医械资质百问百答
医疗器械软件
医疗设备远程升级失败怎么控制？
先说结论：医疗设备远程升级失败时，系统必须落在事先定义并验证过的状态，不能留在“似乎还能用”的未知状态。这个状态可以是完整回退到旧版本、保留有限安全功能，或明确停用并启动备用方案，但选择必须由医疗用途和风险决定。
升级前先检查哪些条件
- 硬件型号、当前软件版本、区域、许可、配置和附件是否在目标版本适配范围内；
- 设备是否正在患者使用、治疗输出、关键监护、数据导出或维护中；
- 电源、电池、可用存储、网络质量、时间同步和必要数据备份是否满足条件；
- 用户、管理员或远程服务主体是否拥有对应授权，升级时间窗口是否可接受；
- 新版本的注册、变更评估、验证、发布批准和用户信息是否完成。
升级包怎么防止被篡改或用错
设备应验证升级来源、数字签名或等效真实性机制、包完整性、产品和版本适配关系，并防止非授权降级。下载完成不等于可以安装；安装前应再次核对完整性和必要前置条件，避免缓存错包、中间人攻击或管理端选错设备。
断电断网后如何回退
- 分开下载、校验、解包、写入、数据迁移、激活和升级后自检各阶段；
- 在每个阶段模拟断电、断网、包损坏、存储不足、看门狗重启和人工中止；
- 使用双分区、原子切换或其他机制时，实际验证回退后的版本、配置和数据一致；
- 数据结构发生变化时，验证迁移失败、部分迁移、回退和旧版本再读取；
- 无法自动恢复时，明确屏幕提示、报警、备用方案、服务联系和现场恢复步骤。
远程升级能否自动执行
不宜用“一律需要用户点击”或“一律后台强制”代替风险判断。如果设备处于关键临床任务，自动重启可能造成伤害；如果存在已知严重漏洞，长时间不更新也可能造成风险。应根据临床状态、维护窗口、用户职责和紧急程度设计通知、延后、批准和强制机制。
发布和追溯怎么做
先对受控设备或小范围执行，监测下载、安装、回退、自检、故障和客诉后再扩大。每台设备保留原版本、目标版本、时间、操作主体、包标识、结果、回退、升级后验证和用户通知记录。
联网风险见联网医疗器械注册资料要注意什么；数据丢包见联网医疗设备数据丢包怎么评估；时间同步见医疗设备和软件时间同步怎么验证。
软件、网络安全与风险依据
远程升级控制应按软件安全性级别、网络安全风险、临床任务和设备恢复能力确定，不存在适用所有设备的单一升级策略。
