1、 GAMP的基本概念和内容

1.1、 基本概念

GAMP是“Good Automation Manufactory Practice”（良好自动化生产实践指南）的英文缩写，是由国际制药工程协会（ISPE）主编的针对计算机化系统合规的实践指南。旨在提供一套基于现有行业规范的行之有效的方法，使计算机化系统符合预定用途并满足现有GxP法规的要求。该框架的目标是保证患者安全、产品质量以及数据完整性，同时它也会给企业带来经济利益。自90年代以来，不断改版的《良好自动化生产实践指南》已被广泛使用并得到国际监管部门的公认，它是计算机化系统验证的指导方针。该指南从1995年第一版开始到2008年，已经更新出版了5版，GAMP5是目前的最新版本，于2008年2月发布。
GAMP所提供的实用指南有助于诠释法规要求，建立通用的专业术语，推广基于良好实践的系统生命周期方法，明确各方的任务和职责。

注：GAMP中的A（Automation），释意为自动化，指的是通过计算机化系统（软硬件，操作规程，设备等）的有效应用，达成自动化生产的理想流程。国际制药工程协会（ISPE）制定的GAMP，就是指自动化制造过程中，对计算机化系统的要求。

1.2、 定位

由ISPE所制订的GAMP和GMP不一样，它不属于强制性的规范和标准，而是一个理论和实践方法上的指南。

因为GAMP不属于规范，ISPE也不属于认证机构，所以在GAMP中也申明：任何宣传“已通过GAMP认证”或“已获得GAMP批准”是不合适的。但GAMP5所提出的许多理论和概念还是非常科学和有道理的，所以虽然它不属于规范，但却是目前国际制药行业进行计算机化系统验证方法的主要参考依据，同时也是医药自动化最重要的合规性指南。

另外，应该注意的是，虽然在GAMP中也提供一些通常性方法上的参考，但是面对各种类型的计算机化系统，实际上还是需要我们认真研究和了解被验证对象及其应用过程以后，才有可能形成真正合理的可操作的验证方案。所以如何真正理解GAMP的概念，根据不同的计算机化系统的特点和要求，分门别类建立真正科学、合理和可操作的验证模式，将是一个意义重大的课题。只有这个问题解决好了，所谓的计算机化系统验证才有可能在制药行业合理普遍展开。

1.3、 重点内容

1.3.1、 参考方法

GAMP所介绍的方法与其他诸多模型、方法、方案是一致的，包括：

l 质量体系标准：如电气和电子工程师协会（简称IEEE）标准，国际标准化组织（ISO）9000系列认证方案；

l 评估与提升组织能力和成熟度的方案：如软件能力成熟度模型（简称CMMI）；

l 软件处理模型：如各种螺旋形模型，V模型；

l 软件开发方法：如快速应用开发（简称RAD），统一软件开发过程（简称RUP）；

l 信息技术服务管理方法：如IT信息技术基础设施库（ITIL）。

也就是说，如果研究过以上模型、方法和方案，则有助于快速理解及掌握GAMP。

1.3.2、 契合的法规以及行业发展概念

除了GxP，GAMP契合的法规以及行业发展概念还有：

l ICH国际协调会议Q8，Q9以及之后的Q10准则：基于制药质量体系，采用科学的风险管理方法来进行药物开发和生产，以实现预期质量目标；

l 产品质量生命周期执行标准（简称PQLI）：由ISPE所发起，旨在帮助行业实施ICH标准；

l 美国食品药品管理局（简称FDA）所颁布的面向21世纪的“现行药品生产质量管理规范”（简称cGMPs）及相关准则：推广基于科学的风险管理方法；

l 国际药品检查合作计划（组织）（简称PIC/S）为GxP环境下使用的计算机化系统提供的实践指南：阐明了法规期望；

l 新产生的行业标准，譬如美国材料与试验协会ASTM E55* 委员会所颁布的标准：加强了对药物开发与生产工艺过程的理解和控制。

这些规范都注重患者安全、产品质量和数据的完整性，故推动GAMP5发展的动力可用下图表示：

1.3.3、 GxP法规的范围

l 药品生产质量管理规范（GMP）

l 良好临床试验管理规范（GCP）

l 良好实验室质量管理规范（GLP）

l 良好配送质量管理规范（GDP）

l 医疗器械法规（医疗器械内置的软件除外）

注：本文重点针对GMP。

1.3.4、 受GxP监管的计算机化系统

如：

l 自动化生产设备系统

l 自动化实验室设备系统

l 生产执行系统

l 实验室信息管理系统

l 仓储与配送系统

简单来说，就是覆盖人机料法环资源管理、生产执行及管理、质量管理的相关系统。

1.3.5、 五个关键概念

l 产品与流程的理解
只有对产品和所支持的流程深刻理解了，才能制定好基于科学和风险的决策。对于制造系统而言，工艺需求也取决于对产品特性的全面理解。

l 基于质量管理体系的生命周期方法
计算机化系统生命周期方法是以系统化的方式来定义与实施活动，包括概念提出、需求理解、系统开发、发布、运行使用直至系统退役。
生命周期方法是质量管理体系（QMS）的重要组成，而且必须不断审查、改进、和更新。
项目的开始阶段就应该进行GxP评估，以确定系统是否受GxP监管。

l 可增减的生命周期活动
可根据以下因素来选择合适的生命周期活动，根据实际情况做合理的活动增减：
- 系统对患者安全，产品质量和数据完整性的影响（GxP风险评估）
- 系统的复杂性和新颖性（系统架构和分类）
- 供应商评估的结果（供应商的能力水平）

l 基于科学的质量风险管理
质量风险管理的基本流程如下：
进行最初风险评估并确定系统影响 -> 确定对患者安全、产品质量和数据完整性有影响的功能 -> 进行功能性风险评估并确定控制模式 -> 实施并确认适宜控制 -> 审查风险并监控

这跟项目管理十大知识领域中的风险管理过程类似，也包括如下过程：
规划风险管理，风险识别，风险定性分析，风险定量分析，风险应对计划编制，风险监控。
在风险定性分析过程中，比较常用的工具是风险概率和影响矩阵，计算风险对目标（如成本、时间、范围或质量）的影响值，根据影响值的高低来制定不同的风险应对措施。
其中风险概率和影响值 = 概率系数*影响系数，分值高的区域，需要重点关注，见下表：

参考：PMP，高级信息系统项目管理。

l 充分利用供应商活动
在进行了充分的供应商评估之后， 被监管公司应在系统的整个生命周期内尽量利用供应商的参与以充分利用其知识（工艺、 自控等专有技术）、 经验（根据GAMP对计算机化系统进行验证）和文件（综合模板文件，技术说明书，测试文件，报告等）。这样能更好地提高效率，降低风险。

这五个关键概念贯穿于GAMP指南全文，只有充分理解并掌握了，才能灵活运用，开发出符合GMP要求的计算机化系统。概念之间的关系如下图：

1.4、 计算机化系统验证基本流程

说明：被监管公司按照GAMP的指导方法进行开发了，最后交付的计算机化系统，如软件部分，是否真的符合GMP规范的要求了？要如何才能证明其符合了呢？接下来将介绍计算机化系统验证的基本流程。

1、确定该计算机化系统是否与GMP相关
参考系统影响评估（SIA）的指导原则，确定系统是否与GMP相关（只有和GMP相关的系统才需要进行验证） 。一般步骤如下：
- 通过网络结构图或自控系统清单来确认是否为自控系统，自控系统才与GMP有关；
- 通过系统操作方式（手动或自动）、自动化程度的复杂性（软件分类）、采购的复杂性（现成/自定义/定制）、是否需要性能验证来分析系统复杂程度，并做评级，达到一定级别才需要验证。

2、确认必须的验证阶段和技术文件，然后检查是否按计划输出
必要的阶段有：DQ，IQ，OQ，PQ
必须的文件有：RA，URS，SOP，FS，DS
说明：只有自定义或定制的系统才需要进行FS、DS和DQ。对于现成的系统，有供应商的手册或技术文件就够了。

名词解释：

阶段：

术语	描述	GAMP5验证活动
设计确认(Design Qualification – DQ)	文件化的验证：装置、系统、设备的设计方案符合系统预定用途	设计审查
安装确认(Installation Qualification – IQ)	文件化的验证：系统是按照书面书、预先已批准的规范进行安装的	检查、测试或其他核实，从而证明以下内容的正确性： l 软件和硬件的安装 l 软件和硬件的配置
运行确认(Operation Qualification – OQ)	文件化的验证：系统在规定的运行范围内，是按照书面的、预先已批准的规范运行的	按照规范来进行的系统测试或其他核实活动，用来证明功能的正确运行能够支持所有规定运行范围内的具体业务流程。
性能确认(Performance Qualification – PQ)	文件化的验证：系统在业务流程和运行环境范围内，能够按照书面的、预先已批准的规范正确执行所要求的流程活动。	测试和其他核实活动，用来证明系统符合预定用途，并允许按照所规定要求进行系统验收。

文件：

术语	描述
RA	Risk Assessment 风险评估
URS	User Requirement Specification 用户需求说明书
SOP	Standard Operation Procedure 标准作业程序
FS	Function Specification 功能描述
DS	Desing Specification 设计描述

3、确认是否进行了预防性的功能风险评估
可采用简化的失效模型FMEA（Failure Mode & Effect Analysis）， 得出对患者安全、 产品质量、数据完整性、数据安全等方面的影响评估，分析风险，并根据风险优先级设计预案。

4、确认是否选择了合适的开发生命周期模型
根据系统特点，系统的复杂性，新颖性，开发风险，供应商评估结果，确认是否有选择适合的开发生命周期模型，一般采用V模型，因为V模型的特点在于能否做到多维度工作并行，需求-设计-开发实施可回溯，以及可基于风险增减开发过程，严谨而又高效。最后检查有没有依据已确定的生命周期模型实施开发。
一个比较典型的医药自动化系统工程的生命周期V模型如下图：

5、从系统功能设计上检查是否实施了行业特性设计
如生物医药行业，要考虑真实场景再现，即系统数据与真实世界的数据保持完全一致，系统数据防篡改，防抵赖。考虑可根据事件源头追溯，数据可长期保存，还要考虑隐私数据的安全保密性。确认这些特性，系统是否有相关设计并有对应功能。