當(dāng)今的嵌入式系統(tǒng)常常處理應(yīng)用代碼（IP）和數(shù)據(jù)等敏感信息，因此安全是其設(shè)計(jì)的一個(gè)主要關(guān)注因素。為了確立一個(gè)合理的基礎(chǔ)來(lái)判斷建議的安全系統(tǒng)是否足以御敵或是防衛(wèi)過(guò)當(dāng)，就必須識(shí)別所察覺(jué)到的安全威脅。這意味著我們需要弄清對(duì)手有哪些，他們有什么樣的能力，他們的目標(biāo)是什么？我們要保護(hù)什么，我們要防范誰(shuí)的威脅或什么威脅？世界上并沒(méi)有一個(gè)包打天下的解決方案，也沒(méi)有百分之百安全的安全系統(tǒng)。然而，安全系統(tǒng)不必是完美無(wú)缺的解決方案，也不需要全然牢不可破以至于失去應(yīng)用價(jià)值。安全系統(tǒng)只要足夠安全即可，也就是在它所保護(hù)的數(shù)據(jù)的預(yù)期有效時(shí)間內(nèi)，它能夠抵御可能的敵人進(jìn)攻即可。
　　若沒(méi)有應(yīng)用環(huán)境，安全就沒(méi)有意義
　　嵌入式系統(tǒng)設(shè)計(jì)師經(jīng)常誤解安全，認(rèn)為諸如特定的加密算法和安全協(xié)議等安全措施只是系統(tǒng)的附加特性。安全是一個(gè)過(guò)程，而不是永遠(yuǎn)保持不變的一款產(chǎn)品或一種終極狀態(tài)。而且，也不能在產(chǎn)品將永遠(yuǎn)保持安全的假設(shè)下，把安全措施簡(jiǎn)單地加入到一款產(chǎn)品中。當(dāng)今設(shè)計(jì)師面臨的最棘手難題之一就是明確嵌入式系統(tǒng)的安全要求和目標(biāo)。有助于解決這一難題的方法很多，本文所討論的方法涉及威脅建模和風(fēng)險(xiǎn)評(píng)估，目的是幫助設(shè)計(jì)師定義安全策略，然后設(shè)計(jì)對(duì)策來(lái)實(shí)施安全策略。
　　安全設(shè)計(jì)——在設(shè)計(jì)的初始階段檢測(cè)威脅
　　在設(shè)計(jì)安全解決方案的時(shí)候，首先必須做的就是定義一個(gè)威脅模型，然后再創(chuàng)建安全策略。一旦評(píng)估完成，就能安心地選擇具體的技術(shù)來(lái)實(shí)現(xiàn)安全對(duì)策。威脅決定應(yīng)對(duì)策略，策略決定設(shè)計(jì)。參見(jiàn)圖1
　　
　　圖1設(shè)計(jì)安全方案需要（1）定義一個(gè)威脅模型，（2）創(chuàng)建一個(gè)安全策略。
　　許多設(shè)計(jì)師都會(huì)犯同一個(gè)錯(cuò)誤，在設(shè)計(jì)安全系統(tǒng)時(shí)沒(méi)有首先明確和了解可能遇到的真正威脅，以及這些威脅會(huì)給他們的終端產(chǎn)品帶來(lái)的重大風(fēng)險(xiǎn)。相反，他們教條地把各類安全技術(shù)堆在一起，并希望能獲得很高的安全性。這樣做代價(jià)高昂，沒(méi)有系統(tǒng)能防御所有的安全威脅，在設(shè)計(jì)中囊括那些沒(méi)有必要的技術(shù)和防御沒(méi)有實(shí)際威脅的風(fēng)險(xiǎn)毫無(wú)意義。
　　威脅建模——價(jià)值意味著風(fēng)險(xiǎn)
　　對(duì)于資源受限的設(shè)備，嵌入式系統(tǒng)必須在存儲(chǔ)容量、功耗、處理能力、上市時(shí)間及成本等參數(shù)和安全需求之間獲取一種平衡。盡管存在資源不足的挑戰(zhàn)，通過(guò)仔細(xì)考慮威脅模型并設(shè)計(jì)系統(tǒng)使其工作在能滿足該模型的可用計(jì)算能力限制之內(nèi)，仍有可能開(kāi)發(fā)出使產(chǎn)品在開(kāi)放環(huán)境中有效工作的系統(tǒng)。
　　對(duì)系統(tǒng)設(shè)計(jì)師來(lái)說(shuō)，考慮“威脅建模”的原理非常有用。威脅建模是基于一種假設(shè)，即每個(gè)系統(tǒng)都有值得保護(hù)的固有價(jià)值。然而，因?yàn)檫@些系統(tǒng)是有價(jià)值的，他們對(duì)內(nèi)部或外部威脅也是開(kāi)放的，這些威脅能夠且經(jīng)常給終端產(chǎn)品帶來(lái)?yè)p害。設(shè)計(jì)完成后的安全漏洞常常是無(wú)法修正的，且危及投入的資金和開(kāi)發(fā)資源，因此需要在設(shè)計(jì)周期的初始階段增強(qiáng)對(duì)安全評(píng)估的需求，并在整個(gè)設(shè)計(jì)周期進(jìn)行監(jiān)測(cè)和重復(fù)修正。
　　本質(zhì)上，我們可以把威脅模型定義為：“識(shí)別一組可能的攻擊，以便考慮配合一套徹底的風(fēng)險(xiǎn)評(píng)估策略。”有了威脅模型，我們就能評(píng)估攻擊的概率、潛在危害和優(yōu)先級(jí)。