Die Prüfung nach IEC 60601-1 wird oft als abschließende Verifizierungsmaßnahme beschrieben: Das Produkt wird fertiggestellt, Proben werden an ein Labor geschickt, und das Labor stellt fest, ob das Gerät den Anforderungen entspricht.
In der Praxis entstehen die schwierigsten Probleme der IEC 60601-1 selten im Labor.
Sie haben ihren Ursprung meist viel früher – in Entscheidungen über die Stromversorgungsarchitektur, das Isolationssystem, die Patientenanschlüsse, das Zubehör, die Betriebsarten und die Risikokontrollen. Formale Tests zeigen lediglich, ob diese Entscheidungen ausreichend präzise getroffen wurden.
Aus diesem Grund sollte eine sinnvolle Vorabprüfung nicht versuchen, jeden Test gemäß IEC 60601-1 zu reproduzieren . Ihr Zweck ist es festzustellen, ob das medizinische elektrische Gerät über eine kohärente Sicherheitsarchitektur verfügt und ob diese Architektur in eine nachvollziehbare Testkonfiguration übersetzt werden kann.
Das Testprogramm beginnt mit der Produktdefinition
Bevor einzelne elektrische Prüfungen in Betracht gezogen werden, muss der anwendbare IEC 60601-Rahmen festgelegt werden.
Die IEC 60601-1 legt die allgemeinen Anforderungen an die grundlegende Sicherheit und die wesentlichen Leistungsmerkmale fest, ist aber selten das einzige relevante Dokument für ein medizinisches elektrisches Produkt. Je nach Verwendungszweck und Gerätetyp können ergänzende Normen und spezielle Normen die Anforderungen der allgemeinen Norm ergänzen, modifizieren oder ersetzen.
Dies hat praktische Konsequenzen während der Vorbereitungsphase.
Diese Unterscheidung sollte geklärt werden, bevor ein detaillierter Testplan erstellt wird.
Ein Produkt für den Heimgebrauch, ein elektrochirurgischer Generator , ein EKG-Monitor und ein Defibrillator fallen zwar alle unter die IEC 60601-Familie, bergen aber nicht die gleichen Gefahren und sollten daher nicht mit den gleichen Testannahmen ins Labor gelangen.
Die Isolationsarchitektur sollte vor Beginn der Tests verständlich sein.
Bei elektrisch betriebenen medizinischen Geräten ist eine der nützlichsten Vorabprüfungen die Nachverfolgung des Schutzpfads durch das Produkt.
Betrachten wir ein vereinfachtes, patientenvernetztes System:
Das Blockdiagramm erscheint auf den ersten Blick einfach, doch die Sicherheitsbewertung hängt von Details ab, die allein aus dem Blockdiagramm nicht ersichtlich sind.
Welche Barriere bietet Schutz vor Netzstrom?
Ist dieser Schutz für den Bediener, den Patienten oder beide gedacht?
Existiert eine zweite Isolationsbarriere zwischen dem Sekundärkreislauf und dem Patientenkreislauf?
Was passiert, wenn eine USB-, Ethernet-, Programmier- oder andere externe Schnittstelle angeschlossen wird?
Diese Fragen lassen sich besser mit einem Isolationsdiagramm beantworten als mit einer Sammlung von Bauteilzertifikaten.
Eine sinnvolle Dämmungsprüfung sollte für jede relevante Barriere Folgendes ermitteln:
- Betriebsspannung;
- Erforderliche Schutzmittel;
- Isolationsart;
- Bestandteile, die die Barriere bilden;
- Kriech- und Luftwege;
- Überlegungen zur Durchschlagsfestigkeit.
Hier muss auch eine weit verbreitete Annahme hinterfragt werden.
Ein medizinisch zertifiziertes Netzteil zertifiziert nicht das gesamte medizinische Gerät.
Die Verwendung eines nach IEC 60601 qualifizierten AC/DC-Netzteils kann die Konstruktion vereinfachen, das Zertifikat gilt jedoch nur unter definierten Bedingungen für die jeweilige Komponente.
Das Endprodukt muss weiterhin einen angemessenen Schutzpfad durch das gesamte System nachweisen.
Externe Schnittstellen, sekundäre Schaltkreise, Patientenschaltkreise, Erdung und die Art der Integration der Stromversorgung können diese Beurteilung beeinflussen.
Anders ausgedrückt: Das Zertifikat ist ein Nachweis für einen Teil der Sicherheitsarchitektur. Es ist nicht die Sicherheitsarchitektur selbst.
Patientenanschlüsse müssen elektrisch und nicht nur physisch definiert werden.
Die Klassifizierung von Anwendungsteilen ist ein weiterer Bereich, in dem scheinbar einfache Produktbeschreibungen während der Prüfung mehrdeutig werden können.
Aussagen wie:
sind in der Regel nicht ausreichend, um die Testkonfiguration zu definieren.
Der Ingenieur muss das tatsächliche Anwendungsteil, seine Patientenanschlüsse und die elektrische Verbindung zwischen diesen Anschlüssen und dem Rest der Ausrüstung identifizieren.
Ein Patientenmonitor kann beispielsweise Elektroden, Sensoren, Kommunikationsschnittstellen und Zubehöranschlüsse umfassen. Einige davon sind Patientenanschlüsse, andere nicht. Mehrere Patientenanschlüsse können ein Anwendungsteil bilden, während eine andere Funktion eine andere Klassifizierung erfordern kann.
Bevor mit der Leckstromprüfung begonnen wird, sollte es daher möglich sein, folgende Fragen zu beantworten:
- Welche Teile der Ausrüstung sind Angewandte Teile?
- Welche Patientenverbindungen gehören zu welchem Anwendungsteil?
- Handelt es sich um die Klassifizierung B, BF oder CF?
- Sind die Patientenanschlüsse elektrisch gemeinsam oder voneinander isoliert?
- Kann ein Zubehörteil die beabsichtigte Isolation verändern?
Wenn diese Antworten unklar sind, ist auch die Konfiguration für den Leckstromtest unklar.
Leckströme sollten besser als Schaltungsproblem denn als Analysefunktion behandelt werden.
Die Leckstromprüfung wird manchmal als eine Abfolge von Geräteeinstellungen betrachtet.
Wählen Sie das Maß aus.
Umgekehrte Polarität.
Öffnet schützende Erde.
Notieren Sie das Ergebnis.
Dieser Prozess ist notwendig, ersetzt aber nicht das Verständnis des aktuellen Weges.
Eine sinnvollere Vorabprüfung der Konformität beginnt mit dem Stromkreis:
Die Antwort kann sich ändern, wenn sich die Produktkonfiguration ändert.
Ein Gerät kann bei Prüfung als Einzelgerät einen akzeptablen Patientenleckstrom erzeugen, aber ein anderes Ergebnis liefern, wenn es an Folgendes angeschlossen ist:
- ein netzbetriebener Computer;
- ein externer Monitor;
- ein Ladegerät;
- ein anderes Medizinprodukt;
- eine Kommunikationsschnittstelle;
- ein Zubehörteil mit Erdungsanschluss.
Dies ist besonders wichtig für Systeme, die elektrisch schwebend erscheinen, bis eine externe Schnittstelle angeschlossen wird.
Der Vorab-Konformitätstest sollte daher die beabsichtigte Systemkonfiguration reproduzieren und nicht eine künstlich vereinfachte Konfiguration, die leichter zu bestehen ist.
In einem Leckstromprotokoll sollte auch der Zustand beschrieben werden, unter dem das Ergebnis erzielt wurde.
Statt nur aufzuzeichnen:
Ein technisch sinnvoller Datensatz würde die wichtige Konfiguration identifizieren:
Dieses Ergebnis kann überprüft, reproduziert und mit nachfolgenden Designrevisionen verglichen werden.
Bei Einzelfehlerzuständen sollte die Sicherheitsarchitektur befolgt werden.
IEC 60601-1 bewertet Geräte nicht nur unter der Voraussetzung, dass alles normal funktioniert.
Die Ausrüstung muss auch unter den entsprechenden Einzelfehlerbedingungen sicher bleiben.
Dies ist ein weiterer Grund, warum eine allgemeine Checkliste für den Vortest nur von begrenztem Nutzen ist.
Die relevanten Fehler hängen davon ab, worauf die Konstruktion zum Schutz setzt.
Bei einem Produkt kann die Unterbrechung der Schutzerdung von Bedeutung sein.
Zum anderen könnte das entscheidende Problem das Versagen folgender Systeme sein:
- ein Isolierbauteil;
- ein Temperaturregelungsgerät;
- ein Kühlsystem;
- ein Sicherheitsrelais;
- Eine Komponente, die als Teil eines Schutzsystems verwendet wird.
Die technische Frage sollte daher lauten:
Dadurch wird die elektrische Planung direkt mit dem Risikomanagementprozess verknüpft.
Kann das Team nicht feststellen, welche Komponenten oder Konstruktionsmerkmale zur Kontrolle einer bestimmten elektrischen oder thermischen Gefährdung beitragen, werden durch formale Fehlertests wahrscheinlich Fragen aufgedeckt, die bereits bei der Entwurfsprüfung hätten geklärt werden sollen.
Es gibt keine einheitliche „Worst-Case-Konfiguration“.
Hersteller werden oft gebeten, die Geräte im ungünstigsten Betriebszustand zu liefern.
Diese Formulierung kann irreführend sein.
Die Konfiguration, die die höchste Temperatur erzeugt, führt möglicherweise nicht zu dem höchsten Leckstrom.
Die anspruchsvollste Bedingung für das Netzteil ist möglicherweise nicht diejenige Konfiguration, die für die Prüfung der Durchschlagsfestigkeit relevant ist.
Beispielsweise:
Ein besser zu rechtfertigender Ansatz ist es daher , für jeden Test oder jede Gefährdung die Worst-Case-Konfiguration zu ermitteln , anstatt zu versuchen, einen universellen Produktzustand für die gesamte IEC 60601-Bewertung zu definieren.
Das ist zwar nur ein kleiner Unterschied, aber er kann einen Testplan erheblich verbessern.
Zubehör ist Teil der elektrischen Konfiguration
Eine weitere Quelle vermeidbarer Nacharbeiten ist das Versenden der Haupteinheit an das Labor, bevor die endgültige Konfiguration des Zubehörs festgelegt ist.
Bei patientennahen Geräten kann das vorgesehene System auch Folgendes umfassen:
- Elektroden;
- Patientenkabel;
- Sensoren;
- Sonden;
- Fußschalter;
- Ladegeräte;
- Kommunikationskabel;
- externe Displays;
- Netzteile.
Diese Bauteile sind nicht immer elektrisch neutral.
Ein Kabel kann seine Kapazität verändern.
Eine externe Stromversorgung kann die Isolationsarchitektur verändern.
Eine Kommunikationsverbindung kann eine Erdverbindung herstellen.
Ein Patientenzubehör kann die Gruppierung der Patientenanschlüsse bei Leckstrommessungen verändern.
Aus diesem Grund sollte die zur Prüfung eingereichte Musterkonfiguration der Produktkonfiguration entsprechen, die tatsächlich für den Markt bestimmt ist.
Die Überprüfung der Konstruktion sollte vor zerstörenden oder hochbelastenden Prüfungen erfolgen.
Die Vorabprüfung der Compliance wird häufig unmittelbar mit Hochspannungs- und Leckstrommessungen in Verbindung gebracht.
Eine Bauprüfung sollte normalerweise zuerst erfolgen.
Vor Hochspannungstests ist es sinnvoll, die physische Umsetzung des Schutzsystems zu überprüfen:
- Abstand zwischen Haupt- und Sekundärseite der Leiterplatte;
- Kriechstrecken und Luftstrecken um Isolationsbauteile;
- Schlitze zur Erhöhung der Kriechstrecke;
- Transformatorenbau;
- Optokoppler und DC/DC-Trennung;
- Trennung der Hauptverkabelung;
- Isolierschläuche;
- Gehäuseöffnungen;
- zugängliche Metallteile;
- Schutz-Erde-Verbindung.
Diese Überprüfung ist wichtig, da unterschiedliche Anforderungen unterschiedliche Eigenschaften überprüfen.
Das Bestehen eines Durchschlagsfestigkeitstests beweist nicht, dass die erforderlichen Kriech- und Luftstrecken vorhanden sind.
Ebenso wenig beseitigt ein nachgiebiger Abstand die Notwendigkeit einer Überprüfung der Durchschlagsfestigkeit.
Das Schutzsystem muss sowohl den baulichen Anforderungen als auch den entsprechenden Prüfverfahren genügen.
Schutzerdung ist auch ein Problem der mechanischen Konstruktion
Geräte der Klasse I veranschaulichen dies besonders gut.
Im Schaltplan kann die Schutzerde durch eine einzelne saubere Verbindung dargestellt werden.
Der tatsächliche Widerstandspfad kann Folgendes umfassen:
Probleme können daher an Stellen auftreten, die im Schaltplan nicht vorhanden sind.
Farbe unterhalb einer Erdungsklemme, eloxierte Oberflächen, lose Verbindungselemente oder die Abhängigkeit von einem Scharnier für die elektrische Kontinuität können allesamt den endgültigen PE-Pfad beeinflussen.
Eine aussagekräftige Vorab-Konformitätsmessung sollte daher mit der fertigen mechanischen Anordnung erfolgen.
Eine Prüfung von einem idealen Punkt aus, an dem das blanke Metallchassis angeschlossen ist, kann ein hervorragendes Ergebnis liefern, indem die genaue Verbindung umgangen wird, auf die die Produktionsanlagen zum Schutz angewiesen sind.
Wesentliche Leistungsanforderungen: ein beobachtbares Kriterium
Die Beurteilung der wesentlichen Leistung wird schwierig, wenn sie nur als allgemeine Aussage formuliert wird, wie zum Beispiel:
Für Testzwecke muss die erforderliche Funktion beobachtbar und messbar sein.
Der Hersteller sollte Folgendes wissen:
- welche Funktion als wesentliche Leistung angesehen wird;
- Welche Beeinträchtigung könnte zu einem inakzeptablen Risiko führen?
- Welcher Parameter wird überwacht?
- Welcher Bereich ist akzeptabel?
- was ein Scheitern darstellt;
- ob eine vorübergehende Beeinträchtigung oder Wiederherstellung zulässig ist.
Dies wird besonders wichtig, wenn IEC 60601-1 mit EMV oder einem bestimmten Standard kombiniert wird.
Das Labor kann das Gerät einer definierten Störung, einem Fehler oder einem definierten Betriebsbedingungen aussetzen, der Hersteller muss jedoch weiterhin festlegen, was eine akzeptable klinische oder sicherheitsrelevante Leistung darstellt.
Was lohnt sich vor der formellen Einreichung durch Vortests?
Ein Vorprüfungsprogramm muss keine vollständige akkreditierte IEC 60601-Bewertung reproduzieren.
Seinen größten Nutzen hat es, wenn es auf Messungen abzielt, die Schwächen in der Produktarchitektur aufdecken können, solange noch Designänderungen möglich sind.
Bei vielen elektrisch betriebenen medizinischen Geräten sind folgende Frühprüfungen sinnvoll:
| Überprüfung / Messung | Was es enthüllen kann |
|---|---|
| Überprüfung der Isolierung und Konstruktion | Falsche MOOP/MOPP-Annahmen, unzureichender Abstand, Isolationsumgehungen |
| Kontinuität der Schutzerde | Schwache mechanische Bindung oder übermäßiger Widerstand im PE-Pfad |
| Leckstrommessungen | Unerwartete Strompfade durch Patienten, Gehäuse oder externe Schnittstellen |
| Prüfungen der Durchschlagsfestigkeit | Schwäche in definierten Isolationsbarrieren |
| Temperaturmessungen | Bauteile oder Oberflächen, die sich unzulässigen Temperaturen nähern |
| Fehlerzustandsversuche | Abhängigkeit von einer einzelnen Komponente oder Schutzmaßnahme |
| Zubehör-/Konfigurationsprüfung | Unterschiede zwischen dem Testmuster und dem System für den vorgesehenen Einsatz |
Ziel ist es nicht, einen Zertifizierungsbericht zu erstellen.
Es geht darum, Probleme zu finden, solange die Kosten für eine Produktänderung noch relativ gering sind.
Informationen, die vor dem Verlassen der Probe stabil sein sollten
Ein Produkt lässt sich wesentlich leichter beurteilen, wenn die technische Dokumentation und das physische Muster die gleiche Konstruktion beschreiben.
Vor der formellen Einreichung sollten die folgenden Informationen im Normalfall hinreichend ausgereift sein:
Die allgemeinen, ergänzenden und besonderen Standards, die als Grundlage für die Einhaltung der Vorschriften dienen.
Einschließlich Schutzart und Klassifizierung des verwendeten Bauteils.
Darstellung der Schutzmechanismen zwischen Netzanschluss, zugänglichen Schaltkreisen und Patientenanschlüssen.
Einschließlich der Komponenten, die für die elektrische, thermische oder mechanische Sicherheit erforderlich sind.
einschließlich der für Temperatur-, Leckage-, Fehler- und Leistungstests ausgewählten Bedingungen.
Definition dessen, was in das bewertete System einbezogen wird.
Mit messbaren Bestehens-/Nichtbestehenskriterien, sofern zutreffend.
Die Darstellung zeigt, wie die identifizierten Gefahren und Risikokontrollmaßnahmen mit den Konstruktions- und Verifizierungsaktivitäten zusammenhängen.
Keines dieser Dokumente macht die Auswertung durch das Labor überflüssig.
Sie müssen das Produkt verständlich machen.
Ein praktischer Bereitschaftstest
Es besteht ein sinnvoller Unterschied zwischen einem Produkt, das physisch fertiggestellt ist, und einem Produkt, das für die Prüfung nach IEC 60601 bereit ist.
Vor der Freigabe des Musters sollte das Ingenieurteam in der Lage sein, die Funktionsweise zu erläutern, ohne den Entwurf während der Diskussion nachzubauen:
Wo sind die Schutzmittel?
Woraus genau besteht jedes Anwendungsteil?
Welche Verbindungen können den Leckstrompfad verändern?
Welcher Fehler beseitigt eine Sicherheitsebene?
Welche Betriebsbedingung stellt den ungünstigsten Fall für jeden Haupttest dar?
Welche messbare Funktion repräsentiert die wesentliche Leistung?
Wenn diese Fragen bereits eindeutig beantwortet sind, kann sich das Labor auf die Verifizierung konzentrieren.
Wenn dies nicht der Fall ist, wird die formale Prüfung wahrscheinlich auf die Teileverifizierung und die Untersuchung des Teiledesigns beschränkt bleiben.
Genau an dieser Unterscheidung beginnen oft unnötige Testzyklen.
Fazit
Die Vorab-Konformitätsprüfung nach IEC 60601-1 ist am effektivsten, wenn sie als technische Überprüfung und nicht als verkürztes Zertifizierungsprogramm behandelt wird.
Ziel ist es nicht, jede einzelne Klausel vor dem Labor durchzuführen.
Ziel ist es, sicherzustellen, dass das medizinische elektrische Gerät über eine klar definierte Sicherheitsarchitektur verfügt, dass die vorgesehene Konfiguration identifiziert wurde und dass der Hersteller versteht, wie sich das Produkt voraussichtlich verhält, wenn eine Schutzebene nicht mehr ausreicht.
Zum Zeitpunkt der Einreichung der formalen Testprobe sollte das Labor diese Annahmen bereits überprüfen – und sie nicht erst jetzt entdecken.
