档类型：产品注册研究资料适用法规：《医疗器械软件注册审查指导原则》（2022年修订版）参考标准： YY/T 0664—2020《医疗器械软件 软件生存周期过程》     ISO 14971:2019《医疗器械 风险管理》     GB/T 25000.51—2016《系统与软件工程 系统与软件质量要求和评价（SQuaRE）》

一、研究概述

1.1 研究背景与目的

嵌入式软件作为医疗器械软件组件（SiMD）的核心构成部分，运行于专用（医用）计算平台，控制（驱动）医疗器械硬件，是实现医疗器械预期用途的关键载体。根据《医疗器械软件注册审查指导原则》（2022年修订版），嵌入式软件（即固件）属于软件组件范畴，须随医疗器械产品整体注册，并提交对应的软件研究资料。

本研究的目的是：系统性地阐述本产品嵌入式软件的设计开发过程、风险管理措施、验证与确认结果、核心算法实现及网络安全保障措施，为产品注册申报提供完整、可追溯的技术依据，证明嵌入式软件的安全性、有效性与质量可控性。

1.2 适用范围

本研究文件适用于本注册单元所含嵌入式软件的研究资料编制，涵盖软件需求分析、架构设计、编码实现、测试验证及上市后维护等全生命周期阶段。本文件参考的法规和标准包括：

1.《医疗器械监督管理条例》（国务院令第739号）

2.《医疗器械注册与备案管理办法》（国家市场监督管理总局令第47号）

3.《医疗器械软件注册审查指导原则》（2022年修订版）

4.《医疗器械网络安全注册审查指导原则》（2022年修订版）

5.YY/T 0664—2020《医疗器械软件 软件生存周期过程》

6.ISO 14971:2019《医疗器械 风险管理对医疗器械的应用》

7.GB/T 25000.51—2016《系统与软件工程 系统与软件质量要求和评价（SQuaRE）》

8.IEC 62304:2006+AMD1:2015《Medical device software — Software life cycle processes》

二、软件基本信息

2.1 软件标识

2.2 软件安全性级别

根据YY/T 0664—2020的要求，结合软件的预期用途、使用环境和核心功能进行判定：

判定依据：

·临床用途：本嵌入式软件用于控制医疗器械硬件运行，执行[具体临床功能，如监测、治疗参数控制等]，属于[诊断/治疗/监护/筛查]用途，对于临床诊断/治疗具有[重要作用/辅助作用]。

·使用环境：预期在[医院/诊所/家庭]等场所由[专业用户/普通用户]使用，面向[成人/儿童/特定患者人群]。

·核心功能：软件功能类型为[控制驱动/处理分析]，实现方法为[常规算法/特定算法]，复杂程度为[中等/较高]。

判定结果：本嵌入式软件的软件安全性级别为[B级/C级]。

理由：软件失效可能导致[不严重的伤害/严重伤害或死亡]，具体表现为[列举可能的后果，如参数设置错误导致治疗剂量偏差等]。根据YY/T 0664—2020的分级标准，判定为[B级/C级]。

2.3 软件结构功能

本嵌入式软件采用模块化分层架构设计，主要包括以下功能模块：

1.硬件驱动层模块：负责与底层硬件（传感器、执行器、通信接口等）的交互，包括ADC采样、PWM输出、GPIO控制、中断管理等。1.1 传感器数据采集子模块：采集[温度/压力/流量/心电信号等]数据1.2 执行器控制子模块：控制[电机/泵阀/加热器等]动作1.3 通信接口子模块：支持[UART/SPI/I2C/CAN/蓝牙]等通信协议

2.核心算法层模块：实现临床功能所需的核心处理算法。2.1 [算法A]子模块：实现[具体功能描述]2.2 [算法B]子模块：实现[具体功能描述]

3.应用逻辑层模块：实现业务逻辑控制、状态管理、人机交互界面等功能。3.1 系统状态管理子模块：管理设备[待机/运行/报警/自检]等工作状态3.2 人机交互子模块：处理按键输入、显示输出、报警提示等3.3 数据管理子模块：实现数据存储、日志记录、参数管理等

4.安全管理模块：实现系统安全监控、故障检测与保护、看门狗管理等。

外部接口：

·与传感器模块的电气接口：[接口类型及协议]

·与执行器模块的控制接口：[接口类型及协议]

·与上位机/外部设备的通信接口：[接口类型及协议]

·与用户界面的交互接口：[按键/触摸屏/显示等]

2.4 硬件拓扑

本嵌入式软件运行于专用的嵌入式硬件平台，物理拓扑关系如下：

1.主控芯片（MCU/MPU）： [芯片型号]，[架构，如ARM Cortex-M4]，主频[XX MHz]

2.存储配置： Flash [XX KB]，RAM [XX KB]，EEPROM [XX KB]

3.传感器接口： [传感器类型及连接方式]

4.执行器接口： [执行器类型及驱动方式]

5.通信接口： [通信模块及连接方式]

6.人机交互： [显示模块/按键矩阵/触摸屏等]

7.电源管理： [供电方式及电压范围]

嵌入式软件固件烧录于主控芯片的Flash存储器中，系统上电后由Bootloader引导加载并执行。软件与硬件之间通过寄存器映射、中断向量表、外设驱动库等进行交互。

2.5 运行环境

2.6 适用范围与禁忌症

适用范围：本嵌入式软件作为[医疗器械产品名称]的软件组件，与硬件配合实现[产品的临床预期用途，如心电信号的采集、处理与显示/治疗参数的精确控制与输出等]。

禁忌症/使用限制：本嵌入式软件的使用限制与所属医疗器械产品一致，详见产品说明书。

2.7 注册历史

本产品为首次注册，在中国境内无既往注册记录。

三、软件实现过程

3.1 开发概述

开发语言：采用C语言（C99标准）进行嵌入式软件开发，关键时序部分采用汇编优化。

开发工具：

·集成开发环境（IDE）：[IDE名称及版本]

·编译器：[编译器名称及版本，如ARM GCC 12.2.0]

·调试器：[调试器名称及版本，如J-Link V10]

·静态分析工具：[工具名称及版本，如PC-lint Plus 2.0]

·版本管理工具：[Git/SVN及版本]

·需求管理工具：[工具名称及版本]

·测试管理工具：[工具名称及版本]

开发方法：采用V模型开发流程，结合敏捷开发实践，确保需求可追溯、开发可验证、变更可控。

开发规模：

·开发人员数量：[XX]人

·开发时间：[XX]个月

·总工作量：[XX]人月

·代码行总数：[XX]行（其中新增代码[XX]行，复用代码[XX]行）

·注释占比：[XX]%

3.2 风险管理

依据ISO 14971:2019和YY/T 0664—2020的要求，对嵌入式软件进行了全生命周期的风险管理。风险管理过程涵盖风险分析、风险评价、风险控制和风险控制措施验证四个阶段。

3.2.1 风险分析

通过系统性的危害识别方法（包括PHA、FMEA、FTA等），识别出与嵌入式软件相关的潜在危害，包括但不限于：

1.软件逻辑错误导致的治疗参数设置偏差

2.传感器数据采集异常导致的误判

3.通信数据错误导致的控制指令异常

4.时序/中断处理异常导致的系统运行紊乱

5.内存泄漏/缓冲区溢出导致的系统崩溃

6.看门狗失效导致的死锁

7.固件升级失败导致的系统不可用

8.用户操作不当导致的误触发

3.2.2 风险评价

对识别出的危害进行严重度（S）和发生概率（P）评定，计算风险优先指数（RPN）。对于RPN超过可接受阈值的风险，制定相应的风险控制措施。

3.2.3 风险控制措施

针对各类风险采取的控制措施包括：

1.设计与编码层面：1.1 采用MISRA C编码规范，消除未定义行为1.2 输入参数合法性校验（范围检查、类型检查）1.3 关键变量采用影子存储（双缓冲）机制1.4 状态机设计，防止非法状态转换1.5 禁止使用动态内存分配（malloc/free）

2.硬件与软件协同层面：2.1 独立看门狗（IWDG）定时器，确保系统异常时自动复位2.2 关键数据CRC校验2.3 传感器数据采用中值滤波/均值滤波等软件抗干扰处理2.4 通信协议包含校验和/CRC，异常数据丢弃并请求重发

3.安全保护机制层面：3.1 多重安全阈值保护（软件阈值 + 硬件比较器）3.2 故障注入测试与容错设计3.3 安全降级模式（当检测到异常时切换到安全状态）3.4 操作日志记录，支持事后追溯

4.用户告警层面：4.1 分级报警机制（提示/警告/紧急）4.2 声光报警联合提示4.3 故障代码显示，指导用户处理

3.2.4 剩余风险可接受性评价

针对所有已识别的危害，在实施风险控制措施后重新评估剩余风险。经评估，所有剩余风险均为可接受水平，综合剩余风险-受益比可接受。

（风险管理报告详见附件《软件风险管理报告》）

3.3 需求规范

依据YY/T 0664—2020的要求，编制了完整的软件需求规格说明书（SRS），覆盖以下方面：

3.3.1 功能需求

1.系统启动与初始化功能1.1 上电自检（POST）：检测关键硬件状态1.2 参数加载：从EEPROM加载配置参数1.3 状态初始化：设定初始工作状态

2.数据采集功能2.1 [传感器A]数据采集：采样率[XX Hz]，分辨率[XX bit]2.2 [传感器B]数据采集：采样率[XX Hz]，分辨率[XX bit]2.3 数据预处理：滤波、去噪、异常值剔除

3.控制输出功能3.1 [执行器A]控制：控制精度[XX]，响应时间[XX ms]3.2 [执行器B]控制：控制精度[XX]，响应时间[XX ms]3.3 安全保护输出：触发条件[XX]，执行动作[XX]

4.数据处理与分析功能4.1 [核心算法A]处理：实现[功能描述]4.2 [核心算法B]处理：实现[功能描述]4.3 数据存储与记录

5.通信功能5.1 [通信协议A]数据收发：波特率[XX]，数据格式[XX]5.2 [通信协议B]数据收发：波特率[XX]，数据格式[XX]

6.人机交互功能6.1 按键响应：按键类型[XX]，响应时间≤[XX ms]6.2 显示输出：显示内容[XX]，刷新率[XX Hz]6.3 告警输出：[分级告警规则]

7.安全监控功能7.1 看门狗喂狗：喂狗周期≤[XX ms]7.2 异常检测：检测条件[XX]，响应动作[XX]7.3 安全降级模式：触发条件[XX]，降级后状态[XX]

3.3.2 性能需求

3.3.3 接口需求

全部接口需求已在《软件需求规格说明书》（SRS）中完整定义，包括电气接口、通信协议、数据格式等。

3.3.4 安全需求

1.所有用户输入必须经过有效性校验

2.关键治疗参数必须双人确认机制（如适用）

3.系统异常时必须在[XX ms]内触发安全保护动作

4.固件完整性校验（CRC/SHA-256）

5.数据存储必须带有校验保护

（完整需求规范详见附件《软件需求规格说明书》）

3.4 生存周期

3.4.1 软件开发过程

依据YY/T 0664—2020的要求，本嵌入式软件采用V模型开发生存周期模型，包含以下阶段：

1.需求分析阶段：输出《软件需求规格说明书》（SRS）

2.架构设计阶段：输出《软件架构设计说明书》（SDS）

3.详细设计阶段：输出《软件详细设计说明书》（DDS）

4.编码实现阶段：输出源代码及相关注释

5.单元测试阶段：输出《单元测试报告》

6.集成测试阶段：输出《集成测试报告》

7.系统测试阶段：输出《系统测试报告》

8.用户验收测试阶段：输出《用户验收测试报告》

3.4.2 配置管理过程

采用Git进行版本管理，配置管理涵盖：

·源代码管理（主分支/开发分支/功能分支/发布分支）

·文档版本管理（与代码版本关联）

·构建版本管理（每个构建版本生成唯一标识）

·发布版本管理（标记发布版本，冻结基线）

配置管理工具： [Git/SVN]，版本[XX]配置管理策略：主干开发 + 分支发布，所有变更须经过评审后合并。

3.4.3 维护过程

建立软件维护流程，包括：

·缺陷报告与跟踪机制

·变更控制委员会（CCB）评审机制

·软件补丁发布管理流程

·回归测试策略

·版本升级管理规范

（完整过程文档详见《设计历史文档集》（DHF）索引表）

3.5 验证与确认

3.5.1 验证活动

本嵌入式软件在开发全过程中实施了系统性的验证活动：

1.代码审查：采用同行评审方式，所有关键模块代码经至少2名工程师审查

2.静态分析：使用[PC-lint Plus / SonarQube / Coverity]进行代码静态分析2.1 检查MISRA C标准符合性2.2 检测潜在缺陷（空指针、缓冲区溢出、未初始化变量等）2.3 圈复杂度控制（每个函数≤10）

3.单元测试：对所有功能模块编写单元测试用例3.1 语句覆盖率：[XX]%3.2 分支覆盖率：[XX]%3.3 MC/DC覆盖率（C级要求）：[XX]%

4.集成测试：验证模块间接口与交互的正确性

5.系统测试：在目标硬件平台上执行完整的系统级测试

3.5.2 确认活动

在模拟使用环境下执行用户验收测试，验证软件满足用户需求和预期用途：

·测试环境：真实硬件平台 + 模拟负载/仿真器

·测试用例：覆盖全部功能需求和安全需求

·测试人员：包括预期用户代表

·测试通过准则：全部测试用例通过，无严重及以上缺陷遗留

3.5.3 可追溯性分析

建立需求-设计-代码-测试-风险管理的双向追溯矩阵，确保每个需求项均有对应的设计实现、测试验证和风险控制措施，追溯覆盖率达到100%。

（完整测试报告详见附件《软件测试报告》与《可追溯性分析报告》）

3.6 缺陷管理

缺陷管理工具： [JIRA / Bugzilla / 其他工具名称]，版本[XX]

缺陷管理流程：

1.缺陷提交→ 2. 缺陷分类与定级 → 3. 缺陷分配 → 4. 缺陷修复 → 5. 修复验证 → 6. 缺陷关闭

缺陷分级定义：

本次注册缺陷统计：

·开发过程中发现的缺陷总数：[XX]个

·已修复缺陷数：[XX]个

·已关闭缺陷数：[XX]个

·剩余已知缺陷数：[XX]个（全部为轻微级，已评估风险可接受）

剩余缺陷风险分析：所有剩余已知缺陷均已进行风险评估，证明其不会对产品的安全性或有效性产生不利影响，剩余风险在可接受范围内。

3.7 版本更新历史

版本命名规则：

本嵌入式软件版本号采用 X.Y.Z.B 四段式结构：

·软件发布版本： X（主版本号）

·软件完整版本： X.Y.Z.B

开发阶段更新历史：

3.8 临床评价

本嵌入式软件作为[产品名称]的软件组件，随整机进行临床评价。临床评价路径为[同品种医疗器械临床评价/临床试验/列入免于临床评价医疗器械目录]。

临床评价结论：本嵌入式软件在预期使用环境下能够满足临床需求，安全性和有效性得到验证。

（详见附件《临床评价报告》）

四、核心算法

4.1 核心算法清单

依据软件设计规范（SDS）和说明书，本嵌入式软件的核心算法如下：

4.2 核心算法详细说明

4.2.1 [算法A名称]

·算法类型： [公认成熟算法/全新算法]

·算法来源： [参考文献/标准/自主研发]

·算法原理： [简述算法基本原理、数学模型、处理流程]

·输入参数： [参数名称、范围、格式]

·输出结果： [结果描述、格式、精度]

·临床应用： [在临床功能中的具体应用场景]

·验证资料： [验证方法概述，如对全新算法需提供安全性与有效性的验证结果摘要]

4.2.2 [算法B名称]

·算法类型： [公认成熟算法/全新算法]

·算法来源： [参考文献/标准/自主研发]

·算法原理： [简述算法基本原理]

·输入参数： [参数名称、范围、格式]

·输出结果： [结果描述、格式、精度]

·临床应用： [在临床功能中的具体应用场景]

（如为公认成熟算法，提供名称、类型、用途和临床功能即可；如为全新算法，需额外提供安全性与有效性的验证资料）

五、网络安全

5.1 网络安全概述

本嵌入式软件具备[数据交换/远程控制/远程访问/用户访问]功能，依据《医疗器械网络安全注册审查指导原则》（2022年修订版）的要求，对软件的网络安全性进行了评估和验证。

5.2 网络安全能力

本嵌入式软件的网络安全能力包括：

1.身份鉴别： [如适用，描述用户身份认证机制]

2.访问控制：基于角色的访问控制（RBAC），不同权限级别对应不同操作范围

3.数据完整性：关键数据采用CRC/SHA-256校验，确保数据传输和存储的完整性

4.数据保密性： [如适用，描述加密机制]

5.数据备份与恢复：关键参数具备备份机制，支持故障恢复

6.审计日志：记录关键操作日志，支持事后追溯

7.网络安全更新： [如适用，描述固件更新的安全机制，包括签名验证等]

5.3 漏洞评估

本嵌入式软件进行了漏洞扫描和安全评估：

·静态代码安全扫描：[工具名称]，发现漏洞[XX]个，已全部修复

·第三方组件漏洞检查：[组件名称及版本]，无已知高危漏洞

·渗透测试：[如有进行，简述测试结果]

5.4 网络安全风险管理

将网络安全风险纳入整体风险管理框架，识别了与网络连接相关的风险并采取相应控制措施，确保网络安全剩余风险可接受。

六、现成软件使用情况

6.1 现成软件清单

本嵌入式软件在开发过程中使用/未使用现成软件。

（如使用现成软件，请逐项列出：）

6.2 现成软件风险管理

对所使用的现成软件进行了风险评估：

·评估现成软件的功能安全性和适用性

·确认现成软件的已知缺陷和风险

·确认现成软件的风险控制措施的有效性

·评估现成软件更新对整体系统的影响

（如未使用现成软件，说明：本嵌入式软件全部为自主开发，未使用任何现成软件。）

七、GB/T 25000.51 测试情况

本嵌入式软件已按照GB/T 25000.51—2016《系统与软件工程 系统与软件质量要求和评价（SQuaRE）》的要求进行了自测，测试内容包括：