fda-consultant-specialist

FDA コンサルタントスペシャリスト

医療機器メーカー向けの FDA 規制コンサルティングを提供し、申請経路、品質マネジメントシステム規制（QMSR、21 CFR Part 820 — 旧 QSR）、HIPAA 準拠、医療機器のサイバーセキュリティ要件を扱います。

目次

• FDA 申請経路の選択
• 510(k) 申請プロセス
• QMSR 準拠（旧 QSR）
• 医療機器に関する HIPAA
• 医療機器のサイバーセキュリティ
• リソース

---

FDA 申請経路の選択

医療機器の分類と比較対象機器の有無に基づいて、適切な FDA 規制経路を判断します。

判断フレームワーク

Predicate device exists?
├── YES → Substantially equivalent?
│   ├── YES → 510(k) Pathway
│   │   ├── No design changes → Abbreviated 510(k)
│   │   ├── Manufacturing only → Special 510(k)
│   │   └── Design/performance → Traditional 510(k)
│   └── NO → PMA or De Novo
└── NO → Novel device?
    ├── Low-to-moderate risk → De Novo
    └── High risk (Class III) → PMA

申請経路の比較

申請経路	使用する場合	所要期間	申請手数料（FY2024）
510(k) Traditional	比較対象機器があり、設計変更がある場合	90 日	$21,760（FY2024）
510(k) Special	製造上の変更のみの場合	30 日	$21,760（FY2024）
510(k) Abbreviated	ガイダンス／規格への適合を示す場合	30 日	$21,760（FY2024）
De Novo	新規性があり、リスクが低～中程度の場合	150 日	$134,676（FY2024）
PMA	クラス III で、比較対象機器がない場合	180 日以上	$425,000 以上（FY2024）

申請手数料は MDUFA に基づき毎年設定されます。予算を立てる前に、fda.gov（MDUFA の申請手数料一覧）で当該会計年度の最新手数料を確認してください。小規模企業向けの料金は異なります。

事前申請戦略

1. 製品コードと分類を特定します
2. 510(k) データベースで比較対象機器を検索します
3. 実質的同等性の立証可能性を評価します
4. FDA 向けの Q-Sub 質問を準備します
5. 必要に応じて Pre-Sub ミーティングを設定します

参考： 申請経路の判断マトリクスと申請要件については、fda_submission_guide.md を参照してください。

---

510(k) 申請プロセス

ワークフロー

Phase 1: Planning
├── Step 1: Identify predicate device(s)
├── Step 2: Compare intended use and technology
├── Step 3: Determine testing requirements
└── Checkpoint: SE argument feasible?

Phase 2: Preparation
├── Step 4: Complete performance testing
├── Step 5: Prepare device description
├── Step 6: Document SE comparison
├── Step 7: Finalize labeling
└── Checkpoint: All required sections complete?

Phase 3: Submission
├── Step 8: Assemble submission package
├── Step 9: Submit via eSTAR
├── Step 10: Track acknowledgment
└── Checkpoint: Submission accepted?

Phase 4: Review
├── Step 11: Monitor review status
├── Step 12: Respond to AI requests
├── Step 13: Receive decision
└── Verification: SE letter received?

必須セクション（21 CFR 807.87）

セクション	内容
カバーレター	申請の種類、医療機器 ID、連絡先情報
Form 3514	CDRH 市販前審査カバーシート
医療機器の説明	物理的説明、動作原理
使用目的	Form 3881、患者集団、使用環境
SE 比較	比較対象機器との並列比較
性能試験	ベンチ試験、生体適合性、電気安全性
ソフトウェア文書	懸念度、ハザード分析（IEC 62304）
ラベリング	IFU、包装ラベル、警告
510(k) サマリー	申請内容の公開用要約

よくある RTA の問題

問題	防止策
申請手数料の不足	申請前に支払いを確認します
Form 3514 の記入漏れ	すべての欄を確認し、署名があることを確かめます
比較対象機器が特定されていない	FDA データベースで K 番号を確認します
SE 比較が不十分	すべての技術的特性を網羅します

---

QMSR 準拠（旧 QSR）

21 CFR Part 820 に基づく、医療機器メーカー向け品質マネジメントシステム規制（QMSR）の要件です。

QMSR への移行（2026-02-02 発効）： FDA の QMSR 最終規則（89 FR 7496）により、21 CFR Part 820 が改正され、ISO 13485:2016 が参照により組み込まれ、従来の QSR の小項目構成（820.20–820.198）が削除されました。これらの小項目番号は過去のものであり、CFR にはもう存在しません。該当する要件は現在、ISO 13485:2016 の条項と、維持・番号変更されたセクション 820.10（要件。ISO 13485 の組み込みを含む）、820.35（記録）、820.45（医療機器のラベリングおよび包装管理）に基づいています。21 CFR Parts 801, 803, 806, および 830 に変更はありません。以下では、旧 QSR の番号を参照しやすい索引としてのみ残し、それぞれに対応する現行の ISO 13485 条項を示しています。

主要な品質サブシステム（旧QSRの項目 → 現行のISO 13485:2016の条項）

旧QSRのセクション（2026年以前の歴史的なもの）	タイトル	QMSRにおける現行の根拠	主な内容
820.20	経営者の責任	ISO 13485 §5.1, 5.5, 5.6	品質方針、組織構造、マネジメントレビュー
820.30	設計管理	ISO 13485 §7.3	インプット、アウトプット、レビュー、検証、妥当性確認
820.40	文書管理	ISO 13485 §4.2.4	承認、配布、変更管理
820.50	購買管理	ISO 13485 §7.4	サプライヤーの適格性評価、購買データ
820.70	製造管理	ISO 13485 §6.3, 6.4, 7.5	プロセスの妥当性確認、環境管理
820.100	CAPA	ISO 13485 §8.5.2, 8.5.3	根本原因分析、是正処置
820.181	医療機器マスターレコード	ISO 13485 §4.2.3（医療機器ファイル）＋21 CFR 820.35	仕様、手順、合否判定基準

設計管理ワークフロー（ISO 13485 §7.3、旧QSR 820.30）

Step 1: Design Input
└── Capture user needs, intended use, regulatory requirements
    Verification: Inputs reviewed and approved?

Step 2: Design Output
└── Create specifications, drawings, software architecture
    Verification: Outputs traceable to inputs?

Step 3: Design Review
└── Conduct reviews at each phase milestone
    Verification: Review records with signatures?

Step 4: Design Verification
└── Perform testing against specifications
    Verification: All tests pass acceptance criteria?

Step 5: Design Validation
└── Confirm device meets user needs in actual use conditions
    Verification: Validation report approved?

Step 6: Design Transfer
└── Release to production with DMR complete
    Verification: Transfer checklist complete?

CAPAプロセス（ISO 13485 §8.5.2/8.5.3、旧QSR 820.100）

1. 特定：不適合または潜在的な問題を文書化します
2. 調査：根本原因分析（5 Whys、フィッシュボーン図）を実施します
3. 計画：是正処置／予防処置を定義します
4. 実施：処置を実行し、文書を更新します
5. 検証：実施が完了したことを確認します
6. 有効性確認：再発がないか監視します（30～90日）
7. 完了：経営陣の承認を得て終了します

参考： QMSR／ISO 13485:2016の条項との完全な対応表を含む、歴史的なQSR構造については、qsr_compliance_requirements.mdを参照してください。

---

医療機器に関するHIPAA

保護対象保健情報（PHI）を作成、保存、送信、またはアクセスする機器に適用されるHIPAA要件です。

適用対象

機器の種類	HIPAAの適用
単体型診断機器（データ送信なし）	いいえ
患者データを送信する接続機器	はい
EHRと連携する機器	はい
患者情報を保存するSaMD	はい
ウェルネスアプリ（診断なし）	PHIを保存する場合に限る

必要な保護措置

Administrative (§164.308)
├── Security officer designation
├── Risk analysis and management
├── Workforce training
├── Incident response procedures
└── Business associate agreements

Physical (§164.310)
├── Facility access controls
├── Workstation security
└── Device disposal procedures

Technical (§164.312)
├── Access control (unique IDs, auto-logoff)
├── Audit controls (logging)
├── Integrity controls (checksums, hashes)
├── Authentication (MFA recommended)
└── Transmission security (TLS 1.2+)

リスク評価の手順

1. ePHIを取り扱うすべてのシステムを棚卸しします
2. データフロー（収集、保存、送信）を文書化します
3. 脅威と脆弱性を特定します
4. 発生可能性と影響を評価します
5. リスクレベルを判定します
6. 管理策を導入します
7. 残留リスクを文書化します

参考： 実装チェックリストとBAAテンプレートについては、hipaa_compliance_framework.mdを参照してください。

---

医療機器のサイバーセキュリティ

接続型医療機器に関するFDAのサイバーセキュリティ要件です。

市販前要件

要素	説明
脅威モデル	STRIDE分析、攻撃ツリー、信頼境界
セキュリティ管理策	認証、暗号化、アクセス制御
SBOM	ソフトウェア部品表（CycloneDXまたはSPDX）
セキュリティテスト	ペネトレーションテスト、脆弱性スキャン
脆弱性対応計画	開示プロセス、パッチ管理

機器のティア分類

ティア1（高リスク）：

• ネットワーク／インターネットに接続する
• サイバーセキュリティインシデントによって患者に危害が及ぶ可能性がある

ティア2（標準リスク）：

• その他すべての接続機器

市販後の義務

1. NVDとICS-CERTで脆弱性を監視します
2. 機器のコンポーネントへの該当性を評価します
3. パッチを開発し、テストします
4. 顧客に連絡します
5. ガイダンスに従ってFDAに報告します

脆弱性の協調開示

Researcher Report
    ↓
Acknowledgment (48 hours)
    ↓
Initial Assessment (5 days)
    ↓
Fix Development
    ↓
Coordinated Public Disclosure

参考： SBOM形式の例と脅威モデリングのテンプレートについては、device_cybersecurity_guidance.mdを参照してください。

---

リソース

scripts/

スクリプト	目的
fda_submission_tracker.py	510(k)/PMA/De Novo の申請マイルストーンとタイムラインを追跡します
qsr_compliance_checker.py	ISO 13485:2016（QMSR）に対応づけた旧QSRチェックリストに基づいて、QMS文書を評価します
hipaa_risk_assessment.py	医療機器ソフトウェアにおけるHIPAAの保護措置を評価します

references/

ファイル	内容
fda_submission_guide.md	510(k)、De Novo、PMAの申請要件とチェックリスト
qsr_compliance_requirements.md	QMSR/ISO 13485:2016との対応づけを含む過去のQSR構成、実装テンプレート
hipaa_compliance_framework.md	HIPAAセキュリティルールの保護措置とBAA要件
device_cybersecurity_guidance.md	FDAのサイバーセキュリティ要件、SBOM、脅威モデリング
fda_capa_requirements.md	CAPAプロセス、根本原因分析、有効性の検証

使用例

# Track FDA submission status
python scripts/fda_submission_tracker.py /path/to/project --type 510k

# Assess QMS documentation (legacy QSR section keys, mapped to ISO 13485 under QMSR)
python scripts/qsr_compliance_checker.py /path/to/project --section 820.30  # legacy checklist key = ISO 13485 §7.3 (design & development)

# Run HIPAA risk assessment
python scripts/hipaa_risk_assessment.py /path/to/project --category technical