制药数据完整性：ALCOA+、审计轨迹（原则、控制、审计）

制药数据完整性：ALCOA+、审计轨迹

（原则、控制、审计）本文档提供：ALCOA+十项属性逐项核查表（每项含取数位置、合格形态与不合格形态）；审计轨迹必含字段核对表与审核记录检查表；数据生命周期六环节控制表（生成、处理、审核、备份、归档、销毁）；审计取样与追溯路径表（正向追踪与反向追溯）；常见缺陷分类与检查动作对照；决策规则6条；完整示例1个（含三次转折与变量处置表）；三套场景检查项增减对照；来源说明表。2026-11-07这一节的标题读完你能拿到什么这一节在全文中的功能一、先看三个数：ALCOA+逐项不符合项数、审计轨迹未审核月数、数据删除无原因记录数三线速判表决定从原则核查、轨迹审核还是删除行为查起二、ALCOA+十项属性逐项查：每一项打开什么文件、看什么字段、什么算通过ALCOA+十项核查表把原则从口号变成可逐项判定的记录状态三、审计轨迹：系统生成了没有、质量部门审了没有，两个独立问题审计轨迹必含字段核对表、审核记录检查表区分“轨迹存在”和“轨迹被使用”四、数据生命周期六环节：生成、处理、审核、备份、归档、销毁，哪一环断了六环节控制表在单点核查之外判断数据链是否完整五、审计怎么取数：正向追踪与反向追溯各走一遍审计取样与追溯路径表用两条路径交叉验证数据与记录的一致性六、常见缺陷长什么样：缺陷形态、对应ALCOA+属性、检查动作缺陷分类与检查动作对照把检查经验转成可复用的判定模式七、出现这些信号时先动哪一步：六条决策规则决策规则表6条、轨迹生成与轨迹审核矛盾四段把判定落到权限调整、删除调查和CAPA八、一个HPLC数据删除未被发现的审计复盘：三次转折案例分步操作、变量处置表对照自己实验室的轨迹审核和权限设置找相似信号九、完整版、精简版、极简版各保留什么、删什么三场景检查项增减对照按审计深度和团队时间选执行范围十、文中数据从哪来、哪些还没核到本机构来源说明表追溯事实型断言的层级按第一列在正文找对应那节，按第二列判断该节有没有读者要的东西，按第三列判断该节是否对应读者当前卡住的位置。一、先看三个数：ALCOA+逐项不符合项数、审计轨迹未审核月数、数据删除无原因记录数数据完整性的检查不落在“有没有数据完整性SOP”上，落在三个可查的数上：ALCOA+十项属性中，有几项在抽查记录上找不到对应的证据；审计轨迹有没有按SOP规定的频次被质量部门审核，最近一次审核距今多少个月；审计轨迹中出现的删除或修改事件，有没有对应经批准的变更理由。三个数分别从记录抽查、轨迹审核记录和删除事件日志取数。表1数据完整性三线速判表先算什么取数位置什么算绿灯什么算红灯红灯时先动哪一步ALCOA+逐项不符合项数抽查记录与表2十项属性对照10项均有证据支撑存在2项及以上无证据，或“可归属”“同步”两项缺失打开表2，逐项定位缺失属性对应的记录字段审计轨迹未审核月数轨迹审核SOP规定的频次；最近一次审核记录日期按SOP频次审核，无超期超过SOP频次1个周期未审核，或SOP未规定审核频次打开表3，核对轨迹必含字段和审核记录数据删除无原因记录数审计轨迹中“删除”事件；变更控制记录删除事件均有经批准的原因和批准人存在删除事件无原因、无批准人，或原因写“误操作”无调查打开表6，按缺陷形态启动调查和CAPA权限共享或管理员权限泛滥用户权限清单；系统角色设置个人独立账户，权限与岗位匹配存在共享账户，或分析员拥有管理员权限打开表6“可归属”缺陷行，调整权限并复核历史数据示例：某QC实验室“可归属”不符合（分析员有管理员权限）；轨迹审核超期4个月；2条删除无原因三项红灯先查权限和删除，再查审核打开表6，启动删除事件调查；调整权限表1第5行是示例行：ALCOA+“可归属”属性不符合，分析员拥有管理员权限；审计轨迹审核超期4个月；2条删除事件无原因记录，三项红灯，执行动作为先查权限和删除事件，再补轨迹审核。二、ALCOA+十项属性逐项查：每一项打开什么文件、看什么字段、什么算通过ALCOA+的十项属性以PIC/SPI041-1（2021年7月）第7.5节为框架：ALCOA五项为可归属（Attributable）、清晰（Legible）、同步（Contemporaneous）、原始（Original）、准确（Accurate）；“+”四项为完整（Complete）、一致（Consistent）、持久（Enduring）、可用（Available）。国内《药品质量控制实验室数据可靠性检查指南（征求意见稿）》在此基础上增加了“可追溯”，形成ALCOA++的十项表述。十项属性不是并列的口号，每一项对应记录上可观察的字段和状态。表2ALCOA+十项属性逐项核查表属性打开什么、看什么字段什么算合格不合格形态（观察到的记录状态）对应控制状态可归属审计轨迹的用户ID列；记录签名栏；系统账户清单每条记录的创建、修改、批准均可追溯到具体个人；账户为个人独立账户记录只显示“admin”或“QC”；多人共用同一登录账户；分析员拥有修改系统时间或删除数据的权限个人账户+角色权限+轨迹绑定身份清晰原始记录、图谱、打印件；电子数据的显示方式记录可读、无歧义；修改处可见原值、新值、修改人、日期和原因记录用铅笔填写后涂改且无签名；图谱只保存截图不保存原始数据文件；修改处只写新值不保留原值受控记录格式+修改留痕同步记录时间戳与操作实际发生时间操作发生时即记录，时间戳反映实际时间批记录在班次结束后集中补填；审计轨迹的时间戳与设备日志时间不一致；系统时间可被操作者修改实时记录+时间同步+系统时间锁定原始原始数据文件；LIMS或CDS中的第一采集点第一采集点的数据被保存，动态数据保持可交互状态只保存打印件或PDF，原始数据文件已删除；从仪器导出到Excel后以Excel为准，原始文件未保留原始数据保存+动态可用准确记录与设备日志、计算结果、样品制备的对照记录中的数值与仪器输出、计算过程一致记录值被手动修改以匹配预期结果；计算结果与原始数据不一致且无说明计算经过验证+第二人复核完整审计轨迹中的删除和修改事件；批记录的全部页面所有测试数据（包括失败、重复、异常）均被保留并可追溯；删除事件有原因和批准失败的进样序列被删除且无记录；重复测试只保留通过的结果，首次失败的结果缺失数据保留策略+删除控制一致同一数据在不同记录和系统中的对应关系批记录、图谱、报告、台账之间的数值和时间一致批记录写“合格”，但图谱积分参数与SOP不一致；报告中的结果与LIMS中的原始值不同数据流映射+交叉核对持久存储介质和保存条件；备份记录数据在保存期内可读、可恢复；介质未退化数据只存在本地电脑硬盘，无备份；磁带或光盘超过保存期未迁移；系统退役后数据无法读取备份+迁移+退役计划可用数据在需要时可被检索和读取检查或审计时能在合理时间内调取原始数据数据被归档到无法检索的位置；离职人员账户停用后其创建的数据无法通过权限访问索引+访问权限管理可追溯从成品检验报告回溯到原始数据、样品、仪器、人员正向和反向追溯路径均可走通报告结果无法对应到具体的进样序列和积分事件；样品编号与仪器序列号无关联记录唯一标识+数据流图表2第1行是示例行：可归属属性，打开审计轨迹用户ID列和账户清单，合格形态为“每条记录可追溯到具体个人，账户为个人独立账户”，不合格形态为“记录只显示admin，或分析员拥有删除权限”，对应控制状态为“个人账户+角色权限+轨迹绑定身份”。十项属性中，“可归属”和“同步”在检查中最先暴露。可归属的缺口通常不在记录签名栏，在系统权限设置：分析员如果拥有管理员权限，可以修改系统时间、删除数据或更改积分参数，审计轨迹虽然会记录这些操作，但记录中的“用户”仍然可归属，问题在于该用户不应拥有这些权限。同步的缺口通常表现为“记录时间”晚于“操作时间”，但审计轨迹的时间戳本身是系统自动生成的，只有系统时间被修改时才会失真；因此检查同步属性时需要同时核对系统时间与外部时间源。三、审计轨迹：系统生成了没有、质量部门审了没有，两个独立问题审计轨迹是ALCOA+在电子系统中的技术体现，但它的合规性由两个独立问题构成：系统有没有生成完整、防篡改、可读的轨迹；质量部门有没有按程序审核轨迹并记录审核结果。EUGMPAnnex11第9条要求，只要GMP相关数据被创建、修改或删除，就应当考虑审计轨迹；当数据从旧值变为新值时，系统应自动提示用户并登记变更原因。21CFRPart11第11.10(e)条要求审计轨迹文档的保存期限不短于相关电子记录，并可供FDA审查和复制。系统生成轨迹是供应商和IT的责任，审核轨迹是质量部门的责任，两者不能互相替代。表3审计轨迹必含字段核对表必含字段取数位置什么算完整什么算缺失缺失时的第一动作用户或仪器身份轨迹“用户ID”列每次操作有具体用户ID或仪器编号显示“system”“admin”或无身份查账户设置和系统日志；无身份的轨迹不能用于追溯执行的事件类型轨迹“事件”列创建、修改、批准、删除、导入、打印、失效、配置、计算均有记录只记录“修改”，不区分创建和删除要求供应商补全事件类型；补全前该系统的轨迹不能单独支撑数据审查时间戳与时区轨迹“日期时间”列精确到秒，含时区，顺序可读只到日期无时间；时区缺失；时间顺序错乱核对系统时间与外部时间源；时间错乱的轨迹标记为不可靠对象标识符轨迹“对象”列批次、样品、进样序列、方法、设备编号可识别只显示“记录已修改”，不显示改的是哪条记录结合数据表主键反查；无法反查的对象视为追溯断裂变更前值和变更后值轨迹“旧值/新值”列修改和删除事件保留原值和新值只保留新值；删除事件只显示“已删除”不显示原值原值不可恢复的删除事件，按表6“完整”缺陷调查变更原因轨迹“原因”列；关联的变更控制记录重大变更（覆盖、不合格处置、积分参数修改、删除）有原因和批准人原因为空，或写“误操作”无调查记录该变更涉及的数据隔离评估；无原因的删除按数据可靠性事件调查表3第6行是示例行：变更原因字段，取数位置为轨迹原因列和变更控制记录，完整形态为“重大变更有原因和批准人”，缺失形态为“原因为空或写误操作无调查”，第一动作为隔离相关数据并按数据可靠性事件调查。审计轨迹审核的记录检查同样需要落到可查的证据上。审核SOP需要规定：谁审（通常是第二人或有资质的QA）、审什么（数据审计轨迹还是配置审计轨迹，或两者）、审的频次（每批、每周、每月或基于风险）、审完记录在哪里（审核记录表或LIMS中的审核签注）。检查时取最近一个审核周期的记录，核对审核人签名、审核日期、审核范围，以及审核中发现异常后的处理路径。FDA在2025年2月发给一家南非公司的警告信中指出，生产部门和质量部门应当审核电子原始数据和审计轨迹，但该公司只记录和打印了通过的过滤器完整性测试，未记录失败的测试，检查员在数天内观察到了这一行为。这个例子说明轨迹存在不等于轨迹被有效使用：失败的测试被排除在记录和轨迹之外，审核环节没有发现，整个链条在“生成”和“审核”两个环节同时断裂。四、数据生命周期六环节：生成、处理、审核、备份、归档、销毁，哪一环断了单点核查（某一项属性、某一条轨迹）能发现具体缺陷，但数据完整性的系统性风险落在生命周期各环节的衔接处。生成环节的缺口是“第一采集点的数据没有被保存”；处理环节的缺口是“积分、计算、修约无记录或使用未经验证的工具”；审核环节的缺口是“只审报告不审原始数据和轨迹”；备份环节的缺口是“有备份但从未做过恢复测试”；归档环节的缺口是“系统退役后数据不可读”；销毁环节的缺口是“未到保存期即销毁，或销毁无审批记录”。表4数据生命周期六环节控制表环节核心控制取数位置什么算控制到位什么算控制断裂断裂时的第一动作生成第一采集点数据被保存；仪器接口不丢失元数据CDS/LIMS的原始数据存储路径；仪器序列号与数据文件的对应原始数据文件（含元数据）在采集后即被锁定，不可覆盖只保存打印件或PDF；原始文件可被操作者移动或删除停止该数据用于放行；追溯原始文件的备份或仪器本地存储处理积分、计算、修约经过验证；手动积分有记录和批准积分事件表；计算用软件或模板的验证状态手动积分有原因、有批准、有审计轨迹；计算工具经过验证且版本受控使用未经验证的Excel进行含量计算；手动积分无记录；积分参数被修改后无原因该批数据隔离评估；未验证工具计算的结果不作为放行依据审核原始数据、审计轨迹、积分事件、计算过程均被第二人审核批放行审核记录；轨迹审核记录审核记录显示审核人查看了原始数据和轨迹，异常有处理结论审核只覆盖报告页；审核记录只有签名无审核范围；轨迹审核超期补做审核；审核完成前不放行备份关键数据定期备份；恢复测试定期执行备份日志；恢复测试记录备份覆盖关键数据，恢复测试有记录且成功备份策略存在但从未恢复测试；备份数据与生产数据在同一物理位置立即做恢复测试；备份不可恢复的数据标记为“可用性风险”归档归档数据可检索、可读；系统退役有迁移方案归档清单；系统退役记录归档数据在保存期内可调取；退役系统的数据已迁移并验证可读数据被“归档”到无法检索的目录；旧系统下线后数据无法读取恢复可读性；无法恢复的标记为“持久性缺陷”销毁销毁有审批；保存期未满不销毁销毁记录；保存期规定销毁有审批记录，销毁清单与保存期规定一致保存期内数据被删除或销毁；销毁无审批按数据可靠性事件调查；评估对在售批次的影响表4第2行是示例行：处理环节，核心控制为“积分、计算、修约经过验证，手动积分有记录和批准”，取数位置为积分事件表和计算工具验证状态，控制到位形态为“手动积分有原因、有批准、有轨迹，计算工具经过验证”，断裂形态为“使用未经验证的Excel计算，手动积分无记录”，第一动作为隔离该批数据并评估。六环节中，生成和处理是技术性最强的两环，审核是质量部门最直接可控的一环。如果审核环节有效，生成和处理环节的缺陷在批放行前被发现的机会更大；审核环节失效时，前两环的缺陷会直接进入放行决策。因此检查顺序上，先看审核记录是否覆盖了原始数据和轨迹，再回溯生成和处理环节，比从生成环节逐项查起更高效。五、审计怎么取数：正向追踪与反向追溯各走一遍数据完整性审计的取数不是随机翻记录，而是沿数据流走两条路径。正向追踪从样品接收开始，跟随检验生命周期走到报告，检查每个环节的记录和数据是否一致；反向追溯从已生成的报告或图谱中随机选取一个结果，逆向追溯到原始数据、仪器、样品和人员。两条路径走通，说明数据链在该批次上是闭合的；任何一条走不通，断点位置就是缺陷所在。表5审计取样与追溯路径表路径起点经过的节点在每个节点打开什么什么算走通什么算断点正向追踪随机选取的一批样品接收记录样品登记→存放与分发→样品制备→仪器分析→数据处理与积分→结果计算→审核与报告样品接收台账；制备记录；仪器使用日志；CDS进样序列；积分事件表；计算表或LIMS结果页；批放行审核记录每个节点的样品编号、仪器编号、数据文件名、结果值相互对应样品编号在某一节点对不上；仪器使用日志中该时间段无对应记录；数据文件名与进样序列不匹配反向追溯从CDS或LIMS中随机选取一个已报告的结果（图谱或数值）报告结果→计算过程→积分参数→原始数据文件→进样序列→仪器日志→样品制备记录→样品接收报告页；计算底稿；积分方法版本；原始数据文件属性（创建时间、修改时间、操作者）；仪器日志时间戳每个节点的值、时间、操作者可逐一对应到上一节点原始数据文件的修改时间晚于报告批准时间；积分参数与SOP不符且无变更记录；计算底稿中的数值与原始数据不一致表5第1行是示例行：正向追踪路径从随机选取的样品接收记录开始，经过七个节点，在每个节点打开对应文件，走通的标准是“样品编号、仪器编号、数据文件名、结果值相互对应”，断点信号为“样品编号在某一节点对不上，或数据文件名与进样序列不匹配”。反向追溯在发现“数据是否被修饰”方面比正向追踪更敏感。正向追踪容易停留在“记录齐全”的层面，反向追溯则会直接暴露原始数据文件的时间戳异常：文件修改时间晚于报告批准时间，意味着结果在批准后被修改，而审计轨迹中如果找不到对应的修改事件和原因，就构成“完整”和“可追溯”的双重缺陷。检查时选取的样本应覆盖不同仪器、不同分析员和不同时间段，避免样本集中在同一操作者或同一台仪器上。六、常见缺陷长什么样：缺陷形态、对应ALCOA+属性、检查动作数据完整性缺陷在检查报告中有相对固定的形态。CFDI的缺陷分类将“系统无法实现个人独立账户登录，导致无法追溯到操作人员”“采用设计不完善的系统或不恰当的操作，可能导致数据可靠性问题”列为主要缺陷；将“仪器确认中缺少对影响数据可靠性的安全措施测试”“纸质或电子表单设计不合理导致记录或数据不完善”列为一般缺陷。FDA警告信和483中的高频缺陷包括：审计轨迹未审核、原始数据文件被删除且无轨迹可重建、共享账户导致结果不可归属、使用未经验证的Excel进行计算、未记录失败的测试结果。表6缺陷形态与检查动作对照缺陷形态（观察到的）对应ALCOA+属性检查时打开什么判定为缺陷的条件第一动作分析员使用管理员权限修改系统时间或删除数据可归属、同步、完整用户权限清单；审计轨迹中的时间变更事件和删除事件存在权限与岗位不匹配，且轨迹中有对应的时间变更或删除记录调整权限；调查涉及的数据范围；评估对已放行批次的影响原始数据文件被删除，只有打印件或PDF原始、完整、持久数据存储路径；备份记录；打印件与原始文件的对应关系打印件存在但原始数据文件不可得，且删除无原因和批准按数据可靠性事件调查；追溯备份或仪器本地存储审计轨迹显示修改，但无原因或原因为“误操作”准确、完整、可追溯轨迹的旧值/新值列和原因列；变更控制记录重大变更（积分参数、结果值、样品信息）无经批准的原因隔离该数据；补做变更评估；无合理原因的重大修改按数据可靠性事件处理使用未经验证的Excel进行含量计算准确、一致计算工具清单；Excel文件的版本控制状态；计算公式与药典或SOP的对照Excel未经验证、无版本控制、不在数据治理范围内该计算结果不作为放行依据；用经验证的系统或第二人独立计算复核审计轨迹未按SOP频次审核可追溯、可用轨迹审核SOP；最近审核记录日期；审核记录中的审核范围超过SOP频次未审核，或审核记录只有签名无审核范围补做审核；审核完成前暂停相关批次的放行失败的测试或异常进样未记录完整、准确进样序列；审计轨迹中的删除或失效事件；重试记录存在失败的进样序列被删除，或重试只保留通过结果，首次失败无记录恢复失败数据（如备份可得）；无法恢复的按数据可靠性事件调查表6第1行是示例行：缺陷形态为“分析员使用管理员权限修改系统时间或删除数据”，对应可归属、同步、完整三项属性，检查时打开用户权限清单和审计轨迹中的时间变更与删除事件，判定条件为“权限与岗位不匹配且轨迹中有对应事件”，第一动作为调整权限、调查数据范围、评估已放行批次。缺陷形态的判定需要区分“系统设计缺陷”和“行为缺陷”。系统无法实现个人独立账户登录，导致无法追溯操作人员，这是设计缺陷，整改方向是系统升级或补偿性控制（如纸质记录双签名加独立日志）。分析员使用管理员权限修改时间以覆盖失败结果，这是行为缺陷，整改方向是权限收回、数据可靠性事件调查和人员处理。两种缺陷在同一个轨迹事件上可能同时出现，调查时需要分开归因。七、出现这些信号时先动哪一步：六条决策规则表7决策规则如果看到这个条件执行这个动作如果判定依据失效退路分析员或操作者拥有修改系统时间、删除数据或修改积分参数的权限立即收回权限；调查该权限存续期间的数据修改和删除事件；评估涉及的已放行批次权限由供应商默认设置且无法更改建立补偿性控制：所有时间变更和删除事件每日由第二人审核并签字，审核记录纳入批放行条件审计轨迹显示删除事件，但原因为空或只写“误操作”隔离该数据；按数据可靠性事件启动调查；调查范围覆盖同一操作者、同一仪器、同一时间段删除事件涉及的数据已无法恢复评估对批放行的影响；在调查结论中记录数据不可恢复的后果，并启动CAPA防止再发原始数据文件不可得，只有打印件或PDF，且打印件用于放行该打印件不作为放行依据；追溯备份、仪器本地存储或第三方存证；无法恢复的标记“原始性缺陷”仪器本地存储已被覆盖，备份也未覆盖评估该批次的质量风险；必要时启动召回或稳定性考察；CAPA中增加原始数据自动归档要求审计轨迹审核超期，但审核记录显示“已审核”核对审核记录中的审核范围和实际查看的轨迹事件；只有签名无范围的审核视为未审核审核人确实查看了轨迹但未记录范围补记审核范围并重新签字；在SOP中明确审核记录必须包含审核的轨迹事件类型和时间段手动积分有记录，但积分参数与SOP不一致且无变更批准该积分结果隔离；按变更控制补做评估；评估不一致的积分参数对结果的影响不一致由方法版本升级导致且有版本控制记录核对方法版本生效日期与进样日期；版本生效后的不一致才构成缺陷系统退役后数据不可读，但保存期未满恢复数据可读性（迁移、仿真环境或打印为受控格式）；无法恢复的标记“持久性缺陷”并评估影响系统供应商已停止支持且无迁移方案在系统退役前强制要求数据迁移验证；未完成迁移的不批准退役矛盾四段：轨迹生成与轨迹审核。矛盾陈述。审计轨迹的合规性要求系统生成完整、防篡改、可读的轨迹，同时要求质量部门按频次审核轨迹。系统生成轨迹是技术配置问题，供应商交付时通常已经具备；审核轨迹是管理执行问题，需要人力和时间。当轨迹数据量很大时（一个进样序列可能产生数十条事件），逐条审核不现实，审核往往退化为“抽查”或“只看有没有异常标记”。抽查覆盖率不足时，被遗漏的删除或修改事件不会进入审核视野。生成端要求“全记录”，审核端只能“抽着看”，两个要求在同一套轨迹数据上指向不同的操作强度。实质分析。轨迹审核的目的不是逐条读完所有事件，是发现“不应发生的事件”：删除、时间变更、积分参数修改、权限提升、失败的测试被排除。这些事件在轨迹中有可识别的模式，审核可以基于风险筛选，不需要均匀覆盖。将审核范围定义为“所有删除和时间变更事件+关键参数的修改事件”，比“随机抽10条”更有检出能力，也更容易在SOP中写清楚。权衡规则。按轨迹事件类型分层：删除、时间变更、权限变更、积分参数修改为必审事件；常规的数据录入和批准为抽查事件。必审事件在每批放行前审核，抽查事件按SOP频次覆盖。审核记录中写明必审事件的清单和审核结论，不只写“已审核”。退路。轨迹数据量过大、必审事件仍无法逐条覆盖时，在系统中设置自动标记：对删除、时间变更、权限提升、积分参数修改四类事件自动生成“待审核”清单，审核人只处理清单中的事件。清单生成规则需要经过验证，规则本身的变更纳入变更控制。八、一个HPLC数据删除未被发现的审计复盘：三次转折某QC实验室在例行数据完整性审计中，对一批已放行的含量数据做反向追溯。报告结果合格，批记录完整，审计轨迹显示该进样序列“已批准”。示例案例，细节为合理设定。起点。审计员手里有批记录、CDS报告、审计轨迹导出文件和用户权限清单。反向追溯从报告结果出发，计划走到原始数据文件和仪器日志。分步操作。第一步，按表5的反向追溯路径，从报告结果找到对应的进样序列和原始数据文件。原始数据文件存在，创建时间和操作者与报告一致。第二步，按表3核对审计轨迹的必含字段。轨迹中存在一条“删除”事件，发生在该进样序列首次运行之后、报告批准之前，删除原因为空。删除的对象是同一序列中的一次进样，该进样的数据文件在存储路径中不可得。第一次转折。信号：报告结果合格，但轨迹中有一条无原因的删除事件，被删除的进样数据不可得。当时的假设：删除可能是仪器故障或序列中断导致的系统自动清理，不影响报告结果。试了什么：查同一时段的仪器日志和系统事件。仪器日志显示该次进样正常完成，有峰面积和保留时间记录；系统事件中没有自动清理的记录。删除操作的用户ID是分析员本人，该分析员拥有管理员权限。新信息：删除不是系统自动行为，是分析员手动执行；被删除的进样数据在仪器日志中有结果，但原始数据文件已被删除。上一轮“系统清理”的假设被推翻。换哪条路：按表6的“原始数据文件被删除”和“可归属”两项缺陷启动调查；调取仪器日志中的峰面积数据，与报告结果对照，判断被删除的进样是否失败或异常。第二次转折。信号：仪器日志显示被删除进样的峰面积明显低于报告中所用进样的峰面积，保留时间也偏离。当时的假设：被删除的进样是一次失败的预运行，删除是合理的，只是没有记录原因。试了什么：查SOP中关于预运行和失败进样的规定。SOP允许预运行，但要求所有进样（包括预运行和失败进样）保留在序列中并标注；手动删除任何进样都需要书面理由和批准。该分析员没有提交任何理由或批准记录。再查该分析员过去6个月的轨迹，发现另有2次删除事件，原因均为空。新信息：删除不是孤立事件，是重复行为；SOP有明确要求，执行层面没有遵守，审核环节也没有发现。上一轮“合理预运行”的假设被推翻。换哪条路：将调查范围扩大到该分析员经手的全部批次和该仪器上的全部删除事件；评估被删除进样对应的结果是否可能为不合格或异常；审核记录显示该批次放行前质量部门“已审核轨迹”，但审核记录只有签名，没有审核范围和发现。第三次转折。信号：调查确认存在重复的无原因删除，但审核记录显示“已审核”。当时的假设：审核人可能没有查看删除事件，审核记录的形式化是管理问题，不是数据可靠性问题。试了什么：按表7的分层规则核对审核SOP。SOP写的是“每批审核审计轨迹”，没有定义必审事件类型；审核人实际操作是打开轨迹文件浏览后签名，删除事件在大量常规事件中没有被识别。审核记录中没有“删除事件清单”或“必审事件审核结论”。新信息：审核环节的失效不是审核人故意忽略，是SOP没有把“删除”定义为必审事件，审核没有可操作的分层规则。上一轮“管理形式化”的假设被推翻，实质是审核程序缺少风险分层。换哪条路：修订轨迹审核SOP，将删除、时间变更、权限变更、积分参数修改列为必审事件，每批放行前逐项确认；审核记录中附必审事件清单和结论。同时收回分析员的管理员权限，启动数据可靠性事件调查和CAPA。终点。最终产出是一份数据可靠性事件调查报告，覆盖该分析员经手批次的删除事件回顾、受影响批次的质量风险评估、权限调整记录和修订后的轨迹审核SOP。被删除进样的原始数据无法恢复，报告中记录了这一“持久性缺陷”及其对批次评估的限制。表8变量处置表变量案例中情形如果变量不同处置变化删除事件的来源分析员手动删除，有管理员权限系统自动清理或仪器故障导致调查方向转向系统验证和仪器维护记录；不按行为缺陷处理删除进样的结果峰面积低于报告进样，提示可能为失败或异常被删除进样与报告进样结果一致删除的动机不指向掩盖失败结果，但仍构成“完整”缺陷，需补原因和批准轨迹审核SOP未定义必审事件，审核只浏览后签名SOP已定义必审事件且审核记录完整审核环节的缺陷不成立；问题收窄至权限管理和删除行为本身历史删除记录6个月内另有2次无原因删除首次删除，无历史模式调查范围可以限定在该批次；但仍需完成原因调查和CAPA表8中权重较高的变量是“删除事件的来源”和“轨迹审核SOP”。来源决定是行为缺陷还是系统缺陷，审核SOP决定审核环节是否构成独立缺陷。九、完整版、精简版、极简版各保留什么、删什么完整版。全量运行表1至表7，ALCOA+十项属性、审计轨迹必含字段、生命周期六环节、正反向追溯、缺陷形态和决策规则全部保留。序列：三线速判→ALCOA+逐项核查→轨迹字段和审核记录检查→生命周期六环节核对→正向/反向追溯→缺陷判定和决策。不可妥协的底线：删除事件必须有经批准的原因；审计轨迹审核必须有审核范围和必审事件清单；原始数据文件不可得时打印件不作为放行唯一依据；共享账户或管理员权限泛滥视为“可归属”缺陷。精简版。保留表1三线速判、表2的可归属、同步、原始、完整四项、表3的用户身份、事件类型、旧值/新值和原因四行、表4的生成、处理、审核三环节、表5的反向追溯路径、表6的可归属缺陷、原始数据删除、轨迹未审核三项、表7中权限收回、删除无原因、轨迹审核超期三条规则。删掉的检查项：表2的清晰、准确、一致、持久、可用、可追溯六项，合并为“其他属性”在发现异常时展开；表3的时间戳和对象标识符两行，改为在追溯断点时核对；表4的备份、归档、销毁三环节，改为在系统退役或数据不可得时补查；表5的正向追踪路径，改为在反向追溯发现断点后用正向追踪补证；表6的Excel计算和失败测试未记录两项，改为在“准确”和“完整”核查时一并判断。序列：三线速判→四项属性→轨迹四字段→生命周期三环节→反向追溯→三项缺陷→三条规则。极简版。保留表2的可归属、同步、原始、完整四项、表3的删除事件和原因字段、表5的反向追溯路径，一条排查规则：从报告结果反向追溯到原始数据文件，查三个点——原始数据文件是否存在且创建时间早于报告批准时间；审计轨迹中是否有删除或时间变更事件且原因经批准；执行该操作的用户是否拥有与其岗位不匹配的权限。三点中任一点不符合的，该数据不用于放行决策，按数据可靠性事件调查。删掉的检查项：表1全部、表3其余字段、表4全部、表6全部、表7除权限和删除两条外的四条。不可妥协的底线：原始数据文件不可得且无备份的不放行；删除无原因的不放行；共享账户或管理员权限未收回的前，相关数据标记“可归属待确认”。十、文中数