Diseño de seguridad de falla única en un dispositivo de clase I

Estoy tratando de entender los estándares de seguridad para equipos eléctricos. Mi dispositivo es médico, por lo que para mí la sección 8 de IEC60601-1 es lo que realmente me importa, pero entiendo que todos los estándares de seguridad (por ejemplo, IEC60950) usan aproximadamente el mismo lenguaje y lógica, sin embargo, 60601 tiene la mayoría umbrales estrictos para una seguridad aceptable durante las pruebas.

El concepto general detrás de todo parece ser que su dispositivo debe permanecer seguro en todas las condiciones de falla única. 'Seguro' es siempre que las corrientes de fuga no excedan los umbrales dados en el estándar. Y además de describir las pruebas, la Sección 8 parece estar completamente dedicada a definir exactamente qué constituye una 'falla única'. Hay una lista de fallas únicas externas enumeradas en el estándar (por ejemplo, conductor de tierra de protección abierto), pero también es su responsabilidad considerar cada posible falla interna y asegurarse de que nunca se excedan las corrientes de fuga.

Estas fallas internas pueden ser cortocircuitos y aperturas de cualquier componente único en la placa de circuito, y pueden ser cortocircuitos en cualquier aislamiento único con menos de 2 medios de protección (según se define en la norma por fuga, separación o espesor sólido). Además, cualquier aislamiento que no sea adecuado para ser considerado un medio de protección puede cortocircuitarse además de las condiciones de falla única interna y externa. Se introduce esta noción de 'dos ​​medios de protección' y creo (y podría estar equivocado aquí) que lo que esto quiere decir es que SI cualquier falla única produce una corriente de fuga que excede el umbral, entonces un medio adicional de protección es necesario. ¿Es esa idea correcta?

Tengo un millón de preguntas sobre esto, pero donde realmente estoy atascado aquí es específicamente con respecto a lo que debe hacer en el lado secundario de un transformador de aislamiento para que sea seguro ante una sola falla. A los efectos de esta pregunta, supongamos que el circuito dentro del dispositivo es absolutamente simple.

• Alimentado desde la red de CA a través del transformador de aislamiento
• El secundario es solo 2 resistencias
• El gabinete está conectado a tierra de forma protectora.
• Todo está contenido en el recinto.
• El voltaje secundario $V_s$ podría ser cualquier cosa, en realidad.
• un lado del devanado secundario está conectado al recinto en un solo punto.

Para las condiciones de falla que muestro aquí, cuando rastreo a través de dónde deberían fluir las corrientes de falla, no puedo ver dónde está el peligro para la persona en las pruebas de corriente de fuga (representadas por MD). Creo que la única prueba que importa para esta situación es la prueba de fuga a tierra, pero parece que nunca fallará siempre que su lado primario pase la prueba.

Es demasiado simple, ¿Qué diablos me estoy perdiendo? ¿No es la prueba de fugas lo que importa? ¿Es una prueba de corriente táctil? ¿Pero no está todo conectado a tierra de forma protectora y no puede hacer una prueba táctil? Puedo imaginar que una gran corriente de falla que fluya a través del recinto de impedancia finita podría presentar un peligro, pero extrañamente, solo cuando el conductor de protección a tierra está intacto (extremo inferior izquierdo).