医疗器械的可用性工程浅析
李庆雨 1，施燕平 1，刘美丽 2，杨婧 2
1.山东省医疗器械产品质量检验中心，山东 济南 250101；2.山东恒信检测技术开发中心，山东 济南 250101
[摘 要]本文介绍了有源医疗器械可用性和可用性工程的含义以及可用性工程的工作过程并结合风险管理的要求，以及可用性工程和风险管理之间的关系。对于风险管理过程而言，与可用性关联的问题，诸如与安全性有关的特征，应在风险分析时予以考虑；可用性确认的结果最好也在剩余风险的评价中考虑；风险管理过程中的生产后信息的评价宜包括可用性。可用性工程过程的目标是在用户接口的可用性方面提供对患者、操作者和其他人员的安全。因此，可用性工程应及早进行并持续贯穿医疗器械的整个开发周期，最终形成可用性工程文档；可用性工程文档可以是风险管理文档的一部分。
[关键词]医疗器械；可用性；可用性工程；风险管理；人机交互
引言
近年来，医疗器械应用越来越广泛，在保证其“安全、有效”的同时，对其人机交互方面也提出了更多的要求，即可用性 [1-2]。标准YY/T 1474-2016《医疗器械可用性工程对医疗器械的应用》 [3]是目前国内即将实施的可用性标准，该标准等同采用国际标准版本为IEC 62366-2007 [4]，规定了有关医疗器械可用性的分析、确定、设计、验证和确认过程，适用于评定医疗器械可用性问题引起的风险。YY/T 0316-2016《医疗器械风险管理对医疗器械的应用》 [5]规定了分析、评价、控制和监视医疗器械风险的过程要求，两个标准相互依存和补充，成为控制医疗器械风险的重要依据。
1 可用性和可用性工程
简单地讲，可用性就是在保证安全性的前提下考核人机交互的有效性、效率、易学度、满意度；是在设备预期使用/预期用途范围内，指定的操作者在指定环境下完成指定目标的有效性、效率和满意度的度量。
可用性工程指运用下面所述知识以达到足够的可用性，这些知识包括：人类行为、能力、局限性、设计特性(即设计工具、装置、系统、任务、工作)、环境方面的知识 [6]。可用性工程过程的目标是在用户接口的可用性方面提供对患者、操作者和其他人员的安全，因此，可用性工程应及早进行并持续贯穿医疗器械的整个开发周期，最终形成可用性工程文档。
2 医疗器械的可用性工程
虽然可用性的定义中包含了4个方面的特性，但是其中的效率和满意度两方面的特性与医疗器械的人机交互和安全性非直接相关，医疗器械的可用性工程对此不予关注。另外两个特性，即有效性和易学度，成为医疗器械的可用性工程关注的内容。
按照医疗器械的使用者对它们实施的行为是否偏离了制造商合理风险控制措施的范围，可以分为正常使用和非正常使用。医疗机构的统计表明，医疗设备使用过程中的错误逐年增多 [7]，有些错误源于操作者对于医疗器械的故意或故意省略行为造成的，使得制造商提供的风险控制措施变得无效，属于非正常使用；有些错误的产生是由于可用性设计缺陷导致的，问题的实际原因可能存在于设计而不是使用者 [8]，这种情况属于正常使用，这些错误称为使用错误。可用性工程不考虑非正常使用引起的风险，只关注于医疗器械的正常使用和使用错误。可用性工程过程试图通过降低使用错误和使用错误的风险来实现合理的可用性。
使用错误包含有意的行为和无意的行为，而使用错误中的有意行为指的是合理可预见的误用，是由于很容易预见的操作者行为导致的未按制造商预期的方式来使用。例如，“一台没有测量结束提示功能的血压计，使用者在还没有完成测量时就移开了袖带”就属于有意行为导致的使用错误，是一种合理可预见的误用；“由于两个按钮位置太近导致使用者误操作”则属于无意行为导致的使用错误。缺乏人性化的界面设计而诱使操作者作出错误决定是导致使用错误的直接原因。
非正常使用只包含有意的行为，其结果是往往导致制造商提供的风险控制措施无效，例如，“使用者无视袖带标识把血压计的成人袖带用于儿童”就是有意的行为，越过了制造商的合理的风险控制措施。由于合理可预见的误用和非正常使用都是有意的行为，使这两个概念不宜区分，且有时两者会相互转化，因此，制造商在风险管理过程中应结合特定医疗器械的使用情景，定义哪些是合理可预见的误用，定义哪些是非正常使用，并在风险管理过程文档中明确用于降低合理可预见的误用所采取的风险控制措施。
不充分的可用性导致使用错误已经变为相关风险逐步增加的诱因。可用性工程过程目是实现预期的合理的可用性，以减少使用错误和相关的风险。对于制造商来讲，其有义务来控制一些使用错误。
3 可用性工程过程
可用性工程正是运用了人类当今的知识水平和行为特征，以达到足够的可用性并同时降低风险的目的，包含了分析、设计、验证和确认可用性的全部过程。可用性工程的核心内容就是围绕设计和实施用户接口展开；可用性工程的目的是医疗器械提供充分的可用性，使得由于正常使用和使用错误导致的风险是可以接受的。可用性工程的整个过程，见图1。
图1 一个简单的可用性工程过程
可用性工程的过程可以大致概述为如下过程：由可用性工程的输入开始，首先运用可用性规范进行可用性验证，然后对照可用性确认计划完成可用性确认，并形成可用性工程文档，以保证医疗器械能够提供充分的可用性，使得由于正常使用和使用错误导致的风险是可接受的。
3.1 可用性工程输入
可用性工程输入是整个可用性工程的工作对象，主要涉及3个方面的内容：应用规范、作为风险控制措施的安全性信息和基本操作功能。其中应用规范包括预期用途、患者情况、使用部位、预期的用户特征和使用条件等相关情况。基本操作功能包括了三方面的功能：一是经常使用的功能；二是与基本安全和基本性能相关的功能；三是人机交互涉及到的其它功能。当制造商使用了固有安全设计和防护措施之后，还需要使用安全性信息来控制风险时，该安全性信息，例如说明书、培训和培训材料、维护信息等，也成为用户接口的一部分，是可用性工程关注的重要内容。
3.2 可用性验证
可用性验证是通过检查用户接口的实现并收集样机的相关数据来完成的，依据的是可用性规范。可用性规范是定义与可用性相关的用户接口要求的文件，提供了进行可用性验证时用到的可进行测试的要求、可用性目标和可接受性准则，是进行用户接口可用性验证的依据。
可用性验证的目的就是证实用户接口符合制造商所制定的可用性规范。由于可用性工程的迭代特性，进行规范的可用性验证可以帮助制造商调整用户接口的设计方案，完善产品的组成，例如说明书或培训等。
3.3 可用性确认
可用性确认时按照可用性确认计划对用户接口的设计完成确认的过程。可用性确认计划由制造商制定和维护，是进行可用性确认的依据。可用性的确认是指“通过提供客观证据对特定的预期用途或应用要求已得到满足的认定”，因此，可用性确认计划是针对基本操作功能而言，旨在制定用于基本操作功能可用性确认的方法、建立基本操作功能可用性确认的成功的标准、指定预期操作者代表。
可用性确认的方法可以是定量的，也可以是定性的；可以在专业实验室中进行，也可以在模拟的环境或实际使用环境中进行。制造商进行可用性确认时，应基于产品的预期用途，采用多个方法针对基本操作功能的可用性进行。若结果符合标准的要求，在可用性工程文档中进行记录即可，否则还须增加进一步的用户接口设计和实施活动或在其不可行时完成受益和风险的评估；受益超过风险，则风险可接受；风险超过受益，则风险不可接受。
3.4 可用性工程输出
可用性工程的输出可以记录在可用性工程文档。可用性工程文档是指可用性工程过程产生的一组记录和其它文件，记录了可用性工程过程及其结果。制造商通常可以把这些记录和结果融入到风险管理文档中，以便更好地完成可用性工程和风险管理过程，同时方便检索和溯源。
3.5 可用性验证和可用性确认之间的关系
可用性验证的目的是验证医疗器械符合可用性规范，用户接口符合设计规范；可在模拟环境中的样机上完成或获取数据。
可用性确认的目的是确保制造的医疗器械是正确的，满足预期用途的可用性要求。可用性确认比可用性验证更重要的地方是能够发现用户和医疗器械之间的非预期的交互行为。例如，可用性验证时未发现的操作细节很可能会在确认时显现，并对验证后的用户接口设计进行最终确认。
3.6 可用性工程中常用的技术方法
目前有许多技术和方法可以用于医疗器械的可用性工程中，例如参与式设计、设计审核、有声思维法、功能分析、启发式评估、失效模式和效果分析、问卷和调查等。每种方法均有各自的优缺点，例如启发式评估能够在设计早期发现用户接口方面存在的问题，但是对于专家的依赖程度较高 [9]；失效模式和效果分析是一种前瞻性的可靠性分析方法 [10]，但是耗费的数据和人力等资源较多；出声思维法具有所需被试人数少、费用较低等优点 [11],但是在缺乏统一的理论指导时其优势较难体现。
这些技术和方法可以帮助医疗器械的开发者设计出更适用、更安全的用户接口。由于采用单一的方法满足不了可用性工程过程的所有阶段，一般应采用多种方法贯穿于产品的开发周期，通常由从事可用性工程过程的专业人员依据产品的全生命周期中每个阶段的需要来选择，优先选择能产生客观数据的方法，以供可用性确认使用；即使设计不成功，也能帮助查找原因。医疗器械制造者应把这些技术和方法与可用性工程结合在一起，迭代地进行设计和开发，贯穿于医疗器械的全生命周期过程中，完成用户接口的设计和实现。
4 可用性工程过程和风险管理过程的关系
可用性工程过程和风险管理过程的关系，见图2。总体来说，可用性工程和风险管理的过程互为输入，不可分割。
图2 可用性工程过程及与风险管理过程的关系
另外，针对IEC 60601-1中所定义的“医用电气设备”考虑可用性工程时，亦应关注标准IEC 60601-1-6 [12]；且“安全”应涵盖IEC 60601-1第三版中的“基本性能和基本安全”的含义，因此，相应的风险管理过程中涉及到的“安全”也应采用这样的含义。
可用性工程中识别的与安全性有关的特征是两者均需要考虑的内容，其确定的已知的或可预见的危险或危险情景能帮助制造商在风险管理中识别危险，反过来，在风险管理中识别的危险和与基本性能和基本安全相关的功能可以帮助制造商完善对可预见的危险的确定过程。
对于可用性工程过程，医疗器械的风险分析的结果应作为可用性规范的输入；风险分析的结果或者对风险分析结果的引用位置也应记录在可用性工程文件中。由风险分析中可得出的基本性能和基本安全，与此相关的功能是可用性工程中的基本操作功能；作为风险控制措施的安全信息也是可用性工程中必须考虑的内容。风险分析中总结的与医疗器械相关的危害也是可用性验证的基础。风险分析中确定的剩余风险的可接受准则也成为可用性确认成功的判定准则。
对于风险管理过程而言，与可用性关联的问题，诸如与安全性有关的特征（包含用户特征、使用情景等应用规范和经常使用的功能）、已知的或可预见的危险和危险情况（包含可能的使用错误、类似产品的用户接口危险信息、用户接口的评审结果等），应在风险分析时予以考虑；可用性确认的结果最好也在剩余风险的评价中考虑；风险管理过程中的生产后信息的评价宜包括可用性。可用性工程过程的目标是在用户接口的可用性方面提供对患者、操作者和其他人员的安全。因此，可用性工程应及早进行并持续贯穿医疗器械的整个开发周期，最终形成可用性工程文档；可用性工程文档可以是风险管理文档的一部分。
5 结束语
在医疗器械的设计中实施有效的可用性工程，对于医疗机构而言，能够提高工作满意度和质量，避免医疗事故，降低运行成本 [13]，意义重大。但是，可用性方法所带来的经济上的好处，许多是在产品发布以后才显现出来的 [14-16]，这对于制造商而言可能存在一定的惰性；对于监管部门和专门的技术委员会而言可能会疏漏。因此，可用性工程的规范化推广和应用需要监管部门、技术委员会和制造商共同努力。
[参考文献]
[1] 国家食品药品监督管理总局.医疗器械监督管理条例(国务院令第650号) [EB/OL].http://www.sda.gov.cn/WS01/ CL0784/97814.html.
[2] 王兰明.关于改革和完善中国医疗器械注册管理制度的探讨[J].中国医疗器械杂志,2012,36(6):426-432.
[3] YY/T 1474-2016,医疗器械可用性工程对医疗器械的应用[S].
[4] IEC 62366-1-2007,Medical devices – Application of usability engineering to medical devices[S].
[5] YY/T 0316-2016,医疗器械 风险管理对医疗器械的应用[S].
[6] IEC 60601-1-2012,Medical electrical equipment -- Part 1: General requirements for basic safety and essential performance[S].
[7] 张仁敏.医疗设备可用性工程与使用安全性[J].医疗卫生装备,2013,34(7):101-121.
[8] 刘歆.医疗器械设计中的可用性及标准要求[J].中国医疗器械杂志,2010,34(1):47-49.
[9] 王建冬.国外可用性研究进展述评[J].现代图书情报技术, 2009,(9):7-16.
[10] 刘胧,刘虎沉.运用FMEA的产品可用性评价方法[J].工业工程, 2010,13(3):47-50.
[11] 周荣刚,张侃.可用性测试中的出声思维法[J].人类工效学, 2005,11(3):55-57.
[12] IEC 60601-1-6-2013 Medical electrical equipment - Part 1-6: General requirements for basic safety and essential performance - Collateral standard: Usability[S].
[13] 周丹.急救医学装备工程导论[M].北京:人民军医出版社,2006.
[14] Nielsen J.可用性工程[M].北京:机械工业出版社,2004.
[15] 张元,骆雯,管倖生.可用性目标在可穿戴设备设计中的应用研究[J].包装工程,2015,(8):72-75.
[16] 魏永侠.交互设计中的产品可用性目标研究[J].包装工程,2011,(14):71-73.
本文编辑 苏欣
Analysis of Usability Engineering to Medical Devices
LI Qing-yu 1, Shi Yan-ping 1, LIU Mei-li 2, YANG Jing 2
1. Shandong Quality Inspection Center for Medical Devices, Jinan Shandong 250101, China; 2. Shandong Heng Xin Inspection Technique Exploiture Center, Jinan Shandong 250101, China
Abstract：This article introduced the usability of active medical devices, meaning of usability engineering as well as the working process of usability engineering; and also introduced the relationship between usability engineering and risk management in combination with the requirements of risk management. For the risk management process, issues related to usability, such as safety-related features, should be considered in risk analysis; results of usability validation should better be taken into account in the assessment of residual risks; it is better to include usability in the post-production information assessment during risk management process. The goal of usability engineering process is to provide for the safety of patient, operator, and other personnel in terms of usability of user interface. For this reason, usability engineering should be conducted early and carried out throughout the entire development cycle of the medical device, finally forming the usability engineering documents, which can be part of risk management document.
Key words：medical devices; usability; usability engineering; risk management; man-machine interaction
[中图分类号]TG174.2；TG14
[文献标识码]A
doi：10.3969/j.issn.1674-1633.2017.02.001
[文章编号]1674-1633(2017)02-0001-04
收稿日期：2016-11-10
基金项目：国家重点研发计划试点专项（2016YFC0106001）。
通讯作者：王瑾晔，教授。
通讯作者邮箱：jinyewang@sjtu.edu.cn