Fallo de comunicación en módulos Hemo Merge

24 de mayo de 2016 Por

El pasado martes 3 de mayo, salió a la luz una noticia relacionada con la tecnología de la información y el campo de la medicina. La organización Merge Healthcare , y en concreto su producto Merge Hemo Programmable Diagnostic fueron los protagonistas del fallo expuesto a continuación.

El equipo en cuestión es a menudo usado para supervisar procedimientos de cateterismo de corazón, y se compone de dos módulos. El primero de ellos se ubica en el propio catéter que el personal sanitario introduce en venas y arterias del paciente con el fin de diagnosticar posibles tipos de enfermedades cardiovasculares. El segundo es un paquete software ejecutable en un equipo externo (PC, Tablet, etc.) capaz de monitorizar la información enviada por el catéter guardando y registrando los datos, así como mostrando información en tiempo real de gráficas fácilmente legibles. Para llevar a cabo su conexión, se realiza mediante interfaz serial.

Ilustración 1. Merge Hemo

Ilustración 1. Merge Hemo

Causas del Fallo

Como todo paquete software, éste segundo componente puede dar lugar a errores que limiten o impidan su correcto funcionamiento. En este caso, el problema se debió a que el ordenador destinado a recibir los datos del catéter, estaba realizando un análisis de malware programado en la política del antivirus. Según la FDA, Merge Healthcare puso especial hincapié en no realizar esta práctica Según la compañía, durante los análisis se deben escanear únicamente archivos potencialmente vulnerables, dejando al margen información y datos puramente médicos. La no exclusión de estos ficheros supuso que el acceso a los datos proporcionados por el catéter no pudieran ser accedidos durante la operación, provocando un fallo en el software y una inmediata pérdida de la comunicación entre ambos módulos, dando lugar a un pantallazo negro en el equipo de monitorización.

En el momento en el que se perdió la comunicación entre ambos módulos, el personal sanitario se vio obligado a reiniciar el equipo lo más rápido posible, lo cual les llevó 5 minutos, y que no tuvo mayores repercusiones gracias a que el paciente estaba sedado. Ante un fallo en un dispositivo médico, todos los fabricantes están obligados a pasar un informe a la FDA (Food and Drug Administration), quedando constancia de ello para tomar las medidas necesarias y así evitar que vuelva a suceder.

Ilustración 2. Extracto del informe de Merge Healthcare a la FDA

Ilustración 2. Extracto del informe de Merge Healthcare a la FDA

Antecedentes

Según la FDA no es la primera vez que sucede un error de este tipo, como deja claro en un comunicado de la propia compañía:

“Our experience has shown that improper configuration of anti-virus software can have adverse affects including downtime and clinically unusable performance”.

El informe no detalla nombres, ni del antivirus ni del hospital donde se produjo. A pesar de que el fallo es de febrero de 2016, no deja de llamar la atención el documento que publicó la FDA con respecto a Merge Hemo, en el que se indica que el producto no cumple con los requisitos de buenas prácticas vigentes.

Afortunadamente este fallo no dio lugar a consecuencias peores, aunque podría haberlo hecho. En 2014, la propia FDA emitió una guía sobre aspectos a tener en cuenta en cuanto a la seguridad dispositivos médicos, donde se indicaba claramente que la ciberseguridad era un aspecto de riesgo que los proveedores debían de tener muy en cuenta.

Referencias