第二章：嵌入式系统基础：微控制器选型、RTOS选择、内存管理、外设接口安全
各位同学，咱们今天聊点实在的。嵌入式系统设计，说白了就是给医疗设备选一颗「心脏」，再搭一套「神经系统」。我做了十几年医疗嵌入式，踩过的坑比你们走过的路还多。这一章，我把压箱底的经验掏出来，咱们一个一个说。
2.1 微控制器选型：别只看主频
选MCU，很多人上来就问：「主频多少？几核？」 嗯，这问题问得外行了。医疗设备不是手机，跑得快不代表跑得稳。
我个人习惯，先看三点：
- 安全认证：IEC 62304 要求软件安全等级，MCU本身有没有硬件安全模块？比如TI的Hercules系列，自带锁步核和ECC，我曾在输液泵项目里用过，心里踏实。
- 温度范围：医疗设备可能要在手术室（恒温）和救护车（高温）之间切换。工业级（-40°C ~ 85°C）是底线，别省这点钱。
- 供货周期：这个我吃过亏。有一年某款MCU突然停产，我们整条产线停了三个月。现在选型，我必看第二货源，或者选ST、NXP这种长生命周期产品。
避坑指南：我曾经在一个心电监护项目里选了某国产MCU，便宜是真便宜，结果发现ADC采样抖动太大，根本过不了YY 9706.102的电磁兼容测试。后来换了带独立ADC参考源的型号，问题才解决。
你想想看，医疗设备出问题，轻则误诊，重则人命。MCU选型，安全第一，性能第二，成本第三。这个顺序不能乱。
2.2 RTOS选择：实时性不是唯一标准
RTOS（实时操作系统）选型，很多人纠结于「抢占式还是协作式」、「任务切换时间多少微秒」。其实，我建议先问自己一个问题：你的系统需要多强的确定性？
举个例子：
- 胰岛素泵：注射剂量必须精确到毫秒级，错过一个时钟周期可能出大事。这种场景，FreeRTOS或者uC/OS-II就够了，轻量、可靠。
- CT机控制台：需要图形界面、文件系统、网络通信。这时候得用Linux + RT-Preempt补丁，或者VxWorks这种重型RTOS。
我个人的经验是：别为了用RTOS而用RTOS。有些简单的温度监测设备，裸机跑轮询就够了。加个RTOS反而增加死锁、优先级反转的风险。
小技巧：选RTOS时，看看它的安全认证。比如FreeRTOS有SafeRTOS版本，通过了IEC 61508 SIL 3认证。医疗设备如果要求高安全等级，别省这个钱。
为什么会这样？因为RTOS本身也是软件，也有bug。我记得有个项目，用了某开源RTOS，结果在任务切换时偶尔丢失一个中断。查了三个月，最后发现是内核里一个临界区没处理好。从那以后，我选RTOS必看社区活跃度和代码审查记录。
2.3 内存管理：堆栈溢出是隐形杀手
内存管理，说白了就是「别让程序跑着跑着崩了」。医疗设备最怕什么？最怕运行到一半，突然看门狗复位。而内存问题，是看门狗复位的第一大元凶。
我建议，从设计阶段就做好三件事：
- 静态分配优先：能用全局变量就别用malloc。医疗设备里，动态内存分配是万恶之源。我曾经在一个项目中，因为malloc失败导致系统死机，后来全部改成静态数组，再没出过问题。
- 栈大小要留余量：ARM Cortex-M的栈，默认给1KB？太少了。我一般给任务栈留2-3倍的理论计算值。你想想看，函数嵌套调用、中断嵌套，栈用起来比你想的快得多。
- 内存保护单元（MPU）：如果MCU支持MPU，一定要用。把关键数据区设为只读，把堆栈区设为不可执行。这样即使有野指针，也翻不了天。
警告：千万别在中断服务函数里做复杂的内存操作！我见过有人在中断里调用printf，结果堆栈溢出，系统直接跑飞。中断里只做标志位设置，其他事情交给任务处理。
嗯，这里要注意：内存泄漏在医疗设备里是慢性毒药。你测试三天可能没问题，但设备要连续运行几个月。所以，我习惯在代码里加一个内存使用统计模块，定期打印堆栈水位。上线前跑72小时压力测试，确保内存使用曲线是平的。
2.4 外设接口安全：通信不是传数据，是传信任
外设接口，比如UART、I2C、SPI、CAN，看起来简单，但安全漏洞往往出在这里。医疗设备里，外设接口连接的是传感器、执行器、甚至其他医疗设备。一旦被攻击，后果不堪设想。
我总结了几条铁律：
- UART/RS-232：别用明文传输。我见过一个血糖仪，用UART发数据，连个校验和都没有。攻击者只要接两根线，就能伪造血糖值。加个简单的CRC校验和会话ID，成本几乎为零。
- I2C/SPI：板级通信也要防篡改。虽然物理上很难攻击，但别忘了，医疗设备可能被维修人员接触。我建议在I2C总线上加一个硬件写保护引脚，防止固件被恶意更新。
- CAN总线：车载医疗设备（比如救护车上的监护仪）常用CAN。CAN本身没有加密，攻击者可以发送伪造报文。加一个CAN-FD或者CANsec，或者至少做报文ID白名单过滤。
实战案例：我曾经做一个呼吸机项目，SPI连接着流量传感器。调试时发现，偶尔会读到全0的数据。查了半天，原来是SPI时钟线受到电机干扰。后来加了屏蔽线和软件滤波，问题解决。你看，外设接口安全不只是防黑客，还要防电磁干扰。
你想想看，医疗设备的外设接口，就像人体的神经末梢。任何一个接口被攻破，整个系统都可能瘫痪。我建议，每个外设接口都要做三件事：身份验证（谁在发数据）、完整性校验（数据有没有被改）、重放保护（数据是不是新鲜的）。
| 接口类型 | 常见风险 | 我推荐的防护措施 |
|---|---|---|
| UART | 明文窃听、数据伪造 | 加密传输 + CRC校验 + 会话ID |
| I2C/SPI | 固件篡改、信号干扰 | 硬件写保护 + 软件滤波 + 冗余校验 |
| CAN | 报文注入、拒绝服务 | 报文ID白名单 + CAN-FD加密 + 速率限制 |
| USB | 恶意设备接入 | USB设备认证 + 只允许HID/MSC类设备 |
好了，这一章的内容就这些。总结一下：MCU选型看安全认证和供货周期，RTOS选择看实时性需求和认证等级，内存管理要静态分配加MPU保护，外设接口安全要做身份验证和完整性校验。这些基础打好了，后面的安全机制设计才能站得住脚。
下一章，咱们聊聊「加密算法在嵌入式系统里的实现」。到时候我会讲讲，怎么在资源受限的MCU上跑AES，以及为什么我建议别自己写加密库。嗯，到时候见。