طراحی برد کنترل و معماری ارتباطی تجهیزات کلینیکی؛ ایمنی، EMC و نرم‌افزار
مقدمه
برد کنترل، ورودی‌های کاربر و حسگرها را دریافت می‌کند، خروجی عملگرها را مدیریت می‌کند و وضعیت تجهیزات کلینیکی را نمایش می‌دهد. معماری ارتباطی می‌تواند یک برد مرکزی، چند ماژول توزیع‌شده یا ترکیبی از هر دو باشد. انتخاب باید بر پایه الزامات عملکردی، ایمنی، قابلیت سرویس، توسعه‌پذیری، محیط الکترومغناطیسی و چرخه عمر نرم‌افزار انجام شود. تمرکز صرف بر پردازنده یا تعداد ورودی‌وخروجی، تصویر ناقصی از سامانه می‌دهد.
تعریف ورودی و خروجی
فهرست I/O باید شامل کلیدها، پدال، حسگر فشار و موقعیت، موتور، شیر، پمپ، نمایشگر، هشدار و رابط‌های جانبی باشد. برای هر سیگنال، سطح ولتاژ، محدوده، نرخ نمونه‌برداری، دقت، وضعیت عادی، رفتار در قطع سیم و نیاز ایزولاسیون ثبت شود. خروجی موتور ممکن است جریان بالایی داشته باشد و نیازمند درایور مجزا، حفاظت اضافه‌جریان و دفع حرارت باشد. ورودی حسگر ضعیف باید از نویز سوئیچینگ و کابل موتور محافظت شود.
برد مرکزی ساده‌تر می‌تواند هزینه قطعه و هماهنگی را کاهش دهد، اما در صورت خرابی، چندین کارکرد از دسترس خارج می‌شوند. معماری توزیع‌شده، ماژول‌ها را مستقل‌تر و سیم‌کشی را گاهی کوتاه‌تر می‌کند، ولی ارتباط شبکه، مدیریت نسخه، عیب‌یابی و سازگاری را پیچیده می‌سازد. تصمیم باید با تحلیل خرابی و نیاز سرویس پشتیبانی شود.
تغذیه، حفاظت و طراحی PCB
منبع تغذیه باید ولتاژهای مورد نیاز منطق، حسگر، نمایشگر و عملگر را در شرایط بار گذرا تأمین کند. جداسازی حوزه‌های پرتوان و کم‌نویز، مسیردهی صحیح زمین، فاصله عایقی و مهار انرژی گذرا اهمیت دارند. درایورهای موتور، رله‌ها و شیرهای القایی می‌توانند ولتاژ برگشتی و نویز ایجاد کنند؛ دیود هرزگرد، TVS، فیلتر یا اسنابر بسته به طراحی لازم می‌شود. اضافه‌کردن حفاظت بدون توجه به زمان پاسخ و مشخصات بار ممکن است خود عملکرد را مختل کند.
طراحی PCB باید مسیر جریان، حلقه سوئیچینگ، حرارت، فاصله از لبه‌ها، پوشش محافظ و مقاومت در برابر رطوبت را در نظر بگیرد. اتصال‌دهنده‌ها باید کدگذاری و مهار مکانیکی داشته باشند. نقاط آزمون برای سرویس مفیدند، اما نباید خطر تماس ناخواسته یا آلودگی بسازند. طراحی باید با فرآیند ساخت واقعی، تلرانس قطعات و امکان بازرسی نوری سازگار باشد.
ارتباطات و توپولوژی
ارتباط داخلی می‌تواند UART، CAN، RS-485، Ethernet یا پروتکل اختصاصی باشد. معیار انتخاب شامل فاصله، نرخ داده، مقاومت در برابر نویز، توپولوژی، تشخیص خطا، تأخیر و ابزارهای عیب‌یابی است. پروتکل باید قالب پیام، شناسه گره، شمارنده، checksum یا CRC، زمان‌بندی، timeout و رفتار بازیابی را تعریف کند. پیام‌های فرمان حرکت و وضعیت ایمنی نباید با داده‌های کم‌اولویت مانند ثبت رویداد در صفی نامحدود معطل شوند.
قطع ارتباط باید به حالت تعریف‌شده برسد. کنترلرهای فرعی باید ارتباط منقضی‌شده را تشخیص دهند و خروجی‌هایشان را به وضعیت امن ببرند. watchdog، تشخیص brownout و راه‌اندازی امن مانع قفل دائمی می‌شوند؛ اما بازنشانی مکرر باید ثبت و به کاربر یا سرویس اطلاع داده شود. آزمون خطا باید شامل نویز، قطع کابل، اتصال کوتاه، پیام ناقص و نسخه ناسازگار باشد.
نرم‌افزار و امنیت عملکرد
نرم‌افزار تعبیه‌شده باید حالت‌های عملیاتی و خطا را صریح مدل کند. مدیریت اولویت وقفه، زمان‌بندی وظایف، حد سرعت و جلوگیری از بازپخش فرمان ناخواسته اهمیت دارند. به‌روزرسانی firmware باید نسخه‌پذیر، قابل بازیابی و مورد تأیید باشد. تغییر نرم‌افزار می‌تواند رفتار ایمنی را تغییر دهد و نیازمند کنترل تغییر و آزمون رگرسیون است. IEC 62304 فرآیندهای چرخه عمر نرم‌افزار تجهیزات پزشکی را تعریف می‌کند؛ طبقه‌بندی و الزامات عملی باید با محصول و بازار مقصد تعیین شوند.
اگر ارتباط بیرونی یا شبکه‌ای وجود دارد، احراز هویت، به‌روزرسانی امن، ثبت رخداد و محدودکردن دسترسی به پورت‌های سرویس مهم‌اند. حتی در محصول آفلاین، دسترسی فیزیکی به رابط برنامه‌ریزی باید مدیریت شود. حفاظت امنیتی نباید عملکرد بالینی ضروری را در شرایط خطا غیرقابل دسترس کند؛ طراحی باید سناریوهای پشتیبانی و بازیابی را نیز تعیین کند.
EMC و ایمنی الکتریکی
برد در مجاورت موتور، منبع تغذیه سوئیچینگ، رادیو و تجهیزات دیگر کار می‌کند. ایمنی و EMC باید از مرحله طرح‌ریزی PCB تا محصول نهایی در نظر گرفته شود. جداکردن مسیرهای حسگر از جریان موتور، زمین‌بندی ستاره‌ای یا صفحه مرجع مناسب، فیلتر ورودی، شیلد کابل و طراحی بازگشت جریان به کاهش مشکلات کمک می‌کنند. راهکار نهایی باید در آزمون محصول ارزیابی شود، زیرا طول کابل، محفظه و اتصال به شاسی اثر دارند.
IEC 60601-1 الزامات عمومی ایمنی پایه و عملکرد ضروری را ارائه می‌دهد و IEC 60601-1-2 به EMC تجهیزات الکتریکی پزشکی می‌پردازد. استاندارد اختصاصی و مقررات بازار نیز باید بررسی شوند. انطباق یک برد به‌تنهایی، انطباق دستگاه کامل را تضمین نمی‌کند.
قابلیت تولید و سرویس
نقاط آزمون، LEDهای تشخیصی با معنا، کانکتورهای قطبی‌شده، شناسه نسخه سخت‌افزار و امکان تعویض ماژول، سرویس را بهبود می‌دهند. عیب‌یابی باید به تکنسین بگوید مشکل در تغذیه، حسگر، ارتباط یا عملگر محتمل است، بدون آنکه اطلاعات گمراه‌کننده ارائه کند. لاگ خطا باید زمان، کد و زمینه رخداد را ثبت کند و از ذخیره اطلاعات بیمار غیرضروری اجتناب کند.
قطعات منسوخ‌شونده و چرخه تأمین تراشه‌ها باید در طراحی لحاظ شوند. جایگزینی قطعه یا سازنده می‌تواند مشخصه EMC، گرما یا رفتار نرم‌افزار را تغییر دهد؛ تغییر باید با ارزیابی اثر و آزمون مناسب همراه باشد. برنامه تولید نیز شامل کنترل ورودی، آزمون ICT یا functional test و رهگیری سری ساخت است.
راستی‌آزمایی و مدیریت ریسک
آزمون برد شامل دقت ورودی‌ها، عملکرد خروجی‌ها، شرایط حدی ولتاژ، دما، نویز، قطع ارتباط، brownout، اتصال کوتاه کنترل‌شده، ایمنی الکتریکی و EMC است. آزمون باید روی سخت‌افزار و نرم‌افزار نهایی انجام شود. معیار پذیرش و نسخه فایل طراحی ثبت شوند. تحلیل خطر مطابق ISO 14971 خرابی حسگر، درایور، ارتباط و نرم‌افزار را به پیامد کاربر و کنترل ریسک پیوند می‌دهد.
منابع مکمل در سایت: طراحی سامانه کنترل صندلی، انتخاب سنسور فشار و دبی و معماری مهندسی یونیت.
جمع‌بندی
برد کنترل قابل اتکا از تعریف روشن I/O، معماری مقاوم ارتباطی، جداسازی توان و سیگنال، مدیریت خطا، طراحی EMC، چرخه عمر نرم‌افزار و آزمون نهایی به دست می‌آید. تصمیم‌های طراحی باید ردیابی‌پذیر باشند و تغییرها کنترل شوند. این مقاله آموزشی است و جایگزین طراحی محصول منطبق یا آزمون آزمایشگاهی نیست.