2. 临床研究数据质量框架与法规要求
临床研究数据质量监控不是“事后挑错”，而是把法规要求翻译成可执行、可核查、可追溯的工程控制。理解 ICH E6、FDA 21 CFR Part 11、NMPA GCP 与 CDISC 标准之间的关系，是设计监控规则、定义数据质量指标和判断偏差严重程度的前提。本节先建立“法规—标准—监控动作”的映射框架，再聚焦 ALCOA+ 原则在监控工程中的落地方式。
一、四层法规与标准体系：从原则到可执行规则
ICH E6 是临床研究质量管理的顶层原则。E6(R2) 在 2016 年引入基于风险的质量管理（risk-based quality management, RBQM），要求申办者在试验设计阶段识别对受试者保护和数据可靠性最关键的因素，并将监查资源向关键数据与关键流程倾斜。E6(R3) 进一步强调“质量源于设计”（Quality by Design），把数据治理、计算机化系统验证和供应商管理纳入质量体系，要求质量活动与风险相称、可追溯。对监控工程而言，E6 提供的是“为什么监控、监控到什么程度”的判断依据。
FDA 21 CFR Part 11 解决的是电子记录与电子签名的可信性问题。它要求电子记录具备与纸质记录同等的可信度，核心控制点包括：系统验证、审计追踪（audit trail）、记录留存与可读性、访问权限控制、电子签名与记录绑定。Part 11 对监控工程的直接约束是：任何数据修改都必须留下“谁、何时、为什么、改了什么”的痕迹，且审计追踪不可被普通用户关闭或编辑。
NMPA GCP（2020 年修订版）在数据质量上强调源数据可溯源、数据修改留痕、计算机化系统验证与权限管理，并要求申办者建立基于风险的质量管理体系。它与 ICH E6 保持协调，但在记录保存、伦理审查和药物临床试验机构管理上有本土化要求。CDISC 标准（CDASH、SDTM、ADaM、Define-XML）则解决数据从采集到分析的结构化与可交换性：CDASH 规范采集字段，SDTM 规范提交数据集结构，ADaM 规范分析数据集，Define-XML 描述元数据。监控规则若不了解 CDISC 变量语义，就无法判断“缺失值是否合规”“日期逻辑是否矛盾”。
二、ALCOA+ 原则的监控工程落地
ALCOA 由 FDA 提出，后被扩展为 ALCOA+，是数据完整性的通用判据。它包含九个属性：可归属（Attributable）、易读（Legible）、同步（Contemporaneous）、原始（Original）、准确（Accurate），以及完整（Complete）、一致（Consistent）、持久（Enduring）、可获得（Available）。在监控工程中，每个属性都应映射到具体的检查对象和判断条件，而不是停留在口号层面。
可归属要求每条记录能追溯到具体操作者。监控动作：检查电子病例报告表（eCRF）中每条录入和修改是否带有唯一用户 ID，审计追踪中是否存在“系统账户”或共享账户写入。若发现同一账户在 3 分钟内从两个不同 IP 提交数据，应标记为可疑并触发人工核查。
同步要求数据在产生时即被记录。监控动作：比较源数据时间戳与录入时间戳。例如某受试者访视日期为 2024-03-05，而生命体征录入时间为 2024-03-12，间隔 7 天且无合理说明，应生成质疑。示例阈值可设为：常规访视录入延迟超过 3 个工作日即提示，超过 7 个工作日升级为重要偏差。
原始要求保留首次记录。监控动作：检查是否存在覆盖式修改。若系统审计追踪显示某字段从“120”直接变为“80”且无修改原因，则违反原始性与可归属要求。合规系统应保留旧值、新值、修改人、修改时间和修改理由。
准确要求数据真实反映观察结果。监控动作：执行范围检查、逻辑检查和交叉核对。例如收缩压合理范围设为 60–250 mmHg，超出即触发质疑；若受试者出生日期晚于知情同意日期，则逻辑矛盾。CDISC SDTM 中 VSORRES 与 VSSTRESN 的单位换算一致性也应纳入检查。
完整、一致、持久、可获得更多体现为系统与流程控制。完整性检查关注必填变量缺失率，例如 SDTM 中 DM 域的 USUBJID、RFSTDTC 缺失率应为 0；一致性检查关注同一受试者在不同数据集中的关键标识是否一致；持久性要求记录在保存期内可读，监控上可检查归档任务是否成功、存储介质是否定期校验；可获得性要求授权人员在需要时能及时调阅，监控上可检查权限矩阵与访问日志。
三、从法规条款到监控规则的示例映射
下面给出一份可直接参考的映射表，用于把法规要求转化为可执行的监控规则。表中参数为教学示例，实际项目应根据方案、风险等级和系统能力调整。
| 法规/标准来源 | 核心要求 | 监控对象 | 示例规则与阈值 | ALCOA+ 属性 |
|---|---|---|---|---|
| 21 CFR Part 11 | 审计追踪不可关闭 | 系统配置、审计日志 | 审计追踪开关状态为“启用”；普通用户无关闭权限 | 可归属、原始 |
| ICH E6(R2) | 基于风险的关键数据监查 | 关键变量缺失率 | 关键疗效变量缺失率 > 5% 触发中心级核查 | 完整 |
| NMPA GCP | 源数据可溯源 | 源文件与 eCRF 一致性 | 抽样 10% 受试者，关键字段不一致率 > 2% 升级 | 准确、一致 |
| CDISC SDTM | 受控术语与变量结构 | AE 域 AETERM/AESER | AESER 取值必须属于 {Y, N, U}；非法值计数为 0 | 一致、准确 |
| CDISC Define-XML | 元数据可追溯 | 数据集变量描述 | 每个 SDTM 变量在 Define-XML 中有来源和计算说明 | 可获得、持久 |
四、监控工程中的判断逻辑与结果示例
把上述规则组合成一条可执行的监控流水线，通常包括：数据抽取、规则计算、结果分级、质疑生成和闭环跟踪。以“访视日期与录入日期延迟”为例，假设某中心 20 名受试者的访视记录中，有 3 条录入延迟超过 7 天，延迟天数分别为 9、11、15 天。规则引擎输出：该中心延迟率 15%，超过预设阈值 10%，生成中心级质疑，要求说明是否存在源数据未及时录入或补录情况。若核查后发现其中 2 条有合理原因（如受试者住院导致访视推迟），1 条无说明，则保留 1 条重要偏差并进入纠正与预防措施（CAPA）跟踪。
这个过程中，监控人员需要区分“数据质疑”和“数据偏差”：质疑是待澄清的问题，偏差是已确认的偏离。法规要求的是对偏差进行记录、评估和纠正，而不是把所有质疑都升级为偏差。判断依据应写入数据质量监控计划，包括规则编号、阈值、分级标准、责任人和时限。
综上，ICH E6 提供风险导向的质量原则，Part 11 和 NMPA GCP 提供电子记录与源数据的合规控制，CDISC 提供数据结构与语义标准，ALCOA+ 提供数据完整性的判据。监控工程的任务，是把这些要求逐层翻译为可执行的规则、阈值和闭环流程，使数据质量从“依赖人工经验”转向“可设计、可测量、可追溯”的系统能力。