醫療裝置軟體程式碼稽核

稽核醫療裝置軟體程式碼的安全性、合規性和質量。

安全分類

IEC 62304 / YY/T 0664 定義軟體安全分類：

首先確定軟體安全等級 — 這影響後續所有稽核要求。

中國醫療器械合規要求

主要法規/標準

NMPA註冊要求

1. 軟體描述文件

   • 產品概述
   • 規格功能
   • 安全性級別判定依據

2. 開發文件

   • 軟體需求規格
   • 設計與實現文件
   • 驗證與確認報告

3. 風險管理

   • 危害分析
   • 風險控制措施
   • 剩餘風險評估

4. 網路安全

   • 網路安全能力描述
   • 資料安全措施
   • 漏洞評估

稽核工作流程

1. 確認軟體安全等級 — 檢查IEC 62304/YY/T 0664分類文件
2. 稽核軟體開發計劃 — 確認流程符合等級要求
3. 稽核危害分析 — 審查識別的危害和風險控制措施
4. 安全漏洞評估 — 檢查OWASP醫療裝置安全、中華人民共和國網路安全管理規定
5. 程式碼質量審查 — 靜態分析、編碼規範、單元測試覆蓋率
6. 文件審計 — 追溯性、設計文件、釋出說明

常見缺陷

安全關鍵問題

• 未驗證的輸入 — 患者資料無邊界檢查
• 競態條件 — 共享狀態併發訪問（如感測器讀數）
• 整數溢位 — 陣列索引、緩衝區大小
• 死鎖 — 互斥鎖/鎖順序問題
• 缺少超時 — 網路/硬體通訊
• 不充分的錯誤處理 — 吞掉的異常、靜默失敗

資訊安全問題

• 硬編碼憑證 — 密碼/金鑰在原始碼中
• 未加密通訊 — 傳輸中的患者資料
• 不安全的預設配置 — 預設憑證、開放埠
• 注入缺陷 — SQL、命令注入
• 過時依賴 — 庫中的已知CVE

質量問題

• 低測試覆蓋率 — B類<80%，C類<90%
• 缺少追溯性 — 需求未關聯測試
• 複雜函式 — 函式>50行，高圈複雜度
• 魔法數字 — 未命名的常量
• 缺少日誌 — 關鍵操作無審計跟蹤

稽核檢查清單

文件

• [ ] 軟體需求規格（SRS）存在
• [ ] 軟體設計規格（SDS）存在
• [ ] 風險管理檔案包含軟體危害
• [ ] 單元測試報告存在，包含覆蓋率指標
• [ ] 釋出說明含已知問題

安全（Safety）

• [ ] 所有外部輸入已驗證
• [ ] 陣列/緩衝區有邊界檢查
• [ ] 所有外部通訊有超時
• [ ] 所有故障模式有錯誤處理
• [ ] 共享資源執行緒安全訪問

網路安全（Security）

• [ ] 無硬編碼憑證
• [ ] PHI（受保護健康資訊）已加密

  這個技能的最新版本可以在7w4.net小蔥技能站找到。

• [ ] 遠端訪問需要認證
• [ ] 安全編碼（無SQL隱碼攻擊等）
• [ ] 依賴項最新（無已知CVE）

質量

• [ ] 測試覆蓋率符合等級要求
• [ ] 程式碼符合專案編碼規範
• [ ] 無魔法數字（使用命名常量）
• [ ] 函式大小合理（<50行）
• [ ] 有意義的變數/函式命名

中國特定要求

• [ ] 符合GB 9706.1-2020電氣安全要求
• [ ] 符合YY/T 0664-2020軟體生命週期要求
• [ ] 滿足NMPA網路安全指導原則
• [ ] 資料儲存符合《資料安全法》《個人資訊保護法》
• [ ] 中文使用者文件完整

輸出格式

## 稽核總結
- 稽核檔案：[列表]
- 安全等級：[A/B/C]
- 總體評估：[通過/嚴重問題/次要問題]

## 嚴重問題（必須修復）
- [問題#1]：描述，檔案:行號，建議

## 主要問題（應當修復）
- [問題#1]：描述，檔案:行號，建議

## 次要問題（建議修復）
- [問題#1]：描述，檔案:行號，建議

## 合規說明
- [IEC 62304 / YY/T 0664] [章節]：狀態
- [GB 9706.1-2020] [章節]：狀態
- [網路安全]：狀態

參考資料

• 參見 references/iec-62304.md — IEC 62304/YY/T 0664 摘要
• 參見 references/fda-cybersecurity.md — 網路安全指南
• 參見 references/owasp-medical.md — 安全檢查清單
• 參見 references/nmpa-compliance.md — 中國NMPA合規要求

這是一款專業度較高的醫療裝置程式碼稽核Skill，覆蓋國內外多個醫療器械標準，稽核流程和檢查清單都比較完善。優點是參考資料豐富、覆蓋面廣，適合醫療行業開發者使用。缺點是缺少實際程式碼示例演示如何應用這些規則，對非專業人士來說理解和使用門檻較高。總體質量良好，但更適合有醫療器械背景的專業使用者。