FDA SaMD软件指南

SaMD是独立实现医疗目的的软件，可能运行在通用计算平台、移动设备或云环境中。FDA关注的并非软件载体，而是功能对诊疗决策和患者风险的影响。企业需要把预期用途、算法边界、数据流和更新策略转化为贯穿全生命周期的证据。

先界定医疗功能与监管边界

产品团队应逐项拆分软件功能，判断哪些用于诊断、治疗、预防或临床决策，哪些仅提供行政、传输或一般健康管理。一个应用内可能同时存在受监管与非受监管功能，但必须清楚隔离数据、界面和宣传。预期用途要说明目标疾病、人群、使用者、输入数据、输出结果及其在决策中的角色。若软件直接给出危重患者治疗建议，其风险明显高于仅供医师复核的图像标注工具。界定结果应与产品代码、上市路径和标签一致。市场文案不得把辅助信息描述成自动诊断，否则可能超出获准范围并改变风险级别。对边界不清的新功能，可通过预提交与FDA沟通。在FDA医疗器械监管框架下，还应结合现行指南和产品代码持续复核该项判断。

软件生命周期强调可追溯

软件文档应覆盖需求、架构、详细设计、风险控制、验证确认、配置管理、缺陷处理和发布记录。每项系统需求要追溯到用户需求、风险措施和测试用例，证明实现结果符合预期。根据软件风险和提交要求，文档深度会有所不同，但不能以敏捷开发为由省略设计控制。第三方库、开源组件和操作系统依赖也应纳入清单，评估许可证、漏洞和维护状态。案例中，算法本身未变化，但底层图像库升级导致输出偏差，若配置管理只跟踪主程序版本，就难以及时发现。企业应使用受控构建、代码评审和自动化测试，同时保留关键人工批准证据。企业应同步核对适用标准、实际样品和证据版本，确保书面结论能够覆盖最终上市产品及全部配置。

临床性能验证对应使用场景

SaMD验证通常需要证明输入数据有效、算法输出准确，并确认结果在目标临床流程中具有意义。数据集应覆盖拟上市人群、设备来源、疾病谱和使用环境，训练、调参与独立测试严格隔离。评价指标不能只报告总体准确率，还应根据任务提供敏感度、特异度、假阳性、假阴性、置信区间及重要亚组表现。参考标准的建立方式和盲法也需说明。对于医师参与的辅助决策软件，可开展读者研究或工作流评价，比较有无软件辅助的表现。若真实使用时图像质量低于测试集，应设置输入质量控制和失效提示，而不是假定所有数据都满足理想条件。相关职责、输入、输出和升级时限应写入程序，并通过抽样记录证明流程已经有效执行和持续改进。

网络安全与互操作同步设计

联网SaMD应建立威胁模型，识别身份认证、授权、数据完整性、传输、更新、日志和恢复相关风险，并采用分层控制。软件物料清单有助于跟踪第三方组件漏洞，但还需有监测、分级、修补和披露流程。接口验证要覆盖异常数据、断网、时钟差异和外部系统版本变化，防止互操作故障产生错误结果。安全控制不能妨碍临床紧急使用，应通过可用性测试验证平衡。提交资料中应说明更新机制、补丁验证和用户通知。发现高危漏洞时，企业要结合可利用性、患者影响和现有缓解措施评估是否报告、召回或发布安全更新，并保留决策记录。如发现数据偏离预设阈值，应启动调查、风险评估和纠正措施，并持续确认措施有效性及产品影响。

算法更新必须受变更控制

获准后的模型、阈值、数据预处理、用户界面和平台变化都可能影响安全有效性。企业应在发布前进行法规影响评估，判断是否需要新的上市提交，并按变化范围开展回归、性能和临床验证。对于计划性机器学习更新，可关注FDA有关预定变更控制的现行要求，清楚描述允许变化、实施方法和影响评估，而不能把持续学习理解为无需审查的自动更新。上市后应监测不同亚组、设备和机构中的性能漂移，设置报警阈值。若发现假阴性持续升高，应暂停相关更新、调查数据分布和版本，并采取纠正措施。项目负责人还应定期检查进度、依赖关系和未关闭问题，将重要风险及时提交管理层审议并跟踪关闭。

SaMD合规的核心是让功能边界、软件版本、临床性能和网络风险始终可追溯。把法规评估嵌入开发与发布流程，可在保持迭代效率的同时，避免更新超出获准状态。