發(fā)布： 2006-11-13 00:00:00
隨著人民生活水平的日益提高和保護(hù)人民健康的需要，醫(yī)療器械的生產(chǎn)在世界各國(guó)得到了迅速的發(fā)展，國(guó)際貿(mào)易額每年以25％的速度增長(zhǎng)。中國(guó)醫(yī)療器械產(chǎn)業(yè)近些年發(fā)展也很快，年增長(zhǎng)率達(dá)到14％至15％。“早期發(fā)現(xiàn)、精確治療、個(gè)性化服務(wù)”是當(dāng)前醫(yī)學(xué)臨床工作的發(fā)展方向，而數(shù)字化、信息化醫(yī)療產(chǎn)品是現(xiàn)代醫(yī)療器械產(chǎn)業(yè)的核心。
在醫(yī)療器械軟件錯(cuò)誤應(yīng)用或發(fā)生失效的情況下，有時(shí)會(huì)發(fā)生嚴(yán)重的后果，如立體定向外科治療系統(tǒng)的錯(cuò)誤會(huì)導(dǎo)致療效降低并傷害正常組織，影像處理系統(tǒng)的問(wèn)題會(huì)導(dǎo)致錯(cuò)誤的診斷。上世紀(jì)80年代，美國(guó)曾發(fā)生放射治療機(jī)療、個(gè)性化服務(wù)”是當(dāng)前醫(yī)學(xué)臨床 表一軟件錯(cuò)誤，造成5名患者受到超劑量輻照而死亡；血庫(kù)程序出錯(cuò)，導(dǎo)致1000多品脫受到AIDS病毒感染的血液被當(dāng)作健康血液使用。為此，對(duì)于醫(yī)療器械軟件的安全問(wèn)題，除了是制造商的重大責(zé)任外。也是醫(yī)療器械軟件審核中所關(guān)注的核心問(wèn)題之一。
醫(yī)療器械軟件的審核依據(jù)
1．一般計(jì)算機(jī)軟件的審核依據(jù)
(1)GB／T 19001—2000標(biāo)準(zhǔn)或GJB 9001A一2001標(biāo)準(zhǔn)；
ISO／IEC 90003：2004《對(duì)軟件應(yīng)用質(zhì)量管理體系的指南》。
(2)采用的主要產(chǎn)品標(biāo)準(zhǔn)或規(guī)范，包括軟件開(kāi)發(fā)規(guī)范、軟件文檔編制規(guī)范和軟件質(zhì)量保證規(guī)范。例如，通用的技術(shù)標(biāo)準(zhǔn)有：
GB／T 8566-1995《信息技術(shù)軟件生存周期過(guò)程》；
GB／T 16680-1996((軟件文檔管理指南》；
GB／T 12504-1990((計(jì)算機(jī)軟件質(zhì)量保證計(jì)劃指南》。
(3)組織的質(zhì)量管理體系文件和軟件設(shè)計(jì)開(kāi)發(fā)的輸出。策劃的輸出主要是軟件開(kāi)發(fā)計(jì)劃、軟件測(cè)試計(jì)劃。作為主要設(shè)計(jì)輸入的軟件需求說(shuō)明，也是審核軟件設(shè)計(jì)和軟件測(cè)試的依據(jù)。
2．醫(yī)療器械軟件的專(zhuān)用審核依據(jù)
由于醫(yī)療器械軟件對(duì)于人類(lèi)生命和健康的特殊重要性，國(guó)際電工委員會(huì)(IEC)的第62技術(shù)委員會(huì)所屬醫(yī)用電氣設(shè)備通用要求第62A分委員會(huì)和國(guó)際標(biāo)準(zhǔn)化組織(ISO)醫(yī)療器械質(zhì)量管理和通用要求第210委員會(huì)組成的聯(lián)合工作組，于2005年制定和發(fā)布了IEC DIS 62304((醫(yī)療器械軟件軟發(fā)布FDIS稿。該標(biāo)準(zhǔn)用于醫(yī)療器械軟件的設(shè)計(jì)和維護(hù)，它關(guān)注的核心問(wèn)題是安全可靠。該標(biāo)準(zhǔn)的應(yīng)用范圍是醫(yī)療器械軟件。在開(kāi)發(fā)醫(yī)療器械時(shí)，該標(biāo)準(zhǔn)和其他適用的標(biāo)準(zhǔn)共同使用。標(biāo)準(zhǔn)共分為9章：范圍、引用標(biāo)準(zhǔn)、定義、通用要求、軟件開(kāi)發(fā)過(guò)程、軟件維護(hù)過(guò)程、軟件風(fēng)險(xiǎn)管理過(guò)程、軟件配置管理過(guò)程和軟件問(wèn)題解決過(guò)程。這是醫(yī)療器械軟件的專(zhuān)用審核依據(jù)。
在醫(yī)療器械軟件審核中要關(guān)注：醫(yī)療器械軟件制造商應(yīng)建立和運(yùn)行質(zhì)量管理體系，來(lái)證實(shí)其有能力持續(xù)提供滿足顧客和適用法律法規(guī)要求的醫(yī)療器械軟件。該標(biāo)準(zhǔn)規(guī)定，質(zhì)量管理體系應(yīng)符合：
醫(yī)藥行業(yè)質(zhì)量管理體系標(biāo)準(zhǔn)(YY／TT 0287 idt IS013485)：
國(guó)家質(zhì)量管理體系標(biāo)準(zhǔn)(GB／T 19001)；
對(duì)軟件應(yīng)用質(zhì)量管理體系的指南(ISO／IEC 90003：2004)：
制造商還必須應(yīng)用符合YY仃0316—2003 idt IS014971：2000<<醫(yī)療器械風(fēng)險(xiǎn)管理對(duì)醫(yī)療器械的應(yīng)用》標(biāo)準(zhǔn)規(guī)定的風(fēng)險(xiǎn)管理過(guò)程。醫(yī)療器械軟件安全性的審核重點(diǎn)
1．IEC／DIS 62304標(biāo)準(zhǔn)的通用要求
IEC／DIS 62304標(biāo)準(zhǔn)規(guī)定了醫(yī)標(biāo)準(zhǔn)中描述的一組過(guò)程、活動(dòng)和工作，為醫(yī)療器械軟件壽命周期過(guò)程建立了一個(gè)共同的架構(gòu)，用于醫(yī)療器械軟件的設(shè)計(jì)和維護(hù)。
標(biāo)準(zhǔn)的目的是提供一個(gè)持續(xù)產(chǎn)生高質(zhì)量、安全的醫(yī)療器械軟件開(kāi)發(fā)過(guò)程。為此，標(biāo)準(zhǔn)識(shí)別了需要完成的最小的活動(dòng)和工作，以便設(shè)計(jì)、開(kāi)發(fā)并生產(chǎn)可靠和安全的軟件產(chǎn)品。
由于確實(shí)沒(méi)有已知的方法保證任何種類(lèi)軟件100％的安全性，標(biāo)準(zhǔn)的通用要求有三個(gè)主要的原則，幫助保證醫(yī)療器械軟件達(dá)到可接受的安全性：
風(fēng)險(xiǎn)管理；
質(zhì)量管理；
軟件工程。
為了開(kāi)發(fā)和維護(hù)安全的醫(yī)療器械軟件，必須建立風(fēng)險(xiǎn)管理過(guò)程作為質(zhì)量管理體系的組成部分，并作為軟件工程方法和技術(shù)應(yīng)用的全面架構(gòu)。三個(gè)概念的結(jié)合，使醫(yī)療器械軟件制造商(以下簡(jiǎn)稱(chēng)制造商)可遵照一個(gè)清晰的和可重復(fù)的決策過(guò)程，以保證醫(yī)療器械軟件的安全性。
標(biāo)準(zhǔn)要求制造商要在一個(gè)質(zhì)量管理體系內(nèi)進(jìn)行軟件的開(kāi)發(fā)，同時(shí)還要進(jìn)行風(fēng)險(xiǎn)管理。軟件開(kāi)發(fā)參加風(fēng)險(xiǎn)管理活動(dòng)，可以成功地保證所有與醫(yī)療器械軟件相關(guān)的合理可預(yù)見(jiàn)的風(fēng)險(xiǎn)得到研究。
2．按照醫(yī)療器械軟件的安全性級(jí)別，滿足標(biāo)準(zhǔn)的符合性要求
通常，將風(fēng)險(xiǎn)定義為損害的件壽命周期過(guò)程》，計(jì)劃于2006年 療器械軟件的壽命周期要求。在 嚴(yán)重度及其發(fā)生概率的結(jié)合。然而，使用傳統(tǒng)的統(tǒng)計(jì)方法，不能確切地確定軟件失效的發(fā)生概率。所以，標(biāo)準(zhǔn)規(guī)定，假定軟件項(xiàng)的失效將要發(fā)生，而以軟件項(xiàng)失效產(chǎn)生危害的嚴(yán)重度為基礎(chǔ)，實(shí)施和風(fēng)險(xiǎn)控制措施有關(guān)的軟件項(xiàng)安全性分級(jí)。
標(biāo)準(zhǔn)的第四章《通用要求》將醫(yī)療器械軟件按照下列規(guī)定劃分為三個(gè)等級(jí)，按照軟件安全級(jí)別實(shí)施有關(guān)的所有的過(guò)程、活動(dòng)和工作時(shí)，規(guī)定要符合本標(biāo)準(zhǔn)的各項(xiàng)要求。方法是用檢查醫(yī)療器械軟件風(fēng)險(xiǎn)管理文檔和軟件安全級(jí)別所要求的過(guò)程、活動(dòng)和工作評(píng)定的方法決定符合性。
(1)制造商應(yīng)按照和軟件系統(tǒng)有關(guān)的危害對(duì)于患者、操作者或其他人員產(chǎn)生的影響，賦予每個(gè)軟件系統(tǒng)一個(gè)軟件安全級(jí)別。
如果軟件系統(tǒng)的失效像預(yù)計(jì)的表現(xiàn)那樣，可能引起危害，則此項(xiàng)失效的概率應(yīng)假定為100％。如果危害引起的風(fēng)險(xiǎn)以硬件的風(fēng)險(xiǎn)控制措施使其降至可接受水平，則分級(jí)方案應(yīng)將此項(xiàng)風(fēng)險(xiǎn)控制措施考慮在內(nèi)。
按照軟件失效效應(yīng)的嚴(yán)重度，軟件安全級(jí)別分為：
A級(jí)：不可能有傷害；
B級(jí)：不可能有重傷；
C級(jí)：可能死亡或重傷。重傷的定義是導(dǎo)致下列結(jié)果的傷害或疾病：危及生命，造成人體功能的永久性喪失或人體結(jié)構(gòu)的永久性損壞，需要內(nèi)科或外科介入以防止人體功能的永久性喪失或人體結(jié)構(gòu)的永久性損壞。
(2)制造商應(yīng)在風(fēng)險(xiǎn)管理文檔中記錄賦予每個(gè)軟件系統(tǒng)的軟件安全級(jí)別。
(3)當(dāng)軟件系統(tǒng)分解為軟件項(xiàng)目，并且當(dāng)軟件項(xiàng)目又進(jìn)一步分解為軟件項(xiàng)目時(shí)，這樣的軟件項(xiàng)目應(yīng)繼承初始軟件項(xiàng)目(或軟件系統(tǒng))的軟件安全級(jí)別，除非制造商有證明選用不同軟件安全級(jí)別的理由。
(4)如果以分解方式產(chǎn)生的軟件項(xiàng)目的安全級(jí)別和其源軟件項(xiàng)目不同，制造商應(yīng)記錄每個(gè)軟件項(xiàng)目的軟件安全級(jí)別。
(5)為了符合本標(biāo)準(zhǔn)，在規(guī)定級(jí)別的軟件項(xiàng)需要一個(gè)過(guò)程，而此過(guò)程需要應(yīng)用一組軟件項(xiàng)目時(shí)，制造商應(yīng)使用軟件項(xiàng)在一組中的最高級(jí)別的分級(jí)所需要的過(guò)程和工作，除非制造商有理由在風(fēng)險(xiǎn)管理文檔中使用較低的級(jí)別。
(6)對(duì)于每個(gè)軟件系統(tǒng)，在賦予其軟件安全級(jí)別之前，必須應(yīng)用C級(jí)的要求。
在規(guī)定了安全性等級(jí)以后，就要按照標(biāo)準(zhǔn)要求的過(guò)程、活動(dòng)和工作進(jìn)行醫(yī)療器械軟件的設(shè)計(jì)開(kāi)發(fā)、維護(hù)、風(fēng)險(xiǎn)管理、配置管理和解決問(wèn)題。這是標(biāo)準(zhǔn)的符合性要求。
3．軟件風(fēng)險(xiǎn)管理過(guò)程
標(biāo)準(zhǔn)要求軟件的風(fēng)險(xiǎn)管理必須按照YY／T 0316 idt ISO 14971《醫(yī)療器械風(fēng)險(xiǎn)管理對(duì)醫(yī)療器械的應(yīng)用》進(jìn)行。該標(biāo)準(zhǔn)分為9章：范圍、術(shù)語(yǔ)和定義、風(fēng)險(xiǎn)管理通用要求、風(fēng)險(xiǎn)分析、風(fēng)險(xiǎn)評(píng)價(jià)、風(fēng)險(xiǎn)控制、全部剩余風(fēng)險(xiǎn)的可接受性評(píng)價(jià)、風(fēng)險(xiǎn)管理報(bào)告、生產(chǎn)和生產(chǎn)后的信息。
標(biāo)準(zhǔn)要求在執(zhí)行軟件維護(hù)過(guò)程后，應(yīng)執(zhí)行風(fēng)險(xiǎn)管理過(guò)程。在了解軟件的風(fēng)險(xiǎn)管理過(guò)程之前，應(yīng)首先回顧一下有關(guān)的基本概念，風(fēng)險(xiǎn)是損害的發(fā)生概率與損害嚴(yán)重程度的結(jié)合，而風(fēng)險(xiǎn)管理(Tiskmanagement)包括了用于風(fēng)險(xiǎn)分析、評(píng)價(jià)和控制工作的管理方針、程序及其實(shí)踐的系統(tǒng)運(yùn)用。風(fēng)險(xiǎn)管理過(guò)程的實(shí)施依據(jù)是YY／110316 idt ISO 14971，標(biāo)準(zhǔn)要求如下。
(1)要對(duì)和危害處境有關(guān)的軟件進(jìn)行風(fēng)險(xiǎn)分析。損害(haTm)是對(duì)人體健康的實(shí)際傷害或侵害，或是對(duì)財(cái)產(chǎn)或環(huán)境的侵害；危害(hazaTd)是損害的潛在源；危害處境(hazaTdous situation)是人員、財(cái)產(chǎn)或環(huán)境處于一個(gè)或多個(gè)危害之中的境遇。
制造商應(yīng)識(shí)別在醫(yī)療器械IS014971的風(fēng)險(xiǎn)分析活動(dòng)中已被辨識(shí)出和危害處境可能有關(guān)的軟件項(xiàng)(適用于B、C級(jí)醫(yī)療器械軟件)；危害處境可能直接導(dǎo)致軟件失效或?qū)е乱言谲浖袑?shí)施的風(fēng)險(xiǎn)控制措施的失效。
制造商應(yīng)識(shí)別與造成危害處境有關(guān)的軟件項(xiàng)的可能原因(B、C級(jí)適用)。在有些情況下，制造商應(yīng)研究包括下列方面的可能原因：
不正確的或不完整的功能規(guī)范；
在已識(shí)別的軟件項(xiàng)目功能中的軟件缺陷；
來(lái)自未知來(lái)源軟件(SoftwaTe Of Unknown PTovenance，SOUP)的失效或非預(yù)期結(jié)果；SOUP是已被他人開(kāi)發(fā)并且通?？傻玫降能浖?xiàng)目；
可能導(dǎo)致在不可預(yù)知的軟件運(yùn)行中的硬件失效或其他軟件缺陷，以及合理可預(yù)見(jiàn)的誤用(B、C級(jí)適用)。
制造商應(yīng)將(B、C級(jí))軟件項(xiàng)目和危害處境有關(guān)的原因在風(fēng)險(xiǎn)管理文檔中形成文件，還應(yīng)將可能在危害處境中產(chǎn)生的事件順序形成文件，置于風(fēng)險(xiǎn)管理文檔中。
(2)標(biāo)準(zhǔn)對(duì)風(fēng)險(xiǎn)控制措施提出了兩點(diǎn)要求：
為了將風(fēng)險(xiǎn)或剩余風(fēng)險(xiǎn)降低到可以接受的水平，針對(duì)每一個(gè)和危害處境有關(guān)的軟件項(xiàng)的可能原因，制造商應(yīng)規(guī)定風(fēng)險(xiǎn)控制措施，并形成文件(B、C級(jí)適用)。
如果風(fēng)險(xiǎn)控制措施是作為軟件項(xiàng)的作用或責(zé)任的一部分實(shí)施，則制造商應(yīng)：把風(fēng)險(xiǎn)控制措施包括在軟件需求之內(nèi)；在危害的可能效應(yīng)的基礎(chǔ)之上，賦予軟件項(xiàng)一個(gè)軟件安全級(jí)別；按照標(biāo)準(zhǔn)規(guī)定開(kāi)發(fā)軟件項(xiàng)(B、C級(jí)適用)。
(3)風(fēng)險(xiǎn)控制措施有效性的驗(yàn)證。為了檢查風(fēng)險(xiǎn)控制措施的有效性，檢查和醫(yī)療器械軟件有關(guān)的風(fēng)險(xiǎn)或剩余風(fēng)險(xiǎn)是否降低到可接受的水平；保證它的安全性，對(duì)每個(gè)形成文件的風(fēng)險(xiǎn)控制措施都要進(jìn)行驗(yàn)證，并將驗(yàn)證結(jié)果形成文件(B、C級(jí)適用)。如果風(fēng)險(xiǎn)控制措施是作為軟件項(xiàng)實(shí)施的，則制造商應(yīng)對(duì)軟件控制措施進(jìn)行評(píng)審，以便識(shí)別在危害處境中可能產(chǎn)生的新的事件順序并形成文件。適當(dāng)時(shí)，應(yīng)將軟件危害的可追溯性形成文件。
(4)軟件更改的風(fēng)險(xiǎn)管理。在軟件的使用和維護(hù)過(guò)程中，可能需要更改。首先，制造商要對(duì)軟件更改的安全性進(jìn)行分析(A、B、C級(jí)均適用)。然后，分析軟件更改對(duì)于現(xiàn)有風(fēng)險(xiǎn)控制措施的影響；最后，制造商應(yīng)在這些分析的基礎(chǔ)上完成規(guī)定的風(fēng)險(xiǎn)管理活動(dòng)(B、C級(jí))。