GMP附录计算机系统解析-柯争先 贾晓艳 徐禾丰.docVIP

GMP附录—计算机系统解析 作者：柯争先 贾晓艳 徐禾丰 来源：中国医药报 2015年5月26日，CFDA在其官方网站发布了《药品生产质量管理规范（2010年修订）》计算机化系统和确认与验证两个附录的公告（2015年第54号）并将于2015年12月1日生效。其实早在2011年欧盟即发布了新修订版的欧盟GMP附录11《计算机化系统》，同时相应修订了欧盟GMP的第4章《文件》，二者均于2011年6月30日起生效实施。 我们先看一下CFDA该附录颁布历程：2013年3月21日CFDA首次发布该附录初版征求意见稿；2014年6月17日CFDA又更新发布了该附录的第二版并继续向社会征求意见。相比较而言，第一版的征求意见稿从内容上来说，更接近EUGMP 附录11《计算机化系统》的2008年草稿版，而第二版则更接近EUGMP 附录11《计算机化系统》2011年正式版。因此我们不难看出，国内在该领域的监管要求已经基本靠拢和接近欧盟水平了。 新修订的计算机化系统附录较2014年第二版征求意见稿变化并不大（仅在基于风险的供应商审计、整个生命周期内维护验证状态、计算机化系统放行产品的规定等细节有一些调整），但整体语言和文字表述更加严谨。全文结合了国际新的趋势及热点理念： 基于风险—质量风险管理要贯穿系统生命周期全过程 基于科学—对流程和产品充分理解；采用软件分级管理的策略 基于质量体系—有效质量体系下实施计算机化系统（及电子数据）管理 基于生命周期—在整个生命周期内保持计算机化系统验证受控状态 也包含了ISPE GAMP5良好自动化生产实践指南中的一些知识观点： 软件分级管理 供应商审计 物理的和逻辑的防护 权限管理 审计跟踪 电子数据的备份与恢复 应急及突发事件管理 深度解析 范围 第一条。描述了本附录的适用范围：适用于在药品生产质量管理过程中应用的计算机化系统。同时明确了系统组成“由一系列硬件和软件组成，以满足特定的功能”。按照PIC/SPI011-3指南的定义，计算机化系统（ComputerizedSystem）由计算机系统（ComputerSystem）和被其控制的功能或流程组成。  原则 第二条、第三条和第四条。主要描述了风险管理和供应商管理两个方面的要求。对于风险管理：一方面是整个生命周期要实施风险管理，自动代替人工操作不会带来负面影响及总体风险增加；另一方面是验证的范围和程度要基于风险评估的结果来确定。对于供应商管理：需要制定相应规程，需要有明确的协议明确供应商及制药企业双方职责，需要基于风险评估的结果实施供应商审计并形成文件化的记录。 人员 第五条。该章节强调了在系统验证、使用、维护、管理过程中各职能部门人员的紧密配合，并要求明确各自权限和职责；人员要接受相应培训以适合其岗位工作；而且对实施培训和指导工作的人员（即指培训老师）提出了要求：“确保有适当的专业人员……”。 验证 第六条。应用程序的验证与基础架构的确认实际上是按照软件分类的原则（可参考ISPE良好自动化实践规范，以下简称GAMP5，软硬件分类）实施不同生命周期验证活动，其实也是采用风险管理的理念—软硬件类别不同导致其系统复杂性和新颖性带来的风险不同，从而验证的程度（或深度）不同。 采用基于科学的风险评估来确认计算机化系统确认验证的范围和程度（比如：通过GxP关键性评估确定验证的范围，通过功能性风险评估确定验证的程度）； 确保整个生命周期内系统处于验证的受控状态（可供参考的方法是在系统运行维护阶段遵循变更和配置管理，安全管理，对系统实施定期评估等）。 第七条。需要制定GMP关键计算机化系统清单并及时更新。 第八条。需要对通用商用软件进行审核确保满足用户需求（即实施设计确认时需对通用商用软件进行确认）；需要制定针对定制系统（即5类软件系统）验证实施规程。 第九条。在确认验证过程中，对于系统数据出现转换及迁移情况需确认数据的值及意义没有改变（举例比如：发酵罐PLC设备将罐压数据通过通讯协议转移至DCS系统，则在DCS系统的OQ检查时需要确认二者数值一致性；信号转换的I/O测试）。 系统 第十条。对安装计算机化系统的物理环境做出规定，制药企业制定URS和进行系统设计时需要考虑进去，IQ中对系统的安装位置进行确认，保证系统的安装环境是不受外来因素干扰的。 第十一条。对关键系统的技术资料提出需求（比如功能说明、硬件设计说明、软件设计说明、电路图、网络结构图等），这些技术资料要及时更新保证和实际状态一致。 第十二条。软件分级管理与供应商审计（同上所述）。 第十三条。针对软件的全面测试，根据软件级别的不同其测试的程度也将不同（比如：针对五类软件系统的源代码审核和模块测试，针对四类软件系统的配置测试，然后是基于“黑盒”的功能测试、需求测试，以及包括结合实际工艺或流程的性能测试）。 第十四