FDA Draft Guidance_Computer Software Assurance for Production and Quality System Software (2022 年 9 月 13 日) Appendix A 参考対訳
2023 年 8 月 8 日 医療機器 QMS コンサルタント 矢部久雄

Appendix A. Examples
The examples in this section outline possible application of the principles in this draft guidance to various software assurance 605 situations cases.
このセクションの例は、さまざまなソフトウェア アシュアランスのケースに対するこのドラフト ガイダンスの原則の可能な適用の概要を示しています。

Example 1: Nonconformance Management System
A manufacturer has purchased COTS software for automating their nonconformance process and is applying a risk-based approach for computer software
assurance in its implementation. The software is intended to manage the nonconformance process electronically. The following features, functions, or operations
were considered by the manufacturer in developing a risk-based assurance strategy:
製造業者は、不適合プロセスを自動化するために COTS ソフトウェアを購入し、その実装におけるコンピューター ソフトウェア保証のためにリスクベースのアプ
ローチを適用しています。 このソフトウェアは、不適合プロセスを電子的に管理することを目的としています。 以下の特徴、機能、または操作は、リスクベースの保証戦略を開発する際に製造業者によって考慮されました。
Table 2. Computer Software Assurance Example for a Nonconformance Management System
Features, Functions, orIntended Use of the

Operations

Features, Functions or

Risk-Based Analysis

Assurance Activities

Establishing theappropriate record

Operations
Nonconformance(NC)

The intended uses of the

Failure of the NC initiation

The

operations are to manage theoperation

toperform

asperformed an assessment of

documents:

workflowtheintended

may

delay

the

the

· the intended use

results in the creation of an

nonconformance and to error-

initiation

workflow,butsupplier

NC record.

proof

would not result in a quality

installation· The necessary data for

facilitate the work and aproblem

foreseeably

addition, the manufacturer

features,initiation are recorded priorcomplete

qualityrecord.

compromises safety, as the

supplements these activities

operations tested

to

These

operationsaremanufacturer has additionalwith exploratory testing of· the testing objectives and if

intendedtoprocesses

the operations. High level

they passed or failed

Initiation Operations:·

A nonconforming

completion

initiation task.

of

an

event

NC

of

the

workflowtosupplement

that

in

place

for

manufacturer
systemhas

capability,

evaluation,
activities.

and
In

The

manufacturer· risk determination,· summary description of thefunctions,· An NC Owner is assigned

processes established by thecontainment

prior to completion of the NC

manufacturer

forconforming product. As such,initiation task.

containment

non-

of

conforming product.

of

non-

objectives

fortestingare· any issues found and theirestablished

to

meet

the

disposition

the manufacturer determined

intended

use

and

no

·

the NC initiation operations

unanticipated failures occur.

aconcluding

statement

noting that the performancedid not pose a high processof the operation is acceptable

risk.

·

the

date

performed,

testing

was

and

who

performed the testing.
Electronic

Signature

The intended use of the

If the electronic signature

The

Function:

electronic signature function

function

performed an assessment of

documents:· The electronic signature

is to capture and store an

perform as intended, thenthe

· the intended use

execution record is stored aselectronic signature where a

production or quality system

supplier

part of the audit trail.

signature is required andrecords

installation· The electronic signature

such

meets

appropriate approval or beprovide assurance that the· any issues found and theiremploysrequirements for electronic

sufficiently auditable, or may

function

disposition

signatures.

fail to meet other regulatory

applicable requirements, the·a login and password.

requirements. However, suchmanufacturer performs ad-

noting that the performance

·

a

two

distinct

identification components of
When

an

electronic

that

it

were

may

to

fail

not

to

reflect

manufacturer
systemhas

capability,

evaluation,
activities.
compliesThe

manufacturer

and· risk determinationTo· testing performed

with

a

concluding

statement

failure

would

not

hoc testing of this functionof the function is acceptablesignature is executed, theforeseeably

lead

to

with users to demonstrate the·following information is partcompromised safety. As such,function meets the intended

performedof the execution record:

the manufacturer determineduse.

performed the testing.

o The name of the person whothat this function does not

signs the record

pose high process risk.

o The date (DD-MMYYYY)
and

time

(hh:mm)thesignature was executed.
o The meaning associatedwith the signature (such as

the

date

testing

was

and

who

review,

approval,

responsibility, or authorship).
Product

Containment

This function is intended to

Failure of the function to

The

Function:trigger

perform as intended would

performed an assessment of

documents:· When a nonconformance isevaluation

resultthe· the intended use

initiated for product outside

decisionmaking on whether acorrection or removal not

supplierof the manufacturer’s control,

product correction or removal

being initiated, resulting in a

installation activities. Since·

then the system prompts theisqualitythatthe manufacturer determineddeveloped

user to identify if a productnonconformance occurred inforeseeablycompromises

the function to pose high· detailed report of the testingcorrection

product

safety.

manufacturer

process

performedorremovalneeded.

isthenecessaryandneeded

when

that

has

the
been

distributed.

innecessary

problemThe

therefore
thisadeterminedfunctionposesmanufacturer
systemrisk,

manufacturer

highassurance

process risk.

capability,

evaluation,

that

has

and

the

determined
activities

commensurate
medicalwith

deviceestablishedaThe

manufacturer· risk determination
detailed

test

protocol· pass/fail results for each test
case

the

· any issues found and theirrisk:

disposition

detailed·aconcluding

statement

scripted test protocol that

noting that the performance

exercisesthepossibleof the operation is acceptableinteractions

andpotential

·

the

date

testing

was

and

who

ways the function could fail.

performed

The testing also included

performed the testing

appropriate· the signature and date of therepeatability

testing in various scenarios toappropriate

provide assurance that theauthority.

signatory

function works reliably.
特徴、機能または操作

特徴、機能または操作の使用

リスクベースの分析

保証活動

NC 開始操作が意図したとおメーカーは、システム機能の評

適切な記録の確立

目的
不適合 (NC) 開始操作:

操作の使用目的は、不適合のワメーカーの文書:

· 不適合イベントにより、NCークフローを管理し、ワークフ

りに実行されない場合、開始ワ

価、サプライヤーの評価、およ· 使用目的レコードが作成されます。

ローのエラーを防止して、作業ークフローが遅れる可能性がび設置作業を実施しました。

· リスク決定、· NC 開始タスクの完了前に、 と完全な品質記録を促進するありますが、製造業者は不適合

さらに、製造業者はこれらの活· テストされた特徴、機能、操開始に必要なデータが記録さことです。 これらの操作は、製品を封じ込めるための追加

動を操作の探索的テストで補作の概要説明れます。

不適合製品の封じ込めのためプロセスを実施しているため、 足します。 テストの高レベル· テストの目的と合格または· NC 所有者は、NC 開始タスに製造業者によって確立され安全性を損なう品質問題は発の目標は、使用目的を満たすよ

不合格

クの完了前に割り当てられまたプロセスを補足することを生しません。 そのため、メー

うに確立されており、予期しな· 見つかった問題とその処置す。

目的としています。

カーは、NC 開始操作が高いプ

い障害は発生しません。

· 操作のパフォーマンスが許ロセス リスクをもたらさない

容できることを示す結論文と判断しました。

· テストが実施された日付、およびテストを実施した人。

電子署名機能:電子署名機能の使用目的は、署電子署名機能が意図したとおメーカーは、システム機能の評

メーカーの文書:・電子署名の実行記録は、監査名が必要な場合に電子署名をりに実行されなかった場合、生価、サプライヤーの評価、およ· 使用目的証跡の一部として保存されま取得して保存し、電子署名の要産または品質システムの記録

び設置作業を実施しました。

· リスク判定す。

件を満たすことです。

は適切な承認を反映していな機能が適用される要件に準拠·実施された試験· 電子署名は、ログインとパス

いか、十分に監査可能でない

していることを保証するため· 見つかった問題とその処置

ワードという 2 つの異なる識か、または他の規制要件を満たに、製造業者は、ユーザーを対· 機能の性能が許容できるこ

別コンポーネントを使用しましていない可能性があります。 象にこの機能のアドホック テとを示す結論文す。

しかし、そのような失敗が予見ストを実施し、機能が意図した· テストが実行された日付と· 電子署名が実行されると、次できるほど、安全性が損なわれ用途を満たしていることを実

テストを実行した人。

の情報が実行記録の一部になることはありません。 そのた

証します。

ります。

め、メーカーは、この機能が高o 記録に署名した人の名前

いプロセス リスクをもたらさ

o 署名が実行された日付ないと判断しました。

(DD-MMYYYY)と 時 刻(hh:mm)。
o 署名に関連付けられた意味(レビュー、承認、責任、作成者

など)。
製品封じ込め機能:

この機能は、流通した製品に不機能が意図したとおりに実行メーカーは、システム機能の評

メーカーの文書:· メーカーの管理外で製品の適合が発生した場合に、製品のされない場合、必要な修正また価、サプライヤーの評価、およ· 使用目的

不適合が開始された場合、シス

修正または削除が必要かどうは削除が開始されず、安全性がび設置作業を実施しました。

· リスク判定

テムは、製品の修正または削除かについて、必要な評価と意思損なわれることが予測される製造業者は、その機能が高いプ· 詳細な試験プロトコルの開が必要かどうかを確認するよ

決定をトリガーすることを目

品質上の問題が発生します。

ロセス リスクをもたらすと判発うユーザーに促します。

的としています。

したがって、メーカーは、この断したため、製造業者は、医療· 実施されたテストの詳細な機能が高いプロセス リスクを機器のリスクに見合った保証

レポート

もたらすと判断しました。

活動を決定しました。つまり、 ・各テストケースの合否結果可能性のある相互作用と機能· 見つかった問題とその処置が失敗する可能性のある方法· 操作のパフォーマンスが許を実行する詳細なスクリプト

容できることを示す結論文

化されたテスト プロトコルを· テストが実施された日付

確立しました。 テストには、と誰がテストを実施したか機能が確実に機能することを· 適切な署名機関の署名と日保証するために、さまざまなシ付。

ナリオでの適切な再現性テス
トも含まれていました。

Example 2: Learning Management System (LMS)
A manufacturer is implementing a COTS LMS and is applying a risk-based approach for computer software assurance in its implementation. The software isintended to manage, record, track, and report on training. The following features, functions, or operations were considered by the manufacturer in developing
a risk-based assurance strategy:
製造業者は COTS LMS を実装しており、その実装においてコンピュータ ソフトウェア保証のためにリスクベースのアプローチを適用しています。 このソフトウ
ェアは、トレーニングの管理、記録、追跡、およびレポートを目的としています。 以下の機能、機能、または操作は、リスクベースの保証戦略を開発する際に製造業者によって考慮されました。
Table 3. Computer Software Assurance Example for an LMSFeatures, Functions, orIntended Use of the

Operations

Features, Functions or

Risk-Based Analysis

Assurance Activities

Establishing theappropriate record

Operations*The system provides user

All of the features, functions,

Failure of these features,The

log-onand operations have the samefunctions, or operations toperformed an assessment of

documents:

username and password)

intended use, that is, toperform as intended wouldthe· the intended use·

assignsmanage, record, track andimpact the integrity of the

supplier

trainings to users per thereport on training. They are

quality system record but

installation

curriculum

intended

would

foreseeably

addition, the manufacturer

the failure modes tested

processes to comply with 21

compromise safety. As such,supplements these activities· any issues found and theircaptures

CFR 820.25 (Personnel), andthe manufacturer determinedwithdisposition

evidence of users’ training

to establish the necessarythat the features, functions,applying

errorguessing

completion

records.

and operations do not pose

attempt

tocircumvent

noting that the performancehigh process risk.

process flow and “break” theof the operation is acceptablesystem (e.g. try to delete the·audit trail).

performed,

featuresThe(e.g.,

systemassignedbymanagement·Thesystemtoautomate· The system notifies users of
training

notcurriculum

assignments, completion of

manufacturer
systemhas

capability,

evaluation,
activities.

unscripted

trainings, and outstandingandIn

testing,toThemanufacturer· risk determination· a summary description of·aconcluding

the

date

statement

testing

was

and

who

performed the testing.

trainings· The system notifies users’
management of outstanding
trainings·

The

systemgenerateson

training

reports
curriculum

assignments,

completion of training, andoutstanding trainings
特徴、機能または操作

特徴、機能または操作の使用

リスクベースの分析

保証活動

適切な記録の確立

目的・システムは、ユーザーのログ

すべての特徴、機能、および操これらの特徴、機能、または操メーカーは、システム機能の評

メーカーの文書:オン機能 (ユーザー名とパス

作の使用目的は同じです。つま

作が意図したとおりに実行さ

価、サプライヤーの評価、およ· 使用目的

ワードなど) を提供します。

り、トレーニングの管理、記録、 れない場合、品質システム記録

び設置作業を実施しました。

· リスク判定· システムは、管理者によって追跡、およびレポートです。 この完全性に影響を与えますが、 さらに、製造業者はこれらの活· テストされた故障モードの割り当てられたカリキュラム

れらは、21 CFR 820.25 (人員)予見できるほど安全性が損な動をスクリプト化されていな

概要説明に従ってユーザーにトレーニに準拠するためのプロセスをわれることはありません。 そいテストで補完し、エラー推測· 見つかった問題とその処置

ングを割り当てます

自動化し、必要な記録を確立すのため、メーカーは、特徴、機を適用してプロセス フローを· 操作のパフォーマンスが許· システムは、ユーザーのトレることを目的としています。

能、および操作が高いプロセス

回避し、システムを「破壊」し容できることを示す結論文

ーニング完了の証拠を取得しリスクをもたらさないと判断

ようとします (たとえば、監査

ます

しました。

証跡を削除しようとします)。

· テストが実施された日付、およびテストを実施した人。

· システムは、トレーニング
カリキュラムの割り当て、トレーニングの完了、および優れた
トレーニングをユーザーに通知します・システムは、優れたトレーニ
ングのユーザーの管理に通知します· システムは、トレーニング
カリキュラムの割り当て、トレーニングの完了、および優れた
トレーニングに関するレポートを生成します。

Example 3: Business Intelligence Applications
A medical device manufacturer has decided to implement a commercial business intelligence solution for data mining, trending, and reporting. The software isintended to better understand product and process performance over time, in order to provide identification of improvement opportunities. The following features,functions, or operations were considered by the manufacturer in developing a risk-based assurance strategy:

ある医療機器メーカーは、データ マイニング、傾向分析、およびレポート作成のための商用ビジネス インテリジェンス ソリューションを実装することを決定しました。 このソフトウェアは、改善の機会を特定するために、製品とプロセスのパフォーマンスを経時的によりよく理解することを目的としています。 以下の特徴、機能、または操作は、リスクベースの保証戦略を開発する際に製造業者によって考慮されました。
Table 4. Computer Software Assurance Example for a Business Intelligence Application
Features, Functions, orIntended Use of the

Operations

Features, Functions or

Risk-Based Analysis

Assurance Activities

Establishing theappropriate record

Operations
Connectivity Functions:

These functions are intended

Failure of these functions to

The· The software allows forto ensure a secure and robust

perform as intended would

determined

connecting

variouscapability for the system toresultininaccurateor

activities commensurate with· the intended use

databases in the organization

connect to the appropriateinconsistent

trendingorthe medical device risk and· risk determinationand external data sources.

data sources, ensure integrity

analysis. This would result in

has performed an assessment· detailed test protocol· The software maintains theof the data, prevent data

failure to identify potentialof· a detailed report of theintegrity of the data from thecorruption, modify, and store

qualityorsupplier

original sources and is able tothe data appropriately.

opportunities

for

installation

activities.

determine if there is an issue

improvement, which in some

Additionally,

thewith the integrity of the data,cases, may result in a quality

manufacturer establishes a· any issues found and theircorruption, or problems inproblem

foreseeably

detailed scripted test protocol

disposition

data transfer.

compromises safety. As such,that exercises the possible·

the manufacturer determinedinteractions

potential

noting that the performancethat these functions posed

ways the functions could fail.

of the operation is acceptablehigh

The testing also includes·

appropriate

performed,

totrends,that

issuesprocess

necessitating
assurance
commensuraterisk,

more-rigorous
activities,
with

the

related medical device risk.

manufacturer

theassurancesystemcapability,

evaluation,

and

and

repeatability

The

manufacturer

documents:

testing performed· pass/fail results for each testcaseaconcluding

the

date

statement

testing

was

and

who

testing in various scenarios toperformed the testing

provide assurance that the· the signature and date of thefunctions work reliably.

appropriate
authority.

signatoryUsability Feature:

This feature is intended to

The failure of the feature to

The· The software provides thefacilitate the interaction of

perform

necessitate

user a help menu for thethe user with the system andunlikely to result in a quality

assurance effort beyond what

· the intended use

application.

provide assistance on use ofproblem that would lead tothe manufacturer has already· risk determination

all the system features.

compromised

safety.

performed in assessing the· the date of assessment and

Therefore, the manufacturer

system capability, supplier

whodetermined that the featureevaluation, and installationassessment

does not pose high processactivities.

·

asintendedisfeature

does

any

not

additional

risk.

The

manufacturer

documents:aperformed
concluding

thestatement

noting that the performanceis

acceptable

given

the

intended use and risk.
Reporting Functions:

These functions are intended

Failure of these functions to

The supplier of the reportingThe· The software is able toto allow the user to query theperform as intended may

software has validated the

documents:

create and perform queries

data sources, join data fromresult in a quality problem

ability of the software to· the intended use

and join data from various

varioussources,

perform(e.g.,

create and perform queries,· risk determination

sourcesanalysis,andgenerate

inadequate reports) but, injoin· the date of assessment and

this

to

perform

dataandmining.

visuals· The software allows for

These functions are intended

foreseeably

various statistical analysis

for collection and recording

and data summarization.

data

data

from

sourcesleadtomining, perform statisticalassessment

compromised safety because

analysis·

andthese functions are intended

summarization,· The software is able toreview purposes that do notfor collection and recording

graphs and generate reports.

iscreate graphs from the data.

have a direct impact ondata

Beyondintended use and risk.

· The software provides the

production

process

review purposes that do not

manufacturer has assessedcapability to generate reports

performance.

thishave a direct impact on

the system capability andof the analysis.

example, the software is notproduction

performed

intended to inform quality

performance. Therefore, theevaluation and installation

decisions.

manufacturer

activities.

or
In

for

monitoring

or

and

process
determinedthat these functions do nottovariousnotmonitoring

example,

or

would

for

summaries.

incomplete

perform
and

data
data
createthis,thesupplierAs

manufacturer

such,

the

determinedwhomanufactureraperformed
concluding

thestatement

noting that the performanceacceptable

given

the

pose high process risk.

that the reporting functionsofthesoftwarenecessitate

any

do

not

additional

assurance effort beyond these
activities.
特徴、機能または操作

特徴、機能または操作の使用

リスクベースの分析

保証活動

適切な記録の確立

目的
接続機能:

これらの機能は、システムが適

これらの機能が意図したとおメーカーは、医療機器のリスク

メーカーの文書:· このソフトウェアにより、組

切なデータ ソースに接続し、りに実行されない場合、不正確に見合った保証活動を決定し、 · 使用目的

織内のさまざまなデータベー

データの整合性を確保し、デー

または一貫性のない傾向分析

システム機能の評価、サプライ· リスク判定

スや外部データ ソースに接続

タの破損を防止し、データを適または分析が行われる可能性

ヤーの評価、および設置活動を· 詳細な試験プロトコルできます。

切に変更および保存するためがあります。 これにより、潜実施しました。 さらに、メー· 実施されたテストの詳細な· ソフトウェアは、元のソースの安全で堅牢な機能を確保す

在的な品質傾向、問題、またはカーは、可能な相互作用と機能レポート

からのデータの整合性を維持ることを目的としています。

改善の機会を特定できず、場合が失敗する可能性のある方法

・各テストケースの合否結果

し、データの整合性に問題があ

によっては、安全性を損なうこを実行する詳細なスクリプト· 見つかった問題とその処置るかどうか、破損、またはデーとが予見できる品質問題につ化されたテスト プロトコルを· 操作のパフォーマンスが許タ転送の問題があるかどうかながる可能性があります。 そ確立します。 テストには、さ容できることを示す結論文を判断できます。

のため、メーカーは、これらのまざまなシナリオでの適切な機能が高いプロセス リスクを

再現性テストも含まれており、 およびテストを実施した人もたらすと判断し、関連する医機能が確実に機能することを· 適切な署名機関の署名と日療機器のリスクに見合った、よ

保証します。

付。

· テストが実施された日付、り厳格な保証活動が必要であると判断しました。
使いやすさの特徴:

この機能は、ユーザーとシステ

機能が意図したとおりに機能

この機能は、メーカーがシステ

メーカーの文書:· ソフトウェアは、ユーザーにムの対話を容易にし、すべてのしないことで、安全性が損なわム機能の評価、サプライヤーの· 使用目的アプリケーションのヘルプ メ

システム機能の使用を支援すれるような品質上の問題が発

評価、および設置作業で既に実· リスク判定

ニューを提供します。

ることを目的としています。

生する可能性はほとんどあり

施した以上の追加の保証作業· 評価の日付と誰が評価を行ません。 したがって、メーカを必要としません。

ったかーは、この機能が高いプロセス· 意図された用途とリスクをリスクをもたらさないと判断考慮して、パフォーマンスが許しました。

容できることを示す結論文。

レポート機能:これらの機能は、ユーザーがデ

これらの機能が意図したとおレポート ソフトウェアのサプ

メーカーの文書:· このソフトウェアは、クエリ

ータ ソースをクエリしたり、りに実行されない場合、品質上

ライヤーは、ソフトウェアがク· 使用目的（質問、特に公式になされた質

さまざまなソースからのデーの問題 (不完全または不適切

エリを作成および実行し、さま· リスク判定問）を作成して実行し、さまざタを結合したり、分析を実行しなレポートなど) が発生する

ざまなソースからのデータを· 評価の日付と誰が評価を行

まなソースからのデータを結たり、ビジュアルや要約を生成可能性がありますが、この例で結合してデータ マイニングをったか合してデータ マイニングを実したりできるようにすることは、これらの機能は監視および実行し、統計分析とデータ要約· 意図された用途とリスクを行できます。

を目的としています。 これら

レビュー目的でデータを収集を実行し、グラフを作成し、レ考慮して、パフォーマンスが許· ソフトウェアは、さまざまなの機能は、生産またはプロセスおよび記録することを目的とポートを生成する機能を検証

容できることを示す結論文。

統計分析とデータの要約を可のパフォーマンスに直接影響しているため、安全性が損なわしました。 さらに、メーカー

能にします。

を与えない監視およびレビュ

れることは予見できません。

はシステムの機能を評価し、サ· ソフトウェアは、データからー目的でのデータの収集およ生産やプロセスのパフォーマ

プライヤーの評価と設置作業グラフを作成できます。

び記録を目的としています。

ンスに直接影響を与えないもを実施しました。 そのため、· ソフトウェアは、分析のレポ

この例では、ソフトウェアは品の。 したがって、メーカーは、 製造業者は、ソフトウェアのレートを生成する機能を提供し質決定を通知することを意図

これらの機能が高いプロセス

ポート機能は、これらの活動以ます。

していません。

リスクをもたらさないと判断

外に追加の保証努力を必要としました。

しないと判断しました。