第二章 FDA 21 CFR Part 11详解：电子记录与电子签名要求、数字签名的合规标准

说到FDA的合规，我个人觉得21 CFR Part 11是绕不开的一座山。很多同行刚开始接触生信合规时，第一反应就是电子签名是不是“签个名就行”？其实没那么简单。

Part 11的核心是两条：电子记录等于纸质记录的法律效力，电子签名等于手写签名的法律效力。但怎么实现才能被FDA认可？咱们一条条捋清楚。

2.1 Part 11的适用范围

首先得搞清楚，Part 11管的是哪些场景。FDA明确说了，只要是药品、生物制品、医疗器械等临床研究或生产过程中产生的电子记录，都在范围内。说白了，从实验室的原始数据到最终的分析报告，只要用电子形式生成、修改、维护了，就得满足Part 11的要求。

场景	是否适用	典型例子
临床实验数据采集	是	EDC系统、LIMS系统中的患者数据
生产批记录	是	ERP系统中的批次放行记录
实验室检测结果	是	HPLC图谱、NGS测序数据
日常邮件沟通	否（若不含关键数据）	非正式的会议纪要

我记得有个项目，他们觉得只是做一个内部使用的分析脚本，不需要管Part 11。结果FDA来审计时，发现这个脚本直接生成了用于申报的关键数据……嗯，那次整改花了三个多月。

2.2 电子记录的要求：哪些是“必须有的”

Part 11对电子记录本身提了三个层次的要求。我个人习惯把它总结为“生成-保护-验证”三件套。

• 记录的完整性：任何修改都不能覆盖原始数据。说白了，不能删，只能追加。
• 记录的准确性：系统必须保证数据从采集到存储没有意外变化。
• 记录的可追溯性：每一条修改都要留下痕迹，谁改的、什么时候改的、改了什么。

举个例子，生信分析中的原始FASTQ文件，如果被某个脚本意外修改了但没有审计追踪……那这个数据集基本就废了。我在项目中遇到过，一个实习生跑错了参数，覆盖了原始BAM文件，后来只能重新测序。教训很深刻。

2.3 电子签名的两种类型

电子签名不是简单的“在系统里输个密码”。FDA把它分成两大类。

类型	实现方式	典型做法	合规难点
基于生物特征	指纹、虹膜、人脸识别	实验室门禁+系统登录绑定	设备稳定性、数据隐私
基于非生物特征	用户名+密码组合	LIMS系统账号密码输入	密码强度、共享账号风险

大部分生信平台用的是用户名+密码。但FDA要求每次签名必须同时输入两项，不能只点“确定”。你想想看，如果你的系统允许用户勾选“记住我”，那直接就违规了。

这里有个避坑指南：我曾经见过一个临床数据分析平台，签名时只要求输入密码，用户名是自动填充的。这在FDA看来属于无效签名，因为无法确认是否是本人操作。一定要让用户主动输入两个认证因子。

2.4 数字签名的合规标准

数字签名是电子签名的一种特殊形式，使用密码学技术来确保签名后的内容不可篡改。FDA对此有更严格的要求。

2.4.1 密码学要求

数字签名必须基于公钥基础设施，也就是咱们常说的PKI。签名的私钥要严格保护，不能暴露在系统外部。每次签名都会生成一个唯一的签名数据，跟被签名的文档绑定。

# 这是一个典型的数字签名过程（伪代码）
# 生成密钥对
openssl genrsa -out private_key.pem 2048
openssl rsa -in private_key.pem -pubout -out public_key.pem

# 对文档签名
openssl dgst -sha256 -sign private_key.pem -out signature.bin document.pdf

# 验证签名
openssl dgst -sha256 -verify public_key.pem -signature signature.bin document.pdf

嗯，这里要注意，密钥对的生成和管理需要记录在系统的安全策略中。不能随便找个脚本就跑。

2.4.2 操作安全要求

数字签名的安全操作包括几个关键点：

• 证书管理：签名的数字证书要有有效期，到期必须更新或废除。
• 密钥更换：长期不更换密钥会增加泄露风险，建议每年至少一次。
• 时间戳服务：签名时必须同步生成时间戳，证明签名时间。
• 日志记录：每次签名操作都要写入独立的审计日志，不能被普通用户删除。

我在项目中遇到过一种情况：签名密钥用的是同一个证书，而且好几年没换。审计时直接被开了483表格，要求立即整改。

2.4.3 签名与文档的绑定

数字签名的核心价值在于：签名后文档的任何修改都会导致签名失效。FDA要求这种绑定必须是密码学上的强绑定，不能仅仅是系统内的逻辑关联。

# 一个合规的签名记录格式示例
{
  "document_hash": "sha256:e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855",
  "signature": "3046022100d9d8e1f2...",
  "signer_id": "operator_jwang@example.com",
  "timestamp": "2026-03-15T10:30:00Z",
  "certificate": "CN=John Wang, OU=Research, O=Pfizer, C=US"
}

你想想看，如果有人改了文档里的一个碱基位点，那么这个hash值就会完全变化，签名自然失效。不通过密码学绑定的签名，FDA不认可。

2.5 为什么要区分电子签名和数字签名？

很多人会把这两个概念混用。实际监管上，电子签名是广义的，包括简单的账号密码方式；而数字签名是狭义的，专指使用密码学技术生成的签名。

FDA对两种方式都认可，但前提是满足相同级别的安全控制。如果你用简单的用户名密码，就需要配合强审计追踪、访问控制、时间戳等来弥补密码学保护的缺失。说白了，两种路径都能走通，但系统设计的复杂度不同。

2.6 审计追踪：合规的“最后一道防线”

Part 11里还有一个隐藏的重点——审计追踪。它不单独写一条法规，但几乎所有检查都会看。审计追踪必须记录所有创建、修改、删除操作，并且不能被覆盖或关闭。

我曾经在一个生信平台看到，审计日志可以自由开关……这绝对是重大违规。正确的做法是：审计日志以独立进程运行，权限分离，普通用户连查看权限都没有。

2.7 实操建议：给刚入门的团队

如果你是第一次部署符合Part 11的生信平台，我建议从三个地方开始：

1. 用户管理：确保每个账号唯一，禁止共享。密码复杂度要求8位以上+大小写+数字+特殊字符。
2. 签名控制：所有的电子签名操作必须弹出独立对话框，用户输入完整用户名和密码，系统记录时间戳。
3. 审计日志：设计一张只读的审计表，记录操作人、时间、操作类型、旧值、新值。千万别给用户任何删除权限。

2.8 知识体系总览

下面这张图是我梳理的Part 11合规核心逻辑，重点看电子记录和签名之间的关系，以及数字签名在整个体系中的位置。

好了，这一章就到这里。记住，电子记录和电子签名的核心是“法律效力等同”，而实现这个等同全靠系统设计的严谨性。数字签名只是达到目的的一种工具，不能替代底层的流程控制。把握住这一点，Part 11的合规工作才不会跑偏。