Funktionale Sicherheit bei Medizinprodukten

Medizinprodukte müssen die gesetzlichen Anforderungen an die funktionale Sicherheit, auch Funktionssicherheit und „functional safety“ genannt, erfüllen.

Leider verwenden und definieren die relevanten Normen und Gesetze für Medizinprodukte den Begriff „funktionale Sicherheit“ nicht. Dieser Artikel verschafft Klarheit.

1. Funktionale Sicherheit: Der Hintergrund

a) Wer muss sich damit beschäftigen?

Die folgenden Rollen müssen die Konzepte der funktionalen Sicherheit verstehen:

• Personen bei Medizinprodukteherstellern, die verantwortlich sind für
  • die Entwicklung medizinisch-elektrischer Geräte (ME-Geräte), z. B. für die Systemarchitektur, das Risikomanagement oder die Prüfung der funktionalen und physikalischen Sicherheit der ME-Geräte,
  • Regulatory Affairs.
• Mitarbeitende bei Benannten Stellen und Prüflaboren, die zuständig sind für
  • das Review von technischen Dokumentationen,
  • die Prüfung der funktionalen und physikalischen Sicherheit der ME-Geräte.

b) Um was geht es?

Medizinprodukte dürfen Patienten nicht gefährden. Beispiele:

• Die Pumpe einer Herzlungen-Maschine darf nicht ausfallen.
• Eine Infusionspumpe darf keine Luft in die Vene von Patienten pumpen.
• Ein Brutkasten darf einen Säugling nicht verbrennen.
• Ein Defibrillator darf bei Patienten mit normalem Herzschlag nicht auslösen.

Die funktionale Sicherheit hat zum Ziel, derartige Risiken durch ein „Funktionsversagen“ zu vermeiden.

2. Das Konzept der funktionalen Sicherheit

a) Definition der IEC 61508

Die für Medizinprodukte einschlägigen Normen und Gesetze definieren den Begriff „funktionale Sicherheit“ (engl. „functional safety“) nicht. Definitionen finden sich jedoch an anderer Stelle.

Die Norm verwendet dabei folgende Abkürzungen:

• EUC: EUC-Einrichtung [engl. „euqipment under control“] (hier das Medizinprodukt)
• E/E/PE: Elektrische/elektronische/programmierbare Elektronik (hier die Sicherheitsfunktion)

Die funktionale Sicherheit bezieht sich bei dieser Definition nur auf die Freiheit von unvertretbaren Risiken bei den folgenden Problemen:

Risiken mit Bezug zur funktionalen Sicherheit	Beispiele
Risiken durch Fehler oder Ausfälle innerhalb des Steuerungssystems des Medizinprodukts	Die Software für die Motorsteuerung der Herz-Lungen-Maschine enthält einen Programmierfehler. Die Bedieneinheit des Defibrillators fällt aus.
Die korrekte Funktion anderer sicherheitsbezogener Funktionen (nicht die klinischen Funktionen) zur Risikominimierung sind nicht gegeben.	Der Detektor einer Infusionspumpe erkennt eine Luftblase nicht. Die Luftzufuhr des CPU-Lüfters der Beatmungsmaschine ist durch einen OP-Kittel blockiert. Der Sensor für die Temperaturüberwachung des Brutkastens ist defekt.
Die korrekte Funktion einer externen Einrichtung ist nicht gegeben.	Die notwendige Kühlung des umgebenden Raums ist ausgefallen. Die externe Stromversorgung ist ausgefallen.

Diese Umstände und Ereignisse sind auch bei Medizinprodukten gültig. Denn die Forderung nach funktionaler Sicherheit bzw. Funktionssicherheit findet sich v. a. in der Norm für medizinisch-elektrische Geräte IEC 60601-1 im Abschnitt 4.3 zu den wesentlichen Leistungsmerkmalen und im Abschnitt 4.7 für die Erstfehlersicherheit.

c) Abgrenzung

Die funktionale Sicherheit bezieht sich nicht auf die Freiheit von den folgenden Risiken:

Risiken ohne Bezug zur funktionalen Sicherheit	Beispiele
Risiken durch mangelnde Basissicherheit (im Erstfehlerfall s. u.)	Es liegt eine Spannung am Gehäuse des ME-Geräts an, weil eine Isolation gebrochen ist. Mechanische Spannung im Gehäuses wegen zu hoher Innentemperatur
Risiken, die weder vom elektrischen, elektronischen oder programmierbaren Teil des Medizinprodukts verursacht werden noch von diesen beherrscht werden sollen	Das Produkt hat wegen eines Produktionsfehlers scharfe Kanten. Eine Halterung bricht und das Gerät fällt dem Anwender auf die Füße. Die Lackierung des Geräts enthält krebserregende Substanzen. Das Produkt ist nicht steril.

d) Fazit

Die funktionale Sicherheit bezieht sich auf diejenigen Funktionen des Produkts,

• die einen Einfluss auf die klinische Leistung haben,
• die vorübergehende Betriebszustände erkennen sollen, die kein Fehler des Geräts sind (Bsp.: Abknicken eines Infusionsschlauchs, Stromausfall) und
• Sicherheitsfunktionen, die eine Gefährdungssituation vermeiden sollen (Bsp.: Überschreiten eines Grenzwerts).

3. Funktionale Sicherheit: Regulatorische Anforderungen

a) Anforderungen der MDR

Die MDR verwendet den Begriff der funktionalen Sicherheit nicht. Sie stellt dennoch direkt oder indirekt Anforderungen daran:

Die Produkte erzielen die von ihrem Hersteller vorgesehene Leistung und werden so ausgelegt und hergestellt, dass sie sich unter normalen Verwendungsbedingungen für ihre Zweckbestimmung eignen.

Sie sind sicher und wirksam und gefährden weder den klinischen Zustand und die Sicherheit der Patienten noch die Sicherheit und die Gesundheit der Anwender oder gegebenenfalls Dritter

MDR Anhang I

Die MDR fordert auch die Wiederholbarkeit, Zuverlässigkeit und Leistung (MDR Anhang I, Kapitel 17.1) sowie die Sicherheit der Produkte auch bei Erstauftreten eines Defekts (Kapitel 17.1, 18.1).

b) Anforderungen der IEC 60601-1

Erstfehlersicherheit

Die IEC 60601-1 fordert die Erstfehlersicherheit der Medizinprodukte. Sie definiert diese wie folgt:

Auch den Begriff des „ersten Fehlers“ definiert die Norm:

Der Begriff „erster Fehler“ bezieht sich somit auf die Teile des Geräts, in denen Schutzmaßnahmen implementiert werden. Beispiele für solche ersten Fehler sind:

• Kurzschluss einer Isolation
• Unterbruch eines Schutzleiters
• Ausfall eines Sensors zur Temperaturüberwachung oder Luftblasendetektion

Gewährleistung der wesentlichen Leistungsmerkmale

Zudem verlangt die IEC 60601-1, dass die Hersteller die wesentlichen Leistungsmerkmale ihrer Produkte bestimmen und gewährleisten. Auch die IOS 14971 enthält diese Anforderung (5.3. Characteristics related to safety).

Die IEC 60601-1 definiert auch diesen Begriff:

Die wesentlichen Leistungsmerkmale wären beispielsweise nicht gegeben, wenn

• die Blutpumpe der Herz-Lungen-Maschine nicht mit der vorgegebenen Flussrate pumpt,
• der Defibrillator eine zu hohe oder zu niedrige Energie beim Schock abgibt,
• der Linearbeschleuniger im falschen Winkel bestrahlt.

4. IEC 61508

a) Allgemeines

Die wichtigste Fachgrundnorm für funktionale Sicherheit ist die Normenreihe IEC 61508. Sie dient als Anleitung für Autoren, die sektorspezifische Normen schreiben. Sie kann daher nicht als Nachweis der grundlegenden Sicherheits- und Leistungsanforderungen verwendet werden.

Die IEC 61508 beschreibt einen generischen Ansatz für alle Aktivitäten des Sicherheitslebenszyklus für Systeme, die aus elektrischen und/oder elektronischen und/oder programmierbaren elektronischen Elementen bestehen, die zur Ausführung von Sicherheitsfunktionen verwendet werden. Die Norm nennt allgemeingültig (Entwurfs-)Prinzipien für die Vermeidung und Beherrschung von zufälligen und systematischen Fehlern. Sie

• bietet Methoden für die Spezifikation von Sicherheitsanforderungen,
• stellt Anforderungen an die Vermeidung und Beherrschung von systematischen Fehlern und
• beschreibt Ansätze für die Beherrschung zufälliger Hardwarefehler.

Dieser einheitliche Ansatz soll helfen, Sicherheitskonzepte für alle sicherheitsrelevanten Systeme auf elektrischer Basis zu entwickeln.

b) Anwendbarkeit für Medizinprodukte

Auch wenn Medizinprodukte nicht zum Anwendungsbereich der IEC 61508 zählen, so lassen sich deren Prinzipien und Ansätze dennoch auf Medizinprodukte übertragen. Die Prinzipien stehen auch in keinem Widerspruch zur IEC 60601-1 oder anderen relevanten Normen wie der IEC 61010-1. Vielmehr ergänzt die IEC 61508 diese Normen perfekt. Sie stand auch Pate für die Norm IEC 62304.

Physikalische Gefährdungen sind im Wesentlichen vollständig durch die Normen IEC 60601-1 oder IEC 61010-1 abgedeckt. Die beiden Normen nennen aber nur Vorgaben für passive Schutzmaßnahmen wie Isolationen oder Belastungsfaktoren für Materialien. Wenn eine physikalische Gefährdung hingegen durch eine aktive Schutzmaßnahme (E/E/EP) beherrscht werden soll, z. B. durch eine Temperaturüberwachung oder einen Kontaktmonitor, dann können die Prinzipien der IEC 61508 für die Auslegung solcher Sicherheitsfunktionen angewendet werden.

5. Funktionale Sicherheit: Lösungsansätze

Die funktionale Sicherheit erreichen die Hersteller durch einen geeigneten Entwurf (Design, Architektur) des Systems. Dazu sollten sie die

1. Annahmen treffen,
2. Entwurfsprinzipien berücksichtigen und
3. mehrkanalige Architekturen erwägen,

wie es im Folgenden genauer beschrieben wird.

a) Annahmen treffen

Hersteller sollten beim Erstellen von Systemarchitekturen und Sicherheitskonzepte die folgenden Annahmen treffen:

1. Hardwarefehler sind zufällige Fehler und können zu jeder Zeit auftreten.
2. Softwarefehler sind systematische Fehler und sind nur durch den Entwurfsprozess beherrschbar.
3. Die Wahrscheinlichkeit des gleichzeitigen Ausfalls zweier oder mehrerer Systeme ist sehr viel geringer als jene für das Ausfallen das Einzelsystem.
4. Erkennbare Fehler sind sichere Fehler, wenn das System außer Betrieb genommen werden kann.
5. Wenn ein erster Fehler unentdeckt bleibt, muss nach einer Zeit ein weiterer gleichzeitiger Fehler angenommen werden.
6. Fehler, die zu weiteren Fehlern führen, werden als ein einziger Fehler betrachtet.
7. Systeme ohne Schutzmaßnahmen müssen eigensicher sein.
8. Die Kombination von gleichzeitigen unabhängigen Fehlern darf nicht zu einer Gefährdungssituation führen.
9. Der gleichzeitige Ausfall mehrerer Funktionsgruppen infolge einer gemeinsamen Ausfallursache darf nicht zu einer Gefährdungssituation führen.
10. Fehler, die wahrscheinlich sind, deren Wahrscheinlichkeit nicht abschätzbar sind oder die nicht zu entdecken sind, müssen als Normalzustand betrachtet werden.

b) Entwurfsprinzipien berücksichtigen

Daraus leiten sich Systemanforderungen ab, zum Beispiel:

Das System muss …

• … fehlertolerant sein und beispielsweise Fehler, die durch den Ausfall einzelner Bauteile auftreten, erkennen und beherrschen, oder das Risiko muss vertretbar bleiben.
• … systematische Fehler (z. B. Softwarefehler) erkennen und beherrschen, z. B. durch:
  • Verwendung betriebsbewährter Architekturen
  • Verifikation der Sicherheitsfunktionen durch Tests und Simulation
  • Definieren eines Safety-Lifecycle-Prozesses
  • Gestaltung des Entwurfsprozesses mit Checklisten und Arbeitsanweisungen
  • das Festlegen geeigneter Teststrategien.
• … Fehler innerhalb der Mehrfachfehler-Eintrittszeit erkennen und beherrschen. Das heißt: Wenn ein Fehler unerkannt bleibt, muss mit einem weiteren Fehler gerechnet werden. Die Zeit dazwischen ist die MFEZ. Daher muss der Fehler einer Schutzmaßnahme erkannt werden, bevor das Steuerungssystem selbst oder eine zweite Schutzmaßnahme versagt.
• … Verantwortlichkeiten aufteilen, z. B. auf Schutzsystem und Steuerungssystem.
• … unempfindlich gegen Fehler mit gemeinsamer Ausfallursache sein (z. B. wenn jemand Wasser über das Gerät gießt, was das Steuerungs- und Schutzsystem gleichermaßen beeinträchtigt).

Bei der Spezifikation der Sicherheitsziele sollten die Hersteller auch die Handlungszeit beachten, die ein Nutzer braucht, um einen Patientenschaden zu vermeiden.

c) Mehrkanalige Architekturen erwägen

Allgemeines

Mehrkanalige Architekturen bilden eine Möglichkeit, um Risiken durch den Ausfall und durch Fehlfunktionen von Bauteilen und Komponenten zu erkennen und zu minimieren.

Dabei überwachen Komponenten der einen Kette die Komponenten der anderen Kette (z. B. deren Sensoren und Aktoren) und reagieren bei deren Ausfall oder Fehlfunktion. Möglichkeiten zur Reaktion sind:

• Die Informationsverarbeitung wird von der einen auf die andere Kette umgeschaltet.
• Es wird der Sensor oder Aktor der anderen Kette verwendet.
• Bei mehreren Sensoren findet eine Mehrheitsentscheidung statt.
• Das Gerät wird in einen sicheren Zustand versetzt.
• Ein Alarm wird ausgelöst.

Zweikanalige Architekturen

Zweikanalige Architekturen zeichnen sich durch redundante Komponenten in der Kette aus Sensor, Logik und Aktor aus.

Homogene und diversitäre Architekturen

Bei mehrkanaligen Architekturen unterscheidet man homogene und diversitäre Architekturen. In einer homogenen Architektur sind die beiden Kanäle homogen, d. h. sie bestehen aus gleichen Komponenten. Mit homogenen Architekturen lassen sich insbesondere zufällige (statistische) Fehler wie der Ausfall von Bauteilen aufgrund Alterung beherrschen.

Bei systematischen Fehlern, beispielsweise bei Konstruktionsfehlern oder Software-Bugs, bedarf es diversitärer Architekturen, weil man sonst den Fehler in beide Kanäle dupliziert hätte. Die Diversität kann sich insbesondere bei programmierbaren Systemen (die Software enthalten) beziehen auf:

• Hardware: Prozessor, Speicher
• Werkzeuge: Compiler, Programmiersprache
• Wiederverwendete Software (SOUP): Bibliotheken, Betriebssystem
• Organisation: Getrennte Entwicklungsteams

d) Einkanalige Architektur mit Überwachung

Eine meist einfachere Möglichkeit ist eine einkanalige Architektur, die durch eine Testfunktion oder einen Watchdog überwacht wird. Die Testfunktion kann auch durch einen Benutzer übernommen werden, der dann korrekt handelt.

6. Fazit und Zusammenfassung

Die funktionale Sicherheit ist die Freiheit von unvertretbaren Risiken, die als Folgen einer Fehlfunktion des Produkts resultieren würden. Bei Medizinprodukten spricht man von der funktionalen Sicherheit fast nur im Kontext von medizinisch-elektrischen Geräten sowie bei IVD-Geräten.

Die funktionale Sicherheit erreichen die Hersteller beim Systementwurf der Produkte (z. B. durch mehrkanalige Architekturen). Dabei müssen technische Experten und Risikomanager Hand in Hand arbeiten.

Es ist meist sehr kostspielig, oft sogar unmöglich, Fehler zu beseitigen, die während der Entwurfsphase unterlaufen. Solche Fehler bedrohen die Konformität der Produkte und die Sicherheit der Patienten.

Daher benötigen die Hersteller die entsprechende Zeit und die erforderlichen Kompetenzen, um funktional sichere Produkte zu entwickeln.