e-OHTAMA, LTD.

IEC 60601-1-2 とリスク・マネジメント
株式会社 e・オータマ

佐藤智典

2018 年 12 月 11 日

目次
1

概要

1

2

実施の方法

2

3

試験前の分析/検討の仮想的な例
3.1 意図する使用の同定 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
3.2 リスク・アセスメントの方法 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
3.2.1 影響度の分類 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
3.2.2 発生頻度の分類 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
3.2.3 リスク・マトリックス . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
3.3 FMEA による評価とリスク・コントロール . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
3.3.1 リスクの分析と評価 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
3.3.2 リスク・コントロール . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
3.4 基本性能の同定 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
3.5 試験時の動作モード と判定基準の決定 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
3.6 イミュニティ試験項目と試験レベルの決定 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

8
8
9
9
9
9
11
11
11
13
13
16

4

参考資料

16

1

概要
IEC 60601-1-2:2014[1][4] ではリスク・マネジメントの役割が極めて重要となっており、規格の様々な箇所

でリスク・マネジメントやリスク・アセスメントの適用に言及されている。このリスク・マネジメントは、設計された製品の適合性評価を行なう際に初めて考えるものではなく、製品の古典的な安全性などに関するリスク・マネジメントと同様、製品の開発から始まるライフ・サイクル全体を通じて適切に考慮すべきものとなる。
その規格への適合性の評価で必要となる電磁妨害に関する試験 (特にイミュニティ試験) もリスク・コン
トロール手段の 1 つとして行なわれるものであり、リスク・マネジメントの枠組みの中で適切に取り扱うことが必要となる。
リスク・マネジメントについては IEC 60601-1-2:2014[1] の Annex F や ISO 14971[3] で述べられているが 、適用すべき手法や基準が規定されているわけではなく、その決定は製造業者が行なうべきものとなる。
本稿では、医用機器の他の側面に関するリスク・マネジメントは既に行なわれているものと仮定し 、医用機器の電磁妨害に関連するリスク・マネジメントのための取り組みに関し 、その手法や基準の例としてここで選択した特定のものを用い、また仮想的な機器を例として、主にイミュニティ試験に関係する側面から解説する。
なお、本稿は IEC 60601-1-2 に関連してのリスク・マネジメントの理解を助けるためのガ イド として作成したものであるが 、その内容は必ずしも IEC 60601-1-2 や ISO 14971 に基づいたものではない。また、本稿で用いている手法や基準は説明の便宜のための例として用いただけのものであり、一般的に受け入れられているものというわけでも、その使用を推奨するわけでもないことにも注意していただきたい。

株式会社 e・オータマ

IEC 60601-1-2 とリスク・マネジメント
1 / 17

e-OHTAMA, LTD.

2

実施の方法
リスク・マネジメント・プロセス (図 1) の主なステップは :1. 意図する使用 (使用環境、使用者、用途、耐用期間、保守など ) の同定
意図する使用 (intended use) は、その後の作業の結果として変更 (例えば用途の制限) が必要となる場合もあるものの、製品の開発の開始の時点から開始されるリスク・マネジメントの初期段階に同定
され 、仕様の決定や機器の設計などもそれに従って進めていくことになる。

・意図する使用および医用機器の安全に関係する特性の特定・ハザードの特定・それぞれのハザード状況に対するリスクの推定

リスク・アセスメント

リスク分析

リスク評価

・リスク・コントロールの選択肢の分析
・リスク・コントロール手段の実施
・残留リスクの評価
・リスク/便益分析

リスク・マネジメント

リスク・コントロール

・リスク・コントロール手段
から生じるリスク・リスク管理の完全性

総合的な残留リスクの受容可能性の評価

リスク・マネジメント
報告書

生産時および生産後の情報
図 1: リスク・マネジメント・プロセス株式会社 e・オータマ

IEC 60601-1-2 とリスク・マネジメント
2 / 17

e-OHTAMA, LTD.
2. リスク・アセスメント (リスク分析、リスク評価)
あらかじめリスク分析やリスク評価で使用する手法やリスク受容の方針を決定しておき、それに従って評価を行なう。
リスク・アセスメントで実際に使用する手法やその評価で適用する基準、リスク受容の方針などは製造業者が決定するものであり、製造業者によって異なるものとなる可能性が高く、対象とする機器によって異なるものとなることもあるかも知れない。だが 、いずれにしてもこれは分析の開始に先立って決定し 、文書化しておくべきものとなる。†1 既に他のリスクを扱うためのリスク・マネジメント・シ
ステムを持っている場合、その枠組みの中に電磁妨害の影響を組み込むこともできるかも知れない。
リスク分析では、(a) 関係するリスク要因 (ハザード ) を洗い出し 、(b) それぞれの影響度 (危害の大きさ) や発生頻度を推定し 、(c) それに基づいてそのリスクを推定することが基本となる。
影響度や発生頻度などは客観的なデータに基づいて決定できる場合もあるものの、そのようなデータを利用できず、分析者らが何らかの方法で推定を行なうことが必要となることも多い。
通常、リスク・アセスメントは機器の設計に影響し 、機器の設計はリスク・アセスメントに影響するた
め、リスク・アセスメントやリスク・コントロールは機器の設計と並行的に行なうことが必要となる。

3. リスク・コントロール
適切なリスク・コントロール手段を以下の優先順位で 1 つ以上適用し 、危害の大きさか発生頻度を低減することで可能な限りリスクを低減する: †2(a) 可能な限りリスクを除去するか低減する (機器の設計による本質的な安全)(b) 医用機器自身かその生産プロセスにおける保護手段(c) 残留リスクの情報をユーザーに知らせ、特別な訓練や防護具が必要かど うかを示す (安全に関する情報) †3
電磁妨害を受けた時に影響を受けにくくなるように、また妨害の影響が危険側のものとなりにくいよ
うに設計すること、そしてその設計が適切に行なわれていることをインスペクションやレビューなど†1 基本的にはどこまでのリスクを受容するかは製造業者が決定することが必要となるが 、社会的に期待されるであろう水準、また他の製造業者の類似製品の水準の考慮も必要であり、いかなる場合でもその機器が与える便益 (ベネフィット ) に対してリスクが高す
ぎるものとなってはならない。期待されるリスク水準は時とともに厳しくなる (より低いリスクが求められるようになる) 傾向があり、以前は受容できるとみなすことができたリスクがもはや受容できないとみなされることもあるため、情勢の変化などに応じて適用する基準を見直すことや既存の製品のリスク・アセスメントを見直すことも必要となる。
†2 リスク・コントロール手段には優先順位があり、例えば取り除くことができる危険をそのままにして安全に関する情報で対応するのは適切ではない。また、安全に関する情報によるリスク・コントロールは有効性があまり高いものとならない可能性もある。
†3 例えば 、IEC 61000-4-2 (ESD) に関して、医療従事者がカバーを開けて清掃/消毒などを行なう際にのみ触れる可能性が予期される箇所を ESD の印加の対象から外し 、添付文書やラベルで ESD に関する注意を記載することで済ませたいと考えるかも知れない。
これを許容できる場合もあるかも知れないものの、一般にラベルなどによる注意の喚起によるリスク低減はあまり効果的ではないことも多く、それが実際にリスクに関係する可能性が予期される場合にはまずはそれよりも優先順位の高い方法でのリスク低減を検討すべきだろう。このケースでは、カバーを開けなければ接近できない箇所が ESD を受けた時やその後に問題を起こす可能性があり、その問題そのものを防ぐことができないとしても、例えば電源を切らなければカバーが開かない (また、カバーを開いた状態では電源を入れられない) ようになっていれば動作中のその箇所への ESD の影響に関しては本質的な安全によるリスク除去が、また電源を切った状態での ESD によって損傷を生じた場合でも電源投入時の自己診断で高い確度でその損傷を検知できるならばその箇所への ESDによって損傷したまま使用することに対しては医用機器自身による保護手段によってリスク低減が行なわれた状態とできそうである。

株式会社 e・オータマ

IEC 60601-1-2 とリスク・マネジメント
3 / 17

e-OHTAMA, LTD.
で机上で確認することも、電磁妨害の影響に対する有用なリスク・コントロールの手段となるだろう。
†4 †5

イミュニティ試験も電磁妨害の影響に対するリスク・コントロール手段の 1 つとして用いることができ、これはその機器が通常の使用で予期される妨害で有害な影響を受ける可能性が低そうだということを実験的に確認することでリスク評価から導かれるリスクを低減するものと考えることができる。
†6

それが適切な場合、用途や使用環境など (意図する使用) を限定すること、重要な部分に実績のある
信頼できるコンポーネントを用いることなども電磁妨害の影響に対するリスク・コントロールの手段として使用できるかも知れない。
適用するリスク・コントロール手段を決めたならば 、追加で考慮すべき要因が新たに生じないかど う
かを含め、リスク・コントロールの適用後のリスクを再評価する。
これは、リスク・コントロールを考える必要がある全ての要因について、目標が達成されるまで繰り返される。

4. 総合的な残留リスクの受容可能性の評価
図 1 で示したリスク分析、リスク評価、及びリスク・コントロールでは基本的にはリスクを個別に検討するが 、その後の「総合的な残留リスクの受容可能性の評価」ではリスクを総合的に評価し 、そのリスクを受容できないと判断される場合にはその機器は要求を満足しないものと判断する。
例えば 、個別に評価したリスクはそれほど高くないが多数あるために総合的なリスクが高くなる場合、総合的なリスクがその医用機器の便益 (ベネフィット ) に対して不相応に高い場合†7などは、その総合的なリスクは受容できないという判断となりそうである。

5. リスク・マネジメント報告書 (リスク・マネジメント・ファイル )リスク・マネジメントの記録はリスク・マネジメント・ファイルに文書化し 、継続的に維持する。リ
スク・マネジメント・ファイルは、規格でリスク・マネジメント・ファイルに含めるように要求されている事項や適合性をリスク・マネジメント・ファイルのインスペクションによって確認する旨が定められている事項は勿論、その製品のリスク・マネジメントに関連する情報全てを含むものとなる。

6. 生産時および生産後の情報
リスク・マネジメントは製品の供給を開始した後も継続する。
例えば 、期待されるリスク水準の変化、予期される環境の変化 (例えば新たな無線送信機の出現) 、生産時に得られた情報 (例えば特性のばらつきの大きさや不良率の高さなど ) 、市場からのフィード バッ
ク (例えばヒヤリ・ハットを含む事故や誤動作が疑われる事象の報告) 、保守/修理から得られた情報†4 このような設計やその確認に関しては本稿の範囲を超える。
†5 誤動作、あるいは危険側の誤動作の可能性を下げる手段の 1 つとして冗長化 (多重化) があるが 、通常は独立していると考えることができる偶発故障の影響と異なり、電磁妨害はしばしば複数の部分に同時に影響を与えるため、冗長化の効果を意図したように発揮させるためには電磁妨害が共通原因での障害を引き起こさないように配慮することが必要となる。また、冗長化された機能をイ
ミュニティ試験で評価する際には、それぞれの部分の挙動を観測する、あるいは冗長性を失わせた状態でそれぞれの機能を評価することが必要となるかも知れない。
†6 示されているイミュニティ試験レベルは妥協である、全ての現象がカバーされているわけでもない、試験を全ての使用条件で行なうわけでもない、など の理由から 、イミュニティ試験の効果は本質的に限定的なものであり、一般にそれに頼ることはできない。
IEC 60601-1-2:2014 Figure F.2 には、リスク・レベルの低減の例として、EMC 規格に対する試験が年間での死亡のリスクの推定を 10−1 から 10−2 に低減し 、それ以上の低減のためには他の手法の適用が必要となるという図が 、その値は推測であるという説明と共に示されている。
†7 どの程度のリスクを受容できるかはその医用機器の便益 (ベネフィット ) の大きさに強く影響される。製造業者のリスク受容の方針にもよるが 、便益が非常に大きい、例えば他の方法では救うことのできない患者を救える可能性が高いことが示されているのであれば 、かなりリスクが大きいとしてもそのリスクは受容できると判断されるかも知れない。一方、どのような場合でも便益に対して不相応に高いリスクは受容できないので、便益がそれほど 大きくない場合、リスク評価で全てのリスクが受容可能と判断されており、かつ総合的な残留リスクがそれほど 大きくなくても、そのリスクは受容できないという判断となるかも知れない。

株式会社 e・オータマ

IEC 60601-1-2 とリスク・マネジメント
4 / 17

e-OHTAMA, LTD.
(例えば劣化の程度、故障の頻度や内容などが予想の範囲を超えている) などに応じて、それらを考慮してリスク・アセスメントを見直すことが必要となるかも知れない。また、このようなリスク・アセ
スメントの見直しの結果、リスクが受容できないレベルに達しており、製品の設計変更、新規の販売の中止、販売済みの製品のリコールなどの対応が必要となると判断されることもあるかも知れない。
リスク・マネジメント・プロセスの中での、電磁妨害に関する試験、特にイミュニティ試験に関連する主なステップは :1. 電磁環境の同定
意図する使用の一部である、その電磁環境を同定する。

IEC 60601-1-2[1][4] では、医用機器の電磁環境は専門的医療施設環境、在宅医療環境、及び特殊な環境の 3 つに分類される。この規格では、軍需施設や鉱工業施設の類が 、また医療施設内でも高周波手術機や短波治療器の近く、MRI 室の中などが特殊な環境の例として挙げられている。
専門的医療施設環境と在宅医療環境については規格で試験レベルが示されており、これらについては
これを出発点として考えることができるだろうが 、この場合もそれがその機器に対して適切かど うかを検討し 、必要に応じて試験の追加や試験レベルの調整を行なうことが必要となる。例えば 、ヘリコプターは在宅医療環境の例として示されているが 、在宅医療環境に対する要求に加え、少なくともヘ
リコプター (航空機) 特有の電磁環境の考慮が必要となる可能性が高い。†8
特殊な環境についてはこの情報もなく、実際の使用でどのような環境が想定されるかを検討して電磁環境を決定することが必要となるだろう。

2. 基礎安全や基本性能の同定
IEC 60601-1-2 のイミュニティ試験では基礎安全と基本性能を評価する必要がある†9ので、まず、その機器の基礎安全と基本性能となる性能を明確にすることが必要となる。
基礎安全と基本性能は、IEC 60601-1[2] で次のように定義されている:• 基礎安全 (basic safety)
医用機器が通常状態と単一故障状態で使用された時の物理的なハザードによって直接引き起こされる受容できないリスクがないこと• 基本性能 (essential performance)
受容できないリスクがない状態を達成するために必要な性能
補足 基本性能はその欠如や劣化が受容できないリスクをもたらすかど うかを考えることで最も容易に理解できる。

また、この規格は基本性能は製造業者によって製造業者のリスク受容の方針に従って決定されるとも述べている。
規格では基礎安全と基本性能は区別されているものの、この規格に関してはその区別はそれほど 重要ではなく、通常、その性能が損なわれれば受容できないリスクをもたらし得るとリスク・アセスメン
トで示された性能全てがそのいずれかに該当し 、イミュニティ試験での評価の対象となると考えれば良いだろう。†10
基本性能として同定された性能、またその決定の根拠はリスク・マネジメント・ファイルに文書化する。
†8 IEC 60601-1-2 は EUROCAE ED-14G / RTCA DO-160G を考慮すべき規格の例の 1 つとして挙げている。なお、エミッションに関しては、IEC 60601-1-2 は、航空機上での使用が意図された機器は ISO 7137 に適合しなければならないと述べている。
†9 IEC 60601-1-2 は医用機器の安全に関するものであり、基礎安全/基本性能に関係しない (従って安全に関係しない) 性能はそのイミュニティ試験での評価の対象とならない。IEC 60601-1-2 のイミュニティ試験に際して基礎安全/基本性能以外の機能や性能も一緒に確認することにしても良いが 、その場合もどの性能が基礎安全/基本性能であるのかは明確にすべきである。
†10 例えば誤動作によって意図しない動きをしたり過剰な放射線曝露を与えたりして患者を危険にさらしたり実際に危害を与えたりするのは基礎安全の問題、誤動作の影響で医療行為を適切に行なえずに患者を危険にさらしたり実際に患者の病状を悪化させたりす

株式会社 e・オータマ

IEC 60601-1-2 とリスク・マネジメント
5 / 17

e-OHTAMA, LTD.
3. イミュニティ試験要求の決定
基礎安全と基本性能を確認するという観点で、イミュニティ試験をどのように行なうかを決定する:• 動作モード や判定基準の決定
イミュニティ試験ではその機器の基礎安全と基本性能が損なわれないことを確認する必要がある
ので、その確認を確実に行なえる動作モード や設定を選択し 、またそれぞれの機能の監視の方法
や判定基準を適切に決定する。
複数の動作モード での試験が必要となるかも知れない。
これはリスク分析、経験、工学的分析、あるいは予備試験に基づいて決定し 、リスク・マネジメ
ント・ファイルに文書化する。
この監視は基礎安全や基本性能に関係する状態を直接的に監視することで行なえる場合もある
が 、それと関係する別のパラメータを監視して判定を行なうことが必要となる場合もある。
また、基礎安全や基本性能に関係する警報がある場合、妨害を受けた状態でも警報が正しく機能することの確認も必要となりそうであるが、警報が出る状態を容易に作り出せない場合や、警報と同時に緊急停止などの動作が行なわれる、あるいは警報が一度出ると手動での解除までその状態が維持されるような場合も多く、イミュニティ試験でその機能を確認するためには工夫が必要となる可能性が高い。
いずれにしても、基礎安全と基本性能が維持されていることを確認するためには何が必要かを慎重に検討し 、その確認を確実に、望ましくはできる限り短時間で †11 行なえるように、監視の方法
や判定基準を決めることが必要となる。また、この監視や判定を行なうために特別な準備†12が必要となることもある。

• 試験時の構成の決定
その機器が様々な構成での使用が可能な場合、かつ受容できないリスクをもたらす可能性が高くなるような、意図する使用を代表する構成で選択する。
これは評価の対象となる機能を動作させて性能の判定を行なうことができるものでなければならない。同時に使用できないポートがある場合や接続した機器によってポートの機能が変わる場合などは、複数の構成での試験が必要となるかも知れない。
これはリスク分析、経験、工学的分析、あるいは予備試験に基づいて決定し 、リスク・マネジメ
ント・ファイルに文書化する。

• 試験項目や試験レベルの決定
イミュニティ試験では、その機器が実際の使用中に受ける可能性が予期される、その機器が影響を受ける可能性がある現象をカバーすることが基本となる。
専門的医療施設環境と在宅医療環境については IEC 60601-1-2 でイミュニティ試験項目と試験レベルが示されているが、単純にそれを適用すれば良いというわけではなく、実際に想定されるるのは基本性能の問題と言えるだろうが 、いずれも誤動作によって患者にリスクを与えるという点は同じである。但し 、基礎安全と基本性能は全てイミュニティ試験中やその後も維持されなければならないものの、その全てを実際に確認する必要があるとは限らず、実際に何をどのように確認する必要があるかもリスク・マネジメントに基づいて決定し 、リスク・マネジメント・ファイルに文書化することになるだろう。
†11 IEC 61000-4-3 、-4-6 などのド ウェル・タイムはこの時間よりも長くすることが必要となる。従って、その確認に時間を要する場合 (例えば監視対象の状態の更新の周期が長い場合や応答の時定数が長い場合) 、長いド ウェル・タイムが 、従って長い試験時間が必要となる可能性が高い。
†12 例えば 、通常は表示しないパラメータをリアル・タイムで表示するようにした試験用のソフトウェアの準備のような。このような機能が必要となりそうな場合、開発の段階からその機器の評価をどのように行なうかも考え、必要な機能を実際の製品のソフトウェ
アに組み込んでおく (例えば特別な操作や内部のジャンパ・スイッチなどで試験用のモード を選択できるようにしておく) ことも考えると良いかも知れない。IEC 60601-1-2 は、これに関連して、「基本性能に関係する機能 (例えば高優先度/中優先度の警報条件) がイミュニティ試験中に通常は観察や検証できない場合、適合性を判断するための手段 (例えば内部パラメータの表示) を設けるべきである。特別なソフトウェアやハード ウェアの使用が必要となるかも知れない。」のように述べている。

株式会社 e・オータマ

IEC 60601-1-2 とリスク・マネジメント
6 / 17

e-OHTAMA, LTD.
電磁環境に応じて試験項目の追加†13や試験レベルの変更†14などを考えることが必要となる。その試験項目や試験レベルの決定の根拠は、専門的医療施設環境や在宅医療環境の試験項目と試験レベルをそのまま適用すれば良いと判断した場合も含めて、リスク・マネジメント・ファイルに文書化しておくべきである。特に、特定の試験を行なわない (特定のケーブルを特定の試験の対象から外す場合も含めて) 、あるいはより低い試験レベルを適用すると決定した場合は、その決定を正当化する根拠を含めてリスク・マネジメント・ファイルに文書化しなければならない。
特殊な環境については試験レベルは示されておらず、その決定について IEC 60601-1-2 の Annex E(informative) で述べられている。従って、特殊な環境での使用が意図された機器については、必要な試験項目や試験レベルを Annex E で述べられているような方法、もしくはその他の適切な方法で決定し 、その決定と決定の根拠をリスク・マネジメント・ファイルに文書化することが必要となる。

4. 試験計画書の作成
試験に先立って、試験の実施のために必要な情報を詳細に記載した試験計画書 (テスト・プラン ) を作成する。†15
試験計画書にどのような情報を含めるべきかのガ イドは IEC 60601-1-2[1] の Annex G にあり、これについては別の解説 [5] で述べている。
この内容はリスク・マネジメント・ファイルの内容と整合していなければならない。

5. 試験の実施作成された試験計画書に従って試験を実施する。
イミュニティ試験に際しては少なくとも判定に関係する事象を監視するが 、その他の事象にもできる
限り注意を払い、観測された事象を詳細に記録することが望ましい。
試験の結果は試験報告書として文書化され、試験計画書とともにリスク・マネジメント・ファイルの一部となる。

6. イミュニティ試験の結果のリスク・マネジメントでの考慮
イミュニティ試験に際しては、あらかじめ定めた判定基準に基づいて合否の判定を行なうだけではな
く、試験中や試験後に観測された事象を改めてリスク・マネジメント・プロセスの中で検討すべきである。
これは、事前に予期していなかった、従ってリスク分析の中で考慮していなかった事象が見られた場
合に特に重要となるだろう。

†13 例えば IEC 60601-1-2:2014 Annex F で示されているような規格での試験の追加。
†14 例えば IEC 61000-4-2 、-4-3 、-4-8 でのより高い試験レベルでの試験。
†15 試験を試験所に依頼する場合、試験計画書は製造業者が事前に作成し 、試験所に提出する。試験計画書はリスク・マネジメントと強く関係し 、一般に、その作成を試験所や認証機関などが行なうことはできない。だが、認証機関などが関係する場合、当該の機関がそのような確認に対応できる場合、試験を行なう前に試験計画書の確認を受けることが必要となる、あるいは望ましいかも知れない。

株式会社 e・オータマ

IEC 60601-1-2 とリスク・マネジメント
7 / 17

e-OHTAMA, LTD.

試験前の分析/検討の仮想的な例

3

ここでは、輸液の流量の管理のみを行なう単純な仮想的な輸液ポンプ †16 の電磁妨害の影響に関係する側面についての、試験前のリスク分析/リスク評価、リスク・コントロール、そして試験時の動作モード や判定基準などの決定の仮想的な例を示す。

3.1

意図する使用の同定

意図する使用を次のように仮定する: †17

1. 用途• 輸液の流量を管理した状態での輸液の実施• 厳しい投薬管理を必要とする薬液に使用されることがあり、その場合– 輸液流量が高い状態が持続すると生命の危険を生じる可能性があるが 、5 秒までであれば 、
悪くても軽微な悪影響で済む– 輸液流量の不足や停止が長時間持続するのも危険だが 、10 分程度までであれば 、悪くても軽微な悪影響で済む• だが、輸液流量の異常や輸液の停止が重大な悪影響をもたらすようなクリティカルな形で使用される時間は 1/10 よりもかなり少なく、その他の状況 (非クリティカルな使用状況) ではこれらの異常は悪くても軽微な悪影響しか生じず、適切な対応を行なえば影響は無視できる• 医療従事者の管理下で、必要な時は速やかに対応を行なえる体制のもとで使用されるが、医療従事者が付き添って使用する訳ではない
2. 環境• 日本国内のみで使用する• 病院内の病室や処置室で使用する• 操作は医療従事者が行なうが 、使用中を含めて、患者が手を触れる可能性が予期される• 湿度管理は行なわれていないかも知れず、着衣や寝具が静電気防止のものではあるとも限らない• 電気手術機、超短波治療器、MRI などの著しい妨害発生源の近くでの使用は予期されない• 携帯電話が極めて近傍に置かれる場合があることが予期される• 医療用テレ メトリが近傍で使用される場合があることが予期される• その他の無線送信機の近接は予期されない• 低周波磁界の発生源への近接は予期されない• 電源は他の小型の医用機器と共用される電源系統に接続する• 車両、航空機、船舶などの中での使用は想定しない†16 輸液ポンプには該当するパート 2 規格 (IEC 60601-2-24) が、また国内では医薬品、医療機器等の品質、有効性及び安全性の確保等に関する法律 (薬機法) での承認基準があるが 、ここではこれらは考えない。実際の輸液ポンプは閉塞アラームや気泡アラーム、
あらかじめ設定した予定量で輸液を終了する機能なども持つことが多く、当然、その場合はそれらの機能についても分析が必要となる。
†17 これは、この後の議論でリスク・コントロールのために採用した流量監視機能も含めて、ここでの説明に使用しやすくなるように
恣意的に考えたもので、全く現実的なものではない。また、そのリスク・アセスメントでは妨害の影響で輸液流量の増加や減少が生じる可能性があるものと想定しているが、例えば CPU で直接デジタル的に制御するステッピング・モータを液送に用いて流量を開ループで制御しているような場合、妨害の影響で流量が上がる可能性は非常に低いことを机上の分析で示すことができるかも知れない。

株式会社 e・オータマ

IEC 60601-1-2 とリスク・マネジメント
8 / 17

e-OHTAMA, LTD.
3.2

リスク・アセスメント の方法

ここでは、FMEA (故障モード 影響解析) をベースとした手法を用い、以下の基準†18を適用して分析を行なうものとする。

影響度の分類

3.2.1

分類

該当する事象の例

catastrophic (致命的)critical (重大)患者の死亡

serious (深刻)minor (軽微)

医療専門家の関与を必要とする傷害や機能障害

negligible (無視できる)

不都合、あるいは一時的な不快

恒久的な機能障害、生命の危険がある傷害医療専門家の関与を必要としない一時的な傷害や機能障害

発生頻度の分類

3.2.2

分類

発生確率 (1 台 ×1 年当たり)

frequent (頻繁に )probable (しばしば )10−3 〜
10−3 〜10−4

occasional (時々)remote (起こりそうにない)

10−4 〜10−5
10−5 〜10−6

improbable (まず起こり得ない)
incredible (考えられない)

10−6 〜10−7〜10−7†19 †20

3.2.3

リスク・マト リックス

それぞれのリスクを推定された影響度と発生頻度から次のリスク・マトリックスを用いて以下の 3 段階に分類する: †21• NAC (not acceptable; 受容できない)
そのリスクは受容できない。

• ALARP (as low as reasonably practical; 合理的に実行可能な限りリスクを低減する)
可能であればさらにリスクを低減すべきであるが、それ以上のリスク低減が実際的でない場合にはそのリスクを受容することができる。
†18 この影響度や発生頻度の分類もリスク・マトリックスも単なる例である。これと同様の方法を用いるとしても、実際にどのような分類やリスク・マトリックスを適用するかは製造業者が決めることになる。
†19 ISO 14971[3] の Table D.4 では 10−6 以下が improbable となっており、それよりも下の分類 (ここでの incredible に相当するもの) はない。リスクアセスメント・ハンドブック (実務編)[6] では、家電品については 10−7 〜10−8 を improbable (まず起り得ない) 、10−8 以下を incredible (考えられない) とし 、incredible (考えられない) を「発生頻度ゼロレベル」としている。
†20 発生確率が 10−3 でも 1000 年当たり 1 回ということとなり、その発生確率は充分に低いように思われるかも知れない。だが 、日本国内の一般病床の数は約 100 万床 (2007 年) で、医用機器の台数がそれと等しいと仮定した場合、死亡事故の発生頻度が 10−3
では 1 年当たり 1000 回の死亡事故が引き起こされる計算となる。これは、発生頻度が 10−6 でも 1 年当たり 1 回、10−7 でようや
く 10 年当たり 1 回となる。
†21 ここでは NAC / ALARP / BAC という表現を用いているが、A / B / C 、Unacceptable / Acceptable などの分類が用いられることもある。R-Map[7] では A3〜A1 、B3〜B1 、C の分類が用いられており、これらは概ねここでの NAC 、ALARP 、BACに相当する。また、リスクアセスメント・ハンドブック (実務編)[6] では、R-Map を用い、致命的な事故に関しては発生頻度が 10−8以下であればリスク評価 C としている。EU general risk assessment methodology[11] では、事故が報告された製品についてリス
クを low, medium, high, serious に分類するようになっており、重大な事故に関しては予期される製品寿命中の発生確率が 10−6 を超えれば medium risk に分類され 、このラインが販売禁止や回収の目安として示されている。

株式会社 e・オータマ

IEC 60601-1-2 とリスク・マネジメント
9 / 17

e-OHTAMA, LTD.
ここでは、ALARP の中でもリスクが高めのものを ALARP+ と、リスクが低めのものを ALARP−
として識別するようにしている。†22• BAC (broadly acceptable, 広く受容可能)
そのリスクは受容できる。

negligible

minor

seriouscrititalcatastrophic

無視できる

軽微

深刻

重大

致命的

一時的な不快専門家の関与が不要な傷害専門家の関与が
必要な傷害

生命の危険

死亡

ALARP+
ALARP−BAC

NAC
ALARP+
ALARP−NAC
NAC
ALARP+

NAC
NAC
NAC

NAC
NAC
NAC

remote (起こりそうにない)
improbable (まず起こり得ない)

BAC
BAC

BAC
BAC

ALARP−BAC

ALARP+
ALARP−NAC
ALARP

incredible (考えられない)

BAC

BAC

BAC

BAC

BAC

frequent (頻繁に )probable (しばしば )occasional (時々)これに基づくと、例えばある事象の影響度が catastrophic (致命的) 、発生頻度が probable (しばしば ) の場合、1 年のあいだにそれぞれの患者が 0.01〜0.1 % の確率で、あるいは患者 1 000 人から 10 000 人当たり

1 人がその事象に起因して死亡すると推定されることになり、この場合のリスク評価は NAC となる。発生頻度が improbable (考えられない) であれば 、1 年のあいだにその患者がその事象に起因して死亡する確率は 10−6 (1 ppm) 以下、あるいは患者 100 万人当たり 1 人以下の死亡となると推定されることになり、上のリスク・マトリックスではこの場合のリスク評価は ALARP となる。†24 †25
影響度が minor (軽微) 、発生頻度が frequent (頻繁に ) の場合、1 年のあいだにそれぞれの患者が 0.1 %以上の確率で、あるいは患者 1000 人当たり 1 人以上がその事象に起因して専門家の関与が不要な傷害を受けると推定されることになり、この場合も上のリスク・マトリックスではリスク評価は NAC となる。だが 、この影響度の場合は発生頻度が probable (しばしば ) でも ALARP となり、発生頻度が remote (起こりそうにない) まで下がれば BAC となる。

†22 現実にはコストとのバランスに基づいて決定を行なうことも少なくないものの、このような判断には注意すべきである。†23 また、“ALARP” という表現は伝統的なものであるが、“ALARP” 、あるいはそれに相当する分類を用いる場合、“ALARP” となったのでそれで良いと安直に判断してしまわないように、少なくとも、その分類に入ったものについてもさらなるリスク低減の検討を充分に行なうことを、またリスク評価、及び「総合的な残留リスクの受容可能性の評価」でそのリスクが受容可能かど うかを慎重に検討することを明確にし 、それに従ってリスク・マネジメントを行なうことが望ましい。
†23 医用機器の例ではないが 、例えば 1972 年のフォード 社のピントの事例 [8] ではコスト分析に基づいて安全性を妥協したことに関して非常に厳しい判断が出されている。
†24 市場に出る機器の数が少なく、稼働数が例えば高々1000 台と予測される場合、事故の発生頻度が 10−5 でもそれらの機器が事故を起こすのは 100 年当たり 1 回程度と推定されるので、その発生頻度は充分に低いと考えたくなるかも知れないが 、基本的にこの評価ではそのようには考えない。
†25 リスク受容の判断は単純にリスクの大きさによって決まるものではない。例えば 、2017 年の国内の交通事故での死者数は約 3700
人、すなわち全人口に対して 3 × 10−5 弱で、先の発生頻度の分類では occasional (時々) に相当する。また、負傷者数は約 58 万人、すなわち全人口に対して約 5 × 10−3 弱 [9] で、先の発生頻度の分類では frequent (頻繁に ) に相当する。これらにこのリスク・マトリックスを適用すればいずれのリスク評価も NAC となるが 、我々はこのリスクをある程度まで受け入れている。だが 、自動車や家電品などの異常による、あるいは軽微な病気や怪我の治療に際しての医用機器の異常による死亡や障害に関しては、このような水準のリスクは極めて受け入れ難いものとなるであろう。実際、2016 年の国内の製品事故による死者数は 29 人、重傷者数は 96 人
(経済産業省のデータ [10] による) で、これはそれぞれ全人口に対して 2 × 10−7 強、及び 8 × 10−7 弱となり、身の回りに多数の製品が存在していることを考えると、それぞれの製品が死亡を引き起こす頻度は 10−8 以下となっているものと推定される。医療分野に関しても、医療事故の大多数は人的要因に起因するもので、機器の故障や誤動作によるものはご く少数である。従って、機器の故障や誤動作に起因するリスクに関しては、極めて低いリスク水準が期待されるものと考えた方が良いだろう。

株式会社 e・オータマ

IEC 60601-1-2 とリスク・マネジメント
10 / 17e-OHTAMA, LTD.
3.3

FMEA による評価とリスク・コント ロール

上記の条件に基づく電磁妨害の影響に関係する側面についての FMEA をベースとした手法での評価の例
を表 1 に示す。
なお、ここでは、• FMEA では複数の事象の関係は示しにくく、そのような関係の分析や表現には他の手法を用いるのが普通と思われるが 、ここではある事象が原因となって他の事象が生じる場合を “→” を付けて、また複数のリスク・コントロール手段を同時に適用する場合を “+” を付けて示すようにしている。

• イミュニティの確認などを適用した段階で評価が ALARP となった流量過大のリスクに対してさらに異常検知/輸液停止/アラームの機能を加えてリスク・コントロールを試みているように、評価が NACとなったもののみでなく ALARP となったものについてもリスク・コントロールの検討を行ない、できる限り BAC までのリスク低減を行なうようにしている。

• 回路の偶発的な故障の影響、アラームの発報を無視するような人的要因などは考慮していない。

3.3.1

リスクの分析と評価

あらかじめ決めた枠組みに沿ってそれぞれの事象の影響度 (重大さ) と発生頻度を推定し 、リスク・マト
リックスに当て嵌めてリスクの程度を評価する。

3.3.2

リスク・コント ロール

リスクの分析と評価でリスクの低減が必要と判断されたものについてはリスク・コントロールを検討する。
一般に、イミュニティ試験は、それだけでは大きなリスク低減を期待すべきではない†26であろうものの、
リスク・コントロール手段の 1 つとして使用できるだろう。
ここではイミュニティ試験を設計レビューを併用するように考え、適切なイミュニティ試験で機能の劣化や喪失が生じないことが確認され 、かつ機能の劣化や喪失を生じにくくなるように設計されていることを
設計レビューによって確認された機能は、実際の使用に際してそのタイプの妨害を受けた時にその機能の劣化や喪失が生じる頻度は相当低いものと推定し 、発生頻度の推定を 2 段階低減できる、すなわち• frequent (頻繁に ) → remote (時々)• probable (しばしば ) → remote (起こりそうにない)• occasional (時々) → improbable (まず起こり得ない)• remote (起こりそうにない), improbable (まず起こり得ない) → incredible (考えられない)と低減できるものと仮定した。
ここでは、その他のリスク・コントロール手段の適用も含めて検討し 、リスク・コントロール手段の適用の後のリスクが充分に低減された状態を達成する。
なお、NAC / ALARP / BAC のような分類を用いる場合、一般に、ALARP と評価された事象についてもリスク・コントロールを検討することが必要となる。

†26 これについては §2 で既に触れた。

株式会社 e・オータマ

IEC 60601-1-2 とリスク・マネジメント
11 / 17

株式会社 e・オータマ

連続妨害による制御異常

輸液流量制御連続妨害による制御異常

輸液流量制御サージ防護素子の故障による保護の低下

保護回路

サージに対するイミュニティの悪化

制御の停止、または CPU 制御下のあらゆる動作

輸液停止 (クリティカル /非クリティカル )輸液停止 (クリティカル /非クリティカル )連続/過渡妨害による流量アラームの不作動

警報機能

イミュニティの悪化
流量異常時にアラームが発報されない (クリティカル )流量正常時に輸液が停止しアラームが発報する
流量異常時にアラームが発報されない (クリティカル )

···

···

···

···

···

···

誤作動への反応とし流量アラームを無効化するるかも知れず、その状態で流量異常が発生するとリスクが高まる→ 使用者が流量アラームを無効化し 、そのままとする

アラームの誤作動で一時的に輸液が停止するかも知れないが 、速やかに処置が行なわれればリスクは低い

連続/過渡妨害による流量アラームの誤作動

クリティカルな使い方でアラームが作動すべき状況は稀で、さらに同時にアラーム不作動となる可能性は低い

経時変化によるシールド やボンディングの劣化

全般

警報機能

意図しない輸液開始 (クリティカル )意図しない輸液開始 (非クリティカル )単一故障の影響の考慮: サージ防護素子が故障した状態でサージを受けると誤動作の可能性がある

連続/過渡妨害による CPU のフリーズや暴走→ バッテリ切れや故障による停電時の動力喪失

停電すれば輸液が停止して危険をもたらす可能性がある

主電源の停電やコード 抜けによる動力喪失

制御機能

電源

連続/過渡妨害による誤始動

輸液動作

流量過小 (クリティカル )流量過小 (非クリティカル )

流量過大 (クリティカル )

流量過大 (非クリティカル )

流量過大、流量過小 (クリティカル )意図しない輸液の開始は危険な場合があるが 、そのような使い方で、かつ患者に接続した状態で停止状態とされる頻度は低い

連続/過渡妨害による誤始動

輸液動作

流量が過小となった場合は輸液を継続したままアラームを発報する

連続妨害による制御異常

輸液流量制御影響は上と同じだが 、連続妨害のため、頻度を高く推定

連続妨害による制御異常

流量の異常を放置すると危険だが 、その発生頻度は低い

過渡妨害による制御異常

···

···

crititalminor

critital—

critital

critital

critital

critital

critital

minor

minor
critital

crititalminor

critital

minor

影響度

リスク・コントロール実施前
故障影響
流量過大、流量過小 (非クリティカル )この状況での影響は minor 、過渡妨害なので発生頻度は occasional と推定

過渡妨害による制御異常

故障モード

輸液流量制御輸液流量制御輸液流量制御

機能

···

···

probable

probableremote—remoteprobableremoteprobablereomoteoccasional

occasional
probable

probablefrequent

remoteoccasional

頻度+ 流量を監視し 、異常時にアラームを発報し輸液を停止

minor
crititalminor+ 流量を監視し 、異常時にアラームを発報

···

···

crititalremoteremoteimprobableremotecrititalincredible

remoteincredible

improbable

BAC

詳細仕様, 図面

試験&レビュー報告

詳細仕様, 図面

試験&レビュー報告

試験&レビュー報告

BAC

BAC
ALARP+

詳細仕様, 図面

試験&レビュー報告

試験&レビュー報告

critital

critital
minor

incredible

remoteremote+BAC

ALARP+
BAC

BAC

ALARP

BAC

BAC

試験&レビュー報告

詳細仕様, 図面

試験&レビュー報告

詳細仕様, 図面

詳細仕様, 図面

試験&レビュー報告

試験&レビュー報告

crititalminor

remoteremoteincredible—

critital

···

···

···

···

流量アラームの誤作動が起こりにくいことを確認し 、無効化される可能性そのものを下げる+ 試験でのイミュニティの確認 & 設計レビュー

···

···

incredible

流量アラームの無効化は一時的とし 、一定時間後や輸液開始時に自動的に有効化されるようにする

流量アラーム無効化の自動的な解除試験でのイミュニティの確認 & 設計レビュー

ALARP なので、リスク低減のために試験でイミュニティを確認する

critital

—

···

···

BAC

ALARP

BAC

BAC

—

+

試験&レビュー報告

詳細仕様

試験&レビュー報告

試験&レビュー報告

試験&レビュー報告

サージ防護素子が故障した状態でのイミュニティを確認し 、また故障しにくいように設計されていることをレビューで確認する

故障状態でのイミュニティの確認+ WDT による強制停止 + ハード ウェアでのアラーム発報

試験でのイミュニティの確認 & 設計レビュー

定期的にバッテリの自己診断を行ない、充電不足や故障した状態で停電に遭遇する可能性を下げる+ バッテリ自己診断を行ない、充電不足や故障を警告

バッテリの装備で停電時の停止を回避するが 、バッテリの充電不足や故障の可能性もある

バックアップ用のバッテリの装備による動作停止の回避

試験でのイミュニティの確認 & 設計レビュー

NAC

crititalminor

イミュニティの確認と設計レビューに基づき発生頻度を incredible 、評価を BAC に下げる

加速劣化試験後のサンプルのイミュニティの確認

ALARP

ALARP

+

ALARP−
BAC

BAC

参照
試験&レビュー報告

アラームが確実に作動して医療従事者がそれに応じて適切に対処すれば影響度は minor となる; その不作動の可能性は別に評価する

試験でのイミュニティの確認 & 設計レビュー

ALARP++

minor

試験でのイミュニティの確認 & 設計レビュー—

ALARP+NAC

ALARP

remoteoccasional
occasional

incredible

評価

BAC

アラーム発報/輸液停止が正常に働いて医療従事者がそれに応じて適切に対処すれば影響度は minor になる; その不作動の可能性は別に評価する

試験でのイミュニティの確認 & 設計レビュー+

crititalminor
negligible

頻度

improbable

イミュニティの確認と設計レビューに基づき発生頻度を probable から remote に下げて評価を ALARP に下げる

試験でのイミュニティの確認 & 設計レビュー+ 流量を監視し 、異常時に輸液を停止しアラームを発報

試験でのイミュニティの確認 & 設計レビュー

試験でのイミュニティの確認 & 設計レビュー

NAC

critital

イミュニティの確認と設計レビューに基づき発生頻度を incredible 、評価を BAC に下げる

試験でのイミュニティの確認 & 設計レビュー

ALARP+

−

minor

影響度

リスク・コントロール実施後

イミュニティの確認と設計レビューに基づき発生頻度を improbable 、評価を BAC に下げる

試験でのイミュニティの確認 & 設計レビュー

リスク・コントロール手段

−

ALARP

ALARP
NAC

NAC

NAC

ALARP+

ALARP−

評価

e-OHTAMA, LTD.

表 1: 仮想的な輸液ポンプの電磁妨害の影響に関する FMEA の例

IEC 60601-1-2 とリスク・マネジメント
12 / 17e-OHTAMA, LTD.
3.4

基本性能の同定

リスク評価で NAC と評価されたリスクは受容できないので、この例では、表 1 の分析より、• 流量制御機能• 流量アラーム• 輸液の開始と停止の機能が基本性能に関係する機能と判断する。ここで、バッテリ自己診断機能が損なわれればリスクは上昇するものの、それでも ALARP であるため、これを基本性能と考える必要はないものと判断した。
なお、表 1 の分析や意図する使用の情報より、流量アラームは、輸液流量を流量制御機能とは独立した方法で監視し 、流量が過大となって設定値からのずれが上限を超えた場合は 5 秒以内に輸液を停止してアラー
ムを出し 、流量が過小となった場合は輸液は停止しないが同様にアラームを出すものとなるだろう。†27

3.5

試験時の動作モード と判定基準の決定

表 1 の分析より、この例では、それぞれの基本性能に対する判定基準を次のように考える:• 流量制御機能– 輸液の流量の設定値からのずれが仕様で規定された範囲を超えない– 試験後、流量の設定値が変化していない• 流量アラーム– 流量が正常な時にアラームが発報しない– 流量が過大となった時、5 秒以内に輸液が停止し 、流量アラームが発報する– 流量が過小となった時、輸液は停止せず、流量アラームが発報する– 試験後、アラームの設定値が変化していない• 輸液の開始と停止– 輸液中に意図しない輸液の停止を生じない– 停止中に意図しない輸液の開始を生じない
ここまでの仮定からは流量アラームの判定のどの程度のずれが許容されるかは導けないが 、ここでは、設定された許容幅の 1.5 倍 (例えば許容幅が ±10 % であれば ±15 %) を超えた時に確実にアラームが発報す
れば良いものと仮定する。
これから、それらの基本性能をイミュニティ試験で確認するための動作モードと各動作モードで適用する判定基準を次のように考える:• 輸液状態– 適用する試験: 全試験項目– 機器の状態:∗ 機器は通常状態とする†27 これは全く仮想的なものであり、実際の輸液装置は通常はこのような機能は持たないと思われる。

株式会社 e・オータマ

IEC 60601-1-2 とリスク・マネジメント
13 / 17e-OHTAMA, LTD.
∗ 中間的な流量での輸液動作を行なわせる∗ 流量アラームは最高感度に設定∗ 流量アラームの入力となる流量をリアル・タイムで表示する– 監視対象:∗ 輸液の実流量∗ 流量アラームの状態∗ 流量アラームの入力となる流量の表示∗ 各パラメータの設定 (試験前、及び試験後に確認)– 判定基準:∗ 輸液の流量の設定値からのずれが仕様で規定された範囲を超えない∗ 輸液の停止を生じない∗ 流量アラームが発報しない∗ 流量アラームの入力となる流量の表示がその許容幅の 1/3 を超えて変動しない∗ 試験後、設定が変化していない∗ 追加での確認: バッテリの自己診断で異常が報告されない (これは基本性能ではない)– 補足事項:∗ 流量アラームの作動には最大で 5 秒を要するので、IEC 61000-4-3, -4-6 のド ウェル・タイ
ムは 6 秒とする∗ サージ試験は、通常状態での試験に加え、サージ防護素子を外した状態でも実施する• 待機状態– 適用する試験: 全試験項目– 機器の状態:∗ 輸液をすぐに開始できる状態とするが 、輸液は開始させない∗ その他は輸液状態での試験と同様とする– 監視対象:∗ 動作状態∗ 各パラメータの設定 (試験前、及び試験後に確認)– 判定基準:∗ 輸液の開始を生じない∗ 試験後、設定が変化していない– 補足事項:∗ IEC 61000-4-3, -4-6 のド ウェル・タイムは 1 秒で良い
∗ IEC 61000-4-3 では、別途指定する 1 面からのみの照射を行なう

株式会社 e・オータマ

IEC 60601-1-2 とリスク・マネジメント
14 / 17e-OHTAMA, LTD.
• 流量異常状態の発生– 適用する試験: 連続妨害試験 (別途指定するスポット周波数)– 機器の状態:∗ 輸液状態での試験と同じ∗ 流量が正常な状態で特定の周波数の妨害を印加を開始し 、妨害を印加したまま、別途指定する適切な手段で流量が過大な状態、及び過小な状態 (いずれも流量の設定値からのずれが流量アラームの許容幅の 1.5 倍となる流量) を発生させる– 監視対象:∗ 動作状態∗ 流量アラームの状態– 判定基準:∗ 流量を過大とした時、5 秒以内に輸液が停止し 、流量アラームが発報する∗ 流量を過小とした時、輸液は停止せず、流量アラームが発報する• 加速劣化試験後の確認†28– 適用する試験: 全試験項目– 機器の状態: 所定の加速劣化試験を実施したサンプルを用いることを除き、加速劣化試験前の輸液状態での試験と同様– 監視対象: 加速劣化試験前の輸液状態での試験と同様– 補足事項:∗ IEC 61000-4-3, -4-6 のド ウェル・タイムは 1 秒で良い
∗ IEC 61000-4-3 では、別途指定する 1 面からのみの照射を行なう∗ サージ試験をサージ防護素子を外した状態で繰り返す必要はない
ここで、流量異常状態については、流量が過大となった時は速やかに輸液が停止してアラームが発報されることが重要 (その保護が働かなければ NAC となる) であり、それが電磁妨害を受けた時も正常に機能すると期待できることをイミュニティ試験で確認することを仮定しているが、一度アラームが発報すれば手動操作での解除までアラーム状態は保持されて輸液は停止したままとなるので、IEC 61000-4-3 や -4-6 で周波数掃引を行ないながらこの評価を行なうことは実際的ではない。
そこで、ここでは、周波数掃引を行ないながらの試験では流量アラームの入力となる流量 (輸液流量を流量制御機能とは独立した方法で監視して得たもの) が有意に変動しないことを確認し 、それに加えていくつかのスポットの周波数の妨害を印加した状態で流量が正常な状態から異常な状態に遷移した時に所定の動作が行なわれることを確認することでこの性能を確認するように考えている。

†28 製品が使用されている限りリスクが低い状態を保つことが必要であるが 、例えば電気的な接合部の腐食や摩耗に伴うシールド やボンディングの悪化に伴ってイミュニティが悪化してリスクが高まることが考えられるかも知れない。加速劣化試験や耐環境試験 (例えば高温、高湿、温度サイクル、振動、汚損、化学物質などに曝して劣化を促進させる) の後でもイミュニティ試験を行なうことはこのような劣化の影響を確認する手段の 1 つと考えられ 、これは IEC 60601-1-2:2014 Annex F でも推奨されている。どの程度の状況や期間で予期される劣化を模擬すべきかは、あらかじめ意図する使用の一部として同定されるその機器の使用/保存環境や耐用期間から、またその期間中に行なわれることが想定される保守から決定することができるだろう。

株式会社 e・オータマ

IEC 60601-1-2 とリスク・マネジメント
15 / 17e-OHTAMA, LTD.
3.6

イミュニティ試験項目と試験レベルの決定

先に仮定した意図する使用に基づいて、イミュニティ試験項目と試験レベルを次のように決定する:

1. イミュニティ試験項目と試験レベルは IEC 60601-1-2 の専門的医療施設環境のものをベースとする
2. 静電気管理が行なわれていない環境で患者が触れる可能性を考え、静電気放電イミュニティ試験レベ
ルは、気中放電で 30 kV 、接触放電で 15 kV まで上げる

3. 携帯電話の近接の影響の評価のため、国内の携帯電話での使用が予期されるそれぞれの周波数帯 (WiFi 、Bluetooth を含む) について以下の試験を行なう: †29• IEC 60601-1-2 のワイヤレス RF 通信機器の近接に対するイミュニティの評価の方法を用いた、それぞれの周波数帯で予期される最大の電力の送信機の 30 cm までの近接を仮定しての試験、及び• ISO 11452-9 の方法に準じた、それぞれの周波数帯で予期される最大の電力の送信機の 1 cm までの近接を仮定しての試験

4. 医療用テレ メトリの近接の影響の評価のため、以下の試験を行なう:• 医療用テレ メトリ周波数帯 (420〜450 MHz) について、ISO 11452-9 の方法に準じた、10 mWの送信機の 1 cm までの近接を仮定しての試験• WiFi を用いたテレ メトリは前項の携帯電話に対する試験でカバーされる
5. 使用環境にその他に特別な特徴はなく、またその機器がその他の電磁妨害に敏感となるような特徴を持つこともないと考えられるため、他に試験の追加や変更は必要ないものと考える

4

参考資料

[1] IEC 60601-1-2:2014 (ed. 4), Medical electrical equipment – Part 1-2: General requirements for basic
safety and essential performance – Collateral Standard: Electromagnetic disturbances – Requirements
and tests
対応する JIS 規格: JIS T 0601-1-2:2018[2] IEC 60601-1:2005+A1:2012 (ed. 3.1), Medical electrical equipment – Part 1: General requirements forbasic safety and essential performance
対応する JIS 規格: JIS T 0601-1:2017[3] ISO 14971:2007 (ed. 2), Medical devices – Application of risk management to medical devices
対応する JIS 規格: JIS T 14971:2012[4] IEC 60601-1-2:2014 (ed. 4) の概要, 株式会社 e・オータマ, 佐藤, 2017–2018,
http://www.emc-ohtama.jp/emc/reference.html[5] IEC 60601-1-2 の試験計画書の作成, 株式会社 e・オータマ, 佐藤, 2018,
http://www.emc-ohtama.jp/emc/reference.html[6] リスクアセスメント・ハンドブック (実務編), 経済産業省, 2011 年,
http://www.meti.go.jp/product safety/recall/risk assessment practice.pdf[7] R-Map とリスクアセスメント , 松本 浩二, 日科技連, 2014[8] 失敗知識データベース: 自動車ピントの衝突火災, 失敗学会,
http://www.shippai.org/fkd/cf/CA0000636.html†29 試験計画書には、実際に試験を行なう周波数、電界強度か高周波電力、変調を具体的に記載する。次項も同様。

株式会社 e・オータマ

IEC 60601-1-2 とリスク・マネジメント
16 / 17e-OHTAMA, LTD.
[9] 平成 29 年中の交通事故死者数について, 交通局交通企画課, 平成 30 年 1 月 4 日,
https://www.e-stat.go.jp/stat-search/file-download?statInfId=000031659817&fileKind=2[10] 平成 28 年度製品事故の発生状況等について, 経済産業省 商務流通保安グループ 製品安全課, 平成 29
年 6 月 16 日,
http://www.meti.go.jp/committee/sankoushin/shojo/seihin anzen/pdf/005 01 00.pdf[11] EU general risk assessment methodology (Action 5 of Multi-Annual Action Plan for the surveillanceof products in the EU (COM(2013)76)), European Commission, 16 October 2015,
https://ec.europa.eu/docsroom/documents/17107

c 2018e-OHTAMA, LTD.

All rights reserved.

免責条項 — 本稿はその主題に関する理解を助けるための参考資料として作成したものであり、当社ならびに著者は、ここで述べている内容を推奨するものでも、またいかなる保証を与えるものでもなく、その正確性、有用性、完全性、その利用に起因する損害等に関し 、一切の責任を負いません。

株式会社 e・オータマ

IEC 60601-1-2 とリスク・マネジメント
17 / 17