{"id":27752,"date":"2024-05-24T05:00:00","date_gmt":"2024-05-24T03:00:00","guid":{"rendered":"https:\/\/sii.pl\/blog\/?p=27752"},"modified":"2024-05-21T13:32:06","modified_gmt":"2024-05-21T11:32:06","slug":"klasy-bezpieczenstwa-oprogramowania-a-wymagania-fda","status":"publish","type":"post","link":"https:\/\/sii.pl\/blog\/klasy-bezpieczenstwa-oprogramowania-a-wymagania-fda\/","title":{"rendered":"Klasy Bezpiecze\u0144stwa Oprogramowania a wymagania FDA"},"content":{"rendered":"\n

\u015arodowisko medyczne to jeden z obszar\u00f3w najsilniej regulowanych prawnie. Producenci wyrob\u00f3w medycznych (ang. Medical Devices<\/em>, MD) mierz\u0105 si\u0119 z niezwykle trudnym zadaniem, szczeg\u00f3lnie wprowadzaj\u0105c produkt na kilka rynk\u00f3w jednocze\u015bnie. Ka\u017cdy rynek ma swoje w\u0142asne regulacje, kt\u00f3re zmieniaj\u0105 si\u0119 wraz z post\u0119pem cywilizacyjnym i technologicznym, jak i powszechn\u0105 globalizacj\u0105.<\/p>\n\n\n\n

Tak si\u0119 sta\u0142o np.: z wytycznymi Agencji ds. \u017bywno\u015bci i Lek\u00f3w FDA (ang. Food and Drug Administration) <\/em>dla oprogramowania MD przed wprowadzeniem na rynek. FDA zwyk\u0142o rozr\u00f3\u017cnia\u0107 „Levels of Concern”<\/strong> (LoC) \u2013 trzy klasy oprogramowania dos\u0142ownie t\u0142umaczone jako „poziomy obaw”, kt\u00f3re mog\u0142y przypomina\u0107 klasy bezpiecze\u0144stwa zdefiniowane w europejskiej normie IEC 62304.  Ubieg\u0142oroczna aktualizacja wytycznych przynios\u0142a now\u0105 klasyfikacj\u0119 \u2013 „Documentation Levels”<\/strong> (t\u0142um. „poziomy dokumentacji”).<\/p>\n\n\n\n

Co si\u0119 zmieni\u0142o w zwi\u0105zku z tymi aktualizacjami? Jak zmiany te odzwierciedlaj\u0105 unijne wymagania? Zag\u0142\u0119biaj\u0105c si\u0119 w kluczowe podobie\u0144stwa i r\u00f3\u017cnice mi\u0119dzy rynkami USA i UE, poszukam odpowiedzi na te i inne pytania, kt\u00f3re mog\u0105 by\u0107 pomocne w spe\u0142nieniu przez producenta MD wymaga\u0144 dw\u00f3ch najwi\u0119kszych rynk\u00f3w medycznych<\/strong>.<\/p>\n\n\n\n

Ze wzgl\u0119du na korzystanie ze \u017ar\u00f3de\u0142 powszechnie u\u017cytkowanych w j\u0119zyku angielskim, niekt\u00f3re terminy i sformu\u0142owania zachowa\u0142am w pierwotnej formie j\u0119zykowej.<\/p>\n\n\n\n

Prawo o oprogramowaniu MD w USA i EU<\/strong><\/h2>\n\n\n\n

Zar\u00f3wno ameryka\u0144skie, jak i unijne przepisy kategoryzuj\u0105 oprogramowanie MD jako urz\u0105dzenie medyczne. Organem regulacyjnym dla urz\u0105dze\u0144 medycznych w Stanach Zjednoczonych jest FDA, w UE jest to Medical Device Regulation (MDR) lub In Vitro Diagnostic Device Regulation (IVDR). Czy przepisy ameryka\u0144skie i unijne maj\u0105 identyczne zasady i klasyfikacje? Niestety nie. Istniej\u0105 jednak pewne podobie\u0144stwa, kt\u00f3re warto zbada\u0107.<\/strong><\/p>\n\n\n\n

\u015acie\u017cka sk\u0142adania wniosku dla oprogramowania MD przed wprowadzeniem go na rynek (ang. MD software pre-market submission<\/em>) pojawia si\u0119 w dodatkowych standardach i wytycznych. FDA opisa\u0142a j\u0105 w dokumencie „Guidance for the Content of Premarket Submissions for Software Contained in Medical Devices” (wydanym 11 maja 2005 r.), kt\u00f3ry nast\u0119pnie zast\u0105piono wytycznymi dla przemys\u0142u i pracownik\u00f3w FDA „Content of Premarket Submissions for Device Software Functions” (wydanym 14 czerwca 2023 r.).<\/p>\n\n\n\n

Podstawowym dokumentem odzwierciedlaj\u0105cym europejskie wymagania MDR lub IVDR dotycz\u0105ce dzia\u0142a\u0144 przed wprowadzeniem do obrotu oprogramowania MD jest IEC 62304 \u2013 norma opisuj\u0105ca proces cyklu \u017cycia oprogramowania MD.<\/p>\n\n\n\n

FDA Level of Concern vs Documentation Level<\/strong><\/h2>\n\n\n\n

Od 2005 do czerwca 2023 FDA definiowa\u0142a trzy poziomy obaw w celu okre\u015blenia ilo\u015bci dokumentacji wymaganej do przed\u0142o\u017cenia w ramach pre-market submission<\/em>:<\/p>\n\n\n\n

\"Levels<\/a>
Ryc. 1 Levels of Concern [(t\u0142um. na podst. \u201cFDA Guidance for the Content of Premarket Submission for Software Contained in Medical Devices\u201d)<\/figcaption><\/figure>\n\n\n\n

Aby przej\u015b\u0107 dalej, producent musia\u0142 wybra\u0107 i trzyma\u0107 si\u0119 jednego \u201epoziomu obaw\u201d. <\/p>\n\n\n\n

Przewodnik FDA zawiera\u0142 pytania, kt\u00f3re nale\u017cy zada\u0107, aby przypisa\u0107 odpowiedni LoC. W przypadku odpowiedzi „tak” na kt\u00f3rekolwiek z wymienionych pyta\u0144 o poziomie Major\/Moderate, przyznawany by\u0142 odpowiedni poziom. Odpowied\u017a „nie” na wszystkie pytania oznacza\u0142a przypisanie poziomu Minor.<\/p>\n\n\n\n

\"Schemat<\/a>
Ryc. 2 Schemat okre\u015blania poziomu obaw przez FDA<\/figcaption><\/figure>\n\n\n\n

Sytuacja zmieni\u0142a si\u0119 po wydaniu nowych wytycznych FDA. Zamiast LoC, przechodzi si\u0119 bezpo\u015brednio do kategoryzacji wymaganej dokumentacji, zwanej Documentation Level<\/strong> (t\u0142um. poziom dokumentacji). Wyr\u00f3\u017cniono poziomy Basic<\/strong> (t\u0142um. podstawowy) oraz Enhanced <\/strong>(t\u0142um. rozszerzony).<\/p>\n\n\n\n

\"Documentation<\/a>
Ryc. 3 Documentation Levels (t\u0142um. na podst.\u201dContent of Premarket Submissions for Device Software Functions\u201d)<\/figcaption><\/figure>\n\n\n\n

Co si\u0119 dzieje w nast\u0119pstwie tych zmian? Poprzednie wytyczne FDA okre\u015bla\u0142y konkretny zakres dokumentacji do przed\u0142o\u017cenia dla ka\u017cdego poziomu LoC. Analogicznie dla nowo wyznaczonych poziom\u00f3w powstaje nowy zakres. Poni\u017csze dane przedstawiaj\u0105 zakres dokumentacji dla LoC (Tabela 1.) oraz Documentation Level (Tabela 2).

Dane te zosta\u0142y uproszczone w celu podkre\u015blenia podstawowych r\u00f3\u017cnic mi\u0119dzy poziomami dokumentacji ustalonymi przez FDA. Aby sprawdzi\u0107 dok\u0142adne zalecenia FDA, nale\u017cy zapozna\u0107 si\u0119 z referowanymi wytycznymi.<\/p>\n\n\n\n

\"Podzia\u0142<\/a>
Tab. 1 Podzia\u0142 rekomendowanej dokumentacji wed\u0142ug FDA Level of Concern<\/figcaption><\/figure>\n\n\n\n
\"Podzia\u0142<\/a>
Tab. 2 Podzia\u0142 rekomendowanej dokumentacji wed\u0142ug FDA Documentation Level<\/figcaption><\/figure>\n\n\n\n

*DoC \u2013 ang. Declaration of Conformity, deklaracja zgodno\u015bci z wersj\u0105 normy IEC 62304 uznan\u0105 przez FDA. <\/p>\n\n\n\n

Co si\u0119 zmieni\u0142o w stosunku do poprzednich wytycznych? Do uzyskania odpowiedzi na to pytanie pos\u0142u\u017cy poni\u017csze zestawienie, gdzie por\u00f3wnano identyczne lub zbli\u017cone kategorie dokumentacji oprogramowania dla obu klasyfikacji:<\/p>\n\n\n\n

\"Rekomendowana<\/a>
Tab. 3 Rekomendowana dokumentacja FDA dla LoC vs Documentation Level<\/figcaption><\/figure>\n\n\n\n

*DoC \u2013 ang. Declaration of Conformity, deklaracja zgodno\u015bci z wersj\u0105 normy IEC 62304 uznan\u0105 przez FDA.<\/p>\n\n\n\n

Zastosowane kolory pos\u0142u\u017cy\u0142y jako narz\u0119dzie do podkre\u015blenia podobie\u0144stw (obszar zielony\/pomara\u0144czowy) i r\u00f3\u017cnic (obszar czarny) mi\u0119dzy jednym poziomem z LoC a innym
z Documentation Level. Zag\u0142\u0119biwszy si\u0119 w te dane, mo\u017cna wyci\u0105gn\u0105\u0107 nast\u0119puj\u0105ce wnioski:<\/p>\n\n\n\n