Pm Gamma Medical Compliance

医疗合规管理

医疗信息化产品处于严格监管环境下，PACS/RIS产品经理必须掌握NMPA医疗器械软件注册相关合规要求，确保产品变更合规、注册文档完备、DICOM标准持续符合。

一、NMPA软件变更类型判定

1.1 软件变更分类标准

根据 YY/T 0664 标准，软件变更分为三个级别：

1.2 高风险变更场景（必须合规评估）

├── 新增 AI 辅助诊断功能          → 可能触发三类器械重新注册
├── 修改图像重建/后处理核心算法    → 变更注册 + 性能测试报告
├── 新增患者数据传输接口           → 网络安全文档更新
├── 扩展至新影像模态（如核医学）   → 预期用途变更
└── 与第三方 AI 平台深度集成       → 独立软件组件评估

1.3 变更评估四步法

Step 1 — 功能变更梳理

• 列出本次变更涉及的所有功能模块
• 区分是否涉及临床决策支持功能
• 确认是否新增或修改数据处理算法

Step 2 — 法规条款对标

• 对照《医疗器械软件注册审查指导原则》
• 确认是否涉及说明书声称的适应症/科室
• 评估是否改变产品网络安全边界

Step 3 — 检测要求确认

• 是否需要注册检测（型检）
• 是否需要临床评价/临床试验
• 检测项目清单（性能、安全、EMC）

Step 4 — 文档更新清单

• 软件描述文档（SDD）更新章节
• 网络安全描述文档更新内容
• 说明书变更申请

1.4 变更评估检查表

□ 功能变更是否影响临床诊断结果？
□ 是否新增或修改了图像处理算法？
□ 是否扩展了支持的影像模态类型？
□ 是否改变了产品预期用途描述？
□ 是否涉及患者数据导出或传输功能？
□ 是否对接了未经注册的第三方组件？
□ 是否修改了与硬件设备的通信协议？
□ 产品说明书是否需要同步更新？

二、注册准备文件清单

2.1 基础注册文件（常备更新）

基础注册文件（常备更新）
  ├── 软件描述文档（SDD）
  │     ├── 软件架构描述
  │     ├── 核心功能模块说明
  │     ├── 数据流图
  │     └── 第三方组件清单（含版本号和开源协议）
  ├── 网络安全描述文档
  │     ├── 资产清单与威胁分析
  │     ├── 安全控制措施
  │     └── 漏洞管理程序
  ├── 软件版本控制文档
  │     ├── 版本命名规则
  │     ├── 变更历史记录
  │     └── 配置管理说明
  └── 剩余风险评估报告（ISO 14971）

2.2 三类器械附加文件

三类器械附加文件
  ├── 临床评价报告
  ├── 算法验证报告（含测试数据集说明）
  └── 上市后监督计划

2.3 文件版本管理规范

文件版本控制要求
  ├── 所有注册文件采用版本号管理（主版本.次版本.修订号）
  ├── 每次变更需更新文件版本号并记录变更说明
  ├── 历史版本文件需归档保存
  ├── 文件审批流程：起草 → 技术审核 → 法规审核 → 批准发布
  └── 关键文件（SDD、网络安全文档）需专人管理

2.4 注册申报注意事项

申报常见问题预防
  ├── 确保软件版本号在技术文件中一致
  ├── 第三方组件需提供购买/使用证明
  ├── 开源组件需提供License兼容性分析
  ├── 检测报告与注册申报资料版本一致
  └── 临床评价报告需覆盖全部适应症

三、DICOM一致性声明维护

3.1 触发更新场景

DICOM一致性声明更新触发条件
  ├── 新增支持的 SOP Class（如 SR/KOS/GSPS）
  ├── 修改现有 SOP Class 的必选 Tag 处理逻辑
  ├── 新增支持的影像设备品牌/型号
  └── 修改传输语法（Transfer Syntax）支持列表

3.2 SOP Class 风险分级

3.3 DICOM一致性声明更新流程

更新流程
  1. 研发列出变更的 DICOM 功能清单
  2. PD 确认对应 Conformance Statement 章节
  3. 专业 DICOM 工程师完成文档修订
  4. DICOM 验证工具（DCM4CHE/OsiriX）回归测试
  5. 文档版本同步至官网和注册文件

3.4 多模态兼容测试矩阵

影像模态兼容性测试要求（必须覆盖）
  ├── CT（螺旋/平扫/增强）
  ├── MR（多序列：T1/T2/DWI/MRCP）
  ├── DR/CR（数字放射摄影）
  ├── DSA（数字减影血管造影）
  ├── 超声（二维/彩超/三维）
  └── PET/CT、核医学（SPECT）

3.5 DICOM Tag 处理规范

Tag处理规则
  ├── 必选（Mandatory）Tag：必须支持且正确解析
  ├── 可选（Optional）Tag：按声明处理，不支持则忽略
  ├── 私有（Private）Tag：需与厂商协商确认含义
  └── 关键Tag示例：
        ├── 患者信息：(0010,0010) Patient Name
        ├── 检查信息：(0008,0020) Study Date
        ├── 影像数据：(7FE0,0010) Pixel Data
        └── 设备信息：(0008,0070) Manufacturer

四、等保2.0安全要求

4.1 等保三级（公立三甲医院标准配置）

安全要求清单
  ├── 身份认证：双因素认证/CA 证书
  ├── 访问控制：基于角色的权限模型（RBAC）
  ├── 安全审计：操作日志留存 ≥ 6 个月
  ├── 数据加密：传输层 TLS 1.2+，存储加密（含磁盘级）
  └── 入侵防范：异常访问检测与告警

4.2 PHI数据保护规范

患者隐私保护（PHI 处理规范）
  ├── 影像数据不得离开院区（私有化部署原则）
  ├── 科研数据导出须经患者信息脱敏（DICOM Tag 清洗）
  ├── 系统日志不得记录完整患者 ID
  └── API 接口调用须实施身份验证与权限校验

五、工具推荐

六、知识资源