质量体系规范（QMSR，与 ISO 13485 协调）/ 电子记录与电子签名 / 唯一器械标识

核心适用范围

这三部分共同构成进入美国市场的医疗器械合规底座，但管的东西完全不同：

法规	管什么	对电子制造厂的含义
21 CFR 820（现为 QMSR）	质量体系要求	设计、采购、生产、检验、CAPA、投诉、记录全流程
21 CFR Part 11	电子记录与电子签名	MES、eQMS、LIMS 里的记录与审批是否可信
21 CFR 830 + GUDID	唯一器械标识	标签、包装、数据库登记

需要先理清一个常见误解：21 CFR 820 已修订为 QMSR（Quality Management System Regulation），取代原 QSR 文本，并与 ISO 13485 协调一致——它把 ISO 13485 纳入作为体系主体要求，同时保留美国特有的补充条款（例如记录、投诉档案与向 FDA 报告相关的要求）。这意味着通过 ISO 13485 认证是重要的基础，但不等于自动满足 QMSR，美国特有的部分仍要单独核对。

对代工厂（合同制造商）而言，责任边界取决于身份：如果以器械制造商的供应商身份供货，主要承担采购控制、生产过程控制、追溯与记录义务；如果承担器械成品的制造，则几乎完整的 QMSR 义务都会落到头上。这一点在质量协议里必须写清。

标准介绍

QMSR（21 CFR 820） 的结构围绕 ISO 13485 的过程展开：管理职责、资源管理、产品实现、测量分析与改进。美国补充部分主要集中在：

• 器械的记录要求（设计、生产、包装、标签、服务、投诉等记录的保存与可获取性）；
• 投诉接收、评价与档案，以及与 FDA 报告义务的衔接；
• 标签与包装控制，含 UDI 相关标识；
• 采购与供应商控制中，对"未按法规要求生产"的风险评估。

21 CFR Part 11 管的是"电子记录能不能替代纸质记录、电子签名能不能替代手签"。核心控制点：

控制点	要求
系统验证	证明系统按预期工作，有验证方案与报告
审核追踪（audit trail）	记录的创建、修改、删除可追溯，含谁、何时、为什么
权限控制	按角色分配权限，防止未授权修改
签名绑定	签名与对应记录不可分离，含姓名、日期时间、含义（审核 / 批准 / 复核）
记录保存与可读	保存期内可读、可导出、可提供给 FDA 检查
时间戳	系统时间受控，防止随意更改

UDI（21 CFR 830） 要求器械在标签与包装上载明唯一器械标识，由器械标识（DI）与生产标识（PI，含批号、序列号、有效期等）组成，并在 GUDID 数据库中登记。DI 通常通过发证机构申请获得，PI 由制造商按生产批次自行赋码。

应用的产品和场景

• 医疗电子 PCBA 代工：客户是器械制造商，工厂按 QMSR 的采购与生产控制要求供货，需提供过程记录、追溯与变更通知。
• 医疗整机 / 组件出口美国：涉及设计控制、风险管理、标签与 UDI 赋码、GUDID 登记。
• FDA 现场检查（inspection）准备：检查员按 QMSR 条款查记录，重点看 CAPA、投诉、设计变更、供应商控制。
• MES / eQMS / LIMS 上线：系统承载生产记录、检验记录、批放行与电子审批，必须满足 Part 11。
• 标签与包装线：UDI 码的赋码、校验、作废与重打，以及与 GUDID 数据的一致性。
• 返修与再制造：返修记录、UDI 是否变更、是否触发新的登记。
• 客户（器械制造商）二方审核：审核表通常直接引用 QMSR 条款，与 ISO 13485 审核表并用。

关键内容

1. 设计与变更控制：设计输入输出、评审、验证与确认、设计转换（design transfer）到生产。代工厂接收的图纸与规范变更，要有受控的转换与验证记录。
2. 采购控制：供应商评价、采购信息、来料验证；对关键件（影响安全有效的）要有更严的控制。
3. 生产与过程控制：过程确认（特殊过程）、环境控制、设备维护、人员培训、批记录。无菌、洁净、焊接、涂覆等特殊过程需要确认证据。
4. 追溯与UDI：从原材料批次到成品序列号的链路，UDI 的 DI / PI 与批记录对应。
5. CAPA 与投诉：投诉接收、评价、调查、CAPA 闭环，以及是否需要向 FDA 报告。
6. 记录保存：保存期限、存放地点、检索方式、电子记录的备份与迁移。
7. Part 11 的三件套：验证、审核追踪、权限与签名。三者缺一，电子记录在检查中就可能不被认可。
8. UDI 数据一致性：GUDID 登记信息与标签、包装、产品主数据必须一致，包装层级（单品 / 中盒 / 外箱）各自的 DI 要理清。

落地要点

1. 先做法规映射：把 QMSR 条款、ISO 13485 条款、本厂程序文件做成三列对照表，找出美国补充条款的缺口。
2. Part 11 从系统上线前管：验证方案、权限矩阵、审核追踪配置、签名含义定义，在 IQ / OQ / PQ 阶段就固化，别等检查前补。
3. 审核追踪要能读：不仅要"有记录"，还要能导出、能看懂、能对应到具体记录。
4. UDI 赋码做防错：扫码校验、重复码拦截、作废流程、重打审批；标签作废不清是常见不符合。
5. 批记录设计成一条链：物料批次、工艺参数、检验结果、放行人、UDI 码，一个批次号串起来。
6. 变更通知写进质量协议：工艺、材料、软件、场地变更的通知时限与再验证责任，与客户提前约定。
7. 模拟检查：每年做一次内部"FDA 式"检查，按条款抽记录，比自查表有效。

常见坑

• 以为 ISO 13485 证书就够了：QMSR 的美国补充条款没覆盖，检查时照样开问题。
• Part 11 只买软件不做验证：系统有审核追踪功能，但从未验证、权限全开。
• 审核追踪可编辑：管理员能改历史记录，等于没有追踪。
• 电子签名无含义：只记录"某人点了通过"，没写是审核还是批准。
• UDI 与 GUDID 不一致：标签改了，数据库没更新；或包装层级 DI 混用。
• 记录保存期限拍脑袋：按公司习惯定，没按器械寿命与法规要求评估。
• 投诉与 CAPA 脱节：投诉记了，没做趋势分析，也没触发 CAPA。
• 代工边界不清：谁负责设计变更、谁负责 UDI 登记，质量协议里没写，出事互相推。