医疗软件的保护与授权管理，是指对交付到医院的软件做代码保护和授权管控的组合：核心算法防逆向、授权绑定设备或机构、内网隔离环境用离线签发和短码激活完成许可校验与升级，全程留痕可审计。它解决的不是软件能不能用的问题，而是软件进了医院之后，厂商还能不能管得住的问题。
医疗软件的交付环境比一般行业苛刻得多：医院内网物理隔离、服务器可能还是老系统、数据不能出内网、合规审查随时会来。一套 HIS、影像后处理或 AI 辅助诊断软件卖出去，交付只是开始——后续的授权续期、功能扩容、设备更换、耗材管控，都得在"不能联网"的约束下完成。本文讨论的"授权"指软件使用许可（License）管理——谁、在什么设备上、用哪些功能、用到什么时候；不是医院内部的医务人员操作权限，这两个"授权"在医疗行业经常被混着叫。
一、行业背景：行业变化与软件交付特征
这几年医疗软件的交付在发生三个变化：AI 辅助诊断从云端走向院内离线部署，小模型、本地化成为主流形态；软件从一次性售卖转向服务化，按年订阅、按模块开通越来越常见；信创要求下，国产 CPU 和操作系统在医院的占比持续提高。交付对象在变，授权管理要跟着变。
医疗软件大致有几类：医院信息系统（HIS）、影像与检验系统（PACS/LIS）、AI 辅助诊断、医疗设备配套软件（彩超、心电、康复设备等）、医药管理与教学软件。它们的共同交付特征很鲜明：
网络环境严。 医院局域网物理隔离是常态，联网权限审批严格，部分现场对外设的管控同样苛刻。数据中心不出院，服务器不出网。
设备生命周期长。 一台医疗设备可能服役十年以上，配套的软件授权要陪跑整个周期——期间医院会换服务器、重装系统、扩科室，授权关系不能断。
运行环境老旧且杂。 医院服务器上跑着老版本操作系统的并不罕见；信创要求下，国产 CPU 和服务器的占比要求在提高。
要保护的资产不止代码。 除了软件本身，还有训练数月得到的 AI 模型、现场调试积累的工艺参数、诊疗规则和配置模板——这些是更难重建的资产。医疗 AI 模型迭代快，模型文件更新频繁，保护机制需要覆盖"持续更新"的状态，而不是只管交付那一刻。
稳定性是底线。 彩超、心电等设备的检查过程不允许因授权问题中断——授权机制不能因为验证失败而阻断正在进行的操作。
合规是硬约束。 涉及医疗器械软件的，授权机制要回应监管对"部署可见、版本可控、变更可追"的要求——设备出口海外的，还要同时满足 NMPA 和 FDA 等不同监管口径的审计。
二、核心挑战：医疗交付的现实条件与授权需求
| 现实条件 | 具体问题 | 授权需求 |
|---|---|---|
| 医院内网物理隔离 | 在线许可服务不可用，云端校验失效 | 离线校验与离线升级能力 |
| 设备生命周期十年以上 | 授权要陪跑全程，中途换机扩容频繁 | 长期可维护、可迁移的许可体系 |
| 设备检查等关键操作中软件中断不可接受 | 授权验证失败可能导致操作中断，影响诊疗进行 | 验证时机可按场景配置，关键操作过程不被中断 |
| 设备存在租赁、试用、展会演示等短期场景 | 试用到期后授权仍在客户手里，功能收不回来 | 限时授权，到期自动失效 |
| 核心算法构成产品竞争力 | 代码、模型存在被逆向提取的风险 | 分层保护核心软件资产 |
| 耗材与设备绑定有合规要求 | 回收耗材二次使用存在安全隐患 | 可追溯的耗材管控机制 |
| 软件服务化转型 | 授权模式混合，部分客户用锁、部分用许可文件 | 软硬混合授权统一管理 |
| 医院为硬件付费、软件付费意愿低 | 纯软件授权模式推进难 | 授权与硬件交付形态配合 |
这些条件意味着，医疗软件的授权不能只解决"能不能用"，还要回答：断网怎么验证、检查中怎么保不断、十年后怎么续、短租怎么收、换机怎么迁、耗材怎么管、出事怎么查。
三、行业解决方案：需求与能力如何对应
3.1 总体建设思路
医疗软件的保护与授权按一条链建设：识别保护对象 → 设计许可规则 → 选择授权载体 → 建立制作与交付流程 → 验证目标环境 → 规划更新和异常处理。
先分清三个层面各自管什么：代码保护防止程序被逆向分析，保护实现逻辑；授权管理管谁能在什么条件下使用什么功能；数据与资产保护管随软件交付的模型、参数和配置不被提取。三者解决的是不同层面的问题。只做了代码加密，数据和模型仍以明文随包交付。
3.2 核心需求与能力匹配
| 核心需求 | 方案机制 |
|---|---|
| 核心代码与算法保护 | 加壳、虚拟化、锁内执行 |
| 内网离线授权 | 离线签发与本地验签；升级走文件导入、短码激活或换锁 |
| 授权运营管理 | 限时、限次、限模块、限并发 |
| 耗材管控 | 锁内存储耗材编码与使用次数 |
表中每项能力都需要在目标环境验证，不以方案描述为准。
3.3 核心环节：医院内网的授权校验与升级怎么做
这是医疗授权最难、也最常被低估的部分。内网隔离环境下，许可管理不能依赖任何公网连接，一套完整的离线 SOP 是这样的：
签发与校验分离。 授权在厂商侧签发，设备侧只做验签——许可证是带数字签名的文件，医院内网不需要联网就能验证真伪。加密锁承载的授权则由锁内安全芯片完成校验，软件运行检测锁的存在即可。
升级有三条路径，按现场限制选：
① 文件导入——现场允许受控介质流转的：客户端生成带机器指纹的请求文件，经审批带出医院，厂商签发升级文件后带回导入；
② 短码激活——连文件进出都困难的：授权内容编码成可人工输入的短码，现场输入即完成延期或模块开通；
③ 换锁预置——设备配套软件：出厂时授权预置进硬件锁，升级时换锁，彻底摆脱文件流转。
验证时机可以按场景灵活配置，不是一刀切。 授权验证设计三种模式，按业务场景选：
| 验证模式 | 适用场景 | 行为 |
|---|---|---|
| 启动时验证 | 彩超检查、急救等不可中断的操作 | 只在软件启动时校验许可；运行过程中即使许可到期，也不中断当前操作，等完成后下次启动时再校验 |
| 周期性验证 | 常规诊疗、影像阅片、数据管理 | 按设定周期校验许可状态，到期提醒但不强制中断 |
| 宽限期容错 | 网络不稳定或临时断连 | 校验失败时进入宽限期，记录状态但不立即停用；恢复后自动续验 |
院内可以再放一层。 多终端、多科室的医院，可以在内网部署私有化授权服务，各终端向院内服务申请许可；断网期间客户端按缓存和宽限期继续工作，恢复后状态回同步。
异常要事先设计。 许可到期、设备更换、系统重装、时间篡改，每一种都要有明确行为：到期前提醒、换机先解绑旧设备再激活新设备、修改系统时间也不绕过有效期。全程留痕——谁激活、谁使用、什么时间、什么设备，记录可查询，既服务售后排查，也回应合规审计。
走完这套流程，交付后的每一次授权变化都有来源、有状态、有记录——厂商在不能联网的医院里，依然管得住自己的软件。
3.4 典型客户场景
某康复设备厂商的产品需满足 FDA/NMPA 合规要求，设备使用的治疗探头等耗材需要与设备绑定。方案将耗材编码和使用次数加密存储于硬件锁内、与设备一一绑定：耗材使用前系统比对锁内信息，验证通过方可使用，次数耗尽自动锁定。这套机制防止了回收耗材的二次使用，保障了患者安全，也让原厂耗材成为合规使用的唯一途径，设备厂商的耗材收入因此可持续。
四、方案落地后，授权管理怎么运转
- 续期不再排队。 授权到期前自动提醒，续期签发按固定流程走，售后不再靠反复重发授权解决同类问题。
- 交付不再卡在联网审批。 内网环境按标准动作完成激活和升级——文件导入、短码激活或换锁，按现场条件选择，不需要为联网审批反复沟通。
- 换机扩容有流程可依。 换服务器、重装系统、增加科室，按"先解绑、再迁移"的路径执行，全程留痕，售后排查不再靠回忆。
- 合规审查有据可查。 耗材与设备绑定后每次使用有记录，审计时可以直接出示。
医疗软件的授权管理，价值不在交付那一天，而在之后的每一次续期、换机和审查里——机制能不能十年如一日地运转，才是这套方案的最终考题。
五、选型与实施建议
按产品形态判断授权方案的方向：
| 产品形态 | 授权方向 | 原因 |
|---|---|---|
| 单机版/院内系统（HIS、检验、阅片） | 硬件加密锁 + 离线授权 | 内网隔离，换硬件不希望授权失效 |
| 大型设备配套软件（影像、超声、康复设备） | 工业级加密锁，核心算法锁内执行 | 单价高、防逆向要求高、设备生命周期长 |
| SaaS/互联网医疗 | 云授权/账号订阅 | 按租户、科室灵活计费 |
| 信创环境（国产 CPU/OS） | 国产加密锁 + 国密算法 | 采购硬性要求，需逐项验证适配 |
采购评估时，建议逐项核对：
- 离线环境能否完成激活和延期；
- 换机、重装系统后授权能否恢复；
- 是否支持按模块、按科室、按并发的细粒度授权；
- 授权发放、激活、失效、换机是否全程留痕，能否与订单和售后系统对接；
- 授权服务能否私有化部署在医院内网；
- 国产环境适配和合规要求（等保、国密、信创），以逐项实测和厂商当前证明材料为准评估；
六、医疗行业合作伙伴
目前，Virbox 已服务医疗行业的多家软件开发商与设备厂商，覆盖康复设备、医疗影像、医药管理、医疗教学等细分领域，合作伙伴包括南京伟思医疗（康复设备）、飞依诺（超声影像设备）、神州医疗等。（深思洛克、深思数盾已统一升级为深盾科技·Virbox。）合作伙伴名单仅列入已确认合作关系且名称可公开的公司，将随确认进度陆续补充。
常见问题
1. 医院内网完全不能联网，许可能正常使用吗？
可以。采用离线签发和本地验签：许可文件带数字签名，或由硬件锁完成校验，不依赖公网。升级走文件导入、短码激活或换锁三条路径之一。
2. 医院换服务器或重装系统后，授权怎么办？
先确认旧设备状态和迁移规则，按流程解绑或停用旧绑定，再在新设备验证授权和功能范围。硬件锁方案下，授权随锁走，换机影响最小。
3. 授权平台会接触医院的业务数据吗？
授权管理处理的是许可状态、设备标识和操作记录，不涉及患者数据和诊疗数据。私有化部署时，授权服务运行在医院内网，数据不出院。
深盾科技·Virbox | 软件生命周期安全解决方案
Virbox LM 软件许可管理平台 —— 可信授权，驱动商业创新