Un équipement médical plante durant une opération sur le cur à cause d'un scan antivirus Qui s'est lancé en plein milieu de la procédure 25PARTAGES 11 0 Un patient qui subissait une opération de chirurgie cardiaque dans un hôpital aux États-Unis a été mis en danger suite à une mauvaise configuration dun logiciel antivirus qui a fait planter un équipement médical crucial en plein milieu de lopération. Dans des documents publiés par la Food and Drug Administration (FDA), léquipement médical en question, qui est appelé Merge Hemo, sest éteint pendant plus de cinq minutes. Le Merge Hemo est un équipement médical complexe qui est utilisé pour superviser les procédures de cathétérisme cardiaque, au cours desquelles les médecins insèrent un cathéter à l'intérieur des veines et des artères afin de diagnostiquer différents types de maladies cardiaques.



Merge Hemo est constitué de deux modules. Le composant principal est le dispositif médical, connecté aux cathéters, qui soccupe de collecter les données. Ce composant est connecté au PC ou à des tablettes via un port série. La seconde composante est le logiciel qui sexécute sur lordinateur ou la tablette du médecin et y affiche les données collectées via des graphiques dont la lecture est simplifiée.



Lorsquun problème survient dans lutilisation du logiciel et que les médecins le signalent au vendeur, celui-ci est tenu de lancer une enquête et de déposer un rapport Adverse Event à la FDA.



Dans celui qui a été déposé, il est indiqué « quau milieu dune procédure de cathétérisme du cur, le moniteur PC Hemo a perdu la communication avec le client Hemo et le moniteur Hemo est devenu noir. Les informations obtenues du client ont permis détablir quil sest écoulé plus de cinq minutes tandis que le patient était sous sédatif, attendant que lapplication puisse redémarrer ».



Merge a expliqué à la FDA que le problème est arrivé à cause dun logiciel antivirus qui sest lancé sur lordinateur du médecin. Le logiciel était configuré pour effectuer des scans toutes les heures et lun deux a commencé en plein milieu de la procédure. Lantivirus a empêché le logiciel davoir accès aux données acquises durant le cathétérisme cardiaque. Dans lincapacité davoir accès aux données en temps réel, lapplication a donc planté.



La procédure a tout de même été couronnée de succès. Mais Merge a déploré le fait que ses recommandations nont pas été suivies. « En nous appuyant sur les informations disponibles, la cause de lévènement rapporté est due au fait que le client n'a pas suivi les instructions relatives à linstallation dun logiciel antivirus (...). Le logiciel antivirus doit être configuré pour scanner uniquement les fichiers potentiellement vulnérables sur le système, tandis quil ne va pas sintéresser aux images médicales et aux fichiers des données du patient. Notre expérience nous a montré quune mauvaise configuration dun logiciel antivirus peut avoir des effets indésirables parmi lesquels un temps darrêt et une performance clinique inutilisable ».



Lincident a eu lieu en février 2016 et le nom de lhôpital na pas été dévoilé.



Source : Merge, IBTimes Un patient qui subissait une opération de chirurgie cardiaque dans un hôpital aux États-Unis a été mis en danger suite à une mauvaise configuration dun logiciel antivirus qui a fait planter un équipement médical crucial en plein milieu de lopération. Dans des documents publiés par la Food and Drug Administration (FDA), léquipement médical en question, qui est appelé Merge Hemo, sest éteint pendant plus de cinq minutes. Le Merge Hemo est un équipement médical complexe qui est utilisé pour superviser les procédures de cathétérisme cardiaque, au cours desquelles les médecins insèrent un cathéter à l'intérieur des veines et des artères afin de diagnostiquer différents types de maladies cardiaques.Merge Hemo est constitué de deux modules. Le composant principal est le dispositif médical, connecté aux cathéters, qui soccupe de collecter les données. Ce composant est connecté au PC ou à des tablettes via un port série. La seconde composante est le logiciel qui sexécute sur lordinateur ou la tablette du médecin et y affiche les données collectées via des graphiques dont la lecture est simplifiée.Lorsquun problème survient dans lutilisation du logiciel et que les médecins le signalent au vendeur, celui-ci est tenu de lancer une enquête et de déposer un rapport Adverse Event à la FDA.Dans celui qui a été déposé, il est indiqué « quau milieu dune procédure de cathétérisme du cur, le moniteur PC Hemo a perdu la communication avec le client Hemo et le moniteur Hemo est devenu noir. Les informations obtenues du client ont permis détablir quil sest écoulé plus de cinq minutes tandis que le patient était sous sédatif, attendant que lapplication puisse redémarrer ».Merge a expliqué à la FDA que le problème est arrivé à cause dun logiciel antivirus qui sest lancé sur lordinateur du médecin. Le logiciel était configuré pour effectuer des scans toutes les heures et lun deux a commencé en plein milieu de la procédure. Lantivirus a empêché le logiciel davoir accès aux données acquises durant le cathétérisme cardiaque. Dans lincapacité davoir accès aux données en temps réel, lapplication a donc planté.La procédure a tout de même été couronnée de succès. Mais Merge a déploré le fait que ses recommandations nont pas été suivies. « En nous appuyant sur les informations disponibles, la cause de lévènement rapporté est due au fait que le client n'a pas suivi les instructions relatives à linstallation dun logiciel antivirus (...). Le logiciel antivirus doit être configuré pour scanner uniquement les fichiers potentiellement vulnérables sur le système, tandis quil ne va pas sintéresser aux images médicales et aux fichiers des données du patient. Notre expérience nous a montré quune mauvaise configuration dun logiciel antivirus peut avoir des effets indésirables parmi lesquels un temps darrêt et une performance clinique inutilisable ».Lincident a eu lieu en février 2016 et le nom de lhôpital na pas été dévoilé.Source : FDA Une erreur dans cette actualité ? Signalez-le nous ! Votre nom : Votre e-mail : Décrivez l'erreur que vous souhaitez porter à notre connaissance : 56 commentaires Poster une réponse Signaler un problème Les mieux notés Les plus récents Ordre chronologique Inactif https://www.developpez.com Envoyé par cd090580 Envoyé par Quel est lintérêt d'installer un antivirus sur un dispositif médical ???? . 14 0 Le matériel médical se doit d'être aseptique Modérateur https://www.developpez.com Envoyé par cd090580 Envoyé par Quel est lintérêt d'installer un antivirus sur un dispositif médical ???? Ce genre d'appareil n'est en général pas connecté sur internet



Moi ce qui me choque le plus c'est la cause de lévènement rapporté est due au fait que le client n'a pas suivi les instructions relatives à linstallation dun logiciel antivirus la cause de lévènement rapporté est due au fait que le client n'a pas suivi les instructions relatives à linstallation dun logiciel antivirus

Ce n'est pas normal, ce genre d'appareil sensible est généralement verrouillé, les "clients" ne peuvent pas en faire ce qu'ils veulent, seul le fabricant, sous sa responsabilité, peut installer modifier changer la configuration de l'appareil.



Envoyé par sazearte Envoyé par Et pourquoi ils s'installent windows sur de l'embarqué ?!

Dans les appareil embarqué en générale on installe un os minimaliste qui en fait le moins possible et qui du coup crash le moins possible.



Pour autant je suis pas un fanatique Linux venue troller, dans ma boite on utilise l'os VXWorks (pas linux donc) pour nos pc qu'on envoie dans la haute atmosphère.



Tous sa pour dire que des pour des taches critique comme sa, faut utiliser des outils adapté à cette usage. Je confirais pas mon cur à Windows+kaspersky (ou autre) en tous cas.



VXWorks est particulièrement adapter à des systèmes temps-réels dont la particularité principale, outre d'être temps-réel, est d'être totalement autonomes, d'être fortement résiliant à la panne avec notamment un grade d'auto-réparation élevé, car il est généralement utilisé sur des systèmes non réparables. C'est pas simple de récupérer un satellite en orbite pour y brancher une clé usb et faire une mise à jour, ou appuyer sur le bouton RESET.

De plus, pas sur qu'avec VXWorks, la panne de 5 min ait été évitée non plus, mais ce n'est pas critique dans la mesure ou il est capable de redémarrer et reprendre son uvre. 8 0 Les appareils médicaux sont évidemment connectés au réseau et par là même à internet, ne serait-ce que pour transmettre les données récupérées et faire les mises à jours du logiciel.Moi ce qui me choque le plus c'estCe la signifie que 1- l'appareil est livré sans antivirus, 2- que le "client" peut y installer tout et n'importe quoi ?Ce n'est pas normal, ce genre d'appareil sensible est généralement verrouillé, les "clients" ne peuvent pas en faire ce qu'ils veulent, seul le fabricant, sous sa responsabilité, peut installer modifier changer la configuration de l'appareil.TU ne peux pas comparer, tu n'as pas les mêmes besoins, les mêmes contraintes, ni le même environnement d'utilisation, etc...VXWorks est particulièrement adapter à des systèmes temps-réels dont la particularité principale, outre d'être temps-réel, est d'être totalement autonomes, d'être fortement résiliant à la panne avec notamment un grade d'auto-réparation élevé, car il est généralement utilisé sur des systèmes non réparables. C'est pas simple de récupérer un satellite en orbite pour y brancher une clé usb et faire une mise à jour, ou appuyer sur le bouton RESET.De plus, pas sur qu'avec VXWorks, la panne de 5 min ait été évitée non plus, mais ce n'est pas critique dans la mesure ou il est capable de redémarrer et reprendre son uvre. Membre du Club https://www.developpez.com

http://serge.glorian.free.fr/windows...ci%20Serre.jpg 8 0 Souvenez vous de ce dessin de Serre datant d'une bonne vingtaine d'année! Expert éminent https://www.developpez.com 7 0 Ce que je note, c'est que le processus de protection anti-virus est un processus de scans régulier, à raison de un scan par heure. D'une part, aujourd'hui on fait des antivirus qui scan en continue les fichiers utilisés, donc nul besoin de faire de scan complet régulier au risque de se faire avoir entre deux scans (1 au démarrage est déjà bien, au cas où des changements auraient eu lieu pendant la mise hors tension) mais en plus un scan complet chaque heure... est-ce qu'il utilise vraiment son PC ce médecin où il se contente d'y passer ses photos en panorama ? Si mon PC devait faire un scan par heure, avec les ressources que ça prend (c'est d'ailleurs bien ça qui leur a posé problème), l'antivirus finirai par jarreter. Inactif https://www.developpez.com



On privatise les bénéfices et nationalise les déficits, faut pas s'étonner qu'on manque d'argents après . 7 0 D'ailleurs, si j'ai bien compris, en France on donne toutes les opérations rentables au privé (opérations standards, dans les bonnes conditions) et toutes les opérations non-rentable au public (risques de complications, opérations non-standard).On privatise les bénéfices et nationalise les déficits, faut pas s'étonner qu'on manque d'argents après Expert confirmé https://www.developpez.com 8 2 Ça me rappelle qu'il y a quelques mois, Windows 7 avait lancé un redémarrage sans rien de demander : il a gentiment tuer toutes les applications (sans me laisser le temps de sauvegarder) et rebouter (sans avertissement, décompte ou autre). Bref, j'avais perdu ce que j'avais en cours, rien de grave à ce moment-là, mais ça m'avait bien énervé. Immédiatement après, j'ai coupé le service en question pour l'obliger à me demander. Pour moi, ce genre de chose, ça ne devrait même pas arriver. Surtout quand on laisse tourner sa machine la nuit et que le message arrive alors qu'il ny a personne pour accepter le redémarrage. Expert éminent sénior https://www.developpez.com Envoyé par Conan Lord Envoyé par Les hôpitaux français sont publics donc, par définition, ne sont pas voués à faire des profits.



Envoyé par Conan Lord Envoyé par Je crois que c'est davantage le cas aux États-Unis, donc à priori, ils ont du meilleur matériel. Mais ça veut dire aussi qu'ils peuvent entrer en partenariat avec des entreprises commerciales et autres. Par ailleurs, on sait que l'implication des gouvernements dans les affaires numériques est très marginal. Très peu de dispositifs médicaux sont normalisés (ou sont très pauvrement normalisés). J'ai traduit plusieurs fichiers de documentation de dispositifs médicaux destinés aux hôpitaux, très franchement les clauses de non-responsabilité font très peur.



Envoyé par Conan Lord Envoyé par Pour moi, on atteint ici clairement les limites de la privatisation et, au-delà de ça, de l'univers numérique laissé entièrement à la discrétion des entreprises. 6 0 Il en existe aussi des "semi-publics"..... qui ne sont pas mieux gérés que les publics. Et il existe des cliniques privées, pour lesquelles on trouve de tout(mais çà n'est pas nôtre clientèle).T'inquiètes. Si on tue un patient, on va payer un max, et on le sait. Un de nos clients(semi-publics) a tenté de nous faire porter le chapeau sur un décès, et ça a fait du grabuge. Mais bon, ils nous payent au lance-pierre, on ne gagne quasiment pas d'argent, on ne peut pas mettre des sécurités comme dans le spatial. A mon grand regret.Entreprises comme la mienne. Mais au final, nous, nous faisons en fonction des budgets que nous allouent les hôpitaux, et en fonction de leurs demandes. Et surtout en fonction des demandes délirantes du ministère, spécialement coté compta médicale. Ca bouffe une bonne partie de nos efforts, ça, suivre la folie réglementaire des tortionnaires du ministère. Alors après, faire des trucs vraiment blindés, on a plus trop les moyens. Et nos concurrents font face aux même problématiques. Expert éminent sénior https://www.developpez.com Envoyé par Conan Lord Envoyé par Oui, tout à fait, ma généralisation était erronée, mais au final je ne crois pas qu'il y ait grande différence, sinon le prix que paie le patient. Dis-moi si je me trompe, tu as l'air plus calé que moi là-dessus. Les hôpitaux publics comme privés utilisent des dispositifs faits et gérés par des entreprises commerciales et sous les mêmes normes.



Envoyé par Conan Lord Envoyé par Oui, le problème étant que la responsabilité n'est jamais attribuée à la bonne personne. Elle n'est attribuable à personne en particulier en fait. La loi impose aux hôpitaux d'acheter des dispositifs normalisés CE XXX, donc les fournisseurs fabriquent des dispositifs normalisés CE XXX, mais te mettent des clauses aberrantes du genre "nous avons constaté que tel dispositif ne répond plus quand l'opérateur fait telle opération suivie de telle opération ; ce problème est connu, mais nous n'avons pas encore trouvé de solution ; nous ne pouvons donc pas être tenu pour responsable si le patient est trop irradié". Manque de budget oblige ce genre de clauses, mais les médecins ne peuvent pas retenir qu'avec tel appareil, il ne faut pas faire pivoter l'image à gauche juste après avoir saisi le numéro du patient. Et pourtant l'appareil respecte la norme CE XXX. Donc pour moi, la faute est à la norme CE XXX.



Envoyé par Conan Lord Envoyé par ). Les trucs pas importants sont très bien réglementés, les trucs importants moins. Surtout avec ce type de documents, je suis toujours étonnée de voir les instructions interminables quant à l'usage de la virgule avant le "et", alors que les questions techniques remontées par le traducteur restent sans réponse aucune (et de notre côté, on n'a pas non plus le budget pour faire les recherches nécessaires).

Le problème c'est que personne n'a plus les moyens de faire les choses correctement. Comme les domaines non lucratifs ne sont plus une priorité (santé, éducation ) , des erreurs se produisent. Ça nous pend au nez après tout. C'est le problème d'un peu tout le monde en ce moment (mais où donc est parti tout l'argent du monde ?). Les trucs pas importants sont très bien réglementés, les trucs importants moins. Surtout avec ce type de documents, je suis toujours étonnée de voir les instructions interminables quant à l'usage de la virgule avant le "et", alors que les questions techniques remontées par le traducteur restent sans réponse aucune (et de notre côté, on n'a pas non plus le budget pour faire les recherches nécessaires).Le problème c'est que personne n'a plus les moyens de faire les choses correctement. Comme les domaines non lucratifs ne sont plus une priorité (santé, éducation ) , des erreurs se produisent. Ça nous pend au nez après tout. 5 0 Je suis dans une boite qui vend du logiciel de gestion hospitalière depuis bientôt deux ans, donc oui, je suis un peu au jus. Il y a deux ans, j'aurais certainement fermé ma grande g... sur le sujet. Ou proféré des âneries, ça m'arrive, comme à tout le monde.Ca, c'est plus sur les outillages médicaux proprement dit que sur les logiciesl de gestion - donc je connais moins. Dans nôtre cas, si la prescription arrive erronée, c'est pour nôtre pomme, et on ne s'en sortira pas par une pirouette..... Sauf si, dans le cas de ce malheureux patient, le bug vient du fait que le logiciel ne tourne plus, les serveurs ayant sauté. Oui, oui, c'est arrivé. Une prescription qui n'arrive pas à temps parceque les serveurs de l'hôpital dataient de la première guerre mondiale, et le patient meurt faute de soins. Et ils ont essayé de prétendre que c'était la faute du logiciel...Pour la partie de gestion médicamenteuse, ça n'est pas si catastrophique, je trouve, le CBUM(circuit du bon usage du médicament) est un peu lourdingue, mais utile, et ne change pas tous les 4 matins. C'est la partie compta qui est délirante(ben oui, il faut bien les payer, tous ces médicaments...). Avec des parutions au journal officiel le 15 février pour des règles à appliquer dès le premier Janvier de l'année en cours. Nous avons dansé, et je n'imagine pas que nos concurrents aient chanté..... Et evidemment, pendant ce temps là, on ne bosse pas sur la partie médicale réellement utile aux patients. Inactif https://www.developpez.com Envoyé par Mat.M Envoyé par mais malheureusement ça ne contribue quasiment en rien à la recherche médicale et la bonne santé des individus 5 0 Il me semble que cela contribue à la recherche médicale car certaines opérations de chirurgies esthétiques sont proches d'opérations analogues effectués sur des personnes "défigurées". Inactif https://www.developpez.com Envoyé par sevyc64 Envoyé par Les appareils médicaux sont évidemment connectés au réseau et par là même à internet, ne serait-ce que pour transmettre les données récupérées et faire les mises à jours du logiciel.



Pour transmettre des données, quand bien même il en recevrait, je ne penses pas que ces données doivent être interprétées* (?), donc à part se protéger de buffer-overflow et vérifier les valeurs reçues, il y a pas grand chose à faire.



* dans le sens exécution de code arbitraire.



Cela m'étonne qu'un tel système soit connecté à internet, qu'il soit connecté à un réseau interne je pourrais comprendre, mais quel est le besoin d'être connecté à internet ?



TU ne peux pas comparer, tu n'as pas les mêmes besoins, les mêmes contraintes, ni le même environnement d'utilisation, etc... TU ne peux pas comparer, tu n'as pas les mêmes besoins, les mêmes contraintes, ni le même environnement d'utilisation, etc...



J'ai un peu du mal à comprendre les justifications d'un tel système. Bon, il est vrai qu'on a pas beaucoup d'informations sur leurs besoins et que je ne suis pas allé lire les sources. 4 0 La surface d'attaque devrait tout de même être largement réduite. Si le système est bien fait, je ne vois pas ce qui justifierait l'utilisation d'un antivirus. Avec un système de certificat, les mises à jours ne devraient pas trop poser de problèmes.Pour transmettre des données, quand bien même il en recevrait, je ne penses pas que ces données doivent être interprétées* (?), donc à part se protéger de buffer-overflow et vérifier les valeurs reçues, il y a pas grand chose à faire.* dans le sens exécution de code arbitraire.Cela m'étonne qu'un tel système soit connecté à internet, qu'il soit connecté à un réseau interne je pourrais comprendre, mais quel est le besoin d'être connecté à internet ?Il donne un exemple, il ne dit pas qu'il faut utiliser le même OS dans ce cas là. Il a tout à fait raison quand il dit que pour les tâches critiques ont utilise des OS minimalistes, et un Linux minimaliste pourrait tout à fait faire l'affaire.J'ai un peu du mal à comprendre les justifications d'un tel système. Bon, il est vrai qu'on a pas beaucoup d'informations sur leurs besoins et que je ne suis pas allé lire les sources. Poster une réponse Signaler un problème

