類型的無人駕駛飛行器中。例如，圖2中描述的組件可以被包含到具有升力風扇的類型的無人駕駛飛行器中。作為另一個示例，圖2中描述的組件可以被包含到具有在聯接翼中的升力風扇和為其提供垂直起飛和著陸能力(包括懸停)以及低速和高速兩者機動性的推力矢量發動機的無人駕駛飛行器中。

參照圖2，根據一個實施方式的用于控制無人駕駛飛行器的飛行的機載系統包括以下組件：飛行管理系統40(包括至少飛行管理計算機和非暫時性有形計算機可讀存儲介質)，其被配置為控制無人駕駛飛行器的飛行；任務控制模塊2，其被配置為通過發送尋址到飛行管理系統40的用于引導無人駕駛飛行器在任務模式下執行任務的命令來管理任務；安全模塊8，其被配置為發送尋址到飛行管理系統40的用于引導無人駕駛飛行器在安全模式下繼續安全地飛行的命令，所述安全模式被設計成確保無人駕駛飛行器的恢復；通信控制組件(ccc)6，其能夠在任務狀態(圖2中示出)與安全狀態(圖2中未示出)之間切換，在任務狀態中，飛行管理系統40接收來自任務控制模塊2的命令的傳送，在安全狀態中，飛行管理系統40接收來自安全模塊8的命令的傳送；以及監測模塊4，其被配置為確定是否存在觸發條件(諸如當由任務控制模塊2發出的命令被確定為無效時)，然后根據該確定的結果來設置通信控制組件6的狀態。監測模塊4被配置為當存在觸發條件時(諸如當由任務控制模塊2發出的命令無效或當存在一些其它觸發條件時)，將通信控制組件6從任務狀態切換到安全狀態。無效命令可以包括，例如，激活未實際安裝在無人駕駛飛行器上的特定組件或設備的命令或信號。無效命令還可以包括，例如，當起落架艙門關閉時展開起落架的命令、或缺失速度參數值的發動機速度命令。

更具體地，任務控制模塊2可以不被編程為對異常飛行器狀況(例如，發動機損失或過熱)起作用，并且如果其繼續在這樣的狀況下操作，則即使在生成和傳送有效命令時也會產生危險。根據優選實施方式，監測模塊4被配置為當出現以下觸發條件中的任何一個時將通信控制組件6切換到安全模式：(a)無效命令被通過任務控制模塊2引導到飛行管理系統40；(b)具有無效參數(即，具有違反了約束條件的值的參數)的有效命令被通過任務控制模塊2引導到飛行管理系統40；(c)健康狀態傳感器46檢測到飛行器錯誤或故障；以及(d)飛行狀態傳感器38檢測到不安全的飛行狀況(例如，失速、空中交通管制信號丟失等)。

通信控制組件6可以包括用于將飛行管理系統40連接到任務控制模塊2或安全模塊8的物理電路(即，硬件)。在圖2描述的實施方式中，通信控制組件6是電開關。在另選方案中，通信控制組件6可以包括用于安全模塊8和任務控制模塊2中的每一個的端口(諸如tcp/ip端口)到用于與飛行管理系統40通信的端口(諸如tcp/ip端口)的物理連接。另選地，通信控制組件6可以包括與軟件相結合的路由器或其它組件以用于選擇性地從任務控制模塊2或安全模塊8向飛行管理系統40傳送命令。

根據另選實施方式，通信控制組件6可以在被配置為跨板傳導(具有適當的電子屬性的)以太網信號的印刷電路板上以硬件的形式實現。例如，通信控制組件6可以是以太網交換機，其從監測模塊4接收電信號、具有經由以太網連接器連接到任務控制模塊2和安全模塊8的輸入端，并且具有經由以太網連接器連接到飛行管理系統40的輸出端。監測模塊4將控制以太網交換機的交換邏輯，并且該交換邏輯將執行xor功能以確保在任何給定時間每路只有一條路徑有效。

任務控制模塊2可以通過空對地通信系統48和天線50與地面控制站(圖2中未示出)通信。任務控制模塊2可以是具有通用的或任務特定的架構并且利用專門設計用于執行所選擇的任務計劃的操作的軟件來編程的計算機。任務計劃可以或者在啟動之前存儲在無人駕駛飛行器上的非暫時性有形計算機可讀存儲介質中，或者在飛行期間經由空對地通信系統48和天線50從地面控制站接收。

任務控制模塊2與地面控制站之間的通信可以通過中繼網絡或衛星網絡進行，即，不是在任務控制模塊2與地面控制站之間排他性地直接通信。另選地，控制站可以在飛機上。

任務控制模塊2可以被配置為監測分派給無人駕駛飛行器的任務或操作的進度。任務控制模塊可以包括飛行計劃軟件、學習算法等。任務控制模塊2可以在監測任務或操作的進度的同時收集信息。所收集的信息可以指示任務計劃中的沖突，任務控制模塊2能夠使用協商算法來解決該沖突。另外，任務控制模塊2向通信控制組件6發送命令，該命令被尋址到飛行管理系統40以執行操作。這些命令可以提供用于執行操作的參數或者可以提供用于執行操作的參數的一部分。在其它示例中，這些命令可以不提供用于執行操作的參數，并且可以允許飛行管理系統40選擇這些用于執行操作的參數的全部或一部分。

飛行管理系統40可以具有用于控制操作的執行的多個配置。多個配置中的每一個都可以包括，例如，但不限于用于飛行管理程序的配置的多個進程、程序代碼、多個算法、多個工具、多個控制和/或多個其它適合的元件中的至少一個。

仍然參照圖2，飛行管理系統40從gps接收器30接收gps數據并從飛行狀態傳感器38接收飛行狀態數據，并且利用該信息使用飛行器狀態估計器計算飛行器狀態估計(例如，位置、空速等)。飛行器狀態估計器可以包括計算機或處理器，其被配置為基于由飛行狀態傳感器38提供的飛行數據(例如，空速、迎角、溫度和氣壓高度)和慣性參考(例如，姿態、飛行路徑矢量、地面速度和位置)信息，并且還基于從gps接收器30接收到的位置數據來估計飛行器狀態參數。飛行器狀態估計由飛行管理系統40輸出到監測模塊4和安全模塊8。可選地，飛行器狀態估計也可以被提供給任務控制模塊2。

另外，飛行管理系統40在執行其功能的過程中使用飛行器狀態估計。更具體地，飛行管理系統40具有向無人駕駛飛行器的各種飛行控制42(例如，飛行操縱面)發出命令的引導和導航功能；并且飛行管理系統40還具有推力和/或升力管理功能，其向各種推進系統44發出用于產生期望水平的推力和/或升力的命令。

監測模塊4被配置為確定是否存在觸發條件(諸如當由任務控制模塊2發出的命令被確定為無效時，諸如通過監測這些命令是否產生違反了約束條件的狀況)。根據各種實施方式，所監測的參數是以下之一：來自任務控制模塊的心跳輸出、無人駕駛飛行器的轉彎率、無人駕駛飛行器的爬升率、無人駕駛飛行器的下降率、無人駕駛飛行器的滾轉率、無人駕駛飛行器的俯仰率、無人駕駛飛行器的偏航率、對象相對于無人駕駛飛行器的預期飛行路徑的位置以及從無人駕駛飛行器到對象的距離。

在其中至少部分地基于飛行器狀態估計來計算所監測的參數的實施方式中，監測模塊4被配置為使用飛行器狀態估計來計算所監測的各種參數的當前值。這些當前值進而與相應閾值進行比較以確定是否違反了任何約束條件。

根據其它實施方式，監測模塊4被配置為監測對象相對于無人駕駛飛行器的位置和預期飛行路徑的位置。如圖2所示，無人駕駛飛行器可以被配備為接收關于對象的位置的信息。例如，無人駕駛飛行器可以包括ads-b接收器52，其可以經由天線54被數據鏈接到其它類似裝備的飛行器。眾所周知，廣播式自動相關監視(ads-b)技術使得能夠實時確定交通位置和其它數據，其中每秒發送位置和速度數據。ads-b接收器52能夠通知監測模塊4關于ads-b范圍內任何配備有ads-b的對象的位置和速度。在該配置中，監測模塊4將監測對象相對于無人駕駛飛行器的預期飛行路徑的位置，并在無人駕駛飛行器的飛行路徑將與其中對象所在的空間的體積相交的情況下發出信號。另外或另選地，無人駕駛飛行器可以配備有測量從無人駕駛飛行器到對象的距離的對象接近傳感器56(例如，激光測距儀)。在該配置中，監測模塊4將監測間隔對象與無人駕駛飛行器的距離，并且在無人駕駛飛行器的飛行路徑將與對象失去間隔的情況下發出信號。根據另一替代方案，無人駕駛飛行器可以配備有雷達系統，用于跟蹤該雷達系統的范圍內的對象的位置。

如圖2中所描述的，任務控制模塊2還可以被配置為向照相機12和圖像處理器60發送命令。圖像處理器進而被配置為處理由照相機拍攝到的圖像。處理后的圖像可以被存儲在無人駕駛飛行器上的非暫時性有形計算機可讀存儲介質中，以在之后當無人駕駛飛行器已到達位置或降落在地面控制站的圖像傳輸范圍內時下載。可選地，任務控制模塊2可以配置有用于控制安裝有照相機的云臺(pan-tilt)單元(圖中未示出)的照相機部署軟件。

可切換控制系統的組件可以是如先前定義的單獨模塊。任務控制模塊2被配置為從基于地面的控制站接收通信。這些通信可以包括任務目的(諸如在其處執行偵察任務的已知位置)。任務控制模塊2還可以被配置為自主地計劃無人駕駛飛行器到任務位置的導航，并且確定用于指示飛行管理系統40控制無人駕駛飛行器的飛行和方向的引導命令。任務控制模塊2還可以被配置為生成指示照相機12獲取圖像并指示圖像處理器60處理所獲取的圖像數據以檢測和識別感興趣的目標的命令。另外，任務控制模塊2被配置為生成用于與飛行管理系統40通信(經由通信控制組件6)的命令，包括用于轉向、傾斜、旋轉、爬升、下降等的命令，該命令用于定向或引導無人駕駛飛行器跟蹤感興趣的目標的移動或者移動更靠近目標以拍攝用于查明其身份的圖像。

在示例性實施方式中，無人駕駛飛行器包括至少包含監測模塊4、通信控制組件6和安全模塊8的控制板、組件或電路。

監測模塊4可以包括硬件和/或軟件，并且包括被配置為監測從任務控制模塊2發送到飛行管理系統40的輸入或命令的可執行命令。監測模塊4將輸出提供到通信控制組件6，以使通信控制組件6基于監測模塊4的確定來選擇性地向飛行管理系統40傳送或者來自任務控制模塊2的命令或者來自安全模塊8的命令，其中，通信控制組件在執行任務期間的狀態是將任務命令從任務控制模塊2傳送到飛行管理系統40。

根據一個實施方式，監測模塊4執行確定任務控制模塊2是否以預期速率(例如，心跳速率)操作或通信的算法。在監測模塊4確定任務控制模塊2未正常通信或操作時，監測模塊4啟動任務控制模塊2的重置，并生成輸出以使通信控制組件6選擇性地向飛行管理系統40傳送來自安全模塊8的命令。在監測模塊4啟動重置(或重啟)的情況下，其也可以啟動重置定時器。在重置時間屆滿時，監測模塊4然后監測指示任務控制模塊2恢復正常操作的信號和/或命令的輸入。如果正常操作已經恢復(其可以通過來自任務控制模塊2的信號指示給監測模塊4)，則監測模塊4然后使通信控制組件6選擇性地向飛行管理系統40傳送來自任務控制模塊2(而不是安全模塊8)的命令。

另外或另選地，監測模塊4執行一個或更多個算法，該算法確定任務控制模塊2是否正在發出將導致無人駕駛飛行器的性能狀況違反約束條件的命令。所監測的性能狀況可以是以下中的一個或更多個：轉彎率、爬升或下降率、滾轉率、俯仰率(即，傾斜速率)以及偏航率。如果違反了這些飛行參數中的任何一個的規定閾值，則監測模塊8被配置為切換通信控制組件6的狀態，以選擇性地向飛行管理系統40傳送來自安全模塊8的命令，并從而使得無人飛行器回到在安全模式下飛行。

根據一些實施方式，監測模塊4被配置為當對象相對于無人駕駛飛行器的預期飛行路徑的位置將導致阻礙或碰撞時，或者當存在失去無人駕駛飛行器與對象之間的間隔時，切換到安全模式。

在監測模塊4使通信控制組件6將飛行管理系統40連接到安全模塊8的情況下，安全模塊，例如，可以發送用于引導或導航無人駕駛飛行器返回并著陸在初始位置的命令。另外，安全模塊，例如，可以被配置為基于關于附近對象的ads-b信息或由對象接近傳感器56獲得的關于附近對象的傳感器數據發送用于引導或導航無人駕駛飛行器遠離附近對象的命令。安全模塊8還可以向基于地面的控制站發送用于引導或導航無人駕駛飛行器的命令，以重新建立與控制站的通信，用于實現對無人駕駛飛行器的遠程引導。

總而言之，圖3標識了用于使用圖2中描述的系統的監測模塊來控制無人駕駛飛行器的飛行的方法100的步驟。監測模塊4接收來自任務控制模塊的命令(步驟102)。然后，監測模塊4確定在預設時間內或以預設的最小速率是否接收到輸入/信號(步驟104)。

如果在預設時間內或者以預設的最小速率沒有接收到輸入，則監測模塊4確定是否已經啟動任務控制模塊2的重置(步驟106)。如果已經啟動重置，則監測模塊4繼續監測來自任務控制模塊2的輸入。如果未啟動重置，則監測模塊4將向任務控制模塊2輸出重置(即，重啟)信號，并啟動重置定時器(步驟108)。然后，監測模塊4向通信控制組件6輸出切換到安全狀態的控制信號(步驟120)，使通信控制組件6阻止來自任務控制模塊2的命令但允許來自安全模塊8的命令傳送至飛行管理系統40。

再次參照圖3中的步驟104，如果在預設時間內或以高于預設最小速率的速率接收到監測模塊輸入，則監測模塊4確定輸入是否是操縱型命令，諸如轉彎、爬升或下降(步驟110)。如果輸入是操縱型命令，則監測模塊4確定命令速率是否違反規定閾值(步驟112)。如果命令速率違反了規定閾值，則監測模塊4向通信控制組件6輸出切換到安全狀態的控制信號(步驟120)。如果命令速率不違反規定閾值，則監測模塊4進行到步驟114。

返回到步驟110，如果對監測模塊4的輸入不是操縱型命令，則監測模塊4然后確定輸入是否是定向或“去往”位置命令(步驟114)。如果對監測模塊4的輸入不是定向或“去往”位置命令，則過程100返回到步驟102和104。如果對監測模塊4的輸入是定向或“去往”位置命令，則監測模塊4進行到步驟118。

在過程100期間，監測模塊4接收來自ads-b收發器52的ads-b信息和來自對象接近傳感器56的對象接近數據(步驟116)。監測模塊4讀取該信息并使用其來計算無人駕駛飛行器的方向或未來位置(即，預期飛行路徑)是否被任何附近對象阻礙(步驟118)。如果無人駕駛飛行器的預期飛行路徑被阻礙，則監測模塊4向通信控制組件6輸出切換到安全狀態的控制信號(步驟120)。如果無人駕駛飛行器的預期飛行路徑沒有被阻礙，則過程100返回到步驟102和104。

此外，本公開包括根據以下條款的實施方式：

條款1.一種用于控制無人駕駛飛行器的飛行的機載系統，所述機載系統包括：

飛行管理系統，所述飛行管理系統被配置為控制所述無人駕駛飛行器的飛行；

任務控制模塊，所述任務控制模塊被配置為通過發送尋址到所述飛行管理系統的用于引導所述無人駕駛飛行器執行任務的命令來管理所述任務；

安全模塊，所述安全模塊被配置為發送尋址到所述飛行管理系統的用于引導所述無人駕駛飛行器在安全模式下繼續安全地飛行的命令；

通信控制組件，所述通信控制組件能夠在任務狀態與安全狀態之間切換，在所述任務狀態中，所述飛行管理系統接收來自所述任務控制模塊的命令的傳送，在所述安全狀態中，所述飛行管理系統接收來自所述安全模塊的命令的傳送；以及

監測模塊，所述監測模塊被配置為確定是否存在使從任務模式到安全模式的模式改變有必要的觸發條件，并且當所述觸發條件存在時使所述通信控制組件從所述任務狀態切換到所述安全狀態。

條款2.根據條款1所述的系統，其中，所述監測模塊還被配置為在所述任務模塊和飛行器的正常操作被恢復時，使所述通信控制組件從所述安全狀態切換到所述任務狀態。

條款3.根據條款1所述的系統，其中，所述觸發條件是由所述任務控制模塊發出的命令被確定為無效或者是由所述任務控制模塊發出的有效命令的參數違反了約束條件。

條款4.根據條款3所述的系統，其中，所述監測模塊還被配置為當由所述任務控制模塊發出的所述命令被確定為無效時，重啟所述任務控制模塊。

條款5.根據條款1所述的系統，所述系統還包括健康狀態傳感器，其中，所述觸發條件是所述健康狀態傳感器已經檢測到所述無人駕駛飛行器上的錯誤或故障。

條款6.根據條款1所述的系統，所述系統還包括飛行狀態傳感器，其中，所述觸發條件是所述飛行狀態傳感器已經檢測到不安全飛行狀況。

條款7.根據條款1所述的系統，其中，所述觸發條件是由所述任務控制模塊發出的有效命令的參數具有違反了所述約束條件的值，其中，所述參數是以下組中的一個：轉彎率、爬升率、下降率、滾轉率、俯仰率以及偏航率。

條款8.根據條款1所述的系統，所述系統還包括：

多個飛行狀態傳感器；以及

被連接成將關于對象的位置的數據發送到所述監測模塊的傳感器，

其中，所述飛行管理系統包括飛行器狀態估計器，所述飛行器狀態估計器接收來自所述飛行狀態傳感器的數據并且將包括至少飛行器位置和速度的飛行器狀態估計傳送到所述監測模塊，所述監測模塊還被配置為計算所述對象相對于所述無人駕駛飛行器的位置，并且當對象相對于所述無人駕駛飛行器的位置違反了距離約束條件時確定存在觸發條件。

條款9.根據條款8所述的系統，其中，所述傳感器包括被連接成向所述監測模塊傳送關于所述對象的接近的數據的對象接近傳感器。

條款10.根據條款9所述的系統，其中，所述約束條件是從所述無人駕駛飛行器到所述對象的最小間隔距離。

條款11.根據條款10所述的系統，其中，所述安全模塊還被配置為向所述飛行管理系統發送用于引導所述無人駕駛飛行器遠離所述目標的命令。

條款12.根據條款1所述的系統，其中，所述安全模塊還被配置為向所述飛行管理系統發送用于引導所述無人飛行器飛行到指定位置的命令。

條款13.一種用于控制無人駕駛飛行器的飛行的方法，所述方法包括以下步驟：

(a)從所述無人駕駛飛行器上的任務控制模塊向所述無人駕駛飛行器上的飛行管理系統發送用于引導所述無人駕駛飛行器執行任務的命令；

(b)監測從所述任務控制模塊發送到所述飛行管理系統的所述命令的有效性，以基于從所述任務控制模塊發送到所述飛行管理系統的所述命令有效還是無效來確定何時存在觸發條件；以及

(c)根據從所述任務控制模塊發送到所述飛行管理系統的經驗證的命令來引導所述無人駕駛飛行器。

條款14.根據條款13所述的方法，所述方法還包括以下步驟：

(d)確定從所述任務控制模塊發送到所述飛行管理系統的命令無效；

(e)中斷從所述任務控制模塊到所述飛行管理系統的命令的傳送；以及

(f)從所述無人駕駛飛行器上的安全模塊向所述飛行管理系統傳送用于引導所述無人駕駛飛行器在安全模式下操作的命令。

條款15.根據條款14所述的方法，所述方法還包括當由所述任務控制模塊發出的所述命令無效時重啟所述任務控制模塊。

條款16.根據條款13所述的方法，其中，步驟(b)包括監測由所述任務控制模塊發出的所述命令中包括的參數的值是否違反約束條件。

條款17.根據條款16所述的方法，其中，所監測的參數是以下組中的一個：來自所述任務控制模塊的命令輸出的心跳率、轉彎率、爬升率、下降率、滾轉率、俯仰率以及偏航率。

條款18.一種用于控制無人駕駛飛行器的飛行的方法，所述方法包括以下步驟：

(a)從所述無人駕駛飛行器上的任務控制模塊向所述無人駕駛飛行器上的飛行管理系統傳送用于引導所述無人駕駛飛行器在任務模式下執行任務的命令；

(b)監測是否存在使從所述任務模式到安全模式的模式改變有必要的觸發條件；以及

(c)將來自所述無人駕駛飛行器上的安全模塊的用于當存在所述觸發條件時引導所述無人駕駛飛行器在所述安全模式下操作的命令傳送到所述飛行管理系統，而不是傳送來自所述任務控制模塊的命令。

條款19.根據條款18所述的方法，其中，所述觸發條件是由所述任務控制模塊發出的命令無效或者由所述任務控制模塊發出的有效命令的參數違反了約束條件。

條款20.根據條款18所述的方法，其中，所述觸發條件是健康狀態傳感器已經檢測到所述無人駕駛飛行器上的錯誤或故障。

條款21.根據條款18所述的方法，其中，所述觸發條件是飛行狀態傳感器已經檢測到不安全飛行狀況。

條款22.根據條款18所述的方法，其中，所述觸發條件是對象相對于所述無人駕駛飛行器的位置違反了約束條件。

條款23.一種用于控制無人駕駛飛行器的飛行的機載系統，所述系統包括：

飛行管理系統，所述飛行管理系統被配置為控制所述無人駕駛飛行器的飛行；

任務控制模塊，所述任務控制模塊被配置為通過發送尋址到所述飛行管理系統的用于引導所述無人駕駛飛行器執行任務的命令來管理所述任務；

安全模塊，所述安全模塊被配置為發送尋址到所述飛行管理系統的用于引導所述無人駕駛飛行器在安全模式下繼續安全地飛行的命令；以及

監測模塊，所述監測模塊被配置為確定是否存在使從任務模式到安全模式的模式改變有必要的觸發條件，

其中，所述飛行管理系統響應于所述監測模塊確定存在所述觸發條件接收來自所述安全模塊而不是來自所述任務控制模塊的命令的傳送。

條款24.根據條款23所述的系統，所述系統還包括通信控制組件，所述通信控制組件能夠在任務狀態與安全狀態之間切換，在所述任務狀態中，所述飛行管理系統接收來自所述任務控制模塊的命令的傳送，在所述安全狀態中，所述飛行管理系統接收來自所述安全模塊的命令的傳送，所述通信控制組件的狀態由來自所述監測模塊的輸出控制。

雖然已經參考各種實施方式描述了裝置和方法，但是本領域技術人員應理解，在不脫離本文的教導的情況下，可以進行各種改變并且可以用等同物替代其元件。另外，可以進行許多修改以使本文公開的概念和對實踐的簡化適應特定情況。因此，旨在由權利要求覆蓋的主題不限于所公開的實施方式。

隨附闡述的方法權利要求不應被解釋為要求其中所述的步驟以字母順序(權利要求中的任何字母順序僅用于參考前述步驟的目的)或者按照它們被列舉的順序執行。也不應解釋為排除同時或可選擇地執行的兩個或更多個步驟的任何部分。