ENS体外程控仪蓝牙通信指令集

文档信息

• 源文档：体外程控仪蓝牙通信协议规范.docx
• 版本：V1.0
• 生成日期：2026-04-23

一、帧格式定义

所有指令均采用统一帧格式：

帧长度约束：
- 最小帧长度：11字节（无Payload）
- 最大帧长度：247字节（Payload最大236字节）
- 字节序：全部多字节字段采用大端序
- 数据域：小端序

1.1 加密机制说明

加密模式：

模式0：未加密（0x00）

• 数据域明文传输
• 仅用于非敏感指令（如心跳、设备信息查询等）

模式1：AES对称加密（0x01）

• 算法： AES-128-CBC
• 密钥： 会话密钥（Session Key），在握手阶段协商生成
• IV（初始化向量）： 使用帧序号派生，IV = SHA-256(SessionKey || FrameSeq)[0:15]
• 加密范围： 仅加密数据域（Payload）
• 填充： PKCS#7填充至16字节对齐
• 适用场景： 常规刺激参数、配置数据等

模式2：混合加密（0x02）

• 非对称加密： RSA-2048（用于密钥交换）
• 对称加密： AES-256-GCM（用于数据加密）
• 流程：
  
  1. 程控仪生成随机AES-256会话密钥
  2. 使用IPG的RSA公钥加密会话密钥
  3. 使用AES-256-GCM加密数据域
  4. 数据域格式：[加密的会话密钥(256字节)] + [GCM认证标签(16字节)] + [加密数据]
• 适用场景： 敏感指令（OTA升级、认证数据、密钥更新等）

加密数据域格式（模式2）：

密钥管理：
- RSA密钥对： IPG出厂时预置，公钥可通过安全通道读取
- 会话密钥： 每次连接握手时协商生成，有效期30分钟
- 密钥派生： 使用HKDF-SHA256从主密钥派生会话密钥
- 密钥更新： 会话密钥每传输10000帧或30分钟后自动更新

安全约束：
- 刺激参数类指令（0x002x）必须使用加密模式1或2
- OTA升级类指令（0x005x）必须使用加密模式2
- 认证类指令（0x00xx）必须使用加密模式2
- 心跳、状态查询等非敏感指令可使用模式0

二、完整指令集

2.1 连接与认证类指令（0x00xx）

0x0001 - 握手请求（Handshake Request）

方向： 程控仪 → IPG
功能： 连接建立后由程控仪发起握手
Payload格式：

Payload长度： 16字节

0x0002 - 握手响应（Handshake Response）

方向： IPG → 程控仪
功能： IPG收到握手请求后回复
Payload格式：

Payload长度： 20字节

0x0003 - 身份认证（Authentication）

方向： 程控仪 → IPG
功能： 基于Challenge-Response机制的应用层身份认证
Payload格式：

Payload长度： 16字节

0x0004 - 认证结果（Auth Result）

方向： IPG → 程控仪
功能： IPG回复认证结果
Payload格式：

Payload长度： 1字节

0x00FF - 心跳（Heartbeat / Keep-Alive）

方向： 双向
功能： 连接保活心跳包，默认间隔5秒
Payload格式：

Payload长度： 4字节
说明： 超过3次心跳无响应应判定连接异常

2.2 设备信息类指令（0x001x）

0x0010 - 读取设备信息（Read Device Info）

方向： 程控仪 → IPG
功能： 请求IPG上报完整设备信息
Payload格式：

Payload长度： 0字节

0x0011 - 设备信息响应（Device Info Response）

方向： IPG → 程控仪
功能： 响应0x0010命令，返回完整设备信息
Payload格式：

Payload长度： 可变（典型值60-100字节）

0x0012 - 读取电池状态（Read Battery Status）

方向： 程控仪 → IPG
功能： 请求IPG上报当前电池电量及健康状态
Payload格式：

Payload长度： 0字节

0x0013 - 电池状态响应（Battery Status Response）

方向： IPG → 程控仪
功能： 响应0x0011命令，返回电池状态
Payload格式：

Payload长度： 12字节

电池状态标志：
- 0x00：正常
- 0x01：低电量警告（<20%）
- 0x02：极低电量（<10%）
- 0x03：电池老化
- 0x04：电池故障
- 0xFF：未知状态

2.3 刺激模式与参数类指令（0x002x）

0x0020 - 设置刺激模式（Set Stimulation Mode）

方向： 程控仪 → IPG
功能： 设置目标刺激模式
Payload格式：

Payload长度： 1字节

0x0021 - 写入常规刺激参数（Write Normal Stim Params）

方向： 程控仪 → IPG
功能： 下发常规（Tonic）模式刺激参数
Payload格式：

Payload长度： 23字节

0x0022 - 写入Burst刺激参数（Write Burst Stim Params）

方向： 程控仪 → IPG
功能： 下发Burst模式刺激参数
Payload格式：

Payload长度： 25字节

0x0023 - 写入高频刺激参数（Write HF Stim Params）

方向： 程控仪 → IPG
功能： 下发高频（10 kHz）模式刺激参数
Payload格式：

Payload长度： 19字节

2.4 刺激控制类指令（0x003x）

0x0030 - 启动刺激（Start Stimulation）

方向： 程控仪 → IPG
功能： 启动当前已配置模式的刺激输出
Payload格式：

Payload长度： 1字节
说明： IPG应先校验指定程序组的参数完整性后再执行

0x0031 - 刺激启动响应（Start Stimulation Response）

方向： IPG → 程控仪
功能： 响应0x0030命令，返回启动结果
Payload格式：

Payload长度： 8字节

0x0032 - 停止刺激（Stop Stimulation）

方向： 程控仪 → IPG
功能： 正常停止刺激输出
Payload格式：

Payload长度： 1字节
说明： IPG按配置的斜坡时间逐步降低输出后停止

0x0033 - 刺激停止响应（Stop Stimulation Response）

方向： IPG → 程控仪
功能： 响应0x0031命令，返回停止结果
Payload格式：

Payload长度： 8字节

0x0034 - 紧急停止（Emergency Stop）

方向： 程控仪 → IPG
功能： 紧急立即停止全部刺激输出
Payload格式： 无

Payload长度： 1字节
说明：
- 无斜坡过程，立即停止
- 此命令同时通过GATT特征0xFFF4冗余下发
- IPG须在50 ms内停止输出
- 最高优先级命令
- 程序组编号为0xFF时，停止所有正在运行的程序组

0x0035 - 紧急停止响应（Emergency Stop Response）

方向： IPG → 程控仪
功能： 响应0x0032命令，返回紧急停止结果
Payload格式：

Payload长度： 8字节
说明： 紧急停止响应为可选，IPG可不返回响应以确保最快停止速度

2.5 阻抗测量类指令（0x004x）

0x0040 - 全阻抗测量请求（Full Impedance Measurement）

方向： 程控仪 → IPG
功能： 发起全阻抗测量，对所有已设置电极通道进行逐一阻抗检测
Payload格式：

Payload长度： 4字节
说明：
- 测量脉宽：固定80 µs
- 测量频率：固定100 Hz
- 正常范围：100-10000 Ω
- <100 Ω提示"电极短路"
- >10000 Ω提示"电极故障"

0x0041 - 全阻抗测量结果（Full Impedance Result）

方向： IPG → 程控仪
功能： 返回各通道阻抗值及状态标志
Payload格式：

Payload长度： 1 + N×6 字节（N为通道数）

通道状态标志：
- 0x00：正常（100 Ω ≤ Z ≤ 10000 Ω）
- 0x01：电极短路（Z < 100 Ω）
- 0x02：电极故障/开路（Z > 10000 Ω）
- 0x03：测量超时
- 0xFF：测量失败（未知错误）

0x0042 - 程序组阻抗测量请求（Program Group Impedance）

方向： 程控仪 → IPG
功能： 发起指定程序组的阻抗测量
Payload格式：

Payload长度： 2字节
说明： 测量参数继承程序组中已设定的刺激参数

0x0043 - 程序组阻抗测量结果（Program Group Impedance Result）

方向： IPG → 程控仪
功能： 返回程序组各电极阻抗值及状态标志
Payload格式：

Payload长度： 8 + N×6 字节（N为通道数）

通道状态标志：
- 0x00：正常（100 Ω ≤ Z ≤ 10000 Ω）
- 0x01：电极短路（Z < 100 Ω）
- 0x02：电极故障/开路（Z > 10000 Ω）
- 0x03：测量超时
- 0xFF：测量失败（未知错误）

示例：
程序组3，使用幅度1.0 mA、脉宽200 µs、频率50 Hz，测量3个通道：
- E0: 1250 Ω，正常
- E1: 1180 Ω，正常
- E8: 1320 Ω，正常

Payload（十六进制）：
03                      - 程序组编号3
00 64                   - 测量幅度100（1.0 mA）
00 C8                   - 测量脉宽200 µs
01 F4                   - 测量频率500（50.0 Hz）
03                      - 通道数量3
01 00 00 04 E2 00      - E0: 1250 Ω, 正常
02 00 00 04 9C 00      - E1: 1180 Ω, 正常
09 00 00 05 28 00      - E8: 1320 Ω, 正常

2.6 OTA升级类指令（0x005x）

0x0050 - 进入OTA模式（Enter OTA Mode）

方向： 程控仪 → IPG
功能： 请求IPG进入OTA升级模式
Payload格式：

Payload长度： 40字节

0x0051 - OTA数据传输（OTA Data Transfer）

方向： 程控仪 → IPG
功能： 传输OTA固件数据块
Payload格式：

Payload长度： 2 + N 字节（N≤234）

0x0052 - OTA校验确认（OTA Verify）

方向： 程控仪 → IPG
功能： 全部数据块传输完成后，请求IPG执行完整性校验
Payload格式：

Payload长度： 0字节
说明： IPG执行SHA-256比对，通过后切换固件分区

0x0053 - OTA校验确认响应（OTA Verify Response）

方向： IPG → 程控仪
功能： 响应0x0052命令，返回校验结果
Payload格式：

Payload长度： 41字节

说明：
- 若结果码为0x00，IPG将在返回响应后执行固件切换和重启
- 若结果码为0x0501（校验失败），计算SHA-256字段包含IPG实际计算的值，供程控仪对比分析
- 重启后BLE连接将断开，程控仪需等待IPG重新广播并重新连接

0x0054 - OTA进度通知（OTA Progress Notification）

方向： IPG → 程控仪
功能： OTA传输过程中，IPG主动上报传输进度
Payload格式：

Payload长度： 9字节
说明： IPG每接收16个块或每5秒主动发送一次进度通知

2.7 参数读取类指令（0x006x）

0x0060 - 读取当前参数（Read Current Params）

方向： 程控仪 → IPG
功能： 读回IPG当前生效的刺激参数
Payload格式：

Payload长度： 0字节
说明： 用于程控仪侧参数比对验证

0x0061 - 读取当前参数响应（Read Current Params Response）

方向： IPG → 程控仪
功能： 响应0x0060命令，返回当前生效的刺激参数
Payload格式：

Payload长度： 28字节

说明：
- 若当前模式为0x00（关闭）或参数有效标志为0x00，参数数据字段全部填充0x00
- 参数校验和仅针对参数数据字段（偏移2-21）计算
- 程控仪应将读回的参数与下发的参数逐字节比对，确保一致性

示例：
当前模式为常规模式，参数为：频率50.0 Hz，脉宽200 µs，幅值5.00 mA

Payload（十六进制）：
01                      - 当前模式：常规
01                      - 参数有效标志：有效
01 F4 00 C8 01 F4       - 频率、脉宽、幅值
01 00 00 03             - 电极配置
03 E8                   - 斜坡时间
00 00 00 00             - 刺激时长
00 00 00 00             - 保留
66 1A 2B 3C             - 参数设置时间戳
A5 7F                   - 参数校验和

0x0062 - 参数变更通知（Param Change Notification）

方向： IPG → 程控仪
功能： IPG检测到刺激参数变更时主动通知程控仪
Payload格式：

说明： 如安全限幅触发时使用

0x0063 - 读取刺激历史（Read Stimulation History）

方向： 程控仪 → IPG
功能： 读取历史刺激记录摘要
Payload格式：

Payload长度： 4字节

0x0064 - 刺激历史响应（Stimulation History Response）

方向： IPG → 程控仪
功能： 返回历史刺激记录
Payload格式：

Payload长度： 3 + N×12 字节（N为返回记录数）

0x0065 - 启动信号采集（Start Signal Acquisition）

方向： 程控仪 → IPG
功能： 启动生理信号采集
Payload格式：

Payload长度： 8字节

滤波模式：
- 0x00：无滤波
- 0x01：50Hz陷波（工频滤波）
- 0x02：60Hz陷波
- 0x03：带通滤波（0.5-100Hz）
- 0x04：高通滤波（>0.5Hz）

0x0066 - 信号采集数据（Signal Acquisition Data）

方向： IPG → 程控仪
功能： 返回采集的生理信号数据
Payload格式：

Payload长度： 8 + N×2 字节（N为数据点数，最大108字节）

说明：
- IPG按配置的采样率持续采集并分包上报
- 每包最多包含50个数据点
- 数据为有符号16位整数，范围-32768至+32767 µV
- 程控仪需根据时间戳重建完整信号序列

0x0067 - 停止信号采集（Stop Signal Acquisition）

方向： 程控仪 → IPG
功能： 停止正在进行的信号采集
Payload格式：

Payload长度： 1字节

说明：
- 采集通道为0xFF时，停止所有正在运行的采集通道
- IPG收到命令后立即停止数据采集和上报

2.8 定时治疗类指令（0x007x）

0x0070 - 写入定时治疗方案（Write Timed Therapy）

方向： 程控仪 → IPG
功能： 下发完整的定时治疗方案配置（1-16个方案）
Payload格式：

Payload长度： 1 + N×4 字节（N为方案数，最大33字节）
说明：
- 时刻编码：0=0:00，1=0:30，47=23:30，48=24:00
- 开启时刻须在停止时刻之前
- 各方案时间段不得重叠

0x0071 - 读取定时治疗方案（Read Timed Therapy）

方向： 程控仪 → IPG
功能： 读取IPG当前存储的定时治疗方案
Payload格式：

Payload长度： 0字节

0x0072 - 定时治疗方案响应（Timed Therapy Response）

方向： IPG → 程控仪
功能： 返回当前定时治疗方案配置
Payload格式： 与0x0070相同

0x0073 - 使能/禁用定时治疗（Enable/Disable Timed Therapy）

方向： 程控仪 → IPG
功能： 使能或禁用定时治疗功能
Payload格式：

Payload长度： 2字节
说明： 定时治疗与持续性治疗互斥，定时治疗优先级更高

0x0074 - 定时治疗状态通知（Timed Therapy Status）

方向： IPG → 程控仪
功能： IPG主动通知当前定时治疗执行状态
Payload格式：

Payload长度： 6字节

执行状态标志：
- 0x00：空闲/等待下一个方案
- 0x01：方案执行中（刺激输出中）
- 0x02：方案斜坡上升中
- 0x03：方案斜坡下降中
- 0x04：方案已完成，切换中
- 0x05：定时治疗已禁用
- 0x10：错误-绑定的程序组无效
- 0x11：错误-方案时间冲突

三、GATT服务与特征定义

3.1 刺激控制服务（Stimulation Control Service）

Service UUID： 0xFFF0（128位：0000FFF0-0000-1000-8000-00805F9B34FB）

刺激状态通知格式（0xFFF3）：
- Byte 0：状态码（0x00=空闲，0x01=刺激中，0x02=斜坡上升，0x03=斜坡下降，0xFF=故障）
- Byte 1-3：附加信息

3.2 设备信息服务（Device Information Service）

Service UUID： 0x180A（Bluetooth SIG标准服务）

3.3 电池服务（Battery Service）

Service UUID： 0x180F（Bluetooth SIG标准服务）

说明：
- 电量<20%时主动Notification告警
- 电量<10%时上报紧急低电量状态

3.4 OTA升级服务（OTA Update Service）

Service UUID： 0xFFE0（128位：0000FFE0-0000-1000-8000-00805F9B34FB）

3.5 日志服务（Log / Telemetry Service）

Service UUID： 0xFFD0（128位：0000FFD0-0000-1000-8000-00805F9B34FB）

事件日志格式（0xFFD3）：
- 事件码：2字节
- 时间戳：4字节
- 附加数据：可变长度

四、错误码定义

4.1 通信错误（0x01xx）

4.2 认证错误（0x02xx）

4.3 参数错误（0x03xx）

4.4 设备错误（0x04xx）

4.5 OTA错误（0x05xx）

五、安全约束与校验规则

5.1 安全关键约束

5.2 参数范围汇总

六、通用响应指令

0x00F0 - 通用ACK响应（Generic ACK）

方向： IPG → 程控仪
功能： 对任何命令的成功确认响应
Payload格式：

Payload长度： 7字节

0x00F1 - 通用NACK响应（Generic NACK）

方向： IPG → 程控仪
功能： 对任何命令的失败/错误响应
Payload格式：

Payload长度： 12字节

错误参数说明：
- 对于参数错误（0x03xx），错误参数字段包含：
- Byte 0-1：错误参数的偏移位置
- Byte 2-3：错误参数的实际值
- 对于其他错误，错误参数字段为0x00000000

七、电极编号映射表

IPG支持最多16个电极触点（E0-E15），电极配置字段（uint32）中：
- 高16位：阳极配置
- 低16位：阴极配置

示例：
- 阴极设为E0+E1，阳极设为E8
- 阳极高16位 = 0x0100（Bit 24）
- 阴极低16位 = 0x0003（Bit 0 + Bit 1）
- uint32值 = 0x01000003

八、报文示例

示例1：读取设备信息请求与响应

请求（0x0010）：

AA 55 01 00 05 00 10 00 00 C2 1A

响应（0x0011）：

AA 55 01 00 06 00 11 00 3C
1B                                          - 制造商名称长度27
E4 B8 8A E6 B5 B7 E8 84 91 E7 8E 91 ...    - "上海脑玑医疗科技有限公司"（UTF-8）
0D                                          - 型号长度13
53 43 53 2D 49 50 47 2D 58 31 30 30        - "SCS-IPG-X100"
0D                                          - 序列号长度13
32 30 32 36 30 34 32 32 30 30 30 30 31     - "2026042200001"
0A                                          - 固件版本长度10
46 57 5F 76 31 2E 30 2E 30                 - "FW_v1.0.0"
08                                          - 硬件版本长度8
48 57 5F 76 31 2E 30                       - "HW_v1.0"
08                                          - 软件版本长度8
53 57 5F 76 31 2E 30                       - "SW_v1.0"
01 02 03 04 05 06 07 08                    - System ID
A3 4F                                       - CRC16

示例2：读取当前参数请求与响应

请求（0x0060）：

AA 55 01 00 10 00 60 00 00 8F 2D

响应（0x0061）：

AA 55 01 00 11 00 61 00 1C
01                                          - 当前模式：常规
01                                          - 参数有效标志：有效
01 F4 00 C8 01 F4 01 00 00 03 03 E8        - 参数数据（20字节）
00 00 00 00 00 00 00 00
66 1A 2B 3C                                 - 参数设置时间戳
A5 7F                                       - 参数校验和
D2 8E                                       - CRC16

示例3：程序组阻抗测量请求与响应

请求（0x0042）：

AA 55 01 00 15 00 42 00 02
03                                          - 程序组编号3
00                                          - 保留
7B 9A                                       - CRC16

响应（0x0043）：

AA 55 01 00 16 00 43 00 1A
03                                          - 程序组编号3
00 64                                       - 测量幅度100（1.0 mA）
00 C8                                       - 测量脉宽200 µs
01 F4                                       - 测量频率500（50.0 Hz）
03                                          - 通道数量3
01 00 00 04 E2 00                          - E0: 1250 Ω, 正常
02 00 00 04 9C 00                          - E1: 1180 Ω, 正常
09 00 00 05 28 00                          - E8: 1320 Ω, 正常
C5 3F                                       - CRC16

示例4：OTA校验确认请求与响应

请求（0x0052）：

AA 55 01 00 20 00 52 00 00 4E 7B

响应（0x0053）：

AA 55 01 00 21 00 53 00 29
00                                          - 结果码：成功
01 2C                                       - 接收块总数300
A3 5F 7D 9E ... (32字节)                   - 计算SHA-256
00 01 E2 40                                 - 固件大小123456字节
00 0A                                       - 预计重启时间10秒
F8 A2                                       - CRC16

示例5：常规刺激参数写入示例

场景： 频率50.0 Hz，脉宽200 µs，幅值5.00 mA，电极配置阴极E0+E1阳极E8，斜坡时间1000 ms，持续刺激

完整报文（十六进制）：
AA 55 01 00 0A 00 21 00 14 01 F4 00 C8 01 F4 01 00 00 03 03 E8 00 00 00 00 00 00 00 00 3A 7F
字段解析：
AA 55          - 帧头
01             - 协议版本
00 0A          - 帧序号（第10帧）
00 21          - 命令码（写入常规刺激参数）
00 14          - 数据长度（20字节）
01 F4          - 频率（500 → 50.0 Hz）
00 C8          - 脉宽（200 µs）
01 F4          - 幅值（500 → 5.00 mA）
01 00 00 03    - 电极配置（阳极E8，阴极E0+E1）
03 E8          - 斜坡时间（1000 ms）
00 00 00 00    - 刺激时长（0 = 持续刺激）
00 00 00 00    - 保留（全零）
3A 7F          - CRC16校验值

示例6：Burst刺激参数写入示例

场景： 簇内频率500.0 Hz，簇间频率40.0 Hz，5脉冲/Burst，脉宽300 µs，幅值3.50 mA

完整报文（十六进制）：
AA 55 01 00 0B 00 22 00 14 13 88 01 90 05 01 2C 01 5E 01 00 00 03 01 F4 00 00 00 00 00 B2 4D

示例7：高频刺激参数写入示例

场景： 频率10000 Hz，脉宽30 µs，幅值2.00 mA，占空比50%，周期60 s

完整报文（十六进制）：
AA 55 01 00 0C 00 23 00 14 27 10 00 1E 00 C8 01 00 00 03 32 00 3C 00 00 00 00 00 00 00 C5 E1

示例8：紧急停止命令示例

场景： 紧急停止，无Payload

完整报文（十六进制）：
AA 55 01 00 0D 00 32 00 00 8E 27
字段解析：
AA 55          - 帧头
01             - 协议版本
00 0D          - 帧序号（第13帧）
00 32          - 命令码（紧急停止）
00 00          - 数据长度（0字节）
8E 27          - CRC16校验值
总长度：11字节（最小帧）

九、CRC-16/CCITT 计算说明

算法参数：
- 算法名称：CRC-16/CCITT-FALSE
- 生成多项式：0x1021
- 初始值：0xFFFF
- 输入反转：否
- 输出反转：否
- 最终异或值：0x0000
- 校验范围：从帧头到数据域末尾，不含CRC字段本身

伪代码：

FUNCTION crc16_ccitt(data: BYTE[], length: INTEGER) -> UINT16
    crc ← 0xFFFF
    FOR i ← 0 TO length - 1
        crc ← crc XOR (data[i] LEFT_SHIFT 8)
        FOR j ← 0 TO 7
            IF (crc AND 0x8000) ≠ 0 THEN
                crc ← (crc LEFT_SHIFT 1) XOR 0x1021
            ELSE
                crc ← crc LEFT_SHIFT 1
            END IF
        END FOR
        crc ← crc AND 0xFFFF
    END FOR
    RETURN crc
END FUNCTION

十、通信交互序列

10.1 连接建立序列

1. 程控仪启动BLE扫描（Active Scan模式，过滤"SCS-IPG-"前缀，超时30秒）
2. 发现目标IPG（确认RSSI ≥ -70 dBm）
3. 发起BLE连接（Connection Interval=15 ms，Supervision Timeout=2000 ms）
4. MTU协商（请求MTU=247字节，超时5秒）
5. GATT服务发现（验证全部必须服务，超时10秒）
6. CCCD使能（使能Notification/Indication）
7. 握手请求（0x0001，超时3秒）
8. 握手响应（0x0002）
9. 身份认证（0x0003，超时3秒）
10. 认证结果（0x0004）
11. 连接就绪（启动心跳机制，每5秒）

10.2 刺激参数下发序列

1. 设置刺激模式（0x0020，等待ACK，超时3秒）
2. 写入刺激参数（0x0021/0x0022/0x0023）
3. IPG参数校验（范围、电荷密度、组合兼容性、保留字段）
4. 返回ACK/NACK（超时3秒）
5. 读回确认（0x0060）
6. 比对验证（逐字节比对）

10.3 刺激启停序列

正常启动：
1. 发送启动命令（0x0030）
2. IPG执行前检查（电池、阻抗、温度、参数）
3. 斜坡上升阶段（状态0x02）
4. 稳态刺激阶段（状态0x01）

正常停止：
1. 发送停止命令（0x0031）
2. 斜坡下降阶段（状态0x03）
3. 刺激停止（状态0x00）

紧急停止：
1. 双通道下发（0x0032 + GATT特征0xFFF4）
2. 立即停止（50 ms内）
3. 状态上报（状态0x00 + 事件日志）

10.4 OTA升级序列

1. 进入OTA模式（0x0050，携带版本、大小、SHA-256）
2. 数据块传输（0x0051，每N个块返回ACK）
3. 校验确认（0x0052，IPG执行SHA-256校验）
4. 固件切换与重启（标记Active Bank，软重启）
5. 回滚机制（启动失败时自动回滚）

10.5 异常断连处理

1. 检测断连（Supervision Timeout=2000 ms）
2. 维持当前刺激（安全延续窗口，默认30秒）
3. 斜坡下降停止（窗口到期后）
4. 恢复广播（初始20 ms，60秒后切换为100 ms）
5. 重连与状态恢复（上报断连期间事件日志）

十一、BLE连接参数

十二、安全机制

12.1 BLE链路层安全

• LE Secure Connections (LESC)：必须使用BLE 4.2+ LESC配对机制
• 配对方式：Numeric Comparison（数字比较）模式，提供MITM保护
• AES-128-CCM加密：所有BLE链路层PDU均使用AES-128-CCM模式加密
• Bonding（绑定）：必须启用，IPG最多存储3组Bond信息
• 设备白名单：IPG维护已授权程控仪的白名单

12.2 应用层安全

• Challenge-Response认证：使用预共享密钥和双方Nonce计算认证码
• 会话令牌：认证成功后生成4字节会话令牌，有效期30分钟
• 序列号防重放：帧序号严格递增，低于当前窗口的帧序号被丢弃
• IPG端独立参数校验：不依赖程控仪端的校验结果
• 看门狗定时器：默认15秒，未收到有效帧则启动断连保护流程

12.3 OTA安全

• 双Bank（A/B分区）：OTA数据写入非活跃分区，失败时自动回滚
• SHA-256完整性校验：IPG独立计算SHA-256并比对
• 固件签名验证：使用ECDSA P-256签名，IPG验证签名有效性
• 版本回退防护：仅接受版本号高于当前版本的固件

十三、注意事项

1. 双重校验机制：所有参数校验规则应在程控仪App端和IPG固件端双重执行
2. 紧急停止优先级：紧急停止命令为最高优先级，IPG应在任何状态下均能响应
3. 电荷密度约束：为最高优先级安全约束，IPG必须独立校验
4. 定时治疗互斥：定时治疗与持续性治疗互斥，定时治疗优先级更高
5. 安全延续窗口：默认30秒，仅允许通过临床医生级别权限设置
6. 通信距离：有效通信距离≤1.5 m，RSSI<-70 dBm提示信号弱，<-80 dBm断开连接
7. 单一连接策略：IPG在任意时刻仅允许与一台程控仪建立BLE连接

文档结束