2025年9月4日，為進一步規范腹腔內窺鏡手術系統的管理，國家藥監局器審中心組織制定了《腹腔內窺鏡手術系統注冊審查指導原則 第4部分：風險管理》，現予發布。一起來看具體內容。
2025年9月4日，為進一步規范腹腔內窺鏡手術系統的管理，國家藥監局器審中心組織制定了《腹腔內窺鏡手術系統注冊審查指導原則 第4部分：風險管理》，現予發布。一起來看具體內容。
腹腔內窺鏡手術系統注冊審查指導原則 第4部分：風險管理（2025年第19號）
本指導原則旨在指導注冊申請人對腹腔內窺鏡手術系統（簡稱手術系統）風險管理資料的準備及撰寫，同時也為技術審評部門審查注冊申報風險管理資料提供參考。
本指導原則是對手術系統風險管理的一般要求，申請人應依據產品的具體特性確定其中內容是否適用。若不適用，需具體闡述理由及相應的科學依據，并依據產品的具體特性對資料的內容進行充實和細化。
本指導原則是供注冊申請人和技術審評人員使用的指導性文件，但不包括審評審批所涉及的行政事項，亦不作為法規強制執行，應在遵循相關法規的前提下使用本指導原則。如果有能夠滿足相關法規要求的其他方法，也可以采用，但是需要提供詳細的研究資料和驗證資料。
本指導原則是在現行法規和標準體系以及當前認知水平下制定，隨著法規和標準的不斷完善，以及科學技術的不斷發展，相關內容也將適時進行調整。
一、適用范圍
本指導原則適用于多孔腹腔內窺鏡手術系統的風險管理。本指導原則中的手術系統，按現行《醫療器械分類目錄》，產品分類編碼為01-07-03，管理類別為Ⅲ類。單孔手術系統可參考本指導原則的適用部分。
本指導原則分析了手術系統常見危險，不代表所有危險。注冊申請人可結合產品特點和實際情況進行風險管理。
二、風險管理要求
醫療器械的風險管理貫穿產品的整個生命周期。注冊申請人可參考GB/T 42062、ISO 14971、YY/T 1437、YY/T 0664及YY/T 1406.1標準對手術系統進行風險管理，依據《醫療器械注冊申報資料要求和批準證明文件格式的公告》公告要求，提交風險管理資料。注冊申請人應描述手術系統的預期用途和合理可預見的誤使用，識別與安全有關的特征，識別相關的危險和危險情況，估計每個危險情況的風險；對每個已識別的危險情況，評價和決定是否需控制風險；若需要控制風險，描述如何進行相應風險控制；對一個或多個風險的可接受性進行評價，與預期用途的受益相比，評價綜合剩余風險可接受。
注冊申請人應提供每個已判定危險的風險管理各過程的可追溯性，確保風險管理活動實施的完整性，并將相應的風險管理活動記錄在風險管理文檔中。
注冊申請人應從設計開發初期考慮產品適用的法規、標準及規范性文件的要求，同時結合申報產品自身的特點及預期用途、同類已上市產品安全信息等進行充分的風險分析。產品適用的指導原則及標準可參考《腹腔內窺鏡手術系統技術審評要點》。
風險管理活動是動態的過程，注冊申請人可根據設計變更、生產和生產后信息、最新技術水平等評審并更新風險管理文檔。
三、手術系統常見危險、控制措施及相關文件
本指導原則分析了手術系統常見危險，對常見危險、危險情況、建議的控制措施及相應的驗證確認文件進行舉例（見附件），在本章對該附件中部分危險進行闡述，旨在為注冊申請人提供手術系統風險管理的思路和建議。
本指導原則參考GB/T 42062、ISO 14971標準附錄C將危險劃分為能量危險、生物和化學危險、性能相關危險。
手術系統的風險與產品設計、預期用途、可合理預見的誤使用及正常和故障狀態下與安全有關的特性有關。本指導原則中所列危險不代表手術系統的所有危險，由于產品設計、工作原理差異等原因，相同危險的控制措施可能存在差異。注冊申請人可參考本指導原則的舉例、相關標準及規范性文件，結合手術系統的實際情況等進行風險管理，確保綜合剩余風險可接受。
本指導原則中部分風險的控制措施可能涉及產品上市審批后活動，建議注冊申請人制定風險控制措施時綜合考慮。
（一） 能量危險
1. 熱損傷
操作者經醫生控制臺通過主從控制方式控制手術器械，實現各種手術操作。能量類手術器械可引起熱損傷，常見的能量類手術器械有高頻手術器械、超聲切割止血類器械，該類器械通過將高頻手術設備或超聲切割止血設備的能量傳遞至器械末端，用于進行組織的切割、凝血及血管閉合等。該類器械可能的危險包括損傷周圍正常組織、不能滿足臨床功能需求等，注冊申請人應驗證器械的效果及是否對周圍組織造成不可接受的傷害，帶有血管閉合功能的器械，同時進行爆破壓研究及急慢性動物試驗。可參考《高頻手術設備注冊審查指導原則》、《超聲軟組織手術設備注冊審查指導原則》進行試驗并提交相應的研究資料。
2. 漏電流
手術系統漏電流過大，可能對患者或操作者造成電擊傷害，嚴重的可造成死亡。漏電流超出標準可能有多種原因，如絕緣材料性能不足、可觸及部分（含應用部分）與帶電部分隔離不足、多次清潔消毒滅菌及使用導致的絕緣性能下降、保護接地斷開等。注冊申請人可通過增強絕緣性能的設計，如更換絕緣材料等控制該風險，通過電氣安全檢測驗證控制措施的有效性。為避免長時間使用造成的絕緣性能下降，可在使用期限研究中，規定的使用期限后對產品絕緣性能進行測試，以證明使用期限內絕緣性能滿足要求。
3. 電磁干擾
手術系統在電磁環境中被其他電氣設備（如配用的高頻手術設備、超聲軟組織手術設備等）干擾，可能造成產品性能下降或喪失（如體內圖像不清晰或圖像中斷）、主從控制中斷、運動部件意外移動、狀態信息顯示錯誤、系統死機等危險，進而造成手術時間延長甚至微創手術轉開放式手術的情況。注冊申請人可通過屏蔽結構設計等軟硬件措施提高抗擾度性能，并通過電磁兼容檢測進行驗證。電磁兼容檢測應考慮最不利的工作模式，手術器械相關最不利工作模式可參考《腹腔內窺鏡手術系統注冊審查指導原則 第1部分：手術器械》附件5的要求。
4. 異物掉落
由于手術系統連接件或零部件的老化以及磨損、材料性能問題、器械與能量護套的配合性能問題、多次重復使用等，手術系統的患者手術平臺、內窺鏡（如頭端玻璃片）以及手術器械（如末端零部件）、附件（如能量護套）等，可能掉落，且存在通過患者體表創口進入患者體內的風險；如掉落物較小，則不易被操作者發現。上述異物掉落均可能造成組織損傷，導致手術中斷、手術時間延長甚至微創手術轉開放式手術。注冊申請人可通過增加掉落物易識別性、封閉性設計、采用性能更好的材料、提高安全系數、優化生產工藝、增加術前使用檢查及使用提示等措施降低異物掉落的風險。通過機械系統設計驗證或確認（如振動測試、疲勞試驗等）、相關工藝過程驗證或確認、檢查說明書中提示等措施來驗證控制措施的有效性。
5. 末端振動
手術器械、內窺鏡通過患者手術平臺的機械臂進行支撐，經穿刺器（又名戳卡）通道進入患者體內，在操作者控制下進行手術操作（切割、縫合、電切、電凝等）。患者手術平臺支撐不穩定、機械臂剛度不足或關節存在回差、手術器械/內窺鏡和機械臂連接不穩定、手動控制器未將操作者手部的生理震顫濾除等，均可能造成手術器械末端振動、手術操作精度降低、操作者體驗感變差、設備可靠性降低等，進而傷害患者，嚴重時器械尖端刺破患者內臟或者靜脈、動脈等，造成患者大出血。注冊申請人可通過機械臂剛度指標控制、手動控制器及關節回差控制、患者手術平臺支撐穩定性以及剛度等指標控制、濾波算法控制等進行設計，并通過臺架試驗進行驗證和確認，提交機械臂穩定性研究資料和器械末端運動平滑度研究資料。
6. 非預期運動
由于軟硬件問題或錯誤操作，手術系統中手動控制器、患者手術平臺（如升降臂、機械臂等）和手術器械均可能發生非預期的運動甚至運動失控，可能導致手術中斷、延長手術時間或微創手術轉開放式手術，注冊申請人可通過軟硬件設計、增加使用提示等措施進行控制，通過軟件測試、可用性測試等驗證控制措施的有效性。
（二） 生物和化學危險
手術系統中手術器械、內窺鏡、能量護套、戳卡等在使用過程中直接接觸人體無菌組織，高頻連接線纜在手術中可能進入無菌操作區域，使用前均需進行清潔、消毒和滅菌。如清潔、消毒和滅菌不充分，可能導致微生物進入患者體內、造成患者感染，注冊申請人應選擇合適的清潔、消毒和滅菌方法并進行有效性研究。對于多次使用的部件，應明確使用次數、進行滅菌耐受性研究，提交滅菌確認資料及滅菌耐受性研究資料。可參考《腹腔內窺鏡手術系統技術審評要點》、《腹腔內窺鏡手術系統注冊審查指導原則 第1部分：手術器械》、《腹腔內窺鏡手術系統注冊審查指導原則 第3部分：三維內窺鏡》中關于清潔、消毒和滅菌研究資料的要求。對于需使用者滅菌的部件，注冊申請人應在說明書中明確清潔/消毒/滅菌方式、滅菌參數及可耐受的滅菌次數，清潔消毒滅菌信息應與研究資料中驗證的內容一致，同時說明如何確保不超使用次數使用。
手術系統中直接或間接接觸患者或操作者的部件（如手術器械、內窺鏡、能量護套、戳卡、3D觀察器、手動控制器等）可能引起生物學危險。注冊申請人在研發過程中，除考慮接觸人體部位的材料外，還需考慮研發生產過程的污染物、殘留物、降解產物等，此外需考慮清潔、消毒和/或滅菌過程的殘留物對生物學性能的影響，提交生物學評價資料。
（三） 性能相關危險
1.主從控制失效
手術系統采用主從控制的方式工作，該方式需要復雜的軟硬件設計實現。硬件或軟件邏輯存在問題，均可能造成主從控制失效，進而導致手術中斷或轉開放式手術。注冊申請人可從硬件和軟件上設置嚴格的安全校驗和中止措施，對硬件的選型安全系數及可靠性、軟件的連續運行等進行充分的驗證。
2.主從控制精度降低
手術系統中連接件松動、部件老化等，可能引起主從控制精度降低，操作者無法準確進行手術，導致患者傷害。注冊申請人可在設計開發輸入時確定主從控制精度指標，通過主從控制精度研究、主從操作重復性和復現性研究、機械臂器械末端平滑度研究、機械臂穩定性研究等進行驗證。提交相應的研究資料。
3.圖像丟失或穩定性變差
操作者必須能夠看到患者體內的實時影像，是手術操作安全性的前提。因接口連接故障、通訊線纜損壞、內窺鏡圖像處理器故障、內窺鏡損壞等問題，造成圖像無法顯示或者只能顯示部分圖像。在左右眼圖像均喪失情況下，不能進行手術；當一只眼的圖像喪失時，可以根據手術情況，通過部分功能設置保證手術完成。注冊申請人可通過接口可靠性設計和測試、線纜碾壓及折彎、電磁兼容測試、內窺鏡圖像處理器和內窺鏡可靠性測試等，保證顯示功能的可靠性；在緊急情況下，可通過僅一只眼圖像的雙屏顯示、2D/3D切換等功能，實現在僅一只眼圖像顯示情況下的短時手術應急處理操作，保證手術安全。
4.手術器械功能降低或失效
超使用次數使用、器械夾持力不足、器械末端變形、手術器械傳動機構故障、能量類手術器械多次使用導致的組織黏附等，可能造成手術器械功能（如剪刀類器械的剪切能力、持針類器械對縫合針的夾持力和穩定性、超聲軟組織手術刀頭的組織切割和血管閉合能力、雙極器械的血管凝閉能力、單極器械的電切和淺表組織凝閉能力等）降低或失效，進而直接影響到手術操作的效率和安全性。注冊申請人可通過安全系數設計驗證或確認、相關工藝過程驗證或確認、有效的使用次數控制方式等，確保手術器械功能在各使用條件下的穩定性和可靠性。
5. 不動點精度降低或偏離胸腹壁創口
機械臂應具有“不動點”設計，保證在手術操作過程中，不動點一直跟患者體表創口匹配，防止因不動點偏移造成患者創口拉扯下的額外損傷；注冊申請人可通過對不動點精度進行指標設定和測試、不動點機構傳動可靠性設計和測試、不動點調整機構的術中鎖緊能力和可靠性測試、機械臂和套管（或戳卡）連接后的安全互鎖算法等方案，保證不動點精度滿足要求。
6. 接觸力過大
手術系統通過主從控制方式進行手術，與常規內窺鏡手術相比，該方式使操作者無法直接感受器械末端施加在組織上的作用力（操作者的力感知能力減弱甚至喪失），進而可能造成器械與組織接觸力過大，引發組織額外損傷。注冊申請人可通過提供3D立體視覺、力反饋功能（如聲光提示）、力限制、報警、接觸力過大的應急處理等措施控制該風險，根據需要通過機械系統測試、系統集成測試、可用性測試等進行驗證，提交手術器械與組織接觸力研究資料。
7. 可用性
可用性風險分析旨在識別并定義可能引發傷害風險的使用場景中的危險情況。每個已確定的危險相關使用場景的描述包括所有手術任務及其事件順序，以及相關傷害的嚴重程度。可用性風險分析記錄與手術系統用戶界面有關的已知或可預見的危險和危險情況，這些危險和危險情況可能會對患者、用戶或其他人員造成影響。
可用性工程過程用于評定和降低正常使用（包括合理可預見的誤使用）相關的風險，注冊申請人可參考《醫療器械可用性工程注冊審查指導原則》及標準YY/T 1474、YY/T 9706.106、IEC 62366-1、IEC/TR 62366-2進行可用性研究。
依據《醫療器械可用性工程注冊審查指導原則》，手術系統屬于高使用風險醫療器械，注冊申請人應進行可用性工程研究并提交相關研究資料。
手術系統需重點關注的可用性風險應包含在設計輸入、設計輸出、驗證和確認及使用過程中。注冊申請人應考慮手術系統整個使用周期的可用性風險，使用過程中的可用性重點考慮術前、布孔/端口放置和腹腔鏡探查、系統對接、術中患者側、術中外科醫生側、故障排除及術后的各個階段和應用場景下，設備在正常使用情況下，人機交互的潛在風險。
作為可用性風險分析的一部分，注冊申請人應定義關鍵任務，定義和分析在使用場景中使用（即操作或處理）手術系統的人員。潛在用戶/用戶組包括主操作醫生、助手醫生、巡回護士或技術支持人員、器械護士、清潔消毒滅菌操作人員等。注冊申請人在進行可用性估計時，應考慮用戶的特征和背景等。
（1）患者手術平臺移動困難
患者手術平臺的移動會直接影響手術系統在術前/術中/術后的轉移效率、手術室內的擺位效率，移動困難（如移動速度慢、運動定位精度不足、操作力過大等）會導致手術床旁定位調整困難，影響到打孔位置、造成術前調整時間過長。注冊申請人可通過對驅動輪系的布局設計、驅動力設計、控制扶手的原理設計以及軟件的速度調整設計和剎車距離精度控制等方面的設計和驗證，提高移動靈活性和術前擺位效率。
（2）醫生控制臺人體工程學不合理
醫生控制臺的人體工程學參數設計直接影響操作者在操作時的舒適性，如果參數不合理，可能會造成操作者術中的疲勞或誤操作。注冊申請人需對頭部高度、頸部觀察角度、手部操作高度、肘部支撐高度、腿部操作空間等進行人體工程學設計，給出盡可能大的調整空間，并將人體工程學參數跟操作者賬號進行關聯記憶，保證在后續使用時登錄后自動調整，減少誤使用。
（3）機械臂調整困難
術前需要將機械臂和套管對接，如機械臂調整困難，會降低與套管對接的便利性，造成對接時間過長，部分情況還可能造成不動點對接偏移，在手術中造成患者表皮的拉扯和損傷。注冊申請人可通過對機械臂的自由度布局設計、調整阻力控制、軟件補償控制等方式，減少調整阻力，降低對接時間，減小對接偏移。
（4）按鍵誤操作或機械臂錯誤連接
手術系統含多個不同功能的按鍵（如開關機按鍵、急停按鍵、機械臂調整按鍵、參數調整按鍵等），如操作不當，可能造成非預期運動、傷害患者或操作者。注冊申請人可通過增加開關標識、按鍵“空程行程”設計、按鍵最小操作力限制、結構防護設計以及軟件的互鎖設計等方式，減少按鍵誤操作的發生。機械臂可連接不同類型的部件（如手術器械或內窺鏡），如連接部件類型變化，可能對操作習慣、使用場景等產生影響，注冊申請人應對機械臂控制程序邏輯、參數等變化進行分析，對連接接口的變化、連接部件質量對機械臂的影響等進行評估并充分驗證。
（5）用戶界面設置可用性差
手術系統功能復雜，注冊申請人需要通過不同的用戶界面進行參數設置以適應不同的場景。如界面設置邏輯性較差、常用參數設置困難或界面布局不合理，可能造成操作者設置參數較慢，影響操作效率。注冊申請人應將常用設置參數放置在首頁或前兩頁，常用參數設置按鍵尺寸、位置及按鍵間距離應便于操作，并通過收集用戶操作意見改善界面設計。
（6）機械臂工作空間不合理
機械臂布局直接影響手術操作時彼此間的碰撞概率以及手術操作區域的可達性。注冊申請人可通過收集和分析不同術式擺位的參數、不同術式操作空間參數，設置機械臂的自由度布局和關節參數，控制該風險。
（7）語音聽不清
語音直接影響手術操作中主操作醫生和輔助醫護人員的交流，影響手術操作效率，甚至在緊急情況下的患者安全；注冊申請人可通過雙向語音設計、消除雜音的軟件設計等方式，保證語音通訊質量和準確性。
8. 軟件性能相關危險
軟件風險管理是手術系統風險管理的組成部分，需與手術系統整體開展風險管理工作。根據 YY/T 1406.1及《醫療器械軟件注冊審查指導原則（2022年修訂版）》，軟件本身并不具有危險性，但其運行或使用可能引發潛在的危險情況。建議以系統觀點考慮軟件相關危險。注冊申請人應識別造成危險情況的軟件項，并對每一種情況制定風險控制措施。會引發危險情況的軟件失效的發生概率難以估計，軟件失效引發的風險大多數情況下只需要評價傷害的嚴重度。
無法避免軟件設計中的缺陷（如代碼錯誤或參數計算異常），可能導致數據溢出或計算錯誤，從而引發系統軟件崩潰。該問題可能進一步導致手術中斷或設備出現非預期運動等不可預測的情況，進而對患者造成嚴重傷害。注冊申請人可通過以下措施進行預防和控制：實施嚴格的軟件編碼規范與審查流程，開展全面的單元測試、集成測試、系統測試以及長時間運行的壓力測試以發現并及時修復潛在問題，建立日志記錄機制以便于識別和診斷軟件崩潰的根本原因。
軟件運行過程中若占用過多中央處理器（Central Processing Unit、CPU）資源，可能會造成軟件卡死或崩潰，從而影響系統的正常運行。注冊申請人可通過增加系統存儲空間、提高CPU性能、增強硬件并行處理能力、優化算法和數據結構設計、引入實時監控機制、引入動態調整任務優先級等措施，降低CPU資源的過度消耗，以確保關鍵任務的穩定執行。
9. 遠程性能相關危險
遠程手術基于網絡實現遠距離的手術操作，數據傳輸的完整性、準確性、實時性直接影響手術效果。注冊申請人需綜合考慮遠程通訊模塊、雙向數據傳輸、網絡環境、惡意攻擊、非法操作、用戶訪問可能存在的數據紕漏、數據篡改、數據丟失、密碼竊取威脅、使用者背景和經驗等對數據傳輸質量及手術安全的影響，明確手術系統對網絡性能和安全的要求；通過軟件實時校驗數據傳輸的準確性、丟包率，保證數據傳輸的正確性；通過對網絡進行實時監控（如傳輸速率、時延、抖動、丟包率等）并報警，在網絡延時超出限制時，自動將控制權切換到本地操作者；采用適當的身份認證機制及數據傳輸加密；對使用者進行充分的培訓等；結合產品網絡安全特性開展相關質控工作，如源代碼安全審核、威脅建模、漏洞掃描、滲透測試、模糊測試等軟件驗證與確認，確保手術操作的安全性和有效性。
四、參考文獻
[1]GB 9706.1-2020,醫用電氣設備 第1部分:基本安全和基本性能的通用要求[S].