PEMS适用GB 9706.1-2020第14章的情况分析

今天我会通过条件判定流程图的方式为大家梳理如何判断自己的PEMS是否适用GB 9706.1-2020第14章，以及针对具体的判定条件展开解读。

请先看下面的条件流程图：

注册申请人可以借助以上条件判定流程图对条款的适用情况进行初步确定，最关键的是三个判定：

判定可编程电子子系统（PESS）是否提供基本安全或基本性能所必需的功能；

应用风险管理，判定任何PESS的失效不会导致不可接受的风险；

判定可编程电子子系统（PESS）是否预期接入IT-网络

接下来逐一进行解读：

第一个判定，即可编程电子子系统（PESS）是否提供基本安全或基本性能所必需的功能。

新版GB 9706.1对基本安全和基本性能的定义是：

基本安全：当ME 设备在正常状态和单一故障状态下使用时，不产生由于物 理危险（ 源）而直接导致的不可接受的风险。

基本性能：与基本安全不相关的临床功能的性能，其丧失或降低到超过制造 商规定的限值会导致不可接受的风险。

根据定义，我们可以总结出以下几个特点∶

①基本安全和基本性能均在GB 9706.1和产品专标中作出要求；

②基本性能是丧失或降低到超过制造商规定的限值会导致不可接受的风险的临床功能的量化指标[1]（这里举一个例子：重症监护室或手术室监护系统中报警功能就是临床功能，报警功能正确运作就是监护系统的基本性能，若不正确或者缺失报警信号，会导致医护人员不正确地响应，给患者带来不可接受的风险。）；

③基本安全有：超温、漏电流、机械防护等；

④不可接受的风险是制造商按照风险控制程序进行评估的；

⑤某一类型的医疗器械可以没有基本性能。

再给大家举个例子，不是基本性能的有：

①非重要的生理功能的性能；

②记录的格式，显示，通信协议等；

③频率响应、电气噪声水平，数据处理能力的性能。

通过以上的解读，我们知道基本性能的判断依据可以归为两种途径：

1、在识别PESS是否提供基本性能所必需的功能时，可以通过查看GB 9706.1和产品专标所列“基本性能”条款；

2、有些性能指标是企业自定的。产品可以有很多的临床功能，但并不是所有功能都是基本性能，只有在缺失或降级后引起不可接受的风险，才能是基本性能。所以基本性能较容易理解的方式是考虑其缺失或降级是否会导致不可接受的风险。

第二个判定，如何判定任何PESS的失效是否会导致不可接受的风险？

根据标准，制造商应符合 YY/T 0316 风险管理过程。为了判定任何PESS的失效是否会导致不可接受的风险，制造商至少应在产品风险管理过程中进行下面3个步骤：

①已知和可预见危险（源）的识别；

②估计每个危险情况的风险；

③风险评价

首先，与热能、电能或者悬挂物不同，软件本身不是危险（源），与软件接触不会造成伤害。然而，软件可能导致人体暴露在危险（源）下，换句话说，它可能促成危险情况。但是，精确地预见在软件项中发生什么失效是困难的。好在识别缺陷的类别是可能的，每一类都有众所周知的风险控制措施。例如数据破坏类故障可以通过求和校验程序来检出和防止。

我们可以使用模式和效应分析（FMEA），起始点是列出每个软件项的安全相关需求，并考虑以下问题：如果需求无法满足，后果是什么？这导致识别哪些软件项的失效会引起伤害？需要防止哪些类型的失效？

当识别能导致危险情况的事件序列或事件组合时，关注直接与医疗器械基本性能相关的软件（例如计算血液葡萄糖水平的算法）和相关危险（源）的具体原因是最简单的。考虑软件原因可能导致不明显的失效模式并因此导致一个或多个医疗器械的危险（源）也很重要。

在进行风险评价时，没有一致认可的软件失效发生概率的估计方法。当软件出现在导致危险情况的事件序列中时，估计危险情况的风险时无法考虑软件失效发生的概率。在这样的情况下，考虑一个最不利的可能性是适当的，即软件失效发生的概率P1宜设成1。再考虑软件失效导致伤害的概率P2。P=P1*P2。

第三个判定：可编程电子子系统（PESS）是否预期接入IT-网络

这个条件比较好判断，但是需要注意的是，IT-网络的全称是【信息技术网络（information technology network）】，它与我们通常所理解的Internet（互联网）不是同一个概念。IT-网络包括了广域网、局域网、蓝牙、射频、红外和4G/5G等形式。

本期对PEMS的解读就结束了，请持续关注～

[1] performance of a clinical function, other than that related to BASIC SAFETY, where loss or degradation beyond the limits specified by the MANUFACTURER results in an unacceptable RISK，IEC 60601-1 2012 3.27