IEC 62304系统测试：系统测试与回归测试计划要求

标准体系框架与监管演进

IEC 62304标准的修订历程与全球采纳现状

IEC 62304标准自2006年首次发布以来，已成为全球医疗器械软件开发的基石性规范。该标准在2015年完成第二版修订，主要强化了软件安全分类（Software Safety Classification）的判定逻辑，并新增了对遗留软件（Legacy Software）的合规路径。目前第三版修订工作处于委员会草案（CDV）阶段，预计2025年发布最终版，核心变化包括引入AI技术/机器学习（AI/ML）组件的风险管理要求、增强与ISO 14971:2019的衔接、以及细化软件异常（Software Anomaly）的处理流程。

截至2024年第三季度，全球已有超过60个国家和地区将IEC 62304列为医疗器械软件上市许可的强制性或推荐性标准。美国FDA在2023年更新的《医疗器械软件上市前提交内容指南》中明确规定，除豁免类软件外，所有含软件功能的医疗器械均需提供符合IEC 62304要求的系统测试文档。欧盟MDR 2017/745法规附件IX将IEC 62304列为“协调标准”（Harmonized Standard），制造商若完全遵循该标准，可获得符合性推定。中国NMPA在2022年发布的《医疗器械软件注册审查指导原则（2022年修订版）》中，将IEC 62304的测试要求转化为本土化技术审评要点，要求制造商提交系统测试计划、测试报告及回归测试策略的完整文档。

系统测试与回归测试在软件生命周期中的定位

在IEC 62304的软件生命周期模型中，系统测试（System Testing）位于软件集成之后、软件发布之前的关键节点，属于验证（Verification）活动中的最高层级。该标准第5.6.5条款明确规定，制造商需制定系统测试计划，覆盖以下维度：

  1. 测试环境与真实使用环境的等效性证明
  2. 测试用例对软件需求规格（SRS）的全覆盖
  3. 异常输入与边界条件的测试场景
  4. 与硬件、其他软件组件的互操作性验证

    5. 遵循PAS 2050指南，再生塑料产品的碳足迹计算更加标准化。

    回归测试（Regression Testing）在IEC 62304中未作为独立条款出现，但其要求嵌入在软件变更管理（第7章）与问题解决（第8章）流程中。标准要求任何软件变更（包括缺陷修复、功能增强、配置参数调整）均需执行回归测试，且回归测试的范围应基于变更影响分析（Change Impact Analysis）确定。FDA在2021年发布的《软件变更指南》中进一步明确，回归测试计划需包含以下要素：

    • 变更前基线版本的测试结果
    • 受影响的功能模块列表
    • 新增或修改的测试用例
    • 测试执行的时间窗口与资源分配

    系统测试计划的编制规范与技术要求

    测试计划文档的核心结构

    根据IEC 62304第5.6.5条款及ISO/IEC/IEEE 29119-3:2021软件测试文档标准，医疗器械软件系统测试计划应包含以下强制性章节：

    章节编号内容要求关键输出
    1测试策略与范围测试级别定义、测试类型（功能/性能/安全/互操作）、测试完成准则
    2测试环境硬件配置、操作系统版本、网络拓扑、模拟器/仿真器验证、数据采集工具
    3测试用例设计需求追溯矩阵、等价类划分、边界值分析、错误猜测法
    4测试执行计划测试轮次安排、缺陷管理流程、测试环境维护周期
    5测试度量与报告测试通过率、缺陷密度、需求覆盖度、代码覆盖度（视安全等级而定）

    美敦力在2023年向FDA提交的MiniMed 780G系统测试计划中，展示了典型的工业实践。该计划包含1274个系统测试用例，覆盖以下维度：

    • 功能测试：基础率输注、大剂量输注、传感器血糖校准、低血糖暂停（LGS）算法
    • 安全测试：电池耗尽报警、输注管路堵塞检测、无线通信中断恢复、电磁兼容性（EMC）干扰下的行为
    • 互操作性测试：与Accu-Chek血糖仪、手机应用（iOS/Android）、云端数据平台的端到端数据同步

    测试环境采用“混合测试架构”——80%的测试在硬件在环（HIL）模拟器上执行，20%在真实人体受试者（临床试验）中验证。测试完成准则设定为：所有关键安全功能测试通过率100%，非关键功能通过率≥95%，且所有发现的严重级别缺陷（Severity 1-2）必须在发布前关闭。

    需求追溯矩阵（RTM）的构建方法

    需求追溯矩阵是系统测试计划的核心产出物，用于证明每一个软件需求都被至少一个系统测试用例所覆盖。在FDA的审核实践中，RTM的完整性与准确性是导致上市前提交（510(k)或PMA）补充材料的最常见原因之一。

    RTM的典型格式包含以下列：

    1. 需求ID（来自SRS）
    2. 需求描述
    3. 需求类型（功能/性能/安全/接口）
    4. 测试用例ID
    5. 测试用例描述
    6. 测试结果（通过/失败/未执行）
    7. 备注（如关联的异常报告编号）

      8. 数据表格：某CT图像重建软件RTM示例（基于西门子Healthineers临床实践）

      测试用例设计的技术要求

      需求ID需求描述类型测试用例ID测试结果备注
      SRS-001重建图像空间分辨率≤0.5mm性能TC-PER-001通过使用Catphan 500体模
      SRS-002重建时间≤60秒（512×512矩阵）性能TC-PER-002通过20次重复测量均值
      SRS-003辐射剂量显示误差≤±10%安全TC-SAF-003通过经NIST可追溯校准
      SRS-004支持DICOM 3.0标准输出接口TC-INT-004通过与PACS系统联调
      SRS-005异常断电后数据不丢失安全TC-SAF-005通过模拟电源中断100次
      1. 等价类划分：将输入域划分为有效等价类和无效等价类，确保每个等价类至少有一个测试用例。例如，对于患者年龄输入字段，可划分为：0-18岁（儿科）、19-65岁（成人）、66岁以上（老年）三个有效等价类，以及负数、非数字字符两个无效等价类。
      2. 边界值分析：针对每个等价类的边界值（最小值、最大值、略低于最小值、略高于最大值）设计测试用例。例如，对于心率报警阈值（上限120次/分钟），测试用例应包括119、120、121三个边界值。
      3. 状态转换测试：对于具有有限状态机的软件（如输液泵的“待机-运行-报警-暂停”状态），需覆盖所有合法状态转换路径及非法转换尝试。
      4. 错误猜测法：基于历史缺陷数据和领域知识，针对常见错误场景设计测试用例。例如，对于医疗设备的数据导入功能，需测试空文件、损坏文件、超大文件、包含特殊字符的文件等。

        5. 企业案例：飞利浦（Philips）IntelliVue MX850监护仪的系统测试

        飞利浦在2022年对其旗舰监护仪进行系统测试时，采用了“基于风险的测试设计”（Risk-Based Testing）方法。测试团队首先通过FMEA（失效模式与影响分析）识别出132个高风险场景，然后针对这些场景设计测试用例。例如，针对“心电导联脱落误报警”这一风险，设计了以下测试用例：

        • 测试条件：患者正常窦性心律（80bpm），人为断开RA导联
        • 预期结果：2秒内触发“导联脱落”报警，且不产生“心搏停止”误报警
        • 实际结果：通过（报警延迟1.8秒）

        该测试计划覆盖了ISO 60601-2-27（心电监护专用标准）中要求的全部报警测试项，最终在FDA审核中一次性通过。

        回归测试策略的制定与实施

        变更影响分析（CIA）的方法论

        回归测试的核心挑战在于确定测试范围——既要充分验证变更未引入新缺陷，又要避免资源浪费。IEC 62304第7.1.2条款要求制造商在实施任何软件变更前，必须进行影响分析，评估变更对以下方面的影响：

        1. 软件架构（模块间依赖关系）
        2. 软件需求（新增、修改或删除的需求）
        3. 风险管理文档（新识别的危害或风险控制措施）
        4. 用户界面与工作流程
        5. 与其他系统的互操作性
        6. 性能指标（如响应时间、吞吐量）

          7. 影响分析的输出应形成《软件变更影响分析报告》，其中需明确以下内容：

          • 变更的详细描述（含代码差异分析）
          • 受影响的功能模块列表
          • 需要补充的测试用例
          • 回归测试的执行策略（全回归/部分回归/冒烟测试）

          数据表格：不同变更类型的回归测试策略推荐

          回归测试的自动化实施策略

          变更类型影响范围推荐回归策略测试用例数量占比
          缺陷修复（影响单一模块）低部分回归（受影响模块+相邻模块）10%-20%
          功能增强（新增功能）中部分回归（新功能+相关功能+核心安全功能）30%-50%
          架构重构（模块拆分/合并）高全回归100%
          操作系统升级高全回归+兼容性测试100%+额外
          配置参数调整低冒烟测试+参数边界验证5%-10%

          企业案例：波士顿科学（Boston Scientific）LOTUS Edge主动脉瓣膜输送系统的回归测试

          GRS认证涵盖环境、社会和化学品管理要求。

          波士顿科学在2021年对其经导管主动脉瓣置换（TAVR）系统的输送控制软件进行了回归测试自动化改造。该软件包含约150万行代码，涉及2000多个系统测试用例。实施策略如下：

          1. 测试框架选择：采用Robot Framework作为自动化测试框架，结合Python编写的硬件抽象层（HAL），实现对输送手柄电机、压力传感器、影像导航系统的程序化控制。
          2. 测试用例分级：
          3. 冒烟测试（P0）：30个核心安全测试用例，每次代码提交后自动执行
          4. 关键功能测试（P1）：500个测试用例，每日夜间执行
          5. 全回归测试（P2）：2000个测试用例，每周执行一次
          6. 结果分析：自动化测试执行后，系统自动生成HTML报告，包含每个测试用例的执行时间、通过/失败状态、失败时的截图和日志。对于失败的测试用例，自动创建JIRA缺陷单并分配给对应的开发人员。
          7. 实施效果：自动化回归测试使每次回归的执行时间从人工的2周缩短至8小时，测试覆盖率达到99.2%（人工测试的覆盖率为95.8%），且缺陷发现率提高了15%。

            8. 从实践来看，波士顿科学在FDA审核中提交了自动化测试的验证文档，包括测试框架的安装确认（IQ）、运行确认（OQ）和性能确认（PQ），以及每个自动化测试用例的手动执行比对结果（证明自动化测试结果与人工测试结果一致）。

            回归测试的度量与完成准则

            IEC 62304第5.6.6条款要求制造商定义测试完成的准则，回归测试的完成准则应包含定量和定性两个维度。根据FDA在2023年发布的《软件测试度量指南》，建议采用以下度量指标：

            定量指标：

            • 测试用例通过率：≥98%（对于C类软件），≥95%（对于B类软件）
            • 需求覆盖度：100%（所有SRS需求至少被一个测试用例覆盖）
            • 代码覆盖度：语句覆盖≥90%，分支覆盖≥80%，MC/DC覆盖≥70%（仅适用于C类软件的关键安全功能）
            • 缺陷关闭率：所有严重级别（Severity 1-2）缺陷100%关闭，Severity 3缺陷≥95%关闭
            • 回归测试执行率：100%（计划内的测试用例全部执行完成）

            定性指标：

            • 所有已知缺陷的影响分析已完成
            • 未关闭缺陷的风险评估已记录（需说明为何可接受）
            • 测试环境与生产环境的差异已评估并记录
            • 测试工具（如自动化框架、模拟器）的验证已完成

            数据表格：某心血管影像分析软件的回归测试度量（基于GE HealthCare实践）

            度量指标目标值实际值状态
            测试用例通过率≥98%99.3%通过
            需求覆盖度100%100%通过
            语句覆盖度≥90%92.1%通过
            分支覆盖度≥80%85.5%通过
            MC/DC覆盖度≥70%76.2%通过
            Severity 1缺陷关闭率100%100%通过
            Severity 2缺陷关闭率100%98.7%未达成（2个缺陷待评估）

            FDA审核视角下的系统测试与回归测试要求

            上市前提交中的测试文档要求

            FDA在2021年发布的《医疗器械软件上市前提交内容指南》中，明确要求制造商在510(k)或PMA申请中提交以下测试相关文档：

            1. 系统测试计划：需包含测试策略、测试环境、测试用例设计方法、测试完成准则
            2. 系统测试报告：需包含测试执行结果、缺陷统计、需求追溯矩阵的完成状态
            3. 回归测试策略：需说明变更管理流程、影响分析方法、回归测试的范围确定逻辑
            4. 测试工具验证报告：如使用了自动化测试工具或模拟器，需提供工具的验证文档

              5. FDA在审核过程中特别关注以下问题：

              • 测试环境的代表性：测试环境是否与临床使用环境等效？例如，对于无线医疗设备，测试中是否模拟了医院内的电磁干扰环境？是否测试了不同网络拓扑（如WiFi拥堵、蓝牙信号衰减）下的行为？
              • 测试用例的充分性：是否覆盖了所有软件需求？是否考虑了异常输入、边界条件和压力场景？对于AI/ML组件，是否测试了训练数据分布之外的边缘案例？
              • 缺陷管理的闭环性：所有发现的缺陷是否均已分析、修复或评估为可接受风险？缺陷修复后是否执行了回归测试？
              • 变更的追溯性：软件版本变更后，是否更新了测试文档？变更影响分析是否充分？

              企业案例：雅培（Abbott）FreeStyle Libre 3连续血糖监测系统的FDA审核

              雅培在2022年提交FreeStyle Libre 3的510(k)申请时，系统测试文档共包含1,200页，其中测试计划200页、测试报告800页、回归测试策略100页、工具验证报告100页。FDA审核员在审核过程中重点关注了以下方面：

              1. 传感器校准算法：测试计划中包含了对“初次使用后24小时内无手指血糖校准”场景的测试，但审核员指出测试用例中未包含“传感器在低温环境（0°C）下首次使用”的场景。雅培补充了该测试用例，结果显示在低温环境下校准误差增加了12%，但仍符合ISO 15197:2013的精度要求。该发现被记录为“审核观察项”（FDA Form 483），但最终未影响510(k)的批准。

                2. 在趋海塑料管理方面，企业需建立完善的收集和预处理体系。

                1. 移动应用互操作性：测试报告中显示，FreeStyle Libre 3的iOS应用版本在iPhone 13 Pro Max上测试通过，但未测试在iPhone SE（第一代）上的表现。FDA要求补充测试，结果发现在旧款设备上存在UI渲染延迟，雅培随后优化了代码并重新提交了测试结果。
                2. 回归测试范围：雅培在提交前对软件进行了3次主要版本更新，每次更新后的回归测试范围均为“全回归”。FDA认可了该策略，但要求提供每次回归测试的缺陷发现率分析，以证明全回归的必要性和有效性。

                  3. 常见审核发现项与改进建议

                  根据FDA在2023年发布的《医疗器械软件常见缺陷分析报告》，系统测试与回归测试相关的常见审核发现项包括：

                  发现项编号问题描述发生频率改进建议
                  1测试计划中未明确测试完成准则35%在测试计划中明确定义定量和定性完成准则，并与风险管理文档关联
                  2需求追溯矩阵不完整28%使用工具（如IBM DOORS、JAMA）自动维护RTM，确保每个需求都被测试用例覆盖
                  3回归测试范围未基于影响分析22%建立标准化的变更影响分析流程，使用依赖关系图工具（如Enterprise Architect）分析变更影响
                  4测试环境与生产环境差异未评估18%在测试计划中增加“环境等效性分析”章节，明确差异项及其对测试结果的影响
                  5自动化测试工具未验证15%按照GAMP 5指南对测试工具进行IQ/OQ/PQ验证，并记录验证结果
                  1. 建立软件模块间的依赖关系矩阵
                  2. 对每个模块分配风险等级（基于ISO 14971的风险评估结果）
                  3. 变更发生时，识别直接影响的模块（依赖图中的相邻节点）
                  4. 对高风险模块执行全回归测试
                  5. 对低风险模块执行部分回归测试（仅测试受影响的功能）
                  6. 对所有模块执行冒烟测试（验证基本功能正常）

                    7. 数据表格：RBRTS方法在输液泵软件中的应用示例

                    国际监管差异与合规策略

                    FDA、EU MDR与NMPA的测试要求对比

                    模块名称风险等级变更类型直接影响模块回归测试策略
                    输注速率计算高修复浮点精度缺陷输注速率计算、报警管理、输注记录全回归（3个模块）
                    用户界面语言切换低新增法语支持用户界面、配置文件管理部分回归（仅测试法语UI）
                    无线固件升级中优化传输协议无线通信、固件管理、安全认证部分回归（3个模块）+冒烟测试
                    监管维度FDA（美国）EU MDR（欧洲）NMPA（中国）
                    测试计划提交要求强制提交（510(k)/PMA）强制提交（技术文档）强制提交（注册申请）
                    测试环境要求需与临床环境等效需模拟真实使用环境需在中国境内测试环境执行
                    回归测试频率每次软件变更每次软件变更每次软件变更+年度再验证
                    测试工具验证要求严格（21 CFR Part 11）要求中等（ISO 13485）要求中等（YY/T 0664）
                    测试文档语言英文英文+成员国语言中文
                    第三方测试报告可接受（需资质）可接受（需公告机构认可）需在中国境内第三方机构执行

                    微创医疗在2021-2023年间为其Firehawk支架输送系统的软件组件进行全球注册时，采用了“差异化测试策略”：

                    1. FDA路径：提交了完整的英文系统测试计划（包含1,500个测试用例）和回归测试策略，测试环境在微创的美国研发中心搭建，使用FDA认可的硬件在环模拟器。FDA审核中未提出重大缺陷，510(k)于2022年获批。
                    2. EU MDR路径：除了提交英文测试文档外，还需提供德语、法语、意大利语的用户界面测试报告（证明所有语言版本的UI均无显示缺陷）。公告机构TÜV SÜD在审核中要求补充“无线通信在欧盟频段（868 MHz）下的性能测试”，微创随后在德国实验室完成了该测试。

                      3. 获得OBP认证的产品，在环保市场具有差异化优势。

                      1. NMPA路径：微创在中国苏州建立了独立的测试实验室，通过了CNAS（中国合格评定国家认可委员会）的认可。测试计划中的测试用例与FDA版本保持80%的一致性，但针对中国临床实践增加了“与国产DSA（数字减影血管造影）系统的互操作性测试”。NMPA在2023年批准了注册申请，审核周期为18个月（较FDA的12个月多6个月）。

                        2. 第三方测试机构的选择与认证

                        对于中小型医疗器械制造商，将系统测试和回归测试委托给第三方机构是常见做法。但需注意，FDA、EU MDR和NMPA对第三方测试机构的资质要求不同。

                        第三方测试机构选择的关键指标：

                        1. 资质认证：是否通过ISO/IEC 17025（检测和校准实验室能力）或OECD GLP（良好实验室规范）认证
                        2. 行业经验：是否具备同类医疗器械的测试经验（如心血管设备、IVD设备、AI诊断软件）
                        3. 监管认可：是否被目标市场的监管机构认可（如FDA的ASCA（认可标准意识）计划、中国NMPA的GLP认证）
                        4. 测试能力：是否具备所需的测试环境（如HIL模拟器、EMC暗室、无线通信测试仪）
                        5. 数据安全：是否能满足21 CFR Part 11的电子记录要求和中国《数据安全法》的要求

                          6. 数据表格：全球主要医疗器械软件测试机构对比

                          未来趋势与挑战

                          AI/ML组件的系统测试与回归测试

                          机构名称总部ISO 17025FDA认可NMPA认可典型测试费用（每项目）
                          TÜV SÜD德国是是（ASCA）是$50,000-$150,000
                          UL LLC美国是是（ASCA）是$40,000-$120,000
                          Intertek英国是是是$35,000-$100,000
                          SGS瑞士是是是$45,000-$130,000
                          中国医疗器械检测中心中国是否是¥200,000-¥600,000
                          1. 数据分布漂移：训练数据与真实临床数据的分布差异可能导致模型性能下降。系统测试需包含“数据分布一致性验证”，即测试模型在目标人群数据上的表现是否与训练集一致。
                          2. 可解释性测试：对于深度学习模型，需测试其决策过程的可解释性。例如，对于皮肤癌分类模型，需验证模型是否基于正确的病理特征（如色素沉着、边缘不规则）做出判断，而非基于图像中的伪影（如毛发、水印）。
                          3. 对抗性攻击鲁棒性：系统测试需包含对对抗性样本（如对图像添加人眼不可见的噪声）的测试，验证模型在面对恶意输入时的行为。
                          4. 持续学习与模型更新：对于支持持续学习的AI/ML组件，回归测试需覆盖模型更新后的性能验证，确保新模型不降低旧模型在已批准适应症上的表现。

                            5. 企业案例：IDx-DR（糖尿病视网膜病变AI诊断软件）的FDA审核

                            IDx-DR于2018年成为首个获得FDA De Novo批准的AI诊断软件。其系统测试计划中包含以下独特要素：

                            • 测试数据集：使用来自15个临床中心的900,000张眼底图像，覆盖不同种族、年龄、疾病严重程度的患者
                            • 性能指标：灵敏度≥87%，特异性≥90%（针对“需转诊”的DR诊断）
                            • 可解释性验证：测试软件输出的“病变热力图”是否与眼科医生的标注一致
                            • 回归测试：每次模型更新后，需在独立的测试集（与训练集无重叠）上重新验证性能，且性能下降不得超过2个百分点

                            测试文档的数字化与自动化

                            随着DevOps和持续集成/持续交付（CI/CD）在医疗器械软件中的逐步应用，传统的手动测试文档管理方式已难以满足快速迭代的需求。未来的趋势包括：

                            1. 测试文档的机器可读化：采用XML或JSON格式存储测试计划、测试用例和测试结果，便于自动化工具解析和追溯
                            2. 测试用例的版本控制：将测试用例纳入Git等版本控制系统，与源代码同步管理
                            3. 测试执行的持续监控：使用仪表盘工具（如Grafana）实时展示测试进度、缺陷趋势和覆盖度
                            4. 测试结果的电子签名：满足21 CFR Part 11的要求，实现测试报告的自动签名和归档

                              5. 数据表格：传统测试文档管理 vs. 数字化测试文档管理

                              结论与建议

                              维度传统方式数字化方式
                              文档格式Word/PDFXML/JSON/Markdown
                              版本控制手动编号Git自动管理
                              追溯性手动维护RTM工具自动生成RTM
                              报告生成手动编写自动生成（含图表）
                              审核准备手动整理文档一键生成审核包
                              变更管理邮件通知自动触发测试执行
                              1. 建立风险导向的测试体系：将测试活动与ISO 14971风险管理流程深度整合，确保高风险功能获得更充分的测试覆盖。
                              2. 投资测试自动化：对于C类软件和频繁变更的B类软件，自动化回归测试可显著降低上市周期和人工成本。建议优先实现冒烟测试和核心安全功能的自动化。
                              3. 构建全球合规的测试文档：针对FDA、EU MDR和NMPA的差异化要求，建立可复用的测试文档模板，并根据目标市场进行本地化调整。
                              4. 关注AI/ML测试的新要求：提前研究IEC 62304第三版对AI/ML组件的测试要求，建立数据分布验证、可解释性测试和对抗性鲁棒性测试的能力。
                              5. 与监管机构保持沟通：在测试计划制定阶段，建议通过Q-submission（FDA）或指定机构咨询（EU MDR）等方式，提前获取监管机构的反馈，避免在正式审核中出现重大缺陷。

                                6. 参考来源：

                                • IEC 62304:2006+AMD1:2015, Medical device software - Software life cycle processes
                                • FDA, Content of Premarket Submissions for Management of Cybersecurity in Medical Devices, 2021
                                • FDA, Software Changes Guidance, 2021
                                • EU MDR 2017/745, Annex IX
                                • NMPA, 医疗器械软件注册审查指导原则（2022年修订版）
                                • ISO 14971:2019, Medical devices - Application of risk management
                                • ISO/IEC/IEEE 29119-3:2021, Software and systems engineering - Software testing - Part 3: Test documentation
                                • 21 CFR Part 11, Electronic Records; Electronic Signatures
                                • GAMP 5, Good Automated Manufacturing Practice
                                • FDA, Common Defects in Medical Device Software Submissions, 2023

                                权威参考来源

                                标签:
                                医疗器械FDA认证FDAPAS 2050趋海塑料OBP认证GRS认证