|
■ LDRA公司 Anil Kumar 現在，利用高級醫療器械比以往任何時(shí)候都更有助于醫療從業(yè)人員輕松、準確地做出診斷。然而，他們對器械的依賴(lài)程度也引發(fā)了確保器械安全性和質(zhì)量的擔憂(yōu)。 值得注意地是，醫療器械嚴重依賴(lài)第三方和早期軟件，亦即“未知系譜的軟件（SOUP）”。該SOUP構成了新發(fā)展的基礎，其現在可能符合新醫療器械要求或者政府推行的現代編碼標準、客戶(hù)需求或者僅僅是開(kāi)發(fā)組織內的持續改進(jìn)政策。在滿(mǎn)足新標準和進(jìn)一步開(kāi)發(fā)新功能的同時(shí)，對利用SOUP價(jià)值的需要提出了它自己的獨特挑戰。 FDA于1992至1998年間對3140次醫療器件召回事件進(jìn)行的分析顯示，其中有242次（占7.7%）可歸因于軟件故障。在所有軟件召回事件中，192次（占79%）是因軟件升級后引入的軟件缺陷而起。產(chǎn)品升級過(guò)程中引入的高誤差率讓政府醫療器械機構不僅要集中精力開(kāi)發(fā)新產(chǎn)品，還要關(guān)注后期維護和軟件變更對現有系統的影響。 因此，很多公司改變方法，改善軟件過(guò)程，采用歐盟和美國近期簽署的醫療產(chǎn)品設計標準IEC 62304。IEC 62304引進(jìn)了一種基于風(fēng)險的合規性結構，可以確保醫學(xué)應用符合其風(fēng)險評估適用標準的要求。該合規性結構可以分成A~C類(lèi)，其中C類(lèi)軟件故障可能導致死亡或重傷。 IEC 62304軟件開(kāi)發(fā)生命周期 IEC 62304著(zhù)眼于軟件開(kāi)發(fā)過(guò)程，定義了大部分軟件開(kāi)發(fā)與驗證活動(dòng)。該過(guò)程包括軟件開(kāi)發(fā)規劃、需求分析、架構設計、軟件設計、單元實(shí)現與驗證、軟件集成與集成測試、系統測試和軟件發(fā)布之類(lèi)的活動(dòng)。 該標準不僅概括了開(kāi)發(fā)生命周期的各個(gè)階段的要求，還顧及了維護過(guò)程、軟件變更對現有系統的影響和實(shí)現軟件變更所涉及的風(fēng)險。IEC 62304還直接從規劃、需求分析、架構設計、維護和風(fēng)險管理階段開(kāi)始詳細介紹了SOUP項目的作用。 EIC 62304和SOUP 可重新用于新器件開(kāi)發(fā)的SOUP軟件已流行起來(lái)，因為醫療器械現在傾向于采用通用嵌入式硬件，以及操作系統，面向USB、以太網(wǎng)或制圖的器件驅動(dòng)器、文件系統、網(wǎng)絡(luò )堆棧等。在醫療器械中使用SOUP有其優(yōu)勢，因為制造商可以將精力集中在應用軟件上。 然而，由于應用需要運行專(zhuān)用功能，所以醫療器械內的SOUP增加了挑戰難度。大多數SOUP模塊都由第三方供應商提供，而他們不遵守任何軟件過(guò)程和軟件標準，甚至不記錄代碼。雖然它解決了平臺挑戰，但SOUP是在緊迫的時(shí)間表內開(kāi)發(fā)而來(lái)，并且強調的是生產(chǎn)率，而不是標準兼容性。在進(jìn)行系統測試以便檢驗功能性時(shí)，SOUP項目通常表現出代碼覆蓋率極差的特點(diǎn)，并且留下了很多未使用的代碼路徑。圖1中的藍色曲線(xiàn)代表進(jìn)行了功能測試的代碼。采用該代碼時(shí)，不同的數據和情形有可能第一次使用很多未經(jīng)測試的路徑，從而產(chǎn)生意料之外的結果。圖1中的紅點(diǎn)曲線(xiàn)表示現場(chǎng)運行應用時(shí)使用的代碼。 
圖1 傳統功能測試可能無(wú)法檢驗代碼的很多部分。藍色曲線(xiàn)表示傳統功能測試使用的代碼；紅點(diǎn)曲線(xiàn)表示應用現場(chǎng)運行時(shí)使用的代碼；綠點(diǎn)曲線(xiàn)表示代碼增強，其傾向于使用先前未遇到的數據組合，從而出現進(jìn)入先前未使用路徑的可能性。 歐洲軟件和系統提案之“利用經(jīng)驗驅動(dòng)測試（PET）檢驗誤碼性能”計劃調查了這種現象，并且同意采用的代碼通常帶有很多誤碼的觀(guān)點(diǎn)。PET旨在將發(fā)布后報告的漏洞數量減少50%和將每找出一個(gè)漏洞所耗費的測試工作時(shí)間縮短40%。有意思的是，PET超過(guò)了該標準，將報告的漏洞數減少了75%，將測試效率提高了46%。PET的發(fā)現表明可以利用較新的測試方法（如靜態(tài)和動(dòng)態(tài)分析）找出大量漏洞，即使代碼已經(jīng)通過(guò)了功能系統測試并于隨后發(fā)布。 那么，可以采用先前通過(guò)功能測試的SOUP做進(jìn)一步測試。即使它運行良好，代碼的某些部分也可能未曾使用過(guò)，即使是產(chǎn)品正在現場(chǎng)使用的時(shí)候。如果SOUP代碼需要作進(jìn)一步開(kāi)發(fā)以便于后來(lái)的修訂或新應用，那么先前從未碰到的數據組合也可能會(huì )使用先前未使用的代碼路徑，從而產(chǎn)生意料之外的結果。圖1中的綠點(diǎn)曲線(xiàn)表示對SOUP代碼進(jìn)行增強時(shí)使用的代碼。 為了克服這種潛在弱點(diǎn)，需要進(jìn)行詳細的結構覆蓋率分析，以確保早期軟件內不存在未使用的代碼。IEC 62304要求測試早期軟件的功能覆蓋率和結構覆蓋率，還要詳細分析增加這類(lèi)軟件可能引入的風(fēng)險。功能覆蓋率確保軟件能夠按照系統設計要求運行，而結構覆蓋率則確保使用了所有代碼并且能夠正常運行。 IEC 62304要求整合到醫療器械設計中的所有SOUP項目均符合功能和性能要求規范。醫療器械制造商需要確保任意SOUP項目的正常運行，還要保證它們符合功能和性能要求。 IEC 62304軟件開(kāi)發(fā)過(guò)程始于軟件開(kāi)發(fā)規劃，包括所用SOUP項目的詳細計劃。這些細節介紹了如何將SOUP項目整合到現有系統中、如何管理SOUP相關(guān)風(fēng)險和軟件配置、以及變更管理如何影響系統。 緊接著(zhù)是軟件需求管理、架構設計、集成測試、系統測試、風(fēng)險管理、維護和變更管理階段。在軟件開(kāi)發(fā)生命周期的各個(gè)階段，都需要保持所有階段之間的可追蹤性。 傳統的軟件開(kāi)發(fā)觀(guān)點(diǎn)表明了各個(gè)階段如何進(jìn)入下一個(gè)階段，可能還帶有前幾個(gè)階段的反饋信息，以及配置管理與過(guò)程的周邊架構�？勺粉櫺员灰暈楦鱾�(gè)階段間關(guān)系的一部分。然而，很少規定記錄跟蹤鏈路的機制。 實(shí)際上，雖然由于先進(jìn)工具技術(shù)投資，各個(gè)階段都能夠有效實(shí)施，但是這些工具很少能夠自動(dòng)提高階段間可追蹤性。因此，在整個(gè)項目進(jìn)行的過(guò)程中，其間鏈路的維護就變得越來(lái)越差。最終的結果就是需求與設計之間的交叉檢驗缺失或者流于表面，以及最終系統的機能不全。為了獲得真正的自動(dòng)可追蹤性，則需要需求跟蹤矩陣（RTM）。RTM是各個(gè)項目的核心，是很多開(kāi)發(fā)標準（包括IEC 62304）的關(guān)鍵所在。 需求跟蹤與SOUP 需求跟蹤矩陣是一種用于管理和跟蹤需求的習慣做法，在管理軟件需求和系統所用SOUP項目方面起著(zhù)重要作用。RTM能夠通過(guò)醫療器械應用的架構設計在與SOUP有關(guān)的高級需求之間實(shí)現可追蹤性（圖2）。
圖2 需求跟蹤矩陣（RTM）在開(kāi)發(fā)生命周期模型中起著(zhù)重要作用，即使是在SOUP項目是系統的一部分的時(shí)候。各個(gè)階段的典型產(chǎn)物都直接與需求矩陣相連，各個(gè)階段的變更都會(huì )自動(dòng)更新RTM。 為了確保SOUP能夠滿(mǎn)足IEC 62304規定的系統級要求，醫療器械制造商需要規定： • 預期用途所需的SOUP項目的功能和性能要求 • 讓SOUP項目正常運行所需的系統硬件和軟件的生產(chǎn)規范 • 證明醫療器械架構能夠讓任意SOUP項目正常運行所需的詳情 大多數情況下，SOUP項目是作為源代碼提供的，但是不帶設計文件，這樣就很難分析它們。使用現代測試工具有助于實(shí)現早期代碼設計可視化。 不論它是否應用于語(yǔ)句模塊、進(jìn)程（或類(lèi)）、應用和/或系統，現代測試工具提供的系統可視化設施功能都非常強大。應用和系統實(shí)體的分層示意圖如圖3a內的靜態(tài)調用圖所示；圖3b內的靜態(tài)流程圖展示了整個(gè)程序模塊的控制流程。利用彩色編碼圖對于了解SOUP極有好處。這類(lèi)調用圖和流程圖只是綜合分析代碼內使用的所有參數和數據對象的一部分優(yōu)勢。
圖3 靜態(tài)調用圖（a）和流程圖（b）以圖形的形式分別說(shuō)明了代碼的結構和邏輯。 需求管理和跟蹤已經(jīng)證明了它們在軟件開(kāi)發(fā)生命周期內的優(yōu)勢，能夠確保實(shí)現所有需求和所有開(kāi)發(fā)成果都可以追溯到一個(gè)或多個(gè)需求。同樣的，需求管理與跟蹤可以保證根據系統要求添加和驗證SOUP項目。 RTM在架構設計和SOUP項目之間實(shí)現了可追蹤性。由于這些項目都包含在源代碼內并且現在需要按照IEC 62304的要求進(jìn)行系統級合規性測試，所以代碼驗證就成了制造商的責任。 大多數SOUP項目都不嚴謹，從而為系統集成商提高了嚴格驗證與風(fēng)險分析要求。由于SOUP驗證非常耗時(shí)，所以開(kāi)發(fā)人員一開(kāi)始通常需要滿(mǎn)足一系列編碼標準，再逐漸采用其他規則。雖然測試工具只辨別而不糾正代碼內存在的違規之處和本征誤差，但是它們確實(shí)通過(guò)指出問(wèn)題所在而加快了代碼糾正速度。 IEC 62304希望醫療器械制造商評估SOUP項目供應商提供的軟件異常列表，以便確定已知異常是否會(huì )引發(fā)事件，進(jìn)而導致出現危險情形。 測試工具的靜態(tài)分析能力能夠確定異常及其對軟件系統的影響。如果確定了SOUP供應商提供的列表以外的任何其他異常，則應告知相應供應商以解決問(wèn)題。 靜態(tài)分析和異常糾正完成后，進(jìn)行動(dòng)態(tài)分析（包括系統、集成度和單元測試）以便驗證SOUP項目的功能和結構覆蓋率。雖然全系統功能測試提供了SOUP項目的功能簡(jiǎn)介，但是它不測試所有代碼路徑。測試工具確定使用過(guò)的軟件部分，并且重點(diǎn)突出需要注意的區域，要對這些區域進(jìn)行單元測試以便保證各個(gè)單元都能夠獨立運行。 進(jìn)行功能測試與結構覆蓋率分析能夠確保使用了所有代碼路徑和驗證了多個(gè)單元之間的接口。它還有助于確保系統能夠按照設計要求運行，即使集成了SOUP項目。值得注意的是，IEC 62304要求SOUP項目驗證遵循軟件規劃期間制定的集成計劃，再一次表明IEC 62304強調的重點(diǎn)在于確保醫療軟件升級不會(huì )引入誤碼。 根據先前制定的測試計劃，RTM在對SOUP項目進(jìn)行的各種分析之間實(shí)現了可追蹤性。該測試計劃包括有待執行的測試用例以及基于系統要求的預期結果。利用RTM，項目經(jīng)理可以評估整合的SOUP項目的影響以及它們如何影響系統安全。 SOUP項目維護 醫療器械行業(yè)的很多意外都與醫療器械系統的服務(wù)或維護有關(guān)，包括軟件更新和升級不當。在這里，SOUP項目還起著(zhù)重要作用，因為這些項目由不同的供應商提供并且需要驗證。 在IEC 62304中，軟件維護過(guò)程和軟件開(kāi)發(fā)過(guò)程一樣重要。強調維護旨在抑制產(chǎn)品發(fā)布以后（如軟件維護期間）引入的高醫療器械軟件缺陷率。 維護過(guò)程要求，制造商監控組織內部和用戶(hù)提供的已發(fā)布產(chǎn)品相關(guān)的反饋信息。必須記錄和分析該反饋信息，以便確定是否存在問(wèn)題。發(fā)現問(wèn)題時(shí)，應編寫(xiě)和分析問(wèn)題報告，以便確定SOUP項目是否增加了問(wèn)題的嚴重性。如果SOUP就是問(wèn)題所在，則必須將該問(wèn)題傳達給相應的供應商，以便通過(guò)升級或補丁來(lái)解決問(wèn)題。 IEC 62304要求制造商制定規程，以便評估和實(shí)現SOUP項目升級、漏洞修復、補丁和報廢。必須分析和驗證每個(gè)升級、漏洞修復和補丁，以便確定這些升級是否引入了其它潛在的、可能導致出現危險情形的因素。一如往常，必須確定是否需要采取其它軟件風(fēng)險控制措施。 維護期間，要求制造商分析SOUP項目變更，以便確定軟件修訂是否會(huì )干擾現有的風(fēng)險控制措施。制造商必須制定獨特的配置項目和版本識別機制。對于使用的各種SOUP配置項目，制造商需要記錄標題、SOUP制造商名稱(chēng)和獨特的SOUP標志符。該標識符可以確定醫療器械軟件內包含的軟件配置項目及其版本。 通過(guò)采用IEC 62304的高級軟件過(guò)程，公司能夠更好地開(kāi)發(fā)安全的產(chǎn)品，避免代價(jià)高昂的召回，確保相同的開(kāi)發(fā)過(guò)程能夠鞏固維護和升級過(guò)程。 |
