Wesentliche Leistungsmerkmale bei Medizinprodukten

Die IEC 60601-1 definiert wesentliche Leistungsmerkmale als Leistungsmerkmale, die erforderlich sind, um Freiheit von unvertretbaren Risiken zu erreichen.

Dieser Artikel soll klären, was die Norm damit meint und wie sich diese wesentlichen Leistungsmerkmale von der Basissicherheit abgrenzen.

Der Beitrag geht auch auf das IEC 60601-1/AMD1/ISH1:2021 INTERPRETATION SHEET 1 ein.

1. Was wesentliche Leistungsmerkmale sind

a) Begriffsdefinition

Es gibt trotz dieser Definition immer wieder Unsicherheiten, was nun wesentliche Leistungsmerkmale sind. Dessen scheint sich die Norm bewusst zu sein, weshalb sie die Definition um eine Anmerkung ergänzt:

Wesentliche Leistungsmerkmale sind am einfachsten zu verstehen, indem man überlegt, ob deren Nichtvorhandensein oder Verschlechterung zu einem unvertretbaren Risiko führen würde.

Doch auch diese Ergänzung lässt Fragen offen. Deshalb fühlte sich die IEC genötigt, weitere Erläuterungen in einem Intepretation Sheet nachzureichen, das dieser Artikel weiter unten vorstellt.

b) Beispiele für wesentliche Leistungsmerkmale

Im Gegensatz zur Basissicherheit sind die wesentlichen Leistungsmerkmale typisch für den Gerätetyp, beispielsweise

• die Fähigkeit des Bestrahlungsgeräts, genau im geplanten Winkel mit der geplanten Dosis zu bestrahlen,
• die Fähigkeit des Laborgeräts, Laborparameter in der spezifizierten Genauigkeit zu messen (Anmerkung: Die IEC 60601-1 ist für IVD nicht harmonisiert.),
• die Fähigkeit des Kühlschranks, Blutbeutel zu kühlen, oder
• die Fähigkeit der Pumpe der Herz-Lungen-Maschine, wie eingestellt zu drehen und das Blut zu fördern.

Die Antwort auf die Frage, wie sich die wesentlichen Leistungsmerkmale von der Basissicherheit unterscheiden, findet sich im 4. Abschnitt dieses Beitrags (FAQ).

2. Wesentliche Leistungsmerkmale: Regulatorische Anforderungen

Die IEC 60601-1 fordert v. a. im Kapitel 4.3, dass die Hersteller von Medizinprodukten

• die wesentlichen Leistungsmerkmale ihrer Produkte festlegen,
• durch Prüfung sicherstellen, dass ihre Produkte die wesentlichen Leistungsmerkmale auch tatsächlich erfüllen,
• dabei bestimmte Prüfverfahren anwenden und
• all dies durch eine geeignete Dokumentation nachweisen.

Bei programmierbaren elektrischen medizinischen Systemen (PEMS) mit Komponenten, die wesentliche Leistungsmerkmal „bewirken“, stellt die IEC 60601-1 darüber hinaus Anforderungen an die Entwicklung, die Problemlösung, den Risikomanagementprozess sowie die Verifizierung und Validierung.

3. Wie man die wesentlichen Leistungsmerkmale bestimmt

Das weiter unten vorgestellte Interpretation Sheet zum Kapitel 4.3 der IEC 60601-1 gibt vor, wie Hersteller die wesentlichen Leistungsmerkmale bestimmen müssen.

#	Schritt	Beispiel
1	Die notwendigen klinischen Funktionen aus der Zweckbestimmung ableiten sowie aus der Überlegung, was die Sicherheit (Safety) negativ beeinträchtigen könnte	Ein automatischer Defibrillator AED kann einen zu schockenden Rhythmus erkennen. .
2	Die Leistungsmerkmale dieser klinischen Funktionen bestimmen	Herzfrequenz korrekt messen, ventrikuläre Tachykardie im EKG erkennen
3	Die Bereiche festlegen, in denen sich diese Leistungsmerkmale befinden müssen – sowohl im Normalzustand als auch im Erstfehlerzustand	Sensitivität und Spezifität der AHA (American Heart Association) mit den Testdatensätzen
4	Risiken bestimmen, wenn die Leistungsmerkmale außerhalb dieser spezifizierten Bereiche liegen. Sind diese Risiken inakzeptabel, ist das Leistungsmerkmal ein wesentliches.	Es wird kein Schock abgegeben, wenn ein Schock abgegeben werden soll (falsch negativ). . Umkehrung: Es wird ein Schock abgegeben, wenn kein Schock abgegeben werden soll (falsch positiv). .

Für alle wesentlichen Leistungsmerkmale müssen die Hersteller Maßnahmen zur Risikokontrolle festlegen und implementieren, um die Risiken sowohl im Normalzustand auch im Erstfehlerzustand auf ein akzeptables Maß zu minimieren.

Natürlich müssen die Hersteller wie bei allen risikominimierenden Maßnahmen nachweisen, dass sie diese Maßnahmen tatsächlich implementiert haben und dass diese wirksam sind.

4. FAQ: Häufige Frage zu den wesentlichen Leistungsmerkmalen

a) Müssen die wesentlichen Leistungsmerkmale auch im Erstfehlerfall gewährleistet bleiben?

Das Interpretation Sheet beantwortet diese Frage mit Ja. Die Autoren leiten ihre Antwort aus verschiedenen Textstellen der IEC 60601-1 ab:

• Die wesentlichen Leistungsmerkmale sollen sich zunächst auf die klinischen Funktionen des Medizinprodukts beziehen.
• Erste Fehler können neben der Basissicherheit auch den Verlust oder die Beeinträchtigung von klinischen Funktionen verursachen und somit zu einem nicht vertretbaren Risiko führen.
• Damit gilt die Anforderung aus Abschnitt 4.7, dass ME-Geräte erstfehlersicher sein bzw. bleiben müssen, auch für die wesentlichen Leistungsmerkmale.

b) Wie grenzen sich die wesentlichen Leistungsmerkmale von der Basissicherheit ab?

Die Norm definiert Basissicherheit wie folgt:

Die Basissicherheit bezieht sich auf physikalische Gefährdungen (potenzielle Schadensquellen), die sich aus der Wahl der technischen Lösung ergeben und inhärent im Gerät stecken. Dazu zählen:

• Elektrische Gefährdungen (Netzspannung 230 V)
• Thermische Gefährdungen (überhitzter Akku)
• Mechanische Gefährdungen (schnell bewegte Teile)

Die Basissicherheit erreichen die Hersteller meist durch passive Schutzmaßnahmen, die für einen Gerätetyp unspezifisch ist. Dazu zählen:

• Elektrische Isolation (Gehäuse)
• Thermische Sicherung
• Verstärkung, Fangseile
• Feuerfeste Gehäuse

Die Basissicherheit ist somit eine Eigenschaft eines Geräts. Leistungsmerkmale beziehen sich auf die Fähigkeit einer Funktionseinheit, eine geforderte Funktion zu erfüllen. Das können die besagten klinischen Funktionen sein (Erkennen von Flimmern) oder auch Schutzfunktionen, die einen gefährlichen Zustand erkennen (Überhitzung) und das Gerät in einen sicheren Zustand bringen sowie dort halten und alarmieren (Alarme).

Ereignisse und Umstände, die zum Verlust oder zur Verschlechterung solcher Funktionen führen, müssen erkannt und beherrscht werden, da ein Ausfall ein unvertretbares Risiko bedeutet.

c) Kann auch Software über wesentliche Leistungsmerkmale verfügen?

Sowohl Standalone-Software als auch Software als Teil eines Medizinprodukts kann wesentliche Leistungsmerkmale implementieren. Beispiele sind

• eine Standlone-Software zur Dosisberechnung von Zytostatika oder
• Embedded Software, die die Pumpe bei einer Herz-Lungen-Maschine steuert oder überwacht.

e) Gibt es Produkte ohne wesentliche Leistungsmerkmale?

Es ist zwar generell möglich, Medizinprodukte ohne wesentliche Leistungsmerkmale zu entwickeln, weil ein Fehler nicht zu inakzeptablen Risiken führt. Hersteller sollten aber Folgendes bedenken:

• Produkte ohne Risiken haben oft keinen Nutzen. Wurde dieser Nutzen konsistent in der Risikomanagementakte quantifiziert?
• Die Aussage, dass ein Produkt über keine wesentlichen Leistungsmerkmale verfügt, kann Auditoren bzw. Prüfer anspornen, das Gegenteil zu beweisen.
• Die ISO 14971:2012 verlangt, dass die Hersteller jedes Risiko so weit wie möglich reduzieren. Es gibt also keine generell akzeptablen Risiken.

Typische Beispiele für Produkte ohne Leistungsmerkmale sind chirurgische Instrumente (z. B. Sägen oder Bohrer), die definitionsgemäß der Behandlung (nicht der Diagnose oder Therapie) dienen und damit auch Medizinprodukte sind. Dass solche Produkte häufig keine wesentlichen Leistungsmerkmale haben, findet seinen Grund darin, dass die Anwender (z. B. Chirurg:innen) das Arbeitsergebnis überprüfen und korrigieren können. Sogar ein vollständiger Ausfall des Produkts ist oft unkritisch.

f) Muss man die wesentlichen Leistungsmerkmale während des Betriebs überprüfen?

Laut Interpretation Sheet müssen die Hersteller nicht entdeckbare (gefährliche) Fehler erkennen. Damit kommt der Betriebslebensdauer eine bedeutende Rolle zu, da die Sicherheitsfunktion während der gesamten Betriebslebensdauer aufrechterhalten sein muss.

Ein Selbsttest dieser Sicherheitsfunktion während des Betriebs oder eine vorgeschriebene Wartung ist daher unerlässlich, weil sonst der Nachweis sehr schwierig wird, dass diese Sicherheitsfunktion aktiv ist.

5. Das IEC 60601-1/AMD1/ISH1:2021 INTERPRETATION SHEET 1

a) Übersicht

Im März 2021 hat die IEC zur IEC 60601-1:2005/AMD1:2012 das Interpretation Sheet ISH1 mit dem Titel Interpretation of Subclauses 4.3 of IEC 60601-1:2005/AMD1:2012 and 4.7 of IEC 60601-1:2005 veröffentlicht.

Wie der Name bereits erkennen lässt, möchte das Dokument eine Interpretation des Kapitels 4.3 der IEC 60601-1 liefern. In diesem Kapitel geht es um die wesentlichen Leistungsmerkmale.

Das Interpretation Sheet

• fasst nochmals die Anforderungen an die wesentlichen Leistungsmerkmale zusammen,
• beschreibt, wie sich das Konzept der Ersten Fehler auf die wesentlichen Leistungsmerkmale anwenden lässt und
• macht Vorgaben für die Dokumentation und die Prüfung.

Wer sollte das Interpretation Sheet lesen?

• Hersteller (Entwickler und Architekten), die Sicherheitskonzepte für Produkte entwickeln, die wesentliche Leistungsmerkmale haben
• Benannte Stellen, die technische Dokumentationen prüfen
• Prüflabore, die die Sicherheit im Rahmen eines 60601-CB-Berichts nachweisen müssen

b) Zweck und Verbindlichkeit von Interpretation Sheets (im Allgemeinen)

Gemäß IEC ist ein Interpretation Sheet ein Hilfsmittel und bietet

„eine schnelle formale Erklärung auf eine dringende Anfrage eines Anwenders einer Norm (Prüflabor, Zertifizierungsstelle, Hersteller usw.).“

Interpretation Sheet ISH1

Die Autoren dürfen daher nur erklären bzw. interpretieren, aber keine neuen Anforderungen hinzufügen. Das Interpretation Sheet ist normativ und muss somit von allen genannten Anwendern auf die gleiche Art verstanden werden.

Weil das Information Sheet keine Anforderungen hinzufügt, sondern nur Anforderungen erläutert, ist es ab dem Datum der Veröffentlichung gültig. Es gibt keine Übergangsfrist.

Die Interpretation Sheets sind in der Regel kostenlos und können auf der IEC-Webseite oder beim VDE heruntergeladen werden.

c) Zweck des Interpretation Sheets zur IEC 60601-1

Die IEC 60601-1 führt die beiden fundamentalen Konzepte Wesentliche Leistungsmerkmale und Erster Fehler ein. Während sich in der Norm genannte erste Fehler im Abschnitt 13.2 nur auf die Basissicherheit beziehen, liefert die Basisnorm leider kaum eine Hilfestellung, wie mit Fehlern umzugehen ist, die nicht zu einem ersten Fehler führen. Diese Lücke soll nun das Interpretation Sheet schließen.

In der Einleitung steht.

This interpretation sheet is intended to clarify the requirements which are needed to maintain ESSENTIAL PERFORMANCE in SINGLE FAULT CONDITION.

Einleitung des Interpretation Sheets

In anderen Worten: Der Originaltext in der IEC 60601-1 erklärt das Konzept der wesentlichen Leistungsmerkmale so unvollständig, dass sich die IEC genötigt fühlt, mit einer Interpretation diesen Missstand zu beheben.

d) Autoren des Interpretation Sheets ISH1

Das Interpretation Sheet ISH1 mit dem Titel Interpretation of Subclauses 4.3 of IEC 60601-1:2005/AMD1:2012 and 4.7 of IEC 60601-1:2005 wurde von dem Unterausschuss SC62A des Technischen Komitees TC62 (Electrical equipment in medical practice) geschrieben.

e) Wesentliche Aussagen und Inhalte des Interpretation Sheets ISH1

• Die Hersteller müssen wie oben in der Tabelle beschrieben vorgehen, um wesentliche Leistungsmerkmale zu bestimmen.
• Die wesentlichen Leistungsmerkmale müssen auch im Erstfehlerfall gewährleistet bleiben.
• Die Betrachtung des ersten Fehlers soll sich nicht nur auf die in Abschnitt 13.2 genannten ersten Fehler beziehen, sondern auch auf andere Fehler oder Ausfälle von Bauteilen, Baugruppen oder Komponenten, die theoretisch oder echt simuliert werden sollen.
• In Übereinstimmung mit Abschnitt 4.7 b) sollen die Folgen eines zweiten unabhängigen Fehlers oder Ausfalls untersucht werden, insbesondere dann, wenn der initiale Fehler oder Ausfall unerkannt bleibt.
• Hersteller müssen diese nicht entdeckbaren Fehler erkennen.
  In der funktionalen Sicherheit unterscheidet man zwischen entdeckbaren und nicht entdeckbaren gefährlichen Fehlern. Ein nicht entdeckbarer gefährlicher Fehler könnte eine Sicherheitsfunktion sein, deren Ausfall nicht auffällt, solange das Medizinprodukt seine klinische Funktion korrekt ausführt.
• Prüfer müssen neben der Basissicherheit auch die Funktionssicherheit (oder funktionale Sicherheit) durch Inspektion der Dokumentation prüfen. Das sind völlig neue Aufgaben, die zusätzliche Erfahrung und Qualifikation erfordern. Das dürfte die Kosten für die Hersteller nach oben treiben.

f) Bewertung des Interpretation Sheets ISH1

Die Absicht hinter diesem Interpretation Sheet ist begrüßenswert. In der Basisnorm fehlt eine zusammenfassende Erläuterung zum Umgang mit Fehlern bezüglich der wesentlichen Leistungsmerkmale. Das Interpretation Sheet liefert eine Zusammenfassung der wichtigen Textstellen und Fakten der Norm. Mehr Beispiele, die die Anforderungen verständlicher machen, wären wünschenswert.

Die Auflistung in bb) ist eine gute Zusammenfassung der geforderten Aktivitäten und macht nochmals klar, dass die Handlungsleitung im Anhang A der Norm nicht nur informativ ist, sondern auch Hinweise für die Dokumentation beinhaltet. Hersteller sollten die Auflistung in bb) direkt in ihre Verfahrensanweisung zum Risikomanagement übernehmen.

Es gibt auch Kritik:

Unklares Zusammenspiel mit bestimmungsgemäßem Gebrauch

Die Frage bleibt unbeantwortet, was mit klinischen Funktionen gemeint ist und wie der Zusammenhang zum bestimmungsgemäßen Gebrauch zu verstehen ist. Die Norm betrachtet die klinischen Funktionen im Umfang des bestimmungsgemäßen Gebrauchs, der laut Definition 3.44 auch Instandhaltung, Wartung, Transport usw. beinhaltet.

Unklares Zusammenspiel mit Sicherheitsaspekten

Die wesentlichen Leistungsmerkmale beziehen sich auf Aspekte der Sicherheit. Dieses Zusammenspiel bleibt ebenfalls unklar. Da ein Interpretation Sheet keine Beispiele nennen darf, sollen die beiden folgenden helfen:

Beispiel 1: Bei einer Spritzenpumpe ist nicht die korrekte Dosierung (Dosierung wäre die klinische Funktion) das wesentliche Leistungsmerkmal, sondern der Genauigkeitstest (bestimmungsgemäßer Gebrauch), um die Fähigkeit eine Gefährdungssituation (Bsp. Okklusion) sicher zu erkennen und einen Alarm zu generieren. Die Norm macht keine Angaben dazu, mit welcher Zuverlässigkeit solche Situationen erkannt werden und Alarme generiert werden müssen. Die Norm merkt in der Begründung zu 5.1 selber an:

Zu 5.1) Compared with SINGLE FAULT CONDITIONS , this standard does not have verifiable requirements for faults not leading to a SINGLE FAULT CONDITION . This means this standard does not give guidance how reliable it is that faults can be prevented.

Beispiel 2: Ein Defibrillator darf keinen unerwarteten Schock abgeben. Die Fähigkeit, einen Schock abzugeben, wäre die klinische Funktion und die Fähigkeit, keinen unerwünschten Schock abzugeben, wäre Sicherheit. Die Funktion, die die Sicherheit gewährleistet, muss ebenfalls zuverlässig funktionieren. Das lässt sich mit einem Feuerlöscher vergleichen, der immer an der Wand hängt und im Notfall (bei Anforderung) zuverlässig funktionieren muss.

Keine Beispiele für Software

Ein Kommentar zum Umgang mit Fehlern in Software wäre interessant gewesen; insbesondere, wenn die Software das Gerät nicht nur steuert, sondern auch diagnostische Informationen liefert.

Begriffsungenauigkeiten

Die Autoren sprechen in cc) von einem second independent fault und die Norm in 5.1 von simultaneous independent faults und combination of simultaneous independent faults. Das ist allerdings nicht dasselbe.

6. Zusammenfassung

a) Empfehlung für Hersteller von Medizinprodukten

Nutzen Sie das Interpretation Sheet. Dokumentieren Sie gemäß dessen Vorgaben in den Abschnitten bb) 1) bis bb) 6) die Herleitung der wesentlichen Leistungsmerkmale in der Risikomanagementakte. Definieren Sie angemessene Maßnahmen, mit denen das System oder der Anwender den Ausfall oder die Verschlechterung der Leistungsmerkmale feststellen kann. Solche Maßnahmen können wiederkehrende Inspektionen, Wartung und interne Selbsttests umfassen.

Unsere Empfehlung ist, dass Sie Ihre Überlegungen in einem Sicherheitskonzept dokumentieren. Die IEC 60601-1 enthält keine konkreten Vorgaben an die Dokumentation. Indem Sie die Herleitung und Ihre Entwurfsentscheidungen dokumentieren, helfen Sie Prüfern und Auditoren, die wichtigen Aspekte Ihrer Produkte vollständig zu erfassen und ohne Rückfragen zu prüfen.

b) Empfehlung für Prüfhäuser

Lassen Sie sich in der Risikomanagementakte die Ergebnisse zur Herleitung der wesentlichen Leistungsmerkmale zeigen, siehe bb) 1) bis bb) 6). Es kann durchaus sein, dass ME-Geräte keine wesentlichen Leistungsmerkmale haben. Falls der Hersteller doch für sein Gerät wesentliche Leistungsmerkmale festgelegt hat, dann prüfen Sie, ob er die Funktionssicherheit durch Anforderungen, Design, Berechnungen und eigene Tests nachweisen kann. Natürlich müssen die Berechnungen und Tests glaubwürdig sein.

In der Regel genügt die Inspektion der Dokumentation. Die Leistungsmerkmale müssen Sie nur testen, wenn es eine normative Anforderung ist.

c) Empfehlungen für Auditoren

In der Regel liegen (zertifizierte) Prüfberichte von einem anerkannten Prüflabor vor. In diesem Fall brauchen Sie die Herleitung inhaltlich nicht noch einmal prüfen. Da das Interpretation Sheet verbindlich ist, können Sie davon ausgehen, dass der CB-Report vollständig ist.

d) Hinweis für Hersteller von IVD

Die IEC 60601-1 lässt sich nicht auf IVD-Produkte anwenden und die Schwesternorm IEC 61010-1 kennt keine wesentlichen Leistungsmerkmale, da sie nur eine Sicherheitsnorm ist. Wenn Ihr Produkt auch eine Maschine ist, dann müssen Sie auch die Anforderungen der Maschinenrichtlinie erfüllen (nach Wunsch der IVDR) und gelangen darüber in den Bereich der funktionalen Sicherheit und somit in die Normenreihe der IEC 61508. Die Philosophie der wesentlichen Leistungsmerkmale lässt sich dann auf Sicherheitseinrichtungen wie Lichtschranken oder Interlock-Systeme anwenden.

---

Wenn Sie Unterstützung dabei wünschen, die wesentlichen Leistungsmerkmale Ihres Medizinprodukts zu identifizieren, zu spezifizieren, zu dokumentieren und mit dem Risikomanagement abzugleichen, dann wenden Sie sich gerne an uns; z. B. über das Kontaktformular. Kurze Fragen beantworten wir im Micro-Consulting kostenlos. Damit erlangen Sie Gewissheit, dass Ihre Produkte sicher sind und beim Audit, bei der Produktprüfung und der Produktzulassung keine unerwarteten Schwierigkeiten auftreten.

---

Besten Dank an Dominik Kowalski für seinen Input zum Interpretation Sheet.