图1 风险评估、风险管理和风险交流三者的关系

新版GMP的颁布，增加了质量风险管理的内容，药品的风险管理引起业内人士的高度关注和重视。本文就质量风险的历史背景以及方法种类作了简单介绍，并根据龙沙工程的经验，阐述了HAZOP和FMEA两种方法的具体应用。

历史背景

2002年美国FDA首倡在质量体系中运用风险管理方法，2008～2009年，SFDA已经多次通报暂停有关药厂的中药注射剂生产，药品的风险管理再度引起业内人士的关注和重视。药品质量风险管理贯穿于药品生命周期各个阶段。在药品设计、开发、注册、生产、销售、流通等各个阶段都要实施风险管理。对药品实施风险管理既是药品生产企业必须承担的职责和任务，也是政府监管药品的重要举措和内容。随着ICH Q9质量风险管理的正式颁布，FDA和欧盟都将推进药品质量风险管理系统化工作为药品质量管理体系的一个重要工作进行开展。

2011新版GMP已于3月1日正式施行，其中关于质量风险管理的描述如下：“进一步完善了药品安全保障措施。引入了质量风险管理的概念，在原辅料采购、生产工艺变更、操作中的偏差处理、发现问题的调查和纠正、上市后药品质量的监控等方面，增加了供应商审计、变更控制、纠正和预防措施、产品质量回顾分析等新制度和措施，对各个环节可能出现的风险进行管理和控制，主动防范质量事故的发生。”

由新版GMP可知，现有药品生产企业将有不超过5年的过渡期，对自身的产品风险程度按类别分阶段达到新版的要求。质量风险管理作为贯穿药品产品生命周期和药品企业运营全过程的一种手段，已达到一个前所未有的高度。

图2 龙沙工程的HAZOP分析实质是工艺分析的一种系统化架构

方法种类介绍

新版GMP第二章第四节的第十三至十五条阐述了质量风险管理的方式和评估方法。风险管理作为风险分析的一部分，同样是一个基于科学、按照结构化方法进行的、开放透明的过程，如图1所示。

质量风险管理的分析思路是清晰的，可能在不同情况下，分析模式会有所不同，但一个完善的过程会更加详细地整合并考虑到所有因素，并与具体的风险具有相同的水平。

启动风险管理过程，通过在评估过程中对风险进行辨识/分析/评价，对于被分析的风险有一个细化的认识，下一步才能通过各种控制方法来降低风险的危害性，这些控制方法包括工程技术或程序管理等方面。只有当风险的危害性降低到可接受的程度时，方可关闭风险管理过程。需要强调的是，在分析过程中，管理工具只是一个载体，更为重要的是风险沟通要足够深入和充分。

常见的质量风险管理方法包括但不限于：

基本风险管理简易方法（流程图，查核表法等）；

故障模式效应分析（FMEA）；

故障模式影响与严重性分析（FMECA）；

故障树分析（FTA）；

危害分析关键控制点（HACCP）；

危害及可操作性分析（HAZOP）；

预先危险分析（PHA）。

实例分析——HAZOP和FMEA

在龙沙工程，常用的分析方法有HAZOP和FMEA。

龙沙工程的HAZOP分析实质是工艺分析的一种系统化架构（见图2），通过节点划分将装置划分为多个分析单元，对每个单元在正常工艺状态下，控制何种参数可使单元正常运作，从而确定关键参数；通过头脑风暴，辨认可能出现的偏差并进行讨论分析，最终得出评估结果。

值得一提的是，通过结合HAZOP方法和龙沙集团自主开发的专用于风险分析的RAMS软件(Risk Analysis Management System)，能有效地提高风险分析的效率，并能提高风险分析的准确性与有效性。

图3 FMEA依靠的是对工艺和产品本身的理解，将复杂的工艺分割成小的、可管理的步骤进行分析。此方法是汇总失效项目、失效原由和可能后果的重要模型

而龙沙工程在做GMP风险分析时，会选用故障模式效应分析(FMEA)方法，这是一种用来确定潜在失效模式及其原因的分析方法，最早应用于美国国家宇航局。

FMEA提供了工艺的潜在失败模式的评估方法，并据此评估失效的后果及其对产品性能的影响。一旦失效模式被建立起来，就可以用于估计、涵盖、减少或是控制潜在的失效行为。FMEA依靠对工艺和产品本身的理解，将复杂的工艺分割成小的、可管理的步骤进行分析。此方法是汇总失效项目、失效原由和可能后果的重要模型，如图3所示。

GMP风险分析的准备

此段所描述的GMP风险分析的准备是由验证主管（或具备相关资格的人员）负责，应当在风险分析小组召集之前准备，以便节省GMP风险分析的时间。应根据车间的大小和安装的设备的复杂性来决定执行其中一个级别的GMP风险分析：单元/系统级别、子项目级别和项目级别，并列出风险分析区域内所有的功能位置。接下来需准备用于风险分析的文件，如验证计划（VP）、用户需求说明（URS）、功能描述（FS）和工艺流程图等，成立由各专业人员组成的风险分析小组，并将各文件在文件管理系统里存档。

GMP风险分析的执行

完成上述准备工作后，验证主管召集GMP风险分析小组成员参与分析会议。在分析中详细记录单元或系统的工艺描述，划分工艺步骤，列出对象的所有GMP关键参数，将风险编号、功能步骤和对象设备填入失效模式和影响分析法矩阵（FEMA矩阵），在其中记录可能的故障及其发生原因，并找出该风险的影响因素，分析其发生频率（O）、对产品影响的严重性（S）以及可检查出的概率（D），每项占1～5分。

通过计算风险优先数RPN(Risk Priority Number)，即把事件的严重程度、发生的频率和可检测几率三者相乘，用来衡量可能的工艺缺陷，以便采取有效的预防措施。RPN=Severity(严重度)×Occurrence(发生频率)×Detection(检测等级)

图4 龙沙工程对反应系统进行GMP风险分析的一个实例

龙沙的标准是RPN大于或等于24，则属于关键风险，需采取必要措施，并记录措施的内容、分类、相关责任人和改进期限。初步分析完成后将进行剩余风险分析，完成“GMP风险分析措施执行表”，并在文件管理系统中归档储存。

GMP风险分析执行和完成

在风险分析会议里设定降低GMP风险的措施，应由相关负责人按计划执行并在限期内完成。每条措施都应当实时记录完成状态并署名、归档。在完成单元和系统确认报告的同时，应再次检查是否所有GMP风险分析措施已经完成。GMP风险分析完成的报告会最终转移进“项目确认报告中”，并完成文件的归档储存工作。

图4是龙沙工程对反应系统进行GMP风险分析的一个实例。针对反应工段中的接受罐系统进行GMP风险分析，根据PID可归纳出接受罐的工艺步骤：具备回路循环功能；具备把溶液泵入罐体的功能；具备取样功能；具备液位显示功能；具备溢流保护功能；自带TCM系统具备加热冷却功能。

对于工艺步骤1可能出现故障为管道中没流量，故障原因是泵损坏。其发生频率（O）为2，说明该故障出现的最大频率是3x/年，属于“低”频率事件；对产品影响的严重性（S）为2，说明该故障是属于技术或组织的问题，属于“低”影响事件；可检查出的概率（D）对应为1，说明该故障通过报警系统和监控，可以立即被发现。属于“非常高”检测率事件。风险优先数RPN为4，属于相对安全的工艺缺陷，并不需要采取措施。

而对于罐体的尾气排放系统，由于尾气管道的控制阀不能正常运作，当尾气系统压力过高或罐体的压力过低，容易出现尾气反串到罐体，形成交叉污染。其发生频率（O）为1，说明该故障极少出现，频率约为1x/年，属于“非常低”频率事件；对产品影响的严重性（S）为2，说明该故障是属于技术或组织的问题，属于“低”影响事件；可检查出的概率（D）对应为2，说明该故障可以很快被检测到，属于“高”检测率事件。风险优先数RPN同样为4，但小组讨论认为应制定相应措施来降低风险，定义一个新的连锁：当罐体的压力低于尾气压力时，应自动关闭尾气，并在功能确认测试中进行检验。

小结

质量风险管理是以保护公众利益为根本目的的一个过程，药品生产企业只有结合自身实际，制定降低风险的措施并坚持不懈地实施下去，才能真正发挥风险管理的作用，达到质量期望和成品的合理平衡。