識別風險?科學監管

國際醫療器械數字安全風險監管概述

發布日期：2020-07-31 閱讀次數：513 來源：中國醫藥報

摘要：

當前，物聯網、云計算、區塊鏈、人工智能等數字化技術的廣泛應用，為醫療器械行業帶來巨大的技術創新空間，越來越多的醫療器械具備了計算機智能、處理復雜邏輯、聯網等功能。醫療器械在向智能化、網絡化、可移動化方向發展的同時，其數字安全問題也日益凸顯，成為各國醫療器械監管機構關注的焦點。

經濟合作與發展組織（OECD）發布的《委員會關于重要活動數字安全的建議》（Recommendation  of the Council on Digital Security of Critical  Activities）中提到，數字化轉變帶來大量數字安全風險。數字安全風險是由潛在的隱患或未識別的威脅帶來的一種風險，這些安全風險帶來的漏洞利用以及風險爆發導致的生產事故，嚴重影響生產過程可行性、完整性以及數據保密性，同時，也影響生產過程所需的數據、硬件、軟件和網絡的機密性。因此，美國、歐盟、日本、澳大利亞等國家和地區，以及國際醫療器械監管機構論壇（IMDRF）、電氣和電子工程師協會（IEEE）等國際組織，均針對醫療器械數字安全風險監管制定了相關政策和文件。

美國

早在2013年9月，美國食品藥品管理局（FDA）便制定了界定醫療設備軟件和移動醫療設備產品的有關規則，經過多次修改，2019年9月，FDA發布《醫療設備軟件功能和移動醫療應用政策》。該文件定義了移動平臺、移動醫療應用、常規醫療設備等術語，建立了設備軟件功能的管理方法，并列出重點監管的應用示例，如用于測量心臟信號或心肺復蘇信號的軟件，以及用于進行聽力評估與輔助診斷耳科疾病、用于診斷睡眠呼吸暫停綜合征等特定疾病的軟件，等等。

近年來，FDA著重創建可識別醫療器械數字風險，并能保護消費者的醫療器械網絡安全監管架構。FDA還嘗試建設醫療設備病患安全網，以保障數字化醫療設備的軟件功能安全、網絡安全、數據安全等。此外，FDA通過建立“企業資質+設計文檔+風險測試”的監管體系，制定醫療器械全生命周期管理策略，加強產品上市前和上市后監管，保障醫療器械數字安全。

歐盟

2019年10月，歐盟醫療器械協調小組（MDCG）發布《醫療器械軟件定義與分類指導文件》，規定醫療設備軟件（MDSW）必須具有醫療目的。該文件還列出了一種對醫療設備軟件進行安全分級的方法，即依據醫療設備軟件涉及場景或患者病情嚴重程度（危急場景/患者，嚴重場景/患者，非嚴重場景/患者），并根據醫療設備軟件的醫療作用（治療或診斷，推動臨床管理，通知臨床管理），將醫療設備軟件分為Ⅲ類、Ⅱb類與Ⅱa類。

日本與澳大利亞

2014年11月，日本負責醫療衛生和社會保障的主要部門厚生勞動省（MHLW）發布了醫療設備軟件的基本概念——醫療設備軟件是指安裝在通用電腦端或者手持端上的用于醫療設備的軟件。在此基礎上，日本MHLW采用注冊方式監管各類醫療設備軟件。

2019年，澳大利亞藥物管理局（TGA）委托澳大利亞聯邦科學與工業研究組織（CSIRO）對醫療器械網絡安全進行專題研究，以期CSIRO可以提供網絡安全最佳實踐方案。

其他國際組織

2020年4月，國際醫療器械監管機構論壇（IMDRF）發布官方指南《醫療器械網絡安全原則與實踐》（Principles and Practices for Medical  Device Cybersecurity）。該指南強調醫療器械全生命周期數字安全風險管理，劃分了各個參與方的安全責任。電氣和電子工程師協會（IEEE）從軟件系統與醫療器械的角度出發，發布了ISO/IEEE  11073等基礎性規范。國際標準化組織（ISO）、國際電工委員會（IEC）也積極開展醫療器械網絡安全風險管理研究，發布包括IEC/TR 80001-2-2在內的一系列標準文件，規范醫療器械網絡安全。

受信息化技術發展影響，近年來醫療器械更加智能化、便攜化，新形式數字化醫療器械，甚至是純軟件醫療器械產品不斷涌現。醫療器械數字化帶來的安全風險包括但不限于數據安全、云安全、存儲安全、網絡安全、算法安全、迭代安全、倫理安全等。識別數字化醫療器械可能帶來的安全風險，對數字化醫療器械進行分類分級檢測及監管研究迫在眉睫。

（李安渝：四川大學醫療器械監管科學研究院常務副院長；史春騰：中國電子技術標準化研究院工程師）