內窺鏡手術機器人軟件安全有效性評價要點的探討

張晨光，陳敏

國家藥品監督管理局 醫療器械技術審評中心，北京 100081

引言

內窺鏡手術機器人主要由醫生通過主從控制方式控制機械臂，操作內鏡下的手術器械開展內窺鏡手術[1]。由于具有微創傷、可進行超出人手能力的精細化操作、多臂可減輕醫生疲勞等優勢，內窺鏡手術機器人已成為引人關注的外科手術發展方向。2017年，國家發展和改革委員會印發《高端醫療器械和藥品關鍵技術產業化實施方案》，明確鼓勵腔鏡機器人等創新設備產業化[2]。從全球市場來看，美國達芬奇手術機器人從技術水平、裝機量和手術量上均處于行業領先地位，上市時間超過20年，成熟度較高；國內市場整體處于早期發展階段，但潛力巨大。隨著臨床需求增加和政策鼓勵扶持，國產化手術機器人的產品化研究成為醫療器械產業的熱點，高校、科研機構和企業紛紛參與相關核心技術的研究和開發，2021年以來山東威高集團有限公司和上海微創軟件股份有限公司自研具有自主知識產權的腹腔鏡手術機器人陸續獲得國家藥監局批準上市，產品在運動控制精度、圖像處理等多個關鍵技術上都取得了重大突破。

通過對目前注冊申報產品的研究，內窺鏡手術機器人軟件總體上可以分為運動控制系統、圖像處理系統、手術器械控制系統、報警系統以及外控軟件。運動控制系統包括用于控制或驅動內窺鏡手術機器人硬件或運行于內窺鏡手術機器人計算平臺的軟件，以及與控制相關的嵌入式軟件，邏輯上又可分為醫生操作端和患者手術臺端。圖像處理系統包括內窺鏡圖像處理系統和圖像計算平臺軟件以及圖像處理固件。外控型軟件指為實現特定臨床功能和目的的軟件模塊或獨立軟件，如無線通信/5G遠程控制軟件、分析測量軟件、定位導航軟件等。

內窺鏡手術機器人軟件呈現出的特點如下：系統運行高穩定性（如連續12 h高負荷運行機械臂也能夠保持技術要求的運動范圍、運動精度等）、系統控制高可靠性（如能控制非預期的控制失效風險和提供控制失效下的系統快速恢復能力以及醫生快速接管的保障措施等）、系統運行高實時性（如可達到200 ms以內的主從操作控制時延等）、醫生控制高可用性（如機械臂模擬人手的準確性和易用性等）。

內窺鏡手術機器人為軟硬件結合的復雜控制系統，其機械臂控制、手術器械控制、圖像處理、數據和網絡安全等臨床功能的實現都需要軟件具有高可用性和高可靠性。軟件作為內窺鏡手術機器人安全有效評價體系框架下的重要組成部分，目前評價要點尚未明確。本文結合多個申報產品的審評經驗，對內窺鏡手術機器人軟件部分的安全有效性評價要點進行探討。

1 評價方法

1.1 按照軟件系統模塊進行風險分析

目前針對醫療器械軟件的通用安全標準為YY/T 0664-2008[3]和YY/T 0708-2009[4]，標準的思路是按照風險等級對產品進行風險管理和風險控制。內窺鏡手術機器人系統中運行的軟件組成較為復雜，評價時應從風險角度，結合內窺鏡手術機器人臨床常見軟件故障類型[5]進行模塊劃分。

對軟件風險級別的判定關注如下特征：① 操作者與患者之間并非如操作傳統器械時面對面接觸，而是離開手術臺遠端控制機械臂，并通過觀察手術區域實時影像進行手術，這一特點要求評價系統能夠精準模擬甚至增強人手的多自由度操作并獲得視覺、觸覺、聽覺的及時反饋的能力，應關注運動失控、時延超限和反饋失靈帶來的風險；② 由于手術對象為軟組織，手術過程中對象組織可能發生移動、出血等情形，軟件必須能夠控制精細的操作[6]，并提供各種異常情況下的安全保護措施；③ 鏡下不同手術器械常聯合使用，其控制較為復雜，操作精度、圖像處理、網絡安全方面的風險分析應考慮手術機器人作用方式（如創口或自然腔道）、適用部位和術式等臨床應用特性。

1.2 圍繞主從運動控制進行安全有效評價

體現手術機器人軟件核心性能水平的技術是交互控制、主從控制映射算法和不動點的算法設計，不同公司產品的控制算法、運動路徑規劃、定位技術和運動補償算法等都屬于技術機密或核心技術專利，如達芬奇機器人擁有超過4000項專利的使用權和2000項自有專利[7]。這些技術從安全有效性評價角度來看往往是“黑盒”，本文列出通過可客觀測量、分析的運動控制性能指標來評價產品的軟件性能，以判斷最終的精度和靈敏性。

醫生控制臺端性能應包含各機械臂、關節或驅動單元的運動范圍、運動精度，操作力顯示等功能。患者手術臺性能包括機械臂運動范圍、運動穩定性、器械控制等。主從控制性能包括主從控制延遲時間、位置邊界提示、主從動作比例控制、操作抖動過濾、患者端多機械臂切換控制等。

1.3 立足人機交互進行分析評估

內窺鏡手術機器人的最終操作者是“人”而非機器本身，對產品評價應以醫生視角為出發點，以人機交互流暢性和精準性為標準，評價運動控制、可視化系統的顯示以及聲光電和力學信號的反饋等性能對醫生操作的影響。如自動對焦和眼球跟蹤顯示感興趣區域功能，應考慮醫生手術過程中視覺習慣和視野范圍；對于力的反饋功能，機械臂末端關節處受力較手術器械頭端更能代表手腕的受力情況等。產品人應根據設計是否結合用戶、使用場景和用戶接口3個核心要素給予考量[8]。

1.4 關鍵性能指標

目前國家標準或行業標準尚未對手術機器人軟件的各項控制性能給出具體限值和精度要求。從行業發展和產品審評情況來看，先進產品軟件的關鍵性能指標水平可作為該類產品軟件性能評價的參照。根據1項700例腹腔內窺鏡機器人手術的研究，因系統運行故障導致的手術失敗率低于0.5%[9]；根據對一系列已上市（包括在境外上市）的產品性能研究顯示，主流腹腔內窺鏡機器人可控制的機械臂自由度在6個自由度以上[10]，主從運動距離準確性誤差可控制在2 mm以內[11]，不動點的位置偏移量小于10 mm[12]，主從控制延遲在200 ms以內[13]。圖像性能方面，具備多種比例的影像縮放調節功能（至少設置3擋），影像縮放誤差在5%以內，攝像裝置的有效分辨率可達720或1080 P[14]。

2 評價要點

2.1 運動控制

主從控制方面，主從控制延遲時間、主從操作距離的準確性和重復性、位置和姿態的準確性和重復性，應符合制造商在隨機文件中的規定[15]。根據產品性能設定，研究運動距離縮放比例和誤差。對于彈性位移限值，注意在實驗方法中明確彈性位移測量的具體位置（如機械臂、器械前端等）。對患者手術臺調整（如移動、旋轉、升降）臺車、控制臂、工具臂，以及醫生控制臺調整操作手柄、監視器等組件的位置和姿態進行功能描述。

主從控制延遲包括機械延遲、網絡延遲、圖像編解碼、數據加解密延遲等。Bailo等[16]研究顯示，醫生能夠接受的極限控制延遲為300 ms，而100 ms以內的延遲主觀幾乎難以覺察。根據注冊申報產品情況來看，在非遠程控制條件下，多數產品可以將端到端主從延遲控制在200 ms以內。主從控制延遲的研究，應區分控制信號和圖像信號，控制信號無論傳輸優先級還是服務質量要求上均高于圖像信號，網絡協議設計實現時應給予優先保障。主從控制延遲的測試方法按照YY/T 1712-2021[17]要求，采用檢測裝置如圖1所示，涉及遠程控制的延遲檢測，需要在其基礎上根據網絡拓撲對信號采集裝置進行改進。

圖1 主從控制延遲的檢測裝置

手術器械與組織的接觸力應給予限制，根據預期需求設定限值，用戶界面對作用力的大小數值進行顯示，在超出限值時給予警告。研究資料應給出詳細設計實現和驗證資料，以及接觸力顯示范圍與精度要求。注意應將器械與組織之間的接觸力和手術器械夾持組織的加持力進行區分。部分產品具有力屏障功能，即將器械終端接觸力反饋到醫生主控制臂，當這種力的反饋與實際接觸力之間不具備量化關聯特性時（如僅反饋一個固定的力），不應宣稱“具有力反饋”功能。

醫生控制臺可由單一控制臺或者多個控制臺構成，當存在多個控制臺進行協同控制時，評價應關注主控制功能的切換或協同控制實現的穩定性。

產品從設計和生產階段就應對運動控制軟件功能的失效風險進行記錄和控制，關注對機械臂運動失控概率進行的分析，并關注相關證明資料（如軟件的驗證資料、臨床試驗記錄、疲勞試驗等）的充分性，同時說明現有風險控制措施是否足以降低失控的風險。

2.2 圖像處理

圖像處理模塊包括患者手術部位的視圖的控制、內窺鏡臂控制以及對視頻信號的處理?？刂浦噶羁赏ㄟ^手柄、腳踏、觸摸屏或語音等形式輸入。影像系統應能實現全視場清晰，無邊緣模糊、閃爍、重影、雜質、氣泡等現象，具有較好的對比和色彩還原能力，紅綠藍顏色無明顯失真，白光模式下應具有手動或自動白平衡功能，信噪比符合YY/T 1587-2018[18]的要求。評價關注手術操作與影像在時間、空間上的一致性，以時延和精度要求體現。為了獲得更加真實的視覺效果，越來越多的內窺鏡手術機器人提供了3D影像，對于3D圖像的處理性能，應對左右光學系統時延差異和放大倍率的差異進行研究（如左右兩路光學系統信號時延在100 ms以內，左右光學視場的放大率差小于2%，左右半徑偏移量小于1°）[19]。對于“自動調節”“自動識別”“自動色彩平衡”等自動處理功能，應提供充分的驗證確認資料。產品圖像處理和顯示功能應避免使用“高清”“HD”“高速”等不規范用語或宣傳性用語，可采用實際分辨率或具體性能區分同類功能的表述。

對于圖像處理中帶有測量功能的，應給出測量范圍、測量重復性以及在宣稱的測量范圍下能夠達到的測量精度。對于定位導航功能，關注導航的校準、定位深度和定位精度[20]能否實現臨床預期功能。

2.3 手術器械控制

注冊單元內含軟件功能的手術器械，如高頻、激光、超聲等器械，從醫生控制臺控制相應主機實現組織或異物的切割、凝閉、剝離等目的，軟件性能按照相應類別器械要求結合機器人控制特性分別給出，并給出不同類型器械在軟件控制下，各個維度下正向或反向運動角度、開口角度、運動空間范圍和允差。

關注自動識別器械能力的要求，如手術器械型號、編號、使用壽命、安裝狀態等。系統不應允許使用已達到使用壽命的手術器械運行，能給出相應報警信息，并無相應動作。

2.4 安全措施

研究緊急停止對策、緊急停止的條件（與手術人的意愿相反的誤動作、安全機構啟動時等）、確保停止中患者和醫務人員的安全（保持裝置姿勢等）、緊急停止后裝置再次運轉的容易性。緊急停止應優先于其他控制，能夠保持有效位姿直至復位[21]。應將緊急停止和斷電情況下的鎖止功能進行區分，分別給出功能描述及性能參數要求。部分先進產品具有頭部檢測功能，檢測到頭部離開觀察窗口，可凍結機械臂及器械動作。

產品應具有啟動自檢功能，如自檢不通過，應給出錯誤提示及錯誤信息。關注系統運行過程中各個狀態下進行自我診斷的能力說明。在確保安全控制系統的所有裝置正常運行后，機器人方可運行。系統在開機、自檢、故障、急停、能量輸出、臺車就位等狀態下應通過用戶界面和/或聲、光等方式給予提示。

如果軟件能夠判斷、形成報警信息并執行報警，應符合相關標準要求[22-23]，報警信息舉例如表1所示。

表1 報警信息

2.5 網絡安全

由于手術機器人的控制端和患者手術臺以主從方式連接，不再依賴物理位置的緊密連接，產品網絡安全方面應從風險角度考慮，確保能夠提供足夠的網絡安全水平，以防止未經授權的訪問，保障患者信息和控制命令在傳輸過程中的保密性及完整性。應分析網絡安全十九項能力[24]的適用性及實現方式，在軟件研究資料中提交自研軟件網絡安全研究報告、外部軟件環境評估報告。按照醫療器械網絡安全相關指導原則要求提交相關研究資料。

產品應具備信息溯源能力。在信息處理過程中，應記錄信息處理日志，包括授權的操作指令記錄、非授權的操作指令記錄以及網絡連接記錄（網絡傳輸消息、網絡攻擊記錄等）。系統能夠記錄操作者信息、手術類型、手術時間、報警信息等。關注軟件發生異常后數據保存與恢復能力，以及保持數據傳輸后數據的一致性和完整性的實現方法[25-27]。對于網絡鏈路中含有無線通訊的產品，應對網絡時延、丟包率、無線抗干擾、數據異常監測、術后審計等方面進行研究。

2.6 人工智能及輔助決策

軟件涉及人工智能及深度學習的，采用基于風險的全生命周期管理方法，按照《人工智能醫療器械注冊審查指導原則》[28]要求提交相關研究資料，并開展數據的采集、整理、標注，算法的選擇、訓練和性能評估等活動。軟件的驗證和確認應基于軟件需求，結合預期使用場景或測評數據庫開展。手術機器人軟件涉及的主要用途是通過圖像識別進行流程優化和輔助診斷。輔助診斷類功能臨床風險在于診斷結果假陰性和假陽性，即漏診或誤診，應對AI模型訓練數據的采集、脫敏、標記、訓練、驗證等過程的規范性和質量要求進行關注，并對模型最終性能是否滿足臨床需求進行評估；流程優化類功能，如可呈現關鍵中間分析步驟和中間識別結果（如病灶識別、輪廓圈劃等），并可由有資質的醫生進行選擇判斷（采納人工智能或人工選擇），將有助于控制和降低該類功能的臨床風險。人工智能算法性能可通過敏感性、特異性、準確性、一致性（Kappa）等給出。無論人工智能技術是用于輔助決策還是流程優化，最終結果都應由具有相應資質的醫生進行確認。

3 討論

目前國內外尚無對內窺鏡手術機器人軟件部分的安全有效性評價方法，本文以現有申報產品的審評經驗為基礎，結合行業發展趨勢和特點，從模塊化風險分析著手，以主從控制為核心、立足人機交互視角的評價思路，提出了安全有效性評價方法和評價要點，對產品研發、注冊和技術審評具有指導意義，對其他類型手術機器人的軟件評價也具有參考價值。

內窺鏡手術機器人是近年來具有代表性的新興創新產品，技術發展速度較快，業界對性能應達到的標準尚未形成共識，首個手術機器人行業標準的制定，也立足于行業起步階段的現狀，僅規定了制造商應給出的性能清單，符合自身設定的性能要求即可，為行業快速發展留下了廣闊空間；同時，由于專利保護等原因，不同產品采用了差異化技術路線，造成設計和性能上的差異較為顯著，隨著產品成熟度的提升和使用范圍的擴大，如主從控制時延和定位精度等基礎性能指標的最低要求有待進一步明確。

產品在真實世界的應用情況和上市后不良反應收集反饋對于評價方法和評價標準的研究具有重要價值，而當前的手術機器人產品特別是國產產品在應用病種和病例數量上還較為有限，相關研究有待進一步完善。此外，目前評價方法和標準的制定應立足于現階段產品實際，在總體把握安全有效性的同時，應有利于促進技術創新和行業發展，推動產品帶來更多臨床獲益。

隨著對內窺鏡手術機器人研究的不斷深入和臨床應用的不斷擴展，越來越多新型影像和控制技術被運用于機器人。智能化、輕量化、多關節多自由度、單孔等技術不斷涌現，共聚焦顯微鏡與光學相干層析成像、圖像的拼接與融合、圖像識別、遠程控制等[29]技術的應用將助力產品邁向更廣闊的臨床領域，相關安全有效性評價研究的范圍也將不斷擴展。但本文不能涵蓋所有評價要點，且不包含臨床評價要求，僅為基于當前研究應考慮的問題和角度，具體產品的安全有效評價需結合產品特性及醫療器械安全和性能基本原則進行。

4 結論

手術機器人安全有效性評估體系研究已納入國家重點研發計劃“智能機器人”重點專項?？傮w上，手術機器人軟件的安全有效性評價應遵從風險管理的思路，按照醫療器械安全和性能基本要求，參考醫療器械質量管理體系設計開發要求[30]，結合產品特性統籌考慮手術機器人材料、機械、電氣、圖像等因素，確保產品符合醫療器械安全和性能基本原則[31]。