制药设备自动化系统验证方法

2014-10-31曹辉

化工与医药工程 2014年4期

曹辉

（上海森松制药设备工程有限公司，上海 201323）

在药品生产的过程中都涉及了自动化控制和操作，尤其是工艺集成模块化系统。运用计算机系统操作设备和工艺过程早已成为各工序必备的措施。这就对计算机化系统的验证提出了具体的要求，使其成为制药项目验证的一个必不可少的组成部份。运用什么方法，采取什么程序对计算机化自控系统进行验证是大家都必须面对的课题。

本文以无菌配液系统为例结合GAMP5指南，依据验证“V”模型程序和方法，对制药装备的自动化系统进行了剖析，介绍如何依据规范对自动化系统进行验证。

1 制药装备中的自动化系统

在药品生产的过程中，我们会使用到各种各样的自动化制药装备，其中有系统化的设备，如：发酵系统、纯化系统、配液系统和水处理系统等，也有一些单体的设备，如：清洗机、灌装机、多功能过滤干燥机等，系统化的设备通常也往往可以由多个单体设备构成，这些设备的自动化系统可能会有不同的形式结构，图1是其中的一个典型的系统形式。

图1 制药装备的自动化系统结构

通常，制药装备的自动化系统往往可以由2到3个部分组成：①系统监控层：由操作员工作站，打印机等组成，这些设备一般都挂在工业以太网络上。实际上，这层根据需要，可以配备，也可以不配备；可以由设备供应商配备，也可以由用户自己配备。②控制层：通常又有PLC、远程I/O站、HMI人机界面（通常为触摸屏）、变频器，阀岛等。这些设备往往都挂在现场控制总线上，并常集中安装在制药设备配套的控制箱柜内。在不配系统监控层时，控制箱柜上的触摸屏往往就作为人机的操作界面。③仪表执行器层，通常与设备的机械部件安装在一起，称为M&E，即机械和电气。

2 制药装备中自动化系统的验证

在制药行业，为了确保药品的生产质量，国内外的药监机构或有关医药组织都分别制订了严格的药品生产质量管理规范（GMP或cGMP）。为了确保药品生产质量管理规范的落实，规范中也明确规定了在适当的阶段，必须对药品生产的各个环节进行必要的GMP验证与确认活动，这些环节包括了药品工艺、药品生产设备、药品生产环境以及与药品生产质量密切相关的其它系统，其中也包括制药设备的自动化系统。

目前在制药行业，对于包括自动化系统在内的所谓计算机化系统验证活动主要还是参照国际药物工程协会（ISPE）所制定的GAMP指南，即Good Automated Manufacturing Practice（良好自动化生产实践指南），尤其是它的最新第5版GAMP5。GAMP5的最大特点是计算机活动的范围从以自动化系统为重点扩大到整个计算机化系统；计算机化系统的验证方法强调要基于质量风险管理和可增减生命周期的灵活性和效率；计算机化系统验证在系统整个生命周期过程中必须发挥供应商的作用；同时强调确保计算机系统的合规性、有效性和持续性。GAMP5的关键概念参见图2。

GAMP对于计算机化系统从概念形成到系统退役的整个生命周期活动（包括验证），往往采用的是V型模型的工作模式。GAMP5将V型验证模型概括为规范和验证2个阶段，并且根据不同的计算机化系统分类和不同的风险性、复杂性和新颖性，可以增减不同的验证活动内容。目前，制药装备中自动化系统的软件大部分都属于可配置软件（第4类软件）或定制软件（第5类软件）。计算机化系统中的定制应用软件（第5类软件）的V型验证模型如图3。

图2 GAMP5的关键概念

3 无菌配液系统的自动化验证

无菌配液系统是制药装备中的一种，它通常用于制剂药生产线，它包含注射用水冷却、原辅料溶解混合定容、药液用压缩空气/氮气输送、药液除菌过滤、配液罐及管道的CIP和SIP系统、过滤系统SIP系统等。过滤器在SIP使用完后还必须进行在线完整性测试、pH计在线检测。图4是典型的无菌注射液制剂中西林瓶生产线配液系统的工艺流程图。

图3 定制应用软件的验证模型

图4 无菌配液系统工艺流程图

药液在配料罐TK-(1)中配制好后，经过0.22 μm过滤器到达储液罐TK-(2)，然后再经过二级0.22 μm过滤器到达灌封缓冲罐，最后进入灌装机灌装。相应的自动化控制系统必须能实现工艺生产、在线清洗和在线灭菌等过程的自动化控制、联锁控制、系统监控及参数跟踪、报警及事件记录等功能。根据GMP和GAMP的要求，无菌配液自动化系统必须进行合规性的计算机化系统的验证。下面我们就以上述某无菌配液系统为例，简单介绍制药设备自动化系统的验证过程。

3.1 无菌配液自动化系统及其验证的架构

该无菌配液自动化系统基本就是采用图1的硬件架构形式，其中控制层的控制器采用西门子300系列PLC、现场HMI触摸屏和远程I/O站。监控层配有1台PC上位机和1台打印机。同时在仪表设备层还配有专用的称重系统。

它的验证构架就是按照GAMP5所提出的基本V型验证模型[1]（如图5）。

图5 GAMP5的基本验证V型模型

3.2 验证的计划阶段

根据GAMP5关于基于科学的质量风险管理和可增减的生命周期合规活动的概念，首先可以在计划阶段对控制系统进行软硬件分类，以确定合理的验证策略。根据上述的无菌配液控制系统的配制情况，其软硬件的分类大概可以分别如下表1和表2所示。

通过软件分类可以看出，PLC用户程序模块属于5类软件，因此对于无菌配液自动化控制系统的应用软件来说，需要参照图3定制应用软件的方法进行验证活动。

表1 配液控制系统的硬件分类

表2 配液控制系统的软件分类

3.3 验证的规范阶段

3.3.1 用户需求

在对系统和工艺流程充分的理解和对系统进行科学的风险评估、供应商评估和确认基础上，明确控制系统的用户需求（URS），既是控制系统设计的依据，也是下面控制系统验证活动的依据。（包括功能和设计规范的确定）

3.3.2 功能规范

根据系统的用户需求，必须明确系统有关的具体功能要求，制定必要与合理的功能规范。功能规范应该详细描述系统工艺控制的具体功能要求，用于设计随后的设计文件，也用于功能测试的参考文档，这些都应该能追溯到用户需求规范中的指定要求。

我们可以通过程序流程图或者顺控伪代码等形式描述工艺控制中的所有步骤的功能，并以此为依据编写软件模块，通常每个步骤对应一个软件模块。图6以配制罐TK-(1)的称重定容过程说明功能规范的确定。其中工程设定参数和工艺设定参数分别参见表3和表4。

表3 工程设定参数

表4 工艺设定参数

3.3.3 验证的设计规范

3.3.3.1 硬件设计规范

硬件设计规范应该对系统控制架构中的所有控制设备进行描述和定义。其主要内容分为控制系统、操作界面和网络三部分。

其中，控制系统包括：控制器、控制机柜、I/O输入输出、系统的电源和负载、系统接地；操作界面包括：计算机、触摸屏、打印机；网络包括以太网和现场总线的设备及配置。

3.3.3.2 软件设计规范

软件设计规范是建立在功能规范上并且定义了系统使用的软件和软件控制架构。其主要内容分为PLC软件、HMI软件、PC软件和数据处理几类。

（1）PLC软件

其中PLC软件除开发软件外，包含两类模块，一类是PLC系统本身的软件功能模块，如：组织块(OBs)、系统功能控制块（SFC）、系统功能块（SFB）等。这些软件功能模块都属于第3类的软件，仅需要对其配置参数；另外一类是PLC用户定制的应用软件，主要用于实现功能规范中描述的工艺与控制功能，这些属于5类的软件，需要进行软件模块测试或代码审核。表5描述了TK-(1)产品配液功能的部分软件模块。

（2）HMI和PC软件

对于HMI和PC上的用户接口程序来说，结构类似，主要的软件模块如表6所示。

表5 用户定制软件模块“TK-(1)产品配液功能”

表6 HMI和PC软件模块

（3）数据处理系统

自动化系统中的数据处理功能对数据的完整性、准确性及可追溯性有着直接的影响，因此，数据处理的模式也决定了自动化系统的合规性及验证方法。符合法规的系统常常包含有如下功能：

● 能通过各生产区域HMI输入信息和操作设备；

● 能通过各生产区域HMI上查询完整历史数据，有完善的检索功能；

● 能通过各生产区域HMI上打印完整的批记录报表，可以保存历史报表，每次批生产完成后，都会自动生成报表和记录，并可以随时进行查询和打印；

● 需要审计的追踪数据既可打印在批记录报表上，也可以单独打印在审计追踪数据记录上。

一般该系统中共有三类数据，分别是过程数据，报警数据以及审计追踪数据，它们在系统中的流向可参见图7，其概括了控制系统提供的数据结构和接口。

图7 控制系统数据流向图

（4）审计追踪数据

审计追踪（Audit trail），就是系统操作活动的流水记录。审计追踪数据主要体现了数据的可追溯性。它通常是由操作员在HMI上以及系统事件触发生成，它可以记录如下信息：

● 用户的登录/登出；

● 系统的报警事件；

● 操作员操作记录；

● 电子签名；

● 关键数据的修改；

● 用户密码的修改。

对于合规性来说，SFDA明确指出参数修改需要追溯，因此关键的参数修改都需要归类到审计追踪的数据中，包括修改数据需要电子签名，都可以被记录到审计追踪数据中去。

根据美国FDA有关电子纪录与电子签名的联邦法规21CFR PART 11，应用于制药行业的自动化系统，如以电子纪录形式提供数据审计追踪的都必须满足该法规的要求，并应该采用符合性声明及合规测试的方式来进行说明[2]。所谓符合性声明就是针对 21 CFR Part 11的条款逐一的进行符合性的相应说明。

新中国成立以来，立体几何的教学目标有始终不变的要素，即：几何的基础知识、基本技能(特别是画图的技能)、空间想象力、逻辑推理能力、解决实际问题的能力.

由于本系统采用的是西门子的工控软件，供应商会提供一本符合法规的白皮书，作为该法规的符合性说明。

3.3.3.3 控制功能的软件模块设计规范

对于自动化系统中的每个控制功能的软件模块，都是通过一定的功能设计规范来进行定义和程序编码的。当进行控制功能设计时，以该规范作为编程基础。

控制功能软件模块设计规范的内容主要包括：模块的功能、模块的接口、错误处理、模块组态及编码的环境、模块的定义或编码、模块的变量设置等。以定容模块FB104 TK-(1)为例，其部分软件模块规范如表7所示。

3.3.4 验证的配置和编码阶段

在建立自动化系统和程序编码的过程中，应该建立正式硬件和软件生成流程。流程应该涵盖开发工具的使用和可接受的代码标准、命名规则、注释规则和版本控制。

在编程阶段，组态管理和版本控制可以根据开发的标准流程，通过开发软件自带的版本控制工具以及应用软件开发管理规范进行。

在程序编码阶段，应尽量采用图形化编程的方式，如梯形图（LAD）和功能块图（FBD）等，这样可以避免代码审核。当使用文本类的语言时，需要进行代码审核。常见的代码审核通常包括：识别可追踪性、可靠性、可维护性、错误校正和死代码的移除、变量的声明等。

当软件已经通过代码审核流程得到批准后，应执行开发测试，用来证明软件符合各种规范的要求。测试应该根据正式的测试规范进行。

测试规范应该包括：

●硬件测试（根据硬件设计规范执行，电气图纸和部件清单）；

●软件模块测试（根据软件模块设计规范进行）；

●软件集成测试（根据控制功能的软件模块设计规范和功能规范测试）。

3.3.5 验证的确认阶段

确认阶段主要包含安装确认（IQ）和运行确认（OQ），而对于用户而言，在正式生产前的系统试投运时，实际上还可能会包括性能确认（PQ）。安装确认是根据设备和系统的硬件与软件设计规范中的安装要求，通过检查和测试等手段，证明设备和系统软硬件的安装、配置是正确的。运行确认是按照系统的功能规范要求，通过测试、试运行和调试手段，来证明设备和系统是能够满足用户的功能性与合规性要求的。安装确认的测试活动和运行确认的测试活动可分别参见表8和表9。

表8 安装确认的测试活动

4.2 数字量输出 – 所有的数字量根据电气图纸和规范输出工作正常4.3 模拟量输入 –所有的模拟量输入根据电气图纸和规范工作正常（至少两点已知值）4.4 模拟量输出 –所有的模拟量输出根据电气图纸和规范工作正常（至少两点已知值）5 网络通信5.1 通信网络工作正常，符合规范6 系统/计算机时钟精度6.1 系统/计算机时钟显示正确的日期和时间格式符合规范（比如：HMI和报表及打印件）6.2 系统/计算机时钟同步，符合规范6.3 根据规范切换夏令时/冬令时6.4 根据规范闰年处理正确7 危险测试7.1 符合危险测试要求

3.3.6 验证的报告阶段

安装确认和运行确认完成后，对于设备供应商而言，可以发布并确认总结报告批准且没有开放的偏差，同时需要回顾整个验证计划，发布最终验证报告和移交清单。

3.3.7 风险管理

根据ICH：Q9（人用药物注册技术要求国际协调会：质量风险管理）和ISPE的GAMP有关的基本理论与概念，基于风险管理的概念与方法将贯穿于整个验证生命周期之中。自动化系统一些常见的风险评估方法参考表10。