1. 课程导入与全景认知
医疗器械从概念到上市后持续使用，整个生命周期都在回答同一个问题：我们凭什么相信这台器械是安全有效的？验证（Verification）、确认（Validation）与证据工程（Evidence Engineering）正是回答这个问题的三根支柱。很多从业者把三者混为一谈，导致设计输出与用户需求脱节、注册资料前后矛盾、发补反复。本课程的第一节，先把这三个概念的定义、边界和相互关系讲清楚，再落到 FDA、EU MDR、NMPA 三大法规框架对证据链的总体要求上。
一、三个核心概念的定义与边界
验证（Verification）回答的是"我们是否正确地构建了产品"（Did we build the product right?）。它的参照系是设计输入——设计规范、图纸、软件需求规格、材料标准。验证活动包括设计评审、台架测试、软件单元与集成测试、尺寸与性能检验、生物相容性试验等。验证的典型证据形式是"测试报告 + 规格符合性矩阵"。
确认（Validation）回答的是"我们是否构建了正确的产品"（Did we build the right product?）。它的参照系是用户需求与预期用途——临床需求、使用场景、患者人群、操作者能力。确认活动包括可用性工程（IEC 62366）、临床评价、模拟使用测试、动物试验、临床试验等。确认的典型证据形式是"临床评价报告 + 可用性总结报告 + 预期用途符合性论证"。
两者的边界可以用一句话概括：验证对规格负责，确认对用途负责。规格本身是否正确，验证无法回答；用途是否被满足，确认必须回答。实践中常见的错误是"用验证替代确认"——例如只做了精度测试就宣称满足临床需求，却从未在真实使用场景中评估过操作者误用风险。
证据工程（Evidence Engineering）是更高一层的系统性方法。它不是某一项测试，而是对证据的规划、生成、组织、追溯与维护。证据工程的核心产出是证据链：从用户需求 → 设计输入 → 设计输出 → 验证/确认活动 → 结论，每一环都可追溯、可审计、可复现。证据工程要解决的是"证据是否充分、是否一致、是否可被监管方接受"的问题。
三者的关系可以这样理解：验证和确认是"生产证据的活动"，证据工程是"管理证据的体系"。没有证据工程，验证和确认的成果会散落在各部门的文件夹里，无法形成监管方认可的完整链条。
二、全生命周期中的位置与相互关系
把三者放进医疗器械全生命周期，可以看到清晰的时序与依赖关系。设计开发阶段，用户需求先转化为设计输入，设计输入驱动设计输出；验证活动检验设计输出是否符合设计输入；确认活动检验设计输出是否满足用户需求。设计转移阶段，验证与确认的结论共同支撑"设计冻结"与"可制造性"判断。上市后阶段，生产验证（如过程确认 IQ/OQ/PQ）、变更验证、上市后临床跟踪（PMCF）持续补充证据，形成闭环。
下面这张图展示了从用户需求到上市后证据维护的完整证据链结构，以及验证与确认在其中的不同参照系。
三、三大法规框架对证据链的总体要求
不同法域的法规表述不同，但对证据链的底层要求高度一致：可追溯、可复现、可审计、与风险相称。
FDA 的核心是设计控制（21 CFR 820.30）。它要求建立设计历史文档（DHF），其中必须包含设计输入、设计输出、设计评审、验证、确认和设计变更记录。FDA 并不规定你必须用哪种模板，但审查时会检查"设计输入是否可追溯到用户需求""验证是否覆盖了所有设计输入""确认是否在真实或模拟使用条件下完成"。510(k) 路径下，实质等同论证本身就是一份证据链文件。
EU MDR 的要求更为系统化。附录 IX 要求建立技术文档，临床评价（附录 XIV）必须贯穿全生命周期，PMCF 计划与报告是强制项。MDR 特别强调"通用安全与性能要求（GSPR）"的逐条符合性论证，每一条 GSPR 都要有对应的证据或理由说明。这意味着证据工程必须从"测试报告集合"升级为"要求—证据映射体系"。
NMPA 的注册申报要求以产品技术要求为核心，配合研究资料、临床评价资料和体系核查。NMPA 对"设计开发输入输出"的追溯性要求体现在注册质量管理体系核查中，现场检查会抽查设计开发文档与验证确认记录的一致性。近年来 NMPA 对临床评价证据的要求逐步向 ICH 和 IMDRF 靠拢，真实世界数据（RWD）的接受度也在提高。
一个实用的判断标准：如果监管方随机抽取一条用户需求，你能否在 30 分钟内展示出它对应的设计输入、设计输出、验证记录、确认记录和变更历史？如果能，证据链是完整的；如果不能，证据工程就还有缺口。