FR 3069366 A1 20190125 FR 1856790 A 20180723 PROTECTION D'ENTRÉE D'ENVIRONNEMENT SPÉCIFIQUE La présente invention concerne en général les véhicules aériens. Par le passé, des véhicules aériens se sont crashés du fait d'une erreur du pilote. Parfois, l'erreur du pilote est causée par une entrée qui varie fortement par rapport à l'entrée attendue. Par exemple, si un véhicule aérien descend rapidement quand le véhicule aérien approche d'une chaîne de montagne, alors un accident peut survenir. Néanmoins, parfois, des pilotes ont évité un accident en s'écartant de la norme. Par exemple, faire atterrir un véhicule aérien dans un emplacement inhabituel peut être considéré comme anormal dans des circonstances normales. Néanmoins, si tous les moteurs du véhicule aérien ont été endommagés du fait de chocs avec des oiseaux et que le véhicule aérien ne peut pas gagner un aéroport, alors faire atterrir un véhicule aérien dans un emplacement inhabituel peut être la meilleure option. Des aspects et avantages de la présente invention vont être présentés en partie dans la description suivante, ou peuvent être appris d'après la description, ou peuvent être appris en mettant en pratique les exemples décrits ici. Un aspect exemplaire de la présente invention concerne un système d'évaluation d'entrée. Le système inclut un dispositif de mémoire. Le système inclut un ou plusieurs processeurs. Les un ou plusieurs processeurs sont configurés pour déterminer un état d'un véhicule. Les un ou plusieurs processeurs sont configurés pour obtenir des données indicatives d'une entrée d'opérateur attendue en fonction de l'état déterminé. Les un ou plusieurs processeurs sont configurés pour obtenir des données indicatives d'une entrée d'opérateur. Les un ou plusieurs processeurs sont configurés pour déterminer un état de comportement d'utilisateur en fonction de l'entrée d'opérateur attendue et de l'entrée d'opérateur réelle. Les un ou plusieurs 2 processeurs sont configurés pour déterminer une action de commande pour le véhicule en fonction de l'état déterminé du véhicule et de l'état déterminé du comportement de l'opérateur. Les un ou plusieurs processeurs sont configurés pour mettre en oeuvre l'action de 5 commande. Un autre aspect exemplaire de la présente invention concerne un procédé d'évaluation d'entrée. Le procédé inclut de déterminer, par un ou plusieurs dispositifs informatiques, un état d'un véhicule. Le procédé inclut d'obtenir, par les un ou plusieurs dispositifs 10 informatiques, des données indicatives d'une entrée d'opérateur attendue en fonction de l'état déterminé. Le procédé inclut d'obtenir, par les un ou plusieurs dispositifs informatiques, des données indicatives d'une entrée d'opérateur réelle. Le procédé inclut de déterminer, par les un ou plusieurs dispositifs informatiques, un état 15 de comportement de l'opérateur en fonction de l'entrée d'opérateur attendue et de l'entrée d'opérateur réelle. Le procédé inclut de déterminer, par les un ou plusieurs dispositifs informatiques, une action de commande pour le véhicule en fonction de l'état déterminé du véhicule et de l'état déterminé du comportement de l'opérateur. Le 20 procédé inclut de mettre en oeuvre, par les un ou plusieurs dispositifs informatiques, l'action de commande. D'autres aspects exemplaires de la présente invention concernent des systèmes, des procédés, des véhicules aériens, des systèmes avioniques, des dispositifs, des supports lisibles 25 informatiquement non transitoires d'évaluation d'entrée. Des variations et modifications peuvent être apportées à ces exemples d'aspects de la présente invention. Une présentation détaillée de modes de réalisation pour l'homme de l'art est présentée dans la description, qui fait référence 30 aux figures attenantes, dans lesquelles : La FIG. 1 représente un véhicule aérien selon des exemples de mode de réalisation de la présente invention ; 3 La FIG. 2A représente un diagramme d'un état d'un véhicule aérien selon des exemples de mode de réalisation de la présente invention ; La FIG. 2B représente un affichage d'un véhicule aérien selon 5 des exemples de mode de réalisation de la présente invention ; La FIG. 2C représente un affichage d'un véhicule aérien selon des exemples de mode de réalisation de la présente invention ; La FIG. 3 représente des diagrammes de comportement normal de l'opérateur selon des exemples de mode de réalisation de la présente 10 invention ; La FIG. 4 représente des diagrammes de comportement anormal de l'opérateur selon des exemples de mode de réalisation de la présente invention ; La FIG. 5 représente un organigramme selon des exemples de 15 mode de réalisation de la présente invention ; La FIG. 6 représente un organigramme selon des exemples de mode de réalisation de la présente invention ; La FIG. 7 représente un organigramme selon des exemples de mode de réalisation de la présente invention ; 20 La FIG. 8 représente un système de commande pour mettre en oeuvre un ou plusieurs aspects selon des exemples de mode de réalisation de la présente invention ; et La FIG. 9 représente des exemples de véhicules selon des exemples de mode de réalisation de la présente invention. 25 Il va maintenant être fait référence en détails à des modes de réalisation, dont un ou plusieurs exemples sont illustrés sur les dessins. Chaque exemple est fourni à titre d'explication des modes de réalisation, non de limitation des modes de réalisation. En fait, il sera apparent pour l'homme de l'art que diverses modifications et 30 variations peuvent être apportées à la présente invention sans s'éloigner du domaine ou de l'esprit de l'invention. Par exemple, des fonctions illustrées ou décrites comme une partie d'un mode de 4 réalisation peuvent être utilisées avec un autre mode de réalisation pour réaliser encore un autre mode de réalisation. Ainsi, il s'entend que la présente invention couvre de telles modifications et variations qui sont dans le domaine des revendications attenantes et de leurs 5 équivalents. Tel qu'utilisé dans la description et les revendications attenantes, les formes singulières "un", "une", "le", et "la" comprennent des référents pluriels sauf si le contraire est clairement explicité autrement. L'utilisation du terme "environ" en conjonction 10 avec une valeur numérique se réfère à +/- 25% de la quantité citée. Un véhicule aérien peut générer des signaux indicatifs d'un état du véhicule aérien. Par exemple, des signaux indicatifs de l'état du véhicule aérien peuvent inclure une vitesse d'air du véhicule aérien. Un état du véhicule aérien peut être déterminé en fonction des un ou 15 plusieurs signaux. Par exemple, les un ou plusieurs signaux peuvent indiquer que le véhicule aérien décroche. Comme autre exemple, les un ou plusieurs signaux peuvent indiquer que le véhicule aérien fonctionne normalement. Un ou plusieurs paramètres attendus peuvent être récupérés en 20 fonction de l'état déterminé du véhicule aérien. Par exemple, si l'état du véhicule aérien est un état décroché, alors un ou plusieurs paramètres attendus associés à un véhicule aérien décroché peuvent être récupérés. Comme autre exemple, si l'état du véhicule aérien est un état normal, alors un ou plusieurs paramètres attendus associés à 25 un véhicule aérien normal peuvent être récupérés. Les un ou plusieurs paramètres attendus peuvent inclure des paramètres observés passivement et/ou des paramètres entrés délibérément. Un ou plusieurs paramètres réels peuvent être reçus en fonction de l'entrée d'utilisateur. Les un ou plusieurs paramètres réels peuvent 30 inclure des paramètres observés passivement. Par exemple, une ou plusieurs actions de l'opérateur peuvent être reçues. Les un ou plusieurs paramètres réels peuvent inclure des paramètres entrés 5 délibérément. Par exemple, des positions de leviers ou d'autres dispositifs d'entrée peuvent être reçues. La série de paramètres attendus peuvent être comparés avec la série de paramètres réels. Par exemple, une tâche associée à une commande attendue du véhicule 5 aérien peut indiquer un contact oculaire de l'opérateur attendu avec un affichage entre 2 et 4 secondes ; le temps réel que l'opérateur met pour réaliser un contact oculaire avec l'affichage peut être comparé avec le temps attendu. Comme autre exemple, une altitude du véhicule aérien et une vitesse du véhicule aérien peuvent indiquer qu'un levier 10 de pas doit être déplacé vers l'arrière ; la position réelle du levier de pas peut être comparée avec le mouvement attendu (par exemple, vers 1 ' arrière). Un état de l'entrée peut être déterminé en fonction de la comparaison. Par exemple, si le contact oculaire réel avec l'affichage 15 est dans la plage attendue, alors l'état de l'entrée peut être déterminé comme étant normal. Comme autre exemple, si le contact oculaire réel avec l'affichage est hors de la plage attendue, alors l'état de l'entrée peut être déterminé comme étant anormal. Dans un autre exemple, si le mouvement réel du levier de pas est vers l'arrière et le mouvement 20 attendu du levier de pas est vers l'arrière, alors l'état de l'entrée peut être déterminé comme étant normal. Comme autre exemple, si le mouvement réel du levier de pas est vers l'avant et le mouvement attendu du levier de pas est vers l'arrière, alors l'état de l'entrée peut être déterminé comme étant anormal. Quand l'état de l'entrée est 25 déterminé comme étant anormal, le véhicule aérien peut être amené à initier un mode de protection. Pendant le mode de protection, le véhicule aérien peut entrer un réglage de vol automatique et devenir insensible ou sensible de manière limitée à l'entrée d'utilisateur. Une enveloppe fonctionnelle peut être une série de règles sous lesquelles 30 un opérateur peut opérer. Dans un mode de réalisation, pendant le mode de protection, l'enveloppe fonctionnelle peut se rétrécir. 6 De cette manière, les systèmes et procédés selon des aspects exemplaires de la présente invention peuvent avoir un certain nombre d'effets et bénéfices techniques. Par exemple, des aspects exemplaires de la présente invention peuvent avoir un effet technique de protection 5 d'un véhicule d'une entrée anormale d'un opérateur (par exemple, le pilote) du véhicule. Dans certains modes de réalisation, les systèmes et procédés de la présente invention fournissent aussi une amélioration à un système informatique dans un véhicule aérien, comme les systèmes et 10 procédés d'évaluation d'entrée. Par exemple, les systèmes et procédés peuvent déterminer un état du véhicule aérien ; obtenir des données indicatives d'une entrée d'opérateur attendue en fonction de l'état déterminé ; obtenir des données indicatives d'une entrée d'opérateur réelle ; déterminer un état de comportement d'utilisateur en fonction 15 de l'entrée d'opérateur attendue et de l'entrée d'opérateur réelle ; déterminer une action de commande pour le véhicule aérien en fonction de l'état déterminé du véhicule aérien et de l'état déterminé du comportement de l'opérateur ; et mettre en oeuvre l'action de commande. Cela peut protéger le système informatique de traiter une 20 entrée nuisible. Tel qu'utilisé ici, polarité de commande peut signifier l'engagement d'un dispositif d'entrée dans une direction et/ou un réglage. Par exemple, une polarité de commande incorrecte peut être un mouvement d'un levier dans une direction qui est inattendue pour 25 une série courante de circonstances. Plus précisément, une polarité de commande incorrecte peut être un mouvement d'un levier de pas vers l'arrière quand un mouvement du levier de pas vers l'avant est la seule polarité de commande attendue du levier de pas. Tel qu'utilisé ici, sélection de commande peut signifier l'engagement d'un dispositif 30 d'entrée particulier. Par exemple, une sélection de commande incorrecte peut être un engagement d'une entrée pour commander un premier composant, quand une commande d'un second composant est 7 attendue. Plus précisément, une sélection de commande incorrecte peut être une sélection d'un coupe-circuit pour un moteur gauche quand un moteur droit est en feu. Tel qu'utilisé ici, décision de commande peut signifier un choix à la lumière d'une méthodologie de 5 décision attendue. Par exemple, une décision incorrecte de commande peut être une sélection d'un aéroport qui n'a pas une piste suffisamment longue pour accueillir le véhicule aérien, du fait d'un échec à prendre en compte une longueur de piste requise pour le véhicule aérien et/ou d'un échec à prendre en compte une longueur de 10 piste de l'aéroport sélectionné comme une partie de la méthodologie de décision de l'opérateur. Tel qu'utilisé ici, moment de commande peut signifier l'engagement d'un dispositif d'entrée à la lumière d'autres circonstances de véhicule aérien. Par exemple, un moment de commande incorrect peut être de ne pas répondre à une instruction de 15 commande donnée à l'opérateur du véhicule aérien dans une plage de temps attendue. Tel qu'utilisé ici, commandes manquantes peut signifier une absence of commandes attendues. Par exemple, une série de mots indicatifs de l'opérateur vérifiant la pression de la cabine tout en montant jusqu'à 10.000 pieds peut être attendue, et si elle est 20 absente, cela peut être une commande manquante. Tel qu'utilisé ici, enveloppe fonctionnelle peut être une série de règles sous lesquelles un opérateur peut opérer. Tel qu'utilisé ici, élargir l'enveloppe fonctionnelle signifie que la série de règles sous lesquelles l'opérateur peut opérer sont relâchées ou assouplies. Tel qu'utilisé ici, 25 rétrécir l'enveloppe fonctionnelle signifie d'ajouter des limites à la série de règles sous lesquelles l'opérateur peut opérer. La FIG. 1 représente un exemple de système d'évaluation d'entrée selon des exemples de mode de réalisation de la présente invention. Comme montré, le système peut inclure un véhicule aérien 30 102. Le véhicule aérien 102 peut inclure un système informatique embarqué 110. Comme montré sur la FIG. 1, le système informatique embarqué 110 peut inclure un ou plusieurs di spositif(s) 8 informatique(s) embarqué(s) 104 qui peuvent être associés a, par exemple, un système avionique. Le(s) dispositif(s) informatique(s) embarqué(s) 104 peuvent être couplés à une variété de systèmes sur le véhicule aérien 102 sur un réseau de communication 115. Le réseau 5 de communication 115 peut inclure un bus de données ou une combinaison de liaisons de communication câblées et/ou sans fil. Le(s) dispositif(s) informatique(s) embarqué(s) 104 peuvent être en communication avec un système d'affichage 125 incluant un ou plusieurs dispositif(s) d'affichage qui peuvent être configurés pour 10 afficher ou fournir autrement une information générée ou reçue par le système 110 aux membres de l'équipage du véhicule aérien 102. Le système d'affichage 125 peut inclure un affichage de vol primaire, une unité d'affichage de commande multitâches, ou d'autres affichages de vol convenables communément inclus dans une cabine du véhicule 15 aérien 102. Les dispositif(s) informatiques(s) embarqué(s) 104 peuvent aussi inclure et/ou être en communication avec un système de détection d'équipage 126. Le système de détection d'équipage 126 peut inclure un ou plusieurs capteurs pour détecter les actions et/ou 20 état des membres de l'équipage par différentes modalités incluant, entre autres choses, la parole, le suivi oculaire, l'état physiologique, et/ou des positions de commande. Les un ou plusieurs capteurs peuvent inclure une ou plusieurs caméras, microphones, etc. Le système de détection d'équipage 126 peut inclure et/ou être associé à, 25 tout nombre convenable de microprocesseurs individuels, alimentations, dispositifs de stockage, cartes d'interface, et autres composants standard. Le(s) dispositif(s) informatique(s) embarqué(s) 104 peuvent aussi être en communication avec un ordinateur de commande de vol 30 130. L'ordinateur de commande de vol 130 peut, entre autres choses, automatiser les tâches de pilotage et de suivi du plan de vol du véhicule aérien 102. L'ordinateur de commande de vol 130 peut 9 inclure ou être associé à, tout nombre convenable of microprocesseurs individuels, alimentations, dispositifs de stockage, cartes d'interface, systèmes de navigation automatique, ordinateur de gestion de vol, et autres composants standard. L'ordinateur de commande de vol 130 5 peut inclure ou coopérer avec tout nombre de programmes de logiciel (par exemple, des programmes de gestion de vol) ou instructions conçus pour réaliser les divers procédés, tâches de processus, calculs, et fonctions de commande/affichage nécessaires pour le fonctionnement du véhicule aérien 102. L'ordinateur de commande 10 de vol 130 est illustré comme étant séparé de(s) dispositif(s) informatique(s) embarqué(s) 104. L'homme de l'art, en utilisant les descriptions fournies ici, comprendra que l'ordinateur de commande de vol 130 peut aussi être inclus avec ou mis en oeuvre par le(s) dispositif(s) informatique(s) embarqué(s) 104. 15 Le(s) dispositif(s) informatique(s) embarqué(s) 104 peuvent aussi être en communication avec un ou plusieurs système(s) de commande de véhicule aérien 140. Le(s) système(s) de commande de véhicule aérien 140 peuvent être configurés pour réaliser diverses opérations du véhicule aérien et divers réglages et paramètres de 20 commande liés au véhicule aérien 102. Par exemple, le(s) système(s) de commande de véhicule aérien 140 peuvent être associés à un ou plusieurs moteur(s) 120 et/ou autres composants du véhicule aérien 102. Le(s) système(s) de commande de véhicule aérien 140 peuvent inclure, par exemple, des systèmes de commande numériques, des 25 systèmes de poussée, des systèmes de référence inertiels, des systèmes d'instruments de vol, des systèmes de commande de moteur, des systèmes de puissance auxiliaires, des systèmes de contrôle de carburant, des systèmes de contrôle de vibration de moteur, des systèmes de communication, des systèmes de commande de volets, des 30 systèmes d'acquisition de données de vol, et d'autres systèmes. L'un quelconque ou tous parmi le système informatique embarqué 110, le(s) dispositif(s) informatique(s) embarqué(s) 104, 10 l'ordinateur de commande de vol, et le(s) système(s) de commande de véhicule aérien 140 peuvent inclure et/ou être en communication avec des dispositifs d'entrée. Selon des aspects exemplaires de la présente invention, un état du véhicule aérien peut être déterminé et les 5 dispositifs d'entrée peuvent être limités en fonction de l'état, comme décrit plus en détails en référence aux FIG. 6 et FIG. 7 ci-dessous. Les nombres, emplacements, et/ou orientations des composants de l'exemple de véhicule aérien 102 sont pour des besoins d'illustration et de présentation et ne sont pas destinés à être 10 limitatifs. L'homme de l'art, en utilisant les descriptions fournies ici, comprendra que les nombres, emplacements, et/ou orientations des composants du véhicule aérien 102 peuvent être ajustés sans s'éloigner du domaine de la présente invention. La FIG. 2A représente un diagramme pour montrer des 15 exemples de modes de réalisation de la présente invention. Un état d'un véhicule aérien 202, dans ce cas un décrochage du véhicule aérien 202, est montré. La variété des forces détectées peut indiquer que le véhicule aérien 202 est dans un état décroché. Par exemple, une force de traînée 204, une force de portance 208, une force de poids du 20 véhicule aérien 210, et une force de poussée 206 peuvent être prises en considération. Un mouvement total 212 du véhicule aérien 202 à la vue des forces peut indiquer que le véhicule aérien 202 est dans un état décroché. La FIG. 2B représente un exemple de mode de réalisation d'un affichage de sortie associé à une vitesse. La FIG. 2C 25 représente un exemple de mode de réalisation d'un affichage de sortie associé à un lacet. L'état du véhicule aérien peut être déterminé par des valeurs associées à un système de commande. Par exemple, les valeurs montrées dans les affichages de sortie des figures B et C peuvent être des valeurs associées à un état décroché. Le système 30 d'affichage 125 peut comprendre les affichages de sortie des figures B et C. Bien que les figures 2A-2C représentent un véhicule aérien en décrochage, un certain nombre d'états de véhicule aérien peuvent être 11 détectés. Par exemple, une ou plusieurs pannes de moteur peuvent être détectées. La FIG. 3 illustre un comportement normal et/ou attendu de l'opérateur selon des exemples de mode de réalisation de la présente 5 invention. Le comportement normal et/ou attendu de l'opérateur peut être en fonction de l'état déterminé du véhicule aérien, dans le cas des figures 2A-2C, un état décroché. Par exemple, déplacer un levier 302 vers l'avant peut être une entrée attendue et/ou une entrée normale. Si le levier 302 est déplacé vers l'avant, ce comportement attendu peut 10 être autorisé. Dans un mode de réalisation, le véhicule aérien 202 peut fonctionner automatiquement comme si le levier 302 est déplacé vers une position attendue pour l'état détecté courant. De plus, déplacer un levier de pas 304 vers l'avant peut être une entrée attendue et/ou une entrée normale. Si le levier de pas 304 est déplacé vers l'avant, ce 15 comportement attendu peut être autorisé. Dans un mode de réalisation, le véhicule aérien 202 peut automatiquement fonctionner comme si le levier de pas 304 est déplacé vers une position attendue pour l'état détecté courant. La FIG. 4 illustre comportement anormal et/ou inattendu de 20 l'opérateur selon des exemples de mode de réalisation de la présente invention. Le comportement anormal et/ou inattendu de l'opérateur peut être en fonction de l'état déterminé du véhicule aérien, dans le cas des figures 2A-2C, un état décroché. Par exemple, déplacer un levier 402 vers l'arrière peut être une entrée inattendue et/ou une 25 entrée anormale. Si le levier 402 est déplacé vers l'arrière, ce comportement attendu ne sera pas autorisé. Comme montré, il ne pourrait y avoir aucune limitation au mouvement d'un levier de pas 404. Bien que les figures 2A, 2B, 2C, 3, and, 4 représentent la 30 détection d'une polarité de commande incorrecte (c'est à dire, de déplacer des leviers dans l'une opposée d'une direction attendue), un certain nombre d'autres erreurs entrées délibérément peuvent être 12 détectées. Dans un mode de réalisation, une sélection de commande incorrecte peut être détectée. Par exemple, un feu peut être détecté sur un moteur droit et un signal venant d'un coupe-circuit de moteur gauche peut être détecté. Dans un mode de réalisation, une décision 5 incorrecte de commande peut être détectée. Par exemple, un signal pour dévier un véhicule aérien vers un aéroport avec une piste qui est trop courte pour que le véhicule aérien atterrisse peut être détecté. Dans un mode de réalisation, un moment de commande incorrect peut être détecté. Par exemple, un signal pour déployer un train 10 d'atterrissage quand le véhicule aérien avance plus vite qu'une vitesse d'extension de train maximale peut être détectée. Dans un mode de réalisation, des commandes manquées peuvent être détectées. Par exemple, un signal attendu pour vérifier la pression de la cabine à 10.000 pieds peut être détecté comme manquant. 15 Bien que les figures 2A, 2B, 2C, 3, and, 4 représentent la détection d'une entrée incorrecte délibérée, une entrée incorrecte observée passivement peut aussi être détectée. Par exemple, un opérateur peut avoir une liste de vérification d'items à réaliser afin de suivre un protocole correct pour une tâche particulière. Une ou 20 plusieurs caméras peuvent enregistrer l'opérateur pour détecter si chaque item de la liste de vérification est réalisé, est réalisé dans un ordre correct, et est réalisé dans une plage de temps appropriée. Comme autre exemple, un protocole correct peut ordonner à des coopérateurs d'avoir un dialogue écrit pendant une autre tâche 25 particulière. Un ou plusieurs microphones peuvent enregistrer les co- opérateurs pour détecter si le dialogue écrit a lieu. Comme autre exemple, un protocole correct peut dicter que les yeux d'un opérateur sont fixés sur un point dans un affichage pour une plage de temps particulière. Une ou plusieurs caméras peuvent enregistrer les yeux de 30 l'opérateur pour détecter si les yeux de l'opérateur sont fixés sur le point pendant la plage de temps particulière. 13 La FIG. 5 représente un organigramme d'un exemple de procédé réalisé par un opérateur 502. La FIG. 5 représente aussi une relation entre un véhicule aérien 500 et l'opérateur 502. En (504), l'opérateur 502 obtient des données depuis le véhicule aérien 500. Des 5 données peuvent être obtenues, par exemple, par sortie visuelle (par exemple, une image sur un affichage), par sortie auditive (par exemple, une alerte auditive représentant un état du véhicule aérien 500), par sortie tactile (par exemple, une vibration représentant un état d'un composant du véhicule aérien), etc. En (506), l'opérateur 10 502 peut déterminer l'état du véhicule aérien 500. L'état du véhicule aérien 500 peut être déterminé en fonction des données obtenues. L'opérateur 502 peut fournir une indication de l'état du véhicule aérien 500 vocalement (par exemple, transmettre par message radio l'état du véhicule aérien 500 à un système au sol, discuter de l'état du 15 véhicule aérien 500 avec un co-opérateur, dire l'état du véhicule aérien 500 à un équipage de vol, établir l'état du véhicule aérien 500 à voix haute pour soi-même, etc.). L'opérateur 502 peut fournir une indication de signal de l'état du véhicule aérien 500 (par exemple, diffuser un signal par code Morse, entrer un texte indicatif de l'état 20 du véhicule aérien 500, engager un dispositif d'entrée (par exemple, un bouton pour indiquer que des ceintures de sécurité doivent être utilisées à ce moment, etc.). En (508), l'opérateur 502 peut déterminer une commande ou action à prendre. La commande déterminée peut être fonction de l'état 25 déterminé. L'opérateur 502 peut fournir une indication de la commande déterminée vocalement (par exemple, entrer en contact radio avec un système au sol pour aviser le système au sol de la commande déterminée, discuter de la commande déterminée avec un co-opérateur, dire la commande déterminée à un équipage de vol, dire 30 la commande déterminée à voix haute à soi-même, etc.). L'opérateur 502 peut fournir une indication de signal de la commande déterminée (par exemple, entrer un texte indicatif de la commande déterminée, 14 engager un dispositif d'entrée (par exemple, quand la commande déterminée implique de changer un plan de vol, un bouton pour cycler à travers de nouveaux emplacement possibles pouvant être engagés, etc.). En (510), l'opérateur 502 peut réaliser la commande. Le véhicule 5 aérien 502 peut répondre à la commande réalisée. Dans un aspect, une entrée d'opérateur observée passivement peut être évaluée en fonction du procédé 500. Par exemple, si l'opérateur 502 est observé passant à (506) sans prendre une plage de temps normale en (504) (par exemple, parlant de l'état du véhicule 10 aérien 500 sans avoir un contact oculaire avec un affichage pendant une plage de temps appropriée), alors un comportement anormal de l'opérateur peut être observé. Similairement, si l'opérateur 502 est observé passant à (508) trop rapidement (par exemple, disant une commande à réaliser sans dire un état du véhicule aérien 500), alors 15 un comportement anormal de l'opérateur peut être observé. Similairement, si l'opérateur 502 est observé passant à (510) trop rapidement (par exemple, engageant un dispositif d'entrée sans dire une commande à réaliser), alors un comportement anormal de l'opérateur peut être observé. Dans un mode de réalisation, si 20 l'opérateur 502 ne passe pas à (510) quand cela est attendu (par exemple, quand il n'agit pas pour récupérer un état du véhicule aérien), alors un comportement anormal de l'opérateur peut être observé. Dans un mode de réalisation, un manque dans de nombreuses étapes peut être détecté. Par exemple, un élément d'équipage empêché 25 ne peut plus obtenir de données 504 ni réaliser des fonctions de commande 510. Cela peut être considéré comme un manque dans de nombreuses étapes et serait un comportement anormal, qui peut être détecté. Dans un mode de réalisation, une action d'opérateur anormale observée peut provoquer un changement de l'état du comportement de 30 l'opérateur de normal à anormal. Dans un autre mode de réalisation, un nombre de seuil d'actions anormales peuvent être réalisées avant que l'état du comportement de l'opérateur change de l'état normal à 15 anormal. Dans un autre mode de réalisation, un nombre de seuil d'actions anormales peuvent être réalisées dans une période de temps avant que l'état du comportement de l'opérateur change de normal à anormal. Dans un autre mode de réalisation, des actions anormales 5 différentes peuvent être pondérées. Par exemple, un comportement anormal observé en (504) peut être pondéré plus légèrement qu'un comportement anormal observé en (510). Sous un tel mode de réalisation, une valeur pondérée de seuil de comportements anormaux peuvent avoir lieu (ou avoir lieu dans une certaine période de temps) 10 avant que l'état du comportement de l'opérateur change de normal à anormal. La FIG. 6 représente un organigramme d'un exemple de procédé 600 d'évaluation d'entrée. Le procédé de la FIG. 6 peut être mis en oeuvre en utilisant, par exemple, les un ou plusieurs 15 dispositif(s) informatique(s) 802 et/ou les un ou plusieurs processeur(s) 804 du système de commande 800 of FIG. 8. La FIG. 6 représente des étapes réalisées dans un ordre particulier pour des besoins d'illustration et de discussion. L'homme de l'art, en utilisant les descriptions fournies ici, comprendra que les diverses étapes de 20 l'un quelconque des procédés décrits ici peuvent être adaptées, modifiées, réarrangées, réalisées simultanément, ou modifiées de diverses manières sans dévier du domaine de la présente invention. En (602), un état de véhicule aérien peut être déterminé. Par exemple, le processeur 804 peut déterminer un état du véhicule aérien. 25 Par exemple, l'état déterminé du véhicule aérien peut être un état anormal ou un état normal. Dans un mode de réalisation, un état anormal spécifique peut être déterminé. Comme un exemple, un état anormal spécifique qui peut être déterminé est un état décroché. Comme autre exemple, un autre état anormal spécifique qui peut être 30 déterminé est un feu de moteur. Dans un mode de réalisation, quand un état est déterminé comme étant normal, le procédé peut passer à (610). Dans un mode de réalisation, un état normal spécifique peut 16 être déterminé. Comme un exemple, un état normal spécifique qui peut être déterminé est un état associé à des conditions de givre. Comme autre exemple, un autre état normal spécifique qui peut être déterminé est un état associé à l'approche d'une chaîne de montagne. 5 Quand un état est déterminé comme étant anormal, le procédé peut passer à (604). En (604), le comportement de l'opérateur peut être comparé au comportement de l'opérateur attendu pour l'état déterminé. Par exemple, le processeur 804 peut comparer un comportement de l'opérateur avec un comportement de l'opérateur attendu pour l'état 10 déterminé. Si le comportement de l'opérateur dévie d'un comportement attendu de l'opérateur, alors le comportement de l'opérateur peut être anormal. Le comportement de l'opérateur peut inclure un comportement observé passivement et/ou un comportement associé à des signaux de commande entrés délibérément. Comparer le 15 comportement de l'opérateur avec un comportement attendu de l'opérateur peut inclure de comparer une polarité de commande réelle avec une polarité de commande attendue. Comparer le comportement de l'opérateur avec un comportement attendu de l'opérateur peut inclure de comparer une sélection de commande réelle avec une 20 sélection de commande attendue. Comparer le comportement de l'opérateur avec un comportement attendu de l'opérateur peut inclure de comparer une décision de commande réelle avec une décision de commande attendue. Comparer le comportement de l'opérateur avec un comportement attendu de l'opérateur peut inclure de comparer un 25 moment de commande réel avec un moment de commande attendu. Comparer le comportement de l'opérateur avec un comportement attendu de l'opérateur peut inclure de détecter qu'un signal de commande n'a pas été transmis quand cela était attendu. Comparer le comportement de l'opérateur avec un comportement attendu de 30 l'opérateur peut inclure de comparer un temps associé à des yeux d'un opérateur fixés sur un affichage avec un temps attendu. Comparer le comportement de l'opérateur avec un comportement attendu de 17 l'opérateur peut inclure de comparer un ou plusieurs mots prononcés avec un ou plusieurs mots attendus. Comparer le comportement de l'opérateur avec un comportement attendu de l'opérateur peut inclure de comparer un processus de pensée d'un opérateur avec un processus 5 de pensée attendu. Comparer le comportement de l'opérateur avec un comportement attendu de l'opérateur peut inclure de comparer un langage corporel d'un opérateur avec un langage corporel attendu. Comparer le comportement de l'opérateur avec un comportement attendu de l'opérateur peut inclure de comparer une personnalité d'un 10 opérateur avec une personnalité attendue. Dans un mode de réalisation, quand la comparaison du comportement de l'opérateur avec le comportement de l'opérateur attendu pour l'état déterminé détermine que le comportement de l'opérateur est anormal, alors le procédé 600 peut passer à (606). Dans un mode de réalisation, quand 15 la comparaison du comportement de l'opérateur avec le comportement de l'opérateur attendu pour l'état déterminé détermine que le comportement de l'opérateur est normal, alors le procédé 600 peut passer à (608). Une enveloppe fonctionnelle peut être une série de règles sous lesquelles un opérateur peut opérer. L'enveloppe 20 fonctionnelle peut être déterminée par l'état du véhicule aérien et l'état du comportement de l'opérateur. En (606), le véhicule aérien est déterminé comme étant dans un état anormal et le comportement de l'opérateur est déterminé comme étant anormal. Dans de telles circonstances, l'enveloppe 25 fonctionnelle peut être rétrécie. Par exemple, des protections basées sur les règles, à niveau bas, peuvent être ajoutées à l'enveloppe fonctionnelle. Comme autre exemple, un opérateur peut être autorisé à altérer un lacet vers le haut du véhicule aérien pour maintenir une vitesse d'air mais empêché d'altérer le lacet vers le bas. En (608), le 30 véhicule aérien est déterminé comme étant dans un état anormal et le comportement de l'opérateur est déterminé comme étant normal. Dans de telles circonstances, l'enveloppe fonctionnelle peut être élargie. 18 Par exemple, faire atterrir un véhicule aérien dans une situation inhabituelle, comme sur une autoroute, un champ, ou un plan d'eau, peut normalement être interdit. Néanmoins, si deux moteurs du véhicule aérien sont hors d'usage, faire atterrir le véhicule aérien dans 5 l'emplacement inhabituel peut être permis. En (610), le comportement de l'opérateur peut être comparé avec le comportement de l'opérateur attendu pour l'état déterminé. Par exemple, le processeur 804 peut comparer le comportement de l'opérateur avec le comportement de l'opérateur attendu pour l'état 10 déterminé. Si le comportement de l'opérateur s'écarte d'un comportement attendu de l'opérateur, alors le comportement de l'opérateur peut être anormal. Comparer le comportement de l'opérateur avec un comportement attendu de l'opérateur peut inclure de comparer une polarité de commande réelle avec une polarité de 15 commande attendue. Comparer le comportement de l'opérateur avec un comportement attendu de l'opérateur peut inclure de comparer une sélection de commande réelle avec une sélection de commande attendue. Comparer le comportement de l'opérateur avec un comportement attendu de l'opérateur peut inclure de comparer une 20 décision de commande réelle avec une décision de commande attendue. Comparer le comportement de l'opérateur avec un comportement attendu de l'opérateur peut inclure de comparer un moment de commande réel avec un moment de commande attendu. Comparer le comportement de l'opérateur avec un comportement 25 attendu de l'opérateur peut inclure de détecter qu'un signal de commande n'a pas été transmis quand cela était attendu. Comparer le comportement de l'opérateur avec un comportement attendu de l'opérateur peut inclure de comparer un temps associé à des yeux d'un opérateur fixés sur un affichage avec un temps attendu. Comparer le 30 comportement de l'opérateur avec un comportement attendu de l'opérateur peut inclure de comparer un ou plusieurs mots prononcés avec un ou plusieurs mots attendus. Comparer le comportement de 19 l'opérateur avec un comportement attendu de l'opérateur peut inclure de comparer un processus de pensée d'un opérateur avec un processus de pensée attendu. Comparer le comportement de l'opérateur avec un comportement attendu de l'opérateur peut inclure de comparer un 5 langage corporel d'un opérateur avec un langage corporel attendu. Comparer le comportement de l'opérateur avec un comportement attendu de l'opérateur peut inclure de comparer une personnalité d'un opérateur avec une personnalité attendue. Dans un mode de réalisation, quand la comparaison du comportement de l'opérateur 10 avec le comportement de l'opérateur attendu pour l'état déterminé détermine que le comportement de l'opérateur est anormal, alors le procédé 600 peut passer à (612). Dans un mode de réalisation, quand la comparaison du comportement de l'opérateur avec le comportement de l'opérateur attendu pour l'état déterminé détermine que le 15 comportement de l'opérateur est normal, alors le procédé 600 peut passer à (614). En (612), le véhicule aérien est déterminé comme étant dans un état normal et le comportement de l'opérateur est déterminé comme étant anormal. Dans de telles circonstances, l'enveloppe fonctionnelle 20 peut être rétrécie. Par exemple, un système de protection peut être ajouté à l'enveloppe fonctionnelle. Par exemple, le véhicule aérien peut entrer en mode automatisé et une entrée de l'opérateur peut être ignorée. En (614), le véhicule aérien est déterminé comme étant dans un état normal et le comportement de l'opérateur est déterminé comme 25 étant normal. Dans de telles circonstances, le véhicule aérien peut ne réaliser aucune action et une entrée de l'opérateur peut être traitée comme normale. La FIG. 7 représente un organigramme d'un exemple de procédé 700 d'évaluation d'entrée. Le procédé de la FIG. 7 peut être 30 mis en oeuvre en utilisant, par exemple, les un ou plusieurs dispositif(s) informatique(s) 802 et/ou les un ou plusieurs processeur(s) 804 du système de commande 800 de la FIG. 8. La FIG. 20 7 représente des étapes réalisées dans un ordre particulier pour des besoins d'illustration et de discussion. L'homme de l'art, en utilisant les descriptions fournies ici, comprendra que les diverses étapes de l'un quelconque des procédés décrits ici peuvent être adaptées, 5 modifiées, réarrangées, réalisées simultanément, ou modifiées de diverses manières sans dévier du domaine de la présente invention. En (702), un état d'un véhicule peut être déterminé. Par exemple, le processeur 804 peut déterminer un état d'un véhicule aérien. Par exemple, un ou plusieurs signaux indicatifs de la 10 performance du véhicule aérien peuvent être utilisés pour déterminer l'état du véhicule aérien. Par exemple, un ou plusieurs signaux indicatifs d'une pluralité de forces peuvent être utilisés pour déterminer si le véhicule aérien est dans un état anormal et/ou un état décroché. Dans un autre exemple, l'absence d'un ou plusieurs signaux 15 venant d'un moteur peut être utilisée pour déterminer un état anormal et/ou un état de panne du moteur. Dans un aspect, l'état du véhicule aérien peut être normal ou anormal. Dans un autre aspect, l'état du véhicule aérien peut être plus spécifique que normal et anormal. Par exemple, l'état du véhicule aérien peut inclure un état de décrochage, 20 un état de panne de moteur, etc. En (704), des données indicatives d'une entrée d'opérateur attendue peuvent être obtenues en fonction de l'état déterminé. Par exemple, le processeur 804 peut obtenir des données indicatives d'une entrée d'opérateur attendue en fonction de l'état déterminé. Une entrée 25 d'opérateur peut inclure une entrée observée passivement et/ou des signaux de commande entrés délibérément. L'entrée d'opérateur attendue peut inclure une polarité de commande attendue. Par exemple, l'entrée d'opérateur attendue peut inclure un mouvement vers l'avant d'une commande, comme un levier ou un levier de pas. 30 L'entrée d'opérateur attendue peut inclure une sélection de commande attendue. Par exemple, l'entrée d'opérateur attendue peut inclure un coupe-circuit pour un moteur. L'entrée d'opérateur attendue peut 21 inclure une décision de commande attendue. Par exemple, l'entrée d'opérateur attendue peut inclure une route vers un nouvel aéroport, dans lequel le nouvel aéroport inclut une piste suffisamment longue pour accueillir le véhicule aérien. L'entrée d'opérateur attendue peut 5 inclure un moment de commande attendu. Par exemple, l'entrée d'opérateur attendue peut inclure de ne pas recevoir un signal pour déployer un train d'atterrissage quand le véhicule aérien avance plus vite qu'une vitesse d'extension de train maximum. L'entrée d'opérateur attendue peut inclure un signal de commande attendu. Par 10 exemple, l'entrée d'opérateur attendue peut inclure une série attendue de mots indicatifs de la vérification de la pression de la cabine par l'utilisateur lors de la montée à 10.000 pieds. L'entrée d'opérateur attendue peut inclure un temps attendu associé à des yeux d'un opérateur fixés sur un affichage. L'entrée d'opérateur attendue peut 15 inclure un ou plusieurs mots attendus. L'entrée d'opérateur attendue peut inclure un processus de pensée attendu. L'entrée d'opérateur attendue peut inclure un langage corporel attendu. L'entrée d'opérateur attendue peut inclure une personnalité attendue. L'entrée d'opérateur attendue peut inclure une expression faciale attendue. 20 L'entrée d'opérateur attendue peut inclure une posture physique attendue. L'entrée d'opérateur attendue peut inclure un état physiologique attendu. L'entrée d'opérateur attendue peut inclure un mouvement d'inter-commande attendu. En (706), des données indicatives d'une entrée d'opérateur 25 réelle peuvent être obtenues. Par exemple, le processeur 804 peut obtenir des données indicatives d'une entrée d'opérateur réelle. Obtenir une entrée d'opérateur réelle peut inclure d'obtenir des signaux de commande entrés délibérément. Comme exemple, une entrée d'opérateur réelle peut inclure des signaux indicatifs d'une 30 position et/ou d'un changement de position d'un dispositif d'entrée. Dans un aspect, le dispositif d'entrée peut inclure un levier. Dans un aspect, le dispositif d'entrée peut inclure un levier de pas. En variante 22 ou en plus, obtenir une entrée d'opérateur réelle peut inclure d'obtenir une entrée observée passivement. Comme un exemple, une ou plusieurs caméras et/ou un ou plusieurs microphones peuvent enregistrer des données indiquant un état de l'opérateur. Les données 5 indiquant l'état peuvent inclure une parole d'opérateur, un suivi oculaire d'opérateur, des expressions faciales d'opérateur, une posture physique d'opérateur, un mouvement d'inter-commande d'opérateur, des états physiologiques d'opérateur (par exemple, pouls, pression sanguine, etc.), et autres, et/ou toute combinaison de ce qui précède. 10 En (708), un état de comportement de l'opérateur peut être déterminé en fonction de l'entrée d'opérateur attendue et de l'entrée d'opérateur réelle. Par exemple, le processeur 804 peut déterminer un état de comportement d'utilisateur en fonction de l'entrée d'opérateur attendue et de l'entrée d'opérateur réelle. L'état de comportement de 15 l'opérateur peut être déterminé en fonction d'une entrée observée passivement et/ou de signaux de commande entrés délibérément. Déterminer un état de comportement de l'opérateur en fonction de l'entrée d'opérateur attendue et de l'entrée d'opérateur réelle peut inclure de comparer une polarité de commande réelle avec une polarité 20 de commande attendue. Déterminer un état de comportement de l'opérateur en fonction de l'entrée d'opérateur attendue et de l'entrée d'opérateur réelle peut inclure de comparer une sélection de commande réelle avec une sélection de commande attendue. Déterminer un état de comportement de l'opérateur en fonction de 25 l'entrée d'opérateur attendue et de l'entrée d'opérateur réelle peut inclure de comparer une décision de commande réelle avec une décision de commande attendue. Déterminer un état de comportement de l'opérateur en fonction de l'entrée d'opérateur attendue et de l'entrée d'opérateur réelle peut inclure de comparer un moment de 30 commande réel avec un moment de commande attendu. Déterminer un état de comportement de l'opérateur en fonction de l'entrée d'opérateur attendue et de l'entrée d'opérateur réelle peut inclure de déterminer si 23 un signal de commande attendu est présent. Déterminer un état de comportement de l'opérateur en fonction de l'entrée d'opérateur attendue et de l'entrée d'opérateur réelle peut inclure de comparer un temps observé associé à des yeux d'un opérateur fixés sur un affichage 5 avec un temps attendu associé à des yeux d'un opérateur fixés sur l'affichage. Déterminer un état de comportement de l'opérateur en fonction de l'entrée d'opérateur attendue et de l'entrée d'opérateur réelle peut inclure de comparer un ou plusieurs mots observés avec un ou plusieurs mots attendus. Déterminer un état de comportement de 10 l'opérateur en fonction de l'entrée d'opérateur attendue et de l'entrée d'opérateur réelle peut inclure de comparer un processus de pensée observé avec un processus de pensée attendu. Déterminer un état de comportement de l'opérateur en fonction de l'entrée d'opérateur attendue et de l'entrée d'opérateur réelle peut inclure de comparer un 15 langage corporel observé avec un langage corporel attendu. Déterminer un état de comportement de l'opérateur en fonction de l'entrée d'opérateur attendue et de l'entrée d'opérateur réelle peut inclure de comparer une personnalité observée avec une personnalité attendue. Déterminer un état de comportement de l'opérateur en 20 fonction de l'entrée d'opérateur attendue et de l'entrée d'opérateur réelle peut inclure de comparer une expression faciale observée avec une expression faciale attendue. Déterminer un état de comportement de l'opérateur en fonction de l'entrée d'opérateur attendue et de l'entrée d'opérateur réelle peut inclure de comparer une posture 25 physique observée avec une posture physique attendue. Déterminer un état de comportement de l'opérateur en fonction de l'entrée d'opérateur attendue et de l'entrée d'opérateur réelle peut inclure de comparer un état physiologique observé avec un état physiologique attendu. Déterminer un état de comportement de l'opérateur en fonction de 30 l'entrée d'opérateur attendue et de l'entrée d'opérateur réelle peut inclure de comparer un mouvement d'inter-commande observé avec un mouvement d'inter-commande attendu. 24 En (710), une action de commande peut être déterminée pour le véhicule en fonction de l'état déterminé du véhicule et de l'état déterminé du comportement de l'opérateur. Par exemple, le processeur 804 peut déterminer une action de commande pour le véhicule aérien 5 en fonction de l'état déterminé du véhicule aérien et de l'état déterminé du comportement de l'opérateur. Une enveloppe fonctionnelle peut être une série de règles sous lesquelles un opérateur peut opérer. L'action de commande peut élargir ou rétrécir l'enveloppe fonctionnelle. Quand l'état de véhicule est déterminé comme étant 10 anormal et l'état de comportement de l'opérateur est déterminé comme étant anormal, l'action de commande peut rétrécir l'enveloppe fonctionnelle. Par exemple, rétrécir l'enveloppe fonctionnelle peut inclure d'ajouter des protections basées sur des règles de bas niveau. Quand l'état de véhicule est déterminé comme étant anormal et l'état 15 de comportement de l'opérateur est déterminé comme étant normal, l'action de commande peut élargir l'enveloppe fonctionnelle. Par exemple, les règles sous lesquelles un opérateur est autorisé à fonctionner peuvent être assouplies. Quand l'état de véhicule est déterminé comme étant normal et l'état de comportement de 20 l'opérateur est déterminé comme étant anormal, l'action de commande peut rétrécir l'enveloppe fonctionnelle. Par exemple, rétrécir l'enveloppe fonctionnelle peut inclure de déclencher un système de protection. Quand l'état de véhicule est déterminé comme décroché et l'état de comportement de l'opérateur est déterminé comme étant 25 anormal, l'action de commande peut ignorer un signal indicatif d'un mouvement vers l'arrière d'un levier. En (712), l'action de commande peut être mise en oeuvre. Par exemple, le processeur 804 peut mettre en oeuvre l'action de commande. La FIG. 8 représente un diagramme schématique d'un exemple 30 de système de commande 800 qui peut être utilisé pour mettre en oeuvre des procédés et systèmes selon des exemples de mode de réalisation de la présente invention. Le système de commande 800 peut 25 être tout dispositif ou système de commande décrit en référence à la FIG. 1. Comme montré, le système de commande 800 peut inclure un ou plusieurs dispositif(s) informatique(s) 802. Les un ou plusieurs dispositif(s) informatique(s) 802 peuvent inclure un ou plusieurs 5 processeur(s) 804 et un ou plusieurs dispositif(s) de mémoire(s) 806. Les un ou plusieurs processeur(s) 804 peuvent inclure tout dispositif de traitement convenable, comme un microprocesseur, une microcommande, un circuit intégré, un dispositif logique, ou tout autre dispositif de traitement convenable. Les un ou plusieurs 10 dispositif(s) de mémoire 806 peuvent inclure un ou plusieurs supports lisibles informatiquement, incluant, mais pas limité à, des supports lisibles informatiquement non transitoires, des RAM, des ROM, des disques durs, des mémoires flash, ou autres dispositifs de mémoire. Les un ou plusieurs dispositif(s) de mémoire 806 peuvent 15 stocker des informations accessibles par les un ou plusieurs processeur(s) 804, incluant des instructions lisibles informatiquement 808 qui peuvent être exécutées par les un ou plusieurs processeur(s) 804. The instructions 808 peut être toute série d'instructions qui quand elles sont exécutées par les un ou plusieurs processeur(s) 804, 20 font que les un ou plusieurs processeur(s) 804 réalisent des opérations. Les instructions 808 peuvent être un logiciel écrit dans tout langage de programmation convenable ou peuvent être mises en oeuvre par un matériel. Dans certains modes de réalisation, les instructions 808 peuvent être exécutées par les un ou plusieurs processeur(s) 804 pour 25 faire que les un ou plusieurs processeur(s) 804 réalisent des opérations, comme les opérations d'évaluation d'entrée, telles que décrites en référence à la FIG. 6 et/ou FIG. 7. Le(s) dispositif(s) de mémoire 806 peuvent en outre stocker des données 810 auxquelles peuvent accéder les un ou plusieurs 30 processeur(s) 804. Par exemple, les données 810 peuvent inclure toutes données utilisées pour l'évaluation d'entrée, comme décrit ici. Les données 810 peuvent inclure un ou plusieurs tableau(x), 26 fonction(s), algorithme(s), modèle(s), équation(s), etc. d'évaluation d'entrée selon des exemples de mode de réalisation de la présente invention. Les un ou plusieurs dispositif(s) informatique(s) 802 peuvent 5 aussi inclure une interface de communication 812 utilisée pour communiquer, par exemple, avec les autres composants du système. L'interface de communication 812 peut inclure tous composants convenables pour interfacer avec un ou plusieurs réseau(x), incluant par exemple, des émetteurs, des récepteurs, des ports, des commandes, 10 des antennes, ou d'autres composants convenables. En se référant maintenant à la FIG. 9, des exemples de véhicule 900 selon des exemples de mode de réalisation de la présente invention sont représentés. Les systèmes et procédés de la présente invention peut être mis en oeuvre sur un véhicule aérien, un hélicoptère, une 15 automobile, un bateau, un sous-marin, un train, et/ou tous autres véhicules convenables. Alors que la présente invention est décrite ici en référence à une mise en oeuvre sur un véhicule aérien, qui est destiné seulement à servir d'exemple et non de limitation. L'homme de l'art comprendra que les systèmes et procédés de la présente 20 invention peuvent être mis en oeuvre sur d'autres véhicules sans dévier du domaine de la présente invention. La technologie présentée ici fait référence à des systèmes basés sur des ordinateurs et des actions prises par et des informations envoyées à et depuis les systèmes basés sur des ordinateurs. Un 25 homme de l'art reconnaîtra que la flexibilité inhérente des systèmes basés sur des ordinateurs permet une grande variété de configurations, combinaisons, et divisions de tâches et fonctionnalité possibles entre et parmi les composants. Par exemple, des processus présentés ici peuvent être mis en oeuvre en utilisant un seul dispositif informatique 30 ou de multiples dispositifs informatiques travaillant en combinaison. Des bases de données, mémoire, instructions, et applications peuvent être mises en oeuvre sur un seul système ou distribuées entre de 27 multiples systèmes. Des composants distribués peuvent fonctionner séquentiellement ou en parallèle. 28 Numéro de référence Composant 102 Véhicule aérien 104 Dispositifs informatiques embarqués 110 Système informatique embarqué 115 Réseau de communication 120 Un ou plusieurs Moteur(s) 125 Système d'affichage 126 Système de détection d'équipage 130 Ordinateur de commande de vol 140 Système(s) de commande de véhicule aérien 202 Etat du véhicule aérien 204 Force de tramée 206 Force de poussée 208 Force de soulèvement 210 Poids du véhicule aérien 212 Mouvement total du véhicule aérien 302 Levier 304 Levier de pas 402 Levier 404 Levier de pas 500 Véhicule aérien 502 Opérateur 29 504 Obtenir des données 506 Déterminer l'état 508 Déterminer la commande 510 Réaliser la commande 600 Procédé 602 Étape 604 Étape 606 Étape 608 Étape 610 Étape 612 Étape 614 Étape 700 Procédé 702 Étape 704 Étape 706 Étape 708 Étape 710 Étape 712 Étape 800 Système de commande 802 Dispositif informatique 804 Processeur(s) REVENDICATIONS1. Système (800) d'évaluation d'entrée comprenant : un dispositif de mémoire (806) ; et un ou plusieurs processeurs (804) configurés pour : déterminer un état d'un véhicule (900) ; obtenir des données indicatives d'une entrée d'opérateur attendue en fonction de l'état déterminé ; obtenir des données indicatives d'une entrée d'opérateur réelle ; déterminer un état de comportement d'utilisateur en fonction de l'entrée d'opérateur attendue et de l'entrée d'opérateur réelle ; déterminer une action de commande pour le véhicule (900) en fonction de l'état déterminé du véhicule (900) et de l'état déterminé du comportement de l'opérateur ; et mettre en oeuvre l'action de commande. 2. Système (800) selon la revendication 1, dans lequel quand l'état de véhicule est déterminé comme étant anormal et quand l'état de comportement de l'opérateur est déterminé comme étant anormal, l'action de commande comprend de rétrécir une enveloppe fonctionnelle. 3. Système (800) selon la revendication 2, dans lequel l'état de véhicule est déterminé comme en décrochage, et l'action de commande comprend d'ignorer un signal indicatif d'un mouvement vers l'arrière d'un levier (402). 4. Système (800) selon la revendication 1, dans lequel quand l'état de 25 véhicule est déterminé comme étant anormal et quand l'état de comportement de l'opérateur est déterminé comme étant normal, l'action de commande comprend d'élargir une enveloppe fonctionnelle. 5. Système (800) selon la revendication 1, dans lequel quand l'état de véhicule est déterminé comme étant normal et quand l'état de comportement 31 de l'opérateur est déterminé comme étant anormal, l'action de commande comprend de rétrécir l'enveloppe fonctionnelle. 6. Système (800) selon la revendication 1, dans lequel déterminer un état de comportement de l'opérateur en fonction de l'entrée d'opérateur attendue 5 et de l'entrée d'opérateur réelle comprend en outre de comparer une polarité de commande réelle avec une polarité de commande attendue. 7. Système (800) selon la revendication 1, dans lequel déterminer un état de comportement de l'opérateur en fonction de l'entrée d'opérateur attendue et de l'entrée d'opérateur réelle comprend en outre de comparer une sélection 10 de commande réelle avec une sélection de commande attendue. 8. Système (800) selon la revendication 1, dans lequel déterminer un état de comportement de l'opérateur en fonction de l'entrée d'opérateur attendue et de l'entrée d'opérateur réelle comprend en outre de comparer une décision de commande réelle avec une décision de commande attendue. 15 9. Système (800) selon la revendication 1, dans lequel déterminer un état de comportement de l'opérateur en fonction de l'entrée d'opérateur attendue et de l'entrée d'opérateur réelle comprend en outre de comparer un moment de commande réel avec un moment de commande attendu. 10. Système (800) selon la revendication 1, dans lequel déterminer un état 20 de comportement de l'opérateur en fonction de l'entrée d'opérateur attendue et de l'entrée d'opérateur réelle comprend en outre de déterminer si un signal de commande attendu est présent. 11. Procédé (700) d'évaluation d'entrée comprenant : de déterminer (702), par un ou plusieurs dispositifs informatiques (802), un état d'un véhicule (900) ; d'obtenir (704), par les un ou plusieurs dispositifs informatiques (802), des données indicatives d'une entrée d'opérateur attendue en fonction de l'état déterminé ; d'obtenir (706), par les un ou plusieurs dispositifs informatiques (802), des données indicatives d'une entrée d'opérateur réelle ; 32 5 10 12. de déterminer (708), par les un ou plusieurs dispositifs informatiques (802), un état de comportement de l'opérateur en fonction de l'entrée d'opérateur attendue et de l'entrée d'opérateur réelle ; de déterminer (710), par les un ou plusieurs dispositifs informatiques (802), une action de commande pour le véhicule (900) en fonction de l'état déterminé du véhicule (900) et de l'état déterminé du comportement de l'opérateur ; et de mettre en oeuvre (712), par les un ou plusieurs dispositifs informatiques (802), l'action de commande. Procédé (700) selon la revendication 11, dans lequel quand l'état de véhicule est déterminé comme étant anormal et quand l'état de comportement de l'opérateur est déterminé comme étant anormal, l'action de commande comprend de rétrécir une enveloppe fonctionnelle. 13. Procédé (700) selon la revendication 11, dans lequel quand l'état de 15 véhicule est déterminé comme étant anormal et quand l'état de comportement de l'opérateur est déterminé comme étant normal, l'action de commande comprend d'élargir une enveloppe fonctionnelle. 14. Procédé (700) selon la revendication 11, dans lequel quand l'état de véhicule est déterminé comme étant normal et quand l'état de comportement 20 de l'opérateur est déterminé comme étant anormal, l'action de commande comprend de rétrécir une enveloppe fonctionnelle. 15. Procédé (700) selon la revendication 11, dans lequel déterminer (708) un état de comportement de l'opérateur en fonction de l'entrée d'opérateur attendue et de l'entrée d'opérateur réelle comprend en outre de comparer une 25 polarité de commande réelle avec une polarité de commande attendue.