Biotronik: »Wir zählen jedes Elektron«

Herzsignale erkennen, analysieren und korrekt reagieren: Ein Herzschrittmacher-ASIC muss bei winzigem Energiebudget über Jahre konstant funktionieren. Dr. Daniel Kehrer, VP ASIC Development bei Biotronik, über Low-Power-Entwicklung, Halbleiter-Lieferketten, sichere Vernetzung und KI im Implantat.

Chips für Herzschrittmacher spielen technisch in einer eigenen Liga: über die schwierige Auswahl der Prozessknoten, Wafer-Tests über Minuten statt Sekunden und Energiezähler, die jedes Picoampere zählen. Dr. Daniel Kehrer leitet die ASIC-Entwicklung des deutschen Herzgeräteherstellers Biotronik, von Infineon bringt er 25 Jahre Halbleiter- und RF-Erfahrung mit. Er erklärt, warum Ultra-Low-Power in der Medizintechnik eine komplett andere Physik braucht: Der Chip darf niemals ausfallen, nicht lecken, nicht altern – und die Lieferkette muss locker ein Vierteljahrhundert halten. Dazu geht es um Analog-Digital-Architekturen, die Signalkette in elektrodenlosen Herzschrittmachern, Kommunikationssicherheit und die Frage, wann KI ins Herzimplantat kommt.

Herr Dr. Kehrer, ein halbes Jahrhundert Infineon, von der HF-Forschung, über DRAM bis zu RF-Chips für Handys. Jetzt entwickeln Sie ASICs für Herzschrittmacher, wie kam’s?

Mit über 25 Jahren Halbleiter-Erfahrung habe ich von der Foundry bis zum Packaging wirklich alles kennengelernt, die Qimonda-Insolvenz bis zum Tapeout begleitet und zuletzt bei Infineon ein über 100-köpfiges RF-Team für Mobilfunk geführt. Das war eine großartige Zeit. Aber irgendwann wurde mir klar: Das nächste Smartphone macht keinen Unterschied. Bei Biotronik entwickeln wir Chips, die buchstäblich Leben erhalten. Das ist eine ganz andere Motivation.

Wie ist Ihre Rolle als weltweiter VP ASIC Development aufgestellt?

Ich habe zwei größere Teams »geerbt«, die ich zusammenführe und weiterentwickle. Beide beschäftigen sich mit ASIC-Entwicklung, sind aber entlang von Produktlinien organisiert – Herzschrittmacher auf der einen, implantierbare Defibrillatoren auf der anderen Seite. Und das ist bewusst so: Wenn ein Team sagen kann »das ist mein Gerät, das ist mein Baby«, entsteht eine Motivation, die keine Matrixorganisation erzeugen kann. Technologien und Prozesse vernetzen wir horizontal. So unterliegt vom Schaltungsentwurf über Verifikation und Tapeout bis zum Wafer-Test alles meiner Verantwortung.

Biotronik ist einer der wenigen Medizingerätehersteller, der eigene Chips entwickelt. Was sind die Beweggründe?

Es sind mehrere Motive gleichzeitig, und keines davon ist unwichtig. Erstens: Wer die gesamte Wertschöpfungskette kontrolliert, kontrolliert auch die Qualität. Wir als Herzschrittmacher-Hersteller müssen für alle unsere Geräte geradestehen, auch für das Verhalten in Ausnahmesituationen, etwa wenn der Patient beim Flug in den Urlaub in einen Sonnensturm gerät. Diese Extremfälle sind mit einem selbst entwickelten ASIC viel präziser kontrollierbar als mit einem Bauteil von der Stange. Zweitens stecken im ASIC viele Algorithmen, die nicht als Firmware laufen, sondern wirklich in Silizium gegossen sind – diese Core-IP schützen wir. Und drittens, der vielleicht banalste Grund: Es gibt schlicht keine Komponenten am Markt, mit denen sich ein Herzschrittmacher über 10, 15 Jahre aus einer Batterie betreiben ließe.

Wie übersteht ein Herzschrittmacher Sonnenstürme?

Kosmische Strahlung ist einer dieser Aspekte, die einem in der Consumer-Elektronik nie begegnen. *lacht* Wenn ein Patient mit Herzschrittmacher im Flugzeug sitzt und ein Sonnensturm die Atmosphäre trifft, kann ein einzelnes dieser hochenergetischen Teilchen ein Bit im Speicherchip kippen. Für solche sogenannten Single-Event-Upsets muss die Schaltungsarchitektur Fehlerkorrekturmechanismen, redundante Zustände und Watchdog-Mechanismen beinhalten – und das alles, ohne das Energiebudget zu sprengen. Das sind keine theoretischen Szenarien, sondern reale Anforderungen.

Abgesehen von kosmischer Strahlung: Was sind die technologischen Anforderungen an einen Herzschrittmacher-ASIC?

Zunächst die wichtigste: Dienstbereitschaft, ein Herzschrittmacher darf schlicht nicht ausfallen. Ohne Stimulation würde das Herz vieler Patienten aufhören zu schlagen. Das verlangt eine Architektur, die sich selbst permanent überwacht: Der ASIC prüft fortwährend seinen Speicher, ob alle internen Zustände konsistent sind, ob irgendetwas vom Soll abweicht. Sobald das passiert, wechselt er sofort in einen sicheren Notlaufmodus – wie beim Auto, nur dass der Patient nicht in die Werkstatt, sondern zum Kardiologen fährt. Die zweite große Anforderung ist das Ultra-Low-Power-Design. Und drittens die Signalerfassung: Ein Herzschrittmacher muss über die gesamte Lebensdauer winzige elektrische Signale aus dem Herzen detektieren – in einer elektrisch rauschbehafteten Umgebung. Dazu kommt, viertens, das immer wichtiger werdende Zusammenspiel mit der Außenwelt – Telemetrie, Datensicherheit, die Kommunikation mit Arzt und Patient.

Starten wir bei der Energie: Was bedeutet Ultra-Low-Power konkret bei Ihnen?

Wenn man in der Industrie von »Ultra Low Power« spricht und sich dann den Leckstrom eines auf einem Standardprozessknoten gefertigten SRAM-Blocks anschaut, dann wäre das für uns inakzeptabel. Der Chip, ohne Task an eine Batterie gehangen, verliert allein durch die Leckströme seiner Transistoren so viel Energie, dass die Batterie nach 10 Jahren leer wäre, ohne eine einzige Herzaktion detektiert zu haben. Geschweige denn Stimulationen abgesetzt. Wir zählen also wirklich die Elektronen, die da durchtröpfeln. Das ist keine Metapher. Im ASIC ist ein Energiezähler integriert, der jeden aus der Batterie entnommenen Strom akkurat misst. Er dient zum einen als Statusindikator für Arzt und Patient, aber gleichzeitig ist er auch unser Entwicklungswerkzeug. Wenn wir ein neues Feature testen, müssen wir wissen, wieviel Energie uns das über die Gerätelaufzeit kostet.

Bezüglich der Prozessknoten, auf welche Fertigungstechnologie setzen Sie?

Anstatt konkrete Technologien zu nennen, würde ich lieber auf die Logik eingehen. Ältere Prozessknoten, also 180 oder 130 Nanometer, haben ein dickeres Gate-Oxid. Die Transistoren sind physisch größer, die Distanzen größer, Elektronen können nicht so leicht durchtunneln. Das ist für Schrittmacher ideal, für den Analog-Teil sowieso, weil dort Herzaktionssignale im Mikrovolt-Bereich detektiert werden, dafür funktioniert ein 180-nm-Knoten sehr gut. Allerdings bringt man da heute nicht mehr viel Speicher unter, was bei immer mehr Algorithmen und neuen Features zum Problem wird.

Ältere Knoten sind analogfreundlich, neue haben mehr Speicher, das ist der grundsätzliche Konflikt. Wir haben auch schonmal 65 oder 40 nm getestet, das ist der Bereich, indem die Automobilindustrie heute sehr oft arbeitet. Weiter runter macht für uns keinen Sinn. Bei den aktuell 5 oder 2 nm wäre selbst mit unseren Gegenmaßnahmen der Leckstrom nicht mehr beherrschbar, bei zudem absolut unverhältnismäßigen Kosten. Das brauchen wir schlicht nicht.

Die KI-Industrie verlangt immer kleinere Knoten. Bereitet Ihnen das Sorgen?

Die Lieferkette beschäftigt uns zunehmend, ja. Die Investitionen der Halbleiterindustrie fließen KI-getrieben in immer kleinere Angström-Skalen. Für unsere eher kleinen Stückzahlen wird das strukturell schwierig. Dazu kommt: Wenn wir heute eine Fertigungstechnologie wählen, entwickeln wir damit ein Gerät, das vielleicht in zehn Jahren auf den Markt kommt und dann 15 weitere Jahre produziert werden soll. Wir reden locker von einem Vierteljahrhundert, in dem wir eine Technologie zuverlässig beziehen müssen. Das ist für viele Foundries kein attraktives Geschäft, aber auch eine Form gesellschaftlicher Verantwortung, die über reine Geschätszahlen hinausgeht. Irgendwer muss die Welt ja mit Herzschrittmachern versorgen. Wir arbeiten mit mehreren Foundries, für uns zählt natürlich die Resilienz in der Chip-Versorgung.

Wie gestaltet sich der Wafer-Test für einen Herzschrittmacher?

In der Hochvolumen-Elektronikindustrie testet man einen Chip in Sekunden, manchmal sogar darunter. Wir dagegen prüfen jedes einzelne Gatter auf seine Funktionalität, auf Fertigungsfehler, checken jedes Bit im Speicher. Der Test dauert nicht Sekunden, sondern Minuten – das ist etwa Faktor 100 länger. Wafer-Technologie ist nicht perfekt, da kann einfach mal ein Stück des Dies defekt sein. Das müssen wir finden, bevor der Chip in einen Herzschrittmacher wandert, der dann zehn Jahre in einem Menschen sitzt. Da darf einfach nichts rausgehen, was nicht zu hundert Prozent funktioniert.

Zur Chip-Architektur: Diskutieren Sie auch Chiplet-Ansätze?

Momentan haben wir Analog- und Digitalkomponenten auf einem monolithisch integrierten Die – früher waren es noch vier Chips in einem Herzschrittmacher, heute sind wir bei zwei. Das ist für uns derzeit der richtige Punkt. Chiplets sind natürlich ein Thema: Man könnte den Analog-Teil auf einem leckstromarmen älteren Knoten fertigen und den Digitalteil mit mehr Speicher auf einem neueren Knoten. Das klingt logisch – aber man bezahlt einen Preis: Daten zwischen zwei Dies zu transportieren kostet Strom. Und Strom ist unser wertvollstes Gut. Ob sich das ändert, wenn wir uns hin zu kleineren Digitalknoten bewegen, bleibt offen. Aktuell ist monolithisch noch die bessere Antwort.

Wie funktioniert der Sensing-Pfad im ASIC – also die Erfassung der Herzaktionssignale?

Ganz vorne sitzt der Sense-Amplifier, der das Rohsignal aus dem Herzen aufnimmt und mit wenigen Mikroampere Versorgungsstrom rauscharm verstärkt. Danach kommt so früh wie möglich eine Analog-Digital-Wandlung, weil sich die notwendigen Filter im Digitalen viel flexibler und zuverlässiger implementieren lassen. Da wir nicht einfach im Labor ausprobieren können, ob ein Filteralgorithmus gut funktioniert – wir experimentieren nicht an Menschen – bilden wir neue Konzepte zunächst in Software ab. Erst, wenn sie sich bewährt haben, gießen wir sie in dedizierte Digitaleinheiten oder DSPs. Das sind dann oft State Machines oder spezielle Signalprozessoren, die ständig und sehr energieeffizient eine Aufgabe erledigen; viel effizienter als eine General-Purpose-CPU das könnte. Und im Gegensatz zu Firmware ist ein solcher hardgecodeter Algorithmus nachträglich nicht anpassbar. Das zwingt zu langen Vorlaufzeiten und enger Zusammenarbeit mit den Kliniken – was im ASIC landet, muss schon früh im Entwicklungsprozess klinisch abgesichert sein.

Wie steht es um die Sensing-Qualität über die Betriebszeit?

Das Gute an der Halbleiterindustrie ist, dass sie sehr reproduzierbar ist. Ob eine Fertigungslinie driftet, erkennt man innerhalb des ersten Produktionsjahres sehr schnell. Den Rest gewährleisten wir über unser intensives Wafer-Testing. Natürlich sprechen wir auch direkt mit den Foundries. Wenn ein Prozess beginnt zu driften, ist das – diplomatisch gesagt – nicht immer die beliebteste Konversation, gerade wenn das Geschäftsvolumen aus der Medizintechnik für die Foundry überschaubar ist.

Biotroniks elektrodenloser Herzschrittmacher, der LivIQ, ist ASIC-technisch nochmal eine andere Liga?

Mein Team sagt liebevoll »Moon Target« und das ist keine Übertreibung. Man muss sich das Energiebudget vergegenwärtigen: Wie groß ist das Gerät, wie groß ist die Batterie, wie viel Strom darf der ASIC über die Lebensdauer entnehmen? Zu einem konventionellen Herzschrittmacher reden wir nochmals von Faktor 10 weniger Energiebudget. Dazu wurden nahezu alle Algorithmen aus der CPU ausgelagert und in dedizierte Hardware-Einheiten gegossen, die hochspezifisch und extrem energieeffizient ihre Aufgabe erledigen.

Es gibt quasi nur noch eine schlanke Steuereinheit, die koordiniert, aber selbst kaum rechnet. Dazu kommt das Miniaturisierungs-Dilemma: Wenn ich den ASIC größer mache, um mehr Logik in Hardware abzubilden, wird die Batterie kleiner – und damit steigen die Anforderungen an den Stromverbrauch noch weiter. Diesen Kreislauf löst man nur durch konsequentes System-Co-Design, ASIC, Batterie und mechanisches Design werden gemeinsam optimiert.

Die Vorteile des elektrodenlosen Ansatzes sind real: keine Elektroden durch Venen, deutlich geringeres Infektionsrisiko – und etwas, das man leicht unterschätzt: Wer morgens in den Spiegel schaut, sieht keine sichtbare Beule unter der Haut. Das zählt für den Patienten sehr viel.

Der LivIQ führt zudem Far-Field-Sensing ein – er sitzt in der Hauptkammer des Herzens und detektiert Vorhofaktivität. Was bedeutet das für den ASIC?

Bei einem konventionellen Herzschrittmacher mit Elektroden habe ich im Vorhof einen eigenen Sensing-Kanal direkt an der Quelle. Beim elektrodenlosen Gerät sitze ich in der Hauptkammer und muss das elektrische Signal der Vorhofkontraktion aus großer Entfernung hören – ein winziges Signal, das durch die starke lokale Kammereigenaktivität überlagert wird. Die Amplitudenbereiche von Nutz- und Störsignal sind ähnlich, was die Signaltrennung zu einer echten Herausforderung macht. Um verlässlich das richtige Signal herauszuhören, ist ein enormer Entwicklungsaufwand in den Empfänger-Frontend-Entwurf und die Filterarchitektur geflossen. Welche Filter, in welcher Reihenfolge, mit welchen Grenzfrequenzen? Far-Field-Sensing für AV-synchrones Pacing ohne jede Elektrode ist nicht trivial. Die DX-Technologie von Biotronik als Basis dafür ist eine wirklich bedeutende technische Leistung.

Wie ist die Kommunikationssicherheit der Schrittmacher aufgebaut?

Remote-Firmware-Updates, wie man sie vom Smartphone kennt, gibt es für Herzschrittmacher heute noch nicht. Der Arzt kann ausschließlich über ein Biotronik-eigenes Gerät die Therapieparameter ändern. Der Herzschrittmacher wechselt erst dann in den Programmiermodus, wenn dieses physisch auf den Brustkorb des Patienten gelegt wird, direkt über dem Implantat. Neben einem kryptografischen Schlüssel ist physische Nähe die erste Sicherheitsebene. Danach kann der Arzt über eine verschlüsselte Funkverbindung mit sehr kurzer Reichweite die Parameter anpassen. Die Verschlüsselung ist symmetrisch und nach heutigem Kenntnisstand auch Quanten-resistent.

Daneben gibt es die Überwachungs-Kommunikation: Der Herzschrittmacher zeichnet bei auffälligen Ereignissen ein EKG auf und sendet es an den CardioMessenger. Das kleine telemedizinische Begleitgerät liegt nachts neben dem Bett der Patienten. Von dort werden die Daten verschlüsselt an Biotronik-Server gesendet, wo Machine-Learning-Algorithmen diese analysieren und bei einem Verdacht [AH5.1]auf Probleme den Arzt informieren. Auch Biotronik selbst liest die Inhalte nicht im Klartext, das System ist doppelt verschlüsselt. Kurz zusammengefasst reden wir über Hardware-Sicherheit, physische Nähe als Bedingung und eine lückenlose Ende-zu-Ende-Verschlüsselung.

Welche Trends werden die Herzschrittmacher der nächsten Generation prägen?

Zunächst einmal die weitere Miniaturisierung. Jede neue Generation stellt schärfere Anforderungen ans Energiebudget und an die Integrationsdichte. Zweitens die Verschiebung von reiner Therapie hin zu Monitoring und Frühwarnung: Der Herzschrittmacher wird zunehmend zu einem kontinuierlichen Sensor, dessen Daten klinisch genutzt werden – das verändert, was wir im ASIC abbilden müssen.

Damit verbunden ist auch eine Systemfrage: Wie viel Vorverarbeitung soll im Implantat selbst stattfinden, um möglichst wenige Daten nach außen senden zu müssen? Je mehr Intelligenz im Chip, desto weniger Funkübertragung, aber desto mehr Rechenenergie. Das ist eine klassische Edge-vs.-Cloud-Abwägung, nur im extremsten Energiekontext.

Und drittens natürlich Künstliche Intelligenz. Was heute mit Herzschrittmacher-Daten per Machine Learning passiert, läuft außerhalb des Implantats – auf dem CardioMessenger oder in der Cloud. Im ASIC selbst ist das Energiebudget dafür noch zu eng. Ein Stichwort, mit dem wir uns gerade beschäftigen, ist In-Memory-Computing, die Berechnung findet direkt dort statt, wo die Daten liegen. Das könnte perspektivisch einfache adaptive Algorithmen im Implantat ermöglichen. Regulatorisch ist das aber noch ein weißes Blatt Papier. Weder MDR noch FDA haben zu sich verändernden Algorithmen heute eine klare Antwort.

Cochlear hat gerade das erste upgradefähige Hörgeräte-Implantat vorgestellt.

Die Frage ist rein sicherheitstechnischer Natur – ein Cochlear-Implantat und ein Herzschrittmacher haben schlicht ein anderes Risikoprofil. Wir müssen absolut sicher sein, dass nach einem Update kein Unfug passiert. Embedded-KI im Herzschrittmacher liegt technisch in Sichtweite, regulatorisch ist sie aber noch weit entfernt.

Welche Fähigkeit würden Sie – ohne reale Limits – einem Herzschrittmacher geben, die er heute noch nicht hat?

Dass das Gerät sich selbstständig auf den einzelnen Patienten einstellt. Heute entwickeln wir ein Gerät für die gesamte Bandbreite möglicher Herzerkrankungen; das ist jede Menge Logik in Hardware gegossen, die der konkrete Patient vielleicht gar nicht braucht. Ein lernfähiges Implantat würde verstehen, wie das normale Herzschlagmuster eines Patienten aussieht und wäre ein präzises Frühwarnsystem, das Abweichungen erkennt, bevor es zur Krise kommt.

Auch technisch wäre das ein handfester Vorteil: Was der Patient nicht braucht, muss nicht in Silizium gegossen sein. Ein schlankerer, patientenspezifischer ASIC bedeutet weniger Chip, mehr Batterie, mehr Funktionalität – oder eben ein noch kleineres Gerät. Denn darum geht es ja letztlich: so früh wie möglich warnen, so effizient wie eben möglich.

Vielen Dank für das Gespräch!

Matchmaker+ Anbieter zum Thema

zu Matchmaker+

Lesen Sie mehr zum Thema