4. 医疗嵌入式软件架构风格选型

医疗嵌入式软件同时受制于三类约束：法规与安全（IEC 62304 软件安全分级、IEC 60601-1 基本安全与基本性能）、实时性（采样周期、报警响应时间、治疗输出时序），以及资源（MCU 的 RAM/Flash、功耗、认证成本）。架构风格不是审美选择，而是把这三类约束分配到不同模块边界上的手段。本节把五种常见风格放到同一坐标系里比较：控制流方向、耦合方式、可验证性、实时可预测性、变更影响范围。

五种风格的适用位置

分层架构是医疗设备最普遍的骨架。典型四层为：硬件抽象层（HAL，封装 ADC、GPIO、SPI、定时器）、设备驱动层（传感器/执行器驱动，如 NTC 温度采集、泵电机驱动）、领域服务层（信号处理、报警判定、剂量计算）、应用层（状态机、UI、通信）。关键规则是只允许上层调用下层，禁止跨层反向调用；跨层需求通过接口回调或事件上抛解决。分层的价值在于可替换性：更换 MCU 时只改 HAL，更换传感器时只改驱动层，而报警判定逻辑与剂量算法可保持不动，这对需要重新做部分验证的医疗项目能显著压缩回归测试范围。代价是调用链变长，一次采样到报警判定的路径可能穿过四层，若每层都做参数校验与拷贝，延迟会累积。

事件驱动适合以“外部或内部事件”为触发源的场景，例如按键、报警阈值越限、通信帧到达、定时器溢出。它把控制权从“主循环轮询”转为“事件到达即处理”，常用结构是事件队列 + 分发器 + 处理函数。医疗设备中，报警优先级抢占是典型需求：当 SpO₂ 低于阈值时，报警事件必须能打断正在执行的 UI 刷新。事件驱动的风险在于事件风暴与优先级反转——若低优先级事件处理函数长时间占用 CPU，高优先级报警会被延迟。因此必须为事件队列设定深度上限、为处理函数设定最坏执行时间（WCET）预算，并明确丢弃策略（例如丢弃最旧的显示刷新事件，但绝不丢弃报警事件）。

微内核把最小可信核心（调度、IPC、基本内存保护）与可插拔服务（显示、存储、通信、算法）分离。在医疗设备中，微内核的价值是故障隔离与最小认证面：即使显示服务崩溃，输液泵的剂量控制核心仍可继续运行并进入安全状态。代价是 IPC 开销与调试复杂度上升，且服务间通信需要显式定义消息格式与超时。对于安全等级较高的治疗类设备，微内核常与“安全核 + 非安全核”的双分区设计结合。

发布-订阅解决的是“一个数据源、多个消费者”的问题。例如体温探头数据同时被显示模块、趋势记录模块、报警判定模块和上传模块使用。若用直接调用，数据源需要知道所有消费者；用发布-订阅，数据源只向主题（topic）发布，订阅者按需注册。医疗场景中它天然适合多参数监护：每个生理参数是一个主题，报警引擎订阅全部参数主题，UI 只订阅当前显示通道。需要注意：订阅关系是运行时建立的，若订阅者未及时处理消息，需要定义背压策略（丢弃、覆盖或阻塞发布者），否则队列溢出会导致数据丢失。

管道-过滤器把处理过程拆成一系列独立过滤器，数据在管道中单向流动。它最适合信号处理链：原始 ADC 采样 → 去基线漂移 → 50/60 Hz 陷波 → 低通滤波 → 峰值检测 → 特征提取 → 报警判定。每个过滤器只依赖输入数据与自身参数，可单独测试、单独替换。例如把 IIR 低通换成 FIR 低通，只需保证输入输出接口一致。管道-过滤器的局限是难以表达反馈与状态共享：若报警判定需要回看历史窗口，就需要在过滤器内部维护状态，或引入滑动窗口缓冲区，这会削弱“纯过滤器”的可测试性。

选型的判断依据

把五种风格放在一起，选型可以按以下顺序判断。第一，是否存在明确的“安全核心”：若设备有治疗输出（输液泵、呼吸机、除颤器），优先考虑微内核或至少“安全分区 + 非安全分区”，把剂量/能量控制与显示、通信隔离。第二，数据源与消费者是否一对多：多参数监护、中央站上传场景优先发布-订阅，避免数据源直接依赖所有消费者。第三，处理是否可表达为单向链：心电、血氧、呼吸波形的预处理优先管道-过滤器，便于逐级验证与替换。第四，触发是否异步且优先级差异大：报警、按键、通信并存时用事件驱动，但必须为高优先级事件预留 WCET 与队列空间。第五，以上都不是强约束时，用分层作为默认骨架，再在局部引入其他风格。

实际项目几乎不会只用一种风格。常见的组合是：分层作为整体骨架，领域服务层内部用管道-过滤器处理信号，报警与通信采用事件驱动，多参数数据用发布-订阅分发，安全关键部分用微内核思想隔离。组合的关键是明确每种风格的边界：管道-过滤器链内部不要直接调用 UI；发布-订阅的订阅者不要反向修改发布者的状态；事件处理函数不要执行阻塞式 I/O。

权衡清单与常见误用

最后给出一个可操作的判断顺序：先识别安全关键功能并为其划定隔离边界；再识别数据流是“单向链”还是“一源多消费者”；然后识别触发源是否异步且优先级差异大；最后用分层把剩余部分组织起来。按这个顺序，风格选择会从“偏好”变成“约束推导出的结果”。