I test secondo la norma IEC 60601-1 sono spesso descritti come un'attività di verifica finale: il prodotto è completato, i campioni vengono inviati a un laboratorio e quest'ultimo determina se l'apparecchiatura è conforme.
In pratica, i problemi più complessi della norma IEC 60601-1 raramente vengono riprodotti in laboratorio.
Solitamente, queste problematiche hanno origine in fasi molto precedenti, come le decisioni relative all'architettura di alimentazione, al sistema di isolamento, ai collegamenti con i pazienti, agli accessori, alle modalità operative e ai controlli del rischio. I test formali si limitano a verificare se tali decisioni sono state definite in modo sufficientemente accurato.
Per questo motivo, una valida verifica di preconformità non dovrebbe tentare di riprodurre ogni singolo test previsto dalla norma IEC 60601-1 . Il suo scopo è quello di stabilire se l'apparecchiatura elettromedicale possiede un'architettura di sicurezza coerente e se tale architettura può essere tradotta in una configurazione di prova valida.
Il programma di test inizia con la definizione del prodotto
Prima di prendere in considerazione le singole prove elettriche, è necessario stabilire il quadro di riferimento applicabile della norma IEC 60601.
La norma IEC 60601-1 definisce i requisiti generali per la sicurezza di base e le prestazioni essenziali, ma raramente è l'unico documento di riferimento per un prodotto elettromedicale. A seconda dell'uso previsto e del tipo di apparecchiatura, norme collaterali e norme particolari possono aggiungere, modificare o sostituire i requisiti della norma generale.
Ciò ha una conseguenza pratica durante la fase di pre-conformità.
Tale distinzione deve essere chiarita prima di procedere alla preparazione di un piano di test dettagliato.
Un prodotto per uso domestico, un generatore elettrochirurgico , un monitor ECG e un defibrillatore possono rientrare tutti nella famiglia della norma IEC 60601, ma non presentano gli stessi rischi e non dovrebbero essere introdotti in laboratorio con le stesse ipotesi di prova.
L'architettura dell'isolamento deve essere comprensibile prima dell'inizio dei test.
Per le apparecchiature mediche alimentate elettricamente, uno degli esercizi di pre-conformità più utili consiste nel tracciare il percorso di protezione attraverso il prodotto.
Consideriamo un sistema semplificato di connessione al paziente:
Lo schema a blocchi appare semplice, ma la valutazione della sicurezza dipende da dettagli che non sono visibili dal solo schema a blocchi.
Quale barriera offre protezione dalla rete elettrica?
Questa protezione è destinata all'operatore, al paziente o a entrambi?
Esiste una seconda barriera di isolamento tra il circuito secondario e il circuito del paziente?
Cosa succede quando si collega un'interfaccia USB, Ethernet, di programmazione o di altro tipo esterna?
A queste domande si può rispondere meglio con uno schema di isolamento che con una raccolta di certificati dei componenti.
Una valutazione utile dell'isolamento dovrebbe identificare, per ciascuna barriera rilevante:
- tensione di lavoro;
- Mezzi di protezione necessari;
- tipo di isolamento;
- componenti che formano la barriera;
- percorsi di strisciamento e di evacuazione;
- Considerazioni sulla rigidità dielettrica.
È proprio in questo contesto che va messo in discussione un presupposto comune.
Un alimentatore certificato medicalmente non certifica l'intero dispositivo medico
L'utilizzo di un alimentatore CA/CC conforme alla norma IEC 60601 può semplificare la progettazione, ma la certificazione si applica a tale componente solo in determinate condizioni.
Il prodotto finale deve comunque dimostrare di garantire un percorso di protezione adeguato attraverso l'intero sistema.
Le interfacce esterne, i circuiti secondari, i circuiti del paziente, la messa a terra e il modo in cui l'alimentatore è integrato possono tutti influenzare tale valutazione.
In altre parole, il certificato attesta una parte dell'architettura di sicurezza. Non costituisce l'architettura di sicurezza stessa.
Le connessioni dei pazienti devono essere definite elettricamente, non solo fisicamente.
La classificazione dei componenti applicati è un altro ambito in cui descrizioni di prodotto apparentemente semplici possono diventare ambigue durante la fase di test.
Dichiarazioni come:
di solito non sono sufficienti per definire la configurazione del test.
L'ingegnere deve identificare la parte applicata, i relativi collegamenti con il paziente e la relazione elettrica tra tali collegamenti e il resto dell'apparecchiatura.
Ad esempio, un monitor per pazienti può includere elettrodi, sensori, interfacce di comunicazione e connettori per accessori. Alcuni di questi sono collegamenti con il paziente, altri no. Diversi collegamenti con il paziente possono costituire un unico componente applicato, mentre un'altra funzione può richiedere una classificazione diversa.
Prima di iniziare la prova di corrente di dispersione, dovrebbe quindi essere possibile rispondere alle seguenti domande:
- Quali parti dell'apparecchiatura sono parti applicate?
- A quale parte applicativa appartengono i collegamenti con i pazienti?
- La classificazione è B, BF o CF?
- I collegamenti dei pazienti sono elettricamente comuni o isolati l'uno dall'altro?
- Un accessorio può alterare l'isolamento previsto?
Se queste risposte non sono chiare, anche la configurazione del test della corrente di dispersione non è chiara.
La corrente di dispersione è meglio trattata come un problema del circuito piuttosto che come una funzione dell'analizzatore.
Il test della corrente di dispersione viene talvolta affrontato come una sequenza di impostazioni dello strumento.
Seleziona l'unità di misura.
Inversione di polarità.
Terra protettiva aperta.
Registra il risultato.
Tale processo è necessario, ma non sostituisce la comprensione del percorso attuale.
Una verifica preliminare di conformità più utile inizia dal circuito:
La risposta potrebbe cambiare al variare della configurazione del prodotto.
Un dispositivo potrebbe produrre una corrente di dispersione accettabile per il paziente se testato come unità autonoma e un risultato diverso se collegato a:
- un computer alimentato dalla rete elettrica;
- un monitor esterno;
- un caricabatterie;
- un altro dispositivo medico;
- un'interfaccia di comunicazione;
- un accessorio con collegamento a terra.
Ciò è particolarmente importante per i sistemi che appaiono elettricamente isolati finché non viene collegata un'interfaccia esterna.
Il test di pre-conformità dovrebbe quindi riprodurre la configurazione di sistema prevista, anziché una configurazione artificialmente semplificata e più facile da superare.
La registrazione della corrente di dispersione dovrebbe inoltre descrivere le condizioni in cui è stato ottenuto il risultato.
Invece di registrare soltanto:
una registrazione tecnicamente utile identificherebbe la configurazione importante:
Tale risultato può essere esaminato, riprodotto e confrontato con le successive revisioni del progetto.
Le condizioni di guasto singolo devono seguire l'architettura di sicurezza
La norma IEC 60601-1 non valuta le apparecchiature solo quando tutto funziona normalmente.
L'apparecchiatura deve inoltre rimanere sicura in presenza delle relative condizioni di guasto singolo.
Questo è un altro motivo per cui una lista di controllo generica per i test preliminari ha un valore limitato.
I guasti rilevanti dipendono da ciò su cui si basa la progettazione per la protezione.
Per un determinato prodotto, l'interruzione dello strato di terra protettivo può essere importante.
Inoltre, il problema critico potrebbe essere il fallimento di:
- un componente isolante;
- un dispositivo di controllo della temperatura;
- un sistema di raffreddamento;
- un relè di sicurezza;
- un componente utilizzato come parte di un mezzo di protezione.
La questione ingegneristica dovrebbe quindi essere:
Questo collega direttamente la progettazione elettrica al processo di gestione del rischio.
Se il team non riesce a identificare quali componenti o caratteristiche costruttive sono fondamentali per controllare un particolare rischio elettrico o termico, è probabile che i test formali di guasto rivelino problematiche che avrebbero dovuto essere risolte durante la fase di revisione del progetto.
Non esiste una singola "configurazione peggiore".
Ai produttori viene spesso richiesto di fornire le apparecchiature nelle loro peggiori condizioni operative.
Tale formulazione può essere fuorviante.
La configurazione che produce la temperatura più elevata potrebbe non produrre la corrente di dispersione più elevata.
La condizione più impegnativa per l'alimentatore potrebbe non essere la configurazione rilevante per i test di rigidità dielettrica.
Per esempio:
Un approccio più difendibile consiste quindi nello stabilire la configurazione peggiore per ogni test o rischio , piuttosto che tentare di definire un unico stato universale del prodotto per l'intera valutazione secondo la norma IEC 60601.
Si tratta di una piccola differenza, ma può migliorare sostanzialmente un piano di test.
Gli accessori fanno parte della configurazione elettrica
Un'altra fonte di rilavorazioni evitabili è l'invio dell'unità principale al laboratorio prima che sia stata definita la configurazione finale degli accessori.
Per le apparecchiature collegate al paziente, il sistema previsto può includere anche:
- elettrodi;
- cavi per pazienti;
- sensori;
- sonde;
- interruttori a pedale;
- caricabatterie;
- cavi di comunicazione;
- display esterni;
- adattatori di alimentazione.
Questi oggetti non sono sempre elettricamente neutri.
Un cavo può variare la capacità.
Un'alimentazione esterna può modificare l'architettura di isolamento.
Un collegamento di comunicazione può introdurre un percorso terrestre.
Un accessorio per il paziente può modificare il modo in cui le connessioni del paziente vengono raggruppate durante le misurazioni della corrente di dispersione.
Per questo motivo, la configurazione di esempio presentata per i test deve rappresentare la configurazione del prodotto che si intende effettivamente immettere sul mercato.
La revisione della costruzione dovrebbe precedere i test distruttivi o ad alto stress.
La pre-conformità è spesso associata immediatamente a misurazioni di rigidità dielettrica e di corrente di dispersione.
Di norma, la revisione del progetto dovrebbe avvenire per prima.
Prima di procedere con le prove ad alta tensione, è opportuno esaminare l'implementazione fisica del sistema di protezione:
- Distanza tra la scheda PCB principale e quella secondaria;
- Spazio di infiltrazione e distanza libera attorno ai componenti di isolamento;
- fessure utilizzate per aumentare la strisciamento;
- costruzione del trasformatore;
- Optoaccoppiatore e isolamento CC/CC;
- separazione dei cablaggi di rete;
- manicotti isolanti;
- aperture di chiusura;
- parti metalliche accessibili;
- collegamento di protezione a terra.
Questa revisione è importante perché requisiti diversi verificano caratteristiche diverse.
Il superamento di una prova di rigidità dielettrica non garantisce la presenza delle distanze di isolamento e di dispersione richieste.
Analogamente, una spaziatura conforme non elimina la necessità di verificare la rigidità dielettrica.
Il sistema di protezione deve soddisfare sia i requisiti di costruzione sia le prove applicabili.
Anche la messa a terra protettiva è una questione di progettazione meccanica
Le apparecchiature di classe I illustrano questo concetto in modo particolarmente efficace.
Nello schema, la messa a terra di protezione può essere rappresentata da un singolo collegamento pulito.
Il percorso di resistenza effettivo potrebbe includere:
I problemi possono quindi presentarsi in punti che non sono indicati nello schema elettrico.
La vernice sotto un capocorda di terra, le superfici anodizzate, i dispositivi di collegamento allentati o la dipendenza da una cerniera per la continuità elettrica possono tutti influire sul percorso finale del conduttore elettrico.
Una misurazione di pre-conformità significativa dovrebbe quindi utilizzare la configurazione meccanica finale.
Eseguire i test partendo da un punto ideale di chassis metallico nudo può produrre risultati eccellenti, bypassando al contempo la connessione precisa su cui si basa la protezione dell'apparecchiatura di produzione.
Le prestazioni essenziali necessitano di un criterio osservabile
La valutazione delle prestazioni essenziali diventa complessa quando queste vengono espresse solo in termini generici, come ad esempio:
Ai fini della verifica, la funzione richiesta deve essere osservabile e misurabile.
Il produttore dovrebbe sapere:
- quale funzione è considerata prestazione essenziale;
- quale degrado potrebbe comportare un rischio inaccettabile;
- Quale parametro verrà monitorato?
- quale intervallo è accettabile?
- che cosa costituisce un fallimento;
- se è consentito un degrado o un recupero temporaneo.
Ciò diventa particolarmente importante quando la norma IEC 60601-1 viene combinata con la compatibilità elettromagnetica (EMC) o con uno standard specifico.
Il laboratorio può sottoporre il dispositivo a una specifica perturbazione, guasto o condizione operativa, ma il produttore deve comunque stabilire cosa costituisce una prestazione accettabile dal punto di vista clinico o della sicurezza.
Cosa vale la pena testare prima dell'invio ufficiale?
Un programma di pre-conformità non deve necessariamente riprodurre un'intera valutazione accreditata secondo la norma IEC 60601.
Il suo valore è massimo quando si concentra su misurazioni in grado di evidenziare i punti deboli dell'architettura del prodotto mentre sono ancora possibili modifiche al progetto.
Per molti dispositivi medici alimentati elettricamente, i controlli preliminari utili includono:
| Revisione/Misurazione | Cosa può rivelare |
|---|---|
| Revisione dell'isolamento e della costruzione | Presupposti MOOP/MOPP errati, spaziatura insufficiente, bypass dell'isolamento |
| continuità della terra protettiva | Debole adesione meccanica o eccessiva resistenza nel percorso PE |
| Misurazioni della corrente di dispersione | Percorsi di corrente inattesi attraverso il paziente, l'involucro o le interfacce esterne. |
| Verifiche della rigidità dielettrica | Debolezza nelle barriere isolanti definite |
| Misurazioni della temperatura | Componenti o superfici che si avvicinano a temperature inaccettabili |
| Prove in condizioni di guasto | Dipendenza da un singolo componente o misura di protezione |
| Revisione degli accessori/della configurazione | Differenze tra il campione di prova e il sistema destinato all'uso previsto |
L'obiettivo non è quello di generare un rapporto di certificazione.
Si tratta di individuare i problemi quando il costo di modifica del prodotto è ancora relativamente basso.
Informazioni che devono essere stabili prima che il campione venga prelevato
È molto più facile valutare un prodotto quando la documentazione tecnica e il campione fisico descrivono lo stesso design.
Prima dell'invio formale, le seguenti informazioni dovrebbero normalmente essere ragionevolmente mature:
Le norme generali, collaterali e particolari utilizzate come base di conformità.
Compresa la classe di protezione e la classificazione della parte applicata.
Illustrazione dei dispositivi di protezione tra la rete elettrica, i circuiti accessibili e i collegamenti del paziente.
Compresi i componenti su cui si fa affidamento per la sicurezza elettrica, termica o meccanica.
Incluse le condizioni selezionate per i test di temperatura, perdite, guasti e prestazioni.
Definire cosa è incluso nel sistema valutato.
Con condizioni di superamento/non superamento misurabili, ove applicabili.
Illustra come i pericoli identificati e le misure di controllo del rischio si relazionano alle attività di progettazione e verifica.
Nessuno di questi documenti rende superflua la valutazione di laboratorio.
Devono rendere il prodotto comprensibile.
Un test pratico di preparazione
Esiste una distinzione utile tra un prodotto fisicamente completo e uno pronto per i test secondo la norma IEC 60601.
Prima di rilasciare il campione, il team di ingegneri dovrebbe essere in grado di spiegare, senza ricostruire il progetto durante la discussione:
Dove sono i mezzi di protezione?
Cosa costituisce esattamente ciascuna Parte Applicata?
Quali connessioni possono alterare il percorso della corrente di dispersione?
Quale guasto elimina uno strato di protezione di sicurezza?
Qual è la condizione operativa peggiore per ciascuno dei test principali?
Quale funzione misurabile rappresenta la prestazione essenziale?
Se a queste domande esistono già risposte chiare, il laboratorio può concentrarsi sulla verifica.
In caso contrario, è probabile che i test formali si trasformino in verifica dei componenti e indagine sulla progettazione dei componenti.
È proprio da questa distinzione che spesso nascono cicli di test non necessari.
Conclusione
La pre-conformità alla norma IEC 60601-1 è più efficace quando viene considerata una revisione ingegneristica piuttosto che un programma di certificazione abbreviato.
Lo scopo non è quello di eseguire ogni singola operazione prima che lo faccia il laboratorio.
Si tratta di accertare che l'apparecchiatura elettromedicale abbia un'architettura di sicurezza chiaramente definita, che sia stata identificata la configurazione d'uso prevista e che il produttore comprenda come ci si aspetta che il prodotto si comporti quando uno strato di protezione viene messo alla prova.
Nel momento in cui il campione per l'analisi formale viene inviato, il laboratorio dovrebbe già aver verificato tali ipotesi, non averle scoperte per la prima volta.
