fda-consultant-specialist

FDA 顾问专家

为医疗器械制造商提供 FDA 法规咨询，涵盖申报途径、质量体系法规（QSR）、HIPAA 合规性和器械网络安全要求。

目录

• FDA 申报途径选择
• 510(k) 申报流程
• QSR 合规性
• 医疗器械的 HIPAA
• 器械网络安全
• 资源

---

先明确信息

在选择申报途径或评估合规性之前，请先确认以下信息。如果某项信息缺失或含糊不清，且会影响结果，请询问；如果不会影响结果，则采用合理的默认值，并说明所采用的默认值。

• 器械类别和对比器械： I/II/III 类，以及是否存在对比器械（这决定采用 510(k)、De Novo 还是 PMA）。
• 预期用途 / 适应症： 器械声称的用途及其使用环境（决定实质等同性论证和临床证据需求）。
• 软件 / AI 属性： SaMD、需要 PCCP 的自适应 AI，或联网器械（网络安全 / SBOM）（会改变所需的文档集）。

只询问本次请求中最重要的两三项信息，而不是列出全部问题。如果用户希望立即得到结果，请直接给出结果，并在开头说明你的假设。

FDA 申报途径选择

根据器械分类和对比器械是否存在，确定合适的 FDA 监管申报途径。

决策框架

Predicate device exists?
├── YES → Substantially equivalent?
│   ├── YES → 510(k) Pathway
│   │   ├── No design changes → Abbreviated 510(k)
│   │   ├── Manufacturing only → Special 510(k)
│   │   └── Design/performance → Traditional 510(k)
│   └── NO → PMA or De Novo
└── NO → Novel device?
    ├── Low-to-moderate risk → De Novo
    └── High risk (Class III) → PMA

申报途径对比

申报途径	适用情形	时间	费用
传统 510(k)	存在对比器械，且设计发生变更	90 天	$21,760
特别 510(k)	仅制造过程发生变更	30 天	$21,760
简化 510(k)	符合指南 / 标准	30 天	$21,760
De Novo	新颖、低至中等风险	150 天	$134,676
PMA	III 类，不存在对比器械	180 天以上	$425,000+

预提交策略

1. 确定产品代码和分类
2. 在 510(k) 数据库中搜索对比器械
3. 评估实质等同性的可行性
4. 准备提交给 FDA 的 Q-Sub 问题
5. 如有需要，安排 Pre-Sub 会议

参考： 有关申报途径决策矩阵和申报要求，请参阅 fda_submission_guide.md。

---

510(k) 申报流程

工作流

Phase 1: Planning
├── Step 1: Identify predicate device(s)
├── Step 2: Compare intended use and technology
├── Step 3: Determine testing requirements
└── Checkpoint: SE argument feasible?

Phase 2: Preparation
├── Step 4: Complete performance testing
├── Step 5: Prepare device description
├── Step 6: Document SE comparison
├── Step 7: Finalize labeling
└── Checkpoint: All required sections complete?

Phase 3: Submission
├── Step 8: Assemble submission package
├── Step 9: Submit via eSTAR
├── Step 10: Track acknowledgment
└── Checkpoint: Submission accepted?

Phase 4: Review
├── Step 11: Monitor review status
├── Step 12: Respond to AI requests
├── Step 13: Receive decision
└── Verification: SE letter received?

必需章节（21 CFR 807.87）

章节	内容
附信	申报类型、器械 ID、联系信息
表格 3514	CDRH 上市前审查封面
器械说明	物理描述、工作原理
适应症	表格 3881、患者人群、使用环境
实质等同性（SE）对比	与对比器械的逐项对比
性能测试	台架、生物相容性、电气安全
软件文档	关注级别、危害分析（IEC 62304）
标签	IFU、包装标签、警告
510(k) 摘要	申报内容的公开摘要

常见 RTA 问题

问题	预防措施
缺少用户费用	提交前确认付款
表格 3514 未填写完整	检查所有字段并确保已签名
未确定对比器械	在 FDA 数据库中确认 K 编号
SE 对比不充分	涵盖所有技术特征

---

QSR 合规性

医疗器械制造商需满足质量体系法规（21 CFR Part 820）的要求。

关键子系统

章节	标题	重点
820.20	管理职责	质量方针、组织结构、管理评审
820.30	设计控制	输入、输出、评审、验证、确认
820.40	文件控制	批准、分发、变更控制
820.50	采购控制	供应商资格审核、采购数据
820.70	生产控制	过程确认、环境控制
820.100	CAPA	根本原因分析、纠正措施
820.181	器械主记录	规格、程序、验收标准

设计控制工作流（820.30）

Step 1: Design Input
└── Capture user needs, intended use, regulatory requirements
    Verification: Inputs reviewed and approved?

Step 2: Design Output
└── Create specifications, drawings, software architecture
    Verification: Outputs traceable to inputs?

Step 3: Design Review
└── Conduct reviews at each phase milestone
    Verification: Review records with signatures?

Step 4: Design Verification
└── Perform testing against specifications
    Verification: All tests pass acceptance criteria?

Step 5: Design Validation
└── Confirm device meets user needs in actual use conditions
    Verification: Validation report approved?

Step 6: Design Transfer
└── Release to production with DMR complete
    Verification: Transfer checklist complete?

CAPA 流程（820.100）

1. 识别：记录不合格项或潜在问题
2. 调查：进行根本原因分析（5 Whys、鱼骨图）
3. 计划：定义纠正/预防措施
4. 实施：执行措施，更新文档
5. 验证：确认已完成实施
6. 有效性：监测是否复发（30-90 天）
7. 关闭：获得管理层批准并关闭

**参考：**有关详细的 QSR 实施指南，请参阅 qsr_compliance_requirements.md。

---

医疗器械的 HIPAA 要求

适用于创建、存储、传输或访问受保护健康信息（PHI）的器械的 HIPAA 要求。

适用性

器械类型	是否适用 HIPAA
独立诊断器械（不传输数据）	否
传输患者数据的联网器械	是
与 EHR 集成的器械	是
存储患者信息的 SaMD	是
健康应用（不用于诊断）	仅在存储 PHI 时适用

必需的保障措施

Administrative (§164.308)
├── Security officer designation
├── Risk analysis and management
├── Workforce training
├── Incident response procedures
└── Business associate agreements

Physical (§164.310)
├── Facility access controls
├── Workstation security
└── Device disposal procedures

Technical (§164.312)
├── Access control (unique IDs, auto-logoff)
├── Audit controls (logging)
├── Integrity controls (checksums, hashes)
├── Authentication (MFA recommended)
└── Transmission security (TLS 1.2+)

风险评估步骤

1. 清点所有处理 ePHI 的系统
2. 记录数据流（收集、存储、传输）
3. 识别威胁和漏洞
4. 评估可能性和影响
5. 确定风险等级
6. 实施控制措施
7. 记录剩余风险

**参考：**有关实施检查清单和 BAA 模板，请参阅 hipaa_compliance_framework.md。

---

器械网络安全

FDA 对联网医疗器械的网络安全要求。

上市前要求

要素	描述
威胁模型	STRIDE 分析、攻击树、信任边界
安全控制	身份验证、加密、访问控制
SBOM	软件物料清单（CycloneDX 或 SPDX）
安全测试	渗透测试、漏洞扫描
漏洞计划	披露流程、补丁管理

器械等级分类

Tier 1（较高风险）：

• 连接到网络/互联网
• 网络安全事件可能导致患者受伤

Tier 2（标准风险）：

• 其他所有联网器械

上市后义务

1. 监控 NVD 和 ICS-CERT，查找漏洞
2. 评估漏洞是否适用于器械组件
3. 开发并测试补丁
4. 与客户沟通
5. 根据指南向 FDA 报告

协调漏洞披露

Researcher Report
    ↓
Acknowledgment (48 hours)
    ↓
Initial Assessment (5 days)
    ↓
Fix Development
    ↓
Coordinated Public Disclosure

**参考：**有关 SBOM 格式示例和威胁建模模板，请参阅 device_cybersecurity_guidance.md。

---

资源

scripts/

脚本	用途
fda_submission_tracker.py	跟踪 510(k)/PMA/De Novo 提交里程碑和时间线
qsr_compliance_checker.py	根据项目文档评估是否符合 21 CFR 820
hipaa_risk_assessment.py	评估医疗器械软件中的 HIPAA 保障措施

references/

文件	内容
fda_submission_guide.md	510(k)、De Novo、PMA 提交要求和检查清单
qsr_compliance_requirements.md	21 CFR 820 实施指南及模板
hipaa_compliance_framework.md	HIPAA 安全规则保障措施和 BAA 要求
device_cybersecurity_guidance.md	FDA 网络安全要求、SBOM、威胁建模
fda_capa_requirements.md	CAPA 流程、根本原因分析、有效性验证

使用示例

# Track FDA submission status
python scripts/fda_submission_tracker.py /path/to/project --type 510k

# Assess QSR compliance
python scripts/qsr_compliance_checker.py /path/to/project --section 820.30

# Run HIPAA risk assessment
python scripts/hipaa_risk_assessment.py /path/to/project --category technical

---

FDA QMSR — 质量管理体系法规

从 QSR（21 CFR 820）过渡到 QMSR

FDA 于 2024 年 1 月最终确定了质量管理体系法规（QMSR），以与 ISO 13485:2016 保持一致，取代旧版质量体系法规（QSR）。该法规于 2026 年 2 月 2 日 生效。

方面	旧版 QSR（21 CFR 820）	QMSR（2026 年 2 月生效）
框架	FDA 特定的规范性要求	通过引用纳入 ISO 13485:2016
设计控制	820.30（FDA 特定）	ISO 13485 第 7.3 条
CAPA	820.100	ISO 13485 第 8.5 条
文件控制	820.40	ISO 13485 第 4.2 条
管理职责	820.20	ISO 13485 第 5 条
采购控制	820.50	ISO 13485 第 7.4 条

QMSR 的主要差异：

• 通过引用纳入 ISO 13485:2016，作为主要 QMS 标准
• FDA 保留了 ISO 13485 未涵盖的某些器械专属要求（例如，根据 21 CFR 820.198 进行投诉处理）
• 已获得 ISO 13485 认证的组织已占据显著先机
• QMS 无需单独进行 FDA 注册——单一体系同时满足 ISO 和 FDA 要求

QMSR 过渡检查清单

• 差距分析：ISO 13485:2016 与当前 QSR 合规情况对比
• 更新质量手册，参照 ISO 13485 条款结构
• 将现有 SOP 映射到 ISO 13485 条款
• 处理 FDA 特定的保留要求（投诉处理、MDR 报告）
• 培训员工掌握 ISO 13485 术语和结构
• 更新供应商协议，参照新的监管框架
• 根据 QMSR 要求开展内部审核
• 按 ISO 13485 第 7.3 条格式更新设计历史文件

---

基于 AI/ML 的软件医疗器械（SaMD）

FDA AI/ML SaMD 框架

类别	描述	FDA 途径
锁定算法	部署后算法不会发生变化	标准 510(k)/De Novo/PMA
自适应算法（PCCP）	算法会在使用过程中学习并变化	预定变更控制计划
持续学习	根据新数据实时适应	逐案处理；需要 PCCP

AI/ML SaMD 提交要求

AI/ML SaMD Submission Package
├── Algorithm description and architecture
├── Training data characterization
│   ├── Data sources and collection methods
│   ├── Demographics and representativeness
│   ├── Data quality and labeling methodology
│   └── Training/validation/test split rationale
├── Performance evaluation
│   ├── Pre-specified performance goals
│   ├── Standalone performance metrics (sensitivity, specificity, AUC)
│   ├── Subgroup analysis (age, sex, race, site)
│   └── Real-world performance data (if available)
├── Reference standard justification
├── Predetermined Change Control Plan (if adaptive)
├── Human factors / user interface
├── Cybersecurity documentation
└── Software documentation per IEC 62304

良好机器学习实践（GMLP）原则

1. 在产品生命周期内运用多学科专业知识
2. 遵循良好的软件工程和安全实践
3. 使用具有代表性的训练和测试数据集
4. 使用独立于训练数据的测试数据集
5. 使用基于最佳可用方法的参考数据集
6. 根据可用数据和预期用途定制模型设计
7. 重点关注人类-AI 团队的表现
8. 通过临床研究测试证明真实世界性能
9. 向用户提供清晰、必要的信息
10. 监控已部署模型的性能，并管理再训练

---

AI/ML 器械的预定变更控制计划（PCCP）

PCCP 结构

章节	内容	证据
修改说明	算法将进行的变更类型	变更规范文件
修改规程	如何开发和测试变更	验证规程
影响评估	每种变更类型对安全性和有效性的影响	按变更类型进行的风险分析
性能监测	持续跟踪真实世界的性能	包含指标的监测计划
更新验证	如何在部署前验证每次更新	验证与确认计划
透明度	如何通知用户变更	沟通计划

PCCP 变更类别

类别	示例	验证级别
性能改进	使用额外数据重新训练模型	自动化测试 + 临床验证
输入适配	支持新的成像方式	完整的 V&V 周期
输出修改	新增风险类别或置信度级别	临床研究
架构变更	更新模型架构	新的申报（510(k)/PMA 补充申请）

---

增强的网络安全要求（PATCH Act）

PATCH Act（2023 年 3 月生效，并编入 FD&C Act §524B）要求：

要求	详情	证据
网络安全计划	提交用于监测、识别和处理漏洞的计划	上市前申报章节
SBOM	软件物料清单，包含商业、开源和现成组件	CycloneDX 或 SPDX 格式
补丁/更新能力	设计设备，使其在整个生命周期内都能应用补丁	架构文档
协调漏洞披露	建立并维护 CVD 流程	已发布的安全政策
上市后更新	在有合理依据的周期内提供补丁和更新	补丁管理计划

上市前申报的网络安全文档

Cybersecurity Premarket Package
├── Security risk assessment
│   ├── Threat model (STRIDE or equivalent)
│   ├── Security risk analysis per AAMI TIR57
│   └── Attack surface analysis
├── Security architecture
│   ├── Security controls implementation
│   ├── Cryptographic architecture
│   └── Network architecture and trust boundaries
├── SBOM (Software Bill of Materials)
│   ├── All software components (commercial, open-source, custom)
│   ├── Version information
│   └── Known vulnerability status
├── Security testing
│   ├── Static analysis (SAST)
│   ├── Dynamic analysis (DAST)
│   ├── Penetration testing report
│   ├── Fuzz testing results
│   └── Vulnerability scanning results
├── Lifecycle security plan
│   ├── Patch management process
│   ├── End-of-life/end-of-support plan
│   └── Customer communication plan
└── Coordinated vulnerability disclosure policy

---

交叉参考：AI 医疗器械的 EU AI Act

在两个司法管辖区销售时，启用 AI 的医疗器械必须同时符合 FDA 要求和 EU AI Act：

方面	FDA 方法	EU AI Act 方法	协调策略
风险分类	SaMD 风险框架（IMDRF）	附件 III 高风险（医疗器械）	映射至两个框架；采用较高标准
透明度	标签要求	第 13 条透明度义务	统一的透明度文档
数据治理	GMLP 原则	第 10 条数据与数据治理	全面的数据质量计划
人工监督	按 IEC 62366 执行的人因工程	第 14 条人工监督	整合人因工程与监督设计
上市后	真实世界性能监测	第 72 条上市后监测	使用同一监测系统满足两者要求
技术文档	FDA 上市前申报	附件 IV 技术文档	统一的技术文件

另请参阅： ../mdr-745-specialist/SKILL.md，了解 AI/ML 医疗器械的 EU MDR 分类；以及 ../risk-management-specialist/SKILL.md，了解 AI 器械的 ISO 14971 风险管理。

---

更新后的 510(k) 电子申报要求（eSTAR）

eSTAR 强制要求

自 2023 年 10 月 1 日起，FDA 要求所有 510(k) 申报均使用 eSTAR 模板格式。不再接受纸质申报。

eSTAR 要求	详情
模板	FDA eSTAR 模板（可填写 PDF）
格式	结构化数据字段 + 附件
附件	PDF/A 格式、带书签、可进行 OCR 搜索
文件命名	必须遵循 FDA 命名规范
申报门户	CDRH Customer Collaboration Portal 或 FDA ESG
最大文件大小	每个文件不超过 100MB；总大小不限

eSTAR 章节映射

eSTAR 章节	内容	常见缺陷
行政事项	求职信、用户费用、真实准确声明	缺少签名、费用错误
器械描述	包含图像／示意图的完整器械描述	细节不足、缺少配件
实质等同性	对比器械比较表	比较标准不完整
性能测试	所有测试报告及摘要	缺少验收标准、方案不完整
软件	关注级别、危害分析、架构	IEC 62304 合规性过时
生物相容性	ISO 10993 评估或测试	缺少风险评估、接触分析不完整
无菌性	灭菌验证摘要	缺少再处理说明（可重复使用器械）
标签	器械标签、IFU、患者材料	不符合 21 CFR 801
EMC／电气安全	符合 IEC 60601-1	缺少专用标准
临床	临床数据摘要（如适用）	新适应症的临床证据不足

---

跨框架：FDA ↔ MDR ↔ ISO 13485 映射

流程领域	FDA（QMSR/QSR）	欧盟 MDR 2017/745	ISO 13485:2016
质量管理体系	21 CFR 820 / QMSR	Annex IX, Annex XI	Clause 4
管理职责	820.20 / ISO 13485 Cl. 5	Annex IX §2.2	Clause 5
设计控制	820.30 / ISO 13485 Cl. 7.3	Annex II §6.1, GSPR	Clause 7.3
文件控制	820.40 / ISO 13485 Cl. 4.2	Annex IX §2.3	Clause 4.2
采购	820.50 / ISO 13485 Cl. 7.4	Annex IX §2.4	Clause 7.4
生产	820.70 / ISO 13485 Cl. 7.5	Annex IX §2.5	Clause 7.5
CAPA	820.100 / ISO 13485 Cl. 8.5	Art. 83 (PMS), Art. 89 (FSCA)	Clause 8.5
风险管理	820.30(g) / ISO 14971	Annex I (GSPR), ISO 14971	Clause 7.1
临床证据	820.30(f) / 临床数据	Annex XIV (临床评价)	N/A（单独处理）
上市后	820.198 / MDR/MedWatch	Art. 83-86 (PMS), Art. 87-92 (警戒)	Clause 8.2.1-8.2.3
标签	21 CFR 801	Art. 10-13, Annex I Ch. III	N/A（单独处理）
UDI	21 CFR 830（FDA UDI）	Art. 27-29 (UDI-DI/PI)	N/A（单独处理）
网络安全	§524B FD&C（PATCH Act）	MDCG 2019-16	N/A（单独处理）
AI/ML 器械	AI/ML SaMD 框架 + PCCP	EU AI Act + MDR	ISO 13485 + ISO 42001

**交叉引用：**有关与 QMSR 保持一致的 ISO 13485 实施，请参见 ../quality-manager-qms-iso13485/SKILL.md；有关欧盟 MDR 技术文档要求，请参见 ../mdr-745-specialist/SKILL.md。

---

FDA 监管更新与跨框架集成

FDA QMSR — 质量管理体系法规

FDA 正通过质量管理体系法规（QMSR）使 21 CFR Part 820 与 ISO 13485:2016 保持一致，该法规将于 2026 年 2 月 2 日生效：

• **关键变化：**QSR（21 CFR 820）由 ISO 13485 取代，后者成为认可的质量体系标准
• **影响：**制造商必须遵守 ISO 13485:2016，而不是 QSR 特定要求
• **设计控制：**ISO 13485 第 7.3 条取代 820.30
• **CAPA：**ISO 13485 第 8.5 条取代 820.90/820.100
• **过渡：**FDA 在过渡期内同时接受 QSR 和 QMSR

基于 AI/ML 的医疗器械软件（SaMD）

• **预定变更控制计划（PCCP）：**适用于能够学习和适应的 AI/ML 器械
• **良好机器学习实践（GMLP）：**FDA 关于医疗器械中 AI/ML 的 10 项指导原则
• **透明度：**清晰标注基于 AI/ML 的功能及其局限性
• **真实世界性能：**上市后监测 AI 模型的性能漂移
• **交叉引用：**欧盟 AI Act 对 AI 医疗器械的要求，请参见 eu-ai-act-specialist

增强型网络安全要求（PATCH 法案）

• **上市前提交：**所有联网设备都必须提供网络安全文档
• **软件物料清单（SBOM）：**所有上市前提交都必须提供
• **协调漏洞披露：**所有联网设备制造商都必须制定相关政策
• **上市后补丁：**网络安全补丁可豁免 510(k) 要求
• **交叉参考：**技术网络安全检查请参阅 infrastructure-compliance-auditor

跨框架映射（FDA ↔ MDR ↔ ISO 13485）

领域	FDA（QSR/QMSR）	EU MDR 2017/745	ISO 13485:2016
设计控制	820.30 / QMSR	附录 II	条款 7.3
风险管理	820.30(g)	附录 I GSPR	ISO 14971
临床证据	820.30(f)	附录 XIV	条款 7.3.7
CAPA	820.90/100	第 83、89 条	条款 8.5
上市后	822，MDR	第 VII 章	条款 8.2.1
网络安全	FDA 指南	MDCG 2019-16	IEC 62443
AI/ML	PCCP 框架	EU AI Act	ISO 42001

---

故障排除

问题	可能原因	解决方案
510(k) 提交被退回，状态为 RTA（拒绝受理）	缺少用户费用、Form 3514 未填写完整、未确定对比器械，或 SE 对比不充分	根据 FDA 指南检查 RTA 清单；确认已付款、填写完整的 eSTAR 字段、在 FDA 数据库中确认 K-number，并在 SE 对比中涵盖所有技术特征
QSR 合规检查器显示设计控制（820.30）存在差距	设计历史文件（DHF）不完整，或未按照 QMSR 与 ISO 13485 条款 7.3 对齐	将现有 DHF 映射到 ISO 13485 条款 7.3 的结构；确保设计输入、输出、评审、验证和确认均已记录并具有可追溯性
HIPAA 风险评估的技术保障措施得分偏低	缺少静态或传输中加密、未实施 MFA，或未启用审计日志	实施静态 AES-256 加密、传输中 TLS 1.2+ 加密、为所有可访问 ePHI 的用户启用 MFA，并全面记录审计日志；运行 hipaa_risk_assessment.py 并使用 --category technical 进行验证
510(k) 审查期间收到 FDA AI 补充信息请求	性能测试不足、SE 论证不完整，或软件文档存在缺漏	在 180 天内回复；逐项具体回答问题；根据 IEC 62304 补充额外测试数据、临床证据或软件文档
QMSR 转换差距分析发现重大差异	组织的 QMS 以旧版 21 CFR 820 为基础，而非 ISO 13485	系统地进行差距分析，将 820 各小节映射到 ISO 13485 条款；优先处理投诉（FDA 保留的要求）、所有流程中基于风险的证据，以及质量手册更新
上市前提交中的网络安全文档被拒绝	SBOM 不完整、缺少威胁模型，或未发布协调漏洞披露政策	以 CycloneDX 或 SPDX 格式生成全面的 SBOM；根据 AAMI TIR57 完成 STRIDE 威胁模型；发布 CVD 政策；记录补丁管理生命周期计划
AI/ML SaMD 提交缺少预设变更控制计划	在没有 PCCP 框架的情况下部署了自适应算法	制定 PCCP，涵盖变更类型、验证方案、影响评估、性能监测和用户通知计划；列出全部四种变更类别，并设定适当的验证级别

---

成功标准

• 510(k) 申报首次提交即获受理——RTA 缺陷为零，所有 eSTAR 部分均已完成，用户费已核实，已确定对比器械，且 SE 对比涵盖所有技术特征
• QSR/QMSR 合规评分高于 85%——根据 qsr_compliance_checker.py 的测量结果，所有关键子章节（设计控制、CAPA、文档控制）均有实施证据
• 全面实施 HIPAA 技术保障措施——静态数据采用 AES-256 加密，传输数据采用 TLS 1.2+ 加密，强制启用 MFA、审计控制，并为所有处理 ePHI 的系统配置自动注销
• 达到 FDA 申报时间目标——传统 510(k) 在 90 天内完成，De Novo 在 150 天内完成，PMA 在 180 天内完成，并通过 fda_submission_tracker.py 里程碑跟踪
• 完成 QMSR 转换——质量手册参照 ISO 13485 条款结构，所有 SOP 均已映射，已处理 FDA 特定的保留要求，并已根据 QMSR 要求开展内部审计
• 完成所有联网器械的网络安全文档——上市前申报中包含 SBOM、威胁模型、安全测试报告、漏洞披露政策和补丁管理计划

---

范围与限制

范围内：

• FDA 监管路径选择（510(k)、De Novo、PMA），包括决策框架与比较
• 510(k) 申报流程，包括 eSTAR 要求、SE 对比和 RTA 预防
• 质量体系法规（21 CFR 820）和 QMSR（与 ISO 13485:2016 对齐）合规性评估
• 医疗器械软件的 HIPAA 安全规则保障措施评估
• 器械网络安全要求，包括 SBOM、威胁建模和 PATCH Act 合规性
• AI/ML SaMD 框架，包括 PCCP、GMLP 原则和训练数据特征描述
• FDA、EU MDR 和 ISO 13485 之间的跨框架映射

范围外：

• 准备或撰写实际的 FDA 申报文件——此技能提供框架和差距分析，不负责撰写文件
• PMA 临床数据的临床试验设计、执行或统计分析
• FDA 机构注册、器械列名或 UDI 系统实施
• 超出流程指导范围的上市后监督报告（MDR、MedWatch）
• De Novo 分类申请的科学审评准备
• 直接与 FDA 审评人员沟通，或协助召开上市前沟通（Q-Sub）会议

重要说明：

• QMSR 于 2026 年 2 月 2 日生效——所有制造商现在都必须遵守通过引用纳入的 ISO 13485:2016，以及 FDA 特定的保留要求
• 质量体系检查技术（QSIT）已撤销，并由符合《合规计划 7382.850》的更新检查程序取代
• 根据 QMSR，所有 QMS 流程现在都应采用基于风险的思维，而不只是设计控制

---

集成点

技能	集成内容	使用时机
quality-manager-qms-iso13485	符合 QMSR 的 ISO 13485 QMS 实施；流程管理和供应商资格认定	实施同时满足 ISO 13485 认证和 FDA QMSR 要求的 QMS 时
mdr-745-specialist	面向美国和欧盟双市场申报的跨框架映射；技术文档协调	医疗器械需要同时获得 FDA 许可/批准和 EU MDR CE 标志时
capa-officer	按照 ISO 13485 第 8.5 条管理 CAPA 流程（在 QMSR 下取代旧版 820.100）	在 FDA 质量体系内管理纠正和预防措施时
risk-management-specialist	将 ISO 14971 风险管理与设计控制和网络安全风险评估相结合	根据 820.30(g) 和 AAMI TIR57 为上市前申报开展风险分析时
eu-ai-act-specialist	面向在美国和欧盟均上市器械的跨辖区 AI/ML 合规	启用 AI 的医疗器械需要同时符合 FDA PCCP 框架和 EU AI Act 合格评定时
infrastructure-compliance-auditor	对互联器械安全控制进行技术网络安全验证	为上市前申报记录网络安全架构和 SBOM 时

---

工具参考

fda_submission_tracker.py

跟踪 FDA 申报里程碑，并计算 510(k)、De Novo 和 PMA 路径的监管时间线。

标志	必填	说明
<project_dir>	是	包含申报文件的项目目录路径
--type <pathway>	否	申报类型：510k（默认）、de_novo、pma、pma_supplement
--json	否	以 JSON 格式输出结果

输出： 里程碑跟踪及完成状态、与 FDA 审评目标对照的时间线计算、阶段进度（规划、准备、提交、审评、决策）以及逾期里程碑提醒。

qsr_compliance_checker.py

通过分析项目文档中的实施证据，评估其是否符合 21 CFR Part 820 / QMSR。

标志	必填	说明
<project_dir>	是	包含 QMS 文档的项目目录路径
--section <section>	否	检查特定 QSR 条款（例如，设计控制对应的 820.30，CAPA 对应的 820.100）
--json	否	以 JSON 格式输出结果

输出： 各条款的合规状态、发现的证据（文档模式和关键词匹配）、合规百分比、差距识别及所需证据说明。

hipaa_risk_assessment.py

评估医疗器械软件和互联器械是否具备 HIPAA 安全规则要求的保障措施。

标志	必填	说明
<project_dir>	是	用于评估的项目目录路径
--category <cat>	否	评估特定类别：administrative、physical、technical，或全部（默认）
--json	否	以 JSON 格式输出结果

输出： 行政（第 164.308 条）、物理（第 164.310 条）和技术（第 164.312 条）类别中各项保障措施的合规状态，并提供加权评分、证据检测和整改建议。