如何创建符合 ISO 13485 的流程
ISO 13485 让记录成为面向监管机构的证据：对照设计输入做验证，对照用户需要做确认，一道设计转移关口，以及每条终止分支上都要有的理由。
符合 ISO 13485 的流程是一份成文程序，它的输出就是监管证据：风险贯穿每一个阶段，每项设计输出都对照它的输入验证，之后再在使用中对器械做确认。
简而言之
- 验证是把输出对照设计输入来测试；确认是把器械对照用户需要来测试。
- 每一条停止、拒绝和返工分支都带着被记录下来的理由——被中止的路线同样是证据。
- 设计转移是一道关口：规格不仅要正确，还必须是可制造的。
- 9001 把决定权交给组织的地方，13485 一条一条地点名要求成文程序。
- 风险是每个阶段的输入，而不是在商业论证时复核一次的清单。
验证与确认是两个方框
ISO 13485 建立在 ISO 9001 之上，在两件事上分道扬镳，而这两件事改变了流程该怎么画。风险在这里不是一种思维方式，而是一份文档——从预期用途到危险源再到剩余风险都可追溯，并且在每个阶段被查阅。记录也不是为组织自身改进而写的：多年以后由一位检查员来读，而当初作出那些决定的人都已不在。一条在 9001 下算充分、却对某个方案为什么被否决只字不提的流程，在 13485 下是不完整的。
验证和确认不是同一件事的两个名字。一个问的是规格，一个问的是用户，各自对照自己的接受准则被记录下来——这正是把它们并成一行测试会成为设计控制领域最常见不符合项的原因。合并之后的方框只产出一个结论，而设计文档需要两个；一个挂不到任何一条要求上的结论，不是这条要求已被满足的证据。大多数继承下来的开发流程都停在这个状态，本页的示例也不例外。
下面的示例是一条通用的阶段关口开发流程，它一共只有一行测试：“制定并执行确认测试”。里面没有任何一行把设计输出对照规格做验证，这就是那种合并最纯粹的形态；所以请把这张图读成改造前的状态，并在“制作可运行的原型”之后补上它缺的那一行。它做对的地方是那些终止路线：两处失败都退回“完成详细设计”，而每一道关口都保留一个专门用来承载理由的拒绝行。
把创意做成可转移的设计
一条阶段关口式的开发流程，只有一行测试，没有验证步骤。把它读成改造前的状态，再补上它缺的那个方框。
法规是设计输入
创意、筛选、可行性、概念，然后是“厘清法规要求”。它落在质量泳道，而且发生在商业论证还在编制的时候，不是等设计成型之后。预期用途和适用法规是后面要对照验证的输入，不是末尾的一次评审。
停止也要留下理由
“关口 1：继续开发还是停止？”把两条终止路线都画了出来：“退回”把论证送回“编制商业论证”，“停止”终于“创意暂搁并记录理由”——这个方框的全部用处就是承载那个理由。只能通过的关口只是一个里程碑。
两种测试，图上只有一行
返工是往回走的：“设计评审通过了吗？”把它送回“完成详细设计”，“通过”这一支则直接进入“制定并执行确认测试”。那一行是确认；没有任何一行把输出对照规格验证，而“产品满足需求吗？”同样退回设计。
转移是关口，不是交接
设计转移应当落在“执行小批量试产”：一个能用的设计要在真正生产它的产线上被证明可制造。“关口 2：批准上市吗？”随后把“延长试产”送回试产，把“停止”送到“上市在关口 2 被叫停”。
运作方式
先写设计输入
预期用途、用户需要、适用的法规要求，以及由它们导出的风险控制措施。这些正是验证以后要对照检验的东西，所以含糊的输入会让验证无法被证伪。一条无法被证明已经满足的输入，就是审核当场会被拿出来争论的那一条。
先定文档必须保存哪些记录
在画任何东西之前先列出来：写明与会职能的评审记录、验证与确认的方案和结果、每个被否决方案背后的理由、转移证据，以及各阶段的风险文档。这张图的职责是显示每一份记录在哪里产生，所以每一份记录都要有一行把它生产出来。
把阶段输入成行，再补上那一行测试
“方框文字”一列里一个阶段一行。然后补上这个示例没有的那一行：在“制作可运行的原型”之后加一个验证步骤，它的“连线至”指向设计评审，这样评审读到的是验证结果，而“制定并执行确认测试”才被留下来单独回答用户那个问题。
给每道关口一个能让它停下来的分支
每一道关口的“形状”都填决策，各个结果按“连线至”里数字出现的顺序写进“连线文字”。给终止的那个结果一个属于它自己的拒绝行，而不是一条通向空处的箭头：在设计文档里，没有被走的那条路线，是将来有人必须去读的证据。
在泳道里检查评审的独立性
13485 要求每次设计评审包含相关职能的代表，以及一位独立于所评审阶段的人员。把每一位责任人都输入“纵向泳道”一列，这一点才可核查：示例里“设计评审通过了吗？”就落在开发 / 研发泳道，紧挨着它正在评审的那个原型。
把一条要求在文档里走一遍
取一条设计输入——来自“厘清法规要求”的一条要求——然后向前追。它应当到达一行对照规格验证它的步骤、一行在使用中确认它的步骤，以及一次读过这两份结果的评审。只到达其中一处的要求，就是检查员会找出来的那个缺口。
应避免的错误
把验证和确认并成一行
验证与确认回答不同的问题、对照不同的接受准则，并产出各自独立的记录。一旦合并，文档就说不清一个通过的结果究竟满足了哪一条要求——而这正是那条不符合项。
不可能失败的关口
如果离开一道关口的分支只有继续往下走的那一条，这次评审就只是一次进度会。停止和返工路线才让它成为一项控制，而它们背后的推理属于设计文档。
把交接当成设计转移
把图纸发给生产不是转移。转移是证明这份规格能用将要生产它的工艺、设备和人员被重复地做出来，而且它有一份接收记录。
风险只在概念阶段评估一次
在概念阶段写好、之后再没被打开过的风险评估，无法反映设计后来变成了什么样子。设计每变一次，就查阅一次风险文档，并记录这次变更对它造成了什么影响。
创建自己的设计控制流程
把阶段关口示例打开为你们自己的图表，补上它缺的那一行验证，并让每一道关口都有被记录下来的结论。
相关指南
常见问题
验证和确认有什么区别？
验证问的是设计输出是否满足为它规定的设计输入——实测尺寸对照图纸，测试输出对照写明的要求。确认问的是最终器械是否满足用户需要和预期用途，条件要能代表实际使用，产品要由预期工艺制造。验证完全可以在一台对它的用户来说并不合适的器械上通过；确认才是抓住这一点的那一步。ISO 13485 要求两者各自都有方案、记录和结论。
ISO 13485 第 7.3 条要求什么？
策划、成文的设计输入与输出、在策划的阶段进行评审、验证、确认、转移、设计变更控制，以及按器械型号或系列建立的设计和开发文档。其中每一项既是一项活动，也是一项记录义务。这一条还要求输入包含适用的法规要求和风险管理的输出，而这正是一条 13485 的开发流程与一条加了质量步骤的阶段关口流程之间的分界。
ISO 13485 里的设计转移是什么？
设计转移是把设计经过验证地翻译成生产规范：程序、工装、检验方法、培训和接收准则，让这台器械可以被重复地做出来。标准要求有转移程序，并且要有记录证明设计输出在投产之前适合于制造。把它当成图纸送到工厂的那一刻，正是首批量产会因为原型从未暴露过的原因而失败的原因。
在程序方面，ISO 13485 是不是比 ISO 9001 更严？
是的，而且是刻意的。ISO 9001:2015 让组织自己决定需要哪些成文信息；ISO 13485:2016 则一条接一条地点名要求成文程序——设计和开发、采购、生产控制、投诉处理、纠正措施——并且保留了 9001 已经取消的质量手册要求。实际后果是，这里的流程图不是可有可无的支持材料：它是监管机构会要求查看的那份程序的一部分，而且要看当时适用的那个版本。
