Parasoft® Deutschland GmbH

Um das Risiko zu bewerten hat die US FDA (Food and Drug Administration) ein Einstufungssystem geschaffen, nach dem medizinische Geräte in drei Kategorien eingeordnet werden können:

- Klasse I: Geräte mit niedrigem Risiko, die nicht zur Unterstützung oder Erhaltung des Lebens bestimmt sind, wie u.a. Verband, Krücke, nicht elektrischer Rollstuhl.

- Klasse II: Geräte mit mittlerem Risiko, die in dauerhaften Kontakt mit dem Patienten stehen und für deren Verwendung das Pflegepersonal eine Schulung benötigt wie z.B. Katheter, Blutdruckmanschette, intravenöse Infusionspumpen.

- Klasse III: Hochrisiko-Geräte, die dazu bestimmt sind, Leben zu erhalten oder zu unterstützen; dazu zählen lebensrettende Geräte wie Defibrillatoren, Herzschrittmacher oder Hochfrequenz-Beatmungsgeräte.

Von allen Kategorien machen Geräte der Klasse III nur 10 Prozent aller von der FDA regulierten Geräte aus. Das liegt an dem damit verbundenen Risiko. Wenn Gesundheitsdienstleister sich auf ein spezielles medizinisches Gerät verlassen, um Leben zu retten, muss es jederzeit den Erwartungen entsprechen. Dafür muss es die Konformitätsvorschriften von Grund auf erfüllen - genau dafür wurde die Sicherheitsnorm IEC 62304 Norm von der ISO (International Organization for Standardization) ins Leben gerufen. Sie definiert den Prozess und die Ziele für die sichere Entwicklung von Software für medizinische Geräte. Ihre Richtlinien betreffen jede Phase des Lebenszyklus der Softwareentwicklung (SDLC), von der Planung und Anforderungsanalyse bis hin zur Prüfung des Softwaresystems und der Bereitstellung des Geräts. Obwohl die IEC 62304 eine sehr detaillierte Dokumentation enthält, die aufführt, was zu tun ist, um konforme Software zu erstellen, sagt sie nicht wirklich, wie dies erfolgen sollte. Diese Guidelines wurden absichtlich so erstellt, um evolutionäre Änderungen in der Entwicklungspraxis oder die Einführung neuer Technologien zu berücksichtigen.

Aber es gibt nicht nur ‚die eine‘ ISO-Norm, die alle Anforderungen und Arten von Anforderungen für die sichere Herstellung aller Medizinprodukte abdeckt. Stattdessen werden sie oft in verschiedene Normen aufgeteilt, um unterschiedliche Aspekte oder Anforderungen des zu entwickelnden Produkts abzudecken. Auch wenn die Einhaltung der Vorschriften mit hohem Arbeitsaufwand und vielen Informationen verbunden ist, liegt es doch im Interesse der Medizintechnikunternehmen, sichere Produkte zu liefern, die die Sicherheit von Ärzten und Patienten gewährleisten.

Beispielsweise wurde die ISO 9001 Norm nicht unbedingt für die Gesundheitsbranche entwickelt, sondern soll sicherstellen, dass Unternehmen über ein Qualitätsmanagementsystem (QMS) verfügen. Mit einem QMS können sie gewährleisten, dass nicht nur alle Anforderungen der Interessengruppen sowie die behördlichen und gesetzlichen Anforderungen erfüllt werden, sondern dass während des gesamten Lebenszyklus der Produktentwicklung evidenzbasierte Entscheidungen getroffen werden, die Qualität und Wert für die Kunden bieten. Die ISO 9001 trägt zur Verbesserung der Qualitätskontrollprozesse bei, senkt die Kosten und ermöglicht Wachstum.

Die ISO 13485 wiederum ergänzt die ISO 9001, indem sie zusätzliche Anforderungen an Medizinprodukte einbezieht, aber auch bewertet, ob das QMS angemessen und wirksam ist, wobei der Schwerpunkt auf der Sicherheit und Wirksamkeit von Medizinprodukten liegt.

Speziell für das Risikomanagement von Medizinprodukten entwickelt hilft die ISO 14971 Norm den Herstellern und Softwareentwicklern, alle mit einem Medizinprodukt verbundenen Gefahren zu identifizieren und diese zu kontrollieren. Ihre Prozesse sollen Risiken verringern, die beispielsweise mit Biokompatibilität, Daten- und Systemsicherheit, Elektrizität, Strahlung und Zugänglichkeit verbunden sein können. Um diese Arten von Bedrohungen zu bewältigen, muss ein Unternehmen die potenziellen Sicherheitsprobleme während des gesamten Produktlebenszyklus identifizieren, bewerten, analysieren und beurteilen. Mit der  ISO 14971 erhalten sie eine hilfreiche Norm, die sie dabei unterstützt die Wahrscheinlichkeit des Auftretens eines Problems und dessen Schweregrad zu ermitteln, diese Risiken zu kontrollieren und die Wirksamkeit der Kontrollen zu überwachen.

Mit der ISO 14001 erhalten Hersteller von Medizinprodukten Richtlinien für den Aufbau und die Aufrechterhaltung eines Umweltmanagementsystems (EMS), um Abfälle zu reduzieren, Umweltbelastungen zu senken und die Einhaltung gesetzlicher Vorschriften sicherzustellen.

Um weitere Einsparungen im Bereich der Nachhaltigkeit zu erzielen, unterstützt die ISO 50001 beim Senken der Betriebskosten, indem sie Möglichkeiten zum Verbessern der Energieeffizienz aufzeigt. Die Werkzeuge und Prozesse, die den Betrieb eines Unternehmens ermöglichen, sind Teil des Qualitätsmanagements eines jeden Unternehmens, und diese Normen sind nur ein Teil des Puzzles.

Qualität in der Softwareentwicklung

Wenn wir von „Qualität" bei medizinischer Software sprechen, meinen wir die Fehlerfreiheit, die Zuverlässigkeit und Stabilität des Produkts. Beim Testen von Software führen wir „Stabilitätstests" durch; beispielsweise die Prüfung innerhalb und außerhalb der Grenzen des Systems. Beim Testen innerhalb der Grenzen erfolgt die Eingabe einer Reihe von Eingaben oder Daten, die das System erwarten würde. Testen außerhalb der Grenzen bedeutet, dass dem System eine Reihe von Eingaben zugeführt werden, die sehr unwahrscheinlich sind oder nie empfangen werden. Wie das Gerät oder System mit solchen Szenarien umgeht, trägt zur Stabilität oder Qualität des Systems bei.

Allen Unternehmen, die Software für medizinische Geräte entwickeln, empfiehlt die FDA, die statische Analyse in ihren SDLC (Software Development Life Cycle) einzubeziehen, um sichere und zuverlässige Software zu gewährleisten. Tatsächlich ist die Durchführung einer statischen Analyse die beste erste Verteidigungslinie, um Fehler oder Probleme zu identifizieren und beheben. Zudem bestätigen Kunden, dass sich die Kosten für die Qualitätssicherung und Wartung erheblich senken lassen, wenn die Analyse bereits in der Implementierungsphase durchgeführt wird.

Hilfreich zum Programmieren von Normen-konformer Software sind TÜV-zertifizierte Tools, die automatisierte Softwaretest-Methoden anwenden, die in der IEC 62304 Norm definiert sind. Idealerweise erstellt ein zentralisiertes Dashboard individualisierte Berichte für das Management und die Entwickler, um Fehler im Design aufzudecken, zu verhindern und zu korrigieren. Dabei erleichtert die Zusammenfassung von Testergebnissen das Einhalten von Sicherheits-, Kodierungs- und Prozesssicherheitsstandards, weil die zum Nachweis der Konformität erforderlichen Dokumente automatisch erstellt werden. Dann kann kaum noch etwas schiefgehen.

Autor: Ricardo Camacho, Technischer Redakteur, Parasoft