In sieben Monaten zum Leberdialysegerät Die Lebenserwartung

Transkript

1 Der Prototyp eines völlig neuen Leberdialysegeräts ließ sich mit der Kombination aus LabVIEW Real-Time und dem Controller CompactRIO in weniger als sieben Monaten entwickeln und zur klinischen Studie zulassen. In sieben Monaten zum Leberdialysegerät Die Lebenserwartung von Patienten mit chronischem Nierenversagen kann heutzutage durch Dialyse oder Nierentransplantation deutlich verlängert werden. Für Leberkranke existierte bisher aber keine mit der Dialyse vergleichbare Therapie, sondern nur die Möglichkeit einer Lebertransplantation. Während bei der Nierendialyse wasserlösliche Toxine aus dem Blut des Patienten entfernt werden, sind es beim Leberpatienten eiweißgebundene Giftstoffe, die eliminiert werden müssen. Um die sehr hohe Sterblichkeit von Leberpatienten zu reduzieren, hat Hepa Wash ein Dialyseverfahren entwickelt (Bild 1), bei dem der Reinigungslösung (Dialysat) das humane Transporteiweiß Albumin beigemischt wird, an das sich die Toxine aus dem Blut binden können. Dieses Albumindialysat wird in einem separaten Kreislauf durch die Zugabe Softwarefehler durch Hardwaremaßnahmen kompensieren HIP1001-System in der klinischen Pilotstudie von Lauge und Säure und eine anschließende Filtration kontinuierlich gereinigt und kann somit im Laufe einer Behandlung mehrfach verwendet werden. Das Verfahren verspricht eine kosteneffektive Behandlung mit einer deutlich gesteigerten Entgiftungskapazität gegenüber den wenigen bisher auf dem Markt verfügbaren Leberdialysen. Als lebenserhaltendes System ist das Dialysegerät als Medizinprodukt der Klasse IIb klassifiziert. Die wesentlichen regulatorischen Anforderungen für die Entwicklung der Gerätesteuerung sind unter anderem die konstruktive und elektrische Sicherheit, also die IEC Normenreihe für medizinische elektrische Geräte, sowie die normkonforme Durchführung der Medizingeräte-Software-Lebenszyklus-Prozesse laut IEC Während die IEC konkrete, testbare Anforderungen an die Sicherheit der Hardware und Mechanik stellt, zum Beispiel Schutz gegen elektrischen Schlag oder EMV, handelt es sich bei der IEC um eine Prozessnorm, die Anforderungen an den Prozess der Softwareentwicklung, -testung und -wartung definiert. Beispielsweise muss nach der Anforderungsspezifikation eine detaillierte Softwarearchitektur dokumentiert werden, in der das Softwaresystem in Komponenten und Einheiten unterteilt wird, die jeweils einer der drei Software-Risikoklassen der IEC zugeordnet werden müssen (Bild 2): Bild: Hepa Wash 20

2 extrakorporaler Blutkreislauf Dialysekreislauf Dialysemonitor CF200 DM Dialysator 1 Skizzierter Ablauf des Leberdialyseverfahrens Dialysatreservoir HIP1001 System Hepa Wash LK1001 Filter Filter Pre-/ Postdilution Abfall DM Abfall HW NaOH HCl A) keine Verletzung oder Schädigung der Gesundheit möglich B) keine schwere Verletzungen möglich C) Tod oder schwere Verletzungen möglich Die Granularität der Softwarearchitektur bleibt gemäß der IEC dem Hersteller selbst überlassen. Hierbei ist genau abzuwägen und zu argumentieren, wie man sein System unterteilt und klassifiziert. Denn müssen bei Software der Risikoklasse A lediglich die Anforderungen erstellt und deren Erfüllung dokumentiert abgeprüft werden, muss bei Software der jede Einheit, also auch der Datenfluss, die Fehlerbehandlung und die Varia- 21

3 Softwareeinheit I Softwareeinheit VII Klasse A bleninitialisierung geprüft werden. Darüber hinaus ist nicht nur ein Architekturentwurf erforderlich, sondern auch eine Dokumentation des detaillierten Designs. Das gilt für eigens entwickelte Software ebenso wie für Software of Unknown Provenance (SOUP). Bei SOUP handelt es sich um Software, die der Hersteller des Medizinprodukts nicht selbst entwickelt hat oder für die es keine vollständige Dokumentation gibt. SOUP kann jede Komponente des Softwaresystems sein, auch Betriebssysteme, Treiber und verwendete Funktionen aus Bibliotheken der Entwicklungsumgebung. Bei Klasse-C-Komponenten muss also entweder eine nach IEC oder ISO SIL2 zertifizierte SOUP verwendet oder auf die SOUP verzichtet werden, da der SOUP-Hersteller in aller Regel die Entwicklungsdokumentation nicht offenlegt und ein Lieferantenaudit durch den Medizinproduktehersteller nicht durchführbar ist. Allerdings erlaubt die IEC folgende Strategie: Wenn das Risiko des Todes oder einer schweren Verletzung, das von einem Softwarefehler herrührt, anschließend durch eine Hardware-Risikokontrollmaßnahme auf ein vertretbares Maß verringert wird, so kann die Software-Sicherheitsklasse von C auf B herabgesetzt werden. [1] Dabei muss die Hardware- Risikokontrollmaßnahme unabhängig vom Softwaresystem sein bezüglich der Spannungsversorgung, Referenzspannung, E/A- Wandler und so weiter. Nach dem Proof of Concept in präklinischen Studien wurden neue Investorengelder eingeworben, um binnen eines Jahres einen Humanprototyp zu entwickeln. Der Humanprototyp HIP1001 besteht aus einem vollständig neu entwickelten Gerät, dem LK1001, das den Dialysatkreislauf und Softwaresystem Softwareeinheit II Klasse A Softwarekomponente IV Softwareeinheit VIII Grafische Programmierumgebung Softwarekomponente III Softwareeinheit V Kontakt Hepa Wash GmbH München Tel. +49 (0) Fax +49 (0) XOn Software GmbH München Tel. +49 (0) Fax +49 (0) National Instruments Germany GmbH München Tel. +49 (0) Fax +49 (0) Productronica: A1.265 Softwareeinheit VI 2 Softwarearchitektur mit Risikoklassen nach IEC Das HIP1001-System mit der von Hepa Wash entwickelten LK1001 und der zugekauften, CE-zertifizierten CF200 von Infomed den Hepa-Wash-Kreislauf implementiert, und einem CE-zertifizierten Dialysegerät (CF200 von Infomed), das den extrakorporalen Blutkreislauf eigenständig regelt und überwacht. Es ist nur über den Dialysator mit dem restlichen Kreislauf verbunden (Bild 3). Im LK1001 müssen verschiedene Druck-, ph- und Temperaturwerte überwacht sowie Ventile, Pumpen und Heizungen entsprechend geregelt werden, insgesamt 50 Sensoren und Aktoren. Da bereits bei der Entwicklung des Tierprototyps gute Erfahrungen mit der grafischen Programmierumgebung LabVIEW gemacht wurden, setzte die Entwicklungsmannschaft die Software auch hier ein. Das Programm eignet Risikoklasse durch Schutzmaßnahmen reduzieren sich für die Entwicklung von anspruchsvollen Mess-, Prüf-, Steuer- und Regelsystemen. Grafische Funktionsblöcke werden ganz einfach per Drag & Drop zu Flussdiagrammen zusammengestellt. Bei der Entwicklung der LK1001-Software und der Auswahl der Hardware unterstützte der National-Instruments-Alliance-Partner XOn Software das Team. Da XOn nicht ISO zertifiziert ist, hat Hepa Wash die beteiligten XOn-Mitarbeiter in das firmeneigene Qualitätsmanagementsystem eingebunden. Sie sind in allen relevanten Prozess- und Arbeitsanweisungen geschult und arbeiten damit. Um während der Entwicklung flexibel bleiben zu können, setzte das Team CompactRIO (Bild 4) ein. Die Harware besteht aus einem rekonfigurierbaren Chassis mit programmierbarem FPGA, einem Echtzeit-Controller für die deterministische Kommunikation und Verarbeitung sowie aus jederzeit austauschbaren E/A-Modulen. Bild: Hepa Wash 22

4 Bild: National Instruments 4 Komponenten von National Instruments: a) im Humanprototyp: Controller crio-9024 und Backplane crio-9118 b) für die Nullserie: sbrio-9612 Auch wenn National Instruments (NI), der Hersteller des Controllers, ein nicht nach ISO zugelassener OEM-Hersteller ist, können die Produkte für ein Medizinprodukt verwendet werden, denn die für die Zulassung nötigen IEC Normprüfungen beziehen sich auf das Gesamtsystem. Modultests konnten aufgrund der UL und EN Zertifizierung der verwendeten Komponenten vernachlässigt werden. Die programmierte Steuersoftware besteht aus drei Hauptkomponenten (Bild 5): 1 Einer Windows-Applikation, die ausschließlich als Bedienoberfläche und Visualisierung dient und nicht in die Regelung eingreifen kann. Sie ist somit der Risikoklasse A zuzuordnen. 2 Einer LabVIEW-Real-Time-Applikation, die im crio-controller läuft und die Regelung ausführt und der Risikoklasse C entspricht. 3 Einem LabVIEW-FPGA-Code, der die externen Schnittstellen auf jegliche extern verwendeten Signalformen (analog, PWM, Frequenz) anpasst und auch der Risikoklasse C zuzuordnen ist. Die beiden Klasse-C-Komponenten konnten auf die Risikoklasse B herabgestuft werden, weil externe, hardwarenahe Schutzsysteme als Hardware-Risikokontrollmaßnahme konfiguriert und integriert wurden. Sie überwachen kritische Systemparameter und schalten in den patientensicheren Zustand, sobald die Grenzwerte überschritten werden: Der ph- und der Temperaturwert des Albumindialysats werden mit dem Sondentransmitter M300 von Mettler-Toledo überwacht. Da es sich beim LK1001 um ein geschlossenes Hydrauliksystem handelt, kann die Überwachung der Flüssigkeitsbilanzierung über das Wägeterminal IND780, ebenfalls von Mettler-Toledo, erfolgen, dessen einfacher C++-Code () mittels Code Review und Simulationstest geprüft wurde.

5 M300 Sensoren CF200 IND780 Die Normprüfungen erfolgten entwicklungsbegleitend durch den TÜV SÜD. So konnten erste Tests zur elektrischen Sicherheit bereits drei Monate und solche zur funktionalen Sicherheit fünf Monate nach Entwicklungsbeginn durchgeführt werden. Mithilfe des Requirements Gateway von NI ließ sich die geforderte Traceability zwischen Anforderungen, Design und Tests mittels speziell formatierter Word-Dokumente kostengünstig automatisch erstellen. Nach der Systemabnahme und der Bescheinigung der technischen Unbedenklichkeit des Systems durch den TÜV SÜD wurde der Humanprototyp in vitro und in vivo getestet. Zehn Monate nach Entwicklungsbeginn startete die klinische Pilotstudie (Titelbild). Aufgrund der erfolgreichen Zulassung zur klinischen Studie und der ersten vielversprechenden Ergebnisse in der Klinik konnte weiteres Kapital eingeworben werden, mit dem die Nullserie fertiggestellt und eine Multi-Center- Studie gestartet werden MD Schutzrelais A/D-Wandlung RS232 5 Systemarchitektur der LK1001 C3 C4 Schutzrelais Elektrische Sicherheit nach drei Monaten Risikoklasse B Risikoklasse B RIO Software Das vorgestellte Sicherheitskonzept, die Steuersoftware und das Schutzsystem voneinander unabhängig zu halten, wird auch für die Nullserie weiter verfolgt. Für die Seriengeräte wird das Single Board RIO sbrio-9612 eingesetzt (Bild 4), welches über 110 digitale Leitungen verfügt und auch für eine Kleinserie finanzierbar ist. Da die Entwicklung des Humanprototyps die Qualitätskriterien der CE-Zulassung erfüllt, können bei der Portierung der Software große Teile übernommen werden, sodass die vorhandene Dokumentation nicht komplett neu erstellt werden muss. Weil im Seriengerät aber auch der extrakorporale Blutkreislauf inklusive Sicherheitsfunktionen implementiert werden soll, wird die Steuersoftware erweitert und das externe Schutzsystem durch ein intern entwickeltes, intelligentes Schutzsystem ersetzt. Insgesamt sind etwa 90 Sensoren und Aktoren einzubinden. Für das Schutzsystem wären zwei Varianten denkbar, um die Klasse- C2 FPGA Software Client (TCP/IP) C1 Server (TCP/IP) Host PC Host Software Risikoklasse A C5 crio-9024 C-Anforderungen der IEC zu erfüllen: a) Programmierung mit LabVIEW FPGA: Es wird ein einfacher LabVIEW-Code auf FPGA-Ebene erstellt. Die für die Zulassung notwendige Dokumentation der FPGA-Umgebung stellt NI gegen eine Lizenzgebühr zur Verfügung. Hier muss nicht nur der Lab- VIEW-Sourcecode, sondern auch der als Zwischenstufe erzeugte VHDL-Code verifiziert werden. b) Es wird ein Mikrocontroller verwendet, auf dem kein Betriebssystem läuft. Wenn bei der Softwareentwicklung keine Funktionen aus Bibliotheken verwendet werden, also im ausführbaren Code keine vom Entwicklungstool bereitgestellten DLLs verwendet werden, fällt die Entwicklungsumgebung nicht unter SOUP. Compiler, die keinen Zusatzcode erzeugen (extra Header-Dateien), fallen ebenso nicht unter SOUP. Der vom Compiler erstellte Maschinencode wird in Unit-Tests überprüft und dann freigegeben. Nach jeder neuen Compilierung muss wieder getestet werden. Dies erfordert eine Codeverwaltung, die nur bestimmte freigegebene Compilate für die Nutzung sicherstellt. Bei einem Update des Systems muss dieses komplett neu getestet werden. Hepa Wash ist ein risikokapitalfinanziertes Start-up-Unternehmen. Entwicklungszeit und -kosten sind existentielle Faktoren, da bis zur Markteinführung keinerlei Umsätze generiert werden. Die Kombination aus LabVIEW mit einer hardwarenahen Risikokontrollmaßnahme zur Überwachung systemkritischer Parameter hat dazu beigetragen, dass der Prototyp des neuen Leberdialysegeräts in nur sieben Monaten entwickelt werden konnte. Daher wird es auch für die Entwicklung der Nullserie eingesetzt. Literatur: D/A-Wandlung Aktoren [1] DIN Deutsches Institut für Normung e.v. und VDE Verband der Elektrotechnik Elektronik Informationstechnik e.v.: DIN EN VDE : , März 2007 Dipl.-Ing. Catherine Schreiber ist für das Projektmanagement & SW-QM bei Hepa Wash in München zuständig. Catherine.Schreiber@hepawash.com Dipl.-Ing. Holger Chab ist Entwicklungsleiter bei Hepa Wash in München. Holger.Chab@hepawash.com 24