软件安全审计包含哪些方面(制药行业中计算机化系统的生命周期)

本文节选自“Life cycle of computerized systems in the pharmaceutical industry”，由于水平有限，详细内容，请参考原文必须将计算机化系统的管理理解为活动受GxP 监管的公司。

质量体系的一部分在这种受监管的背景下，我们必须确保计算机化系统按照其预期用途运行生命周期方法设想在计算机化系统的所有阶段进行验证建立这种类型的方法有助于确保法规遵从性，以及系统针对其计划管理的流程的适用性。

帮助我们理解、控制和监控使用计算机系统的风险的过程即验证过程验证不是一个有限时间的项目，或将其等同于获得证明系统已成功测试的证书，而应理解为控制系统概念的质量管理的一部分（识别并详细说明要满足的要求），贯穿其实施、开发、验证和发布，控制整个使用时间，并以退出过程结束。

本文的主要目的是澄清生命周期的概念，考量制药行业生产过程中固有的风险和挑战，特别是计算机化MES 系统的管理与制药生产系统相关的计算机化系统专业计算机化系统与生产活动相关的计算机化系统有不同的类型，从通过与工厂信号集成在最低级别而进行交互的系统，到允许对组织数据进行分组分析而能够做出决策和预测的系统。

我们在生产管理中可以看到的系统类型包括：允许与工厂设备集成的系统这些系统可解释来自物理工厂设备的信号例如：传感器和PLC工业控制系统这些系统允许管理物理工厂设备并管理用户在过程中的干预例如，SCADA系统。

运营管理系统这些系统管理已定义和受监管的过程，考虑用户的干预，自动化和控制流程，与设备集成并生成可靠的过程数据例如：MES（生产管理）、WMS（仓库管理）、CMMS（维护管理）或LIMS（质量控制活动管理）。

业务管理系统这些系统允许考虑公司的多种业务来规划业务资源例如：ERP系统数据处理系统这些允许利用信息，赋予其意义并在组织中进行决策例如：商业智能系统流程和信息流 MES 系统生产执行系统MES是一种计算机化系统，旨在组织、控制和监控生产过程，确保过程和信息的可追溯性和安全性。

MES 系统具有与工厂信号（电子和/或机械的）和操作员交互以管理生产操作的功能它们优化运营、管理数据并控制流程和信息流战略由于 MES 系统对产品开发和可追溯性的影响，MES 系统是 GxP 监管的管理系统的一个明显例子。

因此，必须从其概念（定义用户要求）在质量保证体系内对其进行管理它的设计和实施必须从对要管理的过程的深刻理解和基于风险的方法来完成，让组织的关键人员参与质量、物流、生产和维护过程，并在技术供应商的支持下提供它。

必须适当规划和管理 MES 系统的实施，将其实施视为业务战略的一部分，并考虑希望实施该系统的公司的以下特殊性：如果有不同的工厂，则定义全局要求或按每个工厂识别所需的硬件、软件和 IT 基础设施需要的语言和地理区域。

适用不同地理区域的监管要求系统架构（全局或本地）和数据管理过程管理和相关程序验证方法系统在其使用期间的支持管理涉及的供应商依赖于人为了考虑系统设计、配置、验证和调试过程中的所有风险，必须组建一个多学科团队来领导项目，其需在IT、质量、物流、生产和工程以及维护等领域拥有经验和知识。

需要注意的是，此类系统的实施对公司的运营（工作方式）和关键信息的记录（可追溯性）有直接影响因此，这种类型的变更可能会导致组织工作人员的拒绝，无论是在操作员、主管还是质量保证层面因此，从获取和批准系统要求、开发、测试、培训、实施、维护和淘汰的整个过程中，让组织的人员参与至关重要。

MES系统生命周期计算机化系统的生命周期被理解为从构思到使用结束的完整管理构成生命周期的阶段的可能划分如下：规划需求选择计算机化解决方案及其技术提供商功能和设计规格配置和开发实施和测试数据迁移发布控制状态维护。

以下是对每个阶段的分析规划所有项目活动必须完美协调，为每项活动确定具体目标、责任、先决条件和方法，以及生成所有所需证据和工作方法的文档和记录在定义该战略（验证计划）时要考虑的因素包括：验证范围的定义不应验证整个应用，或在相同程度上进行初始风险评估，以确定受监管的区域或功能以及适用的法规。

根据 GAMP5 识别系统的硬件和软件元素并进行分类适用于一个或多个安装供应商评估关键性是根据预期的产品和/或服务确定的供应商生成的文档的使用必须遵循特定评估流程，其活动和内容充分、准确和完整如果 MES 在多个安装中实施，则必须定义验证方法。

可以定义全局验证或每次安装的验证，这两个选项都可以有效定义多学科验证团队确定所需的测试环境一个或多个用于模拟硬件、软件和集成必须证明测试环境等同于生产环境的适用性需求必须清楚而准确地定义公司对系统的要求，即所谓的“预期用途”。

其必须与业务流程相关联并且独立于要使用的解决方案该文件对于验证过程至关重要需求收集和规格的范围以及细节应足以支持风险评估、系统的后续规格和开发，以及验证对于 MES 系统，了解要管理的过程和适用的法规要求至关重要。

MES 必须符合组织的质量管理体系必须考虑产品工艺的具体要求及其关键参数，同时考虑到配方的规格，而不是从系统的设计中考虑必须考虑到MES管理不是由单一系统组成，它是工业元素、硬件和软件的集合我们还必须定义一种流程方法（考虑到所有软件、硬件和集成），以便将所有风险都考虑在内。

还必须考虑在多个工厂中存在 MES 的要求必须开发指示数据所有权、访问和传输要求的数据流计算机化解决方案及其技术提供商的选择根据这些要求的定义，可以确保系统的选择（考虑到它尽可能符合既定要求）、正确的安装（符合技术和IT 规范）、系统配置（使功能适应组织流程的特征）、系统运行（以实现预期性能）、所需的安全性（在管理、过程控制和系统审计级别）以及对适用法规的遵守。

选择过程必须考虑技术供应商的质量体系，以确保其内部管理和可追溯性符合组织的监管要求功能和设计规格由于 MES 系统将由不同的硬件、软件和集成元素组成，因此生成功能图以便能够将风险分配给所需功能和不同系统是一种很好的做法。

通常，计算机化系统之间的责任以下述方式提出：ERP 是所有流程的起点，集中了主要主数据的部分配置，构建和定义活动，在全局范围内集中流程信息并处理经济数据MES 拥有关于设备、材料和流程的具体和详细数据，管理流程操作和信息流，并记录工厂生产数据。

SCADA 和/或 PLC 在最低级别管理工厂流程和信号可以为 MES 软件生成全局和特定规格全局规格确定通用功能，例如电子数据交换各个MES 系统规格侧重于流程管理、日志记录和安全性MES 的设计文档应将硬件和软件应用程序与生产联系起来。

设计和配置规格详细说明了如何构建和配置系统以供在每个位置使用配置和开发一旦理解了流程所需计算机化的方式（在要求中表述）并建立了管理操作及其注册的计算机化系统，则必须确定应用于系统的配置或开发，以便使其适应公司的具体流程，使其能够按预期实现其目的。

配置可能包括：启用或禁用系统区域/模块高级系统配置配置与其它系统的集成与工厂元素或工艺设备集成系统功能配置可能需要定制开发来满足标准系统无法满足的特定功能或安全要求改变系统软件和/或硬件的标准操作意味着风险的增加。

已开发系统的风险评估必须确定对生产的整体影响此外，负责实施开发的公司或地区必须具有技术开发实施标准，以尽可能规范此活动并降低风险（例如对开发人员的依赖、代码难以辨认或可追溯性风险）实施集成商对MES系统的实施方式直接影响验证。

最好批准一个总体计划，显示活动及其预计持续时间、每项活动的前提条件、各方要生成的文件以及（组织、实施团队和验证团队的）职责必须确定 MES 系统的安装、配置、文档编制、测试和维护的职责包括所有可用的系统环境。

对于要在多个安装中部署的系统，应考虑系统架构和验证方法、测试模拟案例的要求和所需的数据迁移验证验证确认已满足规格，并且系统适用于预期用途MES系统通常由4类软件（配置）和1类硬件（标准）组成测试应侧重于：。

安装测试：测试应验证并记录系统组件是否按照规格、供应商文件以及当地和全球化要求（如果适用）进行匹配和安装配置测试：测试应验证系统是否已按照相关规格进行配置测试可以采取检查或校对供应商文件的形式功能测试：。

支持基于风险和供应商评估的特定业务流程的功能（这是可以利用供应商文档的领域）需求测试证明针对预期用途的适用性这可能包括根据风险要求测试系统的功能数据迁移在计算机化系统之间迁移数据的过程对于保持历史数据的可追溯性以及在新的计算机化系统中继续记录可追溯性的任务至关重要。

发布报告验收和发布报告通过说明所涉及的人员、执行的活动、获得的结果、生成的文件、与计划的偏差、改进和纠正措施来总结验证项目，并提供计算机化系统适用性的声明要发布的计算机化系统必须满足以下要求：执行的验证方法中识别和定义的所有活动。

，检查针对每个活动定义的验收标准，获得的结果不存在严重偏差如果在执行的验证中检测到任何偏差，则必须进行分析，以确定偏差的根本原因并确定其严重性如果偏差被认为是严重的，则必须采取适当的措施来纠正偏差管理程序

为了使验证的环境保持永久有效，有必要确定将在组织中实施的程序，使其管理可预测，以便在某些事件发生时定期或准时执行这些程序应反映要执行的活动、执行时间和周期、要求的记录、预定的修订以及确定谁负责控制状态维护程序如下：。

更改控制配置管理安全监测软件和数据备份和恢复日志保存、归档和恢复业务连续性计划定期审查审计总结计算机化系统的管理应理解为活动受 GxP 监管的公司质量体系的一部分生命周期方法考虑在计算机化系统的所有阶段进行验证。

建立这种类型的方法有助于确保法规遵从性，以及系统对要管理的流程的适用性必须对 MES 系统的实施进行适当的规划和管理，并将其实施视为业务战略的一部分让组织的人员参与整个过程（无论是操作人员、管理人员还是质量保证人员），从系统要求的获取和批准、开发、测试、培训、实施、维护，直到系统退出。

所有项目活动必须完美协调，为每项活动建立具体的目标、责任、先决条件和方法，以及生成所有所需证据和工作方法的文件和记录原文：Life cycle of computerized systems in the pharmaceutical industry. Pharmatech, 2021, issue 60.。

相关阅读：质量控制的新视角？针对原材料供应商变更通知的最佳实践：BioPhorum新指南影响生物制药生产的趋势COVID-19推动了中国国内生物工艺供应商的增长生物制药工厂设计与布局简介数字孪生的机会技术转移：对药品流动、成功和可持续发展至关重要

2021美国生物技术行业一瞥生物行业将在五年内采用连续工艺

亲爱的读者们，感谢您花时间阅读本文。如果您对本文有任何疑问或建议，请随时联系我。我非常乐意与您交流。