血糖測定器のFDA Class Iリコール：使用エラーの教訓

センサーは何も間違えていなかったClass Iリコール

2026年10月20日、FDAはNova BiomedicalのStatStrip Glucose Hospital Meter System Gen 2.0がClass Iリコールの対象であることを公表しました。Class IはFDAのもっとも重大なリコール区分です。FDAの通知は短いものですが、その理由は二度読む価値があります。血糖の測定には何の問題もありませんでした。通知の中でNova Biomedicalは、この問題は「血糖測定の分析性能に影響しない」と述べています。不具合があったのは画面でした。

操作者が患者IDまたは精度管理（QC）のバーコードを読み取ったとき、前の情報が測定器の画面に残ることがあります。操作者が表示された内容をそのまま受け入れると、血糖値は前の患者のカルテ、あるいはQC IDに記録されてしまいます。つまり、実際に測定された患者のカルテには、その検査の結果が存在しないことになります。FDAが挙げる起こりうる危害は、治療の遅れ、不適切なインスリン投与を含む不要な治療、そして本来治療すべき患者が治療されないことです。重症患者と乳児はより高いリスクにさらされます。低血糖の症状を自分で伝えられない可能性があるか⁠ら⁠で⁠す⁠。

10月5日時点で、Nova Biomedicalは重篤な傷害1件を報告しており、死亡は報告されていません。影響を受けるのはGen 2.0モデルのみで、すべてのファームウェアバージョンが対象です。それ以前の世代は該当しません。同社はソフトウェア更新を検証する間、新規のGen 2.0システムの出荷を停止しており、2026年11月から段階的な展開を予定しています。代替の測定器を持つ病院には、更新が済むまで該当機器の使用を止めるよう伝えられました。（数値と日付は、2026年10月30日に更新されたFDAの通知によります。）

数値は正確、患者が違う

測定機器を作る人は誰もが同じものを最適化します。精度、再現性、電気的安全性、認証への道筋。仕様書に載るのも、試験機関が測るのも、監査員が確認するのもこれらです。今回のリコールはそのどれにも触れていません。問題が起きたのは、ある検査と次の検査の間の0.5秒、病棟で、看護師が片手に測定器を持っている場面でした。

その0.5秒は、機器の中でも実験台の上ではもっとも見えにくい部分です。実験室ではバーコードを1つ読み、試験紙1枚で測定し、結果を1つ読む。手順はきれいに並びます。現場ではその手順が十数回も中断されます。ナースコールが鳴る、2人目の患者が来る、試験紙がうまく挿さらない。その間ずっと、機器は自分自身の状態について正しくあり続けなければなりません。次の患者のバーコードを読み取った後も前の患者の識別子を表示し続ける画面は、技術的には表示のバグです。リスクマネジメントの用語では、ハザードです。

規制当局はこの種の問題に名前を付けています。使用エラー（use error）です。ユーザーエラーではなく、その違いこそが要点です。使用エラーとは、機器を使う人の行為または行為の欠落によって、メーカーが意図した結果や使用者が期待した結果とは異なる結果が生じることを指します。規格はこの範囲を通常の使用と定めており、そこには合理的に予見可能な誤使用が含まれます。医療機器のユーザビリティエンジニアリング規格であるIEC 62366-1も、FDAのヒューマンファクターガイダンスも、同じ前提から出発しています。操作者の作業負荷は機器の使用条件の1つであり、機器はそれを言い訳に使うことはできません。

精度は入場券、ワークフローが勝負を決める

1996年からブランド向けに家庭用の医療機器・健康機器を作ってきた当社の見方はこうです。精度は市場への入場券です。市場にとどまれるかどうかを決めるのは、測定の周りにあるすべてのものです。使用者が誰なのか、同時に何をしているのか、ちらりと見たその瞬間に画面が何を表示しているのか、そしてまったく見なかったときに機器が何をするのか。

家庭用機器ではこれがさらに難しくなります。操作するのは患者本人や家族で、訓練を受けておらず、しばしば疲れており、ときには測定されている当人です。調達側から見たこの問題は家庭用医療機器の製造ガイドで取り上げました。今回のリコールの教訓は、病院で訓練を受けた看護師でも同じ罠にかかったということです。注意が散漫な使用者のために設計することが、一般的なケースなのです。家庭用はそれを目立たせるだけです。

FDAの通知にある暫定措置は示唆に富んでいます。医療施設には、測定器のデータ管理システムで「Validate Patient ID’s（患者IDの検証）」を有効にすること（EMRにADT連携がある施設向け）、検査のたびに操作者がログアウトされるよう操作者ログオフモードを設定すること、そして「Confirm Patient ID（患者ID確認）」画面で患者識別子を確認し、結果画面でもう一度確認することが推奨されました。このうち2つは、有効にした状態で出荷できたはずの設定です。3つ目は、画面が強制できたはずの確認です。設計の教訓はこのリストに集約されています。安全な動作はすでにシステムの中にあり、しかもそれはオプションだったのです。

金型着手前のレビューで問うべき3つの質問

当社では、どの製品も金型着手前に33項目のDFXリスクレビューを実施します。赤・黄・緑の3段階で評価し、赤が1つでもあれば案件は停止するというルールです。項目の大半は製造性、コスト、安全性、法規適合に関するものです。今回のようなリコールは、画面とメモリを持つあらゆる機器について、状態処理を明示的な項目にすべきだという強い論拠になります。そのレビューで答えを得ておきたい質問が3つあ⁠り⁠ま⁠す⁠。

何を、いつ消去するのか？ コンテキストを変えるすべてのイベント（新しい使用者、新しい検体、新しいセッション、タイムアウト）には、表示内容と保存内容に対する定義された効果があるべきです。「前の値は上書きされるまで残る」というのは1つの設計判断です。それは意図的なものであり、文書化され、実際のワークフローにある中断を使って試験されていなければなり⁠ま⁠せ⁠ん⁠。

確認画面は実際に何を確認しているのか？ 古いデータを表示する確認画面は、間違ったものを完全な自信をもって確認します。画面には、機器がこれから処理しようとしている値を、機器が実際に読み取るのと同じ場所から読み出して表示すべきです。前回の処理から残ったキャッシュのコピーでは意味がありません。

どの安全な動作をデフォルトにするのか？ 検査のたびに操作者をログアウトさせること。そのデータが使えるときは必ず、記録システムに対してIDを検証すること。リコール通知で推奨されるほど安全な動作であれば、有効にした状態で出荷できるほど安全です。オフにしたい人には、自分でオフにしてもらえばよいのです。

どれも特別なエンジニアリングではありません。デモではファームウェアが動いていて、日程が詰まっているからという理由で飛ばされがちな種類の項目です。ゲートレビューが存在するのは、「デモでは動いた」を合格基準にしないためです。安全に関わる機能にはハードウェアとファームウェアで独立した2層の保護を置くという当社のルールも、同じ考え方に立っています。故障は起きると仮定し、そのうえで無害⁠に⁠す⁠る⁠。

機器の製造委託先を探して⁠い⁠る⁠な⁠ら

コネクテッド型の健康機器の製造委託先を探しているブランドにとって、今回のリコールは使える監査質問を1つ与えてくれます。製造業者に、使用に関連するリスクが設計レビューのどこに位置づけられているのか、それとも試験計画にしか現れないのかを尋ねてください。使用者がセッションの途中で入れ替わったとき、その機器が何をするのかを尋ねてください。実際のCAPA事例を見せてもらい、根本原因が設計レベルまで届いたのか、交換した部品のところで止まったのかを確かめてく⁠だ⁠さ⁠い⁠。

範囲について申し上げます。当社はISO 13485:2016のもとで設計・製造を行い、貴社の規制対応に向けた文書・試験サポートを提供します。ユーザビリティエンジニアリングファイル、申請、そしてクリアランスは、機器の法的製造業者、通常はブランドに帰属します。ただし、上に挙げた状態処理の質問は開発の最中に、当社の側で答えを出すものです。当社としては、リコール通知の中で答えるより、金型着手前に答えるほうをはるかに望みます。

画面とメモリを持つ機器を計画中であれば、お問い合わせから、DFXレビューがその機器をどう扱うかを一緒に確認したい旨をお知らせください。2営業日以内に一次回答いたします。

FAQ

Class Iリコールとは何ですか？

FDAのもっとも重大なリコール分類で、製品の使用によって重篤な健康被害または死亡が生じる合理的な可能性がある状況を指します。この分類が示すのはハザードの潜在的な重大性であり、発生した事故の件数については何も語りません。今回の事例では、通知の発行時点で重篤な傷害1件が報告されていました。

ハードウェアの不具合ですか、ソフトウェアの不具合ですか？

FDAの通知によれば、問題はバーコード読み取り後に画面が表示する内容にあり、すべてのファームウェアバージョンのGen 2.0測定器に影響し、是正はソフトウェア更新です。通知によれば分析性能には影響がないため、試験紙の化学反応とセンサーは関与していません。

使用エラーとユーザーエラーの違いは何です⁠か⁠？

ユーザーエラーは人に責任を置きます。使用エラーはIEC 62366-1とFDAのガイダンスで使われる用語で、予見可能な使用条件のもとで使用者が意図しなかった結果を指します。ユーザビリティエンジニアリングのプロセスは、それを減らすことをメーカーの仕事と位置づけます。

受託製造業者はユーザビリティエンジニアリングを担当しますか？

一部です。ユーザビリティエンジニアリングファイルと規制当局への申請は法的製造業者、通常はブランドに帰属します。受託製造業者が担うのは、設計レベルのリスクレビュー、状態処理とインターロックの設計、そしてそれらのファイルに必要な文書と試験エビデンスです。どの部分を誰が持つのか、開発開始前に書面で合意してく⁠だ⁠さ⁠い⁠。