Notat om underleverandører af software til medicinsk udstyr Specielt med fokus på fortolkere, hvor nyt udstyr let kan genereres

Transkript

1 December 2018 Notat om underleverandører af software til medicinsk udstyr Specielt med fokus på fortolkere, hvor nyt udstyr let kan genereres Af Carsten Jørgensen FORCE Technology Venlighedsvej Hørsholm Danmark Tlf mail@forcetechnology.com forcetechnology.com

2 Indhold Resume... 3 Baggrund... 4 Ansvar... 4 SOUP-begrebet... 4 Analogier... 6 Konklusion... 8 Yderligere eksemplarer af rapporten kan rekvireres hos FORCE Technology på mail info@forcetechnology.com Side 2

3 Resumé En bred vifte af SaMD (Software as Medical Device) er bygget over en idé, hvor man bruger en fortolker til at fortolke nogle spørgeskemaer og automatisk foretage farvekodninger, udregne scorer, beregne doser eller markere opmærksomhedspunkter eller lignende. Men hvordan skal en underleverandør, der leverer fortolkeren, forholde sig til regulatoriske krav i denne sammenhæng og hvordan skal fabrikanten forholde sig? Dette notat kommer med inspiration til forskellige måder, hvorpå man kan forstå denne situation, så både underleverandør og fabrikant har en forståelse af de regulatoriske krav, og hvordan man kan forholde sig. En vigtig pointe er, at der ikke kun er en måde at anskue situationen på, og at der indgår nogle forretningsbeslutninger hos både leverandør og fabrikant. Forfatter: Carsten Jørgensen Titel: underleverandører af software til medicinsk udstyr Firma: FORCE Technology En anden vigtig pointe er, at det entydigt er fabrikanten, der har ansvaret. Side 3

4 Baggrund Specielt én type software har fundet vej til markedet for medicinsk udstyr. Det drejer sig om software, hvor brugeren svarer på en række spørgsmål eventuelt kombineret med én eller et par målinger. På basis af dette bliver der fx beregnet forslag til doser af bestemt medicin, taget stilling til om en patient skal fortsætte i behandling, eller om en patient skal indkaldes til undersøgelse. En model er at have en fortolker af disse spørgeskemaer. Denne fortolker kan skrives helt generelt, så selve fortolkeren ikke har et medicinsk formål. Det medicinske formål udtrykkes ved hjælp af spørgsmålene samt et sæt af regler udtrykt i et sprog, som fortolkeren følger. På denne måde bliver det muligt i løbet af ganske få dage (og i enkle tilfælde ganske få timer) at lave et medical device. Rent regulatorisk kræver det naturligvis mere tid, men selve den tekniske implementering tager altså ganske kort tid. Dette har givet anledning til en række overvejelser om, hvad der skal og kan CEmærkes. Kan man fx CE-mærke fortolkeren og derved producere en række medicinske udstyr prisbilligt og meget hurtigt? Udløser et nyt spørgeskema krav om ny CE-mærkning? Når man kan udtrykke reglerne samme sted som spørgsmål og svarmuligheder beskrives, vil det ofte blive kaldt konfigurering, men denne konfigurering er det, som giver systemets opførsel, og vi vil derfor betragte det som ækvivalent til programmering. Nu er det sandsynligt, at producenten af fortolkeren er en underleverandør til fabrikanten, der laver selve det medicinske udstyr. Dette notat vil opstille forskellige betragtningsmåder, som kan benyttes og en vurdering af, hvad der kræves for at CE-mærke korrekt. Vi anbefaler ikke en bestemt betragtningsmåde, da forskellige forretningsmæssige overvejelser hos fabrikant og underleverandør kan føre til forskellige betragtningsmåder, som den mest hensigtsmæssige. Ansvar Der er ingen tvivl om, at ansvaret for, at medicinsk udstyr er sikkert at bruge, entydigt ligger hos fabrikanten. Og der er heller ikke tvivl om, at dette ansvar ikke kan out sources! En underleverandør af software - eller delsystemer for den sags skyld - har derfor intet ansvar i forhold til lovgivningen om medicinsk udstyr, med mindre der er tale om udstyr, som i sin egen ret hører under lovgivning for medicinsk udstyr. Underleverandøren har naturligvis en række andre ansvar fx i forhold til en kontrakt med fabrikanten og i forhold til anden lovgivning. SOUP-begrebet Et centralt begreb, når man skal overveje synet på, hvad og hvordan man skal CE-mærke det medicinske udstyr, er SOUP-begrebet (Software Of Unknown Provenance). Nedenfor er definitionen af SOUP-begrebet, som det er defineret i EN Clause 3.29 SOUP Software of unknown provenance (acronym) SOFTWARE ITEM that is already developed and generally available and that has not been developed for the purpose of being incorporated into the MEDICAL DEVICE (also known as off-the-shelf software ) or SOFTWARE ITEM previously developed for which adequate records of the development PROCESSES are not available Side 4

5 NOTE A MEDICAL DEVICE SOFTWARE SYSTEM in itself cannot be claimed to be SOUP. I denne sammenhæng skal man overveje, om fortolkeren er en SOUP. Følgende spørgsmål skal overvejes, når man afgør det. Første spørgsmål er: er den already developed? Det taler imod, at den allerede er udviklet, hvis hovedessensen i det første spørgeskema var kendt på udviklingstidspunktet, og det fx er fabrikanten, der har bestilt fortolkeren. Omvendt taler det for, at det er en SOUP, hvis fortolkeren er lavet inden noget spørgeskema er FASTLAGT, og hvis det ikke er udviklet specielt til fabrikanten. Andet spørgsmål er: generally available? Dette tolker vi som: Kan den købes uden restriktioner i forhold til en enkelt kunde? Med andre ord, at der ikke er begrænsninger på, hvem der kan købe fortolkeren, eller at disse ikke stiller en fabrikant dårligere end en anden. Hvis det er tilfældet, taler det for, at det er en SOUP. Tredje spørgsmål er: Has not been developed for the purpose of being incorporated into the MEDICAL DEVICE. Fortolkeren er netop blevet udviklet til dette formål, men det vil ikke være muligt at kende det tiltænkte formål. Den kan derfor ikke udvikles til det enkelte skema. Det er fortolkerens natur, at opførslen af det enkelte skema bestemmes af skemaets spørgsmål, svarmuligheder og regler. Spørgeskemafortolkeren vil i de fleste tilfælde være en mellemting mellem en SOUP og en komponent i det medicinske udstyr. Vores forslag til, hvordan underleverandøren - og dermed indirekte fabrikanten - skal forholde sig er følgende: Specificér fortolkeren ud fra en generel forståelse for, hvad spørgeskemaerne indeholder, og hvordan de bliver brugt. Hvis vi har en formodning om, at patienterne kan lide væsentlig skade, fordi skemaerne bliver brugt til dosisberegning hos patienter med alvorlige lidelser eller væsentlige beslutninger om behandlingen, bør der udvises stor omhu med hensyn til korrekt beregning af værdier. Man bør gennemføre en risikoanalyse, hvor man i sagens natur ikke kan tage hensyn til specifikke forhold ved det enkelte kommende skema. Årsagen til, at underleverandøren ikke kan foretage en risikoanalyse, der følger EN 14971, er, at han ikke kan kende den fremtidige brug. Man kan lave en risikoanalyse, hvor udgangspunktet er risikoen for ikke at leve op til specifikationen, snarere end skade på personer. Denne analyse kan bruges af fabrikanten som input til hendes EN baseret risikoanalyse. Hvis underleverandøren af konkurrencehensyn ikke kan gøre risikoanalysen tilgængelig for fabrikanten, kan underleverandøren som minimum offentliggøre, hvilke hazardous situations / farlige situationer i forhold til brud på specifikationen, der er behandlet i risikoanalysen. Underleverandøren bør tillade tredjepartsvurdering af softwareudviklingen, så en uafhængig tredjepart kan foretage et audit. Underleverandøren kan langt hen ad vejen følge EN med den begrænsning, der ligger i ikke at kunne foretage en risikoanalyse i henhold til EN og EN 62304, som er krævet. Underleverandøren kan også vælge safety klassificering (A, B eller C) fra EN 62304, hvor fabrikanten efterfølgende kan vurdere, om klassen er tilstrækkelig høj til formålet. Side 5

6 I den risikoanalyse, fabrikanten foretager, skal det blandt andet overvejes hvilke risici, der opstår, ved at underleverandøren ikke kendte de fremtidige spørgeskemaer, da fortolkeren blev udviklet, og som derfor ikke nødvendigvis er taget i betragtning ved udviklingen. Analogier Først vil vi betragte nogle analogier for at sætte problematikken ind i en større forståelsesramme. Fælles for alle nedenstående eksempler er, at vi antager, at der er tale om medicinsk udstyr, der skal CE-mærkes i EU. I figur 1 vises et program skrevet i Basic. Programmet er det medicinske udstyr. Udstyrets opførsel er med andre ord bestemt af Basic-programmet (som fortolkes af Basic). Figur 1 Hovedprincipperne i kravene til medicinsk udstyr er, at udviklingen af udstyret skal følge veldefinerede processer, og at risikostyring er en af hjørnestenene i at udvikle medicinsk udstyr. Risikoanalysen dækker hele vejen ned - altså inklusive Basic fortolker og operativsystem i en overvejelse af, om man fra disse dele kan forstyrre det medicinske udstyr. En efter vores opfattelse ækvivalent situation (vist i figur 2) er, hvis fx en læge har lavet et regneark med formler til at beregne forskellige scorer eller på anden måde lave samme type markeringer. Figur 2 Side 6

7 Selve Excel er ikke medicinsk udstyr. Det er til gengæld selve de u-udfyldte regneark. Dvs. det er selve regnearket med formler, der skal CE-mærkes (hvis det er medicinsk udstyr). Risikoanalysen skal indeholde overvejelser, der indeholder Excel og operativsystem. Men det er regnearket med formler, der bestemmer opførslen af det medicinske udstyr. Konklusion: Der er ækvivalens mellem (basic) program i figur 1 og regneark i figur 2. I figur 3 er der lavet et program til spørgeskemafortolkning af spørgeskemaer. Figur 3 Det vil sige, at man har udtrykt sit spørgeskema i et sprog specielt beregnet til at generere et spørgeskema med tilhørende spørgsmål og svarmuligheder samt algoritme til mærkning af svaret. Da fortolkeren ikke ved noget om de konkrete spørgsmål, svarmuligheder m.m., er det ikke medicinsk udstyr alene. Det er til gengæld spørgeskemaet, som er ækvivalent med regnearket i figur 2 og programmet i figur 1. Igen er det vigtigt at understrege, at det er hele pyramiden, der er med i risikoanalysen. Man kan desuden overveje, om spørgeskemafortolkeren er en SOUP - altså en del af det medicinske udstyr. Dette har været behandlet i afsnittet om SOUPs. I figur 4 har man i princippet samme situation som i figur 3, men her har fabrikanten valgt en anden fremgangsmåde i sin CE-mærkning Figur 4 Fabrikanten skal CE-mærke kombinationen, hvis spørgeskemafortolkeren og et (eller flere) skemaer leveres sammen. Denne CE-mærkning vil kun gælde for dette skema. Her vil være tale om Side 7

8 en helt almindelig situation, hvor skemaet og fortolker betragtes som et integeret hele. Der opstår herefter en ny situation, når et nyt skema skal udvikles, men som benytter samme fortolker. Dette er beskrevet nedenfor og illustreret i figur 5. Figur 5 Når fabrikanten efterfølgende laver nye skemaer, skal disse normalt CE-mærkes, med mindre det er småændringer i formuleringen af spørgsmål eller tilsvarende. Hvis en enkelt sundhedsfaglig person laver sit eget skema og bruger det inden for samme juridiske enhed, kræves en række aktiviteter, men ikke en egentlig CE-mærkning. For os er det uklart, hvordan man tolker en juridisk enhed i det danske sundhedsvæsen. Er det en hospitalsafdeling, et hospital eller en region? Indtil der opstår større klarhed, vil vi antage, at det er en hospitalsafdeling. Hvis den juridiske enhed er en praktiserende læger vil vi antage, at man kan bruge et sådant skema indenfor et enkelt ydernummer. Men vi vil understrege, at der er mange muligheder for fortolkning. Konklusion Fabrikanten har det fulde ansvar ved udvikling af medicinsk udstyr også selv om det rent teknisk kan udvikles på 3 dage. Hvis fabrikanten køber en spørgeskemafortolker på markedet, vil det forenkle arbejdet med CE-mærkning, hvis underleverandøren har fulgt bl.a så tæt som muligt. Udfordringen for underleverandøren er især, at denne ikke kan gennemføre en risikoanalyse efter EN Det vil dog være en fordel for fabrikanten og dermed for underleverandøren, hvis der foretages en risikoanalyse i forhold til risikoen for, at specifikationen brydes. Det er en god idé, at underleverandøren åbner for tredjeparts audit af sin softwareudvikling. Fabrikanten kan i nogle tilfælde ønske, at CE-mærke kombinationen af skema og fortolker, mens andre måtte ønske kun at CE-mærke selve skemaet (inkl. regler). Hvis det er kombinationen, der CEmærkes, skal man være opmærksom på, at man ikke normalt kan regne med, at et nyt skema er dækket af CE-mærket. Det er også vigtigt at bemærke, at man ikke umiddelbart kan CE-mærke fortolkeren, hvis man ikke kender den medicinske anvendelse. Helt essentielt er det, at risikoanalysen dækker hele den viste pyramide, uanset hvordan man betragter de enkelte elementer. Side 8