基于电气安全和功能安全方面的血液透析装置安全防护分析

血液透析疗法是针对肾衰竭患者进行的新疗法。目前，血液透析疗法也是国内外应用最广的治疗肾衰竭的方法，但因其治疗对象多为危重患者，而且治疗过程风险高，出现任何一个小故障都有可能引起严重的医疗事故，所以血液透析装置的安全防护要求极高。本文根据血液透析装置的特性，从电气安全和功能安全两个方面分析其安全防护的要求。

一、电气安全要求

血液透析装置主要由电源部件、加热器、电动机、温度传感器、压力传感器、电导率传感器等部件组成，按GB9706.1-1995的要求，涉及的电气安全内容很广，但容易对患者造成危害主要还是两个方面：防电击和泄漏电流。本节利用一个具体的产品绝缘图，对有关患者防电击和泄漏电流这两个关键问题进行描述。 图1 典型血液透析装置绝缘图（figure 1 Typical insulation of haemodialysis equipment） 

1、应用部分类型的确定

血液透析装置在进行治疗时，装置通过透析液和血液接触，按常规的医用电气装置设计理念，直接用于心脏或与血液接触的应用部分，应把应用部分设计成CF型，但所有的血液透析装置的应用部分均是B型，这是它的特殊结构决定了的，现阶段还没有能力设计为CF型结构。

按照应用部分的定义，装置的功能运转时必须与患者接触的部件。在透析装置运转时，透析液是通过半透膜和血液进行物质的交换，半透膜是起不到任何的隔离作用，所以，整个透析液运转部分都应看作是应用部分，这就包括了透析液配制系统、温度传感器、透析液压力传感器、电导率传感器和加热器等。其中加热器是保护接地部件，就决定了血液透析装置能提供基本的防电击能力，并且对漏电流有特定的保护作用，所以血液透析装置的应用部分为B型应用部分。

2、各电气部分间的防电击分析

图1所示，从外部电源到患者过程中，有四种途径穿越各种绝缘到达应用部分。一是从网电源经中间电路，再穿越各种传感器和透析液接触；二是从网电源通过加热器和透析液接触；三是电池（电池可以看作特定的电网电源）通过中间电路跨越各种传感器和透析液接触；四是外部各种不确定的电源可能会通过SIP/SOP接口，跨越中间电路和传感器与透析液接触。以下对图1所示的A至G点分别对上述四种途径进行分析。欢迎转载，本文来自电子发烧友网() 

a) 网电源经中间电路对患者的影响

从图1中可以看出，网电源是经过A部分隔离和G部分绝缘高阻抗与患者接触的。A部分代表装置网电源的初、次级，这两部分之间要求要达到双重绝缘，因为这部分如果被击穿，网电源直接加到中间电路和各个传感器中，可能会导致严重的危险。另外，G部分使用半导体传感器，利用PN结的特性，实现绝缘高阻抗的隔离方式，起到一定限制漏电流的作用，但由于半导体的不可靠，容易击穿，不能作为高完善性元器件，因此GB9706.1-1995在17章规定，如果应用部分与其他带电部件之间的绝缘是依靠半导体器件结的绝缘性能，则必须每次短接一个结以模拟关键结的击穿，来检验单一故障状态时的漏电流和患者辅助电流是否超过容许值。

b) 网电源经加热器对患者的影响

从图1中可以看出，网电源是经过加热器直接对透析液进行加热（B点），加热棒的绝缘填充材料一般为氧化镁，绝缘等级要求达到基本绝缘，但其填充材料一般都可以达到双重绝缘。所以网电源经加热器和透析液到患者间的绝缘也是足够的。

c) 电池对患者的影响

从图1中可以看出，电池属于中间电路的一部分，被看作是特定电源。电池是通过传感器与应用部分进行隔离，传感器的分析见a）。通常由电池产生的漏电流都比较小，试验室更注重对电池自身的安全考核，如短路、过充、过放、反极性等故障试验。因为上述故障都很有可能会造成电池着火甚至是爆炸的危险。

d) 外来电压对患者的影响

装置通过SIP/SOP接口与外部装置进行信号传输，这一连接构成了医用电气系统，其安全应符合GB9706.15的要求。若制造商对SIP/SOP无明确的声明，考虑到外接装置的安全因素是不可控制的，最坏的情况就是和透析装置通信的外部装置因电源隔离强度不足，在单一故障状态下网电源直接加到SIP/SOP接口，因此，SIP/SOP接口和中间电路/患者电路之间应有隔离，这个隔离要求的参考电压为网电压，因为这种情况是在单一故障时才会发生，所以要求达到基本绝缘的程度就足够了。

3、患者漏电流的要求

因为装置的应用部分直接和人体血液接触，患者漏电流流经体外循环血路，这个电流会引起室颤、心泵衰竭或组织坏死等严重后果。装置在断地故障的情况下，患者漏电流会急剧增大，达到装置正常时对地漏电流的数值，所以产品在设计时，应尽量限制对地漏电流。

二、功能安全的防护

装置是对患者的治疗是在有创的方式下进行的，当安全防护系统出现故障时就可能会引起生命危险，这就要求有完全独立于控制系统的安全防护系统。要满足这个独立的防护系统结构，装置必须要实现双系统、双CPU结构，并且安全防护用传感器也必须独立于控制用传感器。以下是血液透析装置必须具备的安全防护：欢迎转载，本文来自电子发烧友网() 

1、透析液和置换液超温防护

透析液温度超过41℃时会对血液产生溶血反应，为了把超温风险降到最低，国家规定了透析装置必须具有独立于任何温度控制系统之外的防护系统，也就是说，除了控制温度的传感器之外，还必须有独立的温度防护系统。一般情况，温度控制传感器的控温范围不会超过40℃，而温度防护系统的超温报警为41℃。在装置正常工作的时候是不可能发生超温报警，也即我们在装置正常使用的时候是不可能检测到超温报警的，为了检验超温报警，一般把控温传感器和保护传感器分隔开来，也就是说，让控温传感器失灵，令加热器不断地加热，当透析液温度超过设定值时，必须触发其温度防护系统，实现以下的报警动作：触发声、光报警和阻止透析液流向透析器。

2、超滤防护

超滤是血液透析装置的重要指标之一，当超滤系统出现较大的误差，时间过长量的不断积累会引起患者生命危险，装置必须具有的防护系统应独立于任何超滤控制系统之外，防止装置的输出偏离控制参数的设定值而产生安全方面的危险。当装置的输出偏离控制参数的设定值时，防护系统的动作必须触发声和光的报警。

3、血压报警

血压如果超出设定范围并且持续时间超过设定之延时时，血液透析装置必须停止血泵运转，关闭静脉夹，并发出声光报警。检验的重点是血压报警的精度及其实现的动作。静脉夹用电磁或液压作动力，通过夹住体外血路管子而阻断血流。

4、空气报警

空气探测是建立在超声波原理基础上。超声波在液体和固体内的传播速度比在气体内快，当静脉回路气泡流过空气探测器时，超声接收传感器得到一个比正常值小的电压降，并由CPU进行处理。空气探测的方法有两种：一是探测气泡的存在，当有≥200μl的气泡经过探测器时，探测器必须动作；另一种是液面探测器，这种防护方法是当有气泡经过除气装置时，可以把气泡除去，但如果除气装置因为空气较多而导致液面下降超过探测器时，就必须动作。在检测过程中主要是检验报警器对气泡大小和速度的灵敏度，当气泡比较小而血的流速比较快的时候，经常出现空气探测器“失灵”状态，所以在检验气泡报警的时候，应该把血泵的转速调到最快，单个气泡在限值的最小值时进行测量。

空气进入的防护动作必须包括以下条件：触发声和光报警、停止血泵运转、中断任何置换液的流动、夹住静脉回流管和把超滤降到最小。

5、漏血防护

体外失血有几种可能的原因，一是管路脱落或破裂，血液失血到外界，这种情况会造致静脉压过低报警；一是凝血报警，这种可能是因为血泵停转或者因为血液本身机制引起的；还有一种最常见的失血是漏血，这主要是发生破膜故障，导致血液流向透析液。装置的漏血

防护都是因漏血造成的结果来实现报警的，检测时可以人为模拟漏血来测量漏血防护系统的灵敏度。

漏血检测器由一个光源和光敏电阻构成，利用测量废液管路里的透光强度来实现。光束穿过废液照射到光敏电阻上，如果废液里混有血液，则透光减弱，光电效应改变后引发报警。触发漏血报警时，系统应发出声光报警，同时停止血泵，并中断任何置换液流动，把超滤降到最小值。