全新FDA可用性指南:用医疗器械设计将安全牢牢"焊死"!

2026年8月3日，美国FDA发布新版《将人因工程和可用性工程应用于医疗器械》指南，用于指导制造商在医疗器械设计开发过程中识别、分析和控制使用风险。

该指南传递明确的监管思路：当用户发生操作错误时，企业不能只追问“用户为什么没有按照说明书操作”，还需评估产品设计是否容易诱发错误，以及是否已采取足够的防错措施？！人因工程并不只是让产品“更好用”，而是要确保预期用户能够在预期场景下安全、有效地使用产品。

一、人因工程首先是安全和风险管理活动

在传统理解中，可用性往往意味着界面是否美观、按钮是否顺手、操作是否方便。

但FDA更关注的是，产品设计是否会导致用户看漏提示、误解报警、选错参数、接错部件或遗漏关键操作，并进一步造成患者或使用者伤害。

因此，人因工程不能等到产品基本定型后再补做测试，而应贯穿设计输入、风险分析、设计改进和设计验证全过程。

二、“用户界面”远不止显示屏

FDA所指用户界面，包括用户与产品发生交互的所有部分，例：设备外形、按钮和旋钮、显示屏、报警、软件逻辑、管路和连接件、附件、包装、标签、说明书及培训材料。

用户拆包、组装、连接患者、设置参数、清洁产品或更换部件，都属于需要考虑的使用过程。

因此，无源医疗器械同样可能存在人因风险。例如接口是否容易接错、无菌包装是否容易被错误开启、左右部件是否容易混淆，以及连接完成后是否能让用户清晰确认。

相比单纯增加警告语或培训，直接改进产品和用户界面通常更有效。

三、人因分析需回答3个问题

医疗器械人因工程主要围绕三个方面展开：

1.谁在使用、在哪里使用、如何与产品交互？

2.用户可能是医生、护士、技术人员、患者、家庭照护者，也可能是安装、维修、清洁或重新处理人员。制造商还应考虑其视力、听力、认知能力、专业经验和培训水平。

3.使用环境也会影响安全。低照度可能导致信息看不清，高噪声可能掩盖报警，拥挤环境可能增加误碰，车辆振动可能影响精细操作。

因此，人因评价不能脱离真实用户和真实使用场景。

四、围绕关键任务开展评价和设计改进

关键任务：一旦执行错误或未执行，就可能造成严重伤害或影响医疗照护的任务。

判断任务是否关键，主要看潜在伤害的严重程度，而不是操作频率。即使某项操作很少发生，只要错误后果严重，也应纳入人因分析和验证测试。

制造商可通过任务分析、FMEA、故障树分析、专家评审、用户访谈和模拟使用测试识别关键任务及潜在错误。

在正式验证前，还应开展形成性评价，让代表性用户操作模型、样机或接近最终状态的产品，观察其是否出现犹豫、误解、反复尝试或操作错误，并通过“评价—修改—再评价”不断完善设计。

如果在正式验证阶段才发现大量基础设计问题，往往说明前期形成性评价不充分。

五、风险控制应优先通过设计实现

对于已经识别的使用相关风险，风险控制应遵循以下顺序：

首先，通过固有安全设计消除或降低风险，例如采用防错接口、取消容易误选的功能、提高显示可读性或将易错操作自动化。

其次，设置机械防护、软件联锁、操作确认或报警等保护措施。

最后，才是通过说明书、警告和培训提供安全信息。

标签和培训虽然重要，但用户未必会在操作时查看说明书，培训内容也可能随时间被遗忘。因此，只要能够通过合理设计降低风险，就不应仅靠“增加警告语”解决问题。

六、人因验证关注真实表现,而不只是人数

人因验证测试通常在设计开发后期进行，用于证明最终产品可以被预期用户安全、有效地使用。

测试应满足4个基本条件：

1.参与者能够代表真实用户；

2.覆盖全部关键任务；

3.使用最终或等同最终的用户界面；

4.测试环境能够代表实际使用条件。

FDA通常建议每个不同用户群体至少纳入15名参与者，但“15人”并不是简单的统计学合格线。

人因验证本质上更偏向定性评价，重点不是计算某种错误发生了多少次，而是判断是否仍存在设计缺陷，并分析错误为什么发生。

测试中还应记录犹豫、困惑、反复尝试和“接近错误”。即使用户最终完成了任务，只要过程中出现可能导致伤害的问题，也可能说明界面仍需改进。

如果发现可能造成严重伤害的错误，且可以通过修改设计降低风险，企业应完成修改并在必要时重新验证，不能仅承诺在后续版本中解决。

七、建立完整的人因工程闭环

企业可按照以下路径开展人因工程活动：

定义用户、使用环境和用户界面

1.开展使用相关风险分析

2.识别关键任务和已知使用问题

3.开展形成性评价

4.实施设计改进和风险控制

5.使用最终设计开展人因验证

6.分析错误根因和残余风险

7.形成完整、可追溯的设计开发记录。

已上市产品发生界面、操作流程、报警、标签、附件或连接方式变更时，也应重新评估使用相关风险。

尤其是因投诉、CAPA或召回实施的修改，不仅需证明原问题被解决，还需确认未引入新使用风险。