新版GMP附錄的發(fā)布對應(yīng)用于藥品生產(chǎn)相關(guān)的計算機系統(tǒng)的驗證有了明確的要求，雖然遲到了很多年，但對提高行業(yè)規(guī)范程度，進一步優(yōu)化行業(yè)結(jié)構(gòu)，降低飽為大眾所詬病的產(chǎn)品質(zhì)量風險仍然具有十分重要的意義。與附錄晚到的相對應(yīng)，我國制藥行業(yè)信息化程度整體上無論是與國外同行相比，還是在國內(nèi)其他行業(yè)橫向?qū)Ρ?，都具有十分明顯的差距。企業(yè)在信息化投入和人才儲備上都明顯不足。

新附錄強調(diào)了對計算機系統(tǒng)全生命周期質(zhì)量與性能的評估與確認。計算機系統(tǒng)的生命周期包括了”需求”，“設(shè)計”，“開發(fā)”，”測試”，”運行”、”退役”全過程。其中測試還可以分為”單元測試”、”集成測試”、”系統(tǒng)測試”、”用戶測試”等四個步驟。在GMP對計算機系統(tǒng)的驗證提出要求之后，、驗證工作在當前的現(xiàn)實情況下很自然就落在QA部門頭上。對于非IT專業(yè)的QA人員來說，需求、用戶測試、和運行、退役還能把控，但對于”設(shè)計”、”開發(fā)”以及測試中的其他環(huán)節(jié)卻也無能為力。顯然，讓QA去具備讀懂代碼的能力和具有軟件工程的思維是一件過份且不實際的要求。但計算機系統(tǒng)驗證最重要的目的是為了防止將軟件的缺陷或問題帶到藥品的生產(chǎn)環(huán)境中，從而導致一系列的生命健康問題。從質(zhì)量源于設(shè)計的角度的出發(fā)（對任何產(chǎn)品都是如此），設(shè)計，開發(fā)，測試大部分都不把控在自己手中，豈不是不受控，這樣的風險如何接受和處理呢？

我們可以想想，藥廠的GMP生產(chǎn)車間肯定不是自己人蓋的。藥廠需要的是提出需求，由工程設(shè)計方設(shè)計出圖紙，由施工方建造，由監(jiān)理方監(jiān)管，最后由藥廠來驗收。土建中廠房結(jié)構(gòu)要求由土木建筑技術(shù)人員去管理和控制、主要建筑材料由當?shù)亟ㄔO(shè)工程質(zhì)量監(jiān)督站的檢驗文件證明其質(zhì)量。藥廠需要做工作的是找一家有GMP廠房建造經(jīng)驗并具備相關(guān)資質(zhì)的承建商。對于計算機系統(tǒng)來說，同樣如此，我們可以將計算機系統(tǒng)的供應(yīng)商視作GMP廠房的建造商。一個合格的計算機系統(tǒng)供應(yīng)商應(yīng)該具備完善的內(nèi)部質(zhì)量控制系統(tǒng)，保證其輸出產(chǎn)品的合格性。

在講述這個問題之前，我們先看看IT行業(yè)軟件開發(fā)生命周期（SDLC）與FDA/CFDA所要求的計算機系統(tǒng)驗證（CSV）之間的關(guān)系。只有明白兩者之間的關(guān)系，我們才能更好的定位自己的主要職責，以免越俎代庖。

IT行業(yè)的V模型

熟悉GAMP的人會了解GMP中計算機系統(tǒng)驗證的V模型。GAMP中的V模型描述了從概念提出、項目執(zhí)行、系統(tǒng)運行、到系統(tǒng)退役的計算機系統(tǒng)生命周期全過程。但GAMP中的V模型并非憑空而生的，而是在現(xiàn)有的軟件開發(fā)模型上結(jié)合藥品生產(chǎn)行業(yè)的特點改造而來，其中包括的軟件需求、開發(fā)設(shè)計、測試、部署、應(yīng)用這些環(huán)節(jié)在軟件工程中早有體現(xiàn)。

在計算機軟件開發(fā)行業(yè)，有一個著名的開發(fā)模型叫”瀑布模型”，該模型雖然批評之聲甚多，但還是在軟件開發(fā)行業(yè)得到了廣泛應(yīng)用。瀑布模型將軟件生命周期劃分為制定計劃、需求分析、軟件設(shè)計、程序編寫、軟件測試和運行維護等六個基本活動，并且規(guī)定了它們自上而下、相互銜接的固定次序，如同瀑布流水，逐級下落。瀑布模型的突出缺點是不適應(yīng)用戶需求的變化。瀑布式方法在需求不明并且在項目進行過程中可能變化的情況下基本是不可行的。將傳統(tǒng)意義的瀑布模型稍加改造就可以得到下面常見的V模型。

上面提到的V模型將測試分為”單元測試”、”集成測試”，”系統(tǒng)測試”、”用戶測試”，強調(diào)了在開發(fā)過程中每一個步驟中都采用不同的測試形式，包括屬于靜態(tài)測試的代碼審查和代碼走查，以及實際程序運行的動態(tài)測試，從而避免將全部測試工作堆積到最后。

GAMP中的V模型

對于GAMP中V模型，同樣是從需求的明確開始，制定用戶需求說明書（User Requirement Specification URS），功能規(guī)格說明書（Function Specification，F(xiàn)S），設(shè)計規(guī)格說明書（Design Specification,DS),系統(tǒng)開發(fā)，測試（單元測試、集成測試、系統(tǒng)測試），安裝驗證（IQ） ，操作驗證(OQ)，性能驗證（PQ）、系統(tǒng)運行、退役。對于上述的軟件開發(fā)生命周期圖，如果我們將”系統(tǒng)設(shè)計”與”設(shè)計說明”等同，將”用戶接受度測試”與”性能測試”等同，則計算機系統(tǒng)驗證的CSV圖中左側(cè)多了FS，右側(cè)多了IQ、OQ。可以認為GMP下的計算機系統(tǒng)驗證在軟件行業(yè)的V型圖上擴展而成的，而且更注重終端用戶的參與。

計算機系統(tǒng)在GMP環(huán)境下的驗證流程既然是在軟件開發(fā)模型上擴充而來，那么回到我們原來的問題上，作為終端用戶到底要在整個流程中扮演什么角色？是需要成為一個無所不通的全才嗎？對比之前舉過的GMP廠房建設(shè)的例子，我們其實只需要做用戶該做的事，擅長的事。在上圖中，采用淺藍色底色的流程節(jié)點是需要終端用戶起到主要責任的，而深綠色底色的部分，則可以交給計算機系統(tǒng)的供應(yīng)商去做，用戶需要做的是監(jiān)督與審查。對于完全定制化的系統(tǒng)，由于風險較高，用戶可以在軟件開發(fā)的過程中介入得深一些，而一些商業(yè)化成熟化的產(chǎn)品則可以介入得少些。需要注意的是，這里所說的用戶的監(jiān)督與審查，并不單指項目過程的監(jiān)督和審查，還包括項目啟動之前的供應(yīng)商選擇和產(chǎn)品選擇，在質(zhì)量審計時應(yīng)能出示翔實的供應(yīng)商審計報告和產(chǎn)品選擇論證報告。

總結(jié)：

  ?  CSV更多的是由用戶驅(qū)動的，應(yīng)該由供應(yīng)商，企業(yè)IT部門，QA部門和咨詢商協(xié)同工作的過程，而不是QA唱獨角戲。GMP新附錄也強調(diào)了”在人員配置方面”應(yīng)當確保有適當?shù)膶I(yè)人員，對計算機化系統(tǒng)的設(shè)計、驗證、安裝和運行等方面進行培訓和指導。”

  ?  用戶必須編寫URS，作為計算機系統(tǒng)驗證的基礎(chǔ)。

  ?  供應(yīng)商必須提供能滿足URS的FS，DS。

  ?  用戶需要介入驗證過程的每一步驟（對于定制化開發(fā)需要介入更深，對于已經(jīng)商業(yè)化的軟件則可以淺一些，定制化程度越高，用戶方就要介入得越多）

  ?  除了對新的計算機驗證，還要對舊的計算機系統(tǒng)進行回顧性驗證，對于有重大改動的要重新驗證。對于已經(jīng)有的系統(tǒng)，如果沒有FS，DS，可以在現(xiàn)有系統(tǒng)基礎(chǔ)上通過反向工程的方式得到。

  ?  業(yè)務(wù)風險與合規(guī)風險是評估驗證優(yōu)先級的依據(jù)。

  ?  文檔準備，URS，VP（驗證計劃），PP（項目計劃），系統(tǒng)選型報告，供應(yīng)商審計報告，F(xiàn)S，DS，供應(yīng)商測試計劃與測試結(jié)果，跟蹤矩陣，風險分析報告，網(wǎng)絡(luò)與基礎(chǔ)設(shè)施鑒定，IQ腳本與驗證結(jié)果，OQ腳本與驗證結(jié)果，SOP（標準操作規(guī)程，培訓材料，培訓記錄），PQ腳本與驗證結(jié)果，驗證總結(jié)報告。