1. 医疗设备威胁建模工程导论

医疗设备威胁建模工程，是把“安全”从一句合规口号，转化为可分析、可验证、可追溯的工程活动。它关注的不是某一台设备是否装了杀毒软件，而是设备在真实临床环境中，被谁、通过什么路径、利用什么弱点、造成什么临床后果。要理解这门课，先要理解医疗设备安全的特殊性：它同时受制于患者安全、网络安全与法规合规三条约束线，任何一条断裂都可能让设备无法上市，或在临床中造成不可逆伤害。

一、课程目标：从“知道有风险”到“能交付证据”

本课程的目标不是让读者背诵威胁清单，而是建立一套可复用的工程能力。学完本课程，读者应能独立完成以下工作：

• 识别医疗设备在预期使用环境中的资产、接口、数据流与信任边界；
• 针对具体设备（如输液泵、监护仪、影像工作站、远程随访终端）构建威胁模型，而不是套用通用IT模板；
• 把威胁映射到安全控制措施，并说明控制措施如何降低临床风险；
• 在设计、开发、验证、上市后监测各阶段，输出可审计的威胁建模证据；
• 用统一语言与临床工程师、法规事务、渗透测试团队沟通风险。

这些目标对应一个核心判断：威胁建模的产出不是一张好看的图，而是可追溯的风险决策记录。例如，当团队决定“不加密某条内部调试串口”时，威胁模型必须能回答：这条串口暴露在什么物理位置、谁能接触、被利用后影响哪些患者数据、为什么现有物理控制足够。没有这层记录，安全决策就退化为个人经验。

二、医疗设备安全形势：攻击面正在从IT蔓延到病床旁

传统医疗设备多为封闭嵌入式系统，攻击面有限。但近十年的变化非常明确：设备联网化、数据上云、远程运维、移动App配对、第三方组件复用，使医疗设备同时具备物理接口、无线接口、网络服务、云API、供应链组件五类入口。攻击者不一定直接“黑进设备”，也可能通过医院网络横向移动、通过供应商远程维护通道进入、通过恶意固件更新包植入。

更关键的是后果不对称。普通IT系统被入侵，损失多为数据泄露或服务中断；医疗设备被入侵，可能直接改变治疗输出。例如，输液泵的流速参数被篡改、监护仪报警阈值被调高、影像设备被勒索加密导致检查停摆。因此，医疗设备威胁建模必须把临床影响作为风险评级的第一维度，而不是只计算CVSS分数。

三、威胁建模在全生命周期中的定位与价值

威胁建模不是开发结束后的“安全评审”，而是贯穿全生命周期的持续活动。它的价值在于把安全左移：越早发现威胁，修复成本越低，对临床工作流的影响越小。下面这张图展示了医疗设备从概念到上市后监测的典型阶段，以及威胁建模在每个阶段的核心输入与输出。

从图中可以看到，威胁建模的输入主要来自临床与工程两侧：临床侧提供预期用途、工作流和风险容忍度，工程侧提供架构、接口、数据流和组件信息。输出则是一组可追溯的工程证据，包括资产—威胁—控制矩阵、攻击路径、风险等级、安全需求和验证用例。这些输出会反向驱动设计修改、测试用例补充和上市后监测规则。

四、一个具体示例：输液泵的威胁建模切入点

以一台联网输液泵为例。它的预期用途是“按处方速率向患者输注药液”，临床风险容忍度极低。威胁建模时，先识别资产：输注速率参数、药物库、患者标识、报警状态、固件、无线配对密钥。再识别信任边界：设备与医院Wi-Fi之间、设备与输液泵管理服务器之间、设备与护士站终端之间、设备与维护笔记本之间。

接着枚举威胁。例如：攻击者通过未加密的无线配对通道重放指令，把速率从5 mL/h改为50 mL/h；或者通过供应商远程维护接口上传恶意固件，在特定时间篡改报警阈值。每个威胁都要标注攻击前提（是否需要物理接触、是否需要医院网络权限）、攻击路径（从哪个接口进入、经过哪些组件）、临床影响（过量输注、报警失效、治疗延迟）。

然后给出控制措施并验证。例如，针对无线重放，控制措施可以是“配对阶段使用带时间戳的挑战—响应认证，且速率修改指令必须由护士站二次确认”。验证用例则设计为：在测试环境中重放旧指令，观察设备是否拒绝并记录安全日志。只有验证通过，这条威胁才算被有效控制。

五、威胁建模的工程价值：把“安全”变成可管理的变量

威胁建模最直接的价值，是让安全从“事后补救”变成“设计输入”。在概念阶段，它帮助团队判断哪些临床功能必须默认安全、哪些接口可以关闭、哪些数据必须加密。在开发阶段，它把安全需求拆解到组件和接口，避免“整机安全”这种无法验证的模糊目标。在验证阶段，它提供测试用例的来源，使渗透测试有明确靶点。在上市后阶段，它定义漏洞监测范围和更新触发条件。

更重要的是，威胁建模建立了跨专业沟通的桥梁。临床工程师关心的是“报警会不会失效”，法规事务关心的是“证据是否充分”，开发团队关心的是“改哪里、怎么改”。威胁模型用统一的资产、威胁、控制、风险语言，把这三方拉到同一张桌子上。没有这张桌子，安全决策往往变成互相推诿或过度设计。