Problemi e verifiche dei dispositivi medici moderni

Lo standard base per le apparecchiature elettromedicali, IEC 60601-1, garantisce che tutti i prodotti elettrici, anche se commercializzati in mercati e paesi diversi, siano comunque conformi ad alcune regole fondamentali per quanto riguarda sicurezza ed efficacia. Questo standard è costituito da un insieme universale di requisiti di sicurezza e, sebbene la maggior parte dei paesi ne abbia adottato una propria versione, include essenzialmente lo stesso contenuto di base per quanto riguarda varie aree dell'elettronica e delle applicazioni.

Tuttavia, per progettare un dispositivo medico, è necessario fare molto di più che seguire semplicemente uno standard IEC. Questo articolo esaminerà lo standard IEC 60601 e i suoi obiettivi nel passato, nel presente e nel futuro.

Breve panoramica dello standard IEC 60601

Gli standard IEC esistono da più di 80 anni e il primo standard conteneva il vocabolario elettrotecnico (ora denominato Electropedia). Lo standard IEC 60601 originale venne pubblicato dalla Commissione elettrotecnica internazionale (IEC) nel 1977, quando l'elettronica stava iniziando a svolgere un ruolo importante nelle cure e nella strumentazione medica. Una seconda revisione, incentrata maggiormente sulla sicurezza dei pazienti, venne pubblicata nel 1988, mentre con la terza edizione, pubblicata più recentemente, nel 2005, le apparecchiature e la protezione dei pazienti divennero ancora più rigorose.

Sebbene il rispetto di questi standard attraverso test e sviluppo possa aiutare a portare un dispositivo medico sul mercato, non si tratta di una garanzia. Probabilmente la fase più dispendiosa in termini di tempo e costi è quella che consente di ottenere l'approvazione da parte della FDA (o agenzia equivalente al di fuori degli Stati Uniti) attraverso studi clinici che forniscono una dimostrazione dell'efficacia complessiva del dispositivo.

La maggior parte delle aziende che sviluppano e producono dispositivi medici seguono un sistema di controllo della progettazione generale che prevede:

• 1.  Uno studio di sostenibilità e l'individuazione di requisiti degli utenti guidati da ricerche di mercato
• 2.  Requisiti di progettazione per soddisfare i requisiti degli utenti
• 3.  Una verifica del progetto che lo testa e garantisce che soddisfi i requisiti di progettazione
• 4.  Una convalida del progetto che lo testa e garantisce che soddisfi i requisiti degli utenti
• 5.  Un trasferimento del progetto alla produzione e quindi il lancio del prodotto

Per i dispositivi medici, tuttavia, ci sono di solito alcuni elementi speciali che vengono inseriti in queste fasi, tra cui:

• •  La progettazione di dispositivi elettronici conformi agli standard IEC 60601 e, in seguito, i test in base a questi standard durante le fasi di verifica e convalida
• •  Un processo di gestione dei rischi che mette in evidenza i potenziali pericoli e il modo in cui vengono controllati
• •  L'esecuzione di una prova e la registrazione di dati sufficienti a creare un fascicolo da presentare alla FDA per garantire che il prodotto è sicuro e pronto per il lancio

Mentre il terzo punto dell'elenco si concentra maggiormente sulle sperimentazioni con i pazienti e sulla relativa documentazione, è importante che i progettisti della parte elettrica comprendano i primi due punti, poiché sono questi che, in sostanza, guidano il processo di progettazione e tutti gli ulteriori livelli di protezione. E, a seconda della classe del dispositivo, la protezione può essere piuttosto ampia.

Classi dei dispositivi medici

Esistono tre possibili classificazioni per un dispositivo medico in base al rischio complessivo associato al suo utilizzo. La Classe I ha il livello di rischio più basso, mentre la Classe III prevede il rischio più elevato e necessita una richiesta di Autorizzazione Temporanea di Utilizzazione (PMA, pre-market approval) prima del lancio. L'attenzione alla progettazione per quanto riguarda la sicurezza è massima per un dispositivo di Classe III e può consistere in diversi livelli di ridondanza e protezione, mentre la Classe I richiede meno precauzioni e una gestione dei rischi meno impegnativa.

I dispositivi medici di Classe I sono in genere apparecchiature o accessori medici non invasivi, molti dei quali sono spesso utilizzati a casa, come cerotti, mascherine, abbassalingua o termometri (anche se, in base all'accuratezza e al fatto che sia elettronico o meno, questo dispositivo può rientrare nella Classe II).

La maggior parte dei dispositivi medici di Classe II vengono utilizzati per diagnosi o trattamenti e hanno un livello più elevato di gestione del rischio o di potenziale danno. Esempi di dispositivi medici di Classe II sono i glucometri, i misuratori della pressione sanguigna, le pompe per siringhe o qualsiasi altra strumentazione minimamente invasiva.

I dispositivi medici di Classe III hanno il livello più elevato di gestione del rischio. Tra gli esempi sono incluse apparecchiature impiantabili e di sostegno vitale e dispositivi elettronici che monitorano e trasmettono stato di salute e informazioni critiche. Per immettere tali dispositivi medici sul mercato è necessaria la conformità allo standard IEC 60601, ma, oltre a questo standard, occasionalmente si devono considerare ulteriori precauzioni (derivanti dalla gestione dei rischi o dalla progettazione generale per garantire affidabilità/sicurezza).

Esempi di dispositivi medici di Classe II e III

È molto raro che un dispositivo medico di Classe I contenga componenti elettronici, quindi passiamo agli esempi di dispositivi di Classe II e III. Per il nostro esempio di dispositivi di Classe II, esamineremo un termometro. Un'errata diagnosi della temperatura può essere significativa, quindi diamo un'occhiata ad alcune delle funzionalità comuni che garantiscono sicurezza e affidabilità nella progettazione di un termometro.

Innanzitutto, la maggior parte dei termometri sono digitali e quindi contengono uno schermo/display o almeno un qualche metodo per trasmettere i dati a distanza. Se è così, è lecito supporre che nel dispositivo sia integrato un microcontroller.

La Figura 1a mostra il funzionamento interno del nucleo di un tipico termometro, con alcuni livelli di protezione aggiunti. Per la conversione da analogico a digitale, è possibile utilizzare l'ADC interno di un microcontroller (MCU) o un ADC esterno. Dato che gli ADC esterni sono in grado di raggiungere una risoluzione maggiore (e supponendo che si desideri una risoluzione di almeno 16 o 24 bit) e gli ADC interni agli MCU sono noti per la necessità di una calibrazione aggiuntiva, abbiamo integrato un ADC esterno con una tensione di riferimento precisa.

Un'altra cosa da considerare per questo ADC è che può essere influenzato dalla temperatura ambiente, quindi è meglio che sia fisicamente isolato sul PCB tramite slot (come mostrato nella Figura 1b) per ridurre al minimo la deriva termica per applicazioni ad alta sensibilità/accuratezza. Per la parte di rilevamento analogico, il filtraggio passa basso può aiutare con il livellamento e la media dei dati, mentre la ferrite sui segnali del termistore può aiutare a respingere il rumore ad alta frequenza e l'accoppiamento induttivo vicino. Per i sistemi che richiedono una maggiore affidabilità si possono utilizzare dei termistori ridondanti. È possibile aggiungere un supervisore di reset per garantire una funzione di blocco (o reset) da sottotensione che assicura che il microcontroller (e le sue periferiche) vengano utilizzati solo quando sufficientemente alimentati e stabili, fornendo così protezione da letture false o imprecise. Infine, la parte di un termometro che effettua il trasferimento del calore è un elemento fondamentale e può richiedere offset e calibrazione aggiuntiva (dopo l'assemblaggio fisico) a causa della perdita termica durante il trasferimento del calore corporeo al termistore.

Figura 1a                                                                                 Figura 1b

Figura 1. Esempio di a) Progetto di termometro digitale con caratteristiche per protezione, sicurezza e affidabilità aggiuntive e b) Strategia di layout PCB per ridurre al minimo la deriva termica di un ADC (U6)

Per l'esempio di dispositivi di Classe III, esamineremo un pacemaker. I pacemaker esistono da un po' di tempo - 60 anni per essere precisi. Quello che all'epoca era iniziato come un progetto semplice, basato su circuiti analogici (Figura 2a) si è oggi trasformato in un progetto molto complesso basato su circuiti digitali, con analisi e generazione di segnali avanzate (Figura 2b). Dal punto di vista della sicurezza e dell'affidabilità, i comuni circuiti analogici presentano meno rischi rispetto ai componenti digitali programmabili a causa dei potenziali bug e delle macchine a stati complesse. Tuttavia, vale la pena notare che i recenti progetti digitali presentano componenti integrati con ADC a elevata accuratezza per misurazioni di rilevamento ECG e DAC per la generazione di impulsi. Ciò può fornire funzioni di pace-making molto efficaci e regolabili con feedback a ciclo chiuso. Tuttavia, come nella maggior parte delle applicazioni, quasi tutta l'affidabilità del progetto deriva dalla frazione analogica, che è composta da filtri, preamplificatori ben progettati, timer e oscillatori dedicati e dall'integrazione di strategie di layout PCB per ridurre al minimo rumore, accoppiamento e deriva termica.

Figura 2a                                                                                 Figura 2b

Figura 2. Esempi di progetti di pacemaker a) analogico e b) digitale

Elenco di strategie di progettazione per massimizzare sicurezza e affidabilità

Di seguito viene riportato un elenco generale di considerazioni di progettazione per garantire maggiore sicurezza e protezione per i dispositivi medici o per qualsiasi altro dispositivo che potrebbe averne necessità.

• •  Sicurezza integrata (comune negli odierni MCU di fascia alta) con autenticazione e memoria esterna dedicata per dati riservati e registrazioni relative ai pazienti
• •  Circuiti supervisori e altri componenti di gestione della potenza che aiutano fornendo terminali di tensione stabili ed evitano condizioni di sottotensione, sovratensione e sovracorrente, soprattutto nel caso di applicazioni alimentate a batteria
• •  Integrazione di fusibili resettabili per contribuire alla protezione dei circuiti critici
• •  Integrazione di ferriti e soppressori ESD per connessioni fuori scheda per contribuire alla protezione dal rumore ad alta frequenza e dai transienti vaganti
• •  Ridondanza di componenti critici
• •  Strategie per il layout PCB che contribuiscono a ridurre al minimo l'impatto delle condizioni ambientali o locali, come la temperatura o potenziali interferenze elettromagnetiche
• •  Filtraggio delle connessioni dei sensori che vengono campionate a rate dati elevati per facilitare il livellamento e il calcolo della media dei dati
• •  Routine di calibrazione occasionali per componenti programmabili che nel tempo possono subire variazioni di guadagni o offset
• •  Sistemi interbloccati quando si utilizzano componenti potenzialmente non sicuri come laser o motori

Pericoli e matrice di rischio

È possibile usare una matrice di rischio (illustrata nella Figura 3) per favorire una progettazione robusta e a basso rischio e tale matrice viene in genere utilizzata per determinare le caratteristiche che garantiranno un prodotto sicuro e robusto al momento del lancio. Una tipica matrice di rischio elenca ogni ragionevole rischio potenziale di un sistema, valuta tale rischio in termini di impatto/gravità, probabilità/occorrenza e, in base a tali valori, determina se quel rischio è accettabile.

Anche se alcuni pericoli sono accettabili, potrebbe comunque essere utile controllare il rischio per mitigarne il danno o l'occorrenza, ma lo scopo è indicare ogni punto di guasto che può portare a un danno (per l'utente o il sistema) e stabilire come sarà controllato o gestito per comportare un rischio accettabile. Il risultato di queste misure di controllo del rischio porta in genere ad attività di progettazione per garantire protezione aggiuntiva, ridondanza e ripristino del sistema. Alcune attività possono anche essere indicate semplicemente con "progettazione secondo lo standard IEC 60601" per rispondere al rischio ad essa associato.

Figura 3. Matrice di tracciabilità del pericolo per la gestione dei rischi per un dispositivo medico

Conclusione

I dispositivi medici richiedono sicuramente più rigore progettuale e pianificazione rispetto a un normale prodotto, ma possono essere molto diversi a seconda della classificazione e dell'applicazione. Anche se lo standard IEC 60601 è un'utile linea guida, disporre di un processo di gestione del rischio per tenere traccia dei potenziali pericoli e descrivere come vengono controllati può essere di grande aiuto nella determinazione della caratteristiche per un prodotto accettabile, aiutando anche i progettisti a massimizzare sicurezza e affidabilità.

Riferimenti:

Immagine figura 2a: articolo – "The Evolution of Pacemakers" - di S. Haddad, R. Houben, W. A. Serdijin
Immagine figura 2b: Articolo – "Design of Wavelet-Based ECG Detector for Implantable Cardiac Pacemakers" - di Y. Min, H. K. Kim, Yu-Ri Kang, Gil-Su Kim, J. Park, and S. Kim
Immagine figura 3: sito Web – https://medicaldevicehq.com/fmea-vs-iso-14971/