醫療器材風險管理—技術篇

ISO/TR 24971:2020
附錄B  風險分析常用工具

B.1 概述

該附錄提供數種可供支持風險分析的技術指引。其中一些技術從可能的傷害為起點，分析可能導致此種傷害的各種事件；其他一些技術擇取起始事件為起點，分析可能導致傷害的後續事件順序或組合。此等技術的基本原則為分析事件順序。

註1：此文係引用ISO/TR 24971：2020附錄B內容。

© All Rights reserved. 版權聲明。

特此強調，風險分析只是ISO 14971：2019中描述的風險管理過程的一個步驟。 此外，該附錄中描述的技術並不涉及風險分析的所有要素，僅提供支持資訊。例如：並非所有此等技術都包括鑑別危險情況。此等技術是互相補充的，可能需要使用多種技術相互支援充分及完整的風險分析。

以下詳細地討論分析技術：

• 初始危險分析 （PHA）技術，在開發過程早期對係稱醫療器材的細節尚未盡知時，可使用此技術以鑑別可能造成傷害的危險、危險情況和事件。
• 故障樹分析 （FTA） 和事件樹分析 （ETA）技術，在開發過程的早期之安全工程中特別有用，可供鑑別危險和危險情況的優先順序、可能的風險控制措施、以及分析不良事件的後果。
• 失效模式和效應分析 （FMEA）技術， 乃系統地鑑別各個零部件的效應或後果的技術，隨著設計的成熟和對失效模式的更深入理解，此種技術愈發適合。
• 危險和可操作性研究 （HAZOP）技術， 通常用於開發過程的早期階段，以研究與預期性能的偏差。
• 危險分析和關鍵控制點 （HACCP） 技術，通常用於開發過程的後期階段，以查證然後優化設計概念或更改。

B.2  初始危險分析 (PHA)

初始危險分析 （Primary Hazard Analysis, PHA）是種歸納分析方法，目的係對指定活動、設施或系統鑑別可能造成傷害的危險、危險情況和事件。此法通常在專案開發的早期進行，因為當時關於設計細節或操作程序的資訊尚未充分，所以該法通常作為進一步研究的前期準備工作，亦可為系統設計規格提供必要資訊。在分析現有系統時，或在不允許使用更深入技術的情況排列危險的優先順序時，此法可能很有用。

在初始危險分析 （PHA）中，通過考慮以下特性來制定危險和危險情況清單：

• 使用或生產的材料及其反應性；
• 使用的設備；
• 使用環境；
• 佈局；
• 系統零部件之間的界面。

該方法的完成方式為：

a） 鑑別危險情況發生的或然率及危險情況導致傷害的或然率；

b） 對可能傷害程度的定性評估；

c）鑑別可能的風險控制措施。

獲得的結果可以用不同的方式呈現，例如表格和樹狀圖。

當適用時，在設計、製造及允收階段皆宜開展初始危險分析 （PHA），可供探索新的危險並及早修改。

註：此法益處為可以在資訊有限時使用，器材生命週期初階時使用。不利之處在僅能提供初始資訊，既不全面亦未能提供相關風險、最佳風險防範措施等資訊。

 B.3 故障樹分析 （FTA）

故障樹分析 （Fault Tree Analysis, FTA）主要應用在從其他技術鑑別出的危險再加以分析手段，並從假定的非期望後果開始，也稱為《頂部事件》，即可能的危險或危險情況。從《頂部事件》開始並詢問「為什麼？」，得以逐級剔除的方式，鑑別功能系統低一級層次所導致的非期望後果之可能原因或故障模式。在逐級鑑別非期望的系統操作持續到愈來愈低的系統層次後，將引導到期待的系統層次，該層次通常是零部件故障模式，或風險控制措施得以應用的最低層次。

以上步驟將揭示最有可能引導到前述假設的後果組合。此種結果以故障樹模式、即習稱之故障樹圖形方式呈現。在故障樹圖中的每個層級，描述故障模式的組合皆採用邏輯運算元（AND、OR 等）。

故障樹圖呈現出頂部事件及潛在原因要素之間的邏輯關聯途徑，故障樹鑑別出的故障模式可以為硬體故障、人為錯誤或任何其他相關事件關聯的事件，此等事件會導致意外事件。此項技術不設限於單一故障情況。

故障樹圖例

故障樹分析 （FTA）允許以足夠靈活的系統方法，可以分析各種因素，包括人的相互作用。故障樹分析（FTA）在風險分析中用來估計故障機率、鑑別導致危險情況的單一故障情況、及常見原因導致故障的工具。故障樹分析 （FTA）可以在系統的設計階段使用，鑑別故障的潛在原因，而從不同的設計草案中挑選合宜方案；也可以在營運階段使用，鑑別重大故障發生方式及導致重大事件不同途徑的重要性，供相互比較和取捨。

在定性分析時，此法須了解系統及故障原因、系統失效方式。在定量分析時，須了解《頂部事件》的故障率、失效機率。

當掌握原因與後果的機率概括情形時，可用以估算重大事件的發生機率，或者數個事件發生時可以相互影響的途徑，並計算綜合作用在《頂部事件》的故障率。故障樹分析 （FTA）亦可處理既有的故障，通過故障樹圖展現不同事項如何交互作用而造成故障情形。

故障樹圖形表達方式則易於理解系統行為和分析過程中包含的各項因素，但是，隨著故障樹圖形增大，或是事件交疊時，處理故障樹可能需要引入計算機系統，計算最小割集。使用計算機系統工具有助於保持一致性、正確性及可檢驗性。

有關故障樹分析 （FTA）技術的更多資訊，請參見IEC 61025，或日本工業標準（等同英文版）JIS C5750-4-4:2011。

B.4 事件樹分析 （ETA）

事件樹分析 （Event Tree Analysis, ETA） 是一種因果分析圖解技術，基於啟動事件可能出現互斥後果的一系列動作和分析。事件樹分析 （ETA）使用與故障樹分析（FTA）相同的邏輯和數學技術。然而，故障樹分析 （FTA）分析了非期望頂部事件是如何發生的，而事件樹分析 （ETA）考慮了系統中特定零部件或專案失效的衝擊，並計算出該項失效對整個系統以及使用者和患者的效應。

定性分析可用於對啟動事件之後可能出現的狀況及後續依序發生的狀況，收集眾人意見，討論多種處理方式、預期障礙、減低非期望事件的控制措施及對後果的效應。而定量分析有助於思考控制措施的有效性，通常用於具備多種安全措施時的失效模式。由啟動事件

事件樹分析 （ETA）使用逐步推導方式，而故障樹分析 （FTA）是逐級推定方式。

事件樹中的啟動事件通常分為以下四類之一：

1. 醫療器材中的故障或不安全情況；
2. 使用錯誤；
3. 公用設施故障（例如：斷電或網際網路連接中斷）；
4. 環境狀況（如：溫度、濕度、海拔、天氣）。

事件樹分析 （ETA）的目標是確定所選啟動事件可能導致的負面結果並最終導致傷害的機率。有必要使用有關系統的詳細資訊來瞭解事件順序，以構建事件樹圖。事件樹從啟動事件開始，其中此事件的後果以二元（成功或失敗）方式呈現。每個事件都會創建一個路徑，在該路徑中將觸發一系列的成功或失敗（交互出現）狀況，由此可以估計該路徑發生的總體機率。

此法的益處可以說明時機、依賴性、故障樹中事件的順序及骨牌效應。此法的不足之處係僅只某個系統的成功及故障狀況，未能納入延遲成功或恢復事項。任一條路徑皆依賴此前分歧點發生的事項，故完整事件樹分析須將可能路徑上各類事項納入分析，以其數量頗多，凡有忽略或省去的事項，便未能涵蓋全部的風險。

有關事件樹分析 （ETA）程序的更多資訊，請參見IEC 62502。

B.5 失效模式和效應分析 （FMEA）

失效模式和效應分析 （Failure Mode and Effect Analysis, FMEA） 是一種系統地鑑別和評估單一故障模式後果的技術。這是一種提問方式「如果如此做，則會發生什麼後果？」的歸納技術。每次僅分析一個零部件，因此通常查看單一故障情況。該技術以俗稱為「自下而上」模式進行，即按照程序進展到更高一階的功能系統層次。

該技術的應用程序如下述：

• 鑑別係稱系統各部分所有潛在的失效模式（失效模式是被觀察到的失誤或操作不當）；
• 此等故障對系統的影響；
• 故障原因；
• 如何避免故障，及/或減少故障對系統的影響。

失效模式和效應分析 （FMEA）不限於零部件設計的失敗，還可以包括零部件製造和組裝中的故障（過程 FMEA）以及最終使用者使用或錯誤使用產品（使用 FMEA），以鑑別人為失效模式及其效應。失效模式和效應分析 （FMEA）可以擴展為包括對單一零部件失效模式、其發生機率和可檢測性（僅在檢測將在ISO 14971：2019的背景下採取預防措施的程度）以及後果的嚴重程度的調查。為了執行失效模式和效應分析 （FMEA），應詳細瞭解醫療器材的結構。

該技術的益處係在設計初期發現問題，避免增加在製造階段的費用；鑑別單一零部件失效模式結果並尋求冗餘或安全保護系統之需求；分析結果可以提供輸入資料予其他分析技術，如：定性及定量的故障樹分析。

此種技術的缺點可能是難以處理冗餘和納入維修或預防性維護措施，以及它僅限於單一失效狀況，無法同時鑑別多個失效模式。且研究工作冗贅而耗費甚多，對於複雜的多層次系統而言，工作內容相當艱難而枯燥。

有關失效模式和效應分析 （FMEA）程序的更多資訊，請參見IEC 60812。

註1：IEC 60812:2006的失效模式和效應分析 （FMEA），已經由後續版本IEC 60812:2018失效模式效應與關鍵性分析 （FMEA and FMECA）所取代。

註2：失效模式效應與關鍵性分析 （Failure Mode and Effect and Criticality Analysis, FMECA）拓展了失效模式和效應分析 （FMEA）的應用範圍。根據其重要性和危害程度，FMECA可對每種鑑別出來的失效模式進行排序。

這種分析通常是定性或半定量的，但是使用實際故障率也可以定量化方式。

B.6 危險和可操作性研究 （HAZOP）

危險和可操作性研究 （Hazard and Operability studies, HAZOP）的理論係假設危險情況和危險是由設計偏差或操作變化而引起。危險和可操作性研究 （HAZOP）可以在開發過程的早期執行，此時僅定義了設計和開發輸入，供規劃或對現有產品、過程、程序或系統的結構式系統分析，目的在鑑別危險和可操作性的問題之系統技術。該技術最初是為化學工業開發的，專注於探討設計意圖的偏離狀況，但醫療器材的開發人員尚可以考慮其他方面的應用。危險和可操作性研究 （HAZOP）可以應用於醫療器材的操作/功能（例如：作為《設計意圖》應用於診斷、治療或緩解疾病的現有方法/過程），或應用於醫療器材的製造或維護/服務（例如滅菌）的過程，此等方法可能對醫療器材的功能產生重大衝擊，分析團隊以該技術鑑別人員、設備、環境或組織目標所面臨的風險，由分析團隊儘可能提出解決方案而消除或減低風險。

危險和可操作性研究 （HAZOP）的兩個特點是：

• 採用一群具有醫療器材設計及其應用專業知識的人員組成的團隊；
• 使用引導詞幫助鑑別對照正常使用時的偏離狀況（全部、無、不/不是、多於/少於，以及部分等）。

該技術的目標是：

• 對醫療器材及其預期使用方式做出完整的描述；
• 系統地檢討預期使用的每個部分，以發現如何才會發生可能偏離正常操作條件和醫療器材設計使用的狀況；
• 鑑別此類偏離狀況的後果，並決定此等後果是否會導致危險情況或可操作性問題。

當應用在製造醫療器材的過程時，尤以醫療器材特性取決於製造過程的情況下，特別適用上述第三個目標。

有關HAZOP程式的更多資訊，請參見IEC 61882。

B.7  危險分析和關鍵控制點 （HACCP）

危險分析和關鍵控制點 （Hazard Analysis and Critical Control Points, HACCP）是一種系統的方法，用於鑑別危險和危險情況，並通過關注製造過程中的關鍵控制點而加以控制及監督相關風險。以下描述風險管理術語在適當的情況下補充了傳統的危險分析和關鍵控制點 （HACCP）術語。

危險分析和關鍵控制點 （HACCP）基於以下七個核心原則：

1. 進行危害分析（風險分析），以鑑別危險和危險情況；
2. 決定關鍵控制點；
3. 建立適當的界限；
4. 監督每個關鍵控制點（CCP）；
5. 建立矯正和預防措施（鑑別並實施風險控制措施）；
6. 建立查證程序；
7. 建立文件和記錄保存程序。

每種醫療器材都有自己的危險和危險情況，此等危險和情況可能與其預期使用、合理可預見的錯誤使用或其與安全相關的特性有關。危險情況可能由生命週期不同階段的事件引發，例如：設計、開發、製造、服務、使用、處置等。

有效果的危險分析和關鍵控制點 （HACCP）系統之核心當屬持續控制和監督已鑑別的危險和危險情況。製造商通過建立和記錄工藝過程圖、危險分析工作表和關鍵控制計畫，展現實施的風險控制措施的有效性。

危險分析和關鍵控制點 （HACCP）系統使用以下工具作為記錄證據：

a)  工藝流程圖（Process flow diagram）

該圖目的是提供過程中涉及的步驟的清晰而簡單的描述。該圖對於危險分析和關鍵控制點 （HACCP）團隊的後續工作係屬必要。該圖亦可在未來指引其他人瞭解其過程的查證活動。工藝過程圖的範圍宜涵蓋製造商直接控制下的所有加工步驟。

b） 危險分析工作表 工作表包含危害分析（風險分析）的記錄：

• 鑑別和列出過程中存在重大危險的步驟；
• 列出與每個步驟相關的所有已鑑別的危險（和危險情況）及其重要性；
• 列出每種危險（和危險情況）的所有風險控制措施；
• 鑑別所有關鍵控制點及其監視和控制。

c） 關鍵控制計畫（Critical Control Plan）

該計畫基於危險分析和關鍵控制點 （HACCP）的七項原則，並描述了確保控制特定設計、產品、過程或程序所遵循的程序。該計畫包括：

• 鑑別關鍵控制點和適當的限制；
• 監督和持續控制活動；
• 實施和監督風險控制措施；
• 查證和記錄保存活動。

（本篇竟）