医疗器械管理类别、软件安全性级别与风险管理确认等级的区别与联系

在医疗器械注册审查与质量体系管理中，产品监管风险等级（管理类别）、软件安全性级别（软件申报级别） 与 产品风险管理所确定的风险等级 是三个经常容易被混淆、但逻辑上又紧密相连的核心概念 。

一、三者的定义与维度差异对比

首先，三者处于不同的管理维度，解决不同的合规与工程问题：

二、 软件安全性级别 与 风险管理确定的风险等级 的映射逻辑

指导原则《医疗器械软件注册审查指导原则（2022年修订版）》 明确指出：“软件安全性级别与风险等级的分级可以不同，但二者存在对应关系，因此可根据风险等级来判定软件安全性级别”。

二者的深层映射机制包括：

1. 判定核心原则：软件失效概率设定为 1（P=1）

在风险管理（YYT0316 / ISO 14971）中，风险是“概率（P）与严重度（S）”的组合。但由于目前对定量估计软件失效概率尚无行业共识，因此在进行软件促成的危险情况分析及判定软件安全级别（Software Safety Classification）时，通常采取最坏情况原则，将软件失效发生的概率设定为 1（P=1 即假设软件一定会失效）。在此前提下，软件安全性级别取决于软件失效后可能引发的伤害严重程度。

在软件生存周期标准YY/T0664/IEC62304的“4.3 软件安全级别”部分的判定图：

• 轻微级别（A级）：软件不可能促成危险情况；或在考虑外部风控后，促成的危险情况不导致不可接受的风险。

• 中等级别（B级）：在考虑外部风控后，软件可能促成导致不可接受风险的危险情况，且伤害为非严重损伤。

• 严重级别（C级）：在考虑外部风控后，软件可能促成导致不可接受风险的危险情况，且伤害为死亡或严重损伤。

A级的按软件不可能促成危险情况，或外部风控之后促成的危险情况导致的风险可接受。B级和C级主要考虑外部风控后造成的伤害是非严重损伤/死亡/或严重损伤。注意A级和B/C级的判定标准是有区别的，A级是外部风控之后风险是否可接受，B/C级是要按照外部风险控制之后伤害严重度（S）。

这个标准对严重损伤的定义如下（未提及非严重损伤相关定义，理解只要不是定义里的严重损伤都是非严重损伤）

2. 外部风险控制措施的降级机制

软件安全性级别的初始判定应在采取风险控制措施之前进行。如果初始判定为 B级或 C级，制造商可以通过实施软件系统外部的附加风险控制措施（如硬件防护电路、独立物理监控子系统、机械限位或医疗规程等），降低软件促成危险情况的风险，从而合规地为软件系统赋予较低的安全级别。

3. 架构隔离（Segregation）与模块级别解耦

软件系统分解为多个软件项（模块）时，默认继承原系统的最高安全级别。但如果制造商通过软件体系结构设计（如独立线程/进程、物理/逻辑防护屏障）确保高风险与低风险模块之间实现了有效隔离，低风险软件项可以独立划分为较低的安全级别（如 A级或 B级），从而减少非核心模块的验证工作量

三、 产品监管风险等级 vs 软件安全性级别

产品管理类别与软件安全性级别属于“行政分类”与“过程质控”的关系，二者呈现正相关趋势，但绝非一对一强制绑定：

1、整体趋势保持一致：

高风险类别产品通常包含高安全级别的软件。例如，Ⅲ类有源植入物或高风险辅助决策 AI 软件，其软件安全性级别通常被认定为 C级（严重级）。

2、存在解耦与跨级现象：

（1）Ⅱ类产品可能是C级软件：

若某Ⅱ类器械（如急救监护仪、重症诊疗软件）的软件失效（如高危报警失灵或参数计算错误）可直接或间接导致死亡或严重损伤，其软件安全性级别仍必须判定为 C级。

（2）Ⅲ类产品中包含 A/B级软件项：

Ⅲ类医疗器械软件系统中，若非核心辅助模块（如单纯日志打印、界面文字展示）与核心诊断/控制算法实现了有效架构隔离，该非核心模块可独立评定为 A级或 B级。