Der in der Schweiz lebende Australier Richard Koch berät Unternehmen, die medizinische Daten in Medizinprodukte umwandeln und Anforderungen der IEC62304 mit agilen Prozessen kombinieren. Die Norm 62304 spezifiziert die Entwicklung von medizinischer Software und Software in medizinischen Geräten. Viele seiner Kunden sind Unternehmen aus dem Bereich SaMD (Software as a Medical Device), deren Apps unter die regulatorische Definition eines Medizinprodukts fallen. Jira, Confluence, SoftComply, Zephyr und X-Ray gehören zu Kochs bevorzugten Werkzeugen und er sagt: „Wer Berichte zur Rückverfolgbarkeit erstellen will, tut sich mit Jira Snapshots for Confluence einen großen Gefallen“.
Richard Koch
SaMD IEC62304 Consultant
RadBee: Hi Richard! Sie haben die App Jira Snapshots for Confluence zunächst über den Testzeitraum in der kostenlosen Version ausprobiert. Wie ist ihr Urteil ausgefallen?
Koch: Ich mochte das Produkt. Schnell habe ich auch Kontakt zum Entwicklerteam aufgenommen und nach mehr Funktionen gefragt. Die App ist sicher nützlich für viele Bereiche. Aber für mich ist sie in der Entwicklung medizinischer Geräte besonders spannend, weil sie die Erstellung von rückverfolgbaren Berichten erleichtert, die in der Medizintechnik zum Alltag gehören.
Ich biete dafür bereits Software-Lösungen an, die das Erfassen und Verknüpfen von Anforderungen möglich macht, zu Produktanforderungen, zu Codeeinheiten, zu Codeelementen, zum Testen, zum Risikomanagement, und so weiter…
How to: Reports aus Jira-Daten, die alle verstehen!
Die einzige Möglichkeit, das in Jira abzubilden, ist dort diese Verbindungen zu erstellen. Aber dann man muss man die Daten auch auf die richtige Weise anzeigen können. Mit Snapshots ist das möglich. Es lässt sich ein sogenannter horizontaler Rückverfolgbarkeitsbericht erstellen. DevOps, die Jira-Konkurrenz von Microsoft, hat diese native Funktionalität. Aber Jira und Confluence nicht.
Snapshots schließt also die Lücke und gibt Ihnen die Funktionalität, die Sie brauchen, um diese Berichte zu erstellen.
RadBee: Sie haben unserem Entwicklerteam weiteren Input gegeben…
Koch: Ja, ich habe nach Filter- und Gruppierungsfunktionen gefragt. Abfrage-Plugins für Confluence haben diese meist nicht. Die neue Version von Snapshots hat nicht nur das, sie soll auch ermöglichen, Felder in voller Breite anzuzeigen, wenn sie sehr detailliert sind oder Referenzinformationen in einer Spalte zu stapeln und so eventuellen Leerraum auszumerzen. Manchmal hat man 10 oder 12 Spalten in einem Bericht…
(Anmerkung von RadBee: Die Funktion steht auf unserer Roadmap und wird in den nächsten Monaten eingeführt.)
RadBee: Warum ist die Übersichtlichkeit der Berichte für Ihre Projekte so wichtig?
Koch: Nehmen wir alleine die User Stories. Die Akzeptanzkriterien aus einem Ticket definieren Ihre Softwareanforderungen, die wiederum das Risiko mindern, das Sie identifiziert haben. Sie können sich dazu mit Ihrem Team zusammensetzen, und die entsprechenden Tickets einzeln öffnen und vergleichen – aber das ist einfach umständlich. Deswegen habe ich Jira Snapshots schon einigen meiner Kunden vorgestellt.
RadBee: Wie war die Resonanz?
Koch: Softwarefirmen für medizinische Geräte, die Jira benutzen, brauchen die App. Es ist ein gutes Produkt, das sich immer weiter verbessert.
RadBee: Erklären Sie uns doch bitte nochmal, was hinter IEC62304-Prozessen steckt…
Koch: IEC62304 ist ein internationaler Standard dafür, wie man Software als Medizinprodukt entwickelt und zwar so, dass sie von der FDA zugelassen wird. Man kann sie dann als medizinisches Gerät bezeichnen. Das kann eine Diagnose-App sein oder eine, die eine Insulinpumpe steuert. Ein weiterer Kunde hat an einem Projekt gearbeitet, bei dem es um die Interpretation von Gehirnsignalen geht. Die eingebettete Software läuft auf einem Chip in einem Gerät, das zwischen dem Schädel und der Kopfhaut sitzt.
Wenn man es mit solchen Hochrisikoprodukten zu tun hat, braucht man ein hohes Maß an Zuverlässigkeit und Sicherheit. Und die Sicherheit bekommt man nur durch diese Rückverfolgbarkeit, den Nachweis, dass man den IEC62304-Prozess befolgt.
IEC62304-Prozesse in Jira abbilden – auf einen Blick
RadBee: Es geht also darum, dass die Prozesse alle Anforderungen erfüllen oder erfüllt haben – und dass sich das auf mehr oder minder einen Blick erfassen lässt?
Koch: Ja, es läuft immer wieder auf das Gleiche hinaus. Dass die Rückverfolgbarkeit der System- und Softwareanforderungen nach unten und nach oben nachgewiesen werden muss, dass man das verifizieren und validieren muss. Und ich denke, was diese Herausforderungen angeht, ist Confluence in gewisser Weise manchmal sehr begrenzt, zumindest was die Felder angeht, auf die man zugreifen kann.
Ich benutze Zephyr für Tests und man verlässt sich einfach auf das, was der Anbieter einem zur Verfügung stellt. Und im Moment ist das Zephyr-Reporting sehr dürftig. Man bekommt, was man braucht, aber man kann es aktuell nicht formatieren. Man hat auch nur eine begrenzte Anzahl von Optionen, um den Bericht auszuführen. So wie es aussieht, wird das Zephyr-Cloud-Produkt diese Felder aber in absehbarer Zeit auch in Confluence zur Verfügung stellen.
RadBee: Wo sehen Sie weiteres Potenzial im Bereich von medizinischer Software und Software in medizinischen Geräten?
Koch: Eines der Probleme, die ich auf dem Markt für medizinische Geräte im Allgemeinen sehe, ist die Art und Weise, wie das Risikomanagement durchgeführt wird. Man verlässt sich auf eine Risikomanagement-Matrix, in der man eine gefährliche Situation feststellt, das Risiko bewertet und die Folgen abmildert. Und die Leute kleben immer noch an ihren Dokumenten…
Wenn man aber einen guten Risikomanagementprozess verfolgt, baut man diese Matrix nach und nach auf. Als erstes schaue ich mir also mein Gerät an und führe eine Risikoanalyse durch und versuche, potenzielle Gefahren für das Produkt zu identifizieren. Dann muss ich die Wahrscheinlichkeit und den Schaden, der auftreten könnte, bewerten und entscheiden, ob es sicher ist oder nicht. Das ist der erste Schritt. Dafür braucht man nicht die ganze Matrix, sondern nur einen Teil davon. Wenn Sie ein Ticketingsystem wie Jira haben, können Sie also ein Ticket für das Risiko erstellen und eines für die Entschärfung. Die wiederum hängt von der Ebene ab. Vielleicht sagt Ihnen der Benutzerbedarf, welche Abhilfemaßnahmen Sie ergreifen müssen. Dann erfassen sie das dort und wandeln die Maßnahme in eine Anforderung um: Was ist das Feature oder die Funktion, die das implementieren wird?
Man geht also immer mehr ins Detail, bricht auf einzelne Codeeinheiten herunter, verknüpft Risiken mit verschiedenen Arten von Tickets. Schlussendlich muss man nicht alles in einer Ansicht sehen. Aber man muss in der Lage sein, seine Daten so zerlegen, dass man sehr komplizierte Risikoanalysen durchführen kann. Und das ist, glaube ich, der Punkt, an dem viele Unternehmen noch immer auf dokumentenbasierte Qualitätsmanagementsysteme zurückgreifen. Ein Stück Papier und ein Drucker war ja auch lange alles, was sie hatten.
RadBee: Ja, bis heute sind das noch klassische Workarounds…
Koch: So ist es. Ich entwickle Software ohne Word je aufzumachen. Auch Excel benutze ich selten. Ich arbeite mit Tickets oder auf einer Confluence-Seite.Und wenn ich eine PDF-Datei erstellen muss, dann tue ich das normalerweise für Behörden, nicht für mich. Daten sind einfach sehr digital, man braucht kein Stück Papier mehr. Doch für viele Unternehmen, auch die, mit denen ich arbeite, gerade im Bereich der Fertigung, ist Papier wie ein Sicherheitsmechanismus, an dem sie festhalten. Sie müssen ihn auch nicht aufgeben. Aber sie müssen die Datenproduktion kontrollieren und verstehen, woher die Daten kommen.
IEC62304-Prozesse werden agiler – und Jira hilft
Wenn Sie also zum Beispiel ein Dokument mit hundert Softwareanforderungen haben, wird jedes Element auf dieser Seite in einer eigenen Version vorliegen, zum Beispiel in einer Anforderung. Eine davon könnte wiederum die hundertste Version sein, weil es eine sehr schwierige Anforderung ist und man muss sie immer wieder überprüfen.
Die Unternehmen erstellen das finale Dokument, wenn alle Anforderungen genehmigt sind. Darunter beispielsweise die SRS-Anforderung_1, Version1, Anforderung 23. Das Problem, das ich sehe, ist, dass viele Qualitätsmanager dann einem Dokument vertrauen müssen, dessen Daten sie nie in einem guten Format gesehen haben.
Nur innerhalb eines agilen Systems kommen Sie an die nötige Detailtiefe heran.
RadBee: Kann Snapshots for Confluence also helfen, Teams agiler zu machen?
Koch: Ja, solche Tools sind hilfreich gerade für agil basiertes Qualitätsmanagement. Man arbeitet dort immer mehr auf Basis von Inhalten, nicht auf Basis von Dokumenten. Um ein ISO-Zertifikate zu bekommen, sind inhaltsbasierte Qualitätsmanagementsysteme also eine potenziell große Chance. RadBee kann eine wichtige Rolle spielen, wenn Sie den Leuten zeigen, wie sie ihre Qualitätsdaten verwalten können.
RadBee: Wie weit ist denn dann der Weg zu einem Dokument, das man beispielsweise für die FDA-Einreichung benötigt?
Koch: Wenn man es gut macht, kann ein großer Teil der Dokumentation zur FDA-Zulassung von Abfragen gesteuert werden. Über eine PDF-Vorlage können mit einem Klick offizielle Dokumente inklusive konformer Kopf- und Fußzeile exportiert werden. Man verwaltet also die zugrundeliegenden Daten und dann erstellt sich das Dokument buchstäblich in 30 Sekunden von selbst. Ich habe zum Beispiel ein tausendseitiges Dokument in zwei Minuten abgelegt. Superschnell.
Man kann sich das Leben so vereinfachen. Wenn man seine Daten richtig verwaltet, was man als Unternehmen für medizinische Geräte tun sollte, dann muss man nur seine Abfragen einrichten, die Daten erstellen, sie validieren, durchlesen und überprüfen, so wie man es mit jedem normalen Dokument tun würde. Aber es sollte in Ordnung sein, weil man seine Daten bereits durch ein Ticketingsystem, einen Workflow, gebracht und bewiesen hat.
Wenn Sie Jira und ihren IEC62304-Prozess gut kontrollieren und sicherstellen, dass nur die richtigen Leute Änderungen vornehmen können, können Sie ein hohes Vertrauen in Ihre Daten haben, wenn Sie auf den Knopf zum Export drücken. Und dann bedarf es nur noch einer Überprüfung, um sicherzustellen, dass es wirklich das ist, was man braucht.
RadBee: War die Installation der App Snapshots for Confluence eine Herausforderung für dich oder deine Kunden?
Koch: Meine Kunden benutzen es gerne, aber die Leute, die es brauchen, sind keine Entwickler. Ich denke aber, das wird sich in den nächsten Jahren ändern. Viele werden gezwungen sein, etwas über Datenmanagement und Abfragen und Co. zu lernen.
