隨著敏捷開發和 AI 技術逐漸融入制藥行業的合規管理，軟件系統的定制化要求越來越高。本文主要從法規指南角度分析和評價定制軟件驗證的有效性。指導制藥行業通過更加科學的風險管理手段開展驗證，以實現系統選項、實施及測試過程的風險管控，保證后續運行階段的 GXP 符合性。同時也滿足《藥品生產質量管理規范（2010 年修訂）》計算機化系統 [1] 和《藥品記錄與數據管理要求（試行）》的要求 [2-3]。

隨著國家對信息化智能化支持力度增強以及工業 4.0 概念日漸深入人心，制藥行業作為國民經濟的重要組成部分，也開始積極擁抱數字化轉型，不斷引入自動化設備用于制藥生產。ISPE組織很早就提出良好自動化管理規范（GAMP），用于指導生命科學行業的系統驗證和管理。2022 年 8 月，ISPE 又推出了 GAMP5《A Risk-Based Approach to Compliant GxP Computerized Systems 》第二版，新增了 AI 及敏捷開發等合規措施，進一步完善了生命科學行業計算機化系統智能化發展的合規管理 [4-5]。藥品行業對計算機化系統的應用越來越廣泛，藥品生產、檢驗、儲存條件和使用運輸等管理趨于自動化和智能化 [6-8]。同時，隨著 AI 技術的普及，定制化系統越來越多，本文將從法規指南角度，分析定制軟件的驗證思路和實施要點，為制藥行業計算機化系統驗證的合規提供參考依據。

1、GAMP5 對軟件分類的描述

計算機化系統驗證是系統的概念階段到項目交付階段的重要活動，驗證的程度和范圍要考慮系統的 GXP 影響、復雜性和新穎性。對于軟件而言，其新穎性可以根據 GAMP5 進行分類 [9] ：

（1）第 1 類 基礎設施軟件和工具，如分層軟件（即構建應用程序）、用于管理操作環境和基礎架構的軟件、支持計算機化系統生命周期活動的軟件、系統和工具；

（2）第 3 類 標準系統組件，如運行時參數可以被輸入和存儲，但是軟件不能被配置成適應業務流程；不能根據業務流程配置軟件；

（3）第 4 類 配置的組件，通常非常復雜的軟件，可由用戶配置以滿足用戶業務流程的特定需求（如流體工作流、工藝流程）軟件代碼不會被修改；

（4）第 5 類 定制應用程序和組件，為適應業務流程而定制設計和編碼的軟件。

從上述分類可以看出，GAMP5 通過新穎性，將軟件分類 1/3/4/5 類，通常業內口語化方式稱呼的“5 類軟件”是來源于 GAMP5 分類的定制軟件。

同時，5 類軟件相對與 4 類軟件而言，需要新增的內容包括：

（1）供應商評估側重于供應商新部件開發的質量管理體系；

（2）設計和源代碼審查；

（3）編碼標準；

（4）完整的生命周期信息 ( 相關的設計規格、單元、模塊、集成和功能測試等 )。

所以，綜合 GAMP5 的內容，不難看出，首先沒有描述 5 類軟件一定要供應商現場審計，其次單獨的代碼審核在驗證過程還不夠充分。

2、定制軟件驗證關注點

一般市面的 5 類軟件分兩種：（1）所有模塊均為定制開發；（2）部分模塊定制開發后打包作為 4 類軟件的配置項。第二種情況在市面上比較常見，這種部分定制的情況，在市面上口語上也稱呼為 5 類軟件。其驗證需要關注供應商管理、設計、實施和測試放行幾個方面。

3、供應商管理

定制軟件的特點就是依據客戶需求進行部分和全部的軟件開發，軟件人員開發能力直接決定了項目的成敗和后續的可維護性。以下方面需要重點關注：

（1）供應商是否具有相應的軟件開發認證，如 ISO/SOC 等；

（2）供應商對具備不同類型開發模式的案例，線性開發和敏捷開發（可以盡量選擇供應商已經成熟的開發模式）；

（3）供應商具備代碼編寫規范文件；

（4）供應商代碼編寫后的測試模式；

（5）供應商代碼編制回滾策略；

（6）軟件運行平臺的配置管理策略，包含硬件和軟件；

（7）代碼編制和測試人員的培訓、考核和上崗要求；

（8）軟件打包放行策略等；

以上信息獲取通過問卷或者現場審計都可以，對于是否一定要進行現場審計還要基于軟件的風險、復雜性和新穎性。對于軟件供應商評估的推薦方式可盡量將商務和合規活動融合在一起進行，以減少供應商管理成本并達到管理效果。這里建議將合規活動融合到商務活動中，因為公司盈利和節約成本是第一要素，供應商管理流程詳見圖 1。

圖 1 供應商管理流程圖

4、設計和源代碼審核

對于 5 類軟件而言，它們均需要進行設計，即定制模塊基于偽代碼或流程編輯數據結構、數據分層和隔離策略、模塊步驟、模塊映射、傳送、算法等開發板塊的信息。這一系列的設計需要形成設計文件，即 SDS，重點描述功能實現邏輯關系，以便實現過程中的模塊測試和集成測試。代碼審核是需要另外一個專業人士對代碼進行專業的靜態檢查，代碼審核的前提是需要有編碼規范，主要檢查編碼規則是否符合規范要求。代碼審核主要考察代碼模塊化管理策略（命名、版本、備注及測試打包等）、代碼的可維護性（可讀、備注、組合）、代碼的需求滿足方式（敏捷或線性）、異常處理（提示）等。代碼審核程度也要基于風險評估，主要評估模塊的關鍵性、設計復雜性和開發人員能力。

5、計算機化系統測試和放行

對于 5 類軟件或模塊的測試除了日常需要的 IQ/OQ/PQ 外，在軟件開發階段需要額外增加更多的測試，以增加軟件的韌性。包括：

（1）單元測試和集成測試；

（2）功能測試；

（3）基于配置項的配置測試；

（4）基于需求的 UAT 測試等。

尤其是單元和集成測試一般容易被忽視，從軟件開發生命周期看，它和代碼審核共同組合形成的測試名稱叫做“白盒測試”（針對軟件代碼層面，有針對性的測試）。與之相對應的就是常說的“黑盒測試”（輸入到輸出測試，不考慮軟件運行）。圖 2 所示為白盒測試和黑盒測試的圖例。

圖 2 白盒測試和黑盒測試圖例

對于已經測試的代碼形成模塊化打包，作為后續的配置項用于整體軟件的配置管理。代碼后續的升級迭代均和整個軟件的配置管理相融合。所以，經過軟件生命周期管理測試放行的模塊，可以看作配置項進行 4 類軟件管理。即使它可能是被用作第二家企業。可以參考圖 3 的管理方式。

圖 3 定制軟件驗證流程圖

對于軟件生命周期的測試更多的是過程質量管理，這里的測試越充分在后面的 OQ/PQ 測試壓力越小。所以這個階段盡量使用基于批判性思維的 CSA 理念進行測試，大量的使用腳本、無腳本和探索性測試的組合，盡可能得拓展測試人員的思路來發現和解決軟件開發過程的問題。

同時，對于單元集成測試修改項目特別多，建議單獨設置開發環境進行測試，測試完畢打包放行后，遷移到驗證環境用于功能和需求測試。

總結來看，對于全部定制或部分定制的軟件，行業一般統稱為 5 類軟件。其軟件的特性是定制部分新穎性極高，對后續項目成敗和維護有很大風險。所以，供應商管理板塊重點關注軟件開發生命周期的質量管理體系，并且項目階段要建立代碼編制規范并進行代碼審核。在軟件測試板塊還需要基于 FMEA 風險角度進行單元和集成相關的白盒測試，測試環境盡可能融合 CSA 的批判性思維測試，不應局限于傳統的腳本測試。同時，對打包放行的代碼進行模塊化，形成版本和變更管控后融入到配置項管理。

最后，從風險角度分析，5 類軟件最大的風險是它本身需要進行軟件開發的生命周期管理。從這個角度來看，無論是供應商管理、軟件設計規范管理、審核和測試管理及放行管理均要從風險方面來考慮。一刀切的供應商現場審計以及加一份代碼審核文件遠遠不能體現基于風險管理的理念。對于單獨開發后的軟件模塊，在第 2 家企業再次使用時，驗證按照幾類軟件實施的常見問題，也在本文進行了分析和講解。

參考文獻

[1] 國家食品藥品監督管理總局關于發布《藥品生產質量管理規范（2010年修訂）》計算機化系統和確認與驗證兩個附錄的公告（2015 年第 54號）[EB/OL] 公告，2015 年 5 月 26日發布 .

[2] 國家藥監局發布《藥品記錄與數據管理要求（試行）》，2020 年 12月 1 日生效 .

[3] 孟祥飛，尚海賓 . 混合系統的數據完整性 [J]. 流程工業，2021(04):16-19.

[4] ISPE GAMP5: A Risk-Based Approachto Compliant GxP ComputerizedSystems [S].2022.

[5] 王彥文 . 工業 4.0 新形勢下的機械制造及設備制造 [J]. 山東工業技術，2018(12):25-25.

[6] 尚海賓，陶海濤，喬曉芳 . 中藥高溫瞬時滅菌設備的智能化設計與性能確認 [J]. 流程工業，2022，(07):58-61.

[7] 尚海賓，陳小平 . 中藥連續逆流動態提取智能化設計與性能確認 [J].流程工業，2023，(06):40-43.

[8] 仲雪偉，范運峰 . 計算機技術在機械設計制造及其自動化中的應用 [J].南方農機，2020，51(16):186-187.

[9] 何國強 . 制藥工藝驗證實施手冊[M]. 第一版 . 北京：化學工業出版社 .2012:101-112.

本文作者趙延武 1 程靜 1 張文標 2 王軍 3* 張永秉 4*，1. 河南醫藥健康技師學院；2. 河南天浩智能科技有限公司；3. 浙江天元生物藥業有限公司；4. 浙江藥科職業大學。