國內外醫療器械軟件安全性評價方法比較研究

俞思聰，潘鷹， 俞西萍， 朱穎峰上海市食品藥品監督管理局 醫療器械注冊處，上海，200010

國內外醫療器械軟件安全性評價方法比較研究

【作 者】俞思聰，潘鷹， 俞西萍， 朱穎峰上海市食品藥品監督管理局 醫療器械注冊處，上海，200010

采用比較研究與調研分析相結合的方法，通過對比歐美國家對醫療器械軟件上市前評價與上市方法，并實地調研分析上海市醫療器械生產企業對軟件研發質量控制程序，分析醫療器械軟件安全存在的問題，并對高風險醫療器械軟件的上市前安全性評價進行了有益的探索。

醫療器械；軟件；高風險；安全性評價；內外比較；借鑒

隨著計算機科學與技術的迅猛發展，數字電路、DSP、嵌入式系統、信息處理系統的大規模應用，越來越多有源醫療器械中都包括了軟件系統。從大型的影像診斷設備CT、MRI到小型的監護儀、注射泵等都出現了軟件系統的身影。如：監護儀中分析報警軟件、呼吸機控制類軟件、輸液泵中自動控制軟件、高頻手術電刀中嵌入式軟件、CT中后期重建軟件等等。除此以外，單獨軟件產品作醫療器械管理也不斷涌現，如動態心電分析系統、遠程診斷中使用的影像檔案傳輸、處理系統軟件、輔助診斷疾病軟件、唐氏綜合癥篩查分析類軟件、手術導航軟件等。軟件系統已經是醫療器械中重要組成部分。但與此同時，由于軟件系統缺陷而發生的醫療危害事件不斷升級，那么，軟件系統上市前究竟該如何進行安全性評價？政府該如何確保產品安全上市？這些問題應當引起我們的重視。

1 醫療器械軟件產品安全性評價的重要性

醫療器械軟件產品，從外部特征來看，它是一種非實物型信息產品；從內部特性來說，它是一個具有高度抽象性和嚴密邏輯性的邏輯系統。醫療器械軟件的運行必須與現有硬件系統接口保持一致，其復雜性遠遠超過醫療器械產品硬件本身。

現代醫療器械技術中，數字芯片使用率越來越多，這些芯片都可以進行編程運行。而隨著人工智能，信號處理和圖像后處理技術等新技術發展，軟件研發在醫療器械設計開發過程中已占據越來越重要地位。醫療器械的許多重要功能，越來越多地依靠軟件進行控制。其管理部門必須保護公眾免受與軟件相關的器械故障造成的危害。

根據美國FDA統計報告，1992-1998年間共召回醫療器械3140起，其中，242起是由于醫療器械產品中軟件失效而引起的。而另一份調查報告指出，1968—1997年，美國FDA提交了450多份報告，詳述了醫學設備中的軟件缺陷，其中24個導致了死亡或者傷害。從上所述，軟件的安全性至關重要，已直接關系到人類的生命安全。

2 本市高風險的醫療器械軟件產品研發現狀及分析

為了評價本市醫療器械軟件產品的安全性，本課題組對本市部分高風險的醫療器械軟件產品生產企業進行了問卷調查。從醫療器械生產企業數據庫選擇了20家企業（近百種產品），其中有純軟件生產企業，也有嵌入式軟件開發企業；有國有企業、外資企業、私營企業等。現將調查情況匯總如下。

2.1軟件企業研發外包情況

2家企業將軟件研發外包，占10%；1家企業將部分軟件模塊研發外包，占5%；17家企業自行開發，占85%。對于研發外包企業，采用質量體系管理辦法對外包企業進行控制。

2.2軟件按模塊進行風險分析

在20家企業中，僅有3家企業對產品按模塊進行風險分析，占15%。

2.3軟件驗證計劃方法

由于各企業軟件開發計劃不同，驗證計劃方法：有單元測試、模塊測試、集成測試、系統集成測試、用戶功能測試。僅有5家企業全部按上述測試完成，另有15家企業僅作其中部分測試項目。從測試項目來看，10企業家進行單元測試，8家企業進行模塊測試，9家企業進行集成測試，14家企業進行系統測試，18家企業進行用戶功能測試，4家企業用其他測試。

2.4軟件開發過程中，研發和測試投入比重

20家企業中，在研發中平均投入和測試時間比為4.8：1，研發和測試投入費用比為3.8：1

2.5軟件執行標準

20家企業中，全部執行了GB/T17544標準，同時執行IEC62304或YY/T0664軟件安全標準僅有3家。

調查結果分析顯示，本市目前高風險的醫療器械軟件產品研發企業現狀呈現以下特點.

（1）17家企業企業還是采用自行研發軟件方式；2家企業采用外包研發方式；1 家企業軟件模塊外包。也就是說大部分企業可以對軟件進行全生命周期管理。

（2）只有3 家企業對產品按模塊進行風險分析。大部分企業未按產品風險等級，對產品模塊提出控制要求。

（3）企業重視研發投入，忽視測試。從研發與測試投入費用比為3.8：1，時間比為4.8：1。在研發軟件上投入時間大大超過測試的投入，而一般國外優秀企業產品研發和測試投入上接近1：1，說明本市企業仍不重視測試投入。

（4）測試和驗證方法中重視最終產品功能測試，對于其他過程測試重視不足。從驗證結果百分比來看，企業對研發過程中較忽視測試，僅看重最終產品能否滿足功能要求。

（5）對軟件安全標準研究不足。本次調研結果顯示大部分企業仍未研究執行YY/T0664軟件安全標準，對軟件生命周期安全評價，仍不重視。

3 美國、歐盟、中國醫療器械軟件產品安全性評價方法比較

本課題組系統研究了美國和歐盟對醫療器械軟件產品調整的法律法規和對安全性評價、風險控制的方法，并與中國的實際的方法進行比較分析。

3.1法規文件與標準

美國對軟件上市有明確上市指南，歐盟也有建議文件，生產商或制造商可以在官方網站上找到相應文件，明確產品上市前所需要準備資料。但我國尚未建立全面性的可供企業參照的指南性文件。

3.1.1 美國

用以下三份審評指南規范醫療器械軟件上市要求。

① Guidance for the Content of Premarket Submissions for Software Contained in Medical Devices；

② General Principles of Software Validation ;Final Guidance for Industry and FDA Staff；

③ Off-The-Shelf Software Use in Medical Devices。

3.1.2 歐盟

對醫療器械的管理有三個指令：有源植入醫療器械指令（AIMD）、醫療器械指令（MDD）、體外診斷醫療器械指令（IVDD）。這三個指令均涉及到軟件。歐盟通過指定機構協調小組（NB-MED）專門發布的建議文件（NB-MED/2.2/REC4《軟件和醫療器械》），指導公告機構和制造商執行軟件按醫療器械管理指令上市時應滿足的基本要求。

歐盟對于器械軟件管理主要按標準管理，根據法令任何器械，只要符合依據協調標準轉換的國家標準，成員國應推定其符合本指令條款所述的基本要求。主要軟件相關的標準有：①IEC 62304:2006 - medical device software -software life cycle processes②IEC 60601-1-4 - programmable electrical medical systems③IEC61508-3-1998 functional safety of electrical/electronic/programmable safety related systems

3.1.3 中國

國家食藥監局尚未對醫療器械軟件產品有具體審評指南、北京市食藥監局編寫的“北京市醫療器械軟件產品監督管理規定（暫行）”，目前對于軟件產品上市方法還缺少法規支持。

目前，普通軟件標準有GB/T16260系列軟件工程產品質量、GB/T17544 信息技術軟件包質量要求和測試、醫療器械軟件標準有YY/T0664-2008 醫療器械軟件生存周期過程。而針對純軟件產品上市基本按GB/T17544進行標準編寫，而該份標準偏重于對軟件功能覆蓋測試，對軟件安全性并未提出具體要求。

3.2醫療器械軟件范圍

美國和歐盟對于醫療器械軟件定義已趨于一致，對于醫療器械軟件已包括傳統意義上的純軟件與嵌入式軟件。我國對醫療器械軟件定義在推薦標準中與歐盟和美國的定義基本相一致。

美國和歐盟都對純軟件和嵌入式軟件視為醫療器械軟件，對軟件研發、測試過程提出具體安全要求，我國對僅純軟件有安全要求，對嵌入式軟件未明確要求，僅隨成品器械做功能測試。

3.2.1 美國

美國FDA明確規定了醫療器械軟件產品是指包含一個或多個的軟件組件、部件、附件或僅由軟件組成的器械，包括固定或其他方式基于軟件控制的醫療器械，專業用的硬/軟件醫療器械。

3.2.2 歐盟

在醫療器械指令中將明確用途，或用于控制或影響醫療器械，或預期用于分析由醫療器械生成的患者數據來診斷和監護的軟件，或用于診斷或治療身體或精神疾病時用的軟件都應視為醫療器械軟件。但將用于保健設施的一般目的時軟件排除在醫療器械軟件產品之外。

另外，根據歐盟EN 62304標準的定義，醫療器械軟件產品旨在包括在被開發的醫療器械內的已開發的軟件系統，或者預期本身用作醫療器械而開發的軟件系統。3.2.3 中國

根據我國現有法規文件，未對醫療器械軟件做具體定義，但IEC62304已等同轉換為YY/T0664-2008于09年6月正式施行。該標準定義醫療器械軟件旨在包括在被開發的醫療器械內的已開發的軟件系統，或者預期本身用作醫療器械而開發的軟件系統。

3.3風險分級管理

美國對軟件安全性采用表格式問答法，企業根據表格中問題進行回答，然后從中能夠對風險分級較為明確；歐盟風險分級方法用定義法，由企業根據定義來自定，并需對具體模塊風險定義，對企業風險分析能力和自律性要求較高。而我國目前對純軟件安全性分級，分為II類和III類管理，對嵌入式軟件分級尚未真正進行。3.3.1 美國

指南中采用“關注級別”的概念對軟件風險進行分級。FDA采用問答表格的方式使制造者明確軟件風險的關注級別。關注級別分為嚴重關注、中等關注、較低關注。

嚴重關注，軟件中故障或潛在缺點可能對病人或醫務人員直接導致死亡或嚴重傷害；如果軟件中故障或潛在缺點通過錯誤或延遲信息傳遞或通過監護人員錯誤行為而間接對病人或醫務人員導致死亡或嚴重傷害，也認為是嚴重關注。下列情況被認為屬于嚴重關注：

（1）軟件用于血液分析；

（2）軟件系統用于輔助藥物或生物制品使用；

（3）軟件是包含在定位嚴重關注等級的醫療器械中一部分；

（4）在減輕危害之前，軟件失敗可能會對病人或操作者導致死亡或嚴重傷害。如① 含有軟件設備有控制生命支持或維持生命功能；② 軟件控制那種可能導致死亡或嚴重傷害的危害能量(放射治療系統，除顫器，消融發生器等)；③ 軟件裝置控制因為錯誤或故障而導致的嚴重死亡傷害的治療方法的傳遞；④ 軟件直接提供診斷信息，這種信息直接對治療方案起決定作用，如當被誤診后，會導致死亡或嚴重傷害；⑤ 軟件會對潛在生命危險狀況（醫療救治必須介入）提供生命體征監護和報警。

中等關注，指軟件中故障或潛在缺點可能對病人或醫務人員直接導致較低傷害。如果軟件中故障或潛在缺點通過錯誤或延遲信息傳遞或通過監護人員錯誤行為而間接對病人或醫務人員導致較低的傷害，也認為是中等關注。下列情況被認為中等關注

(1) 軟件是屬于中等關注級別醫療設備

(2)在減輕危害之前，軟件失敗可能會對病人或操作者導致死亡或較低傷害

(3) 如果軟件存在錯誤或潛在設計錯誤導致誤診或延誤合適的醫療救治會導致較低傷害。

較低關注，軟件中故障或潛在缺點不會導致任何對醫務人員或病人的傷害。如果軟件未列入嚴重關注或中等關注，那么它就被定為較低關注。

美國FDA認為，由于不同風險分級，企業為上市準備提交文檔應該是有所區別的，但應該至少包括軟件設備的預期用途、風險關注級別、提交類型。具體提交資料可以參見表3。通常來說，提交資料需要包括：①描述設備設計想法；②書面驗證設計如何實現；④論證產品設計是如何測試的；④展示如何有效進行風險識別和風險管理；⑤提供 設計、執行、測試和風險管理的可追溯性聯系。

對于嚴重關注產品要求提供資料最多包括關注級別闡述、軟件描述、器械危害分析、軟件規格需求說明書（SRS）、軟件設計結構圖、可追溯性分析、軟件開發環境的描述、驗證和確認文檔、版本歷史、未解決異常（Bug或缺陷）。軟件開發環境需要概述軟件生命周期開發計劃。注釋在開發過程中控制文檔中控制點。包括配置管理和測試活動。驗證和測試文檔需對單元、綜合和系統水平驗證和測試活動的描述。單元、綜合和系統測試協議，包括 通過/失敗標準，測試報告，概要和測試結果。而對于中等和一般關注級別的產品，需提交資料復雜程度依次降低。

3.3.2 歐盟

歐盟標準對于醫療軟件也采用風險分級管理概念——“軟件安全級別”。制造商應按照軟件系統引起的危害對于患者、操作者或其他人員的可能影響的嚴重度，賦予每個軟件系統一個“軟件安全性級別”：

A級：不可能對健康有傷害或損壞；

B級：可能有不嚴重的傷害；

C級：可能死亡或嚴重傷害。

其中，歐盟將醫療器械軟件產品的嚴重傷害定義為直接或間接導致危及生命、造成人體功能的永久性損害或人體結構的永久性損壞，或需要內科或外科介人以防止人體功能的永久性損害或人體結構的永久性損傷。

值得注意的是，歐盟也特別強調了，如果由于軟件失效引起死亡或嚴重傷害的風險，隨后由硬件風險控制措施降低到可接受水平，那么它的安全級別可逐級降低。也就是說更相信硬件設計可靠性。

歐盟對軟件生存周期，根據風險程度不同，提出相應要求，總的來說軟件生命周期包含軟件開發過程、軟件維護過程、軟件風險管理過程、軟件配置管理過程、軟件問題解決過程。對于C級軟件，特別對軟件開發標準、方法和工具策劃、風險隔離、軟件單元開發詳細設計、為接口開發詳細設計、驗證詳細設計、補充的軟件單元驗收準則提出要求。A、B級軟件要求亦在IEC62304中有明確要求。

3.3.3 中國

對于單獨安裝的醫療軟件，2002年8月國家食品藥品監督管理局發布了《醫療器械分類目錄》，增加了“軟件”產品的管理分類，并且按照醫療軟件的特點和臨床用途的不同，將醫療軟件分為診斷圖像處理軟件、診斷數據處理軟件、功能程序化軟件、影象檔案傳輸處理軟件和人體解剖學測量軟件五類。以上基本對純軟件分類管理，同時按風險級別不同，分為II類和III類管理。

3.4上市需提交資料

（1）單獨安裝的醫療軟件 標準按GB/T17544編寫，并送有資質的檢測機構進行功能測試，但對于軟件安全性上未提出具體要求，提交資料驗證也較為簡單。

（2）包括在被開發的醫療器械內的已開發的軟件系統 對軟件未作具體安全性要求，僅隨產品提交整機測試報告。

3.4安全性評價方法

美國重視企業對軟件研發過程控制，強調危害分析，要求企業在開發過程中充分考慮風險級別不同軟件，采取不同安全控制措施，并由企業進行自我驗證測試，提交自我驗證報告，但對于產品上市前的第三方機構測試并不強調。歐盟則對更關注企業對產品生命周期全過程控制，從研發到上市后維護，也更注重在產品研發過程中，企業自身如何確保軟件安全，對于風險如何分析隔離，同樣不強調上市前的第三方機構測試。我國對軟件產品，更注重結果驗證，對產品進行上市前“黑盒測試”，對設計開發過程并未提出具體要求。

3.5上市需遞交資料

美國通過技術審評指南，對產品全部上市資料有詳細規定，企業可以了解FDA所關心內容，并按要求遞交資料，包括對產品風險分析、開發環境、設計流程、對單元、綜合和系統水平驗證以及測試活動的描述等。對于風險等級從低至高產品，所需遞交的資料也越來越多。歐盟則在合格評定程序過程中，由公告機構確認產品是否合乎上市要求。我國，強調第三方測試機構測試報告，對企業研發階段如何控制風險，如何確保軟件安全還未關注。

4 建立和改善我國醫療器械軟件產品安全性評價方法的探討

從上所述可以看出，歐美發達國家對軟件安全性評價已形成完整的體系，建立了科學有效的評價方法，而我國醫療器械生產企業對軟件研發過程中風險管理意識還比較薄弱，那么在我國如何建立和改善對醫療器械軟件產品產品安全性性評價的方法，本課題組提出如下幾點建議：

（1）參照FDA分級方法，對軟件進行風險分級

根據分類目錄，我國僅把醫療器械純軟件分為II類、III類管理，但根據美國FDA上市后數據收集和安全分析分級方法，發現我國部分II類醫療器械中的嵌入式軟件也屬嚴重關注類別中，如 監護儀中嵌入軟件、輸液泵中的控制軟件、輔助診斷軟件等。對該類軟件安全性應有較高要求。我們是否可以按美國風險評級方法，參照問答表格，對醫療器械中的軟件產品安全風險進行分級管理。

（2）循序漸進，加強對高風險醫療器械軟件的安全性評價

從現代產品設計理念來講，醫療器械核心設計已由原來的硬件設計慢慢轉變為軟件設計更新，現代醫療器械可以通過軟件升級實現更新功能，而從軟件缺點危害案例和FDA對不良反應數據統計中可以看看出，軟件安全性評價已成為一項重要課題。歐美都在法規文件中，加強了對軟件安全性評價要求。而從本市所調研數據來看，大部分企業對軟件研發質量控制觀念還比較淡薄，也很有可能發生安全性問題。從風險分析角度考慮應首先考慮對高風險醫療器械進行軟件的安全性評價，以從中摸索經驗。

從現行管理辦法中，我國僅對純軟件提出安全評價要求，對于嵌入式軟件并未有具體法規要求，而歐美等國的經驗告訴我們，嵌入式軟件一樣存在安全風險，因而，在產品上市前就應單獨對軟件部分進行安全評價。

（3）明確要求，對高風險的醫療器械軟件產品提出具體上市資料

根據對軟件安全性定級，那么對于高風險醫療器械軟件，應提出具體質量要求，如：器械危害分析、軟件設計結構圖、軟件設計規格說明書（SDS）、可追溯性分析軟件開發環境的描述、驗證和確認文檔、版本歷史、未解決異常（Bug或缺陷）等。

由于軟件產品特殊性，故軟件安全性保證無法單獨依靠第三方檢測機構，必須由企業完成高風險模塊測試，內部質量評審。可根據企業所提供材料，對企業自測行為進行評估。從FDA不良反應數據和我國不良反應數據中，對企業軟件安全性提出評價意見。

（4）加強對軟件研發企業質量體系控制

軟件安全性風險，本質源于設計開發時風險分析全面性與測試嚴密性，這兩點都需要企業在研發時對產品質量控制，而根據國際標準IEC62304要求，更強調企業在產品研發時風險分析，和對軟件模塊風險分析要求。雖然該標準已被等同轉換為國內推薦性行標，但從調研數據來看，本市企業參照執行的很少，因此對該類企業應對其設計開發過程進行質量體系考核，以符合安全性要求。

5 對于軟件安全性評價一點其它思考

（1）對于軟件開發分包企業，是否需對分包軟件開發過程提出控制要求。

從本市調研中可以看出，有部分生產企業將軟件研發外包，而外包開發后，安全性控制將由分包企業完成，那么制造商選擇分包軟件的開發過程，應證明在軟件的生存周期內對此過程控制。并由制造商要求承包商滿足標準及定期評估對承包商對標準要求的符合性。

（2）對軟件的升級如何控制安全風險

由于軟件升級較為簡單，也可以實現新功能，一般而言軟件升級總是為了修復之前錯誤，或實現新功能，由上文分析可知，軟件升級是比較容易引起產品不穩定的，而且也可能會實現新功能。那么如果軟件與早期版本相比有變新，或預期用途的發生變化，及預定運行的平臺的變更，制造商應確定以下內容：產品在變更后仍然滿足基本要求；變化應有通過配置管理過程的文檔記錄；變更已經被確認和批準；應確認與（新）硬件、已有軟件的兼容性；如涉及變更的重大變化，需進行重新注冊申報。

（3）第三方測試機構，是否應建立軟件bug報告制度

在第三方機構產品測試中，常常會遇到軟件錯誤、崩潰情況，但在檢測報告中一般無法體現這類情況，而可能導致產品雖通過測試，但質量很不穩定，而這些技術審評人員無法觀察到的。那么，是否可以建立一份軟件bug報告制度，如果檢測過程中出現出錯，可填寫表格，包括錯誤類型、后果、發生頻率等并隨報告上報，供審評人員參考分析。

（4） 從不良反應案例中，收集風險分析經驗

從美國FDA數據庫可以得知，美國之所以可以制定出大量風險分級原則，就是因為他們行之有效的不良反應收集制度，從中可以總結出大量安全性分析點。我們也因從不良反應案例中，收集風險分析經驗，編制成冊，為今后審評提供參考。

[1] Ian Sommerville. 軟件工程[M]. 北京: 機械工業出社, 2003.

[2] 朱少云. 軟件質量保障和管理[M]. 北京: 清華大學出版社, 2004.

[3] 孫志安. 軟件可靠性工程. 北京: 北京航空航天大學出版社, 2009.

[4] Timothy C.Lethbridge Robert Laganiere. 面向對象軟件工程[M].北京: 機械工業出版社, 2003.

[5] Dirk Huberty. 軟件質量和軟件測試[M]. 北京: 清華大學出版社, 2003.

[6] Gerard O’Regan. 軟件質量實用方法論[M]. 北京: 清華大學出版社, 2004.

[7] 武俊華. 醫療器械軟件生存周期過程[J]. 中國醫療器械信息, 2006, 12(9): 32-38.

[8] GBT16260. 1-2006 軟件工程 產品質量 第1部分: 質量模型.

[9] YY/T0664-2008 醫療器械軟件 軟件生存周期過程.

[10] 杜堃, 何建, 馬莉, 等. 醫療器械軟件安全性評價[J]. 中國醫療器械信息. 2009, 15(1): 30-33.

Comparison of the Software Safety Evaluation Methods in Medical Devices

【Writers】Yu Sicong, Pan Ying, Yu Xiping, Zhu Yinfeng Medical Device Registration Department Shanghai Municipal Food and Drug Administration, Shanghai, 200010

Medical Device, Software, High-risk, Safety Evaluation, Comparison, Illumination

】The article intends to analyze the software safety problems in high-risk medical devices based on the investigation of software R & D Quality control procedures in Shanghai medical device manufacturing enterprises. The idea of improving the software pre-market safety evaluation method in China is also explored through the way of comparing those in US and Europe.

1671-7104(2010)05-0360-05

2010-03-22

俞思聰，E-mail:yusicong@smda.gov.cn

TH77

A

10.3969/j.isnn.1671-7104.2100.05.012

【