Klasy Bezpieczeństwa Oprogramowania a wymagania FDA

Środowisko medyczne to jeden z obszarów najsilniej regulowanych prawnie. Producenci wyrobów medycznych (ang. Medical Devices, MD) mierzą się z niezwykle trudnym zadaniem, szczególnie wprowadzając produkt na kilka rynków jednocześnie. Każdy rynek ma swoje własne regulacje, które zmieniają się wraz z postępem cywilizacyjnym i technologicznym, jak i powszechną globalizacją.

Tak się stało np.: z wytycznymi Agencji ds. Żywności i Leków FDA (ang. Food and Drug Administration) dla oprogramowania MD przed wprowadzeniem na rynek. FDA zwykło rozróżniać „Levels of Concern” (LoC) – trzy klasy oprogramowania dosłownie tłumaczone jako „poziomy obaw”, które mogły przypominać klasy bezpieczeństwa zdefiniowane w europejskiej normie IEC 62304.  Ubiegłoroczna aktualizacja wytycznych przyniosła nową klasyfikację – „Documentation Levels” (tłum. „poziomy dokumentacji”).

Co się zmieniło w związku z tymi aktualizacjami? Jak zmiany te odzwierciedlają unijne wymagania? Zagłębiając się w kluczowe podobieństwa i różnice między rynkami USA i UE, poszukam odpowiedzi na te i inne pytania, które mogą być pomocne w spełnieniu przez producenta MD wymagań dwóch największych rynków medycznych.

Ze względu na korzystanie ze źródeł powszechnie użytkowanych w języku angielskim, niektóre terminy i sformułowania zachowałam w pierwotnej formie językowej.

Prawo o oprogramowaniu MD w USA i EU

Zarówno amerykańskie, jak i unijne przepisy kategoryzują oprogramowanie MD jako urządzenie medyczne. Organem regulacyjnym dla urządzeń medycznych w Stanach Zjednoczonych jest FDA, w UE jest to Medical Device Regulation (MDR) lub In Vitro Diagnostic Device Regulation (IVDR). Czy przepisy amerykańskie i unijne mają identyczne zasady i klasyfikacje? Niestety nie. Istnieją jednak pewne podobieństwa, które warto zbadać.

Ścieżka składania wniosku dla oprogramowania MD przed wprowadzeniem go na rynek (ang. MD software pre-market submission) pojawia się w dodatkowych standardach i wytycznych. FDA opisała ją w dokumencie „Guidance for the Content of Premarket Submissions for Software Contained in Medical Devices” (wydanym 11 maja 2005 r.), który następnie zastąpiono wytycznymi dla przemysłu i pracowników FDA „Content of Premarket Submissions for Device Software Functions” (wydanym 14 czerwca 2023 r.).

Podstawowym dokumentem odzwierciedlającym europejskie wymagania MDR lub IVDR dotyczące działań przed wprowadzeniem do obrotu oprogramowania MD jest IEC 62304 – norma opisująca proces cyklu życia oprogramowania MD.

FDA Level of Concern vs Documentation Level

Od 2005 do czerwca 2023 FDA definiowała trzy poziomy obaw w celu określenia ilości dokumentacji wymaganej do przedłożenia w ramach pre-market submission:

Aby przejść dalej, producent musiał wybrać i trzymać się jednego „poziomu obaw”.

Przewodnik FDA zawierał pytania, które należy zadać, aby przypisać odpowiedni LoC. W przypadku odpowiedzi „tak” na którekolwiek z wymienionych pytań o poziomie Major/Moderate, przyznawany był odpowiedni poziom. Odpowiedź „nie” na wszystkie pytania oznaczała przypisanie poziomu Minor.

Sytuacja zmieniła się po wydaniu nowych wytycznych FDA. Zamiast LoC, przechodzi się bezpośrednio do kategoryzacji wymaganej dokumentacji, zwanej Documentation Level (tłum. poziom dokumentacji). Wyróżniono poziomy Basic (tłum. podstawowy) oraz Enhanced (tłum. rozszerzony).

Co się dzieje w następstwie tych zmian? Poprzednie wytyczne FDA określały konkretny zakres dokumentacji do przedłożenia dla każdego poziomu LoC. Analogicznie dla nowo wyznaczonych poziomów powstaje nowy zakres. Poniższe dane przedstawiają zakres dokumentacji dla LoC (Tabela 1.) oraz Documentation Level (Tabela 2).

Dane te zostały uproszczone w celu podkreślenia podstawowych różnic między poziomami dokumentacji ustalonymi przez FDA. Aby sprawdzić dokładne zalecenia FDA, należy zapoznać się z referowanymi wytycznymi.

*DoC – ang. Declaration of Conformity, deklaracja zgodności z wersją normy IEC 62304 uznaną przez FDA.

Co się zmieniło w stosunku do poprzednich wytycznych? Do uzyskania odpowiedzi na to pytanie posłuży poniższe zestawienie, gdzie porównano identyczne lub zbliżone kategorie dokumentacji oprogramowania dla obu klasyfikacji:

*DoC – ang. Declaration of Conformity, deklaracja zgodności z wersją normy IEC 62304 uznaną przez FDA.

Zastosowane kolory posłużyły jako narzędzie do podkreślenia podobieństw (obszar zielony/pomarańczowy) i różnic (obszar czarny) między jednym poziomem z LoC a innym
z Documentation Level. Zagłębiwszy się w te dane, można wyciągnąć następujące wnioski:

• Zakresy dla poziomów Basic i Enhanced przypominają zakresy dla poziomów Moderate i Major: poziom Enhanced jest tak naprawdę poziomem Major w nowym wydaniu, a poziom Basic, poza drobnymi różnicami (np. podejście do SDS), może zastąpić zawartość poziomu Moderate.
• Nie uwzględniając żadnego odpowiednika poziomu Minor, FDA znacznie podniosła poprzeczkę dla nowych zgłoszeń oprogramowania.

IEC 62304 Software Safety Classification (SSC)

W UE zakres dokumentacji, który należy spełnić, opiera się na klasyfikacji bezpieczeństwa oprogramowania według IEC 62304. Oprogramowanie MD można przypisać do trzech klas: A, B lub C:

Zakres wymaganej dokumentacji dla każdej klasy jest podzielony na poszczególne rozdziały i podrozdziały normy. Im wyższa przypisana klasa, tym więcej rozdziałów należy uwzględnić w zgłoszeniu:

* Wymienione numery są podrozdziałami normy IEC 62304:

5.1.4 Software development standards, methods and tools planning

5.1.5 Software integration and integration testing planning

5.1.10 Supporting items to be controlled

5.1.11 Software configuration item control before verification

5.1.12 Identification and avoidance of common software defects

5.2.3 Include risk control measures in software requirements

5.3.5 Identify segregation necessary for risk control

5.4.2 Develop detailed design for each software unit

5.4.3 Develop detailed design for interfaces,

5.4.4 Verify detailed design

5.5.2 Establish software unit verification

5.5.3 Software unit acceptance criteria

5.5.4 Additional software unit acceptance criteria

5.5.5 Software unit verification

5.8.3 Evaluate known residual anomalies

5.8.5 Document how released software was created

5.8.6 Ensure activities and tasks are complete

7.4.2 Analyze impact of software changes on existing risk control measures

7.4.3 Perform risk management activities based on analyses

Wytyczne FDA vs IEC 62304

Jak poziom dokumentacji FDA koreluje z klasyfikacją SSC według IEC 62304? Czym się różnią dwa odmienne systemy klasyfikacji pochodzące z przeciwnych stron globu? Poniższa tabela pomoże w udzieleniu odpowiedzi na te pytania, a także identyfikacji kolejnych wniosków.

Informacje te podano w uproszczeniu, aby podkreślić podstawowe podobieństwa i różnice między poziomami dokumentacji FDA a klasyfikacją bezpieczeństwa oprogramowania zgodnie z IEC 62304. Dokładne wytyczne dotyczące zaleceń FDA i MDR można znaleźć w dokumentach źródłowych.

W oparciu o to zestawienie można uznać, że poziom Enhanced z FDA jest najbliższy klasie C z SSC. Z drugiej strony dokumentacja na poziomie Basic może przypominać klasę A lub B, w zależności od obszaru. Na przykład, podobnie jak w klasie A, SDS może być pominięte dla poziomu Basic, a obszary „Development”, „Configuration Management” czy „Maintenance” można przygotować niemal w taki sam sposób, jak w przypadku klasy B z SSC.

Poprzestanie na zestawieniu obu klasyfikacji wydaje się jednak dość krótkowzroczne. Równie ważne, jeśli nie ważniejsze, jest porównanie tła i zakresu tej dokumentacji, zwłaszcza z punktu widzenia kwestii bezpieczeństwa. Patrząc na to z szerszej perspektywy, ujawniają się następujące podobieństwa i różnice:

Podobieństwa:

• Obie klasyfikacje koncentrują się na poziomie ryzyka związanego z oprogramowaniem MD.
• Obie klasyfikacje służą do określenia krytyczności oprogramowania z punktu widzenia bezpieczeństwa pacjentów.

Różnice:

• Klasy IEC 62304 są bardziej szczegółowe w określaniu, które funkcje są krytyczne dla bezpieczeństwa pacjenta. Wytyczne FDA nie zawierają tak szczegółowych informacji na temat ryzyka związanego z określonymi funkcjami.
• W normie IEC 62304 możliwe jest obniżenie klasy bezpieczeństwa za pomocą środków kontroli ryzyka, których zastosowanie zmniejsza dotkliwość i prawdopodobieństwo wystąpienia ryzyka. FDA również oczekuje wdrożenia środków ograniczających ryzyko. Jednak poziom dokumentacji FDA jest ustalany przed podjęciem tych środków. Nawet jeśli poziom ryzyka spada, wymagana dokumentacja pozostaje taka sama.

Podsumowanie

Nie da się precyzyjne przypisać określonej klasy SSC do poziomu dokumentacji FDA. Jednak niektóre obszary są podobne lub nawet się pokrywają – o czym świadczy bezpośrednie odniesienie FDA do deklaracji zgodności z wybranymi wymaganiami normy IEC 62304 (Declaration of Conformity). Dokładna analiza dokumentów może wykazać, że różnice pomiędzy niektórymi procesami są niewielkie.

Jeśli planujesz ubiegać się o złożenie wniosku przed wprowadzeniem wyrobu medycznego do obrotu zarówno na rynku UE, jak i USA, możesz zaoszczędzić czas i koszty, wykorzystując dokumentację, która została już przygotowana dla jednego z rynków. Sii oferuje pomoc w przygotowaniu dokumentacji dla obu zgłoszeń. Jeśli potrzebujesz wsparcia, skontaktuj się z nami.

***

Jeśli interesuje Cię obszar norm, m.in.: w branży Healthcare, zajrzyj koniecznie również do innych artykułów naszych ekspertów.