轨迹监控的制作方法

本发明涉及用于监控飞行器的轨迹的系统和方法的领域。

背景技术：

用于管理飞行器的轨迹的系统和方法必须满足所要求的运行安全条件。

具体而言，RNP-AR型航空运行要求高。所需导航性能(required navigation performance，RNP)可能要求授权(authorisation required，AR)。RNP指定已创建的程序，以列举有关空域及其使用所要满足的条件。相比于其他的地表导航程序(RNAV)，在使用和安全方面RNP-AR程序能够提供巨大的益处：通过规定增强了的导航功能、完整性以及精度来确保利用更少的最小障碍物清除作业的运行，这能够在从运行的视场点处其他程序的应用不可实现或不可接受的情况下，实现接近和出发程序。

例如，在这种RNP-AR环境中，如果发生所谓的远程错误(其中每次运行的错误概率包含在10^-5与10^-7之间)，则规定要求飞行器保持在参考轨迹周围的2×RNP通道中。

具体而言，在常规的双系统(两条独立的导航链路)的配置中，系统的一条链路(侧)中的错误(这意味着飞行器所行进的轨迹出现了不希望的修改)必须能够被检测到并且首先被隔离，以便在未发生错误的侧上飞行。

标题为“用于利用所需导航和引导性能来帮助管理航空运行的方法和装置”的专利文件US 2012/0092913公开了一种用于帮助实施航空运行(这种航空运行要求在RNP-AR环境下保证导航性能和引导)的方法和装置。该公开需要使用N个系统，N为大于或等于3的整数。包含三重架构的方法具有局限性。

其他已知的现有方法包括利用用于交叉检查监控装置的TAWS或 手动方式。这些方法也具有局限性。

存在对于尤其能够保证运行安全要求(特别是在RNP-AR环境下)的改进方法和系统的需求。

技术实现要素：

本发明涉及一种用于监控飞行器的飞行轨迹的方法，该方法包括以下适时地重复的步骤：接收和比较两条轨迹目标，所述轨迹目标与在时间上彼此独立地确定的两条最初相同的飞行轨迹相关联；以及如果两条轨迹目标之间出现差异，则通过与未发生错误的最后已知的状态作比较，而从两条飞行轨迹中确定出错误的轨迹，未发生错误的最后已知的状态对应于两条相同的轨迹目标。研发描述了航段(或飞行计划片段)、或者在当前航段变化的同时的标记、错误隔离的应用，根据RNP-AR程序的运行安全水平以及对飞行员确定为具有错误的轨迹的通知的应用。还描述了软件和系统(例如，FMS、FWS)方面。

本发明使得能够检测和隔离双系统中的轨迹计算函数中的错误。其包括可选地独立于两个导航链路的函数，该函数的目标在于监控每条导航链路的轨迹，以检测链路的一个中的错误并且警告机组人员。

本发明的工作原理基于连续比较两条导航链路中的每条的轨迹。在未出现错误的情况下，两条轨迹是相同的并且稳定的。当两条链路中的一条出现错误时，轨迹之间出现差异，并且通过将具有错误的侧与未发生错误的最后状态相比较而识别具有错误的侧。

根据本发明的一个方面，解决方案能够检测和隔离双导航系统中的轨迹计算函数中的错误，从而能够最大地降低在这种类型的错误期间偏离超过由运行安全要求设定的限制的可能性。

有利地，根据本发明的方法能够显著地降低偏离由运行安全要求设定的限制的可能性(例如，双导航系统的链路中的一个出现轨迹错误)。如果不是最优情况，也可以降低偏离轨迹很远的可能性。

有利地，根据本发明的方法通过自动地识别双系统中发生错误的部分或侧(在这种类型的错误期间不需要其他装置的资源)，本发明能够降低机组人员的认知负担，并且由此可以限制系统的复杂性(即，不需要包括三条链路的三重配置的资源)。

具体而言，在对于单个链路每次运行这种错误出现的概率超过10^-5的双系统中，本发明能够将该系统用于RNP-AR工作。

有利地，在双导航系统中实施的方法能够自动隔离一条导航链路中的轨迹计算函数的错误。表述“隔离错误”应当被理解为指的是检测错误的发生(确定问题的存在)并且确定两条链路中的哪一条发生了错误(更准确地讲，是确定错误的起源或者其周界，或者错误的特性或性能)。在现有的系统中，机组人员必须实施另外的方法来识别错误和/或改变导航方式以继续飞行；在RNP-AR环境下，这些现有方式的实施在运行安全方面具有局限性和不充分性。

有利地，根据本发明的某些实施方案，方法的实施可以是自动的，并且从而节约了部分机组人员的额外分析和反应的任何额外的延时，这种延时也可能根据环境而增大偏离。

附图说明

根据参考如下附图给出的本发明的实施方案的一个优选而非限制性的形式，本发明的各个方面和优点将变得明显：

图1示出了本发明的常规工作；

图2A和图2B示出了错误检测的示例；

图3A和图3B示出了轨迹管理函数的示意图；

图4示出了轨迹的比较的示例性步骤；

图5示出了飞行管理系统中的根据本发明的方法的示例性实施方案；

图6示出了一个不同的实施方案。

具体实施方式

公开了一种用于监控飞行器的飞行轨迹的方法，该方法包括以下适时地重复的步骤，其包括：接收和比较两条轨迹目标，所述轨迹目标与在时间上彼此独立地确定的两条最初相同的飞行轨迹相关联；以及在给定的时刻，如果两条轨迹目标之间出现差异，则通过与未发生错误的最后已知的状态进行比较，而从两条飞行轨迹中确定出错误的轨迹，未发生错误的最后已知的状态对应于两条相同的轨迹目标。

“未发生错误的最后状态”可以定义为两条轨迹相同的最后状态。为了检测与当前航段的变化同时出现的错误，变化之后所提供的状态的知识也由此使得提供的未发生错误的最后状态成为已知，并且从而在发生与当前航段的变化同时出现的错误时被隔离。

两条轨迹彼此独立地并且在相同的初始状态下被确定。因此，连续地重复计算出的轨迹确定必须在时间上一致，取用于推断相关计算的短暂延时的模数。由于该假定的匀称性，除了以下情况之外，结果必定相同：a)两次独立的确定同时出现错误的情况和/或b)轨迹发生变化(例如，随着由飞行员执行的手动修改而出现的航段的变化)。与未发生错误的最后状态的比较解决了第一种情况的不确定性。根据本发明的方法的其他实施方案能够消除与第二种情况相关联的其余不确定性。

在一种研发中，轨迹目标为完整的飞行轨迹。比较的轨迹目标(即，发送至偏差计算函数)可以是完整的轨迹(例如，由飞行管理系统操纵的当前或参考轨迹)。

在一种研发中，轨迹目标为包括一个或多个航段(例如，TF和/或RF类型的航段)的轨迹区段。轨迹的比较的步骤可以按照轨迹片段的顺序来执行。

在一种研发中，轨迹目标为(或者包括)轨迹标记。在一个实施方案中，每个FMS产生表示轨迹的(或者轨迹部分的)CRC的一个32比特的字。然后FWS比较两个CRC。轨迹标记可以为(或者包括)循环冗余校验(cyclic redundancy check，CRC)文件。该实施方案能够进行快速比较和计算。例如，如果轨迹1具有00001111的值，则存在4个值等于1的比特。为了获得奇数个比特，需要添加一个比特(轨迹的奇数校验位为1)。如果轨迹2具有00000111的值，则存在3个比特为1。为了获得奇数个比特，需要添加一个比特，轨迹的奇数校验位为0。在第一种情况下，FMS 1由此将1传送至FWS。在第二种情况下，FMS 2由此将0传送至FWS。两种校验位不相同：FWS可以由此推断出两个FMS不具有相同的轨迹，而不接收完整的轨迹。

在一种研发中，所述方法进一步包括以下步骤：接收当前航段的变化的指示，并且比较航段变化前后的两条轨迹目标。

变化的指示可以利用各种方式来接收或确定。其可以从监控模块(例如不属于本发明的系统)接收。飞行飞机朝着轨迹的飞行计划点行进。来自飞行员的(手动的或自动的)命令改变轨迹，所述轨迹由FMS(在当前情况下为独立的FMS的双系统)反复计算：相继地飞行不同的航段，并且从而可以执行(或者检测或初始化或确定)排序(航段的变化)。当前航段的变化的指示可以例如起源于轨迹的变化(该轨迹变为等于在航段的变化之后所提供的轨迹)的检测。

排序前后的轨迹目标的比较可以提供有关错误的信息。

在一种研发中，所述方法进一步包括以下步骤：如果航段变化之后的两个目标不相等，则(从在时间上彼此独立地确定的两条最初相同的飞行轨迹中)确定存在错误的轨迹。换句话说，这是一个“目标之间”比较的问题。如果航段变化之后的两条(独立地确定)轨迹目标不相等：则两条轨迹当中存在错误的轨迹。

在一种研发中，所述方法进一步包括以下步骤：如果航段变化之后的两个目标不相等，则(从在时间上彼此独立地确定的两条最初相同的飞行轨迹中)确定错误的轨迹，所述确定包括比较两条轨迹目标的每一条的步骤，例如在当前航段的变化之前计划的下一个轨迹区段和例如在当前航段的变化之后飞行的当前轨迹区段；以及确定与以下轨迹目标相关联的为错误轨迹：对于该轨迹目标，例如在当前航段的变化之前计划的下一个轨迹区段不等于例如在当前航段的变化之后飞行的当前轨迹区段。换句话说，这是一个“目标之间”比较的问题。如果两条轨迹目标不相等，则可以通过进一步检查先前的轨迹目标的内容来消除不确定性，即，比较例如由FMS提供的轨迹区段与那些有效地飞行的轨迹区段。

如果航段变化之后的两条(独立地确定的)轨迹目标相等，则不能进行推断(两条轨迹目标同时发生错误，或者它们同时正常；然后不确定单侧的错误)。

如果缺少(当前航段发生了变化的)“排序”的出现的指示，则可能无法得出推断。

在一种研发中，轨迹目标为包括一个或多个TF和/或RF类型的航段的轨迹区段。

在一种研发中，所述方法进一步包括以下的步骤：接收运行安全的水平的步骤以及利用错误容差阈值(fault tolerance threshold)来执行的比较轨迹目标的步骤，所述错误容差阈值根据所接收的运行安全水平而预先定义。

两条轨迹之间的偏差必须保持在由飞行性能要求(其为输入数据)提供的某些限制内。所比较的轨迹片段的子集对于所述运行安全的水平是相关的。

在一种研发中，对于RNP-AR型程序，安全的水平与包含在0.1与1海里之间的RNP值相关联。例如，在某些有利的实施方案中，安全水平可以为RNP-0.3水平(十分之三海里)。

在一种研发中，比较轨迹目标的步骤在预先定义的延时期满时执行。预先定义的延时覆盖系统的异步性。换句话讲，在预先定义的延时期满时执行比较是有意义的，这覆盖了实施为确定轨迹的不同系统的同步性。例如，1号FMS计算一条轨迹，而2号FMS也计算一条轨迹。两次计算不完全同时开始。预先定义的延时对应于两条链路之间所存在的时间容差。换句话讲，轨迹在“稳定”(计算的更新)之后进行比较。

在一种研发中，所述方法还包括以下步骤：通知飞行器的飞行员在时间上彼此独立地确定的两条轨迹当中出现错误的轨迹。

本发明的其他方面描述如下。

根据一个具体实施方案，保存轨迹目标的历史(至少保存至某一历史深度)，例如轨迹的连续航段。该历史能够消除与错误链路有关的可能的不确定性。具体而言，该实施方案能够检测轨迹“排序”(即，当前航段的变化)同时发生的错误。

在系统执行轨迹的元素的排序的情况下(即，一旦载体经过轨迹元素，则该元素被移除并且执行下一个引导)，比较将使用a)用于每条链路的两条轨迹：当前轨迹以及在下一个排序中提供的轨迹，以便在排序的同时检测错误的轨迹，或者b)n条轨迹，如果在导航链路中多次排序可能的话。

公开了一种计算机程序产品，所述计算机程序包括代码指令，当所述程序被计算机执行时，所述代码指令使得所述方法的一个或多个 步骤得以执行。

公开了一种包括用于实施所述方法的一个或多个步骤的装置的系统。在一种研发中，该系统包括两个飞行管理系统或FMS。在一种研发中，该系统包括用于监控所述两个飞行管理系统或FMS的监控装置。在一种研发中，所述监控装置包括两个飞行警报系统或FWS。

图1示出了本发明的常规工作。

轨迹管理的函数100(即，轨迹监控和错误隔离)由两条导航链路110和120(“双系统”)的比较而实现。每条导航链路(110、120)包括各种数据和指令。有关飞行器的位置的数据源(111、211)能够计算有效位置(112、212)，而导航信息(113、213)能够计算当前轨迹(114、114)。根据所述当前轨迹并且根据有关飞行器位置的信息来确定偏差(115、215)，并且将引导指令发送给飞行员和/或自动引导系统(116、216)。

换句话讲，根据本发明的一个方面，监控函数(其可选择地独立于两条导航链路)比较每条链路所使用的参考轨迹，以检测差异并且识别出现错误的链路。

轨迹目标的比较(即，检测差异和/或识别出现错误的链路的步骤)可以在时间上利用不同的方式(即，定期地或不定期地，连续地或间断地)来执行。监控可以仅暂时地(即，只与时间有关)和/或取决于飞行期间的事件的发生而执行。在本发明的一个实施方案中，通过一个或多个飞行警报系统(FWS)的方式，FWS开始并控制比较的频率(即，节律)。在某些实施方案中，验证频率大约为一秒。

图2A和图2B示出了错误检测的示例。在未出现错误的情况下，两条参考轨迹相同并且稳定。

飞行计划包括使出发点连接至到达点的称为“航段”的一系列片段。航段的序列自身进行了标准化。从而，航段与飞行轨迹相关联。

图2A示出了根据本发明第一实施方案的轨迹的比较的示例。当出现错误时，两条轨迹之间出现差异201，并且通过将错误侧与未发生错误的最后状态(状态202)相比较而识别具有错误的侧。

图2B示出了另一种实施方案，对于该实施方案，根据本发明的监控方法通过分析航段的序列(“排序”)来进行。例如，应用至轨迹 航段的术语“当前”203和“下一个”204分别指代当前轨迹203(或者表示排序至到达的最后点和当前轨迹的元素)和表示轨迹上(待排序至到达的)下一个点204的元素。术语“排序”意味着当前航段的变化(即，当前航段之后的下一个航段变为当前航段)。表述“当前航段(current leg)”法语翻译为“leg courant”或“leg en cours”或“leg actif”。表述“下一个航段”法语翻译为“prochain leg”或“leg suivant”。

在一个实施方案中，可以通过分析航段的序列来检测错误。这种序列分析使得能够在航段变化的同时识别错误。附图中所示出的示例显示了在点211处检测到错误的发生(排序错误)：轨迹序列偏离，并且2号链路出现了错误。特别地，在时间210处的序列中，链路1指示当前轨迹目标B和下一个轨迹目标C，并且链路2也同样地指示。在随后的时刻211处，在当前航段变化之后，在链路1中，当前轨迹目标变为C，而下一个轨迹目标表示为D，然而对于链路2，活动的轨迹目标为X，而不是C。通过比较能够立即确定出链路2发生错误且链路1先验为正确的。

例如，如果在时刻211处链路1指示C/D而链路2指示C/Y，则(仍然)未出现轨迹错误。相反，在航段的下一个变化处，错误将被记录(但是这将无法先验地检测两条链路中的哪一条发生了错误)。该(暂时)状态(通过示例的方式给出)由轨迹生成函数中的错误造成，因为所述轨迹生成函数设计成如果“当前”轨迹相同，则正常地给出相同结果用于“下一个”轨迹。

根据某些实施方案，发生错误的链路的检测和/或比较在某一预先定义的延时之后执行。特别地，在飞行环境下，允许对轨迹的手动改变并且假定两条链路之间同步(在具有足够的运行安全水平的情况下)，在发生错误侧的检测之前的特定延时可能是必要的，以便等待“更新”的轨迹。

图3示出了轨迹管理函数的示意图。

轨迹计算系统的每个示例向“轨迹监控和错误隔离”函数100提供轨迹的表示。该轨迹的表示可能是：a)传送至偏差计算函数的完整轨迹；或b)有关设想的运行安全水平的子集(例如，仅对于TF和RF型航段)，或者c)代表轨迹或所选的子集的标记。

在一个具体情况下，通过根据本发明的方法可以使用一个或多个轨迹区段或轨迹标记(即，凝聚或紧凑表示)。例如，这种标记可以包括循环冗余校验(CRC)，该循环冗余校验能够通过添加、组合与比较借助散列程序获得的冗余数据来检测转移或传输误差。CRC通常在传输或转移之前与之后评估(抽样)，然后被比较以确保数据严格地相同。最常用的CRC计算设计为以便能够始终检测某些类型的错误，例如由于传输期间的干扰所造成的错误。

在本发明的该环境下，对于每个用于元素或者所选择的元素集的轨迹计算系统的示例，可以计算当前CRC和下一个CRC。CRC的长度(比特长度)可以例如根据安全分析所需的检测水平来选择或确定。

“轨迹监控和错误隔离”函数100存储由每个轨迹计算链路接收的元素。当在两条链路的一条中检测到变化(即，接收的数据不同于存储的数据)时，确定哪个计算函数发生了错误。

发生错误的计算函数通过将由1号轨迹计算函数传输的元素与由2号函数传输的元素进行比较而确定。在复杂的数据集的情况下，成对地利用元素来执行比较。

图3A示出了当差异发现时，“轨迹监控和错误隔离”函数100认定未执行期望的内容的轨迹计算链路为错误地运行的那个。如果表示“排序”之前的X侧的下一个轨迹的元素等于或等同于“排序”之后的X侧的下一个元素，则轨迹管理函数执行了期望的任务，而不发送错误警告。为了确保两条轨迹计算函数的确处于稳定状态(即，两侧上的确都发生了轨迹上的点的排序)，在进行比较之前，可以附加可选的延时。

图3B示出了：如果表示“排序”之前的X侧的下一个轨迹的元素不等于“排序”之后的X侧的下一个元素，则轨迹管理函数未执行期望的任务：通过比较两条导航链路，可以确定错误。

图4示出了示例性的轨迹比较步骤。

在所示出的示例中，在步骤400比较轨迹片段(或者例如航段)。如果对于每条链路，轨迹片段相同，则增加索引i(即，未发生错误)。如果在步骤412检测到差异，则在步骤421确定链路1的轨迹片段(或航段)是否等于参考轨迹元素。也可以检验链路2(确定链路2的轨迹 元素是否等于参考轨迹元素；如果不相等432，则确定链路2具有错误；如果相等431，则这是个矛盾的问题并且因此是不可能的)。如果在步骤421链路1的轨迹元素不等于参考轨迹元素，则检验链路2(确定链路2的轨迹元素是否等于参考轨迹元素；如果相等433，则确定链路1具有错误；而如果不相等434，则无法得出结论，因为这是“双错误”的问题，或者飞行计划在每侧上进行了不同的修改)。

在本发明的一个实施方案中，比较轨迹航段。

图5示出了飞行管理系统中的根据本发明的方法的示例性实施方案方案。

在一个可选的实施方案中，为了在当前航段变化的同时检测和隔离错误，函数100确定仅涉及到两条轨迹计算链路中的仅一条。根据该实施方案，该方法的步骤如下：每个“轨迹监控和错误隔离”函数100利用当前和下一个类型的两种元素：在排序之前存储的元素和当前元素。在飞行开始时，将所有元素初始化为当前状态(即，存储的当前元素＝当前元素；存储的下一个元素＝当前下一个元素)。如果以下情况出现，则检测轨迹偏差：i)两个轨迹计算函数处于“双”式运行(即，它们都在相同的轨迹上运行)，ii)轨迹计算链路包括不同于其当前元素的存储的下一个元素，以及iii)第二轨迹计算链路包括等于其当前元素的存储的下一个元素。

在某些(可选的)实施方案中，在某些情况下可以确定由机组人员执行的轨迹修改，例如，如果a)两个轨迹计算函数处于“双”式运行(即，它们都在相同的轨迹上运行)，b)轨迹计算链路的存储的下一个类型的元素不同于其当前的当前元素，c)另一个轨迹计算链路的存储的下一个类型的元素也不同于其当前的当前元素，以及d)两个轨迹计算函数的当前的当前元素和下一个元素一致。该实施方案示出了根据本发明的方法使得轨迹修改的存在得以确认。

在一个(可选的)实施方案中，如果发生以下情况，则可以确定两个轨迹计算函数的同时失败：1)两个轨迹计算函数处于“双”式运行(即，它们都在相同的轨迹上运行)，2)轨迹计算链路的存储的下一个类型的元素不同于其当前的当前元素，3)另一个轨迹计算链路的存储的下一个类型的元素不同于其当前的当前元素，4)两个轨迹计算 函数的当前的当前元素和下一个元素不同。上述方法旨在检测和隔离单个错误，但是顺便也可以检测双错误。

图6示出了一种实施方案的变型。

根据一个具体实施方案，轨迹计算函数在冗余实施的飞行管理系统(521、522)以及执行比较(该比较以所需的间隔尺寸；并且以特定于该系统的检验频率来执行)的监控模块或控制器530中实施。

在一种变型中，监控模块530可以是旨在发送警告的飞行警报系统(FWS)的冗余系统。对于每个FMS，对应于一个FWS。在一个具体实施方案中，运行模式具有主要/备用类型(即，FWS中的一个为主动式的，而另一个保持被动并且仅在主动式FWS发生错误的情况下接管)。这种警告导向的实施方案仅是一种示例。更通常的情况是，除了警告通信之外，模块530还可以具有更多的功能。模块530可以与其他的机载航空电子系统进行通信。

本发明可以利用软件和/或硬件元件来实施。其可以分配为计算机可读介质上的计算机程序产品。所述介质可以是电子的、磁性的、光学的或者电磁的。