1. 数字疗法软件验证与风险工程导论

数字疗法（Digital Therapeutics，DTx）是以软件为主要干预载体、以循证医学证据为支撑、用于预防、管理或治疗疾病的一类医疗产品。它与普通健康 App 的关键区别在于三点：其一，干预机制必须明确，即软件通过何种认知、行为或生理通路产生治疗效应；其二，临床结局必须可测量，通常以量表评分、生理指标或事件发生率作为主要终点；其三，风险必须可控，软件缺陷可能直接导致干预缺失、剂量错误或延误治疗。因此，数字疗法既是软件产品，又是医疗器械，验证与风险工程不是附加环节，而是产品成立的前提。

一、数字疗法的分类与监管格局

按功能定位，数字疗法通常分为三类：治疗型（如失眠的认知行为治疗、物质依赖的防复发训练）、管理型（如糖尿病血糖干预、高血压生活方式管理）和诊断/筛查辅助型（如基于问卷或行为数据的风险分层）。按监管路径，美国 FDA 主要通过 De Novo、510(k) 和 PMA 三类通道管理，并设有 SaMD（Software as a Medical Device）与 Pre-Cert 相关框架；欧盟依据 MDR 2017/745 按风险等级分为 I、IIa、IIb、III 类，软件独立成类；中国由国家药监局按《医疗器械软件注册审查指导原则》和《人工智能医疗器械注册审查指导原则》管理，第二类、第三类软件器械需提交软件研究资料、网络安全描述文档和算法验证资料。监管差异直接影响验证策略：风险等级越高，对软件生命周期文档、可追溯性和上市后监测的要求越严。

二、验证与风险工程在全生命周期中的定位

数字疗法的生命周期可概括为概念、设计开发、验证确认、注册审评、上市与上市后五个阶段。软件验证（Verification）回答“是否正确地构建了产品”，即输出是否满足输入规格；确认（Validation）回答“是否构建了正确的产品”，即临床需求是否被满足。风险工程则贯穿始终，依据 ISO 14971 建立“危害识别—风险估计—风险控制—剩余风险评价”的闭环。三者关系可用下图表示：

图中可见，验证与确认并非一次性活动，而是与风险工程形成双向反馈：风险分析结果决定测试的深度与优先级，测试中发现的缺陷又反过来更新风险档案。上市后收集的真实世界数据同样回流至需求与风险分析，触发版本迭代和再验证。

三、核心挑战

数字疗法的验证与风险工程面临四类特有挑战。第一，软件即干预，缺陷即伤害。传统器械的失效模式多为硬件故障，而数字疗法的失效可能是算法输出偏差、推送延迟、界面误导或数据丢失，这些缺陷不会触发报警，却可能让患者错过干预窗口。第二，算法的不确定性与可解释性。若产品包含机器学习模型，需同时验证模型性能（如灵敏度、特异度、AUC）和临床可解释性，并防止数据漂移导致性能衰减。第三，人因与依从性。数字疗法的疗效高度依赖患者持续使用，可用性工程必须覆盖真实使用环境中的误操作、中断和放弃场景。第四，快速迭代与监管稳定性的矛盾。敏捷开发要求频繁发布，但每次变更都可能影响安全有效性，必须建立变更控制与再验证触发准则。

四、学习路线图

本课程按“基础—方法—实践—进阶”四层展开。基础层建立数字疗法定义、分类与监管框架；方法层讲解软件生命周期模型、IEC 62304 软件安全分级、ISO 14971 风险管理流程、IEC 62366 可用性工程；实践层覆盖需求可追溯性矩阵、单元与集成测试设计、网络安全测试、临床评价方案设计；进阶层讨论 AI/ML 算法验证、真实世界证据、上市后监测与敏捷合规。建议学习时始终带着一个具体产品假设，例如“一款用于成人失眠的认知行为治疗 App”，将每章方法应用到该假设上，形成可追溯的验证证据链。