第四章：风险管理（ISO 14971）——风险分析流程、控制措施与残余风险接受准则
各位同学，大家好。今天我们聊一个在医疗设备开发中绕不开的话题——风险管理。说白了，就是按照 ISO 14971 这套标准，把产品从“可能出问题”变成“基本可控”。我做了十几年嵌入式安全，见过太多因为风险分析没做透，导致产品召回甚至伤人的案例。嗯，这节课我们就把它掰开揉碎了讲清楚。
4.1 风险分析流程：FMEA 与 FTA 的实战应用
风险分析是整个风险管理的第一步，也是最关键的一步。我个人习惯把风险分析比作“排雷”——你得先知道雷在哪，才能去拆。
常用的工具有两个：FMEA（失效模式与影响分析）和FTA（故障树分析）。它们不是二选一，而是互补的。
4.1.1 FMEA：自下而上的“查漏补缺”
FMEA 是从底层元器件或功能模块出发，问自己：“如果这个电阻短路了，会怎样？”或者“如果这个软件函数返回了错误值，会怎样？”
我在项目中遇到过一件事：某款输液泵的电机驱动芯片，FMEA 分析时发现“驱动信号丢失”这个失效模式。当时团队觉得概率极低，没当回事。结果样机测试时，电机真的因为一个焊点虚焊停转了。你想想看，如果当时没做 FMEA，这个风险就漏过去了。
FMEA 的核心步骤很简单：
- 识别失效模式：比如传感器读数漂移、通信丢包、看门狗超时。
- 分析影响：这个失效会导致什么后果？是设备报警，还是直接停止治疗？
- 评估严重度（S）：从 1（无影响）到 10（死亡或永久伤害）。
- 评估发生概率（O）：从 1（几乎不可能）到 10（频繁发生）。
- 评估可检测性（D）：从 1（一定能检测到）到 10（完全无法检测）。
- 计算风险优先数（RPN）：RPN = S × O × D。通常 RPN 超过某个阈值（比如 100）就需要采取控制措施。
重要提醒：RPN 只是一个参考值，不是绝对标准。我见过有人为了降低 RPN 而故意调低严重度评分，这是非常危险的。严重度应该基于临床后果，不能因为“不好改”就降低它。
4.1.2 FTA：自上而下的“追根溯源”
FTA 正好反过来。它从一个顶层事件（比如“设备意外停止治疗”）出发，向下逐层分解，找出所有可能导致这个事件的原因。
举个例子：顶层事件是“输液泵流速不准”。往下分解，可能是“电机转速不准”或“管路堵塞”。再往下，“电机转速不准”可能是“驱动信号错误”或“编码器反馈失效”。这样一层层挖下去，直到找到根本原因。
我个人觉得，FTA 特别适合分析那些已经发生的故障，或者设计阶段的高风险场景。它能把一个模糊的问题，拆解成一个个具体的、可验证的底层事件。
我的经验：做 FTA 时，一定要拉上硬件、软件、临床工程师一起讨论。我曾经一个人闷头画故障树，结果漏掉了一个“用户误操作”的分支。后来临床同事一句话点醒了我：“护士有时候会忘记关掉输液管上的夹子。”嗯，从那以后，FTA 我必拉上临床人员。
4.2 风险控制措施：从“识别”到“解决”
风险分析完了，接下来就是怎么控制它。ISO 14971 给出了一个优先级顺序，我个人称之为“三把斧”：
- 固有安全设计：从设计上消除风险。比如，把高压电路和低压电路物理隔离，而不是靠软件去判断。
- 保护措施：如果无法消除，就加防护。比如，加一个硬件看门狗，防止软件跑飞。
- 用户信息：如果前两条都做不到，那就通过说明书、警告标签来提醒用户。这是最无奈的选择，也是最后一道防线。
我建议，能选第一条就别用第三条。为什么？因为用户永远是不可靠的。我曾经见过一个设备，说明书上写着“请勿在潮湿环境下使用”，结果护士直接拿湿抹布擦面板，水渗进去导致短路。你想想看，这种风险靠用户信息根本控制不住。
具体到嵌入式软件，常见的控制措施包括：
- 冗余设计：双 CPU 校验、双传感器采样。
- 看门狗定时器：硬件看门狗比软件看门狗更可靠。
- 数据校验：CRC、奇偶校验、心跳包。
- 状态机保护：非法状态转换直接进入安全模式。
避坑指南：我曾经在一个项目中，软件看门狗喂狗函数写在了主循环里，结果一个死循环卡在了喂狗之前。看门狗根本没机会复位系统。后来我改成在定时器中断里喂狗，并且加了“喂狗窗口”——太早或太晚喂狗都会触发复位。这才是真正有效的看门狗。
4.3 残余风险接受准则：什么时候才算“安全”？
风险控制措施实施后，一定会剩下一些风险，这就是“残余风险”。比如，你加了硬件看门狗，但它本身也有失效概率（比如晶振停振）。那么，这些残余风险能不能接受？
ISO 14971 要求我们制定一个风险接受准则。说白了，就是划一条线：低于这条线的风险，我们认了；高于这条线的，必须继续控制。
常见的接受准则有两种：
- ALARP 原则（As Low As Reasonably Practicable）：风险要降到“合理可行”的程度。不是零风险，而是“再降下去成本太高，收益太小”。
- 绝对阈值法：比如，严重度 5 级以上的风险，发生概率必须低于 10^-6 次/小时。超过这个阈值就不接受。
我个人更倾向于 ALARP 原则，因为它更灵活。但要注意，ALARP 不是“差不多就行”，而是需要证明“我已经尽力了”。
举个例子：某款心脏除颤仪，高压放电模块有 0.001% 的概率误触发。这个概率很低，但后果是致命的。按照 ALARP 原则，我们需要证明：再增加一层保护（比如再加一个独立的安全继电器），成本会翻倍，但风险只降低 0.0001%。这时候，监管机构可能会接受这个残余风险。
关键点：残余风险必须记录在风险管理报告中，并且要明确说明“为什么这个风险可以接受”。不能只是说“概率很低”，而要提供数据支撑，比如 FMEA 的评分、FTA 的定量分析结果、或者临床数据。
4.4 实战案例：一个输液泵的风险管理片段
为了让大家更直观地理解，我拿一个输液泵的“流速不准”风险来演示。
| 步骤 | 内容 |
|---|---|
| 风险识别（FMEA） | 失效模式：电机驱动信号丢失。影响：流速降为 0，患者得不到药液。严重度：8（可能导致病情恶化）。发生概率：3（偶尔发生）。可检测性：4（软件能检测到电机停转）。RPN = 8×3×4 = 96。 |
| 风险控制 | 措施：增加硬件看门狗，检测到电机停转后立即报警并切换到备用电机。同时，软件每 100ms 检查一次电机反馈信号。 |
| 残余风险评估 | 控制后，发生概率降为 1（几乎不可能）。RPN = 8×1×4 = 32。低于公司设定的阈值 50，可接受。 |
| 残余风险接受 | 记录在案：残余风险为“备用电机切换失败”，概率极低，且临床上有护士巡检作为最后一道防线。接受。 |
嗯，这个例子虽然简单，但流程是完整的。你想想看，如果没有这个流程，直接拍脑袋说“我觉得没问题”，那才是真正的风险。
4.5 总结与提醒
风险管理不是一次性的工作，而是贯穿整个产品生命周期。从设计、测试、生产到上市后监管，风险分析要不断更新。我记得有一次，产品上市两年后，收到一起不良事件报告——某个新来的护士误操作导致设备故障。我们回头一看，FMEA 里根本没考虑“新用户培训不足”这个场景。于是赶紧更新了风险管理文档，并在说明书中增加了更醒目的警告。
最后，送大家一句话：风险管理不是束缚，而是保护——保护患者，也保护你自己。
课后小作业：找一个你熟悉的医疗设备（比如血糖仪、血压计），试着用 FMEA 分析它的一个关键风险。不需要很复杂，重点是走一遍流程。你会发现，很多你以为“没问题”的地方，其实藏着不少坑。