GMP新附錄計算(suàn)機系統驗證過程中用(yòng)戶的(de)作用(yòng)

新版GMP附錄的(de)發布對(duì)應用(yòng)于藥品生産相關的(de)計算(suàn)機系統的(de)驗證有了(le)明(míng)确的(de)要求，雖然遲到了(le)很多(duō)年，但對(duì)提高(gāo)行業規範程度，進一步優化(huà)行業結構，降低飽爲大(dà)衆所诟病的(de)産品質量風險仍然具有十分(fēn)重要的(de)意義。與附錄晚到的(de)相對(duì)應，我國制藥行業信息化(huà)程度整體上無論是與國外同行相比，還(hái)是在國内其他(tā)行業橫向對(duì)比，都具有十分(fēn)明(míng)顯的(de)差距。企業在信息化(huà)投入和(hé)人(rén)才儲備上都明(míng)顯不足。

新附錄強調了(le)對(duì)計算(suàn)機系統全生命周期質量與性能的(de)評估與确認。計算(suàn)機系統的(de)生命周期包括了(le)”需求”，“設計”，“開發”，”測試”，”運行”、”退役”全過程。其中測試還(hái)可(kě)以分(fēn)爲”單元測試”、”集成測試”、”系統測試”、”用(yòng)戶測試”等四個(gè)步驟。在GMP對(duì)計算(suàn)機系統的(de)驗證提出要求之後，、驗證工作在當前的(de)現實情況下(xià)很自然就落在QA部門頭上。對(duì)于非IT專業的(de)QA人(rén)員(yuán)來(lái)說，需求、用(yòng)戶測試、和(hé)運行、退役還(hái)能把控，但對(duì)于”設計”、”開發”以及測試中的(de)其他(tā)環節卻也(yě)無能爲力。顯然，讓QA去具備讀懂(dǒng)代碼的(de)能力和(hé)具有軟件工程的(de)思維是一件過份且不實際的(de)要求。但計算(suàn)機系統驗證最重要的(de)目的(de)是爲了(le)防止将軟件的(de)缺陷或問題帶到藥品的(de)生産環境中，從而導緻一系列的(de)生命健康問題。從質量源于設計的(de)角度的(de)出發（對(duì)任何産品都是如此），設計，開發，測試大(dà)部分(fēn)都不把控在自己手中，豈不是不受控，這(zhè)樣的(de)風險如何接受和(hé)處理(lǐ)呢(ne)？

我們可(kě)以想想，藥廠的(de)GMP生産車間肯定不是自己人(rén)蓋的(de)。藥廠需要的(de)是提出需求，由工程設計方設計出圖紙，由施工方建造，由監理(lǐ)方監管，最後由藥廠來(lái)驗收。土建中廠房(fáng)結構要求由土木(mù)建築技術人(rén)員(yuán)去管理(lǐ)和(hé)控制、主要建築材料由當地建設工程質量監督站的(de)檢驗文件證明(míng)其質量。藥廠需要做(zuò)工作的(de)是找一家有GMP廠房(fáng)建造經驗并具備相關資質的(de)承建商。對(duì)于計算(suàn)機系統來(lái)說，同樣如此，我們可(kě)以将計算(suàn)機系統的(de)供應商視作GMP廠房(fáng)的(de)建造商。一個(gè)合格的(de)計算(suàn)機系統供應商應該具備完善的(de)内部質量控制系統，保證其輸出産品的(de)合格性。

在講述這(zhè)個(gè)問題之前，我們先看看IT行業軟件開發生命周期（SDLC）與FDA/CFDA所要求的(de)計算(suàn)機系統驗證（CSV）之間的(de)關系。隻有明(míng)白兩者之間的(de)關系，我們才能更好的(de)定位自己的(de)主要職責，以免越俎代庖。

IT行業的(de)V模型

熟悉GAMP的(de)人(rén)會了(le)解GMP中計算(suàn)機系統驗證的(de)V模型。GAMP中的(de)V模型描述了(le)從概念提出、項目執行、系統運行、到系統退役的(de)計算(suàn)機系統生命周期全過程。但GAMP中的(de)V模型并非憑空而生的(de)，而是在現有的(de)軟件開發模型上結合藥品生産行業的(de)特點改造而來(lái)，其中包括的(de)軟件需求、開發設計、測試、部署、應用(yòng)這(zhè)些環節在軟件工程中早有體現。

在計算(suàn)機軟件開發行業，有一個(gè)著名的(de)開發模型叫”瀑布模型”，該模型雖然批評之聲甚多(duō)，但還(hái)是在軟件開發行業得(de)到了(le)廣泛應用(yòng)。瀑布模型将軟件生命周期劃分(fēn)爲制定計劃、需求分(fēn)析、軟件設計、程序編寫、軟件測試和(hé)運行維護等六個(gè)基本活動，并且規定了(le)它們自上而下(xià)、相互銜接的(de)固定次序，如同瀑布流水(shuǐ)，逐級下(xià)落。瀑布模型的(de)突出缺點是不适應用(yòng)戶需求的(de)變化(huà)。瀑布式方法在需求不明(míng)并且在項目進行過程中可(kě)能變化(huà)的(de)情況下(xià)基本是不可(kě)行的(de)。将傳統意義的(de)瀑布模型稍加改造就可(kě)以得(de)到下(xià)面常見的(de)V模型。

上面提到的(de)V模型将測試分(fēn)爲”單元測試”、”集成測試”，”系統測試”、”用(yòng)戶測試”，強調了(le)在開發過程中每一個(gè)步驟中都采用(yòng)不同的(de)測試形式，包括屬于靜态測試的(de)代碼審查和(hé)代碼走查，以及實際程序運行的(de)動态測試，從而避免将全部測試工作堆積到最後。

GAMP中的(de)V模型

對(duì)于GAMP中V模型，同樣是從需求的(de)明(míng)确開始，制定用(yòng)戶需求說明(míng)書(shū)（User Requirement Specification URS），功能規格說明(míng)書(shū)（Function Specification，FS），設計規格說明(míng)書(shū)（Design Specification,DS),系統開發，測試（單元測試、集成測試、系統測試），安裝驗證（IQ） ，操作驗證(OQ)，性能驗證（PQ）、系統運行、退役。對(duì)于上述的(de)軟件開發生命周期圖，如果我們将”系統設計”與”設計說明(míng)”等同，将”用(yòng)戶接受度測試”與”性能測試”等同，則計算(suàn)機系統驗證的(de)CSV圖中左側多(duō)了(le)FS，右側多(duō)了(le)IQ、OQ。可(kě)以認爲GMP下(xià)的(de)計算(suàn)機系統驗證在軟件行業的(de)V型圖上擴展而成的(de)，而且更注重終端用(yòng)戶的(de)參與。

計算(suàn)機系統在GMP環境下(xià)的(de)驗證流程既然是在軟件開發模型上擴充而來(lái)，那麽回到我們原來(lái)的(de)問題上，作爲終端用(yòng)戶到底要在整個(gè)流程中扮演什(shén)麽角色？是需要成爲一個(gè)無所不通(tōng)的(de)全才嗎？對(duì)比之前舉過的(de)GMP廠房(fáng)建設的(de)例子，我們其實隻需要做(zuò)用(yòng)戶該做(zuò)的(de)事，擅長(cháng)的(de)事。在上圖中，采用(yòng)淺藍色底色的(de)流程節點是需要終端用(yòng)戶起到主要責任的(de)，而深綠色底色的(de)部分(fēn)，則可(kě)以交給計算(suàn)機系統的(de)供應商去做(zuò)，用(yòng)戶需要做(zuò)的(de)是監督與審查。對(duì)于完全定制化(huà)的(de)系統，由于風險較高(gāo)，用(yòng)戶可(kě)以在軟件開發的(de)過程中介入得(de)深一些，而一些商業化(huà)成熟化(huà)的(de)産品則可(kě)以介入得(de)少些。需要注意的(de)是，這(zhè)裏所說的(de)用(yòng)戶的(de)監督與審查，并不單指項目過程的(de)監督和(hé)審查，還(hái)包括項目啓動之前的(de)供應商選擇和(hé)産品選擇，在質量審計時(shí)應能出示翔實的(de)供應商審計報告和(hé)産品選擇論證報告。

總結：

  •  CSV更多(duō)的(de)是由用(yòng)戶驅動的(de)，應該由供應商，企業IT部門，QA部門和(hé)咨詢商協同工作的(de)過程，而不是QA唱獨角戲。GMP新附錄也(yě)強調了(le)”在人(rén)員(yuán)配置方面”應當确保有适當的(de)專業人(rén)員(yuán)，對(duì)計算(suàn)機化(huà)系統的(de)設計、驗證、安裝和(hé)運行等方面進行培訓和(hé)指導。”

  •  用(yòng)戶必須編寫URS，作爲計算(suàn)機系統驗證的(de)基礎。

  •  供應商必須提供能滿足URS的(de)FS，DS。

  •  用(yòng)戶需要介入驗證過程的(de)每一步驟（對(duì)于定制化(huà)開發需要介入更深，對(duì)于已經商業化(huà)的(de)軟件則可(kě)以淺一些，定制化(huà)程度越高(gāo)，用(yòng)戶方就要介入得(de)越多(duō)）

  •  除了(le)對(duì)新的(de)計算(suàn)機驗證，還(hái)要對(duì)舊(jiù)的(de)計算(suàn)機系統進行回顧性驗證，對(duì)于有重大(dà)改動的(de)要重新驗證。對(duì)于已經有的(de)系統，如果沒有FS，DS，可(kě)以在現有系統基礎上通(tōng)過反向工程的(de)方式得(de)到。

  •  業務風險與合規風險是評估驗證優先級的(de)依據。

  •  文檔準備，URS，VP（驗證計劃），PP（項目計劃），系統選型報告，供應商審計報告，FS，DS，供應商測試計劃與測試結果，跟蹤矩陣，風險分(fēn)析報告，網絡與基礎設施鑒定，IQ腳本與驗證結果，OQ腳本與驗證結果，SOP（标準操作規程，培訓材料，培訓記錄），PQ腳本與驗證結果，驗證總結報告。