"产品原型做得漂亮，临床医生也点赞，结果注册申报时被审评老师一句'设计开发文档无法证明产品符合预期用途'打回，整个项目推倒重来。"——这是医疗器械行业无数创业公司和研发团队用真金白银换来的教训。

 

医疗器械设计开发流程一文讲透：从立项到上市的全周期合规实战指南

 

 

医疗器械与普通消费品的本质区别在于：它的每一个设计决策都必须留下可追溯的证据链。一支笔设计得不好，用户退货；一台呼吸机设计得不好，人命关天。因此，医疗器械的设计开发流程不是一个"技术流程"，而是一个技术与法规双轨并行的合规流程。ISO 13485、中国《医疗器械生产质量管理规范》附录、美国FDA 21 CFR Part 820.30，三大体系殊途同归，都要求：设计开发必须有计划、有输入、有输出、有评审、有验证、有确认、有转换、有变更控制，并且全程文档化。

 

 

医疗器械设计开发流程一文讲透：从立项到上市的全周期合规实战指南

 

 

前置认知：三大法规体系与核心理念

 

三大体系殊途同归

体系

核心法规

设计控制章节

特点

中国 NMPA

《医疗器械生产质量管理规范》及独立软件/植入等附录

第七章 设计开发

与注册审评联动，注册体系核查

美国 FDA

21 CFR Part 820.30（QSR）；2026年起过渡至 QMSR（对齐ISO 13485）

§820.30 八要素

飞检严厉，警告信公开

国际 ISO

ISO 13485:2016

§7.3 设计开发

全球通行，CE/多国注册基础

共同内核：计划 → 输入 → 输出 → 评审 → 验证 → 确认 → 转换 → 变更控制，八个环节缺一不可，且每一环节都要"留下证据"。

两个贯穿全程的主线
风险管理主线（ISO 14971）：从立项第一天启动，贯穿设计、验证、生产、上市后全周期。风险管理不是独立文档，而是每一个设计决策的"影子"。
可追溯性主线：用户需求 → 设计输入 → 设计输出 → 验证活动 → 确认活动，必须形成闭环矩阵。审评老师最爱问的一句话是："这个性能指标的验证报告在哪里？"
产品分类决定开发路径
分类

中国监管方式

典型产品

开发强度

Ⅰ类

备案

手术刀柄、检查手套

基础体系

Ⅱ类

省局注册

血压计、监护仪、助听器

完整设计控制+注册检验

Ⅲ类

国家局注册

支架、心脏起搏器、人工关节

完整设计控制+临床试验（多数）

含软件

单独/嵌入

AI辅助诊断（多为Ⅲ类）、设备软件

叠加IEC 62304软件生存周期

 

一、立项与策划阶段：方向错了，努力白费

 

 

1.1 预期用途定义——整个项目的"宪法"
预期用途（Intended Use）是后续所有设计输入、验证确认、注册申报的锚点。一旦注册证上载明预期用途，产品就只能在该用途范围内使用。

新手雷区：

预期用途写得太宽（"适用于各种临床场景"）→ 审评要求补充大量证据。
预期用途写得太窄 → 上市后想扩展用途，只能重新注册。
营销话术与预期用途不一致 → 构成超范围宣传，甚至"未经注册"。
1.2 可行性分析四维度
维度

关键问题

输出物

技术可行性

关键技术是否有积累？是否需要预研？

技术可行性报告

法规可行性

分类界定？有无同品种？临床豁免目录？

注册路径规划

市场可行性

竞品格局？定价空间？准入渠道？

市场分析报告

资源可行性

预算/人员/周期/供应链是否匹配？

资源计划

1.3 设计开发计划书
计划书是体系核查的第一份必查文件，必须明确：

阶段划分与里程碑（含各评审点）
跨职能团队组成与职责（研发、法规、质量、临床、生产、市场）
接口管理（部门间、项目间、与供应商间的信息传递）
资源与预算、风险预评估
关键原则：计划书是活的文档，项目推进中允许修订，但修订本身要走变更程序。

 

 

二、设计输入阶段：输入不清，全盘皆输

 

 

设计输入是整个流程中性价比最高的环节——在这里多花一周，后面能省三个月。法规对设计输入有三条硬性要求：完整、无歧义、可验证。

2.1 用户需求（URS）到设计要求的转换
用户需求（Voice of Customer，模糊语言）
2"护士希望设备操作简便，换电池快"
3 ↓ 转换
4设计要求（工程语言，可测试）
5"电池更换操作应无需工具，在30秒内完成；
6 显示屏字体高度≥3mm；操作按键≤5个"
7 ↓
8可验证条款
9"通过可用性测试（15名护士）+ 计时验证"
2.2 设计输入的六大类
类别

内容示例

常见遗漏

功能性能

测量范围、精度、分辨率、响应时间

精度未定义测试条件（温度/湿度/负载）

安全

电气安全、EMC、生物相容性、机械安全

未列明具体标准条款号

法规

注册地法规、分类、命名、说明书要求

多注册地要求未提前纳入

可用性/人机

使用环境、用户群体、操作频率、误用场景

家用场景与专业场景混淆

接口约束

机械接口、电气接口、软件接口、包装

与现有产品线兼容性

生产与服务

可制造性、灭菌方式、清洁消毒、维修性

灭菌方式对材料选择的约束

2.3 输入评审——最容易走过场的环节
评审要点：每一条输入是否可验证？两条输入之间是否冲突？是否有隐含输入未写明（如运输条件）？

雷区案例：某输液泵项目设计输入只写"流速精度±5%"，未写明测试液、温度、管路规格，验证时发现不同条件下精度差异达±12%，输入定义不清导致返工半年。

 

 

三、设计输出阶段：输出必须能回答"是否合格"

 

 

设计输出是设计过程的"物化成果"，核心要求：

满足设计输入（逐条对应）

包含或引用接受准则（合格判据）
规定对安全和正常使用至关重要的特性（关键特性标注）
3.1 输出物清单
输出类型

具体内容

硬件设计

原理图、PCB文件、结构图纸、BOM、关键元器件规格书

软件设计

架构文档、需求规格、代码、单元测试记录、SOUP清单

工艺文件

工艺流程图、作业指导书、检验规程、特殊过程定义

标识标签

标签样稿、说明书（IFU）、UDI规划

接受准则

出厂检验项目、型式检验大纲、关键特性清单

3.2 输出评审要点
图纸公差是否可加工、可测量？
BOM中是否有单一来源的关键物料（供应链风险）？
说明书是否与预期用途、禁忌症一致？
关键安全特性（如报警功能）是否明确标注？

四、设计评审阶段：不是"签字会"，而是"纠错网"

 

 

4.1 评审点设置
评审点

时机

核心问题

参与方

立项评审

策划完成

值不值得做？

管理层+跨职能

输入评审

输入定义完成

输入是否完整可验证？

研发+质量+法规+临床

方案评审（PDR）

初步设计完成

技术路线是否正确？

研发+外部专家

详细设计评审（CDR）

详细设计完成

输出是否满足输入？

研发+工艺+质量

验证评审

验证完成

产品做对了吗？

跨职能

确认评审

确认完成

做的是对的产品吗？

跨职能+临床

转换评审（PRR）

转产前

量产准备好了吗？

研发+生产+供应链+质量

4.2 评审的有效性原则
提前送审：资料至少提前3天发给评审人，会上才有实质讨论。
跨职能：只有研发参加的评审是技术讨论会，不是设计评审。
问题闭环：每条评审意见必须有处置结论（采纳/不采纳+理由）和跟踪记录。
独立视角：重大风险项目应邀请未直接参与设计的独立评审员。
雷区：补文档式评审——项目做完了，评审记录是"倒签"补出来的。体系核查时通过笔迹、时间戳、版本逻辑一查一个准。

 

 

五、设计验证阶段：我们做对产品了吗？

 

 

验证（Verification）= 输出 vs 输入，用客观证据证明设计输出满足了设计输入。

5.1 四种验证方法
方法

适用场景

示例

测试

绝大多数性能指标

电气安全测试、精度测试、寿命测试

分析/计算

无法或不便实测的场景

有限元强度分析、电路降额分析

与已证实设计对比

沿用成熟设计

与已上市同平台产品对比论证

演示

功能性要求

报警功能演示、操作流程演示

5.2 有源器械核心验证项目
验证项目

适用标准

典型内容

电气安全

GB 9706.1 / IEC 60601-1

漏电流、绝缘、接地、单一故障

EMC

YY 9706.102 / IEC 60601-1-2

辐射发射、抗扰度、静电

环境试验

GB/T 14710

高低温、湿热、振动、运输

可靠性/寿命

企标或IEC 60601-1-11（家用）

加速寿命、疲劳试验

软件

IEC 62304 + YY/T 0664

单元测试、集成测试、系统测试、SOUP分析

网络安全

指导原则（中国）/ 预市指南（FDA）

数据接口、访问控制、漏洞管理

生物相容性

GB/T 16886 / ISO 10993

细胞毒性、致敏、刺激、植入

灭菌/包装

GB 18278~18280 / ISO 11607

灭菌验证、包装老化、运输验证

5.3 验证的样本与状态要求
雷区：用研发手工样机做注册检验。审评和核查均要求测试样品应代表量产状态（或明确论证样机与量产的一致性）。样机与量产件的PCB版本、供应商、工艺不同，验证结论可能不成立。

 

 

六、设计确认阶段：我们做了正确的产品吗？

 

 

确认（Validation）= 产品 vs 用户需求与实际使用条件，证明最终产品能够满足规定的使用要求或预期用途。

6.1 验证与确认对比表
维度

验证 Verification

确认 Validation

回答的问题

我们把产品做对了吗？

我们做的是正确的产品吗？

对比对象

设计输出 vs 设计输入

最终产品 vs 用户需求/预期用途

时机

设计过程中、各阶段

设计完成后、交付或投入使用前

典型活动

测试、分析、对比、演示

临床试验、模拟使用、动物实验、用户试用

环境

实验室条件

实际或模拟实际使用条件

失败示例

精度不达标

精度达标但护士不会用/临床无效

经典类比：验证是"这把锁造得符合图纸"，确认是"这把锁真的能锁住这扇门，且主人用得顺手"。

6.2 临床评价的三条路径（中国）
路径

适用条件

成本/周期

要点

列入免于临床评价目录

目录内产品

最低

需提交豁免对比说明

同品种临床评价（CER）

有已上市实质等同产品

中

差异点需非临床证据支持

临床试验（GCP）

无同品种/高风险/全新机理

最高（百万级起，1~3年）

伦理审批、多中心、统计设计

6.3 可用性确认（IEC 62366-1）
现代法规越来越重视人因：使用错误是医疗器械不良事件的重要来源。要求：

形成性评价（开发过程中反复用户测试）
总结性评价（设计冻结后，模拟真实使用场景，代表性用户）
关键任务不得出现使用错误，或错误风险已被控制到可接受

七、设计转换阶段：研发样品 ≠ 可量产产品

 

 

设计转换（Design Transfer）是把设计输出转化为生产规范的过程，是中国体系核查（注册质量管理体系核查）的重点。

7.1 转换核心动作
动作

内容

交付物

工艺验证

IQ/OQ/PQ三阶段

验证方案与报告

文件移交

图纸→DMR（器械主记录）

完整生产文件包

供应链确认

关键物料供应商审核、二供验证

供应商档案

人员培训

操作工、检验员上岗培训

培训记录

试生产

小批量验证过程能力（Cpk）

试产总结报告

检验放行

出厂检验规程落地

检验记录

7.2 特殊过程必须确认
灭菌、焊接、注塑、粘接、清洁等"结果不能被后续检验完全验证"的过程，必须做过程确认（参数窗口、人员资质、设备再确认周期）。

雷区：研发阶段手工焊接的电路板性能完美，转产改机焊后焊点可靠性下降——设计转换阶段未做工艺对比确认，量产后批量失效。

 

 

八、设计变更阶段：上市后最大的隐形雷区

 

 

8.1 变更分级管理
级别

定义

处置

注册要求（中国）

重大变更

影响安全性/有效性（预期用途、结构组成、工作原理、关键原材料、灭菌方式）

完整重新验证+风险评估

许可事项变更注册

一般变更

可能影响性能但不涉核心安全（软件升级、非关键供应商更换）

针对性验证+变更评审

视情况/自行记录

微小变更

不影响性能（外观颜色、包装箱规格）

内部审批即可

无需申报

8.2 变更控制流程

医疗器械设计开发流程一文讲透：从立项到上市的全周期合规实战指南

 

 

雷区案例：某企业将血压计的压力传感器更换为国产二供，自认为"参数一致"，未做重新验证。结果温度漂移特性不同，冬季测量偏差超标，被飞行检查发现"重大变更未履行变更程序"，产品暂停销售并召回。

关键追问（每次变更前必答）：

这个变更影响哪些风险？风险管理文档更新了吗？
哪些验证/确认需要重做？哪些可以论证豁免？
需要注册变更吗？在哪个市场需要？
变更实施前已生产的产品如何处置？

九、设计开发文档体系：DHF、DMR、DHR 三兄弟

 

 

文件

全称

回答的问题

内容

归属

DHF

设计历史文件

我们是怎么设计出来的？

计划、输入、输出、评审、验证、确认、变更全部记录

研发/质量

DMR

器械主记录

这个产品的"配方"是什么？

图纸、规格、BOM、工艺、检验规程、标签

生产/质量

DHR

器械历史记录

每一批是怎么造出来的？

批生产记录、检验记录、放行记录、UDI

生产/质量

逻辑关系：设计开发产生 DHF → DHF 的输出固化为 DMR → 按 DMR 生产形成每批的 DHR。三者构成从"想法"到"实物"的完整证据链。

可追溯性矩阵（体系核查必查）
用户需求

设计输入

设计输出

验证报告

确认报告

风险控制措施

UR-01 测压准确

DR-01 ±3mmHg

图纸XX/软件XX

VR-01 精度测试

CER-01 临床比对

RM-03 超压报警

UR-02 操作简便

DR-02 换电池<30s

结构图XX

VR-02 计时测试

US-01 总结性评价

RM-07 防呆设计

 

十、风险管理：贯穿全程的第二条主线

 

 

10.1 ISO 14971 核心流程

医疗器械设计开发流程一文讲透：从立项到上市的全周期合规实战指南

 

 

10.2 风险控制优先级（不可颠倒）
优先级

措施

示例

1

本质安全设计

限制最高输出能量，物理上不可能伤人

2

防护措施

报警、联锁、冗余、熔断保护

3

安全信息

说明书警告、培训要求、禁忌症

雷区：用"说明书上写一句警告"来应对本可以设计消除的风险——审评员和核查员对这种"懒惰式风控"零容忍。

10.3 风险管理与其他活动的接口
风险 → 设计输入：风险控制措施必须转化为设计输入
风险 → 验证：每项风险控制措施都要验证其实施与有效性
风险 → 变更：任何变更先做风险影响分析
风险 → 上市后：不良事件数据回流，更新风险管理文档

十一、三大体系设计控制要求对比表

 

 

环节

ISO 13485 §7.3

FDA 820.30

中国《规范》第七章

策划

7.3.1

820.30(a)

第四十条

输入

7.3.3

820.30(c)

第四十二条

输出

7.3.4

820.30(d)

第四十三条

评审

7.3.2

820.30(e)

第四十一条

验证

7.3.6

820.30(f)

第四十四条

确认

7.3.7

820.30(g)

第四十五条

转换

—（隐含于7.3.8）

820.30(h)

第四十六条

变更

7.3.9

820.30(i)

第四十七条

特色

与设计控制紧密绑定的风险管理

2026年起QMSR并入ISO 13485结构

注册体系核查现场验证

 

十二、常见雷区与翻车案例汇总

 

 

#

雷区

典型后果

预防要点

1

先做产品后补文档

体系核查不通过，注册延迟6~12个月

文档与开发同步，评审点刚性执行

2

设计输入不可验证

验证无从下手，扯皮不断

输入评审强制"可验证性"检查

3

验证用手工样机

检验结论被质疑，需重测

注册样品代表量产状态

4

验证与确认混淆

申报资料逻辑混乱，发补

建立V&V对照表，逐条归位

5

临床评价路径误判

预算和时间严重超支

立项阶段就做同品种检索与差异分析

6

软件未按IEC 62304开发

AI/软件产品发补重灾区

软件安全分级前置，生存周期文档完整

7

供应商变更未评估

上市后批量质量问题、召回

关键物料变更强制走变更控制

8

风险管理流于形式

审评质疑风险控制合理性

风险-需求-验证闭环矩阵

9

说明书与预期用途脱节

超范围使用责任风险

IFU评审纳入法规人员

10

可用性工程缺失

用户错误导致不良事件

IEC 62366贯穿开发，总结性评价留证

 

十三、各阶段关键交付物清单（速查表）

 

 

阶段

必备交付物

立项策划

可行性分析报告、设计开发计划书、风险管理计划、注册路径规划

设计输入

用户需求清单（URS）、设计输入清单（DRS）、输入评审记录、适用标准清单

设计输出

图纸/规格书/BOM、软件文档包、工艺文件、标签说明书草案、输出评审记录

设计评审

各阶段评审计划、评审记录、问题跟踪表

设计验证

验证计划、检验规程、注册检验报告、软件V&V报告、生物学评价报告、EMC/安规报告

设计确认

确认计划、临床评价报告或临床试验总结、可用性总结性评价报告、确认评审记录

设计转换

转换评审记录、工艺验证报告（IQ/OQ/PQ）、DMR、试产报告、培训记录

上市后

变更控制程序文件、风险管理报告（更新版）、DHF归档、PMS计划

 

十四、总结：合规不是成本，而是能力

 

 

医疗器械设计开发流程，表面上是一堆文档、评审、签字，本质上回答三个问题：

你做对了吗？（验证——设计输出满足输入）
你做的是对的东西吗？（确认——产品满足临床需求）
你能证明以上两点吗？（文档与可追溯性——证据链）
给不同角色的行动建议：

角色

最该记住的一句话

研发工程师

每一条设计决策都要能回答"对应哪条输入、如何验证、控制了什么风险"

项目经理

评审点不是里程碑装饰，是止损闸门；文档与开发必须同步

注册专员

注册资料是设计开发过程的"投影"，过程烂则资料必然烂

质量人员

体系核查看的不是文档漂不漂亮，而是逻辑链是否真实自洽

创业者

立项时就规划法规路径，比融资成功后再补课便宜十倍

行业里有一句老话："在医疗器械行业，没有记录就等于没有发生；没有验证就等于没有把握。"设计开发流程的全部严谨性，最终都指向一个朴素的终点——患者用了你的产品是安全的、有效的，而你手里有一整条证据链可以证明这一点。

合规不是研发的枷锁，而是医疗器械企业的核心竞争力。能把这套流程内化为组织能力的团队，注册更快、飞检不慌、出海有底气、出事能自证。希望这张全流程地图，能帮你在这个"人命关天"的行业里，走得又稳又远。

 

 

 

本文由广州佳誉医疗器械有限公司/佛山浩扬医疗器械有限公司联合编辑