3. 医疗设备威胁建模的法规与标准基础
医疗设备威胁建模不是一项可以“凭经验自由发挥”的活动。它同时受到两类约束：一类来自上市准入法规，决定产品能否进入市场；另一类来自工程与安全标准，决定分析过程是否严谨、可追溯、可审计。理解这些法规与标准各自“管什么、要求什么、在威胁建模中落在哪一步”，是构建合规且有效威胁模型的前提。
一、五类依据的分工定位
可以把它们分成三个层次来理解。第一层是监管准入层：美国 FDA 与欧盟 MDR 规定“必须做安全风险分析，并把它作为上市证据的一部分”。第二层是风险方法层：ISO 14971 给出医疗器械风险管理的通用流程，是安全与安保风险共用的方法论底座。第三层是安全工程层：IEC 62443 面向工业自动化与控制系统给出安保要求与安全等级，AAMI TIR57 则专门回答“如何把安保威胁分析嫁接到 ISO 14971 的风险管理流程中”。
关键认知是：ISO 14971 管的是“风险”，AAMI TIR57 管的是“安保威胁如何进入风险流程”，IEC 62443 管的是“系统与组件应达到的安保能力等级”，FDA 与 MDR 管的是“你必须证明你做了这些”。威胁建模正是把四者串起来的那条主线。
二、各依据对威胁建模的具体要求
FDA。FDA 在上市前网络安全指南中明确要求：制造商应在设计阶段开展威胁建模，识别资产、信任边界、攻击路径与潜在影响，并将结果纳入风险管理文件。同时要求提供软件物料清单（SBOM）、漏洞管理计划与协调披露策略。威胁建模不是一次性文档，而是随架构变更持续更新的活动。
MDR。MDR 附录 I 第 17 条要求：含软件或联网的器械，其信息安全须纳入风险管理，防止未授权访问与数据篡改。MDR 不直接规定威胁建模方法，但要求“风险可识别、可控制、可验证”，因此威胁建模成为证明信息安全风险已被系统识别的重要手段。
ISO 14971。它定义了风险 = 伤害发生概率 × 伤害严重度的组合，并要求建立可追溯的风险管理闭环。威胁建模的产出——威胁清单、风险评分、控制措施——必须能映射到该闭环中，形成“威胁 → 可预见事件序列 → 危害 → 伤害”的链条。
IEC 62443。它提供区域（Zone）与管道（Conduit）的划分方法，以及 SL1~SL4 安全等级和 FR1~FR7 基础要求。威胁建模可借助区域划分确定信任边界，用 SL 目标确定控制强度，使威胁缓解措施有明确的等级依据。
AAMI TIR57。它是连接安保与 ISO 14971 的桥梁，提出安保风险分析应关注威胁源、脆弱性、可利用性与影响，并建议在风险管理计划中明确安保分析的范围、方法与接受准则。
三、映射关系与实操要点
实际工作中，建议建立一张“要求—活动—证据”映射表，把每条法规或标准条款落到具体威胁建模动作上。例如：
| 依据 | 核心要求 | 对应威胁建模活动 | 可交付证据 |
|---|---|---|---|
| FDA 上市前网络安全 | 设计阶段威胁建模、SBOM、漏洞管理 | 资产识别、数据流图、威胁枚举 | 威胁模型报告、SBOM、漏洞管理计划 |
| MDR 附录 I | 信息安全纳入风险管理 | 风险评分、控制措施设计 | 风险管理文件中的安保章节 |
| ISO 14971 | 风险闭环与可追溯 | 威胁→事件序列→危害→伤害映射 | 风险追溯矩阵 |
| IEC 62443 | 区域/管道、SL 等级、FR1~FR7 | 信任边界划分、控制强度选择 | 区域与管道图、SL 目标说明 |
| AAMI TIR57 | 安保风险分析原则 | 威胁源、脆弱性、可利用性分析 | 安保风险分析记录 |
综上，法规与标准并非彼此孤立，而是通过威胁建模这一活动形成合力：FDA 与 MDR 提出准入要求，ISO 14971 提供风险方法论，IEC 62443 提供系统与组件级安保要求，AAMI TIR57 提供衔接方法。只有把四者映射到同一套威胁建模流程与证据链中，才能既满足合规，又真正降低医疗设备的网络安全风险。