2025年11月26日，美國(guó)食品藥品監(jiān)督管理局（FDA）對(duì)Life2000呼吸機(jī)系統(tǒng)發(fā)布最高級(jí)別的 I類召回令，簡(jiǎn)單點(diǎn)說(shuō)就是強(qiáng)制永久退市，這款設(shè)備再也不能上市銷售和使用。

此次原因是：該設(shè)備因存在嚴(yán)重網(wǎng)絡(luò)安全漏洞——未經(jīng)授權(quán)者可通過(guò)物理訪問(wèn)修改治療參數(shù)或竊取數(shù)據(jù)，可能導(dǎo)致呼吸支持失效甚至危及患者生命，被認(rèn)定為存在"嚴(yán)重傷害或死亡風(fēng)險(xiǎn)"。

緊接著，百特醫(yī)療就宣布：永久停產(chǎn)并停用Life2000呼吸機(jī)系統(tǒng)。但是值得注意的是，截至2025年4月10日，百特尚未報(bào)告與此問(wèn)題相關(guān)的嚴(yán)重傷害或死亡事件。那么，從戰(zhàn)略核心到被永久“處決”，Life2000呼吸機(jī)系統(tǒng)究竟經(jīng)歷了什么？

丨“明星產(chǎn)品”三年三召回的慢性崩塌之路

Life2000 系統(tǒng)

據(jù)公開(kāi)資料顯示，該設(shè)備由Baxter于2021年通過(guò)125億美元收購(gòu)Hillrom時(shí)納入麾下，作為輕便可穿戴式設(shè)備，它主打成人機(jī)械通氣支持，不管是醫(yī)院場(chǎng)景還是家庭護(hù)理，都能通過(guò)氣管插管或面罩提供正壓通氣，還靠獨(dú)特的POV技術(shù)提升患者活動(dòng)性，該系統(tǒng)還包括Life2000呼吸機(jī)及配套壓縮機(jī)，僅供具備資質(zhì)的醫(yī)護(hù)人員在醫(yī)生指導(dǎo)下操作，適用于需通過(guò)氣管插管或面罩接受正壓通氣的成年患者。

但是令人唏噓的是，2023年到2025年短短三年間，設(shè)備問(wèn)題不斷，三次登上FDA召回名單：

2023年，氧飽和度風(fēng)險(xiǎn)召回。設(shè)備氧氣去飽和問(wèn)題浮出水面——設(shè)備連接第三方制氧機(jī)時(shí)，患者可能出現(xiàn)氧飽和度降低風(fēng)險(xiǎn)，其影響主要是涉及數(shù)千套系統(tǒng)，百特報(bào)告有住院病例但無(wú)死亡記錄。因此，百特選擇軟件升級(jí)補(bǔ)救。

2024年5月，電池充電故障緊急召回。電池充電系統(tǒng)缺陷導(dǎo)致設(shè)備在使用中突然斷電，影響設(shè)備續(xù)航，其間影響美國(guó)市場(chǎng)2510臺(tái)設(shè)備，涉及軟件版本06.08.00.00。于是，百特再次召回，更換電池組件。值得注意的是，F(xiàn)DA于7月10日正式列為I級(jí)召回，強(qiáng)調(diào)可能引發(fā)治療中斷風(fēng)險(xiǎn)。

2024年10月，氣體壓力報(bào)警缺陷修正。設(shè)備可能無(wú)法觸發(fā)低氣體壓力警報(bào)，存在治療中斷隱患。最終，百特選擇更新使用說(shuō)明，要求連接壓力氣源（壓縮機(jī)/氧氣瓶/墻源）后啟動(dòng)設(shè)備，并參考指南使用。

2025年4—11月，網(wǎng)絡(luò)安全問(wèn)題成為壓垮的最后一道防線。

4月，致命漏洞徹底引爆。內(nèi)部測(cè)試顯示，未經(jīng)授權(quán)的物理接觸者可直接更改治療設(shè)置或竊取患者數(shù)據(jù)，會(huì)導(dǎo)致呼吸支持失效甚至危及生命，緊急召回啟動(dòng)。11月26日，F(xiàn)DA將其定性為一級(jí)召回——最高風(fēng)險(xiǎn)等級(jí)。百特放棄修復(fù)，選擇永久停產(chǎn)。

其實(shí)，在百特完成對(duì) Hillrom 收購(gòu)的同一年份，Hillrom 便報(bào)告了存在嚴(yán)重的 Log4j 漏洞。這一漏洞使得 Life2000 的代碼、固件以及網(wǎng)絡(luò)接口等層面，均有可能遺留下“技術(shù)債”。

實(shí)際上，這并非是百特在收購(gòu)過(guò)程中有所疏忽，而是源于過(guò)往行業(yè)所形成的普遍認(rèn)知：在對(duì)醫(yī)療設(shè)備開(kāi)展盡職調(diào)查時(shí)，往往更側(cè)重于設(shè)備的性能表現(xiàn)與合規(guī)性，而相對(duì)忽視了網(wǎng)絡(luò)安全方面的審查。

然而，數(shù)字化進(jìn)程所帶來(lái)的風(fēng)險(xiǎn)，無(wú)法通過(guò)簡(jiǎn)單的“紙面整合”來(lái)消除。要切實(shí)應(yīng)對(duì)這類風(fēng)險(xiǎn)，需要從代碼編寫(xiě)、固件更新到系統(tǒng)設(shè)計(jì)等各個(gè)環(huán)節(jié)進(jìn)行全面且深入的接管。

從2023 年至 2025 年，百特經(jīng)歷了三次產(chǎn)品召回事件，這些召回事件如同在一根繩索上不斷增添重物，最終，網(wǎng)絡(luò)安全問(wèn)題成為了壓垮駱駝的最后一根稻草。

丨此次為何是“永久停產(chǎn)”，而非修復(fù)？

面對(duì)最高級(jí)別的召回，百特做出了一個(gè)看似極端卻必然的選擇：放棄修復(fù)，永久停產(chǎn)。此次原因也令人不寒而栗，主要出于以下兩點(diǎn)：

重大網(wǎng)絡(luò)安全漏洞：未經(jīng)授權(quán)的人員，通過(guò)物理接觸設(shè)備，便能繞過(guò)安全防護(hù)，直接修改治療參數(shù)或竊取患者數(shù)據(jù)。要知道，物理篡改難以追蹤，醫(yī)護(hù)人員可能無(wú)法立即察覺(jué)參數(shù)修改。這意味著，對(duì)依賴機(jī)械通氣的患者而言，無(wú)異于生命支持的控制權(quán)直接旁落。

災(zāi)難性的設(shè)計(jì)缺陷：該設(shè)備存在設(shè)計(jì)缺陷，專家對(duì)該漏洞的嚴(yán)重程度給予了最高等級(jí) CVSS v4 10.0 分的評(píng)價(jià)，表明該缺陷具有極高的可利用性和災(zāi)難性的影響。

這一決定本身即是答案：產(chǎn)品所存在的漏洞已深深扎根于其根基之處，無(wú)法憑借補(bǔ)丁來(lái)加以修復(fù)。這也成為百特史上最嚴(yán)重的醫(yī)療設(shè)備安全事件。尤為關(guān)鍵的是，這些問(wèn)題并非由“使用不當(dāng)”所引發(fā)，而是自設(shè)計(jì)階段便潛藏的根本性缺陷。此類缺陷根本無(wú)法通過(guò)后續(xù)的軟件更新實(shí)現(xiàn)徹底修復(fù)，這也是 Baxter 最終做出永久退市這一決定的根本緣由。

丨聯(lián)網(wǎng)醫(yī)療設(shè)備的“阿喀琉斯之踵”

當(dāng)然，2025年，F(xiàn)DA已發(fā)出多起聯(lián)網(wǎng)醫(yī)療設(shè)備網(wǎng)絡(luò)安全召回。

2025年10月10日，Abiomed的自動(dòng)Impella控制器被劃為最嚴(yán)重風(fēng)險(xiǎn)等級(jí)。一旦遭惡意入侵，攻擊者將能直接操控設(shè)備運(yùn)行，導(dǎo)致血液動(dòng)力學(xué)支持中斷、器械失控，甚至危及患者生命。

2025年1月30日，F(xiàn)DA曾發(fā)布安全通訊，警告Contec CMS8000和Epsimed MN-120患者監(jiān)護(hù)儀存在可被未授權(quán)訪問(wèn)與控制的漏洞，可能直接引發(fā)患者傷害。

醫(yī)療物聯(lián)網(wǎng)（IoMT）在連接設(shè)備與數(shù)據(jù)的同時(shí)，也帶來(lái)了嚴(yán)峻的安全隱患。對(duì)此，2025年6月27日，F(xiàn)DA發(fā)布新版《醫(yī)療器械網(wǎng)絡(luò)安全指南》，包括：全生命周期的安全設(shè)計(jì)（Secure Product Development Framework）、威脅建模、SBOM（軟件物料清單）、滲透測(cè)試、固件完整性驗(yàn)證以及代碼來(lái)源可追蹤性。

言簡(jiǎn)意賅就是：網(wǎng)絡(luò)安全不再是補(bǔ)充材料，而是介入審評(píng)的基礎(chǔ)條件。

FDA還特別強(qiáng)調(diào)，網(wǎng)絡(luò)安全需成為產(chǎn)品設(shè)計(jì)起點(diǎn)，而非事后補(bǔ)丁，真實(shí)性、授權(quán)機(jī)制、可用性等五大原則需貫穿研發(fā)全流程。

丨寫(xiě)到最后

此次百特因網(wǎng)絡(luò)安全問(wèn)題所遭受的慘痛代價(jià)，清晰釋放出強(qiáng)烈信號(hào)：網(wǎng)絡(luò)安全已從醫(yī)療器械研發(fā)階段的附加項(xiàng)，轉(zhuǎn)變?yōu)檫M(jìn)入美國(guó)市場(chǎng)的“剛需入口”。

過(guò)去，行業(yè)聚焦設(shè)備的機(jī)械穩(wěn)定性、算法準(zhǔn)確性和電源可靠性；而未來(lái)，參數(shù)可變性、固件可信度、代碼完整性以及整個(gè)數(shù)字生命鏈的安全性或?qū)⒊蔀榻裹c(diǎn)。Life2000 的退市其實(shí)是時(shí)代變革的信號(hào)，它警示行業(yè)真正的醫(yī)療進(jìn)步在于設(shè)備的可信度。

同時(shí)，Life2000 的案例對(duì)于中國(guó)企業(yè)而言絕非遙遠(yuǎn)的“海外案例”，而是對(duì)未來(lái)出海征程的預(yù)演。

一方面，出海美國(guó)，門檻從“性能”轉(zhuǎn)向“安全體系”。舊問(wèn)題成基礎(chǔ)要求，新要求如 SBOM 完整性等是關(guān)鍵，沒(méi)有完善的安全體系，企業(yè)將無(wú)法獲得市場(chǎng)準(zhǔn)入。

另一方面，隨著中國(guó)市場(chǎng)家用呼吸機(jī)、homecare 監(jiān)護(hù)、可穿戴健康設(shè)備、AI + 遠(yuǎn)程康復(fù)、慢病長(zhǎng)期管理設(shè)備等領(lǐng)域的快速發(fā)展，設(shè)備的網(wǎng)絡(luò)化進(jìn)程遠(yuǎn)超安全體系建設(shè)速度。Life2000 的退市表明，安全建設(shè)滯后將付出高昂代價(jià)。

此外，下一輪全球醫(yī)療技術(shù)競(jìng)爭(zhēng)將聚焦于“安全治理能力”。系統(tǒng)架構(gòu)、軟件驗(yàn)證、固件保護(hù)、供應(yīng)鏈安全、漏洞響應(yīng)體系等原本屬于IT領(lǐng)域的概念，正成為醫(yī)療設(shè)備行業(yè)的核心競(jìng)爭(zhēng)力。

未來(lái)，系統(tǒng)透明、代碼可信、架構(gòu)安全的企業(yè)將成為行業(yè)領(lǐng)先者。中國(guó)企業(yè)需提前布局，重視網(wǎng)絡(luò)安全建設(shè)，提升安全治理能力，以應(yīng)對(duì)日益激烈的市場(chǎng)競(jìng)爭(zhēng)和嚴(yán)格的準(zhǔn)入要求。