IEC 60601 – Essentiële prestaties, veiligheid en risicomanagement

IEC 60601 is een van reeks technische normen voor de veiligheid en essentiële prestaties van medische elektrische apparatuur. Hoewel het zich voornamelijk richt op elektromechanische apparaten, geldt het ook voor medische hulpmiddelen software. Het is een algemeen erkende norm waaraan de meeste, zo niet alle, bedrijven in medische apparatuur moeten voldoen.

Het concept van essentiële prestaties van een medisch hulpmiddel staat centraal in IEC 60601-1. Het is bedoeld als een output van het risicomanagement proces.

Elke functie die als essentiële prestatie wordt geïdentificeerd, moet worden gehandhaafd in geval van een enkele fout. Dit moet worden gevalideerd met behulp van toepasselijke tests die in de norm worden vermeld.

Essentiële prestaties worden gedefinieerd als

het vervullen van een klinische functie, anders dan die welke verband houdt met de basisveiligheid, waarbij verlies of degradatie boven de door de fabrikant gespecificeerde limieten resulteert in een onaanvaardbaar risico. Opmerking: Essentiële Prestaties zijn het gemakkelijkst te begrijpen door te overwegen of de afwezigheid of degradatie ervan zou resulteren in een onaanvaardbaar risico.

Voor het bepalen van welke functies behoren tot de essentiële prestatie, moeten de volgende stappen worden gezet

• Begin met alle functies
• Verwijder alle niet-klinische functies
• Verwijder alle functies die niet gebonden zijn aan het beoogde gebruik
• Bepaal of het verlies/degradatie van resterende functies tot een onaanvaardbaar risico leidt

Voor alle functies waar verlies of degradatie tot een onaanvaardbaar risico leidt is de essentiële prestatie de prestatie die nodig is om het risico aanvaardbaar te houden. IEC 60601-1 sectie 4.3 gaat in op een aanpak van hoe te bepalen wat essentiële prestaties zijn. Het is bedoeld als een risico gebaseerde aanpak, waarbij storingen die resulteren in onaanvaardbare risico’s wijzen op essentiële prestaties.

Maar, zoals vereist door ISO 14971, onaanvaardbaar risico is per definitie, nou ja, niet acceptabel. De fabrikant moet het risico verminderen om het op een aanvaardbaar niveau te brengen. Dus na mitigatie moeten alle risico’s acceptabel zijn. Betekent dit dat er dus in principe geen essentiële prestaties zijn?

Tegelijkertijd kunnen de risiconiveaus vóór mitigatie aanzienlijk hoog worden gescoord als gevolg van onzekerheid in het ontwerp en gebrek aan gegevens. Velen van hen zouden zich op een onaanvaardbaar niveau kunnen bevinden. Dit kan dan resulteren in een onnodige hoeveelheid essentiële prestaties.

Bijlage A van IEC 60601-1 geeft enig inzicht in een evenwichtige bepaling van essentiële prestaties. Het suggereert dat het opstellen van een lijst met gevaren, gevaarlijke situaties en schades en deze vervolgens te scoren op ernst van de schade (S), de kans op een gevaarlijk situatie (P1) en de kans dat de gevaarlijke situatie leidt tot schade (P2). Hiervoor wordt gebruikelijk een ontwerp risicoanalyse (dFMEA) uitgevoerd. Een essentiële prestatie kan worden vastgesteld door het beoordelen van de kans dat de gevaarlijke situatie leidt tot schade en de ernst van deze schade (P2 x S), dus door feitelijk aan te nemen dat de kans op een gevaarlijk situatie (P1) 100% is. De fabrikant moet vervolgens acceptatie criteria vaststellen voor de risico’s (P2 x S) in geval van verlies van functionaliteit (P1 = 100%). Zowel de kans dat een gevaarlijkse situatie tot schade leidt en de ernst van deze schade zijn vaak niet te beperken door de medische apparatuur. Let wel, P1 is de kans op een gevaarlijke situatie, en bestaat in feite uit de kans op een storingsomstandigheid en de mate van blootstelling aan de effecten van deze storingsomstandigheid. Detectiemaatregelen, zoals alarmfunctie reduceren de mate van blootstelling en dus de P1.

P1 vaststellen op 100% gaat uit van het ontbreken van beschermende maatregelen of informatie over de veiligheid, maar ook van het ontbreken van inherente veiligheid van het ontwerp. Deze aanpak werkt goed voor functies die wel of niet werken. Software gedreven functies werken vaak op die manier: ze doen het wel, of ze doen het niet. Met andere woorden, er kan sprake zijn van verlies van deze functie, maar er geen sprake degradatie van een dergelijke functie; gedeeltelijk verlies van de inherente veiligheid.

Maar veel functies kennen een mate van functioneren en kunnen wel degraderen. De gevaarlijke situatie wordt dan beschreven als het in onvoldoende mate aanwezig zijn van een bepaalde functionaliteit. Het risico (P1 x P2 x S) kan worden vastgesteld in afwezigheid van risico beperkende maatregelen. Dus, bijvoorbeeld, zonder de werking van alarmen onder enkelvoudige storingsomstandigheden. P1 wordt dan volledig bepaald door de kans op onvoldoende prestatie, waarbij de mate van blootstelling op 100% wordt gesteld.

Welke methode de fabrikant ook gebruikt, het moet resulteren in  een lijst van basiskenmerken zijn zonder welke het apparaat “te gevaarlijk” zou zijn om te gebruiken. De normen specificeren ook dat basisveiligheidseisen, die onder de verschillende clausules vallen, niet als essentiële prestaties moeten worden beschouwd en niet als zodanig mogen worden vermeld. De resulterende essentiële prestaties is een beknopte lijst en het is niet ongebruikelijk dat apparaten geen essentiële prestaties hebben.