Class I Recall เครื่องวัดน้ำตาล: บทเรียน Use Error

การเรียกคืนระดับ Class I ที่เซ็นเซอร์ไม่ได้ทำอะไรผิด

เมื่อวันที่ 20 ตุลาคม 2026 FDA แจ้งต่อสาธารณะว่า StatStrip Glucose Hospital Meter System Gen 2.0 ของ Nova Biomedical อยู่ระหว่างการเรียกคืนระดับ Class I ซึ่งเป็นระดับที่ร้ายแรงที่สุดของหน่วยงาน ประกาศของ FDA สั้นมาก แต่เหตุผลในนั้นควรค่าแก่การอ่านซ้ำอีกรอบ การวัดน้ำตาลไม่มีอะไรผิดพลาดเลย ในประกาศ Nova Biomedical ระบุว่าปัญหานี้ “ไม่กระทบสมรรถนะเชิงวิเคราะห์ของการวัดระดับน้ำตาล” สิ่งที่ล้มเหลวคือหน้าจอ

เมื่อผู้ปฏิบัติงานสแกน ID ผู้ป่วยหรือบาร์โค้ดควบคุมคุณภาพ (QC) ข้อมูลก่อนหน้าอาจยังค้างอยู่บนหน้าจอของเครื่อง ถ้าผู้ปฏิบัติงานยอมรับสิ่งที่แสดงอยู่ ผลน้ำตาลอาจถูกบันทึกเข้าเวชระเบียนของผู้ป่วยคนก่อน หรือบันทึกไว้ภายใต้ QC ID ซึ่งหมายความด้วยว่าเวชระเบียนของผู้ป่วยที่ถูกตรวจจริงจะไม่มีผลของการตรวจครั้งนั้นเลย FDA ระบุอันตรายที่อาจเกิดขึ้นไว้ว่า การรักษาล่าช้า การรักษาที่ไม่จำเป็นรวมถึงการให้อินซูลินอย่างไม่เหมาะสม และการไม่ได้รักษาผู้ป่วยที่ควรได้รับการรักษา ผู้ป่วยวิกฤตและทารกมีความเสี่ยงสูงกว่า เพราะอาจสื่อสารอาการของภาวะน้ำตาลในเลือดต่ำไม่ได้

ณ วันที่ 5 ตุลาคม Nova Biomedical ได้รายงานการบาดเจ็บรุนแรงหนึ่งรายและไม่มีผู้เสียชีวิต มีเพียงรุ่น Gen 2.0 เท่านั้นที่ได้รับผลกระทบ ในทุกเวอร์ชันของเฟิร์มแวร์ รุ่นก่อนหน้าไม่ได้รับผลกระทบ บริษัทได้ระงับการจัดส่งระบบ Gen 2.0 เครื่องใหม่ระหว่างที่ตรวจสอบความถูกต้องของการอัปเดตซอฟต์แวร์ และวางแผนทยอยปล่อยเป็นระยะตั้งแต่เดือนพฤศจิกายน 2026 โรงพยาบาลที่มีเครื่องวัดทางเลือกได้รับคำแนะนำให้หยุดใช้เครื่องที่ได้รับผลกระทบจนกว่าจะอัปเดตเสร็จ (ตัวเลขและวันที่มาจากประกาศของ FDA ฉบับปรับปรุงเมื่อวันที่ 30 ตุลาคม 2026)

ตัวเลขแม่นยำ แต่ผู้ป่วยผิดคน

ทุกคนที่สร้างอุปกรณ์วัดต่างปรับแต่งสิ่งเดียวกัน ความแม่นยำ ความสามารถในการวัดซ้ำ ความปลอดภัยทางไฟฟ้า และเส้นทางการรับรอง สิ่งเหล่านี้คือสิ่งที่อยู่ในสเปกชีต ห้องแล็บทดสอบวัดได้ และผู้ตรวจประเมินตรวจสอบ การเรียกคืนครั้งนี้ไม่ได้แตะสิ่งเหล่านั้นเลยแม้แต่ข้อเดียว มันเกิดขึ้นในครึ่งวินาทีระหว่างการตรวจครั้งหนึ่งกับครั้งถัดไป บนหอผู้ป่วย ขณะที่พยาบาลถือเครื่องวัดอยู่ในมือข้างเดียว

ครึ่งวินาทีนั้นคือส่วนของอุปกรณ์ที่มองเห็นได้ยากที่สุดบนโต๊ะทดสอบ ในห้องแล็บคุณสแกนบาร์โค้ดหนึ่งอัน รันแถบตรวจหนึ่งแผ่น อ่านผลหนึ่งค่า และลำดับก็สะอาดเรียบร้อย แต่บนหอผู้ป่วย ลำดับนั้นถูกขัดจังหวะเป็นสิบครั้ง ไฟเรียกพยาบาลติด ผู้ป่วยคนที่สองเข้ามา แถบตรวจเสียบไม่สนิท ตลอดทั้งหมดนั้น อุปกรณ์ต้องรู้สถานะของตัวเองอย่างถูกต้องอยู่เสมอ หน้าจอที่ยังแสดงรหัสของผู้ป่วยคนก่อน ทั้งที่สแกนผู้ป่วยคนถัดไปแล้ว ในทางเทคนิคคือบั๊กของการแสดงผล แต่ในภาษาของการบริหารความเสี่ยง มันคืออันตราย (hazard)

หน่วยงานกำกับดูแลมีชื่อเรียกปัญหาประเภทนี้ว่า use error ไม่ใช่ user error และความต่างนี้คือประเด็นทั้งหมด Use error คือการกระทำหรือการละเว้นการกระทำของผู้ใช้อุปกรณ์ ที่นำไปสู่ผลลัพธ์ที่ต่างจากที่ผู้ผลิตตั้งใจหรือผู้ใช้คาดหวัง มาตรฐานจำกัดขอบเขตเรื่องนี้ไว้ที่การใช้งานปกติ ซึ่งรวมถึงการใช้ผิดวิธีที่คาดการณ์ได้อย่างสมเหตุสมผล IEC 62366-1 ซึ่งเป็นมาตรฐานวิศวกรรมความสามารถในการใช้งานสำหรับอุปกรณ์การแพทย์ และแนวทางด้านปัจจัยมนุษย์ของ FDA ต่างตั้งต้นจากหลักเดียวกัน ภาระงานของผู้ปฏิบัติงานคือหนึ่งในเงื่อนไขการใช้งานของอุปกรณ์ และอุปกรณ์ไม่มีสิทธิ์ใช้มันเป็นข้ออ้าง

ความแม่นยำคือตั๋วเข้าตลาด ขั้นตอนการทำงานคือตัวตัดสินจริง

มุมมองของเรา จากการสร้างอุปกรณ์การแพทย์และสุขภาพสำหรับใช้ในบ้านให้แบรนด์ต่าง ๆ มาตั้งแต่ปี 1996 คือ ความแม่นยำพาคุณเข้าสู่ตลาดได้ แต่สิ่งที่ทำให้คุณอยู่ในตลาดต่อไปคือทุกอย่างที่อยู่รอบการวัด ผู้ใช้คือใคร เขากำลังทำอะไรอย่างอื่นอยู่ด้วย หน้าจอบอกอะไรในวินาทีที่เขาเหลือบมอง และอุปกรณ์ทำอะไรเมื่อเขาไม่ได้มองเลย

อุปกรณ์ใช้ในบ้านทำให้เรื่องนี้ยากขึ้นอีก ผู้ปฏิบัติงานคือผู้ป่วยหรือคนในครอบครัว ไม่ได้ผ่านการฝึก มักจะเหนื่อย และบางครั้งก็คือคนที่กำลังถูกวัดเอง เราพูดถึงฝั่งการจัดหาของเรื่องนี้ไว้แล้วในคู่มือการผลิตอุปกรณ์การแพทย์ใช้ในบ้าน บทเรียนจากการเรียกคืนครั้งนี้คือ แม้แต่พยาบาลที่ผ่านการฝึกในโรงพยาบาลก็ยังสะดุดตรงจุดเดียวกันได้ การออกแบบเพื่อผู้ใช้ที่วอกแวกคือกรณีทั่วไป การใช้ในบ้านแค่ทำให้มันเด่นชัดขึ้น

มาตรการชั่วคราวในประกาศของ FDA ให้ข้อคิดได้ดี สถานพยาบาลได้รับคำแนะนำให้เปิดใช้ “Validate Patient ID’s” ในระบบจัดการข้อมูลของเครื่องวัด (สำหรับไซต์ที่ EMR เชื่อมต่อกับ ADT แล้ว) ให้ตั้งโหมดล็อกเอาต์ผู้ปฏิบัติงานเพื่อให้ผู้ปฏิบัติงานถูกล็อกเอาต์หลังการตรวจทุกครั้ง และให้ตรวจสอบรหัสผู้ป่วยบนหน้าจอ Confirm Patient ID แล้วตรวจซ้ำอีกครั้งบนหน้าจอผลลัพธ์ สองข้อในนั้นคือการตั้งค่าที่สามารถเปิดไว้ตั้งแต่ออกจากโรงงานได้ ข้อที่สามคือการตรวจสอบที่หน้าจอสามารถบังคับได้ตั้งแต่ต้น บทเรียนด้านการออกแบบอยู่ในรายการเดียวนี้ครบ พฤติกรรมที่ปลอดภัยมีอยู่ในระบบแล้ว แต่มันเป็นตัวเลือก

สามคำถามสำหรับการตรวจก่อนขึ้นแม่พิมพ์

เรารันการตรวจความเสี่ยง DFX 33 รายการก่อนที่ผลิตภัณฑ์ใดจะเข้าสู่การขึ้นแม่พิมพ์ ด้วยการให้ระดับแดง เหลือง เขียว และกฎที่ว่าไฟแดงเพียงดวงเดียวหยุดโครงการ รายการส่วนใหญ่ว่าด้วยความสามารถในการผลิต ต้นทุน ความปลอดภัย และความสอดคล้องด้านกฎระเบียบ การเรียกคืนแบบนี้เป็นเหตุผลที่หนักแน่นมากที่จะทำให้การจัดการสถานะ (state handling) กลายเป็นรายการที่ระบุไว้ชัดเจนสำหรับอุปกรณ์ทุกตัวที่มีหน้าจอและหน่วยความจำ สามคำถามที่เราอยากได้คำตอบในการตรวจนั้น

อะไรถูกล้าง และเมื่อไร? ทุกเหตุการณ์ที่เปลี่ยนบริบท (ผู้ใช้ใหม่ ตัวอย่างใหม่ เซสชันใหม่ การหมดเวลา) ควรมีผลที่นิยามไว้ชัดเจนต่อสิ่งที่แสดงอยู่และสิ่งที่ถูกจัดเก็บ “ค่าก่อนหน้าคงอยู่จนกว่าจะถูกเขียนทับ” คือการตัดสินใจด้านการออกแบบอย่างหนึ่ง มันควรเป็นการตัดสินใจที่จงใจ เขียนเป็นลายลักษณ์อักษร และผ่านการทดสอบด้วยการขัดจังหวะแบบที่เกิดขึ้นจริงในขั้นตอนการทำงาน

หน้าจอยืนยันกำลังยืนยันอะไรกันแน่? หน้าจอยืนยันที่แสดงข้อมูลเก่าค้างอยู่ จะยืนยันสิ่งที่ผิดด้วยความมั่นใจเต็มร้อย หน้าจอควรแสดงค่าที่อุปกรณ์กำลังจะนำไปใช้จริง โดยอ่านจากที่เดียวกับที่อุปกรณ์จะอ่าน สำเนาที่แคชไว้จากการตรวจครั้งก่อนไม่นับ

พฤติกรรมปลอดภัยข้อไหนเป็นค่าเริ่มต้น? ล็อกเอาต์ผู้ปฏิบัติงานหลังการตรวจทุกครั้ง ตรวจสอบรหัสกับระบบเวชระเบียนทุกครั้งที่มีข้อมูลนั้นให้ใช้ ถ้าพฤติกรรมหนึ่งปลอดภัยพอที่จะถูกแนะนำในประกาศเรียกคืน มันก็ปลอดภัยพอที่จะเปิดไว้ตั้งแต่ออกจากโรงงาน ปล่อยให้คนที่อยากปิดไปปิดเอาเอง

ทั้งหมดนี้ไม่ใช่วิศวกรรมอะไรที่แปลกประหลาด มันเป็นรายการประเภทที่ถูกข้ามไปเพราะเฟิร์มแวร์ทำงานได้ในการสาธิตและตารางเวลาก็บีบ การทบทวนที่ด่านมีอยู่เพื่อไม่ให้ “ทำงานได้ในการสาธิต” กลายเป็นเกณฑ์ผ่าน แนวคิดเดียวกันนี้อยู่เบื้องหลังกฎของเราอยู่แล้ว ที่ว่าฟังก์ชันซึ่งวิกฤตต่อความปลอดภัยต้องมีการป้องกันสองชั้นที่เป็นอิสระต่อกัน ทั้งฮาร์ดแวร์และเฟิร์มแวร์ สมมติไว้ก่อนว่าความล้มเหลวจะเกิด แล้วทำให้มันไม่เป็นอันตราย

ถ้าคุณกำลังหาโรงงานผลิตอุปกรณ์ เรื่องนี้หมายความว่าอย่างไร

ถ้าคุณเป็นแบรนด์ที่กำลังหาผู้ผลิตอุปกรณ์สุขภาพแบบเชื่อมต่อ การเรียกคืนครั้งนี้มอบคำถามตรวจสอบที่มีประโยชน์ให้คุณ ถามผู้ผลิตของคุณว่าความเสี่ยงที่เกี่ยวกับการใช้งานอยู่ตรงไหนในการทบทวนการออกแบบของเขา และมันโผล่มาแค่ในแผนการทดสอบหรือเปล่า ถามว่าอุปกรณ์ของเขาทำอะไรเมื่อผู้ใช้เปลี่ยนคนกลางเซสชัน ขอดูเคส CAPA ของจริง แล้วตรวจดูว่าสาเหตุที่แท้จริง (root cause) ลงไปถึงระดับการออกแบบ หรือหยุดอยู่แค่ชิ้นส่วนที่ถูกเปลี่ยน

เรื่องขอบเขต เราออกแบบและผลิตภายใต้ ISO 13485:2016 และให้การสนับสนุนด้านเอกสารและการทดสอบสำหรับงานด้านกฎระเบียบของคุณ แฟ้มวิศวกรรมความสามารถในการใช้งาน การยื่นเอกสาร และการได้รับอนุญาต เป็นของผู้ผลิตตามกฎหมายของอุปกรณ์ ซึ่งโดยทั่วไปคือแบรนด์ แต่คำถามเรื่องการจัดการสถานะข้างต้นจะได้รับคำตอบระหว่างการพัฒนา ในฝั่งของเรา และเราอยากตอบมันก่อนขึ้นแม่พิมพ์มากกว่าตอบในประกาศแจ้งเตือนภาคสนาม

ถ้าคุณกำลังวางแผนอุปกรณ์ที่มีหน้าจอและหน่วยความจำ ส่งคำถามมา แล้วขอให้เราพาไล่ดูว่าการตรวจ DFX จะมองมันอย่างไร คุณจะได้รับการตอบกลับเบื้องต้นภายใน 2 วันทำการ

คำถามที่พบบ่อย

การเรียกคืนระดับ Class I หมายความว่าอย่างไร?

มันคือระดับการเรียกคืนที่ร้ายแรงที่สุดของ FDA สถานการณ์ที่มีความเป็นไปได้อย่างสมเหตุสมผลว่าการใช้ผลิตภัณฑ์จะก่อให้เกิดผลเสียร้ายแรงต่อสุขภาพหรือเสียชีวิต ระดับนี้บอกถึงความรุนแรงที่อาจเกิดขึ้นของอันตราย และไม่ได้บอกอะไรเลยว่าเกิดเหตุการณ์ขึ้นแล้วกี่ครั้ง ในกรณีนี้มีรายงานการบาดเจ็บรุนแรงหนึ่งรายเมื่อประกาศออกมา

นี่เป็นความผิดพลาดของฮาร์ดแวร์หรือซอฟต์แวร์?

ตามประกาศของ FDA ปัญหาอยู่ที่สิ่งที่หน้าจอแสดงหลังสแกนบาร์โค้ด กระทบเครื่องวัดรุ่น Gen 2.0 ในทุกเวอร์ชันของเฟิร์มแวร์ และการแก้ไขคือการอัปเดตซอฟต์แวร์ ตามประกาศ สมรรถนะเชิงวิเคราะห์ไม่ได้รับผลกระทบ เคมีของแถบตรวจและเซ็นเซอร์จึงไม่เกี่ยวข้อง

Use error ต่างจาก user error อย่างไร?

User error โยนความผิดไปที่ตัวบุคคล ส่วน use error ซึ่งเป็นคำที่ใช้ใน IEC 62366-1 และในแนวทางของ FDA อธิบายถึงผลลัพธ์ที่ผู้ใช้ไม่ได้ตั้งใจ ภายใต้เงื่อนไขการใช้งานที่คาดการณ์ได้ จากนั้นกระบวนการวิศวกรรมความสามารถในการใช้งานก็ทำให้การลดมันลงเป็นหน้าที่ของผู้ผลิต

ผู้รับจ้างผลิตดูแลเรื่องวิศวกรรมความสามารถในการใช้งานไหม?

บางส่วน แฟ้มวิศวกรรมความสามารถในการใช้งานและการยื่นเอกสารต่อหน่วยงานกำกับดูแลเป็นของผู้ผลิตตามกฎหมาย ซึ่งปกติคือแบรนด์ ผู้รับจ้างผลิตมีส่วนร่วมในการทบทวนความเสี่ยงระดับการออกแบบ การออกแบบการจัดการสถานะและอินเตอร์ล็อก รวมถึงเอกสารและหลักฐานการทดสอบที่แฟ้มเหล่านั้นต้องใช้ ตกลงกันเป็นลายลักษณ์อักษรว่าใครเป็นเจ้าของส่วนไหนก่อนเริ่มการพัฒนา