医疗软件制造商如何实施静态分析，满足 FDA 医疗器械网络安全验证

随着 FDA 对网络安全验证和标准提出更多要求，医疗软件制造商需要采用静态分析来确保其软件满足这些新的安全标准。继续阅读以了解如何实施静态分析来满足这些安全要求。

随着 FDA 在其软件验证指南中添加更多网络安全要求，医疗设备制造商可以转向静态分析，这是解决安全和安保问题并提供可预测软件的最有效方法。
医疗设备制造商继续专注于改进软件开发流程有两个主要原因。

1. 解决日益增长的安全威胁。
2. 满足 FDA 的要求，这些要求变得越来越精确。

Parasoft 产品免费试用https://www.evget.com/consult/parasoft/#Aps_contact

解新的 FDA 网络安全指南

FDA 于 2023 年 9 月发布了新的医疗器械网络安全指南，向行业提供了有关网络安全设备设计、标签和文档的全面建议，这些建议将包含在具有网络安全风险的设备的上市前提交中。

该指南旨在帮助制造商识别和减轻医疗设备整个生命周期（从设计和开发到制造、服务和上市后监督）的网络安全风险。它还提供了向医疗保健提供者和患者传达网络安全风险的建议。

新指南以 FDA 之前的网络安全指南文件为基础，但还包括一些新的和更新的建议，例如：

• 要求制造商实施全面的网络安全风险管理计划。
• 要求制造商为其设备提交软件物料清单 (SBOM)。
• 要求制造商制定和实施网络安全计划以提供售后支持。
• 向医疗保健提供者和患者传达网络安全风险的建议。

FDA 曾经专注于  系统的 功能安全方面，但现在网络安全是一个同样重要的主题。尽管安全和保障很相似——而且你很容易认为两者都是为了创建可预测的软件——FDA 认为网络安全需要专门的关注和措施。

医疗器械过程验证的重要性

工艺验证是对数据的收集和评估，以建立科学证据，证明工艺能够始终如一地提供优质产品。在医疗器械方面，过程验证对于确保器械在整个生命周期的安全性和有效性至关重要。

过程验证对于由软件控制的医疗设备尤其重要，因为软件可能很复杂且难以全面测试。例如，软件控制的医疗设备可能有数百万行代码，如果不利用静态代码分析和动态分析，就不可能测试每种可能的场景以及输入和输出的组合。

以下是流程验证很重要的三个关键原因。

1. 质量保证。工艺验证有助于确保医疗器械的制造一致且可靠，从而降低缺陷风险并确保高水平的质量。
2. 患者安全。通过验证制造过程，可以识别和减轻潜在的风险和缺陷，从而提高患者的安全。
3. 符合监管要求。满足监管要求，例如 FDA 的质量体系法规 (QSR)，需要使用经过验证的流程。如果不这样做可能会导致合规问题。

监管要求和 FDA 指导文件

FDA 关于医疗设备网络安全的指导文件中概述的监管要求旨在解决日益互联和数字化的医疗环境中对医疗设备安全性和安全性日益增长的担忧。以下是监管要求的解释。

法定权力

FDA 现在根据《食品和药品综合改革法案》(FDORA) 获得了新的法定权力，该法案于 2022 年 12 月签署成为法律。该法案允许 FDA 要求在“网络设备”的医疗设备提交中提供网络安全信息，并要求制造商采取特定的措施采取行动证明其设备和相关系统是“网络安全”的合理保证。不遵守这些要求将被视为禁止行为，并可能受到起诉。

“网络设备”的定义

“网络设备”一词在法律中被新定义为包含由赞助商验证、安装或授权的软件、可以连接到互联网并包含可能容易受到网络安全威胁的技术特征的设备。此定义有助于明确哪些设备需要遵守新的网络安全要求。

将网络安全信息纳入上市前提交中

新指南要求制造商必须在向 FDA 提交的上市前报告中包含特定的网络安全信息。这些上市前提交可以包括上市前批准 (PMA)、510(k) 或从头提交。需要网络安全信息以确保设备满足法律规定的网络安全要求。

监控和解决上市后网络安全漏洞

设备制造商必须提交一份监控、识别和解决上市后网络安全漏洞和漏洞的计划。该计划应概述制造商持续监控和解决设备上市后可能出现的网络安全风险的方法。

合理保障网络安全

制造商必须设计、开发和维护流程和程序，以合理保证设备及其相关系统的“网络安全”。这一要求强调需要采取积极主动的方法将安全性构建到设备的设计中，并在设备的整个生命周期中对其进行维护。

软件物料清单

制造商应提供软件物料清单 (SBOM) 作为其提交材料的一部分。该法案应详细说明设备中使用的商业、开源和现成的软件组件。这些信息对于识别和解决软件堆栈中的潜在漏洞至关重要。

遵守 FDA 的附加要求

该指导文件还授权 FDA 通过法规制定额外要求，以证明设备和相关系统是网络安全的。制造商必须准备好遵守 FDA 概述的任何此类附加要求。

禁止违规行为

监管要求的一个关键方面是纳入新的法定禁止行为。这意味着不遵守 FDA 的网络安全要求不仅是合规问题，而且是违法行为。政府有权对违反这些要求的行为进行刑事起诉或对不合规的公司寻求禁令救济。

医疗器械制造商如何遵守规定

医疗器械制造商必须遵守许多要求，以确保其产品的安全性、有效性和质量。我们将探讨医疗器械中符合 FDA 监管要求的关键方面，更加重视解决医疗器械中的安全问题，并为制造商设计控制和验证协议。

解决医疗设备的安全问题

为了遵守 FDA 法规并优先考虑患者安全，医疗设备制造商必须有效解决安全问题。以下是解决医疗设备安全问题的一些提示：

• 标准化您的代码并进行风险评估。拥有一个没有安全问题的医疗软件设备的第一步是使用标准化编码规则编写软件。对于已有的软件，您可以检查和清理代码库，以确保其符合可接受的编码标准。医疗设备制造商可以利用静态代码分析解决方案来测试和分析其软件程序的源代码。除了静态代码分析之外，其他类型的软件测试可以帮助交付优秀的软件，包括集成测试、安全测试、单元测试、系统测试和可用性测试。清理软件代码库并进行风险分析可以帮助制造商识别其设备中潜在的安全漏洞。这包括评估与数据泄露、未经授权的访问和设备功能完整性相关的风险。
• 软件更新和补丁管理。定期更新和修补设备软件以解决已知漏洞。及时更新有助于防止可能利用过时软件的安全漏洞。
• 安全的数据存储。确保患者数据在设备上和数据传输过程中安全存储。利用安全的数据存储实践和行业推荐的加密协议来保护患者隐私并遵守数据保护法规。
• 与网络安全专家合作。考虑与网络安全专家和专门从事医疗设备安全的专业人士合作。他们的专业知识可以帮助制造商识别和减轻潜在的安全风险。

制造商的设计控制和验证协议

适当的设计控制和验证协议是确保医疗器械满足 FDA 监管要求的重要组成部分。这些控制措施可帮助制造商开发安全有效的设备，为患者带来预期的好处。

以下是实施设计控制和验证协议的关键考虑因素。

• 设计和开发规划。制造商应制定明确的设计和开发计划，概述医疗器械的范围、目标和期望。该计划应包括风险管理、可用性研究和法规遵从性。
• 设计输入和输出。定义指定设备要求的设计输入和描述设备特性的设计输出。确保设计输入符合用户需求和法规要求。
• 验证和确认。实施严格的验证和确认流程，以确认设备满足其设计要求和预期用途。这包括测试和评估设备的性能和安全性。
• 设计历史文件 (DHF)。维护全面的 DHF，记录所有设计和开发活动，包括设计控制、测试结果和设计变更的文档。
• 监管提交。提交准确且完整的上市前通知 (510(k))、De Novo 请求或上市前批准申请 (PMA) 对于您的医疗器械获得 FDA 许可或批准至关重要。这些提交的材料为 FDA 提供了有关您的设备的安全性和有效性的必要信息，帮助他们评估其对市场的适用性。未能正确完成这些提交可能会导致您的产品延迟甚至被拒绝。
• 上市后监测（PMS）。建立 PMS 系统对于监控和报告不良事件、投诉和设备故障至关重要。遵守 PMS 要求有助于识别安全问题并迅速实施纠正措施。它确保制造商积极监控其设备的性能并解决使用中出现的任何问题。

FDA 合规工具和方法

制造商可以采用各种工具和方法来实现并保持符合 FDA 医疗器械法规。下面讨论的是有助于实现 FDA 合规性的基本工具和方法。

满足 FDA 要求的静态分析

静态分析在帮助医疗设备制造商满足 FDA 提出的严格要求方面发挥着关键作用。

以下是采用静态分析来满足 FDA 要求的 5 个理由。

1. 及早发现问题。 静态分析工具可以在开发过程的早期阶段识别潜在的问题，例如编码错误、安全漏洞和设计缺陷。这种早期检测可以及时纠正，从而降低开发周期后期进行昂贵且耗时的修改的风险。推荐的 C 和 C++ 编码标准是MISRA C/C++和CERT C/C++。
2. 提高了软件质量。高质量的软件对于医疗设备的安全性和有效性至关重要。静态分析可帮助开发人员创建更干净、更可靠、更安全的代码。这不仅有利于 FDA 合规性，而且还降低了上市后问题和安全问题的风险。
3. 网络安全合规性。鉴于网络安全对医疗设备的重要性日益增加，FDA 对此予以高度重视。静态分析工具可以识别软件中的安全弱点和漏洞，确保符合 FDA 关于网络安全的指导。
4. 监管文件。静态分析可以提供全面的文档和报告，展示对软件的彻底检查以及解决任何已识别问题所采取的步骤。该文件对于 FDA 提交和检查至关重要。
5. 简化验证。通过尽早识别和解决潜在问题，静态分析可以加快验证过程，这是 FDA 合规性的重要一步。这有助于减少医疗设备上市的延误。

如何确保适当的风险管理

鉴于风险管理在实现 FDA 总体目标或要求中的地位，让我们深入研究如何实现适当的风险管理。

• 风险评估。医疗器械制造中的风险评估是识别和了解与医疗器械相关的潜在危险的第一步。其目的是系统评估设备的设计、预期用途、生物相容性和其他风险因素，以查明潜在风险。风险评估工作通常涉及组建一个具有不同专业知识的跨职能团队，包括工程师、临床医生和监管专家。
• 风险分析。风险分析旨在通过根据发生概率和潜在危害的严重程度分配风险评分来评估已识别的风险并确定其优先级。风险分析涉及通过评估风险的可能性和潜在影响来量化每个风险。根据您的公司，可以使用风险矩阵或其他评分系统来确定风险的优先级。高风险项目优先采取进一步行动。
• 风险缓解。风险缓解涉及制定策略以将已识别的风险降低或控制到可接受的水平。其目的是提高医疗器械的安全性和有效性。缓解策略可以采取多种形式，包括设计修改、安全功能、更好的材料、加强用户培训或改进使用说明。目标是以尽量减少影响的方式解决已识别的风险。
• 文档。适当的文档对于透明度、问责制和法规遵从性至关重要。它提供风险管理流程的记录，并有助于向监管机构展示尽职调查。风险管理过程的所有方面，包括风险评估、分析和缓解计划，都应仔细记录。该文档在产品的整个生命周期中得到维护。
• 连续的提高。风险管理流程应该是一个动态且不断发展的系统。持续改进可确保您的风险管理实践在应对新风险和不断变化的市场条件方面保持有效。我们会定期进行审查和更新，以吸取过去项目的经验教训并适应不断发展的技术和法规。这可能涉及重新审视和修改风险评估、分析和缓解计划。

C/C++ 静态分析如何帮助风险管理

我们的许多医疗设备客户在从头开始时，已经 通过以下步骤成功引入了C/C++ 静态分析：

1. 审查组织中现有的指导方针。即使设计为手动强制执行，也应尽可能将它们映射到静态分析工具提供的检查器。成熟的静态分析工具可能会涵盖其中的大部分。您可以考虑为无法立即映射到静态分析检查器的其余指南构建自定义检查器。
2. 查看流行的编码标准，尤其是那些考虑到安全性而创建的标准。选择您的团队要遵循的指南子集。选择指南时，遵循标准的分类并选择最重要的指南是有意义的。例如，在 CERT 中，您可能希望从 L1 指南开始，而在 MISRA C 2023 中，您将希望查看强制性指南。
3. 定义静态分析工具配置，并包括您的组织特定的指南和选定的指南，例如 CERT。不要同时启用所有检查器。相反，应从一小部分开始，以避免开发人员因违规行为而泛滥。
4. 确保您的开发人员可以在创建代码后立即扫描其代码。在 CI/CD 过程中包含静态分析也是有意义的。
5. 随着开发人员取得进展并清理源代码，请确保逐步启用列表中的更多检查器。归根结底，您需要提供证据证明您遵守了您选择的整套指南，而不是中途停止了。为了更好地了解流程并了解当前进度，您可以部署中央报告系统来帮助汇总测试数据并监控开发人员的工作。请参阅下面的示例：

由于静态分析报告成为质量管理系统的一部分，因此您不能仅使用任何工具。FDA 要求对软件开发和验证中使用的所有工具进行预期用途验证。有多种方法可以证明该工具适用于安全关键型开发。根据设备的风险，它可以像重复使用合规证书或完成更长的工具资格认证过程一样简单。

使用 TÜV SÜD 认证

对于最终用户来说，最方便的选择是获得工具供应商所做工作的功劳，并重新使用 TÜV SÜD 等外部认证机构为测试工具授予的认证。 例如，Parasoft C/C++test获得了TÜV SÜD 认证，可以重复使用该认证来证明根据 IEC 62304 等医疗标准开发软件的适用性。

执行工具资格

对于 C 类等高风险设备，您可能需要在开发环境中内部验证该工具。目的是提供该工具根据其在项目开发环境中收集的操作要求进行操作的证据。这是一个非常繁琐且耗时的过程。

最好的情况是，如果您的工具供应商可以支持您的这项工作，并提供一个特殊的工具资格套件，其中包含精心设计的测试用例，以及在项目的开发环境中执行它们的自动化框架，并自动生成可以充当测试用例的文档。工具验证的证据。在这里，Parasoft 的旗舰产品 C/C++test 再次提供了自动化工具鉴定套件。

案例研究和现实世界的应用

我们有大量 Parasoft 静态分析工具实际应用的案例研究。但让我们看一下两个不同的成功案例，它们举例说明了我们的静态分析解决方案如何在帮助医疗设备制造商克服其独特挑战并满足 FDA 要求方面发挥了重要作用。

医疗器械制造商成功案例

以下案例研究说明了 Parasoft 的软件测试解决方案如何帮助医疗设备制造商应对其独特的挑战并实现其目标。通过与 Parasoft 的合作，Inovytec 和 Smiths Medical 都在代码质量、合规性和测试效率方面取得了显着改进。

Inovytec 的 FDA 510(k) 认证之旅

Inovytec是一家致力于生产医疗设备的公司，其 Ventway Sparrow 呼吸机致力于获得 FDA 510(k) 认证。他们面临的挑战在于提供干净的代码，同时遵守 FDA 法规。Parasoft 的 C/C++ 静态代码分析解决方案拯救了他们。

Inovytec 的软件开发团队定制了 Parasoft C/C++test，以满足严格的 FDA 要求。每次他们准备发布新的软件版本时，他们都会确保 Parasoft 的静态分析配置为根据 FDA 法规定义运行。结果不仅提高了代码质量，而且 100% 通过了 FDA 510(k) 认证规则和指南，取得了巨大成功。Parasoft 成为 Inovytec 的首选测试解决方案，他们与以色列 Parasoft 产品经销商 ESL 的合作，在需要时提供必要的支持和专业知识。

Smiths Medical 采用测试驱动开发 (TDD)

Smiths Medical是一家著名的专业医疗设备制造商，在开发高质量、安全关键型医疗设备软件的过程中遇到了一系列挑战。自动化测试在 Smiths Medical 的测试策略中发挥着至关重要的作用。

过去整合工具的努力并未取得完全成功。开发团队寻求一种解决方案，通过采用以单元测试和测试驱动开发 (TDD) 为中心的全新视角（一种集成设计、测试和代码开发的方法）来增强整个测试流程。他们需要一种能够适合其测试流程并增强其整体开发文化的工具。事实证明，Parasoft C/C++test 是应对挑战的答案。

软件团队不仅成功采用了 TDD，而且还受益于改进的测试稳定性、增强的代码覆盖率和简化的工具资格流程，这对于安全关键型应用程序至关重要。借助 Parasoft，Smiths Medical 能够转变其开发流程，使测试成为其软件管道不可或缺的一部分，并最终确保提供安全、高质量的医疗设备。

克服 FDA 验证中的挑战

对于医疗器械制造商来说，FDA 验证过程可能非常复杂且具有挑战性。然而，制造商可以采取许多步骤来克服这些挑战。

1. 尽早开始。FDA 验证过程应在产品开发周期的早期开始。这将使制造商有更多时间来规划和执行验证过程，并将有助于及早识别和解决任何潜在问题。
2. 使用基于风险的方法。FDA 验证过程应基于设备的风险评估。制造商应将验证工作重点放在设备最关键的组件和功能上。
3. 使用合格的人员。FDA 验证过程应由具有 FDA 法规和验证最佳实践经验的合格人员执行。
4. 记录验证过程。制造商应彻底记录 FDA 验证过程。这将帮助制造商向 FDA 证明他们已根据 FDA 法规验证了其设备。

遵循 FDA 验证指南的后续步骤

FDA 为医疗器械制造商提供必要的验证指南，以确保产品质量和患者安全。随着法规和准则的发展，掌握这些变化并规划未来的合规性至关重要。医疗器械制造商可以通过两种方式做到这一点，即为未来的 FDA 指南做好准备并保持合规性。

为未来的 FDA 指南做好准备

FDA 不断更新和修订其针对医疗器械制造商的指导文件。为了为未来的 FDA 指南做好准备，医疗器械制造商应该：

• 关注 FDA 网站以获取指导文件的更新。FDA 在其网站上发布了指导文件的更新。制造商应定期检查 FDA 网站，以获取与其设备相关的指导文件的更新。
• 参加 FDA 研讨会和网络研讨会。FDA 经常举办与医疗器械监管相关的各种主题的研讨会和网络研讨会。制造商应参加这些活动，以了解 FDA 关于医疗器械监管的最新想法。
• 与其他医疗设备制造商建立网络。制造商可以与其他医疗设备制造商联网，共享信息和最佳实践，以遵守 FDA 法规。

确保持续合规

医疗器械制造商必须确保持续遵守 FDA 法规。为此，制造商应该：

• 建立并维护质量体系。质量体系是制造商用来确保其设备的安全性和有效性的一组程序和流程。制造商应建立并维护符合 FDA 质量体系法规要求的质量体系。
• 对其质量体系进行定期审核。制造商应定期对其质量体系进行审核，以识别和解决任何不合规领域。
• 向 FDA 提交 MDR 报告。制造商必须向 FDA 提交医疗器械报告 (MDR)，了解其设备发生的不良事件。通过向 FDA 提交 MDR 报告，制造商可以帮助 FDA 识别并解决其设备的安全问题。

随着时间的推移，事实证明，实现 FDA 合规性是相当严格且耗时的。然而，利用静态分析和动态分析工具，这些挑战是可以克服的。静态分析工具提供先进的静态代码分析功能，有助于在开发过程的早期识别和纠正软件和代码中的问题。

引入静态分析是一项专门的工作，需要开发人员投入时间和成本。但这是强化系统抵御恶意攻击的行之有效的方法。通过一套经过深思熟虑的安全准则来部署静态分析，使您能够构建能够抵御未来不可预见的攻击的系统。