腹腔内窥镜手术系统注册审查指导原则 第4部分：风险管理（2025年第19号）

附件：腹腔内窥镜手术系统注册审查指导原则 第4部分：风险管理（2025年第19号）.doc

腹腔内窥镜手术系统注册审查指导原则
第4部分：风险管理

本指导原则旨在指导注册申请人对腹腔内窥镜手术系统（简称手术系统）风险管理资料的准备及撰写，同时也为技术审评部门审查注册申报风险管理资料提供参考。

本指导原则是对手术系统风险管理的一般要求，申请人应依据产品的具体特性确定其中内容是否适用。若不适用，需具体阐述理由及相应的科学依据，并依据产品的具体特性对资料的内容进行充实和细化。

本指导原则是供注册申请人和技术审评人员使用的指导性文件，但不包括审评审批所涉及的行政事项，亦不作为法规强制执行，应在遵循相关法规的前提下使用本指导原则。如果有能够满足相关法规要求的其他方法，也可以采用，但是需要提供详细的研究资料和验证资料。

本指导原则是在现行法规和标准体系以及当前认知水平下制定，随着法规和标准的不断完善，以及科学技术的不断发展，相关内容也将适时进行调整。

一、适用范围

本指导原则适用于多孔腹腔内窥镜手术系统的风险管理。本指导原则中的手术系统，按现行《医疗器械分类目录》，产品分类编码为01-07-03，管理类别为Ⅲ类。单孔手术系统可参考本指导原则的适用部分。

本指导原则分析了手术系统常见危险，不代表所有危险。注册申请人可结合产品特点和实际情况进行风险管理。

二、风险管理要求

医疗器械的风险管理贯穿产品的整个生命周期。注册申请人可参考GB/T 42062、ISO 14971、YY/T 1437、YY/T 0664及YY/T 1406.1标准对手术系统进行风险管理，依据《医疗器械注册申报资料要求和批准证明文件格式的公告》公告要求，提交风险管理资料。注册申请人应描述手术系统的预期用途和合理可预见的误使用，识别与安全有关的特征，识别相关的危险和危险情况，估计每个危险情况的风险；对每个已识别的危险情况，评价和决定是否需控制风险；若需要控制风险，描述如何进行相应风险控制；对一个或多个风险的可接受性进行评价，与预期用途的受益相比，评价综合剩余风险可接受。

注册申请人应提供每个已判定危险的风险管理各过程的可追溯性，确保风险管理活动实施的完整性，并将相应的风险管理活动记录在风险管理文档中。

注册申请人应从设计开发初期考虑产品适用的法规、标准及规范性文件的要求，同时结合申报产品自身的特点及预期用途、同类已上市产品安全信息等进行充分的风险分析。产品适用的指导原则及标准可参考《腹腔内窥镜手术系统技术审评要点》。

风险管理活动是动态的过程，注册申请人可根据设计变更、生产和生产后信息、最新技术水平等评审并更新风险管理文档。

三、手术系统常见危险、控制措施及相关文件

本指导原则分析了手术系统常见危险，对常见危险、危险情况、建议的控制措施及相应的验证确认文件进行举例（见附件），在本章对该附件中部分危险进行阐述，旨在为注册申请人提供手术系统风险管理的思路和建议。

本指导原则参考GB/T 42062、ISO 14971标准附录C将危险划分为能量危险、生物和化学危险、性能相关危险。

手术系统的风险与产品设计、预期用途、可合理预见的误使用及正常和故障状态下与安全有关的特性有关。本指导原则中所列危险不代表手术系统的所有危险，由于产品设计、工作原理差异等原因，相同危险的控制措施可能存在差异。注册申请人可参考本指导原则的举例、相关标准及规范性文件，结合手术系统的实际情况等进行风险管理，确保综合剩余风险可接受。

本指导原则中部分风险的控制措施可能涉及产品上市审批后活动，建议注册申请人制定风险控制措施时综合考虑。

（一）能量危险

1. 热损伤

操作者经医生控制台通过主从控制方式控制手术器械，实现各种手术操作。能量类手术器械可引起热损伤，常见的能量类手术器械有高频手术器械、超声切割止血类器械，该类器械通过将高频手术设备或超声切割止血设备的能量传递至器械末端，用于进行组织的切割、凝血及血管闭合等。该类器械可能的危险包括损伤周围正常组织、不能满足临床功能需求等，注册申请人应验证器械的效果及是否对周围组织造成不可接受的伤害，带有血管闭合功能的器械，同时进行爆破压研究及急慢性动物试验。可参考《高频手术设备注册审查指导原则》、《超声软组织手术设备注册审查指导原则》进行试验并提交相应的研究资料。

2. 漏电流

手术系统漏电流过大，可能对患者或操作者造成电击伤害，严重的可造成死亡。漏电流超出标准可能有多种原因，如绝缘材料性能不足、可触及部分（含应用部分）与带电部分隔离不足、多次清洁消毒灭菌及使用导致的绝缘性能下降、保护接地断开等。注册申请人可通过增强绝缘性能的设计，如更换绝缘材料等控制该风险，通过电气安全检测验证控制措施的有效性。为避免长时间使用造成的绝缘性能下降，可在使用期限研究中，规定的使用期限后对产品绝缘性能进行测试，以证明使用期限内绝缘性能满足要求。

3. 电磁干扰

手术系统在电磁环境中被其他电气设备（如配用的高频手术设备、超声软组织手术设备等）干扰，可能造成产品性能下降或丧失（如体内图像不清晰或图像中断）、主从控制中断、运动部件意外移动、状态信息显示错误、系统死机等危险，进而造成手术时间延长甚至微创手术转开放式手术的情况。注册申请人可通过屏蔽结构设计等软硬件措施提高抗扰度性能，并通过电磁兼容检测进行验证。电磁兼容检测应考虑最不利的工作模式，手术器械相关最不利工作模式可参考《腹腔内窥镜手术系统注册审查指导原则 第1部分：手术器械》附件5的要求。

4. 异物掉落

由于手术系统连接件或零部件的老化以及磨损、材料性能问题、器械与能量护套的配合性能问题、多次重复使用等，手术系统的患者手术平台、内窥镜（如头端玻璃片）以及手术器械（如末端零部件）、附件（如能量护套）等，可能掉落，且存在通过患者体表创口进入患者体内的风险；如掉落物较小，则不易被操作者发现。上述异物掉落均可能造成组织损伤，导致手术中断、手术时间延长甚至微创手术转开放式手术。注册申请人可通过增加掉落物易识别性、封闭性设计、采用性能更好的材料、提高安全系数、优化生产工艺、增加术前使用检查及使用提示等措施降低异物掉落的风险。通过机械系统设计验证或确认（如振动测试、疲劳试验等）、相关工艺过程验证或确认、检查说明书中提示等措施来验证控制措施的有效性。

5. 末端振动

手术器械、内窥镜通过患者手术平台的机械臂进行支撑，经穿刺器（又名戳卡）通道进入患者体内，在操作者控制下进行手术操作（切割、缝合、电切、电凝等）。患者手术平台支撑不稳定、机械臂刚度不足或关节存在回差、手术器械/内窥镜和机械臂连接不稳定、手动控制器未将操作者手部的生理震颤滤除等，均可能造成手术器械末端振动、手术操作精度降低、操作者体验感变差、设备可靠性降低等，进而伤害患者，严重时器械尖端刺破患者内脏或者静脉、动脉等，造成患者大出血。注册申请人可通过机械臂刚度指标控制、手动控制器及关节回差控制、患者手术平台支撑稳定性以及刚度等指标控制、滤波算法控制等进行设计，并通过台架试验进行验证和确认，提交机械臂稳定性研究资料和器械末端运动平滑度研究资料。

6. 非预期运动

由于软硬件问题或错误操作，手术系统中手动控制器、患者手术平台（如升降臂、机械臂等）和手术器械均可能发生非预期的运动甚至运动失控，可能导致手术中断、延长手术时间或微创手术转开放式手术，注册申请人可通过软硬件设计、增加使用提示等措施进行控制，通过软件测试、可用性测试等验证控制措施的有效性。

（二）生物和化学危险

手术系统中手术器械、内窥镜、能量护套、戳卡等在使用过程中直接接触人体无菌组织，高频连接线缆在手术中可能进入无菌操作区域，使用前均需进行清洁、消毒和灭菌。如清洁、消毒和灭菌不充分，可能导致微生物进入患者体内、造成患者感染，注册申请人应选择合适的清洁、消毒和灭菌方法并进行有效性研究。对于多次使用的部件，应明确使用次数、进行灭菌耐受性研究，提交灭菌确认资料及灭菌耐受性研究资料。可参考《腹腔内窥镜手术系统技术审评要点》、《腹腔内窥镜手术系统注册审查指导原则 第1部分：手术器械》、《腹腔内窥镜手术系统注册审查指导原则 第3部分：三维内窥镜》中关于清洁、消毒和灭菌研究资料的要求。对于需使用者灭菌的部件，注册申请人应在说明书中明确清洁/消毒/灭菌方式、灭菌参数及可耐受的灭菌次数，清洁消毒灭菌信息应与研究资料中验证的内容一致，同时说明如何确保不超使用次数使用。

手术系统中直接或间接接触患者或操作者的部件（如手术器械、内窥镜、能量护套、戳卡、3D观察器、手动控制器等）可能引起生物学危险。注册申请人在研发过程中，除考虑接触人体部位的材料外，还需考虑研发生产过程的污染物、残留物、降解产物等，此外需考虑清洁、消毒和/或灭菌过程的残留物对生物学性能的影响，提交生物学评价资料。

（三）性能相关危险

1.主从控制失效

手术系统采用主从控制的方式工作，该方式需要复杂的软硬件设计实现。硬件或软件逻辑存在问题，均可能造成主从控制失效，进而导致手术中断或转开放式手术。注册申请人可从硬件和软件上设置严格的安全校验和中止措施，对硬件的选型安全系数及可靠性、软件的连续运行等进行充分的验证。

2.主从控制精度降低

手术系统中连接件松动、部件老化等，可能引起主从控制精度降低，操作者无法准确进行手术，导致患者伤害。注册申请人可在设计开发输入时确定主从控制精度指标，通过主从控制精度研究、主从操作重复性和复现性研究、机械臂器械末端平滑度研究、机械臂稳定性研究等进行验证。提交相应的研究资料。

3.图像丢失或稳定性变差

操作者必须能够看到患者体内的实时影像，是手术操作安全性的前提。因接口连接故障、通讯线缆损坏、内窥镜图像处理器故障、内窥镜损坏等问题，造成图像无法显示或者只能显示部分图像。在左右眼图像均丧失情况下，不能进行手术；当一只眼的图像丧失时，可以根据手术情况，通过部分功能设置保证手术完成。注册申请人可通过接口可靠性设计和测试、线缆碾压及折弯、电磁兼容测试、内窥镜图像处理器和内窥镜可靠性测试等，保证显示功能的可靠性；在紧急情况下，可通过仅一只眼图像的双屏显示、2D/3D切换等功能，实现在仅一只眼图像显示情况下的短时手术应急处理操作，保证手术安全。

4.手术器械功能降低或失效

超使用次数使用、器械夹持力不足、器械末端变形、手术器械传动机构故障、能量类手术器械多次使用导致的组织黏附等，可能造成手术器械功能（如剪刀类器械的剪切能力、持针类器械对缝合针的夹持力和稳定性、超声软组织手术刀头的组织切割和血管闭合能力、双极器械的血管凝闭能力、单极器械的电切和浅表组织凝闭能力等）降低或失效，进而直接影响到手术操作的效率和安全性。注册申请人可通过安全系数设计验证或确认、相关工艺过程验证或确认、有效的使用次数控制方式等，确保手术器械功能在各使用条件下的稳定性和可靠性。

5. 不动点精度降低或偏离胸腹壁创口

机械臂应具有“不动点”设计，保证在手术操作过程中，不动点一直跟患者体表创口匹配，防止因不动点偏移造成患者创口拉扯下的额外损伤；注册申请人可通过对不动点精度进行指标设定和测试、不动点机构传动可靠性设计和测试、不动点调整机构的术中锁紧能力和可靠性测试、机械臂和套管（或戳卡）连接后的安全互锁算法等方案，保证不动点精度满足要求。

6. 接触力过大

手术系统通过主从控制方式进行手术，与常规内窥镜手术相比，该方式使操作者无法直接感受器械末端施加在组织上的作用力（操作者的力感知能力减弱甚至丧失），进而可能造成器械与组织接触力过大，引发组织额外损伤。注册申请人可通过提供3D立体视觉、力反馈功能（如声光提示）、力限制、报警、接触力过大的应急处理等措施控制该风险，根据需要通过机械系统测试、系统集成测试、可用性测试等进行验证，提交手术器械与组织接触力研究资料。

7. 可用性

可用性风险分析旨在识别并定义可能引发伤害风险的使用场景中的危险情况。每个已确定的危险相关使用场景的描述包括所有手术任务及其事件顺序，以及相关伤害的严重程度。可用性风险分析记录与手术系统用户界面有关的已知或可预见的危险和危险情况，这些危险和危险情况可能会对患者、用户或其他人员造成影响。

可用性工程过程用于评定和降低正常使用（包括合理可预见的误使用）相关的风险，注册申请人可参考《医疗器械可用性工程注册审查指导原则》及标准YY/T 1474、YY/T 9706.106、IEC 62366-1、IEC/TR 62366-2进行可用性研究。

依据《医疗器械可用性工程注册审查指导原则》，手术系统属于高使用风险医疗器械，注册申请人应进行可用性工程研究并提交相关研究资料。

手术系统需重点关注的可用性风险应包含在设计输入、设计输出、验证和确认及使用过程中。注册申请人应考虑手术系统整个使用周期的可用性风险，使用过程中的可用性重点考虑术前、布孔/端口放置和腹腔镜探查、系统对接、术中患者侧、术中外科医生侧、故障排除及术后的各个阶段和应用场景下，设备在正常使用情况下，人机交互的潜在风险。

作为可用性风险分析的一部分，注册申请人应定义关键任务，定义和分析在使用场景中使用（即操作或处理）手术系统的人员。潜在用户/用户组包括主操作医生、助手医生、巡回护士或技术支持人员、器械护士、清洁消毒灭菌操作人员等。注册申请人在进行可用性估计时，应考虑用户的特征和背景等。

（1）患者手术平台移动困难

患者手术平台的移动会直接影响手术系统在术前/术中/术后的转移效率、手术室内的摆位效率，移动困难（如移动速度慢、运动定位精度不足、操作力过大等）会导致手术床旁定位调整困难，影响到打孔位置、造成术前调整时间过长。注册申请人可通过对驱动轮系的布局设计、驱动力设计、控制扶手的原理设计以及软件的速度调整设计和刹车距离精度控制等方面的设计和验证，提高移动灵活性和术前摆位效率。

（2）医生控制台人体工程学不合理

医生控制台的人体工程学参数设计直接影响操作者在操作时的舒适性，如果参数不合理，可能会造成操作者术中的疲劳或误操作。注册申请人需对头部高度、颈部观察角度、手部操作高度、肘部支撑高度、腿部操作空间等进行人体工程学设计，给出尽可能大的调整空间，并将人体工程学参数跟操作者账号进行关联记忆，保证在后续使用时登录后自动调整，减少误使用。

（3）机械臂调整困难

术前需要将机械臂和套管对接，如机械臂调整困难，会降低与套管对接的便利性，造成对接时间过长，部分情况还可能造成不动点对接偏移，在手术中造成患者表皮的拉扯和损伤。注册申请人可通过对机械臂的自由度布局设计、调整阻力控制、软件补偿控制等方式，减少调整阻力，降低对接时间，减小对接偏移。

（4）按键误操作或机械臂错误连接

手术系统含多个不同功能的按键（如开关机按键、急停按键、机械臂调整按键、参数调整按键等），如操作不当，可能造成非预期运动、伤害患者或操作者。注册申请人可通过增加开关标识、按键“空程行程”设计、按键最小操作力限制、结构防护设计以及软件的互锁设计等方式，减少按键误操作的发生。机械臂可连接不同类型的部件（如手术器械或内窥镜），如连接部件类型变化，可能对操作习惯、使用场景等产生影响，注册申请人应对机械臂控制程序逻辑、参数等变化进行分析，对连接接口的变化、连接部件质量对机械臂的影响等进行评估并充分验证。

（5）用户界面设置可用性差

手术系统功能复杂，注册申请人需要通过不同的用户界面进行参数设置以适应不同的场景。如界面设置逻辑性较差、常用参数设置困难或界面布局不合理，可能造成操作者设置参数较慢，影响操作效率。注册申请人应将常用设置参数放置在首页或前两页，常用参数设置按键尺寸、位置及按键间距离应便于操作，并通过收集用户操作意见改善界面设计。

（6）机械臂工作空间不合理

机械臂布局直接影响手术操作时彼此间的碰撞概率以及手术操作区域的可达性。注册申请人可通过收集和分析不同术式摆位的参数、不同术式操作空间参数，设置机械臂的自由度布局和关节参数，控制该风险。

（7）语音听不清

语音直接影响手术操作中主操作医生和辅助医护人员的交流，影响手术操作效率，甚至在紧急情况下的患者安全；注册申请人可通过双向语音设计、消除杂音的软件设计等方式，保证语音通讯质量和准确性。

8. 软件性能相关危险

软件风险管理是手术系统风险管理的组成部分，需与手术系统整体开展风险管理工作。根据 YY/T 1406.1及《医疗器械软件注册审查指导原则（2022年修订版）》，软件本身并不具有危险性，但其运行或使用可能引发潜在的危险情况。建议以系统观点考虑软件相关危险。注册申请人应识别造成危险情况的软件项，并对每一种情况制定风险控制措施。会引发危险情况的软件失效的发生概率难以估计，软件失效引发的风险大多数情况下只需要评价伤害的严重度。

无法避免软件设计中的缺陷（如代码错误或参数计算异常），可能导致数据溢出或计算错误，从而引发系统软件崩溃。该问题可能进一步导致手术中断或设备出现非预期运动等不可预测的情况，进而对患者造成严重伤害。注册申请人可通过以下措施进行预防和控制：实施严格的软件编码规范与审查流程，开展全面的单元测试、集成测试、系统测试以及长时间运行的压力测试以发现并及时修复潜在问题，建立日志记录机制以便于识别和诊断软件崩溃的根本原因。

软件运行过程中若占用过多中央处理器（Central Processing Unit、CPU）资源，可能会造成软件卡死或崩溃，从而影响系统的正常运行。注册申请人可通过增加系统存储空间、提高CPU性能、增强硬件并行处理能力、优化算法和数据结构设计、引入实时监控机制、引入动态调整任务优先级等措施，降低CPU资源的过度消耗，以确保关键任务的稳定执行。

9. 远程性能相关危险

远程手术基于网络实现远距离的手术操作，数据传输的完整性、准确性、实时性直接影响手术效果。注册申请人需综合考虑远程通讯模块、双向数据传输、网络环境、恶意攻击、非法操作、用户访问可能存在的数据纰漏、数据篡改、数据丢失、密码窃取威胁、使用者背景和经验等对数据传输质量及手术安全的影响，明确手术系统对网络性能和安全的要求；通过软件实时校验数据传输的准确性、丢包率，保证数据传输的正确性；通过对网络进行实时监控（如传输速率、时延、抖动、丢包率等）并报警，在网络延时超出限制时，自动将控制权切换到本地操作者；采用适当的身份认证机制及数据传输加密；对使用者进行充分的培训等；结合产品网络安全特性开展相关质控工作，如源代码安全审核、威胁建模、漏洞扫描、渗透测试、模糊测试等软件验证与确认，确保手术操作的安全性和有效性。

四、参考文献

[1]GB 9706.1-2020,医用电气设备 第1部分:基本安全和基本性能的通用要求[S].

[2]GB 9706.277-2023,医用电气设备 第2-77部分:采用机器人技术的辅助手术设备的基本安全和基本性能专用要求[S].

[3]GB/T 42062-2022,医疗器械 风险管理对医疗器械的应用(ISO 14971:2019,IDT) [S].

[4]GB/T 42061-2022,医疗器械 质量管理体系 用于法规的要求[S].

[5]YY/T 1941-2024,采用机器人技术的腹腔内窥镜手术系统[S].

[6]YY/T1437-2023,医疗器械 GB/T42062应用指南(ISO/TR24971:2020,IDT) [S].

[7]GB/T 23694-2013,风险管理 术语[S].

[8]GB/T 24353-2022,风险管理 指南[S].

[9]GB/T 27921-2023,风险管理 风险评估技术[S].

[10]GB/T 16886.1-2022 ,医疗器械生物学评价 第1部分:风险管理过程中的评价与试验[S].

[11]GB/T 20918-2007 ,信息技术 软件生存周期过程 风险管理[S].

[12]YY/T 1406.1-2016,医疗器械 第1部分:YY/T 0316应用于医疗器械软件的指南[S].

[13]YY/T 1474-2016,医疗器械 可用性工程对医疗器械的应用 [S].

[14]YY/T 9706.106-2021,医用电气设备 第1-6部分:基本安全和基本性能的通用要求 并列标准:可用性[S].

[15]YY/T 0664-2020,医疗器械软件 软件生存周期过程[S].

[16]国家药品监督管理局.医疗器械产品受益-风险判定技术审查指导原则（2023修订版）:国家药监局通告2023年第25号[Z].

[17] 国家药品监督管理局.腹腔内窥镜手术系统技术审评要点（2023年修订版）:国家药监局通告2023年第18号[Z].

[18] 国家药品监督管理局.腹腔内窥镜手术系统注册审查指导原则第1部分:手术器械:国家药监局通告2023年第5号[Z].

[19] 国家药品监督管理局.腹腔内窥镜手术系统注册审查指导原则第2部分:动物试验决策判定和要求:国家药监局通告2024年第12号[Z].

[20] 国家药品监督管理局.腹腔内窥镜手术系统注册审查指导原则第3部分:三维内窥镜:国家药监局通告2023年第18号[Z].

[21] 国家药品监督管理局.医疗器械可用性工程注册审查指导原则:国家药监局通告2024年第13号[Z].

[22] 国家药品监督管理局.医疗器械安全和性能的基本原则:国家药监局通告2020年第18号[Z].

[23] 国家药品监督管理局.医疗器械软件注册审查指导原则（2022年修订版）:国家药监局通告2022年第9号[Z].

[24] 国家药品监督管理局.医疗器械网络安全注册审查指导原则（2022年修订版）:国家药监局通告2022年第7号[Z].

[25]IEC 62304 Medical device software-Software life cycle proceses[S].

[26]ISO/TR 24971:2020 Medical devices-Guidance on the application of ISO 14971[S].

[27]IEC/TR 80002-1:2009 Medical device software-Part 1:Guidance on the application of ISO 14971 to medical device software[S].

[28]IEC 62366-1:2015 Medical devices-Part 1:Application of usability engineering to medical devices[S].

[29]IEC/TR 62366-2:2015 Medical devices-Part 2:Guidance on the application of usability engineering to medical devices[S].

附件

常见危险、危险情况及控制措施举例