医疗器械软件生存周期过程——IEC／DIS62304标准的应用

医疗器械软件生存周期过程——IEC／DIS62304的应用 医疗器械软件生存周期过程——IEC, DIS62304标准的应用 标准检澳l St,andardandTeeing 武俊华北京国医械华光认证有限公司(北京100011) 内容提要:医疗器械软件是医疗器械行业重要类别之一,其安垒性是医疗器械软件开发的核心内容.但是, 一 般的计算机软件的标准不足以覆盖相关要求,为此,本文介绍了最新国际专用标准(国际标准草 案)《医疗器械软件—软件生存周期过程》,供医疗器械企业参考. MedicalDeviceSoftwareSurvivePeriodProcess _IEc/DIS62304StandardApplication :1'ng塑g!堕壁塑!!i!1 文章编号:【006-6586{2006)09-0032~5中图分类号:R4549文献标帆码:B 前言 随着人民生活水平的日盏提高和保护人民腱康的广 泛需要,医疗器械在世界各国得到了迅速的发展,据统 计:2003年垒球医疗器械市场容量为2484亿美元,国 际贸易额每年以25%的速度增长中国医疗器械产业 近些年发展也很快,年增长率达到14%一15%,"早期发现, 精确治疗个性化服务"是当前医学临康工作的发展方 向.而数字化,信息化医疗产品是现代医疗器械产业的 核心;可想而知,医疗器械软件飞速发展.使用日益增多. 医疗器械软件(medicaldevicesoftware)的定义是用 于包括在被开发的医疗器械内或者预期本身作为医疗器 械使用的戟件系统"(引自IEC/DIS623(H医疗器械软 件—敏件生存周期过程)医疗器械软件包括:可单 独以软件产品注册的医疗器械软件和在治疗和诊断设备 中使用的医疗器械软件.可单独以软件产品注册的医疗 器械软件有:在x射线立体定向放射外科治疗系统或局 部网络放射治疗系统中使用的功能程序化软件在X射 线计算机断层摄影设备成像用软件和医用磁共振成像系 统中使用的诊断图像处理软件s在24d,B,t垒信息动态 心电分析系统或24小时全信息动态脑电记录分析系统 中使用的诊断数据处理软件-在远程诊断中使用的影像 档案传输,处理系统软件等.除此以外,许多治疗和诊 断设备中都含有软件,它们多数属于嵌入式软件. 在医疗器械软件错误应用或发生失效的情况下, 有时会发生严重的后果,例如立体定向外科治疗系统 的错误会导致疗效降低并伤害正常组织影像处理系 统的问题会导致错误的诊断.美国曾发生放射治疗机 软件错误,造成5名患者受到超剂量辐暇而死亡还 有血库程序出错,导致一千多品脱AIDS病毒感染的血 液被当作健康人血使用.为此,对于医疗器械软件的 安全问题,除了是制造商的重大责任外,也是医疗器 械监管部门所关注的核心问题之一. 1医疗器械软件的设计开发和维护依据 I.1一般计算机软件的设计开发依据 (1)GB厂r19001—2000或GJB9001A一200I标准I ISO/IEC90003:2004《对软件应用质量管理体系的 指南*. (2)采用的主要产品标准或,包括软件开发规范, 软件文档编制规范和软件质量保证规范例如通用的 技术标准有: GB厂r8566—1995《信息技术软件生存周期过程 GB/T166813-1996《软件文档管理指南》I GBfr12504_l99o计算机软件质量保证计划指南》铃 12医疗器械软件的专用标准IEC/DIS62304 由于计算机软件的通用标准不能涵盖医疗器械软 件的相关要求,因此,IEC的第6,技术委员会所属 医用电气设备通用要求第62A分委员会,与ISO医 收稿日期:2006?5—27 作者简介:武俊华,教授,高级审棱员.北京国医械华光认怔有限盐司专家组成员.国 家特殊津贴获得者 32c,:h~IBE开嚣棚信20o15年第J2卷第9期饰?2No9 StandardandTesting 标准检测 疗器械质量管理和通用要求第210委员会组成的联合 工作组于2005年制订和发布了IECDIS62304医疗 器械软件一软件生存周期过程,并于2006年4月在 ISO/TC210D第12届年会上进行了讨论,随后计划发 布FDIS稿.它是医疗器械软件的第一个专用标准,该 标准用于医疗器械软件的设计开发和维护.它关注的核 心问题是安全可靠.在设计开发医疗器械时,该标准和 其他适用的标准共同使用.标准共分为9章:范围,引 用标准,定义,通用要求,软件开发过程,软件维护过 程,软件风险管理过程,软件配置管理过程和软件问题 解决过程.这是医疗器械软件设计开发的专用依据. 医疗器械软件设计开发要关注:医疗器械软件制 造商应建立和运行质量管理体系,来证实其有能力持 续提供满足顾客和适用法规要求的医疗器械软件.该 标准规定:质量管理体系应符合: 医药行业质量管理体系标准YY/T0287idtISO 13485 国家质量管理体系标准GB/T19001idtISO 9001:2000 制造商还必须应用符合YY/T0316—2003idt ISO14971:2000医疗器械风险管理对医疗器械 的应用标准规定的风险管理过程 1.3医疗器械软件的特点 整个标准贯彻了"安全性为中心一可靠性是基础一 风险管理做工具一质量体系做保证"的中心思想. 对于医疗器械软件,其生存周期过程要包括: 软件开发过程 软件维护过程 软件风险管理过程 软件配置管理过程 软件问题解决过程 除了和一般计算机软件的共同点以外,和一般计 算机软件不同的是增加了软件的风险管理过程;并且, 根据其可能产生的危害将医疗器械软件划分为不同的 安全性级别,提出了不同程度的要求. 本标准规定的要求按照其原意都是强制性的,提 出的形式均为"制造商应(shal1)……",而不是推荐性 —_的"应当"或"宜"should(should).一觋且. 2医疗器械软件安全性标准IEC/DIS62304(以下称本 标准)的基本内容: ?前言 ?引言 "本标准规定了每一个生存周期过程的要求." 作为主要的基础是:假定医疗器械软件是在质量 管理体系和风险管理体系内开发和维护的. ?1范围 1.1目的 "本标准的目的是规定医疗器械软件的生存周期要 求"."在本标准中描述的一组过程,活动和工作,为 医疗器械软件生存周期过程建立了一个共同的架构, 用于医疗器械软件的设计和维护." 1.2应用场合 "本标准用于医疗器械软件的设计和维护." 1.3和其他标准的关系 本标准的范围是医疗器械软件.在开发医疗器械 时,本标准和其他适用的标准共同使用. 1.4符合性 当按照软件项的软件安全级别,实施在本标准中所 识别的所有的过程,活动和工作时,规定要符合本标准. "用检查风险管理文档和评定软件安全级别所要求 的过程,活动和工作的确定符合性." 标准的目的是提供一个能够持续产生高质量,安 全的医疗器械软件开发过程.为此,标准识别了需要 完成的最小的活动和工作,以便使软件开发商生产高 可靠和安全的软件产品.本标准的范围是医疗器械软件. ?2引用标准 引用标准有ISO13485—2003和ISO14971—2000. 在开发医疗器械时,本标准和其他适用的标准共同使用. ?3定义 本标准规定了33个和医疗器械软件设计开发和 维护有关的定义.包括医疗器械软件,未知来源软件, 软件项目,风险管理等. ?4通用要求 "制造商应按照和软件系统有关的危害对于患者, 操作者或其他人员产生的影响,赋予每个软件系统一 中国医疗器械信息》2oo6~第12卷第9期Vo1.12No9'33 标准检测 StandardandTesting 个软件安全性级别(A,B或C)." ?5软件开发过程 软件开发过程 软件开发的策划,软件需求分析,软件体系结构, 软件详细设计,软件编码,软件综合和综合测试,软 件系统测试和软件发布. ?6软件维护过程 ?7软件风险管理过程 ?8软件配置管理过程 ?9软件问题解决过程 附录A(资料性附录)本标准各项要求的原理 附录B(资料性附录)本标准各项规定的指南 附录C(资料性附录)和其他标准的关系 一 附录D(资料性附录)实施 参考文献 下面,重点介绍医疗器械软件的安全性级别和软 件的风险管理. 3软件的安全性级别 首先,标准的第四章通用要求规定:医疗器械软 件制造商在质量管理体系内开展工作,"医疗器械软件 制造商应(shal1)使用质量管理体系,来证实其有能力 持续提供满足顾客和适用的法规要求的医疗器械软件". 质量管理体系应符合: ISO13485,或 . 国家质量管理体系标准,或 国家法规要求的质量管理体系 注对软件应用质量管理体系的指南见ISO/IEC 90003:2004 其次,标准还要求"制造商必须应用符合ISO 14971的风险管理过程." 并且,"制造商应按照和软件系统有关的危害对于 患者,操作者或其他人员产生的影响,赋予每个软件 系统一个软件安全性级别(A,B或C)". 由于确实没有已知的方法保证任何种类软件100% 的安全性.作为标准的通用要求有三个主要的原则, 帮助保证医疗器械软件达到可接受的安全性: 风险管理 ' 34《中国医疗器械信息*2006年第12卷第9期Vo1.12No.9 质量管理 软件工程 为了开发和维护安全的医疗器械软件,必须建立风险 管理过程作为质量管理体系的组成部分,并作为软件工程 方法和技术应用的全面的架构."三个概念的结合,使医 疗器械软件制造商(以下简称制造商)可遵照一个清晰的 和可重复的决策过程,以保证医疗器械软件的安全性." 标准要求制造商要在一个质量管理体系内进行软 件的开发,同时还要进行风险管理,软件开发参加风 险管理活动,可以成功地保证所有和医疗器械软件相 关的合理可预见的风险得到研究.标准明确地要求制 造商按照风险管理的标准YY/T0316idtISO14971: 2000来应用风险管理过程,这比在软件工程中规定其 他的风险管理过程更好. 按照医疗器械软件安全性级别,完成规定的符合性 要求.通常,风险定义是"损害的严重度及其发生概率 的结合".然而,使用传统的统计方法,不能确切地确定 软件失效发生概率.所以,在标准中规定,假定软件项 的失效将要发生,而以软件项失效产生的危害的严重度 为基础,实施和风险控制措施有关的软件项安全性分级. 在标准的第四章通用要求中,标准将医疗器械软 件按照下列规定划分为三个等级,按照软件安全级别 实施有关的所有的过程,活动和工作时,规定要符合 本标准的各项要求.方法是用检查医疗器械软件风险 管理文档和软件安全级别所要求的过程,活动和工作 评定的方法决定符合性. 软件的安全性分级标准规定,安全性级别分为A,B 或C三级. (1)制造商应按照和软件系统有关的危害对于患者,操 作者或其他人员产生的影响,赋予每个软件系统一个 软件安全级别:A,B或C级. 如果软件系统的失效像预计的表现那样,可能引 起危害,则此项失效的概率应假定为100%.如果危害 引起的风险以硬件的风险控制措施使其降至可接受水 平,则分级应将此项风险控制措施考虑在内. "按照软件失效效应的严重度,软件安全级别分 A级:不可能有伤害 B级:不可能有重伤 StandardandTesting 标准检测 C级:可能死亡或重伤. 重伤(seriousinjury)定义是导致下列结果的伤害或 疾病: a.危及生命; b.造成人体功能的永久性丧失或人体结构的永久性损 坏; C.需要内科或外科介入以防止人体功能的永久性丧失 或人体结构的永久性损坏." (2)制造商应在风险管理文档中记录赋予每个软件系统 的软件安全级别. (3)当软件系统分解为软件项目,并且当软件项目又进 一 步分解为软件项目时,这样的软件项目应继承初始 软件项目(或软件系统)的软件安全级别,除非制造商 有证明选用不同软件安全级别的理由. (4)如果以分解方式产生的软件项目的安全级别和其源 软件项目不同,制造商应记录每个软件项目的软件安 全级别, (5)为了符合本标准,在规定级别的软件项需要一个过 程,而此过程对于一组软件项目是需要应用时,制造 商应使用软件项在一组中的最高级别的分级所需要的 过程和工作,除非制造商有理由在风险管理文档中使 用较低的级别. (6)"对于每个软件系统,在赋予其软件安全级别之前, 必须应用C级要求." 在规定了安全性等级以后,就要按照标准要求的 过程,活动和工作进行医疗器械软件的设计开发,维护, 风险管理,配置管理和问题解决.这是标准的符合性要求. 4软件风险管理过程: 标准要求软件的风险管理必须按照YY/T0316idt IS014971((医疗器械风险管理对医疗器械的应用, 该标准分为9最范围,术语和定义,风险管理通用要求, 风险分析,风险评价,风险控制,全部剩余风险的可 接受性评价,风险管理报告,生产和生产后的信息. 本标准要求在执行软件维护过程后,应执行风险 管理过程,在了解软件的风险管理过程之前,首先回 顾一下有关的基本概念,风险(risk)是损害的发生概率 与损害严重程度的结合;而风险管理(riskmanagement) 包括了用于风险分析,评价和控制工作的管理方针, 程序及其实践的系统运用.本标准要求如下: ?1首先,要进行和对危害处境有关的软件进行风险 分析 损害(harm)是对人体健康的实际伤害或侵害,或 是对财产或环境的侵害.危害(hazard)是损害的潜在源. 而危害处境(hazardoussituation)是人员,财产或环境处 于一个或多个危害之中的境遇. 1.1可能和危害处境有关的软件项识别 "制造商应识别在医疗器械ISO14971的风险分析 活动中已被辨识出和危害处境可能有关的软件项.(适 用于B,C级医疗器械软件);危害处境可能直接导致软 件失效或导致已在软件中实施的风险控制措施的失效." 1.2识别和危害处境有关的可能原因 制造商应识别造成危害处境有关的软件项的可能 原因.(B,C级适用) 在有些情况下,制造商应研究包括下列方面的可 能原因: a.不正确的或不完整的功能规范; b.在已识别的软件项目功能中的软件缺陷; C.来自未知来源软件(SOUP:SoftwareofUnknown Provenance)的失效或非预期结果;SOUP是已被他人 开发并且通常可得到的软件项目. d.可能导致在不可预知的软件运行中的硬件失效或其 他软件缺陷;以及 e.合理可预见的误用. (B,C级适用) 1_3将可能原因和事件顺序形成文件 制造商应将(B,C级)软件项目和危害处境有关的 原因在风险管理文档中形成文件.还应将可能在危害 处境中产生的事件顺序形成文件,置于风险管理文档中. ?2风险控制措施 2.1规定风险控制措施 "为了将风险或剩余风险降低到可以接受的水平, 针对每一个和危害处境有关的软件项的可能原因,制 造商应规定风险控制措施,并形成文件.B,C级适用" 2.2在软件中实施的风险控制措施 (下转第38页) 中国医疗器械信息》2oO6年第l2卷第9期Vo1.12No.9'35 标准检测 2010612065390680899696 3010992037401881259788 4o10572019398879399622 5099620714044802295ll 曲线制备液峰面积几乎没有改变.这表明,蒸馏水中 溶解的环氧乙烷很容易达到气液平衡. 从表1中可以看出,随着平衡时间的增长,样品 环氧乙烷残留量峰面积在不断增大.这表明,浸入到 材料中的环氧乙烷分子从材料中释放出来进入到水中, 然后再由水中汽化进入到顶空空气中,达到气液两相 间的平衡这一过程需要有足够的时间.很显然,20min 的平衡时间是远远不够的.在气液尚未达到平衡的状 态下测试,我们对其检测结果的可靠性难免会产生质疑. 在国标GB/T16886.7((医疗器械生物学评价第 7部分环氧乙烷灭菌残留量中,列举了对产品浸提 几种方法,有用水模拟产品使用的浸提,热极限浸提, 乙醇极限浸提以及用溶剂极限浸提等方法.在用水模 (上接第35页) 如果风险控制措施是作为软件项的作用或责任的 一 部分实施,则制造商应: a.把风险控制措施包括在软件需求之内. b.在危害的可能效应的基础之上,赋予软件项一个软 件安全级别. c.按照标准规定开发软件项. B,C级适用. ?3风险控制措施有效性的验证 "为了检查风险控制措施的有效性,检查和医疗器 械软件有关的风险或剩余风险是否降低到可接受的水 平,保证它的安全性,对每个形成文件的风险控制措施 都要进行验证,并将验证结果形成文件.(B,C级适用)." 如果风险控制措施是作为软件项实施的.则制造 商应对软件控制措施进行评审,以便识别在危害处境 中可能产生的新的事件顺序并形成文件.适当时,应 将软件危害的可追溯性形成文件. ?4软件更改的风险管理 在软件的使用和维护过程中,可能需要更改.首先, ' 38《中国医疗器械信息》2006年第12卷第9期Vo1.12No.9 拟产品使用的浸提中指出"浸提样品的时间应大干或 等于一次性使用器械的最长时间,浸提温度应采用最 严格的模拟条件温度".在GB/T16886.7附录B5.4.2中, 对分析步骤是这样描述的:称取5g样品,管状样品切 成5mm长,放入顶空瓶中加入标准溶液,密封后在 70?下加热3h…….很显然,GB/T14233.1中给出的 601320min的平衡时间是经不起推敲的. 选用一种合适的浸提方法,确定其合理的平衡时 间,只有这样才能保证试验的准确性.对于不同的产品, 或者同一产品不同的材质其平衡时间都是有区别的,具 体需要多长时间才能使浸提液达到平衡,需要通过大量 的试验去验证,这一问题有待于更进一步的探讨. 参考文献 …陈荣三等《无机及分析化学》第二版,高等教育出版 社 【2]国家标准GB/T16886.7《医疗器械生物学评价第7部 分:环氧乙烷灭菌残留量,中华人民共和国国家质 量监督检验检疫总局发布. [31《中华人民共和国药典》2005版第二部. 制造商要对软件更改的安全性进行分析,A,B,C级均适 用.然后,分析软件更改对于现有风险控制措施的影嗨 最后,制造商应在这些分析的基础上完成规定的风险 管理活动(B,c级). 综上所述,医疗器械软件有别干一般的计算机软件, 审核中安全问题是核心问题之一,新国际标准草案的发 布,无疑对医疗器械软件的设计开发,维护和审核起到 重要的推动作用,而风险管理标准是必不可少的标准. 5展望 虽然,IEC62304((医疗器械软件一软件生存周期 过程尚处于国际标准草案阶段,在征求各成员团体的 意见,有关方面反映积极而热烈.该标准有望通过讨论 作为国际标准最终草案发布,最后经修改作为正式医疗 器械行业的国际标准发布,届时,SAC/TC221将尽快 采标,经过标委会讨论并经上报批准后,作为医疗器械 重要的行业标准发布,这必将为保证医疗器械软件的安 全可靠和医疗器械行业的发展发挥重大作用!