质量风险管理需要支持规范设计和验证过程，并在每一阶段适当应用，工艺风险分析的作用绝不仅仅只限于在工艺验证中应用。良好的工艺风险分析可以指导制药企业的厂房设计、设备选型、工艺验证和工艺维护等关键行为。

SFDA颁布的《药品生产管理规范（2010年修订版）》引入了“质量风险管理”的概念，并提出了“企业应当确定需要进行的确认或验证工作，以证明有关操作的关键要素能够得到有效控制。确认或验证的范围和程度应当经过风险评估来确定”的要求。

经过风险评估，在工艺验证前需确定各步骤的关键工艺参数及产品的关键质量属性，从而达到工艺验证的标准。当然，工艺风险分析的作用绝不仅仅只限于在工艺验证中应用，良好的工艺风险分析可以指导制药企业的厂房设计、设备选型、工艺验证和工艺维护等关键行为。

FDA颁布的工艺验证一般原则和方法（2011年1月，第1版）将工艺验证与产品生命周期概念以及现有的要求进行了整合。生命周期这一概念将产品与工艺开发、规模化生产工艺的确认以及保持工艺在日常规模化中的可控状态连接在一起。产品整个生命周期的风险管理流程包括以下阶段：

工艺设计；

工艺确认；

持续的工艺核实。

对于第一阶段工艺设计部分，新版GMP中并无明确需要（除杂质清除和去病毒工艺两种情况），但要保证所有需要的数据信息能够有效的收集。

本文将以产品整个生命周期中的生产、工艺及测试控制（生产）阶段，应用典型的风险管理流程图(如图1)进行生产工艺的风险分析。同时通过使用ICH Q9质量风险管理推荐的故障模式与影响分析 (FMEA)工具，如头脑风暴法、流程图等来进行典型制药工艺的风险分析。所有这些风险工具都可以用表格来代替，并且使用起来很简单。本文也会结合这一工具进行阐述。

工艺风险分析的基本流程

本文阐述的制药工艺风险将根据如图2所示的工作流程图进行逐一的阐述和讲解。需要注意的是，此工作流程中每个阶段都会存在风险沟通的行为。

生产工艺风险评估涉及的专业领域多，因此就需要一个在整个产品生命周期内合理而有效地运作模式，此时可借鉴“项目管理”的模式，组建一个项目团队，通过建立良好的文件记录来确保风险评估的准确性。

ISPE指南中推荐成立SME(Subject Matter Expert)小组，即主题专家小组（如图3）。在成立SME小组时，需要考虑两项关键信息，其一是在评估小组成员中应有具备一定经验水平的主导人，一个经验丰富的主导人对于结果是否成功是至关重要的。必要时评估小组主导人应有良好的决策作用；其二是评估现场应有专业人员，以避免评估时出现缺陷。

该小组成立的时间并不十分严格，建议在产品开发过程中，就应当适时的组建起合适的团队，团队既可以组织、协调控制工艺开发项目的发展，还可以在需要的时候进入SME小组提供专业的指导意见，因为在此工艺应用于生产之前以及在正式生产的最初一段时间内，没有人比他们更了解工艺的变异情况。

同时，在进行工艺风险评估工作之前需要具有如下文件资源：工艺注册文件；产品说明和产品质量标准；工艺描述；工艺流程图；生产批记录/批指令（如有）；产品质量标准；供应商评估（如适用）；工艺开发过程中对CPP和CQA研究的报告；工艺开发过程中研究过的关于操作参数范围的研究数据；各种试验设计（DOE）分析报告；稳定性试验的数据和报告。

评估小组成员应熟悉上述资料，从而在风险分析过程中便能够有效地依据历史经验和科学数据进行风险评估。

风险识别是指参考风险问题或风险描述，系统地利用信息来确定可能的危害（危险）因素的过程。这种信息可能包括历史数据、理论分析、指导性的意见以及所关心的事宜。风险识别针对的是“哪里会出现问题”，包括确定其可能的后果。在生产工艺风险分析过程中识别的侧重点应为工艺单元及其输出的关键质量属性。

每一个工艺都是由许多工艺步骤组成的，每一个工艺步骤都由许多输入条件组成，每一个输入都可能带来一个输出的结果，这些输出都会带有一定的质量属性，如图4所示。

通常，输入是确定的一个设定点，而工艺允许输入在一定范围中浮动，但由于系统误差的存在，设备实际的表现值也是在一定范围中变化的，这个系统误差是固有的，因此输出（质量属性）不可能是一个固定的值，而是一个范围值（如图5）。工艺的风险分析则是需要对每一步工艺步骤进行分析，考虑本步操作会对其输出（质量属性）造成的危害，再根据风险分析的原则确定控制策略，从而减低风险的可能性、危害性，提高可检测性，进而降低风险，使风险达到可控的程度。

一旦各个操作工序确定，就需要识别每个工序中的关键质量属性。关键质量属性通常是由研发阶段或历史数据确定。识别明确定义的产品和明确描述的工艺过程需要首先聚焦在与产品相关联的关键质量属性上，如外观、纯度、有关物质、含量 、微生物负荷、内毒素。

关键的工艺参数就是那些影响关键质量属性的操作参数，这些操作参数通常有较窄的操作范围，而操作范围则取决于所需要的工艺参数范围与实现此工艺参数系统的性能之间的关系，比如工艺过程中需要控制±3℃的工艺范围，如果使用一个温室（洁净恒温室），则此工艺参数相对于系统来说就比较窄，因为采用HVAC系统进行房间温度调节，实现±3℃的横向（同一时间的温度分布）和纵向（同一点的历史数据）的保证是比较困难的。而对于一个合格的湿热灭菌柜来说，这个范围则相对较宽。

危害的定性及定量

风险分析是对所关联已经确认了的危害因素进行估计。这是将危害发生的可能性及其危害性联系起来的一种定性或定量过程。在确定CQA之后，将分析每个已经确定的关键质量属性的可能失效情况，如外观不符合要求；纯度不符合要求；含量不符合要求；有关物质超标；微生物负荷超标；内毒素超标。

此外，还需分析确定工序中的各操作参数对关键质量属性失效的潜在影响，典型的操作参数有温度、时间、压力、转速、重量、体积。

风险评价是将所确定和分析的风险与所给定的风险标准进行比较的过程。

风险评价过程中考虑了所有3个基础问题的证据强度。风险评价三要素为严重性、可能性和可检测性，可使用定性或定量的描述。风险评估的表达将使用定性描述，如“高”、“中”、“低”。一个风险的判定依靠风险优先性（RPN）来定义。

危害的严重程度被认为是这3项风险参数中最为重要的一个。 一般而言，风险的严重度高不应当依赖于检测机制来降低风险的评级。评估时应考虑联系最终产品质量的失效。以下为某一给定危害的严重程度评价示例：

高(H)：有害事件的影响较严重；

中(M)：有害事件的影响中等；

低(L)：有害时间影响较小。

所识别出危害的发生可能性是下一种最为重要的风险成分。如果其发生的可能性非常低，即使是严重程度高的危害也不一定要采取特别措施来进行控制或预防。评估时可基于历史数据。以下为某一给定危害的发生可能性评价示例：

高(H)：经常失效；

中(M)：偶尔失效；

低(L)：几乎不会失效。

一旦发生了某项可能会导致危害的不良事件，在将问题产品放行至下一步加工步骤或商业销售之前进行检测、纠正、或拒绝的能力变得尤为重要。对于某一给定缺陷而言，这些评估均在很大程度上取决于检测方法的类型、自动或手动、查看的能力或破坏性测试。以下为某一给定缺陷的检测可能性评价示例：
高(H)：失效随时会被发现；

中(M)：可能不能发现；

低(L)：定期检查可以发现。

将严重性和可能性合在一起评价风险级别，之后再将风险级别和可检测性合并到一起以确定整体的风险优先性。风险级别的判定和风险优先性的判定如图6所示。

风险评估的目的，是根据每个工艺单元所执行的操作功能而确定其最高的风险优先级别，而后采用风险优先级别的高低来决定适宜的控制方法并确定确认或验证工作的范围。对溶解工序进行风险分析时确认的危害进行全面的审查，以保证确定出所有的潜在风险并对其进行评估。

评估小组成员通过以上的风险识别、分析、评价工作将生产工艺中的操作参数分成3类：重要参数；关键参数；非关键参数。每个参数的分级则是通过此操作对产品质量、安全性各方面的分析获得的。根据分析的结果，可以确定验证和其他控制措施的实施策略：

关键工艺参数（CPP）需要被着重关注，由此而产生的关键质量属性（CQA）则需要进行扩大的取样和监测；

关键的工艺参数在评估时发现有中等可能影响到产品质量和安全性时，也应在工艺验证方案中进行确认；

非关键的工艺参数则仅需进行监视即可。

降低风险的措施

风险控制策略的实施要以与风险级别相适应的形式来进行。降低风险的措施可包括降低危害的严重性和可能性时所采取的措施。提高危害和质量风险的可检测性程序也被用作风险控制策略的一部分。在实施风险降低措施的过程中，新的风险可能也会被引入到系统中，或提高了其它已有风险的显著性。因此，需要重新进行风险评估，以确认和评价可能的风险变更。

质量风险管理的基本宗旨就是“质量源于设计”的原则。良好的工艺设计能够有效地保证产品质量，在设计阶段及早并经常（重复地）对关键工艺参数进行考虑，对于是否可以得到成功结果至关重要。

对已识别出的风险进行控制的最佳解决方案，就是对生产工艺中控制关键工艺参数或关键质量属性相关设备或系统的设计进行挑战，以尽可能地清除或降低该项风险的发生。以下为两个实例：

为了降低产品纯度和含量的变化，各关键工序分布时采用线性工艺流；

为了降低生物负荷以及内毒素的污染，关键操作岗位尽可能采取密闭工艺。

降低风险的方式通常可以通过3个方面来实现：

降低危害性：改变危害性的方法通常是改变工艺本身的操作，如将除菌过滤改为湿热灭菌的工艺，或者在后续的步骤中增加针对这一风险的处理措施，比如为了降低单级过滤中除菌滤器泄露的风险，可以采用串联除菌滤器的方式进行工艺过程；

降低可能性：降低可能性的方法通常是改变工艺过程中人员行为、环境、设备和操作方式来降低的，比如为了降低配料过程中微生物污染的可能性，将原有C+A环境下的操作改为全密闭操作，而环境级别则改为C级，由于外界的空气和人员根本无法与产品接触，很大程度上便降低了微生物污染的可能性。

增加可检测性：增加可检测性一般通过增加工艺控制过程的频率和报告的次数来实现。通过人为的观察和报告来实现频率的增加，始终是有限的，如果采用自控系统则可实现实时的监测和报告，再加上适当的报警系统，则可大大提高可检测性。对于洁净室的高效过滤器堵塞情况的检测，多数公司都是根据对风量的检测判断高效是否堵塞，如果在高效的静压箱上游和下游之间增加压力传感器并将测得的数据传输给中央控制系统，则可为高效过滤器地更换提供有力及科学的依据。

清除或降低某一已识别出的风险的发生可能性的另一种策略就是实施与该项工作相关的GMP控制。如果相关GMP法规要求对如称量等操作要求双人复核，此项GMP控制措施即可提供必要风险控制以将发生可能性降低到可接受的程度。

如果生产工艺中某项风险不能通过设计或GMP的控制措施来清除，那么就要通过自控系统来对其进行控制。自控系统的设计可通过风险预防或提高检测性来保护患者免受某项已经识别出的质量风险的影响。当自控系统设计用于处理某关键工序中已经识别出的风险时，还需设计相关的报警和/或互锁。比如，为了减少人员干预造成的误差，为反应罐配置自动上料控制系统；为了提高装量差异的可检测性，为灌装机配置自动称量系统等。

通过人员来实现风险规避的程序控制是控制生产工艺风险中最后的选择，人员的行动不能够进行验证且可变性高，因此，不太适合作为提供产品保护的控制机制。以下选项只能尽量提高此种解决方案的可靠性：

良好的规程和文件；

关键工艺步骤和关键工艺参数：如工艺验证、偏差和变更；

关键物料和关键物料质量属性：如供应商审核、内控指标；

关键操作：SOP；

细致入微的培训：如灌装岗位应进行的培训有GMP知识、无菌知识、卫生知识、更衣知识、灌装操作知识、设备知识、清洁知识等；

直接监管：在关键操作所在区域实施电子监控，安装摄像头；

有效性的定期审核：关键工艺参数和关键质量属性。

实行风险降低措施可能把新风险引入系统中或加剧其他现有风险的严重性。因此实行风险降低过程后应重新检查风险评估，识别和评估风险中可能出现的变化。风险控制矩阵如表1和表2。

风险的接受、审核和沟通

风险接受可以是接受剩余风险的正式决议，也可以是一个被动决议，其中并没有指定残余风险。对于某些类型的危险，即使是最好的质量风险管理也不能完全消除。在这些情况下，可以认为已经应用了最佳质量风险管理策略且质量风险也降低到了一个可接受水平。典型的风险接受事件包括：

生产工艺中尽量减少意外或错误情况的程序和检测设备已经到位，但还是不能避免一些潜在的混淆；

工艺流程中已经尽可能减少了转运，但仍然存在一些可能的交叉污染。

定期进行审核以确保建议的措施能有效降低风险，并且不会给工艺带来新风险。审核和更新的执行应基于变更控制事件和响应，或发现的重要信息或数据，典型的风险审核阶段为：失败、偏差、变更、纠正预防措施。

在质量风险管理过程中，应在各个阶段进行风险沟通，可以风险管理会议、质量风险管理报告等方式出现。针对其预期的具体用途，对相关质量风险所进行的已形成文件的技术评价是指南和法规中要求的方法。评估小组可将上述活动形成工艺风险评估报告文件。一份风险评估文件的技术价值应取决于其内容的价值及其所包含的工艺知识。已形成文件的技术评价具有如下优点：

形式简单；

可针对一个具体的工艺和应用；

可将精力集中到已知风险上，并有效地利用运行经验/产品历史，从而不必将精力浪费到实际应用中不会发生的失效/危害方面；

代表一种可有效地获得风险评估的知识以备现在或将来之用的方式，可将时间更多地花费到风险控制的设计和实施方面，而不是在风险评估会议之中。

小结

本文讨论了应用风险分析的方法进行制药工艺的研究，其主要要点是：

生产工艺监控的重点将由生产工艺的关键质量属性（CQA）和关键工艺参数（CPP）决定；

生产工艺设计时，需要考虑能够对生产工艺中所有的关键质量属性（CQA）和关键工艺参数（CPP）进行充分的控制；

非关键的工艺参数则仅需进行监视即可。