计算机化系统检查缺陷和整改

1、计算机化系统检查缺陷和整改近几年随着智能化、信息化在制药行业的广泛使用和快速普及，世界各国药 监当局对数据造假的零容忍，以欧美规范市场为主导的各国药监机构组织纷纷出 台了数据完整性和计算机化系统的相关规范。中国CFDA也紧跟世界步伐，于 2015年实施了 GMP附录计算机化系统，又分别于2016年10月、2017年8 月、2018年1月三次修订发出了药品数据管理规范（征求意见稿），可见国 家药监总局接轨国际规范和整顿药品行业的坚定决心。而计算机化系统是保证数 据完整性非常重要的组成部分，真实数据又是一切科学的基础，不管是纸质还是 电子的，都应当遵守A （可归属及追溯）L （清晰）C （同步）O

2、 （原始）A （准 确）+C （完整）C （一致）E （持久）A （易得）的原则。我下面就中外计算机 化系统法规、汇总检查缺陷和部分缺陷整改进行介绍，最后有一些困惑问题提出 和大家共同讨论交流：1、计算机化系统涉及法规指南2、中外计算机化系统检查缺陷3、部分缺陷整改的CAPA4、问题讨论一、计算机化系统涉及法规指南1、中国GMP计算机化系统附录CFDA于2015年5月26日颁发，并于当年12月1日实施，全文共六章24 条。本附录规定了计算机化系统由一系列硬件和软件组成，以满足特定的功能； 需要实施全生命周期的计算机化系统管理，应当考虑患者安全、数据完整性和产 品质量；明确用户和IT人员职责；应

3、保持计算机化系统在其生命周期中的持续 验证状态；系统管理应当包括配置、测试、人员权限、电子签名、数据复核、变 更、电子数据备份、恢复、故障处理的偏差和CAPA、回顾；最后的术语，包括 电子签名、电子数据、基础架构、计算机化系统生命周期、数据审计跟踪、数据 完整性、应用程序。2、欧盟GMP计算机化系统附录11EU于2011年6月30日实施该附录，全文共五章17条。中国计算机化系统 和欧盟很相似，但明显欧盟一些要求比中国的内容更全面，而且当时英国药政当 局是有要求计算机化系统验证均于2017年底要全部达到附录要求。EU附录中的 “原则”一章有要求，计算机系统代替手工操作，应该降低对产品质量、工艺过

4、程 控制和质量保证的影响；不应该有增加在此过程的整体风险。人员明确流程所有 人，系统所有人，质量受权人和IT之间要密切合作。明确了系统供应商、服务 商的协议要求。计算机系统运行阶段包括了数据、准确性检查、数据贮存、打印 输出、审计追踪、变更控制与配置管理、定期评价、安全性、突发事件管理、电 子签名、批放行、业务连续性、归档的相关内容。最后的术语，包括应用、预订 的/定制的计算机化系统、商业化软件、信息技术基础结构、生命周期、流程所 有人、系统所有人、第三方。3、FDA联邦法规21章第11款电子记录；电子签名（21CFR Part 11）1997年3月，FDA签署了 21CFR的第11部分，给出

5、了在某些情形下FDA 可接受的电子记录、电子签名和在等同于纸质记录的电子记录上执行书面签名以 及纸面上执行的书面签名的标准。这些规定适用于所有的FDA程序范围，意在 允许广泛使用电子技术，与FDA保护公众健康的责任是一致的。全文分为分章 A-一般规定、分章B-电子记录、分章C-电子签名三个部分。FDA以此标准认可 电子记录、电子签名、关联到电子记录上的手签名是可信的、可靠的，和纸质签 名具有同等法律效应fda认可以验证后的电子签名与完整的手写签名、缩写、 FDA所要求的一般签名具有相同法律效应。术语包括法令、机构（FDA）、生物 测定学（验证个人身份）、封闭系统（受限）、数字签名（密码）、电子

6、记录、电 子签名、手签名、开放系统（相对不限制）。对于是否联网，又分为封闭系统和开放系统。封闭系统要通过验证保证系统 的准确性、可靠性，记录要保证真实性、完整性、保密性（必要时）。开放系统 在创建、修改、维护、传送电子记录时同样要和封闭系统一样遵循控制程序，必 要时使用文档加密系统、合适的数字签名技术进行保证。关于审计追踪，需要记录操作者登录和操作（包括电子记录的创建、修改或 删除）的日期和具体时间，该审计追踪应该是安全的、计算机自动生成的、自带 时间标志的。审计追踪生成的新记录不能覆盖之前的记录信息，如有必要应有程 序规定并严格执行。审计追踪记录应该与其所归属记录的保存期限是一致的，当 FD

7、A需要检查和拷贝时是可用的，涉及到数据的完整性、可读性和可追溯性。关于签名有效性，签署的电子记录与签名关联时，至少显示包括如下信息： 签名人的完整名字，签名的日期和时间，签名代表的含义（如人员是进行操作、 审核、复核、批准或其它行为）。这同样适用于任何一种人可读形式的电子记录， 如电子显示、电子打印输出。关于电子签名，对于用户使用电子签名之前或首次使用前，应该向FDA提 交一份书面证明，说明其电子系统符合FDA要求，其电子签名与传统纸质手签 名具有同等法律效应，需要得到FDA认可才可投入使用并在检查时全部呈现。 电子签名时有两个基本条件均要同时具备，一是怎么证明是你本人操作的电子签 名，如上面

8、提到的生物测定学，按现在技术可以理解为刷脸、刷指纹等生物识别 法，二是使用全部的电子签名验证组分，既名字、日期、时间、含义包括修改理 由等都是齐全的。另外，要防止他人违法使用你的电子签名或两人串通使用。4、ICH Q7对计算机化系统的要求2000年11月，颁布的ICHQ7（原料药生产的GMP指南）中有规定，与GMP 相关的计算机化系统应当验证，验证的深度和广度取决于计算机应用的差异性、 复杂性和关键性。计算机化系统应当有足够的控制，以防止未经许可存取或改动 数据。应当有防止数据丢失（如系统关闭而数据未捕获）的控制。任何数据的变 更、上一次输入、谁作的变更和什么时候变更都应当有记录。应当有计算机

9、化系 统操作和维护的书面程序。手工输入关键性数据时，应当另外检查输入的准确性。 这可由第二位操作人员或系统本身来进行。如果计算机的故障或失效会导致记录 的永久丢失，则应当提供备份系统。所有计算机化的系统都应当有数据保护措施。二、中外计算机化系统检查缺陷1、生命周期管理关于计算机化系统，是指建立、修改、维护、归档、检索、传送数字信息的 计算机硬件、软件和相关文件的集合。现行计算机化系统采用ISPE的GAMP 5 进行分类管理，从1类标准化一直到5类的定制化设置，验证标准逐步严格。关于计算机化系统生命周期，中国和欧盟定义基本一致，均指计算机化系统 从提出用户需求到终止使用的过程，包括设计、设定标准

10、、编程、测试、安装、 运行、维护等阶段。查到的额外检查缺陷如下：1.1、用于投诉调查的电子数据被删除：例如，2012年-2014年期间，企业共 收到11个根据客户确认检验发现HPLC检测不合格（例如，杂质）导致的客户 投诉。对于这11个投诉中退货的4个，我们要求审核其原始批放行以及退货分 析的审计追踪。但是因为没有归档电子元数据，用来支持这4个投诉记录而进行 的分析的审计追踪已被删除，数据可靠性无法确认。这条缺陷，警示投诉是关联 到患者安全、数据完整性和产品是否有质量问题，企业一定要重视调查分析、保 存计算机化系统数据，形成自证的证据链。1.2、严重缺陷和有问题的数据管理行为：使用软件管理员的

11、权限，修改计 算机设备、仪器的时间/日期设置；修改检验积分参数，以获得合格的或期望的 结果；中止正在进行的样品检验分析；覆盖、删除包括原始结果的原始数据文件 等行业，都是不可接受的严重缺陷。2、基础架构企业应搭建计算机化系统（硬件、软件和人）的基础架构，并需要确认。所谓基 础架构，个人要理解至少要包括系统框架（可能还包括集团、不同国家企业及二 级企业或分厂等多种组成）和人在计算机管理中的组织框架，有些复杂系统要考 虑系统间对接端口的功能确认、互相识别和信息传递的顺畅，如检验LIMS、生 产MES、仓库WMS和统一平台ERP等业务对接。目前这方面没有查到相关的 检查缺陷，但这是一个企业计算化系统

12、管理的基础，不理顺基础架构是管不好计 算机化系统。3、风险管理及验证（CSV）中国GMP附录计算机化系统有规定，风险管理应当贯穿计算机化系统 的生命周期全过程。作为质量风险管理的一部分，应当根据书面的风险评估结果 确定验证和数据完整性控制的程度。计算机化系统（每个与GXP相关的所有工 作流程）需要验证并有相应规程。在系统安装前期，需要对系统进行测试其预期 用途；对于程序端口对接，也需说明系统如何与其他程序对接，并经确认不会导 致错误和对数据完整性的影响。关于计算机化系统验证有查到如下2个缺陷：3.1、验证差异：检查发现，HPLC打印的色谱图与运行确认（OQ）方案有 差异，差异包括进样顺序和相对

13、标准偏差RSD的计算值。这条缺陷在一致性和 真实性上出了重大问题，存在造假嫌疑。3.2、验证原始数据缺失：缺少HPLC检测的电子原始数据、方法学验证中 记录称重与计算方法的原始数据；SZA620型热风循环干燥机再验证报告PQP-0712（002-003）所附原始记录中，悬浮粒子测定数据非原始打印数据（为手 工抄写）。这应该是验证时离线测试，验证原始数据缺失，是执行GMP的大忌。4、系统运行和维护这部分的内容涵盖较多方面内容，如要识别出整个企业计算机化系统清单， 如有变更、增加、取消时系统清单要定期更新；在访问、权限控制方面，要有授 权、取消、变更准入的管理（GMP附录，下面简称“附录”），保证

14、账户唯一性、 权限控制、注销、改密码（药品数据管理规范，下面简称“规范”）；在人员身份 显示方面，使用放行时应能显示人员身份（附录），和记录中的前面可追溯（规 范）；就数据修改方面，要求修改关键数值时需要批准（附录），数据不被篡改、 删除或覆盖（规范）；复核关键输入参数要进行准确性检查；要求时间戳不被篡 改；在系统设定时间内自动退出或锁屏。主要缺陷如下：4.1权限管理：（1）权限受控及密码管理。该企业高效液相色谱、气相色谱未设置分级操 作权限账户，检验数据的安全性难以保证；高效液相色谱仪（HPLC）、傅里叶变 换红外光谱仪所用计算机及工作站未合理设置登录权限，部分仪器未开启审计追 踪功能并修改

15、日志记录；企业未建立计算机化系统管理文件，化验室2台液相、 1台气相，原子吸收（这个目前是做不到的）等电脑工作软件未进行权限管理， 未安装审计追系统；GC、HPLC、水分滴定仪的操作系统和数据采集软件均未设 置登录密码；企业的HPLC软件没有审计追踪，所有的实验室雇员共用登录账号 和密码；高效液相色谱仪（编号：DC002）仅设置开机密码，且为三人公用；共 享工作站和分析软件的用户名、密码;不同分析人员使用实验室仪器密码未区分； 仪器编号为8119409、8117676两台高效液相色谱仪，设置了密码和权限分级管 理，但权限分级设置不合理，进入系统后检验人员可相互查看原始数据，并有手 动积分的权限

16、。（2）不能避免数据修改或删除。例如，GC、HPLC的计算机系统权限，未 能阻止未经授权的数据访问或修改，未能采取适当的控制措施以避免数据的操作 和删除；红外色谱仪（IR）没有进入控制，不能防止原始数据的删除和更改；实 验室全体QC员工有计算机系统的全部权限，没有控制人员删除或修改原始数据; QC人员未经监管在实验室计算机系统上创建了未经授权的文件夹；原始数据文 件夹储存在本地电脑硬盘，给予至少两名实验室一线主管全部管理员权限。（3）限权不一致、不受控导致造假。例如，实验室分析员使用电脑管理员 的权限来捏造原始数据、检验结果，倒填日期，删除进样、重新进样、缺失进样、 预进样。分析这条缺陷，如果

17、是设备仪器本身太旧没有这方面权限，有书面规程 进行手工受控，并逐步淘汰落后设备仪器可以理解，但如果是利用权限漏洞或失 控进行数据假，则应从重处罚；企业的计算机化系统权限管理规定与实际执行情 况不一致。4.2非正式“测试”、预进样、挑数据：（1）存在试样、复测不规范行为。在执行正式报告检验前，实施预试进样， 来检查样品的可接受性；实验室控制记录未能包括来源于执行所有测试所得的完 整数据，辅助“测试文件夹”中的数据量显示执行非正式分析在工厂中是一种常见 行为；原始的、非正式记录储存在测试文件夹”；经常未经解释说明即重新测试 样品，删除分析数据；进行作为最终QC报告结果的检测之前，进行中间产品和 最

18、终API的“测试”、“试测”和“演示”进样；产品含量均匀度测定失败，在另一仪 器上复检；对样品进行重复检测，未记录重复检测的原因，或没有调查记录。（2）稳定性同样存在预进样行为。例如，放行和稳定性研究的HPLC检验 有预进样（回复483时未对发生过的预进样进行回顾性审核）；稳定性检验，进 行未记录的预进样。（3）挑数据，只记录合格结果。例如，使用新溶液进行复验，只记录复验 合格的；多次进行样品“试测”，忽略检测结果，仅报告另外检测的结果或多次检 测中的最好结果；反复检验取样、直至达到接受标准，报告只列通过的数据；企 业实验室的做法是删除不合格和/或不想要的结果，并重复检测直到合格和/或达 到可

19、接受的结果。4.3未经授权访问、覆盖、修改、删除数据：（1）未限制访问、覆盖、修改、删除电子数据。未能防止未经授权的访问 或修改数据，检测多个药品的多个化验员在未经解释说明的情况下删除未知峰， 似乎让药品符合质量标准；删除“预进样”文件夹；计算机覆盖数据；化验员使用 管理员权限更改日期时间，改变文件名覆盖进样文件，删除原始HPLC检测数据； 气相色谱仪电子原始数据的完整性无法保证，回收站中有多个删除文件夹；删除 原料药的全部高效液相色谱原始电子数据；删除和覆盖元素分析检测的原始数据。（2）存贮硬盘数据被删除，也无仪器记录，无法追溯。例如，2014年2月 6日收集的这些初始结果，之后从硬盘中被删

20、除，且未执行调查或生成其它文件 记录，所有支持性原始数据（例如，样品溶液稀释，天平称重打印）都被丢弃， 并且进样操作也未被记录在仪器使用日志中。（3）删除不合格结果。删除样品序列进样的部分结果，报告剩余进样结果。 似乎随着样品组的进行，之前因可接受的括弧法标准获得的任何不合格的和/或 不想要的结果均被删除，在随后的样品组中重新检测了样品。4.4不规范进样操作：（1）中止进样。检查员检查了气相的审计追踪（audittrail），发现初始样品 进样被中止了，并且没有解释原因。（2）数据造假。在检查中，检查员与一位分析员交流，分析员说如果他们 发现了结果不合格，就会重新设置日期/时间重新检验，或重新

21、积分，以获得合 格的结果。”分析员解释说，对原辅料、中间过程检验、成品都用过删除、覆盖、 修改积分参数、修改计算机日期/时间设置。（3）未按国标操作。胞磷胆碱钠注射液（批号：151101）采用高效液相色 谱法进行含量测定、有关物质考察，未按中国药典要求进行系统适用性试验。4.5无授权篡改时间:（1）修改系统或软件时间。QC使用管理者权限和密码篡改HPLC电脑时 钟。用于胶剂含量测定的赛默飞U3000高效液相色谱仪计算机修改过系统时间， 涉及多个批次产品。中心化验室中高效液相色谱仪（型号：岛津SPD-10A、编 号：QC-002）的计算机日志显示该公司存在修改系统时间的行为。修改电子记 录，如该

22、企业用于检验的高效液相色谱仪和紫外可见分光光度计未设置使用权限， 计算机系统和仪器工作站同时均反映计算机系统时间日期有改动现象，电子实验 数据也未进行备份。（2）修改时间次数惊人，造假成习惯。QC实验室高效液相色谱电脑系统 存在大量修改系统时间的情况，如设备编号为ZL-02-110的岛津高效液相色谱仪 系统管理日志显示自2017年1月1日至今共修改系统时间184次；设备编号为 ZL-05-109的岛津高效液相色谱仪系统管理日志显示自2017年1月1日至今共 修改系统时间170次。（3）检验方法学验证数据修改时间。在岛津LC-10AT的实验日志中发现修 改检验日期的痕迹，如2015年12月17日

23、后，出现2015年4月16日的食母生 片精密度、耐用性等项的检测记录。（4）稳定性数据修改时间。存在通过修改电脑时间进行补做试验的问题， 如：2016年7月8日未运行液相系统，将电脑时间修改成2016年6月26日， 对宁神补心片（20160301、20160302和20160303）第3个月稳定性考察进行补 做。（5）反复修改时间。对人工牛黄成品及原辅料检验所用的紫外可见分光光 度计工作站进行核查，发现其工作站的系统时间有反复修改的痕迹。4.6电子数据造假：（1）调整称量。样品称重是在运行色谱后得出来的，不是称重时记录的。（2）修改峰时间和面积。检验报告中的图谱时间、峰面积与电子数据不一 致。

24、（3）环境监测仪采集数据无法追溯。无菌灌装区空气监测记录已采集样品， 而实际未采集样品，环境监测仪中没有相应电子记录，执行环境监测程序中出现 数据可靠性问题；环境监测未能记录和报告可靠的、准确的数据。（4）删除数据在回收站内。存在删除图谱现象，且未记录原因，如恢复该 计算机系统回收站已清空的数据发现，有三张图谱被删除还在回收站内。（5）修改进样量。胞磷胆碱钠注射液质量标准【含量测定】项下要求进样 量为101，实际操作进样量为20叫，企业未启动偏差调查，而是将原始检验记 录中高效液相色谱图的进样量手工修改为10叫，且企业审核过程没有发现该问题。（6）反复修改系统时间。检查员发现2013年6月18

25、日及之后的色谱检验 结果，被倒填日期为2013年6月12日；擅自修改计算机系统时间，如两台HPLC 工作站（编号102001、102002）所用计算机系统日志反映计算机系统时间日期 有反复改动现象，如2016年11月25日将系统时间调整为2016年11月5日， 再调整为2016年10月6日，再变回2016年12月9日。（7）检测时间不一致Thermo HPLC（型号:ultimate-3000,编号 A-04-07-21） 数据库显示，150601批次盐酸氟哌噻吨原料药的杂质A进行了多次测定，其中 2015年6月27-28日（工作站显示的进样时间）测定的样品检测结果合格，高效 液相色谱HPLC

26、图谱被该批次检验记录采用，但检验记录中打印的图谱显示，对 照溶液、供试品溶液和溶剂的测定时间均为2015年6月26日13： 59。4.7、程序制度缺失：企业未对计算机化系统确立充分的控制，以确保生产 和控制规程、记录或其他记录仅限有权人员制定；在不同的系统中重复进样以验 证原始结果的操作，没有相应的SOP对其进行描述；对单机系统审计追踪发现 删除，没有书面说明，SOP未规定保存电子原始数据；HPLC规程中未明确色谱 积分方法；仅对报告中样品的色谱数据进行重新积分，而没有程序支持。5、供应商管理、变更控制和配置对于供应商管理。中国GMP“附录”中要求，企业应当针对计算机化系统供 应商的管理制定操

27、作规程。供应商提供产品或服务时（如安装、配置、集成、验 证、维护、数据处理等），企业应当与供应商签订正式协议，明确双方责任。企 业应当基于风险评估的结果提供与供应商质量体系和审计信息相关的文件。这方 面没有查到相关缺陷。但这也是基础条款，企业要按规范进行审计和挑选。对于变更控制。“附录”中要求，计算机化系统的变更应当根据预定的操作规 程进行，操作规程应当包括评估、验证、审核、批准和实施变更等规定。计算机 化系统的变更，应经过该部分计算机化系统相关责任人员的同意，变更情况应有 记录。如录入错误或修改记录时，先前记录应存在，修改原因和签名一起保存的 电子数据中，需要经流程审核和批准。能查到的主要缺

28、陷如下：5.1、变更不受控。例如，未能对计算机化系统采取适当控制，以确保仅由 授权人员对主生产及控制主记录或其它记录进行变更；电子数据的管理允许未授 权的变更；未能对计算机或有关系统采取适当控制，以确保生产及控制主记录或 其他记录仅能由授权人员进行变更。5.2、配置不合理存在风险。例如，安装pdf编辑软件，导致原始记录可修改 而不可追溯。6、审计追踪、电子数据、电子签名及混合记录对于审计追踪。中国“附录”描述为记录数据的输入和修改以及系统的使用和 变更；“规范”描述为记录创建、更改数据等操作，不得关闭和修改，需审核和内 容完整。欧盟“附录”要求为，对于变更或删除的GMP相关的数据的原因应该被

29、记录；审计追踪必须是可用并可转化为普遍理解的形式且定期审核。对于电子数据。中国“附录”中定义为，电子数据也称数据电文，是指以电子、 光学、磁或者类似手段生成、发送、接收或者储存的信息。对于电子签名。中国“附录”中，电子数据可以采用电子签名；“规程“指等效、 经验证的信息，不可用图片进行替代。对于混合记录。电子版和纸质版需要确定谁是主数据。能查到的主要缺陷如下:6.1、缺乏审计追踪或未开启、关闭审计追踪，修改或删除记录无法审计追踪：（1）没有审计追踪功能。所有员工使用管理员权限并使用同一个用户名（无 法追溯到个人操作）；从系统中手动选择拷贝原始数据，无审计追踪；HPLC和 GC的色谱工作站数据采

30、集软件没有审计追踪功能来记录数据生成、谁修改、何 时修改等变化；红外IR计算机软件无审计追踪功能，不能记录数据更改；企业 的卡尔费休水分仪没有装配能够保护、归档和跟踪电子数据的软件。（2）有审计追踪不使用。2009年验证报告有审计追踪，实际到2013年还 未开始使用。（3）关闭审计追踪（重大缺陷）。常规性地打开和关闭HPLC审计追踪；2015 年3月3日，在我们检查成品API质量控制实验室期间，我们在3层的质量控 制实验室，随机选择了 5台HPLC，要求审核2014年1月到6月期间的审计追 踪。然而，据实验室管理人员称，更换控制电脑时，元数据（例如，审计追踪） 未归档，并因此被删除；要求审核的

31、五个审计追踪中，只有两个可供审核。（4）反复开启/关闭审计追踪。操控软件的审计追踪，尤其是，反复开启/ 关闭审计追踪，来掩盖样品分析期间进行的操作。（5）修改记录导致无法审计追踪。多台仪器没有审查跟踪功能，以记录每 次分析检测的信息，如：注射剂类型，日期和时间，分析师的身份，采取措施的 原因（例如，修改记录）。（6）数据删除无法审计追踪。用于保存HPLC与GC分析电子原始数据的 服务器（硬盘J）中的色谱方法、序列与进样数据可被删除、已被删除，备份文 件被覆盖，无审计追踪。6.2、电子记录（数据）管理不规范、不完整：（1）电子记录不受控。打印数据后即删除电子数据，不保存电子数据；操 作人员可从个

32、人电脑打印空白批记录，生产车间办公室发现大量不受控的空白批 记录。分析原始电子数据记录表不受控；抽屉里发现不受控的色谱图、表格、便 签；企业在进行检验时未记录正确的样品名称，随后在电子工作表中命名。（2）电子记录缺少时间、操作顺序追溯性。分析天平称重纸条没有总是包 括天平ID、纸条产生的日期和时间信息，我们随机选择QC工作表来审核，发 现：QC工作表上仅粘贴了打印单上的称重数值部分。色谱原始数据不包括产生 最终分析结果的操作方法和样品进样顺序。（3）未审核电子数据。管理人员对电子分析数据的审核不充分，未包括评 估系统适用性参数。（4）电子记录被拒查。检查过程中要求提供电子记录被拒绝：具体来说， 2015年3月4日，午餐结束返回二层QC实验室之际，我们观察到化验员XX从 控制HPLC H35的电脑上迅速拔出一个USB闪存，装进实验服上衣口袋。我们 要求XX先生交出这个USB存储器进行检查时，他跑出了实验室。USB存储器 上的内容无法查证。6.3、电子签名不合规。质量部的电子章是非控制的图像签名，而不是基于 证书的电子签名。7、备份、归档和恢复备份：指为了防止原始数据或系统丢失、损坏（例如，在系统崩溃或磁盘损 坏）而创建的一个或多个电子副本，备