混合关键性架构下低空飞行器DVFS策略的形式化验证与安全适配研究

一、低空飞行器与DVFS技术

1.1 低空飞行器技术发展背景

　　近年来，以无人机为代表的低空飞行器技术经历了前所未有的快速发展，已从单纯的消费级娱乐产品演变为涵盖军事侦察、物流配送、农业监测、应急救援等多领域的战略性装备。这一技术跃迁的核心驱动力，在于飞行器自主能力的持续提升——现代低空飞行器不仅能够执行预设航线的巡航任务，更具备复杂环境下的自主导航、目标识别、动态避障等高级智能功能。

　　低空飞行器的广泛应用前景已获得国家层面的战略重视。2024年全国两会首次将“低空经济”写入政府工作报告，标志着这一新兴产业被提升至国家战略层面。作为低空经济运行的主要载体，自主飞行器技术与低空应用场景的深度融合，有望在物流配送、城市治理、智慧农业、应急救援等领域催生新的经济增长点。在这一背景下，飞行器的智能化水平、续航能力和任务可靠性成为决定其应用价值的关键要素。

　　然而，自主能力的提升必然伴随着计算需求的急剧增长。现代低空飞行器为执行视觉同步定位与建图、目标检测跟踪、路径规划等计算密集型任务，需要在嵌入式平台上部署高强度算法。与此同时，飞行器在尺寸、重量和功率方面受到严格限制，机载能源极为有限。这种“高计算需求”与“严格能源限制”之间的矛盾，已构成制约飞行器作战半径、任务续航与战场生存能力的核心瓶颈。

　　更具挑战性的是，飞行器在不同任务阶段的计算负载呈现剧烈波动特征。平稳巡航阶段，计算负载处于维持姿态稳定的基线水平；起降阶段因涉及精密控制和地面效应处理，负载显著升高；在遭遇风扰或执行剧烈机动时，控制系统需高频解算姿态以维持稳定，计算负载瞬时达到峰值。这种动态变化的负载特性，使得静态电源管理策略难以奏效——若为保障峰值性能而持续高功耗运行，将造成大量能源浪费；若为节能而固守低功耗状态，则可能因无法响应突发计算需求而危及飞行安全。

1.2 DVFS技术的核心价值与理论根基

　　动态电压频率调整技术为解决上述矛盾提供了关键路径。其基本原理在于：处理器的动态功耗与供电电压的平方及工作频率成正比。通过动态调节电压与频率，可在计算需求较低时降低功耗，在需求激增时提升性能，从而实现性能与功耗的动态权衡。

　　DVFS的理论基础可追溯至Weiser等与Pouwelse等的开创性研究，他们首次系统验证了动态电压频率调节在降低处理器能耗方面的有效性，开创了性能与功耗动态权衡的新范式。近年来的研究持续证实DVFS在嵌入式系统中的核心地位——Zidar等在超低功耗嵌入式系统环境下实现了高达47.7%的能效提升；Ramegowda等在FreeRTOS平台验证了DVFS策略的实际有效性。这些研究表明，DVFS不仅是一种节能手段，更是在微秒级时间尺度内实现性能与能耗权衡的主要技术路径。

　　将DVFS技术应用于高安全、高可靠的低空飞行器平台，尤其是军事应用场景，面临着独特挑战。飞行器固有的硬实时约束、任务攸关的可靠性要求，以及复杂电磁对抗环境下的鲁棒性需求，都对DVFS策略的设计提出了全新课题。特别是在水空跨介质飞行器这类新兴平台上，DVFS算法还必须适应任务场景的剧烈切换与极端物理环境的考验。

二、低空飞行器中DVFS的硬件与系统基础

2.1 混合关键性计算架构

　　为应对复杂任务需求，现代低空飞行器机载平台普遍采用异构与分布式设计。这种架构的核心特征是飞行控制器与伴飞计算机在物理和逻辑上的分离，体现了混合关键性系统的设计理念，旨在通过物理隔离为不同关键等级的任务提供可靠保障。

　　飞行控制器是保障飞行器飞行安全的核心，专用于处理“内环”飞行控制任务。它通常基于STM32等可预测性强的微控制器，核心职责包括高频融合传感器数据、实时解算飞行器姿态、输出精确电机控制信号。这些任务具有严格的硬实时截止时间——任何延迟都可能破坏飞行稳定，甚至引发灾难性后果。因此，飞行控制器的设计将时序可预测性置于首位。硬实时系统的可调度性分析依赖于对最坏情况执行时间的精确界定，这也决定了飞行控制器端的DVFS策略以保守稳定为原则，通常采用能满足最坏情况执行时间边界的一组受限频点，仅在安全阈值内进行小幅调节，避免破坏系统可调度性。

　　伴飞计算机则是飞行器高级自主功能的计算核心，也是应用DVFS的理想平台。它通常是高性能异构片上系统，如英伟达Jetson系列或高通骁龙飞行平台，集成了多核中央处理器、图形处理器及AI加速器等复杂的异构计算资源。伴飞计算机承载着视觉同步定位与建图、目标检测、路径规划等计算与数据密集型任务，其计算负载动态变化剧烈。例如，在开阔空域飞行时负载较低，但在障碍物密集环境中计算需求会激增。由于这些智能任务具有软实时特性，允许一定的响应时间裕度，这为DVFS在满足性能约束的前提下最大化能效创造了巨大空间。

　　这种混合关键性架构的设计，本质上将DVFS的应用场景划分为两个截然不同的领域：在飞行控制器端，DVFS以保障确定性为首要目标；在伴飞计算机端，DVFS以实现能效优化为核心追求。两者的协同与平衡，构成了低空飞行器电源管理的基本矛盾。

2.2 SoC上DVFS的实现机制与现实挑战

　　在片上系统上有效实施DVFS并非简单的软件调用，必须深入理解硬件机制并正视现实挑战。若忽视底层约束，节能效果将大打折扣，甚至可能出现总能耗不降反升的尴尬局面。

　　DVFS技术有效实施的首要障碍在于性能伸缩的非线性特征。任务执行时间并非与频率严格成反比——许多智能任务呈现出“内存密集型”特征，其性能瓶颈在于DRAM访存延迟而非CPU运算频率。在这种情况下，单纯降低CPU频率不仅无法有效改善能耗，反而可能因执行时间延长而增加总能耗。这一现象揭示了DVFS策略设计中的一个关键原则：必须基于任务的实际计算特征进行频率调节，而非简单依赖CPU利用率等宏观指标。

　　系统功耗构成的复杂性是第二个重要挑战。总能耗并非仅由CPU决定，SoC中非核心模块、各类传感器等部件的功耗占比显著，且与CPU DVFS状态呈现弱相关性。实测研究表明，在Jetson AGX Xavier平台中，图像传感器功耗占比可达28%，且与CPU频率关联度较低，需要独立的电源域管理。这意味着单纯依靠DVFS的节能潜力有限，必须与动态电源管理等系统级方法协同优化。

　　切换开销的不可忽视性是第三个现实挑战。每次电压与频率的切换均伴随延迟与能量消耗——电压调节需要等待电源管理电路稳定，频率切换需要重新配置锁相环。若调节过于频繁，其开销可能抵消节能收益。因此，有效的DVFS策略必须具备“成本感知”能力，在节能收益与切换开销之间做出理性权衡。

三、低空飞行器对DVFS技术的挑战与需求

3.1 动态负载特性分析

　　低空飞行器机载控制系统的计算负载波动，主要源于飞行任务剖面的变化、环境感知需求的差异以及突发事件的响应。

　　从任务剖面看，飞行器在不同飞行阶段呈现出可预测的负载起伏。平稳巡航时，负载处于维持姿态稳定的基线水平；起降阶段因涉及精密控制和地面效应处理，负载显著升高；而在有风扰的悬停或剧烈机动时，控制系统需高频解算姿态以维持稳定，计算负载瞬时达到峰值。这种贯穿任务全程的负载变化，是DVFS策略需要适应的基本场景。

　　环境复杂性的变化带来更剧烈的负载波动。在城市峡谷等非结构化环境中，系统需持续运行SLAM和动态避障等计算密集型算法。研究表明，即便部署轻量级算法如YOLOv4-Tiny，机载实现复杂视觉算法仍面临严峻算力挑战。为应对此问题，学术界正在探索新的传感范式——Kulkarni等提出基于“事件相机”的视觉惯性里程计方法，通过自适应事件累积降低计算开销，这表明新的传感和处理范式有望与DVFS协同进一步优化能效。更关键的是，这些计算任务通常是并发执行的，其负载相互叠加，共同构成总体系统计算压力。

　　应急响应与模式切换也会导致计算负载骤增。传感器异常、突发避障等事件需要即时启动诊断与容错算法。这一现象在水空跨介质飞行器跨介质转换时尤为突出，系统需在极短时间内应对流体动力变化和模式切换，对DVFS的响应速度和实时性提出极高要求。

3.2 实时性约束与可调度性保障

　　低空飞行器的飞行控制系统属于硬实时系统，任何计算延迟都可能引发严重后果，因此实时性是DVFS策略设计的首要约束。这一约束带来的核心挑战主要体现在两个方面。

　　截止时间保障是首要难题。DVFS通过调节处理器频率直接影响任务执行时间，若缺乏精确分析或保守设计，可能导致关键任务错过截止时间，破坏系统可调度性。在混合关键性系统中，高关键性任务与低关键性任务共享计算资源，DVFS策略必须在满足高关键性任务实时性约束的前提下，尽可能为低关键性任务提供节能空间。

　　可预测性与安全性同样面临挑战。频率和电压的动态切换会引入额外开销和不确定性，降低系统时序可预测性。更值得警惕的是，若缺乏安全机制，DVFS的动态调节能力可能成为潜在的攻击入口。因此，DVFS策略的设计必须以保证系统行为的可预测性为前提，在安全关键系统中建立形式化的验证机制。

3.3 对DVFS策略的核心需求

　　综合前述分析，低空飞行器对DVFS策略提出了五方面的核心需求：

　　实时性保证是首要任务，策略必须绝对保障所有关键控制任务的截止时间，这是飞行安全的基石。自适应性要求策略能够快速、准确地感知并响应计算负载的剧烈波动，避免响应滞后导致的性能不足或能耗浪费。能源效率要求在满足性能与实时性约束的前提下，最大化节省能源以延长续航。低开销要求策略自身的算法复杂度、运行时计算开销及操作点切换引入的延迟与功耗都被控制在最低水平。高鲁棒性则要求策略在各种飞行场景、计算负载及外部干扰下始终保持稳定、可靠的工作状态。

　　这五大需求相互交织，共同构成一个复杂的多目标优化问题。DVFS技术的发展史，本质上就是为更优地满足上述需求而不断演进的历史。

四、主流动态DVFS方法演进

4.1 传统启发式方法

　　DVFS技术发展初期，研究者倾向于采用基于阈值的启发式方法，典型代表是Linux内核中的Ondemand与Conservative调速器。这类方法以实现简单、开销极低为主要优势，其逻辑仅涉及基础比较和查表，运行时开销微乎其微，因此在资源受限平台上极具吸引力。

　　然而，启发式方法均属于事后响应机制——通过监测CPU利用率等指标，当负载超过阈值时升频，低于阈值时降频。在低空飞行器这种负载剧烈波动的平台上，这种机制容易出现升频滞后或降频延迟：升频滞后导致关键任务错过截止时间，降频延迟则造成不必要的能耗浪费。

　　为缓解响应滞后问题，研究者对传统框架进行了改进。陈道品等通过引入双阈值机制实现多核处理器的精细化功耗调控，在保证性能的同时显著降低能耗；王晓莹等基于潜在负载处理能力匹配任务与处理核，实现了更高效的调度与节能。尽管这些改进提升了启发式策略的效能，但其被动响应的根本局限仍未解决，推动研究逐渐转向前瞻性预测策略。

4.2 前瞻性预测策略

　　预测式方法的关键在于由被动响应转向主动预测。通过利用历史数据和模型推演，系统可以在负载变化发生前进行电压频率调节，从而更好地保障实时性约束。

　　常用预测模型包括时间序列分析与卡尔曼滤波等。针对传统CPU利用率难以准确刻画负载的问题，Moghaddam等利用更细粒度的性能计数器并结合卡尔曼滤波进行负载预测，在保证性能约束的同时实现了稳定的能耗降低。与此同时，为提升模型在负载剧烈波动下的适应性，李昌硕等提出基于预测误差自适应加权的指数平滑模型，在STM32平台上验证了最高达66%的能效提升。

　　预测式DVFS在处理地理测绘等规律性任务剖面时具有显著潜力。然而，由于依赖精确模型，其在非结构化环境下面对非线性、非周期性负载时表现受限，这一局限性进一步推动了基于学习的自适应控制方法的发展。

4.3 基于学习的智能控制

　　强化学习方法的引入为DVFS带来了革命性变化。通过与环境的持续交互，智能体能够在无需显式模型的情况下学习最优策略，实现能效、实时性与自适应性的动态权衡。

　　针对异构SoC管理中信息不完备导致的部分可观测性问题，Zhou等引入深度循环Q网络，利用循环神经网络的记忆能力推断系统状态，实现更优频率调控。在视频渲染任务中，该方法获得最高2.1倍的单位功耗性能提升，展示了学习方法在紧耦合异构资源管理中的潜力。

　　针对传统能耗优化方法对平台特定功率模型依赖强、构建成本高且难以迁移的问题，Yu等提出模型无关的在线学习框架。该方法基于Actor-Critic架构，直接与NVIDIA Jetson TX2等平台的功耗管理单元交互，避免显式功率建模。在实际硬件实验中，该框架能够快速适应不同任务与平台，实现最高34.6%的能效提升。

　　针对多任务并发场景下传统DVFS难以区分负载特性、决策次优的问题，Lin等提出GearDVFS框架，通过引入“元状态”并利用性能计数器感知负载上下文，结合分支动作DQN分解决策空间。在视频处理任务中，该方法实现23.9%至26.9%的单位功耗性能提升。

　　值得注意的是，学习式方法已由处理器级调控拓展至系统级跨域协同优化。李新民等通过构建综合飞行能耗、通信速率与感知增益的多目标奖励函数，利用强化学习实现飞行轨迹与功率分配的联合优化，总能耗降低12.36%至21.08%。

4.4 系统级协同优化

　　随着低空飞行器机载平台演变为复杂的异构SoC，单一处理器层面的优化已难以满足系统级能效与鲁棒性需求，促使DVFS向与任务调度、容错机制及异构资源管理协同的系统级优化发展。

　　在系统级协同框架下，CPU、GPU、NPU等单元的性能与功耗被统一建模与调控。DVFS与任务调度在异构架构中紧密耦合，需协同解决任务分配与执行功耗状态选择两个核心问题。Valente等提出的“Shaheen”异构SoC即为代表，针对安全型纳米无人机导航任务集成高性能RV64核心与低功耗RV32集群，实现基于任务特性的天然分工。

　　视觉自主导航是低空飞行器的核心任务之一，对卷积神经网络能效提出较高要求。Li等利用深度学习模型的容错性，提出激进DVFS框架，允许电压与频率降低至可能发生时序违例的水平，在仅引入极小精度损失前提下实现显著能耗优化。这一研究表明，通过挖掘算法固有鲁棒性，可突破传统DVFS的安全裕度限制，形成跨层协同优化的新思路。

　　在安全关键系统中，能耗、可靠性与实时性的联合优化是调度算法设计的核心难题。王泽元提出融合任务调度、DVFS、动态电源管理与容错机制的协同优化框架，通过降低冗余开销并结合空闲回收策略，在保持高可靠性的同时实现28.8%至53.1%的能耗优化。

4.5 关键交叉性议题

　　在上述所有策略的演进过程中，低开销与高鲁棒性始终是贯穿不同层次的关键约束。由于电压与频率切换本身会引入额外的时间与能量开销，过于频繁的调节甚至可能抵消节能收益，因此有效的DVFS设计必须具备对切换成本的显式感知与约束能力。

　　对于低空飞行器等安全关键系统，可靠性是不可妥协的设计基石。然而，DVFS通过降低供电电压会增加瞬态故障发生概率——电压降低使电路对噪声和辐射干扰更敏感，使能耗优化与系统可靠性形成天然冲突。针对这一问题，吴昊提出“先保安全，再求节能”的多目标优化调度策略，在降频前预先建立任务冗余防护，使系统在低电压状态下仍保持高可靠性。实验结果表明，该方法在将能耗降低20.8%至54.6%的同时，将平均故障率控制在较低水平，验证了通过调度与容错协同设计实现能效与可靠性平衡的可行性。

五、面向水空跨介质飞行器的DVFS应用探讨

5.1 跨介质转换的动力学挑战

　　水空跨介质飞行器作为新兴的低空飞行器形态，在隐蔽渗透、濒海侦察等方面具备广阔应用前景。然而，其运行模式较传统单介质飞行器更为复杂，任务剖面涵盖空中、水面、水下运行以及最具挑战性的跨介质转换阶段。

　　跨介质转换对计算能力和实时响应提出了最为严苛的要求。在高速入水和出水过程中，飞行器需应对剧烈的流体冲击、浮力变化及推进特性突变。控制系统必须在极短时间内完成姿态调节、模式切换与多源传感器数据融合，导致计算负载瞬时达到峰值。已有研究表明，跨介质转换伴随着复杂的流体动力学效应、瞬态动力学模型切换以及推进器输入饱和上限的快速变化，共同构成飞行器面临的核心技术挑战。

　　这些严苛的物理约束直接转化为对机载计算能力的极高需求。多种计算密集型任务在跨介质阶段短时并发——多介质动力学模型的实时求解、多源异构传感器数据的高频融合、先进控制算法的在线执行、控制模式的快速切换，使系统计算负载瞬时达到峰值。对DVFS策略而言，这意味着必须在极短时间内将处理器从低功耗状态迅速提升至高性能状态，并在负载回落后及时降频。在秒级甚至毫秒级的负载突变下，响应迟缓的策略可能因计算能力供给不足而危及飞行安全。

5.2 面向AAV的特殊需求

　　基于水空跨介质飞行器独特的运行剖面和极端技术挑战，应用于其上的DVFS策略除了满足低空飞行器的一般性需求外，还必须具备以下特殊属性：

　　模式感知的动态实时性保障要求策略能够识别当前运行模式，并动态调整最低安全工作频率等实时性约束。空中巡航、水面滑行、水下潜航与跨介质转换各阶段对实时性的要求存在本质差异，DVFS策略必须能够感知这种差异并做出针对性响应。

　　轻量化的上下文感知自适应性要求在资源受限条件下，将运行模式等上下文信息与简化预测机制相结合，实现低开销的前瞻性频率调节。跨介质转换窗口极为短暂，任何复杂的在线优化算法都难以在可用时间窗口内完成收敛，因此必须发展轻量级的自适应机制。

　　切换开销感知的鲁棒设计需要显式考虑频繁模式转换带来的操作点切换成本，通过迟滞或抑制机制避免无效调节。跨介质转换往往伴随多次尝试和调整，若每次切换都触发激进的DVFS调节，其累积开销可能相当可观。

　　系统级协同能效优化要求突破单一CPU优化，将DVFS与任务调度、异构资源管理及系统级电源管理协同设计，实现全局能效最优。水空跨介质飞行器需要同时管理飞行控制、导航感知、通信链路等多个子系统，DVFS策略必须与这些子系统协同运作。

六、未来发展趋势与关键研究方向

6.1 面向实时控制的可认证人工智能

　　基于深度强化学习的DVFS策略虽具高度自适应性，但其“黑箱”特性缺乏可解释性，难以在航空航天等安全关键领域提供形式化的安全性与实时性保证。当前深度强化学习策略的决策过程缺乏透明性，其行为边界难以界定，这已成为工程应用的主要障碍。

　　未来研究亟需在保持自适应能力的同时，弥合先进人工智能与航空系统严苛安全要求之间的鸿沟。具体路径可能包括：发展轻量化智能体设计，使模型复杂度可控、行为可解释；引入形式化验证方法，对学习策略的安全边界进行数学证明；构建混合架构，将可认证的经典控制理论与自适应学习机制相结合，实现“安全内核+学习增强”的双层结构。通过这些努力，为低空飞行器提供可信、可界定的稳定性与实时性保障。

6.2 统一的异构计算资源管理框架

　　当前SoC各处理单元的功耗管理多由不同驱动或软件栈独立实现，CPU、GPU、NPU、DSP等各有其电源管理机制，缺乏统一的全局视角，难以实现系统级最优能效。这种“烟囱式”管理架构导致资源调度决策碎片化，无法根据任务特性协同调配异构计算资源。

　　一个重要的研究前沿是在实时操作系统内核层面构建统一的电源与性能管理框架。该框架应对异构计算资源进行抽象，提供统一的功耗状态管理与性能调控接口；依据任务的计算特性和实时性需求，协同完成任务调度与各处理单元的DVFS配置；在运行时动态监测系统状态，进行全局能效优化。实现该目标仍需解决异构任务建模、跨设备依赖分析、能效-性能全局联合优化等关键问题。

6.3 可靠性作为一等设计约束

　　在传统DVFS设计中，可靠性往往作为事后约束或通过保守电压裕度加以保证，这显著限制了节能潜力。然而，激进降压虽可提升能效，却会增加瞬态故障风险——随着工艺尺寸缩小，电路对电压扰动的敏感性显著增强。

　　未来DVFS策略需将可靠性与性能、功耗并列为一等设计目标。这意味着需要建立融合电压、频率、温度及器件老化等因素的在线可靠性模型，能够实时评估当前工作状态下的瞬态故障率；将可靠性模型引入多目标优化控制器，实现能效提升与系统长期可靠性的协同权衡；发展可靠性感知的任务调度算法，在高可靠性需求时段采用保守策略，在低可靠性需求时段进行激进节能。这一研究方向对于军事应用等高安全场景尤为重要。

6.4 高保真仿真与验证平台

　　DVFS策略的研发严重依赖高保真的仿真与验证环境。当前研究中普遍采用的仿真模型往往过于简化，难以准确反映真实硬件的行为特征——功耗模型的误差、时序建模的粗糙、系统交互的缺失，都可能导致仿真结论与实际部署效果之间的显著偏差。

　　未来需要构建面向低空飞行器应用的专用DVFS验证平台，具备以下特征：精确的功耗建模，能够捕捉不同操作点下的动态与静态功耗；真实的时序仿真，能够反映频率调节对任务执行时间的影响；完整的外设建模，能够模拟传感器、通信等模块的功耗行为；硬件在环测试能力，能够在实际硬件上验证策略效果。这样的验证平台将极大提升DVFS策略研发的效率与可靠性。

　　动态电压频率调整技术作为平衡性能与功耗的关键手段，在低空飞行器领域具有重要研究价值与应用前景。本文系统梳理了DVFS技术在低空飞行器中的发展现状与演进脉络，从混合关键性计算架构出发，分析了飞行器动态负载特性与实时性约束对DVFS策略提出的核心需求，归纳了从传统启发式方法到系统级协同优化的技术演进路径。

　　研究表明，DVFS技术正经历从以CPU为中心的局部节能手段，向面向异构平台、具备智能决策能力的系统级性能-功耗协同管理策略的根本转变。这一转变源于现代低空飞行器为实现高级自主性而引入的复杂异构计算架构，以及其在动态、非结构化环境下面临的严苛实时性、可靠性与安全性约束。水空跨介质飞行器作为这一演进的前沿平台，其极端跨介质运行环境将上述挑战推向极致，成为新一代动态电源管理技术的重要试验场。

　　解决DVFS技术在先进低空飞行器平台上所面临的应用瓶颈，不仅是推动此类特种飞行器发展的关键，其研究成果——可认证的智能控制、统一的资源管理、可靠性与能效的协同设计、高保真的验证平台——将对整个低空飞行器领域乃至更广泛的自主移动机器人和安全关键嵌入式系统的能源效率管理技术体系产生深远影响。