4. 变更影响分析的基本流程

变更影响分析不是一次“开会讨论”，而是一条有输入、有判断、有输出、有记录的工程链路。它的起点是变更申请，终点不是“改完代码”，而是“风险已被重新评估、控制措施已落实、证据可追溯”。在医疗器械软件中，这条链路必须能回答四个问题：改了什么、影响到谁、风险是否仍可接受、凭什么说它受控。下面按端到端流程展开，并给出可直接使用的分析记录结构。

一、变更申请：把“想改”变成“可分析的输入”

变更申请（Change Request, CR）是整条链路的触发点。它不能只写“优化算法”或“修复缺陷”，而应包含可分析的最小信息集：变更对象（软件项/模块/配置项）、变更类型（纠正、预防、改进、法规驱动）、变更描述、变更理由、提出人、日期、关联的缺陷号或需求号、预期影响范围初判。对于医疗器械软件，还应标注是否涉及安全相关功能、是否涉及已上市版本、是否涉及网络安全或人工智能/机器学习模型。

例如，某输液泵软件收到一条 CR：“将阻塞报警阈值从 80 kPa 调整为 60 kPa，以提升对微小阻塞的响应速度。”这条描述已经具备可分析性：对象是报警判定模块，参数是阈值，方向是降低，理由是响应速度。若只写“调整报警”，后续影响识别将无从下手。因此，变更申请阶段的核心动作是把模糊意图转成带参数、带对象、带理由的结构化输入，并赋予唯一 CR 编号，作为后续所有记录的追溯主键。

二、影响范围识别：沿软件项、接口、风险与生命周期四条线展开

影响范围识别不是凭经验“拍脑袋”，而是沿四条线系统排查：

• 软件项线：直接修改的模块、调用它的上层模块、被它调用的下层模块、共享数据结构、配置参数、编译选项。
• 接口线：与硬件（传感器、电机、显示屏）、与外部系统（医院信息系统、移动端）、与用户界面的数据流和控制流。
• 风险线：该变更是否引入新的危险源、是否改变原有风险控制措施的有效性、是否影响报警限值、是否影响安全相关判定。
• 生命周期线：需求、设计、代码、测试用例、风险管理文件、说明书、标签、培训材料、注册资料。

以阻塞报警阈值调整为例，影响识别结果可能包括：报警判定模块（直接修改）、压力采样滤波模块（阈值降低后噪声可能引起误报）、报警输出与显示模块（报警文案与优先级是否需同步）、风险分析中的“阻塞未报警”与“误报警导致治疗中断”两条风险、以及对应的验证测试用例和说明书中的报警说明。识别结果应逐条记录“受影响项、影响类型、判断依据、是否需进一步分析”，而不是只写一个“影响较大”。

三、风险再评估：把“影响”翻译成“风险是否可接受”

影响识别回答“哪里会变”，风险再评估回答“变了以后风险还能不能接受”。这一步应回到风险管理文件，对每条受影响的风险重新评估严重度（S）、发生概率（P）和可探测性（D），并判断原有风险控制措施是否仍然有效。若变更引入了新的危险源，还需补充新的风险条目。

继续以阈值调整为例。假设原风险分析中“阻塞未报警”的 S=3、P=2、D=2，风险等级为低；阈值降低后，漏报警概率下降，但“误报警导致治疗中断”的 P 从 2 升到 3，S=3、D=2，风险等级升为中。此时不能直接说“改完再测”，而应明确：风险等级上升，必须制定控制措施并验证其有效性。若评估后风险仍可接受，也应在记录中写明“剩余风险可接受”的判断依据，而不是留空。

四、控制措施制定：措施、责任人、验证证据三件套

控制措施不是“再测一遍”，而是针对风险再评估结论采取的设计或管理动作。常见措施包括：修改算法或参数、增加确认延时、增加滤波、增加报警冗余、更新说明书或培训材料、增加过程控制。每条措施必须绑定责任人、完成时限和验证方式。

例如，针对误报警风险，可制定两条措施：其一，在报警判定前增加 2 s 确认延时，避免瞬时压力波动触发报警；其二，将压力采样滤波窗口从 5 点增加到 8 点，降低噪声引起的误判。验证方式为：执行 TC-ALM-03（模拟微小阻塞，确认报警及时）和 TC-ALM-07（模拟压力波动，确认不误报），并记录实际报警时间与误报次数。验证通过后，风险再评估结论更新为“剩余风险可接受”，措施关闭。

五、可追溯分析记录：让每个结论都有出处

整条链路的最终交付物是一份可追溯的分析记录。它不需要复杂模板，但必须做到“一条 CR 对应一条记录链，每个结论可回溯到输入、判断依据和验证证据”。下表给出一个可直接使用的记录字段示例，字段值以本节示例填充，实际使用时按项目替换。

总结来看，这条端到端流程的核心不是步骤数量，而是输入可分析、影响可枚举、风险可判断、措施可验证、记录可追溯。变更申请提供结构化输入，影响识别沿软件项、接口、风险和生命周期四条线展开，风险再评估把影响翻译成风险等级变化，控制措施针对风险结论制定并验证，最终由带 CR 编号的记录链把每个结论固定下来。做到这一点，变更才真正受控，而不是“改完再说”。