Em um controlador vestível para um implante neural a especificação que importa é o jitter, não a latência. O implante não admite manutenção, então toda função que possa mudar pertence ao hub. O Bluetooth padrão não pode ficar dentro de um laço de controle de milissegundos, então o rádio transporta padrões de estimulação em vez de amostras, e o laço se fecha no implante contra um relógio sincronizado.
Um sistema de restauração sensorial se divide em duas metades com vidas úteis muito diferentes. O implante é colocado cirurgicamente e fica. O hub vestível fica sobre o corpo, carrega toda noite e pode ser substituído ou atualizado a qualquer momento. Toda decisão de arquitetura nessa classe de dispositivo decorre dessa assimetria, e as que dão errado dão errado porque uma equipe tratou as duas metades como iguais.
O programa descrito aqui foi um controlador vestível que lê dados de marcha em tempo real e os converte em padrões de estimulação intraneural, construído sobre um nRF54L15 com Zephyr RTOS, BLE 5.4, uma IMU de seis eixos, registro em flash local e carregamento USB-C com gerenciamento de bateria de íons de lítio. A OVA Solutions vive de construir hardware para dispositivos médicos. Nossos 62 engenheiros já entregaram mais de 200 dispositivos, e neste programa nosso escopo abrangeu a seleção de componentes, a engenharia de firmware e a prototipagem funcional.
Coloque tudo na parte que você pode manter
Os dados reais de longevidade dos estimuladores implantados são mais sóbrios do que o marketing sugere. Uma análise do Medicare de 2023 cobrindo 106.462 dispositivos de estimulação medular situou a longevidade mediana projetada em 8,2 anos para sistemas de pilha primária e em 9,0 anos para os recarregáveis, uma diferença muito menor do que a premissa de projeto por trás dos implantes recarregáveis. Os dados de estimulação cerebral profunda de 2025 situam a longevidade mediana do gerador de pulsos implantável em 75,9 meses, perto de seis anos e meio, com os parâmetros de estimulação influenciando fortemente o resultado.
Leia isso como uma instrução de engenharia e não como uma estatística de mercado. Tudo o que funciona dentro do corpo está em um relógio de vários anos que termina em um procedimento cirúrgico, e tudo o que muda o consumo do implante move essa data. Então computação, armazenamento, conectividade, atualizações de algoritmo e registro de diagnóstico pertencem todos ao hub vestível. O implante deve executar, não decidir.
Esse princípio tem um corolário prático ao qual as equipes costumam resistir: projete o sistema para que o implante nunca precise de uma atualização de firmware. Coloque toda a superfície de atualização no hub e no aplicativo móvel, e trate o firmware do implante como congelado no momento da implantação. Para um dispositivo que também é registrado no Brasil, o dossiê desse firmware congelado é o mesmo que a ANVISA analisa.
O enlace sem fio não pode transportar o laço de controle
A retroalimentação sensorial em laço fechado trabalha com metas de latência apertadas. As faixas deste programa foram nossas, fixadas nos requisitos do projeto e não tiradas de um consenso publicado: um efeito útil em laço fechado abaixo de 10 milissegundos, uma retroalimentação que se integra naturalmente aos circuitos motores entre 1 e 5 milissegundos, e uma estimulação biomimética no seu melhor abaixo de 1 milissegundo. Um estudo de 2013 sobre matrizes de alta densidade executou estimulação em laço fechado com uma latência mínima programável de 400 microssegundos e jitter abaixo de 50 microssegundos.
O Bluetooth Low Energy padrão não consegue cumprir esses números, e a razão é estrutural e não incidental. As especificações do núcleo Bluetooth até a 6.1 fixam o intervalo mínimo de conexão em 7,5 milissegundos, e o dispositivo descrito aqui foi construído sobre BLE 5.4. A versão 6.2 do núcleo reduziu desde então esse piso para 375 microssegundos, o que muda a aritmética para um programa que começa hoje e não para este. Um único salto por uma conexão BLE padrão tem portanto um piso de 7,5 milissegundos antes de qualquer processamento, e uma arquitetura ingênua com um nó sensor sem fio alimentando um hub que por sua vez alimenta um implante empilha dois desses intervalos e fica inteiramente fora da janela útil.
A arquitetura que funciona aceita isso em vez de combatê-lo. A IMU fica local ao hub, cabeada, de modo que o salto de sensoriamento custa microssegundos e não milissegundos. O enlace sem fio até o implante transporta padrões de estimulação e atualizações de parâmetros em vez de um fluxo de amostras, e o implante executa esses padrões localmente contra um relógio sincronizado. O laço se fecha na ponta, e o rádio transporta o modelo em vez do sinal.
É uma regra generalizável para qualquer sistema distribuído de tempo real. Quando a latência do enlace supera o período de controle, pare de transmitir o laço e comece a transmitir o modelo.
O jitter é mais difícil do que a latência e recebe menos orçamento
A maioria das equipes escreve um orçamento de latência. Muito poucas escrevem um orçamento de jitter, e nessa classe de dispositivo o jitter é a especificação mais exigente.
A evidência do porquê está em um experimento cortical em laço fechado publicado em 2023 em camundongos, no qual os animais aprenderam a tarefa somente quando a retroalimentação artificial percorria o córtex sensorial como um padrão contíguo no espaço e no tempo, e não apenas entregue em tempo real. O que o sistema nervoso lê é a estrutura interna do padrão, e a variância temporal destrói a estrutura de um modo que um atraso constante não destrói. Um sinal que chega atrasado de forma consistente é um sinal ao qual o cérebro consegue se adaptar. Um sinal cuja temporização vagueia é um sinal diferente a cada vez.
O BLE é comparativamente bom em latência média e comparativamente ruim em variância, porque eventos de conexão, retransmissões, atualizações do mapa de canais e a coexistência em 2,4 GHz introduzem dispersão temporal em vez de atraso constante. Qualquer arquitetura que coloque o salto sem fio dentro do laço perceptivo herda essa dispersão diretamente.
O requisito prático é um orçamento de jitter por salto escrito ao lado do orçamento de latência no momento da arquitetura, com um plano de medição anexado. O registro em flash local no hub existe em parte para isso: um orçamento temporal de três milissegundos não pode ser depurado por um aplicativo móvel, e não pode ser depurado depois do fato sem registros com carimbo de tempo capturados no próprio dispositivo.
Otimize a corrente ativa, não a corrente de repouso
O projeto de alimentação de vestíveis tem um reflexo padrão, que é minimizar a corrente de repouso. Em um dispositivo que nunca dorme de verdade, esse reflexo está errado, e os dados publicados do silício deixam isso claro.
Comparando a família nRF54L com o nRF52840, a corrente ativa de CPU fica em cerca de 2,6 mA contra 3,3 mA, e a corrente de recepção é aproximadamente a metade. A corrente de transmissão a 0 dBm fica em cerca de 4,8 mA contra 6,4 mA, aproximadamente um quarto a menos. Em repouso profundo a peça antiga costuma ser melhor: o nRF52840 retém a RAM com cerca de 2,35 microampères contra 2,9 do nRF54L, e em desligamento do sistema fica em 0,4 contra 0,7. O nRF54LV10A da Nordic, voltado ao setor médico, declara entre 30 e 50 por cento menos consumo em casos de uso BLE comuns, e vence por menos tempo com o rádio ligado e computação mais rápida, não por um piso mais baixo.
A conclusão para um dispositivo em laço fechado de operação contínua é que a corrente média domina e o número de repouso é quase irrelevante. Escolha a peça que termina o trabalho mais rápido e desliga o rádio mais cedo, e avalie-a com um ciclo de trabalho realista em vez do número de repouso da folha de dados.
A versão curta para um diretor de programa
Trate o implante como não manutenível e leve para o hub tudo o que possa mudar, incluindo toda a superfície de atualização. Mantenha o salto de sensoriamento cabeado e local para que o enlace sem fio nunca fique dentro do laço de controle. Envie padrões e parâmetros pelo rádio em vez de amostras, e feche o laço na ponta contra um relógio sincronizado. Escreva um orçamento de jitter por salto ao lado do orçamento de latência e anexe a ele um plano de medição. Registre a temporização no dispositivo, porque um orçamento na escala de milissegundos não é observável de um telefone. Selecione o silício pela corrente ativa em um ciclo de trabalho realista e não pela corrente de repouso.
Este sistema chegou ao protótipo funcional. Sejam quais forem os números de desempenho que um programa desta categoria venha a publicar, o que vale a pena exigir é a distribuição do jitter por salto, expressa com a sua cauda e não só com a sua média, porque ela determina se o sistema nervoso consegue usar o sinal e é o número que mais provavelmente faltará no relatório.
Perguntas frequentes
Por que o implante nunca deveria precisar de uma atualização de firmware?
Porque tudo o que funciona dentro do corpo está em um relógio de vários anos que termina em um procedimento cirúrgico, e tudo o que muda o consumo do implante move essa data. Uma análise do Medicare de 2023 sobre 106.462 dispositivos de estimulação medular situou a longevidade mediana projetada em 8,2 anos para sistemas de pilha primária e em 9,0 anos para os recarregáveis. Coloque toda a superfície de atualização no hub e no aplicativo móvel, e trate o firmware do implante como congelado na implantação.
Por que um enlace Bluetooth padrão não pode transportar o laço de controle?
As especificações do núcleo Bluetooth até a 6.1 fixam o intervalo mínimo de conexão em 7,5 milissegundos, e este dispositivo foi construído sobre BLE 5.4. Um único salto tem portanto um piso de 7,5 milissegundos antes de qualquer processamento, e um nó sensor sem fio alimentando um hub que alimenta um implante empilha dois desses intervalos. A versão 6.2 do núcleo reduziu desde então o piso para 375 microssegundos, o que muda a aritmética para um programa que começa hoje e não para este.
O que significa transmitir o modelo em vez do laço?
A IMU fica local ao hub e cabeada, de modo que o salto de sensoriamento custa microssegundos e não milissegundos. O enlace sem fio até o implante transporta padrões de estimulação e atualizações de parâmetros em vez de um fluxo de amostras, e o implante executa esses padrões localmente contra um relógio sincronizado. A regra se generaliza para qualquer sistema distribuído de tempo real: quando a latência do enlace supera o período de controle, pare de transmitir o laço e comece a transmitir o modelo.
Por que o jitter é mais difícil de cumprir do que a latência?
Um experimento cortical em laço fechado em camundongos publicado em 2023 constatou que o aprendizado ocorria somente quando a retroalimentação artificial era contígua no espaço e no tempo, e não apenas rápida. O sistema nervoso lê a estrutura interna do padrão, e a variância temporal destrói a estrutura de um modo que um atraso constante não destrói. A um sinal que chega atrasado de forma consistente é possível se adaptar. Um sinal cuja temporização vagueia é um sinal diferente a cada vez, e o BLE é ruim exatamente nessa variância.
Por que otimizar a corrente ativa e não a de repouso neste dispositivo?
O dispositivo nunca dorme de verdade, então a corrente média domina e o número de repouso é quase irrelevante. Frente ao nRF52840, a família nRF54L consome cerca de 2,6 mA de corrente ativa de CPU contra 3,3 mA e transmite a 0 dBm com cerca de 4,8 mA contra 6,4 mA, enquanto em repouso profundo a peça antiga costuma ser melhor. Escolha a peça que termina o trabalho mais rápido e desliga o rádio mais cedo, avaliada com um ciclo de trabalho realista.
Por que o hub precisa de registro em flash local?
Porque um orçamento temporal de três milissegundos não pode ser depurado por um aplicativo móvel, e não pode ser depurado depois do fato sem registros com carimbo de tempo capturados no próprio dispositivo. A flash local do hub existe em parte para tornar observável a distribuição do jitter por salto, com a sua cauda e não só com a sua média, porque essa distribuição determina se o sistema nervoso consegue usar o sinal.
Fontes: Análise de longevidade da estimulação medular no Medicare, 2023, n=106.462 · Estudo de longevidade do gerador de pulsos implantável de DBS, 2025 · Estudo de estimulação em laço fechado submilissegundo, 2013 · Experimento de padrões de retroalimentação cortical em camundongos, 2023 · Bluetooth SIG, limites do intervalo de conexão · Nordic Semiconductor, números de consumo do nRF54L e do nRF52840 · Nordic Semiconductor, anúncio do nRF54LV10A
Lisa Voronkova é especialista em desenvolvimento de dispositivos médicos e CEO da OVA Solutions, uma empresa de P&D com 62 engenheiros que já entregou mais de 200 dispositivos. É doutora em matemática aplicada e autora de Hardware Bible: Build a Medical Device from Scratch.
Se você está desenvolvendo algo nessa área, teremos prazer em analisar com você. Reserve um horário na agenda da Lisa em calendly.com/lisa-voronkova/30min e, se nenhum horário servir, escreva para lisa@ovasolutions.com.