Mécanique, électronique et logiciel classe C dans un seul arbre.
Un seul régulateur juge toute la machine, donc toute la machine vit dans un seul graphe : la classe de sécurité logicielle découle du risque hardware, automatiquement.
| Assemblage / pièce | Qté | Masse |
|---|---|---|
Plateforme robotiséeSYS-001 | 388.70 kg | |
Bras robotisé 6 axesARM-100 | ×1 | 32.50 kg |
Chariot mobileCART-110 | ×1 | 310.00 kg |
Station de navigation optiqueNAV-300 | ×1 | 46.00 kg |
Station de contrôleWKS-400 | ×1 | 0.00 kg |
Logiciel de planificationSW-500 | ×1 | Class C |
Logiciel de contrôle mouvementSW-510 | ×1 | Class C |
Logiciel de confirmationSW-520 | ×1 | Class B ≠ C |
Guide instrument stérileGUID-200 | ×1 | 0.12 kg |
La station affiche 0,00 kg parce que ses enfants sont logiciels. C'est aussi pourquoi la remontée et la masse déclarée divergent ; voir les limites plus bas.
Un espace de travail de référence bâti sur la structure d'une classe de programme réelle, pas un déploiement client. Fabricant, fournisseurs, sites hospitaliers, cliniciens et noms commerciaux sont retirés. Chaque chiffre de cette page est lu dans cet espace de travail en direct.
Cinq métiers, cinq outils, un régulateur
Un seul arbre, et les chiffres se calculent seuls
La classe de sécurité se plaide
L'IEC 62304 demande quel dommage le logiciel peut causer. Cette gravité vit dans un autre outil : la classe se fixe en réunion et se défend de mémoire.
La classe est une conséquence
La gravité remonte des risques qu'un module maîtrise, et la classe suit. Un filtre permanent liste chaque module dont la classe déclarée diverge. Il en a trouvé un.
Aucun BOM ne tient un octet et une équerre
Une pièce PLM a une masse et un fournisseur. Le logiciel n'a ni l'une ni l'autre : il quitte le BOM.
Un bras de 32 kg et un module sont le même objet
Tous deux sont des composants avec un domaine. La masse remonte par la mécanique, la classe par le risque, dans le même arbre, sans passerelle à maintenir.
« Est-ce qu'on est prêts ? » prend une semaine
Quelqu'un reconstruit un tableur depuis quatre sources. Le lundi il est de nouveau faux, et personne ne sait quelle ligne a bougé.
L'état d'avancement est un écran, pas un rapport
Couverture, approbations, changements ouverts et risques au-dessus du seuil sont calculés depuis l'arbre. Personne ne les assemble.
Le dommage fixe la gravité, la gravité fixe la classe logicielle
Les modèles qui font le travail
Lu à l'envers, il répond à un auditeur
Ce module est classe C à cause de ce dommage.
Trois risques, une seule colonne saisie
Un relecteur saisit la probabilité. La gravité est lue jusqu'au dommage ; l'indice et le niveau suivent.
| Risk | Severity | Probability | Risk index | Level |
|---|---|---|---|---|
| RSK-01 · Insertion along a deviated trajectory | 4 | 2 | 8 | ALARP |
| RSK-02 · Uncontrolled motion with needle engaged | 3 | 2 | 6 | ALARP |
| RSK-03 · Loss of patient tracking under EM noise | 2 | 3 | 6 | ALARP |
ƒ Risk index : calculé par Koddex, saisi par personne.
Le module avec lequel le graphe n'est pas d'accord
Confirmation software
SW-520- Domain
- Software (IEC 62304)
- Version
- v3.2.1
- Allocated requirement
- Confirm trajectory before advance
- Max severity
- 4max(severity of the risks it controls)
- Declared 62304 class
- Class B
- Computed 62304 class
- Class Cseverity ≥ 3 → Class C
Trois formules font l'essentiel
Dérivée au grand jour depuis le danger mécanique, pas décidée dans une salle.
Un filtre permanent, pas un audit. Il renvoie aujourd'hui un module.
388,70 kg depuis les feuilles contre 520,00 kg déclarés. Les deux à l'écran, c'est l'état utile.
Le logiciel est dans le BOM, sous la station qui l'exécute
| Assemblage / pièce | Qté | Masse |
|---|---|---|
Plateforme robotiséeSYS-001verrouillé | 388.70 kg | |
Bras robotisé 6 axesARM-100verrouillé | ×1 | 32.50 kg |
Chariot mobileCART-110en revue | ×1 | 310.00 kg |
Station de navigation optiqueNAV-300verrouillé | ×1 | 46.00 kg |
Station de contrôleWKS-400verrouillé | ×1 | 0.00 kg |
Logiciel de planificationSW-500verrouillé | ×1 | Class C |
Logiciel de contrôle mouvementSW-510verrouillé | ×1 | Class C |
Logiciel de confirmationSW-520en revue | ×1 | Class B ≠ C |
Guide instrument stérileGUID-200en revue | ×1 | 0.12 kg |
Couronne de marqueurs patientREF-310verrouillé | ×1 | 0.08 kg |
La station affiche 0,00 kg parce que ses enfants sont logiciels. C'est aussi pourquoi la remontée et la masse déclarée divergent ; voir les limites plus bas.
Quatre sites pointent vers la conception. Aucun n'en détient de copie
| Site | Région | Procédures | Statut | Exploité par |
|---|---|---|---|---|
| SITE-01 | Europe | 450 | En exploitation depuis 2021 | Radiologie interventionnelle |
| SITE-02 | Amérique du Nord | 210 | En exploitation depuis 2023 | Radiologie interventionnelle |
| SITE-03 | Europe | 12 | Installé, formation en cours | Radiologie interventionnelle |
| SITE-04 | Europe | 0 | Installation planifiée, T4 | À confirmer |
« Quels sites font tourner un module mal classé ? » est une traversée, pas quatre coups de fil.
Ce qui a changé
| PLM + eQMS + tableur risque + ALM | Un seul graphe | |
|---|---|---|
| Où vit le logiciel | Hors du BOM | Dans le BOM, sous sa station |
| Justifier une classe 62304 | Reconstruite à la main, des années après | Dérivée, en permanence |
| Trouver un module mal classé | Une campagne de revue, si quelqu'un la lance | Un filtre qui renvoie un item |
| Répondre à « est-ce qu'on est prêts » | Un tableur depuis quatre sources | Un cockpit qui ne calcule rien en propre |
| Un site qui demande ce qu'il exploite | Un export, périmé à l'arrivée | L'item même qu'édite la R&D |
Ce que cela ne fait pas
Une remontée ne vaut que son modèle
La station affiche 0,00 kg car ses seuls enfants sont logiciels : le total tombe à 388,70 kg contre 520,00 kg déclarés. Le graphe montre l'écart. Il ne l'a pas corrigé.
Une classe suggérée n'est pas une justification
Il signale que la classe déclarée diverge. L'argument de ségrégation et le safety case que lira un organisme notifié restent à écrire.
C'est un espace de travail de référence
Pas un déploiement client. Aucun délai, aucune économie et aucun résultat d'audit n'est revendiqué ici, parce qu'aucun n'a été mesuré.
Questions fréquentes
Un seul outil peut-il tenir un chariot de 310 kg et un module logiciel ?
Ce sont le même type d'objet : un composant avec un domaine. Les remontées de masse renvoient zéro pour le logiciel, celles de risque renvoient une classe pour les deux.
Comment la classe IEC 62304 est-elle calculée ?
Chaque composant prend la gravité maximale des risques que maîtrisent ses exigences. Une gravité de 3 ou plus suggère la classe C. La classe déclarée reste humaine : les deux peuvent diverger.
Nous sommes une équipe robotique hors medtech. Est-ce transposable ?
Les normes médicales sont le vocabulaire, pas la forme. Un niveau de performance en sécurité machine ou un DAL en avionique, c'est le même graphe avec d'autres noms.