附录III：对非离子电磁辐射的防护.docVIP

附录IV：软件 一、制造商有责任对起搏器的软件进行确认和验证。 验证：是指通过检查和提供客观证据确定已满足了规定的要求。 在软件开发环境中，软件验证就是确定某个特定阶段的开发输出满足该阶段所有的输入要求。软件测试就是几种验证活动中的一种，目的就是确定软件开发输出满足其输入要求。 软件确认：是指通过客观证据确定软件符合用户的需要和设备的预期用途。 软件确认是最终设备的设计确认的一部分。它包括软件在其真实或模拟使用环境中（如适当，包括整合到最终设备中）正确运行的检查。软件确认主要取决于全面的软件测试以及先前在软件开发生命周期的每个阶段完成的其它验证任务。计划、验证、可追溯性、配置管理以及很多其它方面的良好软件工程规范都是支持软件确认结论的重要活动。 二、与软件有关的文件 制造商提供的有关软件的文件应该与植入式心脏起搏器的预期用途、危险程度一致。本指导原则中建议提交的这些文件通常与制造商在起搏器设备软件的开发过程中正常生成的文件相同。因此，在一个正确管理和备有证明文件的医疗设备软件开发环境中，这些建议提交的文件很可能是产品开发文件的副本。 下表概述了我们建议提交的文件类型和范围。建议是将起搏器软件判定为重大的危险程度做出的。在后面章节中对建议提交的文件进行了解释。 软件文件 软件描述 软件特性和软件运行环境的简要概述。 设备风险分析 以表格的形式描述确定的硬件和软件的风险，包括严重度的评价和风险降低。 软件需求说明书（SRS） 软件需求说明书 结构设计图 功能单元和软件模块详细叙述，可能包含状态图和流程图。 软件设计说明书（SDS） 软件设计说明书 可追溯性分析 需求、规格、确定的风险和风险降低、验证和确认测试中的可追溯性。 软件开发环境描述 软件生命期开发计划的概述。表，开发过程中生成的带有注解的控制文件列包括配置管理和维护计划文件。 验证和确认文件 从模块、集成和系统方面对VV活动进行的描述。模块、集成和系统级的测试草案，包括合格/不合格标准、测试报告、概要以及测试结果。 修订级别史 修订史日志，包括发行版本的编号和日期。 未解决的异常（Bug或缺陷） 软件残留异常列表，附带残留异常对包括操作者使用和人为因素的安全性或有效性的影响说明的注释。 软件描述 建议您提供一个全面的由软件控制设备功能的综合性概述，并描述预期的运行环境。建议以段落格式提供信息，并重点说明主要的或运行方面重要的软件特征。软件描述应该包含以下方面的信息： 程序设计语言 硬件平台 操作系统（如适用） 使用的非定制软件（如适用） 设备风险分析 建议对起搏器软件提交一份“风险分析”。该“风险分析”应该考虑所有与设备预期用途有关的设备风险，包括硬件和软件风险。建议以表格的形式表示这些信息，表格中的每一个行的栏目代表一个确定的风险。此文件可以是从一个全面风险管理文件中摘取的有关软件项目的摘要，例如，YY/T0316-2008中描述的“风险管理概要”。 在风险分析表格中，每行栏目中应该包括： 风险事件的识别 风险的严重性 产生风险的原因 控制措施（例如：警报、硬件设计） 采取的纠正措施，包括用来消除、降低或警告风险事件的设备设计/要求方面的说明，以及 控制方法被正确执行的确认。 当进行风险分析时，我们建议您应该针对所有可预见的风险，包括那些有意的或无意的误用设备引起的风险。 软件需求说明书 软件需求说明书（SRS）将软件需求文件化。这通常包括软件的功能、性能、接口、设计、实现和其它方面的软件需求。实际上，此文件有效地描述了这个软件设备企图是做什么。一些可能会包含在SRS中的典型需求示例描述如下： 硬件需求： 硬件需求通常包括： 微处理器 存储设备 传感器 安全装置 通讯装置 程序设计语言需求 程序设计语言需求包括程序大小要求或限制，以及内存泄露管理方面的信息。 接口需求： 接口需求通常包括起搏器设备部件之间的通讯和与用户的通讯，例如： 程控仪 家庭监护通讯装置 软件性能和功能的需求 软件性能和功能的需求包括用于感知、起搏、程控、警报、分析的算法和控制特征，以及用全文参考资料或支持性临床数据进行的解释（如有必要）。软件性能和功能要求也可以包括： 软件导致的设备限制 内部软件测试和检查 错误和中断处理 故障检测、容错和恢复特性 安全需求 定时和内存要求 非定制软件的识别，如适用 结构设计图 此文件通常是一个流程图，或者是软件设备中主功能单元之间关系的类似描述，包括与硬件和与数据流（例如网络）的关系。通常，此文件中不必包含每个功能调用和模块。但是，应该包含足够的信息以便对有关软件功能架构和软件设备预期用途方面进行评审。为了清楚地描述软件功能单元之间的关系，详细的信息（例如，状态图）可能是非常有用的。如果结构设计图包含在另一个文件（例如SRS）中