Conception électronique médicale, pensée pour la conformité dès le schéma.
Concevoir un dispositif médical, ce n'est pas adapter une carte industrielle après coup. C'est intégrer la sécurité patient, la traçabilité du logiciel et la gestion du risque dans chaque décision d'architecture, du cahier des charges au dossier technique MDR. Chez AESTECHNO, avec 10+ ans d'expérience et 65 projets depuis 2022, nous avons développé un éclairage spécialisé de classe médicale et conçu de nombreux produits conformes aux normes CE et internationales.
Expertise pilotée par Hugues Orgitello, ingénieur en conception électronique et fondateur d'AESTECHNO Montpellier (10+ ans d'expérience, formateur agréé CAP'TRONIC).
- IEC 60601-1
- IEC 62304
- ISO 14971
- ISO 13485
- MDR UE 2017/745
Concevoir pour la sécurité patient, pas pour la passer
La majorité des refus en certification médicale ne viennent pas d'un défaut de conception, mais d'un dossier insuffisant pour démontrer la conception. Chez AESTECHNO, nos cartes électroniques médicales sont conçues dès le schéma autour de la norme IEC 60601-1 : barrières d'isolation dimensionnées (MOPP / MOOP selon le contact patient), courants de fuite mesurés sur banc, dégagements et lignes de fuite respectés en routage PCB.
Le résultat : un dispositif qui passe la certification du premier coup, et un dossier technique que l'organisme notifié peut auditer ligne par ligne sans demander de campagne de mesures complémentaires. Nous avons maintenu un taux de réussite de 100% CE/FCC au premier essai sur l'ensemble de nos projets.
Notre expérience sur ces normes. Nous avons mené plusieurs projets de dispositifs médicaux conformes IEC 60601-1 et IEC 62304, dont un dispositif de classe IIb certifié. La nuance compte : sous MDR, une classe IIb ne peut pas s'auto-certifier, elle passe par un organisme notifié. La conception a donc été confrontée à un examen tiers, pas seulement à notre propre relecture. Ils sont sous accord de confidentialité, donc nous ne pouvons ni les nommer ni les décrire, mais ce sont des conceptions réelles passées par les exigences décrites ci-dessus : définition de la performance essentielle, barrières d'isolation dimensionnées selon le contact patient, et cycle de vie logiciel documenté au niveau de la classe de sécurité retenue.
Logiciel embarqué IEC 62304, traçabilité de bout en bout
La norme IEC 62304 ne décrit pas comment écrire du firmware ; elle décrit comment prouver que le firmware fait ce qu'il est censé faire et rien d'autre. Chez AESTECHNO, nous l'appliquons strictement : matrice de traçabilité exigences ↔ code, gestion documentée des composants OTS (open-source et tiers), processus de mise à jour logicielle (SOUP), tests de vérification automatisés sur l'ensemble du cycle de vie.
Nos pipelines CI/CD sécurisent les livraisons avec tests automatisés à chaque commit. Sur un dispositif Class C, cette discipline ajoute environ 15-20% au temps de développement initial, et économise plusieurs mois en phase de certification.
Gestion du risque ISO 14971, anticipée, pas patchée
L'analyse de risque ISO 14971 commence avec le cahier des charges. Chaque fonction du dispositif est cartographiée contre ses modes de défaillance, son impact patient et sa probabilité d'occurrence. Les mesures de réduction du risque sont implémentées en hardware (redondance, surveillance, fail-safe) ou en software (watchdog, auto-test, alarme), jamais uniquement en notice utilisateur.
Chez AESTECHNO, cette approche évite la situation classique d'un produit fonctionnel qui doit être redesigné en phase de validation parce qu'un risque résiduel est jugé non-acceptable. Nous intégrons la gestion du risque dès l'architecture, avec nos processus de test rigoureux.
Dossier technique MDR, un livrable, pas une corvée
Le règlement MDR UE 2017/745 a durci les exigences documentaires depuis 2021. Le dossier technique attendu par l'organisme notifié couvre la description du dispositif, les preuves de performance et de sécurité, l'évaluation clinique, la gestion du risque, le système de management qualité (ISO 13485), et la surveillance post-commercialisation.
Chez AESTECHNO, nous livrons ce dossier en parallèle du développement, structuré selon l'annexe II du MDR. Cela transforme la phase de soumission d'un effort de fin de projet en une simple consolidation de documents déjà produits. Nous appliquons notre expérience de transition prototype → série pour garantir la conformité réglementaire à chaque étape.
Performance essentielle : la question que presque personne ne traite correctement
L'IEC 60601-1 impose au fabricant de définir la performance essentielle de son dispositif : la performance dont l'absence ou la dégradation ferait courir un risque inacceptable. Ce n'est pas une liste de fonctions, et ce n'est pas au laboratoire de la produire. C'est une conclusion de l'analyse de risque, et l'organisme notifié la lira comme telle.
C'est le point qui bloque le plus souvent un dossier. Deux erreurs symétriques se rencontrent. Déclarer qu'il n'y a pas de performance essentielle, ce qui est parfois vrai mais doit être démontré et non affirmé. Ou déclarer que tout est essentiel, ce qui oblige ensuite à prouver le maintien de chaque fonction sous chaque condition de défaut unique, et transforme la campagne d'essais en gouffre.
La conséquence technique est directe : ce qui est déclaré performance essentielle doit être maintenu en condition de premier défaut, ce qui pilote la redondance, la surveillance et le comportement de repli. Décidé au schéma, cela coûte quelques composants. Décidé après le premier passage en laboratoire, cela coûte une refonte.
MOPP ou MOOP : la décision d'isolation qui structure toute la carte
La norme distingue les moyens de protection du patient (MOPP) et de l'opérateur (MOOP). Le choix n'est pas administratif : il fixe les distances d'isolement, les lignes de fuite et les tensions d'essai diélectrique, donc l'empreinte de l'alimentation et la topologie du PCB.
Une barrière 2 MOPP est nettement plus contraignante qu'une barrière 2 MOOP à tension de travail égale. Concevoir en MOOP puis découvrir que la partie appliquée impose du MOPP est l'une des reprises les plus coûteuses en conception médicale, parce qu'elle touche l'alimentation, les isolateurs de signaux et le plan de masse en même temps.
La classification de la partie appliquée suit la même logique. Un type CF, destiné au contact cardiaque direct, impose les limites de courant de fuite patient les plus strictes, très en dessous de celles d'un type BF. Un dispositif conçu sans avoir tranché B, BF ou CF est un dispositif dont l'alimentation sera redessinée.
IEC 60601-1 ou IEC 62353 : deux normes qu'on confond souvent
La confusion est fréquente et coûte du temps. IEC 60601-1 est la norme de conception et de mise sur le marché : elle s'applique au produit neuf, chez le fabricant, et elle sous-tend le marquage CE. IEC 62353 est la norme d'essai récurrent et après réparation : elle s'applique à un dispositif déjà en service, chez l'exploitant, avec des méthodes de mesure et des limites différentes.
Concrètement, un rapport 62353 ne remplace jamais un dossier 60601-1, et réussir des essais 62353 ne démontre rien sur la conformité de conception. L'inverse est vrai aussi : un dispositif conforme 60601-1 doit rester testable en exploitation, ce qui se prépare à la conception, par des points de mesure accessibles et une documentation d'essai utilisable par un technicien biomédical.
Quelle édition, et pourquoi l'amendement 2 change la planification
L'IEC 60601-1 en vigueur est l'édition 3 telle qu'amendée : l'amendement 1 a produit l'édition 3.1, et l'amendement 2, publié en 2020, l'édition 3.2. Les collatérales suivent leur propre calendrier, en particulier l'IEC 60601-1-2 pour la compatibilité électromagnétique, dont l'édition 4 a durci les niveaux d'immunité et introduit la notion d'environnement d'usage prévu.
L'implication pratique est une question de planning plus que de technique : la date de la campagne d'essais détermine le référentiel applicable, et une transition d'édition en cours de projet peut invalider des essais déjà passés. Sur un dispositif dont le développement dépasse un an, la version visée se fige au début, pas à la fin.
C'est aussi la raison pour laquelle une analyse d'écart menée tôt, avant le premier passage en laboratoire, coûte beaucoup moins qu'un refus. Elle consiste à confronter le dossier existant au référentiel visé et à sortir la liste de ce qui manque, quand il est encore possible de l'ajouter.
FAQ
- Quelle est la différence entre IEC 60601-1 et MDR ?
IEC 60601-1 est une norme harmonisée qui définit les exigences techniques de sécurité électrique pour les dispositifs médicaux électriques. MDR (UE 2017/745) est un règlement européen qui définit le cadre réglementaire global de mise sur le marché : exigences essentielles, classification, surveillance, traçabilité. Conformer à IEC 60601-1 est nécessaire mais pas suffisant pour MDR ; le dossier technique MDR couvre aussi évaluation clinique, ISO 14971, ISO 13485, et IEC 62304 si le produit contient du logiciel.
- Travaillez-vous sur les dispositifs de classe III ou les implants actifs ?
Non, et c'est une réponse de fond plutôt qu'une question de moyens. Nous intervenons sur les dispositifs non implantables, classes I, IIa et IIb. Les classes III et les implants actifs sortent de notre périmètre.
C'est la même règle que nous conseillons d'appliquer à tout prestataire : la réglementation est spécifique au type de dispositif, et confier un implant actif à une équipe qui n'en a jamais mené ne rend service à personne. Un dispositif de classe III engage une évaluation clinique pré-marché, une implication bien plus lourde de l'organisme notifié et un volume de preuves sans rapport avec une classe IIa. Mieux vaut le savoir avant de commencer qu'au premier audit.
Sur les classes I à IIb non implantables, en revanche, c'est notre terrain : plusieurs projets conformes IEC 60601-1 et IEC 62304 y sont passés, dont un dispositif de classe IIb certifié via organisme notifié.
- Combien de temps pour certifier un dispositif Class IIb avec votre méthode ?
De la phase de conception à la mise sur le marché, comptez 18 à 30 mois pour un Class IIb. La phase technique (conception électronique + firmware + V&V) représente environ 12 mois. La phase d'évaluation clinique et d'audit organisme notifié représente 6 à 18 mois supplémentaires. Notre travail réduit principalement les risques de re-design tardif (which doublent fréquemment les délais quand ils surviennent).
- Qu'est-ce que la performance essentielle au sens de l'IEC 60601-1 ?
C'est la performance dont l'absence ou la dégradation entraînerait un risque inacceptable, telle que le fabricant la définit à partir de son analyse de risque. Elle n'est pas fournie par le laboratoire d'essai : elle est une sortie de l'ISO 14971 et une entrée de la campagne 60601. Ce qui est déclaré essentiel doit être maintenu en condition de premier défaut, ce qui pilote directement la redondance et le comportement de repli de la carte.
- Quelle est la différence entre IEC 60601-1 et IEC 62353 ?
IEC 60601-1 est la norme de conception, appliquée au produit neuf chez le fabricant, et elle sous-tend le marquage CE. IEC 62353 est la norme d'essai récurrent et après réparation, appliquée à un dispositif déjà en service chez l'exploitant, avec des méthodes et des limites différentes. Un rapport 62353 ne remplace pas un dossier 60601-1.
- MOPP ou MOOP : comment trancher ?
Par le contact patient. Une barrière qui protège le patient est un MOPP et impose des distances d'isolement, des lignes de fuite et des tensions d'essai supérieures à un MOOP de même tension de travail. La classification de la partie appliquée (B, BF ou CF) suit la même logique, un type CF imposant les limites de courant de fuite les plus strictes. Trancher tard revient à redessiner l'alimentation, les isolateurs et le plan de masse en même temps.
Très bonne collaboration avec AESTECHNO ! Une équipe à la fois sympathique, efficace, flexible et réactive. Leur expertise, aussi bien en conception électronique, qu'en développement logiciel et mise au point système, a été un véritable atout pour la réussite du projet. Je recommande sans réserve.
Hardware
Un PCB livré chez nous est un PCB qu'on peut fabriquer en série, certifier sans reprise, et poser en usine sans surprise. La CEM, les standards IPC et la DFM sont intégrés au schéma, pas ajoutés après que le prototype ait fumé.
Firmware
Un firmware industriel n'est pas un script qui marche le jour de la livraison. C'est un système qui doit fonctionner après dix ans de production série, supporter des mises à jour OTA sécurisées, et résister à un environnement réglementaire qui évolue (CRA, IEC 62443).
Industrialisation
Le piège classique : un design fonctionnel en proto, qui demande six mois et un re-spin pour tenir en production série. Chez AESTECHNO, notre signature technique, c'est l'inverse : la DFM, les standards IPC et la testabilité sont intégrés au schéma initial. Le proto est déjà une carte fabricable. Nos designs arrivent en production série sans phase de rework industrialisation : 100% de réussite CE/FCC au premier essai sur 65 projets depuis 2022.