2. 医疗设备类型与系统架构

医疗设备威胁建模的第一步，不是急着画攻击树，而是把设备本身拆开看清楚。输液泵、起搏器、影像设备、监护仪这四类典型设备，虽然都贴着“医疗器械”的标签，但它们的硬件形态、固件职责、软件分层、网络接口和对外暴露面差异极大。威胁建模的对象边界如果画错，后面的攻击路径分析就会全部失焦。本节按“硬件—固件—软件—网络—接口”五个层次，逐类拆解这四类设备的组成，并给出可直接用于建模的资产清单与接口清单。

一、五层拆解框架

在威胁建模语境下，医疗设备可以统一按五层理解：硬件层承载物理计算与传感执行；固件层负责启动、驱动与实时控制；软件层提供应用逻辑、算法与人机界面；网络层决定设备如何接入院内网、无线网或远程链路；接口层包括物理端口、无线协议和对外数据交换点。威胁建模时，每一层都要问三个问题：这一层有哪些资产？谁能接触到这一层？这一层被破坏后会影响什么临床功能？

需要特别说明的是，医疗设备的“软件”往往不是单一程序，而是“实时控制固件 + 嵌入式操作系统 + 应用软件 + 通信中间件”的组合。起搏器甚至没有传统意义上的操作系统，其核心逻辑直接跑在固件里。因此不能套用通用IT系统的分层习惯，必须按设备真实形态建模。

二、四类设备的组成差异

输液泵的硬件核心是步进电机、蠕动泵头、压力传感器、气泡检测器和阻塞报警器；固件负责电机驱动、流速闭环控制和报警逻辑；软件层提供药物库、流速方案和剂量计算；网络层常见Wi-Fi或有线以太网接入输液管理系统；接口层包括RS-232、USB维护口和护士站通信接口。其关键安全属性是流速准确性与报警可靠性，一旦被篡改流速或屏蔽气泡报警，直接危及患者。

起搏器属于植入式设备，硬件为钛壳、电池、脉冲发生器和导线电极；固件运行在极低功耗微控制器上，负责感知心电、起搏输出和参数存储；软件层极薄，主要是参数配置与遥测协议；网络层通过近场遥测（如感应线圈）与程控仪通信，部分新型号支持蓝牙低功耗；接口层包括程控仪、家庭监护发射器和随访系统。其威胁建模重点是遥测链路认证与参数写入权限。

影像设备（CT、MRI、DR、超声）硬件包括高压发生器、探测器、梯度线圈、机架运动控制和重建计算机；固件分布在多个控制板卡上；软件层最复杂，包含采集控制、图像重建、DICOM服务、PACS客户端和操作系统；网络层通常是以太网接入影像科室网；接口层包括DICOM、HL7、USB、光盘刻录和远程维护通道。其暴露面最大，历史上多次出现因操作系统未打补丁导致的勒索软件事件。

监护仪硬件为多参数前端模块（ECG、SpO₂、NIBP、IBP、体温）、显示屏和报警扬声器；固件负责信号采集与滤波；软件层做参数计算、报警分级和趋势存储；网络层通过有线或无线接入中央监护站；接口层包括床旁网络口、串口和部分型号的USB。其核心安全属性是报警不被抑制、数据不被伪造。

三、从架构到威胁建模资产清单

把上面的五层结构落到威胁建模，需要输出一份可操作的资产与接口清单。以下清单以输液泵为例，其他三类设备可按同样字段替换。字段设计原则是：每个资产必须能对应到具体层次、具体接口和具体临床影响，避免出现“设备整体”这种无法分析的粒度。

四、接口暴露面的建模要点

四类设备的接口暴露面排序大致为：影像设备 > 监护仪 > 输液泵 > 起搏器。影像设备因为运行通用操作系统、接入科室以太网、支持DICOM和远程维护，暴露面最大；起搏器虽然遥测链路物理距离短，但一旦认证机制薄弱，参数写入的后果最严重。威胁建模时不能只看“暴露面大小”，还要看“单次成功攻击的临床后果严重度”，两者共同决定风险优先级。

五、实操：为监护仪建立接口清单

以某型号多参数监护仪为例，按以下步骤建立接口清单。第一步，列出所有物理端口：床旁网络口（RJ45）、USB口、串口（部分型号）、电源口。第二步，标注每个端口的协议与用途：RJ45跑中央监护站私有协议和HL7，USB用于导出趋势数据和软件升级，串口用于旧系统对接。第三步，判断认证与写入能力：中央站协议通常有设备白名单但认证较弱，USB升级往往需要维护密码或专用工具。第四步，记录临床影响：报警数据被篡改会导致中央站漏报，趋势数据被删除会影响事后追溯。

完成清单后，可以进一步标注每个接口的“可达性”——是床旁可接触、科室网可达，还是需要厂商远程通道。可达性直接决定攻击者需要什么前置条件，是威胁建模中区分“理论风险”和“现实风险”的关键依据。

四类设备的架构差异决定了威胁建模不能套用同一张模板。输液泵关注流速与报警链路，起搏器关注遥测认证与参数写入，影像设备关注操作系统与网络暴露面，监护仪关注报警数据完整性与中央站通信。把五层结构和接口清单作为固定输入，后续的威胁枚举、攻击树和风险评级才有稳定的分析基础。