4、风险管理（ISO 14971）：风险分析、风险评估、风险控制、风险评审、生产与后生产阶段

风险管理，说白了就是给体温计做「全身体检」。

我做了这么多年医疗器械，见过太多产品因为风险没管好，最后栽了大跟头。ISO 14971 这个标准，就是教你怎么系统性地找出问题、评估问题、解决问题。它不是一张纸，而是一套生存法则。

4.1 风险分析：先搞清楚「敌人」在哪

风险分析不是拍脑袋。你得把体温计拆开来看——硬件、软件、使用场景、用户群体，一个都不能漏。

我个人习惯，第一步先列一个「风险清单」。比如：

• 测量不准：传感器漂移、算法误差、环境温度干扰
• 电气安全：漏电、短路、电池过热
• 软件故障：死机、数据丢失、通信中断
• 使用错误：老人看不清屏幕、儿童误吞电池、用户没放对位置

嗯，这里要注意。风险分析不是一次性的。我遇到过一家公司，产品都量产了才发现——他们忘了分析「低温环境下的测量误差」。结果冬天出货到北方，投诉率直接飙升。

4.2 风险评估：给风险「打分」

找到风险之后，你得判断它严不严重。ISO 14971 用的是「严重度 × 发生概率」这个公式。

我建议你做一个矩阵表，像这样：

严重度	频繁	可能	偶尔	极少
灾难性	不可接受	不可接受	不可接受	评审后决定
严重	不可接受	不可接受	评审后决定	可接受
轻微	评审后决定	可接受	可接受	可接受
可忽略	可接受	可接受	可接受	可接受

举个例子。体温计电池漏液，严重度是「轻微」，发生概率是「偶尔」。那这个风险就是「可接受」的。但如果是「测量值偏高 0.5℃ 导致误诊」，严重度就是「严重」，概率如果是「可能」，那就必须处理。

4.3 风险控制：把风险「摁下去」

评估完，不可接受的风险就得控制。控制手段有三个层次：

1. 设计上消除：比如用不可拆卸电池防止儿童误吞
2. 防护措施：比如加装过温保护电路
3. 信息提示：比如在说明书里写「请勿在强电磁环境下使用」

你想想看，最理想的是第一层。但现实中，很多时候只能做到第二层或第三层。我做过一个项目，传感器在高温下会漂移，设计上没法完全消除，最后我们加了一个「温度补偿算法」，同时在屏幕上显示「环境温度过高，请等待」。这就是第二层加第三层。

4.4 风险评审：让「外人」来挑刺

风险控制完了，你得找一帮人坐在一起评审。这些人不能全是开发团队的人。我建议至少包括：

• 项目经理
• 硬件工程师
• 软件工程师
• 质量工程师
• 临床专家（如果有）
• 法规人员（你自己）

评审的时候，重点看三件事：

• 风险分析是否完整
• 风险控制是否有效
• 残余风险是否可接受

我曾经在一次评审会上，被临床专家一句话问住了：「如果用户把体温计放在腋下 10 分钟，会不会导致低温烫伤？」我们之前完全没想过这个场景。嗯，这就是评审的价值。

4.5 生产与后生产阶段：风险管理的「下半场」

很多人以为产品上市了，风险管理就结束了。错。生产阶段和后生产阶段，才是真正的考验。

生产阶段，你要关注：

• 元器件变更（比如某颗芯片停产了，换了替代料）
• 生产工艺波动（比如焊接温度变化导致接触不良）
• 供应商质量（比如电池批次不一致）

后生产阶段，你要关注：

• 客户投诉（比如测量不准、屏幕不亮）
• 不良事件报告（比如有人被烫伤）
• 召回或纠正措施

我建议你建立一个「风险数据库」，把生产后收集到的数据反馈回风险分析。比如，如果发现某批次产品故障率偏高，就要重新评估「发生概率」，甚至重新做风险控制。

小结

风险管理不是一锤子买卖。它是一个闭环：分析 → 评估 → 控制 → 评审 → 监控 → 再分析。体温计虽小，但风险不小。你想想看，一个体温计要是测不准，轻则误诊，重则延误治疗。所以，别嫌麻烦。

下一章，我会讲「软件生命周期过程（IEC 62304）」。那是专门针对嵌入式软件的法规要求，跟咱们体温计的代码直接相关。到时候见。