3. 医疗器械漏洞管理法规与标准体系
医疗器械漏洞管理不是单一标准能覆盖的工作，它由“安全设计—风险管理—上市前审查—上市后监测—事件报告”多条法规与标准线索交织而成。理解这一体系的关键，是分清每条线索管什么、在哪个阶段介入、输出什么证据，以及它们之间如何互相引用。下面按“监管域—标准域—落地映射”三层展开。
一、FDA：预市场与后市场两条主线
FDA对医疗器械网络安全的监管以指南文件为主，核心是上市前提交需证明“安全设计”，上市后需证明“持续监测与响应”。预市场侧，FDA要求制造商在510(k)、De Novo、PMA等提交中提供网络安全信息，重点包括：威胁建模、安全架构与设计控制、软件物料清单（SBOM）、漏洞管理与补丁策略、安全测试证据。其逻辑是：器械在上市前就应具备可被审查的“安全证据包”，而不是上市后再补。
后市场侧，FDA强调上市后网络安全风险管理：建立漏洞监测与评估流程、协调漏洞披露（CVD）、可修复漏洞的补丁与缓解措施、以及必要时向FDA和用户通报。对“可修复”与“不可修复”漏洞，处理路径不同：可修复的应通过补丁或配置缓解；不可修复的需评估临床风险并采取补偿性控制，如隔离部署、限制接口、加强监控。FDA还要求对网络安全事件进行报告，尤其是可能导致严重伤害或死亡的事件。
二、IEC 81001-5-1：把“安全”嵌入软件生命周期
IEC 81001-5-1（健康软件与健康IT系统的安全——产品生命周期中的安全活动）是医疗器械软件网络安全的重要过程标准。它不直接规定“漏洞库怎么建”，而是规定在软件生命周期各阶段应开展哪些安全活动：需求阶段的安全需求与威胁建模、设计阶段的安全架构与安全编码、验证阶段的漏洞扫描与渗透测试、发布阶段的SBOM与漏洞披露、维护阶段的漏洞监测与补丁管理。
与ISO 14971的关系是：IEC 81001-5-1提供“安全工程活动”，ISO 14971提供“风险可接受性判断”。前者回答“做什么安全活动”，后者回答“风险是否可接受、如何控制”。在实操中，常把IEC 81001-5-1的活动输出作为ISO 14971风险文件的输入，例如把渗透测试发现的漏洞纳入风险分析，评估其严重度与发生概率，再决定是否放行或需缓解。
三、ISO 14971：漏洞如何进入风险管理文件
ISO 14971是医疗器械风险管理的通用标准。漏洞本质上是一种“可被利用的脆弱性”，它可能引发信息安全事件，进而导致患者伤害。因此漏洞管理必须与ISO 14971的风险管理过程对接：识别漏洞 → 评估利用可能性与后果 → 判断风险是否可接受 → 采取控制措施 → 验证控制有效性 → 剩余风险评价。
关键点在于：漏洞的“技术严重度”不等于“临床风险”。一个CVSS 9.8的漏洞，如果位于隔离网络、无患者数据、无治疗控制路径，其临床风险可能较低；反之，一个CVSS 6.5的漏洞若可远程修改治疗参数，临床风险可能很高。因此ISO 14971要求结合器械预期用途、使用环境、接口暴露面来评估。风险控制优先级通常是：设计消除 > 防护措施 > 信息告知（如说明书警告）。
四、MDR与NMPA：区域监管的落地要求
欧盟MDR（2017/745）在通用安全与性能要求（GSPR）中明确要求器械具备网络安全防护，且对软件类器械有专门条款。MDR强调全生命周期安全：上市前技术文档需包含网络安全风险分析、验证与确认证据；上市后需通过PMCF、警戒系统、趋势报告持续监测。对严重事件，需按警戒系统时限报告。
中国NMPA对医疗器械网络安全的监管以《医疗器械网络安全注册审查指导原则》等文件为核心，要求注册申报时提交网络安全描述文档、漏洞评估报告、安全测试报告等。其审查要点包括：数据接口与传输安全、用户访问控制、审计日志、漏洞管理与补丁能力、以及上市后漏洞响应机制。NMPA同样强调“上市前审查+上市后监测”的闭环，并要求对重大网络安全事件及时报告。
五、体系协同：一张“证据地图”
把上述要求放在一起，可以形成一张“证据地图”。监管域提出要求：FDA预市场要安全设计证据，FDA后市场要监测与响应证据，MDR要全生命周期技术文档，NMPA要网络安全描述文档与漏洞评估。标准域提供方法：IEC 81001-5-1给出安全活动清单，ISO 14971给出风险可接受性判断。两者交汇处，就是企业实际要交付的“安全证据包”。
在具体项目中，建议按以下顺序建立映射：先依据IEC 81001-5-1列出软件生命周期安全活动，再对每项活动标注对应的ISO 14971风险文件条目，最后按目标市场（FDA/MDR/NMPA）标注需要提交的文档。这样，同一套安全活动可以同时满足多个监管域，避免重复劳动。
| 监管/标准 | 介入阶段 | 核心要求 | 典型输出 |
|---|---|---|---|
| FDA 预市场 | 上市前 | 威胁建模、安全设计、SBOM、测试 | 网络安全提交文档、SBOM、测试报告 |
| FDA 后市场 | 上市后 | 漏洞监测、CVD、补丁、事件报告 | 漏洞响应记录、补丁记录、事件报告 |
| IEC 81001-5-1 | 全生命周期 | 安全需求、设计、编码、测试、维护 | 安全活动记录、安全测试证据 |
| ISO 14971 | 全生命周期 | 风险分析、评价、控制、剩余风险 | 风险管理文件、风险控制验证 |
| MDR | 上市前+后 | GSPR、技术文档、PMCF、警戒 | 技术文档、PMCF报告、警戒报告 |
| NMPA | 上市前+后 | 网络安全描述、漏洞评估、监测 | 网络安全描述文档、漏洞评估报告 |
最后需要强调：法规与标准不是彼此孤立的检查项，而是一条从“安全设计”到“风险可接受”再到“上市后持续监测”的完整证据链。企业若只把漏洞管理当作上市前的一次性测试，或只当作上市后的应急响应，都会在审查或真实事件中暴露缺口。正确做法是：以IEC 81001-5-1为活动骨架，以ISO 14971为风险判断标尺，以FDA、MDR、NMPA的要求为输出格式，形成可追溯、可复用、可审计的漏洞管理闭环。