Cập nhật phần mềm thiết bị y tế trước bàn giao: khi nào GO, khi nào HOLD?

Không nên yêu cầu “bản mới nhất” hoặc chấp nhận cập nhật chỉ vì thiết bị có cổng USB. Trước bàn giao, cơ sở chỉ nên GO khi đã khóa đúng model, serial, version hiện tại, lý do thay đổi, nguồn gói, người được phép, điều kiện nguồn điện, phép thử sau cập nhật và cách xử lý khi lỗi. Thiếu một cổng quan trọng thì giữ HOLD; không cho người dùng tự tìm file hay tự thao tác.

Trạng thái	Khi nào dùng	Hành động
GO	Bảy cổng bằng chứng đủ và khớp đúng tài sản	Lập change record, thực hiện bởi người được xác nhận, kiểm tra và đọc lại kết quả
HOLD	Còn thiếu file, quyền, tương thích, điện, phép thử hoặc xử lý lỗi	Giữ nguyên trạng, chỉ định chủ xử lý và bằng chứng cần bổ sung
Giữ version	Version hiện tại khớp hồ sơ/cấu hình và không có change request được duyệt	Bàn giao theo baseline đã ghi, không tự coi “mới hơn” là “tốt hơn”

Vì sao “có thể cập nhật” chưa phải là một quyết định?

Khả năng update chỉ cho biết thiết bị có một cơ chế thay đổi phần mềm. Nó không trả lời bản nào phù hợp với đúng model/serial, file đến từ đâu, ai được phép thực hiện, dữ liệu nào bị tác động hay tiêu chí nào chứng minh máy đã sẵn sàng bàn giao sau thay đổi.

Hai máy cùng tên thương mại có thể khác serial, phần cứng, phụ kiện, thị trường hoặc hồ sơ đi kèm. Version trên máy demo không tự là baseline của máy giao. Tên file do một bên gửi qua tin nhắn cũng không chứng minh file đó thuộc đúng tài sản.

Vì vậy, update phần mềm nên được xử lý như một thay đổi có kiểm soát. Mục tiêu không phải là “lên bản cao nhất”. Mục tiêu là bàn giao một cấu hình xác định, có thể truy vết và đã qua phép thử được thống nhất.

Khóa baseline trên đúng thiết bị trước khi hỏi có update hay không

Baseline tối thiểu gồm tên model đầy đủ, serial, software version đang chạy, mã/version IFU đi kèm, ngày giờ đọc và người xác nhận. Nếu có module hoặc tay cầm riêng có firmware, phạm vi phải ghi tách thay vì gộp vào một ô “version”.

Baseline nên được đọc từ chính tài sản sẽ bàn giao. Ảnh chụp màn hình hoặc nhãn có thể là bằng chứng nội bộ nếu chính sách cơ sở cho phép, nhưng phiếu vẫn phải ghi người đọc và tài sản. Không nên sao chép version từ catalogue, báo giá cũ hoặc máy trưng bày.

Bảy cổng GO/HOLD trước một thay đổi phần mềm

Một phiếu ngắn có thể buộc nhóm bàn giao trả lời bảy câu hỏi theo cùng thứ tự:

Cổng	Bằng chứng để GO	Dấu hiệu phải HOLD
1. Baseline (mốc cấu hình gốc)	Model, serial, version, IFU và thời điểm đã ghi	Chỉ có tên dòng máy hoặc version từ máy khác
2. Lý do thay đổi (change request)	Yêu cầu thay đổi nêu vấn đề/phạm vi cần giải quyết	Chỉ ghi “cập nhật mới nhất”
3. Gói và phạm vi	Nguồn file, version đích, model/serial áp dụng và nhận dạng gói đã xác nhận	File tự tìm, không có chủ nguồn hoặc không khớp tài sản
4. Quyền thực hiện	Văn bản/tài liệu nêu ai được phép và ai phê duyệt	Chỉ dựa vào việc có thể truy cập cổng USB
5. Cửa sổ thực hiện	Nguồn điện, thời gian, người giám sát và trạng thái dịch vụ đã chốt	Đang có lịch dùng, điện không ổn định hoặc không có chủ ca
6. Kiểm tra chức năng (functional test)	Danh sách chức năng an toàn/vận hành và người xác nhận đã thống nhất	Chỉ kiểm máy khởi động hoặc version đã đổi
7. Chuyển cấp/xử lý lỗi (escalation)	Có điểm dừng, dữ liệu service, đầu mối và trạng thái bàn giao khi lỗi	Không biết ai nhận việc hoặc tự hứa rollback

GO không có nghĩa là phần mềm chắc chắn không lỗi. GO chỉ có nghĩa rủi ro và trách nhiệm đã được làm rõ đủ để thực hiện trong phạm vi được duyệt. HOLD không phải từ chối mua; đó là trạng thái giữ nguyên an toàn cho đến khi bằng chứng còn thiếu được bổ sung.

Cryo 7 cho thấy thiết bị phải nằm trong lập luận, không chỉ là ví dụ

Trên dòng máy thổi lạnh Cryo 7 của Zimmer, tài liệu hướng dẫn sử dụng hiện hành (eIFU tiếng Anh v7.0, mã EN_10105078_IFU_Cryo7_0524_V7, hiệu lực từ 05/2024) thiết lập những ranh giới kỹ thuật rõ ràng, biến việc cập nhật phần mềm thành một chuỗi quyết định có kiểm soát:

• Software version có thể đọc trong service screen cho người dùng. Nhờ đó, baseline có thể gắn với đúng máy thay vì một dòng trong catalogue.
• Cổng USB được dùng để ghi log hoặc cho các update có thể có. IFU cũng giới hạn cổng này cho USB stick, không cho dùng làm nguồn cho thiết bị nhỏ hay cắm thiết bị có nguồn ngoài.
• Tham số riêng của thiết bị và default được đặt tại nhà máy chỉ factory support có thể thay đổi. User setting như mức quạt hay thời gian không phải cùng lớp thay đổi.
• Zimmer chỉ chịu trách nhiệm an toàn và độ tin cậy khi expansion, readjustment hoặc modification do người được Zimmer ủy quyền thực hiện. Operator không có bộ phận để tự service/repair ngoài phạm vi khay nước rã đông và lọc khí được nêu.
• Mục troubleshooting nêu không tắt thiết bị trong khi update và phải restart sau thay đổi. Khi cần service, dữ liệu hữu ích gồm error ID, mô tả chính xác, serial và software version.

Những điểm này không chứng minh mọi Cryo 7 cần update. Chúng chứng minh cơ sở có thể xây một change record cụ thể, và rằng việc nhìn thấy cổng USB không trao quyền tự tìm gói phần mềm.

Không biết nguồn file hoặc người được phép thì giữ HOLD

IFU công khai cho biết cơ chế update, nhưng không phải là kho tải gói phần mềm cho từng serial. Cơ sở không nên suy từ hướng dẫn có tập tin update sang quyền tự tìm file trên Internet, dùng file của máy khác hoặc sao chép từ USB không rõ nguồn.

Trước khi cho phép thay đổi, phiếu cần ghi rõ:

1. Ai cung cấp gói và cung cấp qua kênh nào?
2. Gói đó áp dụng cho model, country variant, phần cứng và serial nào?
3. Dấu hiệu nào cho phép xác nhận version đích và tính toàn vẹn của gói?
4. Ai được Zimmer hoặc đầu mối có thẩm quyền xác nhận là người thực hiện?
5. Nếu thất bại, ai tiếp nhận service và tài sản ở trạng thái nào?

Nếu bên cung cấp chỉ nói “cắm USB là được” nhưng không trả lời năm câu trên, trạng thái đúng là Chưa xác nhận. Việc ghi HOLD bằng văn bản bảo vệ cả cơ sở lẫn nhà cung cấp khỏi một thao tác không có chuỗi bằng chứng.

Functional test phải kiểm chức năng, không chỉ kiểm version đã đổi

Một màn hình hiển thị version mới chỉ là một trường bằng chứng. Nó không cho biết tất cả chức năng cần bàn giao đang hoạt động đúng. Danh sách kiểm phải được thống nhất trước change, dựa trên IFU, cấu hình mua và phạm vi nghiệm thu của cơ sở.

Với Cryo 7, có thể kiểm các trường không lâm sàng như khởi động không báo lỗi, đọc đúng version, truy cập user setting được phép, các phụ kiện thuộc cấu hình được nhận diện và không có error ID chưa đóng. Mọi phép thử phải bám tài liệu và người được giao nhiệm vụ; bài này không thay IFU hay quy trình kỹ thuật.

Kết quả nên có bốn trạng thái: Đạt, Chưa xác nhận, Không khớp và Không áp dụng. Không ép mọi dòng thành Đạt chỉ để ký biên bản. Trạng thái chưa đóng phải có chủ xử lý, hạn và bằng chứng cần nộp.

Phiếu change record một dòng cho mỗi tài sản

Không nên gộp nhiều máy vào một dòng “đã update”. Mỗi tài sản có thể dùng cấu trúc sau:

Trường	Nội dung cần ghi
Tài sản	Model, serial, mã nội bộ
Baseline (cấu hình ban đầu)	Software version, eIFU version, ngày/giờ/người đọc
Yêu cầu thay đổi (change request)	Lý do, phạm vi, người phê duyệt
Gói	Version đích, chủ nguồn, nhận dạng/tính toàn vẹn, tương thích
Quyền	Người thực hiện, căn cứ ủy quyền, người giám sát
Cửa sổ	Thời gian, nguồn điện, trạng thái lịch dịch vụ
Kết quả	Version sau thay đổi, kiểm tra chức năng (functional test), error ID nếu có
Kết luận	GO bàn giao / HOLD / giữ version / chuyển service
Đóng việc	Người xác nhận, thời điểm, bằng chứng đính kèm

Ví dụ giả định

*Ví dụ giả định, không phải dữ liệu khách hàng Hadimed:* Cryo 7 / serial X; baseline đã đọc; có yêu cầu update nhưng chưa có xác nhận gói áp dụng cho serial; trạng thái HOLD; nhà cung cấp chịu trách nhiệm bổ sung nguồn gói và người được phép; máy chưa chuyển sang sẵn sàng sử dụng..

Phân vai để không ai vừa yêu cầu, vừa thực hiện, vừa tự xác nhận

Trưởng khoa hoặc chủ dịch vụ nêu nhu cầu và phạm vi chức năng cần bàn giao. Kỹ thuật thiết bị khóa tài sản, version, điều kiện điện và functional test. Mua sắm đối chiếu cam kết, phạm vi dịch vụ và bằng chứng ủy quyền. Nhà cung cấp làm rõ gói, tương thích, người thực hiện và escalation.

Một người có thể kiêm nhiệm trong cơ sở nhỏ, nhưng các vai trò vẫn cần được ghi tách. Cùng một người yêu cầu thay đổi, tự dùng file và tự xác nhận Đạt tạo ra một điểm mù mà biên bản không sửa được.

Khi nào giữ version hiện tại là quyết định hợp lý?

Giữ version hiện tại có thể hợp lý khi baseline khớp hồ sơ giao, cấu hình đã qua các phép thử được duyệt và không có change request được nhà sản xuất/nhà cung cấp xác nhận cho tài sản đó. Cơ sở không cần biến mọi lần bàn giao thành một dự án update.

Ngược lại, không nên giữ version chỉ vì ngại thay đổi. Nếu có thông báo an toàn, tính tương thích bắt buộc hoặc yêu cầu khắc phục do bên có thẩm quyền cung cấp, nhóm phải đưa nó vào change control và đánh giá theo bảy cổng. Bài này không thay thông báo cụ thể theo model/serial.

Hadimed có thể hỗ trợ gì trong quyết định này?

Vai trò hữu ích của nhà cung cấp không phải là nói “có update”. Đó là giúp nối bốn lớp bằng chứng: đúng model/serial, đúng tài liệu, đúng nguồn gói và đúng người được phép. Với Cryo 7, cơ sở có thể gửi ảnh nhãn/serial theo quy định nội bộ, software version đã đọc, eIFU đi kèm và change request để đối chiếu.

Hadimed cần xác nhận bằng tài liệu hoặc văn bản phạm vi mình thực sự cung cấp: ai cấp gói, ai được thực hiện, phép thử nào đi kèm và kênh service nào nhận lỗi. Nếu một nội dung chưa được xác nhận, Hadimed và cơ sở cùng nên ghi Chưa xác nhận thay vì chuyển thành cam kết. Khi thiết bị nằm trong đợt tiếp nhận máy mới tổng thể, cơ sở có thể tích hợp ma trận này vào quy trình nghiệm thu thiết bị vật lý trị liệu để khóa đồng thời phần cứng, phụ kiện và phiên bản điều khiển trước khi ký biên bản.

Trước khi mua, có thể dùng trang Cryo 7 của Hadimed để khóa đúng model/nhận diện; dùng chính sách bảo hành và đổi trả như một điểm hỏi thêm về phạm vi dịch vụ, không suy rộng thành quyền update. Khi cần khóa từng serial/change request, hãy liên hệ Hadimed với đủ hồ sơ thay vì gửi một câu hỏi chung “có bản mới không”.

Checklist trước khi ký biên bản bàn giao

• [ ] Model, serial và mã tài sản đã đối chiếu trên đúng máy.
• [ ] Software version và eIFU version đã được ghi cùng ngày/giờ/người đọc.
• [ ] Lý do giữ version hoặc yêu cầu thay đổi đã được phê duyệt.
• [ ] Nguồn gói, version đích, phạm vi model/serial và nhận dạng/tính toàn vẹn đã rõ.
• [ ] Người thực hiện và người phê duyệt có căn cứ quyền hạn.
• [ ] Nguồn điện, cửa sổ thực hiện, người giám sát và trạng thái lịch dịch vụ đã chốt.
• [ ] Functional test và tiêu chí Đạt/Chưa xác nhận/Không khớp đã được thống nhất.
• [ ] Error ID, mô tả, serial, software version và đầu mối service được ghi cho kịch bản lỗi.
• [ ] Chỉ chuyển Sẵn sàng bàn giao khi các sai lệch chặn đã đóng bằng bằng chứng.

Cập nhật phần mềm thiết bị y tế không nên là thao tác phụ ngay trước khi ký. Khi baseline, gói, quyền, điện, phép thử và escalation được nối thành một change record, cơ sở có thể chọn GO, HOLD hoặc giữ version hiện tại mà không dựa vào cảm tính. Cryo 7 cho thấy giá trị của giải pháp nằm trong các trường có thể kiểm chứng; cổng USB hay một tập tin không bao giờ thay thế quyền hạn và bằng chứng.

Nguồn tham khảo

1. Zimmer MedizinSysteme. eIFU cho thiết bị hiện hành, mục Cryo 7 English version 7.0; Cryo 7 Instructions for Use EN_10105078, 05/2024 V7.
2. Sở Y tế thành phố Hải Phòng. Yêu cầu cung cấp thông tin đối với máy móc, thiết bị y tế chuyên dùng
3. Hadimed. Máy thổi lạnh Cryo 7.

Tags: cập nhật phần mềm thiết bị y tế, Cryo 7, nghiệm thu thiết bị