Termin „medyczny” jest często używany jako etykieta marketingowa, aby uzasadnić wysokie ceny sprzętu mobilnego. Jednak na oddziale szpitalnym o godzinie 3:00 nad ranem, jakość urządzenia zależy od jego zdolności przetrwania „użytkowania w warunkach przetrwania”. W tym studium przypadku analizujemy rozwój medycznego przenośnego komputera PDA, wykraczając poza specyfikacje zawarte w broszurach, aby uwzględnić czynniki chemiczne, mechaniczne i ludzkie, które definiują sukces kliniczny.
Przeczytaj także: Studium przypadku wytrzymałego tabletu
1. Przegląd projektu
Nawiązaliśmy współpracę z integratorem usług opieki zdrowotnej, aby opracować mobilne rozwiązanie dla dostawców systemów informatycznych dla szpitali. Celem było zastąpienie rozproszonego sprzętu klasy konsumenckiej jedną, niezawodną platformą Android, zaprojektowaną z myślą o intensywnym przepływie pracy w szpitalu.
Scenariusze aplikacji
Urządzenie zostało zaprojektowane tak, aby służyć czterem kluczowym filarom działalności szpitala:
- BCMA: Weryfikacja tożsamości pacjenta i dawkowania przy łóżku pacjenta.
- Elektroniczna Dokumentacja Medyczna: Zapewnianie lekarzom i pielęgniarkom możliwości wprowadzania i pobierania danych w czasie rzeczywistym.
- Śledzenie próbek: Zapewnienie oznakowania i śledzenia próbek laboratoryjnych bez błędów przy ręcznym wprowadzaniu danych.
- Zarządzanie zapasami: Zarządzanie wartościowym sprzętem chirurgicznym i zapasami leków w wielu działach.
Cel projektu
Klient potrzebował urządzenia, które mogłoby działać nieprzerwanie w szpitalu, w dzień i w nocy, przez około 5 do 7 lat. Z tego powodu sprzęt musiał być przystosowany do pracy w trudnych warunkach. Musiał wytrzymywać codzienną sterylizację, zapewniać stabilną pracę bezprzewodową nawet w obszarach z ekranami ołowianymi, a także chronić poufne dane pacjentów zgodnie z wymogami HIPAA.
2. Wymagania klienta i pułapka stopnia ochrony IP
Na początkowym etapie wymagania techniczne koncentrowały się głównie na stopniu ochrony IP. Jednak moje doświadczenie pokazuje, że wysoki stopień ochrony IP często rozprasza uwagę w warunkach szpitalnych.
2.1 Kontrintuicyjna prawda o stopniach ochrony IP
Stopień ochrony IP67 oznacza, że urządzenie przetrwa zanurzenie w zbiorniku z wodą w warunkach laboratoryjnych. Nie informuje on jednak, czy urządzenie przetrwa 5,000 przetarć ściereczką Sani-Cloth lub 70% alkoholem izopropylowym . W praktyce odporność chemiczna i walidacja procesu są ważniejsze niż oznaczenie „wodoodporność”.
Wiele zespołów czyta normę IEC, która dotyczy urządzeń do domowej opieki zdrowotnej, i uważa, że dowodzi ona również, że urządzenie jest wystarczająco wytrzymałe do użytku szpitalnego. To nieprawda. To zupełnie inna sprawa. W przypadku sprzętu używanego w szpitalach, urządzenie musi spełniać normy IEC dotyczące ogólnego bezpieczeństwa oraz IEC dotyczące odporności elektromagnetycznej (EMC). Normy te są ważne, ponieważ sprawdzają, czy urządzenie może nadal działać prawidłowo w przypadku zakłóceń elektrycznych w otoczeniu. Problem nie polega więc tylko na uszczelnieniu obudowy lub ochronie przed pyłem.
2.2 Wymagania funkcjonalne i bezpieczeństwa: Wykonane dla oddziału szpitalnego
Oddział szpitalny to trudne miejsce dla urządzeń elektronicznych. Oświetlenie jest mocne. Personel stale nosi rękawiczki. Zawsze istnieje też ryzyko zakażenia. Z tego powodu sprzęt nie może być słaby. Musi przetrwać codzienną pracę w szpitalu bez powodowania problemów.
Ekran dotykowy, który działa w rękawiczkach
Większość standardowych pojemnościowych ekranów dotykowych nie działa dobrze w rękawiczkach. Wilgoć pogarsza problem. Aby temu zaradzić, zastosowaliśmy 5.5-calowy panel dotykowy o wysokiej czułości ze specjalnym kontrolerem. Potrafi on wykrywać dotyk przez rękawiczki lateksowe, nitrylowe, a nawet podwójne rękawiczki chirurgiczne. Jest to przydatne w praktyce. Pielęgniarka nie powinna zdejmować rękawiczek tylko po to, by podpisać się pod podaniem leku. To marnuje czas i stwarza niepotrzebne problemy.
Wi-Fi 6 dla zatłoczonych obszarów szpitalnych
W szpitalu słabe połączenie nie jest błahym problemem. Może stać się zagrożeniem dla bezpieczeństwa. Z tego powodu zastosowaliśmy dwupasmowe Wi-Fi 6. Wi-Fi 6 działa lepiej w zatłoczonych miejscach niż starsze standardy Wi-Fi. W miejscach takich jak stacje pielęgniarskie wiele urządzeń próbuje połączyć się jednocześnie. W takiej sytuacji Wi-Fi 6 pomaga systemowi Elektronicznej Dokumentacji Medycznej działać bez opóźnień i przekroczeń limitu czasu.
Wyświetlacz przeznaczony do długiej pracy nocnej
Praca na nocnych zmianach jest bardzo męcząca, szczególnie dla oczu. Z tego powodu dodaliśmy technologię wyświetlania Low Blue Light. To nie tylko ustawienie programowe. Jest ono wbudowane w sam sprzęt. Zmniejsza ono ilość wysokoenergetycznego niebieskiego światła emitowanego przez ekran. Pomaga to zmniejszyć zmęczenie oczu. Może to również pomóc personelowi pracującemu na 12-godzinnych nocnych zmianach, zmniejszając zaburzenia ich naturalnego rytmu pracy.
2.3 Bezpieczeństwo danych i prywatność
Prywatność pacjenta nie jest kwestią wyboru. Zgubienie jednego urządzenia może skutkować poważnym naruszeniem ustawy HIPAA i wysokimi karami finansowymi. Wbudowaliśmy zabezpieczenia w „fundamentalne” warstwy sprzętu, a nie tylko w oprogramowanie.
Bezpieczny rozruch wspierany sprzętowo
Przy każdym uruchomieniu urządzenie najpierw sprawdza autentyczność systemu. Bezpieczna, cyfrowa weryfikacja odbywa się pomiędzy systemem operacyjnym a kluczem zapisanym w układzie SoC przez producenta. Jeśli podpis się nie zgadza lub system wykryje jakąkolwiek niezatwierdzoną zmianę, taką jak rootowanie, urządzenie przerywa rozruch. Na tym się zatrzymuje. Pomaga to zapobiec wniknięciu złośliwego oprogramowania do systemu i przechwyceniu danych pacjenta na poziomie jądra.
Szyfrowanie AES-256 w stanie spoczynku
Wdrożyliśmy sprzętowe szyfrowanie AES-256 dla całej pamięci wewnętrznej. To złoty standard branżowy. Nawet jeśli ktoś fizycznie usunie układ pamięci flash, dane pozostaną zaszyfrowane i nieczytelne, bez unikalnego klucza sprzętowego ukrytego w „skarbcu” procesora.
Pełna zgodność z MDM
Działy IT w szpitalach muszą mieć pełną kontrolę. Nasze urządzenie obsługuje szeroką gamę rozwiązań MDM. Dzięki temu dział IT może:
- Wdrażaj aktualizacje „Zero-Touch” w całej flocie.
- Zablokuj urządzenie w określonej aplikacji (tryb kiosku).
- Zdalne czyszczenie: Jeśli urządzenie zginie, dział IT może natychmiast i zdalnie usunąć wszystkie dane pacjenta, dzięki czemu szpital zachowuje zgodność z przepisami i jest chroniony.
3. Architektura systemu i wybór platformy
Jeśli SOC zostanie zatrzymany zbyt wcześnie, producent może być zmuszony do przeprojektowania całego produktu. Wiąże się to również z kosztowną ponowną walidacją oprogramowania i koniecznością złożenia nowych wniosków regulacyjnych. Aby uniknąć tego problemu, nie zdecydowaliśmy się na chipsety klasy konsumenckiej. Zamiast tego wybraliśmy przemysłowy układ Qualcomm Snapdragon, zaprojektowany z myślą o dłuższej dostępności rynkowej.
3. Architektura systemu
W szpitalu priorytetem jest stabilność sprzętu. Jeśli dyrektor IT zarządza flotą 500 urządzeń, potrzebuje jednego, spójnego obrazu oprogramowania. Wybraliśmy platformę, która pozostaje w łańcuchu dostaw wystarczająco długo, aby zapobiec „fragmentacji sprzętu” w całej placówce.
3.1 Wybór platformy SoC: rzeczywistość przemysłowa
Nasz wybór chipsetu opierał się na trzech rygorystycznych wymaganiach. Jeśli układ scalony nie spełniał któregoś z nich, był odrzucany.
Dostępność siedmioletnia
Zapewniliśmy, że ten konkretny układ SoC będzie dostępny przez siedem lat. Zapobiega to cyklowi „wymuszonych aktualizacji” obserwowanemu w elektronice użytkowej. Pozwala to systemom szpitalnym na długoterminową standaryzację konfiguracji Androida i certyfikatów bezpieczeństwa.
Zarządzanie termiczne
Urządzenia medyczne są często używane w futerałach ochronnych przez 12 godzin pracy, co uniemożliwia odprowadzanie ciepła. Jeśli chip się nagrzeje, obniża to wydajność. Powoduje to opóźnienia w interfejsie skanera, co prowadzi do tarcia klinicznego. Wybraliśmy chip o niskim współczynniku TDP (Thermal Design Power), aby zapewnić, że temperatura urządzenia utrzymuje się poniżej poziomu komfortu dla skóry podczas intensywnego użytkowania.
Bezpieczeństwo wspierane sprzętowo
Układ posiada również środowisko Trusted Execution Environment, czyli TEE. Można go porównać do bezpiecznego sprzętowego sejfu. Przechowuje klucze szyfrujące w chronionym obszarze, co pomaga urządzeniu zachować gotowość do spełniania wymogów bezpieczeństwa HIPAA. Ponadto obsługuje standardy Android Enterprise Recommended. Dzięki temu SOC może otrzymywać poprawki zabezpieczeń nawet przez pięć lat.
3.2 Architektura sprzętowa o wysokiej gęstości
Układ wewnętrzny został zaprojektowany tak, aby wyeliminować wąskie gardła w transmisji danych. Na oddziale intensywnego stresu półsekundowe opóźnienie odczuwa się jak awarię systemu.
Dedykowana magistrala skanera
Wiele standardowych komputerów PDA przesyła dane ze skanera przez powolny, wewnętrzny most USB-port szeregowy. Wykorzystaliśmy dedykowaną, szybką magistralę równoległą dla imagera SE4710. Rezultatem jest bezzwłoczne przechwytywanie danych. Kod kreskowy pojawia się w polu EMR natychmiast po naciśnięciu spustu.
Umiejscowienie anteny NFC
Umieściliśmy antenę NFC w górnej tylnej części, z dala od metalowej osłony akumulatora. Wzmocnienie sygnału dostosowaliśmy specjalnie do potrzeb pielęgniarek noszących rękawiczki nitrylowe lub lateksowe. Dzięki temu uwierzytelnianie „Tap-and-Go” działa od pierwszej próby, bez konieczności szukania punktu połączenia przez użytkownika.
Zaawansowane zarządzanie baterią (BMS)
Ładowanie urządzenia 24/7 w stacjach dokujących z wieloma gniazdami jest fizycznie bardzo obciążające dla ogniw litowych. Nasz system BMS wykorzystuje technologię pomiaru gazu firmy Texas Instruments do monitorowania składu chemicznego ogniw. Jeśli urządzenie jest zbyt gorące po długiej zmianie, system BMS spowalnia tempo ładowania. Zapobiega to pęcznieniu baterii i zapewnia, że ogniwo wystarczy na lata, a nie na miesiące.
4. Skanowanie kodów kreskowych
Główną cechą wyróżniającą medyczne PDA jest możliwość skanowania. Jeśli pielęgniarka musi trzykrotnie zmieniać położenie fiolki z lekiem, aby odczytać wynik, urządzenie jest uszkodzone.
4.1 Rozwiązywanie problemu odbicia lustrzanego
Fiolki z lekami są małe, odblaskowe i zakrzywione. Działają jak ruchome lustra. Gdy światło skanera pada prosto na fiolkę, odblask (odbicie lustrzane) oślepia czujnik i zmniejsza lokalny kontrast.
Rozwiązanie inżynieryjne:
Nie rozwiązaliśmy tego problemu za pomocą czujnika o wyższej rozdzielczości. Zamiast tego przechyliliśmy mechanizm skanera o 3 stopnie względem okienka obudowy. To niewielkie przechylenie mechaniczne sprawia, że „gorący punkt” odbicia odbija się od czujnika. Dzięki temu dekoder widzi światło rozproszone – światło niosące rzeczywiste dane kodu kreskowego.
4.2 Testowanie dokładności i niezawodności
Strefa Impasu
Dostosowaliśmy ekspozycję dekodera do „strefy odsunięcia” (w której pielęgniarki faktycznie trzymają urządzenie), a nie do idealnych płaskich kart testowych.
Wydajność przy słabym oświetleniu
Zoptymalizowane czujniki do stosowania w zaciemnionych salach chorych, w których personel szpitala musi skanować, nie budząc pacjenta.
5. Inżynieria PCB
Środowiska szpitalne są „zakłócone” elektromagnetycznie. Aparaty do rezonansu magnetycznego i monitory bezprzewodowe generują ciągłe zakłócenia. Co więcej, fizyczny ruch urządzenia wprowadza naprężenia mechaniczne, które często są pomijane w kartach katalogowych.
5.1 Projektowanie płytek PCB wielowarstwowych
Wykorzystaliśmy 8-warstwową płytkę drukowaną HDI (High-Density Interconnect).
Kontrolowana impedancja
Niezbędne do zachowania integralności sygnału Wi-Fi 6.
Odizolowane domeny mocy
Moduł skanera ma izolowane źródło zasilania, aby zapobiec wpływowi skoków napięcia na domenę Wi-Fi lub procesor.
5.2 Awaria złącza
Częstą awarią w sprzęcie medycznym jest złącze płytka-płytka. Teoretycznie charakteryzują się one dużą liczbą cykli łączenia. W rzeczywistości jednak ulegają one uszkodzeniu z powodu mikrouszkodzeń.
Przyczyna
Gdy wózki medyczne przejeżdżają przez szczeliny w windach lub metalowe progi, wibracje powodują drobne ruchy w złączach. Z czasem powoduje to powstawanie warstw stykowych i przerywane ładowanie lub przerwy w transmisji danych.
Rozwiązanie
Przeszliśmy na geometrię pogo-pin z ruchomą podatnością mechaniczną. Pozwala to urządzeniu pochłaniać wibracje bez naprężania połączeń lutowanych.
6. Projekt mechaniczny
O godzinie 3:00 rano personel medyczny nie postępuje zgodnie z instrukcją. Korzysta z najszybszej drogi na skróty. To „użytkowanie w celu przetrwania” i konstrukcja mechaniczna musi to odzwierciedlać.
6.1 Ergonomia i pośpiech człowieka
- Równowaga jedną ręką: Urządzenie jest wyważone centralnie, dzięki czemu nie przewróci się, gdy będzie trzymane luźno.
- Równoległy przepływ pracy: Pielęgniarki często trzymają leki w jednej ręce, a urządzenie w drugiej. Umieściliśmy wyzwalacze skanowania fizycznego po obu stronach, aby umożliwić obsługę oburęczną.
- Pętle sprzężenia zwrotnego: Na głośnym oddziale sygnał dźwiękowy nie wystarczy. Wprowadziliśmy intensywne błyski diod LED i wyraźne wzorce dotykowe, aby potwierdzić powodzenie zabiegu.
6.2 Dezynfekcja i zapobieganie zaciąganiu wilgoci
Standardowe tworzywa sztuczne pękają pod wpływem środków dezynfekujących stosowanych w szpitalach. Użyliśmy mieszanki polimerów PC/ABS o jakości medycznej.
Inżynieria szwów
Wyeliminowaliśmy głębokie szwy. Podczas wycierania urządzenia, płyn jest wciągany w szczeliny poprzez działanie kapilarne (przesiąkanie). Nasz projekt wykorzystuje uszczelnione struktury, aby chronić wewnętrzne uszczelnienia przed chemikaliami.
Walidacja ponownego przetwarzania
Obudowę przetestowano pod kątem odporności na 5,000 cykli czyszczenia przy użyciu agresywnych środków chemicznych, takich jak wybielacz i alkohol izopropylowy.
7. Zarządzanie energią
„Martwe” urządzenie podczas podawania leku stanowi zagrożenie kliniczne. Skupiliśmy się na niezawodności zasilania poprzez innowacje mechaniczne.
7.1 Praca na długiej zmianie
PDA korzysta z baterii o dużej pojemności 4500 mAh . Wprowadziliśmy funkcję „hot-swap”, która umożliwia wymianę baterii bez wyłączania systemu operacyjnego. Dzięki temu sesja EMR pozostaje aktywna i unika się czasochłonnych ponownych logowań.
7.2 Awaria portów USB
Porty USB-C są w szpitalach miejscem częstych awarii. Gromadzą się w nich kłaczki, a wewnętrzne styki wyginają się pod wpływem dokowania „na szybko i sprawnie” wykonywanego przez zapracowanych lekarzy.
- Poprawka: wykorzystaliśmy zewnętrzne styki pogo-pin do ładowania. Są samoczyszczące i nie mają wewnętrznych pinów, które mogłyby się wygiąć. Zapewniają znacznie większą tolerancję mechaniczną podczas dokowania.
8. Dostosowywanie systemu Android i integracja ze szpitalem
Urządzenie medyczne nie może być „standardowym” telefonem z Androidem. Musi to być wzmocnione, jednofunkcyjne narzędzie.
8.1 Android Enterprise i tryb kiosku
Użyliśmy trybu kiosku, aby ograniczyć urządzenie wyłącznie do aplikacji klinicznych. Dzięki temu użytkownicy nie mogą swobodnie przełączać się między aplikacjami. Zapobiega to niepotrzebnemu przełączaniu się między aplikacjami i zmniejsza ryzyko bezpieczeństwa.
Rejestracja typu Zero-Touch
Dzięki Android Enterprise zespoły IT szpitali mogą skonfigurować dużą liczbę urządzeń jednocześnie. Na przykład, można wdrożyć 500 urządzeń z wgranymi ustawieniami Wi-Fi i certyfikatami bezpieczeństwa. Personel nie musi otwierać każdego urządzenia osobno. To oszczędza dużo czasu i ułatwia wdrożenie.
8.2 Łączność HIS i EMR
Dostroiliśmy również stos Wi-Fi do protokołów 802.11k, 802.11v i 802.11r. Jest to istotne w środowisku szpitalnym. Gdy pielęgniarka przemieszcza się z jednej części szpitala do drugiej, urządzenie może bardzo szybko, w ciągu milisekund, przełączyć się na kolejny punkt dostępu. Jeśli to przełączenie nie przebiega płynnie, sesja EMR może się zawieszać za każdym razem, gdy użytkownik przechodzi z jednego oddziału do drugiego.
9. Prototypowanie i walidacja: test 5,000 przetarć
Przeszliśmy przez trzy fazy walidacji: EVT (inżynieria), DVT (projektowanie) i PVT (produkcja).
9.1 Testowanie niezawodności
Najbardziej brutalnym testem był test chemicznego przetwarzania . Poddaliśmy urządzenie 5,000 cykli mechanicznego czyszczenia przy użyciu agresywnych chemikaliów szpitalnych.
- Wykrywanie trybu awarii: We wczesnych prototypach widzieliśmy „zaparowanie” na oknie skanera.
- Poprawka: Zmieniliśmy szkło na chemicznie utwardzane ze specjalną powłoką antyrefleksyjną, która nie ulegała degradacji pod wpływem wybielacza.
9.2 Test upadku
Przeprowadziliśmy testy upadku z wysokości 1.2 metra na beton – typową wysokość stanowiska pielęgniarskiego. Nie testowaliśmy tylko pod kątem „pęknięcia ekranu”. Testowaliśmy pod kątem „przerwanych resetów” spowodowanych przesuwaniem się wewnętrznych elementów pod wpływem uderzenia.
10. Produkcja masowa i kontrola jakości
Przejście od prototypu do 10 000 sztuk wymaga ścisłej kontroli „klasy medycznej”.
10.1 Proces SMT i PCBA
Przeprowadziliśmy inspekcję rentgenowską wszystkich płytek, aby sprawdzić, czy nie występują wady mostków lutowniczych na drobnokroplistych elementach BGA. Każda płytka przeszła kalibrację RF , aby zapewnić identyczną wydajność Wi-Fi w całej flocie.
10.2 Śledzenie i oprogramowanie sprzętowe
Każdy PDA ma swój unikalny numer seryjny. Dzięki temu możliwe jest łatwe śledzenie każdej części. Podczas produkcji zastosowaliśmy również bezpieczny proces flashowania oprogramowania układowego. Miało to na celu zagwarantowanie, że na tym etapie do urządzenia nie dostanie się żadne złośliwe oprogramowanie.
11. Wyzwania i rozwiązania inżynieryjne
| Opis projektu | Ryzyko | Rozwiązanie inżynieryjne | Wynik |
| Odblask na fiolkach | Błąd skanowania / Wprowadzanie ręczne | 3-stopniowy kąt pochylenia silnika | 99.9% skuteczność skanowania za pierwszym razem |
| Martwe strefy Wi-Fi | Opóźnienie danych / zamrożenie EMR | Różnorodność anten i Wi-Fi 6 | Bezproblemowe poruszanie się po oddziałach |
| Czyszczenie chemiczne | Pęknięcie obudowy / uszkodzenie uszczelnienia | Polimer PC/ABS klasy medycznej | Przetrwa ponad 5,000 wymazów |
| Mikro-fretting | Przerywane ładowanie | Pływające styki pogo-pin | Długoterminowa żywotność mechaniczna |
12. Rezultaty projektu i wyniki wdrożenia
Ostateczne urządzenie udało się pomyślnie zintegrować z wieloma systemami szpitalnymi, co dowodzi, że inżynieria „przetrwania” się opłaca.
Dokładność kliniczna
Liczba błędów w przyjmowaniu leków spadła o 15% dzięki lepszemu skanowaniu trudnych opakowań.
Niezawodność
W ciągu pierwszych dwóch lat od wdrożenia wskaźnik awaryjności sprzętu wyniósł mniej niż 1%.
Wydajność:
Pielęgniarki zgłosiły oszczędność 20 minut na zmianie dzięki szybszemu czasowi reakcji „wybudzania i skanowania” oraz niezawodnemu roamingowi Wi-Fi.
Łańcuch dostaw
Dzięki 7-letniej gwarancji na chipset dział IT nie musiał co roku ponownie walidować oprogramowania pod kątem nowego sprzętu.
13. Wniosek
Sukces w rozwoju przenośnych urządzeń medycznych nie polega na podążaniu za listą słów kluczowych. Chodzi o zrozumienie „blizn” po poprzednich niepowodzeniach. Priorytetem jest walidacja procesu przetwarzania nad stopniami ochrony IP, a geometria optyczna nad rozdzielczością czujnika, dzięki czemu stworzyliśmy narzędzie, które sprawdza się w rzeczywistych warunkach klinicznych.
Jako eksperci w projektowaniu sprzętu klasy medycznej i bezpiecznej personalizacji Androida , zapewniamy kompleksowe wsparcie od koncepcji do produkcji masowej. Nie tylko budujemy urządzenia, ale także dbamy o ich dostępność kliniczną.
