標準簡介
IEC 62304:2006+A1:2015 是定義醫療器材軟體生命週期要求的國際標準。該標準最初於 2006 年發布，2015 年新增修正案 1，為獨立軟體醫療器材（SaMD）、醫療器材的軟體元件以及用於器材生產的軟體建立了統一的軟體開發、維護和風險管理框架。
此標準引入了基於軟體故障潛在危害的三級安全分類系統（A、B、C 類），對較高風險等級的軟體提出更嚴格的開發要求。它定義了涵蓋規劃、需求、設計、實施、驗證、確認、發布和維護的結構化流程。IEC 62304 與 ISO 14971 風險管理緊密整合，獲 FDA 認可，並作為歐盟醫療器材法規（MDR 2017/745）下的協調標準引用。
軟體安全分類
依潛在傷害將醫療器材軟體分為三個安全等級（A、B、C），高風險軟體的要求日益嚴格。
生命週期流程框架
定義醫療器材軟體之規劃、需求分析、設計、實作、驗證、確效、發行與維護的結構化流程。
整合風險之開發
與 ISO 14971 風險管理整合，要求於整個開發生命週期系統性辨識並降低軟體相關危害。
list_alt 軟體生命週期流程
- 軟體開發規劃
- 軟體需求分析
- 軟體架構與詳細設計
- 軟體單元實作與驗證
- 軟體整合與整合測試
- 軟體系統測試與發行
- 軟體維護流程
- 軟體風險管理（與 ISO 14971 整合）
誰需要合規？
含軟體之醫療器材製造商、本身即為醫療器材之軟體（SaMD）以及用於醫療器材生產或維護之軟體。向 FDA、EU MDR 及全球多數醫療器材主管機關提交法規申請時皆須符合。
關鍵要求
軟體安全分類
將軟體系統與軟體項目分類為安全等級 A（不可能造成傷害）、B（可能造成非嚴重傷害）或 C（可能造成死亡或嚴重傷害）。於整個開發過程採取與等級相符之嚴謹程度。
軟體開發計畫
於開發開始前制定全面的軟體開發計畫，涵蓋生命週期模型、交付物、可追溯性、組態管理及驗證/確效策略。
需求與可追溯性
定義完整的軟體需求，包括功能、效能、介面與安全需求。維持從需求至設計、實作及測試之雙向可追溯性。
驗證與確效
依軟體安全等級進行單元測試、整合測試與系統測試。於目標環境中確效軟體符合使用者需求與預期用途。
軟體維護
建立維護流程以追蹤並評估回饋，實施變更（修正、加強、調適），並管理變更對安全性與效能之影響。
實施路線圖
准备範圍、義務和證據模型
圍繞醫療器材軟體、嵌入式軟體、獨立軟體、SOUP、軟體維護、風險控制、需求、架構、验证、發布和問題解決定義醫療器材軟體生命週期專案範圍。識別適用法律、產品、客戶、認證或市場准入義務，并約定證據如何負責、更新和保留。
差距分析和風險分類
依据 IEC 62304 要求和風險背景評估目前實務。審查軟體安全分類、开发计划、需求、架構、详细設計、實作、验证、整合、發布、維護、SOUP 管理、組態管理和問題解決，并按市場准入影响、安全或環境風險、客戶暴露和文件準備度排列差距優先順序。
實施控制、測試和文件
部署所需控制、供應商流程、測試或評估活動、標籤或溝通步驟以及技術文件。圍繞軟體开发计划、安全分類理由、需求追溯、架構和設計记录、验证报告、SOUP 評估、發布记录、異常日志、組態记录和維護计划建立可追溯證據。
審查、維護并回應變化
在監管提交審查或軟體生命週期稽核前完成準備度審查和矯正措施。產品、供應商、物質、設計、法規、市场或事件變化后保持專案更新。
合規檢查清單
checklist 範圍与義務
checklist 控制与證據
checklist 監控与維護
處罰與執行
IEC 62304 本身無直接違規罰則。惟主管機關（FDA、EU 公告機構）於醫療器材上市時要求符合 IEC 62304。不符合可能導致法規申請遭拒、產品召回及退出市場。
常見問題解答
谁需要 IEC 62304？
expand_more
IEC 62304 適用于產品、服務或活動落入醫療器材軟體、嵌入式軟體、獨立軟體、SOUP、軟體維護、風險控制、需求、架構、验证、發布和問題解決的組織。採用動因通常来自市場准入、安全、環境、客戶或監管義務。
IEC 62304 的主要目的是什么？
expand_more
實務目的在于为軟體安全分類、开发计划、需求、架構、详细設計、實作、验证、整合、發布、維護、SOUP 管理、組態管理和問題解決建立可重複執行的專案。该專案应让義務可见、定義责任人，并維護随產品和規則變化而保持最新的證據。
首先应做什么？
expand_more
先確定範圍。在撰寫流程或委託測試之前，識別覆盖哪些產品、元件、場所、供應商、市场和活動。
實施需要多长時間？
expand_more
窄範圍產品族可能只需數週，複雜多市场產品組合可能需要數月。週期取決於測試、供應商證據、技術文件品質以及是否需要第三方評估。
哪些證據最重要？
expand_more
重要證據包括軟體开发计划、安全分類理由、需求追溯、架構和設計记录、验证报告、SOUP 評估、發布记录、異常日志、組態记录和維護计划。主管機關、稽核员、客戶和測試實驗室通常期望看到可追溯记录，将要求与決策、測試、標籤和聲明連接起来。
应如何管理供應商？
expand_more
供應商应提供聲明、測試报告、變更通知以及可追溯的材料或元件数据。高風險供應商需要定期審查，并在合約中下傳合规要求。
文件应何時更新？
expand_more
法規變化、設計變化、供應商變化、材料變化、事件、投訴或新市场上市后都应更新文件。静态文件在產品合规中很快会失效。
可以与其他專案整合吗？
expand_more
可以。IEC 62304 可与相关品質、安全、環境或產品合规專案共享供應商管理、文件控制、風險管理、測試计划、標籤審查和矯正措施流程。