可信智能计算与智能物理系统

这是 Y-Serein 的长期研究主线，也是产品工程能力的来源：让感知、通信、计算、决策和执行紧密耦合的系统，在不确定环境与有限资源下仍然具备可说明的安全性、可靠性和实时性。

研究方向服务产品，不替代产品。当前 SeryRemoteID、Serein 和 ArduPilot Research 提供研究载体与工程基线，并不意味着已经完成“可信智能”研究，也不意味着其中已经包含智能模型。

核心问题

智能物理系统的风险通常不在单一算法或单一设备，而在跨层耦合：传感器误差可能影响状态估计，通信拥塞可能破坏截止时间，错误更新可能改变控制行为，局部故障可能沿任务链传播。

因此需要同时回答：

• 安全：谁可以发送命令、更新软件或改变参数？攻击和误用能否被限制、发现和恢复？
• 可靠：传感器、总线、任务或存储失败时，系统如何检测、降级、恢复并保留证据？
• 实时：从输入到输出的最坏时延、抖动和截止时间是什么？资源竞争时是否仍满足约束？
• 可信智能：未来引入学习模型后，模型的不确定性、数据边界和失效模式如何进入系统级验证，而不是只报告准确率？

项目与研究问题

项目	直接研究对象	可切入的问题	当前优先级
ArduPilot Research	飞控与机器人控制闭环	调度抖动、状态估计、故障注入、降级控制、SITL/HIL 一致性	中期主平台
SeryRemoteID	嵌入式身份与广播链路	输入到广播时限、总线故障、丢包、命令授权、签名 OTA、状态一致性	推荐近期切入
Serein	本地知识与证据管理	实验追踪、结果复现、决策来源、长期可迁移性	全程支撑

推荐推进顺序

方案 A：先做 SeryRemoteID 的可信实时链路（推荐）

从 MAVLink/DroneCAN 输入开始，测量状态聚合到 WiFi/BLE 广播的端到端行为，并加入故障和攻击场景。

优点：系统边界相对小，软硬件链路完整，指标可测，容易形成第一套真实数据和实验方法。

缺点：Remote ID 的控制闭环较弱，需要避免把合规广播问题扩大成完整自主系统结论。

方案 B：以 ArduPilot 为主要研究平台

从 SITL 建立可复现基线，再逐步进入故障注入、实时调度、状态估计或安全控制。

优点：学术问题丰富，能覆盖感知—决策—控制完整链路，社区和工具成熟。

缺点：代码规模大、上游变化快，若没有非常窄的研究问题，容易长期停留在环境搭建和阅读代码。

方案 C：先建设跨项目证据系统

用 Serein 和 Wiki 统一记录需求、实验配置、日志摘要、失败原因和结论。

优点：能立即提高后续研究质量，减少重复踩坑，是安全与可靠研究不可缺少的基础。

缺点：单独作为研究成果说服力较弱，必须服务于真实硬件、仿真和系统实验。

综合建议是 A 建立小闭环，B 扩大研究深度，C 贯穿全过程。

闭环方法

每个研究任务按同一套控制闭环推进：

1. 目标：定义系统行为、约束和可接受风险。
2. 状态：记录代码版本、硬件、配置、输入和环境。
3. 误差：用时延、抖动、丢包、故障率、恢复时间或状态偏差描述差距。
4. 控制动作：只修改能解释当前误差的最小变量。
5. 反馈：采集日志、总线数据、无线抓包、资源占用和物理响应。
6. 修正：根据反馈更新假设、模型、实现或测试设计。
7. 验证：在正常、边界和故障场景中重复实验，区分仿真、台架与上板结果。
8. 沉淀：把成功条件、失败尝试、限制和可复现步骤写回项目页或实验记录。

最小指标框架

维度	至少记录	不足以构成结论的证据
安全	威胁模型、信任边界、认证/授权、更新与恢复路径	“使用了加密”“有签名接口”
可靠	故障模型、检测时间、降级行为、恢复时间、重复次数	单次成功运行
实时	周期、截止时间、最大/尾部时延、抖动、资源压力场景	平均时延或空载结果
智能	数据范围、不确定性、失效模式、系统级影响与回退	单一准确率指标

当前边界

• 现阶段优先建立嵌入式、通信和控制系统基线，不急于加入大模型或学习算法。
• “可信”必须由威胁模型、故障实验、时序数据和恢复证据支持，不能作为形容词使用。
• “实时”不等于速度快，而是关键任务在规定时间内有可分析、可重复的行为。
• “安全”既包括网络与软件安全，也包括系统失效不会直接造成不可接受物理后果。