第一讲：课程导论与安全基线
各位同学好，我是老张。做嵌入式安全这行快十五年了，今天咱们聊聊窗帘电机这个看似简单、实则门道不少的东西。
你可能会想：一个窗帘电机而已，能有多复杂？嗯，我当年也是这么想的。直到有一次，我在一个智能家居项目里，亲眼看着电机因为一个固件bug，半夜自己转了起来——客户吓得差点报警。从那以后，我对这类设备的安全设计，再也不敢马虎。
1.1 窗帘电机嵌入式系统概述
说白了，窗帘电机就是一个微型嵌入式系统。它由几个核心部件组成：
- 主控芯片：通常是ARM Cortex-M系列，比如STM32、GD32。负责逻辑控制和通信协议处理。
- 电机驱动：直流无刷电机或者步进电机，配合H桥驱动电路。
- 传感器：霍尔传感器检测位置，电流传感器检测堵转，有的还带光照传感器。
- 通信模块：Wi-Fi、蓝牙、Zigbee或者RS485总线。我见过最离谱的是用433MHz射频，连加密都没有。
- 电源管理：AC-DC或者电池供电，带过压过流保护。
这些部件协同工作，完成开帘、关帘、停帘、位置记忆、场景联动等功能。听起来简单，但每个环节都可能出问题。
核心要点：窗帘电机不是玩具，它是智能家居的执行终端。一旦被攻击，轻则隐私泄露，重则物理破坏。
1.2 安全设计的重要性
为什么我要把安全放在第一讲？因为太多人忽略它了。
我记得2019年，某知名品牌的智能窗帘被爆出漏洞：攻击者可以通过Wi-Fi中间人攻击，直接控制电机正反转。结果呢？有人远程把窗帘开到最大，让阳光暴晒屋内的名贵字画。这损失，谁赔？
安全设计的重要性体现在三个层面：
- 人身安全：电机堵转不保护，可能烧毁电机甚至引发火灾。我见过一个案例，电机卡住后持续供电，外壳温度飙到90度。
- 隐私安全：窗帘状态可以推断用户是否在家。攻击者通过分析电机日志，就能知道你的作息规律。
- 系统安全：被控制的电机可能成为僵尸网络的一部分，参与DDoS攻击。你想想看，你家窗帘在帮黑客攻击别人，多可怕。
警告：不要以为小设备没人盯。IoT设备是黑客最喜欢的突破口，因为它们往往防护薄弱。
1.3 可靠性指标定义
做嵌入式设计，不能光靠感觉。我们需要量化指标。这里我列出几个关键参数：
| 指标 | 定义 | 典型值 | 我的经验 |
|---|---|---|---|
| MTBF | 平均无故障时间 | ≥50000小时 | 电机轴承和电容是短板，我见过MTBF虚标的 |
| MTTR | 平均修复时间 | ≤30分钟 | 模块化设计能大幅降低MTTR |
| 可用性 | 正常运行时间占比 | ≥99.9% | 通信中断是主要影响因素 |
| 安全完整性等级 | SIL等级 | SIL2（推荐） | 家用设备做到SIL2就够，工业级要SIL3 |
这里我要特别说一下MTBF。很多厂商标称50000小时，但实际测试条件呢？常温、轻载。你想想看，电机在夏天高温、冬天低温下工作，寿命能一样吗？我曾经拆过一个号称MTBF 80000小时的电机，里面的电解电容是85度等级的，实际寿命打个对折都不止。
避坑指南：我曾经被供应商的MTBF数据坑过。后来我学乖了，要求他们提供加速寿命测试报告，而且必须包含温度、湿度、负载三个维度的数据。
1.4 行业标准与法规概览
做产品不能闭门造车。你得知道哪些标准是必须遵守的。我整理了一份清单：
- IEC 60730：家用电器安全标准。涵盖电机堵转保护、过温保护、电气强度测试。这是底线，不满足就别想上市。
- UL 60730：北美版本，和IEC 60730基本一致，但增加了对塑料外壳的阻燃要求。
- GB 4706.1：中国国家标准，家用和类似用途电器的安全通用要求。出口到国内必须过这个。
- ISO 13849：机械安全相关控制系统的功能安全。如果你的电机用在工业窗帘上，这个跑不掉。
- ETSI EN 303 645：欧洲的IoT安全标准。要求设备必须有安全更新机制、密码不能硬编码、通信必须加密。
嗯，这里要注意：ETSI EN 303 645是2020年才发布的，很多老产品根本不符合。我去年帮一个客户做合规改造，光是改掉硬编码密码就花了两个月。为什么？因为他们的Wi-Fi模块固件是闭源的，供应商不配合改。
我的建议：选型阶段就把标准要求写进技术规格书。别等产品做完了再补课，那成本至少翻三倍。
1.5 安全基线的建立
讲完标准，咱们聊聊实际怎么落地。安全基线就是你的最低要求，达不到就别出货。我一般这样定：
- 通信安全：所有无线通信必须加密，TLS 1.2以上。密钥不能硬编码，必须存储在安全元件中。
- 固件安全：支持安全启动，签名验证。固件更新必须加密传输，防止被篡改。
- 物理安全：调试接口（JTAG/SWD）在生产后必须锁定。我见过有人忘了锁，结果被逆向出全部代码。
- 功能安全：电机堵转检测必须在100ms内响应。过温保护阈值设为85度，留10度余量。
- 隐私保护：本地日志不能存储用户行为模式。如果需要上传数据，必须匿名化处理。
这些基线看起来简单，但真正执行起来，你会发现每个点都有坑。比如固件签名，你得管理好私钥。我曾经见过一个团队，把私钥放在Git仓库里——嗯，那画面太美我不敢看。
小技巧：安全基线不是一成不变的。我每年都会根据新的漏洞报告和标准更新，至少review一次。你可以把它当成一个活文档。
1.6 课程路线图
这一讲是开胃菜。后面我们会深入每个技术细节：
- 第2-5讲：硬件安全设计，包括电源保护、电机驱动安全、传感器冗余
- 第6-10讲：固件安全，包括安全启动、加密存储、OTA更新
- 第11-15讲：通信安全，包括Wi-Fi/蓝牙/Zigbee的安全实现
- 第16-20讲：功能安全，包括故障检测、容错设计、诊断覆盖
- 第21-25讲：测试与验证，包括渗透测试、FMEA、加速寿命测试
- 第26-30讲：合规与认证，包括各国标准认证流程、文档编写
每一讲我都会结合真实案例来讲。有些案例是我踩过的坑，有些是行业里公开的教训。你跟着学完，至少能少走三年弯路。
最后说一句：安全设计不是成本，是投资。一个安全漏洞导致的产品召回，够你请十个安全工程师干十年。这笔账，你自己算。
好，第一讲就到这里。下一讲我们聊聊硬件安全设计，从电源保护开始。记得预习IEC 60730的电源部分。