风险表填满了，设计为什么还是改不动

先把“误操作”还原成一个动作

假设一台设备需要连接两个用途不同的附件，接口外形相近，使用者可能接错。如果风险分析只写“使用者误操作，造成设备异常”，结构、软件和测试同事很难知道自己分别要做什么。

不妨把动作说完整：谁在什么环境下拿起哪一个附件，凭什么判断对应接口，能否在未看清标识时插入，接错后设备会做什么，又怎样可能影响人。分析到这里，也许会发现，问题不只在标签，而在错误组合能够实际连接并被设备接受。

这时，“加强培训”可以继续讨论，但不该成为跳过设计分析的捷径。团队还可以比较结构区分、连接识别、异常提示等方案。不是每个产品都需要同样的组合，选择要回到实际风险与可实现性。

有些原因暂时拿不准，也不必硬填一个看起来完整的结论。标清假设，再通过观察、样件检查或受控试验去验证，比把猜测写成已经查明的原因更稳妥。

控制措施要落到有边界的设计要求

“接口防呆”还是一个方向，不是完整的设计输入。可以继续问：要防哪两种错误组合？在哪些预期操作条件下阻止连接？如果存在无法完全阻止的情况，设备如何识别和处理？

举个写法示例：对列明的错误附件组合，在定义的插入方向和受控操作条件下，不应建立可执行预定功能的连接；具体施力边界、检测方式和故障响应另在评审通过的要求中定义。这不是可直接套用的合格条款，而是提醒团队把对象、条件和结果补齐。

结构图里的键位、连接器规格，软件里的识别规则、状态转换，都应能对应到这条要求。标识与说明书也要同步核对，免得结构改了，用户看到的名称还是旧的。

我还会在同一条记录旁写上负责落实的人。不是为了追责，而是避免“大家都知道要改”最后变成“以为别人已经改了”。一个措施涉及多个专业时，谁整合、谁确认边界，最好当场说清。

“做出来了”与“起作用了”，是两份证据

图纸出现了区分结构，只能说明改动进入了设计输出。样机检查到该结构，也只能说明这个版本把它做出来了。还需要继续问：按定义的条件尝试错误组合，是否真的被阻止？正确组合有没有因此变得难以连接？

前一类检查回答“要求有没有落实”，后一类评价回答“原先担心的事情有没有被有效控制”。两者可以相关，但不能拿一张改版图纸代替全部证据。

对涉及使用者的控制，还要看人怎样理解和操作。比如新增了提示，测试中使用者看到了，却不知道下一步该怎么办；从程序执行看提示成功，从使用效果看问题还没有解决。

FDA的人因指南把风险控制与后续评价相联系，强调检查控制是否有效及是否引入新问题。这里借鉴的是工作思路，不是把美国指导文件作为中国项目的法定清单。

试验前把预期结果写下来，也很重要。如果先看结果，再临时决定什么叫“差不多可以”，风险评价就容易被进度推着走。评价方法、样品版本、测试条件和接受依据，应在实施前明确；暂时没有依据的限值，要回到输入讨论，不能靠表格颜色把它变成确定答案。

改动带来的新麻烦，也要放回桌面

假设为了防止插错，把接口做得更深。错误连接减少了，却让清洁、检查或戴手套拔插变得困难，这个新情况同样值得分析。又比如识别逻辑更严格，正常附件因合理差异被拒绝，原本支持的任务可能因此中断。

这不是说控制措施不能有代价，而是代价要被看见。可以把改动前后的使用步骤并排写出来，检查新增了哪些动作、等待和判断，再决定需要补哪些验证与使用评价。

如果测试没有达到预定结果，先保留失败记录。分析是输入不完整、实现偏差、试验方法不合适，还是控制方案本身不够，再决定改哪里。不要只把风险分值降下来，让问题在文件里消失。

下一次会上，只追一条线也有价值

不必为了开会再造一套复杂表格。选一条正在影响设计的风险，把这几样东西摆在一起：具体危险情形、控制要求、对应图纸或软件版本、检查记录、效果评价，以及尚未解决的问题。

它们可以在不同文件里，只要彼此找得到。测试记录反映的是哪个版本，风险结论依据的是哪份结果，后续改版会影响哪些证据，都要能说明白。无法定位的“验证通过”，对接手的人帮助有限。

这条线如果中间断了，先补最影响判断的一处。缺使用条件，就补场景；缺输出，就明确改动；缺效果证据，就安排有依据的评价。风险工作不必靠表越来越厚来证明价值，能让下一次设计决定更清楚，就已经在发挥作用。