第一次做FMEA的时候，我把DFMEA和PFMEA搞混了。
项目会议上，老板问我："这个失效模式是在DFMEA里分析还是在PFMEA里分析？"我想都没想就答："都行吧，不都是找问题吗？"
老板看了我一眼，没说话。会后把我叫到办公室，给我讲了整整一个小时——DFMEA关注的是设计缺陷导致的失效，PFMEA关注的是制造过程导致的失效；DFMEA在产品设计阶段做，PFMEA在生产准备阶段做；两者是互补关系，不是替代关系。
那一刻我才明白，FMEA不是一张表格填完就了事，而是一套贯穿产品全生命周期的风险管理体系。后来经手的项目多了，我慢慢把这套体系和"出行"做了类比，一切都清晰了。
今天就用一套"出行"的比喻，帮你彻底理清从DFMEA到PFMEA的全流程风险管理落地实操。
图：DFMEA vs PFMEA —— 一场"出行"的两个阶段
一、DFMEA和PFMEA到底是什么？用"出行"来理解
很多人搞不清DFMEA和PFMEA的区别，其实核心就一句话：
DFMEA = 出行前的路线规划（设计阶段：设计出来的产品会不会出问题？）
PFMEA = 驾驶过程的管控（生产阶段：制造过程会不会把产品做坏？）
举个例子。你要开车从北京去上海。出发前，你规划路线、查天气预报、检查车况、预估油耗、准备备用方案——这就是DFMEA。你分析的是"车本身"的风险：轮胎会不会爆胎？发动机能不能撑住？导航系统会不会失灵？
上了高速之后，你控制车速、保持车距、注意路况、定时休息、观察仪表盘——这就是PFMEA。你分析的是"驾驶过程"的风险：会不会超速？会不会疲劳驾驶？遇到突发状况怎么处理？
两者的关系很清楚：出行前的规划（DFMEA）决定了你能不能安全到达，驾驶过程的管控（PFMEA）决定了你在路上会不会出问题。没有路线规划，驾驶再小心也可能走错路；没有过程管控，路线规划得再好也可能出事故。
在医疗器械行业，这个逻辑同样适用。DFMEA分析的是产品设计本身——每个零部件、每个子系统、每段软件代码，在设计阶段会不会因为缺陷而导致失效。PFMEA分析的是制造过程——每道工序、每台设备、每个工艺参数，在生产过程中会不会导致产品不合格。
二、AIAG-VDA FMEA七步法：一张地图走到底
2019年，AIAG和VDA联合发布了新版FMEA手册，把原来"填表格"的方式升级为"七步法"。这七步法既适用于DFMEA，也适用于PFMEA，就像一张地图，指引你系统性地完成风险分析。
步骤一：规划与准备（确定出行目的地和团队）
明确项目范围、确定分析边界、组建跨职能团队、收集基础信息。
关键输出：项目计划、范围定义、团队成员及职责。
避坑要点：范围不能太大也不能太小——太大了分析不完，太小了覆盖不全。
步骤二：结构分析（拆解路线中的每一段路）
DFMEA：把产品拆解为系统→子系统→零部件，建立结构树。PFMEA：把制造过程拆解为工序→工步→操作，建立过程流程图。
关键输出：结构树（DFMEA）或过程流程图（PFMEA）。
避坑要点：拆解的颗粒度要适中——太粗了漏掉失效模式，太细了分析不完。
步骤三：功能分析（明确每一段路要达到什么目的）
为每个结构元素定义功能要求，建立功能网。功能要求包括：性能指标、法规要求、客户需求、内部标准。
关键输出：功能网。
避坑要点：功能描述要具体、可测量——不要写"功能正常"，要写"血糖测量精度±15%（95%置信区间）"。
步骤四：失效分析（找出每一段路可能出什么问题）
识别每个功能的潜在失效模式，分析失效影响（对客户/法规/安全的影响），找到失效原因。用"失效链"来连接：失效原因 → 失效模式 → 失效影响。
关键输出：失效链。
避坑要点：失效模式要用技术语言描述——不要写"坏了"，要写"传感器信号漂移超出规格限"。
步骤五：风险分析（评估每一段路的风险等级）
评估三个维度：严重度（S）——失效影响的严重程度；发生度（O）——失效原因发生的可能性；探测度（D）——现行控制措施探测失效的能力。新版手册用AP（Action Priority，行动优先级）替代了原来的RPN，分为高（H）、中（M）、低（L）三个等级。
关键输出：风险评估表。
避坑要点：评分标准要在团队内部统一——不同的人对"严重度"的理解可能差异很大。
步骤六：优化（制定改进措施降低风险）
对高（H）和中（M）优先级的项目制定改进措施，确定责任人和完成时间，跟踪实施效果。优先顺序：先降低严重度（设计变更），再降低发生度（过程控制），最后提高探测度（检验/测试）。
关键输出：优化措施表。
避坑要点：措施必须可执行、可验证——不要写"注意操作"，要写"增加防错工装，误操作触发报警"。
步骤七：结果文件化（整理出行报告归档）
整理FMEA报告，更新风险矩阵，将FMEA结果传递给相关方（DFMEA的输出传递给PFMEA团队，PFMEA的输出传递给控制计划）。
关键输出：FMEA报告。
避坑要点：文件化不是"填完表格就锁抽屉"，而是要定期评审、动态更新。
图：AIAG-VDA FMEA七步法——从规划到优化的完整流程
三、从DFMEA到PFMEA的衔接：四个关键传递点
DFMEA和PFMEA不是两张独立的表格，而是一个连续的风险管理链条。从DFMEA到PFMEA的衔接质量，直接决定了整个FMEA体系的效果。这里有四个关键传递点。
传递点一：高风险失效模式必须继承
DFMEA中被评为高（H）优先级的失效模式，必须在PFMEA中继承并重点管控。比如DFMEA中分析出"传感器信号漂移"是高风险失效模式，那么在PFMEA中，与传感器安装、焊接、校准相关的工序就必须设置重点控制措施。不能遗漏，不能降级处理。
传递点二：特殊特性必须保持一致
DFMEA中定义的关键特性（Critical）和重要特性（Major），必须在PFMEA和控制计划中保持统一的标识和管控。这些特性就像路上的"危险路段"标识——设计阶段标出来了，生产阶段必须持续管控。
传递点三：探测度不足的必须补位
DFMEA中如果某项失效的探测度（D）评分很高（说明设计验证很难发现这个失效），那么PFMEA中就要增加过程检验或防错措施来补位。就像出发前检查车况时发现某个故障很难预判，那上路后就要增加仪表盘的观察频率。
传递点四：必须开正式的衔接会议
设计工程师和工艺工程师要坐在一起，开一个正式的FMEA衔接会议。会议要有议程、有记录、有输出物——DFMEA的关键风险回顾、可制造性问题沟通、测量与检测方法确认。
图：DFMEA到PFMEA的衔接——四个关键传递点
四、医械人做FMEA的三个避坑要点
坑一：用FMEA替代ISO 14971
FMEA和ISO 14971是两套不同的体系。ISO 14971是医疗器械风险管理的顶层标准，采用"自上而下"的方法——从危险（Hazard）出发，分析危险情形和伤害。FMEA是"自下而上"的方法——从零部件/过程出发，分析失效模式和影响。FMEA不能替代ISO 14971，但可以作为ISO 14971框架下的补充工具。正确的做法：先用ISO 14971做危险分析，再用FMEA做详细的失效分析。
坑二：DFMEA和PFMEA混为一谈
这是初学者最常见的错误。把制造过程的问题写到DFMEA里，或者把设计缺陷的问题写到PFMEA里。判断标准很简单：如果失效的根本原因是"设计不合理"，写在DFMEA里；如果失效的根本原因是"制造过程没控制好"，写在PFMEA里。如果两者都有，两个FMEA里都要写。
坑三：FMEA做完就锁抽屉
FMEA不是一次性的文档，而是需要动态维护的"活文件"。产品设计变更了，DFMEA要更新；生产工艺调整了，PFMEA要更新；客户投诉出现了，FMEA要回顾。2025版GMP特别强调了这一点：风险管理是一个贯穿产品全生命周期的持续活动，不是项目结束前的"突击任务"。
图：FMEA表格示例（含Design-FMEA和Process-FMEA）
五、写在最后
搞懂DFMEA和PFMEA的区别与衔接，不只是为了填好两张表格。
它背后是一套思维方式：在产品设计阶段就把风险想周全（DFMEA），在生产阶段把风险控到位（PFMEA），让风险管理的链条从设计一直延伸到制造。
做DFMEA的人要懂设计，做PFMEA的人要懂工艺，但两者都要懂风险。只有当设计工程师和工艺工程师坐在同一张桌子上，把风险从设计端传递到生产端，这套体系才能真正落地。
前者让你设计出可靠的产品，后者让你稳定地生产出可靠的产品。
觉得有用？转发给你那些还在纠结DFMEA和PFMEA区别的同事，帮他少踩几个坑。
医械加油站将持续为医械人分享医疗器械行业快讯、法规标准解读、文件模板、培训课件及设计开发相关产品资讯，助力行业同仁合规提速、少走弯路，欢迎持续关注！
📋 医械加油站持续更新新版GMP核查专栏系列全景规划，覆盖GMP核查从框架认知到模块拆解、从文件编写到问题整改、从内审应答到供应商管理的完整链路，欢迎持续关注！