从电热垫折叠测试看风险、验证与供应商管控

电热垫几乎是最简单的受监管电气器械：一片柔性发热元件、一个控制器、一个温度传感器、一层织物外套、一根电源线。从哪方面看，它都不像需要一套复杂的质量体系。

现在，把它对折。

同样的功率被输送到一半的散热面上，而两个发热面此时相互隔热，热量无法散发到室内。局部温度随之升高。如果控制器的传感器恰好位于折叠区域之外，它读到的温度一切正常，于是继续向一个已经远非正常的部位供电。

用户会折叠电热垫。他们会把它裹在膝盖上，塞在背后，或者在椅子上团成一团。这在任何实际意义上都不算误用。产品本来就是这样被使用的。

这并非假设。2026 年 3 月，FDA 发布了一项针对某款电动电热垫的最严重级别召回，原因正是这一机理：使用时折叠电热垫会提高折叠区域的功率密度，导致该处温度过高；器械无法检测到升高的温度，也不会自动断电。已报告四起严重伤害。这个案例值得作为设计控制案例来研究，而不是当作别人的不幸，因为它暴露出的那条链路，正是每一份设计文件都应当涵盖的链路。

同样值得注意的是，这款器械的监管分类并没有为任何人提供保护。电动电热垫依据 21 CFR 890.5740 属于 II 类器械，并豁免上市前通知。没有任何申报材料经过审评，而且即使有申报，也不会是发现这个问题的控制手段。能发现它的控制手段是风险分析、验证测试和生产检查，这些都存在于质量体系之内，而豁免从未触及质量体系。

这条链路，一环一环来看

九个环节。任何一环失效，在使用现场造成的后果都一样，而每一环代表的是一种不同的组织层面的失误。

每一环实际上在哪里断裂

第 1 至 3 环：危害从未被写下来

接近消费品的器械，其风险分析往往出自一位关注电气安全和元器件失效的人之手：短路、绝缘击穿、电源线受力。这些都是真实的风险。但折叠带来的危害根本不是一种失效。每个元器件都工作正常。危害源于一台功能正常的器械被正常使用，而这一类危害恰恰最常被遗漏。

第 4 环：控制措施存在，但没有人知道它是控制措施

温度保险丝常常已经装在那里，因为最初的设计工程师加了它，或者某项安全标准要求有一个。它也确实有效。但没有人记录它是针对某个特定危害的风险控制措施，所以也没有人知道它关乎安全。这意味着三年后它成为降本对象时，没有任何文件会提出异议。

第 5、6 环：要求只是定性的

“应具备过温保护”不是一项要求，因为没有任何结果能判定它不合格。在多少度？在哪里测量？在什么工况下？响应时间多长？没有数值就无法验证，只剩一句声明。

第 7 环：测试没有复现真实工况

这是最隐蔽的一环。一台器械平放在实验台上、处于开放空气中、在室温下测试，可以轻松通过表面温度限值。同一台器械折叠起来、盖在毯子下、贴着身体，就过不了。如果验证测试没有复现最坏的可预见工况，它验证的就是错误的对象，产出的报告只会让所有人都觉得放心。

第 8 环：保护功能未在生产中得到验证

设计是可靠的，验证也通过了。然后有一台产品出厂时装的是另一家供应商的温度保险丝，或者保险丝安装时没有热接触，或者某个连接器从未插到位。设计验证证明的是设计有效。只有生产测试才能证明包装盒里的那一台有效。

第 9 环：没有人告诉您的那次变更

这是最常见、也最危险的一环。工厂找到了一款成本更低的等效温度保险丝。按照采购人员比对的那些规格书参数，它确实等效。但在您这套组件特定的热容条件下，它的响应时间不同。没有人重新做验证，因为在工厂看来，这只是一次例行的元器件替换。而在您看来，这件事从未发生过，因为没有人告诉您。

为什么这是一个供应商管控问题

第 1 至 7 环归您负责。由您定义预期用途、识别危害、设定要求，并验证设计满足这些要求。即使您把工程设计外包出去，接受剩余风险的仍然是您。这项决定不能委托给供应商。

第 8 环和第 9 环归工厂，而外包项目正是在这里出问题。生产测试在工厂进行，变更也在工厂发起。您的设计文件可以堪称典范，而您的器械仍可能在使用现场出问题，只因为发生了一次您的质量体系从未看到的替换。

正因如此，供应商管控不是一项行政事务。明确指定关键零部件、要求替换前获得书面批准，并建立一个让工厂真正会通知您的机制，决定了一项风险控制措施是只存在于文件中，还是真正存在于产品中。

在您自己的器械上试一试

选出您严重度最高的危害。不是最可能发生的那个，而是对人伤害最大的那个。然后试着在本周之内，不打电话给工厂，拿出以下内容：

1. 风险分析中识别该危害的那一行
2. 控制该危害的设计特征
3. 规定该特征的要求，带具体数值
4. 证明其在真实工况下有效的验证报告
5. 确认该报告覆盖的就是您今天出货的设计
6. 在每一台产品上核实该特征的生产测试
7. 该特征及其元器件的变更历史

大多数公司能很快拿出第 1 项和第 2 项，到第 3 项和第 4 项就开始吃力，而第 6 项和第 7 项则必须打电话问工厂，要等好几天才有答复。这种分布本身就说明了问题。文件上的缺口和产品上的风险，是从两端看到的同一个缺口。

正因为要弥合这个缺口，我们才开展端到端追溯关键链路的诊断，而不是清点文件数量；也正因如此，现场那一半工作与文件审查同样重要。第 8 环和第 9 环无法在加州远程核实。