非二元协作恢复系统

优先权要求

根据35U.S.C.§229(e)，本申请要求2018年8月27日递交的名称为“AircraftFlight Envelope Protection Framework”的美国临时申请No.62/723,187的优先权，其全部公开、附图和附录通过引用包括在此。

技术领域

本公开总体上涉及飞行器飞行包线保护系统，并且更具体地涉及对潜在飞行器轨迹进行建模并针对飞行器限制违规和地形避让危险测试那些轨迹的飞行器飞行包线保护系统。

背景技术

本部分提供与本公开有关的背景信息，其不一定是现有技术。

飞行器被设计成关于飞行器的控制表面在一定的操作速度和载荷内操作。这些操作限制被称为飞行包线，在飞行包线之外可能会损坏飞行器或失去对飞行器的控制。此外，飞行器必须在飞行轨迹上操作，以避免与物体比如地面地形和其他飞行器碰撞。为了防止在飞行包线外操作或与其他物体碰撞，常规飞行器使用许多不相干的保护或安全系统，每个系统评估飞行器的各个方面，以确定飞行器是否在飞行包线外操作或是否有可能与地面或当前飞行路径上的其他物体碰撞。

自动化系统可用于从诸如包线破坏或与另一对象的碰撞的威胁中恢复。典型地，这样的恢复系统被设计成记住一件事，即当检测到威胁时，通过向飞行员发出警告或通过在自动驾驶系统接管飞行员的自动恢复模式下操作来从威胁中恢复。传统的恢复系统本质上是二元的--它们要么开要么关；没有中间状态。虽然传统的二元恢复系统完成基本的工作，但很少关注乘客的舒适性。这可能适用于军用飞机，飞行员戴着头盔，绑在弹射座椅系统上，准备吸收硬恢复重力，但不适用于商用或商务飞机。

发明内容

本解决方案是一个非二元系统。在所公开的系统中，使用平稳的、乘客安全的软乘坐，但是允许飞行员混合，并且如果裕度降低或不能改善，则软乘坐将自动地混合到越来越硬的恢复中。

为了实现这一点，处理器通过选择性地将飞行员输入与来自自动驾驶仪的控制信号混合来向飞行控制系统提供飞行命令。所述处理器通过连续迭代来生成预计恢复轨迹，每个迭代从当前飞行器位置开始并且使用可由所述处理器选择的恢复约束来影响飞行机动性(aggressiveness)程度。一种检测系统，其在沿着所述预计恢复轨迹存在威胁的情况下识别并调用威胁存在状态。在威胁存在期间，所述处理器在第一迭代中用伴有允许的混合飞行员输入来命令初始软恢复。如果在后续迭代中存在威胁，则所述处理器命令更机动的恢复，同时衰减混合飞行员输入。

在一个方面，所公开的概念提供了一种用于飞行器的危险恢复系统，该飞行器具有能够从飞行员输入和从自动驾驶系统接收飞行命令的飞行控制系统。处理器被编程为通过选择性地将飞行员输入与来自自动驾驶仪的控制信号混合来向飞行控制系统提供飞行命令。所述处理器被编程为通过连续迭代来生成预计恢复轨迹，每个迭代开始于当前飞行器位置并利用可由所述处理器选择的影响飞行机动性程度的恢复约束。

一种检测系统，在沿着所述预计恢复轨迹存在威胁的情况下识别并调用威胁存在状态。在该威胁存在状态期间，所述处理器被编程为在第一迭代中执行：(a)命令所述自动驾驶系统使用被选择为允许所述飞行器以第一飞行机动性程度避免所述威胁的第一恢复约束来飞行所述预计恢复轨迹的第一实例化；以及(b)将第一加权因子应用于所述飞行员输入以产生飞行员输入与自动驾驶仪控制之间的第一混合度。

如果威胁存在的状态在后续迭代(例如，下一次迭代)期间继续，则所述处理器增加恢复机动性并选择性地衰减飞行员输入。在威胁存在的状态期间，所述处理器被编程为在连续迭代中执行：(a)命令所述自动驾驶仪使用由所述处理器选择的第二恢复约束来飞行所述预计恢复轨迹的第二实例化，以允许所述飞行器以大于第一程度的第二飞行机动性程度来避免所述威胁；以及(b)将第二加权因子应用于所述飞行员输入以产生飞行员输入与其中衰减了飞行员输入的自动驾驶仪控制之间的第二混合度。

附图说明

本文描述的附图仅用于说明所选实施方式，而不是所有可能的实现方式。因此，附图的特定选择无意限制本公开的范围。

图1是结合被编程为执行包线保护功能的步骤的处理器来示出威胁包线和轨迹坐标数据结构的框图；

图2是飞行器的示意图，可用于理解所公开的通用方案和动能模型使用的某些力矢量和角度；

图3是飞行器的示意图，可用于理解通用方案和动能模型使用的某些能量值，并且还示出具有示例性能量和物体威胁的规划轨迹；

图4是示出n维威胁空间与轨迹坐标空间(时空)之间关系的数据模型框图；

图5是一个可行轨迹和两个弃用轨迹的详细视图，其示出如何使用第一个遇到的触发器来启动飞行器保护响应；

图6A是飞行器高度与地形贴近率的关系图，其示出现有技术系统中通常生成不同飞行员警报消息的区域；

图6B是飞行器在地形上方飞行的图，其示出在关于地形坡度的假设可靠的预期情况下，现有技术系统通常将发出不同飞行员警报消息的地方；

图6C是飞行器最初在地形上方飞行的图，其示出在关于地形坡度的假设与实际地形不符，使得现有技术系统不能避免地形碰撞的非预期情况下，现有技术系统通常发出不同飞行员警报消息的地方；

图7是示出如何迭代地修正规划轨迹以避免威胁的图示；以及

图8是非二元协作恢复系统的框图。

具体实施方式

以下详细描述本质上仅是示例性的，并不意图限制本发明或本发明的应用和用途。此外，无意受前述背景技术部分或以下详细描述中提出的任何理论的束缚。

引言

所公开的飞行器飞行包线保护系统使用飞行路径预测技术来提供统一的全包线保护，其在整个系列的飞行器飞行条件工作，以应对全系列的不同类型危险。使用动能模型从飞行器的当前状况连续计算飞行路径预测。计算多个预测轨迹，每个代表不同的逃避路线，在达到危险的阈值或触发点时，该逃避路线使得从危险恢复。该系统考虑不同类型的危险，一些涉及飞行器固有属性，比如速度和高度限制，一些涉及外部问题，比如地形和物体避让。所公开的飞行器飞行包线保护系统被设计为在所有这些威胁包线边界工作。

尽管计算了多个轨迹，但是该包线保护系统持续地评估并弃用在飞行器当前状况下不可行的轨迹。弃用的轨迹被系统视为不可行，除非飞行器的状况发生变化，才会使得弃用的轨迹又变得可行。所公开的保护系统在后台工作，不会凌驾于飞行员的权限之上或篡夺飞行员的权限，直至仅留有一个可行的预测轨迹(所有其他预测轨迹都被弃用)，并且触发了威胁。在这种情况下，该保护系统自动部署自动驾驶机构，从而采取规避动作，以从危险条件恢复。该保护系统还可以向飞行员生成警告，但是一旦留有的一个可行轨迹达到触发点，则优选地不依赖于飞行员来采取恢复动作。

优选地，该预测性包线保护系统被配置成提供非二元系列的恢复动作，包括在该系列的一端的乘客安全软乘坐(soft-ride)恢复，以及在该系列的另一端的硬恢复。当需要避免紧急威胁时，系统触发硬恢复。然而，在有更多时间来恢复的不那么极端的情况下，该系统触发软恢复-乘客安全平滑恢复。当触发该软恢复时，该系统会可选地将飞行员的输入混合到恢复算法中，从而允许飞行员基于飞行员的技术和经验修改恢复机动性(aggressiveness)。在提供对非二元协作恢复系统的完整解释之前，理解规划轨迹是如何形成的将是有帮助的。当检测到威胁并且使用可应用的(例如，最后剩余的)规划轨迹时，调用非二元协作恢复系统。非二元协作恢复系统的细节如图7所示，该图在下面题为“非二元和协作恢复”的部分中讨论。

参照图1，所公开的飞行器威胁包线保护系统的实施方式可使用处理器10来实现，处理器10具有相关联的存储器电路20，存储器电路20是根据预定威胁包线数据结构22来配置的，预定威胁包线数据结构22存储与飞行器28相关联的多个不同类型的威胁。优选地，处理器10和相关联的存储器电路20由飞行器携带。该数据结构可以包括记录表格、记录清单或记录矩阵，每个对应于不同威胁类型，在图1中在24处以栏的形式示出。每个威胁类型24具有在26处存储的相应触发条件。这些触发条件基于n维威胁空间使用通用框架或通用方案被参数化，并告诉处理器10在什么条件下达到了特定的威胁条件。重要的是，威胁空间的通用方案维度被选择成使得可以使用最小集合的通用基本变量来呈现全系列的不同威胁条件。在下面名为“动能模型”的部分中会讨论当前优选的最小集合的基本变量。

存储器电路20还被配置为支持轨迹坐标数据结构30，该轨迹坐标数据结构30按着时空坐标变量32存储多个轨迹。为了说明的目的，使用直角坐标系(x，y，z，t)标识时空坐标变量。也可以使用其他坐标系(例如，球面)。

生成规划轨迹

轨迹坐标数据结构(针对被建模的每个规划轨迹独立地)填充有时空坐标变量序列，这些时空坐标变量位于并因此限定时空中恢复轨迹形状。为了说明，处理器10被编程为在40处执行生成规划轨迹的步骤，这导致根据时空坐标定义的多个规划恢复轨迹，如42的时空图所示。以飞行器的当前状态为出发点，并假设在彼时启动每个恢复操纵，来计算每个规划轨迹。

在此处示出的示例中，处理器10生成三个规划轨迹。对于本公开的其余部分，将示出三个规划轨迹。在给定的实现方式中，可以使用不同数量的轨迹来定义多个轨迹的工作集。在商用或商务喷气机中，三个规划轨迹通常合适于支持从威胁进行平滑的乘客安全的恢复。对于可能需要倒转飞行或靠近地球颈背飞行的飞行器，例如军用飞行器，可能需要更多的规划轨迹。

处理器有多种方式来确定多个轨迹中的每一个的时空形状。在一个实施方式中，轨迹时空形状遵循标准化的一组预定义解曲线，该预定义解曲线对应于一组已知的危险恢复操纵，该危险恢复操纵适于该保护系统的设计所针对的一类飞行器。通常，这些解曲线基于受训飞行员为从特定危险恢复而可能会怎么飞。例如，这些可能包括标准的一组上拉、俯冲、左转和右转操纵，其中选择了特定参数(例如，爬升角和倾斜角)以使乘客的安全性和舒适性最大化。在一些实施方式中，可以使用复合恢复操纵，其中将不同类型的操纵串联在一起。例如，商务喷射机可能会采用复合操纵，其中在最终的爬升操纵之前先进行跃升(zoom)操纵，以将多余的空速换成高度，同时争得最佳的稳态爬升。在该实施方式中，标准化的一组相对少量的预定义解曲线(例如，三个规划轨迹)对于包括商务喷气机的许多类型的飞行器是足够的。使用相对较少数量的解曲线和少量基本动能变量会使处理器的负荷最小。因为轨迹被持续地重新计算，所以即使解集已减少到仅有少量规划轨迹，该系统仍可基于若干基本变量产生好的结果。当然，如果特定飞行器应用需要更高的解析度，则可以对处理器进行编程以计算更多的轨迹，并且计算可以被扩展，以支持附加变量。如果需要更大的处理量，则可以利用并行处理技术和可编程门阵列电路组件来增强或替换处理器10。

作为从标准的一小组预定义解曲线生成规划轨迹的替代方式，处理器可被编程为从所存储的不同族(family)的预定义解曲线集的集合进行选择，其中每族是针对从特定类型或类别威胁进行最佳恢复而设计的。因此，为从失速危险恢复而选择的解曲线族可能不同于为从实用升限危险恢复而选择的解曲线族。为了评估采用哪一族解，处理器可将当前飞行器状态投射到n维威胁空间，从而确定哪个威胁族最接近当前飞行器状态。这样，处理器实时确定哪个威胁最紧迫，然后使规划轨迹模型基于在当前情况下最合适的预定义解曲线族。

将威胁触发点与每个潜在轨迹相关联

或者与生成轨迹并行地，或者在生成轨迹之后串行地，在步骤44，处理器将与在威胁包线数据结构内识别出的威胁相对应的可应用触发点与时空中沿着每个规划轨迹的点相关联。对于任何给定的轨迹，起初可能没有检测到威胁。然而，随着飞行器继续飞行，且轨迹被持续重新计算，在一些时间点可能检测到威胁，并且在适用的情况下，作为每个轨迹上的触发点关联该威胁(在时间上首次被检测到)。如46处的时空图中概略表示的，这些触发点表示，当飞行器将达到应启动规避或恢复动作的威胁响应裕度时，沿着时空轨迹上的点。

应当再次强调：所生成的规划轨迹代表飞行员(或自动化系统)可能选择遵循的不同假想轨迹。因为这些轨迹中的每个被不断生成，所以它们都代表飞行器的可能未来状态。飞行器的当前状态位于规划的未来轨迹从其偏离的起点或奇点。只要有多个规划轨迹可用，飞行员就可自由地遵循其希望的任何路线。不管飞行员选择飞什么路线，处理器10仅针对预定的未来轨迹重新计算其解。

弃用不可行的规划轨迹

随着飞行器继续飞行，并且随着规划轨迹被不断重新计算，可能会出现给定轨迹不再可行的情况。例如在飞行器缺乏足够能量来执行规划轨迹操纵时，或者在规划轨迹操纵会导致违反速度限制(这会潜在地损坏飞行器)时，会发生这种情况。如果规划轨迹会将飞行器置于以足以毁坏飞行器的动量与实体物体碰撞的路线上，那么也会发生这种情况。在步骤48，处理器10在此基础上评估每个规划轨迹，并停用或弃用不再可行的任何轨迹。在图1中的50处，其中两个规划轨迹以虚线示出，以表示它们已被弃用。

在随后的保护性响应中不使用已弃用的轨迹。然而，由于处理器持续更新轨迹解，如果脱离了导致轨迹被弃用的条件，那么弃用轨迹会恢复到可行。例如，如果某轨迹因为将飞行器置于与另一飞行器碰撞的路线上而被弃用，且此后另一飞行器移出碰撞范围，则处理器将通过删除弃用轨迹的弃用状态来恢复该轨迹。

启动保护性响应

如52处所示，如果处理器达到仅留有一个可行轨迹的状态(所有其他轨迹已被弃用)，则处理器启动保护性响应。该响应可包括向飞行员发送警告或警报消息，飞行员可留意或不留意。不管是否留意，处理器启动的保护性响应都被设计为将飞行器置于计算出的将避让或逃避首先遇到的威胁(如果在计算出的轨迹上存在多个威胁)的轨迹。为了完成这一点，处理器向自动驾驶系统发送一个或更多个命令，稍后描述其细节。

图5更详细地示出了这一重要的危险恢复响应协议。如图所示，一个轨迹60仍然可行，而轨迹62和64已被弃用。沿着可行的轨迹60，首先发生的威胁66触发启动保护性响应。在启动时，飞行器按照规划轨迹飞行。实际上，规划轨迹变成飞行器将飞行的实际轨迹实例，其后续将根据规划轨迹的随后迭代更新而更改(如果有)。如图所示，规划轨迹被预先计算，以排除任何地形威胁，如68所示。因此，当被66处的首先发生的威胁(可以例如是由于机头低的条件导致的速度违规)触发时，用来计算规划轨迹形状的配方被设计为避让68处的地形威胁。

动能模型

处理器10使用的当前优选的基本变量最小集合依赖于动能模型，该动能模型在飞行器的物理位置、其能量状态以及作用在飞行器上影响轨迹的力方面定义预测轨迹。在这方面，与飞行器的纵向轴线垂直的力(法向力)改变轨迹方向，而与飞行器的纵向轴线相切的力(切向力)改变飞行器沿着轨迹的速度。

在一个实施方式中，n维威胁空间的通用方案可以由最小集合的基本变量N

如图3中所示，飞行器28的能量状态包括两个分量：与飞行器的速度有关的动能36(KE＝

这些变量可用于代表图4中所示的n维威胁空间80内的威胁，且还可用于通过使用动能关系在n维威胁空间80和轨迹坐标空间82之间变换数据来计算飞行器沿着规划轨迹在时空中的位置和未来位置处的能量状态。动能关系变换由变换处理器84执行，该变换可通过以动能关系对处理器10编程来实现，其中动能关系将飞行器P

所公开的预测性飞行器威胁包线保护系统因为其独特的数据模型而能够提供全包线保护，该数据模型能够使用通用方案来表示所有威胁，该通用方案采用最小集合的基本变量。如图4中所示，所公开的威胁包线保护系统实质上采用基于最小集合的变量的动能数据模型，和将数据模型的关键分量结合在一起的处理器组件。数据模型的一个关键分量限定了n维威胁空间80，通过该n维威胁空间80所有威胁使用一对力变量

数据模型的另一关键分量在时空变量(x，y，z，t)方面限定了轨迹坐标空间。一些威胁比如附近的地形对象或其他飞行器(占据空间的物质的两个例子)更容易基于对象的位置在坐标空间中表示。例如，该系统可利用地图数据来存储地形结构比如飞行期间会遇到的山脉的物理位置。该系统能够对能量威胁和物质威胁二者进行建模。为了说明，在图4中两个威胁位于飞行器轨迹上，能量威胁56(例如可以是飞行器失速限制)和物质威胁58(可以是地形对象，如山脉)。

为了将这两个数据模型分量结合在一起，以必要的动能等式对处理器10(图1)进行编程，以使其用作变换处理器84，变换处理器84使用从适当传感器比如GPS获得的当前飞行器位置86、威胁空间80内的力变量和能量状态变量，来计算轨迹坐标空间82中的规划轨迹。如果需要，变换处理器还可以将轨迹坐标空间82内的点投射到威胁空间80中，以评估例如飞行器的当前位置或规划的未来位置是否与包线威胁限制相交。

全包线保护

所公开的飞行器飞行包线保护系统提供的全包线保护涉及两个相关方面：(1)所公开的系统提供的保护覆盖所有情况，不仅最常见的危险；以及(2)所公开的系统同时处理多个不同的威胁条件。其不限于单个危险。为了说明第一方面，该系统被设计为在所有情况下提供保护，而不仅在飞行包线的中心或仅针对最常见的危险。例如，传统的超速保护系统仅在接近机翼水平时工作。在非常高的倾斜角，超速保护受到抑制。其原因是合乎逻辑的。超速保护通过将机头向上拉高来工作，以帮助减慢飞行器。如果飞行器处于非常高的倾斜角，例如倒转，则将机头向上拉高会恶化问题，而不是减轻问题。所公开的系统提供的全包线保护没有这样的限制，并且在整个系列的飞行器飞行条件工作。

为了说明第二方面，该系统被设计为针对全部威胁而不仅是单个威胁提供全面保护。在传统的增强型地面接近警告系统(TAWS)中，例如，针对地面撞击提供保护。然而，不提供低速保护——传统上为此提供单独的低速保护系统。与之对照，所公开的飞行器飞行包线保护系统在单个系统中针对所有威胁提供保护。在单个系统中处理所有威胁避免了一组联合系统会出现的冲突。

为了说明，曾经发生过装备有TAWS和低速保护的飞行器以低速撞击地面的灾祸。问题在于，联合系统不知道其他系统假设。在示例情况下，飞行器正以低速飞行，但是由于速度不接近失速，所以尽管速度低到了足以阻止立即爬升也没有触发低速保护。因为飞行器正在下降到跑道并且系统假设存在爬升能力，所以地面接近系统没有被触发。两个系统都不知道另一个系统邻近威胁，以及另一个系统关于速度和高度做出的假设。所公开的飞行器飞行包线保护系统提供无缝综合系统，其针对所有威胁提供保护，并充分了解所有相关参数。

预测性包线保护

传统包线保护系统使用经验法则基于假设来确定何时必须产生警报，以警告机组人员即将发生的包线偏移。对于情况接近假定的设计情况，这些系统可工作得相当好。然而，对于显著不同于设计点的情况，系统性能下降或完全失效。再次考虑仅使用经验法则的传统TAWS。

图6A示出了示例性传统TAWS系统。该传统TAWS使用无线高度表高度和变化率来确定拉高警报的定时。在图6B中所示的标称条件下，警报在一个时间点响起，该时间点没有早到成为麻烦，但是也足够早，使飞行员能做出反应并启动爬升，以避开上升的地形。该方法的准确性取决于两个因素。

首先，飞行器前方的地形必须与当前测量的地形相当匹配。系统查看当前地形净空(clearance)和该地形的变化率；但是如果地形坡度变化，则不能保证净空。图6C示出如果地形坡度显著不同于当前坡度，则会发生什么。图6C示出如果地形坡度在飞行器前方增加，则不能保证地形净空。

第二，这种类型的传统系统的准确度取决于当前配置的飞行器能够飞行预期地貌的能力。再次看图6A-6C，所示出的飞行器轨迹被假设为能够拉高到上升地形的上方。这是一个可能准确也可能不准确的假设。传统TAWS系统不考虑高海拔地形，在高海拔地形爬升性能显著弱于在海平面时。其没有考虑毛重效应或发动机故障条件。该标称情况可能无法扩展至整个包线。与之对照，所公开的预测系统不依赖于预先计算的经验法则，而是查看当前条件来预测爬升性能。在所公开的预测系统中，使用飞行器前方的实际地形且使用实际爬升能力。为了完成这一点，实时考虑影响飞行器爬升能力的重要因素，并将实际地形地貌与当前爬升能力进行比较，以确定准确的警报启动。尽管可以考虑影响爬升能力的所有因素，然而在实际实施方式中，通常仅需要考虑足够的因素来确保足够水平的精确性，可以排除影响较小的不重要因素。

动能方法建模

如上所述，所公开的预测性飞行器飞行包线保护系统使用运动学建模，运动学建模仅关注发生了什么而不是发生的原因。所公开的系统从飞行器的物理位置及其能量状态计算相关的预测轨迹。所公开的系统不关心导致该运动的力或力矩，而仅关心运动是什么。结果，诸如升降舵效能、静态纵向稳定性、短周期频率和阻尼比等参数以及许多其他参数是不重要的。为了预测未来轨迹，所公开的预测系统仅需关心影响该轨迹的力。

在这方面，法向力改变轨迹方向，并且切向力改变沿着该轨迹的速度。考虑到这一点，所公开的系统通过仅考虑P

沿着轨迹发生的速度变化仅取决于轨迹的垂直分量和当时飞行器的P

快速计算建模

上述预测方法可以是计算密集的，以实时执行，因此针对所公开实施方式开发的一些技术可以是有用的。首先，对执行空速包线保护来说，未来空速的准确预测是必要的。从建模的真实空速(TAS)计算校准的空速(CAS)和马赫数可以是计算密集的。计算准确的Ps也可以是相当密集的。一种应对这些计算问题的技术是使用查找表函数。另一种方法是针对标称情况(250KCAS，中等重量，STD……)将Ps作为高度的函数进行线性或二次曲线拟合，然后针对非标称条件使用Ps借项(debit)对此进行调整。这样的借项包括空速(作为高度的函数)借项、速度制动器借项、单引擎借项、非标准日温度借项等。这些可以从计算出的借项加上/减去。许多参数在建模期间可以仅计算一次。例如，可针对模型的每次迭代，预先计算纬度方向和经度方向风漂流，并且用于随后的每次迭代，因为风漂流将是相同的。

多轨迹

所公开的预测系统是多轨迹系统，在一个优选实施方式中，该系统使用3个主要轨迹来预测警报/恢复启动时间。能够从飞行器倒转(倒置)条件恢复的另一个实施方式使用6个主要轨迹。在讨论多个轨迹之前，首先考虑单个预测轨迹系统及其如何被实现为警报系统。对于单个预测轨迹系统，系统查看当前状态，然后假设在彼时启动恢复。然后针对与所防护的威胁的接近度建模并测试预测性恢复。例如，如果飞行器在向地面俯冲，则系统将预测机头低恢复将会是什么样，并针对与空速限制和地形二者的接近度测试该轨迹。如果没有超过限制并且裕度可接受，则不会发出警报。如果超过了限制或者裕度小得不可接受，则将会触发恢复警报，如“拉高”。在许多情况下，单个轨迹就够了。在针对平坦地形的机头低情况下，实际上仅有一种好的恢复方式，那就是滚转机翼水平，降低功率并拉高至恢复N

支持多个预测性轨迹(在一个优选实施方式为6个轨迹)的原因可由第二示例来说明，在第二示例中飞行器正水平飞向沙漠中的一个沙丘。在这样的情况下，有两个预测性轨迹可使用。飞行员可通过左转或右转来避让沙丘，或通过保持在航线上并爬升高过沙丘来避让。这带来如下问题，即在什么点系统应启动“拉高”警报？或者，如果水平转弯最好，那根本不需要发起“拉高”警报。该问题的解决方案是使用多个轨迹。由于飞行员具有多个逃避选项，系统对这些选项中的每个进行建模。在沙丘示例中，系统将对三个轨迹进行建模：左转弯轨迹、右转弯轨迹和爬升轨迹。如果单个轨迹违反了限制且裕度不足，但是其他轨迹没有问题，则不发出警报，因为飞行员仍然有余地选择其他选项。仅在只有一个可行的轨迹且该轨迹达到触发点时才发出警报。所以在沙丘示例中，如果左转和右转被排除，那么在爬升轨迹裕度降到期望阈值以下时发出“拉高”。如果由于不同地形邻近或地形类型，爬升轨迹被排除，那么在相应轨迹是最后可用的并且达到其触发裕度时将发出“左转”或“右转”警报。

再次地，因为飞行员有多个逃避选项，提供100％保护的100％无干扰系统必须考虑(且建模)所有可能的逃避选项。在实际实施方式中，系统一般不对所有选项进行建模——每个不同类型的轨迹解的代表性示例通常就够了。例如，在沙丘情况下，可以以10度倾斜进行爬升右转，以15度倾斜进行爬升右转等。每个轨迹可被调整微小的量，从而生成无限个可能的轨迹。然而，30度和29度倾斜轨迹在功能上无法区分。因此，仅需要以足够的分度对整个范围的恢复进行建模，以防止干扰性警报。我们已确定：对于商务喷射机，针对地形避让使用最少三个轨迹而针对速度限制使用一个轨迹就获得非常好的结果。一个实施方式的示例性轨迹包括水平爬升、30度倾斜左转爬升和右转爬升。也可以采用七(7)个轨迹和无限轨迹体系。这些较大数量的轨迹在军事系统中可能具有实用性，例如其需要大地颈背无干扰操作。

虽然三(3)个主要轨迹表示最小集合，但是更好的实现方式基于六个主要轨迹。原因是：不能假设上述三个轨迹中的每个都能立即被启动。例如水平爬升可能需要在之前进行机头高恢复，以在启动稳态爬升之前达到爬升速度。在此，三个最终的爬升被称为最终爬升或直接爬升。对于一些系统来说，飞行器总是处于要直接进入最终稳态爬升的状态。在商务喷射机中，最终爬升可能之前是跃升，以将过剩空速转化为高度，同时争得最佳稳态爬升。在一些情况下，在达到功率可被充分用以进行最终爬升的姿势之前，功率被留置以使空速受控的情况下必须首先启动机头低恢复。因为飞行器可执行两个方向上的机头高恢复和两个方向上的机头低恢复(在最短的方向上滚转至水平，或通过垂直于水平滚转)，总共有六个轨迹。

以上，将六个轨迹指定为主要轨迹。如果需要，实施方式还可以支持额外的轨迹来完成其他目的。例如，一旦找到优选轨迹，其可使用两秒钟飞行员延迟再次运行，以帮助确定更精确的警报启动。此外，如果需要，可以使用更机动的恢复模型再次计算优选轨迹。然后将该更机动的恢复模型与起初计算出的优选轨迹混合，以帮助在软乘坐和硬乘坐恢复选项之间进行混合。

自动化

预测性飞行器飞行包线保护系统是全自动化系统，这意味着其不依赖于飞行员干预。尽管它会向飞行员提供或者可能应该提供警报，但是该系统是自动化的并且不依赖于飞行员关注该警报来提供保护。这需要一些另外的考虑。首先，需要一个系统来实现该预测性警报。需要实施执行包线保护操纵的某种形式的自动驾驶系统。该自动驾驶系统应当对侧滚、俯仰以及速度致动器和油门具有完全权限。此外，由于该系统必须在一个发动机不起作用(one-engine-inoperative，OEI)的情况下工作，所以自动驾驶必须能够处理非对称推力的情况。所公开的系统提供的解决方案是将推力补偿加到基本飞行器控制规则中。结果，即使在没有在进行避让时，飞行器也表现得好像两个发动机的推力线沿着飞行器的中心线。在一个实施方式中，发动机之间的N1差用来调度补偿舵。还有其他经验证的推力补偿方法可用于替代N1。

自动化系统的第二个必要特征是：对于故障和传感器损坏，自动化系统必须比手动系统更加具有抵抗能力。对于手动系统，虚假警报会被容易地忽视。对于自动化系统，虚假警报不能被忽视，因此对虚假警报的抵抗能力必须显著更高。因此所公开的系统提供了多个冗余传感器，它们与监控电路和表决电路相结合，其中监控电路确定传感器何时发生故障或不可信，表决电路确定当在多个冗余传感器之间存在某些差异时将哪个传感器值报告给系统。

最后，自动化系统允许将飞行员输入与系统提供的控制混合在一起。在之前的这种性质的系统中(例如军事应用中使用的传统自动化地面防撞系统)，恢复一般几乎总是飞行器的最大能力。原因来自军事应用所需的性能，其中不考虑乘坐质量，需要无干扰极低水平操作(地球颈背操作)。在商务喷射机中，恰恰相反。不需要极低水平、地球颈背操作，并且乘客的乘坐质量是最重要的。结果，商务喷射机的优选恢复一般远非飞行器的最大性能能力。

然而，平滑的乘客安全恢复确实带来了挑战。首先，在喷气尾流使飞行器上下倒转或风切变将飞行器投向地面的复杂情况期间，平滑的乘客安全恢复是不能够的。在这些极端罕见的“不可抗拒”情况下，飞行器如何实现目标不重要；重要的是使用所有可用的控制能力来恢复飞行器。其次，存在如下情况：启动了自动恢复，然而在恢复期间，飞行员意识到与地面有多近，并且希望通过增加恢复性能来增加地形裕度。在这种情况下，系统通过将飞行员输入与计算出的平滑乘客安全恢复相混合，来允许飞行员增加恢复机动性。这样，该系统灵活地处理平滑的乘客安全恢复可能不适合的极端情况：在一个情况中允许系统自动增加恢复机动性，而在另一个情况中允许飞行员这样做。为了应对这些情况，系统实施非二元控制系统，稍后对此进行描述。

非二元的协同恢复

在二元系统中，自动恢复或警报处于打开或关闭状态，没有中间状态。如之前所述，为商务喷射机设计的所公开自动系统需要更多。解决方案是非二元系统。在所公开的系统中，使用平滑的乘客安全软乘坐，但是允许飞行员混合，并且如果裕度降低或不能改进，则软乘坐被自动地混合到越来越硬的恢复中。实现这一点的一种方式是比较同一方向上的软乘坐优选轨迹和硬乘坐轨迹，并且基于该比较来混合自动推杆器/增益调节器(nudger/fader)。在可以使用对限制的裕度来驱动该混合的情况下，可以使用其他方法。例如，处理器可评估是否平滑乘坐不能实现期望的裕度。在这样的情况，轨迹预测算法逐渐增加机动性，并且作为响应指示越来越机动的恢复。自动推杆器/增益调节器设计应被设立为使得飞行员可辅助恢复，但是在裕度小时机动地防止恢复退化。

参照图7，示出了当飞行器在位置a时开始的规划轨迹60a。对于该讨论，假设当飞行器在位置a时不存在主动威胁，因此，如果威胁本身确实存在，则规划轨迹60a简单地表示由处理器计算的适当路线。在图7中，仅示出了单个轨迹(例如，60a)。该图7既应用于多轨迹系统，(其中，其他轨迹可能已经被弃用)，也应用于仅计算一个规划轨迹的单个轨迹系统。

如图7所示，飞行器在水平飞行中沿着虚线前进，直到其到达点b。在点b处，检测到地形危险的存在，例如山脉M。如图所示，从b处的飞行器位置计算的规划轨迹60b足以通过沿着规定轨迹60b在其上方飞行来避让山脉的危险。在点b处的所有条件与在点a处的条件相同，规划轨迹60b的形状与片刻之前计算的规划轨迹60a的形状相同。轨迹60a和60b都由处理器使用平滑的乘客安全轨迹来计算，该平滑的乘客安全轨迹对飞行器乘客施加标称重力(例如，1.2g)。

然而，条件可能改变，使得当飞行器在飞行期间到达点c时，基于与轨迹60a和60b相同的平滑的、乘客安全的轨迹参数的规划轨迹60c不再适于净空(clear)山脉M。条件可能改变，例如由于气流的改变或由于飞行员采取的动作。系统仍然有时间校正轨迹60c的不足性，并且因此在点c处重新计算使用更机动的恢复公式的新轨迹61c，该更机动的恢复公式将允许在飞行器乘客上施加更强的重力(例如，1.3g)。

图8示出了使用处理器(例如，处理器10及相关联组件)实施的非二元恢复危险恢复系统的一个实施例。在该实施例中，非二元危险恢复系统被设计为向飞行控制系统120提供飞行命令，飞行控制系统120进而控制影响飞行的控制表面、发动机和其他飞行器部件。飞行控制系统120接收来自信号混合或混合电路122(其可由处理器10实现或作为外部信号处理或逻辑选通电路实现)的输入，以向飞行控制系统提供来自飞行员和来自自动驾驶仪124的飞行命令的混合。如将解释的，在一些情况下，这种输入混合的范围可以从完全的飞行员控制到完全的自动驾驶仪控制，其中存在飞行员和自动驾驶仪之间的各种混合，两者都影响将什么命令发送到飞行控制系统120。

如图所示，飞行员输入通常将通过操纵器或飞行控制杆126提供，其输出由飞行员输入加权衰减器128进行处理。加权衰减器接收来自处理器10的权重命令，并且该权重命令用于改变或衰减飞行员输入的程度，衰减因子范围从0％(不施加衰减)到100％(不通过飞行员信号)。加权衰减器可以被设计为提供线性衰减范围、分段衰减范围、曲线拟合范围等。

在更复杂实施例中，导频(pilot)衰减可以可能比单纯的数字加权因子复杂得多。在该实施例中，混合调度存储在可由处理器10访问的存储器中，并且该调度用于定义允许飞行员对轨迹的影响达到何种程度。该调度将定义温和恢复与硬恢复之间的范围(不一定是线性范围)，并且可以存储在查找表中以供处理器访问。换句话说，处理器可以采用从包括线性混合模型、非线性混合模型和两者的组合的模式的组中选择的混合模式。

处理器10还计算规划轨迹(诸如结合图7讨论的那些)。如上所述，处理器迭代地生成规划轨迹，每次迭代开始于飞行器的当前位置，在图8中示出为原点o。可以生成规划轨迹以产生具有不同飞行机动性程度的一系列轨迹60。尽管轨迹曲线60的总体形状相同，但是通过由处理器通过算法或查找表计算出的恢复约束特性来控制机动性的程度。处理器基于来自威胁检测器系统130的信息，通过评估飞行器离检测到的威胁有多近，通过算法确定恢复约束，并因此确定适当的机动性程度。

在许多情况下，这里示出的威胁检测器系统130将从不同类型的传感器的集合发展而来，每个传感器被选择来感测与特定类型的威胁相关的属性。因此，空速传感器将提供对超速或欠速威胁的检测，主动地形传感器(例如，RADAR、LIDAR)或基于地图的GPS启用的被动地形将提供对地形碰撞威胁的检测。

非二元协作恢复算法

处理器10被编程为通过连续迭代重复计算一个或多个规划轨迹。如上所述，即使在没有检测到威胁时也这样做。因此，在从检测器系统130的输入之一检测到威胁的情况下，规划轨迹用作执行恢复操纵的潜在起始点。

根据所涉及的飞行器类型，处理器将使用恢复约束特性来计算这些规划轨迹，该恢复约束特性将实现适合于飞行器类型的轨迹。在商用或商务飞机中，优选初始轨迹是以最小的重力提供平稳、乘客安全的恢复。如果最初计算的恢复没有不能证明是成功的，但是首先起初系统假定平滑的、乘客安全的恢复是适当的，则可以在稍后改变恢复约束属性。

在检测到威胁的情况下(存在威胁状态)，处理器被编程为将最近计算的规划轨迹提供给自动驾驶仪124。在威胁检测之后的该第一迭代期间，处理器被编程为也允许来自飞行员的完全混合输入。这是通过将导频衰减因子设置为0％(无衰减)来实现的。在这种状态下，自动驾驶仪124将基于最近计算的规划轨迹提供飞行指令，并且这些指令将在122处与来自飞行员的输入混合。因此，如果飞行员选择增加恢复操纵的机动性来维持更高的重力，这将是允许的。或者，如果飞行员选择取消自动驾驶仪操纵，有效地取消自动驾驶仪正在飞行的恢复轨迹，这也是允许的。

然而，在该第一检测后迭代期间通过操作使其处于设置在于运动中的飞行器行为并不是故事的结尾。如果在下一次(或任何后续迭代)期间，检测器系统130指示当前执行的轨迹将不会避免危险，则计算新的更机动的轨迹(使用不同的恢复约束来增加机动性)，并且将新的衰减因子提供给飞行员输入加权衰减器128，从而减小飞行员不利地改变新轨迹的程度。加权衰减器128可以例如允许飞行员甚至比新轨迹所要求的更多地增加恢复的机动性，但是限制(或甚至完全阻止)飞行员降低机动性或采取将降低新轨迹的有效性的其他动作的能力。然而，一旦威胁存在的状态被移除，处理器就被编程为返回到混合状态，允许飞行员输入对飞行器具有完全或正常的控制。

因此，非二元协作恢复系统继续以这种迭代方式操作运行，直到计算出成功的恢复解决方案并且飞机净空了危险为止。通过每次连续迭代，如果需要，机动性的程度将从初始软恢复(例如，1.2g)增加到更机动的恢复(例如，1.3g)——在该时间期间接受一些飞行员输入——并且最终增加到非常机动的恢复(例如，1.5g至2.0g)——在该时间期间飞行员输入被锁定。

以这种方式，系统实现了非简单的开或关的非二元恢复。在规划轨迹计算的每次迭代时，恢复将自动分阶段进行。单独观察系统的自动驾驶仪124组件，自动驾驶仪不仅仅是开或关，而是其将执行越来越机动的恢复轨迹，直到威胁被净空为止。在这点上，来自飞行员的反制命令输入可能与初始计算的规划轨迹是否最终不足以净空目标无关。飞行器外部的条件可能是原因，例如空气湍流、气压、风速等的变化。该系统的非二元方面允许在给定当前飞行器情况下，处理器可以计算出新的迭代，该迭代通常被设计成连续进行，尽可能快地使恢复轨迹适应最佳乘客舒适度。

预测轨迹解的连续迭代的值不能被夸大。连续迭代允许非二元恢复系统允许来自飞行员的协作输入。协作由处理器以智能的方式处理，允许飞行员输入是安全的，同时在最安全的行动方案是允许自动驾驶仪完全控制时，逐渐锁定飞行员输入。在一个方面，混合系统调节飞行员输入与自动驾驶仪控制信号输入的比率。

所公开的系统的协作方面实现了一种形式的人机传感器融合，在该融合中，向自动驾驶系统124提供基于机载飞行器传感器、地形数据和其他技术系统生成的轨迹命令。同时，人类传感器(即，飞行员)响应于飞行员的人类感觉器官感知到的状况，基于飞行员的技能和训练来处理这些状况，并经由操纵器或飞行控制杆126输入这些飞行命令。处理器10和混合或混合电路122执行这两个不同源(人和机器)的传感器融合，以提供飞行器轨迹为正确的更大确定性，并且将提供平滑的、乘客安全的恢复，并且在许多情况下，提供最优轨迹。关于人类和技术输入的融合，人类能力和现代电子信号处理能力都是非常有能力的；但在某些重要方面，它们却大不相同。

所公开的系统的协作方面融合这两个完全不同的输入，以在大多数情况下提供比仅使用一个输入可能的更好的解决方案。如上所述地设计系统，使得在检测到危险之后的初始迭代期间，允许飞行员输入，可能根本没有任何衰减。相反，在稍后的迭代期间，如果恢复轨迹不起作用，则飞行员输入被衰减，可能被完全锁定。在初始迭代期间允许飞行员输入是有利的，因为飞行员可以感测技术传感器系统错过的方面，并且飞行员可以具有比处理器可以从技术传感器产生的更复杂的关于特定飞行器或特定条件的经验。然而，在随后的迭代期间，如果威胁仍然存在，则衰减导频输入是有利的，因为导频可能被分散或削弱。

尽管在前述说明中呈现了至少一个示例性实施方式，但是应当理解存在大量的变型。应当理解，示例性实施方式仅是例子，且不意在以任何方式限制本发明的范围、适用性或配置。而是：前述详细说明为本领域技术人员提供了实现在此构思的示例性实施方式的便利路线图。应当理解，在不脱离所附权利要求中阐述的本发明范围的情况下，可对示例性实施方式中描述的要素的功能和设置进行各种改变。