Les essais selon la norme IEC 60601-1 sont souvent décrits comme une activité de vérification finale : le produit est terminé, des échantillons sont envoyés à un laboratoire, et celui-ci détermine si l’équipement est conforme.
En pratique, les problèmes les plus complexes liés à la norme IEC 60601-1 sont rarement rencontrés en laboratoire.
Ces problèmes trouvent généralement leur origine bien plus tôt, dans les décisions relatives à l'architecture électrique, au système d'isolation, aux connexions patient, aux accessoires, aux modes de fonctionnement et aux mesures de contrôle des risques. Les tests formels permettent simplement de vérifier si ces décisions ont été suffisamment bien définies.
C’est pourquoi une revue de pré-conformité utile ne doit pas chercher à reproduire tous les tests de la norme IEC 60601-1 . Son objectif est d’établir si l’équipement électromédical possède une architecture de sécurité cohérente et si cette architecture peut être traduite en une configuration de test justifiable.
Le programme de test commence par la définition du produit.
Avant d'envisager des essais électriques individuels, il convient d'établir le cadre applicable de la norme CEI 60601.
La norme IEC 60601-1 définit les exigences générales de sécurité de base et de performances essentielles, mais elle est rarement le seul document applicable à un dispositif électromédical. Selon l'utilisation prévue et le type d'équipement, des normes collatérales et des normes particulières peuvent compléter, modifier ou remplacer les exigences de la norme générale.
Cela a une conséquence pratique lors de la phase de pré-conformité.
Cette distinction doit être résolue avant l'élaboration d'un plan de test détaillé.
Un produit à usage domestique, un générateur électrochirurgical , un moniteur ECG et un défibrillateur peuvent tous appartenir à la famille IEC 60601, mais ils ne présentent pas les mêmes risques et ne doivent pas être testés en laboratoire selon les mêmes hypothèses.
L'architecture d'isolation doit être compréhensible avant le début des essais.
Pour les équipements médicaux alimentés électriquement, l'un des exercices de pré-conformité les plus utiles consiste à retracer le chemin de protection à travers le produit.
Prenons l'exemple d'un système simplifié connecté au patient :
Le schéma fonctionnel semble simple, mais l'évaluation de la sécurité dépend de détails qui ne sont pas visibles sur le seul schéma fonctionnel.
Quelle barrière assure la protection contre le courant secteur ?
Cette protection est-elle destinée à un opérateur, à un patient, ou aux deux ?
Existe-t-il une seconde barrière d'isolation entre le circuit secondaire et le circuit patient ?
Que se passe-t-il lorsqu'une interface externe USB, Ethernet, de programmation ou autre est connectée ?
Il est préférable de répondre à ces questions à l'aide d'un schéma d'isolation plutôt qu'avec une collection de certificats de composants.
Une analyse d'isolation utile devrait identifier, pour chaque barrière pertinente :
- tension de fonctionnement ;
- Moyens de protection requis ;
- type d'isolation ;
- composants formant la barrière ;
- chemins de fuite et de dégagement ;
- Considérations relatives à la résistance diélectrique.
C’est également là qu’une hypothèse courante doit être remise en question.
Une alimentation électrique certifiée médicalement ne certifie pas l'intégralité du dispositif médical.
L'utilisation d'une alimentation AC/DC conforme à la norme IEC 60601 peut simplifier la conception, mais la certification ne s'applique à ce composant que dans des conditions définies.
Le produit final doit encore démontrer une protection adéquate à travers l'ensemble du système.
Les interfaces externes, les circuits secondaires, les circuits patients, la mise à la terre et la manière dont l'alimentation électrique est intégrée peuvent tous influencer cette évaluation.
En d'autres termes, le certificat atteste de la conformité d'une partie de l'architecture de sécurité. Il ne constitue pas l'architecture de sécurité elle-même.
Les connexions patient doivent être définies électriquement, et pas seulement physiquement.
La classification des pièces utilisées est un autre domaine où des descriptions de produits apparemment simples peuvent devenir ambiguës lors des tests.
Des déclarations telles que :
ne suffisent généralement pas à définir la configuration de test.
L'ingénieur doit identifier la partie appliquée, ses connexions patient et la relation électrique entre ces connexions et le reste de l'équipement.
Par exemple, un moniteur patient peut comprendre des électrodes, des capteurs, des interfaces de communication et des connecteurs d'accessoires. Certains de ces éléments sont des connexions patient, d'autres non. Plusieurs connexions patient peuvent constituer une même partie appliquée, tandis qu'une autre fonction peut nécessiter une classification différente.
Avant de commencer les essais de courant de fuite, il devrait donc être possible de répondre à la question suivante :
- Quelles sont les pièces de l'équipement qui sont des pièces appliquées ?
- À quels types de patients sont rattachés chaque composant appliqué ?
- La classification est-elle B, BF ou CF ?
- Les connexions patient sont-elles électriquement communes ou isolées les unes des autres ?
- Un accessoire peut-il modifier l'isolation prévue ?
Si ces réponses ne sont pas claires, la configuration du test de courant de fuite l'est également.
Il est préférable de traiter le courant de fuite comme un problème de circuit plutôt que comme une fonction de l'analyseur.
Le test des courants de fuite est parfois abordé comme une séquence de réglages d'instruments.
Sélectionnez la mesure.
Polarité inversée.
Terre protectrice ouverte.
Enregistrez le résultat.
Ce processus est nécessaire, mais il ne remplace pas la compréhension du chemin actuel.
Un examen préalable à la conformité plus utile commence par le circuit :
La réponse peut changer en fonction de la configuration du produit.
Un dispositif peut produire un courant de fuite acceptable pour le patient lorsqu'il est testé comme unité autonome et un résultat différent lorsqu'il est connecté à :
- un ordinateur alimenté par le secteur ;
- un moniteur externe ;
- un chargeur ;
- un autre dispositif médical ;
- une interface de communication ;
- un accessoire avec une prise de terre.
Ceci est particulièrement important pour les systèmes qui semblent électriquement flottants jusqu'à ce qu'une interface externe soit connectée.
Le test de pré-conformité doit donc reproduire la configuration système prévue plutôt qu'une configuration artificiellement simplifiée et plus facile à réussir.
Un enregistrement du courant de fuite doit également décrire les conditions dans lesquelles le résultat a été obtenu.
Au lieu d'enregistrer uniquement :
Un enregistrement techniquement utile permettrait d'identifier la configuration importante :
Ce résultat peut être examiné, reproduit et comparé aux révisions de conception ultérieures.
Les conditions de défaut unique doivent respecter l'architecture de sécurité
La norme IEC 60601-1 n'évalue pas les équipements uniquement lorsque tout fonctionne normalement.
L'équipement doit également rester sûr dans les conditions de défaillance unique pertinentes.
C’est une autre raison pour laquelle une liste de contrôle générique avant le test a une valeur limitée.
Les défauts concernés dépendent des mécanismes de protection mis en place par la conception.
Pour un produit donné, l'interruption de la mise à la terre protectrice peut être importante.
Par ailleurs, le problème critique pourrait être la défaillance de :
- un composant isolant ;
- un dispositif de contrôle de la température ;
- un système de refroidissement ;
- un relais de sécurité ;
- un composant utilisé dans le cadre d'un moyen de protection.
La question d'ingénierie devrait donc être :
Cela relie directement la conception électrique au processus de gestion des risques.
Si l'équipe ne parvient pas à identifier les composants ou les caractéristiques de construction sur lesquels repose le contrôle d'un risque électrique ou thermique particulier, des tests de défaillance formels sont susceptibles de révéler des questions qui auraient dû être résolues lors de la revue de conception.
Il n'existe pas de configuration « pire cas » unique.
Il est souvent demandé aux fabricants de fournir le matériel dans ses conditions de fonctionnement les plus défavorables.
Cette formulation peut induire en erreur.
La configuration qui produit la température la plus élevée ne produit pas forcément le courant de fuite le plus élevé.
La condition la plus exigeante pour l'alimentation électrique n'est peut-être pas la configuration pertinente pour les essais de résistance diélectrique.
Par exemple :
Une approche plus défendable consiste donc à établir la configuration la plus défavorable pour chaque test ou danger , plutôt que d'essayer de définir un état de produit universel pour l'évaluation complète selon la norme IEC 60601.
Il s'agit d'une petite distinction, mais elle peut améliorer considérablement un plan de test.
Les accessoires font partie de la configuration électrique.
Une autre source de retouches évitables consiste à envoyer l'unité principale au laboratoire avant que la configuration finale des accessoires n'ait été établie.
Pour les équipements connectés au patient, le système prévu peut également comprendre :
- électrodes;
- câbles patients ;
- capteurs ;
- sondes;
- pédales ;
- chargeurs;
- câbles de communication ;
- écrans externes ;
- adaptateurs secteur.
Ces objets ne sont pas toujours électriquement neutres.
La capacité d'un câble peut varier.
Une alimentation externe peut modifier l'architecture d'isolation.
Une connexion de communication peut introduire un chemin de terre.
Un accessoire destiné au patient peut modifier la façon dont les connexions du patient sont regroupées lors des mesures de courant de fuite.
C’est pourquoi la configuration d’exemple soumise aux tests doit représenter la configuration du produit qui est réellement destinée à être mise sur le marché.
L'examen de la construction devrait précéder les essais destructifs ou à haute contrainte.
La pré-conformité est souvent immédiatement associée aux mesures de tension d'isolement et de courant de fuite.
Une inspection des travaux de construction devrait normalement être effectuée en premier.
Avant les essais haute tension, il convient d'examiner la mise en œuvre physique du système de protection :
- Espacement des circuits imprimés principaux et secondaires ;
- ligne de fuite et dégagement autour des composants d'isolation ;
- fentes utilisées pour augmenter le courant de fuite ;
- construction de transformateurs ;
- optocoupleur et isolation CC/CC ;
- séparation des câbles d'alimentation principaux ;
- manchons isolants ;
- ouvertures de l'enceinte;
- pièces métalliques accessibles ;
- Liaison protectrice à la terre.
Cet examen est important car des exigences différentes permettent de vérifier des caractéristiques différentes.
La réussite d'un test de rigidité diélectrique ne prouve pas que les distances de fuite et d'isolement requises sont respectées.
De même, un espacement conforme ne dispense pas de la vérification de la rigidité diélectrique.
Le système de protection doit satisfaire aux exigences de construction et aux tests applicables.
La mise à la terre de protection est également un problème de conception mécanique
Les équipements de classe I illustrent particulièrement bien ce point.
Sur le schéma, la mise à la terre de protection peut être représentée par une simple connexion propre.
Le chemin de résistance réel peut comprendre :
Des problèmes peuvent donc apparaître à des endroits qui ne figurent pas sur le schéma électrique.
La présence de peinture sous une cosse de terre, de surfaces anodisées, de matériel de liaison mal fixé ou le recours à une charnière pour la continuité électrique peuvent tous affecter le chemin final du conducteur de terre.
Une mesure de pré-conformité pertinente doit donc utiliser la configuration mécanique finale.
Tester le système à partir d'un châssis métallique nu idéal peut donner d'excellents résultats tout en contournant la connexion précise sur laquelle repose la protection de l'équipement de production.
Les exigences essentielles en matière de performance nécessitent un critère observable.
L’évaluation des performances essentielles devient difficile lorsqu’elles sont exprimées uniquement sous forme d’énoncé général tel que :
À des fins de test, la fonction requise doit être observable et mesurable.
Le fabricant devrait savoir :
- quelle fonction est considérée comme une performance essentielle ;
- quelle dégradation pourrait engendrer un risque inacceptable ;
- Quel paramètre sera surveillé ?
- quelle plage est acceptable ;
- ce qui constitue un échec ;
- que la dégradation ou la récupération temporaire soit autorisée.
Cela devient particulièrement important lorsque la norme IEC 60601-1 est combinée avec la CEM ou une norme particulière.
Le laboratoire peut exposer le dispositif à une perturbation, un défaut ou une condition de fonctionnement définie, mais il appartient toujours au fabricant d'établir ce qui constitue une performance clinique ou liée à la sécurité acceptable.
Quels sont les éléments qu'il est judicieux de tester au préalable avant la soumission officielle ?
Un programme de pré-conformité n'a pas besoin de reproduire l'intégralité d'une évaluation accréditée IEC 60601.
Sa valeur est maximale lorsqu'elle cible des mesures susceptibles de révéler les faiblesses de l'architecture du produit alors que des modifications de conception sont encore possibles.
Pour de nombreux dispositifs médicaux alimentés électriquement, les contrôles préliminaires utiles comprennent :
| Examen / Mesure | Ce que cela peut révéler |
|---|---|
| examen de l'isolation et de la construction | Hypothèses MOOP/MOPP incorrectes, espacement insuffisant, contournements d'isolation |
| continuité de la terre protectrice | Liaison mécanique faible ou résistance excessive dans le chemin PE |
| Mesures de courant de fuite | Chemins de courant inattendus à travers le patient, l'enceinte ou les interfaces externes |
| Contrôles de la rigidité diélectrique | Faiblesse des barrières d'isolation définies |
| Mesures de température | Composants ou surfaces approchant des températures inacceptables |
| Essais en condition de défaut | Dépendance à l'égard d'un seul composant ou d'une seule mesure de protection |
| Avis sur les accessoires/la configuration | Différences entre l'échantillon testé et le système d'utilisation prévu |
L'objectif n'est pas de générer un rapport de certification.
Il s'agit de déceler les problèmes tant que le coût de modification du produit est encore relativement faible.
Informations qui doivent être stables avant le départ de l'échantillon
Un produit est beaucoup plus facile à évaluer lorsque la documentation technique et l'échantillon physique décrivent la même conception.
Avant la soumission officielle, les informations suivantes doivent normalement être suffisamment complètes :
Les normes générales, accessoires et particulières utilisées comme base de conformité.
Y compris la classe de protection et la classification de la partie appliquée.
Schéma de protection entre le réseau électrique, les circuits accessibles et les connexions patient.
Y compris les composants essentiels à la sécurité électrique, thermique ou mécanique.
Y compris les conditions sélectionnées pour les tests de température, d'étanchéité, de défauts et de performance.
Définir ce qui est inclus dans le système évalué.
Avec des critères de réussite/échec mesurables, le cas échéant.
Démontrer comment les dangers identifiés et les mesures de contrôle des risques sont liés aux activités de conception et de vérification.
Aucun de ces documents ne doit rendre l'évaluation du laboratoire inutile.
Ils doivent rendre le produit compréhensible.
Un test pratique d'aptitude
Il est utile de faire une distinction entre un produit physiquement complet et un produit prêt pour les tests IEC 60601.
Avant de diffuser l'échantillon, l'équipe d'ingénierie devrait être en mesure d'expliquer, sans avoir à reconstituer la conception au cours de la discussion :
Où sont les moyens de protection ?
Qu’est-ce qui constitue exactement chaque partie appliquée ?
Quelles connexions peuvent modifier le trajet du courant de fuite ?
Quel défaut supprime une couche de protection de sécurité ?
Quelle est la condition de fonctionnement la plus défavorable pour chaque test majeur ?
Quelle fonction mesurable représente la performance essentielle ?
Si ces questions ont déjà des réponses claires, le laboratoire peut se concentrer sur la vérification.
Dans le cas contraire, les tests formels se transformeront probablement en vérification partielle et en analyse de la conception des pièces.
C’est souvent à partir de cette distinction que commencent des cycles de tests inutiles.
Conclusion
La pré-conformité à la norme IEC 60601-1 est plus efficace lorsqu'elle est considérée comme une revue technique plutôt que comme un programme de certification abrégé.
L'objectif n'est pas d'exécuter chaque clause avant le laboratoire.
Il s'agit d'établir que l'équipement électromédical possède une architecture de sécurité clairement définie, que la configuration d'utilisation prévue a été identifiée et que le fabricant comprend comment le produit est censé se comporter lorsqu'une couche de protection est mise à l'épreuve.
Au moment de la soumission de l'échantillon d'essai officiel, le laboratoire devrait être en train de vérifier ces hypothèses, et non de les découvrir pour la première fois.
