ГОСТ Р ИСО/ТС 25238—2009
В (20] представлена классификация такого программного обеспечения исходя из уровня его значимости для
безопасности пациентов или операторов. Суть и обьем документации, необходимой для предпродажного пред
ставления. затем сопоставляются с уровнем значимости. Уровень значимости определяется оценкой серьезности
травмы, которую прибор может нанести или причинить, напрямую ипи косвенно, пациенту или оператору в резуль
тате сбоев в работе прибора, конструктивных недоработок или просто при применении прибора не по назначению. В
данном руководстве определены три следующих уровня значимости:
- высокий — если сбой или скрытые ошибки проектирования могут привести непосредственно к летальному
исходу или нанесению серьезного вреда для пациента или оператора: уровень значимости также определяется как
высокий, если сбой или скрытые ошибки могут косвенно привести к летальному исходу или нанесению серьезного
вреда для пациента ипи оператора вследствие искажения или задержки информации либо действий медицинского
работника:
- средний — если сбой или скрытые ошибки проектирования могут привести непосредственно к нанесению
незначительного вреда для пациента или оператора; уровень значимости также определяется как средний, если
сбой или скрытые ошибки могут косвенно привести к нанесению незначительного вреда для пациента ипи операто ра
вследствие искажения или задержки информации либо действий медицинского работника;
- низкий — если сбой или скрытые ошибки проектирования не могут привести кнанесению какого-либо вреда
для пациента или оператора.
Серьезный вред определен как травма или заболевание, которое.
- угрожает жизни;
- приводит к устойчивому ухудшению функций организма или к устойчивому повреждению структуры
организма.
-требует медицинского или хирургического вмешательства для предотвращения устойчивого ухудшения
функций организма или устойчивого повреждения структуры организма.
Термин «устойчивый» определен как «необратимое ухудшение или повреждение структуры или функций
организма, за исключением незначительных ухудшений или повреждений».
Незначительный вред определен как вред, который не подпадает под определение серьезного вреда.
Особое значение имеет рекомендация, в соответствии с которой уровень значимости оценивается «до сни
жения опасности», т. е. прибор, содержащий программное обеспечение, должен оцениваться без учета принятых
мер по снижению опасности. В настоящем стандарте установлено аналогичное требование (см. 4.2 и 4.3).
Руководство Центра по приборам и радиологической безопасности (CDRH) FDA по использованию присут
ствующего на рынке программного обеспечения в медицинских приборах (21) содержит следующее положение.
«Поскольку оценить риски для опасностей, связанных с программным обеспечением, на основании частоты
сбоев программного обеспечения достаточно трудно. CDRH пришел к выводу, что управление техническими риска
ми для программного обеспечения медицинских приборов должно фокусироваться на серьезности вреда, который
может быть нанесен а результате сбоя программного обеспечения. Анализ опасностей определяется как иденти
фикация опасностей и вызывающих их причин (22). Основываясь на определениях анализа рисков из (11) и (23).
можно сказать, что анализ опасностей, по сути, является подмножеством анализа рисков; поскольку анализ рисков
для программного обеспечения не может основываться на вероятности инцидента, то реальная функция
анализа рисков для программного обеспечения может быть сведена к функции анализа опасностей. С
технической точки зрения использование любого из терминов — «анализ рисков» или «анализ опасностей»
является уместным. Однако CDRH принял решение применять термин «анализ опасностей», чтобы подчеркнуть
положение, что расчет риска на основании частоты сбоев программного обеспечения, как правило, неправомерен,
и поэтому более умес тно управлять рисками со стороны программного обеспечения на основании серьезности
вреда, а не на основании частоты сбоев программного обеспечения».
Вданном руководстве (21) также предложена классификация, основанная на «уровне значимости», по сущес
тву. с аналогичными определениями.
Необходимо отметить, что в руководстве по программномуобеспечению для медицинских целей четко заяв
лено. что руководство по «уровню значимости» применимо только к предпродажным оценкам и «не относится к
классификации приборов (по классам I. II или III) или непосредственно к анализу опасностей или рисков». Тем не
менее возникает вопрос о том. может ли данная классификация быть применима к программным продуктам для
сферы здравоохранения, т. е. использована а настоящем стандарте.
Подобно руководству FDA (20). настоящий стандарт признает, что проблемойдля программного обеспечения
является систематическая ошибка и что риск не может определяться на основе частоты сбоев программного обес
печения. По существу, если ошибка заложена в программу, то она обязательно проявится, тоесть вероятность сбоя
программы составляет 100 %. Таким образом, для программного обеспечения анализ рисков сводится к анализу
опасностей, т. е. к идентификации сути и серьезности потенциального вреда при проявлении систематической
ошибки. Настоящий стандарт классифицирует суть и серьезность потенциального вреда по пяти категориям после
дствий (в отличие от трех категорий, установленных FDA) в целях более детального разграничения, которое не за
трагивает операторов. Кроме того, в настоящем стандарте дано более полное определение последствий,
например проводится различие между вредом для одного пациента и вредом для многочисленных пациентов, осо-
12