GxP 法规基础：21 CFR Part 11、EU Annex 11、ICH Q7/Q9/Q10
做生信工作流审计，绕不开 GxP。这四部法规，说白了就是整个合规体系的四根柱子。你光知道名字没用，得搞懂它们各自管什么、怎么配合、以及——最关键的——跟你手头的生信流程有什么关系。这一章咱们就把这四部法规拆开揉碎，一个一个过。
GxP 到底是什么？
GxP 不是一部具体的法规，它是一个统称。G 代表 Good，x 是占位符，P 代表 Practice。合在一起就是「良好实践」——GMP（生产）、GLP（实验室）、GCP（临床）、GDP（流通）。审计时你面对的检查员，脑子里装的都是这套东西。
我个人习惯把 GxP 理解为一个质量文化的底线。它不是让你把流程做得最漂亮，而是让你能证明「我是按规矩做的」。你想想看，如果生信分析出来的结果没法追溯、没法复现，那这数据谁敢用？
核心认知：GxP 不是束缚，而是你向检查员证明「我的数据是可靠的」那本账。审计查的不是你做了多少分析，而是你能不能拿出证据。
21 CFR Part 11 — 电子记录的「基本法」
这是美国 FDA 发布的法规，主要管两件事：电子记录和电子签名。凡是在受 GxP 监管的流程中使用电子方式生成、存储、提交记录，就得符合 Part 11。
咱们生信工作流里，原始测序数据、分析输出的 VCF/BAM 文件、质控报告、样本追踪表，全是电子记录。检查员会盯着这些东西问：「你凭什么说这些文件没有被改过？」
Part 11 的几个硬杠杠：
- 记录必须可读——存了十年之后还能打开，格式不丢失。
- 审计追踪——谁、什么时间、改了什么、为什么改，全要记下来。
- 电子签名唯一且不可复用——不能两个人用一个账号，签名跟人绑定。
- 系统验证——用来生成和管理电子记录的系统，必须经过验证。
我在项目中遇到过一件事。一家 CRO 的生信团队用 JIRA 追踪分析任务，检查员问「你们的电子签名在哪里？」团队说「我们没在 JIRA 里签啊，我们在邮件里确认。」嗯，这就是典型的 Part 11 疏忽。邮件签名？审计追踪呢？唯一性呢？全对不上。
下面是一个符合 Part 11 要求的审计日志示例，每次数据修改都要记录：
{
"event_id": "AUDIT-2025-03-17-0032",
"user": "zhang.li@example.com",
"timestamp": "2025-03-17T10:23:45Z",
"action": "MODIFY",
"record_type": "SAMPLE_METADATA",
"record_id": "SMP-2025-00891",
"field_changed": "collection_date",
"old_value": "2025-03-10",
"new_value": "2025-03-11",
"reason": "更正采样日期（与原始记录核对）",
"system": "LIMS v4.2.1",
"hash_chain": "a3f8c2e1b4d9..."
}实操建议：做审计准备时，先把你的生信系统（LIMS、分析平台、数据归档）过一遍 Part 11 checklist。重点看审计追踪有没有开、电子签名是不是跟人绑定、时间戳用的是不是 NTP 同步。我每次做差距分析，这三点至少有一个要补课。
EU Annex 11 — 计算机化系统验证指南
这是欧盟 EMA 发布的法规，专门管计算机化系统。和 Part 11 类似，但 Annex 11 更强调系统验证的生命周期——从需求定义、设计确认、安装确认、运行确认、性能确认，一直到系统退役。
说白了，你用来跑生信分析的计算集群、调度系统、数据管理平台，都是「计算机化系统」。Annex 11 要求你证明这些东西从部署到运维都是受控的。
我建议你把 Annex 11 和 Part 11 当作一对孪生兄弟来理解：
| 维度 | 21 CFR Part 11 | EU Annex 11 |
|---|---|---|
| 发布机构 | FDA（美国） | EMA（欧盟） |
| 核心对象 | 电子记录 + 电子签名 | 计算机化系统验证 |
| 审计追踪 | 明确要求，粒度细 | 要求，但更侧重流程验证 |
| 系统验证 | 提到需要有验证 | 强调全生命周期验证 |
| 数据备份 | 要求可恢复 | 要求定期测试恢复 |
我记得有一次审一家生物信息学服务商，他们的生信分析跑在 AWS 的 Kubernetes 集群上。问他们做过 Annex 11 验证没？他们说「我们验证了容器镜像，但集群本身没做。」这就留下了缺口。集群是计算机化系统的一部分，不能跳过。
避坑指南：我曾经见过一个团队，把 Annex 11 验证理解成「写一份 SOP 就行」。不是的。验证要有证据——截图、日志、测试报告、偏差记录。光有文档没有执行痕迹，检查员一眼就能看穿。
ICH Q7/Q9/Q10 — 质量管理的铁三角
ICH 是国际协调组织，发布的 Q 系列指南是全球通用的。跟生信审计最相关的是这三部：Q7、Q9、Q10。它们不直接管电子记录或计算机系统，但管的是质量体系本身。
- ICH Q7 — 活性药物成分（API）的生产质量管理规范。生信里那些用于生产放行的分析流程，本质上是「数字化的 API 生产过程」。
- ICH Q9 — 质量风险管理。强调用风险评估来驱动决策。生信流程里的数据丢失、分析错误、系统宕机，都要做风险评估。
- ICH Q10 — 制药质量体系。把整个质量体系串起来：变更管理、偏差处理、CAPA（纠正与预防措施）、管理评审。
你想想看，生信工作流审计为什么需要这三部？因为检查员不光看你的数据是不是完整，还要看你的质量体系能不能自我纠偏。出了偏差有没有 CAPA？变更有没有评估影响？这些是 Q10 的范畴。
关键映射：ICH Q9 的风险管理流程，可以直接套在生信分析流程的风险评估上。每次新增一个分析工具、修改一个参数、更换一个计算节点，都应该走一遍 Q9 的风险评估——严重性、发生概率、可检测性，三个维度打分，然后决定要不要做验证。
我建议做审计准备时，先把 Q9 的风险管理流程跑一遍。把生信全流程从头到尾列出来，每个节点问自己：这里出问题了会怎样？有没有控制措施？控制措施有没有证据？我曾经帮一个客户做这件事，发现他们最核心的变异检测流程居然没有做输入数据校验——问题有多大？致命级别的。
四部法规如何协同？
单独看每一部都不难，难的是让它们在你生信工作流的审计框架里协同工作。Part 11 管数据可信，Annex 11 管系统可靠，Q7 管产品质量，Q9 管风险决策，Q10 管体系闭环。五根线拧成一股绳。
下面这张图展示了它们之间的映射关系：