医疗FMEA：从患者流到失效模式（步骤分解、失效识别、SOD评分）

医疗FMEA：从患者流到失效模式

（步骤分解、失效识别、S/O/D评分）本文档提供：表2患者流步骤分解与失效识别工作表；表3严重度S评分锚点表；表4发生度O评分锚点表；表5可探测度D评分锚点表；表6RPN计算与行动阈值判定表；表7高风险失效模式行动卡；表8失败项排查表；示例1四次转折完整示例；表10三套场景检查项增减表；表11来源与时效核对表。2026-11-07表1目录与定位表这一节的标题读完能拿到什么这一节在全文中的功能一、患者流拆成哪几步：从入院到出院的步骤编号表2患者流步骤分解与失效识别工作表把患者流拆成可逐条评分的步骤和子步骤二、每个步骤往下问三句：哪里会断、断了会怎样、断的时候看得出来吗表2失效模式列与后果列从步骤推出失效模式、后果和可观察信号三、严重度S：1到10分，锚点写死，不凭感觉表3严重度S评分锚点表给出S分的逐档定义和取分依据四、发生度O：有历史数据用频率，没有数据用证据等级表4发生度O评分锚点表把O分从主观估计拉到可查记录上五、可探测度D：现有的屏障在第几层，决定D取几分表5可探测度D评分锚点表按屏障层数和检出概率定D分六、RPN算出来以后：≥125和S≥8两条线怎么用表6RPN计算与行动阈值判定表按RPN阈值和S阈值双线筛出必改项七、高风险项的行动卡：改屏障、改流程、还是加复核表7高风险失效模式行动卡把高分失效模式落到具体改法上八、哪一步评分跑偏了：七个检查点的排查顺序表8失败项排查表从工作表和数据来源定位评分断点九、四次转折的完整示例：入院身份识别从RPN216降到96示例1四次转折完整示例示范识别失效、重评S/O/D、改屏障的连锁十、五条决策规则和一处矛盾：S高O低与S低O高先改哪个表9决策规则表与矛盾权衡段给出RPN相同但S/O结构不同时的排序规则十一、完整版、精简版、极简版：步骤和评分项实际增减表10三套场景检查项增减表按场景选择分析深度和评分范围十二、来源与时效核对：标签对应的验证动作表11来源与时效核对表核对标签对应的事实层级和验证动作按第一列在正文找对应那节，按第二列判断这节有没有读者要的东西，按第三列判断这节是否对应读者当前卡住的位置。一、患者流拆成哪几步：从入院到出院的步骤编号医疗FMEA的第一步是把患者流拆成可编号、可观察的步骤。步骤拆得不够细，失效模式就识别不出来；拆得过细，评分工作量失控。表2按患者流的六个阶段展开，每个阶段给出步骤编号、步骤名称和子步骤。步骤编号用“阶段字母+两位数字”，便于在评分表和行动卡之间交叉引用。表2患者流步骤分解与失效识别工作表（片段）步骤编号步骤名称子步骤失效模式（示例）后果可观察信号A01入院登记身份信息录入姓名或出生日期录入错误后续所有环节关联到错误患者腕带与登记信息不一致A02入院身份核实双身份标识核对仅用床号或房间号核对，未用姓名+出生日期治疗对象错误核对时未复述姓名B01检查预约检查项目与时间安排预约项目与医嘱不一致延误诊断或重复检查预约单与医嘱项目名不同B02检查前准备禁食/停药指令传达禁食指令人未传达到患者检查取消或结果失真患者陈述未被告知禁食C01医嘱开具药物剂量与频次剂量单位混淆（mg与g）过量或不足医嘱剂量超出常规范围C02给药执行给药前核对核对时未确认患者身份给错患者给药记录与腕带不符D01手术安全核查Time-out三方核查三方未同时在场即开始错误部位或错误术式核查单签名缺失或时间早于麻醉E01转科交接交接信息传递关键信息（过敏、管路）未交接接收科室重复或遗漏处置交接单过敏史栏空白F01出院评估出院标准核对未达出院标准即办理出院再入院出院记录生命体征未达标F02出院随访安排复诊预约未确认患者可及性即预约失访预约时间与患者陈述冲突表2第4列失效模式写成“具体动作出了什么错”，不写“沟通不畅”“执行不到位”这类概括词。第5列后果写成患者端或流程端可观察的结果。第6列可观察信号是后续评分D分的依据：信号越容易在现有流程中被看到，D分越低。步骤拆解的依据是NCPS的HFMEA五步流程：定义主题、组建多学科团队、绘制流程图、危害分析、行动与结果测量。表2对应其中的“绘制流程图”和“危害分析”两步的合并落地。成品块：输入取表2第2行A01；动作把“入院登记”拆成“身份信息录入”子步骤并写失效模式；输出表2第4列填“姓名或出生日期录入错误”；判定失效模式列写的是具体录入动作的错误形态，而非概括词，填“A01失效识别完成”。二、每个步骤往下问三句：哪里会断、断了会怎样、断的时候看得出来吗表2的失效模式列只回答“哪里会断”。完整的FMEA条目还要回答后两句：“断了会怎样”（后果）和“断的时候看得出来吗”（可探测性）。三句合起来对应S、O、D三个评分维度的取分依据。以D01手术安全核查Time-out为例。失效模式写“三方未同时在场即开始核查”；后果写“错误部位或错误术式”；可观察信号写“核查单签名缺失或签名时间早于麻醉开始时间”。后果的严重程度决定S分（错误部位手术属于极高档）；失效模式在本科室的实际发生频率决定O分；现有屏障能否在造成伤害前拦住它决定D分。失效模式的写法有一道硬校验：把失效模式单独拿出来，问“护士或医生看到这个词，能不能指出具体在哪一步、哪个动作上出的错”。答不出的，退回重写。例如“身份识别不到位”不合格，改成“核对时仅复述床号，未复述姓名和出生日期”合格。后果的写法同样有校验：后果要落在患者安全或流程结果上，写清“如果失效不被拦截，最远会传导到哪里”。A01身份录入错误的后果写“后续所有环节关联到错误患者”，传导链完整；只写“信息错误”则传导链断裂，无法支撑S分。成品块：输入取表2第8行D01；动作按“哪里会断、断了会怎样、看得出来吗”三句补齐；输出表2第4至6列填失效模式、后果、可观察信号；判定三列各自可独立读出，且失效模式能指向具体动作，填“D01三句完整”。三、严重度S：1到10分，锚点写死，不凭感觉S分衡量失效一旦发生、在现有拦截发生之前，对患者造成的伤害程度。1到10分，1分为无伤害，10分为危险地高（可能导致患者死亡或永久性严重伤害）。表3把每一档锚定到医疗场景的具体形态，评分人对照锚点取分，不凭“感觉严重”。表3严重度S评分锚点表S分严重度档医疗场景锚点（取最接近的一项）取分示例10危险地高错误部位手术、错误患者输血、致死性用药错误D01错误部位手术取109极高永久性严重功能障碍、需生命支持给药过量导致呼吸抑制取98很高永久性轻度伤害或需二次手术输液外渗导致组织坏死取87高暂时性严重伤害、住院延长≥7天跌倒致骨折取76中等暂时性中度伤害、需额外治疗给药延迟导致病情波动取65低暂时性轻度伤害、无需额外治疗腕带信息错误但被拦截取54很低不便或轻微不适重复抽血一次取43轻微流程延迟无伤害检查预约改期取32很轻微可忽略的影响登记信息排版错误取21无未造成任何影响取1表3第4列D01取10的依据落在“错误部位手术”这一锚点上。同一失效模式如果场景不同，S分随之变化：同样“三方未同时在场”，如果术式为双侧扁桃体切除（左右侧错误后果相对可控），S分可降至8或7；如果是脊柱节段手术，S分维持10。S分跟着具体术式或具体药物走，不跟着“核查失效”这个抽象类别走。S分有一条独立的行动触发线：S≥8的失效模式，即使RPN未达阈值，也进入高风险清单。错误部位手术、错误患者输血、致死性用药错误三类S分通常为9到10，属于“RPN不高也必须改”的条目。成品块：输入取表2第8行D01后果“错误部位或错误术式”；动作对照表3锚点取最接近档；输出表3第4列填“取10”；判定锚点描述与后果逐字可对照，填“D01S=10”。四、发生度O：有历史数据用频率，没有数据用证据等级O分衡量失效模式在现有流程条件下实际发生的频率。1到10分，1分为极少发生（超过五年一次），10分为危险地高（每天一次以上）。表4把O分锚定到频率区间和可查证据来源上，避免评分人用“偶尔”“有时”这类词直接映射分数。表4发生度O评分锚点表O分发生频率锚点证据来源（优先取左侧）取分示例10每天一次以上近3个月事件报告+现场观察给药核对漏项每天出现取109每3到4天一次事件报告频次—8每周一次事件报告或审计记录身份核对未复述姓名每周出现取87每月一次事件报告或审计记录—6每3个月一次事件报告或季度审计—5每6个月到1年一次年度事件汇总—4每年一次年度事件汇总—3每1到3年一次多年度汇总或同类科室数据—2每3到5年一次同类科室或文献数据—1超过5年一次或从未发生文献、专家共识无历史记录且流程有硬屏障取1表4第3列的证据来源决定O分的可信度。有近3个月事件报告支撑的O分，优先于“科室公认大概每周一次”的口头估计。没有历史数据的新流程，O分取2或3，同时在备注列写“无本院数据，取同类流程下限”，待运行3到6个月后用实际数据重评。O分评分的常见偏差是把“发生过一次严重事件”直接推到O=8或9。频率锚点看的是单位时间内的发生次数，不是单次事件的严重程度。一次严重的给错药事件，如果科室年给药量数万次且仅此一例，O分可能落在3到4，S分才承担严重性的表达。S和O分开打分，是为了让“高伤害但极罕见”和“低伤害但频发”两类失效模式在RPN和行动规则中得到不同的处理路径。成品块：输入取表2第2行A01“姓名或出生日期录入错误”；动作核近3个月事件报告与现场审计记录中的发生次数；输出表4“O分”列填对应频率档；判定O分与证据来源列同时有值，填“A01O分完成”。五、可探测度D：现有的屏障在第几层，决定D取几分D分衡量失效已经发生、但在造成患者伤害之前，现有流程中的屏障把它拦住的概率。1到10分，1分为几乎肯定能检出（检出概率9/10），10分为绝对无法检出。D分的取分逻辑与S、O不同：D分评的是“现有屏障”，不是“应该有什么屏障”。表5可探测度D评分锚点表D分检出难度屏障层数与形态取分示例10绝对无法检出无任何屏障口头医嘱无记录且无双人核对取109几乎无法检出，检出1/10次仅靠个人记忆仅依赖护士个人记住过敏史取98检出2/10次单一非强制屏障仅有培训提醒取87检出3/10次单一人工核对给药前单人核对取76检出4/10次人工核对+事后抽查单人核对+护士长周抽查取65检出5/10次双重人工核对给药双人核对取54检出6/10次双人核对+记录留痕双人核对并双签名取43检出7/10次信息化强制拦截+人工复核扫描腕带不匹配时系统锁定取32检出9/10次系统硬拦截+实时告警条码扫描+剂量范围校验取21几乎肯定能检出多重硬屏障串联系统拦截+双人核对+实时审计取1D分评的是“如果失效发生了，现有屏障在伤害到达患者之前把它拦下来的概率”。表5第3列屏障层数是取分的直接依据：无屏障取10，单层人工核对取7左右，双重人工核对取5，信息化强制拦截取3，系统硬拦截加实时告警取2，多重硬屏障串联取1。D分与S分有一处联动：S≥9的失效模式，D分取7以上的（即屏障不足以可靠拦截），直接进入高风险清单，不必等RPN计算结果。原因是高严重度失效一旦漏过屏障，后果不可逆，探测度的任何薄弱都不能接受。D分评分的常见偏差是把“计划要加的屏障”写进D分。D分只认已经运行、有记录可查的屏障。计划中的信息化拦截尚未上线，D分按现有屏障取，上线后重评。成品块：输入取表2第8行D01“三方未同时在场即开始”；动作核现有屏障层数与检出概率；输出表5“D分”列填对应档；判定屏障形态描述与D分档位可对照，填“D01D分完成”。六、RPN算出来以后：≥125和S≥8两条线怎么用RPN=S×O×D，取值范围1到1000。医疗风险管理中通常以RPN≥125作为“必须采取改进措施”的阈值。部分机构采用更严或更宽的口径（RPN≥100或≥120），阈值在FMEA启动时由团队一次性锁定，分析过程中不调。表6RPN计算与行动阈值判定表失效模式SODRPN阈值判定行动A01姓名/出生日期录入错误586240RPN≥125且S<8进入常规改进队列A02仅用床号核对787392RPN≥125且S<8进入常规改进队列D01三方未同时在场1058400RPN≥125且S≥8立即改，S线独立触发C01剂量单位混淆936162RPN≥125且S≥8立即改，S线独立触发F02未确认可及性即预约366108RPN<125且S<8纳入监控，不单独行动B02禁食指令人未传达64372RPN<125且S<8纳入监控，不单独行动表6第6列的阈值判定有两条独立线。第一条是RPN线：RPN≥125进入改进。第二条是S线：S≥8进入改进，与RPN无关。两条线是“或”的关系，任一条成立即行动。D01的RPN=400、S=10，两条线同时触发；C01的RPN=162，RPN线触发，S=9，S线也触发；A02的RPN=392但S=7，只有RPN线触发，行动优先级排在S≥8的条目之后。RPN<125且S<8的条目纳入监控，不单独开行动项，但要在下一轮FMEA或年度复评时重看O分和D分是否变化。RPN计算的一个常见错误是S、O、D取分依据不一致：S按最坏情形取10，O按历史频率取3，D按现有屏障取8，三个分指向不同的假设场景。校验方法是逐条核对三个分的“取分场景”是否落在同一条失效链上。成品块：输入取表2第8行D01S=10、O=5、D=8；动作按RPN=S×O×D计算；输出表6第5列填400；判定RPN≥125或S≥8任一成立，第6列填“立即改，S线独立触发”。七、高风险项的行动卡：改屏障、改流程、还是加复核RPN≥125或S≥8的失效模式进入表7，每条给出改法、责任人和复评后的目标值。改法优先改屏障层数，其次改流程步骤，最后才加人工复核。人工复核是D分改善中最弱的一层，加复核只能把D分从7降到5左右，加信息化拦截可以把D分降到3。表7高风险失效模式行动卡失效模式编号改法类型具体改法责任人复评目标复评时点A01改屏障入院登记系统增加姓名与出生日期双字段强制匹配校验某信息科工程师D从6降至2，RPN≤80上线后1个月A02改流程身份核对话术标准化，必须复述姓名+出生日期两项某护理单元护士长D从7降至4，RPN≤200培训后1个月D01改屏障Time-out核查单与麻醉开始开关联动，未完成核查麻醉机锁定某手术室护士长+信息科D从8降至2，RPN≤100上线后1个月C01改屏障医嘱录入剂量单位下拉选择，取消自由文本输入某信息科工程师D从6降至2，RPN≤60上线后2个月表7第3列的具体改法写成“谁在哪个系统或哪个动作上加什么”。A01的改法不是“加强培训”，是“系统增加双字段强制匹配校验”。D01的改法把核查完成状态与麻醉机开机权限绑定，属于硬屏障。C01取消自由文本，从输入源头消除单位混淆。复评时点落在上线后1到2个月，复评内容是重打D分（屏障变了），S和O通常不变，重算RPN并与目标值对照。复评后RPN未达目标值的，回表8排查改法是否真正落地。成品块：输入取表7第2行A01；动作按“改屏障优先”原则选具体改法；输出表7第3列填“系统增加双字段强制匹配校验”；判定改法落在系统功能上而非培训提醒上，填“A01行动卡成立”。八、哪一步评分跑偏了：七个检查点的排查顺序RPN排序结果与现场感知不一致、或复评后RPN不降时，按表8排查。第一检查点直接打开表2的失效模式列，查失效模式写法是否指向具体动作。表8失败项排查表检查点打开哪个记录查什么常见失败形态换哪条路完成标志第一检查点表2失效模式列写法是否指向具体动作填“沟通不畅”且无具体环节回表2重写失效模式失效模式可指向动作第二检查点表3S分取分列S分场景是否与后果一致S=10但后果写“流程延迟”按后果重取S分S分与后果锚点可对照第三检查点表4O分证据列频率是否有可查来源O=8但无事件报告支撑回表4补证据或降O分O分有证据来源第四检查点表5D分屏障列屏障是否已运行D=3但系统尚未上线按现有屏障重取D分D分对应已运行屏障第五检查点表6RPN计算行S/O/D场景是否同链S按最坏取10、O按均值取3统一到同一条失效链三分配景一致第六检查点表7行动卡改法是否真改屏障改法填“加强培训”改为系统或流程改动改法落在屏障或流程上第七检查点复评记录复评是否重打了D分复评RPN与初评相同且D未变按新屏障重打D分D分有变化记录表8第三检查点的失败形态值得单独说：O分没有事件报告或审计记录支撑，等于用印象代替频率。表4的O分锚点要求证据来源与分数同时存在，缺证据的O分回退到低一档，待数据积累后重评。第一检查点找到失败项即停，处理后回表6重算。成品块：输入取表8第2行第一检查点；动作打开表2失效模式列核写法；输出表8第5列填“回表2重写失效模式”；判定表8第6列“失效模式可指向动作”成立，该失败项关闭。九、四次转折的完整示例：入院身份识别从RPN216降到96[示例案例，细节为合理设定]某医院护理部牵头对入院身份识别环节做FMEA，初始RPN=216，高于125阈值。该案例的关键判断分叉集中在失效模式写法、O分证据、D分屏障层数、改法选择四处，四次转折的判断依据已穷尽。起点材料：表2A02“入院身份核实”失效模式初写“身份识别不到位”；S=6、O=6、D=6，RPN=216。分步操作：按表6初判RPN≥125，进入改进。初看S=6未到8，走RPN线。转入表8排查。第一次转折。信号：RPN=216超过阈值，但“身份识别不到位”这个失效模式无法指向具体动作。假设：失效模式概括写不影响评分，反正RPN已经超了。试了什么：按表8第一检查点核写法，看到“不到位”无法回答“哪一步、哪个动作出的错”；再对照文献中类似流程的失效模式写法，多数写成“核对时仅用床号、未用姓名和出生日期”。新信息：失效模式写法直接影响O分和D分的取分依据，概括写法让O分和D分都失去锚点；第一轮“写法不影响评分”的假设被推翻。换哪条路：A02失效模式重写为“核对时仅复述床号，未复述姓名和出生日期”，重新走S/O/D评分。第二次转折。信号：重写后进入O分评定，科室口头反映“经常发生”，初拟O=8。假设：口头反映可以支撑O=8。试了什么：按表4核证据来源，O=8需要事件报告或审计记录支撑；打开近3个月的身份核对审计记录，看到抽查120例中核对不完整为11例，折算频率约每月4到5次，落在O=7档（每月一次）到O=8档（每周一次）之间。新信息：审计数据支持O=7而非8；第二轮“口头反映支撑O=8”的假设被推翻。换哪条路：O分从8调为7，证据来源列填“近3个月审计记录，抽查120例中11例不完整”。第三次转折。信号：重写失效模式并调O=7后，RPN=6×7×6=252，仍高于初始216，反而上升。假设：评分调整让RPN变差，说明初始评分低估了风险。试了什么：按表8第五检查点核三分配景，看到S=6按“腕带信息错误但被拦截”取分、O=7按审计记录取分、D=6按“人工核对+事后抽查”取分，三分配景一致；再核D分屏障列，发现科室已计划上线腕带扫码核对，但尚未运行。新信息：D分不应把“计划中的扫码屏障”算入，按现有屏障（单人核对+护士长周抽查）应取D=7；第三轮“D=6成立”的假设被推翻，D分调为7后RPN=6×7×7=294。换哪条路：D分维持7，RPN=294，行动卡按RPN≥125和S=6（未到8）走RPN线，改法优先改屏障。第四次转折。信号：行动卡初拟“加强身份核对培训”，复评目标D从7降至5。假设：培训可以把D分降2分。试了什么：按表7改法类型核“改屏障优先于加复核”，培训属于最弱的屏障层，通常只能把D从7降到6左右；再核信息科可用的系统功能，看到入院登记系统已有姓名和出生日期字段，可增加强制匹配校验。新信息：培训的D改善幅度不足以把RPN降到目标，第四轮“培训足够”的假设被推翻。换哪条路：改法改为“登记系统增加姓名与出生日期双字段强制匹配校验”，复评目标D从7降至3，RPN目标6×7×3=126以下；同时保留话术标准化作为辅助措施。终点产出：A02失效模式重写为“核对时仅复述床号，未复述姓名和出生日期”；S=6、O=7、D=7，RPN=294；改法为系统双字段强制匹配校验；复评时点上线后1个月；复评后D=3，RPN=6×7×3=126，后续O分随审计频次下降调至6，RPN=108，进入监控。表11案例变量表变量案例中情形如果变量不同处置变化失效模式写法初写“不到位”，重写为具体动作初写即具体省去第一次转折，直接进入O/D评分O分证据审计120例中11例，O=7审计显示每周1例，O=8RPN更高，改法优先级不变D分屏障现有单人核对+周抽查，D=7扫码已上线，D=3RPN降至126以下，改法转为优化O改法类型系统强制校验系统不可改，只能培训D目标只能到6，需同时改流程加复核S分6（信息错误但可拦截）9（错误患者输血）S线触发，改法必须硬屏障，不可只靠流程改法类型与D分屏障层数的匹配对RPN降幅的影响权重较高。案例成品块：输入取A02重写后的失效模式、O=7证据、D=7屏障；动作按表7“改屏障优先”选系统强制校验；输出复评RPN=126；判定D从7降至3且RPN≤126，填“A02改法有效”。十、五条决策规则和一处矛盾：S高O低与S低O高先改哪个表9列五条决策规则，覆盖S线与RPN线的优先级、O高D低、O低D高、改法选择、复评不达标五个分叉点。表9决策规则表规则编号如果看到则执行判定失效时退路执行人完成标志Q1S≥8且RPN<125按S线独立触发，立即改S线不改则上报医疗安全委员会某FMEA组长改法上线日期可查Q2RPN≥125且S<8，O≥7且D≥7优先改屏障降D屏障不可改则改流程降O某FMEA组长D或O至少一项下降Q3RPN≥125且S<8，O≤3且D≥7优先降D，O低说明事件罕见但探测弱D降不动则增设监控指标某质量安全员D下降或有监控记录Q4改法只能选培训同时加一层流程或系统屏障屏障不可得则缩小流程范围某科室负责人改法含屏障项Q5复评RPN未达目标回表8第七检查点核D分是否重打D已重打仍未达标则换改法类型某FMEA组长复评记录有D分变化表9第2行Q1处理S线独立触发。第3行Q2和Q4行Q3处理RPN超阈但S未到8的情形：O高D高优先降D（屏障），O低D高说明事件罕见但探测弱，同样优先降D。第5行Q4直接限制“只培训”的改法，培训不能作为唯一行动。矛盾陈述：两条失效模式RPN同为294。A02的S=6、O=7、D=7；另一条C01的S=9、O=2、D=？——C01的实际RPN为9×2×D。如果C01的D=6，RPN=108，低于125，但S=9触发S线；如果C01的D=8，RPN=144，两条线都触发。A02的RPN高于C01的RPN，但C01的S分远高于A02。资源有限时，先改A02还是先改C01？实质分析：RPN把三个维度压成一个数，S=6、O=7、D=7与S=9、O=2、D=8可以给出相近的RPN，但两类失效的风险性质完全不同：前者是“频繁发生但单次伤害有限”，后者是“极罕见但一旦发生后果不可逆”。医疗场景中，S≥8的失效模式一旦漏过，患者伤害的不可逆程度高于频繁低伤害事件。【经验建议，因人参考】权衡规则：S≥8的失效模式排在RPN排序之前处理。S<8的失效模式按RPN降序处理。退路：S≥8的条目如果改法受资源限制无法立即上线，先加临时屏障（如双人复核、口头提醒），临时屏障的D分改善有限，但可以作为过渡记录在表7复评备注中。成品块：输入取表9第2行Q1；动作核S=9、RPN=144的C01；输出改法优先级填“C01排在A02之前”；判定S≥8成立，填“C01按S线先改”。十一、完整版、精简版、极简版：步骤和评分项实际增减对外交付或监管报送选完整版；内部科室自查选精简版；个人学习或非高风险流程选极简版。表10按版本列保留步骤、评分项、删掉项、底线项和适用场景。表10三套场景检查项增减表版本保留步骤与评分项删掉项底线项适用场景完整版表2六阶段全部子步骤；S/O/D三表全量锚点；RPN+S双线阈值；表7行动卡无删除S≥8条目必须有屏障类改法