軟件的安全性級(jí)別

*軟件的安全性級(jí)別制造商應(yīng)按照軟件系統(tǒng)引起的危害對于患者、操作者或其他人員的可能影響，賦予每個(gè)軟件系統(tǒng)一個(gè)軟件安全性級(jí)別（A、B或C）。基于如下的嚴(yán)重度，應(yīng)初步賦予軟件相應(yīng)安全性級(jí)別：A級(jí)：不可能對健康有傷害或損壞。B級(jí)：可能有不嚴(yán)重的傷害。C級(jí)：可能死亡或嚴(yán)重傷害。如果危害可能由軟件系統(tǒng)未能象規(guī)定的那樣想作用引起，則此項(xiàng)失效的概率應(yīng)假定為100%。如果軟件失效引起死亡或嚴(yán)重傷害的風(fēng)險(xiǎn)，隨后由硬件風(fēng)險(xiǎn)控制措施降低到可接受水平（如YY/T0316所規(guī)定），或者降低失效后果或者降低由失效引起的死亡或嚴(yán)重傷害的概率，軟件安全性級(jí)別可從C降低到B；如果軟件失效引起的非嚴(yán)重傷害風(fēng)險(xiǎn)同樣通過硬件風(fēng)險(xiǎn)控制措施降低到可接收水平，軟件安全性級(jí)別可從B降低到A。制造商應(yīng)依據(jù)風(fēng)險(xiǎn)控制措施所控制的危害的可能影響，對實(shí)施風(fēng)險(xiǎn)控制措施起作用的每個(gè)軟件系統(tǒng)賦于一個(gè)軟件安全性級(jí)別。制造商應(yīng)在風(fēng)險(xiǎn)管理文檔中將賦于每個(gè)軟件系統(tǒng)的軟件安全性級(jí)別形成文檔。當(dāng)一個(gè)軟件系統(tǒng)分解為軟件項(xiàng)，及當(dāng)一個(gè)軟件項(xiàng)又進(jìn)一步分解為幾個(gè)軟件項(xiàng)時(shí)，此類軟件項(xiàng)應(yīng)繼承原軟件項(xiàng)（或軟件系統(tǒng)）的軟件安全性級(jí)別，除非制造商以文件形式證明分類為不同的安全性級(jí)別的理由。此類理由說明應(yīng)解釋新的軟件項(xiàng)是如何被分開的，以便可對其另行分級(jí)。如果以分解方式產(chǎn)生的軟件項(xiàng)的安全級(jí)別和其源軟件項(xiàng)不同，制造商應(yīng)對每個(gè)軟件項(xiàng)的軟件安全級(jí)別形成文檔。為符合本標(biāo)準(zhǔn)，無論特定級(jí)別的軟件項(xiàng)是否需要一個(gè)過程，此過程是否有必要應(yīng)用于一組軟件項(xiàng)，制造商應(yīng)使用此組中最高級(jí)別的軟件項(xiàng)所要求的諸過程和任務(wù)，除非制造商在風(fēng)險(xiǎn)管理文檔中有使用較低級(jí)別的理由的說明文件。對每個(gè)軟件系統(tǒng)，在賦于軟件安全性級(jí)別以前，均應(yīng)應(yīng)用C級(jí)要求。注：在隨后的要求中，對該項(xiàng)要求必須實(shí)施的軟件安全性級(jí)別，以[……級(jí)]形式標(biāo)示于該要求之后。7*軟件風(fēng)險(xiǎn)管理過程*促成危害處境的軟件分析判定可能促成危害處境的軟件項(xiàng)制造商應(yīng)確定在YY/T0316的醫(yī)療器械風(fēng)險(xiǎn)分析活動(dòng)（見4.2）中判定的可能危害處境的軟件項(xiàng)。[B、C級(jí)]注：危害處境可能是軟件失效的直接結(jié)果，或在軟件中實(shí)施風(fēng)險(xiǎn)控制措施失效的效果。判定促成危害處境的可能原因制造商應(yīng)判定上面確定的軟件項(xiàng)和促成危害處境可能原因。制造商應(yīng)考慮的可能原因，適當(dāng)時(shí)包括：不正確的或不完整的功能性說明；在已識(shí)別的軟件項(xiàng)功能性中的軟件缺陷；來自未知來源軟件（SOUP）的失效或非預(yù)期結(jié)果；可能導(dǎo)致不可預(yù)知的軟件運(yùn)行的硬件失效或其他軟件缺陷，和；合理可預(yù)見的誤用。[B、C級(jí)]7.1.3評(píng)價(jià)公布的未知來源軟件異常清單如果來自未知來源軟件的失效或意外結(jié)果是促成危害處境的軟件項(xiàng)要可能原因，制造商至少應(yīng)評(píng)價(jià)未知來源軟件項(xiàng)供應(yīng)商公布的任何異常清單，此未知來源軟件項(xiàng)與用于醫(yī)療器械的未知來源軟件項(xiàng)的版本有關(guān)，以確定是否有任何導(dǎo)致事件序列的異常，此事件序列會(huì)促成危害處境。[B、C級(jí)]7.1.4將可能原因形成文檔制造商應(yīng)在風(fēng)險(xiǎn)管理文件中將軟件項(xiàng)促成危害處境的可能原因形成文檔。（見YY/T0316）。7.1.5將事件序列形成文檔制造商應(yīng)在風(fēng)險(xiǎn)管理文件中將可能導(dǎo)致在7.1.2中所判定的危害處境的事件序列形成文檔。[B、C級(jí)]7.2風(fēng)險(xiǎn)控制措施7.2.1規(guī)定風(fēng)險(xiǎn)控制措施對于在管理文件中形成文檔的每個(gè)促成軟件項(xiàng)危害處境的可能原因，制造商應(yīng)規(guī)定風(fēng)險(xiǎn)控制措施并形成文檔。[B、C級(jí)]注：風(fēng)險(xiǎn)控制措施可以在硬件、軟件、工作環(huán)境或用戶說明書中實(shí)施。在軟件中實(shí)施的風(fēng)險(xiǎn)控制措施如果風(fēng)險(xiǎn)控制措施作為軟件項(xiàng)功能的一部分來實(shí)施，制造商應(yīng)：在軟件需求中包括風(fēng)險(xiǎn)控制措施；基于風(fēng)險(xiǎn)控制措施所控制危害的可能影響，賦予軟件項(xiàng)一個(gè)軟件安全性級(jí)別；和按照第5章開發(fā)軟件項(xiàng)。[B、C級(jí)]注：本要求為YY/T0316的風(fēng)險(xiǎn)控制要求提供補(bǔ)充的詳細(xì)資料。風(fēng)險(xiǎn)控制措施的驗(yàn)證驗(yàn)證風(fēng)險(xiǎn)控制措施對于7.2中形成文檔的每個(gè)風(fēng)險(xiǎn)控制措施的實(shí)施應(yīng)進(jìn)行驗(yàn)證，并將此驗(yàn)證形成文檔。[B、C級(jí)]7.3.2將任何新事件序列形成文檔如果風(fēng)險(xiǎn)控制措施作為軟件項(xiàng)實(shí)施，制造商應(yīng)評(píng)價(jià)該風(fēng)險(xiǎn)控制措施，以判定可能導(dǎo)致危害處境的任何新的事件序列，并在風(fēng)險(xiǎn)管理文件中形成文檔。[B、C級(jí)]7.3.3將可追溯性形成文檔制造商應(yīng)將軟件危害的可追溯性形成文檔，適當(dāng)時(shí)有：從危害處境到軟件項(xiàng)；從軟件項(xiàng)到特定軟件原因；從軟件原因到風(fēng)險(xiǎn)控制措施，和；從風(fēng)險(xiǎn)控制措施到風(fēng)險(xiǎn)控制措施的驗(yàn)證。[B、C級(jí)]注：見YY/T0316風(fēng)險(xiǎn)管理報(bào)告。7.4軟件更改的風(fēng)險(xiǎn)管理7.4.1分析醫(yī)療器械軟件(包括未知來源軟件)更改以確定是否：a)引入了促成危害處境的附加的可能原因，和；b)要求的附加軟件風(fēng)險(xiǎn)控制措施。[A、B、C級(jí)]7.4.2分析軟件更改對現(xiàn)有風(fēng)險(xiǎn)控制措施的影響制造商應(yīng)分析軟件的更改，包括對未知來源軟件的更改，以確定軟件是否會(huì)干擾現(xiàn)有風(fēng)險(xiǎn)控制措施。[B、C級(jí)]7.4.3基于分析完成風(fēng)險(xiǎn)管理活動(dòng)制造商應(yīng)在這些分析的基礎(chǔ)上完成7.1、7.2和7.3中所確定的有關(guān)風(fēng)險(xiǎn)管理活動(dòng)。[B、C級(jí)]B.4.2風(fēng)險(xiǎn)管理軟件開發(fā)充分地參與風(fēng)險(xiǎn)管理活動(dòng)，以確保所有和醫(yī)療器械軟件相關(guān)的合理可預(yù)見的風(fēng)險(xiǎn)得到考慮。要求制造商應(yīng)用一個(gè)符合YY/T0316的風(fēng)險(xiǎn)管理過程，明確進(jìn)進(jìn)行醫(yī)療器械風(fēng)險(xiǎn)管理，而不要在本軟件工程標(biāo)準(zhǔn)中規(guī)定一個(gè)合適的風(fēng)險(xiǎn)管理過程。由軟件促成的危害引發(fā)的特定軟件風(fēng)險(xiǎn)管理活動(dòng)在第7章描述的支持過程中確定。B.7軟件風(fēng)險(xiǎn)管理過程軟件風(fēng)險(xiǎn)管理是整個(gè)醫(yī)療器械風(fēng)險(xiǎn)管理的一部分，孤立闡述是不充分的。本標(biāo)準(zhǔn)要求應(yīng)用符合YY/T0316的風(fēng)險(xiǎn)管理過程。如YY/T0316所規(guī)定的那樣，風(fēng)險(xiǎn)管理特別涉及到有關(guān)醫(yī)療器械使用的風(fēng)險(xiǎn)的有效管理的框架。YY/T0316的一部分屬于控制與在風(fēng)險(xiǎn)分析中已識(shí)別的每個(gè)危害有關(guān)的已識(shí)別的風(fēng)險(xiǎn)。本標(biāo)準(zhǔn)中的軟件風(fēng)險(xiǎn)管理過程預(yù)期提供對軟件(包括在風(fēng)險(xiǎn)分析期間識(shí)別的可能促成危害處境的軟件，或用于控制醫(yī)療器械風(fēng)險(xiǎn)的軟件)風(fēng)險(xiǎn)控制的附加要求。由于以下兩個(gè)原因，軟件風(fēng)險(xiǎn)管理過程包括在本標(biāo)準(zhǔn)中：本標(biāo)準(zhǔn)的預(yù)期讀者需要理解他們在軟件職責(zé)范圍內(nèi)對風(fēng)險(xiǎn)控制措施的最低要求：通用風(fēng)險(xiǎn)管理標(biāo)準(zhǔn)YY/T0316，在本標(biāo)準(zhǔn)中作為規(guī)范性引用文件而提供，不特別闡述軟件的風(fēng)險(xiǎn)控制和在軟件開發(fā)生存周期中風(fēng)險(xiǎn)控制的位置。軟件風(fēng)險(xiǎn)管理是整個(gè)醫(yī)療器械風(fēng)險(xiǎn)管理的一部分。軟件風(fēng)險(xiǎn)管理活動(dòng)要求的計(jì)劃、規(guī)程和文檔可以是一系列的單獨(dú)文檔或單一文檔，或者只要本標(biāo)準(zhǔn)中的所有要求已滿足時(shí)，它們可以與醫(yī)療器械風(fēng)險(xiǎn)管理活動(dòng)相整合并編制成文檔。B.7.1促成危害處境的軟件分析預(yù)期器械的危害分析將確定危害處境和相應(yīng)的風(fēng)險(xiǎn)控制措施，以降低那些危害處境的概率和/或嚴(yán)重程度到可接收的水平。也預(yù)期將風(fēng)險(xiǎn)控制措施分配給將執(zhí)行那些風(fēng)險(xiǎn)控制措施的軟件功能。然而，不期望在軟件體系結(jié)構(gòu)形成之前識(shí)別所有的器械危害處境。在那時(shí)已知道在軟件部件中如何實(shí)現(xiàn)軟件功能，可以評(píng)價(jià)分配給軟件功能的風(fēng)險(xiǎn)控制措施的實(shí)用性。在那時(shí)應(yīng)當(dāng)修訂器械危害分析以包括：·已修訂的危害處境；·已修訂的風(fēng)險(xiǎn)控制措施和軟件需求；·由軟件引起的新的危害處境，如與人的因素有關(guān)的危害處境。軟件體系結(jié)構(gòu)應(yīng)當(dāng)包括劃分軟件部件的可信的策略，以使它們不以不安全的方式相互作用。4．1．3軟件風(fēng)險(xiǎn)管理過程的活動(dòng)和任務(wù)的計(jì)劃應(yīng)有以下內(nèi)容：4．1．3．1軟件的安全性級(jí)別a．按照軟件系統(tǒng)引起的危害對于患者、操作者或其他人員的可能影響，賦予每個(gè)軟件系統(tǒng)一個(gè)軟件安全性級(jí)別（A、B或C）?；谌缦碌膰?yán)重度，初步賦予軟件相應(yīng)安全性級(jí)別：A級(jí)：不可能對健康有傷害或損壞。B級(jí)：可能有不嚴(yán)重的傷害。C級(jí)：可能死亡或嚴(yán)重傷害。如果危害可能由軟件系統(tǒng)未能象規(guī)定的那樣想作用引起，則此項(xiàng)失效的概率應(yīng)假定為100%。b．依據(jù)風(fēng)險(xiǎn)控制措施所控制的危害的可能影響，對實(shí)施風(fēng)險(xiǎn)控制措施起作用的每個(gè)軟件系統(tǒng)賦于一個(gè)軟件安全性級(jí)別。c．當(dāng)一個(gè)軟件系統(tǒng)分解為軟件項(xiàng)，及當(dāng)一個(gè)軟件項(xiàng)又進(jìn)一步分解為幾個(gè)軟件項(xiàng)時(shí)，此類軟件項(xiàng)應(yīng)繼承原軟件項(xiàng)（或軟件系統(tǒng)）的軟件安全性級(jí)別，除非以文件形式證明分類為不同的安全性級(jí)別的理由。此類理由說明應(yīng)解釋新的軟件項(xiàng)是如何被分開的，以便可對其另行分級(jí)。d．對每個(gè)軟件系統(tǒng)，在賦于軟件安全性級(jí)別以前，均應(yīng)用C級(jí)要求。4．1．3．2促成危害處境的軟件分析=1\*GB2⑴判定可能促成危害處境的軟件項(xiàng)確定在YY/T0316的醫(yī)療器械風(fēng)險(xiǎn)分析活動(dòng)（見4