基于實(shí)時(shí)數(shù)字記錄的醫(yī)療器械數(shù)字安全性檢測(cè)方法應(yīng)用
醫(yī)療器械數(shù)字安全性研究的必要性
近年來(lái),信息和網(wǎng)絡(luò)技術(shù)已經(jīng)成為醫(yī)療能力提升的重要推動(dòng)力量。隨著醫(yī)療器械數(shù)字化程度越來(lái)越高,醫(yī)生、患者甚至醫(yī)療機(jī)構(gòu)對(duì)數(shù)字化醫(yī)療器械的依賴程度也越來(lái)越高。而醫(yī)療器械中的軟件故障頻繁發(fā)生,給醫(yī)療器械使用安全造成極大影響。
根據(jù)FDA在不同時(shí)期召回的醫(yī)療器械數(shù)據(jù)匯總分析可以看出,約有三分之一的醫(yī)療器械問(wèn)題是由軟件故障導(dǎo)致的。而軟件故障導(dǎo)致召回的所有醫(yī)療器械中,“體外診斷類”“放射和影像類”約占50%~70%。如在著名的Therac-25事件中,Atomic Energy of Canada Limited公司生產(chǎn)的一種完全由軟件控制的輻射治療設(shè)備由于其軟件設(shè)計(jì)時(shí)的瑕疵,導(dǎo)致患者受到輻射比正常劑量高上百倍,這造成了超過(guò)6起醫(yī)療事故的嚴(yán)重后果,在事故中,患者死亡或被輻射嚴(yán)重灼傷。
目前,監(jiān)管機(jī)構(gòu)主要是從系統(tǒng)網(wǎng)絡(luò)安全和物理層風(fēng)險(xiǎn)來(lái)對(duì)醫(yī)療器械進(jìn)行監(jiān)管,沒(méi)有將存在于醫(yī)療器械中的軟件系統(tǒng)與醫(yī)療環(huán)境、運(yùn)營(yíng)環(huán)境、數(shù)字環(huán)境以及臨床應(yīng)用整體來(lái)考慮。隨著數(shù)字技術(shù)的不斷進(jìn)步,以及數(shù)字技術(shù)與醫(yī)療行業(yè)的不斷融合,醫(yī)療器械數(shù)字安全的風(fēng)險(xiǎn)爆發(fā)可能會(huì)更加嚴(yán)重的破壞醫(yī)療環(huán)境,從而對(duì)人民群眾的生命安全造成重大影響。
醫(yī)療器械數(shù)字安全性研究不僅覆蓋了傳統(tǒng)信息安全,包括網(wǎng)絡(luò)安全、數(shù)據(jù)安全等,同時(shí)還將深入研究數(shù)字系統(tǒng)在運(yùn)營(yíng)中對(duì)醫(yī)療器械帶來(lái)的額外風(fēng)險(xiǎn)。例如:人工智能系統(tǒng)算法帶來(lái)的倫理問(wèn)題,從而引起的算法安全風(fēng)險(xiǎn);軟件系統(tǒng)自動(dòng)更新帶來(lái)的實(shí)時(shí)系統(tǒng)運(yùn)營(yíng)風(fēng)險(xiǎn);考量軟件系統(tǒng)的容錯(cuò)能力與實(shí)施恢復(fù)能力等。這些風(fēng)險(xiǎn)之間存在著關(guān)聯(lián),并相互影響,如系統(tǒng)云計(jì)算中的風(fēng)險(xiǎn)將直接影響系統(tǒng)網(wǎng)絡(luò)安全與系統(tǒng)安全。
醫(yī)療器械數(shù)字安全性研究旨在根據(jù)醫(yī)療器械的監(jiān)管要求,提出系統(tǒng)綜合運(yùn)營(yíng)的合規(guī)化目標(biāo);在此基礎(chǔ)上進(jìn)一步把目標(biāo)分解到對(duì)各個(gè)系統(tǒng)變量、響應(yīng)速度、輸入輸出等各方面的量化要求,并最終根據(jù)這些要求提出系統(tǒng)運(yùn)營(yíng)安全性指南和評(píng)價(jià)模型。生產(chǎn)企業(yè)及監(jiān)管人員可以通過(guò)圖形化、數(shù)字化界面分析臨床試驗(yàn)醫(yī)療器械系統(tǒng)運(yùn)營(yíng)情況的合規(guī)性,并以此作為系統(tǒng)安全性的基本依據(jù)。
基于實(shí)時(shí)數(shù)字記錄的數(shù)字安全性檢測(cè)方法
基于實(shí)時(shí)數(shù)字記錄的數(shù)字安全檢測(cè)原理是通過(guò)記錄系統(tǒng)運(yùn)營(yíng)中的變量時(shí)序或系統(tǒng)時(shí)間間隔的全系統(tǒng)變量,并利用大數(shù)據(jù)分析技術(shù)對(duì)海量的變量數(shù)據(jù)進(jìn)行實(shí)時(shí)分析,并依據(jù)分析結(jié)果來(lái)檢測(cè)和評(píng)價(jià)系統(tǒng)安全性和可靠性。
數(shù)字安全檢測(cè)和評(píng)價(jià)的具體實(shí)施方法為基于軟件系統(tǒng)運(yùn)營(yíng)中的核心轉(zhuǎn)儲(chǔ)(Core dump)概念,在軟件應(yīng)用系統(tǒng)與操作系統(tǒng)之間植入一個(gè)代理應(yīng)用,利用核心轉(zhuǎn)儲(chǔ)的系統(tǒng)函數(shù)實(shí)時(shí)記錄軟件系統(tǒng)運(yùn)營(yíng)中的所有變量,并將記錄結(jié)果導(dǎo)入一個(gè)支持大數(shù)據(jù)處理的文件體系中。在文件體系中,解析各個(gè)系統(tǒng)變量的變化情況,將之與系統(tǒng)合規(guī)化運(yùn)營(yíng)目標(biāo)中的各系統(tǒng)參數(shù)的量化要求進(jìn)行分析比對(duì),以此作為軟件系統(tǒng)工作狀態(tài)的判定依據(jù)。同時(shí)通過(guò)對(duì)軟件安全性和可靠性的信息模型研究,提出對(duì)系統(tǒng)變量全景記錄的約束條件,利用大數(shù)據(jù)分析技術(shù)對(duì)系統(tǒng)運(yùn)營(yíng)產(chǎn)生的全景時(shí)序變量數(shù)據(jù)進(jìn)行監(jiān)測(cè)和評(píng)價(jià),從而進(jìn)一步實(shí)現(xiàn)軟件的數(shù)字安全性檢測(cè)。
數(shù)字安全性檢測(cè)方法是通過(guò)兩大系統(tǒng)模塊之間相互融合、相互調(diào)動(dòng)而實(shí)現(xiàn),其中一個(gè)系統(tǒng)模塊是軟件安全性檢測(cè)模塊。該模塊所實(shí)現(xiàn)的功能為軟件系統(tǒng)的異常檢測(cè),檢測(cè)是基于“Core dump”函數(shù)來(lái)實(shí)現(xiàn)軟件系統(tǒng)運(yùn)營(yíng)中的所有變量的實(shí)時(shí)記錄,一旦發(fā)現(xiàn)異步事件,通過(guò)預(yù)先設(shè)定的檢測(cè)代碼觸發(fā)異步事件處理功能,從而實(shí)現(xiàn)自動(dòng)化的檢測(cè)過(guò)程。
另一個(gè)系統(tǒng)模塊是大數(shù)據(jù)分析平臺(tái)。該平臺(tái)由大數(shù)據(jù)系統(tǒng)和分析引擎構(gòu)成,實(shí)現(xiàn)的功能為利用大數(shù)據(jù)技術(shù),結(jié)合軟件安全性和可靠性信息模型、系統(tǒng)變量全景記錄以及軟件系統(tǒng)運(yùn)營(yíng)過(guò)程中所產(chǎn)生的全景時(shí)序變量數(shù)據(jù)進(jìn)行復(fù)雜的關(guān)聯(lián)分析,從而呈現(xiàn)數(shù)字化分析結(jié)果。兩大系統(tǒng)模塊相輔相成,不僅能夠支撐多個(gè)軟件系統(tǒng)同時(shí)檢測(cè),還能動(dòng)態(tài)呈現(xiàn)檢測(cè)結(jié)果。下圖為該檢測(cè)方法的具體實(shí)現(xiàn)圖:
醫(yī)療器械數(shù)字安全性檢測(cè)方法應(yīng)用
數(shù)字安全檢測(cè)對(duì)各行業(yè)領(lǐng)域均有重要意義。在醫(yī)療器械領(lǐng)域,由于現(xiàn)今大多數(shù)的人工智能醫(yī)療器械還未接入互聯(lián)網(wǎng),我國(guó)數(shù)據(jù)安全立法對(duì)境內(nèi)數(shù)據(jù)存儲(chǔ)安全性要求較低。因此目前智能醫(yī)療器械數(shù)字安全的重點(diǎn)并不在網(wǎng)絡(luò)安全和數(shù)據(jù)安全,而是在于系統(tǒng)安全、長(zhǎng)期運(yùn)營(yíng)安全以及操作應(yīng)用層安全。
系統(tǒng)安全中較為突出的一個(gè)應(yīng)用為針對(duì)醫(yī)療器械系統(tǒng)后門的檢測(cè)。該檢測(cè)方法支持軟件代碼的雙向調(diào)試檢測(cè),其反向調(diào)試檢測(cè)可以識(shí)別系統(tǒng)程序代碼運(yùn)行時(shí)產(chǎn)生的一些非確定性事件并且能夠有效的記錄這些事件的發(fā)生,以便當(dāng)程序代碼被重放時(shí)可以給予已經(jīng)合成的日志來(lái)返回到程序執(zhí)行歷史中的任何早期狀態(tài),這一方法可以用于檢測(cè)醫(yī)療器械系統(tǒng)漏洞。
醫(yī)療器械在長(zhǎng)期使用運(yùn)營(yíng)過(guò)程中可能因各種原因而導(dǎo)致內(nèi)部系統(tǒng)出現(xiàn)問(wèn)題,比如硬件存儲(chǔ)空間有限導(dǎo)致系統(tǒng)運(yùn)行緩慢、外在環(huán)境電力電壓不穩(wěn)導(dǎo)致部分硬件模塊損壞、液體浸泡腐蝕導(dǎo)致內(nèi)部部件通信不良等,這些都將通過(guò)系統(tǒng)運(yùn)行呈現(xiàn)出相應(yīng)的問(wèn)題。同時(shí),有些人工智能醫(yī)療器械系統(tǒng)中安裝有不同的功能軟件,部分情況還需要對(duì)特定功能軟件進(jìn)行升級(jí),這些軟件的升級(jí)也可能和現(xiàn)有系統(tǒng)現(xiàn)存軟件不兼容,從而導(dǎo)致醫(yī)療器械設(shè)備不可用等問(wèn)題。該檢測(cè)方法通過(guò)檢測(cè)系統(tǒng)運(yùn)營(yíng)的一些測(cè)試集,然后分析系統(tǒng)所有參數(shù),了解安全性與穩(wěn)定性,識(shí)別出相應(yīng)的問(wèn)題。
此外,用戶非法操作也是導(dǎo)致醫(yī)療器械安全風(fēng)險(xiǎn)甚至無(wú)法正常工作的一大原因,每當(dāng)有非法操作信息出現(xiàn),相關(guān)程序和文件都會(huì)和錯(cuò)誤類型顯示在一起。該檢測(cè)方法通過(guò)實(shí)時(shí)監(jiān)測(cè)系統(tǒng)各變量狀態(tài)進(jìn)行全量的記錄,結(jié)合大數(shù)據(jù)分析技術(shù)實(shí)時(shí)開(kāi)展分析,能夠反向追溯問(wèn)題發(fā)生具體變量變化的點(diǎn),從而檢測(cè)識(shí)別出問(wèn)題所在。(干露:上海三零衛(wèi)士信息安全有限公司;李安渝:四川大學(xué)醫(yī)療器械監(jiān)管科學(xué)研究院)
(責(zé)任編輯:張可欣)
右鍵點(diǎn)擊另存二維碼!
互聯(lián)網(wǎng)新聞信息服務(wù)許可證10120170033
網(wǎng)絡(luò)出版服務(wù)許可證(京)字082號(hào)
?京公網(wǎng)安備 11010802023089號(hào) 京ICP備17013160號(hào)-1
《中國(guó)醫(yī)藥報(bào)》社有限公司 中國(guó)食品藥品網(wǎng)版權(quán)所有