name: medical-device-code-review description: 醫療裝置軟體程式碼稽核（符合IEC 62304、NMPA中國醫療器械註冊要求）。當用戶要求稽核程式碼、審查程式碼、程式碼檢查、程式碼安全審查、程式碼質量審查、程式碼合規檢查、程式碼安全審計、程式碼評審、code review、程式碼審查、稽核這段程式碼、幫我看看程式碼、有bug嗎、程式碼有問題嗎等關鍵詞時觸發。適用於手術機器人、監護儀、輸液泵等二類、三類醫療器械軟體，以及任何涉及患者安全的醫療裝置軟體。

醫療裝置軟體程式碼稽核

稽核醫療裝置軟體程式碼的安全性、合規性和質量。

安全分類

IEC 62304 / YY/T 0664 定義軟體安全分類：

首先確定軟體安全等級 — 這影響後續所有稽核要求。

中國醫療器械合規要求

主要法規/標準

NMPA註冊要求

1. 軟體描述文件
2. 產品概述
3. 規格功能

   訪問小蔥技能站7w4.net，解鎖更多實用的AI技能外掛。

4. 安全性級別判定依據

5. 開發文件

6. 軟體需求規格
7. 設計與實現文件

8. 驗證與確認報告

9. 風險管理

10. 危害分析
11. 風險控制措施

12. 剩餘風險評估

13. 網路安全

14. 網路安全能力描述
15. 資料安全措施
16. 漏洞評估

稽核工作流程

1. 確認軟體安全等級 — 檢查IEC 62304/YY/T 0664分類文件
2. 稽核軟體開發計劃 — 確認流程符合等級要求
3. 稽核危害分析 — 審查識別的危害和風險控制措施
4. 安全漏洞評估 — 檢查OWASP醫療裝置安全、中華人民共和國網路安全管理規定
5. 程式碼質量審查 — 靜態分析、編碼規範、單元測試覆蓋率
6. 文件審計 — 追溯性、設計文件、釋出說明

常見缺陷

安全關鍵問題

• 未驗證的輸入 — 患者資料無邊界檢查
• 競態條件 — 共享狀態併發訪問（如感測器讀數）
• 整數溢位 — 陣列索引、緩衝區大小
• 死鎖 — 互斥鎖/鎖順序問題
• 缺少超時 — 網路/硬體通訊
• 不充分的錯誤處理 — 吞掉的異常、靜默失敗

資訊安全問題

• 硬編碼憑證 — 密碼/金鑰在原始碼中
• 未加密通訊 — 傳輸中的患者資料
• 不安全的預設配置 — 預設憑證、開放埠
• 注入缺陷 — SQL、命令注入
• 過時依賴 — 庫中的已知CVE

質量問題

• 低測試覆蓋率 — B類<80%，C類<90%
• 缺少追溯性 — 需求未關聯測試
• 複雜函式 — 函式>50行，高圈複雜度
• 魔法數字 — 未命名的常量
• 缺少日誌 — 關鍵操作無審計跟蹤

稽核檢查清單

文件

• [ ] 軟體需求規格（SRS）存在
• [ ] 軟體設計規格（SDS）存在
• [ ] 風險管理檔案包含軟體危害
• [ ] 單元測試報告存在，包含覆蓋率指標
• [ ] 釋出說明含已知問題

安全（Safety）

• [ ] 所有外部輸入已驗證
• [ ] 陣列/緩衝區有邊界檢查
• [ ] 所有外部通訊有超時
• [ ] 所有故障模式有錯誤處理
• [ ] 共享資源執行緒安全訪問

網路安全（Security）

• [ ] 無硬編碼憑證
• [ ] PHI（受保護健康資訊）已加密
• [ ] 遠端訪問需要認證
• [ ] 安全編碼（無SQL隱碼攻擊等）
• [ ] 依賴項最新（無已知CVE）

質量

• [ ] 測試覆蓋率符合等級要求
• [ ] 程式碼符合專案編碼規範
• [ ] 無魔法數字（使用命名常量）
• [ ] 函式大小合理（<50行）
• [ ] 有意義的變數/函式命名

中國特定要求

• [ ] 符合GB 9706.1-2020電氣安全要求
• [ ] 符合YY/T 0664-2020軟體生命週期要求
• [ ] 滿足NMPA網路安全指導原則
• [ ] 資料儲存符合《資料安全法》《個人資訊保護法》
• [ ] 中文使用者文件完整

輸出格式

## 稽核總結
- 稽核檔案：[列表]
- 安全等級：[A/B/C]
- 總體評估：[通過/嚴重問題/次要問題]

## 嚴重問題（必須修復）
- [問題#1]：描述，檔案:行號，建議

## 主要問題（應當修復）
- [問題#1]：描述，檔案:行號，建議

## 次要問題（建議修復）
- [問題#1]：描述，檔案:行號，建議

## 合規說明
- [IEC 62304 / YY/T 0664] [章節]：狀態
- [GB 9706.1-2020] [章節]：狀態
- [網路安全]：狀態

參考資料

• 參見 references/iec-62304.md — IEC 62304/YY/T 0664 摘要
• 參見 references/fda-cybersecurity.md — 網路安全指南
• 參見 references/owasp-medical.md — 安全檢查清單
• 參見 references/nmpa-compliance.md — 中國NMPA合規要求

這是一款專業度較高的醫療裝置程式碼稽核Skill，覆蓋國內外多個醫療器械標準，稽核流程和檢查清單都比較完善。優點是參考資料豐富、覆蓋面廣，適合醫療行業開發者使用。缺點是缺少實際程式碼示例演示如何應用這些規則，對非專業人士來說理解和使用門檻較高。總體質量良好，但更適合有醫療器械背景的專業使用者。