医疗器械安全架构
Sytance · 更新于
安全架构说明医疗器械及其连接系统如何受到保护：攻击者能够接触哪些接口，以及控制措施在何处限制访问、保护数据或验证软件更新。
架构是审评证据
FDA 建议通过架构视图帮助审评人员理解器械可能受到哪些攻击，以及系统设计采用了哪些防护。欧盟技术文档可使用同一设计资料支持适用的 MDR 或 IVDR 要求。监管解释可能不同，但架构本身应准确描述器械及其预期环境。
例如，远程支持连接可能从服务商网络进入医院。架构应标明在哪个端点验证技术人员身份，以及由器械的哪个部分限制维护操作权限。
系统边界
标明器械及其依赖的外部系统，说明哪些部分由制造商控制，哪些依赖医疗机构或其他服务提供方。
信任边界
标明信任程度或权限发生变化的位置。例如，器械在允许移动应用发来的指令修改临床参数前，需要检查该指令的权限。
FDA 架构视图回答具体问题
FDA 2026 年 2 月正式指南建议根据器械架构和网络安全风险确定所需的架构视图。各类视图从不同角度说明系统可能受到的攻击及其保护措施。
展示器械实现预期功能时所在的完整系统。连接服务及医院或家庭网络影响安全时，应纳入视图。复杂系统可以使用补充图，解释难以在全局图中清晰展示的协议和数据流。
说明一次攻击如何影响多台器械或多名患者。例如，中央监护服务被攻破后，可能中断多个床旁监护仪的报警。视图应说明系统如何限制影响扩散，以及如何维持或恢复受影响功能。
沿更新路径说明软件如何从获批准的来源安装到器械上。展示器械如何检查真实性和完整性、用户需要执行哪些操作，以及安装失败后如何处理，并标明依赖制造商控制范围外技术的环节。
描述可能影响安全性或有效性的具体操作。以远程配置为例，展示发起操作的用户、指令路径，以及参数改变前的权限检查。对于参与者或控制措施不同的操作，可另设视图。
欧盟技术文件使用 MDR 术语
MDR 和 IVDR 没有规定使用 FDA 的视图名称。架构资料用于支持软件安全评估，并说明器械如何与预期 IT 环境交互。它需要解释风险评估依据的设计假设，以及用户需要维持的运行条件。
- 数据流视图显示临床数据在何处可能被读取或修改，以及路径上的哪些措施用于保护这些数据。
- 接口视图标明允许的连接及限制其使用的检查措施，为相应的一般安全和性能要求（GSPR）提供支持资料。
- 运行环境视图说明需要医疗机构提供的防护，例如限制能够访问维护服务的网段。
- 更新路径视图说明经过测试的补丁如何送达目标器械，以及安装失败后如何恢复。
MDCG 2019-16 Rev.1 解释制造商与医疗机构在安全运行中的责任。制造商可据此说明设计依赖哪些最低 IT 条件，并将这些条件写入器械随附的安全信息。
系统依赖关系
架构说明的详细程度取决于实际器械系统。简单本地器械需要的视图可能少于云连接、移动、联网或设备群管理系统。只要相关依赖影响器械安全或网络安全，即使连接系统由客户运行，也应纳入架构说明。
云和远程服务
器械安全运行依赖某项远程服务时，应将其纳入架构。例如，身份服务中断可能影响谁能访问器械，以及如何恢复本地访问。
更新路径
更新架构应说明更新从批准发布到安装至在用器械的完整过程，包括如何检查真实性和完整性，以及部署失败后如何恢复。
移动和家庭使用
患者手机与家庭网络包含制造商可能无法管理的环节。应说明器械自身提供哪些保护，以及用户需要维持哪些设置。
共享临床基础设施
中央监护或医院信息系统可能连接多台器械。应说明通过共享系统获得的访问权限，是否会影响其他器械或患者。
架构与风险控制的对应关系
对于重要接口，评审人员应能从架构找到需要处理的威胁，以及检查防护措施的测试。设计依赖医院网络限制时，用户信息还需说明这项限制，以便在使用期间维持。