Was ist UDI (Unique Device Identification)?
UDI ist weitaus mehr als ein scanbarer Code. Hinter UDI verbirgt sich ein komplexes System, bestehend aus “International Medical Device Regulatory Forum” (IMDRF), die treibenden Mitglieder sind die FDA (Food and Drug) aus den USA, die Europäische Kommission, sowie Schlüsselländer und angeschlossene Organisationen wie die WHO. Das UDI-System wurde in den USA entwickelt, es dient der individuellen Kennzeichnung von Medizinprodukten durch eine Identifikationsnummer. Diese Nummer wird in einer Datenbank hinterlegt. Die Produkte und Verpackungen bekommen einen UDI-Datenträger der die Identifikationsnummer beinhaltet. Die Identifikationsnummer ist ein scanbares Label und in verschlüsselter Form als Klartext abgebildet. Das UDI-System besteht aus drei Säulen: den Produktdaten, der UDI-Datenträger und der Datenbank.
Das Ziel von UDI
Ziel ist die weltweite lückenlose Rückverfolgung von Medizinprodukten um damit den Umgang mit diesen Produkten sicherer zu machen. Es bietet zudem mehr Transparenz und Sicherheit für die Patienten. Zudem gestalten sich Rückrufaktionen wesentlich einfacher für die Hersteller. Bei fehlerhaften Produkten ist die Haftungsfrage einfacher zu klären, denn es sind alle Produkte und Verpackungen mit eindeutigen UDI-Carrier gekennzeichnet. Über eine allgemein zugängliche Schnittstelle können Krankenkassen, Behörden, Gesundheitseinrichtungen und weitere Akteure eingeschränkten Zugriff auf die UDI-Datenbank erlangen um beispielsweise mit ihren Abrechnungs- und Verwaltungsverfahren teilzunehmen.
Klassifizierung der Risikoklassen
Medizinprodukte werden in drei Risikoklassen unterteilt von denen sich die Klasse II nochmals in IIa und IIb aufteilt. Sie sind nach der Richtlinie 93/42/EWG EU-weit festgelegt.
| Klasse | Klasse I | Klasse IIa | Klasse IIb | Klasse III |
| Eigenschaft | - Keine methodischen Risiken
- geringer Invasivitätsgrad
- kein oder unkritischer Hautkontakt
| - Anwendungsrisiko
- mäßiger Invasivitätsgrad
- kurzzeitige Anwendungen im Körper
| - Erhöhtes methodisches Risiko
- systemische Wirkungen
- Langzeitanwendungen
| - hohes Gefahrenpotential
- besonders hohes methodisches Risiko
|
| Beispiele | - Ärztliche Instrumente
- Gehhilfen
- Rollstühle
- Pflegebetten
- Stützstrümpfe
- Verbandmittel
| - Dentalmaterialien
- Desinfektionsmittel (für Instrumente und Geräte)
- diagnostische Ultraschallgeräte
- Einmalspritzen
- Hörgeräte
- Kontaktlinsen
- PACS
- Trachealtuben
| - Anästhesiegeräte
- Beatmungsgeräte
- Bestrahlungsgeräte
- Blutbeutel
- Defibrillatoren
- Dialysegeräte
- Kontaktlinsen-reiniger
| - Herzkatheter
- künstliche Hüft-, Knie-, oder Schultergelenke
- Stents
- resorbierbares chirurgisches Nahtmaterial
- Brustimplantat
- Herzschrittmacher
|
Technische Funktionsweise des UDI-Systems
Das UDI-System besteht aus drei Säulen:
- Den Produktdaten (UDI),
- Dem Datenträger (UDI Carrier) und
- Der Datenbank (UDID).
Die UDI wird nach einem ISO-Standard verschlüsselt. Die Verschlüsselungen nach ISO-Standards übernehmen von der FDA akkreditierte Agenturen (Issuing Agencies). Die UDI besteht aus zwei Teilen, der Device Identifier (DI) und dem Production Identifier (PI). Der Device Identifier enthält die Produkt- und Herstellerkennung und statische Daten. Der Production Identifier besteht aus variablen Daten, Chargen-, Los- und Serien-Nummern, sowie Verfall- oder Herstellungsdatum. Der Production Identifier und die Device Identifier müssen maschinell lesbar sein. Sie sind so kodiert, dass ein Laser-Scanner diese automatisch verarbeiten kann.
Der UDI-Carrier (AIDC, Automatic Identification and Data Carrier) beinhaltet eine maschinenlesbare Kennzeichnung auf den Produkten und den Verpackungen in Form eines Strichcodes oder der Datamatrix (ISO/IEC 16022). Bestimmte Informationen muss das Label aber auch in Klarschrift (Human Readable Interpretation, kurz HRI) enthalten. Das sogenannte Label ist dann auf dem Medizinprodukt sowie auf den Verpackungen zu finden. Eine Spezialregelung gibt es für wiederaufbereitete Medizinprodukte. Diese müssen eine permanente Markierung (direct marking) aufweisen. Wenn an einem Produkt durch den Hersteller bedeutsame Veränderungen vorgenommen wurden, muss dieser eine neue UDI anlegen. In der ISO/IEC 15418 (Referenz auf ANS MH10.8.2) ist die eigentliche Datenstruktur definiert, dort sind zwei verschiedene Datenstrukturen enthalten. Es existiert die ISO/IEC 15434 Format 05 sowie das ISO/IEC 15434 Format 06. Das Format 05 verwendet Application Identifier, das Format 06 verwendet den Data Identifier.
Die Datenbanken stellen die dritte Säule des UDI-Systems dar, es gibt die Global UDI Database (GUDID) in den USA und für Europa die European Unique Device Identification Database (EUDID). In den Datenbanken werden statistische Daten des Herstellers zu den Produkten abgelegt. Es werden nur Stammdaten in den Datenbanken gespeichert, die variablen Daten sind im Code direkt enthalten. Wer den UDI-Code mit einem Laser-Scanner scannt erhält die variablen Daten und die Produktreferenz aus dem Code. Über den UDI-DI Zugang erhält man die entsprechenden Informationen aus den Datenbanken.
Die Medizinprodukthersteller können über die Homepage der GUDID ihre Daten einpflegen. Dazu gibt es drei Möglichkeiten: Hersteller können jedes Produkt einzeln einpflegen, Hersteller können über ein automatisiertes System (HL7 SPL-Modul) ihre Produkte einpflegen oder sie beauftragen einen externen Dienstleister.
Akkreditierte Agenturen von der FDA
Es gibt ca. 30 verschiedene von der FDA akkreditierte Agenturen (Issuing Agencies) die, die Verschlüsselung nach den ISO-Standards vornehmen. Sie bieten jeweils unterschiedliche Kodierungsverfahren an. Die Agenturen sind gleichzeitig Vergabestellen für die Firmencodes der Hersteller. Die Agenturen sind gemäß der internationalen Norm ISO/IEC 15459-2 bei der ISO-Registrierungsstelle registriert. Folgende Agenturen sind von der FDA akkreditiert: GS1-System, Health-Industry-Bar-Code (HIBC), ISBT. Das GS1-System bietet ein Referenzierungssystem für Artikelnummern an. Beispiel: die Global Trade Item Number (GTIN). HIBC bietet ein Direktcodierungsystem für alphanumerische Artikelnummern an. ISBT ist speziell für die Identifikation von Blut und Transplantaten in den USA spezialisiert. Der HIBC- und GS1-Code (ISO/IEC 15417) besitzen ähnliche Eigenschaften und basieren auf demselben Datenträger, der Datamatrix (ISO/IEC 16022) oder dem linearen Strichcode (Code 128 ).
Umsetzung und Kontrolle
Die IMDRF veröffentlichte am 9.Dezember 2013 eine endgültige Fassung der UDI-Leitlinie „Unique Device Identification (UDI) of Medical Devices“ (IMDRF/WG/N7FINAL:2013). Diese Leitlinie beinhaltet die internationalen Rahmenbedingungen. Die amerikanische FDA (Food and Drug) hat Regelungen in den USA erlassen, welche die lückenlose Rückverfolgung Medizinischer Produkte verlangt. In den USA wurde im Jahr 2013 ein Gesetz verabschiedet, welches die Kennzeichnung solcher Medizinprodukte erforderlich macht. Medizinprodukte der Klasse III und Medizinprodukte für lebenserhaltende oder lebensunterstützende Implantate, die in die USA verkauft werden, müssen seit dem 24. September 2014 die UDI-Regularien einhalten. Auch die Produkte der Risikoklasse II sind seit dem 24 September 2016 UDI-konform. Anschließend soll es für die Risikoklasse I ebenfalls umgesetzt werden. Im 2. Quartal 2017 wird diese lückenlose Rückverfolgbarkeit der Medizinprodukte auch in Europa in Gesetzesform als „Unique Device Identification“ (UDI) eingeführt. In Europa wurde die EU-Verordnung Medical Device Regulation (MDR) erlassen. Die nationale Umsetzung in Deutschland und Österreich wurde durch das Medizinproduktgesetz (MPG) vollzogen. Diesem Gesetz unterliegen alle Medizinprodukte.
Die FDA in den USA und europäische Aufsichtsbehörden werden unangemeldet die Einhaltung der Richtlinien überprüfen. Die FDA ist befugt die Ergebnisse im Internet zu publizieren.
Welchen Vorteil bietet eine Blockchain den Herstellern?
Bsp.1: Die Hersteller müssen bei Mängeln oder Fehlfunktionen ihrer Produkte nachweisen, dass sie an den Fehlern unschuldig sind. Ein Beispiel hierfür ist ein fiktives Dosiergerät. Dieses Gerät wird mit Hilfe mehrere Zulieferer produziert. Das komplette Dosiergerät und die Verpackung werden mit einem eindeutigen UDI-Carrier versehen, incl. der Teil-Produkte die in dem Gerät verbaut sind. Dementsprechend besteht das Endprodukt aus einer großen Anzahl von kleineren Teil-Produkten die jeweils mit einem UDI-Carrier ausgestattet sind. Jetzt gelangt das Endprodukt über Distribution und Supplier zu dem Endabnehmer (z.B. Krankenhaus). Das Gerät kommt in der Medikamentenverabreichung zum Einsatz. Fiktiv wird angenommen, dass das Gerät innerhalb von 6 Stunden eine vorgesehene Menge an Medikamentation verabreicht. Es kommt zu einem Fehler, dadurch wird die gleiche Medikamentation binnen einer Stunde gegeben. Bei einem solchen Zwischenfall schaltet sich üblicherweise die FDA ein um herauszufinden, wer dafür verantwortlich ist. Über die GUDID können die Hersteller und Supplier anhand ihrer eindeutigen UDI identifiziert werden. Sind alle produktionsrelevanten Daten in einer Blockchain erfasst, sind diese zweifelsfrei nachvollziehbar und können einer Kontrollbehörde ohne Inhaltsverlust zweifelsfrei dargelegt werden.
Bsp.2: Die Hersteller müssen bei Fehlern ihrer Produkte nachweisen, dass diese an Fehlern unschuldig sind. Ein Beispiel hierfür ist wieder ein fiktives Dosiergerät. Dieses Gerät wird mit Hilfe mehrere Zulieferer produziert, incl. einer Software eines Drittherstellers. Jeder Hersteller prüft seine Produkte bevor er sie ausliefert, z.B. durchläuft eine Software verschiedene Tests vor Freigabe. Das komplette Dosiergerät und die Verpackung werden mit einem eindeutigen UDI-Carrier versehen, incl. der Teil-Produkte. Das Dosiergerät kommt zum Einsatz, nach einigen Betriebsstunden kommt es zu einem kritischen Zwischenfall. Das Gerät hat durch eine falsche Parametrisierung eine Medikamentation pro Zeiteinheit höher verabreicht als vorgesehen. Jetzt wendet sich der Endabnehmer aus versicherungstechnischen Gründen mit Schadensersatzforderungen an den Hersteller des Gerätes. Der Hersteller ist nur in der Nachweispflicht zu zeigen, in welchem Zustand und Parametrisierung das Gerät ausgeliefert wurde. Mit Hilfe einer Blockchain kann zweifelsfrei nachgewiesen werden, dass das Gerät mit der korrekten Parametrisierung das Werk verlassen hatte. Eine Abweichung der Parametrisierung entstand demnach zu einem späteren Zeitpunkt, z.B. bei einer Fehlbedienung während einer Wartungstätigkeit.
Bsp.3: Die Hersteller von Medizinprodukten sind bei einem Zwischenfall in der Beweispflicht und müssen nachweisen, wer die Schuld trägt. Ein Beispiel hierfür, ist ein Anästhesiegerät. Ein solches Gerät sorgt bei Operationen für die notwendige Beatmung des Patienten. Angenommen bei einer Operation funktioniert das Gerät nicht fehlerfrei und der Patient bekommt zu wenig Sauerstoff ist die Gefahr von bleibenden Schäden immens hoch. Die dafür vorhergesehene integrierte Überwachungseinheit eines Drittherstellers hätte Alarm geben müssen, dies fälschlicherweise aber nicht getan. Das Krankenhaus muss einem solchen Fall melden und nachgehen. Anhand der GUDI-Database und mithilfe der scanbaren UDI kann der Hersteller sowie die Zulieferer zweifelsfrei identifiziert und kontaktiert werden. Der Hersteller des Anästhesiegerätes muss jetzt beweisen, dass das Gerät in ordnungsgemäßen und erwarteten Zustand sowie nach erfolgreichem passieren aller notwendigen Tests sein Unternehmen verlassen hat. Bei Einsatz einer Blockchain ist dies zweifelsfrei und transparent möglich. Alle im Produktionsprozess anfallenden relevanten Daten und Informationen, wie z.B. Maschinenkonfigurationen, Softwareversionen, Testprotokolle werden in einer Blockchain gespeichert. Bei Anfrage und auf Aufforderung kenn der Hersteller für sich sowie für die verwendeten Teilprodukte die Beschaffungs- und Qualitätskette einwandfrei, schnell und transparent darlegen.
Wo liegen die Schwächen der derzeitigen Speichersysteme?
Falls die Daten überhaupt akquiriert werden können, dann befinden sich diese meist auf den lokalen Festplatten von Rechnern oder Servern. Selbst bei einer ausgefeilten Backup-Strategie ist es schwer durch Clustering, Spiegelung und dem Einsatz von Raid-Systemen eine 100%-ige, dauerhaft verfügbare Lösung zu etablieren. Ein großes Handicap der existierenden Lösungen ist, dass diese nur ein Zugriffsrechte-Management vor Veränderungen im Nachhinein geschützt werden können. Die Herausforderung ist hier, wie man eine dezentrale und gleichzeitig dauerhaft manipulationssichere Lösung schaffen kann.
Wie eine Blockchain funktioniert können Sie hier nachlesen.
Der Beitrag Technology Paper: UDI erschien zuerst auf faizod..
http://www.as-im-aermel.de/
Cyberattacken auf Energieversorger oder Wasserwerke gehören zu den Schreckensszenarien unserer modernen Gesellschaft. Die IT-Steuerung, die Vernetzung sowie die zunehmende Automatisierung machen diese hochkomplexen Anlagen anfällig für Angriffe oder Sabotageakte von Cyberkriminellen. Auch Gasnetze und Abwasserleitungen gehören zu den gefährdeten kritischen Infrastrukturen.
Deshalb hat die Fraunhofer-Gesellschaft gemeinsam mit der Hochschule Zittau/Görlitz eine ambitionierte Zusammenarbeit gestartet, das »Lernlabor Cybersicherheit für kritische Infrastrukturen«. Am 11. Januar 2017 ging das Lernlabor offiziell an den Start. Hier werden Verfahren und Techniken für die IT-Sicherheit kritischer Infrastrukturen erforscht und zugleich Komponenten und Software-Module für den Schutz dieser Anlagen entwickelt. Die Forscher simulieren dabei Cyberattacken und suchen nach Schwachstellen. Ziel ist die schnelle Erkennung und Verhinderung solcher Angriffe.
Weiterbildung für Security-Verantwortliche
Doch nicht nur Forschung und Entwicklung stehen auf der Agenda der Security-Spezialisten: Das Know-how soll auch an Unternehmen und Behörden weitergegeben und damit schnell umgesetzt werden. Das wesentliche Ziel des Lernlabors Cybersicherheit ist daher ein umfangreiches Weiterbildungsprogramm. Dabei werden Sicherheitsverantwortliche, IT-Manager und Anwender bei Energieversorgern, Behörden oder Unternehmen für das Thema Cybersicherheit sensibilisiert. Gleichzeitig können sie praktische Verfahren kennenlernen und trainieren, mit denen sich Hackerangriffe aller Art abwehren lassen.
Geleitet wird die Zusammenarbeit am Standort Görlitz von Prof. Dr. Jörg Lässig von der Fakultät Elektrotechnik und Informatik der Hochschule Zittau/Görlitz. Die dafür neu aufgebaute Fraunhofer-Gruppe zum Thema IT-Sicherheit für kritische Infrastrukturen arbeitet eng mit dem Institutsteil für Angewandte Systemtechnik des Fraunhofer-Instituts für Optronik, Systemtechnik und Bildauswertung IOSB zusammen.
Mit von der Partie ist auch das Fraunhofer-Institut für Digitale Medientechnologie IDMT. Es unterstützt die Weiterbildung mit einem interaktiven E-Assessment System namens askMe! Diese web-basierte Plattform analysiert und visualisiert die Ergebnisse der Lerner und ermöglicht so die Bewertung der fachlichen Kompetenz und des Lernfortschritts von Kursteilnehmern.
Gefördert vom Bundesministerium für Bildung und Forschung
Die Zusammenarbeit wird vom Bundesministerium für Bildung und Forschung BMBF gefördert. »Ohne IT-Sicherheit bringt Digitalisierung wenig. Daher unterstützen wir Lernlabore wie hier in Görlitz bei der Vermittlung von neuesten Erkenntnissen über Cybersicherheit. Kurze Wege zwischen Wissenschaft und Praxis sind besonders wegen der hohen Dynamik bei digitalen Entwicklungen unerlässlich«, sagt Bundesforschungsministerin Prof. Dr. Johanna Wanka. Auch Prof. Dr.-Ing. Reimund Neugebauer, Präsident der Fraunhofer-Gesellschaft betont die aktuelle Bedeutung des Lernlabors Cybersicherheit zu diesem Thema: »IT-basierte Angriffe auf kritische Infrastrukturen nehmen neue Dimensionen an. Mit dem Lernlabor in Görlitz wirken wir dem IT-Fachkräftemangel im Bereich Cybersicherheit aktiv entgegen. Nur durch entsprechend qualifiziertes Personal ist es Unternehmen überhaupt möglich, die Chancen der Digitalisierung zu nutzen«.
Das Lernlabor in Görlitz ist eines von sechs Lernlaboren Cybersicherheit, die die Fraunhofer-Gesellschaft derzeit an verschiedenen Standorten in Deutschland eröffnet. Ziel der Initiative ist vor allem, die Qualifizierung von Fach- und Führungskräften in Behörden und Unternehmen zu verbessern und zugleich dem gravierenden Fachkräftemangel im Bereich IT-Sicherheit entgegenzuwirken. Um im Wettlauf mit Cyberkriminellen nicht ins Hintertreffen zu gelangen, muss Fach- und Führungspersonal ihnen in Kenntnissen und Fähigkeiten immer einen Schritt voraus sein. Mit einem modularen, berufsbegleitenden Weiterbildungskonzept bringen Fraunhofer-Institute und Fachhochschulen neueste Erkenntnisse aus der Forschung in die Weiterbildungsangebote des Lernlabors Cybersicherheit. Die Kurse sind berufsbegleitend und modular aufgebaut. Jeder Teilnehmer wählt sich ein bestimmtes Thema, in dem er praxistaugliches Security-Know-how erwirbt und sich in hochwertigen Laboren mit aktueller IT-Infrastruktur umfassend qualifiziert. Das Bundesministerium für Bildung und Forschung (BMBF) fördert die Fraunhofer-Initiative, die alle sechs Lernlabore umfasst, mit einem jährlichen Betrag von sechs Millionen Euro.
Organisation und Steuerung der Lernlabore Cybersicherheit obliegt der Fraunhofer Academy, der Weiterbildungseinrichtung der Fraunhofer-Gesellschaft. Informationen zum Weiterbildungsangebot finden sich hier.
Weitere Informationen finden Sie hier.
Fotos: Fraunhofer-Gesellschaft