本文件是IEC 60601-2-27:2011 心电监护设备 - 学习与理解笔记的第 5 部分。本学习与理解笔记一共分为6个部分。
前一部分：IEC 60601-2-27:2011 心电监护设备 - 学习与理解笔记（第4部分）
第九章：报警系统——无人值守场景下的整套改写【引述依据：208】
9.1 第 208 章是什么，为什么不是"第 9 章"
心电监护设备的报警要求来自 IEC 60601-1-8:2006（医用电气设备报警系统通用要求）。本标准用扩展编号 208 把它整体引入，再做针对性改写。所以读法上要记住两层：
- 第一层是通用框架：报警条件（ALARM CONDITION）、报警信号（ALARM SIGNAL）、优先级（HIGH/MEDIUM/LOW）、报警限、报警消隐状态、锁存与非锁存、分布式报警系统——这些概念与基本规则都在 1-8 里。
- 第二层是本标准的改写：几乎全部集中在同一个前提上——这类设备的预期用途里包含"患者并非由临床操作者连续值守"的场景。
理解了这个前提，208 章的改写就不再像"零散补丁"，而是一条清晰的逻辑：无人值守时，听觉报警信号是唯一能跨越房间的信息通道；一切会削弱这条通道的规则，都必须收紧。
💡 行业经验提示：很多团队把 208 章当成"报警音怎么响"的规范，交给声学或 UI 团队处理。实际上它约束的是临床工作流：谁值守、报警给谁听、听不到时谁负责。建议在需求阶段先明确产品的预期使用环境（ICU？手术室？普通病房？转运？居家？），因为同一个硬件在不同环境下的合规结论可能不同。
9.2 三个"无人值守"改写点
208 章反复使用同一个限定语："预期用途包含监测非连续值守患者的设备"。落在条款上，主要改写三处：
- 优先级映射（208.6.1.2）：通用标准允许某些"轻微伤害 + 延迟发生"的报警条件被归为"LOW 或不设报警信号"。本标准删掉了"不设报警信号"这个选项——无人值守时，没有听觉信号等于报警系统对该条件失效。
- 听觉信号特征（208.6.3.3.1）：通用标准里 LOW 优先级听觉信号允许"大于 15 s 重复或不重复"。本标准改为必须在有限间隔内重复，并把重复间隔收窄到有界的范围；同时明确技术报警条件也必须有听觉报警信号。
- 音量归零（208.6.3.3.2.101）：允许操作者把听觉报警音量调到零，但此时必须显示 AUDIO OFF 状态；唯一例外是设备属于分布式报警系统、且报警信号会在远程部件重复呈现。
💡 行业经验提示：这三条改写的共同指向是"不能悄悄静音"。行业里最常见的合规争议不是"音量不够大"，而是"静音后界面没有任何持续提示"。设计上更稳妥的做法是把 AUDIO OFF 做成常驻状态图标（而不是一次性弹窗），并让它与报警限、报警暂停状态在同一视觉层级呈现。
9.3 优先级：从"后果 + 速度"推出结论
208.6.1.2 配套的优先级表（Table 208.101）不是按"参数类型"分配的，而是按两个维度交叉：
- 不响应报警原因可能导致的结果：死亡或不可逆伤害 / 可逆伤害 / 轻微伤害或不适；
- 潜在伤害的发生速度：立即 / 较快 / 延迟。
按这两个维度交叉后，再叠加一条本标准的硬性分配（208.6.6.2.105）：
- 心率报警条件至少为 MEDIUM PRIORITY；
- 心脏停搏（asystole）、室性心动过速、室性颤动必须为 HIGH PRIORITY；
- 其他生理报警条件（如室性早搏、二联律、心律不齐）的优先级，或是否可以当作信息信号处理，由风险管理决定。
这条"由风险管理决定"不是留白，而是要求：产品必须能拿出理由说明"为什么这个心律失常只需要 LOW"或"为什么它可以不报警"。理由要落在风险管理文件里，而不是产品经理的直觉里。
💡 行业经验提示：把心律失常分级的决策只写进产品需求文档，是审评时最容易被追问的点。行业做法是把它做成"临床依据 + 风险管理结论 + 可配置项"三层：临床依据说明危害，风险管理给出优先级，配置项留给责任机构按科室习惯调整（且限制访问权限）。
9.4 听觉报警信号：脉冲数、间隔与"必须重复"
208.6.3.3.1 对听觉信号的改写可以概括为一张"三档特征"的轮廓（具体数值见标准原文 Table 208.102）：
| 维度 | HIGH | MEDIUM | LOW |
|---|---|---|---|
| 每串脉冲数 | 最多 | 居中 | 最少（1 或 2） |
| 串间隔 | 最短区间 | 中等区间 | 较长但有上限 |
| 脉冲间隔 | 两种节拍（x / y） | 同左，且需满足节拍约束 | 同左 |
| 任意两脉冲幅度差 | 有上限（dB） | 同左 | 同左 |
本标准额外做的三件事：
- 删除 LOW 优先级的"不重复"选项，改为在有限区间内必须重复；
- 技术报警条件必须有听觉报警信号（通用标准并未强制到这一步）；
- 最大串间隔由风险管理确定，并通过检查风险管理文件来验证。
第 3 点容易被忽略：标准没有给一个"万能的最大间隔"，而是要求制造商自己论证"在我们的使用环境里，多长的间隔仍然能被及时察觉"。间隔太长，临床可能错过；太短，又会被当成噪声而被习惯性忽视。
💡 行业经验提示：报警疲劳不是"音量问题"，而是"信噪比问题"。行业里有效的做法通常不是把声音调大，而是减少无效报警：把报警限默认值设得合理、对运动伪差做质量判定、对重复报警做升级策略。这些都与 208 章的"风险管理决定间隔"直接相关——论证材料本身就是设计依据。
9.5 音量归零、AUDIO OFF 与分布式例外
208.6.3.3.2.101 的规则很短，但边界很清楚：
- 操作者可以把听觉报警音量降到零；
- 一旦降为零，必须指示 AUDIO OFF 状态；
- 例外：设备是分布式报警系统的一部分，且报警信号会在系统的远程部件重复呈现。
AA 的解释补充了临床背景：在 ICU 这类环境里，一名操作者同时照看多名患者，无法同时观察所有屏幕，因此听觉通道是主要提示；在这种情况下，音量归零必须被明确指示。AA 同时建议在此类环境中限制音量的最低声压，而不是允许无限制地降到零。
💡 行业经验提示：AUDIO OFF 的实现细节常出问题的地方是"状态不持久"——重启、切换患者、插拔模块后音量被重置为默认，但界面仍显示 AUDIO OFF。建议把 AUDIO OFF 纳入配置持久化与状态机验证用例，与第 4 章的"配置不丢失"要求一起测。
9.6 分布式报警：延迟要有上限，断链必须报警
分布式报警系统（例如监护仪 + 中央站 + 手持设备）带来两个新问题，208 章都给了明确要求：
延迟（208.6.4.2）。生理与技术报警条件在远程部件上的报警信号生成延迟必须被限制，使患者治疗不被不可接受地延误；最大可接受延迟由风险管理确定，并通过检查风险管理文件验证。AA 的解释是：远程设备有时被当作"主报警设备"使用（例如床旁机音量归零），此时整体延迟必须短到临床能及时响应心搏骤停、室颤这类事件。
通信失效（208.6.11.2.2）。远程通信失效时，分布式报警系统中任何能够产生报警信号的受影响部分，都必须产生技术报警条件。还有一条更容易被漏掉：如果设备处于 AUDIO OFF 状态时检测到通信失效，必须终止 AUDIO OFF 并启动技术报警条件。
远程操作（208.6.11.101）。允许从远程部件启用/终止报警消隐状态、执行 ALARM RESET、甚至修改报警限——但前提是风险管理认为对该使用环境可接受，且这些功能的配置权限只能给责任机构，临床操作者在正常使用中不得更改该配置。
💡 行业经验提示：分布式报警最常见的现场问题是"中央站显示正常，床旁已经断网"。208.6.11.2.2 要求的是双向可见：断链时床旁要报警，而不是只在中央站留一条日志。测试时建议直接拔网线、断 Wi-Fi、断电重启交换机三种方式各测一次，并确认 AUDIO OFF 场景下的行为符合要求。
9.7 心率报警限与报警时间：四条硬指标
208.6.6.2 的四个子条款构成了心率报警的"可验证骨架"：
可调范围（.101）。必须能调整心率上下限。成人患者的上限至少覆盖到较高区间、下限至少覆盖到较低区间；新生儿与儿科患者的可调范围更宽（上限更高、下限也更高）。具体端点值见标准原文。
调节步进（.102）。报警限的调节步进不得超过 ±5 1/min。步进过大，临床就无法把限值设到贴近患者基线的位置，报警要么太迟要么太频繁。
报警时间（.103）。心脏停搏的报警信号生成延迟不得超过 10 s；心率过高/过低报警的报警条件延迟与信号生成延迟之和不得超过 10 s。试验用固定 QRS 形态的信号，通过阶跃改变心率来测量：由高于下限的稳定心率阶跃到低于下限、由低于上限阶跃到高于上限、以及阶跃到零心率三种情形。
不可用报警（.104）。设备必须能在 10 s 内指示"因 ECG 放大器任何部分过载或饱和、以及因导联线脱落而不可用"。试验方法是叠加一个缓慢变化的直流偏置把放大器推到饱和，若 10 s 内心电信号不可见（且幅度低于规定值），必须出现技术报警；随后断开全部导联线，10 s 内同样必须出现技术报警。
💡 行业经验提示：10 s 这个数字在不同条款里反复出现（除颤恢复、ESD 恢复、电外科恢复、报警时间、不可用指示），很容易被当成"同一个 10 s"。实际上它们的起点不同：有的是干扰结束、有的是心率阶跃、有的是导联断开。建议在验证计划里为每个 10 s 单独写清"计时起点与终点"，否则测试报告很容易被质疑口径。
9.8 消隐、暂停与 ALARM RESET：三种"让声音停下"的方式
这三个概念经常被混为一谈，但 208 章对它们的要求完全不同：
| 方式 | 作用对象 | 关键约束 |
|---|---|---|
| 报警消隐状态（ALARM PAUSED / AUDIO PAUSED / ALARM OFF / AUDIO OFF） | 听觉/视觉信号的暂时或永久抑制 | 技术报警的视觉信号不得被消隐 |
| ALARM RESET | 确认当前报警 | 停听觉、清已消失的锁存视觉、立即恢复待命 |
| 报警限调整 | 改变触发条件 | 步进受限，需与临床基线匹配 |
技术报警的视觉不可消隐（208.6.8.101） 是本标准很重要的一条：无论是 ALARM PAUSED 还是 ALARM OFF，都不得消隐那些"能指明具体技术报警条件及其优先级"的视觉信号，并且要求在 1 m 距离可辨识。换句话说，即使操作者把报警全关了，"导联脱落"这类信息仍必须看得见。
同一条还要求：技术报警期间，测量值的显示方式必须让操作者能识别其有效性。AA 给出的做法是：心率无法计算时显示空白或符号，而不是继续显示上一次的数值——因为那个数值此时已经无效。
ALARM RESET（208.6.9） 是"确认"而非"关闭"：它停止生理报警的听觉信号、清除已经不存在的锁存报警的视觉信号、对仍然存在的报警条件保持视觉信号、并立即让报警系统恢复待命。AA 特别强调最后一点：正是"立即恢复待命"把 ALARM RESET 与各种暂停状态区分开来——暂停会暂时关掉报警系统，而 ALARM RESET 让系统始终保持开启。
💡 行业经验提示：临床上最危险的操作不是"按了静音"，而是"按了静音后忘了系统还处于静音"。因此 ALARM RESET 的设计目标是"一次确认、无需再操心"；而消隐状态必须持续可见（剩余暂停时间、ALARM OFF 图标）。把这两类操作放在同一个按键上，是行业里常见的设计错误。
9.9 锁存与非锁存：为什么技术报警必须是非锁存
208.6.10 允许设备支持锁存（LATCHING）与非锁存（NON-LATCHING）报警信号的混合，但要求提供配置手段，使责任机构能把全部生理报警条件统一配置为全锁存或全非锁存，并且限制临床操作者更改该配置。
208.6.10.101 则直接规定：技术报警条件必须使用非锁存报警信号。
AA 给出的理由非常直白：技术报警表示"某项生理测量因技术原因尚未就绪或已中断"（例如导联脱落导致心率无法计算）。要求非锁存，意味着报警信号在条件存在期间持续显示，条件消除后无需操作者干预即自动停止。这样既不会把"已经修好的故障"留在屏幕上，也不会要求临床为每一次插拔导联做确认。
AA 对锁存/非锁存的取舍也给了很有价值的行业视角：在 ICU、急诊这类"一人照看多名患者"的环境里，操作者很难察觉短暂的报警；而在手术室这类连续值守环境中，非锁存更符合工作流。全锁存虽然"强制响应"，但伪差与设置不当会导致大量误报，形成管理负担。
💡 行业经验提示：把"全锁存/全非锁存"做成责任机构级配置，而不是临床可随手切换的开关，是 208.6.10 的明确要求。实现上建议把该配置与科室档案绑定，并在审计日志里记录变更人；否则很容易在检查中被质疑"临床可以把报警配置改成任何状态"。
9.10 图 5：优先级判定与报警状态操作
9.11 报警系统的设计落地清单
| 设计域 | 关键动作 | 对应条款 |
|---|---|---|
| 优先级模型 | 建立"后果 × 速度"矩阵；停搏、室速、室颤固定 HIGH；其余留风险管理论证 | 208.6.1.2、208.6.6.2.105 |
| 听觉信号 | 三档脉冲数/间隔实现；LOW 必重复；串间隔上限写入风险管理 | 208.6.3.3.1 |
| 静音与状态 | AUDIO OFF 常驻指示；暂停剩余时间可见；配置持久化 | 208.6.3.3.2.101 |
| 报警限 | 成人与儿科双套范围；步进 ≤ 5 1/min；默认值需临床合理 | 208.6.6.2.101、.102 |
| 时间指标 | 10 s 类指标逐项定义计时起点；阶跃测试可复现 | 208.6.6.2.103、.104 |
| 技术报警 | 非锁存；视觉不可消隐；测量值有效性标记 | 208.6.8.101、208.6.10.101 |
| 分布式 | 延迟上限论证；通信失效双向可见；AUDIO OFF 联动 | 208.6.4.2、208.6.11.2.2、208.6.11.101 |
| 权限 | 全锁存/全非锁存、远程操作配置仅责任机构可改 | 208.6.10、208.6.11.101 |
9.12 与前面各章的交叉
- 与第 6 章：报警限依赖心率测量的准确度与 QRS 识别范围；心率算错，报警再快也无意义。208.6.6.2.103 的试验信号条件（QRS 幅度与宽度）与 201.12.1.101.15 的口径一致。
- 与第 4 章：EMC 决定"干扰期间报警系统是否还在工作"，208 章决定"工作不正常时怎么告知"。AUDIO OFF 与通信失效的联动要求，正好落在两章的交界处。
- 与第 3 章：显示指示（滤波、导联、增益、扫描速度）与报警信息的视觉层级必须共存而不互相遮蔽；技术报警期间测量值的有效性标记也属于显示设计。
- 与第 5 章（电源与电池）：电池耗尽前的技术报警（201.11.8.101）必须走本章的技术报警通道，且按本章要求为非锁存、听觉信号必须存在。
💡 行业经验提示：把报警系统单独交给一个团队做，几乎必然出现"跨章不一致"：EMC 团队不知道 AUDIO OFF 需要与通信失效联动，电源团队不知道低电量报警要走非锁存通道，显示团队不知道技术报警的视觉信号不可消隐。行业里更有效的组织方式，是在项目初期就建立一张"报警相关条款责任矩阵"，把 201.11.8.101、202.6.2.101、208.6.x 一起分派。
再次提醒：精确数据请查阅标准原文。 本章涉及的 10 s、±5 1/min、3 档脉冲数、串间隔区间、10 dB、1 m、300/100 W 等数值，仅用于建立量级概念；完整的优先级表、听觉信号特征表、报警状态图与试验细节请以标准原文 208.6.1.2、208.6.3.3、208.6.4.2、208.6.6.2.101–.105、208.6.8.101、208.6.9、208.6.10、208.6.11 及 Table 208.101–208.102、Annex BB 为准。