医械资质百问百答
医疗器械软件
联网医疗设备数据丢包风险怎么评估？
先说结论：数据丢包风险不能只用“丢包率低于 1%”证明可接受。同样的丢包率，分散丢失和连续丢失的后果可能完全不同；波形、报警、控制指令、患者身份和普通日志的丢失也不能用一个限值判定。应先根据数据在医疗功能中的作用分级，再定义丢失、延迟、乱序、重复和中断的最坏模型与可验证接受标准。
先对数据分级
- 实时治疗或控制指令，错误、重复或迟到可能直接造成危险动作；
- 关键生理参数、波形、图像或报警，缺失可能导致漏报、延迟或错误判断；
- 趋势、历史记录或报告数据，短时丢失不一定立即伤害，但可破坏连续性和追溯；
- 患者、设备、时间、单位、状态和版本等上下文，丢失后剩余数据可能被错误关联；
- 运行日志、安全日志和审计记录，缺失可影响故障、攻击或不良事件调查。
不要只测随机均匀丢包
- 单个、随机、连续突发和周期性丢失；
- 上行、下行、双向不对称和请求已发送但确认丢失；
- 包乱序、重复、损坏、延迟、抖动和带宽下降；
- 短时断网、长时中断、网络切换、设备漫游、路由器或服务器重启；
- 多设备并发、高数据量、大文件同步、报警风暴和后台更新等高负载；
- 不同信号质量、距离、干扰、移动速度、电量和环境组合。
丢包怎样被检测
可使用序列号、时间戳、数据长度、校验码、响应确认、心跳、超时和状态机识别丢失、重复、损坏和断连。检测延迟本身也要有限值；不能在数据已经过期后才提示。界面应区分“当前值”、“最后一次有效值”、“数据不完整”和“连接中断”，避免用户把冻结画面当作实时状态。
缓存、重传和去重怎么设计
- 明确缓存的数据类型、容量、时长、满载策略、断电保留和数据保护；
- 对可重传数据设定重试间隔、次数、超时和优先级，避免恢复后拥塞新的实时数据；
- 使用唯一标识或幂等机制防止重复传输被重复计量、重复执行或重复报警；
- 对时效性强的控制指令，过期后不应继续重传并执行；
- 重连后先校验患者、会话、时间、配置和序列，再合并历史与实时数据。
什么时候必须告警或转入安全状态
应根据丢失数据的医疗作用、持续时间和当前患者风险定义。对关键监测或报警，不能把“网络异常”埋在系统日志里；应在可接受时间内向正确的人以可感知方式告知，并说明影响范围和处置。如果网络不可用时仍允许本地继续工作，应证明本地报警、数据保存和安全停机不依赖远程系统。
可接受标准怎么写
除了丢包率，还应根据产品定义最大连续缺口、端到端延迟、抖动、告警时间、缓存容量、补传完成时间、数据完整性、重复率、顺序正确性和恢复后的功能状态。数值来源应能追溯到医疗需求、算法、风险控制或系统性能，不要因为测试环境恰好能达到某个数就把它当作可接受限。
联网风险见联网医疗器械注册要注意什么；数据导出见医疗器械数据导出需要验证吗；报警延迟见医疗监测设备报警延迟怎么控制；时间同步见医疗设备和软件时间同步怎么验证。
技术依据
通信协议、网络类型、医疗任务和产品专用标准可能有更具体的性能要求，应结合实际系统架构和风险逐项确定。
