当静态框架遇到动态 AI：SaMD 监管十年

当一个 2014 年的风险框架遇到 AI

2014 年，国际医疗器械监管机构论坛（IMDRF）发布了一份叫 N12 的文件，给"软件作为医疗器械"设计了一个二维风险矩阵。十年之后，AI 医疗器械的出现让这个框架的盲区暴露得越来越明显。2025 年 1 月，IMDRF 又发了 N81，很多人以为这是来给 N12 打补丁的——但它其实根本没打算解决 N12 的 AI 问题。

先搞清楚这些缩写是什么

IMDRF 全称是 International Medical Device Regulators Forum，国际医疗器械监管机构论坛。成员包括美国 FDA、欧盟委员会、中国 NMPA、日本 PMDA、加拿大 Health Canada 等十几个监管机构。它不是一个有执法权的组织，更像一个"监管标准化工作组"——各国派代表坐在一起，讨论怎么给医疗器械建立一套全球通用的技术语言和框架。

IMDRF 的文件按工作组和编号命名。这篇文章涉及的核心文件：

  • N10：全名 Software as a Medical Device (SaMD): Key Definitions，2013 年发布。这里的 “N10” 是文档编号（N 表示 Final Document，10 是流水号）。
  • N12：全名 Software as a Medical Device (SaMD): Possible Framework for Risk Categorization and Corresponding Considerations，2014 年发布。
  • N41：全名 Software as a Medical Device (SaMD): Clinical Evaluation，2017 年发布。
  • N81：全名 Characterization Considerations for Medical Device Software and Software-Specific Risk，2025 年 1 月发布。

N10 的核心思想只有一句：软件如果有医疗目的、且不依附于硬件医疗器械就能完成这个目的，那它本身就是医疗器械。 比如手机上的 ECG App、云端的影像 AI，自己就能干诊断的活儿，不挂在 CT 机或监护仪身上，那它就是 SaMD。反过来，CT 机里的图像重建算法离了那台机器没用，叫 SiMD（Software in a Medical Device）。N10 先给了身份，N12 再给定级，后面才有 QMS、N41、N81 的层层展开。

这些文件本身不是任何一国的法律，但各国在制定法规时大量引用它们。FDA 把 N12 的风险逻辑纳入了 SaMD 审评指南；欧盟 MDR 的 Rule 11 与 N12 的二维矩阵思路高度兼容；中国 NMPA 的《人工智能医疗器械注册审查指导原则》虽然没有直接照搬 N12，但"按临床决策重要性和疾病严重程度综合判定"的逻辑跟 N12 基本一致。

所以这篇聊的不是"美国怎么管"，而是一套被全球监管体系共同引用的国际框架，在 AI 时代遇到了什么麻烦。

一、2014 年：N12 想解决什么问题

2013 年 IMDRF 发了 N10，回答了"什么软件算医疗器械"。接下来最自然的问题是：算完之后，怎么管？

各国当时的做法很散。美国 FDA 按 Class I/II/III 分，欧盟按 MDR Annex VIII 的 Rule 11 分，中国按第二类/第三类分。但落到软件上，这些传统分类都有一个共同问题：它们是为硬件器械设计的。

一台手术刀的风险主要来自钢材质量和锋利度，一个心电图分析 App 的风险主要来自算法准确性和临床决策链中的位置。两者的风险逻辑完全不同。N12 的任务，就是为 SaMD 设计一套专属的风险语言。

二维矩阵的设计

N12 的解决方案是一个 3×3 矩阵，纵轴是医疗状况的严重程度（非严重 / 严重 / 危急），横轴是软件信息在医疗决策中的重要性（提供信息 / 驱动临床管理 / 治疗或诊断）。

交叉之后得到四个类别：I（最低）到 IV（最高）。

非严重严重危急
治疗或诊断IIIIIIV
驱动临床管理IIIIII
提供信息IIII

为什么选这两个维度？

N12 为什么选这两个维度？因为软件不像手术刀，没有物理杀伤力，它的风险全靠信息流传导。所以关键就看两条：

信息往哪走：软件输出是"仅供参考"，还是直接驱动医生做判断，又或者是直接输出诊断结论？ 信息往谁身上走：错误信息落在感冒患者身上和落在 ICU 患者身上，后果完全不同。

这套逻辑的好处是，各国都能对上自己的体系。FDA 映射到 Class I/II/III，欧盟映射到 Rule 11a 的 IIa/IIb/III，中国映射到第二类/第三类。N12 被全球引用，不是因为它有执法权，而是它充当了一个翻译层——让各国监管能在同一张地图上对话。

二、AI 来了之后，矩阵开始变形

N12 定稿于 2014 年。那时候深度学习还没爆发，AlphaGo 还要等两年，医疗 AI 的主流是规则引擎和传统机器学习。N12 设计时隐含了一个假设：软件的风险在上市时就可以基本确定。

这个假设在 AI 时代破了。

第一个麻烦：模型不是一成不变的

N12 的每一个格子都假设，软件的风险是固定的。一个 Category II 的产品，上市前定了类，上市后基本不会变。

但 AI 不是这么回事。同一个肺结节检测算法，在高质量 CT 上表现很好，在基层医院的低剂量 CT 上可能直接掉到不可用的边缘。N12 没有回答：同一个产品在不同场景下的风险漂移，该怎么定类？

第二个麻烦：AI 学会了自己更新自己

N12 还假设软件版本是离散的、可控的。v1.0 和 v1.1 之间可以重新评估。

但越来越多的 AI 医疗器械引入了 continuous learning（持续学习），模型在上市后根据真实世界数据自动更新权重。这时候问题来了：定类时按初始版本算，还是按学习后的版本算？性能提升了要不要重新申报？性能退化甚至偏见放大了，谁来管？

FDA 在 2023 年的 PCCP 指导原则里试图回答这个问题，但 N12 本身的框架没有给持续学习留接口。

第三个麻烦：AI 的建议，到底算谁的？

N12 横轴的核心是判定"软件信息对医疗决策有多重要"。传统软件里这个界限还算清楚：心电图 App 输出"疑似房颤"，这是提供信息；闭环胰岛素泵自动调剂量，这是治疗。

但 AI 把这堵墙推倒了。一个 AI 辅助诊断系统输出"90% 概率恶性"，医生"参考"了这个结果。可如果医生对 AI 产生了 automation bias（自动化偏见），不加思考就接受了结论，那这还算"提供信息"吗？

欧盟 MDR 的做法很干脆：不问这个问题。只要软件输出被医生用于诊断，地板就是 IIa。N12 中间那档"驱动临床管理"，在 AI 高置信度输出的压力下，越来越站不住脚。

第四个麻烦：软件自己会出什么问题，矩阵根本不管

N12 只画了临床后果的风险地图，完全没管软件本身会出什么幺蛾子：

  • 开源框架突然爆出漏洞（Log4j、XZ Utils）
  • 训练数据被污染，模型学到错误模式
  • 输入图像加一点人眼看不见的噪点，模型输出完全错误
  • 真实世界的数据分布变了，模型性能慢慢衰减
  • 训练数据对某些人群代表不足，AI 对特定群体系统性更差

这些不是"医疗状况严重程度"能衡量的，它们是代码和数据的问题。N12 的矩阵里，没有一格是给 Log4j 留的。

三、N81 来了，但它没打算解决 N12 的 AI 问题

2025 年 1 月，IMDRF 发布了 N81。很多人以为这是来给 N12 打补丁的——毕竟 AI 让矩阵快失效了，总该有人出来给个新分类方法吧？

事实是，N81 根本没碰这个问题。

N81 其实讲的是另一回事。

传统医疗器械的风险管理标准 ISO 14971，管的是硬件会怎么坏——材料降解、机械疲劳、电池过热。软件的风险不是这种"物理失效"逻辑，而是版本迭代、依赖断裂、供应链攻击、配置错误这些完全不同的东西。

所以 N81 要求厂商交一份"软件的技术身份证"：预期用途声明、架构和接口描述、依赖关系、AI/ML 组件清单、供应链风险和已知漏洞。它想解决的是传统风险管理体系不知道怎么管软件，那我们要怎么逼它管起来。它补的是 ISO 14971 和软件工程之间的缝隙，而不是 N12 矩阵在 AI 面前的分类困境。

对于前面提到的四个盲区——模型在不同数据分布下的风险漂移、持续学习算法按哪个版本定类、automation bias 让"提供信息"变成事实上的"治疗诊断"、AI 黑箱导致的不确定性——N81 基本只是轻轻带过，没有给出任何定类或监管路径的答案。

它甚至没有正面回答：一个引入了 continuous learning 的 SaMD，上市时定的 Category II，学习三个月后性能退化到接近 Category III 的风险水平，厂商该怎么办？重新申报？定期报告？动态监控？这些仍然是开放问题。

所以现在的局面是：N12 的矩阵还在全球被引用，但 AI 产品越来越频繁地落在它的盲区里；N81 给了软件风险一个"技术身份证"的框架，但没有给 AI 的动态风险一个新的分类逻辑。两个文件之间，缺了一环。

四、对你的产品意味着什么

如果你在做 AI 医疗器械的上市申报，现在的监管现实是：

不能只走 N12 的矩阵。 你需要同时证明两件事：

  1. 按临床风险，我的产品落在哪个 Category（N12）
  2. 按软件技术风险，我的产品有什么特有的脆弱面（N81）

而且第二件事正在变得越来越重要。FDA 在 2026 年的网络安全指南里已经要求 Cyber Device 提交 SBOM 和威胁模型；欧盟 AI Act 要求高风险 AI 系统提交数据治理和偏见评估文档。这些都不是 N12 的矩阵能覆盖的，但都是 N81 想要回答的。

但更大的问题是：如果 N12 和 N81 都覆盖不了 AI 的动态风险，那谁来覆盖？

目前还没有统一答案。三个主要市场各自在用自己的方式试探：

FDA：Predetermined Change Control Plan（PCCP）

FDA 在 2023 年发了《Marketing Submission Recommendations for a Predetermined Change Control Plan for Artificial Intelligence/Machine Learning (AI/ML)-Enabled Device Software Functions》。核心思路是：允许厂商在上市前就"预申报"一批计划内的算法变更，不需要每次小更新都走一遍完整的 510(k)。

具体做法：厂商在首次申报时提交一份 PCCP，里面写清楚——

  • 什么叫"计划内变更"（比如模型架构不变、只更新训练数据；或者性能提升在什么范围内）
  • 什么叫"计划外变更"（触发重新申报的红线）
  • 变更后的验证方法和接受标准
  • 上市后如何监控变更后的性能

FDA 的思路是：与其让 AI 产品在上市后偷偷学习、偷偷漂移，不如把"允许怎么变"写在上市前的契约里。变了之后按 PCCP 的验证方法自证合规，定期向 FDA 报告，不需要重新走 510(k)。

但 PCCP 的边界很微妙。它管的是"计划内的可控变化"，不是"模型自己跑飞了怎么办"。而且 PCCP 不是自动获批的，FDA 会逐案审查，目前批准的案例主要集中在影像辅助诊断领域。

欧盟 AI Act：高风险 AI 系统的持续监测义务

欧盟的路径不一样。2024 年生效的 AI Act 把医疗 AI 全部划为"高风险 AI 系统"，在 MDR/IVDR 之上叠加了一层额外的合规要求。

其中跟动态风险最相关的是 post-market monitoring 义务（Article 61 和 Chapter 3）：

  • 厂商必须建立一套持续监测机制，跟踪 AI 系统在真实世界中的表现
  • 如果发现 AI 系统产生了训练时未预见的风险，或者性能显著偏离预期，必须向主管机关报告
  • 系统性偏差、偏见放大、用户投诉异常——这些都属于触发报告的情形

跟 FDA 的 PCCP 相比，欧盟更偏重事后监测和强制报告，而不是事前约定"允许怎么变"。AI Act 不要求你预判所有变更，但要求你在上市后持续盯着，出事了必须上报。

问题是：什么叫"显著偏离预期"？什么算"系统性偏差"？这些阈值目前还比较模糊，具体怎么执行要看各成员国主管机关的口径。

中国 NMPA：算法更新备案

中国的做法最接近传统的注册管理思维。

NMPA《人工智能医疗器械注册审查指导原则》把算法更新分为两类：

  • 轻微算法更新：比如优化界面、修复 bug、不改变核心算法和预期用途，走备案即可
  • 重大算法更新：比如更换模型架构、扩展适应症、改变输入数据类型，需要重新注册

2022 年修订版进一步细化：对于已获批的 AI 产品，如果算法更新涉及训练数据扩容或模型优化，厂商需要向审评部门提交算法更新备案资料，说明变更内容、验证方法和性能对比。

中国的逻辑是"变更分级管理"——小变备案，大变重报。这跟 FDA PCCP 的"事前约定"和欧盟 AI Act 的"事后监测"都不一样，更像传统医疗器械变更管理的延伸。

但中国的算法更新备案目前执行层面的案例还不多，审评员对"什么算轻微、什么算重大"的把握尺度因产品而异。

三种方向的本质差异

FDA PCCP欧盟 AI Act中国 NMPA
核心思路事前约定允许的变化范围事后持续监测和报告变更分级，小备大报
管的阶段上市前预申报 + 上市后按约定执行上市后持续义务变更发生时判定
对 AI 动态风险的态度“把变化框死在计划里”“放你出去，但盯着你不许出事”“变了就得重新定性”
目前成熟度案例有限，逐案审查法规刚生效，执行待观察指导原则已出，实操案例少

所以现在的局面是：三个市场各自在用自己的方言试探 AI 动态风险的监管路径，但没有一个框架真正回答了"AI 的风险等级怎么随时间变化"这个本质问题。N12 的静态矩阵依然被挂在墙上，只是厂商现在需要同时交三份不同的动态风险说明书。

这些都是现在做 AI 医械的人，得自己跟审评员磨的问题。

N12 是一个设计得很漂亮的框架。它在 2014 年为全球 SaMD 监管建立了一套共同语言，让中、美、欧、日能在同一张地图上对话。

但那张地图画的是静态的临床风险。N81 倒是开始承认软件有软件自己的风险，不全是硬件失效那一套。但 AI 医疗器械真正让人头疼的地方——模型会学习、会漂移、会让"辅助"悄悄变成"替代"——还是一团迷雾。

下一篇，我们会深入 N81，看看它到底要求厂商把哪些"技术身份证"交出来，以及为什么这跟你的 SBOM 和威胁建模直接相关。

（未完待续）