具体实施方式

参考图1，替代驾驶系统1用于集成到现有飞行器中。术语“现有飞行器”被用于意指，当飞行器被设计时，没有为该飞行器配备替代驾驶系统1作出规定。换言之，在其被设计时，该飞行器不包括用于集成该替代驾驶系统的特定接口。

该飞行器是将被转换成适合由单个飞行员驾驶的货机的客机。替代驾驶系统1被集成在飞机中，以使其能够由单个飞行员驾驶，同时仍然符合适用于由多个飞行员驾驶的常规货机的安全和安保要求。

飞机包括一定数量的原始系统，即飞机被设计时存在的系统。

这些原始系统包括飞行控制系统2、起落架系统3、照明系统4、通信系统5、自动驾驶系统6、以及导航系统7。起落架系统3包括用于操纵起落架系统的至少一个起落架的系统，使得飞机在地面上移动时能够被操纵，以及还有刹车系统。

原始系统自然包括除上述系统以外的系统。

所有原始系统包括可能设置有冗余的装备，并且可能是一式三份。

飞行控制系统2包括位于驾驶舱内且适于由飞行员致动的驾驶控制器，并且它包括油门操纵杆21、踏板8、配平控制轮9和侧杆单元(SSU)类型的控制杆17。

飞行控制系统2还包括飞行控制计算机，该飞行控制计算机包括一个或多个升降舵副翼计算机(ELAC)10、一个或多个扰流板升降舵计算机(SEC)11、一个或多个前进空中控制器(FAC)12、一个或多个缝翼襟翼控制计算机(SFCC)13和一个或多个可调水平稳定器(THS)计算机14。

底盘系统3包括制动和转向控制单元(BSCU)15。

照明系统4包括着陆灯16和照明控制装置。

通信系统5包括甚高频(VHF)波段的通信装置18、高频(HF)波段的通信装置19、以及卫星通信(SATCOM)装置20。

自动驾驶系统6包括一个或多个飞行管理引导计算机(FMGC)22和一个或多个全权数字发动机控制(FADEC)计算机23。

导航系统7包括大气数据惯性参考系统(ADIRS)24。

替代驾驶系统1与这些原始系统以及原始航空电子设备协同工作，但它是与这些原始系统和原始航空电子设备完全分开且不同的。

术语“不同”被用来意指替代驾驶系统1不具有与原始系统或原始航空电子设备共同的装备。

该分离是机械的，并且在软件和硬件方面也是分离的。因此，替代驾驶系统1的故障或停机(例如由黑客攻击引起)对原始系统或对原始航空电子设备没有重大影响。

替代驾驶系统1具有多个设备和主总线25，在本示例中是适用于传达命令和数据的ARINC 664数据总线。

替代驾驶系统1的各种设备经由主总线25相互通信。替代驾驶系统1的所有设备都设置有用于使这种通信安全的适当的保护装置(防火墙、防病毒等)。

替代驾驶系统1的设备首先包括驾驶设备26。驾驶设备26被单独连接到主总线25。因此，驾驶设备26完全独立于飞机的原始系统。驾驶设备26仅被连接到下文所述的接口设备34，并且因此它是几乎完全自包含的。

驾驶设备26包括定位单元27和控制单元28或“飞行稳定系统(FSS)”。

定位单元27包括惯性测量单元、具有一个或多个天线的卫星定位设备(或全球导航卫星系统(GNSS))、以及大气数据计算机。

定位单元27产生与飞机有关的定位数据。定位数据包括用于飞机的位置数据和定向数据。

定位单元27相对于飞机的原始定位装备是独立和自包含的，并且在设计上是不同的。这赋予定位单元27和飞机的原始定位设备之间的相异性，从而特别用于确保共模故障不会导致飞机的原始定位装备和定位单元27两者同时停机。

控制器28是遵从研制保证等级A(DAL A)来研制的飞行控制计算机。

控制单元28具有两个不同的计算通道28a和28b。这用于避免导致计算通道28a和28b以及控制单元28这两者同时停机的共模故障。

每一计算通道28a、28b呈现COM/MON类型的架构，并且包括命令模块和监控模块。

当飞机由单个飞行员驾驶时，控制单元28能够在滑行、起飞、巡航和着陆阶段进行驾驶。

控制单元28因而被布置成产生用于飞机的替代驾驶设定点。

该替代驾驶设定点被用于在飞机处于形成预定义紧急情况列表的一部分的紧急情况时驾驶飞机。预定义紧急情况列表包括飞机出现的任何故障、飞机自动驾驶系统6的故障、飞机飞行员的失能、飞机驶向预定义的禁区的情况、以及当飞机在地面上由处于地面站中的副飞行员驾驶时失去与地面站的通信。

特别是，控制单元28主控在飞机的自动驾驶系统发生故障时使用的紧急驾驶关系。紧急驾驶关系用于稳定飞机并保持其速度。

控制单元28还主控故障弱化(fail-soft)驾驶关系。

故障弱化驾驶关系包括用于减轻在飞机起飞时飞行员变得不可用的关系。举例而言，飞行员变得不可用可能是由于飞行员在飞行期间突然死亡或由于任何原因身体或心理上丧失能力的结果。

在飞机起飞时，如果飞行员变得不可用，则只要飞机的速度低于确定的速度V1，仍然有可能中断起飞。一旦飞机的速度超过确定的速度V1，就不能再中断起飞，因为在高速下使用飞机的地面制动太冒险了，并且随后使飞机起飞是强制的。

在飞机超过确定速度V1的时刻与飞机超过确定高度(例如，等于200英尺)的时刻之间，通常是飞行员在手动模式下驾驶飞机：在这一特定阶段不使用自动驾驶系统6。

因此，当检测到在持续数秒(通常为6秒)的该时段期间飞行员不可用时，则由替代驾驶系统1接管飞行员，并管理起飞。此后，自动驾驶系统6从替代驾驶系统1接管。

在飞行员不可用的情况下，控制单元28还主控紧急飞行计划。因此，如果飞行员不可用，则替代驾驶系统1引导飞机到达它可降落的机场。

控制单元28还可以产生替代驾驶设定点，以避免飞机进入预定义的禁区。预定义禁区的地理坐标被存储在控制单元28中。

替代驾驶设定点用于为飞机提供不再导致飞机进入预定义禁区的路径。举例而言，预定义禁区是包含特定基础设施(例如核电站)、人口密度高的区域等的区域。

控制单元28在利用由定位单元27产生的定位数据的同时，持续计算飞机的将来路径，并且它估计将来路径是否会干扰预定义禁区。在飞行员前往禁区的情况下，无论是因为飞行员不可用，还是出于飞行员有意使飞机坠毁的目的，由替代驾驶系统1产生的替代驾驶设定点被用于驾驶飞机并阻止其进入预定义禁区。如有必要，替代驾驶设定点导致飞机在无人区坠毁。这执行“地理围栏”功能：实时监控飞机的位置，并且如果飞机去往预定义禁区，则在其路径上采取行动以阻止飞机进入预定义禁区。

控制单元28因而利用用于引导受控坠机的关系并还利用用于检测地理围栏功能的损失的算法。

替代驾驶系统1还包括本发明的采集和分析设备30。本发明的采集和分析设备30经由辅助总线31(在本示例中为A429总线)被连接到主总线25且还连接到飞行控制系统2、起落架系统3、照明系统4、通信系统5和自动驾驶系统6。

采集和分析设备30是替代驾驶系统1的核心和关键元素。因此，采集和分析设备30必须能够抵抗单一停机和错误命令，以避免产生导致飞机失控的事件。

参考图2，下面是对采集和分析设备30的关键架构的描述。

采集和分析设备30包括第一处理器模块100、第二处理器模块101和选择模块102。

第一处理器模块100包括第一计算机103和第二计算机104。第一计算机103和第二计算机104在硬件级和软件级都是相同的。第一计算机103和第二计算机104中的每一者包括相应的第一电路卡，在其上编程有相同的第一软件。第一电路卡包括相同的第一电气组件，并且尤其是相同的第一处理器。

第一计算机103和第二计算机104中的每一者呈现出COM/MON型的架构，它们中的每一者包括命令模块和监控模块。在第一计算机103和第二计算机104中的每一者中，监控模块的软件监控由命令模块产生的每一命令。

第一计算机103和第二计算机104中的每一者接收来自两个不同源的相同输入数据。

例如，第一计算机103和第二计算机104中的每一者接收由第一源105和第二源106这两者传送的“襟翼1”命令，并且它接收由第一源105和第二源106这两者传送的飞机参数Pa。飞机参数Pa使第一计算机103和第二计算机104能够确定飞机的当前飞行阶段。

第二处理器模块101包括第三计算机107。第三计算机107的架构不同于第一计算机103和第二计算机104的架构。第三计算机107在硬件级和软件级上都不同。第三计算机107具有与第一电路卡不同的第二电气卡，并且在其上编程有与第一软件不同的第二软件。

第二电路卡具有与第一电气组件不同的第二电气组件，并且尤其是它具有与第一处理器不同的第二处理器。

第三计算机107同样呈现出COM/MON类型的架构，并且包括命令模块和监控模块。监控模块的软件监控命令模块生成的每一命令。

第三计算机107也接收来自第一源105和来自第二源106这两者的相同输入数据。

选择模块102连接到第一计算机103的输出、第二计算机104的输出、以及第三计算机107的输出。选择模块102采集由第一计算机103产生的第一命令C1、由第二计算机104生成的第二命令C2和由第三计算机107生成的第三命令C3。

随后，因变于第一计算机103的状态、第二计算机104的状态和第三计算机107的状态，选择模块102从第一命令C1、第二命令C2和第三命令C3中选择最终命令。最后命令Cf被发送到外部系统108。

因而可以理解，如果第一计算机103、第二计算机104和第三计算机107中的一者发生故障，则仍有两台计算机在运行，以便从故障计算机接管。还可以理解，第三计算机107与第一计算机103和第二计算机104中的每一者之间的相异性用于避免导致第一处理器模块100和第二处理器模块101的同时故障以及由此导致采集和分析设备30的故障的共模故障。

这确保采集和分析设备30的持续操作，并从而确保替代驾驶系统1的持续操作。

本发明的采集和分析设备30包括采集装置32和分析装置33(因此它们是由上述物理架构实现的功能装置)。

采集装置32包括与原始系统的多个接口以及与主总线25的多个接口。

采集装置32采集由飞机的原始系统产生的数据的参数，连同由驾驶设备26产生的替代定位数据和驾驶设定点。

由飞机的原始系统产生的、并由采集装置32采集的数据包括飞机位置数据、姿态数据、由自动驾驶系统6产生的参数、由飞行控制系统2产生的参数、发动机参数、导航数据、故障数据等。

采集和分析设备30的分析装置33处理并分析所有这些参数。分析装置33检测这些参数中的不一致性(如果有)。

分析装置33处理这些参数(通过排序、格式化等)，以便将它们转换成适于传送到替代驾驶系统1的其余部分、地面等的飞机参数。

分析装置33还主控状态机，该状态机用于支持飞行员(交叉检查、额外的飞行员动作)，并且还用于触发紧急程序或允许考虑由驾驶设备26发出的命令。下面将更详细地描述这些状态机。

在所有该数据的基础上，在替代驾驶设定点的基础上，以及在其自身的处理和分析的结果的基础上，采集和分析设备30决定是否应当使用替代驾驶设定点来驾驶飞机。

分析的第一示例在该描述的上文中提到。当飞机起飞时，有一段短时间内通常由飞行员手动驾驶飞机。如果检测到飞行员不可用，则采集和分析设备30的分析装置33决定由替代驾驶系统1产生的替代驾驶设定点应被用于驾驶飞行器。此后，在该短时段之后，采集和分析设备30的分析装置33决定替代驾驶设定点不应再被用于驾驶飞机。因此，自动驾驶系统6从替代驶系统1接管，以便飞机安全着陆。

选择优先设定点的第二示例如下。

如果飞行员产生的手动驾驶设定点倾向于将飞行器引向预定义禁区，则采集和分析设备30的分析装置决定由替代驾驶系统1产生的替代驾驶设定点要被用于驾驶飞机。飞机随后执行一机动，从而使其能够避免进入禁区。

此后，在这一机动之后，分析装置33决定替代驾驶设定点不应再被用于驾驶飞机：在替代驾驶系统1已经执行该操纵之后，采集和分析设备30将控制返回到自动驾驶系统6。

选择优先设定点的第三示例如下。

通过分析飞机参数(例如分析发动机设定点和飞行控制表面设定点)，采集和分析设备30还能够检测对飞机有影响的故障情况。如果飞机由自动驾驶系统6驾驶，并且如果故障可能对自动驾驶系统6具有影响，则采集和分析设备30决定替代驾驶设定点应被用于驾驶飞机，并启用紧急驾驶模式。

替代驾驶系统1还包括包含两个冗余接口单元34a和34b的接口设备34。

接口设备34经由辅助总线35(在该示例中为A429总线)被连接到主总线25，以及还连接到飞行控制系统2、起落架系统3、照明系统4、通信系统5、以及自动驾驶系统6。

接口设备34包括包含具有非常高完整性的中继器系统的开关装置。

中继器由采集和分析设备30的分析装置33来控制。当分析装置33决定要使用替代驾驶设定点来驾驶飞机时，分析装置33控制中继器以将驾驶设备26的输出连接到飞行控制系统2。

因此，当采集和分析设备30决定将要使用由驾驶设备26产生的替代驾驶设定点时，接口设备34应用该设定点。

接口设备34提供用于激活飞机控制器的物理接口，并且它模拟飞机控制：飞行控制、起落架、襟翼、断路器，等等……。替代驾驶系统1还包括通信设备37，该通信设备37包括安全数据模块(SDM)38、航空数据终端(ADT)模块39和C2link模块40。

这些模块形成与远程驾驶系统对接的接口装置、与远程控制进行通信的通信装置、以及用于确保所记录的信息的完整性的数据安全性装置。完整性尤其依赖于通过使用安全检查器中实现的原则来确保所记录的数据和命令这两者的安全。

通信设备37经由ADT模块39被连接到主总线25，并且经由辅助总线41(在该示例中为A429总线)被连接到通信系统5。通信设备37经由串行链路被连接到采集和分析设备30。

通信设备37使飞机能够远程控制。具体而言，通信设备37用于建立与地面的通信，从而可以从地面控制替代驾驶系统1。因此，举例而言，在飞行员不可用的情况下，可以从地面管理飞机飞行路径的无线电通信和控制。

由通信设备37在飞机与地面之间进行的通信可通过卫星链路通过直接(视线)无线电链路，或者确实使用地面无线电通信基础设施(例如4G或5G型移动电话网络)来发生。

替代驾驶系统1还包括滑行控制设备45，该滑行控制设备45包括滑行辅助系统(TAS)模块46、能够使用一个或多个相机并执行图像处理的引导设备47、以及防撞设备48(例如利用雷达，并且可能也利用相机成像设备(日光、长波红外(LWIR)))。

滑行控制设备45在外部被连接到主总线25。

滑行控制设备45适于为地面上的飞机产生驾驶设定值。滑行控制设备45适用于在起飞期间在飞机达到所确定的速度V1(在本说明书中如上所述)前飞行员丧失能力的情况下制动飞机，并还用于在这种情况下保持在跑道轴线上。滑行控制设备也可以代替飞行员来执行滑行。

替代驾驶系统1还具有包括不间断电源的电源设备49。电源设备49是自包含且独立的设备，即使在故障对飞机的发电系统造成影响的情况下，也为替代驾驶系统1供电。电源设备49通过独立的电源总线被连接到替代驾驶设备1的其他设备。

替代驾驶系统1还包括用于监控飞机的系统监控设备50。

飞机系统监控设备50包括位于驾驶舱中的屏幕。

飞机系统监控设备50被连接到主总线25。

替代驾驶系统1还包括飞行员监控设备51。飞行员监控设备51用于检测飞机处于与飞行员不可用相对应的紧急情况。

飞行员监控设备51包括用于采集飞行员面部以及特别是飞行员的眼睛的图像的相机。

飞行员监控设备51还包括检测器系统，该检测器系统能够在不到两秒钟内使用生物特征传感器和特定传感器来检测飞行员丧失能力。检测系统要求飞行员在起飞的关键阶段执行连续且有意识的动作。由检测系统为此目的使用的特定传感器可以是被布置在控制杆和油门杆的、在起飞期间需要按下的按钮，或者是用于验证飞行员的手是否确实在控制器上的光学传感器。

飞行员监控设备51被连接到主总线25。

替代驾驶系统1还包括虚拟副驾驶设备52。虚拟副驾驶设备52的用途是预测危险情况并在这种情况变得可能发生的情况下警告飞行员。另外(且最重要的是)虚拟副驾驶设备52具有在数据和关键动作之间进行交叉检查的用途，并且还具有以自动方式执行任务的用途。它还有与飞行员的语音接口和可视接口。它还生成音频消息。它由状态机部分、处理器模块和人机接口(MMI)部分组成。

虚拟副驾驶设备52被连接到主总线25。

下面参考图3和图4描述驾驶设备26、采集和分析设备30以及接口设备34的操作。

如上所述并参考图3，驾驶设备26的控制单元28具有两个计算通道28a和28b，它们中的每一者包括命令模块60和监控模块61。

来自计算通道28a的输出被连接到接口单元34a的输入。来自计算通道28b的输出被连接到接口单元34b的输入。

第一控制杆17a、第二控制杆17b、踏板8和油门21被连接到接口单元34a和34b中的每一者的输入。

来自接口单元34a的输出被连接到第一ELAC计算机10a的输入和FADEC计算机23的输入。接口单元34b的输出被连接到第二ELAC计算机10b的输入、第一THS计算机14a的输入和第二THS计算机14b的输入。

接口单元34a具有四组中继器62a、62b、62c和62d，它们中的每一者包括三个不同的中继器63。

计算通道28a的三个模拟输出被连接到属于第一中继器组62a的相应不同中继器63的第一输入。第一控制杆17a的三个模拟输出被连接到属于第一中继器组62a的相应不同中继器63的第二输入。第一中继器组62a的三个中继器63的输出被连接到第一ELAC计算机10a。

计算通道28a的三个模拟输出被连接到属于第二中继器组62b的相应不同中继器63的第一输入。踏板28a的三个模拟输出被连接到属于第二中继器组62b的相应不同中继器63的第二输入。第二中继器组62b的三个中继器63的输出被连接到第一ELAC计算机10a。

计算通道28a的三个模拟输出被连接到属于第三中继器组62c的相应不同中继器63的第一输入。第二控制杆17b的三个模拟输出被连接到属于第三中继器组62c的相应不同中继器63的第二输入。第三中继器组62c的三个中继器63的输出被连接到第一ELAC计算机10a。

计算通道28a的三个模拟输出被连接到属于第四中继器组62d的相应不同中继器63的第一输入。油门21的三个模拟输出被连接到属于第四中继器组62d的相应不同中继器63的第二输入。第四中继器组62d的三个中继器63的输出被连接到FADEC计算机23。

采集和分析设备30连接到中继器63中的每一者的第三输入。中继器63的第三输入用于控制中继器63，以便将其第一和第二输入中的所选一者切换到所述中继器63的输出。

计算信道28b、接口单元34b、采集和分析设备30、第二ELAC计算机10b、第一THS计算机14a和第二THS计算机14b以类似方式连接在一起。

当采集和分析设备30的分析装置33决定替代驾驶设定点要被用于驾驶飞机时，分析装置33产生切换命令，使得中继器63中的每一者的第一输入被切换到所述中继器63的输出：计算机10a、10b、14a、14b以及23随后确实由替代驾驶设定点来控制。

相反，当采集和分析设备30的分析装置33决定替代驾驶设定点不要被用于驾驶飞机时，分析装置33产生中继命令，使得中继器63中的每一者的第二输入被切换到所述中继器63的输出：计算机10a、10b、14a、14b以及23随后通过飞行员操作驾驶舱中的驾驶控制器而产生的手动驾驶设定点来操纵。

参考图4，可以看到，驾驶设备26(其还包括定位单元27)的控制单元28、采集和分析设备30以及接口设备34都连接到主总线25。

控制单元28从主总线25采集飞机参数Pa、由地面站产生的地面命令Csol以及飞机的当前飞行阶段Pv。控制单元28执行地理围栏功能70。如果飞机正驶向预定义禁区，则控制单元28在主总线25上发出地理围栏警报Ag连同替代驾驶设定点Cpa，从而寻求避免飞机进入所述预定义禁区。

控制单元28执行驾驶功能71以产生替代驾驶设定点，例如用于完成起飞并在起飞后稳定飞机。

采集和分析设备30接收地理围栏警报Ag，并且接口设备34接收替代驾驶设定点Cpa。接口设备34执行采集功能72，以采集替代驾驶设定点Cpa连同由飞行员操作驾驶控制器21、8、9和17而生成的手动驾驶设定点Cpm。

采集和分析设备30产生切换命令Ca来控制接口设备34的中继器，以抑制由飞行员生成的手动驾驶设定点Cpm，并激活替代驾驶设定点Cpa。接口设备34执行转换功能73，该转换功能73将替代驾驶设定点Cpa转换成用于控制飞行控制计算机和控制发动机的设定点，以便驾驶飞机并避免其进入预定义禁区。

参考图5，下面是对采集和分析设备30的操作的更详细描述。

采集和分析设备30的采集装置32通过执行采集功能80来开始。采集功能80使用辅助总线(在本示例中是A429总线)来采集由飞机的原始系统81产生的参数P。

基于参数P，采集功能80产生飞机参数Pa，并且它通过主总线25将飞机参数Pa传送给替代驾驶系统1的其他设备。

采集和分析设备30的分析装置33执行评估功能82，以评估飞机的状态Ea及其当前飞行阶段Pv。

评估功能82采集飞机参数Pa连同由替代驾驶系统1的其他设备(特别是由驾驶设备26、飞机监控设备50和飞行员监控设备51)产生的任何警报消息Ma。评估功能82根据这一数据来评估飞机的状态Ea及其当前飞行阶段Pv。

因此，评估功能82采集飞行员的状态(能运作或不能运作)，监控航空电子设备的各种ARINC 429总线的状态，并采集飞机参数Pa。评估功能82分析这一数据以估计飞机的状态，该状态可以是正常的或异常的。

评估功能82将飞机的当前飞行阶段Pv定义为飞机参数Pa的函数。当前飞行阶段随后被用于管理模式和命令。它用于激活对应的状态机，即运行在当前飞行阶段期间要执行的规程和动作(例如，使起落架在起飞后缩回，使警报发送给飞行员，等等)。

评估功能82将飞机的状态及其当前飞行阶段传送给地面站和替代驾驶系统1的诸设备。

采集和分析设备30的分析装置33还执行管理功能83。

管理功能83采集飞机的状态Ea及其当前飞行阶段Pv，连同由地面副驾驶从地面站生成的地面命令。

管理功能83执行第一状态机，该第一状态机用于定义当前发现飞机所处的飞机模式。飞机模式可以是标称的或降级的。飞行模式用于确定谁或什么驾驶飞机：机上飞行员、地面副飞行员、原始自动驾驶系统、或者替代驾驶系统。

基于飞机的状态和当前飞行阶段，管理功能83因而定义从多个驾驶设定点中选择的驾驶设定点，所述多个驾驶设定点包括由机上飞行员使用驾驶控制器产生的手动驾驶设定点、由地面副驾驶产生的地面驾驶设定点、由自动驾驶系统产生的自动驾驶设定点、以及替代驾驶设定点。

根据飞机模式，管理功能83生成飞行计划修改命令，该命令由机上飞行员或地面飞行员定义。管理功能管理由机上飞行员、或地面副飞行员、或原始自动驾驶系统、或替代驾驶系统所定义的、要遵循的飞行轨迹的切换。

管理功能83因而使所选的驾驶设定点被传送至现有飞行器的原始系统，以便使用所选的驾驶设定点来控制原始系统。管理功能83被布置成产生用于控制接口设备34的一个或多个中继器的切换命令，以便使得所选择的驾驶设定点被传送到原始系统。

管理功能83还管理在标称模式或降级模式下对由飞行员或副驾驶产生的命令的自动激活。举例而言，这些命令可以用来控制起落架或扰流板。

为此，管理功能83对从地面站或从虚拟副驾驶接收到的命令进行解码。取决于飞机模式，管理功能83管理从各种源接收的请求中的优先级，并且它将详细命令排序到接口设备34。

采集和分析设备30的分析装置33还执行执行功能84。分析装置33主控用于执行由虚拟副驾驶产生的命令的第二状态机。

第二状态机因变于虚拟副驾驶接收到的数据来选择并执行飞机规程。

虚拟副驾驶接收语音命令并将语音命令转换成文本。虚拟副驾驶向执行功能84传送这些命令。

执行功能84将这些高级命令转换成经编程的动作序列。执行功能随时间执行该经编程的动作序列。

取决于该序列期间飞机的状态(该状态在该序列期间可能改变)，执行功能84作出适当的决定，以保证该规程相对于初始命令正确地进行。执行功能84向虚拟副驾驶返回对执行期间执行的正确进度和/或预防措施的确认。

具体而言，执行功能84将信息转换成正确格式，并随后将其传送给虚拟副驾驶，以便使该信息能够被虚拟副驾驶解释并随后中继给该飞行员。

下面参考图6和图7描述采集和分析设备30以及虚拟副驾驶的操作。

参照图6，正常起飞需要机上飞行员执行一系列动作。

在正常起飞结束时，飞行员通过操作飞行控制器将高升力设备(缝翼和襟翼)置于襟翼1配置，从而产生襟翼1命令(动作90)。此后，飞行员产生襟翼0命令(动作91)，将高升力设备置于襟翼0配置中。此后，飞行员选择飞机的爬升速度(动作92)。

虚拟副驾驶与飞行员动作序列相关联地执行预编程的动作序列。在襟翼1命令之后，虚拟副驾驶在驾驶舱中宣布“速度检查”一词(动作93)，并随后选择襟翼1配置(动作94)。

在图7中，可以看到，在这些动作序列期间采集和分析设备30的操作。

执行功能84的第二状态机(如采集和分析设备30的分析装置33执行的)从虚拟副驾驶52接收襟翼1命令。

并行地，采集功能80将飞机参数Pa传送到评估功能82和执行功能84的第二状态机。

评估功能82确定飞机的状态Ea及其当前飞行阶段Pv。具体而言，飞机的状态是正常的，并且当前飞行阶段是起飞阶段。评估功能82将该信息传送到执行功能84的第二状态机和管理功能83。

第二状态机选择与飞机状态及其当前飞行阶段相对应的规程，并随后执行与襟翼1命令相对应的经编程动作序列。

具体地，第二状态机将所选襟翼1命令传送到管理功能83，该管理功能83决定要使用由替代驾驶系统1产生的替代驾驶设定点。管理功能83向接口设备34发送切换命令Ca，以便执行相应的切换。

一旦襟翼1命令已被正确执行，并且遵从该命令已激活高升力设备，则第二状态机接收确认该命令已正确进行的确认Acq并将确认Acq传送给虚拟副驾驶52。

自然地，本发明不限于所描述的实施例，而是涵盖了落入如由权利要求书限定的本发明范围内的任何变型。

本发明适用于任何类型的飞行器，且特别适用于可只有一个飞行员的飞行器，或者确实适用于没有飞行员的飞行器：由单个飞行员驾驶的货机、由单个飞行员驾驶的客机、货运无人机(无飞行员)、后勤无人机、城市出租车(有人驾驶或无人驾驶)等。