2、TinyML基础：微控制器上的机器学习、资源约束、典型应用场景（如关键词识别、异常检测）

TinyML 的核心命题，是在功耗、内存、算力与存储均极度受限的微控制器（MCU）上，让机器学习模型能够实时运行并完成推理。理解这一基础，是后续讨论模型安全、固件可信边界与设备防篡改的前提。本章将聚焦三个关键维度：微控制器上机器学习的运行原理与工程约束、典型应用场景的落地形态，以及资源受限环境下必须建立的安全基线意识。

上图展示了 TinyML 系统从物理资源到应用安全的完整链路。物理约束决定了模型压缩与算子选择的边界；模型与运行时层负责将训练好的神经网络转换为可在 MCU 上高效执行的代码；应用与安全层则直接面向具体业务，并承载设备可信边界的设计。下面逐一展开。

2.1 微控制器上的机器学习：核心原理与工程约束

2.1.1 核心原理：从云端到边缘的推理下沉

传统机器学习推理依赖云端 GPU/CPU 集群，而 TinyML 将推理过程完全部署在 MCU 内部。MCU 通常集成 CPU 核心、Flash 存储、SRAM 以及多种外设接口（I2C、SPI、UART、ADC 等），但没有 MMU（内存管理单元），也不运行完整的 Linux 系统。因此，TinyML 的推理过程必须采用静态内存分配与单线程顺序执行模型。模型在编译期即确定所有张量的内存地址，运行时不再动态申请堆内存，这既保证了实时性，也避免了内存碎片化带来的安全漏洞。

一个典型的推理流程包括：传感器数据采集（ADC/DMA）→ 预处理（滤波、归一化）→ 特征提取（MFCC、FFT）→ 神经网络推理（卷积、全连接）→ 后处理（Softmax、阈值判断）→ 输出控制信号。整个过程在几十毫秒内完成，功耗控制在毫瓦级甚至微瓦级。

2.1.2 资源约束的量化分析

理解资源约束不能停留在“内存小”的模糊概念上，必须建立量化认知。下表对比了典型 MCU 与边缘 Linux 设备的资源差异，以及对应的模型容量限制：

以关键词识别模型为例，一个包含 5 万参数的 DS-CNN（深度可分离卷积网络）模型，INT8 量化后权重约 50KB，中间特征图约 30KB，加上代码和运行时开销，总 Flash 占用约 150KB，SRAM 峰值约 80KB。这已经接近入门级 MCU 的极限。因此，模型量化（INT8/INT16）与结构压缩（深度可分离卷积、剪枝）是 TinyML 落地的必选项。

2.1.3 推理框架与算子优化

TensorFlow Lite Micro（TFLM）是目前最主流的 MCU 推理框架，它通过解释器逐层执行算子，并针对 ARM Cortex-M 系列启用了 CMSIS-NN 优化库。CMSIS-NN 利用 DSP 指令（如 SMLAD、SMLALD）和 SIMD 并行，将卷积运算速度提升 4~5 倍。此外，TFLM 支持算子融合（如 Conv+ReLU+MaxPool 合并为单一算子），减少内存访问次数。

工程上，还需要注意内存复用策略。TFLM 使用“张量竞技场”（Tensor Arena）机制，将中间张量分配在一块预分配的缓冲区中，不同层之间可以复用同一块内存区域。例如，第 1 层的输出张量在第 3 层计算完成后即可被覆盖。这种静态规划方式避免了动态内存分配的不确定性，但也要求开发者在编译期精确计算峰值内存需求。

2.2 典型应用场景：关键词识别与异常检测

2.2.1 关键词识别（KWS）

关键词识别是 TinyML 最成熟的应用之一，典型场景包括智能音箱的唤醒词（如“Hey Siri”）、工业设备的语音指令控制。其核心链路为：麦克风阵列（或单麦克风）→ 16kHz 采样 → 分帧（30ms 帧长，20ms 帧移）→ MFCC 特征提取（40 维）→ 深度可分离卷积网络 → 输出概率分布（如“silence”、“unknown”、“yes”、“no”）。

在资源受限的 MCU 上，MFCC 特征提取通常使用定点 FFT 实现，避免浮点运算。模型结构上，DS-CNN 或 CRNN（卷积循环网络）是主流选择。以 Arm 官方开源的 KWS 参考实现为例，模型参数量约 5.4 万，INT8 量化后 Flash 占用 54KB，SRAM 占用 20KB，在 100MHz 的 Cortex-M7 上单次推理耗时约 30ms，功耗约 5mW。这完全满足电池供电设备的待机唤醒需求。

2.2.2 异常检测

异常检测广泛应用于工业预测性维护、电机状态监测、医疗可穿戴设备。其核心思想是学习正常工况下的数据分布，当输入偏离正常模式时触发告警。在 MCU 上，常用的方法有两种：

• 基于自编码器（Autoencoder）的重构误差检测：模型在正常数据上训练，学习将输入压缩到低维潜空间再重构。推理时，计算输入与重构输出的 MSE（均方误差），若超过阈值则判定为异常。例如，对振动信号提取 128 点 FFT 频谱作为输入，自编码器隐层维度设为 16，模型参数量约 2 万，Flash 占用 20KB，SRAM 占用 8KB。
• 基于单类分类器（One-Class SVM / 高斯混合模型）：直接在特征空间建立正常数据的边界。但 SVM 的核函数计算在 MCU 上开销较大，通常需要将特征维度压缩到 10 维以内，并使用线性核或 RBF 核的查表近似。

异常检测的关键挑战在于阈值选择。阈值过松会导致漏报，过紧则误报频繁。工程上，建议在设备端保存最近 N 次推理的重构误差值，采用滑动窗口自适应阈值（如均值 + 3σ），并支持通过 OTA 更新阈值参数。

2.2.3 其他典型场景

除了上述两个场景，TinyML 还广泛应用于：

• 视觉存在检测：使用极低分辨率的灰度图像（如 96x96）判断画面中是否有人或物体，用于智能门铃、安防摄像头。
• 运动状态识别：基于 IMU（惯性测量单元）数据识别走路、跑步、跌倒等状态，用于老人护理和运动手环。
• 声学场景分类：区分办公室、交通、森林等环境声音，用于助听器自适应降噪。

2.3 案例拆解：工业电机振动异常检测的 TinyML 落地

下面通过一个完整的案例，展示 TinyML 从数据采集到部署的工程闭环，并揭示资源约束对设计决策的具体影响。

背景与约束：某工厂需要对 20 台大型电机进行 24 小时振动监测，要求每台电机配备独立的无线传感器节点，电池供电（3.7V 2000mAh 锂电池），目标续航 6 个月以上。节点采用 Nordic nRF52840（Cortex-M4F，64MHz，256KB RAM，1MB Flash），外接 ADXL345 加速度传感器（±16g，400Hz 采样率）。

初始目标与现象：初期方案直接使用云端推理，传感器通过 BLE 将原始振动数据（每 10 秒 4000 个采样点）发送至网关，再上传云端分析。实测发现：单节点 BLE 平均电流 15mA，电池续航仅 5.5 天；且工厂内 BLE 信号干扰严重，数据丢包率高达 8%，导致云端无法连续监测。

关键输入数据与参数：

• 振动信号特征：正常工况下，电机振动主频为 50Hz（工频），幅值 0.3g；故障初期出现 100Hz 倍频分量，幅值 0.15g。
• 模型选择：采用 1D 卷积自编码器，输入为 128 点 FFT 频谱（0~200Hz），编码器卷积核 8 个，隐层维度 8，解码器对称。模型参数量 1.8 万，INT8 量化后权重 18KB。
• 内存规划：输入缓冲区 128×4B（float）=512B，中间张量峰值约 6KB，总 SRAM 占用 8KB，Flash 占用 45KB（含框架和驱动）。

分析判断过程：将推理任务完全下沉到 MCU 后，BLE 仅用于发送异常告警（每次 20 字节）和每日心跳包。单次推理耗时 45ms（64MHz 主频），平均电流降至 0.8mA（每 10 秒推理一次，其余时间休眠）。电池续航理论计算：2000mAh / 0.8mA ≈ 2500 小时 ≈ 104 天，但考虑电池自放电和温度影响，实际约 90 天，仍不满足 6 个月目标。

实际操作步骤：

1. 将推理频率从每 10 秒一次降低为每 30 秒一次，并采用“两级唤醒”策略：先用简单的 RMS 阈值判断振动能量是否突变，若 RMS 超过正常值 1.5 倍才触发完整自编码器推理。
2. 对自编码器进行剪枝，移除贡献最小的 20% 卷积核，模型参数量降至 1.4 万，推理时间缩短至 32ms。
3. 启用 nRF52840 的 POF（电源故障比较器）和 RTC 唤醒，休眠电流从 2µA 降至 0.5µA。

结果对比：优化后，平均电流降至 0.35mA，理论续航 238 天，满足 6 个月目标。在 3 个月的试运行中，成功捕获 2 次轴承早期故障（100Hz 倍频分量超过阈值），误报 1 次（因外部冲击导致 RMS 突变，但自编码器重构误差未超阈值，被正确过滤）。

风险与代价：降低推理频率意味着故障检测延迟从 10 秒增加到 30 秒，对于快速发展的故障（如轴承碎裂）可能不够及时。剪枝操作需要重新验证模型在验证集上的 AUC 指标，本案例中 AUC 从 0.97 降至 0.94，仍在可接受范围。

复盘经验：TinyML 项目必须将功耗、内存、精度、延迟作为联合优化目标，而非单独追求模型精度。两级唤醒策略是降低平均功耗的有效手段，但需要额外设计阈值逻辑，并确保阈值本身不被攻击者篡改——这为后续章节的“安全可信边界”埋下伏笔。

2.4 常见误区与总结复盘

2.4.1 误区一：将 PC 端模型直接移植到 MCU

很多开发者习惯先在 PC 上训练一个高精度浮点模型，然后试图直接编译到 MCU。这通常会导致 Flash 溢出或推理时间过长。正确做法是：从设计之初就考虑 MCU 约束，选择适合的模型结构（如 MobileNetV1 的深度可分离卷积），并在训练阶段就加入量化感知训练（QAT），而非训练后再做后训练量化（PTQ）。QAT 通常比 PTQ 在 INT8 下高出 2~5% 的准确率。

2.4.2 误区二：忽视内存峰值而只关注模型大小

模型权重大小（Flash 占用）不等于推理时的内存需求。中间特征图、临时缓冲区、激活函数查表都可能占用大量 SRAM。例如，一个 1MB 的模型如果中间特征图峰值达到 300KB，而 MCU 只有 256KB SRAM，则无法运行。务必使用工具生成内存规划报告，并检查峰值 SRAM 是否在物理限制内。

2.4.3 误区三：认为 TinyML 不需要安全机制

这是最危险的误区。MCU 设备通常部署在物理可接触的环境中（如工厂车间、家庭），攻击者可以通过 JTAG/SWD 调试接口读取 Flash 中的模型权重，或通过电压毛刺攻击绕过安全启动。模型权重是企业的知识产权，也是攻击者逆向分析的目标。因此，安全可信边界必须从 TinyML 项目的第一天就纳入设计，包括：

• 禁用或锁定调试接口（读保护 RDP 级别 1 或 2）。
• 固件签名与安全启动，防止恶意固件替换。
• 模型权重加密存储，运行时解密到 SRAM（需权衡解密开销）。
• 对传感器输入进行合理性校验，防止对抗样本攻击（如向麦克风注入特定噪声使唤醒词误触发）。

2.4.4 总结复盘

本章的核心认知可以归纳为：TinyML 不是简单地将模型“缩小”，而是在物理资源、实时性、功耗与安全之间寻找帕累托最优。微控制器上的机器学习要求开发者具备系统级思维——既要懂神经网络结构设计，又要理解 MCU 的内存映射、外设 DMA、中断优先级和电源管理。典型应用场景（KWS、异常检测）验证了 TinyML 的可行性，但每个场景都有其独特的资源瓶颈和安全隐患。后续章节将深入探讨如何在这些约束下构建可信的部署链路，包括固件签名、安全启动、模型加密和运行时完整性校验。