2. 软件风险管理术语与原则

在医疗器械软件风险管理中，术语不是文字游戏，而是决定分析边界、判定逻辑和文档一致性的基础。若把“危害”和“危险”混用，后续的严重度分级、可接受准则和受益-风险平衡都会失去稳定的锚点。因此，本节先建立一套可操作的术语关系，再讨论风险管理方针、可接受准则与受益-风险平衡如何落地。

一、五个核心术语的因果链

ISO 14971 给出的定义可以压缩为一条因果链：危害（hazard）是潜在的伤害来源；危险情况（hazardous situation）是人、财产或环境暴露于危害之中的情形；损害（harm）是实际发生的伤害或健康损失；风险（risk）是损害发生概率与损害严重度的组合；安全（safety）不是零风险，而是风险已被判定为可接受的状态。对软件而言，危害往往不是软件本身“坏掉”，而是软件输出或行为通过外部对象转化为伤害。

举一个输液泵软件的示例：危害是“药液输入速率过高”；危险情况是“软件在流速计算中使用了错误的药筒规格，导致泵以 10 倍速率输注”；损害是“患者药物过量，出现低血压或心律失常”；风险是“该损害发生的概率与严重度的组合”；安全则是“该风险经控制后已降至可接受水平”。这条链说明：软件风险分析必须从“软件行为”追溯到“临床损害”，否则风险控制会停留在代码层面而无法对应患者安全。

二、风险管理方针：从“口号”到可执行约束

风险管理方针是组织对“风险可接受程度”的顶层承诺。它不应写成“确保软件安全可靠”这类无法验证的表述，而应给出可执行的约束。例如某二类输液泵软件的风险管理方针可写为：

• 软件相关损害严重度达到“严重”及以上时，其发生概率必须控制在“极少发生”等级；
• 任何不可接受风险必须通过设计措施消除或降至 ALARP 区域，不得仅依赖用户手册警告；
• 剩余风险必须与临床受益进行平衡，且平衡结论需由临床、软件、法规三方共同评审。

这样的方针才能直接映射到需求、测试和放行决策。方针一旦确定，后续所有风险分析、控制措施和验证活动都围绕它展开，避免“分析归分析、放行归放行”的两张皮。

三、可接受准则：把“可接受”变成可判定

可接受准则通常用“严重度 × 概率”矩阵表达。严重度可分为可忽略、轻微、严重、危重、灾难性五级；概率可分为经常、可能、偶尔、极少、不可能五级。矩阵中每个格子对应“可接受”“ALARP”“不可接受”三种判定。软件风险的特殊性在于：概率难以用历史数据统计，因此常用“暴露时间 × 触发条件 × 软件失效概率”进行定性或半定量估计。

以输液泵“流速计算错误”为例：严重度为“严重”，概率经分析为“偶尔”，矩阵判定为“不可接受”。此时必须增加控制措施，例如在软件中增加药筒规格二次校验和流速上限硬限幅。控制后概率降为“极少”，矩阵判定进入“ALARP”区域，再结合临床受益（该泵用于急救场景，受益显著）判定为可接受。这个过程说明：可接受准则不是一次性判定，而是“控制前—控制后”的对比证据。

四、受益-风险平衡：安全不是零风险

受益-风险平衡是风险管理的最终决策环节。它的逻辑是：医疗器械必然带有剩余风险，只要临床受益大于剩余风险，且风险已降至 ALARP，产品即可判定为安全。对软件而言，受益通常来自功能准确性、响应速度、自动化程度；风险则来自软件失效导致的误诊、误治、延误或伤害。

实际操作中，受益-风险平衡需要回答三个问题：第一，目标人群的临床需求是否真实且显著；第二，剩余风险是否已无法进一步降低；第三，受益是否覆盖了剩余风险。例如某 AI 辅助诊断软件，对早期病变的检出率提升 15%，但存在 2% 的假阳性导致额外复查。若额外复查属于低风险、可承受的临床操作，且早期检出带来的治疗窗口显著，则受益大于风险；反之，若假阳性会导致侵入性活检，则必须重新评估。

五、有效性：风险管理的并行目标

有效性（effectiveness）指软件在预期使用条件下实现预期临床效果的能力。它与安全不是对立关系，而是同一决策的两面：安全关注“不造成不可接受的伤害”，有效性关注“能带来预期的受益”。风险管理不能为了降低风险而把软件做得无法使用——例如把报警阈值设得过严，导致频繁误报，临床用户关闭报警，反而引入新的危险情况。因此，风险控制措施必须同时验证其有效性，确保控制后的软件仍能满足临床需求。

六、落地检查清单

掌握这些术语和原则后，后续的危害分析、风险估计、控制措施和验证活动才有统一的语言和判定尺度。软件风险管理的难点不在于画出多少张图，而在于每一个结论都能沿着“危害—危险情况—损害—风险—安全—有效性”这条链找到证据。