Un système de batterie de secours fiable permet aux dispositifs médicaux de maintien des fonctions essentielles de rester opérationnels en cas de coupure de courant, lors du transport du patient ou du remplacement de la batterie. Toutefois, l'ajout d'une seconde batterie n'élimine pas automatiquement les risques de panne du système d'alimentation. Des connecteurs, des circuits de charge, des composants électroniques de commande ou des convertisseurs de puissance partagés peuvent toujours interrompre l'alimentation.
Une architecture de batterie redondante doit pallier les défaillances identifiées lors de l'analyse des risques du dispositif. Chaque voie d'alimentation disponible doit présenter une capacité de sortie suffisante, une isolation des pannes adéquate et un comportement de transition vérifié. Les ingénieurs doivent également s'assurer que la batterie restante peut garantir l'autonomie requise en conditions de basse température et de vieillissement.
Pour solutions de batteries médicalesLa conception commence par les exigences essentielles de l'appareil en matière de performances et d'alimentation. Le nombre de batteries, leur composition chimique, la possibilité de les remplacer à chaud et les fonctions de surveillance doivent répondre à ces exigences.
Réponse rapide: Envisagez des circuits d'alimentation redondants lorsqu'une défaillance d'une seule batterie ou d'un circuit d'alimentation pourrait engendrer un risque inacceptable, ou lorsque le remplacement d'une batterie doit s'effectuer sans interruption de service. Vérifiez que la source restante peut supporter la charge et la durée requises, et évaluez les composants partagés susceptibles de compromettre la redondance.
Points clés à retenir
Définir les fonctions et la durée de fonctionnement qui doivent rester disponibles après une panne de courant.
Vérifiez que la batterie restante peut supporter la charge requise, y compris la demande au démarrage et la demande transitoire.
Évaluer les chargeurs, convertisseurs, connecteurs, micrologiciels et conditions thermiques partagés afin de déceler les défaillances courantes.
Coordonner les Système de gestion de batterie (BMS) avec protection du chemin d'alimentation, sélection de la source et alarmes sur l'appareil.
Valider le retrait de la batterie, l'isolement des défauts et les transitions de source dans l'ensemble du dispositif en utilisant des conditions de fonctionnement représentatives.
Partie 1 : Quand un dispositif médical a-t-il besoin d’une redondance de batterie ?
La redondance des batteries devient essentielle lorsque la perte d'une seule batterie ou d'une seule source d'alimentation peut engendrer un risque inacceptable. La décision de conception doit prendre en compte l'usage prévu de l'appareil, ses performances essentielles et la réponse requise en cas de coupure de courant.
Par exemple, un respirateur de transport peut devoir maintenir la ventilation même débranché du secteur. Son architecture d'alimentation doit tenir compte de la durée de transport prévue, des paramètres de fonctionnement, des alarmes et du temps d'intervention disponible. Une seconde batterie peut améliorer la disponibilité, à condition qu'elle reste capable d'assurer les fonctions requises lorsque la première source d'alimentation devient indisponible.
Définissez trois exigences avant de choisir une architecture :
Puissance: La charge continue et transitoire que la source restante doit fournir.
Énergie: La durée de fonctionnement requise après une panne de source.
Comportement de transition : Les perturbations et interruptions de tension que l'appareil peut tolérer.
Une batterie peut avoir suffisamment d'énergie pour l'autonomie requise, mais une capacité de courant insuffisante pour le démarrage d'un moteur. Inversement, elle peut supporter une demande de pointe, mais manquer d'énergie utilisable après vieillissement ou exposition au froid.
Pour solutions de batteries médicalesCes exigences doivent être vérifiées pour l'ensemble du dispositif. L'alimentation de secours de l'hôpital, un onduleur externe et une batterie interne ont des rôles différents. L'alimentation de secours de l'établissement ne garantit pas la continuité de l'alimentation lorsque l'équipement est débranché ou déplacé.
Partie 2 : Architectures Dual-Pack, N+1 et 2N
Deux batteries peuvent offrir une autonomie accrue, une redondance, ou les deux. La différence réside dans les capacités du système lorsqu'une batterie devient indisponible.
Architecture | Principe de fonctionnement | Question clé de conception |
|---|---|---|
Extension de capacité à double pack | Les deux packs contribuent à la puissance ou à l'autonomie requise | Le reste du paquet peut-il à lui seul satisfaire aux exigences définies ? |
N + 1 | Une unité d'alimentation supplémentaire est fournie en plus des N unités nécessaires pour la charge spécifiée. | Le système peut-il supporter la perte d'une seule unité ? |
2N | Deux jeux d'alimentation complets sont fournis, chacun capable de répondre aux exigences spécifiées. | Les chemins sont-ils suffisamment indépendants à l'intérieur des limites architecturales définies ? |
Si un appareil nécessite les deux batteries pour supporter sa charge maximale, la perte de l'une ou l'autre peut entraîner une réduction de ses fonctionnalités, voire son arrêt. Cette configuration ne doit pas être considérée comme totalement redondante pour un fonctionnement à charge maximale.
De même, un système à double pack peut continuer à fonctionner après la défaillance d'un pack, mais avec une durée de secours plus courte. Il est important de documenter explicitement cette durée plutôt que de laisser entendre que la totalité du temps d'exécution reste disponible.
2.1 Identifier les points de défaillance communs
La redondance doit être évaluée sur l'ensemble du circuit d'alimentation, et non uniquement au niveau des bornes de la batterie. Les composants partagés peuvent inclure :
Circuits de charge et adaptateurs externes
Convertisseurs CC/CC et contrôleurs de sélection de puissance
Connecteurs, câblage et bus d'alimentation commun
Micrologiciel, interfaces de communication et rails d'alimentation auxiliaires
Un défaut affectant un composant commun peut impacter les deux packs. Leur proximité physique peut également les exposer à une infiltration de liquide, un choc ou un événement thermique.
L’analyse des risques permet de déterminer quelles défaillances nécessitent un isolement, une protection indépendante, une surveillance ou un autre contrôle. La présence de deux batteries à elle seule ne garantit pas une tolérance aux pannes suffisante.
Partie 3 : Isolation du chemin d’alimentation et contrôle du remplacement à chaud
La conception à batterie remplaçable à chaud permet de retirer et de remplacer la batterie même si une autre source d'alimentation compatible prend le relais. Un fonctionnement optimal exige la maîtrise de la transition électrique et du processus de remplacement.
Les circuits à diodes idéales et les multiplexeurs de puissance permettent de gérer la sélection de la source et de limiter le courant inverse entre les sources. Cependant, le blocage du courant inverse n'offre pas une isolation complète contre tous les défauts électriques. Il convient d'évaluer séparément les courts-circuits des dispositifs de commutation, les défauts du bus commun et les pertes d'alimentation du contrôleur.
3.1 Commande d'insertion et de retrait de la batterie
Lors de l'insertion d'une batterie de remplacement, les différences de tension peuvent engendrer un courant d'appel dans la capacité d'entrée du dispositif ou dans une autre source connectée. La conception peut nécessiter une commutation contrôlée, une précharge ou une limitation de courant.
Ne connectez pas directement des packs avec des tensions de bornes différentes, sauf si l'architecture est conçue pour gérer le courant résultant.
Avant d'autoriser le retrait, l'appareil doit vérifier si la source restante peut supporter la charge requise. Selon le flux de travail prévu, l'interface peut indiquer quel pack peut être retiré et signaler l'indisponibilité de la capacité de secours.
3.2 Valider le rail d'alimentation pendant les transitions
Il n'existe pas de temps de commutation cible universel garantissant des performances acceptables en remplacement à chaud. Évaluez la tension aux bornes des circuits alimentés et assurez-vous que le composant reste dans ses limites de performance définies.
Les conditions de validation utiles comprennent :
Condition de test | Que vérifier |
|---|---|
Retrait de la batterie à la charge maximale prévue | La tension d'alimentation reste dans la plage autorisée |
Batterie restante avec un niveau de charge faible | La puissance et l'autonomie disponibles répondent à la réserve définie |
Pack restant vieilli | L'augmentation de la résistance n'entraîne pas de chute de tension inacceptable. |
Insertion du pack de remplacement | Les courants d'appel et inverses restent dans les limites des composants. |
Arrêt de protection de la batterie | La source alternative répond comme prévu |
Perte de communication pendant le remplacement | La protection locale et les comportements de repli définis restent disponibles |
Les condensateurs de maintien ou les supercondensateurs peuvent contribuer à atténuer les brèves transitions. Leur choix dépend de la charge, de la chute de tension admissible, de la résistance série équivalente (ESR), de la température et du vieillissement. Ils complètent la conception du circuit d'alimentation, mais ne le rendent pas infaillible.
Partie 4 : Sélection des cellules, BMS et protection thermique
La chimie des cellules doit être adaptée aux exigences de puissance, d'autonomie, de taille et de maintenance de l'appareil. Les cellules LiFePO4 offrent une stabilité thermique et une durée de vie élevées, tandis que les cellules NMC permettent une densité énergétique supérieure pour les appareils portables. Il est conseillé de comparer des modèles de cellules spécifiques dans des conditions pertinentes plutôt que de se fier à des classements de sécurité généraux.
Pour batteries au lithium personnaliséesIl convient d'évaluer l'énergie utilisable et la capacité de courant de crête à la fin de la durée de vie prévue. La capacité d'une batterie neuve à température ambiante ne constitue pas une preuve suffisante de ses performances de secours tout au long de sa durée de vie.
4.1 Définir séparément la protection du pack et le contrôle du système
Le Système de gestion de batterie (BMS) Il surveille l'état des cellules et met en œuvre les fonctions de protection de la batterie. Le contrôleur de puissance de l'appareil gère la sélection de la source, la prise en charge de la charge et la coordination de la charge. Ces fonctions peuvent être intégrées, mais leurs responsabilités doivent rester clairement définies.
L'équilibrage des cellules réduit le déséquilibre entre les cellules connectées en série. L'équilibrage passif dissipe l'énergie de certaines cellules, tandis que l'équilibrage actif transfère l'énergie. Aucune de ces méthodes ne répare une cellule dégradée ni ne garantit une capacité utilisable égale.
L'état de charge et l'état de santé indiqués sont des estimations. Leur incertitude doit être prise en compte dans les calculs de réserve et les alertes de batterie faible, notamment lorsque les batteries diffèrent par leur âge, leur température ou leur historique d'utilisation.
La protection locale doit rester efficace en cas de défaillance de la communication avec l'hôte. L'appareil doit détecter les données de batterie obsolètes ou manquantes et réagir conformément à ses exigences de fonctionnement définies.
4.2 Coordonner la charge avec le budget énergétique disponible
La charge simultanée est possible lorsque les circuits d'alimentation et de charge le permettent. La charge séquentielle peut convenir lorsque la puissance d'entrée ou la capacité thermique est limitée.
Le contrôleur doit répartir la puissance entre le fonctionnement de l'appareil, la charge de la batterie et les charges auxiliaires. Il doit valider les transitions lors de la coupure de l'alimentation secteur, de l'insertion d'une batterie ou d'une modification des besoins de charge.
Les paramètres de protection doivent également prendre en compte les variations transitoires normales de l'appareil sans permettre un fonctionnement en dehors des limites approuvées des cellules et des composants.
4.3 Traitement des défauts électriques et thermiques
Déconnecter un pack de la charge ne suffit pas toujours à stopper un court-circuit interne. Il est donc essentiel de prendre en compte la protection électrique au même titre que le choix des cellules, la protection mécanique et la conception thermique.
Évaluer les transferts thermiques entre les batteries, les conditions de l'enceinte, l'emplacement des capteurs et la propagation potentielle des défauts. Le choix entre ventilateurs et refroidissement liquide dépend de l'application et ne constitue pas une exigence standard pour tous les systèmes de batteries médicales.
Les interrupteurs de protection électroniques et les fusibles conventionnels remplissent des fonctions différentes. Leur coordination doit tenir compte du courant de défaut, du pouvoir de coupure, du temps de réponse et des modes de défaillance possibles. Le redémarrage automatique après un défaut ne doit être activé que si le comportement de récupération a été évalué.
Partie 5 : Validation du système et gestion des risques
La norme IEC 60601-1 traite de la sécurité de base et des performances essentielles des équipements électromédicaux. Les normes connexes et les normes spécifiques aux dispositifs applicables peuvent introduire des exigences supplémentaires. La norme ISO 14971 décrit la méthode de gestion des risques permettant d'identifier les dangers, d'évaluer les risques, de mettre en œuvre des mesures de contrôle et d'en évaluer l'efficacité.
Une topologie redondante constitue une mesure de contrôle des risques possible. Son efficacité doit être démontrée au sein de l'ensemble du dispositif ; la désignation « 2N » ne garantit pas la conformité.
5.1 Traduire les scénarios d'échec en tests
Commencez par identifier les défaillances lors de l'analyse des risques et définissez des critères d'acceptation mesurables.
Scénario d'échec | Exemple de critères d'acceptation |
|---|---|
Coupure de courant | Les fonctions requises continuent de fonctionner dans les limites définies. |
Une batterie devient indisponible | La source restante supporte la charge et la durée spécifiées. |
La batterie de secours est dégradée ou déconnectée. | Le dispositif identifie la réserve indisponible et fournit l'indication requise. |
Échec de la communication du pack | Des données invalides sont détectées et la réponse de repli définie est déclenchée. |
L'insertion de la batterie provoque un transitoire | Aucune réinitialisation inacceptable, excursion de tension ou interruption ne se produit |
Un composant du circuit d'alimentation partagé tombe en panne | Le comportement qui en résulte satisfait aux exigences applicables en matière de contrôle des risques |
Les tests de défaillance doivent être réalisés selon des méthodes contrôlées et adaptées à la défaillance évaluée. La création physique d'un court-circuit interne à la cellule ne saurait remplacer une simulation de défaillance planifiée au niveau du système.
5.2 Inclure le vieillissement et les conditions environnementales
Effectuer des tests sur des profils de fonctionnement représentatifs, incluant la demande continue maximale prévue et les transitoires de charge pertinents. Inclure des tests avec un faible niveau de charge, des batteries vieillissantes et dans la plage de températures de fonctionnement spécifiée.
Vérifiez la durée de secours requise après la mise hors service d'une source. Évaluez également le déclenchement des alarmes et la disponibilité d'énergie suffisante pour la réponse prévue.
Consignez le matériel, le micrologiciel, le modèle de cellule, la configuration du pack, les conditions de test et les critères d'acceptation. Toute modification affectant la consommation d'énergie ou la gestion de la source doit faire l'objet d'une analyse d'impact afin de déterminer la revalidation nécessaire.
5.3 Tenir des registres de production traçables
Utilisez des identifiants d'emballage et des enregistrements contrôlés pour associer le produit aux lots de composants, aux versions de micrologiciel et aux résultats de tests pertinents. La méthode de stockage doit être compatible avec le système qualité et le flux de travail de service.
Le stockage dans le nuage et la mémoire embarquée sont des solutions possibles, mais aucune n'est une exigence universelle. L'objectif est de garantir la récupération fiable des informations nécessaires aux investigations, à la maintenance et aux actions correctives.
Partie 6 : Préparation et maintenance des sauvegardes
Une batterie de secours n'offre qu'une utilité limitée si sa détérioration passe inaperçue jusqu'à la défaillance de la source principale. Un système de surveillance de l'état de fonctionnement doit vérifier que la batterie de secours est connectée, chargée et capable d'assurer sa fonction.
La tension seule ne permet pas de déterminer la capacité restante ni la puissance disponible. Utilisez des estimations de batterie validées, des diagnostics et des contrôles de performance périodiques adaptés à l'appareil.
6.1 Définir les critères de remplacement en fonction des exigences du dispositif
Les critères de remplacement doivent tenir compte de l'autonomie restante, de la chute de tension sous charge, des températures anormales, des dommages physiques et des défauts de diagnostic. Un seul seuil de cycles de charge/décharge peut ne pas refléter correctement l'état d'une batterie de secours.
Suivez les instructions de charge et de stockage approuvées par le fabricant de l'appareil. Les équipements conçus pour rester branchés sur le secteur peuvent nécessiter une stratégie d'entretien différente de celle des batteries amovibles stockées.
Le remplacement à chaud peut permettre un fonctionnement prolongé lorsque des pièces de rechange chargées sont disponibles, mais le processus doit tenir compte des erreurs de remplacement, des réserves insuffisantes et de l'usure des connecteurs.
6.2 Utiliser les diagnostics pour appuyer les décisions de service
Les estimations locales du système de gestion technique du bâtiment (GTB) et les données d'exploitation enregistrées peuvent aider à identifier les baisses de performance. L'analyse prédictive peut fournir des informations complémentaires, mais elle ne garantit pas la détection de toutes les pannes futures.
La protection essentielle et les alarmes requises doivent rester disponibles sans connexion au cloud. Les décisions de maintenance doivent s'appuyer sur les données de diagnostic, des critères de service validés et l'utilisation prévue de l'appareil.
Une conception efficace de batterie redondante démontre ce qui se passe en cas de défaillance d'une source, la durée d'alimentation restante et la manière dont la perte de réserve est communiquée à l'opérateur. Ces comportements éprouvés garantissent un fonctionnement fiable de l'alimentation de secours.
QFP
Quelle est la différence entre la redondance N+1 et la redondance 2N ?
N représente la capacité ou le nombre d'unités d'alimentation nécessaires pour supporter la charge spécifiée. N+1 ajoute une unité supplémentaire afin que le système puisse tolérer la perte d'une unité, à condition que les unités restantes répondent aux exigences de fonctionnement.
2N fournit deux groupes électrogènes complets, chacun capable de supporter la charge spécifiée de manière indépendante. Pour les systèmes à batteries, cette capacité doit inclure à la fois la puissance et l'autonomie requise.
Aucune de ces étiquettes ne garantit une isolation complète des pannes. Définissez les limites de l'architecture et identifiez les composants partagés.
L'utilisation de deux blocs-batteries rend-elle un dispositif médical redondant ?
Uniquement si le système peut tolérer la défaillance de l'un ou l'autre des packs tout en maintenant les fonctions requises. Deux packs qui doivent fonctionner simultanément pour alimenter la charge offrent une capacité supplémentaire, mais ne garantissent pas la redondance.
Un convertisseur, un connecteur ou un circuit de commande partagé peut également constituer un point de défaillance unique. L'isolation électrique entre les pistes de la batterie ne suffit pas, à elle seule, à empêcher la propagation thermique entre les packs adjacents.
Faut-il choisir LiFePO4 ou NMC pour les batteries médicales redondantes ?
Comparez les caractéristiques exactes des cellules aux exigences de l'appareil en termes d'autonomie, de courant de crête, de poids, de volume, de charge et de durée de vie. Les cellules LiFePO4 offrent une stabilité thermique et une durée de vie élevées, tandis que les cellules NMC permettent une densité énergétique supérieure pour les équipements compacts.
Aucune de ces réactions chimiques ne garantit à elle seule la sécurité du système. La qualité des cellules, la conception du pack, la protection, la conception thermique et la validation complète du dispositif restent indispensables. Il convient d'éviter de comparer les températures de décomposition génériques comme s'il s'agissait de limites de fonctionnement admissibles.
Comment fonctionne le remplacement à chaud dans un système de batteries redondantes ?
Lors du retrait de la batterie, une autre source d'alimentation qualifiée alimente l'appareil via un circuit de puissance contrôlé. Des circuits à diodes idéales ou des multiplexeurs de puissance permettent de gérer la sélection de la source et de limiter le courant inverse, tandis que des circuits supplémentaires peuvent être nécessaires pour la gestion du courant d'appel et l'isolation des défauts.
Les performances en mode hot-swap dépendent de la conception complète. Il est essentiel de valider la chute de tension de l'alimentation, le temps de transition, la capacité de charge maximale et le comportement du composant lors de son retrait et de son insertion. Aucune spécification universelle de temps de commutation ne garantit un fonctionnement ininterrompu.
Quelles normes s'appliquent à la conception des batteries médicales redondantes ?
La norme IEC 60601-1 traite de la sécurité de base et des performances essentielles des équipements électromédicaux. Les normes connexes et les normes spécifiques aux dispositifs peuvent introduire des exigences supplémentaires. La norme ISO 14971 fournit le cadre d'identification des dangers, d'évaluation des risques et de mise en œuvre des mesures de maîtrise des risques.
Le choix d'une topologie 2N ne garantit pas automatiquement la conformité. Documentez les scénarios de défaillance pertinents, les choix d'architecture et les preuves de vérification pour le dispositif prévu et le marché cible.
Comment tester une architecture de batterie redondante ?
Tester l'appareil dans son intégralité en cas de coupure secteur, de retrait de la batterie et de défauts représentatifs de la batterie ou du circuit d'alimentation. Vérifier que la source restante assure les fonctions requises sans chute de tension inacceptable, réinitialisations ou perte d'alarmes.
Tenir compte de l'âge des batteries, de leur faible niveau de charge, des températures extrêmes dans la plage de fonctionnement spécifiée et de la charge maximale prévue. Évaluer les pertes de communication, les défauts des capteurs et du chargeur, ainsi que les défaillances des composants partagés, le cas échéant, dans le cadre de l'analyse des risques.
Comment vérifier que la batterie de secours est prête ?
Surveillez la disponibilité, la température, le niveau de charge et l'état de chaque batterie, et utilisez des contrôles validés pour détecter une source de secours déconnectée ou dégradée. Définissez une alerte ou une restriction de fonctionnement lorsque la réserve requise est indisponible.
La maintenance doit vérifier la capacité utile et la puissance disponible par rapport aux critères de service de l'appareil. Une batterie secondaire offre une protection limitée si sa dégradation reste indétectée jusqu'à la défaillance de la batterie principale.
