2、硬件安全基础：MCU的安全特性与电源管理

各位工程师朋友，咱们接着聊。上一章我讲了电机解锁的整体框架，今天咱们把底层硬件扒开看看。说白了，MCU 就是整个系统的「大脑」，而电源就是「心脏」。这两个地方出问题，你软件写得再好也白搭。

我个人习惯，做任何电机控制项目，第一步不是写代码，而是先把 MCU 的数据手册和安全手册翻烂。嗯，这习惯救过我不少次。

先说说 HSM（硬件安全模块）。这东西你可以理解成 MCU 内部的一个「安全小世界」。它有自己的 CPU、存储器和加密引擎，跟主核是隔离的。

核心要点：HSM 负责密钥管理、安全存储、真随机数生成。主核跑应用，HSM 管安全，两者互不干扰。

我在项目中遇到过一件事：客户要求固件必须防抄板。当时我就在 HSM 里存了根密钥，每次启动时主核通过安全通道向 HSM 请求解密。就算有人把 Flash 读出来，没有 HSM 的密钥，代码也是乱码。

Secure Boot ROM 是芯片出厂时固化的一段只读代码。它负责验证后续每一级固件的签名。流程是这样的：

注意：Secure Boot 一旦开启，任何未签名的固件都无法运行。我曾经在调试阶段忘了关这个功能，结果烧了半小时的代码，板子就是不跑。后来才发现是签名没更新。

你想想看，如果攻击者想注入恶意代码，他得先过 ROM 这一关。而 ROM 是只读的，改不了。这就是硬件安全的第一道防线。

PMU 这东西，很多工程师容易忽略。觉得不就是供电嘛，给电就能跑。其实不然。MCU 内部有多个电源域：核心域、IO 域、模拟域、备份域。它们上电是有先后顺序的。

为什么要有顺序？因为如果 IO 域先上电，而核心域还没起来，IO 引脚的状态是不确定的。这时候如果外部设备通过 IO 口灌电流进来，轻则逻辑混乱，重则烧毁芯片。

我的习惯：设计原理图时，我会在 PMU 的使能引脚上串联一个 RC 延时电路，确保 Vcore 先稳定 1-2ms 后，再开启 Vio。这个延时虽然短，但能避免很多诡异的启动问题。

我曾经在一个项目中，因为 PMU 的上电时序没处理好，导致 MCU 每次上电有 30% 的概率死机。后来用示波器一抓，发现 Vio 比 Vcore 早了 200μs 到达。调整了 PMU 的配置后，问题彻底消失。

电机控制环境很恶劣。电磁干扰、电压波动、电机堵转，都可能让程序跑飞。这时候就需要硬件看门狗（WDT）和电压监控（BOR/POR）来兜底。

硬件看门狗是一个独立的计数器。程序需要定期「喂狗」，也就是复位计数器。如果计数器溢出，WDT 就会强制复位 MCU。

这里有个关键点：硬件看门狗和软件看门狗不一样。软件看门狗依赖主核运行，如果主核挂了，软件看门狗也废了。硬件看门狗是独立于主核的，即使主核死机，它照样能工作。

配置建议：看门狗的超时时间要大于主循环的最长执行时间，但小于系统允许的故障响应时间。我一般取 2-3 倍的主循环周期。

举个例子：你的主循环最长跑 50ms，那看门狗超时设 150ms 比较合适。太短了容易误复位，太长了故障响应慢。

POR（上电复位）和 BOR（欠压复位）是 MCU 内部的电压检测电路。POR 在上电时工作，确保电压达到阈值后才释放复位。BOR 则在运行期间持续监控电压。

我遇到过最坑的一次：电机启动瞬间，大电流把电源电压拉低了 200mV。MCU 的 BOR 阈值是 2.85V，而电源正常是 3.0V。结果每次电机一启动，MCU 就复位。后来我把 BOR 阈值调到 2.7V，问题解决。

避坑指南：BOR 阈值不是越低越好。阈值太低，电压已经掉到芯片无法正常工作的程度了，BOR 才触发，这时候复位已经晚了。要根据芯片手册的推荐值来选。

下面这张图把今天讲的核心内容串起来了。你可以把它当作一个快速参考。

这张图把今天的内容串起来了。从 MCU 安全核心（HSM & Secure Boot），到电源管理（PMU 上电时序），再到最后的兜底机制（WDT & BOR）。这三层构成了电机控制系统的硬件安全底座。