2. FDA法规体系与21 CFR Part 11简介

说到FDA的法规体系，我第一个感觉就是：这玩意儿像个巨大的洋葱，一层包着一层。很多刚入行的朋友一上来就被各种CFR编号搞晕了。别急，咱们一层层剥开它。

FDA监管框架概述

FDA监管的不是单一产品，而是覆盖了药品、医疗器械、生物制品、食品、化妆品等多个领域。说白了，只要跟公众健康沾边的，它都管。对于咱们生物信息学的人来说，最核心的就是药品和医疗器械相关的法规。

FDA的法律法规体系大致分三层：

• 法律层面：由国会通过的联邦法律，比如《联邦食品、药品和化妆品法案》（FD&C Act）。这是顶层的法律依据。
• 法规层面：由FDA根据法律授权制定的具体条款，就是咱们常说的21 CFR（Code of Federal Regulations Title 21）。这里面分了很多章，比如Part 11、Part 50、Part 56、Part 58、Part 211等等。
• 指南层面：FDA发布的行业指南，比如《工业指南：电子记录与电子签名》。这些指南不具有法律强制力，但代表了FDA当前的想法。我个人习惯是，先看指南，再回头看CFR原文，这样理解得更快。

我记得有一次在审核一个生物信息学平台时，客户问我们：“你们这个系统到底符不符合FDA的要求？”我问他们：“你们走的是哪个Part？”他们愣了半天。嗯，这就是问题所在——你得先搞清楚你的系统属于哪个监管范畴。

法规层级	举例	法律效力
联邦法律	FD&C Act	最高，强制执行
联邦法规	21 CFR Part 11	强制执行
行业指南	Part 11电子记录指南	推荐性，但FDA会引用

21 CFR Part 11核心要求

Part 11是专门针对电子记录和电子签名的。说白了，如果你用电脑来记录数据，或者用电子方式签名，那就得听Part 11的。它要确保：电子记录和手写记录一样可信。

Part 11的核心要求可以归纳为几个方面：

• 系统验证：你得证明你的系统能正确、可靠地完成预期功能。我见过很多团队，系统一上线就说“验证完了”，结果连个测试脚本都没有。你想想看，这能过审计吗？
• 审计追踪：谁、什么时间、做了什么、改了什么，都得记录下来。而且这个审计追踪本身不能被修改。这是硬规则。
• 电子签名：每个电子签名必须唯一对应一个人，不能重复使用。签名时必须显示签名人的姓名、日期时间、以及签名含义（比如“批准”）。
• 数据保护：数据不能被未经授权的人篡改或删除。说白了，你得有访问控制。
• 记录保留：电子记录必须可以在整个保留期内被准确重现。我建议你留意一下数据格式的迁移问题——老系统的数据，新系统能读吗？

FDA对生物信息学的监管视角

生物信息学在FDA眼里属于什么？我个人觉得，它更偏向于计算机化系统的范畴。FDA在21 CFR Part 11以及相关的指南中，把计算机化系统定义为：包括硬件、软件、外围设备、人员和文档在内的系统。

也就是说，你的生物信息学分析流程、数据库、云平台，只要是用来生成、处理、存储电子记录的，都得遵守Part 11。

我记得有一次，一个团队在开发一个NGS数据分析的自动化流程。他们把原始数据传到云端，用一堆开源工具跑分析，最后把结果存到自己的数据库里。我问他们：“你们这个流程有验证吗？审计追踪在哪儿？”他们说：“开源工具怎么验证？”嗯，这就是个大坑——开源不等于免验证。FDA只看结果，不看工具是否开源。

Part 11的适用范围与豁免

不是所有系统都要完全符合Part 11。FDA把系统分为两类：

• 完全适用：系统用于产生、处理、存储需要受监管的电子记录。
• 部分适用：系统只用于辅助工作，不直接处理GxP数据。

我建议你在项目初期就做一次评估：你的系统处理的数据，是不是最终用于监管申报或质量决策？如果是，那Part 11就是你的必修课。

FDA法规体系与Part 11知识框架

下面这张图总结了本章的核心逻辑。你可以看到，FDA法规体系是一个从法律到指南的层级结构，而Part 11是其中专门针对电子记录与签名的一环。它直接影响到生物信息学中的计算机化系统。