Concevoir un dispositif médical peut constituer une tâche particulièrement complexe. Les normes médicales établies au fil des années continuent d'évoluer et sont parfois difficiles à satisfaire, même pour les produits les plus simples.
La norme IEC 60601-1 (la norme principale pour les équipements électriques médicaux) garantit que les produits électriques à travers de nombreux marchés et pays sont conformes à des critères de sécurité et d'efficacité de base. Cette norme est un référentiel universel en matière de sécurité ; si la plupart des pays ont adopté leurs propres versions, ces dernières partagent essentiellement la même documentation de base qui couvre divers domaines de l'électronique et de ses applications.
Mais la conception d'un dispositif médical ne se limite pas à la simple observation d'une norme IEC. Ce document se penche sur la norme IEC 60601 et sur ses objectifs passés, actuels et futurs.
Un bref aperçu de la norme IEC 60601
Les normes IEC existent depuis plus de 80 ans. La première norme publiée portait sur le vocabulaire électrotechnique (aujourd'hui appelée « Electropedia »). La première version de la norme IEC 60601 a été publiée en 1977 par la Commission électrotechnique internationale (CEI), à une époque où l'électronique commençait à jouer un rôle majeur dans les traitements et les instruments médicaux. Une première révision, plus axée sur la sécurité des patients, a été publiée en 1988 et ce n'est qu'à partir de la troisième édition, publiée tout récemment en 2005, que les exigences en matière de protection des équipements et des patients sont devenues plus strictes.
Si le fait de répondre à ces normes par le biais notamment d'essais et de développement peut contribuer à la mise sur le marché d'un dispositif médical, il n'en est pas pour autant une garantie. L'étape la plus longue et la plus coûteuse est sans doute l'obtention de l'approbation de la FDA (ou d'un organisme équivalent en dehors des États-Unis) par le biais d'essais cliniques qui permettent de démontrer l'efficacité globale du dispositif.
La plupart des entreprises qui développent et fabriquent des dispositifs médicaux suivent un programme global de contrôle de la conception, par exemple :
- 1. Une analyse de rentabilité et des exigences des utilisateurs, déterminées par une étude de marché
- 2. Des exigences de conception censées répondre aux besoins des utilisateurs
- 3. Une procédure de vérification qui permet de tester la conception du produit et de s'assurer qu'il répond aux exigences de conception
- 4. Une procédure de validation qui permet de tester la conception du produit et de s'assurer qu'il répond aux exigences de l'utilisateur
- 5. Un transfert de la conception vers la fabrication, puis le lancement
Toutefois, les dispositifs médicaux sont généralement accompagnés d'exigences spéciales, notamment les suivantes :
- • Concevoir des produits électroniques conformes à la norme IEC 60601, puis tester la conformité à cette norme lors des phases de vérification et de validation
- • Un processus de gestion des risques qui décrit les dangers potentiels et la manière dont ils sont maîtrisés
- • Mener une étude et recueillir suffisamment de données pour constituer un dossier destiné à être présenté à la FDA, afin de démontrer que le produit est sûr et prêt à être mis sur le marché
Alors que le troisième point se concentre davantage sur les essais cliniques et la documentation, les concepteurs électriques doivent impérativement connaître les deux premiers points, car ce sont eux qui, en fin de compte, déterminent le processus de conception et les couches de protection supplémentaires nécessaires. De plus, selon la classe de l'appareil, cette couche de protection peut être considérable.
Classes de dispositifs médicaux
Un dispositif médical peut être classé parmi trois catégories en fonction du risque global associé à son utilisation. La classe I est la plus basse, tandis qu'un produit de classe III nécessitera une demande d'autorisation de mise sur le marché (PMA) avant son lancement. Le niveau de sécurité de conception d'un dispositif de classe III est le plus exigeant et peut comprendre plusieurs niveaux de redondance et de protection, tandis que la classe I implique un niveau moindre de précautions et de gestion des risques.
La classe I concerne généralement les équipements ou accessoires médicaux non invasifs souvent utilisés à domicile, notamment les pansements, les bandages, les masques faciaux, les abaisse-langue ou les thermomètres (ces derniers peuvent cependant relever de la classe II en fonction de leur précision et de leur fonctionnement électronique ou non).
La classe II regroupe la plupart des appareils médicaux de diagnostic ou de traitement, qui comportent un niveau plus élevé de gestion des risques ou de dommages potentiels. Parmi les dispositifs médicaux de classe II, on trouve par exemple les glucomètres, les brassards de tension artérielle, les pousse-seringues ou tout autre instrument peu invasif.
La classe III regroupe les dispositifs médicaux qui présentent le niveau de gestion des risques le plus élevé. Il s'agit par exemple des implants, des équipements de maintien des fonctions vitales et des appareils électroniques destinés à surveiller et à transmettre des informations et des états de santé critiques. La mise sur le marché des dispositifs médicaux est soumise à la norme IEC 60601, mais des précautions supplémentaires doivent parfois être prises en compte pour ces produits (découlant soit du niveau de gestion des risques, soit de la fiabilité et de la sécurité générale du produit).
Exemples de dispositifs médicaux de classe II et III
Étant donné que les dispositifs médicaux de classe I ne contiennent que très rarement des composants électroniques, passons directement aux exemples de classe II et III. Pour notre exemple concernant la classe II, nous nous intéresserons à un thermomètre. Une erreur de mesure de la température peut avoir des conséquences graves. Examinons donc certaines des caractéristiques de sécurité et de fiabilité les plus couramment intégrées dans la conception d'un thermomètre.
Pour commencer, la plupart des thermomètres sont numériques et contiennent donc un écran ou un dispositif d'affichage, ou au moins un quelconque système de transmission de données à distance. Dans ce cas, on peut supposer sans risque que le dispositif contient un microcontrôleur.
La figure 1a illustre le fonctionnement interne d'un thermomètre ordinaire, avec quelques couches de protection supplémentaires. Pour convertir le signal analogique en signal numérique, on peut utiliser soit l'ADC interne d'un microcontrôleur (MCU), soit un ADC externe. Comme les ADC externes sont capables d'atteindre une résolution plus élevée (et en supposant que vous vouliez une résolution d'au moins 16 ou 24 bits), et que les ADC internes des MCU sont connus pour nécessiter un étalonnage supplémentaire, nous avons inclus un ADC externe dont la tension de référence est claire et précise.
Il faut également tenir compte du fait que cet ADC peut être influencé par la température ambiante, et qu'il est donc préférable de l'isoler physiquement sur la carte à circuit imprimé par des fentes (comme illustré à la figure 1b) afin de minimiser la dérive de température pour les applications à sensibilité et précision élevées. Pour la partie de détection analogique, le filtrage passe-bas peut contribuer à lisser les données et à en faire la moyenne, tandis que les ferrites sur les signaux des thermistances peuvent contribuer à rejeter le bruit haute fréquence et le couplage inductif à proximité. Des thermistances redondantes peuvent être installées pour les systèmes nécessitant une fiabilité accrue. Un superviseur de réinitialisation peut être ajouté pour fournir une fonction de verrouillage (ou de réinitialisation) de sous-tension qui garantit que le microcontrôleur (et ses périphériques) n'est utilisé que lorsqu'il est suffisamment alimenté et stable, ce qui protège contre les lectures erronées. Enfin, la partie de transfert de chaleur d'un thermomètre est primordiale et peut nécessiter des décalages et un étalonnage supplémentaire (après l'assemblage physique) en raison de la perte thermique due au transfert de la chaleur corporelle vers la thermistance.
Figure 1a Figure 1b
Figure 1. a) Exemple de conception d'un thermomètre numérique intégrant une protection, une sécurité et une fiabilité accrues et b) Exemple de stratégie de mise en place d'une carte à circuit imprimé pour minimiser la dérive thermique d'un ADC (U6)
Pour l'exemple de la classe III, nous allons nous pencher sur un stimulateur cardiaque. Les stimulateurs cardiaques existent depuis un certain temps. Depuis 60 ans, pour être exact. Ce qui a commencé à l'époque comme un système analogique simple (figure 2a) a maintenant évolué vers un système électronumérique extrêmement complexe, doté de fonctions avancées d'analyse et de génération de signaux (figure 2b). En termes de sécurité et de fiabilité, les circuits analogiques généraux présentent moins de risques que les composants numériques programmables, en raison des bogues potentiels que présentent les machines à états complexes. Cependant, il convient de noter que les conceptions numériques les plus récentes intègrent des composants équipés d'ADC de haute précision pour les mesures de détection des électrocardiogrammes, et d'ADC conçus pour la génération d'impulsions. Ils permettent d'offrir des fonctions de stimulation cardiaque très efficaces et réglables avec un retour d'information en boucle fermée. Mais comme pour la plupart des applications, la fiabilité de la conception provient en grande partie de la partie analogique, comme les mécanismes de filtrage, les préamplificateurs soigneusement conçus, les temporisateurs et oscillateurs dédiés, et l'incorporation de stratégies de disposition des circuits imprimés pour minimiser le bruit, le couplage et la dérive de température.
Figure 2a Figure 2b
Figure 2. Exemples de conceptions de stimulateurs cardiaques analogiques (a) et numériques (b)
Liste des stratégies de conception pour maximiser la sécurité et la fiabilité
Vous trouverez ci-dessous une liste générale des éléments de conception à prendre en compte pour renforcer la sécurité et la protection des dispositifs médicaux ou de tout autre dispositif qui pourrait en avoir besoin.
- • Une sécurité intégrée (courante dans les MCU haut de gamme modernes) avec authentification et une mémoire externe dédiée pour les données et les journaux confidentiels des patients
- • Un circuit de supervision et d'autres composants de gestion de la puissance permettant de stabiliser les rails de tension et d'éviter les sous-tensions, les surtensions et les surintensités, en particulier pour les applications sur batterie
- • Une incorporation de fusibles réinitialisables pour contribuer à la protection des circuits critiques
- • Une incorporation de ferrites et de suppresseurs ESD pour les connexions hors carte afin de contribuer à la protection contre les bruits de haute fréquence et les transitoires parasites
- • Redondance sur les composants critiques
- • Des stratégies de disposition des circuits imprimés qui permettent de minimiser l'impact des conditions environnementales ou locales, notamment la température ou les interférences électromagnétiques potentielles
- • Un filtrage des connexions de capteurs qui sont échantillonnées à des débits de données élevés pour faciliter le lissage et le calcul de la moyenne des données
- • Des routines d'étalonnage occasionnelles pour les composants programmables dont les gains ou les décalages peuvent fluctuer dans le temps
- • Des verrouillages électriques lors de l'utilisation de composants potentiellement dangereux tels que des lasers ou des moteurs
Matrice des dangers et des risques
Une matrice des risques (illustrée à la figure 3) peut être utilisée pour favoriser une conception robuste et à faible risque ; elle est généralement utilisée pour constituer un dossier solide pour un produit sûr et fiable dès le lancement. Une matrice de risque typique énumère chaque danger potentiel raisonnable dans un système, évalue ce danger en termes d'impact, de gravité, de probabilité et d'occurrence, et évalue si ce danger est acceptable en fonction de ces valeurs.
Même si certains dangers sont acceptables, il peut être intéressant de contrôler le risque afin d'atténuer les dommages ou leur apparition, mais il s'agit avant tout de souligner chaque point de défaillance susceptible d'entraîner des dommages (pour l'utilisateur ou le système), et comment il sera contrôlé ou géré pour atteindre un niveau de risque acceptable. Le résultat de ces mesures de contrôle des risques conduit généralement à des tâches de conception telles que le renforcement de la protection, de la redondance et des capacités de récupération du système. Certaines tâches peuvent même simplement permettre de « concevoir selon la norme IEC 60601 » pour faire face au risque associé.
Figure 3. Matrice de traçabilité des dangers pour la gestion des risques d'un dispositif médical
Conclusion
Il est certain que les dispositifs médicaux exigent plus de rigueur et de planification dans leur conception qu'un produit normal, mais cela peut varier considérablement en fonction de la classification et de l'application du produit. Bien que la norme IEC 60601 constitue un guide précieux, le fait de disposer d'un processus de gestion des risques permettant de suivre les dangers potentiels et de décrire la manière dont ils sont maîtrisés peut grandement contribuer à constituer un dossier pour un produit acceptable, tout en aidant les concepteurs à optimiser la sécurité et la fiabilité du dispositif.
Références:
Illustration de la figure 2a : Article — « The Evolution of Pacemakers » - par S. Haddad, R. Houben, W. A. Serdijin
Illustration de la figure 2b : Article — « Design of Wavelet-Based ECG Detector for Implantable Cardiac Pacemakers » - par Y. Min, H. K. Kim, Yu-Ri Kang, Gil-Su Kim, J. Park et S. Kim
Illustration de la figure 3 : Website - https://medicaldevicehq.com/fmea-vs-iso-14971/
