【作 者】馬莉，杜堃，何濤

浙江省醫(yī)療器械檢驗院，杭州市，310018

醫(yī)療器械軟件模型的研究和測評規(guī)范的初步建立

【作 者】馬莉，杜堃，何濤

浙江省醫(yī)療器械檢驗院，杭州市，310018

該文從通用軟件質(zhì)量評估模型出發(fā)，以醫(yī)療器械軟件中信息的傳輸形式為基礎(chǔ)，探索建立了醫(yī)療器械軟件模型。應(yīng)用此模型，初步建立了醫(yī)療器械軟件測評規(guī)范原則，并在兩種不同存在形式的醫(yī)療器械軟件上進(jìn)行了驗證。

醫(yī)療器械軟件；研究模型；測評規(guī)范

現(xiàn)有醫(yī)療器械軟件的質(zhì)量驗證，往往沿用了傳統(tǒng)的硬件檢驗方式，也就是在產(chǎn)品標(biāo)準(zhǔn)/技術(shù)要求中規(guī)定其功能、性能指標(biāo)，然后按照檢驗方法進(jìn)行檢驗。這樣的檢驗對于醫(yī)療器械軟件或與軟件相關(guān)的性能，往往只能僅限于功能性的檢查，并不能做到真正意義上的軟件質(zhì)量的測量和評估。本文根據(jù)軟件的特性，嘗試建立醫(yī)療器械軟件的研究模型和測評規(guī)范，用于評價醫(yī)療器械軟件的質(zhì)量。

1 軟件質(zhì)量評估模型

對于軟件產(chǎn)品的質(zhì)量評估[1]，國家標(biāo)準(zhǔn)GB/T 16260.1《軟件工程 產(chǎn)品質(zhì)量 第1部分：質(zhì)量模型》中描述了軟件產(chǎn)品質(zhì)量的兩部分模型：①內(nèi)部質(zhì)量和外部質(zhì)量；②使用質(zhì)量。內(nèi)部質(zhì)量和外部質(zhì)量的模型如圖1所示。

圖1 內(nèi)部和外部質(zhì)量的質(zhì)量模型Fig. 1 Quality model for the quality of the internal and external

使用質(zhì)量是使指定用戶在特定的使用環(huán)境下達(dá)到滿足有效性、生產(chǎn)率、安全性及滿意度要求的特定目標(biāo)的能力。如圖2所示。

圖2 使用質(zhì)量的質(zhì)量模型Fig.2 Quality model for the quality in use

按照上述這兩個質(zhì)量模型，通過內(nèi)、外部度量指標(biāo)和使用質(zhì)量的度量指標(biāo)來對軟件產(chǎn)品的質(zhì)量進(jìn)行描述，可以對軟件產(chǎn)品做出較為客觀地評價。而度量指標(biāo)的選擇基礎(chǔ)取決于產(chǎn)品的業(yè)務(wù)目標(biāo)和評價者的要求，這些要求由測度準(zhǔn)則確定。GB/T 16260《軟件工程 產(chǎn)品質(zhì)量》的第2、3、4部分分別給出了選用內(nèi)、外部度量和使用質(zhì)量度量指標(biāo)的指導(dǎo)[2-4]。

2 通用醫(yī)療器械軟件模型的建立

醫(yī)療器械軟件按照不同的分類原則，可以有不同的類別和描述。按照其在診斷、治療、輔助、補(bǔ)償、修復(fù)等功能性方面所起的作用來分，可以將其劃分為診斷軟件、治療軟件、輔助軟件、補(bǔ)償與修復(fù)軟件；按醫(yī)療器械軟件的預(yù)期用途，可以將其劃分為控制類醫(yī)療器械軟件、規(guī)劃類醫(yī)療器械軟件、導(dǎo)航類醫(yī)療器械軟件、傳輸和分析類醫(yī)療器械軟件；按照目前正在修訂的《醫(yī)療器械分類目錄》（征求意見稿）[5]，醫(yī)療器械軟件可以劃分為治療計劃軟件、影像處理軟件、數(shù)據(jù)處理軟件、決策支持軟件、體外診斷類軟件及其他；按照醫(yī)療器械軟件引起或產(chǎn)生的危害對于患者、操作者或其他人員的可能影響，從安全級別進(jìn)行分類[6]，可將其劃分為不可能存在對人體健康造成實(shí)際傷害或損壞潛在源的A類軟件、可能存在對人體健康造成不嚴(yán)重的傷害潛在源的B類軟件、可能存在對人體健康造成死亡或嚴(yán)重傷害潛在源的C類軟件；按照醫(yī)療器械軟件存在的形式[7]，又可將其劃分為不依賴于特定的硬件，即醫(yī)療儀器或設(shè)備，可以運(yùn)行在通用計算機(jī)或設(shè)備上獨(dú)立軟件、不能獨(dú)立運(yùn)行在通用儀器設(shè)備上，是與特定的硬件共同設(shè)計開發(fā)的，其作用主要是對硬件運(yùn)行的控制以及獲得數(shù)據(jù)的分析，其功能是提高硬件的可靠性、穩(wěn)定性的軟件組件（或稱之為嵌入式軟件）。

但以上這些分類方式，都無法從軟件這一基本屬性上，按照上述國家標(biāo)準(zhǔn)對其進(jìn)行內(nèi)、外部質(zhì)量和使用質(zhì)量的度量和評價。如果按照安全級別來分類，雖然直觀反映了醫(yī)療器械軟件的安全級別，但其不足是屬于同一安全級別的各種醫(yī)療器械軟件千差萬別，應(yīng)用領(lǐng)域差異較大，它們所反映的性能指標(biāo)也各不相同，度量標(biāo)準(zhǔn)也很不一致，難以制定各類安全級別統(tǒng)一的評測指標(biāo)。如果按照不同的應(yīng)用來分類，則①各應(yīng)用類別之間存在著交叉、重疊，有的醫(yī)療器械軟件可同時屬于不同的應(yīng)用類別，難以將它歸屬到單一的類別中；②難以覆蓋日新月異、層出不窮的醫(yī)療器械軟件；③同一應(yīng)用類別中的醫(yī)療器械軟件在安全要求上差異較大。

為此，我們的研究和論證，不考慮醫(yī)療器械軟件在臨床中是如何發(fā)揮作用及發(fā)揮何種作用，都使醫(yī)療器械軟件回歸軟件數(shù)據(jù)的傳輸和控制的本真，特提出了按照醫(yī)療器械軟件的數(shù)據(jù)傳輸形式作為特征，進(jìn)行類別的劃分和分類原則[8]。經(jīng)過分析，我們發(fā)現(xiàn)目前所有的醫(yī)療器械軟件按數(shù)據(jù)傳輸形式無非分為傳感輸入、非傳感輸入、驅(qū)動輸出、非驅(qū)動輸出等四種，我們按照醫(yī)療器械軟件在數(shù)據(jù)輸入、輸出中的不同形式組合，建立了能夠凸顯醫(yī)療器械軟件特征的模型。如圖3所示并說明如下。

（1）傳感器輸入 軟件系統(tǒng)僅接收來自器械的傳感子設(shè)備所獲取的人體生理參數(shù)即可進(jìn)行信息處理，并產(chǎn)生輸出。

（2）非傳感器輸入 軟件系統(tǒng)僅接收來自醫(yī)護(hù)人員人工輸入的控制參數(shù)即可進(jìn)行信息處理，并產(chǎn)生輸出。

圖3 醫(yī)療器械軟件模型[9]Fig. 3 Model for medical device software[9]

（3）驅(qū)動輸出 經(jīng)過信息處理，軟件系統(tǒng)僅發(fā)送驅(qū)動器械的操作子設(shè)備所需的控制信號。

（4）非驅(qū)動輸出 經(jīng)過信息處理，軟件系統(tǒng)僅發(fā)送輸出至顯示設(shè)備的生理信號可視化信息。

根據(jù)輸入輸出不同的排列組合，我們可以把全部的醫(yī)療器械軟件劃分為以下9類：① 傳感器輸入——驅(qū)動輸出（A）；② 傳感器輸入——非驅(qū)動輸出（D）；③ 非傳感器輸入——驅(qū)動輸出（B）；④ 非傳感器輸入——非驅(qū)動輸出（C）；⑤ 傳感器輸入，非傳感器輸入——非驅(qū)動輸出(CD)；⑥ 傳感器輸入，非傳感器輸入——驅(qū)動輸出（AB）；⑦ 傳感器輸入——驅(qū)動輸出，非驅(qū)動輸出(AD)；⑧ 非傳感器輸入——驅(qū)動輸出，非驅(qū)動輸出(BC)；⑨ 傳感器輸入，非傳感器輸入——驅(qū)動輸出，非驅(qū)動輸出(ABCD)。

圖4 醫(yī)療器械軟件通用分類示意圖Fig. 4 Schematic diagram for general classification of medical device software

這樣的一種新型醫(yī)療器械軟件分類模型的優(yōu)點(diǎn)是：① 它是一種全分類方法，能包含所有醫(yī)療器械中的軟件系統(tǒng)；② 它是一種針對軟件系統(tǒng)的分類方法，可以跨越醫(yī)療器械的應(yīng)用范疇，具有較高的概括性、抽象性，適用性強(qiáng)；③ 結(jié)合安全等級分類法，給出醫(yī)療器械中軟件系統(tǒng)的評測指標(biāo)體系，能充分涵蓋國內(nèi)外權(quán)威醫(yī)療器械分類的標(biāo)準(zhǔn)。

3 醫(yī)療器械軟件測評規(guī)范的初步建立

根據(jù)這個模型，選擇GB/T 16260.2《軟件工程產(chǎn)品質(zhì)量 第2部分：外部度量》規(guī)定的外部評價指標(biāo)和GB/T 16260.4《軟件工程 產(chǎn)品質(zhì)量 第4部分：使用質(zhì)量的度量》中使用質(zhì)量指標(biāo)以及GB/T 18905.5—2002《軟件工程 產(chǎn)品評價 第5部分：評價者用的過程》[10-13]，針對不同輸入、輸出形式醫(yī)療器械軟件適用的指標(biāo)，來擬定不同類型醫(yī)療器械軟件測評的指標(biāo)規(guī)范。

考慮到醫(yī)療器械軟件產(chǎn)品中，文檔記錄著醫(yī)療器械軟件從需求分析、模型建立、算法構(gòu)建、模塊分割、配置記錄、功能實(shí)現(xiàn)、各種方式測試方案、結(jié)果，到安裝使用、維護(hù)、版本升級等整個軟件生命周期過程中各步驟的痕跡[14]。文檔是醫(yī)療器械軟件產(chǎn)品非常重要的一個組成部分，尤其是對醫(yī)療器械軟件風(fēng)險的評估和控制尤為重要[15]，因此對醫(yī)療器械軟件質(zhì)量的測評必須包含對其所產(chǎn)生的文檔的測評。一些基礎(chǔ)性指標(biāo)是作為任何類型的醫(yī)療器械軟件正常工作所必須滿足的，我們把它作為通用指標(biāo)；另一些就是不同的信息輸入、輸出形式下，特別要求的特性指標(biāo)。我們按照信息傳輸形式劃分的醫(yī)療器械軟件類型，分別列出了針對傳感輸入、非傳感輸入、驅(qū)動輸出、非驅(qū)動輸出醫(yī)療器械軟件的特性指標(biāo)。每一種指標(biāo)均從安全性和有效性兩個方面考慮選取，這樣就構(gòu)成了醫(yī)療器械軟件測評規(guī)范三個部分的框架內(nèi)容：第一部分為適用所有類型醫(yī)用軟件通用指標(biāo)，第二部分是不同的輸入輸出類型特有的指標(biāo)，第三部分是醫(yī)用軟件文檔的測評指標(biāo)。見表1。

同樣按照醫(yī)療器械軟件信息輸入輸出不同形式，對應(yīng)軟件模型中的9類醫(yī)療器械軟件，可組合成九套相應(yīng)的評測指標(biāo)。

按照表1中質(zhì)量特性及其子特性，確定對應(yīng)指標(biāo)的度量。GB/T16260.2《軟件工程 產(chǎn)品質(zhì)量 第2部分.：外部度量》中表8給出了各特性及其子特性指標(biāo)的度量名稱、度量目的、應(yīng)用方法、測量及公式等。

使用上述規(guī)范對醫(yī)療器械軟件進(jìn)行測評過程中，首先要根據(jù)醫(yī)療器械軟件信息輸入、輸出的不同類型確定相應(yīng)的質(zhì)量特性和子特性及對應(yīng)的度量指標(biāo)。然后分析醫(yī)療器械軟件的預(yù)期用途，結(jié)合其功能描述，設(shè)計針對每一項功能的測試用例若干個及各使用次數(shù)。最后，設(shè)計原始記錄表式，進(jìn)行測試和記錄；按照度量指標(biāo)表示的意義，回歸到對應(yīng)的質(zhì)量特性指標(biāo)中，將獲得的測試結(jié)果，用于對軟件質(zhì)量的評價。

4 驗證實(shí)例

為了驗證我們提出的模型和規(guī)范原則的合理可行性，我們選擇了軟件形式不同的兩種類型，一種是醫(yī)療器械軟件組件（嵌入式軟件），另一種是獨(dú)立的醫(yī)療器械應(yīng)用軟件進(jìn)行了驗證。

醫(yī)療器械軟件組件產(chǎn)品，我們選擇的是XX公司生產(chǎn)的微量注射泵。根據(jù)產(chǎn)品輸入輸出特點(diǎn)，該產(chǎn)品是人工輸入功能性參數(shù)，通過邏輯控制內(nèi)置微電機(jī)實(shí)現(xiàn)功能輸出，對應(yīng)模型中的“非傳感器輸入、驅(qū)動輸出”的形式，結(jié)合產(chǎn)品預(yù)期用途，該產(chǎn)品適用的質(zhì)量特性指標(biāo)是上述表1中序號1、3、4、6內(nèi)容及其子特性。查看該產(chǎn)品說明書描述的使用功能，將產(chǎn)品的每一個功能在等價類表中加以描述，據(jù)此來設(shè)計包括測試步驟、測試結(jié)果、預(yù)期結(jié)果、覆蓋的等價類別在內(nèi)的測試用例29個，并建立質(zhì)量特性及其子特性與所用測試用例相聯(lián)系的對應(yīng)組織表，逐個進(jìn)行測試和記錄。最后將測試結(jié)果根據(jù)對應(yīng)組織表，將其逐個回歸到對應(yīng)的質(zhì)量特性及其子特性指標(biāo)中，獲得該質(zhì)量特性度量指標(biāo)的實(shí)測值，用于對軟件質(zhì)量的綜合評價。該實(shí)例的測試結(jié)果發(fā)現(xiàn)該軟件有兩處應(yīng)該報警情況下報警失效，存在安全隱患，對應(yīng)的質(zhì)量特性涉及容錯性、可控制性與功能說明的一致性。

獨(dú)立的應(yīng)用軟件產(chǎn)品，我們選擇的是XX公司出品的超聲圖文網(wǎng)絡(luò)工作站。該產(chǎn)品既有人工輸入數(shù)據(jù)信息，又有自動傳入數(shù)據(jù)信息，也可通過直接顯示或打印、傳輸實(shí)現(xiàn)功能輸出，其信息傳輸特性對應(yīng)模型中的“傳感和非傳感輸入、驅(qū)動和非驅(qū)動輸出”的形式，適用上述測評指標(biāo)規(guī)范中所有條款。同樣結(jié)合產(chǎn)品預(yù)期通途，再根據(jù)產(chǎn)品說明書描述的功能，根據(jù)產(chǎn)品的19個不同功能模塊，設(shè)計了包括所屬不同子模塊、前置條件、操作步驟、操作所用數(shù)據(jù)、預(yù)期結(jié)果、實(shí)際結(jié)果在內(nèi)的303個測試用例，逐個進(jìn)行了測試和記錄。該實(shí)例的測試結(jié)果發(fā)現(xiàn)該軟件有44處未能通過測試用例的測試或者出現(xiàn)錯誤結(jié)果，另外還發(fā)現(xiàn)4處數(shù)據(jù)不合理現(xiàn)象，存在使用和安全隱患，涉及的質(zhì)量特性包括了可審核性、可靠性、易恢復(fù)性、容錯性、實(shí)時性、通用性與功能說明的一致性等。

表1 醫(yī)療器械軟件質(zhì)量特性指標(biāo)Tab.1 Quality specification index of medical device

通過這兩種產(chǎn)品的驗證測試，表明本規(guī)范確定的質(zhì)量特性測評指標(biāo)具有一定的合理性和可行性，對應(yīng)具體產(chǎn)品，結(jié)合預(yù)期用途和功能，通過測試用例，能夠發(fā)現(xiàn)問題和缺陷，起到對其進(jìn)行質(zhì)量評測的作用。

5 研究的意義

綜上所述，從醫(yī)療器械軟件信息傳輸形式出發(fā)研究和建立的模型，符合軟件的規(guī)律，能夠全面覆蓋目前存在的各種醫(yī)療器械軟件形式。根據(jù)該模型，結(jié)合軟件質(zhì)量度量指標(biāo)初步建立的醫(yī)療器械軟件測評規(guī)范，在實(shí)際應(yīng)用中能夠發(fā)現(xiàn)醫(yī)療器械軟件存在的隱患和失效情況，具有實(shí)際的應(yīng)用價值。

但是本文提出的測評規(guī)范還相當(dāng)粗淺，并未給出對醫(yī)療器械軟件質(zhì)量進(jìn)行定量評價的指標(biāo)。我們希望能在此基礎(chǔ)上，進(jìn)一步探索不同預(yù)期用途、不同安全等級下醫(yī)療器械軟件質(zhì)量度量指標(biāo)的測評，力求能夠進(jìn)一步給出更為具體、客觀、定量的測評指標(biāo)，積累數(shù)據(jù)并期望能獲得具體指標(biāo)的限值或范圍，以規(guī)范和指導(dǎo)醫(yī)療器械軟件的測評，為制定醫(yī)療器械軟件測評規(guī)范奠定基礎(chǔ)。

[1] 中華人民共和國國家質(zhì)量監(jiān)督檢驗檢疫總局. GB/T 16260.1—2006 軟件工程 產(chǎn)品質(zhì)量 第1部分：質(zhì)量模型[S].

[2] 中華人民共和國國家質(zhì)量監(jiān)督檢驗檢疫總局. GB/T 16260.2—2006 軟件工程 產(chǎn)品質(zhì)量 第2部分：外部度量[S].

[3] 中華人民共和國國家質(zhì)量監(jiān)督檢驗檢疫總局. GB/T 16260.3—2006 軟件工程 產(chǎn)品質(zhì)量 第3部分：內(nèi)部度量[S].

[4] 中華人民共和國國家質(zhì)量監(jiān)督檢驗檢疫總局. GB/T 16260.4—2006 軟件工程 產(chǎn)品質(zhì)量 第4部分：使用質(zhì)量的度量[S].

[5] 國家食品藥品監(jiān)督管理總局. 醫(yī)療器械分類目錄（征求意見稿）[R].

[6] 國家食品藥品監(jiān)督管理局. YY/T 0664—2008醫(yī)療器械軟件 軟件生存周期過程

[7] 國家食品藥品監(jiān)督管理總局. 醫(yī)療器械軟件注冊技術(shù)審查指導(dǎo)原則[R].

[8] 馬莉.“醫(yī)用軟件質(zhì)量評價的研究”（浙江省科技廳2006F11014）項目實(shí)施總結(jié)報告[R].

[9] Hu H, Wang Q Y, Hu H Y, et al. An evaluation model for software of medical instruments in China[C]//2009 ETP/HTA World Congress in Applied Computer Science, and Computer Engineering(ACC2009), 2009: 455.

[10] 中華人民共和國國家質(zhì)量監(jiān)督檢驗檢疫總局. GB/T 18905.1—2002 軟件工程 產(chǎn)品評價 第1部分：概述[S].

[11] 中華人民共和國國家質(zhì)量監(jiān)督檢驗檢疫總局. GB/T 18905.2—2002 軟件工程 產(chǎn)品評價 第2部分：策劃和管理[S].

[12] 中華人民共和國國家質(zhì)量監(jiān)督檢驗檢疫總局. GB/T 18905.5—2002 軟件工程 產(chǎn)品評價 第5部分：評價者用的過程[S].

[13] 中華人民共和國國家質(zhì)量監(jiān)督檢驗檢疫總局. GB/T 18905.6—2002《軟件工程 產(chǎn)品評價 第6部分：評價模塊的文檔編制[S]. [14] 國家食品藥品監(jiān)督管理局. YY/T 0708—2009醫(yī)用電氣設(shè)備 第1-4部分:安全通用要求 并列標(biāo)準(zhǔn)：可編程醫(yī)用電氣系統(tǒng)[S].

[15] 國家食品藥品監(jiān)督管理局. YY/T 0316—2008醫(yī)療器械 風(fēng)險管理對醫(yī)療器械的應(yīng)用[S].

Study and Preliminary Evaluation for Established of Medical Device Software Model

【W(wǎng)riters】MA Li, DU Kun, HE Tao Zhejiang Institute of Medical Device Supervision and Testing, Hangzhou, 310018

Based on common software quality evaluation model, this paper explores medical device softwares model established in the basis of the information transmission form. Applying this model, a medical device software evaluation principle has been established, and two different existing forms of medical device software are verified.

medical device software, model of exploration, evaluation principle

TH77；TP311

A

1671-7104(2017)01-0059-04

10.3969/j.issn.1671-7104.2017.01.016

2016-07-16

馬莉，E-mail：hz_mali@163.com