质量源于设计，风险源于认知

       验证是建立一个书面的证据，保证用一个特殊的过程来始终如一地生产产品并保证符合客户预先确定规格的质量特性。要进行验证工作，就必须按照验证生命周期设计出一套完整的验证计划（Validation Plan，VP）及有效的测试方法。通过系列化的研究来完成的过程称为生命周期，验证生命周期以制定用户需求说明为起点，经过设计阶段、建造阶段、安装确认、运行确认和性能确认来证实用户需求说明是否完成的一个周期，V-模型是验证生命周期的常用模型（图1）。

       图1验证生命周期V-模型

       o 用户需求说明

       用户需求说明（User Requirement Specification，URS）是指制药企业综合根据自己的使用目的、环境、用途等，对设备、厂房、硬件设施和系统等提出的自己的期望使用需求说明。ISPE基准指南第3卷"无菌生产设施"中指出，用户需求说明一般是系列技术说明中的第一个，它是用户对项目范围的预期情况进行的高层次说明，重点强调产品参数和工艺性能参数。

       o 设计阶段

       功能说明（Functional Specification，FS）描述了如何来实现用户需求说明中所描述的要求和目标，明确说明了系统预期的实现方式。功能说明通常由供应商来完成，但是需要用户审核、批准。功能说明在如何满足用户需求说明的前提下对设备的功能进行记录，主要对设备自身所具备的所有功能进行说明，是有助于用户和供应商熟悉设备功能的文件。

       设计说明（Design Specification，DS）通常由供应商来完成，并且供应商拥有该文件的所有权和保密权，但是需要用户审核、批准。设计说明需详细和准确说明如何满足功能说明和用户需求说明的详细的、具体的要求。通过设计说明，使用者能够知道设备的正确安装、测试和维护。

       当该文件由供应商的标准文件（如说明书）组成时，该文件通常同设计确认相结合。对一些简单的设备或已经详细了解设计方案的设备，功能说明可以和设计说明合并成一个文件，即功能设计说明（Functional Design Specification, FDS）文件。

       系统影响性评估是用于确定项目的调试和验证范围的活动，此过程用于判定哪些系统除了需要遵循GEP之外还需要进行验证；哪些系统仅需要遵循GEP进行调试。可对每个设备/系统进行影响性评估，以判定其属于直接影响系统、间接影响系统还是属于无影响系统。

       根据设计文件可进行部件关键性评估（Component Criticality Assessment ，CCA）工作，用于判定系统的哪些部件除了遵循GEP之外还需要进行确认；哪些系统的部件仅需要遵循GEP进行调试。针对直接影响系统进行部件关键性评估，以确定其是关键的还是非关键的。

       风险评估是一种用于评估并描述系统、设备或工艺的关键方面，以构成编写验证方案的基础的方法。在判断出关键部件/功能后，对关键部件/功能继续进行风险评估，并确定适宜的控制方法。可采用失效模式和影响分析（FMEA）或其它风险评估工具来找出关键部件和功能中的可能失效影响。

       设计确认（Design Qualification，DQ）文件是证明厂房、支持系统、公用系统 、设备和程序按照GMP要求设计的证据。新的厂房、设施和设备确认的第一步为设计确认，在欧盟GMP、PIC/S以及ICH中都对设计确认有要求。在中国2010版GMP中，对设计确认予以了明确和强化，同时将其作为整个确认活动的起点。设计确认是通过有文件记录的方式证明所提出的厂房、系统和设备设计适用于其预期用途和GMP的要求，用科学的理论和实际的数据证明设计结果满足用户需求说明。完善的设计确认是保证用户需求以及设备正常发挥功效的基础。经过批准的设计确认报告是后续确认活动（如安装确认，运行确认，性能确认）的基础。设计确认主要是对设备/系统选型和技术规格、技术参数和图纸等文件的适用性的审查，通过审查确认设备/系统用户要求说明中的各项内容得以实施；并考察设备/系统是否适合该产品的生产工艺、校准、维修保养、清洗等方面的要求，同时设计确认也将提供有用的信息以及必须的建议，以利于设备/系统的制造、安装和验证。

       o 调试

       为了保证生产设备/系统符合用户要求，需对设备的设计、制造、安装阶段进行遵循GEP要求的调试工作。调试（Commissioning）是用一个良好的有计划、有文件和有管理的工程方法去启用厂房设备、系统和设备，交给最终使用者，并使其有一个符合设计要求和客户期望的安全和功能的环境。调试活动的主要依据是GEP，是在工程技术方面对调试对象进行测试和检查，主要关注工程学方面的要求。

       所有生产设备/系统都需要进行调试，完整的调试工作包含了工厂验收测试（Factory Acceptance Testing，FAT）、启动/调试和现场验收测试（Site Acceptance Testing，SAT）三个阶段的工作。

       （1）工厂验收测试（FAT） 设备依据设计完成生产建造后，发货前需在客户见证下由供应商在设备制造场地对待交付的设备进行工厂验收测试，旨在保证设备已经严格按照要求完成了组装调试。工厂验收测试将由设备制造商检查并测试每个设备/系统的文件、安装和功能的正确性，以在不能满足技术说明要求时可以更快、更有效地进行补救，并避免到用户现场之后才发现问题而延迟工期。工厂验收测试在设备的制造方、设备使用方或其委托有资质的第三方的见证下进行，完成测试后签字确认，各项指标符合客户验收要求，可以安排交货。工厂验收测试可能包括安装确认、运行确认所包含的一些测试内容。任何不受运输或安装所影响的测试内容，如果其得到合适的执行、复核和记录，在以后的确认中可以不需重复进行。

       （2）启动/调试 启动/调试的执行将在机械完工和交付给操作/维护部门或验证组之间进行。调试工作将由设备/系统供应商进行，并由用户指定的人员进行协调、批准和见证。调试方案将由设备/系统供应商进行编写，并在开始测试之前由用户审核、批准。由调试结果中所挑选出的符合GMP文件要求的数据可以用于支持设备/系统设备/系统验证，在进行验证时不需要重复测试。

       （3）现场验收测试（SAT） 当设备到达设备的使用场所后，就要进行现场验收测试工作。现场验收测试工作是为了促进调试工作并进一步提高验证成功的可能性，其可以与现场调试一起进行。与工厂验收测试相似的是，现场验收测试的目的也是为了保证设备已经按要求完成了组装和调试，所以有些测试项目与工厂验收测试相同。所不同的是，工厂验收测试是由设备的制造商在制造工厂测试，而现场验收测试是由设备的使用方在设备的使用场所进行的测试，所以更偏向于一些在设备的制造工厂无法进行的测试，将由供应商在设备/系统到使用现场后进行检查以保证其文件、安装和功能的正确性，并由用户指定人员进行见证。现场验收测试包含静态和动态的测试活动，测试活动在现场由供应商在移交设备给客户之前进行。每一项现场验收测试工作将用文件记录下来。现场验收测试方案将由设备/系统供应商进行编写，并在测试开始之前由用户审核、批准。由现场验收测试结果中所选出的符合GMP文件要求的数据可以用于支持设备/系统验证，在进行验证时不需要重复测试。

       o 安装确认

       安装确认（Installation Qualification，IQ）是通过有文件记录的形式证明所安装或更改的厂房、系统和设备符合已批准的设计和生产厂家建议和/或用户的要求，企业应对新的或发生改造之后的厂房、设施或设备等进行安装确认。安装确认就是确认用户收到的设备符合双方确认的内容，这是根据用户需求说明和设计说明以及相关文件对收到的设备进行确认，是个资料收集并归档的过程。

       安装确认过程一般不作动力接通和动作测试，只有等安装确认核对完全无误后方能进行后续的确认工作。安装确认是证实设备或系统中的主要部件正确的安装以及和设计要求一致（例如：标准规定、采购单、合同、招标数据包），应存在相关支持文件以及仪器应该经过校准。

       o 运行确认

       运行确认（Operational Qualification，OQ）是通过有文件记录的形式证明所安装或更改的厂房、系统和设备在其整个预期运行范围之内可按预期形式运行。运行确认是通过检查、检测等测试方式，用文件的形式证明设备的运行状况符合设备出厂技术参数，能满足设备的用户需求说明和设计确认中的功能技术指标，是证明系统或设备各项技术参数能否达到设定要求的一系列活动。

       运行确认是确立可信范围，确认设施/设备/公用设施在既定的限度和容许范围内能够正常运行。运行确认在系统执行（系统包括设施、设备及公用设施），核实在规定的参数内运行，例如温度、压力、流速等；运行确认的执行包括检测参数，这些参数调节工艺或产品质量；核实控制者合理的运行、显示器、记录、预警及连锁装置，这些需要在运行确认检测期间执行并记录在案。

       o 性能确认

       性能确认（Performance Qualification，PQ）是为了证明按照预定的操作程序，设备在其设计工作参数内负载运行，其可以生产出符合预定质量标准的产品而进行的一系列的检查、检验等测试。性能确认应在安装确认和运行确认成功完成之后执行。可以将性能确认作为一个单独的活动进行描述，在有些情况时也可以将性能确认与运行确认结合在一起进行。

       性能确认可通过文件证明当设备、设施等与其他系统完成连接后能够有效地可重复的发挥作用，即通过测试设施、设备等的产出物来证明它们的正确性。就工艺设备而言，性能确认实际上是通过实际负载生产的方法，考察其运行的可靠性、关键工艺参数的稳定性和产出的产品的质量均一性、重现性的一系列活动。

       性能确认是提供文件证据证明，系统能基于批准的工艺方法和产品标准，作为组合或分别进行有效的重复的运行。性能测试应在真实生产条件下进行，应收集确认数据并记录在附件的测试报告上。性能确认是正式测试的最后步骤，以及确认需求矩阵中识别为进行性能确认测试的系统正式运行前正确性能的文件证据。当最终性能确认报告批准后，系统可用于正常生产操作或用于工艺验证。

       参考文献

       1. 国家药品食品监督管理局，药品生产质量管理规范（2010年修订），2010

       2. 国家药典委员会，中华人民共和国药典2015年版，中国医药科技出版社，2015

       3. European Pharmacopoeia 9th，2016

       4. U.S. Pharmacopeia National Formulary 41，2017

       5. The American Society of Mechanical Engineers，ASME BPE 2014，2014

       6. ISPE，Volume 4：Water and Steam Systems (Second Edition)，2011

       7. WHO Expert Committee on Specifications for Pharmaceutical Preparations fourty-sixth Report，Annex 2：WHO Good Manufacturing Practices：Water for Pharmaceutical Use，2012

       8. FDA，Guide to Inspections of High Purity Water Systems，1993

       9. 国家食品药品监督管理局药品认证管理中心，中国医药科技出版社，GMP实施指南，2010

       10. 化学工业出版社，制药用水系统，2016

       【专家简介】张功臣，制药行业专家，主要从事制药流体与生物工艺系统的研究与实践，全国制药工程设计竞赛委员会专家，ISPE培训专家，国家药监局检查员培训专家，国家标准《GB50913-2013 医药工艺用水系统设计规范》编委。