设计控制的核心理念
设计控制（Design Controls）是医疗器械质量管理体系中用来保证产品设计满足用户需求和预期用途的一套结构化流程。它的核心思想是：器械的质量不是"检验出来的"，而是"设计进去的"。
这一理念的制度化源自20世纪90年代。FDA在分析了大量器械召回和不良事件后发现，相当比例的质量问题可以追溯到设计阶段的疏漏——用户需求定义不清、设计输出未经充分验证、或设计变更未受控管理。1996年，FDA将设计控制写入21 CFR Part 820（Quality System Regulation），成为器械QMS的强制要求。
瀑布模型与设计控制流程
FDA的设计控制框架通常用"瀑布模型"（Waterfall Model）来描述，包含以下环节：
设计策划（Design Planning）。 在启动设计开发之前，制定设计开发计划，明确阶段划分、评审节点、职责分工、资源需求和时间安排。计划不是一成不变的，应随项目进展更新。
设计输入（Design Input）。 将用户需求、法规要求、适用标准、风险管理输出等转化为可验证的设计输入要求。设计输入是整个流程的起点——如果输入有误或遗漏，后续的一切工作都建立在错误的基础上。
设计输出（Design Output）。 设计活动的结果，包括产品规格、图纸、制造工艺、软件代码、标签内容等。设计输出必须可以追溯到设计输入——每一条设计输入都应有对应的设计输出来满足。
设计评审（Design Review）。 在预定的阶段节点，由包含独立评审人员在内的团队对设计进展进行系统评估。评审应记录发现的问题和需要采取的后续行动。
设计验证（Design Verification）。 确认设计输出满足设计输入要求。通俗理解就是"我们造的东西符不符合规格"。常见方法包括检验、分析、测试。
设计确认（Design Validation）。 确认最终产品满足用户需求和预期用途。通俗理解就是"这个产品在真实使用场景下好不好用、安不安全"。确认通常需要在接近最终生产条件下制造的产品上进行，可能包括临床评价、可用性测试等。验证和确认是两个不同层次的概念——验证看的是"规格对不对"，确认看的是"需求满不满足"。
设计转换（Design Transfer）。 将经验证确认的设计移交给生产。转换过程需确保设计输出（如图纸、工艺参数、检验标准）完整准确地传递到生产端，并且生产过程有能力一致地复制设计意图。
设计变更（Design Changes）。 产品上市后（或开发过程中）对设计的任何变更都须经过评审、验证/确认，并记录变更理由和影响分析。未受控的设计变更是器械安全事故的常见诱因之一。
设计历史文件（DHF）
设计历史文件（Design History File）是记录整个设计开发过程的完整文档集合，包括设计策划、设计输入/输出文件、评审记录、验证/确认报告、变更记录等。DHF是FDA检查和公告机构审核时的核心审查对象。
DHF不等同于技术文件（Technical File）——技术文件是面向监管机构的注册提交文件，DHF是面向内部质量体系的开发过程记录。不过两者有大量重叠，良好的DHF管理可以显著降低技术文件编写的工作量。
法规依据：FDA与ISO 13485
FDA 21 CFR 820.30是美国法规中设计控制的条款。2026年2月2日起，FDA正式以QMSR（Quality Management System Regulation）取代了原来的QSR，通过引用方式纳入了ISO 13485:2016。这意味着FDA的设计控制要求与ISO 13485的设计开发要求实质趋同，但FDA保留了若干特有的补充条款（如§820.35记录要求和§820.45标签要求）。
ISO 13485第7.3节规定了设计和开发控制的要求，涵盖设计开发策划、输入、输出、评审、验证、确认、转移和变更。ISO 13485的框架与FDA 21 CFR 820.30在逻辑结构上高度一致，但在措辞和部分细节上有差异。
对于同时面向美国和欧盟市场的中国企业，建议以ISO 13485第7.3节为基础搭建设计控制流程，同时确保满足FDA的附加要求。这样一套流程可以同时满足双方的审核。
与风险管理的关系
设计控制与ISO 14971风险管理密切交织。风险管理的输出（如风险控制措施）是设计输入的重要来源；设计验证/确认的结果又反馈到风险管理文件中，验证风险控制措施的有效性。
在实际项目中，设计控制和风险管理应该"并行推进"而非"先后进行"。从项目启动到设计冻结，风险管理活动（危害识别、风险评估、风险控制）应伴随每个设计阶段同步开展。
常见审核不符合项
从FDA检查和ISO 13485审核的实践来看，设计控制是不符合项的"重灾区"。常见问题包括：
设计输入不完整。 缺少对法规要求、标准要求或风险管理输出的系统识别。用户需求定义含糊、不可验证。
追溯性断裂。 设计输入与设计输出之间、设计输出与验证/确认之间缺少清晰的追溯链。审核员无法确认每一条需求是否都得到了满足。
验证与确认混淆。 将验证活动当作确认来做，或者在非最终生产条件下制造的样品上做确认，导致确认结论的有效性受到质疑。
设计变更管理失控。 产品上市后的变更缺少影响分析和必要的重新验证/确认。FDA在近年检查中越来越关注510(k)获批产品与实际在售产品之间是否存在未申报的设计变更。
设计评审记录缺失。 评审流于形式——要么没有记录，要么记录中缺少对问题的跟踪和关闭。
参考资源
- FDA设计控制指南（Design Control Guidance for Medical Device Manufacturers） — FDA经典指南文件
- 21 CFR Part 820 QMSR — 当前有效的联邦法规
- ISO 13485:2016 — ISO官方标准页面
- FDA QMSR最终规则 — QMSR过渡说明和FAQ
- ISO 14971:2019 — 医疗器械风险管理标准
最后更新：
