O teste IEC 60601-1 é frequentemente descrito como uma atividade de verificação final: o produto é concluído, amostras são enviadas a um laboratório e o laboratório determina se o equipamento está em conformidade.
Na prática, os problemas mais difíceis da norma IEC 60601-1 raramente são criados em laboratório.
Geralmente, os problemas têm origem muito antes — em decisões sobre a arquitetura de energia, o sistema de isolamento, as conexões do paciente, os acessórios, os modos de operação e os controles de risco. Os testes formais simplesmente revelam se essas decisões foram definidas de forma adequada.
Por essa razão, uma revisão de pré-conformidade útil não deve tentar reproduzir todos os testes da norma IEC 60601-1 . Seu objetivo é estabelecer se o equipamento eletromédico possui uma arquitetura de segurança coerente e se essa arquitetura pode ser traduzida em uma configuração de teste defensável.
O programa de testes começa com a definição do produto.
Antes de se considerarem os testes elétricos individuais, é necessário estabelecer o quadro de referência aplicável da norma IEC 60601.
A norma IEC 60601-1 estabelece os requisitos gerais de segurança básica e desempenho essencial, mas raramente é o único documento relevante para um produto eletromédico. Dependendo da aplicação pretendida e do tipo de equipamento, normas complementares e normas específicas podem adicionar, modificar ou substituir requisitos da norma geral.
Isso tem uma consequência prática durante o período de pré-conformidade.
Essa distinção deve ser resolvida antes da elaboração de um plano de testes detalhado.
Um produto para uso doméstico, um gerador eletrocirúrgico , um monitor de ECG e um desfibrilador podem todos pertencer à família IEC 60601, mas não apresentam os mesmos riscos e não devem entrar no laboratório com as mesmas premissas de teste.
A arquitetura do isolamento deve ser compreensível antes do início dos testes.
Para equipamentos médicos alimentados por eletricidade, um dos exercícios de pré-conformidade mais úteis é rastrear o caminho de proteção através do produto.
Considere um sistema simplificado conectado ao paciente:
O diagrama de blocos parece simples, mas a avaliação de segurança depende de detalhes que não são visíveis apenas no diagrama.
Qual barreira oferece proteção contra a rede elétrica?
Essa proteção destina-se ao operador, ao paciente ou a ambos?
Existe uma segunda barreira de isolamento entre o circuito secundário e o circuito do paciente?
O que acontece quando uma interface externa USB, Ethernet, de programação ou outra é conectada?
Essas perguntas são melhor respondidas com um diagrama de isolamento do que com uma coleção de certificados de componentes.
Uma avaliação útil do isolamento deve identificar, para cada barreira relevante:
- tensão de trabalho;
- Meios de proteção necessários;
- tipo de isolamento;
- componentes que formam a barreira;
- Caminhos de fuga e de desobstrução;
- Considerações sobre a rigidez dielétrica.
É também aqui que uma suposição comum precisa ser questionada.
Uma fonte de alimentação com certificação médica não certifica o dispositivo médico como um todo.
Utilizar uma fonte de alimentação CA/CC qualificada segundo a norma IEC 60601 pode simplificar o projeto, mas a certificação aplica-se a esse componente apenas sob condições específicas.
O produto final ainda precisa demonstrar um caminho de proteção adequado em todo o sistema.
Interfaces externas, circuitos secundários, circuitos do paciente, aterramento e a forma como a fonte de alimentação é integrada podem afetar essa avaliação.
Em outras palavras, o certificado é uma evidência de uma parte da arquitetura de segurança. Não é a arquitetura de segurança em si.
As conexões dos pacientes precisam ser definidas eletricamente, e não apenas fisicamente.
A classificação de peças aplicadas é outra área onde descrições de produtos aparentemente simples podem se tornar ambíguas durante os testes.
Declarações como:
geralmente não são suficientes para definir a configuração do teste.
O engenheiro precisa identificar a peça aplicada propriamente dita, suas conexões com o paciente e a relação elétrica entre essas conexões e o restante do equipamento.
Por exemplo, um monitor de paciente pode incluir eletrodos, sensores, interfaces de comunicação e conectores de acessórios. Alguns desses são conexões com o paciente; outros não. Várias conexões com o paciente podem formar uma única Parte Aplicada, enquanto outra função pode exigir uma classificação diferente.
Antes de iniciar os testes de corrente de fuga, deve ser possível responder à seguinte pergunta:
- Quais componentes do equipamento são componentes aplicados?
- A quais partes aplicadas pertencem as conexões com pacientes?
- A classificação é B, BF ou CF?
- As conexões do paciente são eletricamente comuns ou isoladas umas das outras?
- Um acessório pode alterar o isolamento pretendido?
Se essas respostas não forem claras, a configuração do teste de corrente de fuga também não será clara.
A corrente de fuga deve ser tratada como um problema de circuito do que como uma função do analisador.
O teste de corrente de fuga às vezes é abordado como uma sequência de configurações do instrumento.
Selecione a medida.
Polaridade invertida.
Terra protetora aberta.
Registre o resultado.
Esse processo é necessário, mas não substitui a compreensão do caminho atual.
Uma análise prévia à conformidade mais útil começa com o circuito:
A resposta pode mudar quando a configuração do produto for alterada.
Um dispositivo pode produzir uma corrente de fuga aceitável para o paciente quando testado como uma unidade independente e um resultado diferente quando conectado a:
- um computador ligado à rede elétrica;
- um monitor externo;
- um carregador;
- outro dispositivo médico;
- uma interface de comunicação;
- Um acessório com ligação à terra.
Isso é particularmente importante para sistemas que parecem estar eletricamente flutuantes até que uma interface externa seja conectada.
O teste de pré-conformidade deve, portanto, reproduzir a configuração de sistema pretendida, em vez de uma configuração artificialmente simplificada que seja mais fácil de passar.
O registro da corrente de fuga também deve descrever as condições em que o resultado foi obtido.
Em vez de apenas gravar:
Um registro tecnicamente útil identificaria a configuração importante:
Esse resultado pode ser revisado, reproduzido e comparado com revisões de projeto subsequentes.
Condições de falha única devem seguir a arquitetura de segurança.
A norma IEC 60601-1 não avalia o equipamento apenas quando tudo está funcionando normalmente.
O equipamento também deve permanecer seguro sob as condições de falha única relevantes.
Essa é mais uma razão pela qual uma lista de verificação genérica para pré-teste tem valor limitado.
As falhas relevantes dependem daquilo em que o projeto se baseia para proteção.
Para um determinado produto, a interrupção da proteção da terra pode ser importante.
Por outro lado, a questão crítica pode ser a falha em:
- um componente de isolamento;
- um dispositivo de controle de temperatura;
- um sistema de refrigeração;
- um relé de segurança;
- Um componente usado como parte de um meio de proteção.
A questão de engenharia, portanto, deveria ser:
Isso conecta o projeto elétrico diretamente ao processo de gerenciamento de riscos.
Se a equipe não conseguir identificar quais componentes ou características de construção são essenciais para controlar um determinado risco elétrico ou térmico, é provável que testes formais de falhas revelem problemas que deveriam ter sido resolvidos durante a revisão do projeto.
Não existe uma única "configuração de pior caso".
Muitas vezes, os fabricantes são solicitados a fornecer o equipamento em sua pior condição operacional possível.
Essa formulação pode ser enganosa.
A configuração que produz a temperatura mais alta pode não produzir a maior corrente de fuga.
A condição mais exigente para a fonte de alimentação pode não ser a configuração relevante para o teste de rigidez dielétrica.
Por exemplo:
Uma abordagem mais defensável é, portanto, estabelecer a configuração de pior caso para cada teste ou risco , em vez de tentar definir um estado universal do produto para a avaliação completa da norma IEC 60601.
Essa é uma pequena distinção, mas pode melhorar substancialmente um plano de testes.
Os acessórios fazem parte da configuração elétrica.
Outra fonte de retrabalho evitável é o envio da unidade principal para o laboratório antes que a configuração final dos acessórios tenha sido estabelecida.
Para equipamentos conectados ao paciente, o sistema pretendido também pode incluir:
- eletrodos;
- cabos de paciente;
- sensores;
- sondas;
- interruptores de pé;
- carregadores;
- cabos de comunicação;
- monitores externos;
- Adaptadores de energia.
Esses itens nem sempre são eletricamente neutros.
Um cabo pode alterar a capacitância.
Uma fonte de alimentação externa pode alterar a arquitetura de isolamento.
Uma conexão de comunicação pode introduzir um caminho terrestre.
Um acessório para o paciente pode alterar a forma como as conexões do paciente são agrupadas durante as medições de corrente de fuga.
Por esse motivo, a configuração de amostra enviada para teste deve representar a configuração do produto que se destina efetivamente a ser colocada no mercado.
A revisão da construção deve preceder os testes destrutivos ou de alta tensão.
A pré-conformidade é frequentemente associada diretamente a medições de alta tensão (hipot) e corrente de fuga.
Normalmente, a análise da construção deve vir primeiro.
Antes de realizar testes de alta tensão, é importante examinar a implementação física do sistema de proteção:
- Espaçamento entre a placa de circuito impresso (PCB) da rede principal e da secundária;
- Distância de fuga e espaço livre em torno dos componentes de isolamento;
- espaços usados para aumentar a rastejamento;
- construção de transformadores;
- optoacoplador e isolamento CC/CC;
- Segregação da fiação elétrica principal;
- mangas de isolamento;
- aberturas de recinto;
- partes metálicas acessíveis;
- ligação protetora à terra.
Esta análise é importante porque diferentes requisitos verificam diferentes características.
A aprovação em um teste de rigidez dielétrica não garante a presença das distâncias de fuga e isolamento necessárias.
Da mesma forma, o espaçamento adequado não elimina a necessidade de verificação da rigidez dielétrica.
O sistema de proteção deve satisfazer tanto os requisitos de construção quanto os testes aplicáveis.
A proteção contra aterramento também é uma questão de projeto mecânico.
Os equipamentos de Classe I ilustram isso particularmente bem.
No diagrama esquemático, o aterramento de proteção pode ser representado por uma única conexão limpa.
O caminho de resistência real pode incluir:
Portanto, podem surgir problemas em locais que não existem no esquema elétrico.
A presença de tinta sob um terminal de aterramento, superfícies anodizadas, componentes de ligação soltos ou a dependência de uma dobradiça para a continuidade elétrica podem afetar o caminho final do PE (Potencial de Equivalência).
Uma medição prévia de conformidade significativa deve, portanto, utilizar o arranjo mecânico finalizado.
Testar a partir de um ponto ideal no chassi metálico exposto pode produzir um excelente resultado, ao mesmo tempo que ignora a conexão exata da qual o equipamento de produção depende para proteção.
O desempenho essencial requer um critério observável.
O desempenho essencial torna-se difícil de avaliar quando expresso apenas como uma afirmação genérica, como:
Para fins de teste, a função necessária precisa ser observável e mensurável.
O fabricante deve saber:
- Qual função é considerada Desempenho Essencial?
- Que tipo de degradação poderia resultar em risco inaceitável?
- Qual parâmetro será monitorado?
- Qual intervalo é aceitável?
- O que constitui um fracasso?
- se a degradação temporária ou a recuperação é permitida.
Isso se torna especialmente importante quando a norma IEC 60601-1 é combinada com EMC ou uma norma específica.
O laboratório pode expor o dispositivo a uma perturbação, falha ou condição operacional definida, mas o fabricante ainda precisa estabelecer o que constitui um desempenho clínico ou de segurança aceitável.
O que vale a pena testar previamente antes da submissão formal?
Um programa de pré-conformidade não precisa reproduzir integralmente uma avaliação acreditada segundo a norma IEC 60601.
Seu valor é máximo quando se concentra em medições que podem expor fragilidades na arquitetura do produto enquanto ainda é possível fazer alterações no projeto.
Para muitos dispositivos médicos elétricos, verificações iniciais úteis incluem:
| Revisão/Medição | O que isso pode revelar |
|---|---|
| Revisão de isolamento e construção | Suposições incorretas sobre MOOP/MOPP, espaçamento insuficiente, desvios de isolamento. |
| continuidade protetora da terra | Ligação mecânica fraca ou resistência excessiva no caminho do PE |
| Medições de corrente de fuga | Caminhos de corrente inesperados através do paciente, da estrutura ou de interfaces externas. |
| Verificações de rigidez dielétrica | Fraqueza nas barreiras de isolamento definidas |
| Medições de temperatura | Componentes ou superfícies com temperaturas próximas do limite aceitável |
| Ensaios de condição de falha | Dependência de um único componente ou medida de proteção |
| Revisão de acessórios/configuração | Diferenças entre a amostra de teste e o sistema de uso pretendido |
O objetivo não é gerar um relatório de certificação.
Trata-se de identificar problemas enquanto o custo de alteração do produto ainda é relativamente baixo.
Informações que devem estar estáveis antes da saída da amostra.
Um produto é muito mais fácil de avaliar quando a documentação técnica e a amostra física descrevem o mesmo projeto.
Antes da submissão formal, as seguintes informações devem estar razoavelmente maduras:
As normas gerais, colaterais e específicas utilizadas como base de conformidade.
Incluindo classe de proteção e classificação da peça aplicada.
Ilustração dos meios de proteção entre a rede elétrica, os circuitos acessíveis e as conexões do paciente.
Incluindo os componentes essenciais para a segurança elétrica, térmica ou mecânica.
Incluindo as condições selecionadas para testes de temperatura, vazamento, falhas e desempenho.
Definir o que está incluído no sistema avaliado.
Com condições mensuráveis de aprovação/reprovação, quando aplicável.
Demonstrar como os perigos identificados e as medidas de controle de risco se relacionam com as atividades de projeto e verificação.
Nenhum desses documentos torna desnecessária a avaliação do laboratório.
Eles precisam tornar o produto compreensível.
Um teste prático de prontidão
Existe uma distinção útil entre um produto que está fisicamente completo e um que está pronto para testes de acordo com a norma IEC 60601.
Antes de liberar a amostra, a equipe de engenharia deve ser capaz de explicar, sem precisar reconstruir o projeto durante a discussão:
Onde estão os meios de proteção?
O que constitui exatamente cada Parte Aplicada?
Quais conexões podem alterar o caminho da corrente de fuga?
Qual falha remove uma camada de proteção de segurança?
Qual é a pior condição operacional para cada teste principal?
Que função mensurável representa o Desempenho Essencial?
Se essas questões já tiverem respostas claras, o laboratório poderá se concentrar na verificação.
Caso contrário, os testes formais provavelmente se tornarão parte verificação e parte investigação de projeto.
Essa distinção é frequentemente o ponto de partida para ciclos de testes desnecessários.
Conclusão
A pré-conformidade com a norma IEC 60601-1 é mais eficaz quando tratada como uma revisão de engenharia, em vez de um programa de certificação abreviado.
O objetivo não é executar todas as etapas antes do laboratório.
O objetivo é garantir que o equipamento eletromédico possua uma arquitetura de segurança claramente definida, que a configuração de uso pretendida tenha sido identificada e que o fabricante compreenda como o produto deverá se comportar quando uma camada de proteção for posta à prova.
No momento em que a amostra para o teste formal é submetida, o laboratório já deveria estar verificando essas suposições — e não descobrindo-as pela primeira vez.
