具体实施方式

图1以平面视图示意性地展示了飞行器100。飞行器100包括至少一个推进发动机101、例如安装在飞行器100的每个机翼下的涡轮喷气发动机。飞行器100包括驾驶舱，至少一名飞行员就坐在该驾驶舱中来操纵飞行器100。因此，驾驶舱包括允许操纵飞行器100的设备140、特别是控制构件和机载仪器。飞行器100还包括可以确保飞行器100的正确操作并且在驾驶中提供辅助的航空电子设备、特别是FADEC系统计算机。FADEC系统是数字调节系统，该数字调节系统将驾驶舱与推进发动机101进行接口连接以管理发动机参数(推力管理等)并将来自推进发动机101的传感器的信息传输至机载仪器。

因此，对于每个推进发动机101，飞行器100包括发动机控制系统110，该发动机控制系统包括在驾驶舱中的控制构件200，该控制构件旨在允许飞行器100的飞行员命令关闭推进发动机101。发动机控制系统110进一步包括连接至控制构件200的至少一个燃料供应截止构件120。当燃料供应截止构件120被供电时，推进发动机101的燃料供应停止，这致使发动机关闭。

燃料供应截止构件120由电力供应链路130供电，在该电力供应链路上放置有控制构件200(即，电力供应穿过控制构件200)。电力供应链路130可以由若干平行的电缆构成，这些电缆用于独立地为若干燃料供应截止构件120供电。

例如，控制构件200是发动机主操纵杆EML或结合在发动机主操纵杆中。

燃料供应截止构件120优选地靠近推进发动机101安装并且典型地是高压截止螺线管阀HPSOV(或简单地是高压截止阀)。燃料供应截止构件120还可以是在推进发动机101的燃料供应回路中位于高压截止螺线管阀HPSOV的上游的低压截止螺线管阀LPSOV(或简单地是低压截止阀)。

如图2中示意性地表示的，控制构件200包括一组开关201。这组开关201中的至少一个开关202在电力供应链路130上(即，电力供应穿过一个或多个开关202)。默认情况下，一个或多个开关202处于断开位置(即，不经由电力供应链路130供应电力)。这组开关201包括连接至飞行器的其他构件(例如连接至FADEC系统以及连接至AFDX(航空电子全双工)交换式以太网类型的航空电子通信网络)的若干其他开关。例如，这组开关201包括连接至飞行器的航空电子设备(并且特别是位于连接控制构件200和航空电子设备的电线上)的若干其他开关。当飞行员致动控制构件200以命令关闭发动机时，这组开关201中的一些开关切换位置。特别地，一个或多个开关202切换至闭合位置来为一个或多个燃料供应截止构件120供电，因此致使发动机关闭。此外，其他开关的位置切换将发动机关闭通知给航空电子设备。

如图3A和图3B中示意性地展示的，发动机控制系统110进一步包括发动机关闭确认单元ESCU 300。发动机关闭确认单元ESCU 300放置在控制构件200(更具体地一个或多个开关202)与电力供应链路130上的一个或多个燃料供应截止构件120之间。发动机关闭确认单元ESCU 300包括在电力供应链路130上(例如呈电磁继电器的形式)的至少一个开关301(即，电力供应穿过一个或多个开关301)。默认情况下，一个或多个开关301处于断开位置(即，在电力供应链路130上无电力供应)。

发动机关闭确认单元ESCU 300监测这组开关201。更具体地，发动机关闭确认单元ESCU 300监测这组开关201的位置的切换。当这组开关201中的至少预先限定的数量Q的开关在预先限定的持续时间T(例如，1秒)的滑动时间帧TF内切换位置时，发动机关闭确认单元ESCU 300将一个或多个开关301切换至闭合位置并且因此允许经由电力供应链路130供应电力；否则，发动机关闭确认单元ESCU 300使一个或多个开关301处于断开位置并且因此无论一个或多个开关202处于哪种位置(断开或闭合)，都不允许经由电力供应链路130供应电力。

数量Q和滑动时间帧STF的持续时间T被限定成表示飞行员对控制构件200的机械致动。因此，将消除与飞行员的意图不对应的这组开关的触发。

为了监测这组开关201的位置的切换，可以将发动机关闭确认单元ESCU 300放置在这组开关201的输出处，如图3A中示意性地展示的。然后，将发动机关闭确认单元ESCU300插入控制构件200与航空电子设备AV 310之间。

作为变体，如图3B中示意性地展示的，发动机关闭确认单元ESCU 300使用控制构件200的内部监测单元接收来自控制构件200的这组开关201上的状态信息。

发动机关闭确认单元ESCU 300还可以结合在航空电子设备AV 310中。

图4示意性地展示了发动机关闭确认单元ESCU 300的示例性硬件布置，该硬件布置然后包括通过通信总线410链接的：处理器或CPU(中央处理单元)或微控制器401；随机存取存储器RAM 402；只读存储器ROM 403(例如是EEPROM(电可擦除可编程ROM)或闪存类型)；存储单元404(例如硬盘驱动器HDD)或存储介质读取器(例如SD(安全数字)卡读取器)；以及一组输入-输出I/O 405。输入-输出I/O 405中的至少一个输出控制一个或多个开关301。输入-输出I/O 405中的多个输入-输出可以用作这组开关201与航空电子设备AV 310之间的中介(intermediary)(参见图3A)。输入-输出I/O 405中的至少一个输入可以用于接收来自控制构件200内部监测单元的这组开关201上的状态信息(参见图3B)。输入-输出I/O 405中的至少一个输入可以用于接收来自航空电子设备AV 310的信息。

处理器401能够执行从只读存储器403、外部存储器、存储介质(例如SD卡)或通信网络加载到随机存取存储器402中的指令。当发动机关闭确认单元ESCU 300被上电时，处理器401能够读取来自随机存取存储器402的指令并且能够执行这些指令。这些指令形成计算机程序，该计算机程序驱动由处理器401实施此处所描述的关于发动机关闭确认单元ESCU300的步骤和操作的全部或部分。

因此，可以通过由例如DSP(数字信号处理器)类型的处理器或微控制器的可编程机器执行一组指令以软件的形式来实施、或者由例如FPGA(现场可编程门阵列)或ASIC(专用集成电路系统)部件的机器或部件(芯片)或一组部件(芯片组)以硬件的形式来实施此处所描述的关于发动机关闭确认单元ESCU 300的步骤和操作的全部或部分。通常，发动机关闭确认单元ESCU 300包括被设计和配置成以软件和/或硬件的形式来实施此处所描述的关于发动机关闭确认单元ESCU 300的步骤和操作的电子电路系统。

在特定实施例中，选择性地启用通过发动机关闭确认单元ESCU 300对这组开关201的监测。图5中示意性地展示了这种方法。

在步骤501，发动机关闭确认单元ESCU 300监测飞行器100的速度。例如，发动机关闭确认单元ESCU 300通过航空电子设备AV 310得知飞行器的速度(在图3A和图3B中以虚线示出)。

在步骤502，发动机关闭确认单元ESCU 300将飞行器100的速度和预先限定的速度阈值TH(例如等于80节，换言之接近150km/h)进行对比。如果飞行器100的速度超过预先限定的速度阈值TH，则执行步骤504；否则，执行步骤503。

在步骤503，发动机关闭确认单元ESCU 300停用对这组开关201的监测(如果监测尚未被停用)。然后，一个或多个开关301处于闭合位置。因此，将由控制构件200决定是否为一个或多个燃料供应截止构件120供电。然后，重复步骤501。

在步骤504，发动机关闭确认单元ESCU 300启用对这组开关201的监测(如果监测尚未被启用)并且因此发动机关闭确认单元被设置成不得不确认来自控制构件200的发动机关闭命令的配置。然后，默认情况下，一个或多个开关301处于断开位置。当发动机关闭确认单元ESCU 300确认发动机关闭命令时，一个或多个开关301切换至闭合位置。因此，必须由发动机关闭确认单元ESCU 300确认是否决定为一个或多个燃料供应截止构件120供电。然后，重复步骤501。

图6示意性地展示了由发动机关闭确认单元ESCU 300所实施的发动机关闭命令确认算法。当启动图6的算法时，一个或多个开关301处于断开位置。

在步骤601，发动机关闭确认单元ESCU 300监测这组开关201。

在步骤602，发动机关闭确认单元ESCU 300检测控制构件200的这组开关201中的至少一个开关的位置的切换。

在步骤603，发动机关闭确认单元ESCU 300检查这组开关201的开关的定位的一致性。换言之，发动机关闭确认单元ESCU 300对这组开关201中已经在持续时间T的滑动时间帧STF内切换了位置的开关的数量和预先限定的数量Q进行对比。

在步骤604，发动机关闭确认单元ESCU 300检查已经在滑动时间帧STF内切换了位置的开关的数量是否大于或等于预先限定的数量Q。如果是这种情况，则执行步骤606；否则，执行步骤605。

在步骤605，发动机关闭确认单元ESCU 300不确认开关的切换与出于飞行员的意图的发动机关闭命令相对应。发动机关闭确认单元ESCU 300使一个或多个开关301保持在断开位置。

在步骤606，发动机关闭确认单元ESCU 300确认发动机关闭命令并且将一个或多个开关301切换至闭合位置。因此，对一个或多个燃料供应截止构件120的电力供应取决于这组开关201中的一个或多个开关202的位置。

优选地，在步骤607，发动机关闭确认单元ESCU 300被设置成待机表示推进发动机101在关闭发动机时的反应惯性的预先限定的持续时间(例如几秒)，然后检查推进发动机101是否处于逻辑关闭模式。根据第一实施例，发动机关闭确认单元ESCU 300检查一个或多个燃料供应截止构件120的状态。燃料供应截止构件120的配置应当处于燃料供应截止状态。连接至航空电子设备AV 310的传感器可以用于识别一个或多个燃料供应截止构件120的状态，并且航空电子设备AV 310将此通知给发动机关闭确认单元ESCU 300。根据第二实施例，发动机关闭确认单元ESCU 300检查推进发动机101的速度(例如速度N2或N3)是否正在下降(具有大于表示发动机关闭的预先限定的阈值的负斜率)。根据第三实施例，发动机关闭确认单元ESCU 300检查电流供应是否正在实际流过电力供应链路130。

然后，在步骤608，发动机关闭确认单元ESCU 300检查是否满足发动机关闭的逻辑条件。如果是这种情况，则执行步骤610；否则，执行步骤609。

在步骤609，发动机关闭确认单元ESCU 300检测到控制构件200上的可疑错误接触情况，使发动机关闭命令无效并且将一个或多个开关301切换至断开位置。发动机关闭确认单元ESCU 300禁止通过控制构件200为一个或多个燃料供应截止构件120供应电力至少直到飞行结束或直到飞行器100固定不动或直到对控制构件200进行维护操作，航空电子设备AV 310将此通知给发动机关闭确认单元ESCU 300。

在步骤610，发动机关闭确认单元ESCU 300使发动机关闭命令有效并且使一个或多个开关301处于闭合位置。

当检测到这组开关201中的数量Q’的开关处于它们的默认位置时，可以重新初始化图6的算法。还可以当发动机关闭之后，航空电子设备AV 310通知发动机关闭确认单元ESCU 300已经发生了发动机重启时，重新初始化图6的算法。

应当注意到的是，如以上所描述的发动机关闭确认单元ESCU 300独立于推进发动机101中的任何防火构架。因此，在发动机着火的情况下，飞行员可以命令触发未被发动机关闭确认单元ESCU 300禁止的低压螺线管阀LPSOV。

此外，在特定实施例中，在飞行器100的一定的操纵期间，发动机关闭确认单元ESCU 300可以迫使一个或多个开关301处于断开位置。值得注意地，航空电子设备AV 310可以通知发动机关闭确认单元ESCU 300飞行器100处于起飞阶段并且只要起飞阶段还在进行中发动机关闭确认单元就迫使一个或多个开关301处于断开位置。这防止了在起飞阶段期间控制构件200关闭发动机。