软件结构 · 试验台

目录

1. 整体架构
2. 内核分配与 M33
3. 采样率与信号路径
4. 内核间通信 (共享环形缓冲 · RPMsg)
5. 延迟预算
6. Holter 存储 · 趋势
7. 报警引擎
8. 状态机
9. 启动自检
10. 云 · 安全 · 更新
11. 软件等级划分 · 模块
12. 开发顺序 · 实测清单
13. 试验台固件 (ESP32-S3 + ADS1293)
14. 试验台验证结果

1. 整体架构

处理部为 NXP i.MX 95。接触患者的测量部(患者岛)是隔离的，经数字隔离器(ISO7762)与处理部相连。处理部芯片构成(i.MX 95 · AFE159RP8 · AFE4490 · 第 2 阶段 RM44L920)为 已确定 规格，下面的内核分配为 默认值。

 患者岛(隔离, CF)                       │ 非患者侧 (i.MX 95 SoM)
 ──────────────────────────────────────┼───────────────────────────────────────
 AFE159RP8 (ECG 8ch, 电极 10, 起搏芯片内) ─ISO7762#1─ LPSPI-A ┐
 AFE4490   (SpO2, PRF 500 Hz)            ─ISO7762#2─ LPSPI-B ├─► Cortex-M7 800 MHz (FreeRTOS)
 V1/V5 开关 · sim/signal 开关状态          ─(隔离 GPIO)────────┘   采集·滤波·QRS·起搏·SpO2
 (+选配) NIBP 模块 UART · Resp(AFE 内置)                            ·报警判定·报警音
                                                    │ 共享 DDR 环(波形) + RPMsg(命令·事件)
                                                    ▼
                         Cortex-A55 ×6 (Linux, Yocto)  屏幕(Qt)·Holter·趋势·云·OTA·日志·权限
                         Cortex-M33 (NXP SM)           电源·时钟·复位·PMIC·故障响应(以 LM 为单位复位)
 外部：TPS3430 窗口看门狗(由 M7 喂狗) → WDO → 备用蜂鸣器 + A55 GPIO   [第 2 阶段] RM44L920 安全 MCU (SPI)
 LTC1760 + 智能电池组 A/B (SMBus, 归 M7) · VSYS 欠压比较器 → M7 IRQ

内核分配原则三条 默认值

1. 涉及患者安全的路径(采集 → 判定 → 报警音)由 M7 一颗内核闭环完成。 即使 Linux 崩溃，声音仍会响。
2. Linux 只负责「显示·存储·发送」。 Linux 停止时，M7 会察觉并发出高优先级「显示故障」报警。
3. M7 停止时，System Manager(SM)只复位 M7，在此期间 TPS3430 鸣响备用蜂鸣器，A55 将波形变为灰色。

2. 内核分配与 M33

各内核职责 默认值

资源归属 (由 SM 配置固定)

资源预算 (计算·默认值)

3. 采样率与信号路径

为什么是 8 kSPS

• IEC 60601-2-27 要求在 HR 计算中排除起搏脉冲。范围 ±2~±700 mV，0.1~2 ms (宽度下限取较宽一侧的 0.1 ms)
• TI ADS1298 数据手册：软件检测需要「8 kSPS or more」。论文数值 8 kHz Se 95.5 % · 16 kHz 97.1 % · 32 kHz 99.3 % (CinC 2018)
• AFE159RP8 芯片内有 4 导联起搏算法 + 128 kSPS 起搏输出。但公开版本为摘要版，判定输出格式·宽度·幅度范围 未确认

默认值 ECG 所有通道以 8 kSPS 24 位 采集。起搏采用 芯片内检测(第 1 级) + M7 软件检测(第 2 级确认)。若通过详细数据手册确认芯片内检测完全满足要求，再考虑降到 2 kSPS，在此之前固定为 8 kSPS。

M7 内部路径

AFE159RP8 8 kSPS × 8ch × 24bit ── DRDY ISR → LPSPI DMA ─┐
                                                         ├─ ① 打时间戳 (通用定时器 32bit, 样本号 u64)
AFE4490 500 SPS × 6 流 ── ADC_RDY ISR → LPSPI ───────────┘
   ├─ ② 起搏：芯片标志 + 8 kSPS 斜率·宽度确认 → 事件 {样本号, 导联, 宽度}
   ├─ ③ 起搏消隐：在 8 kSPS 下用直线插值填补脉冲区间
   ├─ ④ 抽取 8000 → 2000 → 500 SPS (线性相位 FIR 2 级, ÷4·÷4)
   │      群延迟估算：31 抽头(8k) 1.9 ms + 63 抽头(2k) 15.5 ms ≈ 17.4 ms (计算)
   ├─ ⑤ 「原始数据」分支 → Holter 存储(500 SPS 24bit, 陷波前·HPF 前) + calib 行
   ├─ ⑥ HPF → 双重自适应陷波(60·120 Hz) → LPF   (陷波前·后都保留 — 供比较画面用)
   ├─ ⑦ QRS 检测 (独立频带 5~15 Hz, 与陷波状态无关)
   │      起搏事件仅在「Paced=Yes」时才从 HR 中排除·打标记
   └─ ⑧ PPG：500 SPS → 5 样本平均 100 SPS → 带通滤波 → R·SpO2·PR·PI。1 秒周期

降到 500 SPS 的原因：之前设计的双重陷波系数以 fs = 500 Hz 为基准，可以直接沿用。消隐长度和 FIR 抽头数在信号处理设计中通过实测确定。

通道分配 默认值

显示用降采样

• 每列(px)用 min/max 竖线绘制，保留 QRS 顶点。禁止简单抽点
• PPG 100 SPS 采用相邻样本线性插值
• 屏幕行顺序为 6 行固定：calib · lead1 · lead2 · lead3 · SpO2 · pulse 已确定。V 导联(V1/V5)在屏幕上的位置未定，但始终计入记录

4. 内核间通信 — 共享内存环 + RPMsg

RPMsg 公共头 (24 B，小端) 默认值

端点 2 个：ekg-ctrl (A55 → M7 命令，M7 应答) · ekg-evt (M7 → A55 事件·状态)。

主要消息 默认值

共享内存环 (计算·默认值)

所有环长度均为 2 的幂，索引为全局样本号 u64 掩码。M7 写完数据后 内存屏障 → 更新写索引。每个块(20 ms = 10 样本)附 CRC-32C。

保留区为 non-cacheable。仅 A55 复位时该 DDR 区域是否保持原样 未确认 — 实测项目 S-01。

5. 延迟预算

电极 → 屏幕 (计算·默认值)

报警 默认值

6. Holter 存储 · 趋势

原则

• 设备内记录为正本，云端为副本
• 存储信号为 陷波·HPF 前的原始数据(500 SPS 24 位)。查看时再施加滤波 → 可以重新分析
• 基本 5 电极 4 通道每天 518.4 MB，12 导联 8 通道每天 1.04 GB (计算) → eMMC pSLC 32 GB 以上

1 秒块 默认值

固定大小槽位：4 通道 8 KiB，8 通道 16 KiB (eMMC 4 KiB 对齐)。预先分配 1 小时 = 3600 个槽位的分段文件，使写入期间文件元数据不变。

• 起搏不高速存储原始波形，只记录时刻 (若存 128 kSPS 原始波形，每天约 88 GB)
• 写入：每 1 秒 pwrite 1 个槽位 + fdatasync。写线程不与渲染线程共享锁
• 文件系统：默认 ext4 data=ordered + 预分配 + 每块 fdatasync，F2FS 作为备选。最终选择依据反复强制断电后的哈希链检查
• 丢失量：仅在两组电池同时断开的突然断电时 ≤ 1~2 秒。正常关机路径下为 0
• 启动时恢复：从末尾开始检查最后一个分段的 CRC·哈希链 → 损坏的尾部标记为「未记录」+「记录中断」注释。不填补中断区间
• 导出：默认 EDF+/BDF(24 位) 或 WFDB-FLAC，兼容用 ISHNE·DICOM Ambulatory(16 位)。正本块保持原样

趋势 DB 默认值

• 正本是 Holter 块内的 1 秒趋势记录。DB 损坏也可从块重建
• 查询用 SQLite (WAL, synchronous=FULL) — 1 秒表 + 1 分钟·5 分钟·1 小时汇总表
• 保存 1 年 (5~6 个参数 1 秒 2 B → 315~378 MB，计算)。窗口 30 min ~ 7 天
• 源自 SpO2 的指标标注「参考值·未校准」

7. 报警引擎 (IEC 60601-1-8 优先级)

• M7 AlarmCore：条件判定，优先级，闭锁，暂停定时器，报警音合成。若未收到设置，则按编译内置的默认限值运行
• A55 AlarmUI：视觉信号(颜色·闪烁·文字)，操作，报警日志，远程辅助通知。不做判定
• 视觉比对：M7 接收 HB_UI 中的「已显示报警 ID 列表」，若有效报警超过 2 s 未出现在屏幕上，则判为「显示故障」(高)
• 第 2 阶段：RM44L920 用相同输入独立判定，并与 M7 结果比对

优先级·信号 默认值

• 声音频率：主能量 500~1000 Hz，扬声器 + 合成波形 (考虑老年性听力损失，不单独使用 4 kHz 压电)
• 暂停默认 2 分钟，结束后自动恢复。技术报警非闭锁，生理报警按设置(默认闭锁)
• 不只靠颜色区分：填充 + 文字 + 图标 + 闪烁 + 声音

报警列表 (摘录) 默认值

心律失常分类结果不用于报警，仅供记录·参考。

8. 状态机

三个维度叠加：设备状态(S) × 各参数信号有效性 × 电源状态(P)。

设备状态 默认值

两条原则：不显示冻结的正常波形 · 即使主处理部崩溃，报警音依然存活。

电源状态 默认值

9. 启动自检 (POST) · 周期性测试

周期性测试 (测量中)：calib 行 = 内部测试信号兼作连续自诊断，幅度超出 ±2 % 则判为「AFE 增益异常」。电源·温度每隔数秒轮询空闲通道。

10. 云 · 安全 · 更新

云 — 离线存储后同步 默认值

• 先积存在发件箱(SQLite 队列)，连接后从积压最早的开始按顺序发送
• 实时通道：MQTT 5 QoS1，TLS 1.3 双向认证 — 只发状态·事件·1 分钟趋势·报警 (因消息大小限制不发送波形)
• 波形：1 小时分段文件断点续传上传。服务器确认哈希链后返回「接收确认」
• 删除：只删除已确认接收的，且在 14 天之后。未确认部分绝不自动删除
• 设备认证：每台设备 X.509，私钥存于安全芯片。服务器位于国内区域，首次设置时显示健康信息单独同意画面
• 监护人应用通知是不算作报警系统一部分的辅助通知。主机的声音·屏幕为第一位
• 防火墙：入站连接为 0。服务用本地端口仅在服务模式下开放

启动链 (AHAB)

Boot ROM ─(ELE 验证)─► 启动容器 [SM(M33) · U-Boot SPL · ATF · OP-TEE · U-Boot]
         U-Boot ─(AHAB 认证)─► M7 固件容器 (位于 A/B 槽内) → M7 启动 → 开始采集
         U-Boot ─(签名 FIT)──► 内核 + DTB + initramfs (A/B 槽) → rootfs dm-verity

将 M7 固件放在 A/B 槽中，与 Linux 作为一个包一起更新·一起回滚。代价是 M7 启动推迟到 U-Boot 阶段(数秒，计划实测)。i.MX 95 用 AHAB 签名流程·回滚计数器 未确认。

OTA (RAUC A/B，必须签名) 默认值

• 更新包 = rootfs + 内核 FIT + M7 固件 + 设置迁移脚本 = 1 个发布版本号
• 安装条件：未连接患者(全部电极导联脱落 + SpO2 传感器脱落) + 已连接 AC + Holter 会话已关闭 + 有权限人员确认。 测量中只下载
• 健康检查：新槽位启动 → POST 通过 + M7 HELLO 版本一致 + UI 首帧 → 标记为 good。失败 3 次 → 回到上一个槽位
• USB 离线更新也使用同样的签名更新包。签名验证之前不执行任何内容
• 数据保护：/data 加密，DDR 内联加密，通信 TLS 1.3

用户权限 默认值

安全设置(报警限值·最小音量·Paced)须在 M7 完成 CFG_SET → 回读确认后才算「已生效」。M7 按最后确认的值持续运行。

11. 软件等级划分 (IEC 62304) · 模块

划分依据：独立内核 + SM 的资源隔离(以 LM 为单位) + M7 不依赖 Linux 运行 + 外部窗口看门狗。该划分在标准上是否被认可需由检测机构判断，因此 未确认。

模块 (摘录)

信号处理代码(dsp/)用与硬件无关的 C 编写，也可在 PC 上构建，并通过回放公开心电数据库进行单元测试。即使更换 RTOS，代价也很小。

12. 开发顺序 · 实测清单 默认值

未决定事项：12 导联选配时 lead III 的处理(计算或 2 颗 AFE)，V1/V5 波形在屏幕上的位置。

13. 试验台固件 — ESP32-S3 + ADS1293 + 心率·血氧模块

这是与本产品(AFE159RP8 · AFE4490 · i.MX 95)不同的试验台专用构成。目的是先用市售模块确认信号路径·帧·接收画面。

接线 (ESP32-S3 N16R8)

避开的引脚：4·5·6·7·15(2.0" 屏幕) · 19·20(USB) · 43·44(UART0) · 26~32(闪存) · 33~37(OPI PSRAM) · 0·3·45·46(启动配置引脚) · 38·48(视电路板而定为 RGB LED)。

ADS1293 — lead I·II·III 全部直接测量

电极分配默认：RA→IN1，LA→IN2，LL→IN3，RL←IN4(RLD 输出)。由于模块插孔接线未确认，可用命令 e 更改 IN 编号。

主要寄存器

RL 脱落无法通过导联脱落检测到，因此另行输出 RLD 输出是否接近电源轨(RLDRAIL)。错误寄存器每 32 个样本读取一次，或在 ALARMB 位置位时立即读取。

采样率 (数据手册表 8，SDM 102.4 kHz，R1 = 4)

以 533 为默认是因为它最接近以 500 SPS 为基准的陷波设计(陷波系数需按 533.33 Hz 重新计算)。覆盖诊断带宽 150 Hz 的只有 853，监护带宽 40 Hz 三者都能覆盖。输入范围为 INA 差分 ±400 mV。

内置测试信号

VTEST 与 VREF 来自同一基准，因此不是增益校准，而是用于自检·确认通道间增益差。1 mV 校准信号(calib)由外部电池模拟器承担。

心率·血氧模块 (推测为 MAX30102，I2C 0x57)

• 仅在 PART_ID 为 0x15 时使用，否则视为「无」并输出合成脉搏波 (芯片是否为 MAX30102 未确认)
• SpO2 模式(红光+IR)，100 sps，18 位，每样本 6 字节。寄存器值以公开库定义为准，与原文数据手册的比对 未确认
• 不输出 SpO2 数值。 没有校准曲线。接收画面仅以「参考」显示 R 比值
• 这是反射式模块，仅用于波形路径测试。本产品为夹式透射探头 + AFE4490

串口协议

533 SPS × 16 B + 100 × 12 B ≈ 9.7 kB/s (853 SPS 时为 14.9 kB/s)。二进制帧 + 以 # 开头的文本行(信息·1 秒状态·警告)，也有 CSV 模式。

ECG 帧 16 B : A5 5A 'E' seq(u16 LE) CH1 CH2 CH3(u24, MSB 在前) flags crc8
PPG 帧 12 B : A5 5A 'P' seq(u16 LE) RED IR(u24)                 crc8
crc8 = 多项式 0x07, 初值 0, 从 'E'/'P' 到 flags

flags: 1 RA 脱落 · 2 LA 脱落 · 4 LL 脱落 · 8 RLD 电源轨 · 16 共模超范围
       32 输入超范围 · 64 合成 · 128 测试信号

CRC 计算部分摘录(固件与 PC 测试代码使用同一头文件)：

static inline uint8_t ekg_crc8(const uint8_t *p, size_t n) {   // 多项式 0x07, 初值 0
  uint8_t c = 0;
  for (size_t i = 0; i < n; i++) {
    c ^= p[i];
    for (int b = 0; b < 8; b++) c = (c & 0x80) ? (uint8_t)((c << 1) ^ 0x07) : (uint8_t)(c << 1);
  }
  return c;
}

码值 → 电压转换采用数据手册式 13：V = (ADC_OUT/ADCMAX − ½)·2·VREF/3.5。

合成信号以与 ADS1293 相同的 ADC 码值形式输出，因此接收端无需区分实测与合成(只有 flags 64 不同)。合成模型将肢体电位设为 φRA=0，φLA=I，φLL=II，并以电位差重新计算导联，因此 III = II − I 按定义成立。电轴 50° 是合成用的任意值。

接收·显示脚本 (PC · 树莓派通用)

• 无损保存接收到的全部字节(raw) + ECG·PPG CSV + 日志
• 画面：白色背景，I · II · III · 残差 II−(I+III) · 脉搏波红光 · 脉搏波 IR。标题中显示心率(简单阈值法) · R 比值 · fs · 中断 · 报警
• 有将保存文件重新解开进行检查的回放·检查模式

安全 — 接触人体之前

测试顺序

④ 之前必须经过 ②·③。若在 ② 中出现 DRDYB 警告(怀疑无晶振)，就在此停止。

14. 试验台验证结果 (2026-10-11)

剩余未确认事项 (器件到货后确认)

1. ADS1293 模块的电源构成(VDD·VDDIO)，有无 4.096 MHz 晶振，插孔引脚分配，输入保护·RLD 器件值
2. 将一个输入引脚同时接到 CH1 + 和 CH3 − 是否允许 (以残差判定)
3. 传感器模块是否为 MAX30102，红光·IR 是否调换
4. 与 MAX30102 原文数据手册比对
5. ESP32-S3 板的 RGB LED 引脚，USB 端口方式
6. 导联脱落 8 nA 在电缆电容下需要几秒做出响应
7. 医疗标准中电极 DC 电流限值的数值