IEC 62304 מהדורה שנייה שתשתחרר במהלך 2026: מה זה אומר ליצרני תוכנה?

המהדורה השנייה של IEC 62304 נמצאת בישורת האחרונה לפני פרסום. לפי לוחות הזמנים של ה-IEC, שלב אישור הטיוטה כבר מאחורינו והפרסום הרשמי צפוי במהלך 2026. מי שבנה בשנים האחרונות תהליך פיתוח תוכנה שעומד ב-62304 לפי המהדורה הקיימת (Edition 1.0 עם Amendment 1, מה שרובנו קוראים לו 1.1) לא צריך להתחיל ללמוד תקן חדש מאפס.

השאלה הרלוונטית היא אחרת: מה בתוך המערכת הקיימת שלי צריך להשתנות, מה יכול להישאר כמו שהוא, וכמה עבודה זה באמת ידרוש?

התשובה הקצרה: הרבה מהמבנה נשאר מוכר, אבל שלושה מהלכים במהדורה השנייה נוגעים ישירות בכל מי שכבר הטמיע את מהדורה 1.1.

1. שינוי הסיווג

2. הרחבת דרישות הארכיטקטורה והעיצוב לכל סוגי התוכנה

3. הוצאת דרישות מערכת האיכות וניהול הסיכונים אל מחוץ לתקן עצמו.

נעבור עליהם אחד אחד, ובסוף אסביר מה כדאי לעשות עכשיו.

חשוב לומר מראש: הבסיס לניתוח כאן הוא ה-Design Specification של צוות הניסוח ולוחות הזמנים הרשמיים של ה-IEC. הנוסח הסופי של התקן עשוי להשתנות בפרטים, אבל הכיוון כבר ברור מספיק כדי להיערך.

שינוי הסיווג: משלושה סיווגים לשתי רמות

השינוי הראשון שכל מי שמכיר את 62304 ישים לב אליו הוא סיווג הבטיחות. במהדורה הקיימת יש שלושה סיווגי בטיחות תוכנה: A, B ו-C, לפי הפוטנציאל לגרימת נזק. המהדורה השנייה מחליפה אותן בשתי רמות של קפדנות תהליכי תוכנה (software process rigor levels), רמה I ורמה II.

המיפוי עצמו פשוט יחסית.

מה שהיה Class A הופך לרמה I.

מה שהיה Class B ומה שהיה Class C מתאחדים לרמה II.

כלומר ההבחנה הישנה בין B ל-C נעלמת, ושתיהן מקבלות את אותה רמת קפדנות.

מאחורי המיפוי הפשוט מסתתרים כמה כללים שחשוב להפנים:

• הסיווג נגזר מתהליך ניהול הסיכונים ברמת המוצר, לא מתוך התוכנה בפני עצמה. אם ניתוח הסיכונים הראשוני קובע שהתוכנה לא יכולה לתרום למצב מסוכן, אפשר להקצות לה רמה I. בברירת מחדל, עד שמבצעים את ההערכה, התוכנה נחשבת רמה II.

• תוכנה שמממשת אמצעי בקרת סיכון היא תמיד רמה II. זו נקודה קריטית. גם אם הוספת שכבות הגנה נוספות סביבה, עצם העובדה שהתוכנה עצמה משמשת כאמצעי בקרה מקבעת אותה ברמה II. אי אפשר להוריד רמה על ידי מיטיגציות שמיישמים בהמשך הפיתוח. הכוונה מפורשת: לחסום את ה"הורדות סיווג" שראינו בשטח, שבהן יצרנים סיווגו למטה תוכנה מסוכנת על סמך אמצעים חיצוניים.

בפועל, המשמעות למי שכבר עבד לפי מהדורה 1.1 היא שרוב התוכנה שסווגה כ-Class B תישאר ברמת קפדנות דומה, רק תחת שם אחר. מי שהיתה לו תוכנ ב-Class A הוא זה שצריך לשים לב, מהסיבה שנפרט בסעיף הבא.

ההשלכה הכי פחות מדוברת: ארכיטקטורה ועיצוב חלים עכשיו על הכל

זה החלק שקל לפספס בקריאה מהירה, והוא זה שיכול לייצר עבודה אמיתית. במהדורה הקיימת, דרישות תכנון הארכיטקטורה (סעיף 5.3) ותכנון העיצוב המפורט (סעיף 5.4) חלות רק על Class B ו-C. תוכנה ב-Class A פטורה מהן.

במהדורה השנייה זה משתנה.

צוות הניסוח של ה-IEC קבע שרמה מסוימת של תכנון ארכיטקטורה מתאימה לכל סוגי התוכנה, כולל רמה I.

אותו דבר לגבי עיצוב, שגם שם כותרות תת-הסעיפים משתנות מ"detailed design" ל"design" כדי לצאת מהמלכודת שבה קוד עם הערות הוצג כאילו הוא מסמך עיצוב.

המשמעות המעשית היא שאם יש לך מוצרים שסיווגת כ-Class A ובנית עבורם תיעוד מינימלי בלי ארכיטקטורה ובלי עיצוב, המעבר לרמה I יחייב אותך להוסיף שכבת תיעוד שלא הייתה קיימת. זה לא חייב להיות תיעוד כבד, והתקן מדבר על התאמת רמת הפירוט לרמת הקפדנות, למשל design reviews שנעים מ-pair programming ברמה הנמוכה ועד סקירות פורמליות ברמה הגבוהה. אבל ההנחה שתוכנה ברמה הנמוכה ביותר פטורה מארכיטקטורה כבר לא נכונה.

חלק מהרקע לשינוי הזה הוא סייבר. צוות הניסוח מציין שתכנון ארכיטקטורה חשוב במיוחד כדי לתמוך בדרישות אבטחת סייבר, שאמורות להיות מטופלות מחוץ ל-62304 עצמו, עם הפניה לתקני סייבר ייעודיים.

מה קורה לתוכנה שכבר פיתחת (Legacy Software)

זו כנראה השאלה הראשונה של כל מי שכבר בשוק. מה עם המוצרים שכבר פיתחתי ותיעדתי לפי מהדורה 1.1, האם אני צריך לחזור ולעשות הכל מחדש לפי המבנה החדש?

הכיוון במהדורה השנייה מקל כאן במכוון. סעיף התוכנה הישנה (4.4) עובר לנספח אינפורמטיבי, וה"shall"-ים שבו הופכים להנחיה במקום דרישה מחייבת. עבור תוכנה קיימת שפותחה לפי 62304 מהדורה 1.1, אפשר לטפל בהקצאת רמות הקפדנות פשוט על ידי עדכון וסקירה של תוכנית פיתוח התוכנה, כך שתתעד את התכנון ברמות קפדנות שתואמות את העבודה שכבר בוצעה. המטרה המוצהרת היא להגביל את ההשפעה של השינוי על מוצרים קיימים.

כלומר, לא צריך לפרק הכל ולבנות מחדש. צריך למפות. אתה לוקח את מה שכבר תיעדת, מסדר אותו לפי שתי הרמות החדשות, וכותב בתוכנית הפיתוח למה כל מוצר יושב איפה שהוא יושב. עבור רוב התוכנה שכבר קיימת זו עבודה של סידור ותיעוד, לא של פיתוח מחדש.

יש פה נקודה אחת ששווה לשים לב אליה, וצוות הניסוח אומר אותה בפירוש: הם חוששים שיצרנים ינצלו את ההקלות כדי להציג תוכנה ישנה כאילו היא במצב יותר טוב ממה שהיא באמת, במיוחד מוצרים שקיבלו סיווג חדש תחת MDR. ההקלה נועדה להוריד עומס מיותר, לא לתת לך פתח לעגל פינות. אם תכתוב מיפוי שלא באמת תואם את מה שקורה במוצר, זה יעלה בביקורת.

מה יוצא מהתקן ועובר למערכת האיכות שלך

מהלך שלישי שמשפיע על כולם הוא מה שהמהדורה השנייה מוציאה מהתקן. סעיף 4.1, דרישות מערכת האיכות, מוסר לחלוטין.

ההיגיון: 62304 הוא תקן ברמת התהליך, לא ברמת המוצר או ברמת מערכת האיכות, ולכן דרישות מערכת האיכות צריכות לחיות במערכת האיכות של היצרן. הפניה ל-ISO 13485 תופיע כהערה, לא כדרישה נורמטיבית.

באותו קו, ניהול הסיכונים משתנה. במקום שהתקן ידרוש נורמטיבית את ISO 14971, הוא יפנה לתהליך ניהול הסיכונים של המוצר או המערכת שקורא ל-62304. סעיף 7 מוגדר מחדש כממשק וזרימת מידע בין ניהול הסיכונים ברמת המערכת לבין פיתוח ותחזוקת התוכנה, ולא כתהליך סיכונים עצמאי. ISO 14971 עדיין מצופה לתוכנה רפואית, אבל כמצופה ולא כמצוטט נורמטיבית.

מה זה אומר עבורך בפועל: הדרישות האלה לא נעלמות, הן זזות. אם יש לך מערכת איכות בוגרת לפי ISO 13485 ותיק ניהול סיכונים תקין ברמת המוצר, אתה כנראה כבר מכוסה, וההצבעה מתוך 62304 פשוט תשתנה. אם נשענת על 62304 עצמו כדי לספק את מסגרת מערכת האיכות או ניהול הסיכונים, תצטרך לוודא שהמסגרות האלה קיימות במקום אחר. נספח D, שעסק ביישום ליצרנים קטנים ללא מערכת איכות מוסמכת, עשוי להימחק בעקבות הסרת סעיף 4.1.

מה כדאי לעשות עכשיו

יש כמה דברים שאפשר להתחיל בהם כבר עכשיו בלי סיכון, כי הם מבוססים על הכיוון שכבר התגבש.

1. התחל ממיפוי סיווג. עבור על התיק הקיים שלך, ותרגם כל מוצר מ-A/B/C לרמה I או II. שים לב במיוחד לכל תוכנה שמממשת אמצעי בקרת סיכון, כי היא תיפול על רמה II גם אם היום היא מסווגת נמוך יותר. סמן את הפערים.

2. בדוק את מוצרי ה-Class A שלך מול דרישות הארכיטקטורה והעיצוב החדשות. שם צפויה העבודה הממשית, ועדיף לדעת את היקפה מראש.

3. עדכן את תבנית תוכנית פיתוח התוכנה כך שתתעד את רמת הקפדנות בתיק ניהול הסיכונים של המוצר וגם בתוכנית הפיתוח, כפי שהמהדורה השנייה דורשת. עבור תוכנה קיימת, זה גם הכלי שדרכו אתה מבצע את המיפוי בלי לפתח מחדש.

4. ודא שהרפרנסים שלך מ-62304 אל מערכת האיכות וניהול הסיכונים ברמת המוצר עומדים בפני עצמם, כי התקן כבר לא יחזיק אותם עבורך.

המהדורה השנייה לא מבקשת ממך לזרוק את מה שבנית. עבור רוב מי שכבר עומד במהדורה 1.1 מדובר במיפוי מחדש ותיעוד, לא בפיתוח מחדש, ובלבד שהמיפוי נכון ומגובה. המקום היחיד שבו באמת עלולה להיווצר עבודה חדשה הוא תוכנת Class A שעולה לרמה I ופוגשת לראשונה דרישות ארכיטקטורה ועיצוב. את זה כדאי לאתר עכשיו, כשעוד יש זמן, ולא בביקורת הראשונה תחת המהדורה החדשה.