DE69226181T2

DE69226181T2 - Dialysegerät mit sicherheitssteuerung

Info

Publication number: DE69226181T2
Application number: DE69226181T
Authority: DE
Inventors: Andrea I-46020 S. Giacomo Delle Segnate Rossi
Original assignee: Hospal AG
Current assignee: Gambro Hospal Schweiz AG
Priority date: 1991-12-30
Filing date: 1992-12-28
Publication date: 1999-01-28
Anticipated expiration: 2012-12-29
Also published as: CA2101537C; JPH06509261A; IT1250558B; ITTO911047A1; US5472614A; CA2101537A1; EP0581921B1; DE69226181D1; EP0581921A1; ITTO911047A0; WO1993012827A1; JP3278154B2

Description

Die vorliegende Erfindung betrifft ein Dialysegerät mit Sicherheitsüberwachung.
Es ist bekannt, daß Dialysegeräte eine Dialyseeinheit enthalten, die mittels einer extrakorporalen Kreislaufleitung mit einem Patienten verbunden ist und die mittels spezifischer Betätigungsglieder durch ein Steuersystem gesteuert wird, das sicherstellt, daß die geeignetsten Dialysezustände für die erforderliche Behandlung zu jeder Zeit auf Grundlage der Bedienereinstellungen aufrechterhalten werden.
Um sicherzustellen, daß die Dialyseeinheit stets richtig funktioniert, ist allgemein ein Überwachungssystem vorgesehen, um die Übereinstimmungen zwischen den Sollzuständen und den Istzuständen zu überprüfen, um alle Situationen aufzudecken, die für den Patienten möglicherweise gefährlich sind, und um entsprechende Befehle zu erzeugen, um das Gerät in einen nicht gefährlichen Zustand zurückzubringen. In einem bekannten Dialysegerät werden sowohl die Steuer- als auch Überwachungsfunktionen durch einen einzigen Prozessor durchgeführt. Diese Anordnung ist jedoch nachteilhaft, weil sie im Fall eines Fehlers im Prozessor, einem der Sensoren oder einem der Betätigungsglieder kein genügendes Sicherheitsniveau sicherstellt. Um dieses Problem zu überwinden und die Sicherheit des Geräts zu erhöhen, sind in einem anderen bekannten Dialysegerät getrennte Steuer- und Sicherheitssysteme jeweils mit ihren eigenen Sensoren und ihren eigenen Betätigungsgliedern vorgesehen. Diese Anordnung, nach der in der Praxis alle Erfassungs- und Betätigungsglieder gedoppelt sind, bietet in der Tat ein genügendes Sicherheitsniveau, jedoch zu Kosten eines beträchtlich größeren Konstruktionsaufwandes, was sich wiederum in den Kosten des Geräts selbst widerspiegelt.
In der Schrift EP 0 321 754 ist ein Blutdialysegerät beschrieben, das folgendes umfaßt:
- eine Steuereinheit, die mit einer Ultrafiltrationspumpe, einer Substitutionsflüssigkeitspumpe, einer Heizvorrichtung, einer Wägevorrichtung verbunden ist;
- eine Überwachungseinheit, die ein Signal von einem Temperaturfühler und den Istbetrieb der Ultrafiltrationspumpe und der Substitutionsflüssigkeitspumpe darstellende Signale empfängt.
Die Steuereinheit und die Überwachungseinheit sind direkt durch eine Zweiwegleitung verbunden und tauschen über diese ihre Daten aus. Sie berechnen beide unabhängig voneinander die Ultrafiltrationsleistung und die Substitutionsleistung und überprüfen die Übereinstimmung ihrer entsprechenden Berechnung.
Es ist die Aufgabe der vorliegenden Erfindung, ein Dialysegerät bereitzustellen, das die Nachteile bekannter Geräte überwindet und insbesondere eine optimale Sicherheit bezüglich möglicher Fehler bei niedrigen Systemkosten bereitstellt.
Entsprechend der vorliegenden Erfindung umfaßt ein Dialysegerät zur Bereitstellung von überwachter Behandlung für einen Patienten folgendes:
- eine Dialyseeinheit zur Bereitstellung von Behandlung für einen Patienten;
- Betätigungsglieder für die Dialyseeinheit;
- Sensoren zum Messen von auf den Betrieb des Geräts bezogenen Parametern;
- eine mit Betätigungsgliedern verbundene Steuereinheit;
- eine mit Betätigungsgliedern verbundene Sicherheitseinheit, wobei die Steuereinheit und die Sicherheitseinheit so miteinander verbunden sind, daß sie Informationen austauschen, und das Dialysegerät dadurch gekennzeichnet ist, daß:
- die Betätigungsglieder folgendes umfassen:
eine erste Gruppe von Betätigungsgliedern zur Ausführung der Dialysebehandlung;
eine zweite Gruppe von Betätigungsgliedern zum Abschalten des Geräts, wenn das System auf einen allgemeinen Sicherheitszustand eingestellt ist;
- die Sensoren folgendes umfassen:
eine erste Gruppe von mit der Steuereinheit verbundenen Sensoren zur Bereitstellung von Informationen, die sowohl die Istwerte von Sicherheitsparametern als auch Behandlungsfortschrittparametern anzeigen, für die Steuereinheit, wobei mindestens eine Teilgruppe der ersten Gruppe von Sensoren über die Steuereinheit die Istwerte der Sicherheitsparameter für die Sicherheitseinheit bereitstellt;
eine zweite Gruppe von mit der Sicherheitseinheit verbundenen Sensoren zur Bereitstellung von Informationen, die die Istwerte von sowohl den Sicherheitsparametern als auch Parametern, die einen Betriebszustand der Sicherheitseinheit anzeigen, für die Sicherheitseinheit bereitstellen;
eine dritte Gruppe von mit der Sicherheitseinheit verbundenen Sensoren zur Bereitstellung von Informationen, die einen Istbetriebszustand der ersten Gruppe von Betätigungsgliedern anzeigen, für die Sicherheitseinheit, wenn das System sich in einem sicheren Zustand befindet, wobei die dritte Gruppe von Sensoren, zur Kommunikation mit der Sicherheitseinheit als Reaktion darauf, daß die Sicherheitseinheit eine abnormale, den Patienten gefährdende Situation als Ergebnis von nichtübereinstimmenden Informationen, die von einem oder mehreren Sensoren der ersten Gruppe oder der zweiten Gruppe von Sensoren erfaßt werden, erfaßt, wirkt;
- die Steuereinheit das Steuern der ersten Gruppe von Betätigungsgliedern entsprechend Sollwerten von Steuerparametern, Sollwerten von Sicherheitsparametern und unter Verwendung der ersten Gruppe bestimmten Istwerten der Sicherheitsparameter bewirkt;
die Sicherheitseinheit in regelmäßigen Abständen das Überwachen von Istwerten der Sicherheitsparameter, das gezielte Einstellen des Systems im sicheren Zustand über die Steuereinheit und das gezielte Einstellen des Systems in einem allgemein sicheren Zustand durch direkte Steuerung der zweiten Gruppe von Betätigungsgliedern bewirkt.
Zum besseren Verständnis der vorliegenden Erfindung wird nunmehr eine bevorzugte Ausführungsform rein mit einem nicht beschränkenden Beispiel anhand der beiliegenden Zeichnungen beschrieben. In den Zeichnungen zeigt:
- Fig. 1 ein vereinfachtes Blockschaltbild des erfindungsgemäßen Geräts,
- Fig. 2 und 3 Flußdiagramme, die sich auf das durch das Gerät in der Fig. 1 implementierte Sicherheitsüberwachungsverfahren beziehen, und
- Fig. 4 ein Diagramm, das den Ablauf von Befehlen zwischen Teilen des Geräts in Fig. 1 darstellt, wenn ein abnormaler Zustand auftritt.
In der Fig. 1 ist das insgesamt durch die Ziffer 1 angezeigte Dialysegerät in vereinfachter Form darstellt, um nur die aus dem Gesichtspunkt der Sicherheit des Gerätes selbst bedeutenden Teile aufzuführen. Insbesondere sind in der Fig. 1 die Steuereinheit bzw. das Steuersystem 2, die Sicherheitseinheit bzw. das Sicherheitssystem 3, eine Dialyseeinheit 4 und eine Mehrzahl von Betätigungsgliedern und Sensoren dargestellt.
Nach der Darstellung sind die Betätigungsglieder in eine erste, durch 6 angezeigte Gruppe, die über die ankommende Leitung 7 mit der Steuereinheit 2 verbunden ist, eingeteilt und enthalten alle Betätigungsglieder, die zur Ausführung von Dialysebehandlung notwending sind (z. B. Pumpen, Ventile, Druckregler), und sind einer zweiten, durch 8 angezeigten Gruppe hinzugefügt, die durch die ankommende Leitung 9 mit dem Sicherheitsteil 3 verbunden ist und alle Betätigungsglieder enthält, die zum Abschalten des Geräts und Abtrennen des Patienten notwendig sind, wenn durch die Sicherheitseinheit 3, wie noch ausführlicher unten beschrieben, ein allgemeiner Sicherheitszustand ausgelöst wird. Die Wechselwirkungen zwischen Gruppen von Betätigungsgliedern 6 und 8 und der Dialyseeinheit 4 sind symbolisch in der Fig. 1 durch gestrichelte Linien 10 bzw. 11 dargestellt.
Die Sensoren sind andererseits in drei Gruppen eingeteilt: eine erste, durch 13 angezeigte Gruppe (Steuersensoren) ist über die abgehende Leitung 14 mit der Steuereinheit 2 verbunden, für die die Sensoren CSS-Signale entsprechend den Werten, die sie von den für die Sicherheit bedeutenden Parametern (CRC-Signale) gemessen haben, und die Meßwerte anderer charakteristischer Parameter (wie beispielsweise Fluß und Geschwindigkeit), die den Fortschritt der Dialysebehandlung bestimmen, liefern. Eine durch 15 angezeigte Gruppe (Sicherheitssensoren) ist über die abgehende Leitung 16 mit der Sicherheitseinheit 3 verbunden, für die die Sensoren 15 PSS- Signale entsprechend den Werten, die sie für die besagten von Sensoren 13 gemessenen Parameter und andere Parameter, die für die Sicherheit relevant sind (SRP-Signale) bestimmt haben, und eine Anzahl von Informationen, die zur Überprüfung, daß die Sicherheitseinheit selbst richtig funktioniert, notwendig sind, liefern; und eine dritte, durch 17 angezeigte Gruppe (Betätigungsgliedsensoren) ist über die abgehende Leitung 18 mit der Sicherheitseinheit 3 verbunden, um dieser die Werte, die diese von den durch die Steuereinheit 2 eingestellten Betriebsparametern der Betätigungsglieder 6 bestimmt haben, bereitzustellen. Im allgemeinen sind daher einige der Steuersensoren 13 (und insbesondere diejenigen, die sicherheitsrelevante Parameter in der Dialyseeinheit 4 messen) durch Sicherheitssensoren 15 gedoppelt, aus Gründen, die unten offenbar werden. Die Wechselwirkung zwischen Steuersensoren und Sicherheitssensoren 13, 15 mit der Dialyseeinheit 4 und zwischen Betätigungsgliedsensoren 17 und Betätigungsgliedern 6 ist durch gestrichelte Linien 19, 20 bzw. 21 symbolisch in der Fig. 1 dargestellt.
Die Steuereinheit 2, die die zum richtigen Funktionieren der Dialysebehandlung erforderlichen Parameter und Mengen einstellt, besteht aus drei Teilen: einer die Steuereinheit 2 überwachenden und mit der Sicherheitseinheit 3 in Verbindung stehenden Haupteinheit 22, einem Blutmodul 23 und einem Hydraulikmodul 24, die unter Steuerung der Haupteinheit die spezifischen Befehle für die Teile der Dialyseeinheit 4 erzeugen, die am Blutfluß bzw. dem Dialyseflüssigkeitsfluß beteiligt sind und die nicht ausführlich beschrieben werden, da sie nicht zur Erfindung gehören.
Die Sicherheitseinheit 3, die die Zustände im Bezug auf das Problem von Gerätesicherheit hinsichtlich des Patienten überwacht, umfaßt wiederum eine zentrale Recheneinheit CPU 25, einen Speicher 26 und einen Taktgeber CLK 27. Die Sicherheitseinheit 3 ist mit zwei Eingängen 28 und 29 verbunden, von denen der Eingang 28 in der Lage ist, die Anfangssollwerte SVP und SVC zu empfangen, z. B. nach manueller Eingabe durch einen Bediener, und diese über die Leitungen 30 und 31 zur Sicherheitseinheit 3 bzw. Steuereinheit 2 weiterzugeben, während die Einheit 29 die Anforderungen für manuellen Eingriff durch den Bediener in einem Alarmzustand empfängt und ein entsprechendes Signal (Vorrangssignal ORR) erzeugt, das über die Leitung 32 zur Sicherheitseinheit 3 weitergegeben wird. Auch ist die Sicherheiteinheit 3 über die abgehende Leitung 34 mit einem Alarmbetätigungsglied 35 (z. B. einem optischen und/oder akustischen Alarm) verbunden, um dem Bediener anzuzeigen, daß ein Alarmzustand besteht, und über eine abgehende Leitung 44 mit einem Schirm 45 zur Anzeige von Meldungen für den Bediener.
Die Dialyseeinheit 4, in der das Blut eines Patienten dialysiert wird, enthält die gesamte Technik (abgesehen von den Betätigungsgliedern, die getrennt dargestellt sind), die für die Durchführung der Dialyse selbst notwendig ist, und kann mit einem Patienten verbunden werden, der über extrakorporale Kreislaufleitungen 37, 38, die in die Dialyseeinheit eintreten bzw. diese verlassen, der Dialyse unterzogen werden soll.
Die Steuereinheit 2 und Sicherheitseinheit 3 tauschen, wie ausführlich unten erläutert, Informationen und Anweisungen über ein Paar Leitungen 39, 40 aus, und insbesondere die Leitung 39, die die Steuereinheit 2 verläßt, wird durch die letztere zur Weitergabe der durch ihre eigenen Sensoren 13 gemessenen Werte der sicherheitsrelevanten Parameter (SRC-Signal) zur Sicherheitseinheit 3 benutzt, während die Leitung 40, die die Sicherheitseinheit 3 verläßt, von der letzteren dazu benutzt wird, die notwendigen Anweisungen zur Implementierung eines Sicherheitszustandes (SSR-Signale) zur Überwachungseinheit 2 zu senden, wie unten ersichtlich sein wird.
Die Sicherheitseinheit 3 des erfindungsgemäßen Dialysegeräts 1 ist für die Bewältigung aller abnormalen Situationen ausgelegt, die den Patienten gefährden könnten, und versetzt das Gerät in einen sicheren Zustand nach der Definition der von den Zulassungsbehörden aufgestellten Norm. Mit diesem Ziel wird das Sicherheitssystem in Tätigkeit versetzt und infolgedessen empfängt die Sicherheitseinheit als Eingaben alle Parameter, die zur Ausführung periodischer Überwachung (sicherheitsrelevante Parameter) notwendig sind, und überprüft, daß diese Parameter übereinstimmen und daß keine unvorhergesehene Situation auftritt. Sollte eine Abnormalität vorkommen, nachdem alle vorübergehenden Störzustände ausgeschlossen worden sind, bestimmt die Sicherheitseinheit den Zustand, in dem sich das Gerät befinden sollte, um keine Gefahr für den Patienten darzustellen, und sendet der Steuereinheit 2 Befehle hinsichtlich der Tätigkeiten, die von den Betätigungsgliedern ausgeführt werden müssen, um die Situation zu überwinden (Befehle bezüglich eines sicheren Zustandes). Die Steuereinheit 2 verarbeitet diese Befehle über die Haupteinheit 22 und Blut- und Hydraulikmodule 23, 24 und erzeugt entsprechende Steueranweisungen für ihre eigenen Betätigungsglieder. Die diesen Steueranweisungen entsprechenden Tätigkeiten, die von den Steuerbetätigungsgliedern 6 ausgeführt werden, werden durch die Betätigungsgliedsensoren 17 überwacht, die die entsprechenden Signale zur Sicherheitseinheit 3 senden. Die Sicherheitseinheit 3 überprüft dann, daß diese Tätigkeiten richtig durchgeführt worden sind, und zwar nach einer vorbestimmten Zeitdauer, die Zeit dafür läßt, daß alle beteiligten Bestandteile die notwendigen Operationen ausführen. Wenn das Ergebnis der Überprüfung günstig ist, bleibt das Gerät im sicheren Zustand, bis die Ursache, die Anlaß für den Alarm gab, berichtigt worden ist (d. h. bis die periodische Prüfung ein negatives Ergebnis ergibt). Wenn das Ergebnis der Prüfung negativ ist, wird angenommen, daß das Gerät ein bedeutendes Funktionsproblem aufgrund eines Fehlers in der Steuereinheit 2 oder den Betätigungsgliedern 6 oder Sensoren 17 erleidet. In dieser Situation ist das Dialysegerät 1 nicht länger in der Lage, zuverlässig zu funktionieren, und es besteht ein Risiko für den Patienten. Infolgedessen erzeugt die Sicherheitseinheit 3 einen allgemeinen sicheren Zustand und aktiviert ihre eigenen Sicherheitsbetätigungsglieder 8, um Dialyseflüssigkeit am Durchfließen des Blutdialysefilters zu hindern, schaltet die Ultrafiltrationspumpe ab, schaltet die Blutmodulpumpe ab und hindert Blut am Zurücklaufen in die Ader. Auf diese Weise wird das Gerät abgeschaltet und der Patient abgetrennt.
Nunmehr wird die Durchführung der periodischen Prüfung ausführlicher anhand der Fig. 2 beschrieben. Wie bekannt ist, empfängt die Sicherheiteinheit 3 nach Einleitung der periodischen Prüfung die Werte für die durch Sensoren 13 und 15 gemessenen sicherheitsrelevanten Parameter SR (SRC von der Steuereinheit und SRP von der Sicherheitseinheit) und die vom Bediener eingegebenen SV-Werte (Block 50) und überprüft dann (Block 51), daß diese Werte übereinstimmen und in ihrem Speicher 26 gespeicherten vorbestimmten Zuständen entsprechen. Insbesondere führt die Sicherheitseinheit eine spezifische Überprüfung jedes zu überprüfenden Zustandes aus. Im allgemeinen besteht die Überprüfung eines Zustandes aus der Überprüfung eines direkt meßbaren Parameters (wie beispielsweise der Temperatur des Dialysats oder des Venendrucks), kann jedoch auch eine Bewertung unterschiedlicher Parameter und ihres gegenseitigen Verhältnisses (wie beispielsweise im Fall des Biofiltrationsflusses, der unter anderem eine Überprüfung zur Sicherstellung, daß das Verhältnis zwischen dem durch den Infusionspumpenpositionssensor bereitgestellten Signal und dem auf die Position der Kodiererzähne für diese Pumpe bezogenen Signal richtig ist, erfordert) enthalten. Wenn die Prüfung zufriedenstellend ist (Ausgabe JA vom Block 51), löscht die Sicherheitseinheit 3 die vordem über den Schirm 45 zum Bediener gesandte Alarmmeldung (Block 54). Die periodische Prüfung ist dann abgeschlossen.
Umgekehrt sendet die Sicherheitseinheit 3, wenn in einer oder mehreren der Überprüfungen ein abnormaler Zustand festgestellt wird (ein übermäßiger Unterschied zwischen den von Sensoren 13 und 15 aufgezeichneten SRC-und SRP-Werten oder zwischen den Meß- und Sollwerten für SV oder falsche Korrelationen zwischen beliebigen der gemessenen Parameter), das Alarmsignal AS zum entsprechenden Betätigungsglied 35 (Block 56) und überprüft, ob eine Vorrangsanforderung vorliegt (Block 63). Diese Vorrangsprozedur erlaubt dem Bediener den manuellen Eingriff und bewirkt damit eine maximale Verringerung der vom Gerät geforderten spezifischen Konfigurationen, wenn eine Abnormalität besteht, und kann nur für eine vorbestimmte Zeitdauer T aufrechterhalten werden. Wenn der Bediener die Vorrangsanforderung nicht aktiviert hat (über das ORR- Signal in der Fig. 1, Ausgabe NEIN vom Block 63), wird eine Anforderung "sicherer Zustand" SSR (Block 64) erzeugt, und sonst (Ausgabe JA) wird eine Überprüfung angestellt, ob diese Vorrangsanforderung für eine Zeit t vorliegt, die größer als die vorbestimmte Zeit T ist (Block 65). Für diesen Zweck und auf asynchrone Weise, die nicht dargestellt ist, betätigt die Sicherheitseinheit bei Empfang des ORR-Signals einen spezifischen Zähler, dessen Inhalt die Zeit t anzeigt. Wenn die Vorrangsanforderung bereits für eine längere Zeit als T vorliegt (Ausgabe JA vom Block 65), dann schreitet das System zum Block 59 weiter, in dem die Vorrangsanforderung auf eine Weise deaktiviert wird, die ausführlicher anhand der Fig. 4 beschrieben wird.
Wenn stattdessen die Vorrangsanforderung für eine geringere Zeit t als die vorbestimmte Zeit T vorlag (Ausgabe NEIN vom Block 65), schreitet das System zum Block 66 fort, in dem die Sicherheitseinheit einen sicheren Bereitschaftszustand erzeugt, d. h. einen, in dem die von der Sicherheitseinheit 3 angeforderten spezifischen Sicherheitskonfigurationen so weit wie möglich reduziert sind (aber auf jeden Fall entsprechend den Normen). Dadurch kann der Bediener an der Dialyseeinheit 4 wirken, um die Ursache zu beseitigen, die den Alarm bewirkte.
Nach Erzeugung der Anforderung eines sicheren Zustandes, ob Bereitschaftszustand oder nicht, sendet die Sicherheitseinheit die Anforderung zur Steuereinheit 2 über die Leitung 40 (Block 70) und überprüft dann, daß nach Senden dieser Anforderung eine Zeit Tj, die für jeden spezifischen Zustand in der SSR-Anforderung charakteristisch ist, abgelaufen ist (Block 71). Wie schon angedeutet, ist diese Prüfung vorgesehen, um sicherzustellen, daß das Gerät 1 genügend Zeit zum Reagieren auf die Anforderung hat.
Um diesen Punkt klarzustellen, wird zuerst auf die Fig. 3 verwiesen, die das Format der SSR-Anforderung und die angegebenen zugehörigen Ausführungszeiten darstellt. Wie ersichtlich, umfaßt jede SSR-Anforderung einen Vektor 77, der in mehrere Felder 78 unterteilt ist, die jeweils im Speicher den durch S&sub1;, S&sub2;, ..., Sn angezeigten Zustand speichern, der durch eine entsprechende Steuermenge oder einen entsprechenden Parameter für die Betätigungsglieder 6 angenommen werden muß. Einzelne Felder 78 des Vektors 77 können leer sein, und die entsprechenden Mengen brauchen dann nicht geändert zu werden. In jedem Fafl ist, wie in der Fig. 3 durch den Vektor 79 diagrammatisch dargestellt, ein Wert T&sub1;, T&sub2;, ..., Tj, der die zulässige Zeit zur Ausführung der mit jedem Zustand Si verbundenen Befehle angibt, mit jedem Zustand verbunden.
Das Format der Gesamtanforderung des sicheren SSR-Zustandes, wie in der Fig. 3 gezeigt, ist auch allen einzelnen spezifischen Anforderungen eines sicheren Zustandes SSSR gemein, die jeweils mit einer spezifischen Abnormalität (einem abnormalen Zustand in dem oben angedeuteten Sinn) verbunden sind. Die SSR-Anforderung ergibt sich daher aus der Summe aller Anforderungen für spezifische sichere Zustände, wodurch alle Unverträglichkeiten aufgelöst werden, die entstehen könnten, wie unten anhand des Flußdiagramms der Fig. 4 erläutert werden wird.
Wenn die Anforderungen eines sicheren Zustandes für alle Zustände Sj in einer Zeit tj < Tj gesandt werden, beendet die Sicherheitseinheit infolgedessen die im Gange befindliche Prüfung. In nachfolgenden Prüfungen überprüft die Sicherheitseinheit 3, ob irgendwelche neuen Alarme vorliegen, die sich auf andere Zustände beziehen als diejenigen, die das Senden der ersten SSR-Anforderung verursachten, und überprüft, ob eine Vorrangsanforderung aktiviert worden ist. Das Vorliegen von nur einer dieser zwei Situationen würde natürlich eine Änderung der Anforderung des sicheren Zustandes und möglicherweise die Initialisierung der (nicht gezeigten) Zähler ergeben, die mit jedem neuen Zustand Sj verbunden sind und die die Zeit vom Senden der SSR zählen, einschließlich jedes neuen Zustandes Sj, und ansonsten wird dieselbe Anforderung aufrechterhalten.
Sobald die für einen spezifischen Zustand unter den angeforderten Sj-Zuständen angegebene Zeit Tj abgelaufen ist (Ausgabe JA vom Block 71), erhält die Sicherheitseinheit 3 die Werte der von der Steuereinheit 2 eingestellten Betriebsparameter, die für diesen spezifischen Zustand Sj (Block 72) angegeben sind, von den Sensoren 17 und überprüft, daß diese korrekt sind (Block 73). Wenn die Parameter korrekt sind (Ausgabe JA vom Block 73), was zeigt, daß das Gerät 1 richtig funktioniert, wird der zu dieser Zeit ausgeführte Prüfzyklus abgeschlossen.
Wenn stattdessen nach der Zeitdauer Tj, die durch den spezifischen Zustand zur Ausführung der Befehle, die sich aus dem auferlegten Sicherheitszustand ergeben, vorgesehen ist, die auf ihren spezifischen Zustand bezogenen Funktionsparameter nicht ihre richtigen Werte erreicht haben (Ausgabe NEIN vom Block 72), dann erzeugt die Sicherheitseinheit 3 einen allgemeinen sicheren Zustand (Block 74) und sendet die entsprechenden Befehle zu ihren eigenen Sicherheitsbetätigungsgliedern 8, um sicherzustellen, daß die Befehle unabhängig vom Zustand des Rests des Geräts ausgeführt werden.
Es wird nunmehr die Erzeugung der Anforderung für einen sicheren Zustand ausführlicher anhand der Fig. 4 beschrieben. In dieser Figur überprüft die Sicherheitseinheit 3 bei Vorliegen eines Alarms, ob ein einzelner abnormaler Zustand vorliegt (Block 80). Wenn dies der Fall ist (Ausgabe JA vom Block 80), liest die Sicherheitseinheit 3 den auf eine spezifische Anforderung eines sicheren Zustandes SSSR bezogenen Vektor 77 (Block 81) aus ihrem eigenen Speicher 26 aus und setzt dann den Vektor SSR gleich dem Vektor SSSR, der eben ausgelesen worden ist (Block 82). Wenn nicht (Ausgabe NEIN vom Block 80), dann liest die Sicherheitseinheit 3 die SSSR-Vektoren entsprechend allen festgestellten abnormalen Zuständen (Block 84), überprüft, ob diese Vektoren unverträgliche Anforderungen angeben (Block 85), und wenn dies nicht der Fall ist (Ausgabe NEIN), erzeugt sie den Vektor SSR als die Summe der einzelnen SSSR-Vektoren, die eben gelesen worden sind (Block 86).
Wenn dies nicht der Fall ist (Ausgabe JA vom Block 85), dann liest die Sicherheitseinheit 3 eine im Speicher 26 gespeicherte Prioritätsskala (Block 87) und deaktiviert die mit dem Zustand bzw. den Zuständen Sj niedrigerer Priorität verbundenen Befehle (Block 88). Danach bestimmt die Sicherheitseinheit 3 den SSR-Vektor auf die bereits unter Bezugnahme auf Block 86 beschriebene Weise. Es ist klar, aber nicht in der Figur dargestellt, wenn eine Vorrangsanforderung vorliegt, der auf diese Weise bestimmte SSR- Vektor markiert wird, in dem Sinne, daß die auf die Parameter, für die der Bediener manuellen Eingriff angibt, bezogenen Felder durch einzelne Prüfungen (entsprechend den Normen) auf das Wesentliche reduziert werden.
Das Dialysegerät und das Verfahren zur Sicherheitsüberwachung nach der vorliegenden Erfindung weisen folgende Vorteile auf. An erster Stelle ist eine Verdopplung der an der Sicherheitsüberwachung beteiligten Bauteile auf ein Minimum reduziert und ist insbesondere auf die Sensoren beschränkt, die die sicherheitsrelevanten Parameter messen (einige der Sensoren in der Gruppe 13 und einige der Sensoren in der Gruppe 15), und auch Betätigungsglieder 8, die für das Abschalten des Geräts wesentlich sind, wenn eine Anforderung eines allgemeinen sicheren Zustandes vorliegt. Der Aufbau und die Betriebskosten der Bestandteile sind infolgedessen auf ein Minimum reduziert, ohne den durch das Gerät bereitgestellten Dienst sicherheitsmäßig zu beeinträchtigen.
Sowohl das Gerät als auch das entsprechende Verfahren sind äußerst zuverlässig und in der Lage, praktisch alle entstehenden abnormalen Situationen durch Versuch der Überwindung der spezifischen Abnormalität oder Abnormalitäten, die auftreten, oder auf alle Fälle durch Abschaltung des Geräts in Extremfällen, zu bewältigen.
Abschließend ist es klar, daß Abänderungen und Varianten, die den Rahmen der Erfindung selbst nicht überschreiten, an dem hier beschriebenen und dargestellten Gerät und Verfahren durchgeführt werden können. Insbesondere wird betont, daß gewisse Operationen und Funktionen durch ein hierarchisch höheres Verarbeitungssystem anstelle der Sicherheitseinheit 3 ausgeführt werden können, das die Sicherheitseinheit so steuert, daß noch andere Parameter oder Mengen berücksichtigt werden, die nicht direkt mit der Sicherheit des Geräts in Verbindung stehen, oder auf alle Fälle gewisse Funktionen zentral gesteuert werden. Insbesondere können die Steuerungen der Dauer der Vorrangsanforderung und der Verzögerung, mit der die Parameter der Betätigungsglieder 6 überprüft werden, zweckdienlich auf höherer Ebene gesteuert werden.
Anstatt Gesamtsteuerung an alle abnormalen Zustände anzulegen und dann Einzelanforderungen für sichere Zustände zu erzeugen, kann es auch vorteilhaft sein, eine Folgekette vorzusehen, eine für jeden zu prüfenden Zustand, die jeweils die Bestimmung der für eine spezifische Überwachungsfunktion erforderlichen Mengen, das Überprüfen von Übereinstimmung, das Erzeugen von Alarmsignalen und das Erzeugen von spezifischen Anforderungen eines sicheren Zustandes umfassen.

Claims

1. Dialysegerät zur Bereitstellung überwachter Behandlung eines Patienten, das folgendes umfaßt:

- eine Dialyseeinheit (4) zur Bereitstellung von Behandlung eines Patienten;

- Betätigungsglieder (6, 8) für die Dialyseeinheit (4);

- Sensoren (13, 15, 17) zum Messen von auf die Funktionsweise des Geräts bezogenen Parametern;

- eine mit Betätigungsgliedern verbundene Steuereinheit (2),

- eine mit Betätigungsgliedern verbundene Sicherheitseinheit (3),

wobei die Steuereinheit (2) und die Sicherheitseinheit (3) zum Austauschen von Informationen miteinander verbunden sind, dadurch gekennzeichnet, daß:

- die Betätigungsglieder folgendes umfassen:

eine erste Gruppe von Betätigungsgliedern (6) zum Ausführen der Dialysebehandlung;

eine zweite Gruppe von Betätigungsgliedern (8) zum Abschalten des Geräts, wenn das System auf einen allgemeinen sicheren Zustand eingestellt ist;

- die Sensoren folgendes umfassen:

eine erste Gruppe von mit der Steuereinheit (2) verbundenen Sensoren (13) zur Bereitstellung von Informationen für die Steuereinheit (2), die sowohl die Istwerte von Sicherheitsparametern als auch Behandlungsfortschrittparametern anzeigen, wobei mindestens eine Teilgruppe der ersten Gruppe von Sensoren (13) über die Steuereinheit (2) die Istwerte der Sicherheitsparameter für die Sicherheitseinheit (3) bereitstellt;

eine zweite Gruppe von mit der Sicherheitseinheit (3) verbundenen Sensoren (15) zur Bereitstellung von Informationen für die Sicherheitseinheit (3), die die Istwerte von sowohl den Sicherheitsparametern als auch den einen Betriebszustand der Sicherheitseinheit (3) anzeigenden Parametern anzeigen;

eine dritte Gruppe von mit der Sicherheitseinheit (3) verbundenen Sensoren (17) zur Bereitstellung von Informationen für die Sicherheitseinheit (3), die einen Istbetriebszustand der ersten Gruppe von Betätigungsgliedern (6) anzeigen, wenn sich das System in einem sicheren Zustand befindet, wobei die dritte Gruppe von Sensoren die Kommunikation mit der Sicherheitseinheit (3) als Reaktion darauf, daß die Sicherheitseinheit (3) eine den Patienten gefährdende abnormale Situation erkennt, die sich aus nicht übereinstimmenden Informationen ergibt, die durch einen oder mehrere Sensoren der ersten Gruppe oder der zweiten Gruppe von Sensoren (13, 15) erkannt worden sind, bewirkt;

- die Steuereinheit (2) das Steuern der ersten Gruppe von Betätigungsgliedern (6) nach Sollwerten von Steuerparametern, Sollwerten von Sicherheitsparametern und unter Verwendung der ersten Gruppe von Sensoren (13) bestimmten Istwerten der Sicherheitsparameter bewirkt;

- die Sicherheitseinheit (3) in regelmäßigen Zeitabständen die Überwachung von Istwerten der Sicherheitsparameter zum gezielten Einstellen des Systems in den sicheren Zustand über die Steuereinheit (2) und zum gezielten Einstellen des Systems in einen allgemeinen sicheren Zustand durch direkte Steuerung der zweiten Gruppe von Betätigungsgliedern (8) bewirkt.

2. System nach Anspruch 1, wobei die Sicherheitseinheit (3) Mittel zum Einstellen des Systems in den allgemeinen sicheren Zustand entsprechend den Istwerten der Parameter, die einen Betriebszustand der Sicherheitseinheit (3) anzeigen, enthält.

3. System nach Anspruch 1, wobei die Sicherheitseinheit (3) Mittel zum Einstellen des Systems in den allgemeinen sicheren Zustand entsprechend den Informationen, die einen Istbetriebszustand der ersten Gruppe von Betätigungsgliedern (17) anzeigen, enthält.

4. System nach Anspruch 1, wobei die Sicherheitseinheit (3) Mittel zum Empfangen der Sollwerte der Steuerparameter enthält.

5. System nach Anspruch 1, wobei die Sicherheitseinheit (3) Mittel zum Steuern der zweiten Gruppe von Betätigungsgliedern (8) zum Abschalten des Betriebes der Dialyseeinheit (4), wenn das System in den allgemeinen sicheren Zustand eingestellt ist, enthält.

6. System nach Anspruch 1, weiterhin mit einem mit der Sicherheitseinheit (3) verbundenen Alarmbetätigungsglied zur Erzeugung eines Alarms bei Auftreten eines voreingestellten Alarmszustandes.

7. System nach Anspruch 1, weiterhin mit einer mit der Sicherheitseinheit (3) verbundenen Vorrangseinheit, um die Sicherheitseinheit (3) daran zu hindern, das System eine vorbestimmte Zeitdauer nach Befehl durch einen Bediener in einen sicheren Zustand zu versetzen.