Closed-Loop-Systeme bei Medizinprodukten

Medizinprodukte basieren zunehmend auf Closed-Loop-Systemen. Diese „geschlossenen Regelsysteme“ finden bereits in der Medizinprodukteverordnung MDR Erwähnung.

Sie erfahren in diesem Artikel, was Closed-Loop-Systeme sind, wo sie in der Medizin zum Einsatz kommen und welche regulatorischen Anforderungen sie erfüllen müssen. Der Beitrag verrät Ihnen auch, wie Sie beim Kauf der Norm IEC 60601-1-10 einige Hundert Euro sparen können.

1. Ziele von geschlossenen Regelsystemen (Closed-Loop-Systeme)

Closed-Loop-Systeme haben das Ziel, eine Regelgröße auf einem definierten Wert (Führungsgröße, Sollwert) zu halten, obwohl eine Störgröße das System beeinflusst.

Beispielsweise soll die Raumtemperatur eines Zimmers (Regelgröße) auf einem bestimmten Wert (Führungsgröße) gehalten werden, obwohl die Umgebungstemperatur das Zimmer abwechselnd aufheizt oder abkühlt (Störgröße).

Das besondere Merkmal eines geschlossenen Regelkreises bei ME-Geräten ist die Messung einer physiologischen Variablen (Regelgröße), die dazu dient, die Zufuhr von Energie oder Stoffen (über ein Stellglied) anzupassen, um die physiologische Variable auf ein Ziel zu steuern oder zu halten.

Die kanadischen Behörden definieren Closed-Loop-Systeme wie folgt:

Diese Definition ist jedoch nicht präzise:

• Es muss klar sein, dass das Gerät eine Krankheit nicht nur erkennen und behandeln kann. Vielmehr muss diese Behandlung auf Basis der Erkennung erfolgen.
• Bei einem „echten“ Closed-Loop-System würde der Zyklus Messen – Handeln – Messen mehrfach durchlaufen. Das scheint bei dieser Definition nicht zwingend vorausgesetzt zu sein.

Eine bessere Definition liefert die FDA (weiter unten in Kapitel 4.b). Zunächst jedoch zurück zur Fuktionsweise eines Regelkreises.

2. Funktionsweise von Closed-Loop-Systemen

a) Einführung

Geschlossene Regelsysteme nutzen die Regelgröße (Ist-Wert; in obigem Beispiel die tatsächliche Zimmertemperatur), um deren Differenz von der Führungsgröße zu bestimmen. Diese Differenz versucht ein Regler zu minimieren. Dazu hat er die Möglichkeit, eine Stelleinrichtung (auch Stellglied genannt) über eine Steuergröße zu beeinflussen. Im Fall unserer Heizung sendet der Regler eine Nachricht an das Ventil. Dadurch verändert sich die Ventilöffnung (Steuergröße) und damit die Menge des heißen Wassers im Zulauf des Heizkörpers.

b) Typen an Reglern

Abhängig von den Anforderungen an die Güte der Regelung und abhängig von den technischen und finanziellen Möglichkeiten wählt man unterschiedliche Typen von Reglern.

Zwei- und Mehrpunkt-Regler

Zweipunkt-Regler zählen zu den primitivsten Typen von Reglern. Bei ihnen kennt die Stellgröße nur zwei Einstellungen, z. B. „ein“ und „aus“. Zweipunkt-Regler werden z. B. eingeseeztn, um den Füllstand von Gefäßen zu regeln. Wird ein gewisser Füllstand (die Regelgröße) unter- oder überschritten, schaltet eine Pumpe ein oder aus.

Bei Mehrpunktreglern gibt es entsprechend nicht nur zwei „Schaltstufen“, sondern mehrere.

P-Regler

Bei einem P-Regler ändert sich die Stellgröße proportional zur Regeldifferenz. Bei einer Heizung wäre – innerhalb gewisser Grenzen – die Ventilöffnung umso größer, je niedriger die Raumtemperatur im Vergleich zur Solltemperatur ist – und zwar proportional größer.

I-Regler

Die I-Regler betrachten nicht (nur) die Regeldifferenz, sondern deren Integral. Das heißt: Je länger die Regeldifferenz vorliegt, umso stärker greifen die Regler ein und ändern die Stellgröße entsprechend. Damit sind I-Regler die langsameren, dafür aber genaueren Regler.

Weitere Regler

Regelungstechniker unterscheiden viele weitere Typen, z. B. den D-Regler, sowie Kombinationen dieser Regler, z. B. die PI-, PD und PID-Regler. Eine Übersicht über Regler erhalten Sie hier.

Beispiele für geschlossene Regelsysteme

a) Technologie, Ökologie, Ökonomie

In der Technik, Ökologie und Ökonomie gibt es zahllose Beispiele für geschlossene Regelsysteme:

• Tempomat bei Autos
• Automatische Bewässerung von Blumenkästen
• Höhe des Wildbestands geregelt durch Abschuss und Hege
• Zinsanpassung zur Steuerung der Inflation

Besonders im letzten Fall werden die Herausforderungen deutlich, die Regler bei großen und unvorhersehbaren Störgrößen bewältigen müssen. Dies gilt insbesondere, wenn die Störgrößen selbst durch die Regelgröße beeinflusst werden.

b) Medizin

Der menschliche Körper ist ein hochkomplexes Steuerungssystem, das viele physiologische Parameter regelt. Dazu zählen u. a. die Körpertemperatur, die Herzfrequenz, die Atmung, der Blutzuckerspiegel, der pH-Wert oder die Pupillengröße der Augen.

Im Gegensatz zum einfachen Beispiel der Heizung muss der Körper viele Regelgrößen gleichzeitig beherrschen, die zudem abhängig voneinander sind und ständig geänderten Führungsgrößen genügen sollen. Beispielsweise hebt der Körper bei Krankheit die Führungsgröße Temperatur an (Fieber) oder erhöht bei Anstrengung den Sollwert für Atem- und Herzfrequenz.

c) Medizintechnik

Die Medizintechnik nutzt geschlossene Regelkreise in vielfacher Weise.

• Automatisierte Narkosesysteme
• Systeme zur Stabilisierung der Hämodynamik (des Blutdrucks)
• Neurostimulatoren
• Infusionspumpe für Muskelrelaxantien
• Herzschrittmacher

Dabei lassen sich drei wesentliche Typen unterscheiden:

1. Interne Regelkreise
   Interne Regelkreise zeichnen sich dadurch aus, dass es keine nach außen sichtbare Regelgröße gibt. Beispielsweise steuert ein Regelkreis einen Lüfter, um die Temperatur innerhalb des Geräts nicht über einen Maximalwert steigen zu lassen.
2. Externe „technologische“ Regelkreise
   Bei diesem Typ steuert der Regelkreis ein äußeres Verhalten des Medizinprodukts, typischerweise an einem Anwendungsteil. Zu den Beispielen zählen die Drehzahlsteuerung einer Knochenbohrmaschine oder der Strom bei einem HF-Chirurgiegerät, den das Gerät abhängig vom elektrischem Widerstand des Patienten steuert.
3. Externe „physiologische“ Regelkreise
   Diese Form von Regelkreisen steuert physiologische Parameter. Beispiele hierzu sind: Festlegung der Dosis eines Narkosemittels abhängig von der Narkosetiefe, der Ultrafiltrationsrate eines Dialysegeräts abhängig von der Menge des Bluts oder der Insulindosis einer (implantierbaren) Insulinpumpe abhängig vom Blutzuckergehalt des Patienten (Beispiel).

4. Regulatorische Anforderungen an Closed-Loop-Systeme

a) Anforderungen der MDR

Grundlegende Anforderungen

Weder die MDD noch die MDR gehen auf Closed-Loop-Systeme im Rahmen der grundlegenden Anforderungen bzw. grundlegenden Sicherheits- und Leistungsanforderungen ein. Die Anforderungen, die Sicherheit der Patienten nicht zu gefährden und nur vertretbare Risiken (gemessen am Nutzen) zu akzeptieren, gelten für alle Medizinprodukte.

Besonders für geschlossene Regelsysteme relevant ist die folgende Anforderung der MDR:

Diagnostische Produkte und Produkte mit Messfunktion werden so ausgelegt und hergestellt, dass auf der Grundlage geeigneter wissenschaftlicher und technischer Verfahren ausreichende Genauigkeit, Präzision und Stabilität für die Zweckbestimmung des Produkts gewährleistet sind. Der Hersteller gibt die Genauigkeitsgrenzen an.

MDR Anhang I 15.1

Alle Closed-Loop-Systeme basieren auf Messungen; viele haben auch Messfunktionen im Sinn der MDR.

Ebenfalls relevant sind die Vorgaben an Produkte, zu deren Bestandteilen programmierbare Elektroniksysteme gehören, und Software:

Produkte, zu deren Bestandteilen programmierbare Elektroniksysteme, einschließlich Software, gehören, oder Produkte in Form einer Software werden so ausgelegt, dass Wiederholbarkeit, Zuverlässigkeit und Leistung entsprechend ihrer bestimmungsgemäßen Verwendung gewährleistet sind. Für den Fall des Erstauftretens eines Defekts sind geeignete Vorkehrungen zu treffen, um sich daraus ergebende Risiken oder Leistungsbeeinträchtigungen auszuschließen oder sie so weit wie möglich zu verringern.

MDR Anhang I 17.1

Der Beweis der Wiederholbarkeit und Zuverlässigkeit stellt manche Hersteller von Closed-Loop-Systemen vor eine Herausforderung. Darauf kommt dieser Artikel weiter unten noch zu sprechen.

Klassifizierung: MDR Regel 22

Die MDR geht nur ein einziges Mal auf Closed-Loop-Systeme ein, nämlich mit den Klassifizierungsregeln in Anhang VIII . Regel 22 besagt:

Aktive therapeutische Produkte mit integrierter oder eingebauter diagnostischer Funktion, die das Patientenmanagement durch das Produkt erheblich bestimmt, wie etwa geschlossene Regelsysteme oder automatische externe Defibrillatoren, gehören zur Klasse III.

MDR Anhang VIII Regel 22

Diese Satz bedarf einiger Kommentare:

1. Unangemessene Klassifizierung
   Diese Regel macht Medizingeräte wie Dialysemaschinen und Beatmungsgeräte zu Klasse-III-Produkten. Ob das wirklich die Absicht der Kommission war, darf bezweifelt werden. Diese Klassifizierung wäre abwegig.
   
2. Missverständnis dessen, was ein Closed-Loop-System ist?
   Automatische externe Defibrilatoren (AID) sind nicht notwendigerweise Closed-Loop-Systeme – auch wenn sie „automatisch“ sind. Die AID bestimmen zwar automatisch das EKG-Signal des Patienten und entscheiden daraufhin, ob und welche Form der Defibrillation verwendet wird. Aber ein Feedback-Loop findet nicht statt. Es sei denn, das EKG-Signal war die Folge eines vorausgegangenen – offensichtlich nicht erfolgreichen – Versuchs.
   Man muss aus dem Text nicht schlussfolgern, dass der Gesetzgeber AID zur Klasse der geschlossenen Regelsysteme zählt. Aber ob er wirklich verstanden hat, was ein Closed-Loop-System ist, lässt sich diskutieren. Die Wahls eines Herzschrittmacher als Beispiel wäre nachvollziehbarer gewesen (Artikel dazu).
   
3. Es sind nicht alle geschlossenen Regelsysteme gemeint
   Die Kommission wünscht wahrscheinlich nicht, alle geschlossenen Regelsysteme in die Klasse III einzuteilen. Vielmehr – so die Vermutung – möchte sie nur die geschlossenen Regelsysteme einbeziehen, die wir weiter oben als „externe physiologische Regelkreise“ bezeichnet haben. Das lässt sich daraus schließen, dass eine diagnostische Funktion eingebaut – und wahrscheinlich Teil des Regelkreises – sein muss.
   
4. Integriert versus eingebaut
   Worin der Unterschied zwischen einer integrierten und einer eingebauten Funktion liegt, erschließt sich auch beim Lesen des englischen Textes („incorporated or integrated“) nicht unmittelbar.

b) Anforderungen der FDA an Closed-Loop-Systeme

Fast zwei Jahre nach dem Entwurf einer Leitlinie speziell für Medizinprodukte zu geschlossenen Regelkreisen hat die FDA die finale Version dieses Guidance Documents veröffentlicht.

Anwendungsbereich

Diese Leitlinie betrifft allerdings nur „physiological closed-loop controlled“ Medizinprodukte (PCLC-Produkte). Das sind Medizinprodukte, die alle der folgenden Bedingungen erfüllen:

• Die Produkte nutzen Sensoren, die physiologische Parameter messen.
• Sie verwenden Aktoren und Algorithmen, die, basierend auf den physiologischen Messwerten, physiologische Parameter steuern.
• Die Steuerung erfolgt über die Zuführung oder den Entzug von Energie oder Materialien (z. B. Medikamente, Flüssigkeiten, Gase).

Hersteller sollten diese Leitlinie in zwei Fällen beachten:

1. Zulassungen von Medizinprodukten nach PMN/510(k), De Novo, PMA und HDE
2. Damit verbundenen Q-Submission Meetings mit der FDA

Die FDA weist darauf hin, dass insbesondere für aktive Implantate wie Neurostimulatoren weitere Anforderungen zu berücksichtigen sind. Die Leitlinie soll keine Empfehlungen für die Anwendung des Machine Learnings geben.

Definition

Die FDA definiert die PCLC-Produkte:

Beispiele

Weiterhin nennt die FDA konkrete Beispiele für Produkte bzw. Funktionen, die als PCLC Technologie betrachtet werden können:

• Narkosegasgeräte, die automatisch den Anteil des eingeatmeten Narkosemittels als Reaktion auf eine Endtidalgasmessung steuert.
• Mechanische Beatmungsgeräte, das die Einstellungen (z. B. Anteil des eingeatmeten Sauerstoffs) als Reaktion auf eine Messung der Sauerstoffsättigung des Patienten automatisch anpasst.
• Automatische Insulinpumpen, die die Insulinabgabe auf der Grundlage eines Blutzuckerwertes steuern.
• Neu: Hypo- und Hyperthermie-Systeme, die die Temperatur automatisch in Abhängigkeit von der am Körper des Patienten gemessenen Temperatur anpassen.

Die FDA empfiehlt zudem, dass Hersteller die Pre-Submission Meetings oder Anfragen nutzen sollen, wenn sie unsicher sind, ob ihre klinische Funktion ein PCLC System ist. Die Behörde liefert z. B. detailliertere Rückmeldungen zum klinischen Studiendesign.

Die FDA referenziert ebenfalls die IEC 60601-1-10 Ed. 1.2:2020, die im Anhang A weitere Beispiele für PCLC Systeme nennt.

Wichtigste Anforderungen

Die FDA empfiehlt den Herstellern, die technischen Komponenten und Spezifikationen seines PCLC-Geräts wie in der IEC 60601-1-10:2020 beschrieben zu beschreiben (z. B. Abschnitt 8.2.2 „Gerätespezifikationen“).

Die FDA formuliert die Anforderungen an PCLC-Geräte in den Kapiteln V bis VII.

Kapitel V.A

Beim Risikomanagement (Kapitel V. A.) nennt die Leitlinie einige Gefährdungen und Risiken, die die Hersteller berücksichtigen sollten:

• Patientenbezogene Gefährdungen
  Die Reaktion eines Patienten auf die Energie oder Substanz, die zugeführt oder entzogen wird, ist ein entscheidender Faktor, der bei der Auslegung zu berücksichtigen ist. Diese Reaktion kann von Patient zu Patient und innerhalb eines einzelnen Patienten unterschiedlich sein. Zum Bsp. müssen Störungen durch andere Therapien berücksichtigt werden. Dementsprechend sollen in der Risikoanalyse folgende Aspekte betrachtet werden:
  • Vorgesehene Patientengruppe (Variabilität der physiologischen Reaktion zwischen Patienten)
  • Kontraindikationen für den Einsatz der PCLC-Technologie.
  • Umgebung, in der das Gerät eingesetzt werden soll
  • Identifizierung von Unterschieden zwischen der derzeitigen Behandlung nach anerkannten Praxisleitlinien und der Methode, die von dem PCLC-Gerät angewendet werden soll.
• Nutzungsbezogene Gefährdungen
  Neben den üblichen Nutzungsfehlern betont die FDA Gefährdungen, die dadurch entstehen können, dass die Anwender dem System zu sehr vertrauen, eigene Fähigkeiten verlieren oder mit der Technologie überfordert sind.
• Gerätebedingte Gefährdungen
  Die Hersteller sollten die Unsicherheiten in ihrem Systemdesign sowie die vorhersehbaren funktionellen Störungen in der klinischen Umgebung und im Arbeitsablauf identifizieren und klar beschreiben, wie zum Bsp.
  • Signalrauschen
  • Unzureichende Sensorgenauigkeit bzw. Drift oder Ausfall
  • Latenz- und Verzögerungszeiten
  • Kommunikationsfehler zwischen Gerätekomponenten und Fehler innerhalb einer integrierten klinischen Umgebung
  • Cybersecurity-Bedrohungen und -Schwachstellen

Der Guidance bezieht neu auch Elemente einer Integrierten Klinischen Umgebung ein, wie sie in der ASTM Norm F-2761: „Medical Devices and Medical Systems — Essential safety requirements for equipment comprising the patient-centric integrated clinical environment (ICE) — Part 1: General requirements and conceptual model“ beschrieben sind.

Das ist insbesondere wichtig, wenn Patienten durch die Schaffung eines umfassenden medizinischen Systems in das auch andere verteilte Systeme integriert sind, behandelt werden.

Kapitel V.B

Im Kapitel V. B. zum Design der Produkte gibt die FDA Empfehlungen zum Entwurf der verschiedenen Komponenten. Dabei verweist sie regelmäßig auf die Vorgaben der IEC 60601-1-10. Die Anforderungen sind teilweise relativ „high-level“ wie z. B. die folgende:

„Control algorithms for all modes should be designed to meet their performance 539 specifications during reasonably foreseeable disturbances.”

Hilfreicher sind die Hinweise der FDA zum Design bzw. zur Auswahl der Komponenten. Beispiele sind

• die Linearität und die Latenz von Sensoren,
• die Genauigkeit und die physikalischen Grenzen von Aktoren sowie
• die physische Beschränkung bei den Reglern (z. B. der zuführbaren Energie) und Rückfallmöglichkeiten bei Fehlern.

Auch das „Data Logging“ und der Einsatz von Alarmen zählen zu den Empfehlungen der Behörde.

Kapitel V.C.

Das Kapitel V. C. beinhaltet eine umfassende Liste der Aspekte, die validiert bzw. verifiziert werden sollen. Das Kapitel beschreibt auch, wann eine Verifikation oder eine Validierung notwendig ist. Die Verifikation betrifft beispielsweise sämtliche Tests im Hinblick auf die Spezifikation. Ein Beispiel hierfür ist die Prüfung eines Sensors, der die Anforderungen des PCLC-Systems erfüllen muss. Hingegen fokussiert sich die Validierung auf Aspekte wie die Gestaltung der Benutzerschnittstelle. Die in diesem Abschnitt aufgeführte Liste dient somit gleichzeitig als eine Checkliste für den Umfang der zu erstellenden Spezifikationen.

Kapitel VI

In diesem Abschnitt geht das Dokument erneut auf die präklinischen Tests ein, die ein integraler Bestandteil der Verifikations- und Validierungsaktivitäten (V&V) sind. Dieses Kapitel unterstreicht die Notwendigkeit zusätzlicher Tests für PCLC-Systeme aufgrund ihrer besonderen Merkmale, welche in der Medizinprodukteprüfung berücksichtigt werden müssen.

Den Herstellern wird empfohlen, eine systematische Methode zur Entwicklung von Störungs- und Unsicherheitsszenarien für Stresstests des PCLC-Systems zu in Betracht zu ziehen, um sicherzustellen, dass diese unter klinisch relevanten Worst-Case-Bedingungen getestet werden.

• Tierversuche
  Hersteller, die Tierversuche planen, um unter Worst-Case-Bedingungen zu testen, sollten bei der Planung der Studie die aufgeführten Aspekte in dem Abschnitt berücksichtigen.
• Verwendung mathematischer und rechnerischer Modelle
  Da Testen in allen klinisch relevanten Szenarien anhand von Tierversuchen und/oder klinischen Studien möglicherweise nicht machbar ist, empfiehlt die FDA in Ergänzung die Verwendung mathematischer und rechnerischer Modelle. Die Bewertung eines PCLC-Systems anhand eines Patientenmodells kann eine Alternative bzw. Ergänzung zu Tierversuchen und/oder klinischen Studien sein. Computermodelle, die für den Entwurf oder die Validierung eingesetzt wird, müssen auf deren Vorhersagefähigkeit überprüft werden. Dabei verweist die FDA auf entsprechende Guidenace Documente und die im ASME V&V 40 beschriebenen Best Practices.

Kapitel VII

Wenig Neues enthält das siebte Kapitel. Dass die Leitlinie der FDA beim Human Factors und Usability Engineering zu beachten ist, liegt auf der Hand. Viele spezifischen Gefährdungen wie den „Automation Bias“ nennt das Dokument bereits in vorangegangenen Abschnitten.

Kapitel VIII

Die FDA empfiehlt, die Dokumentation gemäss den Kapitel 5.1 „Gebrauchsanweisung“ und Kapitel 5.2 „Technische Beschreibung“ in der IEC 60601-1-10 aufzubauen und  beschreibt, welche weiteren Aspekte die Hersteller beschreiben müssen, beispielsweise:

• Komponenten wie Sensoren und Aktoren mit jeweiligen Leistungsspezifikationen
• Alarme
• Funktionsweise
• Gesteuerte physiologische Parameter
• Voraussetzungen für den Einsatz
• Vorhandene bzw. notwendige Fallbacks
• Bedienung des Produkts

c) IEC 60601-1-10

Übersicht

Die IC 60601-1-10 trägt den deutschen Titel „Anforderungen an die Entwicklung von physiologischen geschlossenen Regelkreisen“. Sie wendet sich an medizinisch elektrische Geräte und zählt als Ergänzungsnorm zur Basisnorm, der IEC 60601-1.

Die IEC 60601-1-10 definiert vergleichbar der FDA ein PCLC eher technisch über die Parameter eines Regelkreises. Im Prinzip sind beide Definitionen ähnlich, wenn auch nicht wortgleich.

Genau wie beim Guidance-Dokument der FDA (siehe weiter unten) beschränkt sich der Anwendungsbereich auf Medizinprodukte, die physiologische Parameter steuern.

Die IEC 60601-1-10 ist eine horizontale Norm. Der Gegenstand sind Grundprinzipien, Konzepte und Begriffe. Das bedeutet die Norm legt keine Anforderungen für eine bestimmte Art von Medizinprodukten fest. Solche besonderen Festlegungen befinden sich in den Part-2 Normen.

Die IEC 60601-1-10 formuliert die Anforderungen in den Kapiteln 4 bis 8.

Kapitel 4: Allgemeine Anforderungen

Das kompakte vierte Kapitel listet konkrete Parameter und Gefährdungen, die die Hersteller im Risikomanagement betrachten müssen. Dazu zählen Latenzzeiten, die unterschiedliche Reaktion verschiedener Patienten auf die Steuerung und der Einfluss der Elemente des Regelkreises wie z. B. des Sensors.

Kapitel 6: Ausgangsgrößen

Die Norm stellt Anforderungen an die Outputs. Das betrifft die

• Gebrauchstauglichkeit des „User Interfaces“,
• Existenz (falls ein Fallback notwendig ist) und Konformität der Alarme (mit Hinweis auf die IEC 60601-1-8),
• Verpflichtung zum Logging (ohne auf Datenschutzaspekte einzugehen) und
• Verwendung von verteilten Regelsystemen (die die Norm explizit gestattet).

Kapitel 7: PEMS

Die Norm referenziert im Kapitel sieben lediglich das Kapitel 14 der IEC 60601-1.

Kapitel 8: Anforderungen an die Entwicklung

Das achte Kapitel stellt Anforderungen daran, was die Hersteller spezifizieren und welche risikominimierenden Maßnahmen sie berücksichtigen müssen. Beispielsweise müssen sie festlegen, wie sich das Produkt während des Normalzustands sowie im Worst-Case-Fall bei der Stellgröße, der Messgröße und dem Patienten-Transferelement verhalten soll.
Falls notwendig, sollen die Hersteller die Bereiche der Variablen einschränken. Ein Beispiel hierfür ist die maximale Wärmemenge, die einem Patienten zugeführt werden soll.

Weiterhin legt das Kapitel fest, welche Störungen und damit Gefährdungen die Hersteller analysieren und beherrschen müssen.

Schließlich fordert die Norm die Verifizierung und Validierung der Regelkreise und benennt dafür Methoden.

Die IEC 60601-1-10 war unter der MDD und AIMD harmonisiert. Die Harmonisierung unter der MDR ist noch nicht erfolgt.

d) Weitere Normen

Weitere Normen wie die ISO 80601-2-13 für Anästhesiegeräte oder die IEC 60601-2-20 für Säuglingsinkubatoren gehen spezifisch auf Gerätetypen ein und stellen Anforderungen, die sich letztlich an die Regelkreise richten.

Es gibt Part-2-Normen, die die IEC 60601-1-10 explizit als nicht anwendbar betrachten. Das betrifft in der Regel Geräte, die mit Reglungen arbeiten, die aber keine physiologische Größe führen. Beispiele dafür sind CT Röntgengeräte (IEC 60601-2-44) oder Lithotripsiegeräte (IEC 60601-2-36).

Einige Normen, z. B. die DIN EN 60601-2-12 bzw. deren aktuelle Version DIN EN ISO 80601-2-12:2012-02 für die Beatmungsgeräte, gehen spezifisch auf Gerätetypen ein. Allerdings zählen die Beatmungsgeräte meist nicht zu den geschlossenen Regelkreisen:

ventilators are not considered a physiologic closed-loopclosed control system …

ISO 80601-2-12, 201.1.1

5. Typische Herausforderungen bei geschlossenen Regelsystemen

a) Entwicklung von Closed-Loop-Algorithmen

Die Regelungs- und Steuerungstechnik ist eine umfassende wissenschaftliche Disziplin, der sich ganze Studiengänge und Lehrstühle widmen. Zu den typischen Herausforderungen, vor denen die Entwickler stehen, zählen beispielsweise die folgenden:

• Ein Regelkreis soll stabil sein: Auch bei großen Störgrößen muss das System wieder zum Führungswert zurückkehren.
• Regelkreise müssen ausreichend schnell sein: Die Zufuhr eines Medikaments (Insulin, Narkosemittel, Elektrolyte) muss eher in Sekunden als in Minuten den Sollwerten genügen.
• Der Regelkreis muss die Sollwerte ausreichend genau erreichen: Ein pH-Wert von 7,42 ist okay. Ein pHh-Wert von 7,7 bedeutet den Tod des Patienten.

b) Verifizierung von Closed-Loop-Systemen

Die Sicherheit einfacher Regelkreise lässt sich auch formal beweisen. Bei hochkomplexen und voneinander abhängigen Regelkreisen ist der Beweis manchmal schwierig, manchmal wie bei deterministisch-chaotischen Systemen sogar unmöglich. Jedoch müssen Hersteller die Sicherheit, Wiederholbarkeit, Zuverlässigkeit und Leistung (wörtlich gefordert) der Produkte und damit der Regelkreise nachweisen.

Zu den Ansätzen, um diese Nachweise zu erbringen, zählen:

• Modellbasiertes Testen: Setzt voraus, dass man ein verlässliches Modell der Regelstrecke (z.B. des Patienten) hat.
• Limitierung der Stellgrößen (teilweise sogar mechanisch)
• Plausibilitätsprüfungen der Stellgrößen bzw. Regelgrößen und Intervention durch Systemkomponenten außerhalb des Regelkreises (→ funktional sichere Architekturen)
• Durchprobieren möglicher Kombinationen insbesondere der Störgrößen und deren zeitlichen Verlaufs. Diese „Brute-Force-Variante“ funktioniert aber nur bei einer endlichen Anzahl zu testender Kombinationen von Inputs.

c) Human Factors

Ein besonderes Risiko sehen die Autoren im Zusammenhang mit der Bedienung. Der Bediener muss in der Lage sein, den Status des PCLC-System im Einklang mit seinem mentalen Modell zu verstehen. Das mentale Modell ist die Vorstellung des Bedieners, wie das PCLC-System funktioniert und aufgebaut ist. Wenn der Bediener versteht, auf welche Weise eine PCLC-System funktioniert, ermöglicht das ihm, angemessen auf Probleme zu reagieren, die bei der Benutzung des PCLC-Systems auftreten können.

Sie sprechen von den folgenden Herausforderungen

• Mangelnde Transparenz (für Anwender)
• „Automation bias“ (blindes Vertrauen der Anwender)
• Anwender verlieren die Fähigkeit, Entscheidungen in der bisherigen Güte zu treffen („Skill degradiation“)

6. Fazit und Ausblick

Viele medizinische Behandlungen sind zu komplex oder zu zeitkritisch, um fehlerfrei von Anwendern in Gänze durchgeführt zu werden. Closed-Loop-Systeme können diese Aufgaben ganz oder teilweise übernehmen.

Es ist offensichtlich, dass der Einsatz dieser geschlossenen Regelkreise in Zukunft weiter zunehmen wird. Dazu trägt auch das Machine Learning bei, das hilft, neue Modelle des Körpers zu entwickeln und in diesen Regelkreisen zu berücksichtigen.

Die Anforderungen an die Personen, die diese Systeme entwickeln, sind ebenso hoch wie jene an die Personen, die diese Closed-Loop-Systeme verifizieren und validieren.

Regel 22 der MDR zeigt, dass die europäischen Gesetzgeber sich erste Gedanken zu diesem Thema machen. Die Definitionen und Anforderungen der Gesetzgeber bezüglich Closed-Loop-Systemen sollten präzisiert werden.

Bei der FDA liegen Interpretationshilfen bereits in Form einer Leitlinie vor. Deren Anforderungen decken sich weitestgehend mit den Anforderungen in der IEC 60601-1-10. Die FDA-Leitlinie referenziert die IEC 60601-1-10 an vielen Stellen. Hersteller sollten dennoch beide Dokumente berücksichtigen.

Dank an DrMW für wertvolle Anregungen

---

Änderungshistorie

• 2023-10-27: Kapitel 4.b) wegen neuer FDA Guidance komplett überarbeitet
• 2022-03-14: Artikel grundlegend überarbeitet; Abschnitte zur IEC 60601-1-10 und zum Guidance-Dokument der FDA ergänzt