生态毒理GLP实验室基于数据完整性的计算机化系统管理策略

汪丹，葛海虹，孙丹

1. 上海化工院检测有限公司，上海 200062 2. 生态环境部固体废物与化学品管理技术中心，北京 100029

自第三次科技革命以来，计算机化技术和电子信息技术蓬勃发展，广泛渗透至科学研究、医学医药、工业制造和生活消费等领域。新科技推动了社会生产力的发展，改变了数据产生和管理的方式，于此同时，也打破了原有的管理布局。在良好实验室规范(Good Laboratory Practice, GLP)领域，数据管理方式已经从过去以纸质为主导转变为如今的以数字为主导。与纸质数据相比，电子数据具有无形性、多样性、真实性和易破坏性等特点。因此，无论是监管部门还是行业机构，都已经清楚地意识到数据管理革新的紧迫感，也深刻地意识到冰山之下隐藏的关键是从体系到技术的全面改进。

从科技进步的角度来说，信息技术的发展是良性且有助于GLP行业发展的，但是新技术的引入将面临庞大和繁琐的验证工作，这也已经成为了新技术手段(如人工智能等)对接到GLP机构的隐形障碍。所以，出于保护供应商技术开发投入的热情和推进计算机化技术在GLP领域的应用的目的，监管机构也在不断地调整验证方法和手段，降低非必要和冗余的验证工作，鼓励建立基于风险评估的验证方法。目前，计算机化系统的管理要求正在发生转变，比如，从必须验证转变为验证加保证，从固定使用策略变为循环推进式策略。

自2016年英国药品和保健产品监管局(Medicines and Healthcare Products Regulatory Agency, MHRA)提出数据完整性指南开始，计算机化系统验证更加偏向非定式化和策略化，并加强了外界应用大环境和控制措施的要求。如国际药品认证合作组织(Pharmaceutical Inspection Convention and Pharmaceutical Inspection Co-operation Scheme, PIC/S)数据完整性指南PI 041-1[1]中所说：“仅凭计算机化系统验证是不能确保记录受到充分保护的，即使是验证了的系统也可能遭受意外或者恶意的丢失或损坏。所以计算机化系统验证必须结合行政管理和具体管理措施”。由此可见，计算机化系统管理的最终目的是确保数据的完整性，所以数据完整性的原则和理念应贯穿系统生命周期的各个阶段。因此，笔者梳理和总结了法规的主要要求，以生态毒理GLP实验室为背景，结合实际验证中的经验，探讨一种计算机化系统分级管理策略，以及如何在其中融入数据完整性的管理要求。

1 国际计算机化系统与数据完整性管理法规概述(Overview of the international guidelines for computerized system management and data integrity)

近年来，鉴于计算机化系统应用中潜在的数据完整性风险，发达国家主管部门或国际组织都在积极地发布计算机化系统和数据完整性管理指南，以完善其监管框架，比如美国、英国、欧盟、经济合作与发展组织(Organization of Economic Cooperation and Development, OECD)、PIC/S、世界卫生组织(World Health Organization, WHO)等国家和组织都已经完成了相关法规监管框架，并积累了监管经验，他们的法规在权威性、指导性和完善性上确实具有先进的一面，学习和借鉴这些法规制度，有利于GLP机构理解国际监管思路，建立国际化的管理体系。

1.1 OECD GLP法规中对设备管理的要求[2]

OECD GLP[2]原则第4章第1条和第2条规定：

(1) 用于数据生成、储存、检索以及环境条件控制的设备，包括验证了的计算机化系统，必须设计合理、正确摆放和容量充足。

(2) 用于研究的设备必须按照标准操作程序(Standard Operating Procedure, SOP)定期检查、清洁、维护和校准。所有活动必须保留记录。校准应能追溯到国家/国际标准。

同时GLP原则中强调对于计算机化系统，必须确认是经过验证的。

1.2 OECD No.17良好实验室规范原则在计算机化系统中的应用指南[3]

OECD No.17指南适用于GLP原则下计算机化系统的应用与管理，指南在计算机化系统的验证和操作中引入了生命周期方法，规定试验机构应建立可缩展、经济和有效，并注重数据完整性的计算机化系统验证程序，强调将风险评估作为验证程序的核心内容，也就是机构应建立制度化的风险评估流程，通过识别系统风险，确定管理优先级排序，结合系统用途和功能制定风险规避措施，实施对应的验证活动和数据完整性控制。

1.3 美国药典(United States Pharmacopeia, USP) 1058分析设备确认指南[4]

经修订的USP 1058于2019年发布，成为药品生产质量管理规范(Good Manufacturing Practice, GMP)机构分析设备的确认指导文件。法规规定了基于风险方法的分析仪器确认的通用原则，而以下3点关于设备确认的规定也适用GLP机构。

系统的分类：指南中完善了原来的A、B和C设备分级制度，删除了相关设备举例，暗示原举例未结合到设备的预期用途。指南鼓励机构运用新法规A、B和C分类规则，综合预期用途和风险评估结果，建立适合的分类方法。

确认和验证的统一指南提到，随着现代分析设备技术的发展，硬件和软件之间的界限越来越模糊。多数情况下，设备确认交叉软件应用，软件验证又交叉设备操作。因此，为了避免重复性工作，设备确认和软件验证应融为一体。

4Q模型的完善(4Q模型：设计确认(DQ: Design Qualification)、安装确认(IQ: Installation Qualification)、操作确认(OQ: Operational Qualification)、性能确认(PQ: Performance Qualification))：指南指出各阶段活动不在拘泥固定的时机、内容和形式，允许实验室在满足预期用途范围的前提下合并确认(如IQ和OQ)活动，重点强调了用户需求说明书(user requirement specification, URS)文件的必要性。

1.4 遵从良好规范体系(Good laboratory/Manufactory/Distribution Practice, GxP)计算机化系统监管的风险管理方法(第五版)(GAMP 5)[5]

遵从GxP计算机化系统监管的风险管理方法由国际制药协会(International Society of Pharmaceutical Engineers, ISPE)主编，发行至第5版，简称GAMP5。它为药品生产企业与流通企业提供了计算机化系统的基本框架，并提供了一些实用的方法和工具。GAMP5是计算机化系统验证领域最具权威性的参考指南之一，侧重于软件验证，它建立了从GxP机构到监管部门，从理论原则到具体实施，从计算机化系统概念产生到最终退役全面约束的监管指南。指南在“质量风险管理”中规定：计算机化系统应该按照风险评估及风险管理流程进行评估分类，并根据分类制定不同的管理策略，管理策略包含系统采购计划、规范、配置和编程、验证、报告和发布、移交、服务管理和性能监控、突发事件、纠正和纠正预防措施以及变更管理。

1.5 欧洲原料药委员会(Active Pharmaceutical Ingredients Committee, APIC)基于风险的数据完整性实践管理指南[6]

APIC是欧洲化学工业委员会的分支机构，2019年发布了基于风险的数据完整性实用管理指南，适用于人用原料药和兽药原料药中生产分析中的GxP流程和数据。该指南具备较高的实践意义，主要内容是结合企业实际经验对通用的数据完整性要求进行解读，从GxP环境下的业务流程分析、数据和系统识别、分级策略、风险评估和风险管理几个方面出发，提供了数据完整性理念融入到GxP原则中的实践性指导。

APIC指南规定，数据完整性管理必须从业务流程分析开始，自上而下逐层剖析系统在流程中的作用。在制定管理措施之前，机构需结合实际情况定义数据的关键性(低、中、高)，根据系统组成形式将系统分为6个级别。针对每一种级别的系统，指南建议了不同的数据完整性措施组合，包括良好记录规范、访问控制、用户权限、审计追踪、审计追踪审阅、备份和恢复6种中的一种或多种，而措施实施的深度，例如频率和范围等，由系统的关键性决定。最后，指南提供了数据完整性差异性分析对照表，从人员职责、用户访问控制、签名、数据审阅、审计追踪、数据生命周期管理、系统生命周期管理和时间戳8个方面，给出了建议可接受的标准，方便测试机构进行自查和整改。

1.6 PIC/S受法规约束的GMP和药品良好流通管理规范(Good Distribution Practice, GDP)环境下数据管理和完整性优良规范(草稿3) PI-041[1]

2018年11月，PIC/S发布了良好生产质量管理(GMP)/药品良好流通管理规范(GDP)环境下数据管理和完整性的良好操作指南草稿3，以便于GMP检查员进行检查。法规第9部分“计算机化系统中数据完整性的具体考虑”部分，梳理了数据完整性原则在计算机化系统管理中的应用，规定了质量管理系统结构、验证和确认、系统安全性、审计追踪、数据采集、数据审阅、数据存储和混合系统的管理8个方面的数据完整性要求，为机构提供了操作性较强的建议，为检查员提供了监督检查的要点。法规明确说明计算机化系统的孤立验证不能充分说明数据完整性为低风险，特别是当用户可以干扰数据报告的形成的时候。

法规专门在9.1章中给出了系统验证和确认活动中验证数据完整性的方法，提出数据完整性的考虑应贯穿系统生命周期。机构应该通过建立用户需求说明书(URS)、计算机化系统清单、验证主计划、验证报告和审阅记录等文件，将数据完整性管理需求、管理措施内容、措施有效性和措施的维护形成书面文件。法规反复强调了风险评估在数据完整性管理占据重要地位，因为风险评估的结果决定了数据完整性措施的需求，而措施实施的程度取决于关键性评估结果。评估的要素包括：系统及数据与最终结果的关系、系统脆弱性、系统易受攻击性以及修改活动的可察觉性等。

上述几个国家和地区的计算机化系统和数据完整性指南，均根据各自法规框架和业务领域不同而在内容和设置上有所侧重，但是在风险评估和分级管理的大方向上，这些法规表现了较强的一致性，主要包括以下3点：(1)风险评估在计算机化系统验证和数据完整性管理中发挥重要作用；(2)计算机化系统应该建立分级管理策略，优化验证和管理资源分配；(3)计算机化系统验证中必须同时实施数据完整性措施有效性的确认。

2 计算机化系统管理策略对生态毒理GLP研究的意义(The role of computerized system management strategy in eco-toxicology GLP study)

生态毒理学是以研究物理、化学和生物性因素特别是环境污染物对非人类生物(如动物、植物和微生物)，及其生态系统的危害与防护为核心内容和任务学科。生态毒理学研究的重要目的之一是对目标化学品进行毒性测定、安全性评价和危险度评价，从而为化学品管理提供依据[7]。

我国新化学环境管理办法中规定，新化学品的审批必须提供合格实验室提供的生态毒理学测试数据。其他国家和地区的监管法规，例如欧盟化学品的注册、评估、授权和限制法(Registration, Evaluation, Authorisation and Restriction of Chemicals, REACH)和日本化审法等，明确规定化学品上市之前必须进行生态毒理学评价，同时数据必须来源于合规的GLP实验室。

GLP是一套质量管理体系，旨在通过仔细与准确的记录文件，对测试研究从计划、实施、监督、记录到试验报告等进行全方位的质量管理，确保测试数据的真实性、完整性和可靠性。随着科学技术的进步，越来越多先进的自动化设备和计算机化系统进入GLP机构，被直接或者间接地用于数据采集、数据处理、报告以及原始数据的储存。目前，国外发达国家药物临床领域安全评价机构已经常规使用计算机化系统[8]。如果设备系统管理上缺乏科学性与规范性，将会直接影响最终数据的质量和完整性，最终对化学品的技术评审产生不利的影响。

从生态毒理GLP实验室应用的角度，以国际法规为依据，结合风险评估、数据完整性和计算机化系统验证的要求，介绍一种计算机化系统分级策略，以期为我国化学品生态毒理测试机构提供参考，进一步提高计算机化系统的使用效率并实现与国际接轨。

3 基于数据完整性的计算机化系统分级管理策略(Computerized system classification strategy based on data integrity)

本方法以计算化系统为对象，建立“信息收集、分类分级、措施评估、措施管理”4个步骤的管理模型，即第一步先收集系统的信息，识别系统完整性需求，第二步按照模型标准划分系统和数据的管理级别，第三步根据分类结果评估管理措施类型，比较规定措施与第一步预设措施之间的差异并评估风险，第四步根据风险和分级结果确定措施的管理要求。

3.1 信息收集

在开始分级之前，应尽可能了解系统的情况，识别出数据完整性需求和对应的可接受的标准，这些信息可以通过URS(用户要求说明书)文件的方式体现。在制定URS中的数据完整性要求时，可以参考ISPE GAMP记录和数据完整性指南[9]中的建议，指南提供了技术要求(19条)和流程要求(26条)2个方面通用的数据完整性需求，表1截取了部分内容以作参考。

表1 用户需求说明书(URS)中的数据完整性要求建议Table 1 The data integrity requirements suggestions in user requirement specification (URS)

因为URS是动态文件，所以在系统的生命周期内，应该随着系统预期用途、系统关键性和风险评估结论的变化进行更新和增减。

3.2 分类分级

根据步骤1收集的信息，对系统进行基于风险的分级分类，根据GMAP5，计算机化系统风险评估的判断标准分为3个：(1)所支持流程的重要程度；(2)流程内功能的具体影响；(3)系统的性质(主要考虑复杂性与新颖性)[5]。

结合业务流程，将这3点转化为具体的指标以便于分类。

(1)所支持流程的重要程度。可采用数据关键性作为代表，因为生态毒理GLP研究的呈现形式是最终报告，所以根据系统产生数据对最终报告的影响程度，分为高关键性(记录对最终报告有直接影响)、中关键性(记录对最终报告有间接影响)、低关键性(记录对最终报告的影响可忽略不计)3等。

(2)流程内功能的具体影响。可采用设备分类为代表，根据USP1058设备分级标准[4]，设备分为3类：A复杂度低的标准设备，非测量设备或者无校准需求；B测量类设备，或者用于维护重要试验条件的设备；C计算机化程度和复杂度较高的系统。同时，根据设备的功能性、复杂度和可配置性，又将B和C类各分为3个小类[10-11]，具体如表2所示。

(3)系统的性质。考虑到系统的复杂度和新颖性，从系统构成的角度将系统分为6类，参考依据为APIC《基于风险的的数据完整性管理实践指南》[6]，6个分类分别为：

1类：非电子类系统，无数据储存功能；

2类：电子类，无数据储存功能，通过人工观测获得数据，产生纸质记录；

3类：电子类，无数据储存功能，数据记录通过打印输出；

4类：电子类，无数据储存功能，数据记录通过接口传递到其他系统；

5类：电子类，有数据储存能力，数据不能被用户处理、修改或删除(产生静态GLP数据)；

6类：电子类，数据储存能力持久，具备数据处理、修改或删除功能。

3.3 措施评估

根据APIC基于风险的数据完整性实践管理指南，建立分级结果与管理措施评估表，如表2所示。其中，横轴为设备分级，纵轴为关键性和系统分类，交叉网格内给出了对应分类结果的建议数据完整性措施。其中，G表示良好文件规范，A表示访问控制，U表示用户等级，T表示审计追踪审阅，B表示备份恢复和归档，A1表示系统需要对时间和日期设置建立管理措施。

根据3.2中分级分类的结果，直接在表2中找到对应的网格，确定系统应具备的数据完整性措施类型。与URS文件中的要求进行对比，如果URS中的需求包括了所有的评估措施，那么继续进入第4步骤。如果URS中的需求缺少某项评估措施，那么需要在URS中补充规定的措施。

评估过程中必须考虑系统产生数据各个生命周期阶段的所有分类和关键性，如果产生了不同的评估结果，应该以最高评级结果为准。并且，评估时应该从产生数据的系统角度出发，而不是数据传输的终点考虑，例如：对于温度传感器，从设备级别上属于B3类，从数据角度属于第4类，按数据记录关键性属于中等关键，因此，应该采取的措施包括良好记录规范、访问限制和用户权限。因为温度传感器本身是没有储存功能的，所以不需要建立备份和归档措施。但是当考虑此数据传输终点(例如，系统服务器)的数据完整性措施时，就需要考虑备份归档措施。

3.4 措施管理

一般情况下，随着设备分类级别的升高，确认和验证的要求逐渐提高。随着系统分级的提高，数据完整性措施逐渐增多。随着数据关键性的加深，数据完整性措施的深度和广度加大。因此，在确定了数据完整性管理措施的种类之后，应继续根据系统的关键性来确定措施的实施深度、范围、维护和审阅等，一般来说，措施的深度体现在人员权限分类增多，审计追踪审阅周期变短，备份频率增加，定期审阅周期缩短等。比如，对于最为复杂的计算机化系统C3，如果系统属于第6类系统且高关键性，那么审阅周期应短于关键性低的系统。

必须强调的是，这些数据完整性措施应该在系统性能确认开始之前就完成设置，并且需要在性能确认中对这些措施的有效性进行验证。

4 讨论(Discussion)

实验室自动化技术发展到今天，已经有了机器人技术、计算机控制设备、实验室信息系统、电子数据记录本和云应用等，随着这些设备功能的日益高端化、智能化，GLP行业机构面临的挑战也不断升级。

表2 各级别计算机化系统的数据完整性措施策略Table 2 Data integrity measures for different classified computerized system

目前，对于GLP行业机构来说，几乎所有的实验室都在设备管理上面临相似的问题，比如，混合系统的管理、计算机化系统的验证、数据的备份和归档等。这些问题的管理既不能追求短暂的和平，也没有一刀切式的解决方案。

Liscouski[12]在《现代实验室计算机化系统指南》一书中提到：“今后十年或更久，实验室生产力的发展将基于计算机和信息系统……实验室工作就是搜集数据并将其转化成信息和知识。由于实验室大部分空间和许多成本都用在获取数据上，所以在信息和知识开发方面的投资越大，实验室的收益也会越大”。

确保数据以及基于数据的信息和知识是有价值的前提，就是数据必须具有很高的质量，并能够承受挑战。从长远角度出发，数据完整性管理水平不仅仅体现行业机构的管理能力，也代表着我国检验检测数据在全球范围内的可接受度。所以，行业机构必须要结合自身特点、服务领域和法规要求，围绕人员、数据生命周期、系统生命周期、安全设置和时间等多个维度去考虑数据完整性问题，将行为上、流程上和技术上的措施结合实际运用，在实际可操作的范围内将数据完整性风险降低到可接收水平。