4. EMS 系统架构：五层纵深设计
一个符合 GMP 与数据完整性要求的洁净室环境监测系统（EMS），其架构通常划分为五个逻辑层：传感器层、数据采集层、数据管理层、报警与报告层以及系统集成层。每一层承担独立的职责，层与层之间通过标准协议进行数据交换，形成从物理信号到业务决策的完整链路。
架构设计核心原则： 数据单向流动、层级解耦、冗余备份、审计追踪。任何一层发生故障，不应导致上下游数据永久丢失或系统瘫痪。
4.1 传感器层（Sensor Layer）
传感器层是 EMS 的“神经末梢”，直接与被监测环境接触，负责将物理参数转换为标准电信号或数字信号。该层设备的选型与校准直接决定数据质量的基线。
| 传感器类型 | 监测参数 | 典型输出信号 | 校准周期 |
|---|---|---|---|
| 激光粒子计数器 | ≥0.5μm / ≥5.0μm 粒子数 | RS-485 / Modbus RTU | 每年（或移动后） |
| 温湿度变送器 | 温度（℃）、相对湿度（%RH） | 4-20mA / 0-10V | 每半年 |
| 差压变送器 | 房间压差（Pa） | 4-20mA / 数字式 | 每半年 |
| 风速传感器 | 单向气流速度（m/s） | 0-10V / 脉冲 | 每年 |
| 浮游菌采样器 | CFU/m³（微生物） | 数字协议 / 无线 | 每次使用前流量校准 |
合规要点： 所有传感器必须具有可追溯的校准证书，且校准范围覆盖实际监测量程。在线粒子计数器应具备 ISO 21501-4 或 JIS B 9921 认证。
4.2 数据采集层（Data Acquisition Layer）
数据采集层承担“承上启下”的角色，负责将传感器层的模拟或数字信号统一采集、暂存、初步处理并上传至管理层。该层通常包含以下组件：
- PLC / RTU： 用于采集 4-20mA 模拟信号，执行本地逻辑控制。
- 协议转换器： 将 Modbus RTU、BACnet、OPC UA 等不同协议转换为统一格式。
- 边缘计算节点： 在采集端进行数据清洗、异常标记、断网缓存，降低对中心服务器的依赖。
- 数据缓存： 本地 SD 卡或 SSD 存储，确保网络中断时数据不丢失。
常见风险： 采集层与传感器层之间使用非屏蔽双绞线且未做隔离，导致信号漂移；或采集频率设置过高（如 1s/次）造成网络拥塞。建议粒子计数器采集频率 ≤ 1 次/分钟，温湿度 ≤ 1 次/10 秒。
4.3 数据管理层（Data Management Layer）
数据管理层是 EMS 的“大脑”，负责所有监测数据的存储、索引、备份、权限控制以及数据完整性保障。该层必须满足 21 CFR Part 11 和 EU GMP Annex 11 对电子记录与电子签名的要求。
| 功能模块 | 说明 | GMP 合规要求 |
|---|---|---|
| 实时数据库 | 存储当前最新监测值，支持高频写入 | 数据写入后不可篡改 |
| 历史数据库 | 归档存储原始数据，保留周期 ≥ 2 年 | 支持审计追踪，记录所有修改 |
| 用户权限管理 | 基于角色的访问控制（RBAC） | 唯一账户、密码策略、自动注销 |
| 电子签名 | 关键操作（如报警确认、数据修改）需签名 | 签名与记录绑定，不可移除 |
| 数据备份与恢复 | 自动增量备份 + 定期全量备份 | 备份介质异地存放，恢复演练每年一次 |
4.4 报警与报告层（Alarm & Reporting Layer）
该层将原始数据转化为可执行的决策信息。报警机制必须遵循 “分级报警、逐级升级” 原则，报告模块需支持 GMP 要求的周期性总结与异常事件报告。
- 报警分级：
- Warning（预警）： 监测值接近限值，提醒操作人员关注。
- Alarm（报警）： 监测值超出限值，触发声光报警并记录。
- Critical（严重报警）： 监测值严重超标或系统故障，自动通知主管及 QA。
- 报告类型：
- 日报 / 周报 / 月报（趋势分析）
- 超标事件报告（含根本原因分析）
- 年度环境质量回顾报告
- 报警统计与响应时间报告
- 通知方式： 声光报警器、邮件、短信、企业/钉钉推送、大屏显示。
验证要点： 报警延迟时间必须经过挑战测试。从传感器触发到报警界面弹出，通常要求 ≤ 10 秒；短信/邮件通知 ≤ 60 秒。所有报警确认操作必须记录操作人、时间及备注。
4.5 系统集成层（System Integration Layer）
系统集成层负责将 EMS 与工厂其他信息化系统对接，实现数据互通与业务联动。该层通常通过 REST API、OPC UA、数据库视图 或 消息队列 实现。
| 集成对象 | 集成方式 | 典型数据交换内容 |
|---|---|---|
| LIMS（实验室信息管理系统） | REST API / 中间表 | 环境监测结果、超标事件、采样计划 |
| MES（制造执行系统） | OPC UA / 数据库直连 | 生产批次关联的环境数据、放行判断 |
| BMS（楼宇管理系统） | BACnet / Modbus TCP | HVAC 运行参数、能耗数据 |
| SCADA | OPC DA / OPC UA | 实时趋势、报警联动 |
| 企业 / 短信网关 | HTTP API / SMPP | 报警通知、值班确认 |
4.6 架构设计避坑清单
- 传感器层： 避免不同厂商传感器混用未校准的通信协议；粒子计数器采样管长度不得超过厂家规定（通常 ≤ 3m）。
- 数据采集层： 采集终端必须配备 UPS，防止断电导致数据丢失；采集频率应与存储容量匹配，避免历史库过快填满。
- 数据管理层： 数据库必须启用事务日志和自动备份；禁止直接操作数据库表，所有数据修改必须通过应用层接口。
- 报警与报告层： 报警阈值应设置死区（Hysteresis），防止临界值频繁触发抖动报警；报告模板需经过 QA 审核并版本控制。
- 系统集成层： 接口调用应设置超时和重试机制；集成测试必须在 OQ 阶段完成，并记录所有接口响应时间。
最佳实践： 在 IQ/OQ 阶段，使用模拟信号发生器对传感器层到数据管理层进行全链路穿透测试，验证每个数据点的标签（Tag）、单位、量程、报警限值是否正确映射。