Softwarequalität und Compliance bei der Entwicklung medizinischer Geräte
Da Medizinprodukte zunehmend auf Software angewiesen sind, um zentrale Funktionen und klinische Workflows abzubilden, schafft das Paradigma der „Software-Defined Medical Devices“ (SDMD) sowohl neue Möglichkeiten als auch zusätzliche Komplexität.
Mit wachsendem Softwareanteil werden Qualitätssicherung und Compliance immer wichtiger, da die regulatorische Überprüfung mit jeder neuen Codezeile und jeder bereitgestellten Funktion strenger wird.
Hersteller müssen sich in dynamischen Frameworks wie FDA und MDR, komplexen Geräteklassifizierungen und engen Entwicklungszeitplänen bewegen, um sichere und wirksame Produkte erfolgreich auf den Markt zu bringen.
Entscheidend ist, Softwarequalität und Compliance von den ersten Codezeilen bis zum klinischen Einsatz konsequent mitzudenken und systematisch zu integrieren.
Statische Analyse und Coding Standards: Die Rolle von PC-lint Plus
Qualitätssicherung beginnt direkt auf Source-Code-Ebene. PC-lint Plus bietet IEC 62304-zertifizierte statische Codeanalyse für C und C++ – eine Zertifizierung, die von Regulierungsbehörden insbesondere bei Medizinprodukten mit höherem Risiko, etwa der Klassen IIb und III, häufig erwartet wird.
Das Tool unterstützt unternehmensweite und gerätespezifische Coding Standards ebenso wie etablierte Richtlinien wie MISRA und CERT C. Dies ermöglicht die frühzeitige Erkennung von Fehlern, unerreichbarem Code und Sicherheitslücken. Dieser proaktive „Shift-Left“-Ansatz reduziert Risiken, unterstützt eine vollständige Rückverfolgbarkeit und erzeugt belastbare Dokumentation für regulatorische Einreichungen.
Die detaillierten Reports von PC-lint Plus machen die Einhaltung relevanter Coding Standards transparent, wie sie unter anderem im Kontext von FDA und MDR gefordert werden. In Continuous-Integration-Pipelines integriert, prüft PC-lint Plus jede Codeänderung in Echtzeit. So können Abweichungen schnell behoben werden, bevor sie Projektzeitpläne gefährden.
Testautomatisierung, Codeabdeckung und On-Target-Verifizierung: VectorCAST
Aufbauend auf der statischen Analyse bietet VectorCAST zertifizierte Unit-, Integrations- und Funktionstests mit umfassenden Analysen zur Codeabdeckung. Das vom TÜV SÜD nach IEC 62304 zertifizierte System unterstützt Softwarekomponententests von der Host-Simulation bis hin zu eingebetteten On-Target-Umgebungen und ermöglicht so die Validierung des kritischen Softwareverhaltens über Mikrocontroller und Mikroprozessoren hinweg.
Während VectorCAST den Schwerpunkt auf robuste Tests während der Entwicklung legt, liefert es zudem Metriken zur Codeabdeckung, die sich bis in die Systemtestphase erstrecken. Dies erfüllt die Erwartungen der Aufsichtsbehörden an einen lückenlosen Nachweis der Softwaresicherheit in hochkritischen Medizinprodukten der Klasse C mit hoher Integrität oder der FDA-Klasse III.
Die Rückverfolgbarkeit zwischen Anforderungen, Tests und Ergebnissen ermöglicht fundierte Konformitätsprüfungen, und die enge Integration in CI/CD-Pipelines sowie Nightly Builds optimiert die automatisierte Ausführung und die Erfassung der erforderlichen Dokumentationsnachweise.
Kontinuierliche Überwachung der Qualität: Squore
Qualitätsprozesse gehen über das Testen hinaus. Squore ist bereits ab der ersten Codezeile im Einsatz und überwacht kontinuierlich Software-Qualitätsmetriken, die Abdeckung der Anforderungen sowie den Testfortschritt.
Die Dashboards bieten Echtzeit-Einblicke in den Entwicklungsstatus, den Reifegrad der Anforderungen und potenzielle Stabilitätsprobleme. Dadurch bleiben Entwicklungsteams, die Qualitätssicherung (QA) und das Management jederzeit bestens informiert und optimal auf Audits vorbereitet.
Squore ergänzt PC-lint Plus und VectorCAST, indem es die Qualitätsüberwachung während des gesamten SDMD-Lebenszyklus an die regulatorischen Anforderungen anpasst. Die kontinuierliche Überwachung hilft dabei, Compliance-Risiken schnell zu identifizieren und Korrekturmaßnahmen zu priorisieren – was für Geräte, die sich durch Softwareupdates und iterative Releases weiterentwickeln, von entscheidender Bedeutung ist.
Toolchain und Medical Device Classifications gezielt kombinieren
Die Risikoklassen medizinischer Software – etwa MDR Class I, IIa, IIb, III sowie FDA Class I, II, III – bestimmen maßgeblich, wie umfassend und streng die Qualitätssicherung ausgestaltet sein muss.
Für Class I- und Class IIa-Devices unterstützt PC-lint Plus dabei, eine solide Baseline für Code Quality sicherzustellen.
Bei Devices mit höherem Risiko – insbesondere MDR Class IIb/III sowie FDA Class III/PMA – erwarten Regulatoren typischerweise:
- die konsequente Durchsetzung von Coding Standards,
- eine belastbare Analyse der Code Coverage mit VectorCAST,
- ein kontinuierliches Quality Monitoring mit Squore.
Im Zusammenspiel adressieren diese Tools zentrale regulatorische Erwartungen an Traceability, Transparency und risk-based Verification – besonders relevant für Software-Defined Medical Devices (SDMDs), bei denen Software die klinische Sicherheit und Wirksamkeit maßgeblich prägt.
Continuous Integration und Audit Readiness integrieren
Die Einbindung von PC-lint Plus, VectorCAST und Squore in moderne CI/CD Pipelines und Nightly Builds gilt als Best Practice für Medical Device Software. Ein solches Setup unterstützt automatisierte statische und dynamische Analysen sowie ein kontinuierliches Tracking der Software Quality.
Qualitätsabweichungen im Code werden unmittelbar sichtbar, während Compliance-Dokumentation bereits während der Entwicklung fortlaufend erzeugt wird. Gleichzeitig entsteht auditfähige Traceability über die gesamte Delivery Chain hinweg.
Die Integration in CI/CD ermöglicht kollaborativen, effizienten Entwicklungsteams, regulatorische Anforderungen konsequent einzuhalten und zugleich das Deployment von Software-Defined Medical Devices (SDMDs) in globalen Märkten zu beschleunigen.
Verwandte Seiten
Sicherheitskritische Embedded Software
Einsatzbereite Embedded-Stacks und Treiber, die die Entwicklung vereinfachen und die Einhaltung gesetzlicher Vorschriften unterstützen.
Systemtest und -simulation
SIL-, HIL- und modellbasierte Testumgebungen zur Optimierung der Verifizierung und Validierung von Systemen über den gesamten Lebenszyklus hinweg.
Cloud, Konnektivität und Interoperabilität
Nahtlose und sichere Cloud-Integration, Verbindung mit Geräten sowie Interoperabilität mit Kommunikationsprotokoll-Lösungen wie SDC, DDS und anderer medizinischer Middleware.
SDMD-Dienstleistungen und Zertifizierung
Wir ebnen den Weg für die nächste Generation softwaregesteuerter medizinischer Geräte (SDMD) – unterstützt durch Software Factory- und Beratungsdienstleistungen.