Die IEC 60601-1-8 ist eine Ergänzungsnorm zu der IEC 60601-1, der Norm mit den allgemeinen Festlegungen. Die IEC 60601-1-8 legt Anforderungen an Alarmsysteme sowie an deren Dokumentation und Prüfung fest. Damit gibt sie den Herstellern konkrete Handlungsleitungen bei der Spezifikation und beim Entwurf ihrer Medizinprodukte.

Allerdings müssen die Hersteller sicher mit der Vielzahl der Begriffe umgehen können, die die Norm definiert. Sie sollten zudem die erweiterten Anforderungen des Amendments 2 kennen und umsetzen, um die Konformität ihrer Produkte zu erreichen und damit Probleme bei Audits und Zulassungen zu vermeiden. Dies kann in zwölf Schritten gelingen.

1. IEC 60601-1-8: Um was es geht

a) Alarme – eine Frage von Leben und Tod

Alarme sind oft die letzte Möglichkeit, um Schäden von Patienten, Anwendern und Dritten abzuwenden.

  • Das Beatmungsgerät alarmiert das Pflegepersonal, weil der Beatmungsschlauch verlegt ist.
  • Die Dialysemaschine warnt, wenn die Gefahr besteht, dass der Patient verblutet.
  • Die Infusionspumpe warnt vor einem leergelaufenen Medikationsreservoir.
  • Das Monitoring-System auf der Intensivstation alarmiert bei einem Herzstilltand das Pflegepersonal in deren Überwachungsraum.

Alarme signalisieren somit, dass eine potenzielle oder tatsächliche Gefährdungssituation (Patient, Bediener, Gerät) vorliegt, für die die Aufmerksamkeit oder eine Reaktion des Bedieners erforderlich ist. Da die Höhe des Schadensausmaßes in der Regel einen zeitlichen Verlauf hat, schaffen Alarme den notwendigen Handlungsspielraum, um einen schweren Schaden zu vermeiden.

Alarme sind somit Maßnahmen zur Reduktion des Risikos (in dem Fall der Wahrscheinlichkeit). Die Wirksamkeit der Alarme muss daher im Rahmen der Usability-Bewertung nachgewiesen werden (siehe Abschnitt 4 e)).

Daher müssen die Risiken minimiert werden, die entstehen, wenn diese Alarme

  • nicht ausgelöst werden,
  • nicht wahrgenommen (z. B. nicht gehört oder gesehen) werden,
  • falsch verstanden werden,
  • ignoriert werden oder
  • sogar zu weiteren Risiken wie Nutzungsfehlern führen.

Die IEC 60601-1-8 ist angetreten, um genau diese Risiken zu minimieren und dazu beizutragen, Alarme zu einer möglichst wirksamen Maßnahme zur Risikokontrolle zu machen.

b) Anwendungsbereich der IEC 60601-1-8

Die IEC 60601-1-8 ist eine Ergänzungsnorm zur IEC 60601-1. Damit wendet sie sich ebenfalls an medizinisch elektrische (ME) Geräte und Systeme aus ME-Geräten.

This collateral standard specifies requirements for ALARM SYSTEMS and ALARM SIGNALS in ME EQUIPMENT and ME SYSTEMS.

IEC 60601-1-8
Definition: Medizinisch elektrisches System
„Kombination von einzelnen Geräten, wie vom HERSTELLER festgelegt, von denen mindestens eines ein ME-GERÄT sein muss und die durch eine FUNKTIONSVERBINDUNG oder durch den Gebrauch einer MEHRFACH-STECKDOSE zusammengeschlossen sind“
IEC 60601-1-8

Beispiele für ME-Geräte sind die oben genannten Medizinprodukte: Beatmungsgerät, Dialysemaschine, Infusionspumpe, Monitoring-System bzw. verteiltes Alarmsystem. Diese lassen sich klassifizieren in:

  • Therapeutische (lebenserhaltende) Systeme
  • Systeme zur Überwachung des Gesundheitszustands
  • Verteilte Alarmsysteme

Die Norm bezieht sich somit auf diejenigen Teile von ME-Geräten (ALARM SYSTEM), die Alarmzustände erkennen und Alarmsignale generieren, also alle Zustände, die das unmittelbare Handeln des Bedieners erfordern.

Die Norm schließt Nicht-ME-Geräte in verteilten Alarmsystemen ein, z. B. die Standalone-Software einer Patientenüberwachungszentrale oder abgesetzte Alarmanzeigen. Sie nennt aber keine technischen Anforderungen an die Funktionsweise solcher Alarmsysteme.

Hersteller von Standalone-Software, die auf allgemein verfügbaren Geräten läuft (Bsp. Smartphones, Pager) und Alarmzustände weiterleiten oder entfernt anzeigen, sollten die Norm ebenfalls in Betracht ziehen.

Weiterführende Informationen

Der Artikel zur IEC 60601-1 verschafft Ihnen einen schnellen Einstieg in die Welt der ME-Geräte.

c) Die Anforderungen der Norm im Überblick

Die IEC 60601-1-8 legt die Anforderungen für Alarme fest:

  • Umgang mit der Dringlichkeit von Alarmen (Priorität)
  • Wie Alarme signalisiert werden (visuell, akustisch)
  • Alarmverhalten von Alarmzustände (Verzögerung, Unterdrückung etc.)
  • Kennzeichnung und Begleitpapiere
  • Prüfung und Validierung von Alarmsystemen

Hingegen legt die Norm nicht fest:

  • Notwendigkeit eines Alarmsystems (ergibt sich aus der Risikoanalyse oder den Partikularnormen)
  • Umstände, die einen ALARMZUSTAND auslösen
  • Zuordnung von Alarmen zu Prioritäten (erfolgt teilweise in den Partikularnormen)
  • Die Technik zur Erzeugung eines Alarms (z. B. Piezo oder Lautsprecher)

Dafür hilft die Norm mit Begriffsdefinitionen, die das 2. Kapitel dieses Artikels vorstellt.

d) Schnittstellen zu anderen Normen

Besonders bei verteilten Alarmsystemen sollten Hersteller und Betreiber weitere Normen betrachten. Die folgende Abbildung verschafft eine Übersicht.

Die Abbildung zeigt das Zusammenspiel der für Alarme und Hinweissignale relevanten Normen wie der IEC 60601-1-8. „AP“ steht hierbei für „Applied Part“, das Anwendungsteil.
Abb. 1: Die Abbildung zeigt das Zusammenspiel der für Alarme und Hinweissignale relevanten Normen wie der IEC 60601-1-8. „AT“ steht hierbei für „Applied Part“, das Anwendungsteil.

2. Definitionen: Den Begriffsdschungel durchdringen

Die Norm definiert eine Vielzahl an Begriffen, deren Abgrenzung für den Laien schwierig erscheint; ihr Verständnis ist aber notwendig, um entscheiden zu können, wann welche Anforderung der Norm einzuhalten ist.

Tipp

Ob Sie alle Begriffe kennen und verstanden haben, können Sie überprüfen, wenn Sie in Kapitel 2 d) in der Tabelle die rechte Spalte abdecken und selbst die passenden Begriffe zuordnen.

a) Alarme, Alarmsysteme, Alarmsignale, Alarmbedingungen und mehr

Den Begriff Alarm definiert die IEC 60601-1-8 nicht. Dafür unterscheidet sie zwischen Alarmsystemen und Alarmsignalen. Sie differenziert auch zwischen mehreren Typen von Alarmbedingungen.

Ein Alarmsystem ist folgendermaßen definiert:

Definition: Alarmsystem (ALARM SYSTEM)
„ALARM SYSTEM parts of ME EQUIPMENT or a ME SYSTEM that detect ALARM CONDITIONS and, as appropriate, generate ALARM SIGNALS“
IEC 60601-1-8

Das, was man umgangssprachlich unter einem Alarm versteht, definiert die Norm als Alarmsignal.

Definition: Alarmsignal (ALARM SIGNAL)
„type of signal generated by the ALARM SYSTEM to indicate the presence (or occurrence) of an alarm condition“
IEC 60601-1-8

Beispiele für Alarmsignale sind Töne und visuelle Hinweise wie blinkende Ampeln.

Ein Alarmsignal zeigt an, dass ein Problem vorliegt. Die Norm nennt dies eine Alarmbedingung (alarm condition).

Definition: Alarmbedingung (ALARM CONDITION)
„state of the ALARM SYSTEM when it has determined that a potential or actual HAZARDOUS SITUATION exists for which OPERATOR awareness or response is required.“
IEC 60601-1-8

Die IEC 60601-1-8 unterscheidet zwischen physiologischen und technischen Alarmbedingungen.

Definition: Physiological Alarm Condition
„ALARM CONDITION arising from a monitored PATIENT-related variable“
IEC 60601-1-8

Ein Herzstillstand, eine zu niedrige Sauerstoffsättigung oder ein Blutdruckabfall sind Beispiele für solche physiologischen Alarmbedingungen.

Hingegen ist eine technische Alarmbedingung durch ein technisches Problem des überwachten Geräts verursacht.

Definition: Technical Alarm Condition
„ALARM CONDITION arising from a monitored equipment-related or ALARM SYSTEM-related variable“
IEC 60601-1-8

Zu den Beispielen für diese technischen Alarmbedingungen zählen:

  • Fehler oder Ausfall einer klinischen Funktion oder einer technischen Fähigkeit wie Blut zu pumpen, Gase zu detektieren, Energie in der definierten Menge an den Körper abzugeben
  • Anzeige, dass ein wichtiger Messwert verfügbar ist, der sofortiges klinisches Handeln erfordert
  • Batteriekapazität einer Insulinpumpe fällt unter einen festgelegten Grenzwert

b) Alarmsignale vs. sonstige Signale vs. Hinweise

Neben den Alarmsignalen gibt es noch weitere Signale:

  • Informationssignale
  • Erinnerungssignale
  • Hinweise/Advisories
Taxonomie der Begriffe der IEC 60601-1-8: Information Signal, Reminder Signal, Alarm, Advisory
Abb. 2: Taxonomie der Begriffe der IEC 60601-1-8
Definition: Informationssignal (INFORMATION SIGNAL)
„any signal that is not an ALARM SIGNAL or a REMINDER SIGNAL“
IEC 60601-1-8

Beispiel für Informationssignale:

  • Tonhöhe bei der Sauerstoffsättigung
  • EKG-Kurve mit der zugehörigen Herzfrequenz
  • Ein Hinweis ist eine Art Informationssignal
  • Eine Signallampe (Indicator lights) für die Aktivität der Röntgenstrahlung
  • Warn- und Kontrollleuchten (warning and caution lights) zählen ebenfalls zu den Informationssignalen

Informationssignale beziehen sich auf den Patienten, die Geräte oder den Arbeitsablauf. Sie stellen aber keine Indikatoren für einen möglichen Schaden dar und erfordern prinzipiell nicht die Handlung des Bedieners, aber dessen Aufmerksamkeit. Eine Alarmbedingung erfordert hingegen die Handlung des Bedieners sowie die Unterbrechung seiner Arbeit.

Das Amendment 2 führt einen Sonderfall dieser Informationssignale ein, die Hinweise (advisories).

Definition: Advisory (AMD2, Definition 3.38)
„An ADVISORY is a type of INFORMATION SIGNAL notifying the OPERATOR of a condition of the PATIENT or ME EQUIPMENT providing contextual awareness that is intended to improve the clinical workflow or understanding of the PATIENT condition, the awareness not being intended as a means of RISK CONTROL“
IEC 60601-1-8

Beispiele für Hinweise:

  • Eine Erinnerung, dass die nächste Blutentnahme in etwa zwei Stunden erforderlich ist
  • Die Batteriezustandsanzeige zeigt die verbleibende Batterieladung und weist den Bediener auf einen Arbeitsschritt hin, der in den nächsten Stunden durchgeführt werden muss, für den er aber noch keine ALARMBEDINGUNG für den Zustand der Batterie erhalten hat.

Die Abgrenzung der Alarme von Hinweisen ist oft nicht einfach und manchmal fließend. Eine Faustformel kann hier helfen:

Tipp

Immer wenn eine bestimmte Handlung erforderlich ist, da andernfalls ein Schaden entstehen könnte, werden Alarme benötigt. Hinweise sollen hingegen eine gedachte oder begonnene Handlung (z. B. das Öffnen einer Abdeckung bei eingeschaltetem Gerät) explizit unterdrücken.

Hersteller werden oft kreativ bei der Wortwahl, um nicht die Anforderungen der Norm erfüllen zu müssen. Jedoch ist der Zweck maßgebend und nicht der Begriff. Das erwähnt die Norm auch in dem neuen Amendment.

Schließlich definiert die IEC 60601-1-8 noch das Erinnerungssignal:

Definition: Erinnerungssignal (REMINDER SIGNAL)
„periodic signal that reminds the OPERATOR that the ALARM SYSTEM is in an ALARM SIGNAL inactivation state“
IEC 60601-1-8

c) Alarm vs. Alarm?!?

Die englische Sprache unterscheidet die Begriffe “Alarm“ und „Alert“. Beides wird im Deutschen meist mit „Alarm“ übersetzt. Dabei ist es besonders wichtig, beides genau zu unterscheiden.

Definition: Alert
„synonym for the combination of:
  • PHYSIOLOGICAL ALARM CONDITIONS,
  • TECHNICAL ALARM CONDITIONS and
  • ADVISORIES“
IEC 60601-1-8 AMD2:3.41

Mit dem Begriff Alert verbinden die Autoren die Alarme und die Advisories.Damit möchte die Autoren klarmachen, dass die Verwendung des Begriff Alerts anstelle von Alarm die Anwendbarkeit der IEC 60601-1-8 nicht per se ausschließt.

Tipp

Systeme, die hingegen nur Hinweise oder Informationen liefern, befinden sich nicht im Scope der IEC 60601-1-8.

Die IEC 60601-1-8 fordert nur, dass Alarme eindeutig abzugrenzen sind, um Verwechslungen auszuschließen. Anforderungen an die Darstellung von Hinweisen oder Informationen befinden sich in der Basisnorm IEC 60601-1 oder in den Partikularnormen IEC 60601-2-X.

d) Signale vs. Signalanzeige

Die IEC 60601-1-8 verwendet den Begriff der Indicator Lights (Signallampen). Sie definiert den Begriff aber nicht.

Signallampen (Anzeigeleuchten) sind eine visuelle Ergänzung zu den akustischen Alarmen oder dienen als Hinweis für eine bestimmungsgemäße Gefährdungssituation (nicht Fehler). Beispiele dafür sind:

  • Aktives HF-Signal
  • Aktives Röntgengerät
  • Heiße Fläche, die nicht berührt werden soll (nicht leuchtende Heizungen)

Alarmbezogene Signallampen nennt die IEC 60601-1:AMD2 Alarm Indicator Lights. Diese Signallampen müssen immer blinken. Hingegen müssen hinweisende Signallampen konstant leuchten (siehe Tabelle 2, IEC 60601-1:AMD2).

Die IEC 60601-1:AMD2 zählt die hinweisenden Signallampen zu den Informationssignalen (siehe Tabelle 2 und Blogartikel AMD2).

Signallampen, die als Warn- und Sicherheitshinweise verwendet werden (siehe Beispiele), werden wie Sicherheitszeichen betrachtet. Die Anforderungen an die hinweisenden Signallampen befinden sich daher in der Basisnorm IEC 60601-1 und einigen Partikularnormen. Die Anforderungen an die Alarm-Signallampen (Blinkfrequenz) befinden sich in der IEC 60601-1-8.

e) Zusammenfassung und Beispiele

Eine Herz-Lungen-Maschine soll als Beispiel dienen, um die korrekten Begrifflichkeiten den verschiedenen Informationsarten zuzuweisen.

Art der Information

Betrifft, Folge, Gefährdung

Begriff

Luft im System

Luft kann zu Embolie führen

Technischer Alarm

Hinweis: Nächster Wechsel des Oxygenators in 4 h

Klinisches Management

Information (kein Alarm)

Ausfall des Luftblasendetektors

Nicht erkannte Luftblasen, Embolie

Technischer Alarm

Batterieanzeige Restkapazität

Klinisches Management

Information

Batterie tief

Gerät fällt aus

Technischer Alarm

Anzeige Sauerstoffsättigung

Aufmerksamkeit des Bedieners

Information

Anzeige Bluttemperatur

Aufmerksamkeit des Bedieners

Information

Unterschreiten der Grenztemperatur

Möglicher Schaden

Physiologischer Alarm

Ausfall Alarmsystem

Keine Überwachung

Technischer Alarm

Anzeige Stromausfall

Gerät fällt aus, keine Funktion

Technischer Alarm

Rot markierter Bereich der Drehzahlanzeige

 

Information

Anzeige, dass die eingestellte Drehzahl für einen Patienten zu hoch ist

Falls ein Schaden daraus resultiert:

Alarm

Anzeige, dass die eingestellte Drehzahl für einen Patienten zu hoch ist

Falls kein Schaden daraus resultiert:

Information

Ist-Drehzahl weicht vom eingestellten SOLL ab

Nicht erkennbarer Fehler, kann zum Schaden führen

Technischer Alarm

Heiz-Kühl-Einheit in Betrieb

 

Information (grüne Signallampe)

3. Anforderungen der IEC 60601-1-8

a) Anforderungen an das Produkt inkl. Erzeugung der Alarme

Die Norm legt spezifische Anforderungen an die Alarme fest. Dazu zählen:

  • Lautstärke
  • Tonhöhen
  • Dauer
  • Wiederholungen
  • Prioritäten

Das Amendment 2 liefert sogar konkrete Beispiele für Wellenformen (s.u.).

Mindmap zeigt Kapitelstruktur der IEC 60601-1-8
Abb. 4: Kapitelstruktur der IEC 60601-1-8

b) Anforderungen an die Dokumentation

Die IEC 60601-1-8 macht den Herstellern konkrete Vorgaben auch bei der Dokumentation inklusive Begleitdokumentation.

Zu dokumentieren

Typischer Ort

Liste der Risiken, für die ein Alarm die Maßnahme zur Risikobeherrschung ist

Risikomanagementakte

Technische Funktionsbeschreibung (Algorithmen, Auslegung, Zustände etc.) der Alarme

System Requirements Specification, Systemarchitektur

Die Priorisierung der Alarme (in erster Linie nach Schwere und Schnelligkeit des Auftretens eines Schadens)

System Requirements Specification

Faktoren für die Empfindlichkeit eines Alarms (Sensitivität, Spezifität)

System Requirements Specification

Offenlegung von Algorithmen und Funktionsweise des Alarmsystems

Gebrauchsanweisung

c) Anforderungen an die Prüfung

Auch den Prüfern (z. B. eines Prüflabors) macht die IEC 60601-1-8 konkrete Vorgaben. Die Prüfungen müssen umfassen:

  • Vollständigkeit der Gebrauchsanweisung
  • Funktion des Alarmsystems
    • Sichtbarkeit des Alarmsignals
    • Hörbarkeit des Alarmsignals (Lautstärkepegel, zeitliche Merkmale: Tonfolgen, Frequenzen, Pausen etc.)
    • Korrekte Funktion des Alarmverhaltens (Alarm Aus, Alarmunterdrückung etc.)
    • Funktion unter bestimmten Umständen (EMV, Bedienung etc.)
  • Risikomanagementakte (Kriterien für die Alarmierung, Fehlfunktionen im Alarmsystem)
  • Korrekte Funktion und Kennzeichnung der Bedienelemente
  • Technische Beschreibung des Alarmsystems
  • Validierung des Alarmsystems (Usability-Akte)

4. Das Amendment 2 (AMD2:2020)

a) Hintergrund

Die IEC 60601-1-8 wurde letztmalig im Jahr durch das Amendment 1 geändert. Man spricht auch von der „Version 2.1“. Seither gab es weitere Änderungsvorschläge, von denen die EU-Kommission 20 als dringend eingestuft hat. Diese sind 2020 in das Amendment 2 eingeflossen, das als „Version 2.2“ bezeichnet wird.

Alle verbleibenden Punkte („long list“) sollen erst in einer dritten Ausgabe berücksichtigt werden, die für 2024 oder später geplant ist.

b) Die wichtigsten Änderungen im Überblick

Bereits der Umfang von 62 Seite lässt vermuten, wie wichtig und umfangreich die Änderungen sind. Dazu zählen:

  1. Update der datierten Verweise auf referenzierte Normen
  2. Textkorrekturen
  3. Neue und geänderte Definitionen
  4. Adressieren der Risiken im Zusammenhang mit Alarmüberdrüssigkeit oder Alarmmüdigkeit
  5. Verbesserte Techniken für die Erkennbarkeit von akustischen Alarmen
  6. Abgrenzung der Begriffe Alarm, Hinweis, Warnung und Information
  7. Korrigierte Prüfung für die Messung des Schalldrucks
  8. Verteilte Alarmsysteme (Distributed Information Systems): Abschnitt vollständig überarbeitet bzw. eingefügt
  9. Neue graphische Alarmsymbole

Auf einige dieser Punkte gehen die folgenden Abschnitte ein.

c) Alarmmüdigkeit und Alarmerkennbarkeit (Punkt 4)

Hintergrund und Problemstellung

Alarmsignale verbessern die Erkennbarkeit einer Alarmsituation (Gefährdungssituation) und haben somit einen bedeutenden Einfluss auf das klinische Management und das Patientenrisiko. Alarmsignale sind generell gekennzeichnet durch deren Präsentation (akustisch, visuell, akustisch + visuell), verbunden mit der Aufgabenanforderung (Priorität).

Die Autoren haben in verschiedenen Untersuchungen zwei Probleme im Zusammenhang mit den Alarmen identifiziert:

  1. Alarmmüdigkeit
  2. Schlechte Alarmerkennbarkeit bzw. -unterscheidbarkeit akustischer Signale

Alarmmüdigkeit

Die Alarmmüdigkeit wird begünstigt durch

  • Alarmschwemme (zu viele Alarme),
  • nervige, störende Alarme oder
  • falsch positive Alarme.

Die Norm möchte das Bewusstsein der Hersteller für das bekannte Problem der Alarmmüdigkeit schärfen und verlangt, dass Hersteller den Effekt bei der Gestaltung der Benutzerschnittstelle Alarme berücksichtigen.

Alarme werden in der Norm generell als Teil einer Risikomaßnahme betrachtet. Ein positives Nutzen-Risiko-Verhältnis wäre somit gegeben, wenn ein Alarmsystem nur klinisch relevante Alarmsituationen anzeigt, die eine Handlung innerhalb einer angemessenen Zeit erfordern. Die Norm nennt diese Alarme „clinically actionable“.

Die Wirksamkeit der Risikomaßnahme darf also nicht durch zu viele oder falsche Alarme reduziert werden. In diesem Zusammenhang führt die Norm die folgenden neuen Begriffe ein:

  • ALARM FATIGUE (3.39)
  • ALARM FLOOD (3.40)
  • NUISANCE ALARM SIGNAL (3.50)
  • CLINICALLY NONACTIONABLE (3.45)
  • CLINICALLY ACTIONABLE (3.44)

Die Norm nennt keine konkreten Anforderungen an Technologien wie intelligente Alarmsysteme oder an die Genauigkeit und Korrektheit von Alarmen. Hersteller müssen diese Aspekte vielmehr beim Entwurf des Alarmsystems (Spezifikation der Leistungsfähigkeit) und in der Risikoanalyse berücksichtigen.

Alarm

Bedeutung

Risiko

Möglichkeiten

False Negativ

Kein Alarm, wenn eine Alarmsituation besteht

Bediener bemerkt kritischen Zustand eines Patienten nicht oder zu spät. Kann zu Frustration und verringerter Benutzerakzeptanz führen.

Grenze zwischen False Negative und True Negative spezifizieren

False Positiv

Alarm, wenn keine Alarmsituation besteht

Sind klinisch nicht relevant und störend (NUISANCE ALARM SIGNAL) und führen zu verzögerten, unnötigen, unangemessenen oder keinen Benutzeraktionen und verschlechtern die Aufmerksamkeit (ALARM FATIGUE). Benutzer stellt Alarme u. U. ab.

Verbesserte Algorithmen, Verzögerung von Alarmen

True Positiv

Alarm, wenn eine Alarmsituation besteht

Zu viele (Stör)Alarme (ALARM FLOOD), die kein unmittelbares Handeln erfordern (CLINICALLY NONACTIONABLE), weil die Priorität falsch eingeschätzt ist oder der Anwender sich der Situation bereits bewusst ist, können zu unangemessenen Benutzeraktionen führen oder die Aufmerksamkeit verschlechtern (ALARM FATIGUE).

Verbesserte Algorithmen, mit Anwendern die Relevanz der Alarme besprechen (Nutzen-Risiko betrachten)

True Negativ

kein Alarm, wenn keine Alarmsituation besteht

Keine

 

d) Schlechte Alarmerkennbarkeit akustischer Signale

(Punkt 5 der Aufzählung in Abschnitt 4 b))

Akustischer Signale sind oft nicht ausreichend wirksam, weil sie entweder

  • schwer differenzierbar und verwirrend sind oder
  • sich nur schwer mit einer kritischen Situation in Verbindung bringen lassen.

Für die Erkennbarkeit einer Alarmsituation sind die akustischen Alarmsignale der erste und oft einzige Indikator. Dementsprechend haben die akustischen Alarmsignale in der Norm einen besonderen Stellenwert und müssen als Teil der Benutzerschnittstelle (auditive Schnittstelle) auch die Anforderungen an die Gebrauchstauglichkeit erfüllen.

Relevante Kriterien für die Gebrauchstauglichkeit von akustischen Signalen sind:

  • Erlernbarkeit
  • Lokalisierbareit
  • Hörbarkeit
  • Erkennbarkeit (Selbstbeschreibungsfähigkeit)
  • Individualisierbarkeit

Für die Kodierung der Information (Erkennbarkeit) in einem Alarmsignal kennt die Norm bisher melodische Tonfolgen (siehe Annex F).

In verschiedenen Untersuchungen haben die Autoren festgestellt, dass die melodischen Alarmsignale (Annex F) die oben genannten Kriterien für Gebrauchstauglichkeit nur noch bedingt erfüllen und nicht dem Stand der Technik (und Wissenschaft) entsprechen.

Wissenschaftliche Untersuchungen in anderen Bereichen (Avionik, Maschinenbau) zeigen, wie sich effektivere gebrauchstaugliche akustische Schnittstellen gestalten lassen. Das hat zur Entwicklung weiterer Techniken geführt, z. B.:

  • Auditory Icons
  • Auditory Pointer

Der Grundgedanke besteht darin, eine Verbindung zwischen einem akustischen Signal und einer bekannten Realität zu schaffen, zum Beispiel ein Hustgeräusch, das gefährliche Kohlenmonoxidwerte signalisiert.

Unser Gehör ist evolutionstechnisch in der Lage, komplexe Geräusche zu differenzieren und kognitiv zu verarbeiten.

Die Auditory Icons und Auditory Pointer haben die Autoren im Amendement 2 daher eingeführt und werden im Folgenden kurz vorgestellt.

Auditory Icons

„sound that creates a strong semantic link to the category it represents“

Auditory Icons haben eine viel stärkere Verbindungen zu der Alarmbedingung als abstrakte Klänge, sind leichter zu lokalisieren und resistenter gegen Maskierung. Die Auswahl spezifischer AUDITORY ICONS für spezifische Funktionen bedeutet, dass Verwechslungen mit Geräuschen, die in einer klinischen Umgebung natürlich vorkommenden, vermieden werden.

Die Autoren sind sogar derart von der Anwendbarkeit der Auditory Icons überzeugt, dass sie behaupten, dass ein Anwender, der Auditory Icons nicht erkannt hat, auch die herkömmlichen Alarmsignale nicht erkannt hätte.

Tabelle G.4 zeigt eine Liste mit bereits validierten Auditory Icons für die häufigsten Alarmbedingungen.

Tabelle G.4 – Characteristics of the AUDITORY ICON

SOURCE of the ALARM CONDITION

AUDITORY ICON metaphor

AUDITORY ICON description

File name of AUDITORY ICON

General

none

none

Cardiovascular

“ Lup-dup“ ; heartbeat sound

A stylized, square/triangle wave-based “ heartbeat“ sound with no discernible frequency. Six PULSES formed from three 2- PULSE “ lup-dup“ sequences

cardiovascular.wav

Artificial perfusion

Liquid disturbance, water churning, bubbles

Two approximately 1 s sequences of a strong water bubbling sound, separated by silence

perfusion.wav

Ventilation

A single inhale followed by an exhale

A 1 s inhaling sound (like white noise), followed by a 0,5 s gap, followed by a slow exhale with a long tail

ventilation.wav

Oxygenation

Irregular, stylized dripping/saturation

Stylized irregular temporal pattern with some discernible pitch; a two-tone sequence superimposed on the six-tone pattern

oxygenation.wav

Temperature/energy delivery

Whistling kettle

Complex sound including high frequency harmonics, rising slowly over approximately 2 s

temperature.wav

Drug or fluid delivery/administration

Shaking pill bottle

Two 0,8 s sequences of a 4-rattle shaking sound

drug_delivery.wav

Equipment or supply failure

Starting up a motor that shuts down suddenly

Spectrally complex sound of a motor revving up (increasing in frequency) over approximately 1,2 s then an abrupt stop tailing off for approximately 0,5 s

failure.wav

Testen Sie selbst, ob sie die Alarme zuordnen könnten. Die Norm liefert die Beispiele gleich mit.

Auditory Pointer

„sound that attracts attention, denotes the priority and aids in localization of the COMMUNICATOR“

Auditory Pointer „zeigen“ auf die Alarmquelle (Art des Geräts und welcher Patient) und geben die Priorität bzw. Kritikalität (hoch, mittel, tief) des Alarmzustands an. Ein auditiver Zeiger bildet räumliche Parameter auf akustische Parameter ab.

In den Tabelle G.1 und G.2 sind die Spektral-, Amplituden- und Zeitvariablen für die HOHE PRIORITÄT, MITTLERE PRIORITÄT und NIEDRIGE PRIORITÄT angegeben.

Die Norm nennt dann Tonparameter, mit denen sich die Dringlichkeit, Hörbarkeit, Lokalisierbarkeit modellieren lassen.

  • Dringlichkeit: Tonhöhe, Lautstärke, Wiederhohlfrequenz, Harmonie
  • Hörbarkeit: Frequenzbereich, Amplitude, Oberwellen
  • Lokalisierbarkeit: Komplexität des Tones

Auch hierfür liefert die ISO die Beispiele gleich mit.

e) Validierung der Alarme

(siehe 4 c) und 4 d))

Die Vorschläge der Norm aus den Tabellen G.1 bis G.5 wurden bereits durch die Autoren klinisch validiert und müssen nicht erneut geprüft werden. Das betrifft auch die weiterhin gültigen Alarmsignale gemäß Tabellen 3 und 4.

Die Autoren haben die Auditory Icons (Annex G) gegenüber den melodischen Alarmsignalen (Annex F) mit Anwendergruppen in einer klinischen Umgebung getestet. Die Auditory Icons waren eindeutig überlegen.

Dieser Artikel zeigt ein Beispiel für ein mögliches Testsetup für eine formative oder summative Usability-Bewertung.

Wenn Sie hingegen eigene Alarmsignale, Auditory Icons und Pointer entwickeln, müssen Sie die Wirksamkeit anhand der folgenden Kriterien in einer echten oder simulierten klinischen Umgebung validieren.

  • Erkennungsgeschwindigkeit
  • Erkennungsgenauigkeit
  • Lokalisierbarkeit
  • Aufgabenanforderung (Priorität niedrig, hoch)
  • Erlernbarkeit

Die Norm liefert im Annex H gleich ein Testframework für die summative Bewertung und Akzeptanzkriterien für die Aspekte Erlernbarkeit, Lokalisierbarkeit und Erkennbarkeit .

5. Was Sie jetzt tun können

a) 12 Schritte zur Konformitätsprüfung

Insbesondere Hersteller, die ihre Systeme schon länger herstellen und vertreiben und nach 2012 (letzte Änderung der IEC 60601-1-8) keine Überprüfung zum Stand der Technik vorgenommen haben, sollten ihre Systeme auf Konformität prüfen und einen PMS-Bericht erstellen. Dabei sind die folgenden 12 Schritte hilfreich:

  1. Auflisten aller Anzeigen und Hinweise (auch Warnsymbole)
  2. In der Risikoanalyse prüfen, welche Anzeigen und Hinweise als Risikomaßnahme definiert sind und auch im Sinne der Norm als Risikomaßnahme betrachtet werden müssen
  3. Auf der Basis von Abschnitt 2 die Anzeigen klassifizieren als
    1. Alarmsignal (Patient, technisch) oder
    2. Informationssignal (schließt Advisory ein) oder
    3. Indicator lights
  4. Feststellen, welche Anzeigen sich nicht eindeutig abgrenzen lassen oder falsch zugeordnet sind
  5. In Abhängigkeit von Abschnitt 4 für diese Anzeigen den Zweck bzw. die Funktion eindeutig definieren
  6. Bei den Alarmen prüfen, ob die Priorität der Alarme für die geforderte Dringlichkeit, Reaktionszeit angemessen ist und die Rangfolge (Hoch, Mittel, Tief) eingehalten wird.
  7. Einen Testplan und Testspezifikationen für die Gebrauchstauglichkeit von selbst entwickelten Alarmsignalen erstellen (siehe Kriterien in IEC 60601-1-8: AMD2, Anhang H)
  8. Verifizieren, ob die Anforderungen an die visuelle Darstellung aller Anzeigen gemäß IEC 60601-1:AMD2 (Table 2) erfüllt sind
  9. GAP-Analyse und Umsetzungsplan dokumentieren
  10. Prüfen, ob die Architektur geeignet ist, Alarmquelle und Anzeige (Communicator) fachlich zu trennen. Damit haben Sie die Möglichkeit, die Alarmsets gegeneinander auszutauschen.
  11. Prüfung der alarmbezogenen Anforderungen der IEC 60601-1 und IEC 60601-1-8 in einem Labor wiederholen
  12. PMS-Plan mit Feedback zu den Alarmen ergänzen oder ggf. Logdaten definieren (Alarmlogging wird von der Norm bereits verlangt)

b) Zeitschiene für die Umsetzung

Europa

Das Amendment 2 steht in der EU auf der Liste der Normen, die bis Mai 2024 überarbeitet und harmonisiert werden sollen (siehe standardisation request-MDR-IVDR).

Gemäß AMD 2, Abschnitt 6.3.3.1 d) dürfen die bisher empfohlenen melodischen Alarme weiterhin verwendet werden. Es ist allerdings die Absicht der Autoren, die neuen ALARM-SIGNALE aus Anhang G bei der nächsten Änderung oder Ausgabe der IEC 60601-1-8 verbindlich zu machen.

Der späteste Termin für Harmonisierung (EN 60601-1-8:2007+AC:2010+A11:2017+prA2) ist für den 27. Mai 2024 geplant. Die Version 3.0 der Norm, mit der die neuen Alarmsignale verbindlich werden sollen, ist für 2024 geplant.

Ob und bis wann die Version 3.0 der Norm harmonisiert wird, ist demnach noch offen, aber nicht innerhalb der nächsten drei Jahre zu erwarten.

Rest der Welt

Markt

Aktueller Stand

Übergangsperiode

Bemerkung

FDA

IEC 60601-1-8 Edition 2.1 2012

17. Dezember 2023

FDA recognition of IEC 60601-1-8 Edition 2.1 2012-11 [Rec# 5-76] will be superseded by recognition of IEC 60601-1-8 Edition 2.2 2020-07 CONSOLIDATED VERSION [Rec# 5-131]. FDA will accept declarations of conformity, in support of premarket submissions, to [Rec # 5-76] until December 17, 2023. After this transition period, declarations of conformity to [Rec # 5-76] will not be accepted.

Anvisa

ABNT NBR IEC 60601-1-8:2014

keine Angabe

keine Angabe

China NMPA

YY 0709-2009 (IEC 60601-1-8:2003)

keine Angabe

keine Angabe

Canada CSA

CAN/CSA C22.2 NO. 60601-1-8:08 + AMD1:2012

keine Angabe

keine Angaben

Japan JIS

JIS T 60601-1-8:2012

keine Angaben

keine Angaben

6. Fazit

Reihenfolge der risikominimierenden Maßnahmen beachten

Der erste Impuls vieler Hersteller besteht darin, Risiken durch Alarme und Hinweise zu beherrschen. Dabei schreiben MDR und IVDR die Reihenfolge vor, in der solche Maßnahmen zu bestimmen sind. An erster Stelle steht das inhärent sichere Design.

Doch wenn keine andere Wahl bleibt, als mit Alarmen und anderen „Signalen“ die Risiken zu beherrschen, müssen diese Maßnahmen wirksam sein. Daher ist eine Norm wie die IEC 60601-1-8 hilfreich, weil sie konkrete Vorgaben dazu macht, wie diese Alarme und Signale zu gestalten sind.

Stand der Technik beachten

Diese Vorgaben sind keine Konstanten, sondern müssen dem Stand der Technik entsprechen. Daher ist es zu begrüßen, dass die Autoren der IEC 60601-1-8 mit dem zweiten Amendment diesem Stand der Technik folgen. Damit tragen sie zur Sicherheit von Medizinprodukten bei.

Auch wenn der Anwendungsbereich der IEC 60601-1-8 auf Medizinprodukte wie ME-Geräte beschränkt ist, können die Vorgaben dieser Norm auch bei anderen Medizinprodukten dienlich sein.

Jetzt handeln

Hersteller sollten sich sogleich auf den Weg machen, die Konformität mit dem zweiten Amendment zu prüfen. Die Umsetzung der zwölf oben geannten Punkte ist dabei hilfreich.


Das Johner Institut unterstützt Hersteller dabei, sichere, leistungsfähige und wirksame Medizinprodukte zu entwickeln, die die Anforderungen der IEC 60601-1-8:AMD2 erfüllen. Nehmen Sie Kontakt auf (z. B. über das Kontaktformular) um zu erfahren, wie Sie schnell und sicher die Konformität Ihrer Produkte prüfen, diese ggf. wiederherstellen und Ihre Analyse dokumentieren können. Das wird auch Ihr Auditor zu schätzen wissen.

Wie hilfreich war dieser Beitrag?

Bitte bewerten Sie:

Durchschnittliche Bewertung 4.1 / 5. Anzahl Bewertungen: 9

Geben Sie die erste Bewertung!


Kategorien: Auf was Sie bei der Systementwicklung von Medizinprodukten achten müssen, Usability & IEC 62366
Tags:

2 Kommentare

  1. Kaya Punat | Dienstag, 22. Juni 2021 um 10:39 Uhr - Antworten

    Vielen Dank für den interessanten Artikel.

    Verstehe es richtig, es handelt sich bereit um ein Medizinisch elektrisches System, selbst wenn sich unabhängige Produkte eine Mehrfachsteckdose teilen? (vorausgesetzt, eines ist ein MP)

    Welche Implikationen hat dies für den Hersteller des Nicht-MPs und den Betreiber?

    Beste Grüße aus Würselen


    • Mario Klessascheck | Dienstag, 22. Juni 2021 um 17:19 Uhr - Antworten

      Lieber Herr Punat,

      Vielen Dank für Ihre Frage.

      Die Definition für ME-Systeme lautet wie folgt: „Kombination von einzelnen Geräten, wie vom HERSTELLER festgelegt, von denen mindestens eines ein ME-GERÄT sein muss und die durch eine FUNKTIONSVERBINDUNG oder durch den Gebrauch einer MEHRFACHSTECKDOSE zusammengeschlossen sind“

      Für den Hersteller des Nicht-Medizinproduktes hat das keine Implikation, da dieser in der Regel nicht weiss, dass sein Produkt Teil eines ME-Systems ist. Ein Betreiber muss sich bewusst sein, welche Risiken mit dieser Art Systembildung verbunden sind und das System einen Fachmann bauen und prüfen lassen. Lesen Sie hierzu auch unseren Artikel über Mehrfachsteckdosen.

      Liebe Grüsse, Mario Klessascheck


Hinterlassen Sie einen Kommentar

Diese Website verwendet Akismet, um Spam zu reduzieren. Erfahre mehr darüber, wie deine Kommentardaten verarbeitet werden.