Rappel Class I FDA : le glucomètre mesurait juste

Un rappel Class I où le capteur n’a rien fait de mal

Le 20 octobre 2026, la FDA a informé le public que le StatStrip Glucose Hospital Meter System Gen 2.0 de Nova Biomedical faisait l’objet d’un rappel Class I, la catégorie la plus grave de l’agence. L’avis de la FDA est court, et le motif mérite une seconde lecture. La mesure de glycémie n’avait aucun défaut. Dans l’avis, Nova Biomedical déclare que le problème « n’a pas d’incidence sur la performance analytique des mesures de glycémie ». Ce qui a défailli, c’est l’écran.

Lorsqu’un opérateur scanne un identifiant patient ou un code-barres de contrôle qualité (QC), des informations antérieures peuvent rester sur l’afficheur du lecteur. Si l’opérateur accepte ce qui est affiché, le résultat de glycémie peut être versé au dossier médical du patient précédent, ou à un identifiant QC. Ce qui signifie aussi que le dossier du patient réellement testé ne contient aucun résultat pour ce test. La FDA énumère les préjudices possibles : retard de traitement, traitement inutile, y compris une administration d’insuline inappropriée, et absence de traitement du patient visé. Les patients en état critique et les nourrissons courent un risque plus élevé, parce qu’ils peuvent être incapables de communiquer les symptômes d’une hypoglycémie.

Au 5 octobre, Nova Biomedical avait signalé une blessure grave et aucun décès. Seul le modèle Gen 2.0 est concerné, sur toutes les versions de firmware ; les générations antérieures ne le sont pas. L’entreprise a suspendu les expéditions de nouveaux systèmes Gen 2.0 le temps de valider une mise à jour logicielle, avec un déploiement progressif prévu à partir de novembre 2026. Les hôpitaux qui disposent d’un autre lecteur ont été invités à cesser d’utiliser l’appareil concerné jusqu’à sa mise à jour. (Les chiffres et les dates proviennent de l’avis de la FDA tel que mis à jour le 30 octobre 2026.)

Des chiffres exacts, le mauvais patient

Tous ceux qui construisent un appareil de mesure optimisent les mêmes choses : l’exactitude, la répétabilité, la sécurité électrique, le parcours de certification. C’est ce qu’une fiche technique énumère, ce qu’un laboratoire d’essais mesure et ce qu’un auditeur vérifie. Ce rappel n’a touché aucun de ces points. Il s’est joué dans la demi-seconde entre un test et le suivant, dans un service de soins, avec une infirmière tenant le lecteur d’une main.

Cette demi-seconde est la partie d’un appareil la plus difficile à voir sur un banc. Au laboratoire, vous scannez un code-barres, passez une bandelette, lisez un résultat, et la séquence est propre. Dans le service, la séquence est interrompue une douzaine de fois : un appel malade, un deuxième patient, une bandelette mal insérée. À travers tout cela, l’appareil doit rester exact sur son propre état. Un écran qui affiche encore l’identifiant du patient précédent alors que le suivant a déjà été scanné est, techniquement, un bug d’affichage. Dans le vocabulaire de la gestion des risques, c’est un phénomène dangereux.

Les régulateurs ont un nom pour cette catégorie : l’erreur d’utilisation. Pas l’erreur de l’utilisateur, et la différence est tout l’enjeu. Une erreur d’utilisation est une action, ou une omission, de la personne qui utilise l’appareil, qui conduit à un résultat différent de celui que le fabricant avait prévu ou que l’utilisateur attendait. La norme limite ce périmètre à l’utilisation normale, ce qui inclut le mauvais usage raisonnablement prévisible. L’IEC 62366-1, la norme d’ingénierie de l’aptitude à l’utilisation des dispositifs médicaux, et le guide de la FDA sur les facteurs humains partent du même principe : la charge de travail de l’opérateur fait partie des conditions de fonctionnement de l’appareil, et l’appareil n’a pas le droit de s’en servir comme excuse.

L’exactitude est le ticket d’entrée. Le flux de travail décide du reste.

Notre point de vue, après avoir construit des dispositifs médicaux et de santé à usage domestique pour des marques depuis 1996 : l’exactitude vous fait entrer sur le marché. Ce qui vous y maintient, c’est tout ce qui entoure la mesure. Qui est l’utilisateur, ce qu’il fait d’autre en même temps, ce que l’écran dit à l’instant où il y jette un coup d’œil, et ce que fait l’appareil quand il n’y jette aucun coup d’œil.

Les dispositifs à usage domestique rendent la chose plus difficile. L’opérateur est un patient ou un membre de sa famille, non formé, souvent fatigué, parfois la personne même dont on prend la mesure. Nous avons traité le volet approvisionnement de cette question dans notre guide de fabrication de dispositifs médicaux à usage domestique. La leçon de ce rappel, c’est qu’une infirmière formée, à l’hôpital, a suffi à déclencher le même piège. Concevoir pour l’utilisateur distrait est le cas général. L’usage domestique ne fait que l’amplifier.

Les mesures provisoires de l’avis de la FDA sont instructives. Il a été conseillé aux établissements d’activer « Validate Patient ID’s » (validation de l’identifiant patient) dans le système de gestion des données du lecteur (pour les sites dont le dossier patient informatisé, l’EMR, est intégré à l’ADT), de régler le mode de déconnexion de l’opérateur pour qu’il soit déconnecté après chaque test, et de vérifier l’identifiant patient sur l’écran « Confirm Patient ID », puis à nouveau sur l’écran de résultat. Deux de ces mesures sont des réglages qui auraient pu être livrés activés ; la troisième est une vérification que l’écran aurait pu imposer. C’est la leçon de conception en une seule liste : le comportement sûr était déjà dans le système, et il était optionnel.

Trois questions pour la revue avant l’outillage

Nous menons une revue de risque DFX de 33 points avant qu’un produit ne parte à l’outillage, avec des notes rouge, jaune et vert et une règle : un seul rouge arrête le programme. La plupart des points portent sur la fabricabilité, le coût, la sécurité et la conformité. Un rappel comme celui-ci est un argument de poids pour faire de la gestion des états un point explicite sur tout appareil doté d’un écran et d’une mémoire. Trois questions auxquelles nous voudrions une réponse dans cette revue :

Qu’est-ce qui est effacé, et quand ? Chaque événement qui change le contexte (un nouvel utilisateur, un nouvel échantillon, une nouvelle session, un délai expiré) devrait avoir un effet défini sur ce qui est affiché et sur ce qui est conservé. « La valeur précédente reste jusqu’à ce qu’elle soit écrasée » est une décision de conception. Elle devrait être délibérée, écrite, et testée avec les interruptions que connaît le flux de travail réel.

Que confirme réellement l’écran de confirmation ? Un écran de confirmation qui affiche des données périmées confirme la mauvaise chose avec une assurance totale. L’écran devrait présenter la valeur sur laquelle l’appareil s’apprête à agir, lue au même endroit que celui où l’appareil ira la lire. Une copie en cache de la transaction précédente ne compte pas.

Quels comportements sûrs sont activés par défaut ? Déconnecter l’opérateur après chaque test. Valider l’identifiant auprès du système de dossiers chaque fois que cette donnée est disponible. Si un comportement est assez sûr pour être recommandé dans un avis de rappel, il est assez sûr pour être livré activé. Laissez ceux qui n’en veulent pas aller le désactiver eux-mêmes.

Rien de tout cela n’est de l’ingénierie exotique. C’est le genre de point que l’on saute parce que le firmware fonctionne en démonstration et que le calendrier est serré. Une revue de jalon existe précisément pour que « ça marche en démo » ne soit pas le critère. La même logique sous-tend déjà notre règle selon laquelle une fonction critique pour la sécurité reçoit deux protections indépendantes, l’une matérielle, l’autre dans le firmware : supposez que la défaillance se produit, puis rendez-la sans conséquence.

Ce que cela change si vous faites fabriquer un dispositif

Si vous êtes une marque qui fait fabriquer un dispositif de santé connecté, ce rappel vous offre une question d’audit utile. Demandez à votre fabricant où le risque lié à l’utilisation se situe dans sa revue de conception, et s’il n’apparaît que dans le plan d’essais. Demandez ce que fait son appareil quand l’utilisateur change en cours de session. Demandez à voir un vrai cas CAPA, et vérifiez si la cause racine a été située au niveau de la conception ou s’est arrêtée à une pièce remplacée.

Sur le périmètre : nous concevons et fabriquons sous ISO 13485:2016 et vous apportons un accompagnement documentaire et essais pour vos démarches réglementaires. Le dossier d’ingénierie de l’aptitude à l’utilisation, la soumission et l’autorisation appartiennent au fabricant légal du dispositif, en général la marque. Les questions de gestion des états ci-dessus, en revanche, trouvent leur réponse pendant le développement, de notre côté de la table, et nous préférons de loin y répondre avant l’outillage plutôt que dans un avis de sécurité.

Si vous préparez un dispositif doté d’un écran et d’une mémoire, envoyez une demande et demandez-nous de dérouler la façon dont une revue DFX le traiterait. Vous aurez une première réponse sous deux jours ouvrés.

FAQ

Que signifie un rappel Class I ?

C’est la classification de rappel la plus grave de la FDA : une situation où il existe une probabilité raisonnable que l’utilisation du produit provoque des conséquences graves pour la santé, ou le décès. La classe décrit la gravité potentielle du danger et ne dit rien du nombre d’incidents survenus. Dans ce cas, une blessure grave avait été signalée au moment de la publication de l’avis.

S’agissait-il d’un défaut matériel ou logiciel ?

Selon l’avis de la FDA, le problème se situe dans ce que l’écran affiche après un scan de code-barres, il concerne les lecteurs Gen 2.0 sur toutes les versions de firmware, et la correction est une mise à jour logicielle. Selon l’avis, la performance analytique n’est pas affectée, donc la chimie du test et le capteur ne sont pas mis en cause.

Quelle est la différence entre erreur d’utilisation et erreur de l’utilisateur ?

L’erreur de l’utilisateur rejette la faute sur la personne. L’erreur d’utilisation, le terme employé dans l’IEC 62366-1 et dans les guides de la FDA, décrit un résultat que l’utilisateur n’a pas voulu, dans des conditions d’utilisation prévisibles. Le processus d’ingénierie de l’aptitude à l’utilisation fait ensuite de sa réduction le travail du fabricant.

Un fabricant sous contrat prend-il en charge l’ingénierie de l’aptitude à l’utilisation ?

En partie. Le dossier d’ingénierie de l’aptitude à l’utilisation et la soumission réglementaire appartiennent au fabricant légal, en général la marque. Un fabricant sous contrat apporte la revue de risque au niveau de la conception, la conception de la gestion des états et des verrouillages, ainsi que la documentation et les preuves d’essais dont ces dossiers ont besoin. Convenez par écrit de qui possède quelle partie avant le début du développement.