2025年9月4日，為進一步規(guī)范腹腔內窺鏡手術系統(tǒng)的管理，國家藥監(jiān)局器審中心組織制定了《腹腔內窺鏡手術系統(tǒng)注冊審查指導原則 第4部分：風險管理》，現(xiàn)予發(fā)布。一起來看具體內容。

腹腔內窺鏡手術系統(tǒng)注冊審查指導原則 第4部分：風險管理（2025年第19號）

本指導原則旨在指導注冊申請人對腹腔內窺鏡手術系統(tǒng)（簡稱手術系統(tǒng)）風險管理資料的準備及撰寫，同時也為技術審評部門審查注冊申報風險管理資料提供參考。

本指導原則是對手術系統(tǒng)風險管理的一般要求，申請人應依據(jù)產(chǎn)品的具體特性確定其中內容是否適用。若不適用，需具體闡述理由及相應的科學依據(jù)，并依據(jù)產(chǎn)品的具體特性對資料的內容進行充實和細化。

本指導原則是供注冊申請人和技術審評人員使用的指導性文件，但不包括審評審批所涉及的行政事項，亦不作為法規(guī)強制執(zhí)行，應在遵循相關法規(guī)的前提下使用本指導原則。如果有能夠滿足相關法規(guī)要求的其他方法，也可以采用，但是需要提供詳細的研究資料和驗證資料。

本指導原則是在現(xiàn)行法規(guī)和標準體系以及當前認知水平下制定，隨著法規(guī)和標準的不斷完善，以及科學技術的不斷發(fā)展，相關內容也將適時進行調整。

一、適用范圍

本指導原則適用于多孔腹腔內窺鏡手術系統(tǒng)的風險管理。本指導原則中的手術系統(tǒng)，按現(xiàn)行《醫(yī)療器械分類目錄》，產(chǎn)品分類編碼為01-07-03，管理類別為Ⅲ類。單孔手術系統(tǒng)可參考本指導原則的適用部分。

本指導原則分析了手術系統(tǒng)常見危險，不代表所有危險。注冊申請人可結合產(chǎn)品特點和實際情況進行風險管理。

二、風險管理要求

醫(yī)療器械的風險管理貫穿產(chǎn)品的整個生命周期。注冊申請人可參考GB/T 42062、ISO 14971、YY/T 1437、YY/T 0664及YY/T 1406.1標準對手術系統(tǒng)進行風險管理，依據(jù)《醫(yī)療器械注冊申報資料要求和批準證明文件格式的公告》公告要求，提交風險管理資料。注冊申請人應描述手術系統(tǒng)的預期用途和合理可預見的誤使用，識別與安全有關的特征，識別相關的危險和危險情況，估計每個危險情況的風險；對每個已識別的危險情況，評價和決定是否需控制風險；若需要控制風險，描述如何進行相應風險控制；對一個或多個風險的可接受性進行評價，與預期用途的受益相比，評價綜合剩余風險可接受。

注冊申請人應提供每個已判定危險的風險管理各過程的可追溯性，確保風險管理活動實施的完整性，并將相應的風險管理活動記錄在風險管理文檔中。

注冊申請人應從設計開發(fā)初期考慮產(chǎn)品適用的法規(guī)、標準及規(guī)范性文件的要求，同時結合申報產(chǎn)品自身的特點及預期用途、同類已上市產(chǎn)品安全信息等進行充分的風險分析。產(chǎn)品適用的指導原則及標準可參考《腹腔內窺鏡手術系統(tǒng)技術審評要點》。

風險管理活動是動態(tài)的過程，注冊申請人可根據(jù)設計變更、生產(chǎn)和生產(chǎn)后信息、最新技術水平等評審并更新風險管理文檔。

三、手術系統(tǒng)常見危險、控制措施及相關文件

本指導原則分析了手術系統(tǒng)常見危險，對常見危險、危險情況、建議的控制措施及相應的驗證確認文件進行舉例（見附件），在本章對該附件中部分危險進行闡述，旨在為注冊申請人提供手術系統(tǒng)風險管理的思路和建議。

本指導原則參考GB/T 42062、ISO 14971標準附錄C將危險劃分為能量危險、生物和化學危險、性能相關危險。

手術系統(tǒng)的風險與產(chǎn)品設計、預期用途、可合理預見的誤使用及正常和故障狀態(tài)下與安全有關的特性有關。本指導原則中所列危險不代表手術系統(tǒng)的所有危險，由于產(chǎn)品設計、工作原理差異等原因，相同危險的控制措施可能存在差異。注冊申請人可參考本指導原則的舉例、相關標準及規(guī)范性文件，結合手術系統(tǒng)的實際情況等進行風險管理，確保綜合剩余風險可接受。

本指導原則中部分風險的控制措施可能涉及產(chǎn)品上市審批后活動，建議注冊申請人制定風險控制措施時綜合考慮。

（一）      能量危險

1. 熱損傷

操作者經(jīng)醫(yī)生控制臺通過主從控制方式控制手術器械，實現(xiàn)各種手術操作。能量類手術器械可引起熱損傷，常見的能量類手術器械有高頻手術器械、超聲切割止血類器械，該類器械通過將高頻手術設備或超聲切割止血設備的能量傳遞至器械末端，用于進行組織的切割、凝血及血管閉合等。該類器械可能的危險包括損傷周圍正常組織、不能滿足臨床功能需求等，注冊申請人應驗證器械的效果及是否對周圍組織造成不可接受的傷害，帶有血管閉合功能的器械，同時進行爆破壓研究及急慢性動物試驗?？蓞⒖肌陡哳l手術設備注冊審查指導原則》、《超聲軟組織手術設備注冊審查指導原則》進行試驗并提交相應的研究資料。

2. 漏電流

手術系統(tǒng)漏電流過大，可能對患者或操作者造成電擊傷害，嚴重的可造成死亡。漏電流超出標準可能有多種原因，如絕緣材料性能不足、可觸及部分（含應用部分）與帶電部分隔離不足、多次清潔消毒滅菌及使用導致的絕緣性能下降、保護接地斷開等。注冊申請人可通過增強絕緣性能的設計，如更換絕緣材料等控制該風險，通過電氣安全檢測驗證控制措施的有效性。為避免長時間使用造成的絕緣性能下降，可在使用期限研究中，規(guī)定的使用期限后對產(chǎn)品絕緣性能進行測試，以證明使用期限內絕緣性能滿足要求。

3. 電磁干擾

手術系統(tǒng)在電磁環(huán)境中被其他電氣設備（如配用的高頻手術設備、超聲軟組織手術設備等）干擾，可能造成產(chǎn)品性能下降或喪失（如體內圖像不清晰或圖像中斷）、主從控制中斷、運動部件意外移動、狀態(tài)信息顯示錯誤、系統(tǒng)死機等危險，進而造成手術時間延長甚至微創(chuàng)手術轉開放式手術的情況。注冊申請人可通過屏蔽結構設計等軟硬件措施提高抗擾度性能，并通過電磁兼容檢測進行驗證。電磁兼容檢測應考慮最不利的工作模式，手術器械相關最不利工作模式可參考《腹腔內窺鏡手術系統(tǒng)注冊審查指導原則 第1部分：手術器械》附件5的要求。

4. 異物掉落

由于手術系統(tǒng)連接件或零部件的老化以及磨損、材料性能問題、器械與能量護套的配合性能問題、多次重復使用等，手術系統(tǒng)的患者手術平臺、內窺鏡（如頭端玻璃片）以及手術器械（如末端零部件）、附件（如能量護套）等，可能掉落，且存在通過患者體表創(chuàng)口進入患者體內的風險；如掉落物較小，則不易被操作者發(fā)現(xiàn)。上述異物掉落均可能造成組織損傷，導致手術中斷、手術時間延長甚至微創(chuàng)手術轉開放式手術。注冊申請人可通過增加掉落物易識別性、封閉性設計、采用性能更好的材料、提高安全系數(shù)、優(yōu)化生產(chǎn)工藝、增加術前使用檢查及使用提示等措施降低異物掉落的風險。通過機械系統(tǒng)設計驗證或確認（如振動測試、疲勞試驗等）、相關工藝過程驗證或確認、檢查說明書中提示等措施來驗證控制措施的有效性。

5. 末端振動

手術器械、內窺鏡通過患者手術平臺的機械臂進行支撐，經(jīng)穿刺器（又名戳卡）通道進入患者體內，在操作者控制下進行手術操作（切割、縫合、電切、電凝等）?；颊呤中g平臺支撐不穩(wěn)定、機械臂剛度不足或關節(jié)存在回差、手術器械/內窺鏡和機械臂連接不穩(wěn)定、手動控制器未將操作者手部的生理震顫濾除等，均可能造成手術器械末端振動、手術操作精度降低、操作者體驗感變差、設備可靠性降低等，進而傷害患者，嚴重時器械尖端刺破患者內臟或者靜脈、動脈等，造成患者大出血。注冊申請人可通過機械臂剛度指標控制、手動控制器及關節(jié)回差控制、患者手術平臺支撐穩(wěn)定性以及剛度等指標控制、濾波算法控制等進行設計，并通過臺架試驗進行驗證和確認，提交機械臂穩(wěn)定性研究資料和器械末端運動平滑度研究資料。

6. 非預期運動

由于軟硬件問題或錯誤操作，手術系統(tǒng)中手動控制器、患者手術平臺（如升降臂、機械臂等）和手術器械均可能發(fā)生非預期的運動甚至運動失控，可能導致手術中斷、延長手術時間或微創(chuàng)手術轉開放式手術，注冊申請人可通過軟硬件設計、增加使用提示等措施進行控制，通過軟件測試、可用性測試等驗證控制措施的有效性。

（二）   生物和化學危險

手術系統(tǒng)中手術器械、內窺鏡、能量護套、戳卡等在使用過程中直接接觸人體無菌組織，高頻連接線纜在手術中可能進入無菌操作區(qū)域，使用前均需進行清潔、消毒和滅菌。如清潔、消毒和滅菌不充分，可能導致微生物進入患者體內、造成患者感染，注冊申請人應選擇合適的清潔、消毒和滅菌方法并進行有效性研究。對于多次使用的部件，應明確使用次數(shù)、進行滅菌耐受性研究，提交滅菌確認資料及滅菌耐受性研究資料?？蓞⒖肌陡骨粌雀Q鏡手術系統(tǒng)技術審評要點》、《腹腔內窺鏡手術系統(tǒng)注冊審查指導原則 第1部分：手術器械》、《腹腔內窺鏡手術系統(tǒng)注冊審查指導原則 第3部分：三維內窺鏡》中關于清潔、消毒和滅菌研究資料的要求。對于需使用者滅菌的部件，注冊申請人應在說明書中明確清潔/消毒/滅菌方式、滅菌參數(shù)及可耐受的滅菌次數(shù)，清潔消毒滅菌信息應與研究資料中驗證的內容一致，同時說明如何確保不超使用次數(shù)使用。

手術系統(tǒng)中直接或間接接觸患者或操作者的部件（如手術器械、內窺鏡、能量護套、戳卡、3D觀察器、手動控制器等）可能引起生物學危險。注冊申請人在研發(fā)過程中，除考慮接觸人體部位的材料外，還需考慮研發(fā)生產(chǎn)過程的污染物、殘留物、降解產(chǎn)物等，此外需考慮清潔、消毒和/或滅菌過程的殘留物對生物學性能的影響，提交生物學評價資料。

（三）     性能相關危險

1.主從控制失效

手術系統(tǒng)采用主從控制的方式工作，該方式需要復雜的軟硬件設計實現(xiàn)。硬件或軟件邏輯存在問題，均可能造成主從控制失效，進而導致手術中斷或轉開放式手術。注冊申請人可從硬件和軟件上設置嚴格的安全校驗和中止措施，對硬件的選型安全系數(shù)及可靠性、軟件的連續(xù)運行等進行充分的驗證。

2.主從控制精度降低

手術系統(tǒng)中連接件松動、部件老化等，可能引起主從控制精度降低，操作者無法準確進行手術，導致患者傷害。注冊申請人可在設計開發(fā)輸入時確定主從控制精度指標，通過主從控制精度研究、主從操作重復性和復現(xiàn)性研究、機械臂器械末端平滑度研究、機械臂穩(wěn)定性研究等進行驗證。提交相應的研究資料。

3.圖像丟失或穩(wěn)定性變差

操作者必須能夠看到患者體內的實時影像，是手術操作安全性的前提。因接口連接故障、通訊線纜損壞、內窺鏡圖像處理器故障、內窺鏡損壞等問題，造成圖像無法顯示或者只能顯示部分圖像。在左右眼圖像均喪失情況下，不能進行手術；當一只眼的圖像喪失時，可以根據(jù)手術情況，通過部分功能設置保證手術完成。注冊申請人可通過接口可靠性設計和測試、線纜碾壓及折彎、電磁兼容測試、內窺鏡圖像處理器和內窺鏡可靠性測試等，保證顯示功能的可靠性；在緊急情況下，可通過僅一只眼圖像的雙屏顯示、2D/3D切換等功能，實現(xiàn)在僅一只眼圖像顯示情況下的短時手術應急處理操作，保證手術安全。

4.手術器械功能降低或失效

超使用次數(shù)使用、器械夾持力不足、器械末端變形、手術器械傳動機構故障、能量類手術器械多次使用導致的組織黏附等，可能造成手術器械功能（如剪刀類器械的剪切能力、持針類器械對縫合針的夾持力和穩(wěn)定性、超聲軟組織手術刀頭的組織切割和血管閉合能力、雙極器械的血管凝閉能力、單極器械的電切和淺表組織凝閉能力等）降低或失效，進而直接影響到手術操作的效率和安全性。注冊申請人可通過安全系數(shù)設計驗證或確認、相關工藝過程驗證或確認、有效的使用次數(shù)控制方式等，確保手術器械功能在各使用條件下的穩(wěn)定性和可靠性。

5. 不動點精度降低或偏離胸腹壁創(chuàng)口

機械臂應具有“不動點”設計，保證在手術操作過程中，不動點一直跟患者體表創(chuàng)口匹配，防止因不動點偏移造成患者創(chuàng)口拉扯下的額外損傷；注冊申請人可通過對不動點精度進行指標設定和測試、不動點機構傳動可靠性設計和測試、不動點調整機構的術中鎖緊能力和可靠性測試、機械臂和套管（或戳卡）連接后的安全互鎖算法等方案，保證不動點精度滿足要求。

6. 接觸力過大

手術系統(tǒng)通過主從控制方式進行手術，與常規(guī)內窺鏡手術相比，該方式使操作者無法直接感受器械末端施加在組織上的作用力（操作者的力感知能力減弱甚至喪失），進而可能造成器械與組織接觸力過大，引發(fā)組織額外損傷。注冊申請人可通過提供3D立體視覺、力反饋功能（如聲光提示）、力限制、報警、接觸力過大的應急處理等措施控制該風險，根據(jù)需要通過機械系統(tǒng)測試、系統(tǒng)集成測試、可用性測試等進行驗證，提交手術器械與組織接觸力研究資料。

7. 可用性

可用性風險分析旨在識別并定義可能引發(fā)傷害風險的使用場景中的危險情況。每個已確定的危險相關使用場景的描述包括所有手術任務及其事件順序，以及相關傷害的嚴重程度。可用性風險分析記錄與手術系統(tǒng)用戶界面有關的已知或可預見的危險和危險情況，這些危險和危險情況可能會對患者、用戶或其他人員造成影響。

可用性工程過程用于評定和降低正常使用（包括合理可預見的誤使用）相關的風險，注冊申請人可參考《醫(yī)療器械可用性工程注冊審查指導原則》及標準YY/T 1474、YY/T 9706.106、IEC 62366-1、IEC/TR 62366-2進行可用性研究。

依據(jù)《醫(yī)療器械可用性工程注冊審查指導原則》，手術系統(tǒng)屬于高使用風險醫(yī)療器械，注冊申請人應進行可用性工程研究并提交相關研究資料。

手術系統(tǒng)需重點關注的可用性風險應包含在設計輸入、設計輸出、驗證和確認及使用過程中。注冊申請人應考慮手術系統(tǒng)整個使用周期的可用性風險，使用過程中的可用性重點考慮術前、布孔/端口放置和腹腔鏡探查、系統(tǒng)對接、術中患者側、術中外科醫(yī)生側、故障排除及術后的各個階段和應用場景下，設備在正常使用情況下，人機交互的潛在風險。

作為可用性風險分析的一部分，注冊申請人應定義關鍵任務，定義和分析在使用場景中使用（即操作或處理）手術系統(tǒng)的人員。潛在用戶/用戶組包括主操作醫(yī)生、助手醫(yī)生、巡回護士或技術支持人員、器械護士、清潔消毒滅菌操作人員等。注冊申請人在進行可用性估計時，應考慮用戶的特征和背景等。

（1）患者手術平臺移動困難

患者手術平臺的移動會直接影響手術系統(tǒng)在術前/術中/術后的轉移效率、手術室內的擺位效率，移動困難（如移動速度慢、運動定位精度不足、操作力過大等）會導致手術床旁定位調整困難，影響到打孔位置、造成術前調整時間過長。注冊申請人可通過對驅動輪系的布局設計、驅動力設計、控制扶手的原理設計以及軟件的速度調整設計和剎車距離精度控制等方面的設計和驗證，提高移動靈活性和術前擺位效率。

（2）醫(yī)生控制臺人體工程學不合理

醫(yī)生控制臺的人體工程學參數(shù)設計直接影響操作者在操作時的舒適性，如果參數(shù)不合理，可能會造成操作者術中的疲勞或誤操作。注冊申請人需對頭部高度、頸部觀察角度、手部操作高度、肘部支撐高度、腿部操作空間等進行人體工程學設計，給出盡可能大的調整空間，并將人體工程學參數(shù)跟操作者賬號進行關聯(lián)記憶，保證在后續(xù)使用時登錄后自動調整，減少誤使用。

（3）機械臂調整困難

術前需要將機械臂和套管對接，如機械臂調整困難，會降低與套管對接的便利性，造成對接時間過長，部分情況還可能造成不動點對接偏移，在手術中造成患者表皮的拉扯和損傷。注冊申請人可通過對機械臂的自由度布局設計、調整阻力控制、軟件補償控制等方式，減少調整阻力，降低對接時間，減小對接偏移。

（4）按鍵誤操作或機械臂錯誤連接

手術系統(tǒng)含多個不同功能的按鍵（如開關機按鍵、急停按鍵、機械臂調整按鍵、參數(shù)調整按鍵等），如操作不當，可能造成非預期運動、傷害患者或操作者。注冊申請人可通過增加開關標識、按鍵“空程行程”設計、按鍵最小操作力限制、結構防護設計以及軟件的互鎖設計等方式，減少按鍵誤操作的發(fā)生。機械臂可連接不同類型的部件（如手術器械或內窺鏡），如連接部件類型變化，可能對操作習慣、使用場景等產(chǎn)生影響，注冊申請人應對機械臂控制程序邏輯、參數(shù)等變化進行分析，對連接接口的變化、連接部件質量對機械臂的影響等進行評估并充分驗證。

（5）用戶界面設置可用性差

手術系統(tǒng)功能復雜，注冊申請人需要通過不同的用戶界面進行參數(shù)設置以適應不同的場景。如界面設置邏輯性較差、常用參數(shù)設置困難或界面布局不合理，可能造成操作者設置參數(shù)較慢，影響操作效率。注冊申請人應將常用設置參數(shù)放置在首頁或前兩頁，常用參數(shù)設置按鍵尺寸、位置及按鍵間距離應便于操作，并通過收集用戶操作意見改善界面設計。

（6）機械臂工作空間不合理

機械臂布局直接影響手術操作時彼此間的碰撞概率以及手術操作區(qū)域的可達性。注冊申請人可通過收集和分析不同術式擺位的參數(shù)、不同術式操作空間參數(shù)，設置機械臂的自由度布局和關節(jié)參數(shù)，控制該風險。

（7）語音聽不清

語音直接影響手術操作中主操作醫(yī)生和輔助醫(yī)護人員的交流，影響手術操作效率，甚至在緊急情況下的患者安全；注冊申請人可通過雙向語音設計、消除雜音的軟件設計等方式，保證語音通訊質量和準確性。

8. 軟件性能相關危險

軟件風險管理是手術系統(tǒng)風險管理的組成部分，需與手術系統(tǒng)整體開展風險管理工作。根據(jù) YY/T 1406.1及《醫(yī)療器械軟件注冊審查指導原則（2022年修訂版）》，軟件本身并不具有危險性，但其運行或使用可能引發(fā)潛在的危險情況。建議以系統(tǒng)觀點考慮軟件相關危險。注冊申請人應識別造成危險情況的軟件項，并對每一種情況制定風險控制措施。會引發(fā)危險情況的軟件失效的發(fā)生概率難以估計，軟件失效引發(fā)的風險大多數(shù)情況下只需要評價傷害的嚴重度。

無法避免軟件設計中的缺陷（如代碼錯誤或參數(shù)計算異常），可能導致數(shù)據(jù)溢出或計算錯誤，從而引發(fā)系統(tǒng)軟件崩潰。該問題可能進一步導致手術中斷或設備出現(xiàn)非預期運動等不可預測的情況，進而對患者造成嚴重傷害。注冊申請人可通過以下措施進行預防和控制：實施嚴格的軟件編碼規(guī)范與審查流程，開展全面的單元測試、集成測試、系統(tǒng)測試以及長時間運行的壓力測試以發(fā)現(xiàn)并及時修復潛在問題，建立日志記錄機制以便于識別和診斷軟件崩潰的根本原因。

軟件運行過程中若占用過多中央處理器（Central Processing Unit、CPU）資源，可能會造成軟件卡死或崩潰，從而影響系統(tǒng)的正常運行。注冊申請人可通過增加系統(tǒng)存儲空間、提高CPU性能、增強硬件并行處理能力、優(yōu)化算法和數(shù)據(jù)結構設計、引入實時監(jiān)控機制、引入動態(tài)調整任務優(yōu)先級等措施，降低CPU資源的過度消耗，以確保關鍵任務的穩(wěn)定執(zhí)行。

9. 遠程性能相關危險

遠程手術基于網(wǎng)絡實現(xiàn)遠距離的手術操作，數(shù)據(jù)傳輸?shù)耐暾浴蚀_性、實時性直接影響手術效果。注冊申請人需綜合考慮遠程通訊模塊、雙向數(shù)據(jù)傳輸、網(wǎng)絡環(huán)境、惡意攻擊、非法操作、用戶訪問可能存在的數(shù)據(jù)紕漏、數(shù)據(jù)篡改、數(shù)據(jù)丟失、密碼竊取威脅、使用者背景和經(jīng)驗等對數(shù)據(jù)傳輸質量及手術安全的影響，明確手術系統(tǒng)對網(wǎng)絡性能和安全的要求；通過軟件實時校驗數(shù)據(jù)傳輸?shù)臏蚀_性、丟包率，保證數(shù)據(jù)傳輸?shù)恼_性；通過對網(wǎng)絡進行實時監(jiān)控（如傳輸速率、時延、抖動、丟包率等）并報警，在網(wǎng)絡延時超出限制時，自動將控制權切換到本地操作者；采用適當?shù)纳矸菡J證機制及數(shù)據(jù)傳輸加密；對使用者進行充分的培訓等；結合產(chǎn)品網(wǎng)絡安全特性開展相關質控工作，如源代碼安全審核、威脅建模、漏洞掃描、滲透測試、模糊測試等軟件驗證與確認，確保手術操作的安全性和有效性。

四、參考文獻

[1]GB 9706.1-2020,醫(yī)用電氣設備 第1部分:基本安全和基本性能的通用要求[S].