學(xué)術(shù)園地

隨著人民生活水平的日益提高和保護(hù)人民健康的需要，醫(yī)療器械的生產(chǎn)在世界各國得到了迅速的發(fā)展，國際貿(mào)易額每年以25％的速度增長。中國醫(yī)療器械產(chǎn)業(yè)近些年發(fā)展也很快，年增長率達(dá)到14％至15％。“早期發(fā)現(xiàn)、精確治療、個性化服務(wù)”是當(dāng)前醫(yī)學(xué)臨床工作的發(fā)展方向，而數(shù)字化、信息化醫(yī)療產(chǎn)品是現(xiàn)代醫(yī)療器械產(chǎn)業(yè)的核心。

    在醫(yī)療器械軟件錯誤應(yīng)用或發(fā)生失效的情況下，有時會發(fā)生嚴(yán)重的后果，如立體定向外科治療系統(tǒng)的錯誤會導(dǎo)致療效降低并傷害正常組織，影像處理系統(tǒng)的問題會導(dǎo)致錯誤的診斷。上世紀(jì)80年代，美國曾發(fā)生放射治療機(jī)療、個性化服務(wù)”是當(dāng)前醫(yī)學(xué)臨床    表一軟件錯誤，造成5名患者受到超劑量輻照而死亡；血庫程序出錯，導(dǎo)致1000多品脫受到AIDS病毒感染的血液被當(dāng)作健康血液使用。為此，對于醫(yī)療器械軟件的安全問題，除了是制造商的重大責(zé)任外。也是醫(yī)療器械軟件審核中所關(guān)注的核心問題之一。

醫(yī)療器械軟件的審核依據(jù)

    1．一般計算機(jī)軟件的審核依據(jù)

    (1)GB／T 19001—2000標(biāo)準(zhǔn)或GJB 9001A一2001標(biāo)準(zhǔn)；

    ISO／IEC 90003：2004《對軟件應(yīng)用質(zhì)量管理體系的指南》。

    (2)采用的主要產(chǎn)品標(biāo)準(zhǔn)或規(guī)范，包括軟件開發(fā)規(guī)范、軟件文檔編制規(guī)范和軟件質(zhì)量保證規(guī)范。例如，通用的技術(shù)標(biāo)準(zhǔn)有：

    GB／T 8566-1995《信息技術(shù)軟件生存周期過程》；

    GB／T 16680-1996((軟件文檔管理指南》；

    GB／T 12504-1990((計算機(jī)軟件質(zhì)量保證計劃指南》。

    (3)組織的質(zhì)量管理體系文件和軟件設(shè)計開發(fā)的輸出。策劃的輸出主要是軟件開發(fā)計劃、軟件測試計劃。作為主要設(shè)計輸入的軟件需求說明，也是審核軟件設(shè)計和軟件測試的依據(jù)。

    2．醫(yī)療器械軟件的專用審核依據(jù)

    由于醫(yī)療器械軟件對于人類生命和健康的特殊重要性，國際電工委員會(IEC)的第62技術(shù)委員會所屬醫(yī)用電氣設(shè)備通用要求第62A分委員會和國際標(biāo)準(zhǔn)化組織(ISO)醫(yī)療器械質(zhì)量管理和通用要求第210委員會組成的聯(lián)合工作組，于2005年制定和發(fā)布了IEC DIS 62304((醫(yī)療器械軟件軟發(fā)布FDIS稿。該標(biāo)準(zhǔn)用于醫(yī)療器械軟件的設(shè)計和維護(hù)，它關(guān)注的核心問題是安全可靠。該標(biāo)準(zhǔn)的應(yīng)用范圍是醫(yī)療器械軟件。在開發(fā)醫(yī)療器械時，該標(biāo)準(zhǔn)和其他適用的標(biāo)準(zhǔn)共同使用。標(biāo)準(zhǔn)共分為9章：范圍、引用標(biāo)準(zhǔn)、定義、通用要求、軟件開發(fā)過程、軟件維護(hù)過程、軟件風(fēng)險管理過程、軟件配置管理過程和軟件問題解決過程。這是醫(yī)療器械軟件的專用審核依據(jù)。

    在醫(yī)療器械軟件審核中要關(guān)注：醫(yī)療器械軟件制造商應(yīng)建立和運(yùn)行質(zhì)量管理體系，來證實其有能力持續(xù)提供滿足顧客和適用法律法規(guī)要求的醫(yī)療器械軟件。該標(biāo)準(zhǔn)規(guī)定，質(zhì)量管理體系應(yīng)符合：

醫(yī)藥行業(yè)質(zhì)量管理體系標(biāo)準(zhǔn)(YY／TT 0287 idt IS013485)：

國家質(zhì)量管理體系標(biāo)準(zhǔn)(GB／T 19001)；

    對軟件應(yīng)用質(zhì)量管理體系的指南(ISO／IEC 90003：2004)：

    制造商還必須應(yīng)用符合YY仃0316—2003 idt IS014971：2000<<醫(yī)療器械風(fēng)險管理對醫(yī)療器械的應(yīng)用》標(biāo)準(zhǔn)規(guī)定的風(fēng)險管理過程。醫(yī)療器械軟件安全性的審核重點

    1．IEC／DIS 62304標(biāo)準(zhǔn)的通用要求

  IEC／DIS 62304標(biāo)準(zhǔn)規(guī)定了醫(yī)標(biāo)準(zhǔn)中描述的一組過程、活動和工作，為醫(yī)療器械軟件壽命周期過程建立了一個共同的架構(gòu)，用于醫(yī)療器械軟件的設(shè)計和維護(hù)。

    標(biāo)準(zhǔn)的目的是提供一個持續(xù)產(chǎn)生高質(zhì)量、安全的醫(yī)療器械軟件開發(fā)過程。為此，標(biāo)準(zhǔn)識別了需要完成的最小的活動和工作，以便設(shè)計、開發(fā)并生產(chǎn)可靠和安全的軟件產(chǎn)品。

    由于確實沒有已知的方法保證任何種類軟件100％的安全性，標(biāo)準(zhǔn)的通用要求有三個主要的原則，幫助保證醫(yī)療器械軟件達(dá)到可接受的安全性：

    風(fēng)險管理；

    質(zhì)量管理；

    軟件工程。

    為了開發(fā)和維護(hù)安全的醫(yī)療器械軟件，必須建立風(fēng)險管理過程作為質(zhì)量管理體系的組成部分，并作為軟件工程方法和技術(shù)應(yīng)用的全面架構(gòu)。三個概念的結(jié)合，使醫(yī)療器械軟件制造商(以下簡稱制造商)可遵照一個清晰的和可重復(fù)的決策過程，以保證醫(yī)療器械軟件的安全性。

    標(biāo)準(zhǔn)要求制造商要在一個質(zhì)量管理體系內(nèi)進(jìn)行軟件的開發(fā)，同時還要進(jìn)行風(fēng)險管理。軟件開發(fā)參加風(fēng)險管理活動，可以成功地保證所有與醫(yī)療器械軟件相關(guān)的合理可預(yù)見的風(fēng)險得到研究。

    2．按照醫(yī)療器械軟件的安全性級別，滿足標(biāo)準(zhǔn)的符合性要求

通常，將風(fēng)險定義為損害的件壽命周期過程》，計劃于2006年  療器械軟件的壽命周期要求。在  嚴(yán)重度及其發(fā)生概率的結(jié)合。然而，使用傳統(tǒng)的統(tǒng)計方法，不能確切地確定軟件失效的發(fā)生概率。所以，標(biāo)準(zhǔn)規(guī)定，假定軟件項的失效將要發(fā)生，而以軟件項失效產(chǎn)生危害的嚴(yán)重度為基礎(chǔ)，實施和風(fēng)險控制措施有關(guān)的軟件項安全性分級。

標(biāo)準(zhǔn)的第四章《通用要求》將醫(yī)療器械軟件按照下列規(guī)定劃分為三個等級，按照軟件安全級別實施有關(guān)的所有的過程、活動和工作時，規(guī)定要符合本標(biāo)準(zhǔn)的各項要求。方法是用檢查醫(yī)療器械軟件風(fēng)險管理文檔和軟件安全級別所要求的過程、活動和工作評定的方法決定符合性。

(1)制造商應(yīng)按照和軟件系統(tǒng)有關(guān)的危害對于患者、操作者或其他人員產(chǎn)生的影響，賦予每個軟件系統(tǒng)一個軟件安全級別。

    如果軟件系統(tǒng)的失效像預(yù)計的表現(xiàn)那樣，可能引起危害，則此項失效的概率應(yīng)假定為100％。如果危害引起的風(fēng)險以硬件的風(fēng)險控制措施使其降至可接受水平，則分級方案應(yīng)將此項風(fēng)險控制措施考慮在內(nèi)。

    按照軟件失效效應(yīng)的嚴(yán)重度，軟件安全級別分為：

    A級：不可能有傷害；

    B級：不可能有重傷；

    C級：可能死亡或重傷。重傷的定義是導(dǎo)致下列結(jié)果的傷害或疾?。何＜吧斐扇梭w功能的永久性喪失或人體結(jié)構(gòu)的永久性損壞，需要內(nèi)科或外科介入以防止人體功能的永久性喪失或人體結(jié)構(gòu)的永久性損壞。

    (2)制造商應(yīng)在風(fēng)險管理文檔中記錄賦予每個軟件系統(tǒng)的軟件安全級別。

    (3)當(dāng)軟件系統(tǒng)分解為軟件項目，并且當(dāng)軟件項目又進(jìn)一步分解為軟件項目時，這樣的軟件項目應(yīng)繼承初始軟件項目(或軟件系統(tǒng))的軟件安全級別，除非制造商有證明選用不同軟件安全級別的理由。

    (4)如果以分解方式產(chǎn)生的軟件項目的安全級別和其源軟件項目不同，制造商應(yīng)記錄每個軟件項目的軟件安全級別。

    (5)為了符合本標(biāo)準(zhǔn)，在規(guī)定級別的軟件項需要一個過程，而此過程需要應(yīng)用一組軟件項目時，制造商應(yīng)使用軟件項在一組中的最高級別的分級所需要的過程和工作，除非制造商有理由在風(fēng)險管理文檔中使用較低的級別。

    (6)對于每個軟件系統(tǒng)，在賦予其軟件安全級別之前，必須應(yīng)用C級的要求。

    在規(guī)定了安全性等級以后，就要按照標(biāo)準(zhǔn)要求的過程、活動和工作進(jìn)行醫(yī)療器械軟件的設(shè)計開發(fā)、維護(hù)、風(fēng)險管理、配置管理和解決問題。這是標(biāo)準(zhǔn)的符合性要求。

3．軟件風(fēng)險管理過程

標(biāo)準(zhǔn)要求軟件的風(fēng)險管理必須按照YY／T 0316 idt ISO 14971《醫(yī)療器械風(fēng)險管理對醫(yī)療器械的應(yīng)用》進(jìn)行。該標(biāo)準(zhǔn)分為9章：范圍、術(shù)語和定義、風(fēng)險管理通用要求、風(fēng)險分析、風(fēng)險評價、風(fēng)險控制、全部剩余風(fēng)險的可接受性評價、風(fēng)險管理報告、生產(chǎn)和生產(chǎn)后的信息。

    標(biāo)準(zhǔn)要求在執(zhí)行軟件維護(hù)過程后，應(yīng)執(zhí)行風(fēng)險管理過程。在了解軟件的風(fēng)險管理過程之前，應(yīng)首先回顧一下有關(guān)的基本概念，風(fēng)險是損害的發(fā)生概率與損害嚴(yán)重程度的結(jié)合，而風(fēng)險管理(Tiskmanagement)包括了用于風(fēng)險分析、評價和控制工作的管理方針、程序及其實踐的系統(tǒng)運(yùn)用。風(fēng)險管理過程的實施依據(jù)是YY／110316 idt ISO 14971，標(biāo)準(zhǔn)要求如下。

    (1)要對和危害處境有關(guān)的軟件進(jìn)行風(fēng)險分析。損害(haTm)是對人體健康的實際傷害或侵害，或是對財產(chǎn)或環(huán)境的侵害；危害(hazaTd)是損害的潛在源；危害處境(hazaTdous situation)是人員、財產(chǎn)或環(huán)境處于一個或多個危害之中的境遇。

    制造商應(yīng)識別在醫(yī)療器械IS014971的風(fēng)險分析活動中已被辨識出和危害處境可能有關(guān)的軟件項(適用于B、C級醫(yī)療器械軟件)；危害處境可能直接導(dǎo)致軟件失效或?qū)е乱言谲浖袑嵤┑娘L(fēng)險控制措施的失效。

制造商應(yīng)識別與造成危害處境有關(guān)的軟件項的可能原因(B、C級適用)。在有些情況下，制造商應(yīng)研究包括下列方面的可能原因：

不正確的或不完整的功能規(guī)范；

    在已識別的軟件項目功能中的軟件缺陷；

    來自未知來源軟件(SoftwaTe Of Unknown PTovenance，SOUP)的失效或非預(yù)期結(jié)果；SOUP是已被他人開發(fā)并且通?？傻玫降能浖椖?；

    可能導(dǎo)致在不可預(yù)知的軟件運(yùn)行中的硬件失效或其他軟件缺陷，以及合理可預(yù)見的誤用(B、C級適用)。

    制造商應(yīng)將(B、C級)軟件項目和危害處境有關(guān)的原因在風(fēng)險管理文檔中形成文件，還應(yīng)將可能在危害處境中產(chǎn)生的事件順序形成文件，置于風(fēng)險管理文檔中。

    (2)標(biāo)準(zhǔn)對風(fēng)險控制措施提出了兩點要求：

    為了將風(fēng)險或剩余風(fēng)險降低到可以接受的水平，針對每一個和危害處境有關(guān)的軟件項的可能原因，制造商應(yīng)規(guī)定風(fēng)險控制措施，并形成文件(B、C級適用)。

    如果風(fēng)險控制措施是作為軟件項的作用或責(zé)任的一部分實施，則制造商應(yīng)：把風(fēng)險控制措施包括在軟件需求之內(nèi)；在危害的可能效應(yīng)的基礎(chǔ)之上，賦予軟件項一個軟件安全級別；按照標(biāo)準(zhǔn)規(guī)定開發(fā)軟件項(B、C級適用)。

(3)風(fēng)險控制措施有效性的驗證。為了檢查風(fēng)險控制措施的有效性，檢查和醫(yī)療器械軟件有關(guān)的風(fēng)險或剩余風(fēng)險是否降低到可接受的水平；保證它的安全性，對每個形成文件的風(fēng)險控制措施都要進(jìn)行驗證，并將驗證結(jié)果形成文件(B、C級適用)。如果風(fēng)險控制措施是作為軟件項實施的，則制造商應(yīng)對軟件控制措施進(jìn)行評審，以便識別在危害處境中可能產(chǎn)生的新的事件順序并形成文件。適當(dāng)時，應(yīng)將軟件危害的可追溯性形成文件。

    (4)軟件更改的風(fēng)險管理。在軟件的使用和維護(hù)過程中，可能需要更改。首先，制造商要對軟件更改的安全性進(jìn)行分析(A、B、C級均適用)。然后，分析軟件更改對于現(xiàn)有風(fēng)險控制措施的影響；最后，制造商應(yīng)在這些分析的基礎(chǔ)上完成規(guī)定的風(fēng)險管理活動(B、C級)。