FDA Class I 召回：血糖仪测得准，屏幕却没清干净

传感器没出错的 Class I 召回

2026 年 10 月 20 日，FDA 向公众通告，Nova Biomedical 的 StatStrip Glucose Hospital Meter System Gen 2.0 被列为 Class I 召回，这是 FDA 最严重的召回等级。FDA 的通告很短，但原因值得再读一遍。血糖测量本身没有任何问题。通告里引用 Nova Biomedical 的说法：这个问题“不影响血糖测量的分析性能”。出问题的⁠是⁠屏⁠幕⁠。

操作人员扫描患者 ID 或质控（QC）条码时，之前的信息可能还留在血糖仪的屏幕上。如果操作人员直接接受屏幕显示的内容，血糖结果就可能被记入上一位患者的病历，或者记到某个质控 ID 下面。这也意味着，真正接受检测的那位患者，病历里反而没有这一次的结果。FDA 列出的可能危害包括延误治疗、不必要的治疗（包括不恰当的胰岛素给药），以及本该治疗的患者没有得到治疗。危重患者和婴儿的风险更高，因为他们可能无法表达自己的低血糖症状。

截至 10 月 5 日，Nova Biomedical 报告了一例严重伤害，没有死亡。受影响的只有 Gen 2.0 这一个型号，所有固件版本都在内，更早的几代不受影响。公司已经暂停发货新的 Gen 2.0 系统，正在验证一个软件更新，计划从 2026 年 11 月起分批推送。有备用血糖仪的医院，被要求先停用受影响的机器，等更新完成再用。（本文数字和日期取自 FDA 通告 2026 年 10 月 30 日的更新版本。）

数字准确，患者却错了

做测量器械的人，优化的都是同一批东西：准确度、重复性、电气安全、认证路径。规格书列的是这些，实验室测的是这些，审核员查的也是这些。这次召回一项都没碰到。它出在两次检测之间那半秒钟里，在病房里，护士一只手拿着血糖仪的时候。

那半秒钟，是一台器械最难在实验台上看见的部分。在实验室里，扫一个条码、跑一条试纸、读一个结果，顺序干干净净。到了病房，这个顺序会被打断十几次：呼叫铃响了、第二位患者来了、试纸没插到位。从头到尾，器械都得清楚自己当前处在什么状态。下一位的条码已经扫了，屏幕上还显示着上一位的标识，从技术上说这是一个显示缺陷，在风险管理的语言里，这叫危害。

监管机构给这一类问题起了个名字：使用错误（use error）。不是用户错误，而这个区别正是全部的重点。使用错误指的是使用器械的人做了某个动作，或者漏做了某个动作，导致结果和制造商预期或用户预期不一样。标准把范围限定在正常使用之内，其中包括可合理预见的误用。医疗器械可用性工程标准 IEC 62366-1 和 FDA 的人因工程指南，都从同一个前提出发：操作人员的工作负荷是器械的使用条件之一，器械没有资格拿它当借口。

准确度是门票，流程才是底线

我们从 1996 年起为品牌做家用医疗和健康器械，看法是这样的：准确度让你进得了市场，让你留在市场里的，是测量之外的所有东西。用户是谁，他同时还在做什么，他瞥一眼的那一刻屏幕上写着什么，他根本没瞥的时候器械会怎么做。

家用器械只会更难。操作的人是患者或家属，没受过培训，经常很累，有时就是正在被测的那个人。采购端该怎么看这件事，我们在家用医疗器械制造指南里谈过。这次召回给出的教训是，医院里受过培训的护士，照样栽在了同一个地方。为分心的用户做设计是通用情况，家用场景只是把它放大了。

FDA 通告里的临时措施很有参考价值。医疗机构被建议在血糖仪的数据管理系统里开启“Validate Patient ID’s”（验证患者 ID；限 EMR 已集成 ADT 的机构），把操作人员退出登录模式设置为每测完一次就自动退出，并在“Confirm Patient ID”（确认患者 ID）界面核对一次患者标识，到结果界面再核对一次。其中两项是出厂就可以默认开启的设置，第三项是界面本来就可以强制执行的核对。整个设计教训就在这一张清单里：安全的行为早就在系统里了，只是它是可选的。

开模前的评审，值得多问⁠三⁠个⁠问⁠题

任何产品进开模之前，我们都会跑一轮 33 项的 DFX 风险评估，红黄绿灯分级，一个红灯就全案暂停。大部分检查项讲的是可制造性、成本、安全和合规。这次召回是一个很有力的理由，说明在任何带屏幕、带存储的器械上，“状态处理”都应该成为一个明确列出的检查项。在那场评审里，我们会想把三个问题问清楚：

什么时候清掉什么？ 每一个改变上下文的事件（换用户、换样本、开始新一轮操作、超时）都应该对屏幕显示和存储内容有明确定义的影响。“上一个值一直留着，直到被覆盖”是一个设计决定。它应该是刻意做出的、写下来的，而且用真实流程里会出现的那些打断测试过的。

确认界面确认的到底是什么？ 一个显示着过期数据的确认界面，会非常笃定地确认错误的东西。界面上应该呈现器械接下来要拿去用的那个值，而且要从器械真正会去读的地方读出来。上一次操作留下的缓存副本⁠不⁠算⁠数⁠。

哪些安全行为是默认的？ 每测完一次就让操作人员退出登录。只要数据拿得到，就和病历系统核对 ID。一个行为如果安全到值得写进召回通告里建议大家去做，就安全到可以出厂默认开启。想关掉的人，再自己去关。

这些都不是什么高深的工程。它们是那种因为固件在演示时跑得好好的、进度又很紧，就被跳过的检查项。闸门评审存在的意义，就是不让“演示时没问题”成为过关标准。这和我们对安全关键功能的那条规矩是同一个思路，硬件一层、固件一层，两道独立保护：先假设失效会发生，再让它发生了⁠也⁠没⁠事⁠。

如果你正在为一款器械找代工厂

如果你是品牌方，正在为一款联网健康器械找制造商，这次召回正好给你一个好用的审核问题。问你的制造商，使用相关的风险放在他们设计评审的哪一项里，还是只出现在测试计划里。问他们的器械在用户中途换人时会怎么做。请他们拿一个真实的 CAPA 案例出来，看看根本原因是落在了设计层面，还是停在换掉的那个零件上。

范围先说清楚：我们在 ISO 13485:2016 体系下设计和制造，并为你的法规工作提供文件与测试支持。可用性工程文件、申报和取得许可，属于器械的法定制造商，通常就是品牌方。但上面那几个状态处理的问题，是在开发期间、在我们这一侧回答的，我们宁愿在开模前回答，也不想在召回通告⁠里⁠回⁠答⁠。

如果你正在规划一款带屏幕、带存储的器械，欢迎提交咨询，请我们走一遍 DFX 评估会怎么看它。我们会在两个工作日内给出初步回复。

FAQ

Class I 召回是什么意思？

这是 FDA 最严重的召回分级：使用该产品有合理的可能性造成严重的不良健康后果或死亡。分级描述的是危害可能有多严重，和已经发生了多少起事故是两回事。在这个案例里，通告发布时已报告一例严重伤害。

这是硬件故障还是软件故障？

按 FDA 通告，问题出在扫完条码之后屏幕显示的内容上，影响所有固件版本的 Gen 2.0 血糖仪，纠正措施是一次软件更新。按通告的说法，分析性能不受影响，所以试纸的化学反应和传感器都不在问题范围内。

使用错误和用户错误有什么区别？

用户错误把责任放在人身上。使用错误是 IEC 62366-1 和 FDA 指南里用的词，描述的是用户在可预见的使用条件下得到了非预期的结果，而可用性工程流程把降低它列为制造商的职责。

代工厂会负责可用性工程吗？

一部分。可用性工程文件和法规申报属于法定制造商，通常是品牌方。代工厂贡献的是设计层面的风险评审、状态处理和联锁设计，以及这些文件所需要的文档和测试证据。开发开始之前，先用白纸黑字约定好谁负责哪一部分。