FMEA o FTA? La scelta del metodo non salva l'analisi del rischio

In molti progetti MedTech è possibile osservare lo stesso schema: non appena si avvicina il momento dell'analisi delle cause di pericolo o dell'analisi del rischio, emerge rapidamente la domanda su quale metodo impiegare. FMEA? FTA? O addirittura più metodi in parallelo? La domanda è comprensibile, ma insufficiente. Nella pratica non è il metodo a determinare la qualità dell'analisi, bensì la coerenza tra la questione posta, il metodo e l'integrazione dei risultati.

I metodi non sono ancora un'analisi del rischio

Tecniche come PHA (Preliminary Hazard Analysis), FMEA (Failure Mode and Effects Analysis), FTA (Fault Tree Analysis), ETA (Event Tree Analysis), HAZOP e HACCP sono strumenti consolidati nella gestione del rischio. Quello che viene spesso trascurato: non equivalgono all'analisi delle cause di pericolo, e tanto meno all'analisi del rischio del prodotto completa ai sensi della ISO 14971:2019.

Ciascun metodo risponde a una domanda diversa:

• PHA struttura le cause di pericolo e i primi scenari di danno in modo precoce e sistematico.
• FMEA analizza le modalità di guasto, i loro effetti e le loro cause a livello di componente o di processo.
• FTA rende visibili le complesse relazioni causali e le combinazioni di cause attraverso l'albero dei guasti.
• ETA mostra come gli eventi iniziatori si sviluppano lungo le barriere di protezione.
• HAZOP mette in discussione sistematicamente, tramite parole guida, le deviazioni dal funzionamento nominale documentato.
• HACCP si concentra sull'identificazione e il monitoraggio dei punti di controllo critici.

Il punto decisivo: una modalità di guasto non è automaticamente un hazard. Un top event non è automaticamente un rischio. L'output di questi metodi è un risultato intermedio, non un'entrata definitiva nel dossier di rischio.

Il vero ostacolo si trova all'interfaccia

Il problema tipico nella pratica non riguarda l'esecuzione del metodo. Riguarda la domanda di come i relativi risultati vengano trasferiti concretamente nell'analisi del rischio. Tra l'output del metodo e l'analisi del rischio esiste quasi sempre un passaggio necessario: la traduzione analitica nella logica della ISO 14971, ossia in hazard, situazione pericolosa, sequenza degli eventi, danno, controlli del rischio e prove di efficacia.

La ISO 14971 richiede una catena continua dalla causa di pericolo, attraverso la situazione pericolosa, fino al danno, compresa la valutazione e la dimostrazione del controllo del rischio. Una FMEA fornisce elementi costitutivi a tale scopo, come modalità di guasto e i loro effetti, ma non li colloca automaticamente in questa catena precisa. Proprio qui si generano la maggior parte delle debolezze. Non perché i metodi siano applicati in modo errato, ma perché i loro risultati non vengono proseguiti in modo coerente nel dossier.

Un errore ricorrente: la tabella FMEA è compilata correttamente, ma nessuno riesce a dimostrare in sede di audit quale modalità di guasto conduce a quale situazione pericolosa e quale controllo del rischio affronta esattamente quella situazione. Il metodo era corretto, la tracciabilità (traceability) verso il dossier di rischio manca.

Piu metodi non significano automaticamente analisi migliori

Un secondo fraintendimento: la qualità dell'analisi delle cause di pericolo aumenterebbe con il numero di metodi impiegati. E' vero il contrario. In molti progetti la combinazione di diversi metodi genera tipici problemi conseguenti:

• Risultati sovrapposti e duplicazione del lavoro. Le stesse cause di pericolo vengono descritte piu volte senza che ne derivi alcun valore conoscitivo aggiuntivo.
• Terminologia incoerente. Se modalita di guasto, hazard e danno sono denominati diversamente tra i documenti FMEA, FTA e PHA, la successiva tracciabilita risulta compromessa.
• Complessita artificiale. Un numero maggiore di documenti non genera piu chiarezza, bensì meno, in particolare nelle verifiche interne e nelle ispezioni delle autorita.

La domanda determinante non e quindi "Quale metodo utilizziamo?", bensì: "A quale domanda vogliamo rispondere e quale metodo fornisce effettivamente un valore conoscitivo?" Una FTA e utile quando occorre comprendere l'interazione di piu cause. Una FMEA e adatta quando si intende esaminare sistematicamente le modalita di guasto di singoli componenti o fasi di processo. Se entrambi vengono impiegati, i loro risultati devono confluire nello stesso dossier di rischio, non essere documentati in parallelo.

Come si riconosce un'analisi delle cause di pericolo affidabile

Una buona analisi delle cause di pericolo non si riconosce dal numero di metodi documentati o dal livello di dettaglio delle singole tabelle. Si riconosce da quattro caratteristiche:

• Visibilita: i rischi critici e le situazioni pericolose diventano visibili precocemente e vengono affrontati nel processo di progettazione, non soltanto in sede di verifica finale.
• Tracciabilita: i percorsi causali e le catene di guasto sono logicamente comprensibili e documentati senza lacune anche per terzi, come i revisori.
• Prevenzione: i controlli del rischio vengono derivati in modo mirato e proporzionale al pericolo effettivo, in linea con la valutazione del rischio residuo richiesta dalla ISO 14971.
• Fondamento: le decisioni di valutazione relative a gravita e probabilita sono motivate professionalmente e, ove pertinente, clinicamente, non stabilite per abitudine.

In sintesi: non e l'ampiezza metodologica a essere determinante, bensì la coerenza analitica. I metodi devono essere impiegati non in modo schematico, bensì consapevole, sulla base della domanda alla quale si intende rispondere.

Cosa fare

La leva piu efficace non risiede in un ulteriore metodo, bensì nella corretta integrazione dell'output metodologico nel dossier di rischio secondo ISO 14971. In termini pratici: un quadro concettuale comune a tutti i metodi impiegati, un collegamento continuo dalla modalita di guasto attraverso la situazione pericolosa e il danno fino al controllo del rischio e alla relativa prova di efficacia, nonche una scelta consapevole del metodo in base alla specifica questione da affrontare.

Entourage supporta i fabbricanti MedTech nel trasferire in modo coerente i risultati esistenti di FMEA, FTA o PHA in un dossier di rischio verificabile e nell'orientare la scelta dei metodi alla rispettiva questione, invece di far girare i metodi in parallelo. Gli approfondimenti sono elaborati nel dettagliato whitepaper sul trasferimento dell'output metodologico nell'analisi del rischio del prodotto secondo ISO 14971.