质子治疗工作流的FMEA：设备、计划、验证（流程、失效、控制）

质子治疗工作流的FMEA：设备、计划、验证

（流程、失效、控制）本文档提供：质子治疗工作流步骤拆解表；设备维度失效模式与检出度锚定表；计划维度失效模式与检出度锚定表；验证维度失效模式与检出度锚定表；设备与计划环节的检出度速判表；措施后检出度再评估规则与证据要求；决策规则6条；完整示例1个（含三次转折与变量处置表）；三套场景检查项增减对照；来源说明表。2026-11-07这一节的标题读完你能拿到什么这一节在全文中的功能一、先拆流程：从固定到出束，哪几步承载了最高风险失效工作流步骤拆解与初始监控表把“质子治疗”拆成可逐项评分的步骤，确定设备、计划、验证各自的落点二、设备维度：束流监测、扫描控制、安全联锁，失效在患者身上如何被拦截或漏过设备失效模式表、联锁与监测的检出度锚定判断设备故障是否在剂量偏差到达患者前有拦截动作三、计划维度：影像融合、轮廓、束流参数、剂量计算，错误在哪一步被固化进计划计划失效模式表、计划阶段RPN参照判断计划错误在哪个环节有独立核查，在哪个环节直接进入治疗四、验证维度：患者特异性QA、独立剂量计算、日志文件复核，哪一层能抓住前两个维度的漏网失效验证失效模式表、PSQA路径的风险降低比较判断验证层是否覆盖了设备和计划层未被拦截的失效五、检出度怎么锚：从“自动联锁”到“无控制”，同一失效的控制状态差几档三张失效表各自的检出度列、速判表用锚点把当前控制状态和可达到的控制状态区分开六、措施之后D值降不降：设备、计划、验证各自的证据要求再评估规则、验证路径的证据门槛防止“加了QA”或“培训了”直接降分七、出现这些信号时先动哪一步：六条决策规则决策规则表6条、设备可靠性与验证覆盖矛盾四段把判定落到具体步骤、具体控制状态和具体证据八、一个连续扫描质子系统的调试期FMEA：三次转折案例分步操作、变量处置表对照自己机构的设备和验证条件找相似信号九、完整版、精简版、极简版各保留什么、删什么三场景检查项增减对照按团队时间和系统复杂度选执行范围十、文中数据从哪来、哪些还没核到本机构来源说明表追溯事实型断言的层级按第一列在正文找对应那节，按第二列判断该节有没有读者要的东西，按第三列判断该节是否对应读者当前卡住的位置。一、先拆流程：从固定到出束，哪几步承载了最高风险失效质子治疗的工作流从体位固定和模拟定位开始，经过影像融合、靶区与危及器官勾画、束流方向与铅笔束参数设置、剂量计算、计划评估与批准、患者特异性验证、摆位验证，到出束治疗和途中监测。公开的FMEA研究把这一流程拆成不同粒度：一项针对剂量驱动连续扫描系统的前瞻性分析识别了29个输送系统失效模式，最高风险失效与连续扫描的束流在相邻斑点间运动时的剂量控制有关；一项涵盖计划阶段的FMEA列出了从金属标记未去除、激光等中心定位错误、数据转移错误、靶区选择不完整到束流参数设置不当、剂量计算数据库未经验证等一系列失效模式；实时门控质子治疗的FMEA则把计划检查、治疗和重新CT/重新计划过程中的失效排在前列，其中CBCT与计划CT错误配准导致剂量评估错误是最高风险失效之一。表1质子治疗工作流步骤拆解与初始监控点阶段步骤动作执行角色最可能承载的失效维度初始监控动作固定与模拟定位体位固定、CT采集、等中心标记技师、物理师设备（激光定位偏差）、计划（标记未去除）查激光定位数值记录和标记去除核对影像融合与勾画融合计划CT与定位影像、勾画靶区和危及器官医生、物理师计划（融合配准错误、勾画遗漏）查融合配准的独立复核记录束流与参数设置选择机架角、治疗床角、铅笔束FWHM、扫描步长、能量步长物理师、剂量师计划（参数与靶区体积不匹配、角度不可达）查参数设置与靶区体积的匹配核查剂量计算选择物理与生物数据库、运行优化与剂量计算物理师计划（未批准数据库、优化模式错误）查数据库批准状态和优化模式设置计划评估与批准比较候选计划、评估覆盖与危及器官、批准物理师、医生计划（最佳计划选择不当、批准未含鲁棒性评估）查批准记录中的鲁棒性评估项患者特异性验证模体验证、独立剂量计算、日志文件复核物理师验证（模体选择不当、验证路径未覆盖特定失效）查验证方法与失效类型的对应关系摆位验证与出束影像引导摆位、安全联锁确认、出束技师、物理师设备（联锁被绕过、扫描控制偏差）查联锁状态日志和出束前核查单途中监测与结束监测束流和患者状态、结束治疗、解除摆位技师、物理师设备（监测延迟、运动管理失效）查途中监测日志和运动管理触发记录表1第3行是示例行：束流与参数设置阶段，执行角色为物理师和剂量师，最可能承载的失效维度为计划维度（参数与靶区体积不匹配、角度不可达），初始监控动作为“查参数设置与靶区体积的匹配核查”。拆解完成后，设备、计划、验证三张失效表分别对准各自维度。同一失效模式如果横跨两个维度，归入主要维度，在另一张表中注明交叉引用，不重复计分。检出度评分沿用TG-100框架的方向：1分代表当前控制几乎肯定能在失效影响患者之前检出，10分代表没有已知控制、不可能检出。二、设备维度：束流监测、扫描控制、安全联锁，失效在患者身上如何被拦截或漏过设备维度的核心问题是：当束流参数偏离计划时，监测和联锁是否在剂量到达患者之前动作。质子治疗的安全联锁系统把关键信号——离子源供电、束流闸、旋转机架和患者定位系统的马达、治疗室门开关——串联成一条安全链，任一条件不成立即切断束流；束流监测系统一旦在不应出现束流的位置探测到束流，会立即中断束流。连续扫描系统还引入了扫描路径、斑点间束流是否保持、剂量监测器收集效率等特有的设备失效模式，一项针对剂量驱动连续扫描的FMEA识别出29个输送系统失效模式，其中“TPS未建模的运动剂量”和“扫描时间查找表错误导致束流在到达计划斑点前被中断”等失效的严重度、发生度和检出度均处于高位。表2设备维度失效模式与检出度锚定失效模式对应步骤典型原因当前常见控制状态检出度D区间锚定依据改进方向束流监测系统未探测到不应出现的束流出束与途中监测监测探测器故障、信号处理延迟有联锁但依赖探测器正常4—6联锁存在，但失效发生在“监测本身失灵”的层面定期独立验证监测链的端到端响应，不依赖自检扫描磁铁或扫描路径偏差导致斑点位置错误束流与参数设置、出束控制查找表错误、磁铁校准漂移出束前有每日QA，但连续扫描的斑点间行为可能未被覆盖6—8偏差在治疗中或治疗后剂量复核时才被发现针对连续扫描增加斑点间剂量与路径的专项commissioning测试剂量监测器收集效率漂移导致机器输出不准出束探测器老化、温漂依赖常规日QA，漂移在两次QA之间可能不被发现7—8输出偏差在患者剂量测量或独立计算时才被察觉提高输出监测频次，或引入独立于治疗束的监测通道安全联锁被绕过或失效摆位验证与出束联锁开关短接、软件配置错误有冗余联锁设计，但存在人为绕行或维护后未恢复的风险5—7联锁设计本身是硬拦截，失效集中在“设计之外”的执行环节对联锁状态做日志审计，任何旁路或维护后恢复均需双人确认运动管理（门控）与束流不同步途中监测呼吸信号延迟、门控窗与束流触发之间的时序错误有门控系统，但同步性依赖定期测试6—8不同步在剂量分布上表现为模糊或靶区欠量，事后才能发现在commissioning中验证门控信号到束流触发的端到端延迟表2第3行是示例行：剂量监测器收集效率漂移，对应步骤为出束，典型原因为探测器老化或温漂，当前控制状态为“依赖常规日QA，漂移在两次QA之间可能不被发现”，检出度D区间7—8，锚定依据为“输出偏差在患者剂量测量或独立计算时才被察觉”，改进方向为“提高输出监测频次，或引入独立于治疗束的监测通道”。设备维度的检出度锚定，核心规则是区分“硬联锁”和“依赖QA发现”。硬联锁在失效发生的那一刻切断束流，D值落在1—4；依赖定期QA发现漂移的，D值落在6—8，因为两次QA之间的患者暴露不受保护。三、计划维度：影像融合、轮廓、束流参数、剂量计算，错误在哪一步被固化进计划计划维度的失效不是“计划做得不够漂亮”，是错误在计划被批准时就已经固化，后续的验证如果只验证“计划是否被正确执行”，而不验证“计划本身是否正确”，错误会原样传递到治疗。公开的计划阶段FMEA列出了从外部轮廓手动修正时未去除金属皮肤标记、激光等中心定位错误、等中心坐标转移时数据被覆盖、靶区选择不完整、束流角度选择不当（组织界面与束流方向平行或碰撞风险）、铅笔束FWHM和扫描步长与靶区体积不匹配、选择未经验证的剂量计算数据库、优化模式设置错误等一系列失效模式。实时门控质子治疗的FMEA中，CBCT与计划CT错误配准导致剂量评估错误是最高风险失效之一，3/10的高风险失效出现在物理师计划检查中确定最大允许位移的环节。表3计划维度失效模式与检出度锚定失效模式对应步骤典型原因当前常见控制状态检出度D区间锚定依据改进方向影像融合配准错误影像融合与勾画配准算法选择不当、未做独立复核有物理师复核，但复核可能只看融合图像整体，不看关键解剖点5—7配准错误在剂量分布异常或治疗后才被察觉在融合后强制标注并核对预设的解剖标志点，复核记录留痕靶区或危及器官勾画遗漏或错误影像融合与勾画层面跳阅、窗宽窗位不当、未参考多模态影像有医生复核，但复核与初次勾画可能由同一人完成6—8遗漏在计划评估或治疗后才暴露对关键危及器官设独立勾画复核，复核人与勾画人分离束流角度选择不当（平行组织界面或碰撞风险）束流与参数设置计划者经验不足、未做碰撞检查依赖计划者判断和计划系统碰撞预警6—8角度问题在摆位或出束时才被物理发现将“平行组织界面”和“碰撞检查”列为计划检查的强制项铅笔束参数与靶区体积不匹配（FWHM、扫描步长、能量步长）束流与参数设置参数沿用旧计划、未按靶区体积调整依赖物理师个人习惯，无强制匹配规则7—9参数不匹配导致的剂量学影响在验证测量中可能被平滑掉建立按靶区体积分档的参数模板，偏离模板需书面说明剂量计算使用未批准的数据库或错误的优化模式剂量计算数据库版本混淆、优化模式设置后未核对有数据库批准状态列表，但选择环节无强制拦截6—8计算错误在独立剂量计算或治疗后才被发现在计划系统中将未批准数据库设为不可选，或选择时强制弹窗确认最佳计划选择时未充分评估鲁棒性计划评估与批准比较时只看名义剂量覆盖，不看鲁棒性有鲁棒性评估工具，但批准记录中可能不强制包含7—9鲁棒性不足在治疗中因摆位或解剖变化才表现为覆盖不足将鲁棒性评估结果列为计划批准的前置条件表3第4行是示例行：铅笔束参数与靶区体积不匹配，对应步骤为束流与参数设置，典型原因为“参数沿用旧计划、未按靶区体积调整”，当前控制状态为“依赖物理师个人习惯，无强制匹配规则”，检出度D区间7—9，锚定依据为“参数不匹配导致的剂量学影响在验证测量中可能被平滑掉”，改进方向为“建立按靶区体积分档的参数模板，偏离模板需书面说明”。计划维度的检出度锚定，关键在于区分“计划阶段的独立复核”和“验证阶段的剂量测量”。如果计划错误的剂量学后果在模体测量中被平滑掉（例如参数不匹配在均匀模体中不显著），验证层的D值不能反映计划层的真实检出能力，计划错误会以“验证通过”的形式进入治疗。四、验证维度：患者特异性QA、独立剂量计算、日志文件复核，哪一层能抓住前两个维度的漏网失效验证维度的功能是对设备和计划层的漏网失效做最后拦截。PTCOG治疗效率分委员会的报告把患者特异性QA（PSQA）重新定义为工作流内嵌的风险控制策略，而非单纯的技术验证任务。该报告用一项通用的PBS-PT过程驱动FMEA，在20个流程步骤中对44个与PSQA相关的失效模式进行了评分，比较了三条路径：基于测量的PSQA、基于日志文件的PSQA、独立二次剂量计算。在专家评分、基线锚定的模型中，基于日志文件的PSQA带来的累计工作流层面风险评分降低最大，其次是基于测量的PSQA和独立二次剂量计算；三种方法在不同工作流区段各有优势，报告支持一种风险知情混合架构。另一项关于质子PSQA探测器校准漂移的研究表明，标准机器QA和TPS剂量检查在事件发生时可能显示无异常，漂移只在患者特异性QA结果中间歇性表现出来。表4验证维度失效模式与检出度锚定失效模式对应步骤典型原因当前常见控制状态检出度D区间锚定依据改进方向患者特异性QA的模体选择不当，未能捕获靶区或危及器官的剂量偏差患者特异性验证模体几何或材料与患者解剖差异过大有模体但选择依据不统一6—8模体中的偏差被平滑，错误在治疗后才暴露按治疗部位和束流特征规定模体类型，偏离需书面理由独立剂量计算与TPS使用相同的物理模型或数据，失去独立性患者特异性验证独立系统实际共享了部分配置或数据库有独立计算但独立性未定期验证7—9系统性误差在两者中同向出现，互不揭发定期用已知偏差的测试案例验证独立计算的“检出能力”日志文件PSQA依赖的日志数据本身不完整或未经验证患者特异性验证日志字段缺失、解析规则未版本控制有日志复核，但日志治理未纳入QA7—8日志中的错误以“正常”形式通过复核对日志数据做完整性校验，任何字段缺失或解析异常即阻断PSQA结论验证只覆盖“计划是否被正确执行”，不覆盖“计划本身是否正确”全验证流程验证范围定义过窄有PSQA但范围限于剂量递送一致性7—9计划层的轮廓、参数、数据库错误在验证中不被触及在验证清单中明确区分“计划正确性核查”和“执行一致性核查”验证频率和抽样不足以覆盖间歇性失效患者特异性验证失效只在特定条件下出现（如特定能量、特定扫描模式）按患者或按计划抽样，抽样模式与失效模式不匹配7—9间歇性失效在未抽中的患者或条件下通过按失效模式的风险特征设计抽样，高风险模式覆盖全部患者或全部关键条件表4第2行是示例行：独立剂量计算与TPS使用相同物理模型或数据，对应步骤为患者特异性验证，当前控制状态为“有独立计算但独立性未定期验证”，检出度D区间7—9，锚定依据为“系统性误差在两者中同向出现，互不揭发”，改进方向为“定期用已知偏差的测试案例验证独立计算的检出能力”。验证维度的检出度锚定有一条特殊规则：验证方法本身的独立性需要被验证。如果独立剂量计算与TPS共享了剂量计算引擎、基础数据或配置参数，它就不能为这些共享层面的错误提供检出能力，D值应按“共享部分无独立检出”来记录。五、检出度怎么锚：从“自动联锁”到“无控制”，同一失效的控制状态差几档三张失效表各自的检出度列已经按控制状态给出了区间。锚定的核心规则与前述一致：D值由当前实际执行的控制状态决定，不由制度文本或计划采购决定。硬联锁在失效发生时动作，落在1—4；有独立复核但复核范围可能不覆盖该失效，落在5—7；依赖治疗后剂量复核或事后回顾，落在7—9；没有已知控制指向该失效，落在9—10。表5设备与计划环节的检出度速判先看什么取数位置什么算绿灯什么算红灯红灯时先动哪一步联锁日志中是否存在旁路或维护后未恢复记录联锁状态日志、维护记录无未经授权的旁路，维护后恢复有双人签字存在旁路记录无授权，或恢复无确认打开表2，按“联锁被绕过”的D区间记录，并启动审计计划检查清单中是否包含“平行组织界面”和“碰撞检查”强制项计划检查清单两项均为强制项，有执行记录一项或两项缺失打开表3，该失效的D值取区间上限独立剂量计算的独立性是否经过测试案例验证独立计算验证记录有已知偏差测试案例，能检出预设偏差无独立性验证记录打开表4，按“共享模型或数据”的D区间记录日志文件PSQA的日志完整性校验是否存在日志治理记录有字段完整性校验和解析版本控制无校验，或校验失败时仍出具PSQA结论打开表4，按“日志数据未验证”的D区间记录示例：某连续扫描系统联锁日志无旁路；计划检查含碰撞项；独立计算无测试案例独立计算项红灯先查独立计算独立性打开表4，取D=7—9表5第5行是示例行：某连续扫描系统联锁日志无旁路、计划检查含碰撞项，但独立剂量计算无独立性验证记录，判定独立计算项红灯，执行动作为打开表4按“共享模型或数据”的D区间记录。六、措施之后D值降不降：设备、计划、验证各自的证据要求改进措施能不能降D值，取决于措施是否改变了失效模式的控制状态。在质子治疗中，一个常见的误判是把“增加了QA”当成控制状态升级，而不检查新增的QA是否真的覆盖了目标失效。另一项常见误判是把“培训了计划者”当成计划层失效的检出改善，而计划错误的固化发生在系统设置和批准环节，不在个人操作习惯。表6措施后检出度再评估规则措施类型改变的控制状态允许调整D的条件新D值取法证据要求不允许调整D的情形增加硬联锁或联锁冗余从依赖QA发现变为失效时自动切断联锁已上线，且端到端响应经过测试按表2中“硬联锁”档取值（1—4）联锁测试记录，含触发到束流切断的实测响应时间联锁已设计但未上线，或存在已知旁路增加独立剂量计算并验证其独立性从无独立检出变为有独立检出独立计算使用不同引擎或数据，且用已知偏差测试案例验证过检出能力表4中“共享模型或数据”的D值降至“独立检出”档（4—6）独立性验证记录、测试案例结果独立计算与TPS共享引擎或基础数据，或未做独立性验证在计划检查清单中增加强制项（平行组织界面、碰撞、参数模板偏离说明）从依赖个人判断变为有强制核查清单已使用，强制项有执行记录表3中对应失效的D值移至“有强制核查”档（4—6）连续若干份计划检查记录，强制项无空白清单存在但强制项可跳过，或记录为事后补填引入日志文件PSQA并做日志完整性校验从无日志检出变为有日志检出，且日志可信日志字段完整、解析规则版本控制、校验失败时阻断结论表4中“日志数据未验证”的D值移至“日志可信”档（4—6）日志完整性报告、校验失败阻断记录日志字段缺失或解析异常时仍出具PSQA结论培训或教育不直接改变控制状态仅在个人判断是唯一检出瓶颈时下调1档原D值下调1档，不跨档迁移培训后现场行为观察记录仅签到和试卷；瓶颈在系统设置、清单或联锁时不允许调整增加患者特异性QA频次但模体或方法与失效不匹配控制状态可能未变—不允许调整D—新增QA未针对目标失效的检出需求表6第2行是示例行：增加独立剂量计算并验证其独立性，措施改变的控制状态为“从无独立检出变为有独立检出”，允许调整D的条件为“独立计算使用不同引擎或数据，且用已知偏差测试案例验证过检出能力”，表4中对应失效的D值降至“独立检出”档（4—6），证据要求为独立性验证记录和测试案例结果。再评估时保存原D值、新D值、措施类型和证据文件，不直接覆盖原评分。措施已关闭但证据不足的，D值保持原值，记录为“待验证”。七、出现这些信号时先动哪一步：六条决策规则表7决策规则如果看到这个条件执行这个动作如果判定依据失效退路联锁日志存在未经授权的旁路或维护后未双人确认的恢复记录该联锁相关失效的D值按表2取区间上限；启动联锁审计，在审计完成前该旁路涉及的束流模式暂停旁路为紧急临床需要且经过书面风险接受将风险接受记录作为临时控制，但D值不因此下调，直至旁路关闭并恢复验证计划检查清单缺少“平行组织界面”或“碰撞检查”强制项该失效的D值按表3取区间上限；在清单中增加强制项并运行至少1个月清单无法在短期内修改在计划批准前增加一次人工核对并留痕，D值在人工核对记录可查后按表6规则调整独立剂量计算与TPS共享剂量引擎或基础数据，或未做独立性验证该验证路径对共享层面失效的D值按表4取“共享模型”档（7—9）；安排独立性验证测试独立性验证发现共享不可避免将独立计算的角色限定为“执行一致性核查”，计划层错误另建检出路径（如日志PSQA或第二人计划复核）日志文件PSQA的日志字段不完整或解析规则未版本控制日志PSQA结论暂不作为降D证据；D值保持原值，状态改为“待验证”日志完整性问题短期无法解决对受影响的患者群体改为基于测量的PSQA或独立计算作为过渡检出路径患者特异性QA的模体或方法与目标失效不匹配（例如均匀模体用于评估组织界面附近的剂量）该QA对目标失效的检出D值不按“已覆盖”记录；按表4取“验证范围过窄”档（7—9）无更匹配的模体可用联合使用日志PSQA和独立计算补位，并在再评估中分别记录各路径对目标失效的检出能力措施已关闭但证据不足D值恢复原值，状态改为“待验证”；不因措施名称降分措施确实有效但证据丢失补做测试案例或现场观察，以补做结果作为降分依据示例：独立计算无独立性验证该路径对共享层面失效D取7—9；安排已知偏差测试案例测试案例短期不可得先引入日志PSQA作为补充检出路径，独立计算降为辅助矛盾四段：设备可靠性与验证覆盖。矛盾陈述。设备侧倾向于把资源集中在硬联锁和系统可靠性上，联锁动作时D值落在1—4，看起来风险已经被控制；验证侧则倾向于增加患者特异性QA的路径和频次，以覆盖“联锁管不到”的计划和执行偏差。两者在同一笔质量和安全预算上竞争：把预算投向联锁升级，验证路径的覆盖缺口仍然存在；把预算投向PSQA路径扩展，设备层未被联锁覆盖的失效（如扫描路径偏差、剂量监测器漂移）仍然依赖验证层来抓住。联锁的“确定性”和验证的“覆盖广度”在资源有限时指向不同方向。实质分析。联锁和验证解决的不是同一类失效。联锁解决的是“一旦参数越界就切断”的问题，它的有效性不依赖于计划本身是否正确；验证解决的是“计划或执行中是否存在联锁无法识别的偏差”的问题，它的有效性依赖于验证方法是否独立于被验证的对象。质子治疗的风险特征在于，计划层错误和某些设备层漂移并不触发联锁，因为它们表现为“在允许范围内但系统性偏离”；而验证层如果与计划系统共享模型或数据，对这些偏离也没有检出能力。两者都需要，但资源分配的依据不应是“哪一侧看起来更安全”，而应是“当前哪一侧的漏网失效在风险排序中更高”。权衡规则。先按三张失效表把D≥7的失效模式列出，逐项标注它当前依赖的是联锁、计划复核还是验证层。如果某一类失效的检出完全依赖验证层，而验证方法对该失效的独立性未经测试，这类失效优先占用资源——无论是通过增加联锁覆盖来降低对验证的依赖，还是通过验证独立性升级来提升检出。如果某一类失效已经由硬联锁覆盖且联锁经过端到端测试，资源不必继续加码在该联锁上，转向验证层的覆盖缺口。退路。联锁升级和验证独立性升级都无法在短期内完成的，对D≥8且验证独立性不足的失效，采取流程性临时控制：在治疗前增加一次独立于TPS和常规QA的人工核对或第二物理师复核，记录留痕，并将其作为过渡期的“控制状态”重新评估D值，但不将其等同于系统级升级后的D值。八、一个连续扫描质子系统的调试期FMEA：三次转折某机构在调试一套剂量驱动连续扫描质子系统时进行了前瞻性FMEA，依据AAPMTG-100框架构建了流程地图，识别出29个输送系统失效模式。初始评分显示，最高风险失效与连续扫描特有的束流在斑点间保持开启时的剂量控制有关。团队最初准备把资源集中在增加患者特异性QA的频次上。示例案例，细节为合理设定，用于演示设备、计划、验证三个维度在检出度上的联动。起点。团队手里有系统调试的测试计划、已有的光子/电子EBRTFMEA清单（作为参照），以及连续扫描系统的控制逻辑说明。初评时，“TPS未建模的运动剂量”和“扫描时间查找表错误导致束流提前中断”两项的D值分别为8和8，RPN处于前列。分步操作。第一步，按表1拆解流程，把29个输送系统失效模式映射到固定、计划、验证、出束等步骤中。连续扫描特有的失效集中在束流与参数设置和出束阶段。第二步，按表2—表4给高RPN失效锚定D值。连续扫描斑点间剂量控制失效的D=8，原因在于常规日QA不覆盖斑点间的束流行为；计划层的铅笔束参数匹配失效D=7—9，因为参数不匹配在均匀模体PSQA中可能被平滑；验证层的独立剂量计算若与TPS共享部分配置，对系统性偏差的检出D取7—9。第一次转折。信号：团队原准备把资源投向增加患者特异性QA频次，但按失效表映射后，最高风险的几项失效——斑点间剂量、扫描查找表错误——在常规模体PSQA中要么不被激发（模体不模拟连续扫描的斑点间运动），要么被平滑掉（均匀模体不反映组织界面附近的效应）。当时的假设：增加PSQA频次就能覆盖最高风险失效。试了什么：把每项D≥7的失效与现有PSQA方法的检出能力逐项对照。对照结果显示，基于均匀模体的测量PSQA对斑点间剂量和扫描查找表错误的检出能力有限；独立剂量计算如果使用相同的扫描控制逻辑建模，也对查找表错误不敏感。新信息：验证层的覆盖缺口不在频次，在验证方法与失效模式的匹配。上一轮“QA频次即覆盖”的假设被推翻。换哪条路：将资源优先投向commissioning阶段的专项测试——扫描路径测量与建模、move和flap剂量验证、剂量监测器收集效率测试、斑点位置监测器性能评估——这些测试直接针对连续扫描特有的失效模式，而不是依赖治疗后的PSQA来事后发现。PSQA频次维持，但不再作为最高风险失效的主要检出路径。第二次转折。信号：专项commissioning测试完成后，斑点间剂量和扫描查找表相关失效的D值从8降至4—5，但团队在讨论计划层失效时发现，计划阶段的束流参数匹配和数据库选择错误在专项测试中不被触及，因为这些测试使用固定参数和批准数据库，不验证“某个具体患者的计划是否选择了正确的参数和数据库”。当时的假设：设备层的commissioning改善会连带降低计划层的风险。试了什么：按表3逐项核对计划层失效的控制状态。计划层的参数模板偏离、数据库选择错误、鲁棒性评估缺失，仍然依赖物理师的个人判断和计划检查清单。专项测试不改变这些失效的检出能力。新信息：设备层和计划层的检出能力是分离的，设备commissioning的改善不覆盖计划层。上一轮“设备改善连带计划改善”的假设被推翻。换哪条路：在计划检查清单中增加强制项——按靶区体积分档的参数模板、偏离模板的书面说明、数据库批准状态在计划系统中的不可选设置、鲁棒性评估结果作为批准前置条件——并将这些强制项的执行记录作为计划层D值调整的证据。第三次转折。信号：计划检查清单的强制项实施后，计划层相关失效的D值下降，但团队注意到日志文件PSQA的潜力：连续扫描系统的日志包含斑点位置、束流状态和剂量监测器读数，如果日志本身可信，它可以为斑点间剂量和扫描查找表错误提供独立的检出路径。当时的假设：日志PSQA可以无条件作为降D证据。试了什么：按表4核对日志数据的完整性。日志字段存在缺失（某些能量下的斑点间束流状态未记录），解析规则没有版本控制，校验失败时系统不阻断PSQA结论。新信息：日志PSQA的检出能力依赖于日志数据本身的可信度，未经验证的日志不能作为降D证据。上一轮“有日志即有检出”的假设被推翻。换哪条路：先对日志做完整性校验和解析版本控制，校验失败时阻断PSQA结论；在日志可信度建立后，将日志PSQA作为斑点间剂量和扫描查找表失效的补充检出路径，D值按表6规则调整。PTCOG报告也强调，基于日志文件的PSQA必须由经过验证和治理的日志数据与治疗记录支撑。终点。最终产出是一张分层的检出能力表：设备层由专项commissioning测试覆盖连续扫描特有失效，计划层由强制检查清单覆盖参数、数据库和鲁棒性，验证层由经过日志治理的日志PSQA和独立性经过验证的独立计算覆盖设备和计划层的残余漏网失效。各层D值按表6规则记录，证据文件分别归档。表8变量处置表变量案例中情形如果变量不同处置变化连续扫描特有失效的检出路径专项commissioning测试作为主要检出路径机构使用离散斑点扫描而非连续扫描斑点间剂量和扫描查找表失效不适用，设备层D值按离散扫描的失效模式重新锚定PSQA模体与失效的匹配均匀模体对斑点间剂量和查找表错误检出有限模体专门设计为模拟连续扫描的斑点间运动测量PSQA可作为补充检出路径，但D值调整仍需按表6的证据要求逐项核验独立剂量计算的独立性共享部分配置时对系统性偏差D取7—9独立计算使用不同引擎且经过测试案例验证D值按表6降至“独立检出”档（4—6），可作为计划层系统性偏差的有效检出路径日志数据的可信度字段缺失、解析未版本控制、失败不阻断日志完整且有校验日志PSQA可降D；校验失败阻断结论的机制必须存在计划检查清单的强制力强制项可跳过时D取区间上限强制项无法跳过且有执行记录计划层D值可按表6调整；跳过机制存在时不允许表8中权重较高的变量是“连续扫描特有失效的检出路径”和“日志数据的可信度”。前者决定设备层最高风险失效是否有匹配的检出方法，后者决定验证层能否在设备和计划层的残余漏网失效上提供独立的最后一道检出。九、完整版、精简版、极简版各保留什么、删什么完整版。全量运行表1至表7，设备、计划、验证三张失效表、检出度速判、再评估规则全部保留。序列：工作流拆解→设备、计划、验证三维度失效识别→D值锚定→措施分置→再评估证据核验。不可妥协的底线：表2中硬联锁与依赖QA的D区间区分、表3中计划错误在验证中被平滑的风险、表4中验证独立性验证、表6中“日志未验证不降D”规则不得绕过。精简版。保留表1的阶段划分（不逐步骤展开）、表2的“束流监测未探测到不应出现的束流”和“剂量监测器漂移”两行、表3的“铅笔束参数与靶区体积不匹配”和“剂量计算数据库未批准”两行、表4的“独立计算共享模型”和“日志数据未验证”两行、表5速判表、表6的硬联锁、独立计算、日志PSQA三条规则、表7中联锁旁路、独立计算独立性、日志可信度三条规则。删掉的检查项：表2的扫描路径偏差和运动管理同步两行，合并为“设备特有失效”一行在commissioning中统一评估；表3的影像融合、勾画、角度选择、鲁棒性四行，保留参数和数据库两项，其余改为在计划检查清单中一并核对；表4的模体选择和验证范围两行，改为按“PSQA与失效匹配性”一项判断；表6的培训行，改为按“仅行为观察可调1档”处理。序列：阶段划分→六对失效模式→D锚定→三条规则→再评估。极简版。保留表2的“剂量监测器漂移”、表3的“铅笔束参数与靶区体积不匹配”、表4的“独立计算共享模型或数据”和“日志数据未验证”，以及一条排查规则：设备和计划相关失效的D值先看该失效有没有独立于被验证对象的检出路径；没有的，D不低于7；有硬联锁且端到端测试通过的，D可按1—4记录；独立计算或日志PSQA声称可检出的，必须先验证其独立性或日志完整性，未验证的不作为降D证据。删掉的检查项：表1全部、表2其余行、表3其余行、表4其余行、表5全部、表6