IEC62366-2007医用设备可用性工程

医疗器械—将可用性工程应用于医疗器械

前言

使用医疗器械观察和治疗患者的医疗实践日益增多，由不适当地使用医疗器械所引起的使用错误，也受到人们越来越多地关注。在许多医疗器械的开发中没有实施可用性工程过程，这些医疗器械在使用上不符合人的直觉习惯，因此难于学习和使用。随着保健需求的发展，现在包括患者自身在内的用户使用医疗器械的技能较低，而医疗器械却越来越复杂，很少情况下医疗器械用户能够处理难于使用的用户接口。设计可用性好的医疗器械面临很大挑战，许多组织对此有“同感”，设计具有适当（安全）可用性的用户接口，与用户接口的技术实现相比，需要的技能存在很大不同。

可用性工程过程要达到医疗器械具有合理可用性的目的，这样就可减少使用错误和与使用相关的风险，有些形式的错误使用（但不是全部的错误使用）应由制造商负责控制。可用性工程过程与风险管理过程的关系见图A.1所示。

本国际标准描述可用性工程过程，并为开发安全的医疗器械提供如何实现和执行可用性工程过程的指南。该标准不仅可用于制造商开发医疗器械，而且还可用于技术委员会制定特殊医疗器械的标准。

1 范围

当可用性与医疗器械安全有关时，本国际标准规定了制造商分析、说明、设计、验证和确认可用性的过程。可用性工程过程评估和减小由可用性问题引起的风险，这些可用性问题与正常使用下的正确使用和使用错误有关。本可用性工程过程也可用于鉴别，但不能评估和减小与非正常使用有关的风险。

注：就本标准而言，可用性（见3.17）受到用户接口特性的限制。

如果遵守了本标准中详述的可用性工程过程，并满足了可用性确认计划中的可接受准则（见5.9），那么，如果不是存在相反的客观证据（见4.1.2），和医疗器械有关的剩余风险，即IOS 4971中定义的剩余风险，假定是可以接受的。

本国际标准不适用于和使用医疗器械有关的门诊决策。

2 标准引用

下面引用的文档是应用本文档的必备文档。对于有日期的引用文档，只可使用存档的该日期版本。对于无日期的引用文档，使用引用文档（包括任何修订版）的最近日期版本。

注：情报引用列表在96页开始的出版文献处。

ISO 14971:2007，医疗器械—把风险管理应用于医疗器械。

3 术语和定义

就本文档而言，在ISO 14971:2007中给出的术语和定义如下：

注：定义术语的索引可在98页开始处找到。

3.1 非正常使用

由医疗器械的负责机构或用户实施的故意的或故意省略的行为，这种行为偏离了制造商合理风险控制措施的范围。

3.2 附属文档

附属于医疗器械的文档，含有该医疗器械或用户安装、使用所需要的信息，特别是有关安全的信息。

[ISO 14971:2007, 定义2.1，修改]

3.3 警报限制

报警系统确定报警条件的阀值。

[IEC 60601-1-8:2006, 定义3.3]

注：该术语只用于注释和附属信息中。

3.4 警报关闭

报警系统或局部报警系统不产生报警信号的一定区间状态。

【IEC 60601-1-8：2006，3.4定义】

注：该术语仅用于注释和信息附录中。

3.5 报警信号

报警系统产生的信号类型，以指示报警状态的出现（或发生）。

【IEC 60601-1-8：2006，3.9定义】

注：该术语仅用于注释和信息附录中。

3.6 报警系统

确定报警条件和产生报警信号的医疗器械部件。

【IEC 60601-1-8：2006，3.11定义，修改】

注：该术语仅用于注释和信息附录中。

3.7 正确使用

无错误的正常使用。

3.8 效用

用户达到指定目标的正确性和完整性的度量。

【ISO 9241-11：1998，3.2定义，修改】

注：该术不同于“门诊效用”。

3.9 效率

关于消耗资源的效用。

3.10 信息信号

不是报警信号或提醒信号的任何信号。

例1：ECG波形

例2：SpO2

例3：

【IEC 60601-1-8：2006，3.23定义】

注：该术语仅用于注释和信息附录中。

3.11 医疗器械

制造商为了以下一种或多种目的而单独或合并进行有意使用的任何仪器、装置、器具、机器、用具、灌输、体外试剂或校准器、软件、材料或其它相似物或相关物品：

●诊断、预防、监控、治疗或减缓疾病，

●诊断、监控、治疗、减缓或补偿伤害，

●解剖或生理过程的调查、置换、修改或支持，

●支持或维持生命，

●意念控制，

●医疗器械消毒，

●通过体外检查取自人体的标本的方法提供医疗用途的信息，

在人体内或人体外不能通过药理学、免疫学或新陈代谢方法达到其主要行为，但可以通过这种方法与其功能相关联的设备。

【ISO 13485:2003,3.7定义】

3.12 正常使用

操作，包括按照使用说明，或对于没有使用说明的医疗器械按照一般可接受接受的操作，由用户和授权使用人员进行的日常检查和调整。

【IEC 60601-1:2005,3.71定义，修改】

注1：正常使用中发生的使用错误。

注2：没有使用说明而可以安全使用的医疗器械，由一些有权限的权威机构免除使用说明。

3.13 患者

经过医疗、外科和牙齿过程进行诊治的人。

【IEC 60601-1:2005,3.76定义，修改】

3.14 主要操作功能

涉及到既常用又与医疗器械安全有关的用户交互的功能。

3.15 提示信号

提示用户报警系统处于报警信号不活动状态的的周期信号。

【IEC 60601-1-8：2006，3.34定义，修改】

注：该术语仅用于注释和信息附录中。

3.16 责任机构

对医疗器械的使用和维护负责任的实体。

注1：譬如，负责实体可以是医院、临床医生或a lay person。在家庭应用中，患者、用户和责任机构是一体的，即是同一人。

注2：这里“使用”包括教育和培训的含义。

3.17 可用性

建立效用、效率、易于用户学习和用户满意的用户接口特性。

3.18 可用性工程

为实现适当可用性，应用有关人的行为、能力、限制，和其它特点的知识，这些其它特点与工具、设备、系统、任务、工作和环境的设计有关。

3.19 可用性工程文件

由可用性工程过程产生的一套记录和其它文档。

3.20 可用性说明

定义与可用性有关的用户接口需求的文档。

3.21 使用错误

导致医疗器械产生不同响应的行为或省略行为，这种响应不是制造商有意制造或用户所希望的。

注1：使用错误包括事故、失误和错误。

注2：也见附录B和D.1.3。

注3：不希望的患者生理响应，不是想到的使用错误。

3.22 使用方案

在指定环境下由指定用户执行的事件和任务序列。

3.23 用户

使用（例如，操作和处理）医疗器械的人

3.24 用户接口

用户和医疗器械交互的方法。

【ANSI/AAMI?HE 74：2001，3.24定义，修改】

注1：附属文档被任为是医疗器械和用户接口的组件。

3.25 用户概况

用户人群的精神、身体和统计跟踪情况概述，以及某些能影响设计决策（例如职业技能和工作需求）的一定特性的概述。

3.26 确认

通过提供客观证据，确定已经满足一定用途或应用的需求。

注1：词汇“确认”用于指明相应状态。

注2：确认使用条件可能是真实的或仿真的。

【ISO 9000:2000，3.8.5定义】

4 原理

4.1 一般需求

4.1.1 可用性工程过程

制造商应该建立、编写文档和维护可用性工程过程，目的是为了给与可用性有关的患者、用户和其他人员提供安全。可用性工程过程应该按照附属文档告知用户如何使用医疗设备。可用性工程过程包括，但不限于：

运输；

存储；

安装；

操作；

维修；

处置。

注：也见D.3.1。

当达到本国际标准中的相关检查和测试的准则时，存在符合本条款的需求。

4.1.2 剩余风险

如果已经遵循本国际标准中所详述的可用性工程过程，并已满足可用性确认计划中列出的可接受准则（见5.9），那么，按照ISO 14971，若没有相反的客观证据，应该认为与医疗器械可用性有关的剩余风险是可以接受的。

注1：这种客观证据可能来自以后的售后调查。

注2：ISO 14791:2007第6条款要求源自可用性工程过程的设计变化要进行复审，以便确定是否产生了危害或危害处境。

注3：ISO 14791:2007第7条款要求，当全面评价医疗器械的剩余风险时，应该考虑所有的剩余风险，包括与医疗器械可用性的剩余风险。

通过检查可用性过程文件检验符合性。

4.1.3 安全信息

如果安全信息用作风险控制措施，制造商应该把安全信息归入可用性工程过程。

例1：附属文档中的警告或使用限制

例2：标记

忽略这种安全信息应该被认为是偏离了合理的风险控制措施。也见附录B。

注1：安全信息是风险控制分级中的一种要素，制造商在风险控制分级中使用以下一项或多项内容。以下内容按优先顺序是从前到后（见ISO 14971：2007，6.2）。

A）设计的固有安全；

B）医疗器械自身或制造过程中的安全措施，例如，报警系统；

C）安全信息，例如，使用说明中的警告，监控变量的显示，培训和培训材料，维护细节。

注2：包括安全信息的需求可能是可用性工程过程的输入（例如，由一些其它标准实施），或在可用性工程过程中可能发现这种需求。

通过检查附属文档和可用性工程文件检验符合性。

4.2 可用性工程文件

可用性工程过程的结果应该记录在可用性工程文件中。形成可用性工程文件的记录和其他文档可以是其它文档和文件的一部分。

例1：制造商产品设计文件

例2：风险管理文件

通过检查可用性工程文件检验符合性。

4.3 可用性工程的规模

基于医疗器械的本质、用户和用途（见D.3.2），可用性工程过程在形式和规模上会有所不同。在医疗器械的设计修改情况下，根据风险分析（见 D.3.3.2）结果所确定的修改情况，可用性工程过程的规模可大可小。

注1：制造商应该进行文献设计和开发。可用性工程，包括可用性确认，应该易用于开始，并贯穿于医疗器械设计和开发整个生命周期中。

注2：由于可用性工程过程的实质，在下面第5条款说明的活动可按方便的顺序（见D.2）执行。

5 可用性工程过程

5.1 应用说明

制造商应该在可用性工程文件中规定医疗器械的应用说明，说明应包括：

●医疗指示；

例1：条件或要显示、监控、治疗、诊断、或预防的疾病。

●患者人口；

例2：年龄

例3：重量

例4：健康

例5：条件

●使用和交互的身体部位和身体组织类型；

例6：包括卫生需求的环境

例7：使用频率

例8：定位

例9：机动性

●操作原理

通过审查可用性工程文件检查符合性。

5.2 常用功能

制造商应该确定涉及与医疗器械进行用户交互的常用功能，并将其记录在可用性工程文件中。

通过审查可用性工程文件检查符合性。

5.3 鉴别与可用性有关的危害和危害处境

5.3.1 鉴别与安全有关的特性

可用性应该按照ISO 14971:2007,4.2执行。

在鉴别与安全有关的特性过程中，应考虑以下方面：

●应用说明，包括用户概况（见5.1）；

●常用功能（见5.2）。

鉴别与安全有关的特性的结果应该记录在可用性工程文件中。

注1：有关鉴别与安全关的特性的方法讨论，也见D.4.3，D.4.6.4，D.5.2，和D.5.4。

注2：有关可用性工程规模，见4.3。

通过审查可用性工程文件检查符合性。

5.3.2 鉴别已知或可预见的危害和危害处境

制造商应该按照IOS14971:2007鉴别已知的和可预见的有关可用性的危害（风险分析的一部分）。危害鉴别应考虑对患者、用户和其他人员（见附录E和附录F）的危害。

应该鉴别涉及用户接口的合理可预见的事件序列和事件组合，这些事件序列和事件组合可能导致有关医疗器械的危害处境。应该确定导致可能损害的严重度。

在鉴别危害和危害处境的过程中，应考虑以下情况：

●应用说明，包括用户概况（见5.1）；

●与需求相关的任务；

●使用的上下文（context of use）；

●如可能，了解熟悉类型医疗器械的现有用户接口方面危害和危害处境的信息；

●主要使用方案；

●可能的使用错误（有关潜在使用错误的示例见C.2）；

●操作医疗器械的不正确的心理模式是否可能导致危害处境；

●用户接口的回顾结果（见C.2和C.4）。

鉴别危害、危害处境和严重度的结果，应该记录在可用性工程文件中。

注1：有关用于鉴别已知的或可预见的危害或危害处境的方法讨论，也见D.5.9，D.5.14和D.5.17。

注2：鉴别医疗器械或一般类型设备的危害和危害处境，是可用性说明的输入，这是可用性工程过程的要求。

注3：在鉴别危害或危害处境的过程中，可能鉴别非正常使用的条件。也见C.1。

注4：对生产后（售后监督）信息的评估，应包括可用性（见ISO14971:2007,第9条）。

注5：有关可用性工程的规模，见4.3。

5.4 主要操作功能

制造商应确定主要操作功能，并记录在可用性工程文件中。

主要操作功能的输入应包括以下方面：

●常用功能（见5.2）；

●与医疗器械安全有关的功能。

注1：有关确定主要操作功能的方法讨论，也见D.5.7。

注2：有关卫生医疗器械的主要操作功能的示例，见H.2.2。

通过审查可用性过程文件检查符合性。

5.5 可用性说明

制造商应规定可用性说明，可用性说明应该提供：

●验证可用性的可测试需求；

●主要操作功能的可用性的可测试需求，包括确定适当风险控制的准则，而对风险的控制由可用性工程过程来实现。

注1：可用性的目标表述为主要操作功能的可用性的可测试需求。有关示例见表D.5、D.6和附录G。

注2：确定和ISO14971:2007 3.4d中风险可接受准则一致的适当准则。

注3：评价风险控制措施的指南，可在ISO14971:2007,D.4中找到。

可用性说明应该记录在可用性工程文件中。可用性说明可以整合到其它说明中。

可用性说明的输入应该包括以下方面：

●应用说明（见5.1）；

●主要操作功能（见5.4）；

●有关可用性的危害和危害处境（见5.3）；

●有关医疗器械的已知的或可预见的使用错误。

可用性说明至少应描述：

●有关主要操作功能的使用方案，包括：常用方案，合理可预见最差情况使用方案；

●主要操作功能的用户接口需求，包括减少风险的需求；

●确定主要操作功能是否易于被用户识别的需求。

注3：有关准备可用性说明的指南，也见D.2.6，D.3.3和D.4.4。

注4：可用性说明应该描述使用的上下文（见5.3和D.4.1.2.4）。

注5：有关卫生医疗器械的可用性说明的示例，见附录H。

注6：有关可用性工程的规模，见4.3。

通过审查可用性工程文件检查符合性。

5.6 可用性确认计划

制造商应该准备和维护可用性确认计划。可用性确认计划应规定：

●用于确认主要操作功能的可用性的方法；

●确定成功确认基于可用性说明的主要操作功能可用性的准则；

注：确认主要操作功能的可接受准则，与ISO14791:2007,3.4d中的风险可接受性准则一致。

●包括有代表性的用户。

可用性确认方法可以是定量的或定性的，可用性的确认可以在实验室条件下、在仿真使用环境中或在实际使用环境中实施。

注2：有关制订可用性确认计划的指南，也见D.4.4和D.4.7.3。

注3：制造商应该使用一种或多种方法，对有意使用的医疗器械主要操作功能进行可用性确认。这些方法的示例见D.5。

注4：基于一种方法的确认可能是不充分的，例如，在门诊评估中，不可能暴露出一些高风险的处境。

可用性确认计划应该包括：常用方案，合理可预见最差使用方案。

这些内容在可用性说明中可以看到。

注5：有关可用性工程规模，见4.3。

可用性确认计划应该记录在可用性工程文件中。

通过审查可用性工程文件检查符合性。

5.7 用户接口的设计和实现

制造商应该按可用性说明、可用性工程方法和技术中的描述设计和实现用户接口。

注1：有关用户接口设计和实现的指南，也见D.4和D.5。

注2：制造商应该反复进行设计和实现。可用性工程，包括可用性确认，应该易于开始，并贯穿医疗器械设计和开发的整个生命周期。

注3：选择ISO14971:2007,6.2的风险控制，要求制造商使用以下列出的一

项或多项内容：

A）设计的固有安全；

B）医疗器械本身或制造过程中的保护措施，例如，报警系统；

C）安全信息，例如，使用说明书中的警告，监控变量的显示，培训和培训材料，维护细节。

当满足5.8和5.9的需求时，考虑本条款需求的符合性。

5.8 验证可用性

作为医疗器械设计验证过程的一部分，制造商应按照可用性说明的要求验证医疗器械用户接口的实现。验证结果应记录在可用性工程文件中。

注1：有关可用性验证的指南，也见D.5.2，D.5.4，D.5.6，D.5.8和D.5.15。

注2：有关可用性工程的规模建4.3。

通过审查可用性工程文件检查符合性。

5.9 确认可用性

制造商应按照可用性确认计划确认有了全新的可用性。结果应记录在可用性工程文件中。

注1：有关执行可用性确认的指南，也见D.5.13和D.5.15。

注2：ISO 14971:2007的6.6条款要求，为确定是否产生其它危害或危害处境，要回顾可用性工程导致的设计变化。

注3：附属文档是医疗器械用户接口的一部分，属于可用性确认的活动。

注4：直接负责用户接口设计的人员不应参加可用性确认。

如果可用性确认计划中的可接受准则不满足：

应该执行进一步的用户接口设计和实现活动（见5.6）；

或

如果进一步的改进不能实现，制造商可以收集和回顾数据和文献，以便确定有意使用带来的医疗利益是否比可用性问题带来的风险权重更大。如果证据不支持医疗利益权重大于风险，那么风险是不可接受的。

注5：要进行这一步，制造商需要评价由可用性问题带来的风险。

注6：可用性验证过程的结果应该用于风险的评价之中（见ISO

14971:2007,6.4条款）。

6 附属文档

附属文档应该包括对医疗器械应用说明的概述（见5.1）。

注1：医疗器械应用说明的概述，在一些常规项目中被称作“有意使用说明”。

附属文档应该包括医疗器械的简单描述，这包括：

●操作原理；

●有意义的物理特性；

●有意义的性能特性；

●用户概况

注2：该描述的重要目的是帮助用户开发医疗器械的正确心理模式（见）5.3.2和5.14.3）。

附属文档和用户概况的相关内容应该保持一致。

可以提供电子的附属文档。如果附属文档是电子版，可用性工程应该包括考虑需要提供硬拷贝的信息，或在医疗器械上做标记。

通过审查可用性工程文件和附属文档检查符合性。

7 培训和培训材料

为了让用户安全和有效地使用主要操作功能，如果需要对指定医疗器械进行培训，制造商应该至少完成以下项目之一：

●提供培训必须的材料；

●确保培训所需材料可以得到；

●提供培训。

如果需要这种培训，附属文档应该描述可得到的培训种类，应该包括推荐的培训周期和培训频次。

如果需要这种培训，有意使用和用户概况应该是培训和培训材料的基础。

注1：可以利用对指定医疗器械的培训，提供安全和有效使用医疗器械的知识和技能，并且要高于有意用户概况中定义的知识和技能。

注2：见IEC 61258【3】

通过审查可用性工程文件和附属文档检查符合性。