医疗风险矩阵的校准：严重度、概率、可探测性（校准、锚点、争议）

医疗风险矩阵的校准：严重度、概率、可探测性（校准、锚点、争议）本文档提供：表2校准失败诊断表；表3严重度S锚点校准表；表4概率P锚点校准表；表5可探测性D锚点校准表；表6RPN与AP/危害分数替代方案对照表；表7评分者间一致性核查表；表8校准争议裁决规则表；表9失败项排查表；示例1四次转折完整示例；表11三套场景校准深度增减表；表12来源与时效核对表。2026-11-07表1目录与定位表这一节的标题读完能拿到什么这一节在全文中的功能一、校准前先诊断：三个维度里哪一个先失准表2校准失败诊断表定位严重度、概率、可探测性中校准偏差最大的维度二、严重度S校准：锚点落在“伤害”还是“监管不合规”表3严重度S锚点校准表锁定S分锚点的伤害基线，排除监管后果对严重度的污染三、概率P校准：频率刻度必须绑到器械使用基数上表4概率P锚点校准表按年使用量校准“罕见”“偶发”的数值边界四、可探测性D校准：医疗场景下D分的可观察基础是什么表5可探测性D锚点校准表把D分锚定到屏障运行记录而非主观“能不能发现”五、争议一：RPN乘法在数学上站不住，为什么还在用表6RPN与AP/危害分数替代方案对照表给出RPN乘法的失效边界和替代排序工具六、争议二：D分到底该不该保留表5-aD分保留与删除的适用条件表按分析目的决定D分进入或退出排序七、争议三：同一失效模式两个团队打出不同S分，听谁的表7评分者间一致性核查表用锚点回溯和分歧类型判定取代“少数服从多数”八、校准操作流程：从锚点锁定到一致性复核表8校准争议裁决规则表给出校准顺序、裁决规则和退出条件九、哪一步校准跑偏了：七个检查点的排查顺序表9失败项排查表从评分记录和锚点依据定位断点十、四次转折的完整示例：从RPN排序争议走到锚点重新锁定示例1四次转折完整示例示范诊断、回溯、裁决、重评的完整链条十一、完整版、精简版、极简版：校准深度实际增减表11三套场景校准深度增减表按场景选择校准精细度十二、来源与时效核对：标签对应的验证动作表12来源与时效核对表核对标签对应的事实层级和验证动作按第一列在正文找对应那节，按第二列判断这节有没有读者要的东西，按第三列判断这节是否对应读者当前卡住的位置。一、校准前先诊断：三个维度里哪一个先失准风险矩阵校准失败，很少是三个维度同时跑偏。多数情况下，一个维度的锚点漂移把排序整体拉歪，另外两个维度看起来“正常”，于是团队把讨论集中在争论最激烈的那条失效模式上，而真正出问题的维度没有被碰过。表2按三个维度给出校准失败的典型信号和第一诊断位置，先定位再动手。表2校准失败诊断表诊断项典型信号第一诊断位置本档判定（示例）严重度S漂移S=9的条目后果写“流程延迟”；S=5与S=7的区分依据说不清表3第3列“取分场景”是否落在同一条失效链上S=9条目中有2条后果不涉及患者伤害，判“S锚点漂移”概率P刻度失焦“罕见”在某科室指“每年一次”，在另一科室指“五年一次”表4第4列“年使用量”是否参与频率档的校准两个科室“罕见”对应的年频率差5倍，判“P刻度未校准”可探测性D主观化D分在同一屏障配置下两个评分人差3分以上表5第3列“屏障运行记录”是否存在D=4的条目中3条无屏障运行记录支撑，判“D锚点不可观察”RPN排序异常RPN最高的条目在临床感知中并非最高风险表6第5列RPN与S线/AP的排序差RPN前3条中有2条S<7，判“RPN乘法失真”评分者间分歧同一失效模式两个团队的S或D分差≥3表7第4列分歧类型（锚点不一致/事实不一致）分歧集中在D分，判“D锚点未共享”表2第2行“S锚点漂移”的示例判定：S=9的条目后果写“流程延迟”。严重度9的锚点是“极高——永久性严重功能障碍或需生命支持”级别的患者伤害；一条后果描述为流程延迟的失效模式被打了9分，说明评分人把“后果的严重性”与“后果发生的可能性”或“流程影响”混在了一起。这一条进入表3重取S分。表2第5行“评分者间分歧”直接指向校准的核心产出：两个团队对同一失效模式的评分差≥3，说明锚点没有被共享，或者两个团队在评不同的东西。校准的动作不是折中取均值，而是回到锚点逐项比对，找到分歧落在事实层还是解释层。成品块：输入取表2第2行“严重度S漂移”信号；动作打开表3逐条核对S≥7条目的取分场景；输出表2第4列填“S=9条目中2条后果不涉及患者伤害”；判定后果描述与S分锚点不匹配的条目≥1条，填“S锚点漂移，进入表3重取”。二、严重度S校准：锚点落在“伤害”还是“监管不合规”严重度评分有一个被广泛忽略的校准污染源：监管不合规被当作严重度锚点使用。某FMEA评分规范明确写了一条校准锚点：“如果失效模式可能导致监管不合规（FDA、IATF、ISO13485现场安全），最低S为9；如果涉及潜在伤害，S=10”。这条锚点把“监管不合规”和“潜在伤害”放进了同一个严重度尺度，但两者是不同的东西。监管不合规是后果的一种类型，不是患者伤害的严重程度。一条失效模式可能触发监管不合规但对患者无直接伤害，也可能造成患者伤害但未触发监管不合规。把监管不合规强制拉到S=9，会让与伤害无关的失效模式占据高严重度位置，挤压真正高伤害条目的排序空间。ISO14971对严重度的定义落在“对患者或使用者健康的损害”上，从无法察觉的损害到致命后果。医疗场景的S分校准，锚点基线应当是患者伤害，而不是监管后果。监管不合规单独记录在合规风险清单中，不进入S分。表3按S分档给出医疗场景的伤害锚点，并区分“可接受的取分场景”与“需回溯的不合格形态”。表3严重度S锚点校准表S分伤害锚点（医疗场景）可接受取分场景（示例）需回溯的不合格形态校准动作10患者死亡或永久性严重伤害，且无预警错误患者输血、错误部位手术S=10但后果写“监管警告”回表3重取，监管后果移出S分9永久性严重伤害，或有预警的致命风险治疗剂量严重偏差导致不可逆器官损伤S=9但后果写“流程延迟”后果描述与锚点不对应，重取7—8暂时性严重伤害、需额外干预或住院延长给药过量需干预但未致永久损害S=8但无任何患者伤害描述降档至与后果匹配的分数4—6中度影响、需额外治疗或监测给药延迟导致病情波动但可恢复S=6但后果仅为“记录错误”重取至3分以下2—3轻微伤害或不便，无需额外治疗重复抽血一次、预约改期S=3但后果写“患者死亡”升档至与后果匹配的分数1无可识别影响排版错误、记录格式问题——表3第1行“S=10但后果写‘监管警告’”是校准中最典型的污染形态：评分人用监管后果替代了患者伤害锚点。校准动作是把监管后果从S分中移出，S分按患者伤害重新取，监管风险单独记录。另一个校准问题是“给警告标签降S分”。某评分规范明确将这条列为常见误评：“我们加了警告标签，所以S降到8”——标签是探测或预防控制，不是严重度降低因素。严重度反映的是失效到达患者时的最坏可信效应，不随屏障或标签的存在而变化。校准S分时，先问“如果所有控制都失效，最坏的可信患者伤害是什么”，再取分。成品块：输入取表3第1行S=10条目后果“监管警告”；动作按“患者伤害锚点”重取S分；输出表3“校准动作”列填“监管后果移出S分，按患者伤害重取”；判定重取后的S分与后果描述可逐条对照，填“S分校准完成”。三、概率P校准：频率刻度必须绑到器械使用基数上概率校准的核心不是把“罕见/偶发/频繁”的定义写得更细，而是把频率刻度绑到器械或流程的使用基数上。ISO14971的风险矩阵构建指引明确：概率等级“必须根据器械的使用背景及其预期使用基数进行校准——对于每年使用100次的器械而言，‘罕见’概率与每年使用100,000次的器械并不相同”。同一份FMEA中，如果不同失效模式的P分对应不同的使用基数，P分之间就不可比较。表4按P分档给出频率锚点，并要求每一档同时记录“年发生次数”和“参照使用基数”。没有使用基数的P分不进入排序。表4概率P锚点校准表P分频率档年发生次数锚点参照使用基数校准校验10几乎每例≥使用基数的50%年操作/给药/检查例次年发生次数÷基数≥0.58—9高频每周一次到每3天一次年操作例次年次数÷52或÷120落在档内6—7中频每月一次到每季度一次年操作例次年次数÷12或÷4落在档内4—5低频每年一次到每半年一次年操作例次年次数落在1到2之间2—3罕见每1到5年一次年操作例次年次数×5<11极罕见超过5年一次或文献无记录年操作例次或同类机构基数备注“无本院数据，取同类下限”表4第5行“罕见”的校准校验是“年次数×5<1”。如果某科室年操作量为200例，某失效模式3年发生1次，年次数≈0.33，0.33×5=1.67>1，不满足“罕见”条件，应升到4分档。如果年操作量为5,000例，同一失效模式3年发生1例，年次数≈0.33，仍然不满足罕见条件——因为“罕见”的判定与使用基数无关，而是与绝对年频率挂钩。ISO14971的校准要求指向的是“概率等级的含义随基数变化”：在年使用100次的器械上，“每5年一次”意味着5%的例次概率；在年使用100,000次的器械上，同一频率档对应的例次概率低得多。校准P分的做法是：先按绝对年频率定档，再在备注列写清使用基数，让跨条目的P分在同一个基数尺度上可比较。表4的一个常见校准断点：FMEA团队用“科室感觉”定P分，没有调取年操作例次和事件报告。校验方法是每一行的P分必须有“参照使用基数”列有数值，且“年发生次数”列来自事件报告、审计记录或QC数据，不是“大概每月一次”的口头描述。成品块：输入取表4第5行“罕见”档，某失效模式3年发生1次、年操作量200例；动作按“年次数×5<1”校验；输出表4“校准校验”列填“0.33×5=1.65，不满足罕见”；判定校验不通过，填“升至4分档，备注使用基数200例/年”。四、可探测性D校准：医疗场景下D分的可观察基础是什么可探测性校准是三个维度中最脆弱的一个。FMEA的D分评的是“失效发生后、到达患者前被拦截的概率”，它要求评分人能够对“屏障在真实场景中的拦截能力”做出判断。在制造业中，这个判断有物理检测装置和统计过程控制作为基础；在医疗场景中，D分的可观察基础经常不存在。HFMEA（HealthcareFMEA）在方法设计上直接删除了可探测性维度，理由明确写道：“医疗专业人员无法可靠地评估可探测性”。这一判断不是对医疗人员能力的贬低，而是对D分在医疗场景中校准困难的承认。如果保留D分，校准锚点必须从“能不能发现”转向“屏障是否在运行、运行记录是否可查”。表5按D分档给出可观察的屏障形态，并要求每一档有对应的运行记录类型。表5可探测性D锚点校准表D分拦截强度可观察的屏障形态必须提供的运行记录校准校验9—10无屏障或仅靠个人记忆无核对、无系统提示无记录确认无任何已运行屏障7—8单一非强制人工屏障口头提醒、单人查看无强制记录，或记录可补填记录是否在事件发生时产生5—6双人核对或单一强制人工屏障双人核对+双签名、结构化必填字段双签名/必填字段在事件发生时完成抽查运行率≥80%3—4系统强制拦截+人工复核条码扫描锁定、核素—参数绑定系统锁定日志、拦截触发记录系统日志可调取1—2多重硬屏障串联系统拦截+双人核对+实时审计多层记录同时存在三层记录在同一事件中可追溯表5第3行“双人核对+双签名”对应D=5—6，校准校验是“抽查运行率≥80%”。如果双人核对签名栏存在，但抽查10份记录中只有4份填写完整，运行率40%，D分不能取5—6，应按实际拦截强度回退到7—8档。D分校准的核心动作是把“设计中的屏障”与“运行中的屏障”分开：设计中的屏障不进入D分，运行中的屏障按运行率修正D分。表5-a给出D分保留与删除的适用条件。校准决策不是“D分永远保留”或“永远删除”，而是按分析目的选择。表5-aD分保留与删除的适用条件表条件保留D分删除D分，改用S×P或危害分数理由分析目的评估屏障改进的优先级识别需要行动的高风险失效模式D分对“改屏障”有指导价值，对“筛条目”增加噪声屏障可观察性屏障有系统日志或强制记录屏障主要靠人工、无运行记录无记录的屏障无法校准D分评分者训练评分者能区分“设计中”和“运行中”屏障评分者主要凭印象打分D分的评分者间一致性通常最低与RPN的关系D分只用于同一条失效模式的前后比较D分不进入跨条目的RPN排序跨条目比较时D分的尺度不一致表5-a第2行“屏障可观察性”直接决定D分是否可校准。屏障有系统日志（条码扫描锁定、参数绑定拦截）的，D分可以按日志中的拦截率校准；屏障只有人工核对且记录可补填的，D分校准缺乏事实基础，删除D分改用S×P或危害分数是更可靠的选择。成品块：输入取表5第3行D=5—6的条目，抽查10份双人核对记录；动作核运行率；输出表5“校准校验”列填“运行率4/10=40%”；判定运行率<80%，填“D分回退至7—8档，或删除D分改用S×P”。五、争议一：RPN乘法在数学上站不住，为什么还在用RPN=S×O×D是FMEA最广为人知的排序工具，但它的数学基础在医疗场景中受到直接质疑。一项发表在BMCHealthServicesResearch的FMEA效度研究结论明确写道：RPN“通过严重度、概率和可探测性分数相乘来计算，被判定为无效，因为其计算违反了所用尺度的数学性质”，并进一步指出“将序数尺度相乘来优先处理失效模式的概念在数学上是有缺陷的”。序数尺度只保证顺序关系（1<2<3），不保证差值相等（2−1不等于3−2），乘法的结果因此没有可解释的基数含义。RPN=200并不意味着比RPN=100“危险两倍”。这一数学缺陷在排序上的实际后果是：O和D的微小变化可以大幅改变RPN，把中等严重度的条目推到高严重度条目前面。表6给出RPN与两种替代排序工具的对照：S线独立触发（S≥8的条目不受RPN排名约束）和AP（ActionPriority，行动优先级）分类。AIAG-VDAFMEA手册已从固定RPN阈值转向AP表，以High/Medium/Low分级防止严重失效被相同的RPN总数掩埋。表6RPN与AP/危害分数替代方案对照表失效模式SODRPNRPN排序S线触发AP分类（示意）排序差异A：S=9,O=2,D=89281442触发HighRPN第2，但S线第1B：S=5,O=6,D=55651501不触发MediumRPN第1，但S线不触发C：S=7,O=4,D=67461681（并列）不触发High（S×O较高）AP与RPN方向不一致D：S=10,O=1,D=31013304触发HighRPN末位，S线首位表6第2行与第3行的对比是RPN乘法缺陷的典型案例：A的S=9、O=2、D=8，RPN=144；B的S=5、O=6、D=5，RPN=150。RPN把B排在A前面，但A的严重度远高于B——A一旦漏过，后果是永久性严重伤害；B的后果是中度伤害。按RPN排序，先改B；按S线，A必须优先。医疗场景中，S≥8的条目具有不可逆后果属性，排序不应被O和D的乘积推后。RPN的合理使用边界：在同一条失效模式的前后比较中，RPN可以反映O和D的改善（S通常不变）；在跨条目的优先排序中，RPN应与S线和AP分类并行使用，RPN排名不推翻S≥8的独立触发。成品块：输入取表6第2行A与第3行B；动作比较RPN排序与S线排序；输出表6第8列填“A的S线优先于B”；判定S≥8且RPN排序与S线冲突，填“A按S线先行，B按RPN线但排后”。六、争议二：D分到底该不该保留D分保留争议的实质不是“探测度重不重要”，而是“在医疗场景中，D分能不能被校准到足以支撑排序”。HFMEA删除D分的理由是“医疗专业人员无法可靠地评估可探测性”；这一判断与另一项研究一致：FMEA评分中的评分者间一致性“通常很差”，认知瓶颈在三个维度同时存在时就已经出现。D分作为第三个维度，增加的是评分噪声，而不是排序信号。但删除D分不是无条件正确的。如果分析目的是“决定先上哪一道屏障”，D分提供了屏障强度的方向性信息：D=2（系统硬拦截）与D=7（单人核对）之间的差异，对改法选择有实际指导意义。问题出在把D分放进跨条目的RPN乘法中：D分的尺度在不同屏障类型之间不一致，乘法放大了这种不一致。校准裁决：按表5-a的条件选择。屏障有运行记录、分析目的指向屏障改进的，保留D分但只用于同一条失效模式的前后比较；屏障无记录、分析目的指向跨条目筛选的，删除D分，改用S×P或危害分数（HFMEA的S×P，1—16分）排序。两种做法都在文档中写明选择理由，不在同一份分析中混用。成品块：输入取表5-a第2行“屏障可观察性”条件；动作判断屏障是否有运行记录；输出表5-a“删除D分”列填“屏障主要靠人工、无运行记录”；判定条件成立，填“删除D分，改用S×P排序”。七、争议三：同一失效模式两个团队打出不同S分，听谁的两个团队对同一失效模式的S分差≥3时，常见的处理是“取平均”或“开会讨论到一致”。这两种做法都可能掩盖真正的分歧来源。校准裁决的第一步不是折中，而是判定分歧落在哪一层：事实层（两个团队对失效后果的描述不同）还是解释层（对同一后果的严重度判断不同）。表7按分歧类型给出判定信号和裁决路径。表7评分者间一致性核查表分歧类型判定信号裁决路径本档示例事实层：评的不是同一条失效失效模式描述逐字不同，或后果描述指向不同动作回表2统一失效模式定义，不调S分团队A评“勾画错误”，团队B评“配准错误”解释层：同一后果不同S档后果描述一致，但一个团队取S=9，另一个取S=6逐条对照表3锚点，判定后果落在哪一档后果“需二次手术”，A取9，B取6锚点未共享两个团队对“S=9”的定义理解不同用表3锚点逐条比对，锁定分歧档位A认为S=9包括“监管后果”，B只按伤害取事实证据不一致两个团队引用的患者伤害案例不同调取事件报告或文献，以可查证据为准A引用本院案例，B引用文献案例表7第2行“事实层”的分歧不需要调S分，需要统一失效模式定义。两个团队在评不同的东西，S分差异是定义差异的投影，不是判断差异。第3行“解释层”的分歧才需要回到锚点：后果“需二次手术”落在S=8—9档（永久性伤害或需重大干预），取S=6（中度影响）与锚点不匹配，裁决为升档至8—9。评分者间一致性的可接受边界：同一失效模式的S分差≤1为可接受，差=2需记录分歧理由，差≥3必须回溯锚点并裁决。D分的边界更宽：差≤2可接受，差≥3按表5重新核屏障运行记录。成品块：输入取表7第3行“解释层”分歧，后果“需二次手术”、A取9、B取6；动作对照表3锚点；输出裁决填“后果落在S=8—9档，取8或9”；判定S分差≥3且锚点对照支持升档，填“裁决为S=8”。八、校准操作流程：从锚点锁定到一致性复核校准不是一次性的“评分前开会”，而是贯穿评分、复核和争议裁决的流程。表8给出五条裁决规则，覆盖校准顺序、分歧处理、D分去留和RPN使用边界。表8校准争议裁决规则表规则编号如果看到则执行判定失效时退路执行人完成标志C1开始评分前先锁定S/P/D三表的锚点，逐条对团队宣读并确认理解锚点未锁定则评分结果不进入排序某FMEA主持人锚点确认记录有日期C2S分差≥3按表7判定分歧类型：事实层统一定义，解释层回溯锚点回溯后仍不一致则记录两方依据并上报某临床负责人分歧类型和裁决结果有记录C3P分无使用基数回表4补“年发生次数”和“参照使用基数”基数无法获取则P分降为“无数据”档并备注某数据分析员基数列有数值C4D分用于跨条目排序且屏障无运行记录删除D分，改用S×P或危害分数排序屏障有记录则保留D分但只用于前后比较某FMEA主持人排序工具选择有理由记录C5RPN排序与S≥8条目冲突S≥8条目排在RPN排序之前处理S≥8条目改法未落地则加临时屏障并上报某临床负责人高S条目行动卡编号可查表8第4行C4把D分去留从“学派之争”落到可操作条件上：屏障有没有运行记录，分析目的是跨条目筛选还是前后比较。两个条件同时指向“删除”的，改用S×P；指向“保留”的，D分进入但排序权重降低。C1的锚点锁定动作是校准流程的起点。锚点表不是发给团队自行阅读，而是在评分开始前逐条宣读并确认理解。确认记录至少包含三项：锚点表版本号、确认日期、确认人角色名。成品块：输入取表8第4行C4；动作判断D分是否用于跨条目排序且屏障无运行记录；输出排序工具填“S×P”；判定两个条件同时成立，填“删除D分，改用S×P排序”。九、哪一步校准跑偏了：七个检查点的排查顺序校准后排序仍与临床感知不一致，或一致性复核未通过时，按表9排查。第一检查点直接打开表3的取分场景列，查S≥7条目的后果描述是否指向患者伤害。表9失败项排查表检查点打开哪个记录查什么常见失败形态换哪条路完成标志第一检查点表3取分场景列S≥7条目的后果是否指向患者伤害S=9但后果写“监管警告”或“流程延迟”回表3按伤害锚点重取后果描述与S档可对照第二检查点表4使用基数列P分是否有参照使用基数P=8但无年操作例次回表4补基数基数列有数值第三检查点表5屏障运行记录列D分是否有运行记录支撑D=4但无系统日志或双签名记录回表5按运行率修正D或删除DD分有记录或已删除第四检查点表7分歧类型列S分差≥3的分歧是否已裁决分歧记录填“已讨论”无裁决结果按事实层/解释层重新裁决裁决结果有锚点依据第五检查点表6排序对照列RPN排序是否推翻S≥8S=10条目RPN排末位且未独立触发按S线独立触发重排高S条目在行动清单前列第六检查点表8C1锚点确认记录评分前是否逐条确认锚点确认记录只有“已培训”无逐条确认补锚点确认记录确认记录含锚点表版本与日期第七检查点表5-aD分去留理由保留或删除D分是否有条件依据删除D分填“D分没用”按屏障可观察性和分析目的重判D分去留有条件记录表9第一检查点的失败形态“S=9但后果写‘监管警告’”是校准中最需要警惕的污染。监管后果与患者伤害是两个不同的风险维度，前者进入合规风险清单，后者进入S分。校准动作不是调低S分，而是把监管后果从S分中移除，按患者伤害重新取分。第一检查点找到失败项即停，处理后回表6重排。成品块：输入取表9第2行第一检查点；动作打开表3核S≥7条目的后果描述；输出表9第5列填“回表3按伤害锚点重取”；判定表9第6列“后果描述与S档可对照”成立，该失败项关闭。十、四次转折的完整示例：从RPN排序争议走到锚点重新锁定[示例案例，细节为合理设定]某医院质量安全团队对给药流程做FMEA，RPN排序完成后，临床科室对排序结果提出异议：RPN最高的三条中，有两条被临床认为“不是最危险的问题”。该案例的关键判断分叉集中在RPN乘法失真、S锚点污染、P基数缺失、D分删除决策四处，四次转折的判断依据已穷尽。起点材料：表6排序中B（S=5、O=6、D=5，RPN=150）排第一，A（S=9、O=2、D=8，RPN=144）排第二，D（S=10、O=1、D=3，RPN=30）排末位。临床反馈“A和D才是真正要优先处理的”。第一次转折。信号：RPN排序把B排在A前面，把D排在末位。假设：RPN是标准排序工具，临床感知与RPN不一致是临床不熟悉FMEA。试了什么：按表6核RPN乘法性质，看到A的S=9、O=2、D=8，B的S=5、O=6、D=5，RPN把O和D的乘积放到了与S同等权重的位置；再核文献，RPN乘法“违反尺度数学性质”的结论有直接依据。新信息：RPN排序不是“客观真理”，序数尺度乘法没有基数含义；第一轮“临床不熟悉FMEA”的假设被推翻，实际是RPN排序本身在跨条目比较中失真。换哪条路：启用S≥8独立触发线，A和D不受RPN排名约束，进入优先清单。第二次转折。信号：启用S线后，A和D进入优先，但A的S=9取分依据需要核实。假设：A的S=9有患者伤害依据。试了什么：打开表3核A的后果描述，看到后果列写“可能触发监管现场检查不合规”。新信息：S=9的取分场景落在监管不合规上，不是患者伤害；第二轮“S=9有伤害依据”的假设被推翻，S锚点被监管后果污染。换哪条路：A的S分按患者伤害重取。如果失效到达患者，最坏可信后果是“给药剂量严重偏差，需干预但未致永久损害”，落在S=7—8档，取S=8。A的S线仍然触发（S≥8），但取分依据从“监管不合规”改为“需干预的剂量偏差”。第三次转折。信号：S分重取后，转核P分。表4显示B的P=6、A的P=2、D的P=1。假设：P分有事件报告支撑。试了什么：按表4核P分的“参照使用基数”列，看到三条的P分均无使用基数列，P分来自“科室感觉”。新信息：P分没有绑到年操作例次上，“每月一次”和“每季度一次”的区分无法复核；第三轮“P分有依据”的假设被推翻。换哪条路：回表4补使用基数。给药流程年操作12,000例次，B类失效年发生约8次（P≈6—7），A类失效年发生约1次（P≈4），D类失效3年发生1次（P≈2—3）。P分按基数重取后，B的P从6升至7，A的P从2升至4，D的P从1升至2。第四次转折。信号：S线和P基数修正后，D分的去留需要决定。D的S=10，S线触发；但D分本身（D=3）的屏障依据需要核。假设：D=3有系统拦截记录。试了什么：按表5核D的屏障运行记录，看到“系统拦截”是计划中的条码扫描，尚未上线；现有屏障是“单人核对+事后抽查”，无系统日志。新信息：D分把“计划中的屏障”算进去了，第四轮“D=3成立”的假设被推翻。换哪条路：按表5-a决定D分去留——屏障无运行记录、分析目的为跨条目筛选，删除D分，改用S×P危害分数排序。重排后A（S=8、P=4，危害分数32）和D（S=10、P=2，危害分数20）排在B（S=5、P=7，危害分数35）之后，但A和D按S线独立触发，仍在优先清单前列。最终行动清单：B按危害分数排序第一位但S=5不触发S线；A和D按S线优先执行，排序逻辑明确记录为“S线独立触发，不受危害分数排名约束”。终点产出：A的S分从9改为8（伤害依据“需干预的剂量偏差”）；B/A/D的P分补使用基数并重取；D分删除，改用S×P危害分数排序；S≥8条目（A、D）排在危害分数排序之前；表6记录两套排序的对照和S线优先理由；表8C4记录D分删除的条件依据。表11案例变量表变量案例中情形如果变量不同处置变化S分取分场景A的S=9来自监管不合规S=9来自患者伤害S分维持，不重取P分使用基数三条均无基数有事件报告和年操作例次P分直接取数，省去第三次转折D分屏障运行记录条码扫描未上线，无日志条码扫描已上线有日志D分保留，按日志校准排序工具删除D分，改用S×P屏障有记录，保留D分用RPN但S线独立触发并行S分取分场景和D分屏障运行记录两项对排序结论的影响权重较高。案例成品块：输入取A的S=9/后果“监管不合规”、B的P=6/无基数、D的D=3/无系统日志；动作按表3重取S、按表4补基数、按表5-a删除D分；输出排序工具填“S×P危害分数+S线独立触发”；判定A的S分与伤害锚点可对照且D分去留有条件依据，填“校准完成”。十一、完整版、精简版、极简版：校准深度实际增减对外交付或监管审查选完整版；科室内部FMEA选精简版；个人学习或低风险流程选极简版。表11按版本列保留校准