Probleme moderner medizinischer Geräte

Der primäre Standard für medizinische Elektrogeräte, IEC 60601-1, stellt sicher, dass elektrische Produkte aus unterschiedlichen Märkten und Ländern grundlegenden Sicherheits- und Effektivitätskriterien entsprechen. Der Standard enthält einen universellen Satz von Sicherheitsanforderungen und befasst sich grundsätzlich mit denselben zentralen Themen für verschiedene Elektro- und Elektronik-Anwendungen, auch wenn die meisten Länder eigene Versionen für sich eingeführt haben.

Zum Entwurf eines medizinischen Geräts gehört jedoch mehr als nur einen IEC-Standard einzuhalten. Dieser Text befasst sich mit IEC 60601 sowie dessen Zweck in der Vergangenheit, Gegenwart und Zukunft.

Eine kurze Übersicht über IEC 60601

IEC-Standards gibt es seit mehr als 80 Jahren. Der erste davon befasste sich mit Begriffen der Elektrotechnik (heute als „Electropedia“ bezeichnet). Der ursprüngliche Standard IEC 60601 wurde von der International Electrotechnical Commission (IEC) 1977 veröffentlicht, als die Elektronik begann, eine wichtige Rolle für medizinische Verfahren und Instrumente zu spielen. Eine zweite Version, die sich stärker auf die Patientensicherheit konzentrierte, stammt von 1988. Die in 2005 veröffentlichte dritte Version legt nochmals weiteren Wert auf die Geräte- und Patientensicherheit.

Zwar kann die Einhaltung dieser Standards durch Test- und Entwicklungsverfahren dabei helfen, ein medizinisches Gerät auf den Markt zu bringen, eine Garantie dafür bietet dies allein jedoch nicht. Die wohl zeitaufwendigste und kostenintensivste Phase ist die der Erlangung der FDA-Genehmigung (oder einer äquivalenten Genehmigung außerhalb der USA) durch klinische Studien, die die allgemeine Wirksamkeit des Geräts belegen.

Die meisten Unternehmen, die medizinische Geräte entwickeln und fertigen, befolgen dabei einem allgemeinen Entwurfskontrollsystem wie:

• 1.  Business Case und Benutzeranforderungen auf der Grundlage von Marktforschungsergebnissen
• 2.  Entwurfsanforderungen unter Berücksichtigung der Benutzeranforderungen
• 3.  Eine Entwurfsprüfung, die den Entwurf testet und sicherstellt, dass die Entwurfsanforderungen erfüllt sind
• 4.  Eine Entwurfsvalidierung, die den Entwurf testet und sicherstellt, dass die Entwurfsanforderungen erfüllt sind
• 5.  Transfer des Entwurfs zur Fertigung und dann Produkteinführung

Für medizinische Geräte bestehen jedoch normalerweise besondere Elemente, die in diese einzelnen Phasen integriert sind, darunter:

• •  Entwurf von Elektronik gemäß IEC 60601-Standards und anschließendes Testen dieser Standards in der Prüfungs- und Validierungsphase
• •  Ein Risikomanagementprozess, der potenzielle Gefahren aufzeigt und angibt, wie diese kontrolliert werden können
• •  Durchführung einer Probestudie und Aufzeichnung von genügend Daten, um den Behörden gegenüber zu belegen, dass das Produkt sicher und bereit für die Einführung ist

Während es bei dem dritten Punkt mehr um Patientenstudien und Dokumentation geht, ist es wichtig, dass Elektrotechniker auch die beiden ersten Punkte gut verstehen, da sich diese direkt auf den Entwurfsprozess und alle zusätzlichen Schutzmaßnahmen beziehen. Und je nach Geräteklasse können diese Schutzmaßnahmen sehr umfassend sein.

Klassen von medizinischen Geräten

Auf der Grundlage des mit der Verwendung verbundenen Gesamtrisikos werden medizinische Geräte in drei Klassen unterteilt. Klasse I ist die niedrigste und Klasse III die höchste. Für letztere ist vor der Einführung eine PMA (Pre-Market Approval) erforderlich. Für Geräte der Klasse III bestehen die höchsten Sicherheitsanforderungen an das Design, wozu mehrere Redundanz- und Schutzebenen gehören können. Geräte der Klasse I erfordern deutlich weniger Vorsichtsmaßnahmen und Risikomanagement.

Medizinische Geräte der Klasse I sind typischerweise nicht-invasive Gerätschaften, von denen viele auch zu Hause verwendet werden können, wie etwa Pflaster, Gesichtsmasken, Zungenspatel oder auch Thermometer (bei höherer Genauigkeit und bei elektronischen Thermometern kann aber auch Klasse II gelten).

Die meisten medizinischen Geräte der Klasse II werden für Diagnosen und Behandlungen verwendet. Für sie gilt ein höheres Risikomanagementniveau oder es bestehen höhere potenzielle Gefahren. Beispiele für medizinische Geräte der Klasse II sind Glukoseüberwachungsgeräte, Blutdruckmanschetten, Spritzenpumpen oder andere minimal-invasive Instrumente.

Medizinische Geräte der Klasse III erfordern Risikomanagement auf höchstem Niveau. Beispiele sind etwa Implantate, lebenserhaltende Geräte und elektronische Apparate zur Überwachung kritischer Gesundheitsparameter und -informationen. Für die Markteinführung medizinischer Geräte ist die Einhaltung des Standards IEC 60601 erforderlich. Zusätzlich dazu müssen gelegentlich aber auch weitere Aspekte berücksichtigt werden (im Zusammenhang mit dem Risikomanagement oder dem allgemeinen Design für Zuverlässigkeit und Sicherheit).

Beispiele für medizinische Geräte der Klassen II und III

Medizinische Geräte der Klasse I enthalten nur sehr selten Elektronik, gehen wir also gleich zu Beispielen für die Klassen II und III über. Als Beispiel für die Klasse II betrachten wir ein Thermometer. Eine Fehldiagnose aufgrund der Temperatur kann schwerwiegende Folgen haben. Lassen Sie uns deswegen zunächst die üblichen Merkmale für Sicherheit und Zuverlässigkeit eines Thermometers betrachten.

Die meisten Thermometer sind heute digital und enthalten daher ein Display oder mindestens eine Methode für die Fernübertragung der Daten. Dies lässt darauf schließen, dass das Gerät sehr wahrscheinlich einen Mikrocontroller enthält.

Abbildung 1a demonstriert die interne Funktionsweise eines typischen Thermometers, mit einigen zusätzlichen Schutzebenen. Für die Umwandlung analoger in digitale Daten kann ein interner A/D-W eines Mikrocontrollers oder ein externer ADC verwendet werden. Da externe A/D-Ws höhere Auflösungen erlauben (und eine Auflösung von mindestens 16 oder 24 Bit erwünscht sein dürfte) und MCU-interne A/D-Ws zusätzliche Kalibrierung benötigen, nehmen wir einen externen A/D-W mit einer sauberen und präzisen Referenzspannung.

Ein weiterer für diesen A/D-W zu berücksichtigender Aspekt ist der, dass er von der Umgebungstemperatur beeinflusst werden kann und daher am besten über Slots von der Leiterplatine isoliert werden sollte (wie in Abbildung 1b gezeigt), um Temperaturdrift bei hoch sensiblen oder hohe Präzision erfordernden Anwendungen zu minimieren. Im Analogsensorbereich kann Low Pass-Filterung bei der Datenglättung und Durchschnittsbildung helfen, während Ferrite auf den Thermistorsignalen Hochfrequenzstörungen und induktive Verbindungen in der Nähe verhindern können. Für Systeme, die äußerst zuverlässig sein müssen, können redundante Thermistoren verwendet werden. Ein Reset Supervisor kann für eine Unterspannungslockout- oder -rücksetzungsfunktion sorgen, die sicherstellt, dass der Mikrocontroller (und seine Peripherieelemente) nur verwendet werden, wenn sie ausreichend mit Strom versorgt und stabil sind, was Schutz gegen falsche oder ungenaue Messwerte bietet. Und schließlich ist auch der Wärmeübertragungsteil eines Thermometers sehr wichtig. Hier können Offsets und zusätzliche Kalibrierungen (nach der physischen Montage) erforderlich sein, da es bei der Übertragung der Körpertemperatur am Thermistor zu Wärmeverlusten kommen kann.

Abbildung 1a                                                                                 Abbildung 1b

Abbildung 1. Beispiel für a) Digitalthermometer-Design mit zusätzlichem Schutz, Sicherheit und Zuverlässigkeit und b) Platinenlayoutstrategie zur Minimierung von Temperaturdrift eines A/D-W (U6)

Als Beispiel für ein Gerät der Klasse III betrachten wir einen Herzschrittmacher. Schrittmacher gibt es schon seit geraumer Zeit – genauer gesagt seit 60 Jahren. Was als einfaches und auf analoger Technik basierendes Design begann (Abbildung 2a) ist heute eine sehr komplexe und auf digitalen Schaltkreisen basierende Konstruktion mit hochmoderner Signalanalyse und -generierung (Abbildung 2b). Was Sicherheit und Zuverlässigkeit betrifft, bieten analoge Schaltkreise geringere Risiken als programmierbare digitale Komponenten, da bei diesen mehr potenzielle Programmfehler und komplexe Zustände auftreten können. Es sollte jedoch erwähnt werden, dass neueste digitale Designs integrierte Komponenten mit hochpräzisen A/D-Ws für EKG-Messungen sowie D/A-Ws für die Pulsgenerierung enthalten. Dies kann sehr effektive und einstellbare Schrittmacherfunktionen mit geschlossenen Feedbackkreisläufen ermöglichen. Wie bei den meisten Anwendungen basiert die Zuverlässigkeit des Designs aber hauptsächlich auf den analogen Teilen, etwa auf der Filterung, ausgeklügelten Vorverstärkern, dedizierten Zeitgebern und Oszillatoren sowie Platinenlayoutstrategien zur Minimierung von Störungen, Koppelungen und Temperaturdrift.

Abbildung 2a                                                                                 Abbildung 2b

Abbildung 2. Beispiele für a) analoge und b) digitale Herzschrittmacherdesigns

Liste von Designstrategien zur Maximierung von Sicherheit und Zuverlässigkeit

Nachfolgend finden Sie eine allgemeine Liste von Designüberlegungen für zusätzliche Sicherheit und Schutz für medizinische oder andere Geräte, für die dies wichtig ist.

• •  Integrierte Sicherheit (heutzutage üblich in besseren MCUs) mit Authentifizierung und dediziertem externem Speicher für vertrauliche Patientendaten und -protokolle
• •  Überwachungsschaltkreise und andere Energiemanagement-Komponenten, die stabile Spannungsschienen unterstützen und Unter- und Überspannungen vermeiden helfen, insbesondere für batteriebetriebene Anwendungen
• •  Einbau rückstellbarer Sicherungen zum Schutz kritischer Schaltkreise
• •  Einbau von Ferriten und ESE-Entstörern für platinenunabhängige Verbindungen zum Schutz vor Hochfrequenzstörungen und Störsignalen
• •  Redundanz bei kritischen Komponenten
• •  Platinenlayoutstrategien, die dabei helfen, die Auswirkungen von Umgebungs- oder lokalen Bedingungen zu minimieren, etwa von der Temperatur oder von potenziellen elektromagnetischen Störungen
• •  Filterung der Sensorverbindungen mit Sampling bei hohen Datenraten zur Unterstützung von Datenglättung und Durchschnittsbildung
• •  Routinen für gelegentliche Kalibrierungen von programmierbaren Komponenten, bei denen mit der Zeit Änderungen bei Verstärkung oder Offsets auftreten können
• •  Interlocking-Systeme bei der Verwendung potenziell unsicherer Komponenten wie etwa von Lasern oder Motoren

Gefahren-/Risiko-Matrix

Eine Risiko-Matrix (wie in Abbildung 3) kann bei der Erstellung eines robusten und risikoarmen Designs helfen und dient zumeist bei der Einführung zur Demonstration der Sicherheit und Zuverlässigkeit des Produkts. Eine typische Risiko-Matrix führt potenzielle Gefahren in einem System aus, bewertet diese Gefahren nach Auswirkung/Schweregrad und Auftretenswahrscheinlichkeit und trifft auf dieser Grundlage eine Aussage dazu, ob das Risiko akzeptabel ist.

Selbst wenn manche Gefahren als akzeptabel eingestuft werden, kann es dennoch wichtig sein, sie unter Kontrolle zu halten, um Auswirkungen oder Auftreten zu begrenzen. Der Zweck besteht jedoch darin, die potenziellen Fehlerpunkte aufzulisten, die zu nachteiligen Folgen (für den Benutzer oder das System) führen könnten, und wie diese kontrolliert oder auf ein akzeptables Gefahrenniveau gebracht werden können. Die Ergebnisse solcher Risikokontrollmaßnahmen führen typischerweise zu weiteren Designaufgaben rund um zusätzlichen Schutz, Redundanz und Systemwiederherstellung. Manche dieser Aufgaben könnten einfach als „Entwurf gemäß IEC-Standard 60601“ deklariert werden, um die damit verbundenen Risiken zu bezeichnen.

Abbildung 3. Nachverfolgbarkeitsmatrix für das Risikomanagement bei einem medizinischen Gerät

Schlussfolgerung

Medizinische Geräte erfordern sicherlich strengere Designpraktiken als normale Produkte. Sie können jedoch je nach Klassifizierung und Anwendung unterschiedlich sein. Auch wenn IEC 60601 ein nützlicher Leitfaden hierfür ist, kann ein Risikomanagementprozess zur Nachverfolgung potenzieller Gefahren und zur Beschreibung von deren Kontrolle von großer Hilfe sein, um die Angemessenheit eines Produkts zu demonstrieren. Gleichzeitig können Techniker damit die Sicherheit und Zuverlässigkeit des Produkts maximieren.

Referenzen:

Abbildung 2a Bild: Artikel – „The Evolution of Pacemakers“ – von S. Haddad, R. Houben, W. A. Serdijin
Abbildung 2b Bild: Artikel – „Design of Wavelet-Based ECG Detector for Implantable Cardiac Pacemakers“ – von Y. Min, H. K. Kim, Yu-Ri Kang, Gil-Su Kim, J. Park und S. Kim
Abbildung 3 Bild: Website – https://medicaldevicehq.com/fmea-vs-iso-14971/