医疗器械风险分析

中华人民共和国医药行业标准

YY/T0316——2003idtISO14971-1:2000医疗器械风险管理第一部分：风险分析的应用2000-01-31发布2000-07-01实施国家药品监督管理局发布25.08.20241.ISO13485：2003标准系列培训教材讲师：车号爽

2006年2月25.08.20242.前言1、本标准与医药行业标准：YY/T0287—2003《质量体系医疗器械GB/T19001—ISO9001应用的专用要求》配套使用。2、本标准由国家药品监督管理局提出。

3、本标准全国医疗器械质量管理和通用要求标准化技术委员会归口。4、本标准起草单位：中国医疗器械质量认证中心。5、本标、起草人：武俊华、陈宇红、秦树华。25.08.20243.YY/T0287—2003相关要求（设计）4.4.1总则：对所有医疗器械,在设计的全过程中,供方应对进行风险分析的必要性作出评价,并保持风险分析的记录。4.4.8设计确认作为设计确认的一部分，供方应保持临床评价的记录。25.08.20244.风险分析的要求和标准在欧洲医疗器械指令(AIMDD,MDD,IVD)风险分析标准----EN14411997-10欧洲标准;----ISO14971-11998-10国际标准风险管理标准----EN60601-1-41996-07----ISO14971(系列草案)2000-0225.08.20245.风险分析的要求和标准在美国医疗器械制造商设计控制指南“DesignControlGuidanceforMedicalDeviceManufactures”March11.1996包含软件的医疗器械上市提交文件指南“GuidancefortheContentofPremarketSubmissionforSoftwareContainedinMedicalDevices”“ODEGuidance”May29,199825.08.20246.风险分析的要求和标准在中国YY/T0316-2003待同ISO14971-1:2000GB9706.X-1-4199625.08.20247.风险分析的目的

是确定医疗器械的安全性25.08.20248.安全性是医疗器械的首要质量特性。为此在医疗器械设计中,应识别产品和过程的安全性,识别有关安全标准以使产品规范、完善、安全、有效。需要针对安全要素进行设计评价，试验和样机试验并将结果形成文件。对医疗器械使用说明书、注意事项、维修手册、标签及宣传材料进行分析，特别是预期用途和已知偶然事故进行分析以便把问题减至最少并提出跟踪方法以利追回产品。25.08.20249.风险分析的必要性任何设计结果（即使是很完善的），在预期的功能及安全方面会存在某些失效的可能（尽管出现的机率不同）。而这些失效造成的后果有小有大，有时甚至是巨大的，因此在设计中要对可能出现的风险作出预测，对其出现的概率和后果的严重性作出分析，并作出决策适当减少和回避某些风险。25.08.202410.但要回避风险必须付出代价。因此要求在设计的全过程中要对是否需要进行风险分析作出评价，并要求保持风险分析的记录。

25.08.202411.何时进行风险分析?风险分析应贯穿整个设计过程;产品特征(产品的设计方案)确定后,给出初始风险分析(设计输入阶段);设计过程结束后给出风险分析报告(设计确认阶段);设计更改应考虑是否影响风险分析;通过市场监督发现新的风险,应修订风险分析报告;通过临床调查发现新的风险应修订风险分析报告.25.08.202412.定义医疗器械：由生产者设计成为下列目的用于人类的，不论是单独使用还是组合使用的，包括使用所需软件在内的任何仪器、设备、器具、材料或其它物品这些目的是：

——疾病的诊断、预防、监护、治疗或者缓解；

——损伤或残疾的诊断、监护、治疗、缓解或者补偿；

——解剖或生理过程的研究、替代或者调节；

——妊娠控制；25.08.202413.

——其作用于人体体表及体内的主要设计作用不是用药理学、免疫学或代谢的手段获得，但可能有这些手段参与并起一定辅助作用。分类：I类、II类（a、b）、III类25.08.202414.定义损害——对健康或财产的实际伤害和/或破坏。危害——损害的潜在源。安全性——免除于不可接受的损害风险。风险——一个导致损害的危害的发生概率及损害的严重程度。25.08.202415.风险分析——用以判定危害并估计风险的可得资料研究。它的基础是对与一种医疗器械应用有关部门的假想事件的可能后果的概率进行定量或定性估计。25.08.202416.风险分析/风险管理风险分析是一个分析的过程和结果;风险分析是风险管理的一部份;风险管理包括:风险分析;确定风险的可接受性;确定、执行和验证降低措施.25.08.202417.风险分析/风险管理RiskMnangementISO14971IEC60601-1-4RiskAnalysisEN1441ISO14971-125.08.202418.风险分析过程分析危害：即对患者、操作者和环境的有害影响的源；对每一个危害，分析其可能的原因；对每一个危害原因，根据其严重性和可能性分析风险；基于风险决定是否需要降低措施。25.08.202419.风险分析的方法“自上而下”“top-down”从列出所有危害（hazard)开始，分析各种可能产生危害的潜在原因；●“自下而上”“Bottomup”从列出所有单元和/或部件的失效模式开始，推理各种可能发生的危害（hazard)FMEA失效模式和效应分析方法●两者兼用25.08.202420.故障树室内黑暗断电两灯烧坏电源故障保险丝断电灯2坏电灯2坏25.08.202421.产生危害的原因应考虑环境，设备，患者，操作者和兼容性；应考虑正常状态和异常状态；应写出所有你想到的情况；对各种原因进行适当的分组。25.08.202422.失效模式（BasedonIEC60812-1985)结构失效（破损），振动，不能保持正常位置，打不开，误开，误关，泄漏（内/外部），超出允差（上/下限），意外运行，（提前，置后运行，间歇性工作，漂移性工作，错误（指示/动作），错误输入（高/低），错误输出（高/低），流动不畅，不能（开机，关机，切换），无输入/出，短路，开路，漏电，其它（系统特性，要求和运行限制的特殊失效条件）25.08.202423.风险：a)严重性能Severity(BasedonIEC60812-1985)按可能造成的严重程度分为四级：1=轻度的Negligible(可能导致轻度伤害或无伤害；2=严重的Marginal(可能导致伤害或损害）；3=致命的Critical(可能导致死亡，严重伤害或损害）；4=灾难的Catastrophic(可能导致多人死亡或严重伤害）。25.08.202424.风险：b)可能性（Likelihood)按事件发生的概率/（每年）分为六级：6=经常发生freguent(>1);5=有时发生Probable(1-10‾1)4=偶然发生occasional(10‾1-10‾2)3=很少发生remote(10‾2-10‾4);2=非常少发生unlikely(10‾4-10‾6);1=极少发生incredible(<10‾6)25.08.202425.风险测算1234654321严重性（severity)可能性（likelihood)25.08.202426.风险测算风险=严重性╳可能性结果：可按受性0-6可按受；7-11报警，担忧；12-24不可按受25.08.202427.风险分析流程1.组成风险分析小组风险分析应由不得个跨学科小组组成,其组成可以:医学专家、操作者、设计工程师、市场人员和管理人员;2.判定定性及定量特性(YY/T0316idtISO14971-1,3.2);3.判定可能的危害(YY/T0316idtISO14971-1,3.3);YY/T0316idtISO14971-1附录C或附录A-225.08.202428.风险分析流程4.风险估计(测算)(YY/T0316idtISO14971-1,3.4)标准和方法GB7816idtIEC60812,FMEA;GB7829FTAIEC61025FTAIEC60300-3-9技术系统的风险分析IEC60601-1-4可编程电子医疗系统安全要求25.08.202429.风险分析流程4.风险估计(测算)(YY/T0316idtISO14971-1,3.4)资料和数据来源有关标准;科学资料;已使用的类似的器械的现场资料和公开发表的事故报告;临床证据;适当的调研结果.25.08.202430.风险分析流程5.风险评审(YY/T0316idtISO14971-1,3.5)---判定风险的可接受性,如可接受可直接写入风险分析报告;6.风险降低(YY/T0316idtISO14971-1,3.6)----当风险不可接受,风险可适当降低时;----风险的降低措施;

●直接安全手段(设计);●间接安全手段(防护),限制可达性或危害防护;●说明性安全(限制使用的时间,频次,用途,寿命或环境);●重新确定预期用途.25.08.202431.风险分析流程7.其它危害的产生(YY/T0316idtISO14971-1,3.7)----采取风险降低措施后,判定是否产生新的危害;

●如没有,判定风险的可接受性,如可接受可直接写入风险分析报告;●如有,返回作风险分析8.确定对所有危害进行了评价(YY/T0316idtISO14971-1,3.8)9.写出风险分析报告(YY/T0316idtISO14971-1,3.9)10.风险评审(YY/T0316idtISO14971-1,4)当有新的资料和数据可运用时,应考虑新的风险分析.25.08.202432.引言

为了确定一种医疗器械对其预期用途的适宜性，必须对其安全性，包括风险可接受性作出判断。影响安全感知的因素，包括了社会的社会经济和教育背景，以及实际和设想的患者处境与状态。这种判断必须考虑到器械预期用途、性能、风险和益处以及临床过程有关的风险和益处。风险控制的全过程称作风险管理。YY/T0316—ISO14971-1描述了风险分析技术，它的基础是对一种医疗器械有关的假想事件的后果的概率进行定量或定性的估计。风险分析是风险管理的第一步。25.08.202433.风险分析与风险管理的简化关系

风险管理风险分析范围确定危害判定风险估计风险评价风险容许性判定方案分析风险降低/控制决策执行监控25.08.202434.医疗器械

风险分析程序25.08.202435.风险分析流程图判定定性及定量特征判定可能的危害接受风险降低风险产生其它危害判定的危害评价风险分析报告风险分析评审是接受风险是是是是否否否否退出25.08.202436.

一、定性和定量特征的判定器械的预期用途器械的使用说明器械接触方式：临床患者心电信号检测打印相关检测信息预期用户：医院、诊所使用者要求：接受过操作培训的专业医生使用环境：-400C~500C安装：用户自行安装患者是否可以控制器械使用：否患者是否可以影响器械使用：是表面：是有创：否植入：否25.08.202437.器械接触时间器械接触频次器械使用材料安全性是否已知能量施加/吸收物质进入/抽取5~10分钟1~2次是否否25.08.202438.生物材料处理方式和物质类型。器械是否无菌形式提供/用户灭菌/灭菌处理形式一次使用/重复使用次数/采用何种包装/储存寿命器械是否改善：温度、湿度、大气成分及压力无否用户灭菌长期重复使用普通包装无25.08.202439.器械是否进行测量/变量/准确/精确度器械是否能进行分析处理/由输入或获得的数据显示结论/计算方法/置信极限。器械是否控制其他器械或药物或与其相互起作用有关的器械和药物及由于这种相互作用存在的潜在问题是能获得的数据显示结论计算方法：置信极限：准确率：90%否无25.08.202440.不希望产生的能量或物质输出能量：噪声、振动、热、辐射、接触温度、漏电电流和电场或磁场物质：化学物质、废物和体液排放器械是否对环境影响敏感/操作/运输/储存环境/包括泄漏及能源和冷却物质供应噪声：轻微漏电电流：微量电场：微量磁场：微量无物质输出操作环境：电磁波干扰易燃易爆气体空气潮湿噪声气温储存环境：空气潮湿运输环境：空气潮湿振动

25.08.202441.伴随器械的基本消耗品或附件/此类消耗品或附件的技术要求/对用户选择这些东西的限制。维护和校准/操作者还是专家进行是否含有软件/用户或操作者安装、修改、调换。是否有规定的储存寿命/贴标签或标志及此类器械的处置消耗品：打印纸附件：导联线胸电极肢夹电源线、接地线维护和校准：专家软件由厂家安装、修改、调换无25.08.202442.受到什么样的机械作用力/是在用户的控制之下或他人相互作用来控制什么决定器械寿命/老化/电池耗尽一次或多次使用无老化多次使用25.08.202443.二、可能危害的判定危害分类患者接触部分器件部分可能的危害肢电极和胸电极重复使用和消毒不良，引起患者交叉感染未按国家规定定期进行检定长期使用即使在检定有效期内，由于器件漂移（温漂和时漂）可造成安全等级降低或系统精度发生变化，从而影响医生诊断。25.08.202444.危害分类操作环境可能的危害不适当操作和使用不符合规定的耗材导致心电图的记录不良，从而影响心电图的诊断易燃易爆气体可能引起爆炸噪声和温差可引起患者不适造成波形干扰储存及运输不当造成器件失效以上因素导致心电图的记录不良，从而影响心电图的诊断25.08.202445.危害分类软件维护可能的危害软件失效一般不会直接危害患者硬件引起的软件失效会导致诸如滤波不良可能会影响医生诊断不适当的维修会影响器械性能或导致失效可能会影响医生诊断25.08.202446.三、风险降低/控制存在的风险肢电极和胸电极重复使用和消毒不良，引起患者交叉感染未按国家规定定期进行检定长期使用即使在检定有效期内，由于器件漂移（温漂和时漂）可造成安全等级降低或系统精度发生变化，从而影响医生诊断。风险降低/控制措施采用符合规范要求的一次性电极适当消毒定期检定规定使用寿命设计和制造过程对元件相关参数进行有效控制25.08.202447.存在的风险不适当操作和使用不符合规定的耗材导致心电图的记录不良，从而影响心电图的诊断易燃易爆气体可能引起爆炸噪声和温差可引起患者不适造成波形干扰储存及运输不当造成器件失效以上因素导致心电图的记录不良，从而影响心电图的诊断风险降低/控制措施加强操作者培训对器械的使用/储存/运输环境和使用/储存/运输条件严格标识25.08.202448.存在的风险软件失效一般不会直接危害患者硬件引起的软件失效会导致诸如滤波不良可能会影响医生诊断不适当的维修会影响器械性能或导致失效可能会影响医生诊断风险降低/控制措施每次开机对相关硬件的初始化及检测加强产品的维修管理25.08.202449.四、其它危害评估经评估，采取降低风险措施后，不会产生其它危害25.08.202450.五、评价所有已判定的危害经评价，所有已判定的危害可接受25.08.202451.六、风险分析报告安全风险分析报告ECG-101数字式单道行电图机系统安全风险

1、患者接触部分心电图机与患者接触的部分，即肢电极和胸电极,如因客观条件的限制,未使用一次性电极，或因消毒不良，可能引起患者间的交叉感染。通过采用符合规范要求的一次性电极可避免交叉感染的风险；或通过对电极进行适当的消毒降低交叉感染的风险。25.08.202452.

2、器件漂移部分心电图机属计量仪器，按国家有关规定应定期进行检定。在检定的有效期内，由于器件漂移（温漂和时漂）的影响，可造成安全等级降低或系统精度发生变化。如由于绝缘隔离器件的失效，导致整机的安全等级从原来的CF类降低为BF类；灵敏度控制的相关元件发生漂移导致系统的实际灵敏度与标识的灵敏度不符，从而影响医生的诊断等。通过设计和制造过程对元件的相关参数进行有效的控制，可降低这一类风险。

25.08.202453.

3、操作因素心电图机一般供符合资格的医生使用。然而，当使用者大意时，依然存在安全风险。操作者的不适当操作可能影响仪器的性能或导致仪器失效；甚至，在有易燃易爆气体存在的环境中使用时，可能引起爆炸。较常见的风险在于操作者不太注意电极与患者的接触状况就开始记录心电图，容易引起因电极接触不良导致心电图的记录不良，从而影响心电图的诊断。这一类风险可通过对产品的使用环境和使用条件严格标识和加强对操作者的培训有效地加以控制。

25.08.202454.二软件安全风险产品软件主要负责操作控制，信号采集、处理和输出等，软件的失效一般不会直接危害患者。而且单纯的软件失效一般容易引起操作者的注意，如无法操作或操作异常，或系统重新复位等。硬件引起的软件失效可能会有危害，如存储器异常所导致的滤波不良可能会影响医生的诊断等。通过每次开机时对相关硬件的初始化及检测，可降低这一类风险的危害。25.08.202455.

三产品维修产品的不适当维修可能引发其它风险。如所更换的器件不符合要求时，会影响