常見問答：醫療器械的功能安全

什么是功能安全？
通常來說，功能安全針對醫療器械功能可能造成的危害。依據IEC 61508，安全相關系統能夠執行必要的動作，使受控設備（EUC）達到安全狀態或保持安全狀態。
我們何時可以采用功能安全？
我們應在以下情況下采用功能安全：

a.一項重大風險與醫療器械的某項功能有關，或

b.產品具體標準包含明確的功能安全相關要求。
重大風險是指，在采取風險緩解措施前存在不可接受的功能相關風險，或功能風險的嚴重性高（例如，導致死亡或造成嚴重傷害）。

假定高嚴重性風險發生的概率極低，但在采取風險緩解措施前，可能造成可接受的風險，則有必要采取第二種辦法。另外，我們需要質疑發生概率低的證據，并對這些功能進行深入研究。

微控制器故障發生概率很低，所以即使不采取緩解措施，風險也可接受，這是一個典型案例。
為什么確保功能安全很重要？
通過開展風險分析和制造功能安全的醫療器械，公司可從提高市場認可和積極的品牌關聯中獲益。無法確保功能安全會帶來嚴重后果。
功能安全原則
以下六項是功能安全評估的基礎：

首次隨機硬件故障可能會在任何位置任何時間出現。
首次失效不應造成不可接受的風險。
若操作員認為首次故障很明顯，則不能再使用該醫療器械，且要對其進行修理（操作手冊！）。程序結束。
若首次故障無法檢測，則假定一段時間后（MFOT*）發生二次故障。
首次和二次故障造成的綜合影響不應引起危害。
程序結束。注：在電動醫療器械的典型生命周期內，通常假設不會發生三次獨立的隨機硬件故障（僅適用于功能安全）。

什么是多故障發生時間（MFOT）？
多故障發生時間是指，在這段時間，兩次獨立故障會被忽視。

對于有些產品，MFOT定義見相應的標準。比如，對于輸注泵，MFOT是指一次性耗材的更換時間。值得指出的是有些標準中沒有這一定義。但是，通常多故障發生時間被假定為一個處理療程（若處理時間不長），例如一天一次。

對于簡單的部件，若客觀證據表明其可靠性高，則多故障發生時間可能會延長（例如，在常規的安全檢驗過程中，高可靠性緊急停止按鈕可能需要一年測試一次）。
什么是平均故障間隔時間（MTBF），或平均無故障時間（MTTF）？
平均故障間隔時間是指，兩次故障之間的平均時間。平均無故障時間是發生故障前（首次）的平均時間。這些事件在這些時間點發生的概率約為50%。這些時間明顯長于多故障發生時間（例如，系數為100）。
什么是容錯時間（FTT）？
容錯時間是指錯誤在演變成危險前持續的時間。與多故障發生時間相比，容錯時間與危害有關。
為什么需要進行自檢？
醫療器械自檢有助于用戶看到或檢測暗藏的首次故障。如故障可見，遵循第3點原則。
需要多久執行一次醫療器械自檢？
自檢時間間隔比多故障發生時間(MFOT)短。
哪種架構適合履行功能安全？
最常見的系統架構及其功能安全的適用性和要求如下表所述。功能控制系統（與功能安全有關）標記為“C”，保護系統標記為“P”。

以下是簡化后的早產兒恒溫箱部件的示例。示例中給出的危害是溫度過高（41℃以上）。控制系統應控制溫度，例如，采用閉合的電路控制器。溫度達到41℃時，保護系統會將加熱器關閉。.*備注：未顯示系統中的其它部件，例如傳感器。

簡易架構	適合性和要求
	純控制系統（C） “不適合” 純控制系統（C）不適合功能安全要求，因為違反了第2)項原則。
	控制系統 + 獨立關閉路徑（C + WD） “可接受” 自檢要求： ——依據IEC 61508，在容錯時間內和“中等”類別進行“C”自檢。 ——依據IEC 61508，在多故障發生時間內和“簡單”類別進行監視器 + 關閉路徑自檢，或作為黑匣子進行功能自檢。帶附加監視器的控制系統可接受。但是，這難以實現，因為控制系統的總體功能必須在容錯時間內進行檢測。此外，自檢深度也在加強（依據IEC61508，“中等”類別）。監視器包括其關閉路徑需要在多故障發生時間內完成檢測。在純物理通道內采用不同的（非冗余）控制和保護系統可以減少自檢需要。每個硬件故障不會以同樣的方式影響到兩個通道，即可形成多樣化。上述高強度自檢還涵蓋潛在的共態故障檢測。
	控制系統 + 保護系統（CP） “標準工況” 自檢要求： ——依據IEC 61508，在多故障發生時間內和“簡單”類別進行“P”自檢。自檢可根據部件逐一進行，或作為黑匣子進行功能檢測。帶保護系統的控制系統和獨立的保護系統廣泛用于功能安全中。保護系統需要在多故障發生時間內檢測（依據IEC 61508，“簡單”類別，或者作為黑匣子）。
	控制系統 + 保護系統（CPP） “不可能執行自檢時采用這種架構” 自檢要求： ——無帶兩個獨立保護系統的控制系統無需執行任何自檢。這種架構通常在不能執行自檢時使用，例如用于過壓保護。
	硬件中含控制系統與保護系統（CP在硬件中） “復雜工況” 自檢要求： ——控制器（C和P）的自檢級別取決于C和P的多元化 ——依據IEC 61508，在多故障發生時間內和“簡單”類別進行監視器 + 關閉路徑的自檢，或作為黑匣子進行功能自檢。