微控制器MCU（Microcontroller Unit,MCU）广泛应用在消费电子、汽车电子和工业控制等领域。随着万物互联时代的来临,MCU作为智能终端核心控制器件,在迎来巨大发展契机的同时,其安全性也面临着巨大的挑战。动态异构冗余DHR（Dynamic Heterogeneous Redundancy,DHR）结构是一种具有内生安全特性的系统体系架构,将因器件自身故障引起和因外界攻击造成的系统错误统一定义为“广义扰动”,将功能安全（Safety）问题与信息安全（Security）问题统一为“广义鲁棒性”问题。本文将安全MCU的系统设计与DHR结构相融合,构建基于动态异构冗余结构的DHR-MCU系统架构,并对若干关键问题展开研究,主要内容包括:1)DHR-MCU的系统架构设计。首先采用马尔可夫链对同构和异构两种冗余结构进行建模和仿真,分析结果发现适当增大异构执行体之间的异构度,提升各执行体的失效率差值,可以降低系统的整体故障率。其次分别对普通攻击和关联攻击下的系统攻击恢复能力进行建模和仿真分析,发现四冗余结构相对于三冗余结构具有更好的稳态安全特性。最后依据典型DHR结构,给出一种四冗余度异构MCU系统架构。该架构由四个异构MCU构成的冗余控制决策系统和集成化的调度裁决器组成,与基于典型DHR结构的三冗余度系统架构相比,不仅更加简洁清晰便于部署,而且在关联攻击条件下稳态安全概率最大可提升56.76%。2)DHR-MCU的异构执行体输出一致性研究。DHR-MCU体系架构中的各异构MCU需要响应相同的输入并分别将结果输出至调度裁决器,由此带来了输出数据的同步问题。遵循DHR结构中异构执行体的独立工作原则,在对现有分布式共识算法及其它相关研究基础分析的基础上,提出一种固定领导者分布式共识算法FLDCA（Fixed Leader Distributed Algorithm,FLDCA）。该算法将基于相对时间的异构体程序状态同步和基于密源归一化的加密数据一致机制融为一体,分别运行于调度裁决器和各异构MCU中,在协调异构MCU之间的状态同步与数据一致的同时避免串联式连锁攻击。对比实验结果显示,FLDCA在其它同步算法失效的情况下仍然可以维持程序进程状态,并能实现加密登录。3)DHR-MCU的调度裁决器设计。调度裁决器需要完成异构MCU输入/输出信息的处理、以及比对裁决、清洗调度等功能,还要运行FLDCA算法,其性能直接决定了DHRMCU的系统品质。通过分析现有DHR实现结构中调度裁决器（或对应功能部件）的设计方法和缺陷,提出调度裁决器设计的安全性、高效性和灵活性原则,并通过对理想构建方案的逐层分析简化,提出一种软硬件结合的适用于DHR-MCU架构的调度裁决器实现方案,在确保调度裁决器自身安全可靠的同时,兼顾灵活高效的DHR-MCU系统整体需求。4)DHR-MCU的验证环境构建和测试研究。基于DHR-MCU系统架构及软硬件实现机制,设计开发了DHR-MCU原型验证平台和测试环境。根据提出的测试方案,针对原型系统进行功能、性能和安全性测试,全面评估DHR-MCU系统架构及其关键技术的可行性和有效性。测试结果表明,系统功能正常、数据处理时间增加0.86%情况下,DHR-MCU在各种攻击场景下均具备较强的稳态恢复能力。本文提出的DHR-MCU系统架构也可用于指导其它内生安全控制器件和网络设备的设计,特别是固定领导者分布式算法FLDCA以及软硬件协同的调度器裁决器S-Arbitrator更具有一般普适性,已在工业互联网创新发展工程项目“内生安全工业交换机设备研制”和“工业互联拟态边缘网关研制”等项目中得以应用,解决了上述异构冗余系统的状态数据一致性控制以及系统构建问题。