fda-consultant-specialist

FDA 咨询专家

面向医疗器械制造商的 FDA 法规咨询，涵盖注册路径、质量管理体系法规（QMSR，21 CFR Part 820，原 QSR）、HIPAA 合规以及器械网络安全要求。

目录

• FDA 路径选择
• 510(k) 提交流程
• QMSR 合规（原 QSR）
• 医疗器械的 HIPAA 合规
• 器械网络安全
• 资源

---

FDA 路径选择

根据器械分类和对照器械的可用性，确定合适的 FDA 注册路径。

决策框架

Predicate device exists?
├── YES → Substantially equivalent?
│   ├── YES → 510(k) Pathway
│   │   ├── No design changes → Abbreviated 510(k)
│   │   ├── Manufacturing only → Special 510(k)
│   │   └── Design/performance → Traditional 510(k)
│   └── NO → PMA or De Novo
└── NO → Novel device?
    ├── Low-to-moderate risk → De Novo
    └── High risk (Class III) → PMA

路径对比

路径	适用场景	审查时限	用户费（FY2024）
510(k) 传统路径	存在对照器械，设计变更	90 天	$21,760（FY2024）
510(k) 特殊路径	仅涉及生产变更	30 天	$21,760（FY2024）
510(k) 简化路径	符合指南或标准	30 天	$21,760（FY2024）
De Novo	新型，低至中等风险	150 天	$134,676（FY2024）
PMA	III 类，无对照器械	180 天以上	$425,000+（FY2024）

用户费由 MDUFA 每年设定。编制预算前，请在 fda.gov（MDUFA 用户费用表）核实当前财年费用；小企业费率有所不同。

提交前策略

1. 确定产品代码和分类
2. 在 510(k) 数据库中检索对照器械
3. 评估实质等同的可行性
4. 准备提交给 FDA 的 Q-Sub 问题
5. 如有需要，安排预提交会议

参考： 有关路径决策矩阵和提交要求，请参阅 fda_submission_guide.md。

---

510(k) 提交流程

工作流

Phase 1: Planning
├── Step 1: Identify predicate device(s)
├── Step 2: Compare intended use and technology
├── Step 3: Determine testing requirements
└── Checkpoint: SE argument feasible?

Phase 2: Preparation
├── Step 4: Complete performance testing
├── Step 5: Prepare device description
├── Step 6: Document SE comparison
├── Step 7: Finalize labeling
└── Checkpoint: All required sections complete?

Phase 3: Submission
├── Step 8: Assemble submission package
├── Step 9: Submit via eSTAR
├── Step 10: Track acknowledgment
└── Checkpoint: Submission accepted?

Phase 4: Review
├── Step 11: Monitor review status
├── Step 12: Respond to AI requests
├── Step 13: Receive decision
└── Verification: SE letter received?

必需章节（21 CFR 807.87）

章节	内容
求助信	提交类型、器械 ID、联系信息
Form 3514	CDRH 上市前审查封面页
器械描述	物理描述、工作原理
适应症	Form 3881、患者人群、使用环境
SE 对比	与对照器械的并排对比
性能测试	台架测试、生物相容性、电气安全
软件文档	关注级别、危害分析（IEC 62304）
标签	IFU、包装标签、警示信息
510(k) 摘要	提交内容的公开摘要

常见 RTA 问题

问题	预防措施
缺少用户费	提交前核实已完成缴费
Form 3514 不完整	检查所有字段，确保已签名
未确定对照器械	在 FDA 数据库中确认 K 编号
SE 对比不充分	涵盖全部技术特征

---

QMSR 合规（原 QSR）

21 CFR Part 820 下医疗器械制造商的质量管理体系法规（QMSR）要求。

QMSR 过渡（生效日期 2026-02-02）： FDA 的 QMSR 最终规则（89 FR 7496）修订了 21 CFR Part 820，以引用方式纳入 ISO 13485:2016，并删除了原 QSR 的子条款结构（820.20–820.198）。这些子条款编号属于历史编号，在 CFR 中已不存在；相应要求现由 ISO 13485:2016 条款，以及保留或重新编号的第 820.10 条（要求，包括 ISO 13485 的纳入）、第 820.35 条（记录）和第 820.45 条（器械标签和包装控制）共同承担。21 CFR 第 801、803、806 和 830 部分未作修改。下文保留的原 QSR 编号仅作为熟悉的索引，并各自对应其现行的 ISO 13485 条款。

关键质量子体系（旧版 QSR 索引 → 现行 ISO 13485:2016 条款）

旧版 QSR 章节（历史，2026 年前）	标题	QMSR 下的现行依据	重点
820.20	管理职责	ISO 13485 §5.1、5.5、5.6	质量方针、组织结构、管理评审
820.30	设计控制	ISO 13485 §7.3	输入、输出、评审、验证、确认
820.40	文件控制	ISO 13485 §4.2.4	批准、分发、变更控制
820.50	采购控制	ISO 13485 §7.4	供应商资质、采购资料
820.70	生产控制	ISO 13485 §6.3、6.4、7.5	过程确认、环境控制
820.100	CAPA	ISO 13485 §8.5.2、8.5.3	根本原因分析、纠正措施
820.181	器械主记录	ISO 13485 §4.2.3（医疗器械文档）+ 21 CFR 820.35	规范、程序、验收标准

设计控制工作流（ISO 13485 §7.3；旧版 QSR 820.30）

Step 1: Design Input
└── Capture user needs, intended use, regulatory requirements
    Verification: Inputs reviewed and approved?

Step 2: Design Output
└── Create specifications, drawings, software architecture
    Verification: Outputs traceable to inputs?

Step 3: Design Review
└── Conduct reviews at each phase milestone
    Verification: Review records with signatures?

Step 4: Design Verification
└── Perform testing against specifications
    Verification: All tests pass acceptance criteria?

Step 5: Design Validation
└── Confirm device meets user needs in actual use conditions
    Verification: Validation report approved?

Step 6: Design Transfer
└── Release to production with DMR complete
    Verification: Transfer checklist complete?

CAPA 流程（ISO 13485 §8.5.2/8.5.3；旧版 QSR 820.100）

1. 识别：记录不符合项或潜在问题
2. 调查：开展根本原因分析（5 Whys、鱼骨图）
3. 计划：确定纠正/预防措施
4. 实施：执行措施，更新文件
5. 验证：确认措施已完整实施
6. 有效性：监测是否再次发生（30–90 天）
7. 关闭：管理层批准并关闭

参考： 历史 QSR 结构及完整的 QMSR/ISO 13485:2016 条款对照，请参阅 qsr_compliance_requirements.md。

---

医疗器械的 HIPAA 要求

适用于创建、存储、传输或访问受保护健康信息（PHI）的器械的 HIPAA 要求。

适用范围

器械类型	是否适用 HIPAA
独立诊断设备（无数据传输）	否
传输患者数据的联网器械	是
与 EHR 集成的器械	是
存储患者信息的 SaMD	是
健康类应用（不做诊断）	仅当存储 PHI 时适用

必要的保障措施

Administrative (§164.308)
├── Security officer designation
├── Risk analysis and management
├── Workforce training
├── Incident response procedures
└── Business associate agreements

Physical (§164.310)
├── Facility access controls
├── Workstation security
└── Device disposal procedures

Technical (§164.312)
├── Access control (unique IDs, auto-logoff)
├── Audit controls (logging)
├── Integrity controls (checksums, hashes)
├── Authentication (MFA recommended)
└── Transmission security (TLS 1.2+)

风险评估步骤

1. 盘点所有处理 ePHI 的系统
2. 记录数据流（收集、存储、传输）
3. 识别威胁和脆弱性
4. 评估可能性和影响
5. 确定风险等级
6. 实施控制措施
7. 记录剩余风险

参考： 实施检查清单和 BAA 模板，请参阅 hipaa_compliance_framework.md。

---

器械网络安全

适用于联网医疗器械的 FDA 网络安全要求。

上市前要求

要素	描述
威胁模型	STRIDE 分析、攻击树、信任边界
安全控制	身份认证、加密、访问控制
SBOM	软件物料清单（CycloneDX 或 SPDX）
安全测试	渗透测试、漏洞扫描
漏洞计划	披露流程、补丁管理

器械等级划分

一级（较高风险）：

• 连接网络/互联网
• 网络安全事件可能造成患者伤害

二级（标准风险）：

• 所有其他联网器械

上市后义务

1. 监测 NVD 和 ICS-CERT 的漏洞信息
2. 评估其对器械组件的适用性
3. 开发并测试补丁
4. 与客户沟通
5. 按指南向 FDA 报告

协调漏洞披露

Researcher Report
    ↓
Acknowledgment (48 hours)
    ↓
Initial Assessment (5 days)
    ↓
Fix Development
    ↓
Coordinated Public Disclosure

参考： SBOM 格式示例和威胁建模模板，请参阅 device_cybersecurity_guidance.md。

---

资源

scripts/

Script	Purpose
fda_submission_tracker.py	跟踪 510(k)/PMA/De Novo 提交的里程碑和时间表
qsr_compliance_checker.py	依据映射到 ISO 13485:2016（QMSR）的旧版 QSR 检查清单，评估 QMS 文档
hipaa_risk_assessment.py	评估医疗器械软件中的 HIPAA 保障措施

references/

File	Content
fda_submission_guide.md	510(k)、De Novo、PMA 提交要求和检查清单
qsr_compliance_requirements.md	历史 QSR 结构及其与 QMSR/ISO 13485:2016 的映射，实施模板
hipaa_compliance_framework.md	HIPAA 安全规则保障措施和 BAA 要求
device_cybersecurity_guidance.md	FDA 网络安全要求、SBOM、威胁建模
fda_capa_requirements.md	CAPA 流程、根本原因分析、有效性验证

Usage Examples

# Track FDA submission status
python scripts/fda_submission_tracker.py /path/to/project --type 510k

# Assess QMS documentation (legacy QSR section keys, mapped to ISO 13485 under QMSR)
python scripts/qsr_compliance_checker.py /path/to/project --section 820.30  # legacy checklist key = ISO 13485 §7.3 (design & development)

# Run HIPAA risk assessment
python scripts/hipaa_risk_assessment.py /path/to/project --category technical