Merkmale, die sich auf die Sicherheit beziehen – häufig verkürzt als sicherheitsbezogene Merkmale bezeichnet – sind qualitative oder quantitative Merkmale eines Medizinprodukts, die dessen Sicherheit beeinflussen können. Soweit erforderlich, sind für diese Merkmale Grenzen festzulegen. Sie werden im Rahmen der Risikoanalyse nach ISO 14971 unter Berücksichtigung der Zweckbestimmung, der vernünftigerweise vorhersehbaren Fehlanwendung, der vorgesehenen Benutzer und der Einsatzumgebung identifiziert und dokumentiert.
Im Usability Engineering ist davon der spezifischere Begriff der Merkmale der Benutzungsschnittstelle mit Sicherheitsbezug zu unterscheiden. IEC 62366-1 verlangt, solche Merkmale der Benutzungsschnittstelle sowie damit verbundene potenzielle Benutzungsfehler zu identifizieren. Benutzermerkmale und Umgebungsbedingungen sind dabei wichtige Eingaben aus der Anwendungsspezifikation, aber nicht automatisch selbst Merkmale des Medizinprodukts oder der Benutzungsschnittstelle.
Rolle in der Risikoanalyse
Die Identifikation von Merkmalen des Medizinprodukts, die sich auf dessen Sicherheit beziehen, gehört zu den frühen Schritten der Risikoanalyse nach ISO 14971. Ziel ist es, qualitative und quantitative Produktmerkmale zu bestimmen, die für die anschließende Identifikation von Gefährdungen und Gefährdungssituationen relevant sein können. Soweit erforderlich, sind dabei auch die zugehörigen Grenzen festzulegen.
Zu den zu berücksichtigenden Produktmerkmalen können beispielsweise die Energieabgabe, Temperatur, Druck, Dosierbereiche, Werkstoffe, Softwarefunktionen, Datenverbindungen, Alarme, Bedienelemente und Kennzeichnungen gehören. Die Zweckbestimmung, die vernünftigerweise vorhersehbare Fehlanwendung, die vorgesehenen Benutzer und die Einsatzumgebung bilden wichtige Rahmenbedingungen für die Identifikation und Bewertung dieser Merkmale. Sie sind jedoch nicht ohne Weiteres selbst Merkmale des Medizinprodukts.
Eine unvollständige Identifikation kann dazu führen, dass relevante Gefährdungen, vorhersehbare Ereignisfolgen oder Gefährdungssituationen in der Risikoanalyse nicht berücksichtigt werden. Dies kann die Vollständigkeit und Nachvollziehbarkeit der Risikomanagementakte beeinträchtigen.
Zusammenhang mit Usability Engineering
Im Usability Engineering liegt der Schwerpunkt auf den Merkmalen der Benutzungsschnittstelle, die mit Sicherheit zusammenhängen. IEC 62366-1 verlangt, solche UI-Merkmale sowie damit verbundene potenzielle Benutzungsfehler zu identifizieren.
Die Anwendungsspezifikation liefert hierfür wesentliche Eingaben. Sie beschreibt unter anderem:
- die vorgesehene medizinische Indikation,
- das vorgesehene Patientenprofil,
- den vorgesehenen Körperteil oder Gewebetyp,
- die vorgesehenen Benutzerprofile,
- die vorgesehene Nutzungsumgebung und
- das Funktionsprinzip beziehungsweise die Funktionsweise des Medizinprodukts.
Benutzergruppen und Nutzungskontexte sind damit wichtige Rahmenbedingungen der Analyse. Sie sind jedoch von sicherheitsbezogenen Produkt- oder UI-Merkmalen zu unterscheiden. Ein sicherheitsbezogenes UI-Merkmal kann beispielsweise die Lesbarkeit einer Anzeige, die Unterscheidbarkeit zweier Anschlüsse, die Gestaltung einer Alarmmeldung oder die Rückmeldung nach einer sicherheitsrelevanten Eingabe sein.
Auch kritische Aufgaben sind keine Merkmale der Benutzungsschnittstelle. Sie beschreiben Benutzeraufgaben, deren fehlerhafte oder unterlassene Durchführung zu einem schweren Schaden führen oder einen solchen Schaden verursachen beziehungsweise ermöglichen kann.
Typische Kategorien und Rahmenbedingungen
Für eine nachvollziehbare Analyse sollten sicherheitsbezogene Produktmerkmale und die Rahmenbedingungen ihrer Identifikation getrennt betrachtet werden.
Sicherheitsbezogene Merkmale des Medizinprodukts
- physikalische Eigenschaften, beispielsweise Temperatur, Druck, Geschwindigkeit oder Energieabgabe,
- mechanische und elektrische Eigenschaften,
- biologische und chemische Eigenschaften, beispielsweise Werkstoffe, Stofffreisetzung oder Art und Dauer des Körperkontakts,
- Mess-, Steuerungs- und Softwarefunktionen,
- Automatisierungsfunktionen und Systemzustände,
- Daten-, Kommunikations- und Netzwerkfunktionen,
- Anzeigen, Bedienelemente, Alarme, Anschlüsse und Systemrückmeldungen sowie
- Kennzeichnung, Verpackung und Begleitdokumentation.
Rahmenbedingungen für die Identifikation
- Zweckbestimmung und vorgesehene medizinische Anwendung,
- vernünftigerweise vorhersehbare Fehlanwendung,
- Kenntnisse, Ausbildung, Erfahrung sowie körperliche und kognitive Fähigkeiten der vorgesehenen Benutzer,
- Beleuchtung, Lärm, Temperatur und weitere Bedingungen der vorgesehenen Einsatzumgebung,
- klinische und organisatorische Abläufe,
- Betriebs-, Transport- und Lagerbedingungen sowie
- vorhersehbarer Stress, Zeitdruck oder Ablenkungen während der Benutzung.
Gerade bei komplexen Medizinprodukten ergibt sich die Sicherheit häufig aus dem Zusammenspiel mehrerer Produktmerkmale und Rahmenbedingungen. Beispielsweise kann eine akustische Alarmierung technisch korrekt funktionieren und dennoch unzureichend sein, wenn sie in der vorgesehenen lauten Einsatzumgebung nicht zuverlässig wahrgenommen werden kann.
Abgrenzung zu Risikokontrollmaßnahmen
Die Identifikation sicherheitsbezogener Merkmale ist von der Auswahl und Umsetzung von Risikokontrollmaßnahmen zu unterscheiden. Sicherheitsbezogene Merkmale unterstützen die Gefährdungsidentifikation und Risikoanalyse. Risikokontrollmaßnahmen werden dagegen festgelegt, um identifizierte Risiken zu reduzieren.
Ein Merkmal kann allerdings durch eine Risikokontrollmaßnahme eingeführt oder verändert werden. Es ist deshalb nicht in jedem Fall möglich, ein Produkt- oder UI-Merkmal vollständig unabhängig von der Risikokontrolle zu betrachten.
Bei einer Infusionspumpe können beispielsweise die Eingabe und Anzeige einer Dosis einschließlich Wertebereich, Einheit, Dezimaldarstellung und Bestätigungslogik sicherheitsbezogene Merkmale der Benutzungsschnittstelle sein. Eine softwareseitige Prüfung der eingegebenen Dosis gegen festgelegte Dosiergrenzen kann als Risikokontrollmaßnahme implementiert werden. Der daraus resultierende Warnhinweis oder Alarm ist anschließend zugleich Teil der Benutzungsschnittstelle und Bestandteil der Risikokontrolle.
Diese differenzierte Betrachtung ist für die Rückverfolgbarkeit zwischen Produktmerkmalen, Gefährdungen, Gefährdungssituationen, Risikokontrollmaßnahmen, Design Inputs, Verifikation und Validierung wesentlich.
Bedeutung für die Nutzungsrisikoanalyse
Bei der Analyse nutzungsbedingter Risiken bilden sicherheitsbezogene Merkmale der Benutzungsschnittstelle und mögliche Benutzungsfehler wichtige Ausgangspunkte. Dazu können beispielsweise folgende Aspekte gehören:
- Wahrnehmbarkeit und Priorisierung von Alarmen,
- Gestaltung und Anordnung sicherheitsrelevanter Bedienelemente,
- Anzeige von Betriebs- und Systemzuständen,
- Verständlichkeit von Werten, Einheiten und Symbolen,
- Unterscheidbarkeit von Anschlüssen und Komponenten,
- Rückmeldungen nach Eingaben oder Bedienhandlungen sowie
- Fehlertoleranz der Benutzungsschnittstelle.
Die identifizierten UI-Merkmale und potenziellen Benutzungsfehler fließen in die Beschreibung gefahrbezogener Benutzungsszenarien ein. Dabei sollte eine nachvollziehbare Verbindung zwischen folgenden Elementen hergestellt werden:
- Benutzeraufgabe,
- Merkmal der Benutzungsschnittstelle,
- potenzieller Benutzungsfehler,
- vorhersehbare Ereignisfolge,
- Gefährdung,
- Gefährdungssituation,
- möglicher Schaden und
- gegebenenfalls erforderliche Risikokontrollmaßnahme.
Die Ergebnisse unterstützen die Planung formativer Evaluationen und die Festlegung der in der summativen Evaluation zu untersuchenden gefahrbezogenen Benutzungsszenarien, wobei insbesondere Szenarien mit kritischen Aufgaben oder relevanten möglichen Schäden zu berücksichtigen sind. Kritische Aufgaben werden dabei nicht allein aus einzelnen UI-Merkmalen abgeleitet, sondern anhand der möglichen Folgen einer fehlerhaften oder unterlassenen Durchführung bewertet.
Typische Schwachstellen in regulatorischen Audits
In Audits und Reviews werden unter anderem folgende Schwachstellen festgestellt:
- sicherheitsbezogene Produktmerkmale wurden nicht systematisch identifiziert oder dokumentiert,
- erforderliche quantitative oder qualitative Grenzen wurden nicht festgelegt,
- Produktmerkmale, Benutzermerkmale und Umgebungsbedingungen wurden nicht eindeutig voneinander getrennt,
- die Verbindung zwischen Anwendungsspezifikation und Risikoanalyse ist nicht nachvollziehbar,
- potenzielle Benutzungsfehler und gefahrbezogene Benutzungsszenarien wurden nur oberflächlich betrachtet,
- Software- und UI-Merkmale wurden nicht als sicherheitsrelevant erkannt,
- kritische Aufgaben wurden ohne erkennbare Verbindung zu möglichen Schäden ausgewählt und
- die Rückverfolgbarkeit zwischen Merkmal, Gefährdung, Gefährdungssituation, Schaden und Risikokontrollmaßnahme ist unvollständig.
Diese Aspekte sind insbesondere bei softwarebasierten Medizinprodukten, vernetzten Medizinprodukten und Produkten mit einem hohen Automatisierungsgrad relevant. Dabei sind neben der Benutzungsschnittstelle auch mögliche Auswirkungen von Datenfehlern, Verbindungsabbrüchen, automatisierten Entscheidungen und nicht ausreichend erkennbaren Systemzuständen zu berücksichtigen.
Regulatorischer Bezug
ISO 14971:2019 verlangt im Rahmen der Risikoanalyse die Identifikation und Dokumentation qualitativer und quantitativer Merkmale des Medizinprodukts, die dessen Sicherheit beeinflussen können. Soweit erforderlich, sind die zugehörigen Grenzen festzulegen. ISO/TR 24971:2020 enthält ergänzende Erläuterungen und Beispiele für die Identifikation und Verwendung solcher Merkmale bei der Gefährdungsidentifikation.
IEC 62366-1:2015 einschließlich Amendment 1:2020 behandelt speziell den Usability-Engineering-Prozess für Medizinprodukte. Die Norm verlangt zunächst die Erstellung einer Anwendungsspezifikation. Darauf aufbauend sind Merkmale der Benutzungsschnittstelle mit Sicherheitsbezug und damit verbundene potenzielle Benutzungsfehler zu identifizieren. Anschließend werden bekannte oder vorhersehbare Gefährdungen und Gefährdungssituationen sowie gefahrbezogene Benutzungsszenarien betrachtet.
Die FDA verfolgt ebenfalls einen risikobasierten Human-Factors-Ansatz, verwendet jedoch teilweise eine andere Terminologie. Insbesondere sind Merkmale der Benutzungsschnittstelle von kritischen Aufgaben zu unterscheiden. Eine kritische Aufgabe ist eine Benutzeraufgabe, deren fehlerhafte oder unterlassene Durchführung zu einem erheblichen Schaden führen könnte. UI-Merkmale, mögliche Benutzungsfehler und kritische Aufgaben werden im Rahmen der nutzungsbezogenen Risikoanalyse miteinander verknüpft, sind aber keine gleichbedeutenden Begriffe.
Die EU-MDR fordert in Anhang I ein dokumentiertes und über den gesamten Produktlebenszyklus fortgeführtes Risikomanagement. Außerdem sind Risiken im Zusammenhang mit ergonomischen Merkmalen, der vorgesehenen Einsatzumgebung und den Merkmalen der vorgesehenen Benutzer so weit wie möglich zu reduzieren. Die MDR definiert den Begriff der sicherheitsbezogenen Merkmale nicht eigenständig; für die operative Umsetzung werden regelmäßig ISO 14971 und IEC 62366-1 herangezogen.
Häufige Fragen (FAQ)
Sind sicherheitsbezogene Merkmale identisch mit Gefährdungen?
Nein. Ein sicherheitsbezogenes Merkmal ist eine qualitative oder quantitative Eigenschaft des Medizinprodukts, die dessen Sicherheit beeinflussen kann. Eine Gefährdung ist dagegen eine potenzielle Schadensquelle. Das Merkmal kann für die Identifikation einer Gefährdung, einer vorhersehbaren Ereignisfolge oder einer Gefährdungssituation relevant sein.
Gehören Benutzermerkmale zu den sicherheitsbezogenen Merkmalen?
Nicht im engeren Sinne des ISO-14971-Begriffs, der sich auf Merkmale des Medizinprodukts bezieht. Benutzermerkmale wie Ausbildung, Erfahrung, Sprachkenntnisse sowie körperliche oder kognitive Fähigkeiten sind jedoch wesentliche Rahmenbedingungen der Risikoanalyse und Bestandteile der Anwendungsspezifikation. Sie können maßgeblich bestimmen, welche Produkt- oder UI-Merkmale sicherheitsbezogen sind.
Sind UI-Elemente sicherheitsbezogene Merkmale?
UI-Elemente können sicherheitsbezogene Merkmale der Benutzungsschnittstelle sein, wenn ihre Wahrnehmung, Interpretation oder Bedienung die sichere Verwendung beeinflussen kann. Nicht jedes UI-Element ist automatisch sicherheitsbezogen. Die Einstufung erfolgt anhand möglicher Benutzungsfehler und der daraus resultierenden Gefährdungssituationen und Schäden.
Sind sicherheitsbezogene Merkmale Risikokontrollmaßnahmen?
Nicht zwangsläufig. Die Identifikation sicherheitsbezogener Merkmale ist zunächst Bestandteil der Risikoanalyse. Ein Merkmal kann jedoch durch eine Risikokontrollmaßnahme eingeführt oder verändert werden. Beispielsweise kann ein Alarm zugleich ein Merkmal der Benutzungsschnittstelle und Bestandteil einer Risikokontrollmaßnahme sein. Ob er dabei als Schutzmaßnahme, sicherheitsbezogene Information oder Bestandteil einer kombinierten Risikokontrolle einzuordnen ist, hängt von seiner konkreten Funktion und Implementierung ab.
Müssen sicherheitsbezogene Merkmale dokumentiert werden?
Ja. ISO 14971 verlangt, die qualitativen und quantitativen Merkmale des Medizinprodukts, die dessen Sicherheit beeinflussen können, zu identifizieren und zu dokumentieren. Soweit erforderlich, sind auch die zugehörigen Grenzen festzulegen. IEC 62366-1 verlangt ergänzend die Identifikation von Merkmalen der Benutzungsschnittstelle mit Sicherheitsbezug und damit verbundenen potenziellen Benutzungsfehlern.
Sicherheitsbezogene Merkmale sind der Ausgangspunkt der Risikoanalyse, nicht deren Ergebnis: Sie beschreiben, wo Gefährdungen entstehen können – nicht, wie sie beherrscht werden. Im Usability Engineering ist zusätzlich zwischen Merkmalen der Benutzungsschnittstelle mit Sicherheitsbezug, Benutzer- und Umgebungsmerkmalen sowie kritischen Aufgaben zu unterscheiden, da diese Begriffe in Audits und Reviews häufig vermischt werden.
Sie möchten sicherheitsbezogene Merkmale Ihres Medizinprodukts systematisch identifizieren und nachvollziehbar in Ihre Risikoanalyse einbetten? Wir unterstützen Sie im gesamten Usability-Engineering-Prozess nach IEC 62366-1.
Mehr zu unserem Usability Engineering