医疗器械软件模型的研究和测评规范的初步建立

【作 者】马莉，杜堃，何涛

浙江省医疗器械检验院，杭州市，310018

医疗器械软件模型的研究和测评规范的初步建立

【作 者】马莉，杜堃，何涛

浙江省医疗器械检验院，杭州市，310018

该文从通用软件质量评估模型出发，以医疗器械软件中信息的传输形式为基础，探索建立了医疗器械软件模型。应用此模型，初步建立了医疗器械软件测评规范原则，并在两种不同存在形式的医疗器械软件上进行了验证。

医疗器械软件；研究模型；测评规范

现有医疗器械软件的质量验证，往往沿用了传统的硬件检验方式，也就是在产品标准/技术要求中规定其功能、性能指标，然后按照检验方法进行检验。这样的检验对于医疗器械软件或与软件相关的性能，往往只能仅限于功能性的检查，并不能做到真正意义上的软件质量的测量和评估。本文根据软件的特性，尝试建立医疗器械软件的研究模型和测评规范，用于评价医疗器械软件的质量。

1 软件质量评估模型

对于软件产品的质量评估[1]，国家标准GB/T 16260.1《软件工程 产品质量 第1部分：质量模型》中描述了软件产品质量的两部分模型：①内部质量和外部质量；②使用质量。内部质量和外部质量的模型如图1所示。

图1 内部和外部质量的质量模型Fig. 1 Quality model for the quality of the internal and external

使用质量是使指定用户在特定的使用环境下达到满足有效性、生产率、安全性及满意度要求的特定目标的能力。如图2所示。

图2 使用质量的质量模型Fig.2 Quality model for the quality in use

按照上述这两个质量模型，通过内、外部度量指标和使用质量的度量指标来对软件产品的质量进行描述，可以对软件产品做出较为客观地评价。而度量指标的选择基础取决于产品的业务目标和评价者的要求，这些要求由测度准则确定。GB/T 16260《软件工程 产品质量》的第2、3、4部分分别给出了选用内、外部度量和使用质量度量指标的指导[2-4]。

2 通用医疗器械软件模型的建立

医疗器械软件按照不同的分类原则，可以有不同的类别和描述。按照其在诊断、治疗、辅助、补偿、修复等功能性方面所起的作用来分，可以将其划分为诊断软件、治疗软件、辅助软件、补偿与修复软件；按医疗器械软件的预期用途，可以将其划分为控制类医疗器械软件、规划类医疗器械软件、导航类医疗器械软件、传输和分析类医疗器械软件；按照目前正在修订的《医疗器械分类目录》（征求意见稿）[5]，医疗器械软件可以划分为治疗计划软件、影像处理软件、数据处理软件、决策支持软件、体外诊断类软件及其他；按照医疗器械软件引起或产生的危害对于患者、操作者或其他人员的可能影响，从安全级别进行分类[6]，可将其划分为不可能存在对人体健康造成实际伤害或损坏潜在源的A类软件、可能存在对人体健康造成不严重的伤害潜在源的B类软件、可能存在对人体健康造成死亡或严重伤害潜在源的C类软件；按照医疗器械软件存在的形式[7]，又可将其划分为不依赖于特定的硬件，即医疗仪器或设备，可以运行在通用计算机或设备上独立软件、不能独立运行在通用仪器设备上，是与特定的硬件共同设计开发的，其作用主要是对硬件运行的控制以及获得数据的分析，其功能是提高硬件的可靠性、稳定性的软件组件（或称之为嵌入式软件）。

但以上这些分类方式，都无法从软件这一基本属性上，按照上述国家标准对其进行内、外部质量和使用质量的度量和评价。如果按照安全级别来分类，虽然直观反映了医疗器械软件的安全级别，但其不足是属于同一安全级别的各种医疗器械软件千差万别，应用领域差异较大，它们所反映的性能指标也各不相同，度量标准也很不一致，难以制定各类安全级别统一的评测指标。如果按照不同的应用来分类，则①各应用类别之间存在着交叉、重叠，有的医疗器械软件可同时属于不同的应用类别，难以将它归属到单一的类别中；②难以覆盖日新月异、层出不穷的医疗器械软件；③同一应用类别中的医疗器械软件在安全要求上差异较大。

为此，我们的研究和论证，不考虑医疗器械软件在临床中是如何发挥作用及发挥何种作用，都使医疗器械软件回归软件数据的传输和控制的本真，特提出了按照医疗器械软件的数据传输形式作为特征，进行类别的划分和分类原则[8]。经过分析，我们发现目前所有的医疗器械软件按数据传输形式无非分为传感输入、非传感输入、驱动输出、非驱动输出等四种，我们按照医疗器械软件在数据输入、输出中的不同形式组合，建立了能够凸显医疗器械软件特征的模型。如图3所示并说明如下。

（1）传感器输入 软件系统仅接收来自器械的传感子设备所获取的人体生理参数即可进行信息处理，并产生输出。

（2）非传感器输入 软件系统仅接收来自医护人员人工输入的控制参数即可进行信息处理，并产生输出。

图3 医疗器械软件模型[9]Fig. 3 Model for medical device software[9]

（3）驱动输出 经过信息处理，软件系统仅发送驱动器械的操作子设备所需的控制信号。

（4）非驱动输出 经过信息处理，软件系统仅发送输出至显示设备的生理信号可视化信息。

根据输入输出不同的排列组合，我们可以把全部的医疗器械软件划分为以下9类：① 传感器输入——驱动输出（A）；② 传感器输入——非驱动输出（D）；③ 非传感器输入——驱动输出（B）；④ 非传感器输入——非驱动输出（C）；⑤ 传感器输入，非传感器输入——非驱动输出(CD)；⑥ 传感器输入，非传感器输入——驱动输出（AB）；⑦ 传感器输入——驱动输出，非驱动输出(AD)；⑧ 非传感器输入——驱动输出，非驱动输出(BC)；⑨ 传感器输入，非传感器输入——驱动输出，非驱动输出(ABCD)。

图4 医疗器械软件通用分类示意图Fig. 4 Schematic diagram for general classification of medical device software

这样的一种新型医疗器械软件分类模型的优点是：① 它是一种全分类方法，能包含所有医疗器械中的软件系统；② 它是一种针对软件系统的分类方法，可以跨越医疗器械的应用范畴，具有较高的概括性、抽象性，适用性强；③ 结合安全等级分类法，给出医疗器械中软件系统的评测指标体系，能充分涵盖国内外权威医疗器械分类的标准。

3 医疗器械软件测评规范的初步建立

根据这个模型，选择GB/T 16260.2《软件工程产品质量 第2部分：外部度量》规定的外部评价指标和GB/T 16260.4《软件工程 产品质量 第4部分：使用质量的度量》中使用质量指标以及GB/T 18905.5—2002《软件工程 产品评价 第5部分：评价者用的过程》[10-13]，针对不同输入、输出形式医疗器械软件适用的指标，来拟定不同类型医疗器械软件测评的指标规范。

考虑到医疗器械软件产品中，文档记录着医疗器械软件从需求分析、模型建立、算法构建、模块分割、配置记录、功能实现、各种方式测试方案、结果，到安装使用、维护、版本升级等整个软件生命周期过程中各步骤的痕迹[14]。文档是医疗器械软件产品非常重要的一个组成部分，尤其是对医疗器械软件风险的评估和控制尤为重要[15]，因此对医疗器械软件质量的测评必须包含对其所产生的文档的测评。一些基础性指标是作为任何类型的医疗器械软件正常工作所必须满足的，我们把它作为通用指标；另一些就是不同的信息输入、输出形式下，特别要求的特性指标。我们按照信息传输形式划分的医疗器械软件类型，分别列出了针对传感输入、非传感输入、驱动输出、非驱动输出医疗器械软件的特性指标。每一种指标均从安全性和有效性两个方面考虑选取，这样就构成了医疗器械软件测评规范三个部分的框架内容：第一部分为适用所有类型医用软件通用指标，第二部分是不同的输入输出类型特有的指标，第三部分是医用软件文档的测评指标。见表1。

同样按照医疗器械软件信息输入输出不同形式，对应软件模型中的9类医疗器械软件，可组合成九套相应的评测指标。

按照表1中质量特性及其子特性，确定对应指标的度量。GB/T16260.2《软件工程 产品质量 第2部分.：外部度量》中表8给出了各特性及其子特性指标的度量名称、度量目的、应用方法、测量及公式等。

使用上述规范对医疗器械软件进行测评过程中，首先要根据医疗器械软件信息输入、输出的不同类型确定相应的质量特性和子特性及对应的度量指标。然后分析医疗器械软件的预期用途，结合其功能描述，设计针对每一项功能的测试用例若干个及各使用次数。最后，设计原始记录表式，进行测试和记录；按照度量指标表示的意义，回归到对应的质量特性指标中，将获得的测试结果，用于对软件质量的评价。

4 验证实例

为了验证我们提出的模型和规范原则的合理可行性，我们选择了软件形式不同的两种类型，一种是医疗器械软件组件（嵌入式软件），另一种是独立的医疗器械应用软件进行了验证。

医疗器械软件组件产品，我们选择的是XX公司生产的微量注射泵。根据产品输入输出特点，该产品是人工输入功能性参数，通过逻辑控制内置微电机实现功能输出，对应模型中的“非传感器输入、驱动输出”的形式，结合产品预期用途，该产品适用的质量特性指标是上述表1中序号1、3、4、6内容及其子特性。查看该产品说明书描述的使用功能，将产品的每一个功能在等价类表中加以描述，据此来设计包括测试步骤、测试结果、预期结果、覆盖的等价类别在内的测试用例29个，并建立质量特性及其子特性与所用测试用例相联系的对应组织表，逐个进行测试和记录。最后将测试结果根据对应组织表，将其逐个回归到对应的质量特性及其子特性指标中，获得该质量特性度量指标的实测值，用于对软件质量的综合评价。该实例的测试结果发现该软件有两处应该报警情况下报警失效，存在安全隐患，对应的质量特性涉及容错性、可控制性与功能说明的一致性。

独立的应用软件产品，我们选择的是XX公司出品的超声图文网络工作站。该产品既有人工输入数据信息，又有自动传入数据信息，也可通过直接显示或打印、传输实现功能输出，其信息传输特性对应模型中的“传感和非传感输入、驱动和非驱动输出”的形式，适用上述测评指标规范中所有条款。同样结合产品预期通途，再根据产品说明书描述的功能，根据产品的19个不同功能模块，设计了包括所属不同子模块、前置条件、操作步骤、操作所用数据、预期结果、实际结果在内的303个测试用例，逐个进行了测试和记录。该实例的测试结果发现该软件有44处未能通过测试用例的测试或者出现错误结果，另外还发现4处数据不合理现象，存在使用和安全隐患，涉及的质量特性包括了可审核性、可靠性、易恢复性、容错性、实时性、通用性与功能说明的一致性等。

表1 医疗器械软件质量特性指标Tab.1 Quality specification index of medical device

通过这两种产品的验证测试，表明本规范确定的质量特性测评指标具有一定的合理性和可行性，对应具体产品，结合预期用途和功能，通过测试用例，能够发现问题和缺陷，起到对其进行质量评测的作用。

5 研究的意义

综上所述，从医疗器械软件信息传输形式出发研究和建立的模型，符合软件的规律，能够全面覆盖目前存在的各种医疗器械软件形式。根据该模型，结合软件质量度量指标初步建立的医疗器械软件测评规范，在实际应用中能够发现医疗器械软件存在的隐患和失效情况，具有实际的应用价值。

但是本文提出的测评规范还相当粗浅，并未给出对医疗器械软件质量进行定量评价的指标。我们希望能在此基础上，进一步探索不同预期用途、不同安全等级下医疗器械软件质量度量指标的测评，力求能够进一步给出更为具体、客观、定量的测评指标，积累数据并期望能获得具体指标的限值或范围，以规范和指导医疗器械软件的测评，为制定医疗器械软件测评规范奠定基础。

[1] 中华人民共和国国家质量监督检验检疫总局. GB/T 16260.1—2006 软件工程 产品质量 第1部分：质量模型[S].

[2] 中华人民共和国国家质量监督检验检疫总局. GB/T 16260.2—2006 软件工程 产品质量 第2部分：外部度量[S].

[3] 中华人民共和国国家质量监督检验检疫总局. GB/T 16260.3—2006 软件工程 产品质量 第3部分：内部度量[S].

[4] 中华人民共和国国家质量监督检验检疫总局. GB/T 16260.4—2006 软件工程 产品质量 第4部分：使用质量的度量[S].

[5] 国家食品药品监督管理总局. 医疗器械分类目录（征求意见稿）[R].

[6] 国家食品药品监督管理局. YY/T 0664—2008医疗器械软件 软件生存周期过程

[7] 国家食品药品监督管理总局. 医疗器械软件注册技术审查指导原则[R].

[8] 马莉.“医用软件质量评价的研究”（浙江省科技厅2006F11014）项目实施总结报告[R].

[9] Hu H, Wang Q Y, Hu H Y, et al. An evaluation model for software of medical instruments in China[C]//2009 ETP/HTA World Congress in Applied Computer Science, and Computer Engineering(ACC2009), 2009: 455.

[10] 中华人民共和国国家质量监督检验检疫总局. GB/T 18905.1—2002 软件工程 产品评价 第1部分：概述[S].

[11] 中华人民共和国国家质量监督检验检疫总局. GB/T 18905.2—2002 软件工程 产品评价 第2部分：策划和管理[S].

[12] 中华人民共和国国家质量监督检验检疫总局. GB/T 18905.5—2002 软件工程 产品评价 第5部分：评价者用的过程[S].

[13] 中华人民共和国国家质量监督检验检疫总局. GB/T 18905.6—2002《软件工程 产品评价 第6部分：评价模块的文档编制[S]. [14] 国家食品药品监督管理局. YY/T 0708—2009医用电气设备 第1-4部分:安全通用要求 并列标准：可编程医用电气系统[S].

[15] 国家食品药品监督管理局. YY/T 0316—2008医疗器械 风险管理对医疗器械的应用[S].

Study and Preliminary Evaluation for Established of Medical Device Software Model

【Writers】MA Li, DU Kun, HE Tao Zhejiang Institute of Medical Device Supervision and Testing, Hangzhou, 310018

Based on common software quality evaluation model, this paper explores medical device softwares model established in the basis of the information transmission form. Applying this model, a medical device software evaluation principle has been established, and two different existing forms of medical device software are verified.

medical device software, model of exploration, evaluation principle

TH77；TP311

A

1671-7104(2017)01-0059-04

10.3969/j.issn.1671-7104.2017.01.016

2016-07-16

马莉，E-mail：hz_mali@163.com