Um ventilador de transporte precisa fazer tudo o que uma máquina de UTI faz pesando o que pesa uma bolsa de notebook. A Hamilton Medical declara o T1 em 6,5 kg com 8 horas de bateria em duas células, ou 4 horas em uma. A ZOLL declara o EMV+ em 4,4 kg com 10 horas. A Dräger declara o Oxylog 3000 plus em 5,8 kg em um corpo de 290 por 184 por 175 mm. Esses três números definem o envelope contra o qual cada novo programa é medido, e nenhum deles deixa espaço para uma arquitetura confortável.
Na OVA Solutions somos desenvolvedores experientes de hardware para dispositivos médicos, 62 engenheiros com mais de 200 dispositivos entregues. O programa descrito aqui foi um desenvolvimento de ciclo completo: requisitos, conceito, design industrial e mecânico, eletrônica, software embarcado, testes pré-clínicos e transferência para produção. O cliente precisava de modos de ventilação de nível hospitalar, mistura de gases em malha fechada, capnografia e conexão à rede do hospital, tudo funcionando com bateria interna. A resposta de engenharia não foi uma placa inteligente. Foram dez.
Por que a eletrônica foi dividida em dez placas
O instinto em um equipamento com tamanho restrito é consolidar. Menos placas significam menos conectores, menos cobre, menos volume. Em um equipamento de suporte à vida esse instinto está errado, e a razão é a verificação, não a física.
O sistema foi dividido seguindo fronteiras de segurança. O controle respiratório em tempo real rodava em um STM32F446 com os sensores de pressão e as saídas DAC na mesma placa. A mistura de oxigênio e ar rodava em sua própria unidade, com isolação galvânica e MCU próprio, porque uma falha na proporção de gases é uma classe de risco diferente de uma falha de tela. A capnografia recebeu um controlador dedicado com o sensor de CO2 e seu próprio driver de bomba de amostragem. O gerenciamento de bateria ficou sozinho com um BQ40Z80 equilibrando quatro células de íon de lítio. A interface de usuário, uma tela flexível de 10 polegadas e um teclado capacitivo com retorno háptico, rodava em uma placa portadora i.MX8 QuadMax com uma TPU Coral edge para processamento no próprio equipamento.
Essa divisão custa volume. Ela compra algo mais valioso, que é um raio de dano pequeno durante a verificação. Quando a equipe de interface muda a interface de modos de ventilação no mês catorze, a malha de controle respiratório não volta para a verificação. Seu firmware não mudou, sua placa não mudou, e a barreira de isolação entre as duas está documentada. Em um equipamento regido pela classe C de segurança de software da IEC 62304, essa fronteira é a diferença entre um ciclo de regressão de duas semanas e um de dois meses.
Quem chega novo ao hardware Classe II costuma ouvir que a divisão em placas é uma decisão de EMC ou térmica. Em equipamentos de suporte à vida ela é principalmente uma decisão de documentação que por acaso também ajuda o EMC.
A decisão que custou mais cronograma
As válvulas proporcionais piezoelétricas que dosam o fluxo de gás são acionadas por módulos dedicados. Comprar esses módulos é a escolha óbvia: eles existem, são qualificados e mantêm um item fora da lista de materiais e fora do arquivo histórico de projeto.
O módulo comprado não coube. Era grande demais para o bloco pneumático, e sua taxa de variação limitava a velocidade com que o diafragma da válvula podia se mover, o que limitava a capacidade de resposta de toda a malha de entrega da respiração. A faixa de tensão de alimentação também pressupunha a rede elétrica e não um trilho de bateria caindo sob carga.
A equipe construiu um substituto, designado PD450, em torno de um controlador elevador de duas fases e um comparador de micropotência. Ele saiu com metade do volume da peça comprada e acionou a válvula de 2,5 a 3 vezes mais rápido, o que elevou o teto da capacidade de resposta na entrega da respiração e não apenas a contagem de peças. A faixa de alimentação ficou larga o suficiente para operação com bateria. Uma placa separada de limitação de corrente foi acrescentada embaixo dele, porque um atuador piezoelétrico se comporta aproximadamente como um capacitor de 15 microfarads e puxará de bom grado tudo o que o estágio de driver conseguir fornecer. Dois canais de limitação independentes com um termostato bimetálico de reserva resolveram o caso térmico.
O resultado de engenharia foi bom. O de cronograma não foi, e a razão merece ser dita com clareza: uma decisão de fabricar falha na bancada no mês três, enquanto uma decisão de comprar falha na integração no mês onze. Ambas são recuperáveis. Só uma delas é recuperável de forma barata.
A versão aplicada disso para qualquer diretor de programa: a decisão de fabricar ou comprar no caminho crítico deve ser tomada contra o envelope físico durante o conceito, e não contra a lista de materiais durante o layout. Escreva o parâmetro que desqualificaria a peça comprada, meça-o em uma amostra antes que o projeto mecânico congele, e trate uma suposição não medida sobre um componente comprado como um risco aberto e não como um item encerrado.
Para onde o cronograma realmente vai
A análise da Medical Design and Outsourcing coloca o tempo mediano do conceito até a autorização 510(k) em cerca de 31 meses. O relógio de revisão da FDA em si é de cerca de 90 dias. Tudo o que existe entre esses dois números é verificação e validação. Para os equipamentos que também são registrados no Brasil, a via equivalente passa pela ANVISA.
Para um ventilador isso significa ensaios de desempenho frente à ISO 80601-2-12, conformidade do sistema de alarmes sob a IEC 60601-1-8, engenharia de usabilidade sob a IEC 62366-1, gestão de risco sob a ISO 14971, EMC, vibração de transporte, altitude e validação de software na Classe C. Nada desse trabalho pode começar antes de o projeto estar estável, e tudo ele recomeça em alguma medida quando o projeto se move.
A consequência prática é que a compressão do cronograma não vem de projetar mais rápido. Ela vem de projetar em uma sequência em que os subsistemas críticos para a segurança congelam primeiro e os cosméticos congelam por último. Neste programa a placa de controle respiratório e a unidade de mistura de gases foram travadas bem antes da pilha de interface, que continuou mudando enquanto a verificação rodava em tudo o que estava embaixo dela.
O que diríamos hoje a um diretor de programa que está começando
Congele antes de tudo o MCU crítico para a segurança e sua placa, e aceite uma interface que vai parecer inacabada por mais dois trimestres. Divida as placas por domínio de verificação e não por conveniência mecânica, e escreva a fronteira de risco no documento de arquitetura para que a justificativa sobreviva à rotatividade da equipe. Decida fabricar ou comprar contra física medida e não contra especificações de catálogo, e coloque por escrito o parâmetro que desqualifica. Dê ao caminho de alimentação um responsável com nome desde a primeira semana, porque em um equipamento de suporte à vida alimentado por bateria a arquitetura de potência condiciona ao mesmo tempo a pneumática, a computação e o gabinete. Coloque os testes pré-clínicos no orçamento do plano original em vez de tratá-los como a fase que vem depois da engenharia.
O programa chegou aos testes pré-clínicos e à transferência para produção. A Mordor Intelligence avaliou o segmento de ventiladores portáteis em cerca de 1,08 bilhão de dólares para 2026, crescendo pouco acima de 5 por cento ao ano. Em um mercado que se move nesse ritmo, os programas que chegam primeiro raramente são os que projetaram mais rápido. São os que decidiram mais cedo quais subsistemas ainda tinham permissão para mudar.
Perguntas frequentes
Por que a eletrônica do ventilador foi dividida em dez placas e não em uma
As placas foram divididas seguindo fronteiras de segurança e não a conveniência mecânica. O controle respiratório em tempo real, a mistura de gases, a capnografia e o gerenciamento de bateria ficaram cada um em sua própria unidade, de modo que uma mudança no lado não crítico não arrasta o lado crítico de volta para a verificação. Sob a classe C de segurança de software da IEC 62304 essa fronteira é a diferença entre um ciclo de regressão de duas semanas e um de dois meses.
Quanto custou ao programa a decisão de fabricar ou comprar
O módulo comprado para acionar a válvula piezoelétrica era grande demais para o bloco pneumático, sua taxa de variação limitava a entrega da respiração e sua faixa de alimentação pressupunha a rede elétrica. O substituto, designado PD450, saiu com metade do volume e acionou a válvula de 2,5 a 3 vezes mais rápido. Uma decisão de fabricar falha na bancada no mês três, enquanto uma de comprar falha na integração no mês onze.
Quanto tempo leva um ventilador portátil Classe II do conceito até a autorização
A análise da Medical Design and Outsourcing coloca o tempo mediano do conceito até a autorização 510(k) em cerca de 31 meses, enquanto o relógio de revisão da FDA em si é de cerca de 90 dias. Tudo o que existe entre esses dois números é verificação e validação, e nada disso pode começar antes de o projeto estar estável.
Quais normas se aplicam a um ventilador portátil
Os ensaios de desempenho são feitos frente à ISO 80601-2-12, a conformidade do sistema de alarmes sob a IEC 60601-1-8, a engenharia de usabilidade sob a IEC 62366-1 e a gestão de risco sob a ISO 14971. O software é validado na Classe C da IEC 62304. Também se aplicam EMC, vibração de transporte e altitude.
Quanto pode pesar um ventilador portátil
A Hamilton Medical declara o T1 em 6,5 kg com 8 horas de bateria em duas células. A ZOLL declara o EMV+ em 4,4 kg com 10 horas. A Dräger declara o Oxylog 3000 plus em 5,8 kg em um corpo de 290 por 184 por 175 mm. Esses três números definem o envelope contra o qual cada novo programa é medido.
Fontes: Hamilton Medical, especificações do HAMILTON-T1 · ZOLL, folha de especificações da série EMV+ 731 · Dräger, ficha técnica do Oxylog 3000 plus · Medical Design and Outsourcing, análise de tempo e custo do 510(k) · FDA, Premarket Notification 510(k) · Mordor Intelligence, mercado de ventiladores portáteis · IEC 62304:2006+AMD1:2015 · ISO 80601-2-12:2023 · IEC 60601-1-8:2006+AMD1:2012+AMD2:2020 · IEC 62366-1:2015+AMD1:2020 · ISO 14971:2019