醫(yī)療器械軟件標(biāo)準(zhǔn)測試

1、醫(yī)療器械軟件標(biāo)準(zhǔn)測試本文作者任海萍女士，博士、國家食品藥品監(jiān)督管理局中檢所醫(yī)療器械質(zhì)量監(jiān)督 檢驗中心；奚廷斐先生，主任、研究員、博士生導(dǎo)師，中國生物醫(yī)學(xué)工程學(xué)會常 務(wù)理事、生物材料分會主任委員，人工器官分會副主任委員，全國醫(yī)療器械生物 學(xué)評價標(biāo)準(zhǔn)化技術(shù)委員會主任委員；湯京龍先生，助理研究員；王碩先生、王建 宇先生，實(shí)習(xí)研究員；陸頌芳女士，主任技師。關(guān)鍵詞：醫(yī)療器械軟件標(biāo)準(zhǔn)測試一概述隨著計算機(jī)技術(shù)的發(fā)展，越來越多的醫(yī)用電氣設(shè)備中使用了計算機(jī)軟件技術(shù)，其安全性是非常重要的，而它的復(fù)雜性超過了那些單純的治療和/或診斷醫(yī)用電氣設(shè)備。同時，越來越多的軟件被用于在醫(yī)療監(jiān)視下對患者進(jìn)行診斷、治療或監(jiān)護(hù)。 醫(yī)

2、療器械的許多重要功能,越來越多地依靠軟件進(jìn)行控制,因此,醫(yī)療器械中軟 件錯誤導(dǎo)致的后果可能非常嚴(yán)重。 而軟件產(chǎn)品可能在六個月內(nèi)就已經(jīng)過時了。 從 而，在醫(yī)療器械生產(chǎn)企業(yè)和管理部門之間存在著矛盾 ：生產(chǎn)企業(yè)必須盡快使新的 含軟件器械上市，但同時，管理部門必須保護(hù)公眾免受與軟件相關(guān)的器械故障造 成的危害。2003年開始，我國國家食品藥品監(jiān)督管理局將相關(guān)軟件納入了醫(yī)療器械管理。軟件質(zhì)量已成為大家共同關(guān)注的焦點(diǎn)。由于我國目前醫(yī)療器械管理的技術(shù)基礎(chǔ)主 要是產(chǎn)品的第三方測試，因此，軟件測試是否充分、有效，直接影響到軟件產(chǎn)品 的質(zhì)量，也影響著是否能夠?qū)︶t(yī)療器械軟件進(jìn)行有效管理。但是，由于軟件產(chǎn)品的特殊性，我

3、國至今尚未形成醫(yī)療器械軟件產(chǎn)品測試的國家標(biāo)準(zhǔn)和行業(yè)標(biāo)準(zhǔn)。本文通過對美國FDA的醫(yī)療器械軟件管理、軟件工程以及軟件測試情況的介紹，希 望能為我國加強(qiáng)醫(yī)療器械軟件的管理、盡快制定技術(shù)標(biāo)準(zhǔn)提供參考。二軟件的特殊性美國FDA對于作為醫(yī)療器械組件、部件或附件的軟件、本身就是醫(yī)療器械的軟件 （例如模擬重建血管系統(tǒng)軟件）、加工制造醫(yī)療器械時使用的軟件（例如加工器械 時使用的邏輯控制程序）以及器械制造商在質(zhì)控系統(tǒng)中所使用的軟件（例如記錄 和保存器械歷史記錄的軟件）都根據(jù)其特定的使用要求進(jìn)行驗證。軟件與硬件的特性非常不同。其中的一個不同點(diǎn)就是幾乎所有的軟件問題都是在 軟件開發(fā)過程中的錯誤造成的。軟件錯誤在本質(zhì)上

4、是系統(tǒng)性的，而不是隨機(jī)的軟件本身不會因為磨損而導(dǎo)致運(yùn)行失敗，從安裝開始，就包含了那些導(dǎo)致失敗的所有錯誤。軟件的質(zhì)量問題事實(shí)上是設(shè)計問題，一般來說不是生產(chǎn)問題。軟件與硬件的第二個不同點(diǎn)就是軟件的復(fù)雜性。由于軟件對于不同的輸入執(zhí)行不同的語句(路徑)，因此，即使對一個簡單程序，測試其全部可能的執(zhí)行路徑都是 不切合實(shí)際的。所以，幾乎不可能確定該軟件是否完全沒有錯誤。故此，軟件的 質(zhì)量不能夠單單通過測試衡量。軟件和硬件的第三個不同之處在于軟件的靈活性。在開發(fā)周期的后繼階段，軟件 的改變會更容易一些。這提供了更多的靈活性，使得人們可以更好地根據(jù)硬件的 要求以及開發(fā)中出現(xiàn)的其他問題的要求進(jìn)行工作。由于軟件可

5、以比較容易地進(jìn)行更改，可能造成人們誤認(rèn)為軟件的錯誤也非常容易改正。事實(shí)上，對軟件的某個部分進(jìn)行改動，即使是對那些看起來很不合理的部分進(jìn)行改動，都可能導(dǎo)致其他部分的意外錯誤。美國FDA對1992至1998年之間認(rèn)證的3140個醫(yī)療器械軟件 系統(tǒng)進(jìn)行了回顧性分析，在這 3140例中，有242例(7.7%)軟件系統(tǒng)失效，而其 中192例(79%)是由于對軟件最初版本進(jìn)行修改后導(dǎo)致軟件系統(tǒng)出現(xiàn)缺陷并造成 軟件系統(tǒng)失效的。軟件組成雖然不象硬件組成那樣有一定的標(biāo)準(zhǔn)和可替代品，但在其開發(fā)中，開發(fā)者常常使用某些單元開發(fā)工具和技術(shù)。目標(biāo)定項方法和現(xiàn)有軟件單元的使用將會 加快軟件開發(fā)速度，降低軟件開發(fā)費(fèi)用。然而，

6、基本單元需要在集成過程中更加 小心謹(jǐn)慎，在集成之前，要全面定義、擴(kuò)展可重復(fù)應(yīng)用軟件代碼，全面理解現(xiàn)有 單元的作用。因此，設(shè)計合理有效的軟件、編程實(shí)現(xiàn)它，并確保進(jìn)行的改動是完全且正確的， 這需要一個系統(tǒng)性的方法。這就是軟件工程。軟件的測試已經(jīng)超越了對最終產(chǎn)品 的傳統(tǒng)測試和評價，還包括了對其生產(chǎn)過程的要求，在風(fēng)險管理、風(fēng)險防范和開 發(fā)生命周期的基礎(chǔ)上，從軟件工程角度對軟件進(jìn)行管理、測試和評價。美國 FDA“General Principles of Software Validation; Final Guidance for Industry and FDA Staff ”和 IEC 60601

7、-1-4 "Medical electrical equipment-Part 1-4: General requirements for safety-collateral standard: Programmable electrical medical systems”都是從這個角度來討論對于醫(yī)療器械軟件的管理的。三軟件管理和標(biāo)準(zhǔn)FDA使用“測試水平”來評價設(shè)備出現(xiàn)潛在危險、設(shè)計失誤，或者使用該醫(yī)療器 械軟件可能對病人或操作者產(chǎn)生直接或間接傷害的程度。如果軟件對設(shè)備的操作 可能直接使病人和/或操作者致死或重傷，或由軟件的錯誤或信息的滯后而間接 引起的死亡或重傷，該軟件的測試水平

8、為高。如果軟件對設(shè)備的操作可能直接使 病人和/或操作者非嚴(yán)重傷害，或由軟件的錯誤或信息的滯后而間接引起的非嚴(yán) 重傷害，該軟件測試水平為中。如果軟件的運(yùn)行錯誤或設(shè)計問題并不引起任何對 病人和操作人員的傷害，該軟件測試水平為低。軟件上市前測試過程的范圍和危 險管理都是與其測試水平相對應(yīng)的。如果生產(chǎn)上可以證明某個醫(yī)療器械的軟件是使用很好的軟件工程過程實(shí)現(xiàn)的，那么，對此器械的上市前審查就可以集中于與器械相關(guān)的風(fēng)險以及如何最好地管理 這些風(fēng)險。FDM對軟件開發(fā)過程進(jìn)行審查，這使得上市前審查更加快捷，一致 性更強(qiáng)。軟件標(biāo)準(zhǔn)要求對構(gòu)成軟件工程工作的各部分進(jìn)行詳細(xì)的文件描述和定義。表1是FDA軟件標(biāo)準(zhǔn)技術(shù)小組

9、解釋的各種不同水平軟件標(biāo)準(zhǔn)。其中，國內(nèi)比較熟悉的有IEC在1996年5月發(fā)布的“ IEC 60601-1-4并行標(biāo)準(zhǔn)：可編程醫(yī)用電氣 系統(tǒng)”標(biāo)準(zhǔn)。此標(biāo)準(zhǔn)要求生產(chǎn)商遵循某過程，該過程包括風(fēng)險分析和開發(fā)活動， 要求生產(chǎn)商建立該過程的記錄以支持使用可編程電子子系統(tǒng)的醫(yī)用電氣設(shè)備的 安全性聲明。IEC 60601-1-4標(biāo)準(zhǔn)作為醫(yī)療設(shè)備系統(tǒng)的風(fēng)險管理標(biāo)準(zhǔn)是非常有用 的，遵循此標(biāo)準(zhǔn)非常有益。不過，IEC 60601-4是作為一個風(fēng)險管理標(biāo)準(zhǔn)而起草 的，并沒有計劃闡述軟件有效性；該標(biāo)準(zhǔn)只涵蓋了產(chǎn)品生命周期中的設(shè)計部分， 并沒有闡述軟件的維護(hù)和報廢；該標(biāo)準(zhǔn)闡述了系統(tǒng)水平的風(fēng)險分析，但是較少闡 述軟件的規(guī)劃；

10、IEC 60601-1-4沒有涵蓋FDA®理的所有醫(yī)療器械（如單機(jī)軟件）。 四軟件的測試軟件的測試應(yīng)當(dāng)是在其整個生命周期進(jìn)行的， V模型是其較常用的測試模型之 一。我們必須活楚，并不存在某一種測試模型或者測試方法可以確保對某一個特 定軟件進(jìn)行徹底的測試。對所有的程序功能進(jìn)行測試也不意味著對整個程序進(jìn)行 了測試。測試一個程序的所有代碼也不意味著對程序中所有必須的功能進(jìn)行了測100%E確的試。即使測試了所有程序的功能和所有程序代碼也不代表程序就是 一般來說，常見的軟件測試可分為白盒測試、黑盒測試和灰盒測試。白盒測試是基于譯碼的測試，乂被稱為結(jié)構(gòu)測試，這項測試的參數(shù)是根據(jù)源代碼 提供的信息

11、、設(shè)計說明書和其它相關(guān)文件得到的。白盒測試一般分為靜態(tài)測試和 動態(tài)測試，靜態(tài)測試不實(shí)際運(yùn)行軟件，主要是對軟件的編程格式、結(jié)構(gòu)等方面進(jìn) 行評估，而動態(tài)測試需要在Host環(huán)境或Target環(huán)境中實(shí)際運(yùn)行軟件，并使用設(shè) 計的測試用例去探測軟件漏洞。靜態(tài)測試包括代碼檢查、靜態(tài)結(jié)構(gòu)分析、代碼質(zhì) 量量度等。動態(tài)測試包括功能確認(rèn)與接口測試、覆蓋率分析、性能分析、內(nèi)存分 析等。黑盒測試是指事先計劃或規(guī)定的測試， 乂被稱為功能測試，它是通過使用整個軟 件或某種軟件功能來嚴(yán)格地進(jìn)行測試， 沒有通過檢查程序的源代碼，或者測試人 員并不是很活楚地了解該軟件或某種軟件功能的源代碼程序具體是如何設(shè)計的。測試人員通過輸入他

12、們的數(shù)據(jù)然后看輸出的結(jié)果從而了解軟件怎樣工作。其測試參數(shù)是根據(jù)軟件產(chǎn)品（不管是單元模塊還是一個完整的程序）事先設(shè)計好的軟件 用途來確定的。目前常用的測試工具有 TeamTest Robot、QACentei WebLoad WebStress 等?；液袦y試就像黑盒測試一樣是通過用戶界面測試，但是測試人員已經(jīng)對該軟件或某種軟件功能的源代碼程序具體是如何設(shè)計的有所了解，甚至還讀過部分源代 碼，這樣，測試人員就可以有的放矢地進(jìn)行某種確定條件或功能的測試。雖然軟件的第三方測試并不能完全說明軟件沒有錯誤，但是它還是為比較客觀地 評價軟件質(zhì)量提供了強(qiáng)有力的依據(jù)。由于生產(chǎn)商常常不能或出于保密目的不愿意 提供

13、源代碼，一般第三方測試都是采用黑盒測試方法。ISO/IEC 12119-1994（等同于GB/T 17554-1998 “信息技術(shù) 軟件包 質(zhì)量要求和 測試”）規(guī)定了對軟件包的質(zhì)量要求，并規(guī)定了測試細(xì)則，特別是第三方測試。由于我國目前對醫(yī)療器械軟件的管理仍然是基于第三方測試，同時乂沒有專門適用的測試標(biāo)準(zhǔn),GB/T 17554就成了目前大多數(shù)醫(yī)療器械注冊產(chǎn)品標(biāo)準(zhǔn)所引用的 技術(shù)標(biāo)準(zhǔn)。GB/T 17554從產(chǎn)品描述、用戶文檔以及程序和數(shù)據(jù)三個方面規(guī)定了軟件的質(zhì)量 要求。其中，產(chǎn)品描述的要求包括內(nèi)容的一般要求、標(biāo)識和指示、功能說明、可用戶文檔的靠性說明、易用性說明、效率說明、可維護(hù)性說明、可移植性說明 要求包括