Die Normen schreiben vor, dass ein lebenserhaltendes Medizingerät im Erstfehlerfall, nach dem Auftreten des Fehlers, weiterhin akustisch alarmieren kann. Zum Beispiel die ISO 80601-2-84 für Notfallbeatmungsgeräte verlangt noch mindestens 120 Sekunden. Dies erfordert neben einem redundanten Alarmsystem auch eine redundante Energieversorgung, üblicherweise in Form einer Batterie, Akkus oder Superkondensators (EDLC). Die Anforderung an die Energieversorgung muss von Anfang an im Design berücksichtigt werden, um eine teure Nachrüstung zu vermeiden. Dabei kann es bereits bei der Definition des Wortes Redundanz zu Unsicherheiten kommen. Denn ist das Gerät für einen mobilen Einsatz spezifiziert, ist das Ausstecken der Netzversorgung kein Fehlerfall, sondern eine normale Anwendung. Somit werden zwei unabhängige interne Energiequellen benötigt. Darf zudem ein Akku im Betrieb ausgetauscht werden, kann die Risikobetrachtung unter Umständen sogar drei interne Speicher erfordern.
Tücken bei der Umsetzung erkennen und vermeiden
Mehrere unabhängige Energiequellen zu besitzen, ist eine nötige, aber noch lange keine hinreichende Bedingung, um auch im Erstfehlerfall das Alarmsystem mit Strom versorgen zu können. Denn gerade Backupsysteme verwenden naturgemäß Energie jeder verfügbaren Quelle wie Netzteil, Akku oder Superkondensator. Ist die Zusammenführung der Quellen falsch ausgeführt, zum Beispiel mit einfachen Dioden, kann ein Kurzschluss im Backupsystem auch alle Quellen kurzschließen. Hier ist darauf zu achten, dass auf jedem Pfad eine eigene Strombegrenzung implementiert wird, um den fehlerhaften Teil vom System abzukoppeln und einen totalen Blackout zu vermeiden. Zudem muss die Strombegrenzung schnell genug reagieren, bevor sekundäre Systeme wie die Schutzschaltung des Akkus eingreifen.
Wechsel zwischen den Energiequellen berücksichtigen
Weitere Stolperfallen sind Funktionen, die im normalen Anwendungsfall nicht verwendet und deshalb bei der Fehleranalyse oft vergessen werden. Zum Beispiel soll der Power Manager das System ausschalten und neu starten können, falls die Software nicht mehr reagiert und das reguläre Ausschalten über den Touchscreen nicht mehr funktioniert. Der von Consumerprodukten bekannte und gerne verwendete Trick, den Einschaltknopf 10 Sekunden gedrückt zu halten, ist praktisch und bei einigen Power Management ICs bereits integriert. In lebenserhaltenden Medizingeräten kann dies jedoch tödlich sein. Denn es reicht ein defekter Taster, Buffer oder IO-Pin, um das ganze System zurückzusetzen – je nach Implementation sogar ohne Alarm. Auch Anwendungsfehler sind zu beachten. Wird das Gerät gegen eine Wand geschoben, kann der Taster unbemerkt dauerhaft betätigt werden.
Fällt eine Energiequelle unerwartet aus, muss das Power Management sehr schnell umschalten, damit die Systemspannung nicht zu weit absinkt. Bei suboptimaler Umsetzung sind große Kondensatoren erforderlich, um die Pause zu überbrücken. Kondensatoren im Millifarad-Bereich sind jedoch nicht nur teuer, sondern benötigen auch Platz, der im mechanischen Design oft nicht eingeplant ist. Grund dafür: Das Verhalten kann erst mit dem lauffähigen Prototyp festgestellt werden. Bis dahin ist das mechanische Design meist weit fortgeschritten.
Zudem müssen die Kondensatoren auch wieder geladen werden. Geschieht dies zu schnell, wird kurzzeitig mehr Energie verbraucht als im normalen Betrieb. Die muss ebenfalls berücksichtigt werden , um nicht eine Überstrombegrenzung zu triggern. Ein Hot Swap von Akkus, also ein Akku-Tausch im laufenden Betrieb, erzeugt große Stromspitzen, die durch lange Leitungen oder Filterinduktivitäten ihrerseits große Spannungsspitzen erzeugen. Ohne Varistor oder gleichwertige Schutzelemente kann die maximal zulässige Versorgungsspannung überschritten werden – mit katastrophalen Folgen.
Zuverlässigkeit und Resilienz – durchdachtes Design hilft
Doch auch das auf dem Papier ideale Design ist im Alltag unbrauchbar, wenn die Schaltung nach nur wenigen Jahren den Dienst versagt. Bauteile wie Akkus, Super- und Elektrolytkondensatoren haben eine begrenzte Lebensdauer, die stark von der Temperatur beeinflusst wird. Zum Beispiel halbiert sich die Lebensdauer eines Superkondensators pro 10 °C höherer Temperatur. Hier hilft ein durchdachtes thermisches Design, um die kritischen Bauteile direkt mit der kühlen Umgebungsluft zu umströmen und nicht die warme Abluft von einem Prozessor oder anderen Leistungsbauteilen zu verwenden.
Gerade bei Elektrolytkondensatoren kommt hinzu, dass diese für die beste Wirksamkeit möglichst nahe an einer Last wie einem DC/DC-Wandler platziert werden sollten. Erwärmt sich der DC/DC- Wandler im Betrieb, ist dieser über das PCB thermisch mit dem Kondensator verbunden, wodurch die Arbeitstemperatur des Kondensators weit über die Umgebungstemperatur ansteigen kann.
Auch sollte das Design möglichst resilient gegenüber Anwenderfehlern sein. So kann es durchaus vorkommen, dass zum Beispiel verschmutzte Filtermatten nicht gereinigt oder einfach entfernt werden. Dadurch kann sich Staub und Schmutz auf der Leiterplatte ansammeln, welcher je nach Umgebung leitfähige Partikel enthält oder durch zu hohe Luftfeuchtigkeit leitfähig wird. Eine Beschichtung mit Lack für die kritischen Stellen kann hier Abhilfe schaffen.
Die hier aufgezeigten Grundsätze sind nur ein selektiver Auszug aus den Anforderungen der IEC 60601-1 und den produktspezifischen Normen. Je nach Geräteklasse und Land können weitere Anforderungen hinzukommen oder wegfallen. Auf jeden Fall lohnt sich eine ausführliche Normenrecherche, bevor das Power-Management-Konzept erstellt wird.
Weitere Informationen
Zum Schweizer Partner für die Beratung, Konzepterstellung, Produktentwicklung und Regulatory Services von innovativen Medizingeräten:
www.imt.ch
