Richiamo Class I FDA di un glucometro: errore d'uso

Un richiamo Class I in cui il sensore non ha sbagliato nulla

Il 20 ottobre 2026 la FDA ha informato il pubblico che lo StatStrip Glucose Hospital Meter System Gen 2.0 di Nova Biomedical era oggetto di un richiamo Class I, la categoria più grave prevista dall’agenzia. L’avviso della FDA è breve, e il motivo merita una seconda lettura. La misurazione della glicemia non aveva nulla che non andasse. Nell’avviso, Nova Biomedical dichiara che il problema «non incide sulle prestazioni analitiche delle misurazioni della glicemia». A fallire è stato lo schermo.

Quando un operatore scansiona l’ID di un paziente o un codice a barre di controllo qualità (QC), sul display del misuratore possono restare informazioni precedenti. Se l’operatore accetta ciò che vede, il risultato glicemico può finire nella cartella clinica del paziente precedente, oppure sotto un ID di QC. Il che significa anche che la cartella del paziente effettivamente testato non riporta alcun risultato per quel test. La FDA elenca tra i possibili danni il ritardo nelle cure, trattamenti non necessari, compresa la somministrazione inappropriata di insulina, e il mancato trattamento del paziente a cui il test era destinato. I pazienti in condizioni critiche e i lattanti corrono un rischio maggiore, perché potrebbero non essere in grado di comunicare i sintomi dell’ipoglicemia.

Al 5 ottobre, Nova Biomedical aveva segnalato una lesione grave e nessun decesso. È interessato soltanto il modello Gen 2.0, su tutte le versioni del firmware; le generazioni precedenti non lo sono. L’azienda ha sospeso le spedizioni dei nuovi sistemi Gen 2.0 mentre convalida un aggiornamento software, con una distribuzione graduale prevista a partire da novembre 2026. Agli ospedali che dispongono di un misuratore alternativo è stato chiesto di smettere di usare quello interessato finché non sarà aggiornato. (Cifre e date provengono dall’avviso della FDA nella versione aggiornata al 30 ottobre 2026.)

Numeri accurati, paziente sbagliato

Chi costruisce uno strumento di misura ottimizza sempre le stesse cose: accuratezza, ripetibilità, sicurezza elettrica, percorso di certificazione. Sono le voci che una scheda tecnica elenca, che un laboratorio di prova misura e che un auditor controlla. Questo richiamo non ne ha toccata nessuna. È caduto nel mezzo secondo tra un test e il successivo, in reparto, con un’infermiera che teneva il misuratore in una mano.

Quel mezzo secondo è la parte di un dispositivo più difficile da vedere su un banco. In laboratorio si scansiona un codice a barre, si usa una striscia, si legge un risultato, e la sequenza è pulita. In corsia la sequenza viene interrotta una dozzina di volte: una chiamata dal campanello, un secondo paziente, una striscia che non si è inserita bene. Attraverso tutto questo, il dispositivo deve mantenere corretto il proprio stato. Uno schermo che mostra ancora l’identificativo del paziente precedente dopo che è stato scansionato il successivo è, tecnicamente, un bug di visualizzazione. Nel vocabolario della gestione del rischio è un pericolo.

Le autorità di regolamentazione hanno un nome per questa categoria: errore d’uso. Non errore dell’utente, e la differenza è tutta qui. Un errore d’uso è un’azione, o un’omissione, da parte di chi usa il dispositivo, che porta a un risultato diverso da quello inteso dal fabbricante o atteso dall’utente. La norma lo circoscrive all’uso normale, che comprende l’uso scorretto ragionevolmente prevedibile. La IEC 62366-1, la norma di ingegneria dell’usabilità per i dispositivi medici, e la guida sui fattori umani della FDA partono dalla stessa premessa: il carico di lavoro dell’operatore è una delle condizioni operative del dispositivo, e il dispositivo non può usarlo come scusa.

L’accuratezza è il biglietto d’ingresso. Il flusso di lavoro è quello che conta.

Il nostro punto di vista, maturato costruendo dal 1996 dispositivi medici e per la salute a uso domestico per conto di brand: l’accuratezza vi fa entrare nel mercato. Quello che vi ci tiene è tutto ciò che sta attorno alla misura. Chi è l’utente, che altro sta facendo, che cosa dice lo schermo nel momento in cui gli dà un’occhiata, e che cosa fa il dispositivo quando non gli dà un’occhiata affatto.

I dispositivi per uso domestico rendono tutto più difficile. L’operatore è un paziente o un familiare, senza formazione, spesso stanco, a volte la stessa persona di cui si sta rilevando il valore. Il lato dell’approvvigionamento lo abbiamo trattato nella nostra guida alla produzione di dispositivi medici per uso domestico. La lezione di questo richiamo è che un’infermiera formata, in ospedale, è bastata a far scattare la stessa trappola. Progettare per l’utente distratto è il caso generale. L’uso domestico lo rende soltanto più evidente.

Le misure provvisorie contenute nell’avviso della FDA sono istruttive. Alle strutture è stato consigliato di attivare «Validate Patient ID’s» nel sistema di gestione dati del misuratore (per i siti con integrazione ADT nel proprio EMR), di impostare la modalità di logoff dell’operatore in modo che venga disconnesso dopo ogni test, e di verificare l’identificativo del paziente nella schermata «Confirm Patient ID» e di nuovo nella schermata del risultato. Due di queste sono impostazioni che avrebbero potuto uscire dalla fabbrica già attive; la terza è un controllo che lo schermo avrebbe potuto imporre. La lezione di progettazione sta tutta in questo elenco: il comportamento sicuro era già nel sistema, ed era facoltativo.

Tre domande per la revisione prima dello stampo

Prima che qualsiasi prodotto passi allo stampo eseguiamo una revisione del rischio DFX di 33 voci, con valutazioni rosso, giallo e verde e una regola: un solo rosso ferma il programma. La maggior parte delle voci riguarda producibilità, costo, sicurezza e conformità. Un richiamo come questo è un argomento forte per fare della gestione dello stato una voce esplicita su qualsiasi dispositivo dotato di schermo e memoria. Tre domande a cui vorremmo avere risposta in quella revisione:

Che cosa viene cancellato, e quando? Ogni evento che cambia il contesto (un nuovo utente, un nuovo campione, una nuova sessione, un timeout) dovrebbe avere un effetto definito su ciò che viene visualizzato e su ciò che viene memorizzato. «Il valore precedente resta finché non viene sovrascritto» è una decisione di progetto. Dovrebbe essere una decisione deliberata, messa per iscritto e collaudata con le interruzioni che il flusso di lavoro reale comporta.

Che cosa conferma davvero la schermata di conferma? Una schermata di conferma che mostra dati non aggiornati conferma la cosa sbagliata con assoluta sicurezza. Lo schermo dovrebbe presentare il valore su cui il dispositivo sta per agire, letto dallo stesso punto da cui il dispositivo lo leggerà. Una copia in cache dell’ultima transazione non conta.

Quali comportamenti sicuri sono impostazioni predefinite? Disconnettere l’operatore dopo ogni test. Convalidare l’ID rispetto al sistema delle cartelle cliniche ogni volta che quel dato è disponibile. Se un comportamento è abbastanza sicuro da essere raccomandato in un avviso di richiamo, è abbastanza sicuro da uscire dalla fabbrica già attivo. Chi lo vuole spento vada a spegnerlo.

Niente di tutto questo è ingegneria esotica. È il genere di voce che viene saltata perché il firmware funziona nella demo e il calendario è stretto. Una revisione di gate esiste proprio perché «funziona nella demo» non sia l’asticella. Lo stesso ragionamento sta già dietro la nostra regola per cui una funzione critica per la sicurezza riceve due protezioni indipendenti, hardware e firmware: si dà per scontato che il guasto avvenga, e poi lo si rende innocuo.

Che cosa significa se state cercando un produttore per il vostro dispositivo

Se siete un brand che sta cercando un produttore per un dispositivo per la salute connesso, questo richiamo vi mette in mano una domanda di audit utile. Chiedete al vostro produttore dove si colloca il rischio legato all’uso nella sua revisione di progetto, e se compare soltanto nel piano di prova. Chiedete che cosa fa il suo dispositivo quando l’utente cambia a metà sessione. Chiedete di vedere un caso CAPA reale, e verificate se la causa radice è arrivata al livello del progetto o si è fermata a un componente sostituito.

Sul perimetro: progettiamo e produciamo secondo ISO 13485:2016 e forniamo supporto documentale e prove per il vostro lavoro regolatorio. Il fascicolo di ingegneria dell’usabilità, la presentazione regolatoria e l’autorizzazione appartengono al fabbricante legale del dispositivo, di norma il brand. Le domande sulla gestione dello stato viste sopra, però, trovano risposta durante lo sviluppo, dal nostro lato del tavolo, e preferiamo di gran lunga rispondervi prima dello stampo che in un avviso sul campo.

Se state pianificando un dispositivo con uno schermo e una memoria, inviateci una richiesta e chiedeteci di illustrarvi come una revisione DFX lo tratterebbe. Riceverete una prima risposta entro due giorni lavorativi.

Domande frequenti

Che cosa significa un richiamo Class I?

È la classificazione di richiamo più grave della FDA: una situazione in cui esiste una probabilità ragionevole che l’uso del prodotto provochi conseguenze gravi per la salute o la morte. La classe descrive la gravità potenziale del pericolo e non dice nulla su quanti incidenti si siano verificati. In questo caso, al momento della pubblicazione dell’avviso era stata segnalata una lesione grave.

Si è trattato di un guasto hardware o software?

Secondo l’avviso della FDA, il problema sta in ciò che il display mostra dopo la scansione di un codice a barre, riguarda i misuratori Gen 2.0 su tutte le versioni del firmware, e la correzione è un aggiornamento software. Sempre secondo l’avviso, le prestazioni analitiche non sono interessate, quindi la chimica del test e il sensore non sono chiamati in causa.

Qual è la differenza tra errore d’uso ed errore dell’utente?

L’errore dell’utente attribuisce la colpa alla persona. L’errore d’uso, il termine usato nella IEC 62366-1 e nelle linee guida della FDA, descrive un risultato che l’utente non intendeva ottenere, in condizioni d’uso prevedibili. Il processo di ingegneria dell’usabilità fa poi della sua riduzione un compito del fabbricante.

Un produttore conto terzi si occupa di ingegneria dell’usabilità?

In parte. Il fascicolo di ingegneria dell’usabilità e la presentazione regolatoria appartengono al fabbricante legale, di solito il brand. Un produttore conto terzi contribuisce con la revisione del rischio a livello di progetto, con la progettazione della gestione dello stato e degli interblocchi, e con la documentazione e le evidenze di prova di cui quei fascicoli hanno bisogno. Concordate per iscritto chi è responsabile di quale parte prima che lo sviluppo cominci.