IEC 60601-1 電気的安全性の基本

「CEマークも表示した（＝法規制の要求事項に適合していると自ら宣言した）。電気安全の型式試験も通った。これでうちの機器は安全だ」ーーそう考えたくなる気持ちはわかる。

だが、IEC 60601-1（医用電気機器の基礎安全及び基本性能に関する一般要求事項）に適合したことと、その機器が安全であることーー製品固有のリスクまで含めて安全であることーーは、イコールではない。そもそもCEマーキングは第三者から「取得」する認証ではなく、製造業者が自らの責任で表示するものだ（クラスによってはNotified Bodyの関与を要する）。欧州委員会のガイダンス（MDCG 2021-5 Rev.1）も、ハーモナイズド規格を用いただけでは「あらゆる点での製品安全」も法規制の全要求事項への適合も保証されないと明記している。

規格適合が生むのは絶対的な保証ではない。EUでは、EU官報（OJEU）に掲載されたハーモナイズド規格を適用した場合に、その規格が対象とする要求事項の範囲で「適合の推定」が得られるにすぎない。

IEC 60601-1は、電気を使う医療機器が満たすべき土台を定めた規格である。狙いは、感電・過熱・機械的な危険から、患者と使用者を守ることだ。核となる考え方の一つが「単一故障状態において安全（single fault safe）」ーーリスクを低減する手段（絶縁、保護回路、監視機能など）が一つ故障しても、それだけでは受け入れられないリスクに至らない、という要求である。

ここで誤解が多いのは、これを「必ず保護を二重に持たせること」と読んでしまうことだ。規格（Clause 4.7）が認める実現方法は一つではない。

1. 故障確率が無視できるほど低い単一の高信頼性手段（強化絶縁、十分な安全係数を持つ機械的保護など）を用いる
2. 初期故障を第二の手段が壊れる前に検出できる、あるいは第二の手段の故障確率も無視できるほど低い

このいずれかを満たせばよい。患者に触れる部分と電源側の危険な電圧との間に、二重絶縁・強化絶縁に相当する絶縁と距離（空間距離・沿面距離）を確保するのは代表的な実装例だが、それが唯一の答えではない。また「故障」は部品に限らず、保護ユニットや監視機能といったサブアセンブリの故障・異常状態（single fault condition）も含む。

漏れ電流の管理も、患者に触れる可能性に応じて保護手段を分ける考え方ーーMOPP（患者保護手段）とMOOP（使用者保護手段）ーーも、いずれも患者・使用者に危険な電流を流さないための仕組みだ。ただし、両者は同じ原理ではない。MOPP／MOOPの区分は「誰が、どの程度のリスクに晒されるか」に基づく区分であり、単一故障安全は「故障が起きたときにどう安全を保つか」という要求である。

漏れ電流も、通常状態と単一故障状態で別々の許容値が定められている。関連はするが、混同すべきではない。もう一つ重要なのが「基本性能（essential performance）」という概念だ。

定義は「受け入れられないリスクからの解放を達成するために必要な性能」。単に感電しなければよいのではなく、その機器が果たすべき肝心の機能ーーたとえば正しい量を送り出す、正しい値を表示するーーが、通常状態だけでなく単一故障状態でも、受け入れられないリスクに至らない範囲に保たれることまで求める。ここで「異常時ならすべて」と読まないことが大事だ。

規格が求める範囲は通常状態と単一故障状態であって、独立した二つ以上の故障が同時に起きる事態までは、一般には要求していない。安全とは、危険がないこと（基礎安全）に加えて、基本性能の喪失または低下によって受け入れられないリスクが生じないことでもある。性能がわずかに落ちること自体が即アウトなのではなく、その低下が受け入れられないリスクにつながるかどうかが問われる。

実際、第3版のIEC 60601-1は、第1版・第2版が扱ってきた基礎安全に基本性能を加える形で「安全」の範囲を広げた。この二つを合わせたものが、規格の対象範囲である。

ここで誤解してはならないのは、規格は「既知の危険への共通の守り方」を定めているにすぎない、という点である。60601-1が求めているのは、業界が積み重ねてきた標準的な安全水準ーーいわば床（フロア）であって、天井ではない。この床・天井という比喩は規格用語ではなく説明のための表現だが、規制当局の立場も実質は同じだ（前述のMDCG 2021-5 Rev.1）。

あなたの製品に固有の危険、規格制定時には想定されなかった使われ方ーーISO 14971のいう「合理的に予見可能な誤使用」を含むーーまで、規格が面倒を見てくれるわけではない。そして実務でいちばん誤解されるのがここだが、リスクマネジメント（ISO 14971）は「規格適合の後にやる追加作業」ではない。IEC 60601-1のClause 4.2は、ISO 14971に適合するリスクマネジメントプロセスの実施を明示的に要求している。

つまりIEC 60601-1に適合するには、ISO 14971の該当部分に適合するリスクマネジメントプロセスを、設計・検証のプロセスに組み込む必要がある。両者は順番ではなく、一体で回すものだ。規格が対象とする既知のハザードについては、要求を満たせば残留リスクは「反証となる客観的証拠がない限り受容可能」と推定される。

だが規格が対象としない製品固有の危険は、自社のリスクマネジメントで自分で見つけ、自分で塞がねばならない。「規格に通った＝安全」で思考を止めた瞬間、規格の外に潜む危険が野放しになる。実務でありがちなのが、規格の版（エディション）や追補（アメンドメント）、各国での適用の違いを軽く見ることだ。

IEC 60601-1は第1版（1977年）から改訂を重ね、現行の統合版は第3版に追補1（AMD1:2012）と追補2（AMD2:2020）を統合した「Edition 3.2」である。Ed.3.2は新しい版ではなく、第3版＋二つの追補の統合版（consolidated version）だという構造は押さえておきたい。要求される試験や文書は版・追補によって変わるため、古い版で取得した適合を、そのまま最新の要求へ読み替えられると思い込むと、思わぬ手戻りが生じる。

加えて、同じ規格でも国ごとに独自の追加要求（各国差分）が上乗せされる。日本のJIS T 0601-1:2023は、IEC 60601-1:2005に追補1（AMD1:2012）・追補2（AMD2:2020）を加えたものを「MOD」ーー修正付きで採用している。米国では、IEC 60601-1 Edition 3.2を米国差分付きで適用し、その差分がANSI/AAMI ES60601-1などで具体化されている。

「一度通れば世界中どこでも通用する」わけではない。さらに、60601-1は単独で完結する規格でもない。これは「通則（general standard）」であり、これを補完する副通則規格（collateral standard：電磁両立性のIEC 60601-1-2、ユーザビリティのIEC 60601-1-6、アラームのIEC 60601-1-8など）と、機器種別ごとの個別規格（particular standard：輸液ポンプや除細動器などのIEC 60601-2シリーズ）と組み合わせて、初めて要求の全体像が決まる。

IEC自身が「個別規格が存在する場合、本規格を単独で使用すべきでない」と述べている。どの構成で、どの附属品と組み合わせて使うのかを製造業者が定義しなければ、そもそもどの副通則規格・個別規格を適用すべきかも、試験の前提すら決まらない。つまり、規格をどう自社製品に当てはめるかという判断そのものが、すでに技術者の仕事なのである。

規格は、安全そのものを保証する魔法ではない。先人が定めた共通の安全要求に、自社の頭で見つけた守り方を足して、初めて安全に近づくのである。

主な参照IEC 60601-1:2005+AMD1:2012+AMD2:2020（Clause 3.116／3.117／4.2／4.3／4.7／8）
IEC 60601-1:2005/AMD1:2012/ISH1:2021（解釈シート）
ISO 14971:2019
JIS T 0601-1:2023
ANSI/AAMI ES60601-1
FDA Recognized Consensus Standards Database（IEC 60601-1 Edition 3.2）
MDCG 2021-5 Rev.1「Guidance on standardisation for medical devices」（欧州委員会）

この分野の解説動画