Máy đo đường huyết bị thu hồi Class I: lỗi sử dụng

Một đợt thu hồi Class I mà cảm biến không hề sai

Ngày 20 tháng 10 năm 2026, FDA thông báo cho công chúng rằng hệ thống máy đo đường huyết bệnh viện StatStrip Glucose Hospital Meter System Gen 2.0 của Nova Biomedical đang bị thu hồi ở mức Class I, mức nghiêm trọng nhất trong phân loại của cơ quan này. Thông báo của FDA khá ngắn, nhưng lý do thì đáng đọc lại lần thứ hai. Phép đo đường huyết không có gì sai. Trong thông báo, Nova Biomedical nêu rằng vấn đề này “không ảnh hưởng đến hiệu năng phân tích của các phép đo đường huyết”. Thứ hỏng là màn hình.

Khi người vận hành quét mã bệnh nhân hoặc mã vạch kiểm soát chất lượng (QC), thông tin trước đó có thể vẫn còn trên màn hình của máy. Nếu người vận hành chấp nhận những gì đang hiển thị, kết quả đường huyết có thể được ghi vào hồ sơ bệnh án của bệnh nhân trước, hoặc vào một mã QC. Điều đó cũng có nghĩa là hồ sơ của bệnh nhân thực sự được đo thì lại không có kết quả cho lần đo ấy. FDA liệt kê các nguy cơ có thể xảy ra gồm chậm trễ điều trị, điều trị không cần thiết trong đó có việc dùng insulin không phù hợp, và không điều trị đúng bệnh nhân cần được điều trị. Bệnh nhân nguy kịch và trẻ sơ sinh chịu rủi ro cao hơn, vì họ có thể không nói ra được các triệu chứng hạ đường huyết của mình.

Tính đến ngày 5 tháng 10, Nova Biomedical đã báo cáo một ca thương tích nghiêm trọng và không có ca tử vong nào. Chỉ dòng Gen 2.0 bị ảnh hưởng, trên mọi phiên bản firmware; các thế hệ trước thì không. Công ty đã tạm dừng xuất xưởng các hệ thống Gen 2.0 mới trong lúc thẩm định một bản cập nhật phần mềm, với kế hoạch triển khai theo từng đợt từ tháng 11 năm 2026. Các bệnh viện có máy đo thay thế được yêu cầu ngừng dùng máy bị ảnh hưởng cho tới khi nó được cập nhật. (Số liệu và ngày tháng lấy từ thông báo của FDA theo bản cập nhật ngày 30 tháng 10 năm 2026.)

Con số chính xác, nhầm bệnh nhân

Ai làm thiết bị đo lường cũng tối ưu cùng một số thứ: độ chính xác, độ lặp lại, an toàn điện, con đường chứng nhận. Đó là những gì bảng thông số liệt kê, phòng thử nghiệm đo, và đánh giá viên kiểm tra. Đợt thu hồi này không chạm tới bất kỳ điều nào trong số đó. Nó rơi vào nửa giây giữa lần đo này và lần đo kế tiếp, trong một khoa bệnh, khi một điều dưỡng một tay đang cầm máy đo.

Nửa giây ấy là phần khó nhìn thấy nhất của một thiết bị khi đặt trên bàn thử. Trong phòng thí nghiệm, người ta quét một mã vạch, chạy một que thử, đọc một kết quả, và chuỗi thao tác trơn tru. Ngoài khoa bệnh, chuỗi ấy bị ngắt quãng cả chục lần: chuông gọi, một bệnh nhân thứ hai, một que thử chưa vào khớp. Qua tất cả những điều đó, thiết bị vẫn phải đúng về trạng thái của chính mình. Một màn hình vẫn hiển thị mã của bệnh nhân trước sau khi mã của bệnh nhân kế tiếp đã được quét, về mặt kỹ thuật, là một lỗi hiển thị. Trong ngôn ngữ của quản lý rủi ro, đó là một mối nguy.

Cơ quan quản lý có một cái tên cho loại vấn đề này: lỗi sử dụng (use error). Không phải lỗi người dùng (user error), và sự khác biệt ấy chính là toàn bộ vấn đề. Lỗi sử dụng là một hành động, hoặc một hành động bị bỏ sót, của người dùng thiết bị dẫn đến kết quả khác với điều nhà sản xuất dự định hoặc người dùng mong đợi. Tiêu chuẩn giới hạn phạm vi này trong điều kiện sử dụng bình thường, bao gồm cả việc dùng sai có thể lường trước một cách hợp lý. IEC 62366-1, tiêu chuẩn kỹ thuật khả dụng cho thiết bị y tế, và hướng dẫn về yếu tố con người của FDA đều xuất phát từ cùng một tiền đề: khối lượng công việc của người vận hành là một trong các điều kiện vận hành của thiết bị, và thiết bị không được phép lấy nó làm lý do bào chữa.

Độ chính xác là tấm vé vào cửa. Quy trình mới là điều quyết định.

Quan điểm của chúng tôi, từ việc chế tạo thiết bị y tế và chăm sóc sức khỏe dùng tại nhà cho các thương hiệu từ năm 1996: độ chính xác đưa quý khách vào được thị trường. Thứ giữ quý khách ở lại là mọi điều xung quanh phép đo. Người dùng là ai, họ đang làm gì khác cùng lúc, màn hình nói gì vào khoảnh khắc họ liếc nhìn, và thiết bị làm gì khi họ hoàn toàn không liếc nhìn.

Thiết bị dùng tại nhà khiến bài toán này khó hơn. Người vận hành là bệnh nhân hoặc người nhà, không qua đào tạo, thường mệt mỏi, đôi khi chính là người đang được đo. Chúng tôi đã bàn về khía cạnh tìm nguồn sản xuất của chuyện này trong hướng dẫn sản xuất thiết bị y tế dùng tại nhà. Bài học từ đợt thu hồi này là một điều dưỡng được đào tạo trong bệnh viện vẫn mắc đúng cái bẫy ấy. Thiết kế cho người dùng bị phân tâm là trường hợp tổng quát. Dùng tại nhà chỉ làm nó lộ rõ hơn.

Các biện pháp tạm thời trong thông báo của FDA rất đáng học. Các cơ sở được khuyến nghị bật tính năng “Validate Patient ID’s” (xác thực mã bệnh nhân) trong hệ thống quản lý dữ liệu của máy đo (với những nơi có tích hợp ADT trong EMR), đặt chế độ đăng xuất người vận hành để người vận hành bị đăng xuất sau mỗi lần đo, và kiểm tra mã định danh bệnh nhân trên màn hình Confirm Patient ID (xác nhận mã bệnh nhân) rồi kiểm tra lại một lần nữa trên màn hình kết quả. Hai trong số đó là những thiết lập lẽ ra có thể được bật sẵn khi xuất xưởng; điều thứ ba là một bước kiểm tra mà màn hình lẽ ra có thể bắt buộc. Bài học thiết kế nằm gọn trong một danh sách: hành vi an toàn đã có sẵn trong hệ thống, và nó là tùy chọn.

Ba câu hỏi cho buổi đánh giá trước khi làm khuôn

Chúng tôi chạy một cuộc đánh giá rủi ro DFX gồm 33 hạng mục trước khi bất kỳ sản phẩm nào đi vào làm khuôn, với ba mức đỏ, vàng, xanh và quy tắc rằng chỉ một mức đỏ là chương trình dừng lại. Phần lớn các hạng mục nói về khả năng sản xuất, chi phí, an toàn và tuân thủ. Một đợt thu hồi như thế này là một lý lẽ mạnh để đưa việc xử lý trạng thái thành một hạng mục riêng, được nêu rõ, cho bất kỳ thiết bị nào có màn hình và bộ nhớ. Ba câu hỏi chúng tôi muốn được trả lời trong cuộc đánh giá đó:

Điều gì được xóa, và khi nào? Mỗi sự kiện làm thay đổi ngữ cảnh (một người dùng mới, một mẫu mới, một phiên mới, hết thời gian chờ) đều phải có tác động được định nghĩa rõ lên những gì đang hiển thị và những gì đang được lưu. “Giá trị trước đó được giữ lại cho tới khi bị ghi đè” là một quyết định thiết kế. Nó phải là một quyết định có chủ ý, được viết ra, và được thử nghiệm với chính những gián đoạn mà quy trình thực tế có.

Màn hình xác nhận thực sự xác nhận điều gì? Một màn hình xác nhận hiển thị dữ liệu cũ sẽ xác nhận sai thứ với sự tự tin tuyệt đối. Màn hình phải trình bày giá trị mà thiết bị sắp dùng để hành động, đọc từ đúng nơi thiết bị sẽ đọc. Một bản sao trong bộ nhớ đệm từ lần đo trước không được tính.

Những hành vi an toàn nào là mặc định? Đăng xuất người vận hành sau mỗi lần đo. Đối chiếu mã định danh với hệ thống hồ sơ mỗi khi có sẵn dữ liệu ấy. Nếu một hành vi đủ an toàn để được khuyến nghị trong một thông báo thu hồi, thì nó đủ an toàn để được bật sẵn khi xuất xưởng. Ai muốn tắt thì hãy để họ tự đi tắt.

Không điều nào trong số này là kỹ thuật cao siêu. Đó là loại hạng mục bị bỏ qua vì firmware chạy tốt trong buổi demo và tiến độ thì gấp. Một cuộc đánh giá cửa kiểm soát tồn tại để “chạy tốt trong buổi demo” không phải là tiêu chuẩn để đi tiếp. Cùng một lối nghĩ đã nằm sau quy tắc của chúng tôi rằng một chức năng trọng yếu về an toàn phải có hai lớp bảo vệ độc lập, phần cứng và firmware: cứ giả định hư hỏng sẽ xảy ra, rồi làm cho nó trở nên vô hại.

Điều này có ý nghĩa gì nếu quý khách đang tìm nguồn sản xuất thiết bị

Nếu quý khách là một thương hiệu đang tìm nguồn sản xuất một thiết bị sức khỏe có kết nối, đợt thu hồi này trao cho quý khách một câu hỏi thẩm định hữu ích. Hãy hỏi nhà sản xuất của mình xem rủi ro liên quan đến sử dụng nằm ở đâu trong đánh giá thiết kế của họ, hay nó chỉ xuất hiện trong kế hoạch thử nghiệm. Hãy hỏi thiết bị của họ làm gì khi người dùng thay đổi giữa phiên. Hãy yêu cầu xem một hồ sơ CAPA thực tế, và kiểm tra xem nguyên nhân gốc được truy đến cấp thiết kế hay dừng lại ở một linh kiện được thay thế.

Về phạm vi: chúng tôi thiết kế và sản xuất theo ISO 13485:2016 và cung cấp hỗ trợ tài liệu và thử nghiệm cho công việc pháp quy của quý khách. Hồ sơ kỹ thuật khả dụng, hồ sơ đăng ký và giấy phép thuộc về nhà sản xuất hợp pháp của thiết bị, thường là thương hiệu. Tuy nhiên, những câu hỏi về xử lý trạng thái ở trên được trả lời trong quá trình phát triển, ở phía bàn của chúng tôi, và chúng tôi thà trả lời chúng trước khi làm khuôn còn hơn là trong một thông báo hiện trường.

Nếu quý khách đang lên kế hoạch cho một thiết bị có màn hình và bộ nhớ, hãy gửi yêu cầu và đề nghị chúng tôi trình bày cách một cuộc đánh giá DFX sẽ xử lý nó. Quý khách sẽ nhận được phản hồi ban đầu trong vòng 2 ngày làm việc.

FAQ

Thu hồi Class I nghĩa là gì?

Đó là mức phân loại thu hồi nghiêm trọng nhất của FDA: một tình huống trong đó có xác suất hợp lý rằng việc sử dụng sản phẩm sẽ gây ra hậu quả nghiêm trọng cho sức khỏe hoặc tử vong. Mức phân loại mô tả mức độ nghiêm trọng tiềm tàng của mối nguy, và không nói gì về việc đã xảy ra bao nhiêu sự cố. Trong trường hợp này, một ca thương tích nghiêm trọng đã được báo cáo khi thông báo được ban hành.

Đây là lỗi phần cứng hay lỗi phần mềm?

Theo thông báo của FDA, vấn đề nằm ở những gì màn hình hiển thị sau khi quét mã vạch, nó ảnh hưởng đến các máy Gen 2.0 trên mọi phiên bản firmware, và biện pháp khắc phục là một bản cập nhật phần mềm. Theo thông báo, hiệu năng phân tích không bị ảnh hưởng, nên hóa chất của que thử và cảm biến không liên quan.

Lỗi sử dụng và lỗi người dùng khác nhau thế nào?

Lỗi người dùng đặt trách nhiệm lên con người. Lỗi sử dụng, thuật ngữ được dùng trong IEC 62366-1 và trong hướng dẫn của FDA, mô tả một kết quả mà người dùng không chủ ý, trong những điều kiện sử dụng có thể lường trước. Quy trình kỹ thuật khả dụng sau đó biến việc giảm thiểu nó thành trách nhiệm của nhà sản xuất.

Nhà sản xuất theo hợp đồng có đảm nhận kỹ thuật khả dụng không?

Một phần. Hồ sơ kỹ thuật khả dụng và hồ sơ đăng ký với cơ quan quản lý thuộc về nhà sản xuất hợp pháp, thường là thương hiệu. Một nhà sản xuất theo hợp đồng đóng góp đánh giá rủi ro ở cấp thiết kế, thiết kế xử lý trạng thái và khóa liên động, cùng tài liệu và bằng chứng thử nghiệm mà các hồ sơ ấy cần. Hãy thống nhất bằng văn bản ai sở hữu phần nào trước khi bắt đầu phát triển.