做医疗器械 FDA 注册的朋友，是不是一听到 "人因工程（HFE）/ 可用性工程（UE）" 就头大？感觉这东西又玄又复杂，FDA 还特别看重，稍不注意就被发补，轻则拖慢上市节奏，重则研发投入打水漂？

别慌！今天这篇文章，用大白话把 FDA 人因工程的核心要求讲透。看完你就会发现，它不是什么高深的玄学，而是一套非常务实的 "防错设计" 规则，核心只有一个：确保你的产品不会因为设计缺陷，导致用户用错伤人。

PART 1 先破一个最大误区：人因工程≠用户体验

很多人以为，人因工程就是把 UI 做漂亮点、说明书写清楚点。大错特错！

在消费电子领域，人因工程确实关乎 "好不好用"；但在 FDA 的语境里，人因工程是纯粹的 "使用风险控制工具"，是判断产品安全有效性的核心证据之一。

FDA 在 2016 年发布的《Applying Human Factors and Usability Engineering to Medical Devices》（当前唯一生效的终版指南）中明确指出：人因工程的唯一目标，是消除或减少可能导致伤害或降低医疗效果的使用错误（Use Errors）U.S. Food and Drug Administration。

它和 ISO 14971 风险管理是 "强绑定关系"，不是锦上添花的加分项，而是必须完成的必修课。简单说：

医疗器械产品没毛病，但用户容易用错→FDA 认为不安全

哪怕说明书写了 "请勿这样操作"，但设计没防住→FDA 不认可

PART 2 FDA 看人因工程，只抓 "三大支柱"

FDA 的审评逻辑非常清晰：任何医疗器械的使用安全，都取决于 "器械 - 用户 - 环境" 这个完整系统的匹配度。只要有一个环节出问题，就会产生使用错误。

1. 用户：别假设所有人都是 "专家"

你必须考虑所有可能接触产品的人，而不只是医生：

专业用户：护士、技师、维修人员、再处理人员

非专业用户：患者本人、家属、保姆、急救现场的路人

还要考虑用户的局限性：老年人的视力 / 听力下降、糖尿病患者的手指麻木、医护人员的疲劳状态、不同的语言和文化背景

FDA 的默认假设是：用户并不总是按你设计的方式使用产品。如果你没考虑到某个用户群体的特点，就是设计缺陷。

2. 使用环境：别在 "理想实验室" 里做测试

真实的使用环境远比你想象的复杂：

手术室：灯光刺眼、噪音巨大、多台设备同时报警、医护人员戴手套操作

救护车：颠簸震动、空间狭小、时间紧迫

家庭：光线昏暗、孩子干扰、用户可能没仔细看说明书

急救现场：混乱无序、多人协作、情绪紧张

如果你的验证测试是在安静明亮的会议室里做的，FDA 会直接判定测试结果无效，因为它不代表真实使用场景。

3. 用户界面：远不止屏幕那么简单

在 FDA 的定义里，任何用户会接触到的东西，都是用户界面的一部分：

硬件：按键、旋钮、显示屏、接口、连接器、设备外形

软件：操作逻辑、菜单层级、报警提示、颜色编码

包装：拆箱方式、组件摆放、标签标识

文档：说明书、快速指南、培训材料

举个例子：如果输液管的接口和氧气管接口长得一样，用户很容易插错，这就是典型的用户界面设计缺陷，哪怕说明书里写了一百遍 "请勿接反" 也没用。

PART 3 核心中的核心：识别 "不能出错的关键任务"

不是所有操作错误都同等重要。FDA 真正盯住不放的，是关键任务（Critical Tasks）。

什么是关键任务？

一旦执行错误或未执行，会或可能导致患者或用户严重伤害（包括医疗护理失败）的操作

简单说：这些任务 "错不起"。比如：

除颤仪的电极片粘贴位置

胰岛素泵的剂量设置

呼吸机的参数确认

手术器械的正确组装

怎么识别关键任务？

FDA 推荐三种方法，通常要结合使用：
1.FMEA（失效模式与影响分析）：团队头脑风暴，列出每个操作步骤可能出错的情况和后果

2.FTA（故障树分析）：从 "严重伤害" 倒推可能导致它的所有操作错误

3.调研已知问题：查 FDA 的 MAUDE 数据库、同类产品的投诉记录、召回公告，看看别人都犯过什么错。

4.记住：关键任务清单是动态的，会随着设计迭代不断更新。最终的验证测试，必须覆盖所有关键任务。

PART 4 FDA 铁律：风险控制优先级 设计 > 报警 > 培训

当你识别出使用风险后，怎么解决？FDA 给出了非常明确的优先级顺序，顺序绝对不能乱：

第一优先级：本质安全设计（最有效，FDA 最认可）

通过设计从根本上消除错误的可能性，让用户 "想错都错不了"。比如：

用不同形状 / 颜色的防呆接口，防止管路接错

物理限制：比如注射器的推杆只能推到安全剂量

强制操作顺序：不完成上一步，下一步无法进行

自动化：把容易出错的步骤交给机器完成

第二优先级：防护与报警机制

如果无法通过设计完全消除风险，就加防护措施。比如：

错误检测：用户输入异常剂量时弹出确认框

声光报警：设备故障或操作错误时及时提醒

状态反馈：清晰显示当前设备运行状态

注意：报警不是越多越好！报警疲劳本身就是严重的人因风险。如果设备总是乱报警，用户会直接关掉报警声音，反而导致真正的危险被忽略。

第三优先级：说明书与培训（最不可靠，FDA 最不认可）

这是最后的选择，绝对不能作为主要的风险控制手段。FDA 在指南里说得非常直白：

依赖人的记忆和理解是最不可靠的，因为说明书可能不在手边，培训内容会被遗忘。

如果你的解决方案只是 "在说明书里加个警告"，FDA 几乎肯定会发补，要求你修改设计。

PART 5 人因验证测试：5 个硬性标准

人因验证测试（也叫总结性评价）是 FDA 审查的重中之重，也是最容易出问题的环节。以下 5 个硬标准，只要违反一个，测试就白做了：

1.必须用最终设计版本

不能用原型机、3D 打印件或早期版本。如果测试后又改了设计，必须重新测试修改的部分。

2.覆盖所有关键任务

一个都不能少。如果某个关键任务没测，FDA 会要求你补做。

3.模拟真实使用环境

尽可能还原真实的光线、噪音、干扰、操作条件。比如测试手术室用的设备，就要模拟手术室的环境。

4.受试者必须有代表性

a;每一类独立用户群体至少15 名参与者（这不是经验值，是 FDA 的明确预期）

b;绝对不能用公司内部员工（除非产品的唯一用户就是公司员工）

c;必须是美国本土用户（因为不同国家的医疗习惯、计量单位、语言都不同）

d;测试方法要自然

不能用 "边想边说"（think aloud）的方法，因为这不符合真实使用习惯。用户应该像平时一样独立操作，测试人员不能给予任何提示。

重要提醒：如果测试中出现了可能导致严重伤害的使用错误，你必须修改设计，然后重新测试。除非你能证明：

这个风险已经降到了 "不可再降" 的水平（ALARP 原则）

产品的临床获益明显大于剩余风险

否则，产品不可能通过 FDA 审查。

PART 6 人因报告：不是堆砌数据，而是证明 "风险可控"

很多人以为，人因报告就是把测试数据堆上去就行。其实 FDA 根本不关心你测了多少人、花了多少钱，它只关心一件事：你有没有系统性地把使用风险控制到了可接受的水平。

一份合格的人因工程报告，必须包含以下 6 个部分：
1.结论：开门见山说明产品是安全有效的，总结主要的人因过程和结果，说明剩余风险

2.基本信息：预期用户、使用环境、培训说明

3.已知使用问题：前代产品或同类产品的使用错误和召回情况，以及你是怎么解决的

4.风险分析：使用相关风险分析过程、关键任务清单及危害等级

5.形成性评价：设计迭代过程，包括发现的问题、修改措施和验证结果

6.验证测试详情：测试方法、受试者信息、测试结果、所有使用错误的根本原因分析、剩余风险评估

最后说句心里话：人因工程不是绊脚石，而是保护伞

很多企业把人因工程当成 FDA 强加的负担，能省则省，能拖则拖，等到注册阶段才临时抱佛脚。这其实是非常短视的做法。

数据显示，医疗器械上市后的召回中，超过 30% 是由使用错误导致的。这些召回不仅会造成巨大的经济损失，还会严重损害企业的品牌声誉。而人因工程，就是从源头上避免这些问题的最有效方法。

越早把人因工程融入设计流程，成本越低，效果越好。在设计早期改一个按钮的位置，可能只需要几百块钱；但如果等到产品上市后再召回修改，成本可能是几百万甚至几千万。

更重要的是，好的人因设计不仅能让你顺利通过 FDA 审查，还能提升产品的易用性和竞争力。当你的产品比竞争对手更不容易用错，医护人员和患者自然会更愿意选择你。

本文由广州佳誉医疗器械有限公司/佛山浩扬医疗器械有限公司联合编辑