内窥镜手术机器人软件安全有效性评价要点的探讨

张晨光，陈敏

国家药品监督管理局 医疗器械技术审评中心，北京 100081

引言

内窥镜手术机器人主要由医生通过主从控制方式控制机械臂，操作内镜下的手术器械开展内窥镜手术[1]。由于具有微创伤、可进行超出人手能力的精细化操作、多臂可减轻医生疲劳等优势，内窥镜手术机器人已成为引人关注的外科手术发展方向。2017年，国家发展和改革委员会印发《高端医疗器械和药品关键技术产业化实施方案》，明确鼓励腔镜机器人等创新设备产业化[2]。从全球市场来看，美国达芬奇手术机器人从技术水平、装机量和手术量上均处于行业领先地位，上市时间超过20年，成熟度较高；国内市场整体处于早期发展阶段，但潜力巨大。随着临床需求增加和政策鼓励扶持，国产化手术机器人的产品化研究成为医疗器械产业的热点，高校、科研机构和企业纷纷参与相关核心技术的研究和开发，2021年以来山东威高集团有限公司和上海微创软件股份有限公司自研具有自主知识产权的腹腔镜手术机器人陆续获得国家药监局批准上市，产品在运动控制精度、图像处理等多个关键技术上都取得了重大突破。

通过对目前注册申报产品的研究，内窥镜手术机器人软件总体上可以分为运动控制系统、图像处理系统、手术器械控制系统、报警系统以及外控软件。运动控制系统包括用于控制或驱动内窥镜手术机器人硬件或运行于内窥镜手术机器人计算平台的软件，以及与控制相关的嵌入式软件，逻辑上又可分为医生操作端和患者手术台端。图像处理系统包括内窥镜图像处理系统和图像计算平台软件以及图像处理固件。外控型软件指为实现特定临床功能和目的的软件模块或独立软件，如无线通信/5G远程控制软件、分析测量软件、定位导航软件等。

内窥镜手术机器人软件呈现出的特点如下：系统运行高稳定性（如连续12 h高负荷运行机械臂也能够保持技术要求的运动范围、运动精度等）、系统控制高可靠性（如能控制非预期的控制失效风险和提供控制失效下的系统快速恢复能力以及医生快速接管的保障措施等）、系统运行高实时性（如可达到200 ms以内的主从操作控制时延等）、医生控制高可用性（如机械臂模拟人手的准确性和易用性等）。

内窥镜手术机器人为软硬件结合的复杂控制系统，其机械臂控制、手术器械控制、图像处理、数据和网络安全等临床功能的实现都需要软件具有高可用性和高可靠性。软件作为内窥镜手术机器人安全有效评价体系框架下的重要组成部分，目前评价要点尚未明确。本文结合多个申报产品的审评经验，对内窥镜手术机器人软件部分的安全有效性评价要点进行探讨。

1 评价方法

1.1 按照软件系统模块进行风险分析

目前针对医疗器械软件的通用安全标准为YY/T 0664-2008[3]和YY/T 0708-2009[4]，标准的思路是按照风险等级对产品进行风险管理和风险控制。内窥镜手术机器人系统中运行的软件组成较为复杂，评价时应从风险角度，结合内窥镜手术机器人临床常见软件故障类型[5]进行模块划分。

对软件风险级别的判定关注如下特征：① 操作者与患者之间并非如操作传统器械时面对面接触，而是离开手术台远端控制机械臂，并通过观察手术区域实时影像进行手术，这一特点要求评价系统能够精准模拟甚至增强人手的多自由度操作并获得视觉、触觉、听觉的及时反馈的能力，应关注运动失控、时延超限和反馈失灵带来的风险；② 由于手术对象为软组织，手术过程中对象组织可能发生移动、出血等情形，软件必须能够控制精细的操作[6]，并提供各种异常情况下的安全保护措施；③ 镜下不同手术器械常联合使用，其控制较为复杂，操作精度、图像处理、网络安全方面的风险分析应考虑手术机器人作用方式（如创口或自然腔道）、适用部位和术式等临床应用特性。

1.2 围绕主从运动控制进行安全有效评价

体现手术机器人软件核心性能水平的技术是交互控制、主从控制映射算法和不动点的算法设计，不同公司产品的控制算法、运动路径规划、定位技术和运动补偿算法等都属于技术机密或核心技术专利，如达芬奇机器人拥有超过4000项专利的使用权和2000项自有专利[7]。这些技术从安全有效性评价角度来看往往是“黑盒”，本文列出通过可客观测量、分析的运动控制性能指标来评价产品的软件性能，以判断最终的精度和灵敏性。

医生控制台端性能应包含各机械臂、关节或驱动单元的运动范围、运动精度，操作力显示等功能。患者手术台性能包括机械臂运动范围、运动稳定性、器械控制等。主从控制性能包括主从控制延迟时间、位置边界提示、主从动作比例控制、操作抖动过滤、患者端多机械臂切换控制等。

1.3 立足人机交互进行分析评估

内窥镜手术机器人的最终操作者是“人”而非机器本身，对产品评价应以医生视角为出发点，以人机交互流畅性和精准性为标准，评价运动控制、可视化系统的显示以及声光电和力学信号的反馈等性能对医生操作的影响。如自动对焦和眼球跟踪显示感兴趣区域功能，应考虑医生手术过程中视觉习惯和视野范围；对于力的反馈功能，机械臂末端关节处受力较手术器械头端更能代表手腕的受力情况等。产品人应根据设计是否结合用户、使用场景和用户接口3个核心要素给予考量[8]。

1.4 关键性能指标

目前国家标准或行业标准尚未对手术机器人软件的各项控制性能给出具体限值和精度要求。从行业发展和产品审评情况来看，先进产品软件的关键性能指标水平可作为该类产品软件性能评价的参照。根据1项700例腹腔内窥镜机器人手术的研究，因系统运行故障导致的手术失败率低于0.5%[9]；根据对一系列已上市（包括在境外上市）的产品性能研究显示，主流腹腔内窥镜机器人可控制的机械臂自由度在6个自由度以上[10]，主从运动距离准确性误差可控制在2 mm以内[11]，不动点的位置偏移量小于10 mm[12]，主从控制延迟在200 ms以内[13]。图像性能方面，具备多种比例的影像缩放调节功能（至少设置3挡），影像缩放误差在5%以内，摄像装置的有效分辨率可达720或1080 P[14]。

2 评价要点

2.1 运动控制

主从控制方面，主从控制延迟时间、主从操作距离的准确性和重复性、位置和姿态的准确性和重复性，应符合制造商在随机文件中的规定[15]。根据产品性能设定，研究运动距离缩放比例和误差。对于弹性位移限值，注意在实验方法中明确弹性位移测量的具体位置（如机械臂、器械前端等）。对患者手术台调整（如移动、旋转、升降）台车、控制臂、工具臂，以及医生控制台调整操作手柄、监视器等组件的位置和姿态进行功能描述。

主从控制延迟包括机械延迟、网络延迟、图像编解码、数据加解密延迟等。Bailo等[16]研究显示，医生能够接受的极限控制延迟为300 ms，而100 ms以内的延迟主观几乎难以觉察。根据注册申报产品情况来看，在非远程控制条件下，多数产品可以将端到端主从延迟控制在200 ms以内。主从控制延迟的研究，应区分控制信号和图像信号，控制信号无论传输优先级还是服务质量要求上均高于图像信号，网络协议设计实现时应给予优先保障。主从控制延迟的测试方法按照YY/T 1712-2021[17]要求，采用检测装置如图1所示，涉及远程控制的延迟检测，需要在其基础上根据网络拓扑对信号采集装置进行改进。

图1 主从控制延迟的检测装置

手术器械与组织的接触力应给予限制，根据预期需求设定限值，用户界面对作用力的大小数值进行显示，在超出限值时给予警告。研究资料应给出详细设计实现和验证资料，以及接触力显示范围与精度要求。注意应将器械与组织之间的接触力和手术器械夹持组织的加持力进行区分。部分产品具有力屏障功能，即将器械终端接触力反馈到医生主控制臂，当这种力的反馈与实际接触力之间不具备量化关联特性时（如仅反馈一个固定的力），不应宣称“具有力反馈”功能。

医生控制台可由单一控制台或者多个控制台构成，当存在多个控制台进行协同控制时，评价应关注主控制功能的切换或协同控制实现的稳定性。

产品从设计和生产阶段就应对运动控制软件功能的失效风险进行记录和控制，关注对机械臂运动失控概率进行的分析，并关注相关证明资料（如软件的验证资料、临床试验记录、疲劳试验等）的充分性，同时说明现有风险控制措施是否足以降低失控的风险。

2.2 图像处理

图像处理模块包括患者手术部位的视图的控制、内窥镜臂控制以及对视频信号的处理。控制指令可通过手柄、脚踏、触摸屏或语音等形式输入。影像系统应能实现全视场清晰，无边缘模糊、闪烁、重影、杂质、气泡等现象，具有较好的对比和色彩还原能力，红绿蓝颜色无明显失真，白光模式下应具有手动或自动白平衡功能，信噪比符合YY/T 1587-2018[18]的要求。评价关注手术操作与影像在时间、空间上的一致性，以时延和精度要求体现。为了获得更加真实的视觉效果，越来越多的内窥镜手术机器人提供了3D影像，对于3D图像的处理性能，应对左右光学系统时延差异和放大倍率的差异进行研究（如左右两路光学系统信号时延在100 ms以内，左右光学视场的放大率差小于2%，左右半径偏移量小于1°）[19]。对于“自动调节”“自动识别”“自动色彩平衡”等自动处理功能，应提供充分的验证确认资料。产品图像处理和显示功能应避免使用“高清”“HD”“高速”等不规范用语或宣传性用语，可采用实际分辨率或具体性能区分同类功能的表述。

对于图像处理中带有测量功能的，应给出测量范围、测量重复性以及在宣称的测量范围下能够达到的测量精度。对于定位导航功能，关注导航的校准、定位深度和定位精度[20]能否实现临床预期功能。

2.3 手术器械控制

注册单元内含软件功能的手术器械，如高频、激光、超声等器械，从医生控制台控制相应主机实现组织或异物的切割、凝闭、剥离等目的，软件性能按照相应类别器械要求结合机器人控制特性分别给出，并给出不同类型器械在软件控制下，各个维度下正向或反向运动角度、开口角度、运动空间范围和允差。

关注自动识别器械能力的要求，如手术器械型号、编号、使用寿命、安装状态等。系统不应允许使用已达到使用寿命的手术器械运行，能给出相应报警信息，并无相应动作。

2.4 安全措施

研究紧急停止对策、紧急停止的条件（与手术人的意愿相反的误动作、安全机构启动时等）、确保停止中患者和医务人员的安全（保持装置姿势等）、紧急停止后装置再次运转的容易性。紧急停止应优先于其他控制，能够保持有效位姿直至复位[21]。应将紧急停止和断电情况下的锁止功能进行区分，分别给出功能描述及性能参数要求。部分先进产品具有头部检测功能，检测到头部离开观察窗口，可冻结机械臂及器械动作。

产品应具有启动自检功能，如自检不通过，应给出错误提示及错误信息。关注系统运行过程中各个状态下进行自我诊断的能力说明。在确保安全控制系统的所有装置正常运行后，机器人方可运行。系统在开机、自检、故障、急停、能量输出、台车就位等状态下应通过用户界面和/或声、光等方式给予提示。

如果软件能够判断、形成报警信息并执行报警，应符合相关标准要求[22-23]，报警信息举例如表1所示。

表1 报警信息

2.5 网络安全

由于手术机器人的控制端和患者手术台以主从方式连接，不再依赖物理位置的紧密连接，产品网络安全方面应从风险角度考虑，确保能够提供足够的网络安全水平，以防止未经授权的访问，保障患者信息和控制命令在传输过程中的保密性及完整性。应分析网络安全十九项能力[24]的适用性及实现方式，在软件研究资料中提交自研软件网络安全研究报告、外部软件环境评估报告。按照医疗器械网络安全相关指导原则要求提交相关研究资料。

产品应具备信息溯源能力。在信息处理过程中，应记录信息处理日志，包括授权的操作指令记录、非授权的操作指令记录以及网络连接记录（网络传输消息、网络攻击记录等）。系统能够记录操作者信息、手术类型、手术时间、报警信息等。关注软件发生异常后数据保存与恢复能力，以及保持数据传输后数据的一致性和完整性的实现方法[25-27]。对于网络链路中含有无线通讯的产品，应对网络时延、丢包率、无线抗干扰、数据异常监测、术后审计等方面进行研究。

2.6 人工智能及辅助决策

软件涉及人工智能及深度学习的，采用基于风险的全生命周期管理方法，按照《人工智能医疗器械注册审查指导原则》[28]要求提交相关研究资料，并开展数据的采集、整理、标注，算法的选择、训练和性能评估等活动。软件的验证和确认应基于软件需求，结合预期使用场景或测评数据库开展。手术机器人软件涉及的主要用途是通过图像识别进行流程优化和辅助诊断。辅助诊断类功能临床风险在于诊断结果假阴性和假阳性，即漏诊或误诊，应对AI模型训练数据的采集、脱敏、标记、训练、验证等过程的规范性和质量要求进行关注，并对模型最终性能是否满足临床需求进行评估；流程优化类功能，如可呈现关键中间分析步骤和中间识别结果（如病灶识别、轮廓圈划等），并可由有资质的医生进行选择判断（采纳人工智能或人工选择），将有助于控制和降低该类功能的临床风险。人工智能算法性能可通过敏感性、特异性、准确性、一致性（Kappa）等给出。无论人工智能技术是用于辅助决策还是流程优化，最终结果都应由具有相应资质的医生进行确认。

3 讨论

目前国内外尚无对内窥镜手术机器人软件部分的安全有效性评价方法，本文以现有申报产品的审评经验为基础，结合行业发展趋势和特点，从模块化风险分析着手，以主从控制为核心、立足人机交互视角的评价思路，提出了安全有效性评价方法和评价要点，对产品研发、注册和技术审评具有指导意义，对其他类型手术机器人的软件评价也具有参考价值。

内窥镜手术机器人是近年来具有代表性的新兴创新产品，技术发展速度较快，业界对性能应达到的标准尚未形成共识，首个手术机器人行业标准的制定，也立足于行业起步阶段的现状，仅规定了制造商应给出的性能清单，符合自身设定的性能要求即可，为行业快速发展留下了广阔空间；同时，由于专利保护等原因，不同产品采用了差异化技术路线，造成设计和性能上的差异较为显著，随着产品成熟度的提升和使用范围的扩大，如主从控制时延和定位精度等基础性能指标的最低要求有待进一步明确。

产品在真实世界的应用情况和上市后不良反应收集反馈对于评价方法和评价标准的研究具有重要价值，而当前的手术机器人产品特别是国产产品在应用病种和病例数量上还较为有限，相关研究有待进一步完善。此外，目前评价方法和标准的制定应立足于现阶段产品实际，在总体把握安全有效性的同时，应有利于促进技术创新和行业发展，推动产品带来更多临床获益。

随着对内窥镜手术机器人研究的不断深入和临床应用的不断扩展，越来越多新型影像和控制技术被运用于机器人。智能化、轻量化、多关节多自由度、单孔等技术不断涌现，共聚焦显微镜与光学相干层析成像、图像的拼接与融合、图像识别、远程控制等[29]技术的应用将助力产品迈向更广阔的临床领域，相关安全有效性评价研究的范围也将不断扩展。但本文不能涵盖所有评价要点，且不包含临床评价要求，仅为基于当前研究应考虑的问题和角度，具体产品的安全有效评价需结合产品特性及医疗器械安全和性能基本原则进行。

4 结论

手术机器人安全有效性评估体系研究已纳入国家重点研发计划“智能机器人”重点专项。总体上，手术机器人软件的安全有效性评价应遵从风险管理的思路，按照医疗器械安全和性能基本要求，参考医疗器械质量管理体系设计开发要求[30]，结合产品特性统筹考虑手术机器人材料、机械、电气、图像等因素，确保产品符合医疗器械安全和性能基本原则[31]。