獨立醫療器械軟件的質量管理體系的思考建議

胡凱，楊輝，沈亦紅，張丹

浙江省醫療器械審評中心，浙江 杭州 311121

引言

近年來，隨著制造業技術升級和“人工智能”“互聯網+”等概念的普及，醫療領域的智能化和信息化已大步向前邁進。醫療器械軟件，在醫療智能化和“互聯網+醫療”中占有核心地位。FDA 已審批了多種預期用途的醫療器械軟件，舉例：① 直接診斷和檢測疾病，如腦脊液光譜數據分析來診斷兒童肺結核或病毒性腦膜炎；② 通過連接控制實體醫療器械，對患者實行治療，為治療和緩解耳鳴提供聲音治療；③ 輔助診斷決策支持，使用個體數據預測進展性卒中或心臟疾病的風險系數；④ 醫療數據管理，醫學圖像傳輸與存檔。

而軟件本身獨特的非實體化存在的形式，其質量管理工作給醫療器械從業人員帶來不小的困惑。據相關文獻報道，1999～2005 年，FDA 共有3771 個產品被召回，由于軟件故障被召回的產品有425 個，占全部被召回產品的11.3%[1]。2015 年，西門子公司的PACS 產品因打印配置文件與打印機不匹配導致打印圖像尺寸失真而被召回。2017年，Spacelabs Healthcare 公司的麻醉氣體輸送系統中的軟件，因在送氣故障時未顯示故障及報警而被召回[2]。軟件工程領域已有管理方法的探討[3-4]，但針對作為醫療器械的軟件，未有正式的管理規范結合醫療器械相關要求（截至收稿時）。可見，如何科學有效的管理醫療器械軟件是一個意義重大的課題。本文將通過對相關國家的生產質量管理規范的探索，對ISO 13485 和IEC 62304 等標準進行討論，結合軟件生產企業的實際檢查，給出初步建議。

1 醫療器械獨立軟件生產管理過程的特點

軟件作為邏輯產品不具有實體。它滲透了大量的腦力勞動，人的邏輯思維、智能活動和技術水平是軟件產品的關鍵。軟件通常以程序和文檔的形式保存在作為計算機存儲器的磁盤和光盤介質上，通過操作計算機才能體現出它的功能和作用。以上特性決定了軟件具有以下特點。

（1）生產與研發緊密結合，生產過程趨于扁平化。軟件產品的人力資源和成本主要集中在軟件的開發和研制上。如果把代碼理解為“零件”，模塊理解為“組件”，那么編譯并封裝就相當于成品的“組裝”。軟件開發研制完成后，通過復制就可以產生大量的軟件產品，不需要投入大量的人力和設備構建生產線，相對地會在后期維護中升級。軟件產品不會用壞，不存在磨損、消耗等問題。

（2）研發元素的多元化。第一，軟件開發商會依據客戶需求，制定研發計劃并編寫代碼，而客戶需求會依據主客觀環境的不同有區別；第二，軟件開發過程可能會使用第三方產品或技術，如現成軟件[5]、開源API[6]，融入產品本身或配合產品使用；第三，不同開發商的基礎數據庫數據來源不同。如骨密度檢測軟件基于不同的適用人群會有不同的臨床數據庫人群分布[7]。

（3）售后安裝及使用情況多變復雜。不同的使用者，其使用的網絡、信息設備、終端、系統軟件不盡相同。軟件開發商在為客戶安裝的時候，可能會根據使用者現有信息接口的不同，對軟件中間件[8]做出相應的調整。現有版本軟件的小升級、大升級、后續版本開發等工作，是獨立軟件產品全生命周期質量管理的重要內容。因此，同一企業的同一軟件產品可能存在多種有細微差異的“版本”。

2 目前存在的管理難題

2.1 由于生產過程扁平化及高靈活度導致難以全面記錄

設計開發和生產有合并的趨勢。在設計研發階段輸出成果（代碼）后，企業根據軟件載體的不同，采用不同的生產方式。實體載體如光盤，通過拷錄電腦進行拷貝。虛擬載體形式則將軟件產品上傳至服務器，通過使用者或裝維人員自行下載。在現場檢查過程中，管理人員可能對于最終軟件成品的拷錄電腦或存儲服務器，缺乏相應的使用管理，具體表現為：現場拷錄電腦不固定、未進行安全驗證、沒有使用記錄，存儲服務器缺少安全驗證等。《醫療器械生產質量管理規范現場檢查指導原則》（以下簡稱《檢查指導原則》）中，“設備”“文件管理”“生產管理”均有涉及上述內容，如3.2.1、3.2.3、4.4.2、7.5.2、7.6.1 等條款。

2.2 研發要素多元化、更新快導致的過程評價不及時

評價不及時體現在：① 對第三方軟件或開源代碼缺少評價與驗證，研發人員利用開源代碼直接嵌入；② 由于軟件的需求變化較快，軟件的更改未得到及時的評價；③ 核心算法中的經驗系數，缺少臨床確認記錄。在企業的體系文件中，IEC 62304（YY/T 0664）、《醫療器械軟件注冊技術審查指導原則》《醫療器械網絡安全注冊技術審查指導原則》等往往作為法規標準的研發輸入，但企業往往未實際按照以上標準建立評價過程和記錄。在《檢查指導原則》中，“設計開發”章節較多的涉及此內容，如5.2.1、5.6.1、5.9.1、5.10.1 等。

2.3 售后體系對已售出的產品實施的追溯和控制容易被忽視

售后支撐人員依據客戶現場的實際情況，對產品本身可能做出的調試性修改，但不能有效記錄；不同客戶可能具有細微差別的產品，版本管理不能有效識別這些差異。

由于上述過程的疏忽，直接導致對應的信息安全風險不能有效識別，舉例有：第三方和開源API 對患者信息的處理流程不清晰，導致人種、人群數據被竊取；企業代碼被內部人員惡意竊取/修改；因內部代碼管理服務器被入侵而導致產品遭惡意修改；已售產品版本管理混亂導致的未能及時升級補丁造成的漏洞等。

3 強化執行醫療器械獨立軟件生產質量管理法規和標準的建議

3.1 醫療器械企業質量體系建立

在我國，醫療器械獨立軟件在2002 版醫療器械分類目錄編碼為“6870-軟件”，2017 年發布新版目錄中為“21 醫用軟件”，屬有源醫療器械。其生產質量體系需滿足總局2014[64]號文件《醫療器械生產管理規范要求》。

美國FDA 醫療器械的分類由21 CFR（美國聯邦法規第21 部分）進行列舉，未給醫療器械軟件單獨的CFR 編碼。軟件根據風險等級分為Class III-I，申報PMA/510K 或豁免。產品需滿足 21 CFR 820 的要求，即QSR。其中對于510k 產品，FDA 會視情況對企業進行文檔或現場審核，PMA 需現場審核。

歐盟的產品分類方式為“基于規則（By Rule）”，即無分類列表，只闡述分類原則，醫療器械獨立軟件根據風險可能分為I、IIa、IIb、III。其質量管理體系需得到公告機構的認證，建議使用歐盟的協調化標準（EN ISO 13485）要求。

IMDRF 在綜合了多國的法規要求基礎上，出臺了獨立軟件質量體系要求，該文件同時為FDA 的等同性指南，我國也是該組織的參與國。

醫療器械企業質量體系的建立參照ISO 13485（YY/T 0287）的要求，同時其設計研發過程應當滿足IEC 62304（YY/T 0664）。IEC 62304 附表部分給出了兩大標準的對應關系。在此基礎上，筆者增加了新版ISO 13485 等部分內容，但并非完全列舉，見表1。

上述表格中，主對比列為“IEC 62304- ISO 13485:2003”，出自IEC 62304 附表部分內容。“ISO 13485:2016”列增加的對比項為相比“ISO 13485:2003”的改版增加的“設計開發轉換”“投訴處理”“安裝活動”等內容，依據“IEC 62304- ISO 13485:2016”條款文字表述進行填寫。“IMDRF”列內容為在“IMDRF/SaMD WG/N23”（下文簡稱WG/N23）文件基礎上，并結合條款表述進行填寫。“中國《規范》”列為基于WG/N23 文件的映射提示。

3.2 建議

結合IEC 62304、ISO13485 并基于WG/N23 對軟件實現的定義劃分，針對前文所述的管理問題，提出以下兩方面綜合建議。

3.2.1 強化各過程的評價措施

（1）設計、開發。設計活動旨在基于用戶等需求確定軟件系統的架構、組件和界面，并且與獨立軟件預期用途及計劃運行的各種臨床和家庭使用環境相符。開發活動將需求、架構、設計（包括接口定義）、公認的編碼操作（安全）及架構模式轉化為軟件項，并將這些軟件項整合進獨立軟件中。WG/N23 的7.6 部分指出，開發商可以基于其內部優勢和能力選擇將其獨立軟件的不同部分外包；也可以采購商用現貨軟件（Commercial off the Shelf，COTS）或另一個獨立軟件來納入其產品中。可見，了解、維持控制并管理這種外包過程、活動或產品的影響是重要的，并且對于交付安全有效的獨立軟件是必需的。舉例，在開發階段采用必要的科學檢測模型來杜絕開發人員對未知來源的開源代碼復制到獨立軟件產品中，如基于修改日志克隆代碼跟蹤及演化模式識別[9]。

表1 醫療器械企業質量體系建立新增內容對比

（2）驗證和確認。驗證和確認活動的目標應該是獨立軟件對患者安全的影響及危險程度。WG/N23 的8.4 指出，驗證和確認活動應該將重點放在獨立軟件與操作系統、外包組件及與計算平臺相關的其他相關性的接口上，充分考慮到以下因素：患者安全和臨床環境、技術和系統環境。如針對日益移動化的醫療場景，匹配獨立軟件產品與移動終端的信息安全考慮，可建立匹配開發商獨立軟件產品的模型對其進行評價[10]。

（3）部署、維護。部署活動包括支持獨立軟件受控、有效地分發給客戶的交貨、安裝、設置和配置方面，包括針對獨立軟件整個生命周期支持過程和實現使用過程中識別的危害的任何計劃的風險緩解措施。維護活動可以是來源于軟件生命周期過程和活動的適應性、改善性、預防性和糾正性活動，或基于用戶需求或社會-技術環境的改變。采用合適的問題分析框架，對軟件系統部署方法和技術的選擇及開發具有重要的指導意義，如W4H[11]等。

3.2.2 提供合理的軟件開發工具及相關管理軟件

WG/N23 的6.2 部分指出，基礎設施包括在生命周期過程中提供模擬預期使用環境的測試環境及支持管理各種軟件配置的工具，比如，開發期間針對源代碼的版本管理。7.4 部分指出，在獨立軟件配置的管理中，軟件工具通常用于管理源代碼、發布、記錄、部署、維護等。常用的測試軟件工具舉例：白盒測試工具giscope、DevPartner；黑盒測試工具LoadRunner、Quantify；測試管理工具TestDirector[10]。常用項目管理工具：SVN[13]，GitLab[14]等。

4 結語

醫療器械獨立軟件作為醫療領域內的熱點，其生產質量管理體系應根據軟件產品的特點形式來進行。基于現有通用標準和共識，充分運用基于PDCA（Plan-Do-Check-Act）的各種管理模式[15-19]，對獨立醫療器械軟件的質量體系進行科學管理，對于獨立軟件的產品安全意義重大。