2. 法规要求：GMP、FDA、EMA 等对验证的要求

讲到法规要求，很多新手会觉得头大。一堆英文缩写，什么 GMP、FDA、EMA、ICH…… 其实说白了，这些法规就是告诉你——验证到底要做到什么程度才算合格。

我当年刚入行时，带我的老工程师扔给我一句话：「别把法规当教条，那是用教训换来的底线。」后来自己经历过几次审计和偏差调查，才真正理解这句话的分量。今天咱就掰开揉碎，把主流法规对验证的核心要求捋一遍。

2.1 GMP 中的验证底线

GMP（Good Manufacturing Practice）是所有药品生产质量体系的基石。不管是中国的《药品生产质量管理规范》，还是欧盟的 EU GMP，都对验证有明确要求。

GMP 的核心逻辑很简单：

  • 你设计的东西（设备/工艺/系统）必须能稳定产出合格产品
  • 你必须有书面证据证明它确实做到了
  • 任何变更都要重新评估验证状态

我记得有一次审计，检察官指着设备说：「你的 IQ 报告里写了扭矩扳手校准了，但校准证书编号没写。」这就是 GMP 对「书面证据」的较真——不放过任何细节。因为一旦出现质量问题，你要靠这些记录往回追溯。

GMP 对验证的硬性要求（我个人习惯记这三点）：

  1. 验证必须有明确的方案（Protocol）和报告（Report）
  2. 验证结果必须可追溯、可重现
  3. 偏差必须记录并处理，不能跳过

2.2 FDA 的验证五步法

FDA（美国食品药品监督管理局）在 21 CFR Part 211 和 Part 820 中详细规定了验证要求。它提出的验证生命周期概念，后来被全球监管机构采纳。

FDA 眼中的验证分五步走：

  1. 设计确认（DQ）：确认设计符合用户需求和法规
  2. 安装确认（IQ）：设备按规格正确安装
  3. 运行确认（OQ）：设备在正常/极端条件下运行正常
  4. 性能确认（PQ）：设备能持续产出合格产品
  5. 持续验证状态监控：日常监控+定期再验证

这里有个陷阱——很多公司把 IQ/OQ/PQ 当一次性任务，做完就封存。FDA 的指南里明确说了：「验证不是一锤子买卖。」我曾经在一个项目里看到，设备 PQ 完成后三年没做过任何再验证，结果工艺参数漂移了都没发现。嗯，最后当然被发了 483 观察项。

避坑指南：FDA 会重点关注验证方案是否覆盖了「最差条件」。比如灭菌锅的温度验证，不能只测空载，还要测满载、半载、不同装载模式。我在做无菌灌装线验证时吃过这个亏，后来学乖了——方案里提前列好所有可能的 worst-case scenario。

2.3 EMA 强调的风险导向

EMA（欧洲药品管理局）在 EU GMP Annex 15 中专门讲了验证和确认。它和 FDA 最大的区别是——更强调基于风险的策略（Risk-Based Approach）。

什么意思呢？就是你不要对所有设备一视同仁，而是根据它对产品质量的影响程度来决定验证深度。

影响等级 定义 验证要求举例
直接影响 直接接触产品/工艺，影响质量 完整 IQ/OQ/PQ + 定期再验证
间接影响 不直接接触，但影响环境或数据 IQ + OQ，PQ 可简化
无影响 不接触产品，不影响质量 仅确认安装正确，不需验证

EMA 还特别强调「工艺验证的持续确认」——也就是 PV（Process Validation）不是做三次就完事，而是要持续收集数据，用统计工具判断工艺是否稳定。我个人觉得这一点比 FDA 更狠，但确实科学。

2.4 ICH Q7、WHO 和其他法规

除了三大主流，还有几个法规你一定得知道：

  • ICH Q7（原料药生产质量管理规范）：专门针对 API 的验证，要求更细。比如混合均一性、洗罐验证都有具体取样方案。
  • WHO TRS 937：对疫苗、生物制品有特殊验证要求。我参与过一个疫苗项目，WHO 审计官对冷链设备验证的温度传感器放置位置都数过个数。
  • NMPA（原中国 CFDA）：基本等同 EU GMP，但有些地方更严格，比如要求计算机化系统验证必须跨部门评审。

注意：很多公司只买一套验证文档模板，以为全球通用。但不同监管机构对验证的细节要求是有差异的。我曾经见过一个案子——按照 FDA 做的验证文档去应对 EMA 审计，结果对方不认，因为 EMA 要求在 PQ 里加入「工艺重现性」的统计评估，而 FDA 版本里没有。所以，出口到哪个市场，就要对标哪个法规。

2.5 法规体系与验证生命周期关系图

下面这张图可以帮助你把各法规和验证阶段的关系串起来。红线代表「直接要求」，蓝线代表「参考引用」。

法规体系与验证生命周期关系 GMP 基本要求 FDA 21 CFR EU GMP Annex 15 ICH Q7 / WHO 设计确认 DQ 安装确认 IQ 运行确认 OQ 性能确认 PQ 说明： 红线 → 代表该法规对某一验证阶段有直接明确要求 蓝线 → 代表该法规强调或参考引用该阶段，但未单独章节要求 灰色箭头 → 验证生命周期中阶段之间的自然流转顺序

2.6 实际应用中的几个要点

法规读再多，落了地才算数。我结合这些年踩过的坑，给你几个实操建议：

  1. 验证方案必须注明引用的法规。比如 IQ 方案的第一页就写明参照 FDA 21 CFR Part 211.63 和 EU GMP Annex 15。审计官扫一眼就知道你是「有谱的」。
  2. 不同法规对再验证周期的要求不同。有些要求定期（如每年），有些要求触发式（如变更后）。我建议你直接做成矩阵表，贴在验证主计划里。
  3. 别忽略「数据完整性」对应的法规。FDA 21 CFR Part 11 和 EU GMP Annex 11 对电子记录和电子签名有专门要求。很多验证项目只关注设备性能，忘了软件层面的验证——这是近年来 483 的高发区。

一个小技巧：做法规差距分析时，可以拿一份你自己的验证主计划，对照下面这个清单打勾：

□ GMP 对书面证据的完整性
□ FDA 五步验证法全部覆盖
□ EMA 风险影响等级划分
□ ICH Q7 对 API 的特殊要求
□ WHO 对生物制品/疫苗的要求
□ 数据完整性（Part 11 / Annex 11）
□ 偏差处理流程
□ 变更控制衔接验证

打完勾，你就知道哪块还需要补。我每次接手新项目都先跑一遍这个清单，心里不慌。

2.7 法规不是枷锁，是护栏

很多工程师觉得法规是约束，是增加工作量的东西。其实换个角度看——法规是行业里无数人用失败和召回换来的「标准答案」。你照着做，至少不会犯常识性错误。

拿我自己来说，刚入行时也嫌繁琐，但经过三次 FDA 审计、两次 EMA 现场检查后，我总结了一句话：验证做到位了，审计官就是你的朋友；验证有漏洞，审计官就是你的噩梦。把法规要求内化成工作习惯，比临时抱佛脚强一万倍。

← 上一章 📖 返回目录 下一章 →