计算机化系统验证（CSV）标准操作规程

计算机化系统验证（CSV）标准操作规程文件性质。本文为计算机化系统验证标准操作规程（SOP）模板，适用于药品、医疗器械、保健食品等受监管企业的GxP计算机化系统。正式发布前须按本企业文件管理规程完成起草、审核、批准与培训，文件编号、版本号与生效日期以企业实际编号为准；本文不替代企业已生效的对应SOP。核心原则。验证深度与风险相称：系统影响患者安全、产品质量与数据完整性的程度越高，验证活动越完整；低风险系统允许采用简化方式，但简化不能免除数据完整性与权限管控要求。文件信息内容文件名称计算机化系统验证标准操作规程文件编号SOP-QA-CSV-001（按企业编号规则调整）版本／生效日期V1.0／____年__月__日起草／审核／批准QA起草，IT与使用部门审核，质量负责人批准分发范围质量部、IT、生产、实验室、物料、设备工程复审周期每2年复审一次，法规或系统架构重大变化时即时复审1.目的规范公司计算机化系统从需求提出、供应商评估、设计、安装、确认、放行、运维、变更到退役的全生命周期管理，确保系统持续满足预定用途，符合药品GMP及数据完整性要求，保证电子记录可归属、清晰、同步、原始、准确、完整、一致、持久、可获取（ALCOA+），防止数据被篡改、丢失或误操作。2.范围适用系统。用于受监管业务的计算机化系统，包括实验室信息管理系统（LIMS）、企业资源计划与制造执行系统（ERP／MES）、数据采集与监控系统（SCADA）、楼宇与洁净空调自控系统（BMS）、制药用水系统PLC控制、色谱数据系统（HPLC／GC工作站）、电子天平数据采集、电子批记录（EBR）、仓储管理系统（WMS）、电子签名系统、稳定性与留样管理系统等。不适用。不含GxP数据的普通办公电脑、通用办公软件、对外网站与浏览器；此类设备按企业IT资产管理规定执行，但接入GxP网络时仍须遵守账号与权限管控要求。3.职责质量部（QA）。CSV归口管理；组织风险评估；审核并批准验证计划、方案与报告；监督数据完整性；审批变更、偏差与CAPA；保存验证文件。信息技术部（IT）。服务器、网络、账号与权限、备份与灾备、日志审计、补丁与版本管理、时间同步、系统安全策略；配合供应商技术对接。使用部门。起草用户需求说明（URS）；确认业务流程与报表需求；执行用户验收测试（UAT）；日常使用与异常上报；提出变更申请。设备工程部。工控机、PLC、传感器、仪表等硬件安装与维护；配合仪表校准与回路确认。供应商。提供功能与设计说明、测试证据、版本与变更记录、培训与维保；接受供应商审计或问卷评估，签署质量协议。4.术语与定义CSV。计算机化系统验证，以文件化证据证明系统持续满足预定用途的活动总和。URS／FS／DS。用户需求说明／功能说明／设计说明，依次为需求、功能实现与详细设计的基线文件。IQ／OQ／PQ。安装确认／运行确认／性能确认。VMP／SVP。验证总计划／系统验证计划，说明验证策略、范围、责任与文件清单。审计追踪。系统自动记录数据与关键操作的创建、修改、删除及操作人、时间、原因，不可关闭、不可编辑。ALCOA+。数据完整性的九项属性要求。持续验证状态。系统放行后通过变更控制、定期回顾、审计追踪审核等手段维持的受控状态。5.法规与指南依据《药品生产质量管理规范（2010年修订）》及其附录《计算机化系统》。《药品记录与数据管理要求（试行）》（国家药监局发布），明确记录与数据的真实性、准确性、完整性与可追溯要求。《医疗器械生产质量管理规范》及软件相关附录（适用于医疗器械企业）。ISPEGAMP5（第二版）——以风险为基础的计算机化系统验证方法。EUGMPAnnex11《计算机化系统》；美国FDA21CFRPart11《电子记录与电子签名》。版本提示。法规与指南会更新，引用具体条款时以现行有效文本为准；本文件只作原则性引用，不替代原文。6.验证流程（核心操作规程）6.1系统识别与软件类别评定使用部门提出系统需求，填写《计算机化系统识别表》，说明用途、涉及GxP环节、产生的数据类型。QA组织按GAMP5评定软件类别（见第七章），并结合风险评估确定验证深度。同一系统包含多类软件时（如LIMS含可配置模块与定制接口），分别评定、合并成一份系统验证计划。6.2风险评估从患者安全、产品质量、数据完整性三个维度评估，确定高、中、低风险等级。评估须写明：系统失效可能导致的具体后果、受影响的数据与记录、现有控制措施、需要的验证活动与测试范围。风险评估结论直接决定IQ／OQ／PQ的取舍与测试深度，不能先定方案再补评估。6.3供应商评估中、高风险系统须开展供应商评估，方式可为现场审计、远程审计或问卷评估。评估内容包括：质量管理体系、软件开发与测试过程、变更与缺陷管理、版本控制、数据安全与保密、售后与培训能力、对GxP与Part11的符合性声明。评估结论应明确是否可作为合格供应商，未通过评估的不得采购用于GxP业务。6.4用户需求说明（URS）URS是全部验证活动的基线，未批准URS不得进入设计阶段。内容须覆盖：业务流程与功能需求、数据产生与存储、权限与角色、审计追踪、电子签名、接口与数据交换、报表与导出、报警与联锁、性能与容量、备份与恢复、法规符合性要求。每条需求应可测试、可追溯，禁止"操作简便""界面友好"等无法验证的表述。需求须编号，并与后续FS、测试用例、验证报告形成追溯矩阵。6.5设计确认（FS／DS）供应商依据URS编制功能说明，复杂或定制系统另编设计说明。QA与使用部门审核：URS的每条需求是否被覆盖、有无超范围设计、接口与数据流是否清晰、异常与边界条件如何处理的说明是否充分。审核意见须闭环后才能进入安装。6.6安装确认（IQ）确认交付物与设计一致：硬件型号与序列号、软件与固件版本、安装介质、操作系统与数据库版本、服务器与网络配置、安装路径、初始参数、时区与系统时间、账号初始设置、杀毒与安全策略、供应商提供的合格证明与手册。IQ须留存原始记录（截图、配置导出、清单签字），并核对系统时间与标准时间源的同步状态。6.7运行确认（OQ）在安装完成后、模拟或受控条件下测试全部功能：权限分配与越权访问、审计追踪的完整性（含修改、删除、导出、登录失败）、电子签名、数据录入与校验规则、报警与联锁、报表生成与打印、数据导出与备份恢复、异常与断电恢复、接口数据传输。测试须包含反向测试（负向用例），即验证系统能拒绝不合规操作，而不只是验证正常路径可用。6.8性能确认（PQ）在实际生产或实验室工况下，使用真实样品与真实业务流程，持续设定周期验证系统稳定满足预定用途。周期按风险确定，例如连续3批生产、连续14天或30天运行。PQ结论须覆盖数据完整性与业务连续性，而非仅功能可用。6.9验证放行全部确认项目通过、偏差与CAPA关闭、追溯矩阵闭环后，QA批准《验证总结报告》，出具系统放行使用许可。未取得放行许可的系统不得用于GxP业务，也不得作为放行决策的数据来源。6.10持续验证状态保持账号与权限。最小必要授权，账号专人专用，禁止共享；离职、转岗即时禁用或回收；权限变更走变更流程并留痕。审计追踪审核。按风险等级定期审核（高风险每月或每批，中低风险每季度或每半年），审核记录签字归档；发现异常启动偏差调查。备份与恢复。自动备份加异地或离线副本，定期开展恢复测试并留存记录；备份介质读取能力定期验证。时间准确性。系统时间与标准时间源同步，偏差超出允许范围即处置。补丁与升级。一律走变更控制，评估是否需要补充确认；禁止未评估直接打补丁。定期回顾。按风险每年或每两年开展系统回顾，确认系统仍符合URS与现行法规，输出回顾报告。6.11变更管理软件版本升级、配置修改、报表与接口调整、权限结构变动、数据库迁移、服务器或操作系统更换、供应商变更，均属CSV变更。流程为：变更申请—风险评估—确定验证范围（补充IQ／OQ／PQ或仅需文件更新）—实施—测试与确认—批准—关闭。变更期间须明确临时控制措施，保证数据不丢失、业务不中断。6.12偏差与CAPA出现数据丢失或错乱、无法登录、审计追踪失效或可被关闭、报表数据错误、电子签名异常、接口传输失败、系统非计划停机时，启动偏差调查，评估对已产生GxP数据与已放行产品的影响，确定根因并采取纠正与预防措施，必要时暂停系统使用。6.13退役与数据迁移开展退役风险评估，明确停用时点、替代系统、历史数据处置方式。导出数据并验证可读性与完整性，必要时将数据与元数据归档为静态可读格式，附带说明文件。迁移至新系统的，须执行迁移确认，比对迁移前后数据条数、关键字段与计算结果，出具迁移验证报告。确认历史数据在归档期内可查询、可打印、可追溯，且权限仍受控。经质量负责人批准后退役，账号、接口按顺序关闭，禁止直接删除GxP数据。归档数据保存期限不短于原数据要求的期限，介质定期检查可用性。7.软件类别与简化验证策略GAMP5（第二版）的软件类别为1、3、4、5四类，不含类别2（该类在早期版本中存在，GAMP5已取消）。原稿中把PLC、SCADA列为"第5类"是错误的：第5类指定制或自研软件；PLC、SCADA、BMS属于系统类型，其软件按实际特征归入第3、4或5类，硬件与固件按工程确认方式处理。类别软件特征与举例验证策略第1类基础设施软件：操作系统、数据库、虚拟化平台、网络管理软件不单独验证，按IT基础设施确认与配置管理控制；纳入系统整体确认的范围第3类不可配置的商用现成软件：固定功能的仪器控制软件、简易数据采集工具确认预定用途匹配、数据流与输出正确性、审计追踪与安全设置；不需完整设计确认第4类可配置的商用软件：LIMS、ERP、MES、WMS、色谱数据系统、电子批记录完整URS与配置确认，IQ／OQ覆盖配置项与关键功能，按风险决定PQ；重点验证权限、审计追踪、计算与报表逻辑第5类定制开发或自研软件、定制接口、算法模块完整生命周期：需求、设计评审、模块与集成测试、供应商开发过程审计，IQ／OQ／PQ全套；定制接口须做异常与断链测试风险分级与验证深度的对应。高风险系统须完整执行URS、风险评估、供应商评估、设计确认与IQ／OQ／PQ；中风险系统可合并OQ与PQ的测试项目，但不减免审计追踪与权限测试；低风险系统可仅做URS加针对性测试记录，但须在风险评估中说明减免理由并经QA批准。8.电子记录与电子签名符合要求条件下，电子签名与手写签名具有同等法律效力；企业须明确哪些记录使用电子签名。签名绑定唯一账号，账号不可共用、不可转让；签名时系统自动记录签名人、签名时间、签名含义（如审核、批准、复核）。签名后数据不得被无痕修改；修改须留审计追踪并说明原因。审计追踪不可关闭、不可编辑、不可选择性记录；审计追踪本身须纳入备份与定期审核。禁止通过后台直接修改数据库数据，或以管理员权限绕过业务流程；数据库层访问须单独授权、审批并留痕。数据导出、打印、备份文件须设置访问控制，导出件与系统内数据保持一致，不得在导出文件上直接修改后作为原始记录。9.培训系统使用人员、IT运维人员、QA均须接受培训并考核合格后方可操作或管理GxP系统。培训内容包括本SOP、系统操作、数据完整性要求、账号与权限规则、审计追踪查看方法、异常与偏差上报路径。系统升级或流程变更后须开展补充培训，培训记录归档，并与账号开通权限挂钩。10.记录与文件保存CSV全套文件（验证计划、方案、原始记录、报告、追溯矩阵）、审计追踪审核记录、备份与恢复测试记录、变更与偏差记录、系统回顾报告，保存期限不短于法规要求的最低年限，且满足产品追溯需要；电子文件须保证在保存期内可读、可查、可打印，载体定期检查与迁移。11.配套手册与验证文件包11.1验证管理手册（QA与IT使用）风险评估指南：三维度评分方法与分级判定标准。URS编写指南：需求条目化与可测试性写法、追溯矩阵编制。IQ／OQ／PQ方案编制规范：测试用例设计、抽样与判定标准、偏差记录方式。审计追踪审核手册：审核范围、频次、抽样方法、异常判定与记录格式。备份与恢复验证手册：备份策略、恢复测试步骤与合格标准。变更控制指南：变更分类、验证影响评估表、需补充确认的判定规则。供应商评估问卷：质量管理、开发过程、变更与缺陷管理、数据安全、法规符合性。11.2系统用户操作手册（使用部门使用）登录与密码策略：复杂度、有效期、失败锁定、找回流程。角色与权限说明：各岗位可见与可操作的范围。日常业务操作步骤：录入、复核、审核、放行、打印。电子签名操作：签名含义、二次确认、签名失败处置。审计追踪查看与导出方法。异常上报流程：系统故障、数据异常的即时处置与报告路径。禁止行为清单：共享账号、代签、截屏外传、导出后修改数据、绕过审批流程。11.3单系统验证文件包目录计算机化系统识别表与风险评估报告供应商评估报