我国2010版GMP第十四章附则第19条对计算机化系统的定义：用于报告或自动控制的集成系统，包括数据输入、电子处理和信息输出。国际上对计算机化系统的定义绝大多数是引用了PIC/S检察指南PI011-3中的定义：计算机化系统是由计算机系统和被其控制的功能或流程组成。

从以上定义中可以看出，计算机化系统不仅仅包括计算机系统本身，还包括受控的功能和过程，甚至包括系统的运行环境。图1为计算机化系统关系图。计算机系统是一个媒介，连接着人员与设备，有资质的且经过培训的人员可以根据计算机系统得到相关设备或工艺的实时监控信息，从而根据操作规程对计算机系统进行操作，控制具体的工艺或设备，实现最终管理。

一、计算机化系统概述

计算机化系统的组成

在计算机化系统的所有组成部分中，计算机系统的硬件和软件是最重要的组成部分。其中，把计算机系统软硬件分为标准化软硬件和定制类软硬件两类。GAMP5中又将硬件分成两类，将软件分成四类，如图2所示。

硬件分为标准硬件与定制硬件。目前，大部分公司所使用的硬件都属于标准硬件。 硬件具体说明如表1所示。

软件分为四种类别，这四种类别的分类是指导性的，其间并没有严格的分界线。软件具体分类说明如表2所示。

制药企业计算机化系统的类型

狭义的计算机化系统指的是自动化控制系统，但是除了自动化控制系统之外，广义的计算机化系统包括了整个自动化和信息化的系统，它涵盖了一切计算机设施，从简单的I/O设施、 PLC可编程逻辑控制器到综合的计算机管理信息系统等，都属于计算机化系统。据此，制药企业常用的计算机化系统的主要类型如图3所示。

制药企业计算机化系统验证

制药企业计算机化系统验证是GMP管理的一个重要组成部分，根据GMP的要求，制药企业计算机化系统验证是通过建立文件来证明计算机化系统能够提供满足用户需求的功能，并且能够稳定工作，包括应用程序的验证(软件方面的验证)和基础架构的确认(硬件方面的确认)。在进行计算机化系统验证之前，应进行科学的风险评估以确定验证的范围和程度，并将其看作计算机化系统生命周期的一个组成部分。

在进行计算机化系统验证时，需根据系统所属类型来决定验证的方式。ISPE调整与确认指南(C&Q)中把自动化系统或设备分为独立的控制系统(Stand-alone)和集成的控制系统(Integrate)：独立的控制系统即为一对多模式，一个计算机化系统控制多个设备或工艺系统，需要单独进行计算机化系统验证，有单独的确认方案和确认计划;集成的控制系统即为一对一模式，一个系统只控制一个设备或工艺，它的验证常常和设备验证结合在一起。

二、基于GAMP5的制药企业计算机化系统验证实施的研究

GAMP5对验证流程提出了明确的要求，也就是需要遵循验证生命周期V模型。 根据V模型(图4)，制药企业计算机化系统验证要经历5个阶段，分别是计划阶段、 规范阶段、 配置/编程阶段、 确认阶段和报告阶段。图5为根据软件分类可增减的验证生命周期V模型。

V模型计划阶段

计划阶段需要编写的计划有验证主计划(VMP)和质量及项目计划(QPP)。验证主计划是验证工作的总计划，验证主计划一般由制药企业根据GMP要求进行编写，来定义验证的范围和策略、 验证的时间进度安排、 验证的人员组织架构、 验证文件的模板等。质量及项目计划一般由计算机供应商编写，包括质量计划和项目计划。 质量计划是指供应商对其设计并生产出的计算机化系统以满足用户验证的质量要求的计划，项目计划是指供应商对项目的时间进度安排做出具体计划以满足制药企业验证总计划的要求。

根据GMP要求，计划阶段还需要进行供应商的评估与选择，来确认计算机化系统能够满足企业的工艺、 技术等要求，同时确认能够充分利用供应商的知识、 经验和文件，为测试和验证环节提供重要的参考文件。

供应商评估有三种形式：

(1)基于现有信息的基本评估(适用于分类1的硬件和分类1、 3的软件系统);

(2)使用调查问卷形式进行邮寄方式审计(适用于分类2的硬件和分类4、 5的软件系统);

(3)通过相关的专家、 审计员或审计小组进行现场审计(适用于复杂的5类软件系统)。

通过供应商审计来识别供应商质量管理体系以及其能力水平方面的风险，要求有文件化的证据来证明该计算机系统能够如所预期的持续运行，并确保软件结构和功能的完整性。

V模型规范阶段

规范阶段涉及到的文件有用户需求说明(URS)、功能说明(FS)、设计说明(DS)、软件模块说明(SMS)。根据软件类别的不同，所需要的相应规范文件也不相同。如表3所示

V模型配置和/或编程阶段

配置和/或编程阶段包括源代码审核以及软硬件的配置集成。源代码审核是5类软件系统所特有的，因为5类系统里含有供应商的自定制代码，所以需要制药企业的计算机专家进行源代码审核。 审核源代码的意义在于确认代码的编写符合通用编程规范的要求以及代码的使用符合软件设计的要求。如果供应商需要对源代码进行保密，在这种情况下，就必须以合同的形式来对双方责任进行明确界定。

V模型确认阶段

确认阶段需要进行的测试有软件模块测试、 供应商内部集成测试、 功能测试、 需求测试。 根据软硬件类别的不同，需要选择不同的确认模式。确认阶段与规范阶段是一一对应的关系。

软件模块测试是5类软件特有的测试，与软件模块说明相对应，证明该软件的自定义模块是按照模块说明进行设计的。供应商内部集成测试(VIT)是供应商自己内部对软硬件进行的测试，在工厂验收测试(FAT)和现场验收测试(SAT)之前，通过进行供应商内部集成测试，可以避免出现太多偏差，保证FAT和SAT的效率和成功率。工厂验收测试是设备或系统在发货前，在用户的见证下，由供应商在生产场所对软硬件进行的测试。

现场验收测试是当设备或系统运到客户手中后，对其进行的系统测试。功能测试时进行运行确认(OQ)，测试并确认设备或系统能够按照功能说明中的功能运行。需求测试时进行性能确认(PQ)，测试并确认系统能在真实的生产条件下运行。

V模型报告阶段

验证总结报告(VSR)与验证主计划相对应，总结是否按照V模型进行验证，重点总结验证过程中的变更、 偏差及纠正预防措施，对生产、维护的指导意见。验证总结报告是对自控系统在整个验证生命周期所做的工作结果的总结性质的报告文件，准确、详尽的计划和报告是进行有效与成功管理的关键，验证总结报告通常是系统相关的重要文件。

三、制药企业空调自控系统的验证实例

为了便于说明问题，以企业常用的 “PLC+触摸屏” 组合的空调净化系统的自控系统为例，具体说明基于GAMP5进行的计算机化系统验证。根据GMP要求以及空调净化系统对药品质量的重要影响，这个系统可进行V模型验证。

供应商评估与确认

表4为供应商评估表。通过审计打分的方法选择合适的供应商，找到关注的重点和供应商在验证工作中参与的平衡点，从而通过文件规定哪一部分工作由供应商做，哪一部分工作由制药企业做或者由第三方验证机构做。 用户可以有选择性的对供应商不足之处带来的潜在风险进行管理，可以通过验证检查或其他控制措施来管理，不要重复供应商的活动。 若以分值高低最终选择了C供应商，则用户需要加强现场施工技术方面的监管及设计审查，在文件和合规方面可充分利用供应商的活动。 如果用户已经对供应商及其文件进行了评估并确定合适，那么供应商文件包括测试文件就可以作为验证文件的一部分使用。

软硬件分类评估

根据GMP和GAMP5要求，对软硬件分类进行评估，识别其风险，从而确定验证的深度或程度，为制定出适宜的可增减验证生命周期某个阶段作依据。空调自控系统硬件及软件分类表如表5、 表6所示。

对自控系统进行风险评估

在制定适宜的验证V模型，在空调自控系统验证方案中规定供应商职责，编制用户需求说明( URS)的基础上，进行该系统的风险评估。

1、 部件关键性评估( CCA)

确定部件关键性评估问题，对每个部件进行评估，确定是否为关键部件。如果部件关键性评估问题中任意一个问题答案为 “是” ，则部件被判定为关键部件，否则为非关键部件。如表7所示。

对空调自控系统的部件进行关键性评估，部分评估结果如表8所示。

2 、功能性风险评估

对关键部件可能发生的风险进行评估，通过失效模式与效果分析确定各个风险的等级。 如表9所示。

在对各风险进行全面的分析后 ，根据公式RPN=S×P×D计算风险优先数(RPN)，根据计算所得到的RPN分值大小排序，得到了风险控制中的关键控制点，风险分级如表10所示。

对空调自控系统的关键部件进行功能性风险评估，确定风险级别，如表11所示。

3、实施并核实控制措施，进行风险再审查

在进行功能性风险评估之后，对高风险或中等风险的事件实施风险降低措施，并对采取措施后的风险进行重新评估，如表12所示。

配置测试/安装确认

1、 文件资料确认

(1)确认目的：确认系统安装资料齐全，满足使用要求。

(2)确认方法：检查开箱验收记录及相关资料，记录到货的设备使用说明书、主要部件使用说明书、合格证书和相关图纸等信息，并对相关文件的内容进行必要的核对与检查。

(3)可接受标准：使用说明书详细齐全，图纸(包括安装图纸和电气图纸)与系统的实际状况一致。

2、 软硬件确认

(1)确认目的：确认系统的软硬件符合要求，硬件在位并完好。

(2)确认方法：记录各部件的规格型号及主要参数。

(3)可接受标准：所需部件在位并完好，规格型号、 制造商以及数量与部件清单一致，标签清晰，设备的参数可以满足工艺使用要求。

3、 仪器、 仪表安装确认

(1)确认目的：确认与设备配套的仪器仪表能够满足设备的使用要求。

(2)确认方法：检查各仪器仪表的规格量程，记录其检定证书的编号，确认仪器仪表检定合格。

(3)可接受标准：各配套安装的仪器仪表经检定合格，其规格量程能够满足设备的使用要求。

4 、现场设备安装和接线确认

(1)确认目的：确认现场设备的安装和接线满足设备的使用要求。

(2)确认方法：检查设备的安装和接线是否与安装图纸一致，软件的安装是否符合规范要求。

(3)可接受标准：现场设备安装牢靠，安装位置便于维护、 符合监控测量及空调工艺要求。所有接线与电路图一致，接线牢靠。

5、 安装竣工图纸确认

(1)确认目的：确认系统的安装竣工图与现场实际安装情况一致，便于日后维修检查。

(2)确认方法：对比系统安装竣工图、 原设计图与现场实际施工情况之间的差异并记录。

(3)可接受标准：系统安装竣工图可以准确反映设备的实际安装情况。

功能测试/运行确认

1、权限测试

(1)确认目的：检查运行程序的参数管理有无密码管理或权限设置，并确认其密码管理或权限设置符合预定要求。

(2)确认方法：检查程序的正常运行模式、 运行参数修改模式是否分权限管理，是否需要密码进行更改设置，操作员权限与管理员权限是否严格区分。

(3)可接受标准：操作人员可凭正确密码对空调系统进行操作，参数及模式的修改只能由系统管理员凭正确密码方可完成。

2、人机界面测试

(1)确认目的：检查人机界面操作画面及功能正确。

(2)确认方法：对照操作说明文件，逐一检查人机界面的状态显示、 导航、 按钮功能、 层级结构、 权限、设置等与说明文件一致。

(3)可接受标准：人机界面操作画面及功能与说明文件相符。

3、I/O信号测试

(1)确认目的：确认系统内各输入输出信号正常，包括AI/DI/AO/DO各输入输出功能点。

(2)确认方法：将现场设备按表13所述方法，在编程软件下进行输入输出量测试，在电脑软件上手动改变各AO/DO点的值，检查各执行部件的AI/DI的反馈状态，确认系统各项功能运行正常。

(3) 可接受标准：在手动改变AO/DO的情况下，各AI/DI点的实际反馈正常。

4、报警功能测试

(1)确认目的：确认初、 中、 高效过滤器的压差超过设定的范围时，系统能够有报警提示。

(2)确认方法：通过设置挡板的方式人为改变初、 中、 高效过滤器的压差，使得相应传感器的实测值超出过滤器的报警范围，制造报警现象。

(3)可接受标准：当初效过滤器压差大于100 Pa，或中效过滤器压差大于200 Pa，或高效过滤器压差大于500 Pa时，操作界面报警状态栏红色闪烁，并在报警信息栏中记录。

5、联锁功能测试

(1)确认目的：确认风机与相应电动阀的联锁控制功能正常。

(2)确认方法：通过改变风机的运行状态，观察相应电动阀的开关状态。

(3) 可接受标准：排风机和排风阀联锁关闭，排风机关，排风阀关;送风机和蒸汽加湿、 冷热水电动阀联锁，送风机关，蒸汽加湿、 冷热水电动阀关。

6、数据采集、 传输准确性测试

(1)确认目的：确认设备传感器采集的数据准确，并在传输过程中没有明显偏离。

(2)确认方法：将温湿度计及手持式数字压差计与现场的测量仪表放置在同一工作环境中，记录数值，比对两者的测量数据是否存在明显差异。

(3)可接受标准：显示值与实测值相比无较大差异：温 度差 值<1 ℃ ，湿 度 差 值<5% ，压 力 差值<3 Pa。

7、 断电测试

(1)确认目的：确认系统断电后重启各项功能运行正常。

(2)确认方法：切断控制系统的电源，重新供电，查看系统的启动方式和重启状态。

(3)可接受标准：系统断电重启后，各项功能参数与断电之前相一致，运行状态正常。

8、 数据存取测试

(1)确认目的：确认系统的各项关键参数能够在保存期限内保存并查看，存储路径正确，并可以形成数据报表。

(2)确认方法：查看系统软件的运行参数记录，并调取某一时间段的记录进行确认，检查最早的历史记录时间。

(3)可接受标准：在 “历史数据” 一栏中，可以查看系统一个月内的历史运行数据，在 “报表历史查询” 一栏中可以选择历史数据并形成数据报表。

9、备份与恢复测试

(1)确认目的：确认有完整可靠的备份和恢复流程，包括软件备份和数据备份，防止系统崩溃或硬盘故障等造成软件和数据的丢失。

(2)确认方法：通过审核备份和恢复的书面规程，进行备份流程测试和灾难恢复测试。

( 3)可接受标准：软件和数据均可被有效备份和恢复。

10、 审计跟踪测试

(1)确认目的：确认审计跟踪功能、 数据显示及存储功能正确。

(2)确认方法：通过人机界面检查操作和报警记录，确定跟踪信息被正确储存。 进行登录退出、 设定或更改参数、 修改密码等活动，观察操作活动相关信息(时间、 参数、 操作人员ID、 结束时间)是否可以被正确跟踪。

(3)可接受标准：审计跟踪功能正确执行，可以正确显示并存储。

需求测试/性能确认

1、温湿度自动控制功能测试

(1)确认目的：确认空调系统自动运行时，温湿度可得到有效控制。

(2)测试方法：空调系统运行所需的各公用介质系统供应正常后，设置系统为自动运行状态，即为正常运行模式，设定温度为23 ℃，湿度为50%。 送风区域不进行工作，为静态状态，待系统运行稳定且所控制区域的温湿度稳定后，进入相应控制区域进行现场采样测试。每个空调机组送风区域设5个采样点，记录相应数据。

(3)可接受标准：采样点的温度偏差≤±2 ℃，湿度偏差≤±5%。

2 、压差自动控制功能测试

(1)确认目的：确认空调系统在自动运行状态下，各执行元件的执行动作准确，洁净区压差能够得到有效控制。

(2)测试方法：空调系统运行所需的各公用介质系统供应正常后，设置系统为自动运行状态，即为正常运行模式，设定各系统的房间静压差为15 Pa。送风区域不进行工作，为静态状态，待系统运行稳定且所控制区域的压差稳定后，进入相应控制区域进行现场采样测试。每个空调机组送风区域设5个采样点，记录相应数据。

(3)可接受标准：各采样点压差计的显示值稳定，且始终维持在(15±3)Pa之间。

3 、系统运行模式自动控制功能测试

(1)确认目的：分别设置系统以正常模式、 值班模式、 消毒模式和排毒模式四种不同模式进行自动运行，确认风机和相关阀门等执行元件能够正常运行。

(2)确认方法：系统按设定的模式进行自动运行，操作人员现场确认各执行元件的执行状态是否符合设定要求。

(3)可接受标准：各模式下执行部件均按设定的程序指令执行，自动控制功能执行准确。

最后，验证总结报告包括对供应商评估的总结、 对生命周期各阶段活动的总结(计划阶段总结、规范阶段总结、 配置和/或编程阶段总结、 确认阶段总结、 报告阶段总结)、 对交付文件及责任的总结、对偏差和纠正措施的总结等内容。

四、结语

计算机化系统在我国制药企业的运用已经非常普遍，但由于在计算机化系统验证方面缺乏足够的法规与指南的支持，导致我国制药企业难以开展规范的计算机化系统的验证工作。2010版《药品生产质量管理规范》附录 “计算机化系统” 已经发布，自2015年12月1日起施行。意味着我国医药企业的计算机化系统必须通过验证来确保系统稳定可靠的运行，以满足预定用途且符合法规要求，进而提高药品质量与质量安全水平。但是，新版法规并没有指导制药企业如何进行计算机化系统验证，因此本文通过对GAMP5这一国际通用的计算机化系统验证指南的理论研究和实例分析，证明我国制药企业可以将GAMP5与我国验证的实际情况相结合，制定完整可行的计算机化系统验证方案。

本文作者：秦垚，梁毅

本文来源：机电信息