一、医疗嵌入式系统概述

大家好，我是老张。在嵌入式安全这行摸爬滚打了十几年，今天咱们聊聊医疗嵌入式系统。说实话，这个领域跟普通消费电子完全不同——你设计的每一行代码，都可能直接关系到患者的生命安全。

先问大家一个问题：你知道医院里有多少设备是嵌入式系统吗？我告诉你，从最基础的血压计，到复杂的CT机、呼吸机，甚至手术机器人，里面都跑着嵌入式系统。我当年刚入行时，以为医疗设备就是大号的单片机，后来才发现，这里面的门道深着呢。

1.1 医疗电子设备分类

医疗电子设备，说白了就是用在医疗场景中的电子设备。按照风险等级，国际上通常分三类：

分类	风险等级	典型设备	我遇到的坑
Class I	低风险	电子体温计、听诊器	这类设备我做过，看门狗基本够用
Class II	中风险	输液泵、监护仪	这里就要上双看门狗了
Class III	高风险	心脏起搏器、呼吸机	嗯，这类设备我建议用三冗余

我个人习惯，拿到一个项目先看分类。为什么？因为认证要求完全不同。Class III的设备，光看门狗测试就要做几百个小时。

1.2 嵌入式系统在医疗中的应用

嵌入式系统在医疗领域，可以说是无处不在。我给大家列几个典型的应用场景：

• 患者监护：心电、血氧、血压的实时采集。我记得有个项目，监护仪死机了，护士没发现，差点出事。从那以后，我设计的监护仪必须带独立硬件看门狗。
• 药物输注：输液泵、胰岛素泵。这里有个关键点——输注速度不能出错。我曾经遇到过，看门狗复位后输注速率恢复成默认值，这要是胰岛素泵，后果不堪设想。
• 生命支持：呼吸机、ECMO。这类设备，说白了就是「不能停」。我建议用双看门狗+心跳检测，一个挂了另一个立刻顶上。
• 诊断成像：CT、MRI、超声。这些设备数据量大，实时性要求高。看门狗不仅要防死机，还要防数据损坏。

1.3 安全关键系统概念

安全关键系统，英文叫Safety-Critical System。什么意思？就是系统一旦出问题，会造成人员伤亡、重大财产损失。医疗设备就是典型的安全关键系统。

我给大家讲个真实案例。2015年，某品牌的输液泵被召回，原因是软件bug导致输注速度异常。你想想看，一个病人正在输液，突然速度变快或变慢，会是什么后果？这就是安全关键系统出问题的典型例子。

安全关键系统有几个核心概念：

• 故障容错：系统出错了，还能继续工作。比如双看门狗，一个坏了另一个还能用。
• 故障安全：系统出错了，要进入安全状态。比如呼吸机死机了，要保持在当前通气状态，不能直接停机。
• 故障避免：从设计上就避免故障发生。比如用硬件看门狗而不是纯软件看门狗。

1.4 看门狗在医疗系统中的地位

看门狗，英文叫Watchdog Timer。说白了就是一个定时器，系统必须定期「喂狗」。如果系统死机了，没人喂狗，看门狗就会复位系统。

在医疗系统中，看门狗的地位有多重要？我这么说吧：没有看门狗的医疗设备，基本不可能通过认证。IEC 62304（医疗软件生命周期标准）明确要求，安全关键功能必须有看门狗保护。

但是，看门狗不是万能的。我曾经遇到过一个案例：系统死机了，看门狗复位了，但复位后系统进入了错误的状态，反而更危险。所以，看门狗的设计要跟系统状态机配合好。

1.5 我的实战建议

好了，讲了这么多，给大家总结几条实战建议：

1. 先分类，再设计：根据设备风险等级，决定看门狗的冗余度。
2. 硬件看门狗优先：软件看门狗容易被bug绕过，硬件看门狗更可靠。
3. 喂狗时机要讲究：不要在中断里喂狗，要在主循环的关键节点喂狗。
4. 复位后要检查：看门狗复位后，要检查复位原因，确认是意外复位还是正常复位。
5. 留好日志：每次看门狗复位，都要记录时间、原因、系统状态。这对后期排查问题很有帮助。

我记得有一次，客户反馈设备偶尔重启。我们查了三个月，最后发现是看门狗喂狗间隔太短，系统偶尔忙不过来。后来把喂狗间隔从100ms改成500ms，问题就解决了。你看，有时候问题就是这么简单。

下一章，我会详细讲看门狗的工作原理和硬件设计。咱们到时候见。