一句话总结：IEC 60601-1-2:2014+AMD1:2020 (Ed 4.1) 在 Clause 8.1 中明确要求制造商必须在抗扰度测试开始前制定详细的通过/失败判据，且判据必须基于风险管理文件或适用专标——这不是测试实验室的职责，而是制造商的不可推卸责任。本文系统拆解抗扰度测试判据怎么定、可接受降级与不可接受失败的边界如何划分，以及测试后如何将观察到的效应反馈进持续风险管理流程。
8.1 抗扰度通过/失败判据的核心要求
Clause 8.1 是 IEC 60601-1-2 中对抗扰度测试判据最集中的规定。标准以强制语言明确了制造商的四项核心任务：
第一，判据必须在测试前确定。 标准原文表述为 "Before IMMUNITY testing begins, the MANUFACTURER shall determine specific, detailed IMMUNITY pass/fail criteria"，判据来源有两个渠道——适用的 IEC 60601-2-xx 专标中的 ESSENTIAL PERFORMANCE 定义，以及/或者是制造商的 RISK MANAGEMENT 过程。两者至少取其一，但实务中往往需要双管齐下。
第二，监控方法必须同步确定。 标准接着要求制造商 "determine how the ME EQUIPMENT or ME SYSTEM will be monitored during the tests to check for compliance"。这意味着仅定义"什么算通过"是不够的，还必须明确"怎么观察是否通过"——用硬件测量电路、软件日志、操作者目视检查还是三者组合。
第三，判据必须写入两份文件。 "These pass/fail criteria and this monitoring specification should be included in the test plan and shall be included in the test report and the RISK MANAGEMENT FILE." 注意 "should" 和 "shall" 的区别——写入测试计划是强烈推荐，写进测试报告和风险管理文件是强制要求。合规审核时，符合性检查方式就是 "inspection of the RISK MANAGEMENT FILE and the test report for inclusion of the pass/fail criteria and by application of the tests specified in Table 4 through Table 9 and 8.11"。
第四，判据可以包含可接受降级。 标准明确允许 "IMMUNITY pass/fail criteria may specify degradations that are acceptable because they do not result in unacceptable RISK"。这意味着不是任何功能降级都算失败——只要降级不导致不可接受风险，就可以写进判据作为接受条件。
综合以上四项要求，Clause 8.1 构建了一个完整的判据管理闭环：风险管理输入判据 → 判据写入测试计划和文件 → 测试中实施监控 → 测试后反馈风险管理。这个闭环将 EMC 测试从一次性的"实验室活动"升级为贯穿设备生命周期的风险管理活动。
判据制定的三阶段方法
从 Clause 8.1 的强制要求和 Annex I 的指导原则中，可以提炼出一个判据制定的三阶段框架：判据来源分析 → 判据详细制定 → 测试执行与后续管理。下面用流程图直观展示从风险管理输入到合规判定的完整路径。
流程分为三个阶段：
阶段1（判据来源）：从 Clause 4.1 要求的 RISK MANAGEMENT PROCESS 出发，识别设备的基本安全 (BASIC SAFETY) 和基本性能 (ESSENTIAL PERFORMANCE)。这是判据的根基——你无法为你不理解的风险设定判据。
阶段2（判据制定）：依据 Annex I.2.3 的七要素法，系统确定判据并同步制定监控方案。最后将判据与监控方法写入测试计划（推荐）和风险管理文件（强制）。
阶段3（测试执行与判定）：按 Table 4-9 和 8.11 执行抗扰度测试，测试期间和测试后持续对照判据监控。通过则判定合规（Clause 8）；未通过则将观察到的效应反馈进持续风险管理过程，判定接受或需重新设计。
监控方法的选择
标准要求制造商确定"how the ME EQUIPMENT or ME SYSTEM will be monitored during the tests"，但并未预设具体的监控手段。实践中常见的监控方法包括：
| 监控方式 | 适用场景 | 局限性 |
|---|---|---|
| 硬件电气测量 | 电压/电流参数、报警继电器状态 | 无法覆盖软件功能逻辑 |
| 软件日志分析与事件记录 | 图像处理、报警算法、参数变化 | 受限于采样率和日志深度 |
| 操作者实时目视观察 | 显示器闪烁、机构运动异常 | 主观性强，不可复现 |
| 自动化测试脚本注入 | 数据流完整性、通信协议验证 | 设备需支持外部接口 |
对于多通道设备（如多参数监护仪），Annex I.3.1 特别强调 "the pass/fail criteria should be applied to each function, parameter and channel"——每个功能、每个参数、每个通道都必须有独立的监控点和判据，不能用单一通道的评估结果替代全系统评估。
监控精度要求
Annex I.2.1 要求功能响应 "should be monitored, with sufficient accuracy and resolution, before, during and after IMMUNITY testing"。这意味着监控系统本身的精度和分辨率必须高于被测功能的误差容限。例如，如果心率监护仪的心率误差判据为 ±5 bpm，则监控系统的分辨率至少需要达到 ±1 bpm 以下，否则监控系统自身的噪声可能掩盖或放大被测设备的响应偏差。
此外，对于需要模拟患者生理信号的设备，Clause 8.2 提供了额外的测试前准备要求：仿真信号的幅度应调整为约两倍检测阈值（threshold of detection plus 6 dB），以确保信号在噪声和检测统计误差之上足够清晰，从而避免因信号太弱导致的误判。
总体而言，判据制定的质量决定了抗扰度测试的可重复性和可审核性。一个为每个风险项配有量化判定条件、为每个通道配有独立监控方案、且明确标注了可接受降级边界的判据文档，是在合规审核中被快速认可的关键。
Annex I 的判据制定指南与实例
Annex I 以资料性附录的形式提供了判据制定的全面指导，分为三个核心部分：判据原则 (I.2)、判据确定方法 (I.2.3) 和判据示例 (I.3)。
I.2.1 判据制定的一般原则
Annex I.2.1 给出了三个基础原则：第一，"the specific hardware, firmware, and software functions that need to be verified during IMMUNITY tests" 必须被识别出来，这些功能应源自 RISK ANALYSIS 等一个或多个来源。第二，判据应尽可能使用定量值——"specified using quantitative values when possible"——一个自然的起点是制造商在 ACCOMPANYING DOCUMENTS 中的精度规格说明书。第三，判据的选择应咨询临床医生，尤其是其经验涵盖该设备使用的临床人员。
I.2.3 判据确定的七要素
Annex I.2.3 要求从以下七个维度系统确定判据，这是 IEC 60601-1-2 判据制定方法论的核心：
| 序号 | 要素 | 标准原文参考 | 说明 |
|---|---|---|---|
| 1 | HAZARDS | "identification of the HAZARDS" | 从风险分析中提炼出的危害列表 |
| 2 | 待测功能 | "the functions to be tested for IMMUNITY to verify freedom from unacceptable RISK" | 需在抗扰度测试中验证的具体功能 |
| 3 | 判定标准 | "the criteria on which to base the pass/fail decision" | 每个功能的通过/失败判断依据 |
| 4 | 运行模式 | "operating modes" | 测试时设备应处于的运行模式 |
| 5 | 生理信号 | "characteristics of simulated PATIENT physiological signals" | 患者仿真信号的特性参数 |
| 6 | 使用地点 | "specification of locations of INTENDED USE" | 预期使用环境（专业医疗/家庭/特殊环境） |
| 7 | 测试特性 | "the characteristics of the test, where these are at the discretion of the MANUFACTURER" | 由制造商自行决定的测试参数 |
I.3.1 判据示例：三类典型场景
Annex I.3.1 将测试结果分为三大类，每一类都给出了真实医疗设备的应用示例：
第一类：不可接受的测试失败（Test failures）。 标准列举了 15 种典型的失败表现，包括：功能失灵 (malfunction)、应当运作时不运作、不应当运作时误动作、可编程参数改变、恢复出厂默认值、运行模式改变、假阳性/假阴性 ALARM CONDITION、任何预期操作的停止或中断（即使伴随 ALARM SIGNAL）、任何非预期操作（包括非受控运动）、显示数值误差大到影响诊断或治疗、波形噪声干扰诊断或监测、图像伪影或畸变干扰诊断或监测、自动诊断/治疗设备无法诊断或治疗。
第二类：必须正常运行的关键功能（Required to pass）。 标准给出了四个范例：乳腺 X 光系统的压缩释放和关联指令保持完全可操作；超声诊断设备的探头加热、耗散功率和温度保持在规格范围内；安全相关功能按预期执行；ALARM SIGNAL 和失效安全 (fail-safe) 模式不出现误触发。
第三类：可接受的降级（Acceptable degradation）。 这是标准最具工程现实感的段落。成像系统显示的画面可以有改变，但不得影响诊断或治疗；心率监护仪显示的心率可以有误差，但偏差量不得具有临床意义；患者监护仪的波形上可以有微量噪声或瞬态，但不得影响诊断、治疗或监测。
标准还特别指出，对于治疗设备，如果测试信号对 ME EQUIPMENT 或 ME SYSTEM 的影响极其短暂以至于 PATIENT 或 OPERATOR 甚至察觉不到，且不影响诊断、监测或治疗，这可以视为不是预期操作的停止或中断。标准给出的具体例子是：如果呼吸机在抗扰度测试中停止送气 50 ms 后恢复运行且精度在可接受范围内，"this would not be considered cessation or interruption of an intended operation"。
I.3.2 放疗台系统判据案例
Annex I.3.2 和 Table I.1 给出了一个完整的放疗台系统判据案例，展示了判据如何与具体功能一一对应。这个案例是 "an output of the RISK ANALYSIS"，即判据是风险分析的产物而非凭空制定。
Table I.1 为放疗台系统定义了 8 项需验证的功能及其具体判据：
| 功能编号 | 需验证的自由度 | 具体判据 |
|---|---|---|
| 1 | 开机初始化正常 | 无系统故障阻止新检查 |
| 2 | 停止和关闭操作正常 | 初始化正确，系统在 xx 分钟内生效 |
| 3 | X 射线采集期间显示患者图像 | 图像噪声或伪影可与生理信号区分 |
| 4 | X 射线采集图像和序列已保存 | 保存的记录图像可显示，患者数据不丢失 |
| 5 | X 射线采集开始受控 | 无非受控启动 |
| 6 | X 射线采集停止受控 | 无非受控停止或锁定 |
| 7 | 定位器（台面和机架）操作正常 | 无非受控运动，台面停止在 yy mm 最大距离内有效 |
| 8 | 患者信息可显示 | 患者数据不丢失 |
案例中的 xx、yy 和 zz 参数由 "RISK ANALYSIS and RESIDUAL RISK determination" 来确定，这直接体现了判据与风险管理的绑定关系。
Table 3 — 设备损坏后的测试继续策略
IEC 60601-1-2 的 Table 3 是为数不多的直接给出"设备被测试信号打坏了怎么办"的明确操作规则。这在医疗设备 EMC 测试中尤为关键——因为被测设备可能是昂贵的大型系统，厂商需要在"测试失败"和"继续使用损坏设备测完"之间做出清晰的判断。
Table 3 按测试类型将抗扰度测试分为两类并分别规定了处置方法：
瞬态测试 (Transient)：涵盖 ESD (IEC 61000-4-2)、EFT (IEC 61000-4-4)、Surge (IEC 61000-4-5) 和 Dips (IEC 61000-4-11)。
若设备永久损坏但基本安全和基本性能仍继续提供 → 以相同测试等级和极性再重复测试序列 2 次。设备如继续提供基本安全和基本性能，则判定通过。如果任何设备损坏，仍可继续用于该特定现象的测试，前提是能通过风险管理、工程分析、经验或冗余证明损坏设备仍能判定其基本安全和基本性能。如果某端口损坏且设备有多个相同端口，则不得在任何相同端口上重复测试；测试下一个非相同端口前须将设备恢复至正常运行状态；测试下一种电磁现象时也须恢复。
若设备永久损坏且基本安全或基本性能不再继续提供 → 设备已失败 (FAILED)。 不存在"重复测试"或"换一台继续"的选项——一旦基本安全或基本性能丢失，直接判定失败。
连续测试 (Continuous)：涵盖辐射抗扰度 (IEC 61000-4-3)、传导抗扰度 (IEC 61000-4-6) 和工频磁场 (IEC 61000-4-8)。
若设备永久损坏但基本安全和基本性能仍继续提供 → 以相同测试等级和极性/频率再重复测试序列 2 次，基本安全和基本性能仍须继续提供。继续下一个频率步进前须将设备恢复至正常运行状态。
若设备永久损坏且基本安全或基本性能不再继续提供 → 设备已失败 (FAILED)。
Table 3 的设计逻辑非常清晰：基本安全和基本性能是唯一不可触碰的红线。 只要这两项继续满足，即使设备物理上损坏了，测试仍可以继续。一旦红线被触及——"BASIC SAFETY or ESSENTIAL PERFORMANCE does not continue to be provided"——测试立即终止，设备判定失败。
值得注意的是，Table 3 在"可继续使用损坏设备"方面的表述相当谨慎。即使设备允许被继续使用，前提也是"it can be proven (e.g. by RISK MANAGEMENT, engineering analysis, experience, redundancy) that the ability of the ME EQUIPMENT or ME SYSTEM to provide its BASIC SAFETY and ESSENTIAL PERFORMANCE can still be determined while using the damaged equipment"。换句话说，制造商不能想当然地假设损坏设备仍具备评估价值——必须通过正式的风险论证来证明这一点。
测试报告的判据记录要求
Clause 9 和 Table 10 规定了测试报告必须包含判据相关的内容。Table 10 的 Item 4 明确要求报告包含 "Description of the BASIC SAFETY AND ESSENTIAL PERFORMANCE including a description how the BASIC SAFETY AND ESSENTIAL PERFORMANCE were monitored during each test"。这意味着：
- 测试报告不能只写"判据：满足性能指标 A/B/C"，而必须写出具体的基本安全和基本性能是什么、在每个测试中如何被监控。
- 同时应记录监控期间观察到的具体数据或现象——而非仅仅"pass"或"fail"的结论性标注。标准要求的是一份让评审人能够独立推断判定逻辑的记录，不是一份只在结论栏打勾的摘要表。
此外，Clause 8.1 还要求将测试期间和测试后观察到的对 ME EQUIPMENT 或 ME SYSTEM 的任何效应纳入持续风险管理过程。这意味着测试报告不仅是一份"pass/fail"的最终判定文件，还应成为风险管理文件的风险评估输入——报告中应明确标注哪些观察到的效应将在后续风险管理活动中被进一步评价或控制。
从合规审核角度看，Clause 8.1 的符合性检查是双轨验证：一是检查风险管理文件和测试报告中是否包含判据的定义（文件审查），二是通过实际执行 Table 4-9 和 8.11 中规定的测试来验证判据是否被有效执行（测试审查）。两者缺一不可——有文件无实际测试等同于空有声明，有测试无文件记录则不符合可追溯性要求。
判据制定的常见误区
结合 Annex I 的案例经验和工程实践，以下是判据制定中最常见的四个误区：
误区一：将判据定义为"设备能正常工作"。 这是最常见的错误。"正常工作"是一个未经量化的模糊表述，既无法被监控方法量化验证，也无法与风险管理文件中的危害分析建立对应关系。正确做法是像 Table I.1 那样，为每个安全相关功能定义一个可观测、可量化的判定条件——例如"图像噪声可与生理信号区分"、"无非受控启动"。
误区二：忽略测试后的持续风险管理反馈。 Clause 8.1 最后一段要求 "Following the tests, any effects on the ME EQUIPMENT or ME SYSTEM that are observed during or after the application of the test DISTURBANCES should be considered in the on-going RISK MANAGEMENT PROCESS." 很多团队在测试报告中记录了现象后就束之高阁，忽略了这是风险管理的输入。例如，某次 ESD 放电导致显示器短暂闪烁——即使测试通过（闪烁可接受），也应将这个现象记录进风险管理文件，评估在真实临床场景中是否可能因操作者被闪烁分散注意力而间接导致 RISK。
误区三：将 IEC 60601-1-2 第三版的判据模板直接用于第四版。 第四版已将 "IMMUNITY compliance criteria" 更名为 "IMMUNITY pass/fail criteria"，术语变化背后是方法论的升级——旧版以通用性能判据 A/B/C 为主要框架，第四版则要求必须将判据绑定到风险管理文件中的具体危害和风险控制措施。直接沿用旧模板而不做风险管理对接，在审核时会被视为不符合 Clause 8.1 要求。
误区四：忽略医疗系统中非医疗设备的判据需求。 Clause 8.8 和 Annex I.2.2 明确规定，如果 ME SYSTEM 中包含的非医疗设备（如 ITE）通过风险管理过程被判定为可能影响 ME SYSTEM 的基本安全或基本性能，则该非医疗设备 "shall fulfil the pass/fail criteria and IMMUNITY TEST LEVELS of Clause 8"。将医院的 PC 或显示器简单视为"因为是一般 ITE 所以不需要判据"是不符合标准要求的——判据需求取决于系统层面的风险分析结论，而非设备本身的分类。
关键事实
- IEC 60601-1-2:2014+AMD1:2020 (Ed 4.1) Clause 8.1 规定制造商必须在抗扰度测试开始前确定详细的通过/失败判据，基于适用专标或风险管理过程
- IEC 60601-1-2:2014+AMD1:2020 (Ed 4.1) Clause 8.1 规定判据和监控方法应当纳入测试计划，且必须纳入测试报告和风险管理文件
- IEC 60601-1-2:2014+AMD1:2020 (Ed 4.1) Clause 8.1 规定 ME 设备或系统须在抗扰度测试期间和测试后均满足判据；对瞬态现象，仅测试前和测试后评估也可接受
- IEC 60601-1-2:2014+AMD1:2020 (Ed 4.1) Table 3 规定若设备永久损坏但基本安全和基本性能继续提供，测试序列重复 2 次仍通过即为通过；若基本安全或基本性能丢失，直接判定失败
- IEC 60601-1-2:2014+AMD1:2020 (Ed 4.1) Annex I.2.3 规定判据应从七个要素确定：危害、待测功能、判定标准、运行模式、生理信号特性、使用地点、制造商自定测试特性
常见问题
Q: IEC 60601-1-2 抗扰度通过/失败判据由谁制定——制造商还是测试实验室？ A: 必须由制造商在测试开始前制定。标准明确使用 "the MANUFACTURER shall determine" 的强制性表述，测试实验室不具备制定判据的职责。实验室负责执行测试并记录结果，但判据应已在风险管理文件和测试计划中预先定义好。若实验室在测试前未获得判据文件，测试不应开始——这是 IEC 60601-1-2 合规测试的基本原则。
Q: IEC 60601-1-2 基本安全 (BASIC SAFETY) 和基本性能 (ESSENTIAL PERFORMANCE) 的区别如何影响判据？ A: 基本安全关注防护直接物理危害（如电击、机械伤害），基本性能关注设备偏离规定性能后是否会导致不可接受风险（由 IEC 60601-1 定义）。判据应同时覆盖两者：前者通常被大多数专标直接量化，后者需通过风险管理分析来确定每个具体功能的性能边界。
Q: IEC 60601-1-2 可接受降级和不可接受失败的边界如何划分？ A: 唯一标准是"是否导致不可接受风险 (unacceptable RISK)"。Annex I.3.1 给出了明确指引——例如成像系统的图像改变只要不影响诊断就属于可接受降级，而发生非受控运动或假阴性 ALARM CONDITION 则属于不可接受失败。
Q: IEC 60601-1-2 抗扰度测试中设备被打坏了，还能继续测试吗？ A: 取决于是否影响基本安全和基本性能。根据 Table 3，如果设备永久损坏但基本安全和基本性能仍继续提供，可以重复测试 2 次后判定通过；但如果基本安全或基本性能不再继续提供——哪怕仅一项丢失——设备直接判定 FAILED，测试终止。
Q: 什么情况下 IEC 60601-1-2 抗扰度测试可以在测试前和测试后评估而非测试期间监控？ A: 仅限瞬态现象（ESD、EFT、Surge、Dips）。标准原文为 "For transient phenomena for which it might not be practical to assess performance during the application of the transient, assessing performance before and after the test is acceptable"。对于连续现象（辐射抗扰度、传导抗扰度、工频磁场），判据必须在测试期间和测试后同步满足。
参考文献
- IEC 60601-1-2:2014+AMD1:2020 (Ed 4.1), Clause 8.1 — IMMUNITY pass/fail criteria and compliance verification
- IEC 60601-1-2:2014+AMD1:2020 (Ed 4.1), Table 3 — Procedure for continuing to test ME EQUIPMENT or ME SYSTEMS that are damaged by an IMMUNITY test signal
- IEC 60601-1-2:2014+AMD1:2020 (Ed 4.1), Annex I — Identification of IMMUNITY pass/fail criteria, including I.2 (principles) and I.3 (examples)
- IEC 60601-1:2005+AMD1:2012+AMD2:2020 (Ed 3.2), Clause 3.108 — RISK MANAGEMENT FILE definition
- ISO 14971:2019, Medical devices — Application of risk management to medical devices
📘 延伸阅读：