главный промежуточный вывод из всего вышесказанного : тк. любые датчики могут выйти из строя и своими ложными сигналами загнать комп в ступор, необходимо убрать исключить в принципе функцию самовольного отключения автопилота без личного участия самого пилота. Дополнительно надо поменять логику работы АП, введя параллельно два режима управления - главный, или эталонный, который в нормальной обстановке будет лишь отслеживать текущую обстановку по показаниям всех основных датчиков, не управлял при этом самолетом. Этот режим нужен на случай появления подобной ситуации, когда второй - непосредственно управляющий полетом комп, не получая адекватных сигналов с каких-то отдельных датчиков, начинает работать вразнос и не находя решения просто отключается.
То есть второй режим остается аналогичным нынешнему и будет работать по старинке, но при возникновении неполадок он не отключается, а передает управление эталонному компу, который временно - до перехода на ручное, управляет ситуацией исходя из показаний всех датчиков и общей задачи сохранения безопасного режима полета. Он сможет при необходимости изменять режимы полета в безопасных пределах, заложенных в него, игнорировать показания отдельных датчиков, если безопасный режим подтверждается другими датчиками.
Такое разделение функций необходимо для уменьшения объема вычислений обоих компов.
Главный комп через индикаторы информирует пилота о текущей ситуации и выдает ему рекомендации на управление в виде ограничительных режимов.
Это для другой ветки, не здесь.