Czym jest IEC 62304 i dlaczego dzięki ISO 13485 osiągamy dwa cele jednocześnie
Może już dowiedzieliście się z naszego bloga, że planujemy uzyskać certyfikację ISO 13485.
ISO 13485 to norma dotycząca wymagań dla systemu zarządzania jakością, specjalnie dla rozwoju produktów medycznych. Służy ona zapewnieniu jakości produktu, a także bezpieczeństwa pacjenta i użytkownika.
Ale to tylko małe przypomnienie. W tym artykule na blogu chodzi o IEC 62304.
Co to jest IEC 62304?
IEC to skrót od International Electrotechnical Commission. IEC 62304 to zatem zbiór sprawdzonych praktyk opracowanych przez tę Komisję dla rozwoju oprogramowania medycznego.Jest ona następczynią amerykańskiej normy ANSI/AAMI SW68 i przywiązuje większą wagę do oprogramowania w produktach medycznych i związanych z nim ryzyk.
Ponieważ udział oprogramowania w medycynie staje się coraz większy i ważniejszy, staje się niezbędne ustanowienie wytycznych dla jego rozwoju, aby zapobiec potencjalnym ryzykom. Dlatego IEC 62304 stawia szczegółowe wymagania dla procesów i działań, które są przeprowadzane podczas rozwijania tego oprogramowania.
Szczególna uwaga jest zwracana na cykl życia oprogramowania, który składa się z następujących 3 faz:
- Faza 1: Rozwój oprogramowania
- Faza 2: Utrzymanie oprogramowania
- Faza 3: Wyłączenie oprogramowania
Ostatnią z faz chciałoby się jak najdłużej odwlekać, poprzez naprzemienne wykonywanie fazy 2. Aby jednak nie pozostawać w tyle za ciągle rozwijającym się stanem techniki już po kilku latach, już podczas rozwoju należy przestrzegać niezbędnej struktury.
IEC 62304 obejmuje zatem 5 obszarów tematycznych:
- Rozwój oprogramowania
- Utrzymanie oprogramowania
- Zarządzanie ryzykiem oprogramowania
- Zarządzanie konfiguracją oprogramowania
- Rozwiązywanie problemów z oprogramowaniem
Wymagania dla każdego kroku pracy w ramach tych procesów są definiowane z uwzględnieniem ryzyka bezpieczeństwa danego kroku pracy.
Podstawą są klasy bezpieczeństwa zdefiniowane według ISO 14971:
- A: brak obrażeń lub uszkodzeń zdrowia
- B: brak możliwości poważnego urazu
- C: śmierć lub poważne obrażenia są możliwe
Ryzyko jest obliczane według ISO 14971 na podstawie prawdopodobieństwa wystąpienia razy stopień ciężkości. W przypadku oprogramowania nie można z góry określić, czy wystąpi błąd. Dlatego prawdopodobieństwo jest tymczasowo ustawiane na 100%, co oznacza, że uwzględnia się tylko pytanie, jak wysoki jest stopień ciężkości w przypadku wystąpienia błędu.
Dla rozwoju oprogramowania zaleca się więc korzystanie z przejrzystej metody, która wspiera separację poszczególnych etapów pracy. Mogą to być na przykład metoda kaskadowa, metoda przyrostowa lub metoda ewolucyjna.
Przykładowe modele postępowania: kaskadowy, przyrostowy, ewolucyjny.
Pozwalają one na oddzielne traktowanie etapów pracy o wyższych poziomach bezpieczeństwa. Umożliwia to lepszy przegląd wymaganych wymagań i ich realizacji.
Podczas rozwoju muszą być pokryte wszystkie podstawowe aspekty inżynierii oprogramowania, niezależnie od klasy bezpieczeństwa.Jednakże środki przeciwdziałania ryzyku, architektura systemu i integracja, a także testy integracyjne muszą być wprowadzone i stosowane dopiero od klasy bezpieczeństwa B.
Od klasy bezpieczeństwa C standardy, metody i narzędzia muszą być zapisane z wyprzedzeniem w planie rozwoju i musi być prowadzona dokumentacja na temat kroków pracy. Szczegóły są zawarte w ISO 61508.
Jeśli proces rozwoju pracy jest starannie przeprowadzany, ułatwia to znacznie inne procesy. Dla nich również precyzyjne procedury są zdefiniowane w IEC 62304. Zarządzanie ryzykiem w oprogramowaniu, na przykład, można zrealizować zgodnie z ISO 14971.Biorąc pod uwagę ustalone standardy, oprogramowanie dla produktów medycznych może być efektywnie i zgodnie z wymaganiami wdrożone. Co więcej, nie tylko medyczne urządzenia zaliczają się do produktów medycznych. Nawet oprogramowanie, które tylko częściowo ma do czynienia z opieką zdrowotną, musi być rozwijane zgodnie z przepisanymi standardami!
Certyfikacja IEC 62304 i sprawa z dwoma muchami
Chcielibyśmy oczywiście zapewnić, że nasze produkty spełniają standardy. Dlatego chcielibyśmy tutaj zwrócić uwagę, że prosta certyfikacja według IEC 62304 nie jest wystarczająca!Ponieważ każdy ma prawo do wydania takiego certyfikatu. W związku z tym nie jest dozwolone rozwijanie produktów medycznych, jeśli posiada się tylko certyfikację dla IEC 62304!
Dlatego uzyskujemy certyfikację według ISO 13485.Ponieważ audyt według ISO 13485 jest przeprowadzany przez akredytowane jednostki. Sprawdza się również zgodność z IEC 62304To oznacza, że firma, która jest certyfikowana według ISO 13485, jest jednocześnie sprawdzana według IEC 62304!
