醫療器械安全架構
Sytance · 更新於
安全架構説明醫療器械及其連接系統如何受到保護：攻擊者能夠接觸哪些接口，以及控制措施在何處限制訪問、保護數據或驗證軟件更新。
架構是審評證據
FDA 建議通過架構視圖幫助審評人員理解器械可能受到哪些攻擊，以及系統設計採用了哪些防護。歐盟技術文檔可使用同一設計資料支持適用的 MDR 或 IVDR 要求。監管解釋可能不同，但架構本身應準確描述器械及其預期環境。
例如，遠程支持連接可能從服務商網絡進入醫院。架構應標明在哪個端點驗證技術人員身份，以及由器械的哪個部分限制維護操作權限。
系統邊界
標明器械及其依賴的外部系統，説明哪些部分由製造商控制，哪些依賴醫療機構或其他服務提供方。
信任邊界
標明信任程度或權限發生變化的位置。例如，器械在允許移動應用發來的指令修改臨牀參數前，需要檢查該指令的權限。
FDA 架構視圖回答具體問題
FDA 2026 年 2 月正式指南建議根據器械架構和網絡安全風險確定所需的架構視圖。各類視圖從不同角度説明系統可能受到的攻擊及其保護措施。
展示器械實現預期功能時所在的完整系統。連接服務及醫院或家庭網絡影響安全時，應納入視圖。複雜系統可以使用補充圖，解釋難以在全局圖中清晰展示的協議和數據流。
説明一次攻擊如何影響多台器械或多名患者。例如，中央監護服務被攻破後，可能中斷多個牀旁監護儀的報警。視圖應説明系統如何限制影響擴散，以及如何維持或恢復受影響功能。
沿更新路徑説明軟件如何從獲批准的來源安裝到器械上。展示器械如何檢查真實性和完整性、用戶需要執行哪些操作，以及安裝失敗後如何處理，並標明依賴製造商控制範圍外技術的環節。
描述可能影響安全性或有效性的具體操作。以遠程配置為例，展示發起操作的用戶、指令路徑，以及參數改變前的權限檢查。對於參與者或控制措施不同的操作，可另設視圖。
歐盟技術文件使用 MDR 術語
MDR 和 IVDR 沒有規定使用 FDA 的視圖名稱。架構資料用於支持軟件安全評估，並説明器械如何與預期 IT 環境交互。它需要解釋風險評估依據的設計假設，以及用戶需要維持的運行條件。
- 數據流視圖顯示臨牀數據在何處可能被讀取或修改，以及路徑上的哪些措施用於保護這些數據。
- 接口視圖標明允許的連接及限制其使用的檢查措施，為相應的一般安全和性能要求（GSPR）提供支持資料。
- 運行環境視圖説明需要醫療機構提供的防護，例如限制能夠訪問維護服務的網段。
- 更新路徑視圖説明經過測試的補丁如何送達目標器械，以及安裝失敗後如何恢復。
MDCG 2019-16 Rev.1 解釋製造商與醫療機構在安全運行中的責任。製造商可據此説明設計依賴哪些最低 IT 條件，並將這些條件寫入器械隨附的安全信息。
系統依賴關係
架構説明的詳細程度取決於實際器械繫統。簡單本地器械需要的視圖可能少於雲連接、移動、聯網或設備羣管理系統。只要相關依賴影響器械安全或網絡安全，即使連接系統由客户運行，也應納入架構説明。
雲和遠程服務
器械安全運行依賴某項遠程服務時，應將其納入架構。例如，身份服務中斷可能影響誰能訪問器械，以及如何恢復本地訪問。
更新路徑
更新架構應説明更新從批准發佈到安裝至在用器械的完整過程，包括如何檢查真實性和完整性，以及部署失敗後如何恢復。
移動和家庭使用
患者手機與家庭網絡包含製造商可能無法管理的環節。應説明器械自身提供哪些保護，以及用戶需要維持哪些設置。
共享臨牀基礎設施
中央監護或醫院信息系統可能連接多台器械。應説明通過共享系統獲得的訪問權限，是否會影響其他器械或患者。
架構與風險控制的對應關係
對於重要接口，評審人員應能從架構找到需要處理的威脅，以及檢查防護措施的測試。設計依賴醫院網絡限制時，用戶信息還需説明這項限制，以便在使用期間維持。