Приложение В (справочное). Анализ процедур классификации

Приложение В
(справочное)

Анализ процедур классификации

Примечание - Настоящий обзор предназначен только для целей настоящего стандарта, затрагивая и резюмируя только вопросы, имеющие к нему отношение. Он не должен использоваться в качестве полного руководства в каком-либо отношении и для какой-либо цели (в случае необходимости, следует обратиться к исходным документам и компетентным национальным органам).

В.1 Классификации медицинских приборов в ЕС, Австралии, Канаде и GHTF

Несмотря на некоторые различия, системы классификации медицинских приборов в ЕС, Австралии и Канаде, в основном, схожи. В качестве иллюстрации ниже изложена сущность классификации медицинских приборов в ЕС, заимствованная из [56].

Правила ЕС представлены в приложении IX директивы по медицинским средствам 93/42/ЕЕС [19]. Данная директива охватывает широкий спектр изделий, начиная от бандажей первой помощи и "ходунков" до сканеров компьютерной томографии и неактивных имплантатов. Медицинские приборы, охватываемые данной директивой, разделены на 4 класса следующим образом:

- класс I: в общем смысле представленный как класс низкого уровня риска;

- класс IIa: в общем смысле представленный как класс среднего уровня риска;

- класс IIb: в общем смысле представленный как класс среднего уровня риска;

- класс III: в общем смысле представленный как класс высокого уровня риска.

Различие между классами основывается на выборе доступных процедур оценки соответствия.

Указанное приложение начинается с ряда определений (инвазивный, активный, долгосрочный и т.п.), чтобы минимизировать любую возможную неоднозначность. Далее приведен ряд исполнительных правил, основанных на базовых принципах, например: "Если к прибору можно применить более одного правила, то он классифицируется по наиболее строгому из них".

Правила представляют собой набор общих формулировок, связанных с ситуациями, функциями, обрабатываемыми частями тела, свойствами и т.п., но не с перечнем изделий, который бы требовал постоянного обновления.

Существуют 4 группы правил:

- правила 1 - 4: неинвазивные приборы;

- правила 5 - 8: инвазивные приборы;

- правила 9 - 12: дополнительные правила для активных приборов;

- правила 13 - 18: различные правила для изделий, которые заслуживают отнесения к более высокой классификации, чем та, к которой они могут быть приписаны.

Хотя целью настоящего стандарта не является подробное рассмотрение всех этих правил, они явно не предназначены для программных продуктов для сферы здравоохранения и не могут быть применены к ним. Если же они были применены, то все программные продукты для сферы здравоохранения были бы отнесены к классу I, "низкого уровня риска". Понятно, что такой подход не годится.

Процедуры классификации в Австралии [57] и Канаде [49] являются неподходящими по тем же причинам. То же можно сказать и о GHTF [55].

В.2 Классификация медицинских приборов в США

Процедура классификации в США основана на более широком определении риска, нежели "низкий", "средний" и "высокий". Например, к классу III отнесены приборы, которые "поддерживают или защищают жизнь и имеют существенное значение для предотвращения ухудшения здоровья человека или представляют высокий потенциальный риск заболевания или травмы". Тем не менее, процедура классификации, включая документ "Классификация приборов в США", не представляется подходящей для программных продуктов для сферы здравоохранения по тем же причинам, что и системы, используемые в Австралии, Канаде и ЕС.

В.3 Руководство Управления по контролю за продуктами питания и лекарствами США по классификации программного обеспечения

Управление по контролю за продуктами питания и лекарствами США (далее - FDA) выпустило руководство по программному обеспечению, охватываемому средствами контроля медицинских приборов. Оно содержит материалы, существенные для настоящего стандарта.

"Руководство по содержанию предпродажных документов для программного обеспечения, содержащегося в медицинских приборах" [9] определяет классификацию такого программного обеспечения на основе "уровня значимости", который оно представляет для пациентов или операторов. Сущность и детальность предпродажной документации также соотнесены с уровнем значимости. Уровень значимости "основывается на оценке серьезности вреда, который прибор может причинить, непосредственно или косвенно, пациенту или оператору в результате сбоев в работе прибора, ошибок проектирования или просто применения прибора по его прямому назначению". В Руководстве выделены три уровня значимости:

- высокий: если сбой или скрытые ошибки проектирования могут привести непосредственно к летальному исходу или нанесению серьезного вреда для пациента или оператора; уровень значимости также определяется как высокий, если сбой или скрытые ошибки могут косвенно привести к летальному исходу или нанесению серьезного вреда для пациента или оператора вследствие искажения или задержки информации, либо действий медицинского работника;

- средний: если сбой или скрытые ошибки проектирования могут привести непосредственно к нанесению незначительного вреда для пациента или оператора; уровень значимости также определяется как средний, если сбой или скрытые ошибки могут косвенно привести к нанесению незначительного вреда для пациента или оператора вследствие искажения или задержки информации, либо действий медицинского работника;

- низкий: если сбой или скрытые ошибки проектирования не могут привести к нанесению какого-либо вреда для пациента или оператора.

Серьезный вред определен как травма или заболевание, которое:

- угрожает жизни;

- приводит к устойчивому ухудшению функций организма или к устойчивому повреждению структуры организма;

- требует медицинского или хирургического вмешательства для предотвращения устойчивого ухудшения функций организма или устойчивого повреждения структуры организма.

Термин "устойчивый" определен как "необратимое ухудшение или повреждение структуры или функций организма, за исключением незначительных ухудшений или повреждений".

Незначительный вред определен как вред, который не подпадает под определение серьезного вреда.

Особое значение имеет рекомендация, в соответствии с которой уровень значимости оценивается "до снижения опасности", т.е. прибор, содержащий программное обеспечение, должен оцениваться без учета принятых мер по снижению опасности.

Данная рекомендация нашла свое отражение в руководстве FDA по использованию присутствующего на рынке программного обеспечения в медицинских приборах [10], в котором приведена следующая точка зрения Центра по приборам и радиологической безопасности (далее - CDRH) FDA.

"Поскольку оценить риски для опасностей, связанных с программным обеспечением, на основании частоты сбоев программного обеспечения достаточно трудно, CDRH пришел к выводу, что управление техническими рисками для программного обеспечения медицинских приборов должно фокусироваться на серьезности вреда, который может быть нанесен в результате сбоя программного обеспечения. Анализ опасностей определяется как идентификация опасностей и вызывающих их причин [67]. Основываясь на определениях анализа рисков из [36] и [68], можно сказать, что анализ опасностей, по сути, является подмножеством анализа рисков; поскольку анализ рисков для программного обеспечения не может основываться на вероятности инцидента, то реальная функция анализа рисков для программного обеспечения может быть сведена к функции анализа опасностей. С технической точки зрения, использование любого из терминов - "анализ рисков" или "анализ опасностей" является уместным. Однако CDRH принял решение применять термин "анализ опасностей", чтобы подчеркнуть положение, что расчет риска на основании частоты сбоев программного обеспечения, как правило, не правомерен, и поэтому более уместно управлять рисками со стороны программного обеспечения на основании серьезности вреда, а не на основании частоты сбоев программного обеспечения".

Руководство по присутствующему на рынке программному обеспечению также предлагает классификацию, основанную на "уровне значимости", по существу, с аналогичными определениями.

Данные руководящие документы FDA определяют возможные подходы к программным продуктам для сферы здравоохранения. Однако следует отметить, что в руководстве по программному обеспечению для медицинских приборов отмечено, что руководство по "уровню значимости" применимо только к предпродажным документам, и "не относится к классификации приборов (классам I, II, или III) или непосредственно к анализу опасностей или рисков".

В.4 Классификация ИСО/СЕН программных продуктов для сферы здравоохранения

ИСО и СЕН, через свои Технические комитеты по информатизации здоровья ИСО/ТК 215 и СЕН/ТК 251 опубликовали идентичные технические спецификации по классификации рисков для безопасности от медицинского программного обеспечения [11], [12]. Данные технические спецификации обеспечивают средства для широкого скрининга программных продуктов для сферы здравоохранения, с тем чтобы классифицировать их в соответствии с риском, который они могут представлять для пациентов. Одним из предполагаемых применений данной классификации является ее использование в качестве основы для определения средств контроля на стадиях проектирования и производства, соответствующих риску.

В технических спецификациях определены пять классов риска, основанных на "последствиях" для пациента, если в программном продукте для сферы здравоохранения произошел сбой или он стал причиной неблагоприятного события, и "вероятности" того, что "последствие" может иметь место в "достаточно предсказуемых обстоятельствах".

Последствия разделяют на пять категорий:

- катастрофические;

- серьезные;

- значительные;

- умеренные;

- незначительные.

Описание этих категорий приведено в таблице В.1.

Таблица В.1

Категория	Интерпретация
	Последствие	Число случаев
Катастрофические	Летальный исход	Множество
	Устойчивая недееспособность и любое состояние, при котором прогнозируется летальный исход или устойчивая недееспособность; серьезная травма или недееспособность, последствия которой не будут преодолены в ближайшее время	Множество
Серьезные	Летальный исход	Единичные
	Устойчивая недееспособность и любое состояние, при котором прогнозируется летальный исход или устойчивая недееспособность; серьезная травма или недееспособность, последствия которой не будут преодолены в ближайшее время	Единичные
	Серьезная травма или недееспособность, восстановление после которой ожидается в ближайшее время	Множество
	Серьезная психологическая травма	Множество
Значительные	Серьезная травма или недееспособность, восстановление после которой ожидается в ближайшее время	Единичные
	Серьезная психологическая травма	Единичные
	Незначительная травма или травмы, восстановление после которых не ожидается в ближайшее время	Множество
	Умеренная психологическая травма	Множество
Умеренные	Незначительная травма или травмы, восстановление после которых не ожидается в ближайшее время	Единичные
	Умеренная психологическая травма	Единичные
	Незначительная травма, восстановление после которой ожидается в ближайшее время	Множество
	Незначительное психологическое расстройство; беспокойство	Множество
Незначительные	Незначительная травма, восстановление после которой ожидается в ближайшее время; незначительное психологическое расстройство; беспокойство; любые несущественные последствия	Единичные

Выделяют пять категорий вероятности возникновения последствий:

- очень высокая;

- высокая;

- средняя;

- низкая;

- очень низкая.

Описание этих категорий приведено в таблице В.2.

Таблица В.2

Вероятность	Описание
Очень высокая	Обязательно или почти обязательно; большая вероятность, что событие произойдет
Высокая	Не обязательно, но весьма возможно; ожидается, что событие произойдет в большинстве случаев
Средняя	Возможно; есть вероятность, что событие произойдет
Низкая	Событие может произойти, но в большинстве случаев не произойдет
Очень низкая	Незначительная или практически незначительная вероятность события

Наконец, "классы риска", на которые подразделяют продукты, представлены в таблице В.3.

Таблица В.3

Вероятность	Последствия
	Катастрофические	Серьезные	Значительные	Умеренные	Незначительные
Очень высокая	А	А	В	В	С
Высокая	А	В	В	С	С
Средняя	В	В	С	D	D
Низкая	В	С	D	D	Е
Очень низкая	С	С	D	Е	Е

Класс А соответствует наивысшему потенциальному риску, а класс Е - самому низкому.

Важными являются приведенные ниже требования.

"При идентификации опасностей, которые программный продукт или тип программных продуктов для сферы здравоохранения может представлять для пациента, опасность не должна отбрасываться просто из-за предположения, что продукт разработан таким образом, что не существует обстоятельств, при которых возможно возникновение опасности вследствие свойств конкретного программного продукта или проекта, по которому он создавался. Возможность вреда (опасности), который может нанести программный продукт, должна быть определена, как если бы соответствующих свойств проекта или средств контроля не существовало или они работали бы неправильно.

При идентификации опасностей, которые программный продукт для сферы здравоохранения может представлять для пациента, независимо от того, связаны ли они с неправильным функционированием или являются результатом непредусмотренного события, также не следует отбрасывать опасности, которые могли возникнуть, просто из-за отсутствия неблагоприятных последствий для пациента благодаря, например, бдительности пользователя или другим событиям, внешним по отношению к программному продукту. Данный аспект учитывается посредством назначения вероятности возникновения последствий".

"При оценке вероятности, вероятность последствия не должна отбрасываться в связи с каким-либо свойством самого продукта (включая сопутствующие инструкции по применению). Вероятность в контексте настоящего раздела не является вероятностью неправильного функционирования продукта или неблагоприятного события. Здесь имеется в виду вероятность последствий такого неправильного функционирования или неблагоприятного события, действительно имевшего место.

Однако допустимо принять во внимание реально прогнозируемые обстоятельства, являющиеся внешними по отношению к программному продукту. Таким образом, если, например, идентифицированное последствие опасного события может привести к травме, то вероятность данного последствия, выразившегося в нанесении реального вреда пациенту, может учитывать следующие аспекты:

- возможность того, что опасное событие будет замечено пользователем, обладающим соответствующей квалификацией, до того, как произойдет его последствие;

- возможность того, что последствия удастся избежать вследствие ряда событий в течение некоторого интервала времени, произошедших до возникновения последствия, которые повысили бы вероятность выявления опасности;

- возможность того, что пациент будет осмотрен врачом до того, как ему будет нанесен реальный вред, и будет достаточно времени для проведения лечения или терапии".

Технические спецификации содержат рекомендации в отношении того, как следует применять данные требования к программным продуктам для сферы здравоохранения.

Подход к классификации программных продуктов для сферы здравоохранения, изложенный в технических спецификациях, согласуется с подходом FDA к классификации "программного обеспечения для медицинских приборов" [9] и "присутствующего на рынке программного обеспечения" [10] (см. В.3).

Три "уровня значимости", определенные в классификации FDA, могут быть сопоставлены с пятью категориями "последствий", определенными в технических спецификациях. Однако "уровень значимости" FDA не совсем соответствует вероятности последствия, например, летальный исход или травма, имевшие место в действительности. Это же относится и к безопасности "оператора" и пациентов, в отличие от самого пациента.

В.5 Выводы

Системы классификации ЕС, Австралии, Канады, США и GHTF для медицинских приборов не подходят для программных продуктов для сферы здравоохранения.

Классификация FDA CDRH "программного обеспечения в медицинских приборах" и "присутствующего на рынке" программного обеспечения может быть применена к программным продуктам для сферы здравоохранения.

Однако в [11] представлена наиболее подходящая система классификации, основанная на классах рисков. Они соответствуют подходу FDA CDRH к "программному обеспечению в медицинских приборах" и "присутствующему на рынке" программному обеспечению.