FDA Class I 召回：血糖機量得準，畫面卻沒清乾淨

感測器沒出錯的 Class I 召回

2026 年 10 月 20 日，FDA 公告 Nova Biomedical 的 StatStrip Glucose Hospital Meter System Gen 2.0 列入 Class I 召回，這是 FDA 最嚴重的召回等級。FDA 的公告很短，但原因值得多讀一次。血糖量測本身沒有問題。公告引述 Nova Biomedical 的說法：這個問題「不影響血糖量測的分析效能」。出問題的是畫面。

操作者掃病人 ID 或品管（QC）條碼的時候，前一筆資料可能還留在螢幕上。如果操作者直接接受畫面顯示的內容，血糖值就會被記到前一位病人的病歷，或是記成品管紀錄。也就是說，真正被量的那位病人，病歷上反而沒有這一筆。FDA 列出的可能傷害包括延誤治療、不必要的治療（包括不當的胰島素給藥），以及該治療的病人沒被治療。重症病人和嬰兒風險更高，因為他們可能說不出自己低血糖的症狀。

截至 10 月 5 日，Nova Biomedical 回報了一件嚴重傷害，沒有死亡。受影響的只有 Gen 2.0 這一代，所有韌體版本都在內，更早的機型不受影響。廠商已經暫停出貨新的 Gen 2.0 系統，正在驗證軟體更新，預計 2026 年 11 月起分批推送。有替代血糖機的醫院，被建議先停用受影響的機器，等更新完再用。（本文數字與日期取自 FDA 公告 2026 年 10 月 30 日的更新版。）

數字很準，病人是錯的

做量測裝置的人，追的都是同一批東西：準確度、重複性、電氣安全、認證路徑。規格表列的是這些，實驗室量的是這些，稽核員查的也是這些。這次召回一樣都沒碰到。它出在兩次量測之間那半秒鐘，在病房裡，護理師一手拿著血糖機的時候。

那半秒鐘，是裝置最難在實驗桌上看見的部分。在實驗室裡，掃一個條碼、跑一片試紙、讀一個結果，順序乾乾淨淨。到了病房，這個順序會被打斷十幾次：呼叫鈴響、第二個病人來了、試紙沒插好。從頭到尾，裝置都得搞清楚自己現在是什麼狀態。下一個人的條碼已經掃了，螢幕上卻還是上一個人的 ID，技術上這叫顯示的 bug，在風險管理的用語裡，這叫危害。

法規對這一類問題有個名字：使用錯誤（use error）。它刻意不叫「使用者錯誤」，這個差別就是重點。使用錯誤指的是操作者做了或漏做了某個動作，結果和製造商預期或使用者預期的不同。標準把範圍定在正常使用，包括可合理預見的誤用。醫療器材的可用性工程標準 IEC 62366-1，和 FDA 的人因工程指引，都從同一個前提出發：操作者的工作負荷是裝置的使用條件之一，裝置沒有資格拿它當藉口。

精度是門票，流程才是底線

我們從 1996 年開始替品牌做居家醫療和健康裝置，看法是這樣：準確度讓你進得了市場，讓你留在市場的，是量測以外的所有東西。使用者是誰、他同時還在做什麼、他瞄一眼的那一刻螢幕上寫什麼、他根本沒瞄的時候裝置會怎麼做。

居家裝置只會更難。操作的是病人或家屬，沒受過訓練，常常很累，有時候就是正在被量的那個人。採購端該怎麼看這件事，我們在居家醫療器材製造指南談過。這次召回帶來的教訓是，醫院裡受過訓練的護理師，照樣踩到同一條線。替分心的使用者設計是通案，居家產品只是把它放大。

FDA 公告裡的暫時措施很值得細看。醫療機構被建議在血糖機的資料管理系統裡開啟「驗證病人 ID」（限 EMR 有整合 ADT 資料的機構），把操作者登出模式設成每測完一次就登出，並且在「確認病人 ID」畫面核對一次、結果畫面再核對一次。前兩件是出廠就可以開著的設定，第三件是畫面本來就可以強制做的核對。整個設計教訓就在這張清單裡：安全的行為早就在系統裡了，只是它⁠是⁠選⁠配⁠。

開模前的審查，值得多問⁠三⁠個⁠問⁠題

任何產品進開模之前，我們都會跑一輪 33 項的 DFX 風險評估，紅黃綠燈分級，一個紅燈就停。大部分項目在講可製造性、成本、安全和法規。這次的召回是個很強的理由，讓「狀態處理」在任何有螢幕、有記憶的裝置上，都該成為一個明列的檢查項。我們會想在審查裡問清楚三件事：

什麼時候清掉什麼？ 每一個改變情境的事件（換使用者、換樣本、重新開始一次作業、逾時）都應該明確定義它對畫面顯示和記憶體內容的影響。「上一筆留著，直到被覆蓋」是一個設計決定，它應該是刻意做的、寫下來的，而且用真實流程裡會發生的那些打斷⁠去⁠測⁠過⁠。

確認畫面到底確認了什麼？ 一個顯示舊資料的確認畫面，會非常篤定地確認錯的東西。畫面上該呈現裝置接下來要拿去用的那個值，從裝置真正會讀的地方讀出來，上一次測試留下的快取值不算。

哪些安全行為是預設？ 每測完一次就登出操作者。只要資料拿得到，就和病歷系統核對 ID。一個行為如果安全到值得寫進召回公告裡建議大家做，就安全到可以出廠就開著。想關的人，再自己去關。

這些都不是什麼高深的工程。它們是那種因為韌體在 demo 時跑得好好的、時程又很趕，就被跳過的項目。閘門審查存在的理由，就是不讓「demo 時沒問題」被當成過關標準。這和我們對安全關鍵功能的規矩是同一套想法，硬體和韌體各一道獨立保護：先假設失效會發生，再讓它變成無害。

如果你正在找工廠做這類裝置

如果你是品牌，正在找工廠做連網的健康裝置，這次召回剛好給你一個好用的稽核問題。問你的製造商，使用相關的風險放在設計審查的哪一項，還是只出現在測試計畫裡。問他們的裝置在使用者中途換人的時候會怎麼做。請他們拿一件真實的 CAPA 案例出來，看根因是落在設計層，還是停在換掉的那個零件。

範圍先講清楚：我們在 ISO 13485:2016 之下設計和製造，並且提供你法規作業所需的文件與測試支援。可用性工程檔案、送件和取得許可，屬於器材的合法製造商，通常就是品牌。但上面那三個狀態處理的問題，是在開發期間、在我們這一側回答的，我們寧願在開模前回答，也不想在召回公告⁠裡⁠回⁠答⁠。

如果你正在規劃一台有螢幕、有記憶的裝置，歡迎送出詢問，請我們走一遍 DFX 審查會怎麼看它。兩個工作天內會有初步回覆。

FAQ

Class I 召回是什麼意思？

這是 FDA 最嚴重的召回分級：使用該產品有合理的可能性造成嚴重的健康後果或死亡。分級講的是危害可能多嚴重，跟已經發生幾件事故是兩回事。這個案子在公告發布時，已回報一件嚴重傷害。

這是硬體問題還是軟體問題？

依 FDA 公告，問題出在掃完條碼之後畫面顯示的內容，影響所有韌體版本的 Gen 2.0 機型，矯正方式是軟體更新。依公告，分析效能不受影響，試紙的化學反應和感測器硬體都不在問題範圍內。

使用錯誤和使用者錯誤差在哪？

使用者錯誤把責任放在人身上。使用錯誤是 IEC 62366-1 和 FDA 指引用的詞，描述的是使用者在可預見的使用條件下做出非預期的結果，而可用性工程流程把降低它列為製造商的責任。

代工廠會處理可用性工程嗎？

一部分。可用性工程檔案和法規送件屬於合法製造商，通常是品牌。代工廠貢獻的是設計層的風險審查、狀態處理和安全連鎖的設計，以及這些檔案需要的文件和測試證據。開發開始之前，先用白紙黑字講好誰負責⁠哪⁠一⁠塊⁠。