将人因工程和可用性工程应用于医疗器械：行业与FDA工作人员指南

Applying Human Factors and Usability Engineering to Medical Devices: Guidance for Industry and Food and Drug Administration Staff

发布日期：2026-08-03

状态：Final（最终）类型：Guidance Document 类别：上市前主题：Postmarket、Premarket、Safety - Issues、Errors、and Problems 案卷号：FDA-2011-D-0469

官方来源

https://www.fda.gov/regulatory-information/search-fda-guidance-documents/applying-human-factors-and-usability-engineering-medical-devices PDF：https://www.fda.gov/media/80481/download

INFO

本内容由英文原文机器辅助翻译，并经结构校对。如有歧义，以英文官方文本为准。

本指南代表美国食品药品监督管理局（FDA或本局）对该主题的当前考虑。它不为任何人设定任何权利，对FDA或公众也没有约束力。如果替代方法满足适用法规和规章的要求，您可以使用替代方法。如需讨论替代方法，请联系本指南扉页上列出的负责本指南的FDA工作人员或办公室。

引言 FDA制定本指南文件旨在协助业界遵循适当的人因工程和可用性工程过程，以最大程度地提高新医疗器械对于预期用户、预期用途和使用环境的安全性和有效性。

本指南文件中的建议旨在支持制造商改进器械设计，以最大程度地减少潜在的使用错误及由此产生的伤害。FDA相信，这些建议将使制造商能够评估并降低与医疗器械使用相关的风险。

有关本文件中引用的FDA认可共识标准的当前版本，请参阅FDA认可共识标准数据库。如果提交对认可标准的符合性声明，我们建议您包含适当的支持性文件。有关在监管提交文件中使用共识标准的更多信息，请参阅题为“在医疗器械上市前提交文件中适当使用自愿性共识标准”的FDA指南。

通常，FDA的指南文件不确立具有法律强制执行力的责任。相反，指南阐述了本局对某一主题的当前考虑，除非引用了特定的监管或法定要求，否则仅应将其视为建议。在本局指南中使用“应”（should）一词意味着建议或推荐某事，但并非强制要求。

范围本指南建议制造商在新医疗器械的开发过程中遵循人因工程或可用性工程过程，特别关注用户界面，其中用户界面涵盖产品与用户之间的所有交互点，含显示器、控制器、包装、产品标签、使用说明等元素。虽然遵循这些过程可能有利于在其他方面优化用户界面（例如，最大程度地提高易用性、效率和用户满意度），但FDA主要关注的是器械对于预期用户、预期用途和使用环境是否安全有效。

其目标是确保器械用户界面的设计能够消除或尽可能减少在器械使用过程中发生可能导致伤害或降低医疗效果的使用错误。

在确定设计和开发输入时，制造商必须根据器械的预期用途，纳入其风险管理过程的适用输出，并纳入可用性要求。1 ANSI/AAMI/ISO 14971《医疗器械 - 风险管理对医疗器械的应用》将风险定义为伤害发生概率与潜在伤害严重程度的结合2。然而，由于使用错误的概率很难确定，事实上许多使用错误在模拟和观察器械使用之前是无法预料的，因此潜在伤害的严重程度对于确定是否需要消除（通过设计消除）或减少由此产生的伤害更具意义。如果风险分析结果表明使用错误可能对患者或器械用户造成严重伤害，则制造商应根据本指南文件应用适当的人因工程或可用性工程过程。如果制造商正在修改已上市器械以纠正与使用相关的设计缺陷，特别是作为纠正和预防措施(CAPA)时，也同样适用此原则。

CDRH认为人因工程测试是医疗器械产品开发的重要组成部分。CDRH建议制造商将医疗器械的人因工程测试视为稳健的设计控制子系统的一部分。有关向CDRH提交的上市提交文件中应包含的人因工程信息的更多信息，请参阅指南《医疗器械上市提交文件中人因工程信息的内容》。

《联邦食品、药品和化妆品法案》（FD&C Act）。QMSR通过引用纳入了2016版ISO 13485。通过引用纳入ISO 13485，我们明确要求受FDA管辖的器械的质量管理体系（QMS）符合当前国际认可的监管期望。本指南中对ISO 13485的所有引用均指ISO 13485:2016《医疗器械 — 质量管理体系 — 用于法规的要求》。

以下定义3适用于本指南的目的：

异常使用：违背或违反正常使用的有意识、故意的行为或故意的行为遗漏，并且超出了制造商通过用户界面相关风险控制所能采取的任何进一步合理手段。4
关键任务：如果执行不正确或根本未执行，将会或可能会对患者或用户造成严重伤害的用户任务，其中伤害的定义包括医疗护理受损。
形成性评价：旨在探索用户界面设计的优势、劣势和未预料到的使用错误而进行的用户界面评价。5
伤害：对人体健康的损伤或损害，或对财产或环境的损害。6
危险（源）：潜在的伤害来源。7
危险情况：人员、财产或环境暴露于一个或多个危险（源）中的情形。8
人因工程9：将有关人类行为、能力、局限性及其他特征的知识应用于医疗器械（包括软件）、系统和任务的设计中，以实现充分的可用性。10
人因工程确认测试11：在器械开发过程结束时进行的测试，旨在评估用户与器械用户界面的交互，以识别将会或可能会导致患者或用户受到严重伤害的使用错误。人因工程确认测试也用于评估风险控制措施的有效性。人因工程确认测试是设计确认的一部分。
正常使用：根据使用说明，或对于未提供使用说明的医疗器械按照普遍接受的惯例进行的操作，包括任何用户的常规检查和调整，以及待机。12
剩余风险：实施风险控制措施后残存的风险。13
严重危害：包括严重伤害和/或死亡。

3 本节提供的定义参考了所引用来源中的定义，但不一定完全相同。 9 在美国，“人因工程”（HFE）一词占主导地位，但在世界其他地区，更倾向于使用“可用性工程”（UE）。就本文件而言，这两个术语被视为可互换的。 11 人因工程确认测试有时被称为“总结性测试”。然而，总结性测试可能有不同的定义，并且某些定义省略了本指南文件中描述的人因工程确认测试的基本组成部分。

严重伤害：危及生命、导致身体功能永久性损伤或身体结构永久性损害，或需要医疗或手术干预以防止身体功能永久性损伤或身体结构永久性损害的伤害或疾病。永久性是指对身体结构或功能的不可逆损伤或损害，不包括轻微的损伤或损害。14
任务：用户为达到预期结果而与医疗器械进行的一次或多次交互。15
使用环境：用户与医疗器械交互的实际条件和场所。16
使用错误：与制造商预期不同的用户操作或未操作，并导致了以下结果：（1）与用户预期的结果不同；（2）并非完全由器械故障引起；且（3）已经或可能导致伤害。
使用安全：免受不可接受的与使用相关的风险。
用户：与医疗器械交互（即操作或处理）的人员。17
用户界面：用户与医疗器械交互的手段。18 [注：示例包括包装、标签/标签标识、19 培训材料、物理控制器、显示元素、报警以及每个器械组件的操作逻辑。]
使用相关风险分析（URRA）：系统地利用可用信息来识别与使用相关的危险（源）并估计与使用相关的风险。

概述了解人们如何与技术交互，并研究用户界面设计如何影响人们与技术的交互，是人因工程（HFE）和可用性工程（UE）的重点20。

医疗器械开发中的HFE/UE考量涉及器械-用户系统的三个主要组成部分：（1）器械用户，（2）器械使用环境，以及（3）器械用户界面。这三个组成部分之间的交互及其可能的结果在图1中以图形方式描述。

19 “术语‘标签/标签标识’是指（1）在任何物品或其任何容器或包装上的，或（2）随附于该物品的所有标签和其他书面、印刷或图文材料。”《FD&C法案》第201(m)节，21 U.S.C. 321(m)。 20 在美国，“人因工程”一词占主导地位，但在世界其他地区，更倾向于使用“可用性工程”。就本文件而言，这两个术语被视为可互换的。

图1. HFE/UE考量因素之间的交互导致安全有效的使用或不安全/无效的使用。

4.1 作为风险管理一部分的HFE/UE 消除或减少促成或导致不安全或无效使用的设计相关问题，是整体风险管理过程的一部分。

风险分析中传统上考虑的危险（源）包括： · 物理危险（源）（例如，尖角或锐边），

机械危险（源）（例如，来自移动物体的动能或势能），
热危险（源）（例如，高温组件），
电气危险（源）（例如，电流、电磁干扰（EMI））， · 化学危险（源）（例如，有毒化学品），
辐射危险（源）（例如，电离和非电离辐射），以及
生物危险（源）（例如，过敏原、生物不相容剂和感染源）。

这些危险（源）通常与器械或组件故障的情况相关，而不取决于用户如何与器械交互。（一个值得注意的例外是感染源（细菌/病原体），它们可能因使用错误引起的交叉污染而引入器械。）

与用户和器械交互相关的医疗器械危险（源）也应纳入风险管理中。这些危险（源）在本文件中被称为与使用相关的危险（源）（见图2）。这些危险（源）可能是由用户界面设计的某些方面引起的，这些方面导致用户未能充分或正确地感知、阅读、解释、理解或根据来自器械的信息采取行动。某些与使用相关的危险（源）比其他危险（源）更严重，这取决于遇到该危险（源）的用户或患者可能受到的潜在伤害的严重程度。

图2. 与使用相关的危险（源）、器械故障危险（源）以及与使用和器械故障均相关的重叠危险（源）。

与使用相关的危险（源）与以下一种或多种情况有关：

器械使用所需的身体、感知或认知能力超出了用户的能力；
器械使用与用户对器械操作的期望或直觉不一致；
使用环境影响器械的操作，而这种影响未被用户认识或理解；
特定的使用环境在使用器械时损害了用户的身体、感知或认知能力；
器械的使用方式是制造商本可以预见但未予考虑的；或
器械的使用方式是已预见但不适当的（例如，不适当的用户习惯），并且本可以应用风险消除或降低措施但未予应用。

4.2 风险管理 HFE/UE考量和方法应纳入器械设计、开发和风险管理过程中。成功执行HFE/UE分析的三个基本步骤如下：

识别预期的与使用相关的危险（源）和最初未预料到的与使用相关的危险（源）（通过初步分析和评价得出，见第6节），并确定危险的使用情况是如何发生的；
制定并应用风险控制措施，以消除或减少可能对患者或用户造成伤害的与使用相关的危险（源）（见第7节）；以及
通过进行人因工程确认测试，证明最终的器械用户界面设计是否支持安全有效的使用（见第8节）。

图3描述了解决与使用相关的危险（源）的风险管理过程；应应用HFE/UE方法以使该过程有效运作。

图3：在风险管理中解决与使用相关的危险（源）。

器械用户、使用环境和用户界面图4展示了用户与器械之间的交互模型、各自执行的过程以及它们之间的用户界面。当用户与器械交互时，他们感知器械提供的信息，然后解释和处理这些信息并做出决策。用户与器械交互以改变其操作的某些方面（例如，修改设置、更换组件或停止器械）。器械接收用户输入，做出响应，并向用户提供反馈。然后，用户可能会考虑该反馈并启动额外的交互循环。

图4：操作环境中的器械用户界面（改编自Redmill和Rajan，1997年）。

在进行HFE/UE分析之前，您应审查并记录以下各项的基本特征： · 器械用户；例如：

器械的预期用户（例如，医生、护士、专业护理人员、患者、家庭成员、安装人员、维护人员、再处理人员、处置人员）；
可能影响器械安全有效使用的用户特征（例如，功能能力（身体、感官和认知）、经验和知识水平以及行为）；以及
用户预期具备和/或接受的培训水平。
器械使用环境；例如：
医院、手术室、家庭、急救使用、公共使用等；或
特殊环境（例如，紧急运输、大规模伤亡事件、无菌隔离、医院重症监护室）。
器械用户界面；例如：
组件和附件
控制器
视觉显示器
视觉、听觉和触觉反馈
报警和警报
操作逻辑和顺序
标签/标签标识
培训

这些考量因素在以下各节中有更详细的讨论。在医疗器械开发过程中，应考虑到预期用户、使用环境和器械用户界面的特征。

5.1 器械用户医疗器械的预期用户应能够使用该器械，而不会犯下可能危及医疗护理或患者/用户安全的使用错误。根据特定器械及其应用，器械用户可能仅限于专业护理人员，如医生、护士、执业护士、物理和职业治疗师、社会工作者以及家庭护理助手。其他用户群体可能包括医学技术人员、放射技术人员或实验室专业人员。器械用户群体还可能包括安装和设置器械的专业人员，以及清洁、维护、维修或再处理器械的专业人员。某些器械的用户可能反而是非专业人员，包括在自己身上操作器械以进行自我护理的患者，以及作为非专业护理人员为在家中接受护理的人员提供服务的家人或朋友，包括在儿童身上使用器械或监督儿童使用器械的父母。

用户操作医疗器械的能力取决于其个人特征，包括： · 体型、力量和耐力， · 身体的灵巧性、柔韧性和协调性，

感觉能力（即视觉、听觉、触觉敏感度）， · 认知能力，包括记忆力，
使用该器械的医疗状况，
合并症（即多种病况或疾病），
读写能力和语言技能，
总体健康状况，
精神和情绪状态，
与相关医疗状况相关的教育水平和健康素养， · 对同类器械的一般知识，
对特定器械的知识和经验，
学习和适应新器械的能力，以及
学习使用新器械的意愿和动机。

您应评估并了解可能影响其与器械交互的所有预期用户群体的特征，并为HFE/UE评估和设计的目的对其进行描述。在医疗器械开发过程中应考虑这些特征，以便器械能够更好地适应用户之间的差异和局限性。

5.2 器械使用环境

医疗器械的使用环境可能包括各种可能决定最佳用户界面设计的条件。医疗器械可能用于临床环境或非临床环境、社区环境或移动的车辆中。环境使用条件的示例包括以下内容：

照明水平可能过低或过高，导致难以看清器械显示屏或控件。
噪音水平可能很高，导致难以听到器械操作反馈或听觉警报和报警，或者难以区分不同的报警。
房间内可能包含同一器械、组件或附件的多个型号，导致难以识别和选择正确的型号。
房间内可能堆满器械或杂物，或者因其他人员和活动而显得拥挤，导致人们难以在空间内活动，并产生可能使器械用户感到困惑或不知所措的干扰。
器械可能在移动的车辆中使用，使器械和用户受到颠簸和振动，这可能导致用户难以阅读显示屏或执行精细的运动动作。

您应评估并了解所有预期使用环境的相关特征，并为HFE/UE评估和设计的目的对其进行描述。在医疗器械开发过程中应考虑这些特征，以便器械能够更好地适应可能影响其使用安全性和有效性的使用条件。

5.3 器械用户界面

器械用户界面涵盖用户与器械之间的所有交互点，含用户与之交互的器械的所有元素。器械用户界面可能在用户设置器械（例如，开箱、设置、校准）、使用器械或对器械进行维护（例如，清洁、更换电池、修理部件）时使用。它包括：

器械的尺寸和形状（尤其是手持式和可穿戴式器械需要关注的问题），
向用户提供信息的元素，如指示灯、显示屏、听觉和视觉报警，
器械软件系统的图形用户界面，
整体用户-系统交互的逻辑，包括如何、何时以及以何种形式向用户提供信息（即反馈），
操作者连接、定位、配置或操纵的组件，
用户用来控制器械操作的硬件组件，如开关、按钮和旋钮，
应用于或连接到患者的组件或附件，以及
包装和标签/标签标识，包括操作说明、培训材料和其他材料。

在器械设计过程中，为减少或消除与使用相关的危险而采用的最有效策略涉及对器械用户界面的修改。在可能的情况下，用户界面的“外观和感觉”在使用上应具有逻辑性且直观。精心设计的用户界面将促进正确的用户操作，并将防止或阻碍可能导致伤害的操作（使用错误）。通过修改器械设计来解决与使用相关的危险，通常比修改标签/标签标识或培训更有效。此外，标签/标签标识在需要时可能无法获取，而培训依赖于记忆，这可能不够准确或完整。

用户界面设计的一个重要方面是，信息显示和控制操作的逻辑在使用的任何阶段与用户的期望、能力和可能的行为保持一致的程度。用户会期望器械和器械组件的操作方式与他们使用类似器械或用户界面元素的经验保持一致。例如，基于以往的经验，用户可能期望通过向特定方向转动控制旋钮来增加或减少液体或气体物质的流速。

当这种期望被违背时，发生使用错误的可能性就会增加，例如，当电子驱动的控制刻度盘被设计为与以前的机械刻度盘旋转方向相反时。

越来越多的新医疗器械的用户界面是由软件驱动的。在这些情况下，用户界面可能包括键盘、鼠标、手写笔、触摸屏等控件；未来的器械可能通过其他方式进行控制，如手势、视线或语音。用户界面的其他特征包括数据的组织方式以及向用户呈现的方式。

显示的信息通常具有某种形式的层级结构和导航逻辑。

初步分析与评估

在设计过程的早期进行初步分析与评估，以识别用户任务、用户界面组件和使用问题。这些分析有助于将HFE/UE过程集中在正在开发的用户界面设计上，从而可以针对安全有效的使用对其进行优化。这些分析最重要的结果之一是对用户任务进行全面的识别和分类，从而形成关键任务列表（第6.1节）。

人因工程和可用性工程提供了多种方法来研究器械与其用户之间的交互。在开发全新或修改后的器械时，您对所采取方法的选择取决于与特定器械开发工作相关的许多因素，例如计划开发器械的新颖程度，以及您对该器械类型和器械用户的初始了解程度。

下文讨论了常用的HFE/UE分析和评估方法。它们可用于识别已知存在于器械的早期版本或器械类型中的问题（第6.2节）。分析方法（第6.3节）和经验方法（第6.4节）对于识别与使用相关的危险和危险情况可能很有用。这些技术将分别进行讨论；然而，它们是相互依存的，应以互补的方式使用。这些分析和评估的结果应用于指导您的风险管理工作（第7节）以及人因工程确认测试方案的开发（第8节）。

6.1 关键任务的识别与分类

初步分析与评估过程的一个基本目标是识别关键任务，用户必须正确执行这些任务才能确保医疗器械的使用安全有效。

您应根据风险分析中识别出的使用错误可能导致的潜在伤害的严重程度，对用户任务进行分类。其目的是识别那些如果执行不正确或根本未执行，将会或可能会造成严重伤害的任务。这些就是关键任务。风险分析方法，如故障模式与影响分析（FMEA）和故障树分析（FTA），可以是实现此目的的有用工具。

与标签/标签标识中的警告、注意事项和禁忌症相关的所有风险都应包含在风险评估中。应尽可能评估合理可预见的误用（包括非预期但可预见的用户对器械的使用），并且标签/标签标识中应包含描述该使用及其潜在后果的具体警告。异常使用通常无法通过应用HFE/UE过程来控制。

关键任务列表是动态的，将随着器械设计的演进以及初步分析与评估过程的继续而发生变化。随着对用户与用户界面交互的了解更加深入，可能会识别出更多的关键任务并将其添加到列表中。最终的关键任务列表用于构建人因工程确认测试，以确保其侧重于与器械使用安全性和有效性相关的任务。请注意，某些潜在的使用错误可能直到进行人因工程确认测试时才会被发现，这就是为什么测试方案应包含检测以前未预料到的使用错误的机制。

6.1.1 故障模式与影响分析

当由相关专业领域人员组成的团队执行时，将故障模式与影响分析方法应用于使用安全性分析最为成功。分析团队可能包括具有该器械使用经验的个人（如使用该器械的患者或临床专家），以及设计工程师和人因工程专家。团队方法可确保分析包含关于潜在使用错误及其可能导致的伤害的多种观点。FMEA团队通过“头脑风暴”找出可能导致“故障模式”的可能使用场景，并考虑每种可能的使用错误所涉及的任务和潜在伤害。

任务分析可以通过描述用户-器械交互在此过程中提供帮助。在FMEA过程中也应对任务分析进行完善。

6.1.2 故障树分析

故障树分析与FMEA的不同之处在于，它从推导和考虑与器械使用相关的“故障”（与使用相关的危险）开始（一种“自上而下”的方法），而FMEA则从用户交互开始（一种“自下而上”的方法），并探讨它们可能如何导致故障模式。与FMEA一样，FTA最好由多学科团队使用头脑风暴法来完成。甚至比FMEA更重要的是，任务分析对于构建包含用户-器械交互所有方面的FTA故障树至关重要。尽管FMEA和FTA常用于识别和分类与使用相关的危险，但其有效性取决于团队成员能够通过分析推导出在器械使用过程中可能造成伤害的所有危险和使用错误的程度。

可以采用FTA、FMEA及相关方法来识别和分类与使用相关的危险，但随后应将结果用于指导模拟使用测试的计划，该测试可以确认并补充分析性风险分析过程的发现。分析过程不包括实际用户，也不代表实际使用情况，而且由于使用错误往往令分析人员感到“意外”，因此模拟使用测试是必要的，并且其设计应旨在识别以前未认识到或未识别出的使用错误。

6.2 已知使用相关问题的识别

在开发新器械时，识别在使用、用户界面或用户交互方面与正在开发的器械相似的器械所发生的与使用相关的问题（如果有的话）是很有用的。当发现这些类型的问题时，在设计新器械的用户界面时应予以考虑。这些器械可能是由同一制造商或其他制造商生产的。有关使用相关问题的信息来源包括客户投诉档案，以及熟悉使用相关问题的培训和销售人员的知识。信息也可以从以前进行的HFE/UE研究中获得，例如，针对正在开发的器械的早期版本或现有的类似器械进行的研究。

有关已知使用相关危险的其他信息来源包括当前的器械用户、期刊文章、专业会议记录、时事通讯以及相关的互联网网站，例如： · FDA的制造商和用户设施器械体验（MAUDE）数据库； · FDA的MedSun：医疗产品安全网络； · CDRH医疗器械召回和早期警报； · FDA安全通讯； · ECRI的FDA器械报告；

安全用药实践研究所（ISMP）的用药安全警报通讯；以及
联合委员会的哨点事件。

所有已知的使用错误和与使用相关的问题都应在新器械的风险分析中予以考虑，如果它们适用于新器械，则应将其包含在内。

6.3 识别关键任务的分析方法

分析方法涉及对用户与器械交互的审查和评估。当在过程的早期应用时，这些方法对设计开发最有帮助。其结果包括识别危险情况，即包含可能造成伤害的使用错误的用户-器械交互的特定任务或使用场景。分析方法也可用于研究那些在模拟使用测试中研究过于危险的与使用相关的危险情况。其结果用于指导随后的形成性评估（见第6.4.3节）和人因工程确认测试（见第8节）。

用于识别与使用相关的危险和危险情况的分析方法包括：分析新器械用户的预期需求，分析有关类似器械使用的可用信息，以及采用一种或多种分析方法，如任务分析、启发式分析和专家分析。（用于识别与使用相关的危险和危险情况的经验方法包括情境调查和访谈技术等方法，并在第6.4节中进行了讨论。）

6.3.1 任务分析

任务分析技术系统地将器械使用过程分解为离散的任务序列。然后对这些任务进行分析，以识别所涉及的用户界面组件、用户可能犯的使用错误以及所有使用错误的潜在结果。手持式血糖仪任务分析组件的一个简单示例包括表1中列出的任务。

Table 1. 手持式血糖仪的简单任务分析。

任务用户将试纸插入血糖仪的试纸插口用户使用采血笔刺破手指用户将血液样本滴在试纸尖端用户等待血糖仪显示结果用户读取显示的值用户解释显示的值用户决定下一步采取什么行动

任务分析可用于帮助回答以下问题：· 用户在每项任务中可能犯哪些使用错误？

哪些情况可能导致用户在每项任务中犯使用错误？
每次使用错误可能导致什么伤害？
如何防止每次使用错误的发生或降低其发生频率？
如何降低与每次使用错误相关的潜在伤害的严重程度？

任务分析技术可用于研究用户可能如何执行每项任务，并可为每项任务识别潜在的使用错误模式。对于每次用户交互，可以使用图4所示的模型来识别用户操作，即执行该步骤所涉及的感知输入、认知处理和物理操作。例如，感知信息可能难以或无法被注意到或检测到，随后作为认知部分，它们可能难以解释或被误解；额外的认知任务可能令人困惑、复杂或与用户过去的经验不一致；物理操作可能不正确、时机不当或无法完成。应对每种使用错误模式进行分析，以识别错误的潜在后果及可能导致的伤害。

为了开始解决上述问题，分析人员需要了解更具体的细节，例如：

用户正确执行每项任务（例如，将血液样本滴在试纸上）所需的精力。
用户执行每项任务的频率。
可能导致部分用户在执行每项任务时遇到困难的用户群体特征。
可能影响测试结果或用户执行每项任务能力的使用环境特征。
使用错误对该医疗器械后续操作的准确性、安全性或有效性的影响。

6.3.2 启发式评估启发式评估是分析人员（通常是人因工程专家）对照用户界面设计原则、规则或“启发式”指南来评估医疗器械用户界面的过程。其目的是对用户界面进行整体评估，并识别设计中可能的弱点，特别是当使用错误可能导致伤害时。启发式评估包括仔细考虑公认的用户界面设计概念。目前有多种启发式方法可供选择，您应注意选择最适合您具体应用的一种或多种方法。

6.3.3 专家审查专家审查依赖于临床专家或人因工程专家来分析医疗器械的使用情况、识别问题并提出解决建议。专家审查与启发式评估的区别在于，专家审查更依赖于在特定领域具有专业知识的个人基于其个人经验和意见所做的评估。专家审查的成功取决于专家对医疗器械技术、其使用、临床应用和目标用户特征的知识与理解，以及专家预测医疗器械实际使用情况的能力。由多名专家（无论是独立进行还是作为小组进行）开展的审查，可能会识别出更多潜在的使用问题。

6.4 识别关键任务的经验性方法识别潜在使用相关危险和危险情况的经验性方法，其数据来源于用户与医疗器械、医疗器械原型或模型交互的经验。它们为产品开发过程提供了分析方法所无法提供的额外信息。经验性方法包括情境调查、访谈技术和模拟使用测试等方法。为了获得有效数据，在此类研究中，测试必须包括具有目标用户代表性的参与者。引导者保持公正并努力不影响参与者的行为或反应同样重要。

6.4.1 情境调查情境调查包括在实际使用环境中，观察目标用户的代表按照其通常方式与当前已上市的医疗器械（类似于正在开发的医疗器械）进行交互。其目的是了解用户界面的设计如何影响其使用的安全性和有效性，设计的哪些方面是可接受的，以及哪些方面应该采用不同的设计。除了观察之外，该过程还可以包括在用户使用医疗器械时向他们提问，或在事后对他们进行访谈。可以询问用户他们在做什么，以及为什么他们以这种方式使用该医疗器械。该过程有助于了解用户对困难或潜在不安全交互的看法、实际使用环境的影响，以及与工作负荷和典型工作流程相关的各种问题。

6.4.2 访谈个人和小组访谈（后者有时被称为“焦点小组”）可产生关于个人或群体医疗器械用户及患者的认知、意见、信念和态度的定性信息。在访谈中，可以要求用户描述他们使用现有医疗器械的经验、使用过程中遇到的具体问题，并提供他们对新医疗器械设计方式的看法。访谈可以集中于特别感兴趣的主题，并深入探讨具体问题。访谈应具有一定的结构以涵盖所有相关主题，但当受访者的回答需要澄清或引发新问题时，也应允许进行无脚本的讨论。个人访谈使访谈者能够了解个人的观点，例如，这些个人可能代表特定类别的用户，或者了解医疗器械使用或应用的特定方面。个人访谈还可以使人们更容易讨论那些在小组中可能不便讨论的问题。小组访谈的优势在于，它为个人提供了在讨论主题时与他人互动的机会。

6.4.3 形成性评估形成性评估用于在医疗器械用户界面开发过程中为其设计提供信息。它应侧重于初步分析表明最可能涉及使用安全的问题（例如，用户与医疗器械交互中复杂且需要探索的方面）。它还应侧重于用户界面设计方案尚未最终确定的领域。形成性评估补充并完善了第6.3节中描述的分析方法，揭示了只有通过观察用户与医疗器械交互才能识别的使用问题。例如，形成性评估可以揭示以前未认识到的使用相关危险和使用错误，并帮助识别新的关键任务。它还可用于：

为医疗器械用户界面的设计（包括可能的设计权衡）提供信息，
评估为减少或消除使用相关危险或潜在使用错误而实施的风险控制措施的有效性，
确定培训要求，并为标签/标签标识和培训材料的设计提供信息（这些材料应在人因工程验证测试之前最终确定），以及
为人因工程验证测试的内容和结构提供信息。

用于形成性评估的方法应基于对用户与医疗器械用户界面交互的进一步理解和澄清的需求来选择。形成性评估可以采用不同程度的正式性和样本量进行，这取决于为医疗器械设计提供信息所需的信息量、医疗器械及其使用的复杂性、用户群体的变异性或特定使用条件（例如，最坏情况条件）。随着设计的演进，形成性评估可以涉及简单的医疗器械模型、初步原型或更高级的原型。它们也可以量身定制，以侧重于特定的附件或用户界面元素，或使用环境的某些方面，或特定的用户子群。

在医疗器械开发的这一阶段，应以迭代的方式实施设计修改并评估其充分性，直到医疗器械准备好进行人因工程验证测试。在形成性评估期间识别出的用户界面设计缺陷，比在设计过程后期（特别是在人因工程验证测试期间发现设计缺陷之后）更容易解决，且成本更低。如果未进行形成性评估，而在人因工程验证测试中发现了设计缺陷，那么该测试本质上就变成了形成性评估。

形成性评估在提供对使用问题的更好理解（以及防止人因工程验证测试变成形成性评估）方面的有效性，将取决于形成性评估的质量。根据您所进行测试的严谨程度，您可能会低估所发现问题的存在或重要性。例如，因为测试参与者在测试期间接受了不切实际的良好培训、能力过强或过于谨慎。与人因工程验证测试不同，公司员工可以作为形成性评估的参与者；然而，如果他们不能代表目标用户、熟悉该医疗器械或犹豫表达其真实意见，他们的表现和意见可能会产生误导或不完整。

形成性评估的方案通常规定以下内容： · 评估目的、目标和优先级； · 要评估的用户界面部分； · 涉及的使用场景和任务； · 评估参与者；

数据收集方法（例如，认知走查、观察、讨论、访谈）； · 数据分析方法；以及 · 将如何使用评估结果。

形成性评估的结果应用于确定是否需要进行设计修改以及应采取何种形式。由于此测试是在进行中的设计上进行的，通常不太正式且经常使用不同的方法，因此结果不会直接应用于最终的用户界面设计。

形成性评估可以是识别和理解用户界面影响用户交互方式的有效工具。测试结果的质量以及从中获得的信息将取决于形成性评估的质量。您应注意不要根据形成性评估结果低估或高估问题的发生频率。参与者在测试期间可能接受了不切实际的良好培训、能力过强或过于谨慎，或者医疗器械原型可能在影响用户交互的方面与最终设计存在差异。

6.4.3.1 认知走查涉及用户和/或人因工程专家的一种简单的形成性评估是认知走查。在认知走查中，测试参与者被引导完成使用医疗器械的过程。在走查过程中，参与者会被提问并被鼓励讨论他们的思考过程（有时称为“放声思考”），并解释他们遇到的任何困难或担忧。

6.4.3.2 模拟使用测试模拟使用测试提供了一种强大的方法，用于研究用户与医疗器械用户界面交互并执行实际任务。这种测试涉及在现实的使用场景中，但在模拟的使用条件下（例如，医疗器械未通电，或在人体模型而不是实际患者身上使用），系统地收集测试参与者使用医疗器械、医疗器械组件或系统的数据。与认知走查相比，模拟使用测试允许参与者更独立、更自然地使用医疗器械。模拟使用测试可以探索用户与医疗器械的整体交互，或者可以调查在初步分析中识别出的特定人因工程考虑因素，例如不频繁或特别困难的任务或使用场景、具有挑战性的使用条件、特定用户群体的使用，或拟议培训的充分性。

在形成性评估期间，可以量身定制模拟使用测试方法，以满足您收集初步数据的需求。可以通过观察参与者与医疗器械的交互并对他们进行访谈来获取数据。如果感兴趣的交互是微妙的、复杂的或发生得很快，使其难以观察，也可以使用自动数据捕获。在参与者使用医疗器械时，可以向他们提问或鼓励他们“放声思考”。在使用医疗器械后，应对他们进行访谈，以获取他们对医疗器械使用的看法，特别是与发生的任何使用问题（如明显的使用错误）相关的看法。观察数据收集还可以包括观察到的任何犹豫或明显困惑的实例，可以在问题出现时暂停以进行讨论，或者包括可能有助于为特定医疗器械用户界面设计提供信息的其他数据收集方法。

消除或减少使用相关危险应通过初步分析和评估（第6节）识别与使用相关的医疗器械危险。一旦识别出这些危险，在启动人因工程验证测试之前，应尽可能通过消除危险（通过设计排除）、降低可能性或降低所致伤害的严重程度来控制这些危险。

通过应用风险控制措施来解决使用相关危险。通常会应用多种风险控制措施（例如来自以下一个或多个选项）来全面解决每种使用相关危险。ANSI/AAMI/ISO 14971按偏好和有效性顺序列出了以下风险控制选项：

通过设计实现固有安全 – 例如：

使用无法连接到错误组件的特定连接器。
移除可能被错误选择的功能，或消除可能导致使用错误的交互。
提高控件、标签和显示器的可检测性或可读性。
将用户手动执行任务时容易出现使用错误的医疗器械功能自动化。

医疗器械本身或制造过程中的防护措施 – 例如： · 纳入安全机制，如物理安全防护器械、屏蔽元件或软件/硬件联锁器械。

包含警告屏幕，以建议用户在继续使用医疗器械之前应具备的基本条件，例如特定的数据输入。
对危险情况使用警报，例如当医疗器械意外停止运行可能导致伤害或死亡时的“电池电量低”警报。
使用需要较少维护或“免维护”的医疗器械技术。

安全信息 – 例如：

提供书面信息，例如用户手册中的警告或注意事项声明，以突出并清晰地讨论使用相关危险。
培训用户以避免使用错误。

对医疗器械及其用户界面进行设计修改通常是消除或减少使用相关危险的最有效手段。如果设计修改不可能或不切实际，则可能需要实施防护措施，例如通过在医疗器械上添加“电池电量低”警报或使用充电寿命更长的电池，来降低电池电量耗尽的风险。医疗器械的标签/标签标识（包括使用说明）和培训如果设计得当，可以支持用户更安全、更有效地使用医疗器械，并且是解决医疗器械使用危险的重要HFE/UE策略。然而，这些策略并不是最首选的，因为它们依赖于用户记住或回顾信息，标签/标签标识在使用过程中可能无法获取，且通过培训获得的知识可能会随着时间的推移而衰退。

尽管如此，除非医疗器械设计修改能够完全消除使用错误的可能性，否则也应修改标签/标签标识和培训（如适用）以应对该危险：如果没有其他选项可用，至少应向用户提供足够的信息，以理解并避免使用相关危险。

无论使用何种风险管理策略，都应对其进行测试，以确保成功解决了使用相关危险，且未引入新的危险。

人因工程验证测试进行人因工程验证测试21是为了证明目标用户可以在预期用途和预期使用条件下使用该医疗器械，而不会出现严重的使用错误或问题。测试的范围应全面，具有足够的敏感性以捕获由用户界面设计引起的使用错误，并且其执行方式应使结果能够推广到实际使用中。

人因工程验证测试应按如下方式设计：

测试参与者代表医疗器械的目标（实际）用户。
在测试期间执行所有关键任务。
医疗器械用户界面代表最终设计。
测试条件足够真实，能够代表实际使用条件。

为了使医疗器械在使用安全性和有效性方面被认为是优化的，人因工程验证测试应具有足够的敏感性，以捕获由用户界面设计不足引起的使用相关问题，无论用户是否意识到自己犯了使用错误。此外，人因工程验证测试结果应显示，不存在可能导致严重伤害且可以通过使用第7节中列出的一种或多种风险控制措施修改用户界面设计来消除或减少的使用错误或问题。

人因工程验证测试的真实性和完整性应支持结果的推广，以证明医疗器械在实际使用中的使用安全性和有效性。测试方案应包括对关键任务（基于使用错误造成严重伤害的潜力而识别；见第6节）的讨论，以及用于收集测试参与者在所有关键任务中的表现和主观评估数据的方法。 21 人因工程验证测试有时被称为“总结性测试”。然而，总结性测试可以有不同的定义，并且某些定义省略了本指南文件中描述的人因工程验证测试的基本组成部分。测试结果应有助于分析在测试期间发现的使用错误或问题的根本原因。

人因工程验证测试通常在模拟使用条件下进行，但在必要时，也可以在实际使用条件下或作为临床研究的一部分收集人因工程数据（见第8.3节）。当模拟使用测试方法不足以评估用户与医疗器械的交互时，您应在实际使用条件下执行人因工程验证测试。该决定应基于您的初步分析结果（见第6节）。

FDA鼓励制造商在进行测试之前提交人因工程测试方案的草案，以便我们能够确保您计划使用的方法是可接受的。为此的上市前机制是预提交（Pre-Submission）（参见《医疗器械提交的反馈和会议请求：Q-Submission计划》）。

8.1 模拟使用人因工程验证测试进行模拟使用测试的条件应足够真实，以便测试结果能够推广到实际使用中。因此，对真实性的需求是由对与医疗器械特定预期用途、用户、使用环境和医疗器械用户界面相关的风险分析所驱动的。如果环境因素可能影响用户与医疗器械用户界面元素的交互，则应将这些因素纳入模拟使用环境中（例如，昏暗的照明、多重警报条件、干扰和多任务处理）。

在模拟使用的人因工程确认测试期间，应给予测试参与者尽可能独立、自然地使用医疗器械的机会，而不受测试引导员或主持人的干扰或影响。使用“大声思考”技术（即要求测试参与者在使用医疗器械时说出他们的想法），虽然在形成性评价中可能有用，但在人因工程确认测试中是不可接受的，因为它不能反映实际使用行为。如果用户在实际使用中可以获取标签/标签标识，那么在测试中也应提供；然而，应允许参与者自行决定是否使用，而不应指示他们去使用。可以要求参与者评估标签/标签标识作为测试的一部分，但这种评估应在模拟使用测试完成后单独进行。如果用户可以访问电话帮助热线，测试中也可以提供，但应尽可能逼真；例如，电话助手不应在房间内，也不应引导用户完成特定的测试任务。

8.1.1 测试参与者（受试者）人因工程确认测试中对测试参与者最重要的考量是，他们应代表预期用户的群体。参与人因工程确认的测试参与者数量取决于测试的目的。对于人因工程确认，样本量最好根据初步分析和评价的结果来确定。制造商应自行决定所需的测试参与者数量，但通常情况下，参与者的最低数量应为15人。请注意，对于特定的医疗器械类型，推荐的最低参与者数量可能会更高。（有关样本量考量的讨论，请参见附录A。）如果医疗器械有多个不同的用户群体，则确认测试应包括来自每个用户群体的至少15名参与者。当用户群体的特征可能影响其与医疗器械的交互，或者他们在医疗器械上执行的任务不同时，FDA认为这些用户群体是不同的。例如，某些医疗器械的用户可能处于不同的年龄段（儿童、青少年、成人或老年人），或处于不同的专业类别（例如，医疗保健提供者、非专业用户）；其他医疗器械的用户可能具有不同的角色（例如，安装人员、具有独特专长的医疗保健提供者或维护人员）。人因工程确认测试参与者应能代表其用户群体内的特征范围。用户群体的同质性或异质性可能难以精确确定，但您应尽可能纳入能反映实际用户群体的测试参与者。如果预期用户包括儿童群体，测试应包括一组具有代表性的儿童用户；当医疗器械预期由儿童和成人用户共同使用时，FDA将他们视为不同的群体。同样，如果医疗器械预期由专业医疗保健提供者和非专业用户共同使用，FDA将他们视为不同的用户群体。在许多情况下，不同用户群体的识别应通过初步分析和评价（第6节）来确定。例如，如果不同的用户群体将执行不同的任务，或者具有可能影响其与用户界面元素交互的不同知识、经验或专业技能，从而具有不同的使用错误可能性，那么为了确认测试的目的，应将这些用户划分为不同的用户群体（每个群体至少由15名测试参与者代表）。用户之间的差异是无限的，因此您应重点关注可能对其与医疗器械用户界面元素的交互产生特定影响的用户特征，例如年龄、教育或读写水平、感官或身体障碍或职业专长。如果医疗器械预期用于治疗患有可导致功能受限的疾病的患者，则在初步评价期间应考虑具有代表性受限范围的人群，并将其作为代表性用户纳入人因工程确认测试中。例如，使用糖尿病管理医疗器械的人可能患有由糖尿病引起的视网膜病变或神经病变。如果您选择不将医疗器械设计为适应那些可能使用您医疗器械的功能受限人群的需求，您的标签/标签标识应清楚地说明用户安全有效使用该医疗器械所需具备的能力。请注意，为了尽量减少引入确认测试的潜在偏倚，您的员工不应担任人因工程确认测试的参与者，除非在极少数情况下，所有用户必然是制造商的员工（例如，专业服务人员）。为了使人因工程确认测试的结果能够证明美国（US）用户的安全有效使用，测试参与者应居住在美国。在其他国家进行或由非美国居民参与的研究可能会受到（正面或负面）影响，原因包括其他国家存在的不同临床实践、使用的不同测量单位、改变对标签/标签标识和培训理解方式的语言差异等。对此政策的例外情况将逐案考虑，并将基于考虑了与美国条件相关差异的合理依据。除了医疗器械的用户界面外，标签/标签标识和培训应与该医疗器械在美国上市时将使用的内容相一致。

8.1.2 任务与使用场景人因工程确认测试应包括在初步分析和评价中识别出的所有关键任务。在使用医疗器械时按逻辑顺序发生的任务（例如，在执行医疗器械设置、数据输入或校准时）可以组合成使用场景，这些场景应在测试方案中进行描述。测试中的使用场景应包括所有必要的任务，并应按逻辑顺序组织以代表自然的工作流程。与大量关键任务相关的医疗器械可能需要在多个人因工程确认测试环节中进行评估（例如，由相同的参与者或代表同一用户群体的不同参与者进行）。在测试之前，您应定义代表每项任务成功的用户表现。测试方案还应为医疗器械的使用程度和参与者使用医疗器械的次数提供依据。例如，对于非处方自动体外除颤器（AED）等医疗器械，只应进行一次使用环节，因为在实际使用环境中额外的尝试是不相关的。对于频繁使用且具有学习曲线的医疗器械，重复使用与建立合理的熟练程度相关，允许参与者在测试环节中多次使用医疗器械可能是合适的（但应收集每次使用的表现和访谈数据）。对于其他医疗器械，典型使用可能涉及重复执行关键任务，因此测试方案中应包括这些任务的多次执行。发生频率较低的关键任务或涉及关键任务的使用场景需要仔细考量，并且应根据风险严重程度将这些任务适当地纳入测试中。使用错误可能导致严重伤害的罕见或异常使用场景，是测试医疗器械安全有效使用的重要考量因素。不频繁但危险的使用场景可能难以识别，这突显了仔细应用初步分析和评价的必要性。

8.1.3 使用说明医疗器械标签/标签标识的设计可以在形成性评价中进行研究，但人因工程确认测试中使用的标签/标签标识应代表最终设计。这适用于医疗器械及任何医疗器械附件上的标签、医疗器械显示屏上呈现的信息、医疗器械包装和包装标签、使用说明、用户手册、包装内页和快速入门指南。人因工程确认测试可以间接用于评估医疗器械使用说明的充分性，但仅限于医疗器械使用的背景下，包括参与者对关键使用问题的理解或“知识”。目标是确定使用说明在多大程度上支持用户安全有效地使用医疗器械。如果医疗器械标签/标签标识不充分，参与者的表现或主观反馈将证明这一点。如果人因工程确认测试的结果包括关键任务上的使用错误，或表明在关键任务上存在困难的参与者反馈，在上市前提交文件中声明您通过修改使用说明或标签/标签标识的其他元素来降低了风险是不可接受的，除非您提供额外的测试数据，证明修改后的元素在将风险降低到可接受水平方面是有效的。

8.1.4 参与者培训需要向用户提供的培训的设计和程度也可以在形成性评价中进行研究，但提供给人因工程确认测试参与者的培训应近似于实际用户将接受的培训。如果您预计大多数或所有用户将接受极少或不接受培训，那么人因工程确认测试中的测试参与者不应接受培训。如果人因工程确认测试的结果包括关键任务上的使用错误，或表明在关键任务上存在困难的主观反馈，在上市前提交文件中声明您打算通过提供“额外培训”来降低风险是不可接受的，除非您提供额外的数据，证明这在将风险降低到可接受水平方面是有效的。

在切实可行的范围内，提供给测试参与者的培训内容、格式和传授方式应与实际用户将接受的培训具有可比性。如果测试参与者接受的培训与实际使用中的培训不同，随后进行的人因工程确认测试是无效的。由于培训记忆会随时间衰退，测试不应在培训后立即进行；应间隔一段时间。在某些情况下，让参与者休息一小时（例如“午休”）是可以接受的；在其他情况下，间隔一天或多天可能更为合适，特别是当需要评估培训衰退作为与使用相关的风险来源时。对于在非临床环境（例如家庭）中使用的某些类型的医疗器械，允许参与者在培训结束后将使用说明带回家，以便在测试前自行复习，这可能是合理的。测试方案应描述为测试提供的培训，包括内容、传授方式以及测试前经过的时间长度。

8.1.5 数据收集人因工程确认测试方案应明确在测试中将收集的数据类型。某些数据最好通过观察来收集；例如，关键任务的成功完成或结果应通过观察来衡量，而不是仅依赖于参与者的意见。尽管测量参与者执行特定任务所需的时间可能有助于比较不同医疗器械型号的易用性等目的，但只有当医疗器械的使用速度具有临床相关性（例如，使用自动体外除颤器）时，执行时间才被认为是成功执行关键任务的有意义的衡量标准。未提前定义为时间关键型任务的计时不应包含在人因工程确认测试中。使用的某些重要方面无法通过任务执行情况来评估，而是需要直接向参与者提问，以确定他们对基本信息的理解。观察和知识任务数据应辅以在使用场景完成后通过对参与者进行访谈收集的主观数据。

8.1.5.1 观察数据人因工程确认测试应包括对参与者在所有关键使用场景（包括所有关键任务）中执行情况的观察。测试方案应提前描述如何定义、识别、记录和报告测试参与者的使用错误和其他有意义的使用问题。该方案的设计还应确保能够观察并记录以前未预料到的使用错误，并将其包含在对参与者的后续访谈中。

测试期间记录的观察数据应包括使用问题，最重要的是使用错误，例如测试参与者在未将管路与模拟“患者”断开的情况下未能完成静脉管路预冲任务，或者在成功执行任务需要时未能在用户界面上找到关键控件。

“险兆事件”（Close calls）是指用户遇到困难或犯下可能导致伤害的使用错误，但用户采取了“纠正”措施并防止了伤害发生的情况。观察到险兆事件时应予以记录，并在测试参与者完成所有使用场景后与他们进行讨论。此外，反复尝试完成任务和明显的困惑可能表明存在潜在的使用错误，因此也应作为观察数据进行收集，并在与测试参与者的访谈中进行讨论。

8.1.5.2 知识任务数据许多关键任务很容易通过模拟使用技术进行评估，并且使用错误是可直接观察的，从而能够在模拟使用测试期间通过观察来评估用户表现。然而，其他关键任务无法通过这种方式进行评估，因为它们涉及用户对信息的理解，这很难通过观察用户行为来确定。例如，用户可能需要理解关键的禁忌症和警告信息。非专业用户可能需要了解医疗器械对特定环境危害的脆弱性、采取捷径或重复使用一次性组件可能导致的潜在伤害，或者定期对医疗器械或其附件进行维护的必要性。对于医疗保健提供者来说，了解医疗器械绝不能在富氧环境中使用可能是至关重要的，但在模拟使用条件下进行测试将很困难，因为在测试期间建立富氧的测试环境，然后要求用户使用医疗器械并观察他们的行为，可能不会产生有意义的结果。

知识任务涉及的用户界面组件通常是用户手册、快速入门指南、医疗器械本身的标签/标签标识以及培训。用户感知并处理所提供的信息，如果这些组件设计良好，这些信息就会成为用户“知识”的一部分。可以通过向测试参与者提问来测试这种知识。

问题应是开放式的，且措辞中立。

8.1.5.3 访谈数据在观察参与者执行测试任务并评估他们对基本信息的理解（如适用）之后，应进行总结访谈。访谈使测试主持人能够收集用户的观点，这可以补充任务执行观察结果，但不能代替它们。这两种数据收集方法会产生不同类型的信息，它们可能会相互印证，例如当访谈数据证实了测试主持人的观察结果时。在其他时候，这两种信息来源可能会发生冲突，例如当参与者报告的观察行为的原因与观察者推测的原因不同时。例如，用户可能犯了几个使用错误，但在接受访谈时可能没有任何抱怨，也可能没有注意到自己犯了任何错误。更常见的情况是，用户在关键任务上可能没有犯任何使用错误，但在访谈中可能会指出用户界面中一个或多个令人困惑或困难且可能导致问题的方面。

在访谈中，参与者应对测试期间经历的任何使用困难（例如，令人困惑的交互、别扭的手动操作、意外的医疗器械运行或响应、难以看清显示屏、难以听到警报，或者误解、未注意到或不理解医疗器械标签/标签标识）提供主观评估。访谈应由开放式和措辞中立的问题组成，首先从整体上考虑医疗器械，然后重点关注每个关键任务或使用场景。您应在测试后的总结访谈中与参与者一起调查所有使用错误，以确定他们认为错误是如何以及为什么发生的。例如：· “您总体上觉得这个医疗器械怎么样？”

“您在使用时遇到什么困难了吗？遇到了什么样的困难？”
“有什么令人困惑的地方吗？什么是令人困惑的？”
“请告诉我关于这个[观察到的使用错误或问题]的情况。发生了什么？那是怎么发生的？”
注：对于该测试参与者观察到的每一个使用错误或问题，访谈中都应包含此问题。

访谈者必须不带评判地接受参与者的所有回答和评论，这一点至关重要，这样才能获得参与者的真实观点，且不会对他们的回答产生影响。

8.1.6 人因工程确认测试结果的分析应对人因工程确认测试的结果进行定性分析，以确定是否需要修改医疗器械的设计（或标签标识或用户培训），从而将与使用相关的风险降低至可接受水平。为此，应将观察数据和知识任务数据与访谈数据汇总，并进行仔细分析，以确定测试期间发生的任何使用错误或问题（例如，“险些发生的错误”和使用困难）的根本原因。然后，应结合相关风险来考虑所有使用错误和问题的根本原因，以确定导致伤害的可能性，并对所需的额外风险控制措施的类型进行优先级排序。本文件的附录B提供了人因工程确认测试结果的分析示例。

根据额外风险控制措施的程度，可能需要进行人因工程的重新确认。您应通过制定和实施必要的风险控制措施，将风险降低至可接受水平，从而解决导致关键任务出现使用错误和问题的用户界面方面的问题。您可能会发现进行额外的初步分析和评估（第6节）以探索和最终确定修改方案是有益的。然后，您应对修改后的用户界面元素进行人因工程确认测试，以评估风险控制措施是否成功将风险降低至可接受水平，且未引入任何新的不可接受的风险。如果修改后的元素仅影响医疗器械使用的某些方面，则测试可以仅侧重于这些使用方面。

8.1.7 剩余风险实际上，不可能使任何医疗器械做到绝对防错或无风险；即使在用户界面设计中遵循了最佳实践，仍会存在一些剩余风险。应对人因工程确认测试后遗留的所有风险进行彻底分析，以确定是否可以降低或消除这些风险。然后对剩下的剩余风险进行可接受性评估。表明严重使用错误仍然存在的人因工程确认测试结果在上市前提交中是不可接受的，除非对结果进行了彻底分析，并且提交的资料表明进一步降低错误发生的可能性是不可能或不切实际的，且使用该医疗器械的受益大于剩余风险。

与使用相关的风险分析应确定使用错误或问题在医疗器械使用环境中是如何发生的，包括给用户造成问题的用户界面的具体方面。该分析应确定是否需要进行设计修改、修改是否可行，以及是否可能有效地将相关风险降低至可接受水平。事实上，在人因工程确认测试的访谈中，测试参与者经常会提出设计修改建议。与高水平剩余风险相关的使用错误或问题应在人因工程确认报告中进行描述。该描述应包括使用问题与医疗器械用户界面设计之间的关联方式。如果您的分析表明需要进行设计修改，但实施起来不可能或不切实际，您应解释这一点，并描述使用该医疗器械的总体受益如何大于剩余风险。

如果发现了可能导致使用错误并进而造成伤害的设计缺陷，且这些缺陷可以通过设计更改予以降低或消除，那么在上市前提交资料中声明您计划在医疗器械的后续版本中解决这些问题是不可接受的。还需注意的是，在人因工程确认测试期间发现严重的使用错误和问题，可能表明在设计开发期间对医疗器械用户界面进行的分析、形成性评价和修改不够充分。

8.2 修改后医疗器械的人因工程确认测试当制造商对已上市的医疗器械进行修改时，风险管理过程应包括该医疗器械被修改的所有方面以及受修改影响的所有元素。风险分析还应包括受修改直接或间接影响的用户与医疗器械交互的所有方面。

与任何其他医疗器械一样，是否需要进行额外的人因工程确认测试应基于对所作修改的风险分析，如果与使用相关的风险不可接受，则测试应侧重于那些与危险相关的使用场景和关键任务。然而，该测试可以仅限于评估受设计修改影响的用户交互和任务方面。

当制造商为应对与使用相关的问题而对当前上市的医疗器械进行修改时（可能作为纠正和预防措施(CAPA)或召回的一部分），人因工程确认测试应使用与往常相同的方法评估修改后的用户界面设计。然而，如果评估还包括直接征求用户对设计修改与先前设计的比较意见，则评估将最为有效。测试管理员应解释已知问题，然后向参与者展示界面组件的先前版本以及新的或修改后的版本。然后应向参与者提出以下问题，例如：

“您认为新设计比旧设计好吗？请告诉我新设计比旧设计[好/差]在哪里。”
“您认为这些修改在防止使用错误发生方面会有多有效？请告诉我为什么您认为它[会/不会]有效。”
“这些改变会导致任何其他类型的使用困难吗？什么类型的困难？”
“这些修改足够了吗，还是需要进一步修改？应该如何修改？”

8.3 实际使用测试由于某些类型的医疗器械使用和使用环境的性质可能特别复杂或难以理解，可能需要在实际使用条件下对医疗器械进行测试。例如，在模拟使用条件下测试假肢或助听器编程器械的某些方面是不可能的；而在会议室中测试家用透析机的结果可能无法推广到在住宅环境中使用该医疗器械的情况。

在实际使用条件下进行人因工程测试之前，应进行适当的模拟使用测试，以确保医疗器械的设计足够完善，从而在实际使用中是安全的（达到模拟使用测试所能提供此类保证的程度）。

实际使用的人因工程测试应遵循第8.1节中描述的与模拟使用人因工程确认测试相同的一般指南；需要注意的是，当需要进行实际使用测试以确定拟申报医疗器械的安全性和有效性，且适用21 CFR §812中概述的要求时，则需要研究用器械豁免(IDE)。22 在此类测试中，测试参与者应具有实际用户的代表性，临床环境应具有实际使用环境的代表性，且测试过程应对参与者与医疗器械交互的影响尽可能小。

22在美国进行的实际使用临床研究必须符合21 CFR §812中规定的研究用器械豁免(IDE)要求。

实际使用测试也可以作为临床研究的一部分进行。然而，在临床研究中，参与者接受的培训通常有所不同，并且比真实世界使用中的用户受到更密切的监督，因此应在这一背景下看待产生的数据（例如，观察和访谈）。临床试验不同于模拟使用人因工程确认测试的另一方面是，为了使结果数据具有统计学意义，样本量通常要大得多。对于测试参与者在家中使用医疗器械的研究，直接观察的机会可能有限；无论如何，仅依靠医疗器械使用的自我报告来了解用户与医疗器械的交互是不充分的，因为这些数据可能不完整或不准确。在切实可行的范围内，此类数据应辅以观察数据。

您应咨询内部的保护人类受试者机构审查委员会(IRB)，以确定是否需要实施保护测试参与者安全和个人隐私的具体保障措施，包括知情同意书。

有关研究用器械豁免(IDE)的更多信息，请参阅FDA指南《FDA对研究用器械豁免临床研究的决定》。有关关键性临床研究的更多信息，请参阅FDA指南《医疗器械关键性临床研究的设计考量》。

文档记录记录您的风险管理、HFE/UE（人因工程/可用性工程）测试和设计优化过程（例如，记录在您的设计和开发文档中），可提供证据证明您在设计新医疗器械

未处理报警状态严重伤害或死亡报警信号的频率太高，部分用户无法听到。使用具有多个频率分量的报警音。人因工程确认测试

报警音不够大，部分用户无法听到。使用不依赖听觉的分布式报警系统与用户进行沟通。

人因工程确认测试

暂时暂停报警信号。用户永久停用了报警信号。用户以为报警信号正在被暂停。报警状态可能未被处理严重伤害或死亡尽管符号旁边有“静音”字样，用户还是将报警暂停控制与报警关闭控制混淆了。遵循IEC 60601-1-8，不要使用历史术语“静音（silence）”，该术语在不同器械上有不同的含义。人因工程确认测试

在用户界面上增加一个确认步骤，用于永久停用某报警状态的报警信号。

人因工程确认测试

执行该程序。用户未对医疗器械过热的警告作出反应。由于器械反复出现误报警，用户不相信该医疗器械的警告。医疗器械过热且无法操作，导致治疗延迟或未进行治疗。严重伤害用户将有效报警误解为误报警减少与此问题相关的误报警发生率。人因工程确认测试在用户手册中强调警告。人因工程确认测试在培训中解决过热和报警问题。人因工程确认测试医疗器械使用任务假设的任务失败初始风险分析可能的根本原因可能的风险控制风险控制有效性评估修订后的风险分析：是否需要重新设计？对用户的观察用户的评论临床后果潜在伤害连接组件。用户弄坏了连接器。用户无法判断连接何时牢固，因此拧得过紧。治疗延迟或未进行治疗严重伤害或死亡连接器不够坚固。重新设计连接器以承受更大的扭矩。人因工程确认测试

连接器在连接牢固时未向用户提供反馈。重新设计连接器，使其在连接牢固时提供“咔哒”声和触觉反馈。

人因工程确认测试

设置血液透析器械。用户将新鲜透析液和废旧透析液连接到了相反的端口。两个透析液容器看起来非常相似。治疗不充分或毒性治疗严重伤害或死亡两个器械端口和两个透析液容器上的连接器完全相同。在两个器械端口和两个透析液容器上使用不同的连接器，从而避免错误连接。无

不同的透析液容器在视觉上缺乏区分度。

重新设计透析液容器上的标签，使其更具区分度。

人因工程确认测试

开始治疗。用户按下了“Enter”按钮，而不是“Start”按钮。用户以为“Enter”按钮会启动治疗。治疗延迟或未进行治疗严重伤害或死亡用户不了解医疗器械的操作顺序。医疗器械在显示屏上增加提示，提醒用户按下“Start”以开始治疗。人因工程确认测试从患者体腔内吸出液体。用户将低负压吸引医疗器械连接到了高负压吸引真空源上。用户没有意识到该医疗器械不应连接到高负压吸引真空源。抽出身体组织严重伤害或死亡用户不知道该医疗器械不应连接到高负压吸引真空源。修订医疗器械上的标签。人因工程确认测试修订使用说明书。人因工程确认测试修订用户培训。人因工程确认测试医疗器械使用任务假设的任务失败初始风险分析可能的根本原因可能的风险控制风险控制有效性评估修订后的风险分析：是否需要重新设计？对用户的观察用户的评论临床后果潜在伤害检查组件上的失效日期。用户未检查失效日期。用户没想到测试中使用的组件可能已经失效。治疗不充分严重伤害测试伪影无无否更换（没电的）电池。用户无法打开电池舱门。电池舱门太难打开。治疗延迟或未进行治疗严重伤害或死亡打开电池舱门所需的力超过了部分用户所能产生的力。重新设计电池舱门，使其能以较小的力气和灵活性打开。人因工程确认测试附录C：HFE/UE参考文献 C.1 FDA指南文件为了促进上市前审查并协助制造商，FDA发布了针对特定器械的指南文件和通用指南文件。如需了解有关其他可用指南的更多信息，请参阅FDA网站上的指南文件（医疗器械和辐射发射产品）。 C.2 国家和国际共识标准 FDA已正式认可由国家和国际标准机构发布的针对特定器械的共识标准和通用共识标准。截至本文撰写之时，FDA认可的与人因工程以及HFE/UE在医疗器械中的应用相关的标准列于表C-1中。请注意，当前认可的标准记录在 https://www.accessdata.fda.gov/scripts/cdrh/cfdocs/cfStandards/search.cfm。务必查看此页面以审阅所有认可标准的补充信息表（SIS），从而了解FDA对各项标准的认可程度。表C-1. 涉及HFE/UE并被FDA认可的国家和国际共识标准。标准标题主要目的 AAMI/ANSI HE75 人因工程——医疗器械设计包含一般原则、使用错误风险管理、设计要素、集成解决方案的综合参考 ANSI/AAMI/IEC 62366 医疗器械——第1部分：可用性工程对医疗器械的应用应用于所有将人因工程/可用性应用于医疗器械设计（并考虑风险管理）的HFE/UE过程 ANSI/AAMI/ISO 14971 医疗器械——风险管理对医疗器械的应用医疗器械的风险管理过程 IEC 60601-1-6 医用电气设备——第1-6部分：基本安全和基本性能的通用要求——并列标准：可用性提供了IEC 60601-1和ANSI/AAMI/IEC 62366之间的桥梁标准标题主要目的 IEC 60601-1-8 医用电气设备——第1-8部分：基本安全和基本性能的通用要求——并列标准：医用电气设备和医用电气系统中报警系统的通用要求、测试和指南医用电气设备和系统中报警系统的设计标准 IEC 60601-1-11 医用电气设备——第1-11部分：基本安全和基本性能的通用要求——并列标准：家庭医疗保健环境中使用的医用电气设备和医用电气系统的要求非临床环境中使用的医用电气设备的要求，包括涉及非专业用户使用医疗器械的问题 C.3 HFE/UE参考文献 Dumas, J. 和 Loring, B. (2008). Moderating Usability Tests: Principles and Practices for Interacting. San Francisco, CA: Elsevier/Morgan Kauffman Publishers. Faulkner, L. (2003). Beyond the five-user assumption: Benefits of increased sample sizes in usability testing. Behavior Research Methods, Instruments, and Computers, 35(3), 379-383. https://doi.org/10.3758/BF03195514 Hackos, J. 和 Redish, J. (1998). User and Task Analysis for User Interface Design. New York: John Wiley & Sons. Israelski, E.W. 和 Muto, W.H. (2006). Risk management in medical devices. In: Carayon P (Ed.). Handbook of human factors and ergonomics in health care and patient safety. Philadelphia (PA): Lawrence Erlbaum Associates. Kaye, R. D, North, R.A., 和 Peterson, M. K. (2003) UPCARE: An analysis, description, and educational tool for medical device use problems. Proceedings of the 9th Annual International Conference on Industrial Engineering Theory, Applications and Practice. Las Vegas, NV. Kirwan, B., 和 Ainsworth, L.K. (1992). A Guide to Task Analysis. London: Taylor & Francis Ltd. https://doi.org/10.1201/b16826 Meister, D. (1986). Human factors testing and evaluation. Amsterdam: Elsevier. Morrow D., North R.A., 和 Wickens C.D. (2006) Reducing and mitigating human error in medicine. In: Nickerson R (Ed.). Reviews of human factors and ergonomics. Vol. 1. Santa Monica (CA):, Human Factors and Ergonomics Society,. https://doi.org/10.1518/155723405783703019 Nielsen, J. (1993). Usability Engineering. Boston: AP Professional. Norman, D., The Design of Everyday Things. New York: Doubleday; 1988. Reason, J., Human Error. Cambridge, Mass: Cambridge University Press; 1992. Rubin, J. 和 Chisnell, D., (2008). Handbook of Usability Testing: How to Plan, Design, and Conduct Effective Tests. New York: John Wiley and Sons, Inc. Salvendy, G. (ed.), Handbook of Human Factors and Ergonomics. New York: John Wiley and Sons, Inc; 1997. Sanders, M., 和 McCormick E., Human Factors in Engineering and Design. New York: McGraw Hill; 1993. Shneiderman, B., Plaisant, C., Cohen, M. 和 Jacobs, S. (2010). Designing the User Interface: Strategies for Effective Human-Computer Interaction. (5th ed.). Menlo Park, CA: Addison Wesley. https://doi.org/10.1075/idj.17.2.14mar Story, M.F. (2010). Medical Devices in Home Health Care. In National Research Council, The Role of Human Factors in Home Health Care: Workshop Summary, Olson, S, Rapporteur. Committee on Human-Systems Integration, Division of Behavioral and Social Sciences and Education. Washington, DC: The National Academies Press. https://doi.org/10.17226/12927 Virzi, R.A. (1992). Refining the rest phase of usability evaluation: How many subjects is enough? Human Factors, 34, 457-468. https://doi.org/10.1177/001872089203400407 Wiklund, M.E., Kendler, J. 和 Strochlic, A.Y. (2011). Usability Testing of Medical Devices. Boca Raton, FL: Taylor & Francis/CRC Press. https://doi.org/10.1201/b10458 指南历史* 日期描述最终指南的修订 2026年8月根据二级指南程序（21 CFR 10.115(g)(4)）发布的修订。更新了定义和第9节。文档记录，以与《医疗器械上市申请中人因工程信息的内容》最终指南保持一致，并删除了附录

A. 2016年2月一级最终指南

有关更多信息，请参阅发布通知。** 本指南取代了2000年7月发布的题为《医疗器械使用安全：将人因工程纳入风险管理》的最终指南。 *本表格自2026年8月起实施，之前的指南历史可能未被完全收录。 **发布通知可通过“搜索FDA指南文件”网页获取。

脚注

[^1]: 参见 89 FR 7496。FDA发布了一项最终规则，修订了质量体系(QS)法规（21 CFR Part 820）中的器械现行良好生产规范(CGMP)要求，以协调和现代化该法规。FDA通过与来自其他管辖区（即其他国家）的其他监管机构所使用的质量管理体系(QMS)要求相融合，进行了协调，以更紧密地与医疗器械的国际共识标准保持一致。修订后的Part 820被称为质量管理体系法规(QMSR)。该最终规则于2026年2月2日生效，删除了原Part 820中的大部分要求，取而代之的是在Part 820中通过引用纳入了2016版国际标准化组织(ISO) 13485《医疗器械 - 质量管理体系 - 用于法规的要求》。正如最终规则中所述，ISO 13485中的要求从总体上看，与原Part 820的要求实质相似，在确保公司的质量管理体系以及持续生产安全有效且在其他方面符合

[^2]: ANSI/AAMI/ISO 14971:2007，定义 2.16 3. 定义

[^4]: ANSI/AAMI/IEC 62366-1:2015+AMD1:2020 医疗器械—第1部分：可用性工程在医疗器械中的应用。

[^6]: ANSI/AAMI/ISO 14971 第三版 2019-12 医疗器械—风险管理在医疗器械中的应用。

[^13]: 参见脚注6。 ·

[^14]: 参见 21 CFR 803.3(w)。

[^23]: 例如，Virzi, 1992；Nielsen, 1993

将人因工程和可用性工程应用于医疗器械：行业与FDA工作人员指南 ​

​

A. 2016年2月一级最终指南 ​

脚注 ​

将人因工程和可用性工程应用于医疗器械：行业与FDA工作人员指南

A. 2016年2月一级最终指南

脚注