4. 设计输出与验证策划
设计输出是设计输入被“翻译”为可制造、可采购、可检验、可验证的技术成果集合。它既是设计活动的阶段结论，也是后续验证确认活动的直接依据。若设计输出不完整，验证策划就会失去对象：不知道该验证什么、用什么判据、在什么条件下判定通过。因此，设计输出文档的完整性要求与验证主计划（VMP）的编制，是同一证据链上的两个关键环节。
一、设计输出文档的完整性要求
完整性不等于“文件数量多”，而是指设计输出的每一类内容都能追溯到一条设计输入，并且具备可验证性。对医疗器械而言，设计输出通常至少覆盖以下维度：
- 产品规格与性能指标：如尺寸、电气安全参数、机械强度、软件功能与性能边界，需给出标称值、允差和测试条件。
- 图纸与三维模型：总装图、零件图、材料与表面处理标注，关键尺寸应标注公差与基准。
- 物料清单（BOM）与关键元器件规格：含供应商、料号、版本、关键特性，对采购件需明确入厂检验项目。
- 软件与固件设计输出：需求规格、架构设计、接口定义、版本号、编译配置与发布说明。
- 制造与装配工艺：工艺流程、关键工序参数窗口、工装夹具要求、过程检验点。
- 标签、说明书与包装：内容需与注册资料一致，包装需规定运输与灭菌适应性。
- 风险管理输出：风险控制措施如何落实到具体设计特征，并留下可验证的对应关系。
判断完整性可用“三问法”：这条输出对应哪条设计输入？它的合格判据是什么？用什么方法、在什么样本量下能证明它合格？三问中任一问答不上来，该输出就还不具备进入验证策划的条件。实际项目中，建议用设计输出清单逐条标注“输入编号—输出文件—验证方法—判据来源”，形成可追踪矩阵，而不是仅靠文件目录判断齐全。
二、验证主计划（VMP）的编制
验证主计划是统领全部验证活动的顶层文件，回答“验证什么、为什么这样验证、由谁在何时完成、结果如何判定与归档”。它不是某一项测试的作业指导书，而是验证策略与资源安排的总体框架。一份可执行的VMP通常包含：验证范围与对象、引用文件与版本、验证层级划分、各项验证活动清单、职责与时间节点、偏差处理与变更控制、接受准则来源、记录与报告要求。
编制VMP时，建议先建立“设计输出—验证活动”映射表，再按风险与复杂度排序。高风险项（如电气安全、报警有效性、软件关键功能）应优先安排并采用更严格的样本量与独立复核；低风险项可合并到同一验证批次中以节省资源。VMP中必须明确每个验证活动的输入文件版本，避免出现“用旧版图纸验证新版设计”的版本错配。
三、验证策略、层级与方法的选取原则
验证策略的核心是“风险驱动、证据充分、成本合理”。验证层级通常从单元级到系统级递进：
- 单元验证：针对单个元器件、模块或软件函数，验证其基本功能与边界条件，常在实验室台架上完成。
- 子系统/集成验证：验证模块间接口、信号时序、数据流与控制逻辑，关注交互缺陷。
- 系统验证：在整机或完整软件版本上验证产品规格与性能指标，接近实际使用状态。
- 设计确认：在模拟或真实使用条件下验证用户需求与临床预期，通常使用样机与代表性用户。
验证方法的选择应依据“最接近真实失效模式”的原则。常用方法包括：
- 测试：用仪器测量定量指标，适用于电气安全、流速、压力、温度等可量化特性。
- 检验：通过目视、量具或自动光学检查判断外观、标识、装配正确性。
- 分析：用计算、仿真或公差堆叠证明设计裕量，适用于无法直接测试或成本极高的场景。
- 演示：在受控条件下展示功能动作，适用于报警提示、用户界面流程等定性要求。
- 审查：对文档、标签、软件代码进行系统性检查，适用于法规符合性与可追溯性。
选取时需注意：分析方法必须经过验证或与实测数据比对；演示不能替代定量测试；审查不能替代功能验证。对于软件，单元测试、集成测试与系统测试应分别对应不同层级，且需保留测试用例、执行记录与缺陷关闭证据。
四、从VMP到可执行的验证策划
VMP批准后，每项验证活动还需展开为具体的验证方案。方案中应写明：被测对象与版本、测试设备与校准状态、环境条件、样本量与抽样理由、测试步骤、原始记录格式、接受准则、偏差处理路径。以电气安全测试为例，需明确依据的标准条款、测试点、限值、测试仪器精度要求，以及失败后的隔离与复测规则。
验证层级与方法的选择不是一次性决定，而应随设计成熟度迭代。早期单元验证可快速暴露问题，后期系统验证则确认整体性能。若在系统验证中发现失效，应回溯到对应子系统或单元层级补充验证，而不是仅修复表象。所有验证记录应与设计输出版本绑定，确保任何设计变更都能追溯到受影响的验证活动，并触发必要的再验证。
综上，设计输出完整性是验证策划的输入前提，VMP是验证活动的组织中枢，验证层级与方法则是将风险转化为可执行证据的具体手段。三者环环相扣，才能形成从设计输入到验证结论的完整证据链。