2. eSource数据采集的监管要求与合规框架
eSource（电子源数据）并不是“把纸质病历换成平板电脑”这么简单。它意味着源数据首次以电子形式产生、存储和签署，因此监管机构关注的核心问题从“记录是否完整”扩展为“电子记录是否可信、可追溯、可归因”。FDA、EMA、NMPA 分别通过 21 CFR Part 11、GCP Inspectors Working Group 相关指南以及《药物临床试验质量管理规范》与《临床试验数据管理工作技术指南》等文件，对 eSource 提出了可归因、可读、同步记录、原始、准确（ALCOA）以及在此基础上扩展的完整、一致、持久、可获得（ALCOA+）要求。理解这些要求，是设计任何 eSource 采集系统的前提。
三大监管体系对 eSource 的共性要求
FDA 的 21 CFR Part 11 明确了电子记录与电子签名的法律效力条件：系统必须能够生成准确的、可读的电子记录副本，保护记录不被未授权修改，并保留审计追踪。EMA 在 GCP 检查中强调源数据必须能够被核查者直接访问，电子源数据系统需具备可追溯的修改历史。NMPA 在 2020 版 GCP 中要求“以电子方式记录的数据，应当具有完整的稽查轨迹”，并明确电子签名与手写签名具有同等法律效力。三者表述不同，但落到工程实现上，都指向同一组能力：唯一用户身份、时间戳、修改前后值、修改原因、不可篡改的审计追踪，以及可验证的电子签名。
ALCOA+ 原则在 eSource 中的落地含义
ALCOA+ 是数据完整性的通用判据，但在 eSource 场景下每一项都有具体的工程对应物。可归因（Attributable）要求每条数据都能追溯到具体的人或系统动作，因此系统必须禁止共享账号，所有录入、修改、签署操作都绑定唯一用户 ID。可读（Legible）不仅指界面可读，还要求导出后的电子记录在脱离原系统后仍可被人和核查者理解。同步记录（Contemporaneous）要求数据在操作发生的同时或合理时间内记录，系统应自动打上服务器时间戳，而不是依赖用户手动填写。原始（Original）意味着 eSource 本身就是原始记录，任何后续转录到 EDC 的数据都属于派生数据，必须保留源端与派生端的对应关系。准确（Accurate）要求系统具备范围校验、逻辑校验和必填校验，从源头减少错误。
ALCOA+ 增加的完整（Complete）、一致（Consistent）、持久（Enduring）、可获得（Available）四项，对 eSource 的架构影响更大。完整要求不能只保存“最终值”，还要保存被修改或删除的中间状态；一致要求同一数据在不同视图、导出文件和审计追踪中保持一致；持久要求存储介质和格式在试验归档期内可读，通常要求至少保存至试验结束后 5 年，部分情况更长；可获得要求授权人员在需要时能够及时调取数据，包括核查现场的只读访问。
审计追踪的规范与实现要点
审计追踪是 eSource 合规的技术核心。一条合格的审计追踪记录至少应包含：操作时间（精确到秒）、操作者身份、操作类型（创建、修改、签署、删除）、受影响的数据对象标识、修改前的值、修改后的值、修改原因。系统应禁止任何用户（包括管理员）删除或修改审计追踪记录，审计追踪本身也应是只读的。在实现上，常见做法是将审计追踪写入独立的、仅追加（append-only）的存储表，并通过数据库权限控制禁止 UPDATE 和 DELETE 操作。
需要特别注意的是，审计追踪不是“日志”的同义词。普通系统日志可能记录登录、页面访问等行为，而审计追踪必须聚焦于对 GCP 相关数据的变更。设计时应明确哪些字段纳入审计范围：通常包括受试者标识、访视日期、疗效评估、不良事件、合并用药、实验室检查结果等关键数据点。对于自动采集设备（如电子血压计、心电设备）直接写入的数据，也应记录设备标识、采集时间和传输时间，以区分“设备采集”与“人工录入”。
电子签名的合规实现
电子签名在 eSource 中通常用于知情同意确认、研究者审核、数据锁定等环节。21 CFR Part 11 对电子签名提出两类要求：非生物特征签名需至少使用两个不同组件（如用户 ID 加密码），生物特征签名需确保只有本人可使用。签名必须与签名者绑定，签名时需显示签名者姓名、签名日期时间和签名含义（如“审核通过”“确认录入”）。NMPA 同样要求电子签名能够显示签署者、签署时间和签署意见。
工程实现上，电子签名不应只是“点击确认”按钮。推荐做法是：签名时要求用户重新输入密码或进行二次认证，系统将签名者 ID、签名时间戳、签名含义、被签名数据对象的哈希值一并写入签名记录。哈希值的作用是建立签名与数据版本的绑定关系，一旦数据被修改，原签名即失效，系统应提示重新签署。这样既满足监管对签名不可否认性的要求，也避免“签了名但数据后来被改”的合规风险。
从要求到实现：一个可检查的合规清单
把上述要求转化为可执行的检查项，有助于在系统上线前发现合规缺口。以下清单可作为 eSource 系统合规自查的起点，字段和判断依据均围绕 GCP 数据完整性设计。
| 检查项 | 合规要求 | 验证方式 |
|---|---|---|
| 用户唯一性 | 禁止共享账号，每人独立 ID | 尝试用同一账号在两台设备同时登录，系统应拒绝或记录异常 |
| 时间戳来源 | 使用服务器时间，不可由用户修改 | 修改终端系统时间后录入数据，审计追踪时间应仍为服务器时间 |
| 审计追踪完整性 | 记录修改前后值与原因，不可删除 | 以管理员身份尝试删除审计记录，应被拒绝 |
| 电子签名绑定 | 签名与数据版本哈希绑定 | 签署后修改数据，原签名应标记失效并触发重签 |
| 归档可读性 | 归档格式在保存期内可读 | 导出归档包并在无原系统的环境中打开，验证数据与审计追踪可读 |
综合来看，FDA、EMA、NMPA 对 eSource 的要求虽然文件形式不同，但技术落点高度一致：以唯一身份和服务器时间戳保证可归因与同步记录，以只追加的审计追踪保证完整与一致，以哈希绑定的电子签名保证不可否认性，以长期可读的归档格式保证持久与可获得。把这四条主线落实到系统设计和日常操作中，eSource 才真正具备接受监管核查的证据能力。