Orvosi eszközök gyártmányfejlesztése Orvosi készülékek funkcionális biztonsága. Alarm rendszer.

Átírás

1 Orvosi eszközök gyártmányfejlesztése Orvosi készülékek funkcionális biztonsága. Alarm rendszer. Vámos Attila Budapest,

2 Bemutatkozás Vámos Attila Okl. villamosmérnök (2009), okl. egészségügyi mérnök (2010) Kutató mérnök, GeorgiaTech ( ) Fejlesztőmérnök, Robert Bosch Kft. ( ) Rendszermérnök (2012-) Elsősorban akut készülékek rendszerfejlesztése Kérdés esetén elérhetőség: agnes.dombai@bbraun.com 2

3 Áttekintés Orvosi készülékek funkcionális biztonsága Alarm rendszer 3

4 Orvosi készülékek funkcionális biztonsága

5 Mit jelent a funkcionális biztonság? A biztonságkritikus készülékek azon tulajdonsága, hogy működés közben biztonságosak maradjanak, vagy hiba észlelése esetén automatikusan biztonsági állapotba kerüljenek. [IEC 61508] A funkcionális biztonság eléréséhez a rendszernek helyesen kell reagálni a bemenetekre, észlelnie, illetve kezelnie kell a potenciális hardver meghibásodásokat és a kezelői hibákat. 5

6 Példák biztonságkritikus rendszerekre Vészleállító rendszer egy veszélyes anyagokat előállító vegyipari üzemben Biztonságos terhelést jelző rendszer egy darun Vasúti szemafor Vészleállító rendszer forgó gépeknél Repülőgép fly-by-wire rendszere Személygépjárművek menetdinamikai beavatkozó rendszerei (ABS, ESP, torque-vectoring) Infúziós pumpa vezérlése Lélegeztetőgép A biztonságkritikus rendszerbe beleértjük a készülék összes olyan komponensét, mely szükséges az adott funkció biztonságos ellátásához (érzékelőket, szabályzó algoritmust, kommunikációs alrendszereket, beavatkozókat, ill. akár magát az operátort is). 6

7 Funkcionális biztonság Mi számít annak? A készülék működése közben megvalósított biztonsággal kapcsolatos intézkedések a készülék fő funkcióihoz kapcsolódó veszélyek elkerülésére. Pl.: Csecsemő inkubátor melegítő funkciójának túlmelegedés elleni védelme egy hőmérő, és egy hozzá kapcsolódó beavatkozó segítségével. A beavatkozó áramtalanítja a fűtőelemet, ha a biztonságosnál magasabb hőmérsékletet észlel. Az infúziós pumpa egy áramlásérzékelővel ellenőrzi, hogy az infúzió valóban a beállított sebességgel folyik a csőben. Kritikus mértékű eltérés esetén leáll. 7

8 Funkcionális biztonság Mi nem számít annak? A nem szorosan a készülék működése által megvalósuló biztonsággal kapcsolatos intézkedések. Pl.: A csecsemő inkubátor nagy hőtűrésű szigetelő anyagból készült háza. Biokompatibilis anyagok használata az infúziós pumpa csőszerelékében Áramütés elleni villamos szigetelés Elektromágneses kompatibilitást (EMC) elősegítő megoldások Üzemszerű terhelésnek ellenálló mechanikai kialakítás 8

9 Funkcionális biztonsági követelmények Szabványokból és a Kockázatelemzésből, mert Az adott készüléktípusra nincs szabvány A szabvány nem tér ki az alkalmazott új technológiára 9

10 KÖVETEL Orvostechnikai eszköz menedzsment szabványok ISO14971 ISO13485 BEFOLYÁSOL Kijelöli az orvostechnikai eszköz fejlesztés alapjait BEFOLYÁSOL IEC 62304:2006 Figure C.1 Orvostechnikai eszköz termék szabványok IEC Orvostechnikai eszköz folyamat szabvány IEC BEFOLYÁSOL Orvostechnikai eszköz Specifikus iránymutatást ad a biztonságos orvostechnikai eszköz készítéséhez Részletes irányelvet nyújt hogyan kell biztonságos szoftver rendszert fejleszteni és karbantartani Egyéb információ források IEC/ISO IEC IEC/ISO INSPIRÁL Kiegészítő irányelvek, technikák, stb. amik hasznosak lehetnek 10 10

11 IEC Szabványcsalád tagjai Általános - Kiegészítő - Különleges (General - Collateral - Particular) - definiálja, a plusz követelményeket az adott termékre - módosíthatja az általános és a kiegészítő szabvány követelményeit -Definiált struktúra(fejezet, sorszámozás) -megvizsgálja a veszélyhelyzeteket, amelyeket számításba kell venni -Definiált alap biztonsági intézkedések, melyeket a Risk Management során kiértékeltek, a szándékolt alkalmazásnak megfelelően 11

12 MDD - Kockázattal kapcsolatos követelmények Alapkövetelmények (Essential Requirements): 1. Az eszközt úgy kell megtervezni és gyártani, hogy az a gyártó által meghatározott rendeltetési körülmények között a céljának megfelelően használva ne veszélyeztesse a betegek egészségi állapotát vagy biztonságát, illetve a felhasználók és adott esetben más személyek biztonságát és egészségét, azzal a feltétellel, hogy a rendeltetésszerű használatával járó valamennyi kockázat elfogadhatónak minősüljön a beteg számára nyújtott előnyökhöz mérten, és összeegyeztethető legyen a magas fokú egészségvédelmi és biztonsági követelményekkel... A követelmény leírja az alapfolyamat lefolytatását a kockázat-előny értékelésre (szintén szerepel a ER 6. pontban), megjegyezve hogy a társadalom magas szintű biztonsága szükséges. 6. Bármely nem kívánatos mellékhatásnak elfogadható mértékű kockázatot kell jelentenie a gyártó által állított teljesítőképességgel összevetve. 12

13 MDD - Kockázattal kapcsolatos követelmények (folyt.) 2. A gyártó által alkalmazott kialakítási és gyártási megoldások feleljenek meg a biztonsági alapelveknek, figyelembe véve az általánosan elfogadott műszaki színvonalat. A legalkalmasabb megoldások kiválasztása során a gyártónak a következő alapelveket kell érvényesítenie a felsorolás sorrendjében: a) a kockázat kiküszöbölése, illetve csökkentése (önmagában biztonságos kialakítás és konstrukció); (inherent safe design) b) a nem kiküszöbölhető kockázatok vonatkozásában kellő védelmi intézkedések alkalmazása, beleértve a riasztást is, ha szükséges; (protective measures) c) a felhasználók tájékoztatása az elfogadott védelmi intézkedések bármilyen hiányossága miatt megmaradó kockázatról. (information for safety) Kockázattal kapcsolatos alapkövetelmények harmonizált szabványban való folyamat szabályozása: ISO 14971:

14 Kockázat mátrix (ismétlés RM) 14

15 Életciklus Modellek V modell (IEC 62304:2006) 15

16 Funkcionális biztonság a fejlesztési folyamatban 16

17 Hibatípusok Rendszeres hiba (hardverben) Hiba a nyomtatott huzalozásban (rövidzár, szakadás) Alkatrészek működési tartományon kívüli használata Kiküszöbölhetők a helyes fejlesztési folyamat segítségével. Rendszeres hiba (szoftverben) kódolási hiba fordító hiba Valószínűségük lecsökkenthető a helyes fejlesztési folyamat segítségével. Véletlen hiba (csak hardverben értelmezett) elektronikus alkatrész tönkremegy Futásidőben kell észlelni és/vagy kezelni öntesztek, illetve redundáns architektúra segítségével. 17

18 Redundancia és diverzitás a rendszerarchitektúrában Redundancia: ugyanazon megoldás használata több példányban. Diverzitás: azonos funkció megvalósítása különböző megoldásokkal. Egy paraméter számítása eltérő módokon (pl.: komplementer) Az egyik szenzor a mért fizikai mennyiséggel egyenesen, a másik pedig fordítottan arányos jelet ad ki. A redundancia csak véletlen hibák ellen véd, míg a diverzitás részben a rendszeres hibákat is kiküszöböli. 18

19 Az egyszeres hiba (Single Fault Condition) koncepció Az orvosi készüléknek egyszeres hiba ellen védettnek (single fault safe) kell lennie, vagy a hibából eredő kockázatnak elfogadható mértékűnek kell lennie a kockázatirányítási folyamat alapján. [IEC ] A bármikor véletlenszerűen előforduló egyszeres hiba nem okozhat veszélyt. Ha az egyszeres hibát a készülék érzékelni képes, akkor jeleznie kell azt a kezelő felé, így a készüléket nem használják tovább míg a hibát ki nem javítják. Ha az egyszeres hiba nem detektálható (alvó hiba), akkor egy később előforduló második független egyszeres hiba sem okozhat veszélyt. Pl.: két független vészleállító mechanizmus közül az egyik nem működik Ha az első egyszeres hiba egy második egyszeres hibát okoz, akkor ezeket egyetlen egyszeres hibának kell tekintenünk. Pl.: a tápegység elromlik, majd a belső tápvonalakra jutó túlfeszültség miatt meghibásodik egy biztonsági érzékelő Az elnevezés tehát félrevezető, hiszen az egyszeres hiba tűrő rendszernek nem feltétlenül csak egy darab hiba esetén kell biztonságosnak maradnia. 19

20 Az egyszeres hiba (Single Fault Condition) koncepció Mennyi idő áll rendelkezésre a hiba észlelésére és a beavatkozásra? (tehát milyen maximális reakcióidő a megengedett) FTT (Fault Tolerance Time) A hiba kialakulása és a veszélyhelyzet létrejötte között eltelt idő Pl.: Egy levegőbuborék halad el a hibás érzékelő előtt, majd a cső végéig eljutva bejut a páciensbe. (kb. 4-5 s) Mennyi idő múlva várható a második független hiba? (tehát minimum milyen gyakran kell ellenőrizni az adott egységet) MFOT (Multiple Failure Occurence Time) statisztikai módszerekkel is nehezen határozható meg. Orvosi készülékek esetén általában egy kezelés ideje, esetleg egy nap. Mely funkcióknak kell egyszeres hiba tűrőnek lenniük? Amelyekre ezt a készülékre vonatkozó szabvány (IEC XX) előírja. Amelyekre a kockázatirányítási folyamat szükségesnek ítéli. 20

21 Az egyszeres hiba tűrő architektúrák - CPP Egy vezérlő és két védelmi rendszer rendszer szintű védelem Nem szükséges önteszt Ügyelni kell a közös módusú hibák elkerülésére (pl. különböző CPU használata az alrendszerekben) 21

22 Az egyszeres hiba tűrő architektúrák - CP Egy vezérlő és egy védelmi rendszer rendszer szintű védelem A védelmi rendszer öntesztje szükséges a MFOT-on belül (pl. 24h tesztek, kezelést megelőző öntesztek) Ügyelni kell a közös módusú hibák elkerülésére, pl.: Hibás architektúra: közös tápellátás a vezérlő és védelmi rendszernek 22

23 Az egyszeres hiba tűrő architektúrák - C Egy vezérlő rendszer komponens szintű védelem A vezérlő rendszertől független beavatkozó (pl.: watch-dog áramkör) szükséges, mely létre tudja hozni a biztonsági állapotot. Watch-dog öntesztje MFOT-n belül. A vezérlő rendszer teljes (RAM, ROM, CPU, stb.) öntesztje FTT-n belül. 23

24 Az egyszeres hiba tűrő architektúrák - hibrid Közös processzoron futó különálló vezérlő és védelmi szoftverfolyamatok hibrid védelmi rendszer A vezérlő és védelmi rendszereknek különálló független hardveres érzékelőkkel kell rendelkezniük, Pl.: infúziós pumpa vezérlése motorfordulattal, ezt a védelmi rendszer áramlásmérővel ellenőrzi A hibrid rendszerhez független beavatkozó (pl.: watch-dog áramkör) szükséges, mely létre tudja hozni a biztonsági állapotot. Watch-dog öntesztje MFOT-n belül. A vezérlő rendszer öntesztje FTT-n belül ajánlott, de nem kötelező. Előny: kisebb hardverköltség Hátrány: 100%-os egyszeres hiba tűrést nem nyújt, de a kockázatot kellő mértékben lecsökkentheti 24

25 Az egyszeres hiba tűrő architektúrák - hibás architektúrák Látszólag kétcsatornás rendszerek, melyek függetlensége mégsem biztosított: Adottak a redundáns hardver elemek, ám az egyik rendszer memóriatartalmát periodikusan felülírja a másik A két csatorna közös érzékelőt, vagy beavatkozót használ A két csatorna külön érzékelőt, vagy beavatkozót használ, de azok közös tápfeszültséget kapnak 25

26 Önteszt milyen gyakran? FTT-on belül: Közvetlen veszélyt okozó egyszeres hiba detektálására, pl. a vezérlő rendszer biztonságkritikus elemében Dialízis készülékben: a levegőérzékelő (self-test signal) MFOT-on belül: Alvó hiba észlelésére, pl. a védelmi rendszer működésének ellenőrzése, vagy kisebb veszélyt jelentő egyszeres hiba esetén Dialízis készülékben: az alarm rendszer hangszórójának ellenőrzése 26

27 Önteszt milyen módszerrel? EEPROM-ban tárolt adatok esetén: Ellenőrző összeg, CRC, MD5, stb. Mikrokontrollerek esetén: Regiszter teszt, utasításkészlet teszt Időalap (oszcillátor) teszt Tápfeszültség ellenőrzés (dedikált reset áramkörrel, vagy a második csatorna ADCjével) Analóg jelek és ADC esetén: Egy (ofszet hiba), vagy több (erősítési hiba) referenciafeszültség visszamérése, stb. Származtatott értéket szolgáltató érzékelők esetén: A teljes fizikai jelút ellenőrzésével, pl. vérszökés detektornál: 27

28 Alarm rendszer

29 Mi az az alarm rendszer és mikor van rá szükség? Alarm rendszernek nevezzük az orvosi készülék azon részeit, melyek együttműködve képesek felismerni az alarm szituációkat (ti. potenciális veszélyhelyzet áll fenn), valamint az adott alarm szituációnak megfelelő jelzéseket adni. [IEC ] Ha a gyártó kockázatbefolyásolási intézkedésként értesíteni kívánja a kezelőt egy fennálló veszélyhelyzetről, akkor az orvosi készüléknek rendelkeznie kell egy a jelen szabványt teljesítő alarm rendszerrel. [IEC ] 29

30 MDD Alarm Riasztással kapcsolatos követelmények Alapkövetelmények (Essential Requirements): 12. Energiaforráshoz kapcsolt vagy azzal ellátott eszközökre vonatkozó követelmények Az olyan eszköznek, amelynél a beteg biztonsága külső energiaellátástól függ, olyan riasztórendszert (alarm rendszer) kell tartalmazni, amely jelzi az energiaellátás bármilyen hibáját Az olyan eszköznek, amelynek rendeltetése a beteg egy vagy több klinikai paraméterének a figyelése, megfelelő riasztórendszert (alarm rendszer) kell tartalmaznia a felhasználó riasztására a beteg halálával vagy egészségi állapotának komoly romlásával fenyegető helyzetekben A kezelőszervek és kijelzők rendeltetését az eszközön egyértelműen meg kell adni. Ha magán az eszközön a működtetéséhez szükséges tájékoztatások vannak, vagy az eszköz vizuálisan jelzi az üzemi vagy a beállítási paramétereket, akkor ezek a tájékoztatások a felhasználó és adott esetben a beteg számára érthetőek legyenek. 30

31 Alarm rendszer követelmények Honnan tudjuk, hogy milyen esetekben szükséges alarm jelzést adni mik az alarm szituációk? Milyen legyen egy alarm jelzés? Honnan tudjuk, hogy melyik alarm fontosabb és melyik kevésbé mekkora egy alarm szituáció prioritása? Szabványokból: IEC General requirements for basic safety and essential performance IEC General requirements for basic safety and essential performance Collateral Standard: General requirements, tests and guidance for alarm systems in medical electrical equipment and medical electrical systems IEC XX Particular requirements for the basic safety and essential performance of XX, ahol XX az orvosi eszközök egy konkrét csoportja A kockázatirányítási folyamatból: Minél nagyobb a kockázat, annál magasabb prioritású az alarm szituáció. 31

32 Alarm szituációk prioritása - IEC :2012 A kockázatirányítási folyamatban az alábbiak az irányadóak 32

33 Alarm szituációk prioritása IEC hacsak egy erősebb szabvány felül nem írja (pl. más prioritások), vagy ki nem egészíti őket (pl. max. hangerő) : min. 65 db 1 m távolságban : max. 80 db 33

34 Alarm szituációk prioritása IEC

35 Alarm szituációk prioritása IEC

36 Vizuális alarm jelzések 1 méterről jól azonosíthatóan megjelenítik (pl.: szöveg a képernyőn) a rendszerben aktuálisan fennálló összes alarm szituációt (prioritással együtt) vagy ezek közül a legmagasabb prioritásút. 4 méterről jól felismerhető jelzéssel (pl.: jelzőfény) azonosítják a rendszerben jelen lévő legmagasabb alarm szituáció prioritását az alábbiak szerint: 36

37 Alarm hangjelzések Azonosítják az alarm szituáció prioritását. Egy alacsonyabb prioritású hangjelzés nem lehet hangosabb egy magasabb prioritásúnál. Előírás a ritmusra Ajánlás a dallamra 37

38 Alarm hangjelzések Jelzik az alarm szituáció prioritását. Egy alacsonyabb prioritású hangjelzés nem lehet hangosabb egy magasabb prioritásúnál. Előírás a ritmusra Ajánlás a dallamra 38

39 Informatív jelzések Tájékoztató jellegűek, Pl.: 5 perc múlva kifogy a zsákból az infúzió Kényelmi és nem biztonsági jelentőségük van Javítják a gép használhatóságát (usability) Tájékoztat(hat) nak a gép műszaki állapotáról Nagyon fontosak a marketing osztály számára, pl. nurse timer Nem lehetnek összetéveszthetők az alarm jelzésekkel! 39

40 Mitől szűnik meg az alarm jelzés? Automatikusan, ha az őt kiváltó alarm szituáció már nem áll fenn (non-latching, mint egy nyomógomb) Kezelői beavatkozásra (alarm nyugtázása), még akkor is, ha a kiváltó alarm szituáció már nem áll fenn (latching, mint egy kapcsoló) Ha fontos, hogy az információ ne vesszen el, az kezelő értesüljön róla. 40

41 A nővér kedvenc gombja Némítás (Mute) Hangjelzés, vagy a teljes alarm rendszer Kikapcsolása időre) Szüneteltetése időre) Jogosultságkezelés! Nővér Orvos Felelős szervezet (határozatlan (határozott Kötelezően használt szimbólumok a kikapcsolt vagy szüneteltetett állapot jelzésére 41

42 Eltérhet a gyártó a szabványban előírt jelzésrendszertől? Igen, de Az eltérő jelzések nem lehetnek összetéveszthetők a szabványos alarm jelzésekkel. Használhatósági és/vagy klinikai tesztekkel kell validálni az eltérő jelzésrendszert. (pl.: más dallam vagy fény jelek, beszédszintetizátorral előállított hangminták, stb.) Mi motiválta az egységes jelzésrendszer megalkotását? Hogy az eltérő gyártók eltérő célra használt készülékeinek jelzései azonos sürgősségi érzetet keltsenek. Miért merül fel eltérő jelzésrendszer használata? Mert az szabványalkotó az intenzív osztályt vette alapul a jelzések és a prioritások megállapításánál. Mert a gép szándékolt felhasználásának (intended use) környezete indokolja. (pl. dialízis központ v.s. intenzív osztály) Mert a marketing osztály újítással szeretne megjelenni a piacon. 42

43 Zaj- és hangszennyezés Egyre inkább előtérbe kerül a növekvő zajterhelés miatt WHO által előírt átlagos zajterhelés nem haladhatja meg a db (overnight) az intenzív osztályokon rövid kiugró értékek megengedettek gyakorlatilag betarthatatlan elvárások Kiemelt fontosságú pl. a koraszülött osztályon 43

44 Zaj- és hangszennyezés folyt. 44

45 45