開(kāi)發(fā)安全有效的醫療設備軟件

Green Hills軟件公司 Jim McElroy

符合軟件質(zhì)量行業(yè)標準對醫療器械的發(fā)展是至關(guān)重要的。集成的開(kāi)發(fā)工具的使用可以大大減少開(kāi)發(fā)時(shí)間，并提高產(chǎn)品質(zhì)量、安全性和可靠性。

今天，由于市場(chǎng)對設備功能的需求更加豐富，對成本效益的要求更加苛刻，因此，醫療設備正變得越來(lái)越復雜。內窺鏡的市場(chǎng)就是一個(gè)很好的例子。隨著(zhù)復雜性的增加，設備制造商們需要縮短開(kāi)發(fā)時(shí)間，推向市場(chǎng)的產(chǎn)品必須安全可靠，這是進(jìn)入市場(chǎng)的基本要求。此外，經(jīng)驗表明，如果內窺鏡手術(shù)可以更快地進(jìn)行，病人可能恢復較快，而外科醫生和工作人員也能夠在同一時(shí)間內執行更多的任務(wù)。對于設備制造商來(lái)說(shuō)，要實(shí)現這些更高層次的目標，就必須使用合適的軟件開(kāi)發(fā)工具，就必須采用可靠和安全的操作系統（OS）進(jìn)行調試和驗證關(guān)鍵的軟件組件。

對于第二類(lèi)和第三類(lèi)醫療器械的開(kāi)發(fā)商來(lái)說(shuō)，及時(shí)地開(kāi)發(fā)出安全有效的設備是一個(gè)很大的挑戰。而這一挑戰的核心是病人和設備操作人員的安全性。要開(kāi)發(fā)出安全可靠的設備，就必需面對一些壓力，即上市的窗口、競爭、開(kāi)發(fā)成本、供應商的成本，以及合規性問(wèn)題。為了應付這些壓力，醫療設備軟件開(kāi)發(fā)商們從工具和程序的開(kāi)發(fā)中，過(guò)渡到業(yè)界認可的開(kāi)發(fā)工具、操作系統和業(yè)界標準的軟件開(kāi)發(fā)。

一直到2009年，大部分的醫療設備軟件開(kāi)發(fā)機構都依賴(lài)于未針對醫療設備軟件開(kāi)發(fā)優(yōu)化的軟件開(kāi)發(fā)方法、工具、流程及標準。不過(guò)，現在有些公司，如史賽克內窺鏡（Stryker Endoscopy），它利用行業(yè)標準，如IEC 62304，來(lái)進(jìn)行軟件開(kāi)發(fā)和維護，以最迅速的方式開(kāi)發(fā)出安全有效的設備，又保障了產(chǎn)品質(zhì)量，更重要的是保障了病人和操作人員的安全?；贗EC 62304，軟件開(kāi)發(fā)機構可以充分利用國際認可的標準，提供一個(gè)設計和維護醫療設備軟件生命周期過(guò)程、活動(dòng)和任務(wù)的框架（圖1）。

圖1 IEC62304 V型方法，需要系統要求和軟件應用設計之間的可追溯性

要想成功地開(kāi)發(fā)復雜的醫療設備，有幾個(gè)核心的要素。首先是有效地利用標準，特別是專(zhuān)門(mén)為醫療設備軟件開(kāi)發(fā)而制定的標準，并且降低整個(gè)開(kāi)發(fā)過(guò)程中的風(fēng)險。此外，選擇適當的硬件和操作系統技術(shù)對整體項目的成功也至關(guān)重要。正是因為如此，史賽克內窺鏡公司（Stryker Endoscopy）才選擇了Green Hills Software公司的實(shí)時(shí)操作系統（RTOS），這是業(yè)界公認的操作系統技術(shù)，史賽克內窺鏡公司相信它會(huì )提供良好的安全性和可靠性。除了以上的操作系統層，軟件應用程序也十分復雜，因此，我們的開(kāi)發(fā)團隊還依靠Green Hills成熟的Multi軟件開(kāi)發(fā)工具，以測試和驗證應用程序，確?；颊甙踩?。

除了具有一個(gè)可以簡(jiǎn)化審批程序的、堅實(shí)的軟件開(kāi)發(fā)框架以外，IEC 62304還執行了嚴格的架構軟件設計，將所有的軟件進(jìn)行了安全分類(lèi)。根據其潛在的危險，軟件被分為“A”，“B”，或“C”。 “C”類(lèi)軟件最不安全，可導致嚴重傷害或死亡。

開(kāi)發(fā)團隊可以利用這些分類(lèi)，從概念上區別關(guān)鍵應用和非關(guān)鍵應用?？梢岳貌僮飨到y的分離核心架構，在運行時(shí)，實(shí)現這一概念的區分，分割各種應用程序（圖2）。因此，該系統更具內在安全性，更具可靠性，這是因為每一個(gè)分區的故障都將被隔離，并不影響另一個(gè)分區上運行的應用程序。許多開(kāi)發(fā)人員認為，在多任務(wù)使用一個(gè)單一的地址空間時(shí)，這種方法大大地改進(jìn)了安全性和可靠性。此外，通過(guò)分區，使得多個(gè)應用程序可以共享相同的處理資源，不再需要單獨的物理硬件資源，節省了材料費用。在這一架構設計中，IEC 62304將系統分解成軟件單元，使系統可以更好地進(jìn)行單元和系統驗證。更重要的是，OS技術(shù)還為不同的地址空間提供了非常規則整潔的應用方式，使其可以高效地相互溝通。這一架構繪制清晰，能夠輕易地識別軟件項目之間的接口，以滿(mǎn)足IEC 62304的要求。

圖2 分離核架構模型

所選擇的操作系統（OS）采用了一個(gè)真正的實(shí)時(shí)調度程序，支持多個(gè)優(yōu)先級。這使得團隊可以使用速率單調算法來(lái)指定所有任務(wù)的優(yōu)先級，以最大限度地提高系統的調度，以確保所有的關(guān)鍵時(shí)刻的約束條件得到滿(mǎn)足。此外，該團隊還采用操作系統的分區架構，以創(chuàng )建一個(gè)健康監測。該操作系統通過(guò)提供相互地址空間的通信平臺，可以很容易地與正在運行的應用程序溝通，以監控系統中的所有關(guān)鍵和非關(guān)鍵任務(wù)的狀態(tài)，這就可以不斷地檢查故障，進(jìn)行健康監測，在故障發(fā)生時(shí)，使關(guān)鍵任務(wù)進(jìn)入安全狀態(tài)。此外，該團隊還利用分區分離，建立了一個(gè)專(zhuān)門(mén)的地址空間，以處理在手術(shù)室中史賽克內窺鏡公司其它設備的通信。通過(guò)采用專(zhuān)用的接口總線(xiàn)，史賽克公司的產(chǎn)品可以相互溝通，進(jìn)行無(wú)縫集成，實(shí)現數據共享和通用控制。通過(guò)實(shí)施分區的地址空間，無(wú)論是軟件還是硬件都可以模塊化，并很容易地移植到未來(lái)采用相同操作系統的任何設備。

在此特定設備的設計中，史賽克內窺鏡公司雖然沒(méi)有在結構上設計虛擬化應用，但其選定的操作系統也支持虛擬化，從而使各種客戶(hù)機操作系統可以與主機操作系統同時(shí)運行。有了這一功能，在未來(lái)，史賽克產(chǎn)品可以將不同的操作系統用于不同水平的功能。例如，Android可以運行在虛擬機，進(jìn)行用戶(hù)界面控制，而在另一個(gè)虛擬機上運行的該操作系統（OS）將負責所有的安全，或與安全有關(guān)的功能。

從架構設計階段到詳細設計階段和實(shí)施階段，其綜合、完整的開(kāi)發(fā)環(huán)境（IDE）使團隊在必要時(shí)，可以迅速地開(kāi)發(fā)、測試和重復迭代應用程序，即軟件項目可以插入到適當的操作系統（OS）分區。ARM目標模擬器具有巨大的價(jià)值，它可以遠在硬件平臺出現之前，對設計進(jìn)行早期驗證，節省了大量的時(shí)間和金錢(qián)。在分區里操作的軟件項目，就成為可重復使用的軟件組件，可以用在未來(lái)的醫療器械中。此外，關(guān)于測試和原型設計的用戶(hù)界面，IDE和操作系統可以使團隊快速地讓用戶(hù)界面進(jìn)入“模擬”設計，確保正確的互動(dòng)式操作（通過(guò)Swell Software的PEG+ GUI軟件解決方案，和PEG窗口生成器屏幕設計）?？捎眯允窃O備安全運行的一個(gè)關(guān)鍵因素，而UI原型設計使團隊可以確保令人滿(mǎn)意的功能。

影響代碼質(zhì)量的因素很多，包括工程師寫(xiě)代碼的質(zhì)量，開(kāi)發(fā)工具，以及隨后的軟件開(kāi)發(fā)。根據IEC 62304規定，每個(gè)單位都有自己的驗證過(guò)程。作為這一過(guò)程的一部分，本團隊使用IDE的優(yōu)化調試和測試技術(shù)。按照公認的最佳做法，本團隊在整個(gè)軟件開(kāi)發(fā)過(guò)程中使用了靜態(tài)分析工具，從而，消除了通過(guò)編譯器或代碼審查而不容易被發(fā)現的模糊缺陷。這類(lèi)缺陷包括緩沖區溢出、資源泄漏和NULL指針的解除引用。未來(lái)，本團隊將利用IDE內置的靜態(tài)分析工具（靜態(tài)分析工具和調試器之間具有緊密的耦合）來(lái)確?？焖俚牡邪l(fā)。這樣，在編譯時(shí)就具有了自動(dòng)執行靜態(tài)分析的能力，而不是在編譯后再進(jìn)行人工靜態(tài)分析。雖然靜態(tài)分析工具有助于提高代碼的質(zhì)量，但單憑靜態(tài)分析工具來(lái)保障應用程序的質(zhì)量是不夠的。

本團隊還利用IDE代碼模制工具（profiler tool），給出一個(gè)完整的代碼執行報告，明確指出哪個(gè)應用程序代碼行已經(jīng)執行。本團隊還可以使用此信息來(lái)設計單元測試，準確地執行所有的應用程序代碼元素，與人工比較節省了時(shí)間、精力和金錢(qián)。此外，所有的文檔都自動(dòng)生成，訪(fǎng)問(wèn)方便。在典型的嵌入式軟件開(kāi)發(fā)中，大部分的時(shí)間花在了修復少數幾個(gè)故障上，在這種情況下，此調試環(huán)境使本團隊既可以解決與任務(wù)優(yōu)先級相關(guān)的問(wèn)題（圖3），也可以解決較低層次的問(wèn)題。它能夠使用跟蹤數據來(lái)調試以前或以后的故障，可以容易地找出通常很難找出的問(wèn)題，并確定原因。這種能力對醫療器械的安全性是至關(guān)重要的?？偟膩?lái)說(shuō)，這些工具提供了一種輕松地進(jìn)行檢查的能力，可用于故障排序、數據、流控制、資源分配、自我診斷和內存管理。