无人驾驶飞行器飞行控制系统的制作方法

本文公开的技术总体上涉及无人驾驶飞行器。更具体地，本文公开的技术涉及用于确保无人驾驶飞行器的自主操作不会导致不安全状况的系统和方法。

背景技术：

无人驾驶飞行器是一种有动力的、比空气重的飞行器，其不运载人类操作者或飞行员，并且其使用空气动力来使飞行器提升、其可以自主飞行或远程驾驶、可以是不可重复使用的或可重复使用的，并且可以携带致命或非致命有效载荷。

无人驾驶飞行器的自主任务可以包括，例如，导航无人驾驶飞行器以在超出控制站的无线电通信范围的已知的远距离位置处对可能的感兴趣的目标进行搜索的任务。这样的任务还可以包括对侦察成像数据进行处理以检测和识别感兴趣的目标，并且导航更靠近目标以实现拍摄图像的任务目的来查明目标的身份，或跟踪目标的移动以识别目标的方向或航向。示例性任务还可以包括一旦获取了识别目标或目标的移动方向的任务目的，就例如生成命令以将无人驾驶飞行器导航到控制站的通信范围内的位置，以将目标信息发送到控制站，或者返回并降落在无人驾驶飞行器的初始位置。

除了军事应用之外，无人驾驶飞行器在商业应用中的使用正在增加。随着无人驾驶飞行器在世界各地空域中越来越多的存在，很可能将在世界范围内实行监管。可能出现的最重要的要求是，商业空域中的无人驾驶飞行器的操作者将需要保证他们的无人驾驶飞行器将针对不安全状况或不安全操作而被持续监测，并且当检测到不安全状况或不安全操作时能够切换到安全模式。

技术实现要素：

以下详细公开的主题涉及一种在无人驾驶飞行器上的可切换飞行控制系统，其能够针对不安全状况或不安全操作持续监测飞行器操作，并且当在执行任务期间检测到不安全状况或不安全操作时，能够将飞行器操作从任务执行模式切换到安全模式。以下详细公开的实施方式包括飞行管理系统、自主任务控制模块、安全模块和监测模块，该监测模块被配置为针对不安全状况或不安全操作监测飞行器操作，并且当检测到不安全状况或不安全操作时，输出控制信号以使通信控制组件切换到安全模式，在该安全模式下，飞行管理系统接收来自安全模块而不是任务控制模块的命令的传送。当正常操作已经恢复(其可以通过来自任务控制模块的信号指示给监测模块)时，监测模块然后使通信控制组件选择性地向飞行管理系统传送来自任务控制模块而不是安全模块的命令。

如本文所使用的，术语“模块”应当宽泛地解释为包括使用软件编程的至少一个计算机或处理器，并且其可以具有通过网络或总线通信的多个编程的计算机或处理器。如在前面的句子中所使用的，术语“计算机”和“处理器”都是指包括处理单元(例如，中央处理单元，集成电路或算术逻辑单元)的设备。两个或更多个模块可以包括可由公共硬件组件(例如，处理器或计算机)执行的相应软件应用或可由相应且分离的硬件组件执行的相应软件应用。

以下详细公开的实施方式采用验证和确认技术来确保自主无人驾驶飞行器的正确操作，并且以能够用于自主无人驾驶飞行器的认证的方式来证明。监测模块被设计为具有监测无人驾驶飞行器上的任何自主系统的执行的能力，并且然后如果系统在原始计划任务的执行期间退出其安全操作界限，则触发恢复任务动作。

以下详细公开的主题的一个方面是用于控制无人驾驶飞行器的飞行的机载系统，包括：飞行管理系统，所述飞行管理系统被配置为控制所述无人驾驶飞行器的飞行；任务控制模块，所述任务控制模块被配置为通过发送寻址到所述飞行管理系统的用于引导所述无人驾驶飞行器执行任务的命令来管理所述任务；安全模块，所述安全模块被配置为发送寻址到所述飞行管理系统的用于引导所述无人驾驶飞行器在安全模式下继续安全地飞行的命令；通信控制组件，所述通信控制组件能够在任务状态与安全状态之间切换，在所述任务状态中，所述飞行管理系统接收来自所述任务控制模块的命令的传送，在所述安全状态中，所述飞行管理系统接收来自所述安全模块的命令的传送；以及监测模块，所述监测模块被配置为确定是否存在使从任务模式到安全模式的模式改变有必要的触发条件，并且当所述触发条件存在时使所述通信控制组件从所述任务状态切换到所述安全状态。根据各种实施方式，所述触发条件是以下之一：(a)由任务控制模块发出的命令无效或者由任务控制模块发出的有效命令的参数违反了约束条件；(b)通过健康状态传感器已经检测到无人驾驶飞行器上的错误或故障；或(c)通过飞行状态传感器检测到不安全飞行状况。监测模块还被配置为在任务模块和飞行器的正常操作被恢复时使通信控制组件从安全状态切换到任务状态。

以下详细公开的主题的另一方面是一种用于控制无人驾驶飞行器的飞行的方法，包括以下步骤：(a)从所述无人驾驶飞行器上的任务控制模块向所述无人驾驶飞行器上的飞行管理系统发送用于引导所述无人驾驶飞行器执行任务的命令；(b)监测从所述任务控制模块发送到所述飞行管理系统的所述命令的有效性；(c)基于从所述任务控制模块发送到所述飞行管理系统的所述命令(例如，通过确定命令无效)来确定是否存在触发条件；以及(d)根据从所述任务控制模块发送到所述飞行管理系统的经验证的命令，来引导所述无人驾驶飞行器。该方法还可以包括以下步骤：(e)确定从所述任务控制模块发送到所述飞行管理系统的命令无效；(f)中断从所述任务控制模块到所述飞行管理系统的命令的传送；(g)从所述无人驾驶飞行器上的安全模块向所述飞行管理系统传送用于引导所述无人驾驶飞行器在安全模式下操作的命令；以及(h)当由所述任务控制模块发出的所述命令无效时，重启所述任务控制模块。根据一些实施方式，步骤(b)包括监测由所述任务控制模块发出的所述命令中包括的参数的值是否违反约束条件。所监测的参数可以是以下组中的一个：来自任务控制模块的心跳输出、转弯率、爬升率、下降率、滚转率、俯仰率和偏航率。

以下详细公开的主题的另一方面是一种用于控制无人驾驶飞行器的飞行的方法，包括以下步骤：(a)从所述无人驾驶飞行器上的任务控制模块向所述无人驾驶飞行器上的飞行管理系统传送用于引导所述无人驾驶飞行器在任务模式下执行任务的命令；(b)监测是否存在使从所述任务模式到安全模式的模式改变有必要的触发条件；以及(c)将来自所述无人驾驶飞行器上的安全模块的用于当存在所述触发条件时引导所述无人驾驶飞行器在所述安全模式下操作的命令传送到所述飞行管理系统，而不是传送来自所述任务控制模块的命令。根据各种实施方式，所述触发条件是以下之一：(a)由任务控制模块发出的命令无效或者由任务控制模块发出的有效命令的参数违反了约束条件；(b)健康状态传感器已经检测到无人驾驶飞行器上的错误或故障；(c)飞行状态传感器已经检测到不安全飞行状况；或者(d)对象相对于无人驾驶飞行器的位置违反了约束条件。

另一方面是一种用于控制无人驾驶飞行器的飞行的机载系统，包括：飞行管理系统，所述飞行管理系统被配置为控制所述无人驾驶飞行器的飞行；任务控制模块，所述任务控制模块被配置为通过发送寻址到所述飞行管理系统的用于引导所述无人驾驶飞行器执行任务的命令来管理所述任务；安全模块，所述安全模块被配置为发送寻址到所述飞行管理系统的用于引导所述无人驾驶飞行器在安全模式下继续安全地飞行的命令；以及监测模块，所述监测模块被配置为确定是否存在使从任务模式到安全模式的模式改变有必要的触发条件，其中，所述飞行管理系统将响应于所述监测模块确定存在所述触发条件接收来自所述安全模块而不是来自所述任务控制模块的命令的传送。优选地，前述系统还包括通信控制组件，所述通信控制组件是能够在任务状态与安全状态之间切换的硬件，在所述任务状态中，所述飞行管理系统接收来自所述任务控制模块的命令的传送，在所述安全状态中，所述飞行管理系统接收来自所述安全模块的命令的传送，所述通信控制组件的状态由来自所述监测模块的输出控制。

以下公开了用于确保无人驾驶飞行器的安全自主操作的系统、设备和方法的其它方面。

附图说明

在前述部分中讨论的特征、功能和优点可以在各种实施方式中独立地实现或者可以与其它实施方式进行组合。下面将参照附图描述各实施方式，以便说明上述方面和其它方面。

图1是示出典型的无人驾驶飞行器的主要子系统的布局的框图。

图2是示出根据一个实施方式的用于控制无人驾驶飞行器的飞行的机载系统的总体架构的框图。

图3是根据一个实施方式的对用于控制无人驾驶飞行器的飞行的方法的步骤进行标识的流程图。

在下文中将对附图进行参照，其中不同附图中的类似元件具有相同的附图标记。

具体实施方式

在下面的一些细节中描述用于控制无人驾驶飞行器的飞行的系统的说明性实施方式。然而，本说明书中并未描述所有实际实现的特征。本领域技术人员将理解，在任何这样的实际实施方式的开发中，必须做出大量实现特定的决定以达到开发者的特定目标(诸如符合系统相关和商业相关的约束条件)，其将从一种实现到另一种实现而有所不同。此外，应当理解，这样的开发努力可能是复杂和耗时的，但是对于受益于本公开的本领域普通技术人员而言仍然是常规任务。

无人驾驶飞行器可以是固定翼飞行器、旋翼飞行器或具有喷气发动机和升力风扇的垂直起飞和着陆的飞行器。本文公开的可切换控制系统可以在任何无人驾驶飞行器上使用，而不管无人驾驶飞行器所使用的推进系统的类型。

图1示出了可采用本文公开的增强型飞行控制系统的类型的无人驾驶飞行器10的主要子系统的布局。无人驾驶飞行器10在其前端具有照相机12并且在其后端具有马达14。马达14驱动螺旋桨16旋转。所有子系统经由一个或更多个数据总线24与机载控制计算机22通信。图1中描述的无人驾驶飞行器10具有分别安装在机翼18和20的末端处的两个天线26和28。每个天线都连接到gps接收器30、常规无线电接收器(rx)32和无线电发射器(tx)34。无人驾驶飞行器10还包括致动器36和飞行状态传感器(fss)38，它们也经由一个或更多个数据总线24与控制计算机22通信。

图1中描述的无人驾驶飞行器10可以被修改以包含图2中描述的所有组件。在另选实施方式中，图2中描述的组件可以被包含到其它类型的无人驾驶飞行器中。例如，图2中描述的组件可以被包含到具有升力风扇的类型的无人驾驶飞行器中。作为另一个示例，图2中描述的组件可以被包含到具有在联接翼中的升力风扇和为其提供垂直起飞和着陆能力(包括悬停)以及低速和高速两者机动性的推力矢量发动机的无人驾驶飞行器中。

参照图2，根据一个实施方式的用于控制无人驾驶飞行器的飞行的机载系统包括以下组件：飞行管理系统40(包括至少飞行管理计算机和非暂时性有形计算机可读存储介质)，其被配置为控制无人驾驶飞行器的飞行；任务控制模块2，其被配置为通过发送寻址到飞行管理系统40的用于引导无人驾驶飞行器在任务模式下执行任务的命令来管理任务；安全模块8，其被配置为发送寻址到飞行管理系统40的用于引导无人驾驶飞行器在安全模式下继续安全地飞行的命令，所述安全模式被设计成确保无人驾驶飞行器的恢复；通信控制组件(ccc)6，其能够在任务状态(图2中示出)与安全状态(图2中未示出)之间切换，在任务状态中，飞行管理系统40接收来自任务控制模块2的命令的传送，在安全状态中，飞行管理系统40接收来自安全模块8的命令的传送；以及监测模块4，其被配置为确定是否存在触发条件(诸如当由任务控制模块2发出的命令被确定为无效时)，然后根据该确定的结果来设置通信控制组件6的状态。监测模块4被配置为当存在触发条件时(诸如当由任务控制模块2发出的命令无效或当存在一些其它触发条件时)，将通信控制组件6从任务状态切换到安全状态。无效命令可以包括，例如，激活未实际安装在无人驾驶飞行器上的特定组件或设备的命令或信号。无效命令还可以包括，例如，当起落架舱门关闭时展开起落架的命令、或缺失速度参数值的发动机速度命令。

更具体地，任务控制模块2可以不被编程为对异常飞行器状况(例如，发动机损失或过热)起作用，并且如果其继续在这样的状况下操作，则即使在生成和传送有效命令时也会产生危险。根据优选实施方式，监测模块4被配置为当出现以下触发条件中的任何一个时将通信控制组件6切换到安全模式：(a)无效命令被通过任务控制模块2引导到飞行管理系统40；(b)具有无效参数(即，具有违反了约束条件的值的参数)的有效命令被通过任务控制模块2引导到飞行管理系统40；(c)健康状态传感器46检测到飞行器错误或故障；以及(d)飞行状态传感器38检测到不安全的飞行状况(例如，失速、空中交通管制信号丢失等)。

通信控制组件6可以包括用于将飞行管理系统40连接到任务控制模块2或安全模块8的物理电路(即，硬件)。在图2描述的实施方式中，通信控制组件6是电开关。在另选方案中，通信控制组件6可以包括用于安全模块8和任务控制模块2中的每一个的端口(诸如tcp/ip端口)到用于与飞行管理系统40通信的端口(诸如tcp/ip端口)的物理连接。另选地，通信控制组件6可以包括与软件相结合的路由器或其它组件以用于选择性地从任务控制模块2或安全模块8向飞行管理系统40传送命令。

根据另选实施方式，通信控制组件6可以在被配置为跨板传导(具有适当的电子属性的)以太网信号的印刷电路板上以硬件的形式实现。例如，通信控制组件6可以是以太网交换机，其从监测模块4接收电信号、具有经由以太网连接器连接到任务控制模块2和安全模块8的输入端，并且具有经由以太网连接器连接到飞行管理系统40的输出端。监测模块4将控制以太网交换机的交换逻辑，并且该交换逻辑将执行xor功能以确保在任何给定时间每路只有一条路径有效。

任务控制模块2可以通过空对地通信系统48和天线50与地面控制站(图2中未示出)通信。任务控制模块2可以是具有通用的或任务特定的架构并且利用专门设计用于执行所选择的任务计划的操作的软件来编程的计算机。任务计划可以或者在启动之前存储在无人驾驶飞行器上的非暂时性有形计算机可读存储介质中，或者在飞行期间经由空对地通信系统48和天线50从地面控制站接收。

任务控制模块2与地面控制站之间的通信可以通过中继网络或卫星网络进行，即，不是在任务控制模块2与地面控制站之间排他性地直接通信。另选地，控制站可以在飞机上。

任务控制模块2可以被配置为监测分派给无人驾驶飞行器的任务或操作的进度。任务控制模块可以包括飞行计划软件、学习算法等。任务控制模块2可以在监测任务或操作的进度的同时收集信息。所收集的信息可以指示任务计划中的冲突，任务控制模块2能够使用协商算法来解决该冲突。另外，任务控制模块2向通信控制组件6发送命令，该命令被寻址到飞行管理系统40以执行操作。这些命令可以提供用于执行操作的参数或者可以提供用于执行操作的参数的一部分。在其它示例中，这些命令可以不提供用于执行操作的参数，并且可以允许飞行管理系统40选择这些用于执行操作的参数的全部或一部分。

飞行管理系统40可以具有用于控制操作的执行的多个配置。多个配置中的每一个都可以包括，例如，但不限于用于飞行管理程序的配置的多个进程、程序代码、多个算法、多个工具、多个控制和/或多个其它适合的元件中的至少一个。

仍然参照图2，飞行管理系统40从gps接收器30接收gps数据并从飞行状态传感器38接收飞行状态数据，并且利用该信息使用飞行器状态估计器计算飞行器状态估计(例如，位置、空速等)。飞行器状态估计器可以包括计算机或处理器，其被配置为基于由飞行状态传感器38提供的飞行数据(例如，空速、迎角、温度和气压高度)和惯性参考(例如，姿态、飞行路径矢量、地面速度和位置)信息，并且还基于从gps接收器30接收到的位置数据来估计飞行器状态参数。飞行器状态估计由飞行管理系统40输出到监测模块4和安全模块8。可选地，飞行器状态估计也可以被提供给任务控制模块2。

另外，飞行管理系统40在执行其功能的过程中使用飞行器状态估计。更具体地，飞行管理系统40具有向无人驾驶飞行器的各种飞行控制42(例如，飞行操纵面)发出命令的引导和导航功能；并且飞行管理系统40还具有推力和/或升力管理功能，其向各种推进系统44发出用于产生期望水平的推力和/或升力的命令。

监测模块4被配置为确定是否存在触发条件(诸如当由任务控制模块2发出的命令被确定为无效时，诸如通过监测这些命令是否产生违反了约束条件的状况)。根据各种实施方式，所监测的参数是以下之一：来自任务控制模块的心跳输出、无人驾驶飞行器的转弯率、无人驾驶飞行器的爬升率、无人驾驶飞行器的下降率、无人驾驶飞行器的滚转率、无人驾驶飞行器的俯仰率、无人驾驶飞行器的偏航率、对象相对于无人驾驶飞行器的预期飞行路径的位置以及从无人驾驶飞行器到对象的距离。

在其中至少部分地基于飞行器状态估计来计算所监测的参数的实施方式中，监测模块4被配置为使用飞行器状态估计来计算所监测的各种参数的当前值。这些当前值进而与相应阈值进行比较以确定是否违反了任何约束条件。

根据其它实施方式，监测模块4被配置为监测对象相对于无人驾驶飞行器的位置和预期飞行路径的位置。如图2所示，无人驾驶飞行器可以被配备为接收关于对象的位置的信息。例如，无人驾驶飞行器可以包括ads-b接收器52，其可以经由天线54被数据链接到其它类似装备的飞行器。众所周知，广播式自动相关监视(ads-b)技术使得能够实时确定交通位置和其它数据，其中每秒发送位置和速度数据。ads-b接收器52能够通知监测模块4关于ads-b范围内任何配备有ads-b的对象的位置和速度。在该配置中，监测模块4将监测对象相对于无人驾驶飞行器的预期飞行路径的位置，并在无人驾驶飞行器的飞行路径将与其中对象所在的空间的体积相交的情况下发出信号。另外或另选地，无人驾驶飞行器可以配备有测量从无人驾驶飞行器到对象的距离的对象接近传感器56(例如，激光测距仪)。在该配置中，监测模块4将监测间隔对象与无人驾驶飞行器的距离，并且在无人驾驶飞行器的飞行路径将与对象失去间隔的情况下发出信号。根据另一替代方案，无人驾驶飞行器可以配备有雷达系统，用于跟踪该雷达系统的范围内的对象的位置。

如图2中所描述的，任务控制模块2还可以被配置为向照相机12和图像处理器60发送命令。图像处理器进而被配置为处理由照相机拍摄到的图像。处理后的图像可以被存储在无人驾驶飞行器上的非暂时性有形计算机可读存储介质中，以在之后当无人驾驶飞行器已到达位置或降落在地面控制站的图像传输范围内时下载。可选地，任务控制模块2可以配置有用于控制安装有照相机的云台(pan-tilt)单元(图中未示出)的照相机部署软件。

可切换控制系统的组件可以是如先前定义的单独模块。任务控制模块2被配置为从基于地面的控制站接收通信。这些通信可以包括任务目的(诸如在其处执行侦察任务的已知位置)。任务控制模块2还可以被配置为自主地计划无人驾驶飞行器到任务位置的导航，并且确定用于指示飞行管理系统40控制无人驾驶飞行器的飞行和方向的引导命令。任务控制模块2还可以被配置为生成指示照相机12获取图像并指示图像处理器60处理所获取的图像数据以检测和识别感兴趣的目标的命令。另外，任务控制模块2被配置为生成用于与飞行管理系统40通信(经由通信控制组件6)的命令，包括用于转向、倾斜、旋转、爬升、下降等的命令，该命令用于定向或引导无人驾驶飞行器跟踪感兴趣的目标的移动或者移动更靠近目标以拍摄用于查明其身份的图像。

在示例性实施方式中，无人驾驶飞行器包括至少包含监测模块4、通信控制组件6和安全模块8的控制板、组件或电路。

监测模块4可以包括硬件和/或软件，并且包括被配置为监测从任务控制模块2发送到飞行管理系统40的输入或命令的可执行命令。监测模块4将输出提供到通信控制组件6，以使通信控制组件6基于监测模块4的确定来选择性地向飞行管理系统40传送或者来自任务控制模块2的命令或者来自安全模块8的命令，其中，通信控制组件在执行任务期间的状态是将任务命令从任务控制模块2传送到飞行管理系统40。

根据一个实施方式，监测模块4执行确定任务控制模块2是否以预期速率(例如，心跳速率)操作或通信的算法。在监测模块4确定任务控制模块2未正常通信或操作时，监测模块4启动任务控制模块2的重置，并生成输出以使通信控制组件6选择性地向飞行管理系统40传送来自安全模块8的命令。在监测模块4启动重置(或重启)的情况下，其也可以启动重置定时器。在重置时间届满时，监测模块4然后监测指示任务控制模块2恢复正常操作的信号和/或命令的输入。如果正常操作已经恢复(其可以通过来自任务控制模块2的信号指示给监测模块4)，则监测模块4然后使通信控制组件6选择性地向飞行管理系统40传送来自任务控制模块2(而不是安全模块8)的命令。

另外或另选地，监测模块4执行一个或更多个算法，该算法确定任务控制模块2是否正在发出将导致无人驾驶飞行器的性能状况违反约束条件的命令。所监测的性能状况可以是以下中的一个或更多个：转弯率、爬升或下降率、滚转率、俯仰率(即，倾斜速率)以及偏航率。如果违反了这些飞行参数中的任何一个的规定阈值，则监测模块8被配置为切换通信控制组件6的状态，以选择性地向飞行管理系统40传送来自安全模块8的命令，并从而使得无人飞行器回到在安全模式下飞行。

根据一些实施方式，监测模块4被配置为当对象相对于无人驾驶飞行器的预期飞行路径的位置将导致阻碍或碰撞时，或者当存在失去无人驾驶飞行器与对象之间的间隔时，切换到安全模式。

在监测模块4使通信控制组件6将飞行管理系统40连接到安全模块8的情况下，安全模块，例如，可以发送用于引导或导航无人驾驶飞行器返回并着陆在初始位置的命令。另外，安全模块，例如，可以被配置为基于关于附近对象的ads-b信息或由对象接近传感器56获得的关于附近对象的传感器数据发送用于引导或导航无人驾驶飞行器远离附近对象的命令。安全模块8还可以向基于地面的控制站发送用于引导或导航无人驾驶飞行器的命令，以重新建立与控制站的通信，用于实现对无人驾驶飞行器的远程引导。

总而言之，图3标识了用于使用图2中描述的系统的监测模块来控制无人驾驶飞行器的飞行的方法100的步骤。监测模块4接收来自任务控制模块的命令(步骤102)。然后，监测模块4确定在预设时间内或以预设的最小速率是否接收到输入/信号(步骤104)。

如果在预设时间内或者以预设的最小速率没有接收到输入，则监测模块4确定是否已经启动任务控制模块2的重置(步骤106)。如果已经启动重置，则监测模块4继续监测来自任务控制模块2的输入。如果未启动重置，则监测模块4将向任务控制模块2输出重置(即，重启)信号，并启动重置定时器(步骤108)。然后，监测模块4向通信控制组件6输出切换到安全状态的控制信号(步骤120)，使通信控制组件6阻止来自任务控制模块2的命令但允许来自安全模块8的命令传送至飞行管理系统40。

再次参照图3中的步骤104，如果在预设时间内或以高于预设最小速率的速率接收到监测模块输入，则监测模块4确定输入是否是操纵型命令，诸如转弯、爬升或下降(步骤110)。如果输入是操纵型命令，则监测模块4确定命令速率是否违反规定阈值(步骤112)。如果命令速率违反了规定阈值，则监测模块4向通信控制组件6输出切换到安全状态的控制信号(步骤120)。如果命令速率不违反规定阈值，则监测模块4进行到步骤114。

返回到步骤110，如果对监测模块4的输入不是操纵型命令，则监测模块4然后确定输入是否是定向或“去往”位置命令(步骤114)。如果对监测模块4的输入不是定向或“去往”位置命令，则过程100返回到步骤102和104。如果对监测模块4的输入是定向或“去往”位置命令，则监测模块4进行到步骤118。

在过程100期间，监测模块4接收来自ads-b收发器52的ads-b信息和来自对象接近传感器56的对象接近数据(步骤116)。监测模块4读取该信息并使用其来计算无人驾驶飞行器的方向或未来位置(即，预期飞行路径)是否被任何附近对象阻碍(步骤118)。如果无人驾驶飞行器的预期飞行路径被阻碍，则监测模块4向通信控制组件6输出切换到安全状态的控制信号(步骤120)。如果无人驾驶飞行器的预期飞行路径没有被阻碍，则过程100返回到步骤102和104。

此外，本公开包括根据以下条款的实施方式：

条款1.一种用于控制无人驾驶飞行器的飞行的机载系统，所述机载系统包括：

飞行管理系统，所述飞行管理系统被配置为控制所述无人驾驶飞行器的飞行；

任务控制模块，所述任务控制模块被配置为通过发送寻址到所述飞行管理系统的用于引导所述无人驾驶飞行器执行任务的命令来管理所述任务；

安全模块，所述安全模块被配置为发送寻址到所述飞行管理系统的用于引导所述无人驾驶飞行器在安全模式下继续安全地飞行的命令；

通信控制组件，所述通信控制组件能够在任务状态与安全状态之间切换，在所述任务状态中，所述飞行管理系统接收来自所述任务控制模块的命令的传送，在所述安全状态中，所述飞行管理系统接收来自所述安全模块的命令的传送；以及

监测模块，所述监测模块被配置为确定是否存在使从任务模式到安全模式的模式改变有必要的触发条件，并且当所述触发条件存在时使所述通信控制组件从所述任务状态切换到所述安全状态。

条款2.根据条款1所述的系统，其中，所述监测模块还被配置为在所述任务模块和飞行器的正常操作被恢复时，使所述通信控制组件从所述安全状态切换到所述任务状态。

条款3.根据条款1所述的系统，其中，所述触发条件是由所述任务控制模块发出的命令被确定为无效或者是由所述任务控制模块发出的有效命令的参数违反了约束条件。

条款4.根据条款3所述的系统，其中，所述监测模块还被配置为当由所述任务控制模块发出的所述命令被确定为无效时，重启所述任务控制模块。

条款5.根据条款1所述的系统，所述系统还包括健康状态传感器，其中，所述触发条件是所述健康状态传感器已经检测到所述无人驾驶飞行器上的错误或故障。

条款6.根据条款1所述的系统，所述系统还包括飞行状态传感器，其中，所述触发条件是所述飞行状态传感器已经检测到不安全飞行状况。

条款7.根据条款1所述的系统，其中，所述触发条件是由所述任务控制模块发出的有效命令的参数具有违反了所述约束条件的值，其中，所述参数是以下组中的一个：转弯率、爬升率、下降率、滚转率、俯仰率以及偏航率。

条款8.根据条款1所述的系统，所述系统还包括：

多个飞行状态传感器；以及

被连接成将关于对象的位置的数据发送到所述监测模块的传感器，

其中，所述飞行管理系统包括飞行器状态估计器，所述飞行器状态估计器接收来自所述飞行状态传感器的数据并且将包括至少飞行器位置和速度的飞行器状态估计传送到所述监测模块，所述监测模块还被配置为计算所述对象相对于所述无人驾驶飞行器的位置，并且当对象相对于所述无人驾驶飞行器的位置违反了距离约束条件时确定存在触发条件。

条款9.根据条款8所述的系统，其中，所述传感器包括被连接成向所述监测模块传送关于所述对象的接近的数据的对象接近传感器。

条款10.根据条款9所述的系统，其中，所述约束条件是从所述无人驾驶飞行器到所述对象的最小间隔距离。

条款11.根据条款10所述的系统，其中，所述安全模块还被配置为向所述飞行管理系统发送用于引导所述无人驾驶飞行器远离所述目标的命令。

条款12.根据条款1所述的系统，其中，所述安全模块还被配置为向所述飞行管理系统发送用于引导所述无人飞行器飞行到指定位置的命令。

条款13.一种用于控制无人驾驶飞行器的飞行的方法，所述方法包括以下步骤：

(a)从所述无人驾驶飞行器上的任务控制模块向所述无人驾驶飞行器上的飞行管理系统发送用于引导所述无人驾驶飞行器执行任务的命令；

(b)监测从所述任务控制模块发送到所述飞行管理系统的所述命令的有效性，以基于从所述任务控制模块发送到所述飞行管理系统的所述命令有效还是无效来确定何时存在触发条件；以及

(c)根据从所述任务控制模块发送到所述飞行管理系统的经验证的命令来引导所述无人驾驶飞行器。

条款14.根据条款13所述的方法，所述方法还包括以下步骤：

(d)确定从所述任务控制模块发送到所述飞行管理系统的命令无效；

(e)中断从所述任务控制模块到所述飞行管理系统的命令的传送；以及

(f)从所述无人驾驶飞行器上的安全模块向所述飞行管理系统传送用于引导所述无人驾驶飞行器在安全模式下操作的命令。

条款15.根据条款14所述的方法，所述方法还包括当由所述任务控制模块发出的所述命令无效时重启所述任务控制模块。

条款16.根据条款13所述的方法，其中，步骤(b)包括监测由所述任务控制模块发出的所述命令中包括的参数的值是否违反约束条件。

条款17.根据条款16所述的方法，其中，所监测的参数是以下组中的一个：来自所述任务控制模块的命令输出的心跳率、转弯率、爬升率、下降率、滚转率、俯仰率以及偏航率。

条款18.一种用于控制无人驾驶飞行器的飞行的方法，所述方法包括以下步骤：

(a)从所述无人驾驶飞行器上的任务控制模块向所述无人驾驶飞行器上的飞行管理系统传送用于引导所述无人驾驶飞行器在任务模式下执行任务的命令；

(b)监测是否存在使从所述任务模式到安全模式的模式改变有必要的触发条件；以及

(c)将来自所述无人驾驶飞行器上的安全模块的用于当存在所述触发条件时引导所述无人驾驶飞行器在所述安全模式下操作的命令传送到所述飞行管理系统，而不是传送来自所述任务控制模块的命令。

条款19.根据条款18所述的方法，其中，所述触发条件是由所述任务控制模块发出的命令无效或者由所述任务控制模块发出的有效命令的参数违反了约束条件。

条款20.根据条款18所述的方法，其中，所述触发条件是健康状态传感器已经检测到所述无人驾驶飞行器上的错误或故障。

条款21.根据条款18所述的方法，其中，所述触发条件是飞行状态传感器已经检测到不安全飞行状况。

条款22.根据条款18所述的方法，其中，所述触发条件是对象相对于所述无人驾驶飞行器的位置违反了约束条件。

条款23.一种用于控制无人驾驶飞行器的飞行的机载系统，所述系统包括：

飞行管理系统，所述飞行管理系统被配置为控制所述无人驾驶飞行器的飞行；

任务控制模块，所述任务控制模块被配置为通过发送寻址到所述飞行管理系统的用于引导所述无人驾驶飞行器执行任务的命令来管理所述任务；

安全模块，所述安全模块被配置为发送寻址到所述飞行管理系统的用于引导所述无人驾驶飞行器在安全模式下继续安全地飞行的命令；以及

监测模块，所述监测模块被配置为确定是否存在使从任务模式到安全模式的模式改变有必要的触发条件，

其中，所述飞行管理系统响应于所述监测模块确定存在所述触发条件接收来自所述安全模块而不是来自所述任务控制模块的命令的传送。

条款24.根据条款23所述的系统，所述系统还包括通信控制组件，所述通信控制组件能够在任务状态与安全状态之间切换，在所述任务状态中，所述飞行管理系统接收来自所述任务控制模块的命令的传送，在所述安全状态中，所述飞行管理系统接收来自所述安全模块的命令的传送，所述通信控制组件的状态由来自所述监测模块的输出控制。

虽然已经参考各种实施方式描述了装置和方法，但是本领域技术人员应理解，在不脱离本文的教导的情况下，可以进行各种改变并且可以用等同物替代其元件。另外，可以进行许多修改以使本文公开的概念和对实践的简化适应特定情况。因此，旨在由权利要求覆盖的主题不限于所公开的实施方式。

随附阐述的方法权利要求不应被解释为要求其中所述的步骤以字母顺序(权利要求中的任何字母顺序仅用于参考前述步骤的目的)或者按照它们被列举的顺序执行。也不应解释为排除同时或可选择地执行的两个或更多个步骤的任何部分。