IEC 60601-1-8: In 12 Schritten zurück zur Konformität

Die IEC 60601-1-8 ist eine Ergänzungsnorm zu der IEC 60601-1, der Norm mit den allgemeinen Festlegungen. Die IEC 60601-1-8 legt Anforderungen an Alarmsysteme sowie an deren Dokumentation und Prüfung fest. Damit gibt sie den Herstellern konkrete Handlungsleitungen bei der Spezifikation und beim Entwurf ihrer Medizinprodukte.

Allerdings müssen die Hersteller sicher mit der Vielzahl der Begriffe umgehen können, die die Norm definiert. Sie sollten zudem die erweiterten Anforderungen des Amendments 2 kennen und umsetzen, um die Konformität ihrer Produkte zu erreichen und damit Probleme bei Audits und Zulassungen zu vermeiden. Dies kann in zwölf Schritten gelingen.

1. IEC 60601-1-8: Um was es geht

a) Alarme – eine Frage von Leben und Tod

Alarme sind oft die letzte Möglichkeit, um Schäden von Patienten, Anwendern und Dritten abzuwenden.

• Das Beatmungsgerät alarmiert das Pflegepersonal, weil der Beatmungsschlauch verlegt ist.
• Die Dialysemaschine warnt, wenn die Gefahr besteht, dass der Patient verblutet.
• Die Infusionspumpe warnt vor einem leergelaufenen Medikationsreservoir.
• Das Monitoring-System auf der Intensivstation alarmiert bei einem Herzstilltand das Pflegepersonal in deren Überwachungsraum.

Alarme signalisieren somit, dass eine potenzielle oder tatsächliche Gefährdungssituation (Patient, Bediener, Gerät) vorliegt, für die die Aufmerksamkeit oder eine Reaktion des Bedieners erforderlich ist. Da die Höhe des Schadensausmaßes in der Regel einen zeitlichen Verlauf hat, schaffen Alarme den notwendigen Handlungsspielraum, um einen schweren Schaden zu vermeiden.

Alarme sind somit Maßnahmen zur Reduktion des Risikos (in dem Fall der Wahrscheinlichkeit). Die Wirksamkeit der Alarme muss daher im Rahmen der Usability-Bewertung nachgewiesen werden (siehe Abschnitt 4 e)).

Daher müssen die Risiken minimiert werden, die entstehen, wenn diese Alarme

• nicht ausgelöst werden,
• nicht wahrgenommen (z. B. nicht gehört oder gesehen) werden,
• falsch verstanden werden,
• ignoriert werden oder
• sogar zu weiteren Risiken wie Nutzungsfehlern führen.

Die IEC 60601-1-8 ist angetreten, um genau diese Risiken zu minimieren und dazu beizutragen, Alarme zu einer möglichst wirksamen Maßnahme zur Risikokontrolle zu machen.

b) Anwendungsbereich der IEC 60601-1-8

Die IEC 60601-1-8 ist eine Ergänzungsnorm zur IEC 60601-1. Damit wendet sie sich ebenfalls an medizinisch elektrische (ME) Geräte und Systeme aus ME-Geräten.

This collateral standard specifies requirements for ALARM SYSTEMS and ALARM SIGNALS in ME EQUIPMENT and ME SYSTEMS.

IEC 60601-1-8

Beispiele für ME-Geräte sind die oben genannten Medizinprodukte: Beatmungsgerät, Dialysemaschine, Infusionspumpe, Monitoring-System bzw. verteiltes Alarmsystem. Diese lassen sich klassifizieren in:

• Therapeutische (lebenserhaltende) Systeme
• Systeme zur Überwachung des Gesundheitszustands
• Verteilte Alarmsysteme

Die Norm bezieht sich somit auf diejenigen Teile von ME-Geräten (ALARM SYSTEM), die Alarmzustände erkennen und Alarmsignale generieren, also alle Zustände, die das unmittelbare Handeln des Bedieners erfordern.

Die Norm schließt Nicht-ME-Geräte in verteilten Alarmsystemen ein, z. B. die Standalone-Software einer Patientenüberwachungszentrale oder abgesetzte Alarmanzeigen. Sie nennt aber keine technischen Anforderungen an die Funktionsweise solcher Alarmsysteme.

Hersteller von Standalone-Software, die auf allgemein verfügbaren Geräten läuft (Bsp. Smartphones, Pager) und Alarmzustände weiterleiten oder entfernt anzeigen, sollten die Norm ebenfalls in Betracht ziehen.

c) Die Anforderungen der Norm im Überblick

Die IEC 60601-1-8 legt die Anforderungen für Alarme fest:

• Umgang mit der Dringlichkeit von Alarmen (Priorität)
• Wie Alarme signalisiert werden (visuell, akustisch)
• Alarmverhalten von Alarmzustände (Verzögerung, Unterdrückung etc.)
• Kennzeichnung und Begleitpapiere
• Prüfung und Validierung von Alarmsystemen

Hingegen legt die Norm nicht fest:

• Notwendigkeit eines Alarmsystems (ergibt sich aus der Risikoanalyse oder den Partikularnormen)
• Umstände, die einen ALARMZUSTAND auslösen
• Zuordnung von Alarmen zu Prioritäten (erfolgt teilweise in den Partikularnormen)
• Die Technik zur Erzeugung eines Alarms (z. B. Piezo oder Lautsprecher)

Dafür hilft die Norm mit Begriffsdefinitionen, die das 2. Kapitel dieses Artikels vorstellt.

d) Schnittstellen zu anderen Normen

Besonders bei verteilten Alarmsystemen sollten Hersteller und Betreiber weitere Normen betrachten. Die folgende Abbildung verschafft eine Übersicht.

2. Definitionen: Den Begriffsdschungel durchdringen

Die Norm definiert eine Vielzahl an Begriffen, deren Abgrenzung für den Laien schwierig erscheint; ihr Verständnis ist aber notwendig, um entscheiden zu können, wann welche Anforderung der Norm einzuhalten ist.

a) Alarme, Alarmsysteme, Alarmsignale, Alarmbedingungen und mehr

Den Begriff Alarm definiert die IEC 60601-1-8 nicht. Dafür unterscheidet sie zwischen Alarmsystemen und Alarmsignalen. Sie differenziert auch zwischen mehreren Typen von Alarmbedingungen.

Ein Alarmsystem ist folgendermaßen definiert:

Das, was man umgangssprachlich unter einem Alarm versteht, definiert die Norm als Alarmsignal.

Beispiele für Alarmsignale sind Töne und visuelle Hinweise wie blinkende Ampeln.

Ein Alarmsignal zeigt an, dass ein Problem vorliegt. Die Norm nennt dies eine Alarmbedingung (alarm condition).

Die IEC 60601-1-8 unterscheidet zwischen physiologischen und technischen Alarmbedingungen.

Ein Herzstillstand, eine zu niedrige Sauerstoffsättigung oder ein Blutdruckabfall sind Beispiele für solche physiologischen Alarmbedingungen.

Hingegen ist eine technische Alarmbedingung durch ein technisches Problem des überwachten Geräts verursacht.

Zu den Beispielen für diese technischen Alarmbedingungen zählen:

• Fehler oder Ausfall einer klinischen Funktion oder einer technischen Fähigkeit wie Blut zu pumpen, Gase zu detektieren, Energie in der definierten Menge an den Körper abzugeben
• Anzeige, dass ein wichtiger Messwert verfügbar ist, der sofortiges klinisches Handeln erfordert
• Batteriekapazität einer Insulinpumpe fällt unter einen festgelegten Grenzwert

b) Alarmsignale vs. sonstige Signale vs. Hinweise

Neben den Alarmsignalen gibt es noch weitere Signale:

• Informationssignale
• Erinnerungssignale
• Hinweise/Advisories

Beispiel für Informationssignale:

• Tonhöhe bei der Sauerstoffsättigung
• EKG-Kurve mit der zugehörigen Herzfrequenz
• Ein Hinweis ist eine Art Informationssignal
• Eine Signallampe (Indicator lights) für die Aktivität der Röntgenstrahlung
• Warn- und Kontrollleuchten (warning and caution lights) zählen ebenfalls zu den Informationssignalen

Informationssignale beziehen sich auf den Patienten, die Geräte oder den Arbeitsablauf. Sie stellen aber keine Indikatoren für einen möglichen Schaden dar und erfordern prinzipiell nicht die Handlung des Bedieners, aber dessen Aufmerksamkeit. Eine Alarmbedingung erfordert hingegen die Handlung des Bedieners sowie die Unterbrechung seiner Arbeit.

Das Amendment 2 führt einen Sonderfall dieser Informationssignale ein, die Hinweise (advisories).

Beispiele für Hinweise:

• Eine Erinnerung, dass die nächste Blutentnahme in etwa zwei Stunden erforderlich ist
• Die Batteriezustandsanzeige zeigt die verbleibende Batterieladung und weist den Bediener auf einen Arbeitsschritt hin, der in den nächsten Stunden durchgeführt werden muss, für den er aber noch keine ALARMBEDINGUNG für den Zustand der Batterie erhalten hat.

Die Abgrenzung der Alarme von Hinweisen ist oft nicht einfach und manchmal fließend. Eine Faustformel kann hier helfen:

Hersteller werden oft kreativ bei der Wortwahl, um nicht die Anforderungen der Norm erfüllen zu müssen. Jedoch ist der Zweck maßgebend und nicht der Begriff. Das erwähnt die Norm auch in dem neuen Amendment.

Schließlich definiert die IEC 60601-1-8 noch das Erinnerungssignal:

c) Alarm vs. Alarm?!?

Die englische Sprache unterscheidet die Begriffe “Alarm“ und „Alert“. Beides wird im Deutschen meist mit „Alarm“ übersetzt. Dabei ist es besonders wichtig, beides genau zu unterscheiden.

Mit dem Begriff Alert verbinden die Autoren die Alarme und die Advisories. Damit möchte die Autoren klarmachen, dass die Verwendung des Begriff Alerts anstelle von Alarm die Anwendbarkeit der IEC 60601-1-8 nicht per se ausschließt.

Die IEC 60601-1-8 fordert nur, dass Alarme eindeutig abzugrenzen sind, um Verwechslungen auszuschließen. Anforderungen an die Darstellung von Hinweisen oder Informationen befinden sich in der Basisnorm IEC 60601-1 oder in den Partikularnormen IEC 60601-2-X.

d) Signale vs. Signalanzeige

Die IEC 60601-1-8 verwendet den Begriff der Indicator Lights (Signallampen). Sie definiert den Begriff aber nicht.

Signallampen (Anzeigeleuchten) sind eine visuelle Ergänzung zu den akustischen Alarmen oder dienen als Hinweis für eine bestimmungsgemäße Gefährdungssituation (nicht Fehler). Beispiele dafür sind:

• Aktives HF-Signal
• Aktives Röntgengerät
• Heiße Fläche, die nicht berührt werden soll (nicht leuchtende Heizungen)

Alarmbezogene Signallampen nennt die IEC 60601-1:AMD2 Alarm Indicator Lights. Diese Signallampen müssen immer blinken. Hingegen müssen hinweisende Signallampen konstant leuchten (siehe Tabelle 2, IEC 60601-1:AMD2).

Die IEC 60601-1:AMD2 zählt die hinweisenden Signallampen zu den Informationssignalen (siehe Tabelle 2 und Blogartikel AMD2).

Signallampen, die als Warn- und Sicherheitshinweise verwendet werden (siehe Beispiele), werden wie Sicherheitszeichen betrachtet. Die Anforderungen an die hinweisenden Signallampen befinden sich daher in der Basisnorm IEC 60601-1 und einigen Partikularnormen. Die Anforderungen an die Alarm-Signallampen (Blinkfrequenz) befinden sich in der IEC 60601-1-8.

e) Zusammenfassung und Beispiele

Eine Herz-Lungen-Maschine soll als Beispiel dienen, um die korrekten Begrifflichkeiten den verschiedenen Informationsarten zuzuweisen.

Art der Information	Betrifft, Folge, Gefährdung	Begriff
Luft im System	Luft kann zu Embolie führen	Technischer Alarm
Hinweis: Nächster Wechsel des Oxygenators in 4 h	Klinisches Management	Information (kein Alarm)
Ausfall des Luftblasendetektors	Nicht erkannte Luftblasen, Embolie	Technischer Alarm
Batterieanzeige Restkapazität	Klinisches Management	Information
Batterie tief	Gerät fällt aus	Technischer Alarm
Anzeige Sauerstoffsättigung	Aufmerksamkeit des Bedieners	Information
Anzeige Bluttemperatur	Aufmerksamkeit des Bedieners	Information
Unterschreiten der Grenztemperatur	Möglicher Schaden	Physiologischer Alarm
Ausfall Alarmsystem	Keine Überwachung	Technischer Alarm
Anzeige Stromausfall	Gerät fällt aus, keine Funktion	Technischer Alarm
Rot markierter Bereich der Drehzahlanzeige		Information
Anzeige, dass die eingestellte Drehzahl für einen Patienten zu hoch ist	Falls ein Schaden daraus resultiert:	Alarm
Anzeige, dass die eingestellte Drehzahl für einen Patienten zu hoch ist	Falls kein Schaden daraus resultiert:	Information
Ist-Drehzahl weicht vom eingestellten SOLL ab	Nicht erkennbarer Fehler, kann zum Schaden führen	Technischer Alarm
Heiz-Kühl-Einheit in Betrieb		Information (grüne Signallampe)

3. Anforderungen der IEC 60601-1-8

a) Anforderungen an das Produkt inkl. Erzeugung der Alarme

Die Norm legt spezifische Anforderungen an die Alarme fest. Dazu zählen:

• Lautstärke
• Tonhöhen
• Dauer
• Wiederholungen
• Prioritäten

Das Amendment 2 liefert sogar konkrete Beispiele für Wellenformen (s.u.).

b) Anforderungen an die Dokumentation

Die IEC 60601-1-8 macht den Herstellern konkrete Vorgaben auch bei der Dokumentation inklusive Begleitdokumentation.

Zu dokumentieren	Typischer Ort
Liste der Risiken, für die ein Alarm die Maßnahme zur Risikobeherrschung ist	Risikomanagementakte
Technische Funktionsbeschreibung (Algorithmen, Auslegung, Zustände etc.) der Alarme	System Requirements Specification, Systemarchitektur
Die Priorisierung der Alarme (in erster Linie nach Schwere und Schnelligkeit des Auftretens eines Schadens)	System Requirements Specification
Faktoren für die Empfindlichkeit eines Alarms (Sensitivität, Spezifität)	System Requirements Specification
Offenlegung von Algorithmen und Funktionsweise des Alarmsystems	Gebrauchsanweisung

c) Anforderungen an die Prüfung

Auch den Prüfern (z. B. eines Prüflabors) macht die IEC 60601-1-8 konkrete Vorgaben. Die Prüfungen müssen umfassen:

• Vollständigkeit der Gebrauchsanweisung
• Funktion des Alarmsystems
  • Sichtbarkeit des Alarmsignals
  • Hörbarkeit des Alarmsignals (Lautstärkepegel, zeitliche Merkmale: Tonfolgen, Frequenzen, Pausen etc.)
  • Korrekte Funktion des Alarmverhaltens (Alarm Aus, Alarmunterdrückung etc.)
  • Funktion unter bestimmten Umständen (EMV, Bedienung etc.)
• Risikomanagementakte (Kriterien für die Alarmierung, Fehlfunktionen im Alarmsystem)
• Korrekte Funktion und Kennzeichnung der Bedienelemente
• Technische Beschreibung des Alarmsystems
• Validierung des Alarmsystems (Usability-Akte)

4. Das Amendment 2 (AMD2:2020)

a) Hintergrund

Die IEC 60601-1-8 wurde letztmalig im Jahr durch das Amendment 1 geändert. Man spricht auch von der „Version 2.1“. Seither gab es weitere Änderungsvorschläge, von denen die EU-Kommission 20 als dringend eingestuft hat. Diese sind 2020 in das Amendment 2 eingeflossen, das als „Version 2.2“ bezeichnet wird.

Alle verbleibenden Punkte („long list“) sollen erst in einer dritten Ausgabe berücksichtigt werden, die für 2024 oder später geplant ist.

b) Die wichtigsten Änderungen im Überblick

Bereits der Umfang von 62 Seite lässt vermuten, wie wichtig und umfangreich die Änderungen sind. Dazu zählen:

1. Update der datierten Verweise auf referenzierte Normen
2. Textkorrekturen
3. Neue und geänderte Definitionen
4. Adressieren der Risiken im Zusammenhang mit Alarmüberdrüssigkeit oder Alarmmüdigkeit
5. Verbesserte Techniken für die Erkennbarkeit von akustischen Alarmen
6. Abgrenzung der Begriffe Alarm, Hinweis, Warnung und Information
7. Korrigierte Prüfung für die Messung des Schalldrucks
8. Verteilte Alarmsysteme (Distributed Information Systems): Abschnitt vollständig überarbeitet bzw. eingefügt
9. Neue graphische Alarmsymbole

Auf einige dieser Punkte gehen die folgenden Abschnitte ein.

c) Alarmmüdigkeit und Alarmerkennbarkeit (Punkt 4)

Hintergrund und Problemstellung

Alarmsignale verbessern die Erkennbarkeit einer Alarmsituation (Gefährdungssituation) und haben somit einen bedeutenden Einfluss auf das klinische Management und das Patientenrisiko. Alarmsignale sind generell gekennzeichnet durch deren Präsentation (akustisch, visuell, akustisch + visuell), verbunden mit der Aufgabenanforderung (Priorität).

Die Autoren haben in verschiedenen Untersuchungen zwei Probleme im Zusammenhang mit den Alarmen identifiziert:

1. Alarmmüdigkeit
2. Schlechte Alarmerkennbarkeit bzw. -unterscheidbarkeit akustischer Signale

Alarmmüdigkeit

Die Alarmmüdigkeit wird begünstigt durch

• Alarmschwemme (zu viele Alarme),
• nervige, störende Alarme oder
• falsch positive Alarme.

Die Norm möchte das Bewusstsein der Hersteller für das bekannte Problem der Alarmmüdigkeit schärfen und verlangt, dass Hersteller den Effekt bei der Gestaltung der Benutzerschnittstelle Alarme berücksichtigen.

Alarme werden in der Norm generell als Teil einer Risikomaßnahme betrachtet. Ein positives Nutzen-Risiko-Verhältnis wäre somit gegeben, wenn ein Alarmsystem nur klinisch relevante Alarmsituationen anzeigt, die eine Handlung innerhalb einer angemessenen Zeit erfordern. Die Norm nennt diese Alarme „clinically actionable“.

Die Wirksamkeit der Risikomaßnahme darf also nicht durch zu viele oder falsche Alarme reduziert werden. In diesem Zusammenhang führt die Norm die folgenden neuen Begriffe ein:

• ALARM FATIGUE (3.39)
• ALARM FLOOD (3.40)
• NUISANCE ALARM SIGNAL (3.50)
• CLINICALLY NONACTIONABLE (3.45)
• CLINICALLY ACTIONABLE (3.44)

Die Norm nennt keine konkreten Anforderungen an Technologien wie intelligente Alarmsysteme oder an die Genauigkeit und Korrektheit von Alarmen. Hersteller müssen diese Aspekte vielmehr beim Entwurf des Alarmsystems (Spezifikation der Leistungsfähigkeit) und in der Risikoanalyse berücksichtigen.

Alarm	Bedeutung	Risiko	Möglichkeiten
False Negativ	Kein Alarm, wenn eine Alarmsituation besteht	Bediener bemerkt kritischen Zustand eines Patienten nicht oder zu spät. Kann zu Frustration und verringerter Benutzerakzeptanz führen.	Grenze zwischen False Negative und True Negative spezifizieren
False Positiv	Alarm, wenn keine Alarmsituation besteht	Sind klinisch nicht relevant und störend (NUISANCE ALARM SIGNAL) und führen zu verzögerten, unnötigen, unangemessenen oder keinen Benutzeraktionen und verschlechtern die Aufmerksamkeit (ALARM FATIGUE). Benutzer stellt Alarme u. U. ab.	Verbesserte Algorithmen, Verzögerung von Alarmen
True Positiv	Alarm, wenn eine Alarmsituation besteht	Zu viele (Stör)Alarme (ALARM FLOOD), die kein unmittelbares Handeln erfordern (CLINICALLY NONACTIONABLE), weil die Priorität falsch eingeschätzt ist oder der Anwender sich der Situation bereits bewusst ist, können zu unangemessenen Benutzeraktionen führen oder die Aufmerksamkeit verschlechtern (ALARM FATIGUE).	Verbesserte Algorithmen, mit Anwendern die Relevanz der Alarme besprechen (Nutzen-Risiko betrachten)
True Negativ	kein Alarm, wenn keine Alarmsituation besteht	Keine

d) Schlechte Alarmerkennbarkeit akustischer Signale

(Punkt 5 der Aufzählung in Abschnitt 4 b))

Akustischer Signale sind oft nicht ausreichend wirksam, weil sie entweder

• schwer differenzierbar und verwirrend sind oder
• sich nur schwer mit einer kritischen Situation in Verbindung bringen lassen.

Für die Erkennbarkeit einer Alarmsituation sind die akustischen Alarmsignale der erste und oft einzige Indikator. Dementsprechend haben die akustischen Alarmsignale in der Norm einen besonderen Stellenwert und müssen als Teil der Benutzerschnittstelle (auditive Schnittstelle) auch die Anforderungen an die Gebrauchstauglichkeit erfüllen.

Relevante Kriterien für die Gebrauchstauglichkeit von akustischen Signalen sind:

• Erlernbarkeit
• Lokalisierbareit
• Hörbarkeit
• Erkennbarkeit (Selbstbeschreibungsfähigkeit)
• Individualisierbarkeit

Für die Kodierung der Information (Erkennbarkeit) in einem Alarmsignal kennt die Norm bisher melodische Tonfolgen (siehe Annex F).

In verschiedenen Untersuchungen haben die Autoren festgestellt, dass die melodischen Alarmsignale (Annex F) die oben genannten Kriterien für Gebrauchstauglichkeit nur noch bedingt erfüllen und nicht dem Stand der Technik (und Wissenschaft) entsprechen.

Wissenschaftliche Untersuchungen in anderen Bereichen (Avionik, Maschinenbau) zeigen, wie sich effektivere gebrauchstaugliche akustische Schnittstellen gestalten lassen. Das hat zur Entwicklung weiterer Techniken geführt, z. B.:

• Auditory Icons
• Auditory Pointer

Der Grundgedanke besteht darin, eine Verbindung zwischen einem akustischen Signal und einer bekannten Realität zu schaffen, zum Beispiel ein Hustgeräusch, das gefährliche Kohlenmonoxidwerte signalisiert.

Unser Gehör ist evolutionstechnisch in der Lage, komplexe Geräusche zu differenzieren und kognitiv zu verarbeiten.

Die Auditory Icons und Auditory Pointer haben die Autoren im Amendement 2 daher eingeführt und werden im Folgenden kurz vorgestellt.

Auditory Icons

„sound that creates a strong semantic link to the category it represents“

Auditory Icons haben eine viel stärkere Verbindungen zu der Alarmbedingung als abstrakte Klänge, sind leichter zu lokalisieren und resistenter gegen Maskierung. Die Auswahl spezifischer AUDITORY ICONS für spezifische Funktionen bedeutet, dass Verwechslungen mit Geräuschen, die in einer klinischen Umgebung natürlich vorkommenden, vermieden werden.

Die Autoren sind sogar derart von der Anwendbarkeit der Auditory Icons überzeugt, dass sie behaupten, dass ein Anwender, der Auditory Icons nicht erkannt hat, auch die herkömmlichen Alarmsignale nicht erkannt hätte.

Tabelle G.4 zeigt eine Liste mit bereits validierten Auditory Icons für die häufigsten Alarmbedingungen.

Tabelle G.4 – Characteristics of the AUDITORY ICON

SOURCE of the ALARM CONDITION	AUDITORY ICON metaphor	AUDITORY ICON description	File name of AUDITORY ICON
General	none	none	—
Cardiovascular	“ Lup-dup“ ; heartbeat sound	A stylized, square/triangle wave-based “ heartbeat“ sound with no discernible frequency. Six PULSES formed from three 2- PULSE “ lup-dup“ sequences	cardiovascular.wav
Artificial perfusion	Liquid disturbance, water churning, bubbles	Two approximately 1 s sequences of a strong water bubbling sound, separated by silence	perfusion.wav
Ventilation	A single inhale followed by an exhale	A 1 s inhaling sound (like white noise), followed by a 0,5 s gap, followed by a slow exhale with a long tail	ventilation.wav
Oxygenation	Irregular, stylized dripping/saturation	Stylized irregular temporal pattern with some discernible pitch; a two-tone sequence superimposed on the six-tone pattern	oxygenation.wav
Temperature/energy delivery	Whistling kettle	Complex sound including high frequency harmonics, rising slowly over approximately 2 s	temperature.wav
Drug or fluid delivery/administration	Shaking pill bottle	Two 0,8 s sequences of a 4-rattle shaking sound	drug_delivery.wav
Equipment or supply failure	Starting up a motor that shuts down suddenly	Spectrally complex sound of a motor revving up (increasing in frequency) over approximately 1,2 s then an abrupt stop tailing off for approximately 0,5 s	failure.wav

Testen Sie selbst, ob sie die Alarme zuordnen könnten. Die Norm liefert die Beispiele gleich mit.

Auditory Pointer

„sound that attracts attention, denotes the priority and aids in localization of the COMMUNICATOR“

Auditory Pointer „zeigen“ auf die Alarmquelle (Art des Geräts und welcher Patient) und geben die Priorität bzw. Kritikalität (hoch, mittel, tief) des Alarmzustands an. Ein auditiver Zeiger bildet räumliche Parameter auf akustische Parameter ab.

In den Tabelle G.1 und G.2 sind die Spektral-, Amplituden- und Zeitvariablen für die HOHE PRIORITÄT, MITTLERE PRIORITÄT und NIEDRIGE PRIORITÄT angegeben.

Die Norm nennt dann Tonparameter, mit denen sich die Dringlichkeit, Hörbarkeit, Lokalisierbarkeit modellieren lassen.

• Dringlichkeit: Tonhöhe, Lautstärke, Wiederhohlfrequenz, Harmonie
• Hörbarkeit: Frequenzbereich, Amplitude, Oberwellen
• Lokalisierbarkeit: Komplexität des Tones

Auch hierfür liefert die ISO die Beispiele gleich mit.

e) Validierung der Alarme

(siehe 4 c) und 4 d))

Die Vorschläge der Norm aus den Tabellen G.1 bis G.5 wurden bereits durch die Autoren klinisch validiert und müssen nicht erneut geprüft werden. Das betrifft auch die weiterhin gültigen Alarmsignale gemäß Tabellen 3 und 4.

Die Autoren haben die Auditory Icons (Annex G) gegenüber den melodischen Alarmsignalen (Annex F) mit Anwendergruppen in einer klinischen Umgebung getestet. Die Auditory Icons waren eindeutig überlegen.

Dieser Artikel zeigt ein Beispiel für ein mögliches Testsetup für eine formative oder summative Usability-Bewertung.

Wenn Sie hingegen eigene Alarmsignale, Auditory Icons und Pointer entwickeln, müssen Sie die Wirksamkeit anhand der folgenden Kriterien in einer echten oder simulierten klinischen Umgebung validieren.

• Erkennungsgeschwindigkeit
• Erkennungsgenauigkeit
• Lokalisierbarkeit
• Aufgabenanforderung (Priorität niedrig, hoch)
• Erlernbarkeit

Die Norm liefert im Annex H gleich ein Testframework für die summative Bewertung und Akzeptanzkriterien für die Aspekte Erlernbarkeit, Lokalisierbarkeit und Erkennbarkeit .

5. Was Sie jetzt tun können

a) 12 Schritte zur Konformitätsprüfung

Insbesondere Hersteller, die ihre Systeme schon länger herstellen und vertreiben und nach 2012 (letzte Änderung der IEC 60601-1-8) keine Überprüfung zum Stand der Technik vorgenommen haben, sollten ihre Systeme auf Konformität prüfen und einen PMS-Bericht erstellen. Dabei sind die folgenden 12 Schritte hilfreich:

1. Auflisten aller Anzeigen und Hinweise (auch Warnsymbole)
2. In der Risikoanalyse prüfen, welche Anzeigen und Hinweise als Risikomaßnahme definiert sind und auch im Sinne der Norm als Risikomaßnahme betrachtet werden müssen
3. Auf der Basis von Abschnitt 2 die Anzeigen klassifizieren als
   1. Alarmsignal (Patient, technisch) oder
   2. Informationssignal (schließt Advisory ein) oder
   3. Indicator lights
4. Feststellen, welche Anzeigen sich nicht eindeutig abgrenzen lassen oder falsch zugeordnet sind
5. In Abhängigkeit von Abschnitt 4 für diese Anzeigen den Zweck bzw. die Funktion eindeutig definieren
6. Bei den Alarmen prüfen, ob die Priorität der Alarme für die geforderte Dringlichkeit, Reaktionszeit angemessen ist und die Rangfolge (Hoch, Mittel, Tief) eingehalten wird.
7. Einen Testplan und Testspezifikationen für die Gebrauchstauglichkeit von selbst entwickelten Alarmsignalen erstellen (siehe Kriterien in IEC 60601-1-8: AMD2, Anhang H)
8. Verifizieren, ob die Anforderungen an die visuelle Darstellung aller Anzeigen gemäß IEC 60601-1:AMD2 (Table 2) erfüllt sind
9. GAP-Analyse und Umsetzungsplan dokumentieren
10. Prüfen, ob die Architektur geeignet ist, Alarmquelle und Anzeige (Communicator) fachlich zu trennen. Damit haben Sie die Möglichkeit, die Alarmsets gegeneinander auszutauschen.
11. Prüfung der alarmbezogenen Anforderungen der IEC 60601-1 und IEC 60601-1-8 in einem Labor wiederholen
12. PMS-Plan mit Feedback zu den Alarmen ergänzen oder ggf. Logdaten definieren (Alarmlogging wird von der Norm bereits verlangt)

b) Zeitschiene für die Umsetzung

Europa

Das Amendment 2 steht in der EU auf der Liste der Normen, die bis Mai 2024 überarbeitet und harmonisiert werden sollen (siehe standardisation request-MDR-IVDR).

Gemäß AMD 2, Abschnitt 6.3.3.1 d) dürfen die bisher empfohlenen melodischen Alarme weiterhin verwendet werden. Es ist allerdings die Absicht der Autoren, die neuen ALARM-SIGNALE aus Anhang G bei der nächsten Änderung oder Ausgabe der IEC 60601-1-8 verbindlich zu machen.

Der späteste Termin für Harmonisierung (EN 60601-1-8:2007+AC:2010+A11:2017+prA2) ist für den 27. Mai 2024 geplant. Die Version 3.0 der Norm, mit der die neuen Alarmsignale verbindlich werden sollen, ist für 2024 geplant.

Ob und bis wann die Version 3.0 der Norm harmonisiert wird, ist demnach noch offen, aber nicht innerhalb der nächsten drei Jahre zu erwarten.

Rest der Welt

Markt	Aktueller Stand	Übergangsperiode	Bemerkung
FDA	IEC 60601-1-8 Edition 2.1 2012	17. Dezember 2023	FDA recognition of IEC 60601-1-8 Edition 2.1 2012-11 [Rec# 5-76] will be superseded by recognition of IEC 60601-1-8 Edition 2.2 2020-07 CONSOLIDATED VERSION [Rec# 5-131]. FDA will accept declarations of conformity, in support of premarket submissions, to [Rec # 5-76] until December 17, 2023. After this transition period, declarations of conformity to [Rec # 5-76] will not be accepted.
Anvisa	ABNT NBR IEC 60601-1-8:2014	keine Angabe	keine Angabe
China NMPA	YY 0709-2009 (IEC 60601-1-8:2003)	keine Angabe	keine Angabe
Canada CSA	CAN/CSA C22.2 NO. 60601-1-8:08 + AMD1:2012	keine Angabe	keine Angaben
Japan JIS	JIS T 60601-1-8:2012	keine Angaben	keine Angaben

6. Fazit

Reihenfolge der risikominimierenden Maßnahmen beachten

Der erste Impuls vieler Hersteller besteht darin, Risiken durch Alarme und Hinweise zu beherrschen. Dabei schreiben MDR und IVDR die Reihenfolge vor, in der solche Maßnahmen zu bestimmen sind. An erster Stelle steht das inhärent sichere Design.

Doch wenn keine andere Wahl bleibt, als mit Alarmen und anderen „Signalen“ die Risiken zu beherrschen, müssen diese Maßnahmen wirksam sein. Daher ist eine Norm wie die IEC 60601-1-8 hilfreich, weil sie konkrete Vorgaben dazu macht, wie diese Alarme und Signale zu gestalten sind.

Stand der Technik beachten

Diese Vorgaben sind keine Konstanten, sondern müssen dem Stand der Technik entsprechen. Daher ist es zu begrüßen, dass die Autoren der IEC 60601-1-8 mit dem zweiten Amendment diesem Stand der Technik folgen. Damit tragen sie zur Sicherheit von Medizinprodukten bei.

Auch wenn der Anwendungsbereich der IEC 60601-1-8 auf Medizinprodukte wie ME-Geräte beschränkt ist, können die Vorgaben dieser Norm auch bei anderen Medizinprodukten dienlich sein.

Jetzt handeln

Hersteller sollten sich sogleich auf den Weg machen, die Konformität mit dem zweiten Amendment zu prüfen. Die Umsetzung der zwölf oben geannten Punkte ist dabei hilfreich.

---

Das Johner Institut unterstützt Hersteller dabei, sichere, leistungsfähige und wirksame Medizinprodukte zu entwickeln, die die Anforderungen der IEC 60601-1-8:AMD2 erfüllen. Nehmen Sie Kontakt auf (z. B. über das Kontaktformular) um zu erfahren, wie Sie schnell und sicher die Konformität Ihrer Produkte prüfen, diese ggf. wiederherstellen und Ihre Analyse dokumentieren können. Das wird auch Ihr Auditor zu schätzen wissen.