用于医疗设备开发的透明SOUP和COTS软件.pdfVIP

用于医疗设备开发的透明SOUP 和COTS 软件 Chris Hobbs ， QNX 软件系统有限公司安全系统部高级软件开发员 chobbs@ 摘要 在许多行业中，制造商都通过在产品中应用商业现 解决方案的选择。基本上有两种选择：a) 从操作系 货 (COTS) 软件和硬件，从而缩短了开发周期。与 统甚至板级支持包 (BSP) 开始，自己逐级设计和创 所有制造商一样，医疗设备制造商也承受着让功能 建所有组件（有时也称 “自主研发”）2 ；b) 在有 丰富的新产品迅速面市的巨大压力，但由 利于设计的前提下，尽可能选用现成的软件组件， 于COTS 意味着软件来源不明 (SOUP)，而这很可 然后与自有组件一起集成到我们设计的系统中。 能影响设备安全以及 FDA 和其他监管机构的上市 前审批，这种合理担忧让业内对采用这种软件的做 法犹豫不决。 虽然为医疗设备选择 COTS 软件必须事先做足调 查工作，谨慎行事，但 IEC 62304 “医疗设备软件” 标准和功能安全需求都不排斥使用这种软件。实际 上，只要有严格的选择标准，并且在系统和设备完 成后加以同样严格且对口的验证，COTS 软件的采 用是完全可以接受的。如果我们仔细分析一下不透 明SOUP 1 （应避免使用）和透明 SOUP （源代码、 故障历史记录和长期使用记录可查的SOUP）之间 虽然细微却很关键的区别，我们就会发现 COTS 软件可能是许多关乎安全的医疗设备的最佳选择。 图 1. 开发是在功能集、交付日期和质量之间寻求最佳平 衡的一系列过程。任何一个环节发生变化都会影响其他 常见的挑战 环节。例如，缩短交付期限会减少功能集或降低质量， 或者同时影响二者。开发和交付产品的总成本是这些过 与所有复杂系统的制造商一样，医疗设备制造商也 程相互作用的结果。 面临相同的挑战：时间、质量、规模（功能的数量 自主研发也许只适用于功能有限而不需要完整操作 和复杂性）和成本。此外，还必须加上功能安全性 系统的简单设计。遇到更复杂的系统时，如果想完 和上市前审批（由美国食品及药品管理局(FDA) 、 全靠自己从头设计，势必费时费力，而且与使用精 欧盟医疗器械指令司(MDD) 、英国药监局(MHRA) 、 挑细选的组件构建系统相比，那样风险会更大。当 加拿大卫生部，以及医疗设备销售地的同类监管机 然，关键是要确定什么样的现成软件既能集成到医 构负责）。这种审批是医疗设备必不可少的。通不 疗设备中，又不会影响功能安全性和违背审批要求， 过审批的设备一文不值。 然后证明完成的系统符合这些要求。 然而，审批不会从根本上改变我们在设计医疗设备 的软件系统时面临的挑战，也不会彻底改变我们对 2 板级支持包：特定操作系统的板卡专用软件，它具有 1 不透明SOUP 有时被戏称为 “豌豆汤”（SOUP 也表 载入操作系统所需的最低设备支持功能，包括一个引 示 “汤”），但还没有人把透明SOUP 叫做 “肉汤”。 导程序和板卡上各种设备的驱动程序。 用于医疗设备开发的透明SOUP 和COTS 软件 QNX 软件系统公司 确定性和不确定性系统 所有电梯路程必须最终结束这一要求，设计出来的 系统就存在非常严重的缺陷。当然，系统越复杂， 从理论上说，任何软件系统都是确定性的，也就是