第二章：产品立项与风险管理：基于ISO 14971的风险管理流程，如何在原型阶段就建立风险分析文档（FMEA）
大家好，我是老张。做了十多年嵌入式医疗器械，今天咱们聊聊立项阶段最容易被忽视、但后期最要命的事——风险管理。
很多人觉得，风险管理嘛，那是注册阶段才干的活。原型阶段？先跑起来再说！
嗯，我当年也这么想。直到有一次，一个理疗仪项目都做到送检了，才发现电极输出有个潜在风险——电流密度超标。改硬件？来不及了。最后只能加软件限流，折腾了三个月才补完文档。那叫一个惨。
所以，我的建议是：原型阶段就把风险分析文档建起来。别等。
2.1 风险管理不是注册的附属品，是设计的指南针
ISO 14971 这个标准，说白了就是一套「找茬」的方法论。它要求你：
- 识别风险
- 评估风险
- 控制风险
- 验证控制措施
- 持续监控
听起来很复杂？其实没那么玄乎。你想想看，你设计一个理疗仪，总得知道它会不会电到人吧？会不会烫伤皮肤吧？会不会干扰其他设备吧？
这些就是风险。ISO 14971 就是帮你系统地把这些问题列出来，然后一个个解决。
核心观点：风险管理文档不是写给审核员看的，是写给你自己看的。它帮你避免「做到一半才发现方向错了」的尴尬。
2.2 原型阶段怎么做FMEA？我的实战套路
FMEA（失效模式与影响分析）是风险管理最常用的工具。我习惯在原型阶段就做初步FMEA，哪怕只有一页纸。
具体怎么做？我分四步走：
2.2.1 第一步：列出所有可能的失效模式
别怕想太多。把你能想到的、不能想到的，全列出来。比如：
- 电极接触不良
- 输出电流过大
- 电池过热
- 软件死机
- 按键失灵
- 外壳漏电
我在项目中遇到过最离谱的失效——用户把理疗仪掉进马桶里。嗯，防水等级没考虑，结果可想而知。
2.2.2 第二步：评估严重度（S）、发生度（O）、可检测度（D）
每个失效模式，都要打分。1到10分，10分最严重。
| 评分项 | 1-3分 | 4-6分 | 7-10分 |
|---|---|---|---|
| 严重度（S） | 轻微不适 | 可逆伤害 | 永久伤害或死亡 |
| 发生度（O） | 几乎不可能 | 偶尔发生 | 频繁发生 |
| 可检测度（D） | 很容易发现 | 需要测试才能发现 | 极难发现 |
然后算风险优先数（RPN）：RPN = S × O × D
我一般设定：RPN > 100 的，必须立即整改。RPN > 50 的，列入观察清单。
我的小技巧：原型阶段不用追求精确打分。先估个大概，后面再细化。重点是「有」而不是「准」。
2.2.3 第三步：制定控制措施
每个高风险项，都要有对应的控制措施。比如：
- 输出电流过大 → 硬件限流电路 + 软件双重校验
- 电池过热 → 温度传感器 + 自动断电
- 软件死机 → 看门狗定时器 + 状态恢复机制
我曾经犯过一个错：只做了软件限流，没做硬件限流。结果软件跑飞了，电流直接飙到上限。还好测试时发现了，不然后果不堪设想。
警告：软件控制措施必须配合硬件冗余。别指望软件能解决所有问题。硬件是最后一道防线。
2.2.4 第四步：验证控制措施的有效性
措施定了，得验证它真的有效。怎么验证？
- 模拟故障场景
- 做极限测试
- 写测试用例
我习惯在原型阶段就写一份「风险控制验证清单」。每验证一项，就打勾。没通过的，标记为「待整改」。
2.3 风险分析文档长什么样？给你个模板
别被「文档」两个字吓到。原型阶段的风险分析文档，可以很简单。我一般用Excel做，结构如下：
| 序号 | 功能模块 | 失效模式 | 潜在后果 | S | O | D | RPN | 控制措施 | 验证结果 |
|---|---|---|---|---|---|---|---|---|---|
| 1 | 电源模块 | 电池过充 | 电池爆炸 | 9 | 3 | 5 | 135 | 加充电管理IC + 温度保护 | 已通过 |
| 2 | 输出模块 | 电极短路 | 电流过大，灼伤皮肤 | 8 | 4 | 4 | 128 | 加保险丝 + 软件限流 | 待验证 |
| 3 | 软件模块 | 死机 | 治疗中断，用户焦虑 | 5 | 6 | 3 | 90 | 看门狗 + 状态保存 | 已通过 |
你看，就这么简单。关键是：每个风险都要有对应的措施，每个措施都要有验证结果。
2.4 避坑指南：我踩过的三个坑
做风险管理这么多年，我踩过不少坑。分享三个最典型的：
坑一：只关注硬件，忽略软件风险
很多工程师觉得软件出问题大不了重启。但理疗仪是直接接触人体的，软件死机可能导致输出失控。所以，软件风险必须纳入FMEA。
坑二：风险分析做完就扔一边
文档建完，项目推进，就再也没人看了。等到注册审核时，才发现很多措施根本没落实。我的建议是：每次设计评审，都把风险文档拿出来过一遍。
坑三：忽略用户使用场景
你设计的理疗仪，用户可能边充电边用，可能放在潮湿的浴室里，可能给老人用。这些场景都会引入新风险。我一般会在原型阶段就列出「典型使用场景」，然后针对每个场景做风险分析。
2.5 总结：原型阶段风险管理的三个要点
好了，说了这么多，总结一下：
- 早做比晚做好——原型阶段就开始，哪怕只有一页纸
- 简单比复杂好——用Excel做FMEA，别追求完美文档
- 验证比计划重要——每个控制措施都要验证，别光写不测
记住一句话：风险管理不是注册的负担，是设计的护身符。
下一章，咱们聊聊「硬件设计：如何选择符合IEC 60601的元器件」。到时候见。