Table of Contents
1/ 💉 安瓿上有藥名、濃度、批號、瓶身形狀。
抽進針筒後，只剩下一張你自己貼的紙。這一步叫資訊消滅。此後所有核對，核對的都是那張紙。
2/ 🔍 HFMEA 決策樹只問三題：
① 單一弱點——後面還有人接得住嗎？ ② 現有管控有效嗎？ ③ 偵測性夠嗎？ 本案三題全是最壞答案。
3/ ⏱️ 靜脈給錯鉀，你有心律監測、急救、透析——有窗口。
椎管內給錯鉀，沒有拮抗劑、沒有沖洗、病人麻醉中不會說話。 偵測窗口 = 0。
4/ 🧀 瑞士乳酪不是片數越多越安全。
如果那些洞是同一個上游原因造成的，它們會排成一直線。 一次錯四個人＝共模失效的證據，不是四次獨立手滑。
5/ 📊 RPN 試算：鉀離子 10×1×10=100，字跡潦草 4×8×4=128。
於是字跡排前面、鉀排後面。乘積模型允許低發生率稀釋高嚴重度——這正是 HFMEA 改用決策樹的原因。
6/ 🧱 行動強度階層：
弱＝教育、警語、政策、雙人核對 → 負擔在人
中＝查核表、冗餘、軟體提示
強＝防呆、實體隔離、自動化 → 負擔在系統
7/ ✅ 判準一句話：
需要同仁「更小心」才有效的措施，幾乎一定是弱行動。防線不是不信任同仁，是不讓任何一個人的手成為最後一道防線。
防線不是因為醫院不信任同仁。防線是因為醫院知道：再優秀、再資深、再認真的人，都有可能在某一個下午拿錯一支安瓿。而一個把病人安危押在「這個人今天狀態夠好」上面的系統，不叫安全系統，叫運氣。
一、先把事件放在這裡，然後就不要再談「誰」
2026 年 8 月 14 日，美國田納西州納許維爾的一家醫院，四位接受關節置換手術的病人，在椎管內麻醉時拿到的針筒裡裝的不是局部麻醉藥，而是鉀。其中一位 72 歲的女性，胸骨以下失去知覺與活動能力。手術本身很成功。
錯誤發生在藥局的針筒調配環節。院方當日通報主管機關，州政府與調查局已介入。到今天為止，連「打錯的是氯化鉀還是磷酸鉀」都還有兩個版本。
好，事件講完了。
接下來我一句都不想談「是誰抽的藥」。因為那是全世界最沒有生產力的問題。只要我們的答案停留在某一個人身上，這件事就一定會再發生一次。
我想談的是另一件事：為什麼我們要在一條流程上疊那麼多道關卡？那些讓第一線同仁抱怨「很煩、很囉唆、很拖時間」的核對、掃描、簽名、雙人確認，到底是在防什麼？
而更重要的是——為什麼我們疊了那麼多道，還是會出事？
二、安全的定義要先換掉
大部分醫院的安全觀念，停在一句話：「大家小心一點，不要犯錯。」
這句話有兩個問題。第一，它在事實上不可能達成。第二，它把整個系統的重量壓在最脆弱的一個環節——人的注意力——上面。
James Reason 講過一句被引用到爛、但每次讀還是很有力的話：我們無法改變人的本質，但我們可以改變人工作的條件。
一個安全的系統，不是「沒有人犯錯」的系統，而是「有人犯錯時，錯誤走不到病人身上」的系統。
這一句話，就是所有多層防護的全部理由。
反過來說，如果同仁覺得防線是在刁難他，那通常代表一件事：我們設計的是錯的那種防線。這一點後面會談。
三、用 HFMEA 的語言重看這件事
要把「疊防線」從直覺變成方法，就需要一個結構。HFMEA（醫療照護失效模式與效應分析）提供的就是這個結構。它的骨架很簡單：先把流程畫出來 → 找出每一個步驟可能怎麼壞掉 → 判斷哪些壞法非處理不可 → 設計行動。
真正精緻的地方，在第三步。
危害分析：不是只有 S × P
很多人對 HFMEA 的印象停在危害計分矩陣：嚴重度（Severity）× 發生機率（Probability），得到 1 到 16 的危害分數，8 分以上往下走。
但危害分數只是入場券。真正決定「這一項要不要行動」的，是後面那棵決策樹，它只問三個問題：單一弱點、現有管控措施、偵測性。其中第一題是有否決權的：只要是單一弱點，不管發生機率多低，都必須往下走到行動。
這個設計不是隨便訂的。它是在對抗一種非常人性、也非常致命的推理方式：「這種事三十年沒發生過了，機率那麼低，先處理別的吧。」
資訊在哪一步被消滅
當藥品從安瓿被抽進針筒的那一刻，一件不可逆的事情發生了：藥品的身分從「物理上可驗證」變成「只剩標籤上的宣稱」。
從這一步之後，下游所有的人——傳送人員、手術室護理師、麻醉醫師——不論多認真，都只能核對那張紙。他們做的每一項核對都會通過，然後把鉀推進病人的脊椎。
把納許維爾套進決策樹
以下是依公開資訊做的教學性推論，不是官方調查結論。
四、為什麼 HFMEA 不用 RPN
工業界的 FMEA 用 RPN（風險優先數）＝ 嚴重度 × 發生度 × 偵測度，三個分數相乘排序。HFMEA 刻意不這樣做，改用「危害分數＋決策樹」。這個差別在本案上看得最清楚。
假設我們用 RPN 評這個節點：嚴重度 10（永久傷害）、發生度 1（極罕見）、偵測度 10（無法偵測）——乘起來 100。而隔壁一個「處方字跡潦草」：嚴重度 4、發生度 8、偵測度 4——乘起來 128。
於是字跡問題排在前面，鉀離子排在後面。這就是乘積模型的結構性缺陷：它允許低發生率去稀釋高嚴重度，也允許三個中等分數的乘積壓過一個「罕見但不可逆、且無法偵測」的災難。
HFMEA 的決策樹把這件事切斷了。這是一個價值判斷被寫進方法學裡的例子——它宣告：在醫療現場，「後面沒有人接得住」這件事本身，就足以構成行動理由。
五、「偵測」到底在問什麼
偵測性是 HFMEA 裡最常被草率填寫的一欄。大部分人的心證是：「應該會有人發現吧。」
「應該會有人發現」不是偵測。真正的偵測要同時滿足三個條件：時機（在傷害發生之前）、機制（有一個獨立於前一步驟的資訊來源）、確定性（不依賴當事人的警覺性或運氣）。
用這三條去檢視臨床現場，會發現很多我們自認為的「防線」其實不成立：第二個人看著第一個人已經貼好的標籤點頭，沒有獨立來源；「有異常同仁會反應」，依賴警覺性；「病人自己會說不對」，麻醉中的病人不會說話。
而給藥途徑本身，也決定了偵測窗口的長度：
從這裡我想提一條可以直接寫進院內 HFMEA 選題準則的規則：
任何把「可驗證的藥品身分」轉換成「不可驗證的容器」的步驟，都應該預設為單一弱點。
抽藥入針筒、分裝、稀釋、配製點滴、預充、去除原包裝——這些動作的共同點，就是資訊在這裡被消滅。它們在流程圖上看起來只是一個小方格，但它們是整條線上偵測性歸零的位置。
六、五道弱防線 ≠ 一道強防線
回到一開始的問題：我們疊了那麼多道，為什麼還是會出事？答案是：防線是否有效，取決於它們彼此是否獨立。
瑞士乳酪模型最常被誤讀的地方，是大家以為片數越多越安全。但如果那些洞是同一個原因造成的，它們就會排在同一條直線上——這在可靠度工程裡叫共模失效。
這正是現代醫療效率化的結構性代價。我們把調配集中到藥局、一次備一整盤針筒——這確實降低了單次操作的變異，但它同時把單點錯誤的影響範圍，從一個人放大成一整批人。
所以每一次把作業往上游集中，都必須同步問一句：如果這一批錯了，會錯幾個人？而上游的核對強度，有沒有提高到與這個放大倍率相稱的程度？
因此，檢驗一道防線時該問三件事：它擋的是哪一種失效？它是否獨立於前一道？它自己失效的時候，我們會知道嗎？最後一題最常被忽略——一道會靜默失效的防線，比沒有防線更危險，因為它提供了虛假的安全感。
七、行動強度：為什麼「加強教育、落實核對」幾乎等於什麼都沒做
這一段是整篇文章我最想講的。HFMEA 在寫改善行動時，有一個行動強度階層，而這個階層直接回答了本文標題的問題。
請注意其中一項：雙人核對是弱行動。
這常常讓人難以接受，因為雙人核對是台灣醫院最愛用的改善措施。但它之所以弱，理由很清楚：它不改變任何物理條件，只是把同一個容易出錯的認知任務，交給第二個同樣會累、同樣會分心、而且很容易受「前一個人應該有看過吧」影響的人。
現在回頭看多數醫院的異常事件結案報告，最常見的三行是：加強同仁教育訓練、落實雙人核對、修訂標準作業程序。三個全部是弱行動。三個全部把負擔加在人身上，把風險留在系統裡。而下一次同類事件發生時，我們又會寫一次一模一樣的三行。
以本案為例，同一個問題的不同強度答案：
| 強度 | 可能的措施 |
|---|---|
| 弱 | 宣導高濃度鉀的危險性、在調配台貼警語、要求雙人核對簽名 |
| 中 | 高警訊藥品專屬標籤與專屬顏色針筒；調配時拍照留存安瓿；建立椎管內藥品專用查核表 |
| 強 | 椎管內給藥改用商業預充針筒（消滅抽藥步驟）；高濃度鉀在物理上不出現於麻醉藥品調配動線；調配端導入條碼比對，掃錯就抽不出來；椎管內與靜脈使用不相容的接頭 |
最後一項要誠實說明：NRFit（ISO 80369-6）這類神經軸專用接頭是很強的防呆設計，但它在本案救不了人。因為錯誤發生在藥局，如果藥局是把鉀裝進一支合規的椎管內專用針筒，接頭一樣會嚴絲合縫地接上。防呆設計擋的是錯的路徑，擋不住錯的內容物。
這個細節本身就是重要教訓：每一道防線都只擋它被設計來擋的那一種失效。我們常常因為裝了一個很厲害的裝置，就以為整條線都安全了。
八、如果要在下週的品管會議上動手
- 我們院內有哪些步驟，是把「可驗證的藥品身分」變成「不可驗證的容器」？把它們全部列出來——那份清單就是單一弱點的候選名單。
- 這些步驟裡，哪些的下游偵測性為零（給藥即不可逆、內容物不可辨識、病人無法反應）？這些是最高優先。
- 每一個高警訊品項，現在的管控是弱、中還是強行動？把過去三年的異常事件改善措施拿出來分類，看看弱行動佔幾成。
- 我們的批次作業，單次最大影響病人數是多少？有沒有人算過這個數字？
- 條碼比對涵蓋到「調配端」還是只有「病人端」？只有病人端的話，這類錯誤它抓不到。
- 事件發生後，能不能在兩小時內還原：這支針筒是誰調的、用哪一批藥、誰核對的、幾點送出？如果不行，追溯鏈是斷的——而斷掉的追溯鏈，正是納許維爾事件至今說法分歧的原因。
九、公正文化不是寬容，是為了看得見
這起事件裡受傷的不只四位病人。抽藥的藥師、核對的同事、推針的麻醉醫師，他們的職業生涯從那個星期五開始被永久改變。病人安全文獻稱他們為 second victim。
該有的調查、責任與賠償，一項都不能少。但如果一家醫院處理事件的唯一動作是找出那個人並處分他，可以確定兩件事：第一，系統一點都不會變安全；第二，下一次有人察覺異常時，他會選擇不說。
懲罰帶來沉默，而沉默讓所有的偵測機制同時失效。
公正文化的重點從來不是「不要處罰人」，而是：你想不想知道真相。一個看不見自己弱點的系統，沒有辦法做 HFMEA——因為 HFMEA 的第一步，是有人願意誠實地說出流程真正是怎麼跑的，而不是 SOP 上寫的那樣。
結語
多層防護的目的，從來不是要求同仁更謹慎。它的目的是：讓任何一個人的任何一次失誤，都不足以傷害到病人。
一個好的系統，會讓正確的做法變成最省力的做法。當同仁覺得防線是負擔的時候，那通常不是同仁的問題，而是我們設計了太多弱行動——用增加人的認知負荷，去掩蓋我們沒有做的工程改變。
1998 年，美國評鑑機構的第一號警訊事件通報，主題就是高濃度氯化鉀，建議只有一句話：把它從病人照護區域拿走。二十八年後，我們仍然在為同一句話付出代價。
如果你在醫院工作，最實際的回應也許不是轉發這則新聞，而是明天早上走一趟無菌調配室，看看那個台面上都放了些什麼——然後問一句：這裡有哪一步，是後面沒有人接得住的？
本文事件事實部分整理自 2026 年 8 月美國媒體報導與院方公開聲明；官方調查尚未公布，部分細節（藥品種類、給藥途徑）在不同來源間仍有分歧。文中失效點與決策樹判讀為依公開資訊所做的教學性推論，非官方根本原因分析結論。HFMEA 決策樹與行動強度階層之描述依 VA National Center for Patient Safety 版本。