一种医疗器械不良事件风险分析方法体系

赵玉娟，孙欣

1. 山东省药品不良反应监测中心 医疗器械监测评价科，山东 济南 250014；2. 山东第一医科大学附属省立医院（山东省立医院） 医学工程部，山东 济南 250021

引言

医疗器械不良事件（Medical Device Adverse Event，MDAE）监测工作的核心任务是对MDAE进行风险分析，及时有效地规划、开展风险防控工作；而科学、系统、规范的风险分析方法是风险防控工作的前提和必要条件。由于MDAE监测工作起步较晚，国际上始于20世纪80年代的美国，我国始于2004年前后，目前其风险分析仍主要以基于不良事件报告的经验分析为主[1-2]，科学化、系统化、领域化、专门化的MDAE风险分析理论和方法尚未建立。关于MDAE风险分析的领域化、专门化的定义尚待系统性地梳理和确立。各不同渠道数据和信息的综合利用程度不高，难以得出一个综合性、可解释、可利用的风险定量或半定量结果，对防控策略制定与实施尚不能起到显著支持作用。利用数据挖掘、统计分析手段对MDAE数据库进行分析[3-4]以获得风险信息是一种正在被深入研究的思路。我国浙江、广东等地监管部门也正在进行此方面的研究。这一思路须依赖大量数据，对于不良事件报告数量较大的医疗器械（例如无源医疗器械）有望取得突破，但对于报告量较小的医疗器械（例如中大型有源医疗设备），存在其局限性。重庆市药品不良反应监测中心的文强等[5]曾提出基于轨迹交叉理论的MDAE分析方法，依据医疗器械应用环境下各个要素的运动发展轨迹进行分析，对于风险的识别具有较大参考价值，但对于风险的定量或半定量评估仍有所不足。尽管经多年发展，MDAE调查、分析水平不断提高，但缺乏科学、系统的理论方法体系支撑的弊端仍使监管机构在面对被监管对象时在技术层面上缺乏更强大的威信力和说服力。

本文提出一种MDAE风险分析方法体系，综合利用MDAE监管工作中可获取的相关数据和信息，经信息处理和融合，实现了MDAE风险的区间估计和分级估计，为MDAE风险分析工作提供了专门化、可操作的方法体系。

1 MDAE风险分析方法体系

1.1 定义

1.1.1 风险

目前，学术界对风险的内涵尚无完全统一的定义，各学者对风险概念有不同的解释[6-8]。ISO 14971-2007《医疗器械风险管理对医疗器械的应用》[9]指出，风险是损害发生概率与该损害严重程度的结合。本研究采用此定义，故在本方法体系中风险是一个二维概念，以损失发生的可能性与损失程度的大小进行表示和度量。

1.1.2 风险具象

风险具象是指风险分析主体对风险分析客体以及风险本身进行具体、清晰、准确地定义和描述的过程，此概念在先前MDAE风险分析工作中尚未明确提出和确立。MDAE监管技术机构根据不良事件报告分析其辖区内在用的涉事品规、批次医疗器械的风险。此行为模式中，主体是监管技术机构；客体是辖区内在用的涉事品规、批次的医疗器械；不良事件报告是触发风险分析的触发器。风险本身清晰、准确的描述，与风险分析目的、医疗器械具体使用方式、事件调查、防控措施等诸多方面因素密切相关，需根据实际情况进行确定，最终形成风险命题。

1.1.3 风险命题

除了明确风险分析的主客体，风险具象的另一个重要任务是形成风险命题。本方法体系中，风险命题是对可能的风险的具体、清晰、明确的命题式判断性陈述。与风险定义的二维度量相对应，风险命题也分为相应的两个方面。风险命题以集合形式出现，集合中每条风险命题描述一种定量评估判断。

1.2 总体框架

本研究提出一种MDAE风险分析的方法框架（图1），分为三层，自上而下依次为信息源、信息处理和信息融合，体现了本方法体系的基本思路：从各信息源收集风险信息，经信息处理后，使用基于证据理论的风险信息融合方法进行融合，最终得出简洁、易理解、可解释的风险分析定量评估结果。

图1 MDAE风险分析总体框架

本研究根据MDAE监管业务特点及信息来源特性对信息源层进行了拓展。MDAE数据库是指政府监管机构建立的MDAE报告数据库，文献资料是指期刊、书籍、网络电子文档等类型数据库。制造商数据是指制造商按照要求提供的相关数据（如涉事医疗器械设计数据、可靠性试验数据、制造信息等）；现场试验数据是指调查人员根据需要对同品规、批次的医疗器械进行试验的数据；系统分析信息是指运用专业知识通过对涉事医疗器械的结构、原理、应用情况等进行分析得出的相关信息。把制造商数据、现场试验、系统分析合称为可靠性信息源。当此三个信息源均能提供完善信息时，可用于进行设备的可靠性分析，并把分析结果作为一个合并的信息源进行最后的风险信息融合；反之，则可将其中能提供有效信息的信息源直接用于信息融合层。当可疑不良事件由涉事医疗设备的某一个单元引起时，则该设备的相似系统是指采用了相同单元的其他同类医疗设备。相似系统的风险信息也可为涉事医疗设备的风险分析提供有价值的信息。专家信息是指来自专家（团队）经验和研判的信息。本方法体系的信息源层是开放的。任何有益于提高信息融合层综合程度和可靠程度的其他信息源（例如真实世界数据等），均可列入信息源层。

1.3 关键方法

1.3.1 专家意见挖掘与整合

专家意见是MDAE风险分析传统的重要信息来源之一。本方法体系借鉴德尔菲法[10-11]思想结合MDAE风险分析特点进行改进，采用三轮专家意见征询和反馈的方式，前两轮为函询，将第三轮征询作为会商会。专家意见征询从MDAE调查阶段的中后期即开始，首轮专家调查是发散式的，目的是充分引出和挖掘各专家的意见；从次轮征询开始，调查逐步趋于收敛，以使专家团队逐渐形成一致结论。对每轮专家意见进行汇总整理，隐去专家信息后，在下一轮征询中作为反馈资料发至各专家，供其分析判断，提出新意见。若事件调查发现新的重要情况，须一并反馈至专家。从次轮征询起，增加定量评价征询内容。研究人员依据拟定的风险命题，邀请每位专家对风险发生的可能性及损失程度作出定量评价并阐明理由。末轮征询后，使用D-S合成公式对各专家评价结果进行合成，最终形成综合性的专家定量评估结果。

根据初步应用经验，本方法在使用时还需注意两个影响其效率和成败的重要因素：研究人员和专家。研究人员作为专家意见征询的组织者和控制者，应具备相应知识水平、综合分析能力、组织协调能力，其对德尔菲法的理解程度、对涉事医疗器械技术的熟悉程度等多方面素质都影响着本方法的效率和成败。专家的专业背景、权威性、积极性、兴趣等应根据具体问题在专家遴选时予以具体考虑和兼顾。还应注意，经多轮咨询后，坚持完成至最后一轮的专家数量可能会比首轮有所减少。

1.3.2 小子样复杂系统的可靠性分析

对于小子样复杂系统[12]（例如中大型医疗设备），本方法体系借鉴贝叶斯法[13]和金字塔法[14]，充分利用可靠性信息源进行风险分析。调查人员向涉事医疗设备生产商索取设备设计、生产和质量检验等阶段的可靠性测试数据，作为先验数据。在有条件的情况下，调查人员还可进行现场试验获取数据，作为后验数据。若条件相同，MDAE本身也可看作一次或若干次现场试验以充实后验数据。最后把先验数据和后验数据结合，使用贝叶斯公式或更简洁的加权平均方式实现贝叶斯更新，得到更新后的可靠性数据。解析系统结构，拆分为相互级联的若干单元，对各单元逐个进行可靠性评估，然后逐级折合，得到整体或局部系统的可靠性评估结果。折合方式如下：对于q个单元组成的串联系统，折合后系统总体可靠度如式(1)所示。

对于l个单元组成的并联系统，折合后系统总体可靠度如式(2)所示。

式(1)～(2)中，Ri表示各单元的可靠度。上述更新与折合的方法可联合应用。可靠性信息源能分析出损害发生可能性方面的风险评估结果，但损害程度无法作为其评估指标。

1.3.3 基于证据理论的多源风险信息融合

在信息融合层，本方法体系基于证据理论[15-16]对来自各信息源经处理的信息进行融合，以得出最终风险分析结果。在数学上，风险命题集合与辨识框架（记作Θ）相对应。采用D-S合成公式[17-18]进行风险信息融合：

设命题A是辨识框架Θ上的一个焦元，焦元A的基本概率分配（Basic Probability Assignment，BPA）记为m(A)，Θ的各元素分别为Ai(i=1,2,…,n)，m1(A),m2(A),…,mN(A)是Θ上A的N个BPA，则m(A)如式(3)所示。

经事件调查和信息处理后，各信息源对各风险命题的BPA也即mi(Ai)已初步确定。本研究引入信任度（记作C）和不确定度（记作U）两个指标用于表征各个信息源的可靠程度，C,U[0,1]且C+U=1。故在融合前，还需依据各信息源的数据丰富程度、完整性、可靠程度等因素对其信任度C进行赋值，并对各BPA值进行修正，修正后的BPA等于初始BPA与相应C的乘积。

2 实例仿真分析

2.1 实例情况

本文用一个真实案例作为算例，进一步阐释并验证本方法体系。2019年11月，辖区内某市某医院发生医用电子直线加速器晨检未能通过但加速器无报警提示的事件。经调查查实，晨检不通过是由于该加速器的靶发生损坏，造成出束剂量不足。但加速器的靶损坏后，其报警单元却未进行提示。

检索MDAE数据库（2013年1月1日至2019年12月19日），共检索到医用直线加速器MDAE报告761份，内容主要集中在放疗副反应、放射性食管炎、放射性肠炎等，设备故障集中在光栅电机故障、射野灯故障、靶被击变形等。涉及同型号设备的MDAE共48例，其中靶被击变形2例，靶被击变形且无警报提示0例。以“医用直线加速器”为关键词检索“中国知网”数据库，共检索到文献570篇，内容包括医用直线加速器的原理及设计、故障及维修案例、保养维护、辐射危害与防护等方面，未检索到涉及同型号设备靶损坏故障的文献。经专家咨询和会商讨论，专家最终意见为分析性、建议性的非定量意见。可见，当时所掌握的信息仅来自于3个信息源：MDAE数据库、文献资料和专家信息。若仅按当时获知的数据和信息来进行分析，无法完全展示本方法体系的全部内容。故在以下分析中所使用的部分数据是经过合理假设得到的，用于仿真模拟分析一个数据、信息较完整的案例。

2.2 风险命题

经事件调查和风险具象后，需拟定风险命题。风险命题的拟定应根据风险评估的目的和关注点、评估准确度和精密度要求、评估难度、评估成本等多方面因素进行灵活调整和权衡。本研究提供两种形式的风险命题作为示例。

（1）风险命题1：辖区内同型号在用加速器出现靶损坏的可能性使用分级评估依次为1～5级；靶损坏所造成危害的严重程度使用分级评估依次是1～5级。

风险命题1前半部分实际上包含了5个命题，分别为“辖区内同型号在用加速器出现靶损坏的可能性使用分级评估评定为1级”“辖区内同型号在用加速器出现靶损坏的可能性使用分级评估判定为2级”……“辖区内同型号在用加速器出现靶损坏的可能性使用分级评估判定为5级”。此处为了简洁而合并表述。同理，关于严重程度的命题也同样包含5个命题。

（2）风险命题2：辖区内同型号在用加速器出现靶损坏且未报警的可能性使用分级评估依次为1～5级；靶损坏且未报警所造成危害的严重程度使用分级评估依次是1～5级。

上述两种风险命题中，损失可能性和严重程度均使用了1～5级的分级形式，也可使用更为具体的分级形式，例如使1～5级分别对应可能性极低、低、中、高、极高等方式。还可使用区间评估，将区间[0, 100%]均匀分为5个区 间 ：[0, 20%)、[20%, 40%)、[40%, 60%)、[60%, 80%)、[80%, 100%]。还可以根据风险预估情况，非均匀地划分区间以使风险的区间评估更加精细，例如需要在30%左右进行可能性细分时，可将区间非均匀地划分为：[0, 20%)、[20%,30%)、[30%, 40%)、[40%, 60%)、[60%, 80%)、[80%, 100%]。

2.3 专家意见挖掘与整合

医用电子直线加速器属于复杂大系统，涉及技术领域较广，遴选专家时尽可能扩大专家数量及其专业领域。本案例遴选6名来自加速器研究、制造、质量检测检验和应用等领域的专家，采用三轮调查的方式（图2）。在完成前期事件调查后，将所获取信息进行整理，作为首轮专家咨询的背景资料发送给各专家。首轮征询的任务是使专家对不良事件有详细了解，对事件原因进行分析，对风险进行识别。研究人员根据事件调查情况和首轮专家意见，对事件原因、风险识别做出结论性判断，并完成风险具象。次轮咨询中，研究人员邀请各专家对各风险命题的BPA进行赋值并阐明理由。评估结果及其理由经整理后，在末轮征询中反馈给各专家。末轮征询采用会议形式，便于充分讨论，使专家结论更好地趋于一致。会议中，专家讨论是面对面的，但在风险定量评估环节各专家为背对背独立评定。本案例中，专家意见原本均为定性意见。为说明本方法，假设使用上述方法依风险命题1得到了6位专家的定量评估结果。以损害发生可能性的分级评估为例，把等级1～5级这5个命题的集合作为辨识框架，以每个命题作为一个焦元，把6名专家评估结果作为6个信息源，使用式(3)对每个命题合成各专家的评估结果，可分别计算出各命题融合后的BPA，损失程度评估与此同理。

图2 专家咨询流程

2.4 可靠性信息计算

加速器的靶单元属于寿命型部件，其可靠性服从指数分布。靶所接受的电子轰击时间越长，其可靠性越差。假设由制造商获知，靶的平均无故障运行时间为5000 h，则靶的失效率如式(4)所示，靶的可靠度如式(5)所示。

靶故障警告单元是典型的成败型单元，服从二项分布。假设由制造商获知，靶故障警告单元失效的概率为0.0001。靶和靶故障警告单元为并联系统，其总体可靠度如式(6)所示。

可见，靶故障警告单元的可靠性对于并联系统总体可靠性的影响较小。将加速器靶的使用时长带入式(6)即可计算此时并联系统的总体可靠性。可靠性越高，则故障发生可能性就越低，风险越小。

由于靶的价值较高，现场试验几乎不可能。假设能够实现现场试验，则可根据试验次数进行加权平均，将现场试验数据与制造商数据相融合，得出新的平均无故障运行时间，再依(4)～(6)式进行计算。

2.5 多源风险信息融合

以风险命题1作为分析对象，首先评估损害发生可能性（表1），使用2.3小节方法得出对应于风险命题1的专家定量评价结果。依据MDAE数据库信息，结合同型号加速器的保有量信息，对靶损坏的可能性进行评估并对各级别的BPA进行赋值。此处认为靶损坏可能性为2级的证据比较充足，因此为2级赋值0.70，其他级别根据调查情况进行赋值。由于未检索到同型号设备有靶损坏方面文献，故认为文献资料信息源为靶损坏可能性1级提供的证据较为充分，赋值最高，其余等级酌情赋值。可靠性信息源依据2.4小节的计算结果进行赋值。此处还假设能够搜集到相似系统的信息，对来自相似系统的风险信息也进行了赋值。对各信息源的C值进行赋值，并修正各BPA值。采用式(3)进行各信息源的风险信息融合，得到的结果如表2所示。由表2可知，融合结果的不确定度低于任何单一信息源的不确定度，说明多源风险信息融合降低了最终结果的不确定度，使之更加可信。

表1 各信息源获取的风险发生可能性的评估结果

表2 可能性评估重新分配BPA及其融合结果

依据MDAE数据库报告中关于损害严重程度的描述，对MDAE数据库这一信息源的评估结果进行赋值和确认。可靠性信息将不再使用，但可将系统分析作为信息源之一，通过系统分析对靶损坏所造成负面后果的严重程度进行评估。由于未检索到同型号设备靶损坏的相关文献，故不将文献资料作为信息源之一。专家定量评估结果同样采用前文方法得出。综上，可得到各个信息源关于严重程度的评估结果（表3），经BPA修正和信息融合后的评估结果如表4所示。

表3 各个信息源获取的严重程度的评估结果

表4 严重程度评估重新分配BPA及其融合结果

综合表2和表4，可得到本案例对应于风险命题1的评估结果：辖区内同型号在用加速器出现靶损坏的可能性评定为2级（BPA=0.98077，U=0.01897）；靶损坏所造成的损害程度评定为3级（BPA=0.98732，U=0.01213）。

3 讨论与总结

本文提出一种系统性、综合化的MDAE风险分析方法体系，充分利用MDAE监管工作中可获取的数据、信息，经分析处理和融合，实现了MDAE风险的定量估计，为MDAE风险分析工作提供可遵循、可操作的方法体系。

本方法体系与其他研究团队正在研究其他分析方法具有兼容性。例如目前正在研究的以统计学和数据挖掘为基础的风险分析方法，以MDAE数据库为研究对象实施统计分析和挖掘，其分析结果则可使用本方法作为MDAE数据库信息源与其他信息源进行融合，实现更可靠的风险评估。本研究实质上提供了一种MDAE风险分析的系统性框架体系，三层框架中任何一层的任一节点的研究进展都将促进本方法体系的整体进化。这也是本研究的主要贡献和核心优势特色之一。

在本方法体系中，风险命题的拟定是灵活且具技巧性的。除2.2节的例子，如果研究人员关注靶损坏对病人预后造成的不良后果，则在损失严重程度评估时可以将病人治疗后生存期的缩短进行区间估计，以反映靶损害可能对疗效产生的不利影响；如果关注经济损失，则可将经济损失进行区间估计等。也可对多个形式的风险命题同时进行平行分析以获得更丰富的风险评估结果。

本方法体系并不要求所有信息源必须严格完备或完全可靠。在实际工作中，可能会缺少某个或某几个信息源信息，这时使用已掌握的信息也可利用本方法进行风险分析与合成。通过对各个信息源的信任度C进行度量和赋值，本方法体系可将信息完善程度各不相同的信息源进行区分并加以综合利用，以提高最终结果的可靠程度。这体现了本方法体系较强的实用性、鲁棒性和容错性。

本研究的意义不仅在于为MDAE风险分析提供了系统性方法参考，还对在用医疗器械的风险分析也提供了可借鉴范式，这也是后续研究的重点方向之一。后续研究还将不断扩展本方法的医疗器械应用范围，在应用实践中改进、完善；根据不同医疗器械风险特点和MDAE监测工作要求，将本方法体系进一步规范化、流程化，建立相应风险评价规范，以便更好地应用于MDAE监测工作实际业务中。